Energieversorger & Stadtwerke · EnWG § 5c · KRITIS · NIS2

Netze, die nicht ausfallen dürfen, brauchen mehr als eine Firewall

Als Netzbetreiber unterliegt ihr § 5c EnWG (bis Dezember 2025 § 11 Abs. 1a): eine Zertifizierung nach dem IT-Sicherheitskatalog der Bundesnetzagentur ist seit dem 31. Januar 2018 verpflichtend und wird alle drei Jahre erneut geprüft. Größere Anlagen fallen zusätzlich unter die KRITIS-Verordnung, dazu kommt NIS2. Wir testen dort, wo bei Stadtwerken der Alltag tatsächlich stattfindet: OT und Fernwirktechnik neben klassischer IT, unbemannte Umspannwerke und Kundenportale mit hoher Reichweite.

IT-Sicherheit prüfen lassen Die drei Übergänge ansehen
  • IT-Sicherheitskatalog-taugliche Dokumentation
  • Erfahrung mit OT/SCADA & Fernwirktechnik
  • Kostenloses Erstgespräch

Angriffsfläche Energieversorgung

Zwei Welten, Zeile für Zeile

Stadtwerke verbinden klassische IT mit Betriebstechnik, die physisch über ein ganzes Netzgebiet verteilt ist, oft an Standorten ohne durchgehende Personalpräsenz. Beide Spuren haben eigene Einstiegspunkte, und an drei Stellen liegen sie direkt nebeneinander.

ITVerwaltung & Kundenschnittstellen

Gegenüber

OTNetzführung & Anlagen

Fernwartungszugänge

VPN- und Herstellerzugänge verbinden das Büro-Netz mit der Leittechnik. Ohne Multi-Faktor-Authentifizierung und Segmentierung sind sie die Brücke von IT nach OT.

Zugang

Umspannwerke & unbemannte Anlagen

Viele Umspannwerke und Nebenanlagen sind komplett unbemannt. Zutrittskontrolle und physische Absicherung entscheiden dort direkt über die Angriffsfläche.

Verwaltungs-IT

Büro-Netz, E-Mail, Abrechnung. Ein Angriff hier kann sich schnell auf den gesamten Betrieb ausweiten, nicht nur auf die Verwaltung.

Zentrale

Leitstellen & Rechenzentren

Zentrale Steuerung und Datenhaltung laufen hier zusammen, ein lohnendes Ziel mit oft nur minimaler Vor-Ort-Besetzung außerhalb der Kernarbeitszeit.

Kundenportale

Portale für Vertragsdaten, Zählerstände und Abrechnung sind öffentlich erreichbar und damit ein direkter Einstiegspunkt von außen.

Kostenloser Security Check für euer Kundenportal

Fläche

SCADA & Fernwirktechnik

Leitsysteme und Fernwirktechnik steuern die dezentrale Netzführung. Historisch gewachsene Protokolle und fehlende Segmentierung zur IT sind hier die typischen Schwachstellen.

In jeder Zeile steht links und rechts dieselbe Aufgabe. Erledigt wird sie nach verschiedenen Regeln: in der Verwaltung zählt, dass Daten vertraulich bleiben, im Netzbetrieb, dass nichts stehenbleibt.

Kern der Prüfung

Drei Übergänge, an denen beide Welten sich berühren

Ein Angreifer braucht keinen direkten Zugriff auf die Leittechnik, um dort zu landen. Er braucht einen Fuß in der Büro-IT und eine Verbindung, die von dort weiterführt. Drei solcher Verbindungen gibt es in fast jedem Netzgebiet, und sie sind nicht aus Versehen da: ohne sie ließe sich das Netz nicht betreiben.

Büro-IT Leittechnik Priorität: Vertraulichkeit der Daten Priorität: Verfügbarkeit der Versorgung Übergänge von außen 1 2 3 Kundenportal Büro-Netz Fernwartung Leitstelle Rechenzentrum SCADA Umspannwerk unbemannt Umspannwerk unbemannt Weg von außen

Das Schema wandert von selbst durch die drei Übergänge. Ein Klick hält es an.

  1. 01

    Fernwartung

    Zugang

    Wofür es ihn gibt

    Hersteller und Dienstleister brauchen Zugriff auf Komponenten, die über das halbe Netzgebiet verteilt stehen. Ohne diesen Zugang müsste für jede Störmeldung jemand hinausfahren.

    Wie daraus ein Weg wird

    Der Zugang endet nicht am Büro-Netz, sondern reicht bis in die Leittechnik. Fehlen Multi-Faktor-Authentifizierung und Segmentierung, nimmt ein gestohlenes Dienstleister-Passwort denselben Weg.

    Was wir dort prüfen

    Wir sehen uns an, wer diese Zugänge nutzt, wie sie authentifiziert sind, wie weit sie ins Netz hineinreichen und ob ihre Nutzung nachvollziehbar protokolliert wird.

