Seit dem 31. Januar 2018 müssen Betreiber von Elektrizitäts- und Gasversorgungsnetzen ihre IT-Sicherheit nach dem IT-Sicherheitskatalog der Bundesnetzagentur zertifizieren lassen. § 11 Abs. 1b erfasst zusätzlich Betreiber von Energieanlagen nach den KRITIS-Regeln. Das ist kein einmaliger Nachweis, sondern eine wiederkehrende Pflicht zur erneuten Überprüfung.
Der IT-Sicherheitskatalog verlangt ausdrücklich eine regelmäßige Re-Zertifizierung, kein „einmal erledigt“. Wer den Nachweis nicht aktuell halten kann, riskiert aufsichtsrechtliche Konsequenzen der Bundesnetzagentur.
* Größere Anlagen, etwa Kraftwerke ab 420 MW, fallen zusätzlich unter die KRITIS-Verordnung und damit unter § 8a BSIG sowie NIS2, mit eigenen, ergänzenden Nachweispflichten.
Stadtwerke verbinden klassische IT mit Betriebstechnik, die physisch über ein ganzes Netzgebiet verteilt ist, oft an Standorten ohne durchgehende Personalpräsenz. Beide Spuren haben eigene Einstiegspunkte, und an drei Stellen liegen sie direkt nebeneinander.
VPN- und Herstellerzugänge verbinden das Büro-Netz mit der Leittechnik. Ohne Multi-Faktor-Authentifizierung und Segmentierung sind sie die Brücke von IT nach OT.
Viele Umspannwerke und Nebenanlagen sind komplett unbemannt. Zutrittskontrolle und physische Absicherung entscheiden dort direkt über die Angriffsfläche.
Büro-Netz, E-Mail, Abrechnung. Ein Angriff hier kann sich schnell auf den gesamten Betrieb ausweiten, nicht nur auf die Verwaltung.
Zentrale Steuerung und Datenhaltung laufen hier zusammen, ein lohnendes Ziel mit oft nur minimaler Vor-Ort-Besetzung außerhalb der Kernarbeitszeit.
Portale für Vertragsdaten, Zählerstände und Abrechnung sind öffentlich erreichbar und damit ein direkter Einstiegspunkt von außen.
Leitsysteme und Fernwirktechnik steuern die dezentrale Netzführung. Historisch gewachsene Protokolle und fehlende Segmentierung zur IT sind hier die typischen Schwachstellen.
Ein vollständiges Bild eurer Angriffsfläche entsteht erst, wenn IT- und OT-Sicherheit gemeinsam betrachtet werden. Beide folgen unterschiedlichen Prioritäten, und genau diese Lücke dazwischen wird in der Praxis am seltensten getestet.
| IT vs. OT | ITKlassische IT | OTOT/SCADA & Fernwirktechnik |
|---|---|---|
| Priorität | Vertraulichkeit der Daten | Verfügbarkeit der Versorgung |
| Patches | Patches lassen sich meist zeitnah einspielen | Patches oft über Jahre nicht einspielbar (Zertifizierung, Hersteller-Support) |
| Protokolle | Standardprotokolle (TCP/IP, HTTPS) | Proprietäre und Legacy-Protokolle ohne eingebaute Sicherheit |
| Wartungsfenster | Kurze Wartungsfenster möglich | Wartung nur in eng geplanten Zeitfenstern, Stillstand ist keine Option |
Zwei Cyberangriffe, die über die Verwaltungs-IT den gesamten Betrieb zum Stillstand brachten, und ein physischer Anschlag auf Kabel. Die Angriffsfläche eines Versorgers endet nicht am Netzwerk.
Die Stadtwerke Neumünster haben laut Medienberichten vorsorglich sämtliche Systeme heruntergefahren, nachdem sie einen Cyberangriff festgestellt hatten.
Bei den Stadtwerken Schwerte wurden laut Medienberichten das interne Netz und das Kundenportal vom Netz genommen; die Daten sollen später im Darknet aufgetaucht sein.
Ein Brandanschlag auf Stromkabel nahe dem Kraftwerk Lichterfelde traf laut Berichten rund 50.000 Haushalte. Kein Cyberangriff, aber ein Beleg dafür, dass physische Absicherung neben der IT-Sicherheit wichtig bleibt.
Angaben nach öffentlicher Berichterstattung. accessgranted war an diesen Vorfällen nicht beteiligt.
Versorgungssicherheit hat immer Vorrang. Bei OT- und Fernwirktechnik-Komponenten testen wir deshalb spürbar vorsichtiger als in reiner IT.
Kundenportale, Verwaltungs-IT und Fernwartungszugänge kommen in den Scope. Wir sammeln Informationen aus öffentlich zugänglichen Quellen und scannen die Netze.
Wir testen manuell im vereinbarten Scope: Authentifizierung, Zugriffsrechte, Segmentierung zur OT und die Härtung eurer zentralen Systeme.
Jedes Finding bewerten wir nach Schweregrad, Ausnutzbarkeit und Auswirkung auf die Versorgungssicherheit.
Gemeinsam legen wir fest, welche OT- und Leitsysteme aktiv getestet und welche ausschließlich passiv analysiert werden.
Protokolle und Netzverkehr analysieren wir passiv. Aktive Tests laufen nur in vorab vereinbarten Zeitfenstern außerhalb kritischer Betriebszeiten.
Ein fester Notfallkontakt begleitet jeden Test. Bei jeder unerwarteten Auswirkung auf Netzbetrieb oder Versorgung stoppen wir sofort.
Vollständige Dokumentation mit Handlungsempfehlungen, eine Management-Summary für Geschäftsführung, IT-Leitung und Netzbetrieb und die Zuordnung jedes Findings zum IT-Sicherheitskatalog.
IT und OT lassen sich nicht mit einem einzigen Test abdecken. Für Netzbetreiber setzen wir deshalb auf diese Kombination.
Simulierter Zutritt zu Umspannwerken, Leitstellen und Rechenzentren. Deckt die physische Angriffsfläche ab, die bei unbemannten Anlagen besonders relevant ist.
Gezielte Prüfung von SCADA, Fernwirktechnik und Leitsystemen, mit besonderer Rücksicht auf die Verfügbarkeit der Versorgung.
Netzwerksegmentierung zwischen IT, OT und Verwaltung, Zugriffsrechte und Härtung eurer zentralen Systeme.
Größere Netzbetreiber und Anlagen ab KRITIS-Schwelle unterliegen zusätzlich dem BSI-Gesetz und NIS2, mit eigenen Nachweispflichten neben dem IT-Sicherheitskatalog. Unsere Compliance-Seiten zeigen, was das konkret bedeutet.