    Infrastruktur-Pentest
  2. 02

    Leitstelle und Büro unter einem Dach

    Zentrale

    Wofür es ihn gibt

    Steuerung, Datenhaltung und Verwaltung liegen am selben Standort, häufig im selben Gebäudeteil. Das spart Fläche, Wege und Personal.

    Wie daraus ein Weg wird

    Ein Angriff auf die Verwaltungs-IT bleibt dann nicht in der Verwaltung. Außerhalb der Kernarbeitszeit ist der Standort dünn besetzt, und wer hineinkommt, steht neben beidem.

    Was wir dort prüfen

    Wir prüfen den Zutritt vor Ort und im Netz: Türen, Zutrittskontrolle und Besucherregelung genauso wie Rechte, Trennung und Härtung der zentralen Systeme.

    Physical Pentest
  3. 03

    Segmentierung zur Fernwirktechnik

    Fläche

    Wofür es ihn gibt

    Leitsysteme und Fernwirktechnik melden Messwerte zurück und nehmen Befehle entgegen. Dafür müssen sie erreichbar sein, auch aus der Zentrale heraus.

    Wie daraus ein Weg wird

    Die dafür gebräuchlichen Protokolle stammen aus einer Zeit, in der niemand mit einem Angreifer im selben Netz gerechnet hat. Wer dort steht, wird nicht gefragt, wer er ist.

    Was wir dort prüfen

    Wir schauen passiv mit, welche Protokolle unterwegs sind und welche Wege zwischen IT und OT tatsächlich offen stehen. Aktiv wird nur, was ihr vorher freigegeben habt.

    OT/ICS Pentest

Alle drei Übergänge gehören in den Scope, auch wenn sie in keiner Netzwerkdokumentation als Übergang geführt werden. Geprüft wird an ihnen am seltensten, weil sie zwischen zwei Zuständigkeiten liegen.

IT vs. OT

Warum IT-Konzepte auf OT nicht reichen

Ein vollständiges Bild eurer Angriffsfläche entsteht erst, wenn IT- und OT-Sicherheit gemeinsam betrachtet werden. Beide folgen unterschiedlichen Prioritäten, und genau diese Lücke dazwischen wird in der Praxis am seltensten getestet.

IT vs. OT ITKlassische IT OTOT/SCADA & Fernwirktechnik
Priorität Vertraulichkeit der Daten Verfügbarkeit der Versorgung
Patches Patches lassen sich meist zeitnah einspielen Patches oft über Jahre nicht einspielbar (Zertifizierung, Hersteller-Support)
Protokolle Standardprotokolle (TCP/IP, HTTPS) Proprietäre und Legacy-Protokolle ohne eingebaute Sicherheit
Wartungsfenster Kurze Wartungsfenster möglich Wartung nur in eng geplanten Zeitfenstern, Stillstand ist keine Option

Ein Assessment, das nur IT-Konzepte auf OT anwendet, übersieht die tatsächlichen Risiken. Unsere Tests berücksichtigen beide Welten und deren jeweils eigene Belastungsgrenzen.

Diese Tabelle erklärt auch, warum ein Übergang so lange bestehen bleibt. Eine Lücke im Büro-Netz lässt sich oft am selben Tag schließen. Dieselbe Lücke an einem Leitsystem wartet auf das nächste Wartungsfenster, manchmal auf die nächste Freigabe des Herstellers.

§ 5c EnWG

Der 3-Jahres-Zyklus des IT-Sicherheitskatalogs

Seit dem 31. Januar 2018 müssen Betreiber von Elektrizitäts- und Gasversorgungsnetzen ihre IT-Sicherheit nach dem IT-Sicherheitskatalog der Bundesnetzagentur zertifizieren lassen. § 5c EnWG erfasst zusätzlich Betreiber von Energieanlagen, die besonders wichtige oder wichtige Einrichtungen nach § 28 BSIG sind. Bis zu einem neuen Katalog gelten die bisherigen IT-Sicherheitskataloge weiter. Das ist kein einmaliger Nachweis, sondern eine wiederkehrende Pflicht zur erneuten Überprüfung.

Prüfrhythmus 3 Jahre bis zur nächsten Zertifizierung

  1. Seit 31.01.2018

    Betreiber von Strom- und Gasnetzen müssen nach dem IT-Sicherheitskatalog zertifiziert sein.

  2. Alle 3 Jahre

    Der Katalog verlangt die erneute Prüfung. Ein Pentest davor findet die Lücken vor dem Auditor.

  3. § 5c EnWG · KRITIS · NIS2

    Anlagen ab der KRITIS-Schwelle gelten nach § 28 BSIG als besonders wichtige Einrichtungen. Ihre Pflichten kommen weiterhin aus dem IT-Sicherheitskatalog nach § 5c EnWG, die zentralen BSIG-Pflichten (u. a. §§ 30, 31, 32 und 39) gelten für sie nach § 28 Abs. 5 BSIG nicht.

Alle 3 Jahre. Der IT-Sicherheitskatalog verlangt ausdrücklich eine regelmäßige Re-Zertifizierung, keine einmalige Pflicht. Wer den Nachweis nicht aktuell halten kann, riskiert aufsichtsrechtliche Konsequenzen der Bundesnetzagentur.

Derselbe Nachweis, zwei verschiedene Aufgaben

IT

In der Verwaltungs-IT ist der Nachweis eine Frage von Konfiguration und Dokumentation. Vieles davon lässt sich auch kurz vor dem Audit noch geradeziehen.

OT

In der Leittechnik hängt derselbe Nachweis an Geräten, die seit Jahren durchlaufen und für einen Prüftermin nicht neu gestartet werden. Wer erst im Auditjahr hinsieht, hat keine Zeit mehr zu reagieren.

Größere Anlagen, etwa Stromerzeugungsanlagen ab 104 MW, fallen zusätzlich unter die KRITIS-Verordnung und gelten damit als besonders wichtige Einrichtungen. Die Pflichten laufen für sie über den IT-Sicherheitskatalog nach § 5c EnWG, die zentralen BSIG-Pflichten (u. a. §§ 30, 31, 32 und 39) gelten nach § 28 Abs. 5 BSIG nicht.

Betroffenheit nach NIS2 prüfen Laufende Prüfung zwischen zwei Zertifizierungen

Chronik

Drei Vorfälle, drei Einstiegspunkte

Zwei Cyberangriffe, die über die Verwaltungs-IT den Geschäftsbetrieb lahmlegten, und ein physischer Anschlag auf Kabel. Die Angriffsfläche eines Versorgers endet nicht am Netzwerk.

24.08.2023

Stadtwerke Neumünster

Cyberangriff

Die Stadtwerke Neumünster haben laut Medienberichten vorsorglich sämtliche Systeme heruntergefahren, nachdem sie einen Cyberangriff festgestellt hatten.

Getroffen wurdeVerwaltungs-IT

2025

Stadtwerke Schwerte

Cyberangriff

Bei den Stadtwerken Schwerte wurden laut Medienberichten das interne Netz und das Kundenportal vom Netz genommen; die Daten sollen später im Darknet aufgetaucht sein.

Getroffen wurdeInternes Netz und Kundenportal

01/2026

Kraftwerk Lichterfelde, Berlin

Physisch, kein Cyberangriff

Ein Brandanschlag auf Stromkabel nahe dem Kraftwerk Lichterfelde traf laut Berichten rund 45.000 Haushalte und 2.200 Gewerbekunden. Kein Cyberangriff, aber ein Beleg dafür, dass physische Absicherung neben der IT-Sicherheit wichtig bleibt.

Getroffen wurdePhysische Infrastruktur

Angaben nach öffentlicher Berichterstattung. Access Granted war an diesen Vorfällen nicht beteiligt.

Wie wir vorgehen, an echten Fällen

Unser Vorgehen

Zwei Testspuren, ein Bericht

Versorgungssicherheit hat immer Vorrang. Bei OT- und Fernwirktechnik-Komponenten testen wir deshalb spürbar vorsichtiger als in reiner IT.

ITSpur IT

  1. 01

    Scoping & Reconnaissance

    Kundenportale, Verwaltungs-IT und Fernwartungszugänge kommen in den Scope. Wir sammeln Informationen aus öffentlich zugänglichen Quellen und scannen die Netze.

  2. 02

    Aktiver Test

    Wir testen manuell im vereinbarten Scope: Authentifizierung, Zugriffsrechte, Segmentierung zur OT und die Härtung eurer zentralen Systeme.

  3. 03

    Bewertung

    Jedes Finding bewerten wir nach Schweregrad, Ausnutzbarkeit und Auswirkung auf die Versorgungssicherheit.

Im Büro-Netz ist der aktive Test Alltag. Was wir dort tun, tut ein Angreifer auch, nur ohne Absprache.

OTSpur OT

  1. 01

    Scoping mit Rücksicht auf den Netzbetrieb

    Gemeinsam legen wir fest, welche OT- und Leitsysteme aktiv getestet und welche ausschließlich passiv analysiert werden.

  2. 02

    Passive Analyse, abgestimmte Fenster

    Protokolle und Netzverkehr analysieren wir passiv. Aktive Tests laufen nur in vorab vereinbarten Zeitfenstern außerhalb kritischer Betriebszeiten.

  3. 03

    Notfallkontakt & Sofort-Stopp

    Ein fester Notfallkontakt begleitet jeden Test. Bei jeder unerwarteten Auswirkung auf Netzbetrieb oder Versorgung stoppen wir sofort.

In der Leittechnik ist jeder aktive Schritt eine Einzelfallentscheidung. Sie wird vorher getroffen, und ihr könnt sie jederzeit zurücknehmen.

Beide Spuren laufen zusammen

Ein Abschlussbericht mit Mapping auf den IT-Sicherheitskatalog

Vollständige Dokumentation mit Handlungsempfehlungen, eine Management-Summary für Geschäftsführung, IT-Leitung und Netzbetrieb und die Zuordnung jedes Findings zum IT-Sicherheitskatalog.

Relevante Module

Diese Tests bringen eure Netz-IT auf den Stand der Technik

IT und OT lassen sich nicht mit einem einzigen Test abdecken. Für Netzbetreiber setzen wir deshalb auf diese Kombination.

  • 01

    Physical Pentest

    Simulierter Zutritt zu Umspannwerken, Leitstellen und Rechenzentren. Deckt die physische Angriffsfläche ab, die bei unbemannten Anlagen besonders relevant ist.

    Mehr erfahren
  • 02

    OT/ICS Pentest

    Gezielte Prüfung von SCADA, Fernwirktechnik und Leitsystemen, mit besonderer Rücksicht auf die Verfügbarkeit der Versorgung.

    Mehr erfahren
  • 03

    Infrastruktur-Pentest

    Netzwerksegmentierung zwischen IT, OT und Verwaltung, Zugriffsrechte und Härtung eurer zentralen Systeme.

    Mehr erfahren
  • 04

    Web-App-Pentest

    Kundenportale für Vertragsdaten, Zählerstände und Abrechnung, geprüft aus der Sicht eines fremden Besuchers und aus der eines angemeldeten Kunden.

    Mehr erfahren

Welche Module ihr braucht, hängt davon ab, was bei euch tatsächlich zusammenhängt. Im Erstgespräch schneiden wir die Kombination auf euer Netzgebiet zu. Worauf ihr bei der Auswahl eines Anbieters achten solltet

Häufige Fragen

Pentest für Energieversorger: eure Fragen

01IT-Sicherheitskatalog & KRITIS

Der IT-Sicherheitskatalog der Bundesnetzagentur schreibt keine bestimmte Testmethode namentlich vor, verlangt aber ein zertifiziertes Informationssicherheits-Managementsystem und den regelmäßigen Nachweis angemessener Schutzmaßnahmen. Ein Penetrationstest ist in der Praxis das gängige Instrument, um diesen Nachweis technisch zu untermauern und Schwachstellen vor der Zertifizierung zu finden.

Die Zertifizierung nach dem IT-Sicherheitskatalog der Bundesnetzagentur läuft in einem wiederkehrenden Dreijahreszyklus. Verpflichtend ist das für Netzbetreiber seit dem 31. Januar 2018. Ein regelmäßiger Pentest vor jeder Re-Zertifizierung hilft, Lücken frühzeitig statt erst beim Audit zu finden.

Maßgeblich ist die BSI-Kritisverordnung mit sektorspezifischen Schwellenwerten, etwa ab bestimmten Erzeugungs- oder Versorgungskapazitäten (zum Beispiel Stromerzeugungsanlagen ab 104 MW). Ab dieser Schwelle gilt eure Anlage als besonders wichtige Einrichtung; die Pflichten laufen für Energieanlagen aber weiter über den IT-Sicherheitskatalog nach § 5c EnWG, die zentralen BSIG-Pflichten (u. a. §§ 30, 31, 32 und 39) gelten nach § 28 Abs. 5 BSIG nicht. Unsicher, ob ihr die Schwelle erreicht? Wir klären das im kostenlosen Erstgespräch.

Nein. Der IT-Sicherheitskatalog verlangt eine wiederkehrende Re-Zertifizierung im Dreijahreszyklus, kein einmaliges Projekt. Wir empfehlen, den Pentest fest in euren Zertifizierungsrhythmus einzuplanen, statt ihn erst kurz vor dem nächsten Audit anzustoßen.

Beide Seiten einzeln prüfen zu lassen, lässt die Übergänge dazwischen offen. Genau dort wird am seltensten getestet, weil jede Seite die andere für zuständig hält. Wir nehmen deshalb beide Spuren in einen Auftrag und in einen Bericht, auch wenn die Ansprechpartner bei euch unterschiedliche sind.

02OT & Betrieb

OT-Systeme priorisieren Verfügbarkeit über Vertraulichkeit, laufen oft auf Legacy-Protokollen ohne eingebaute Sicherheitsmechanismen und vertragen keine aggressiven Scans. Wir testen daher deutlich vorsichtiger: meist mit passiver Analyse und eng abgestimmten aktiven Tests außerhalb kritischer Betriebszeiten, immer mit einem definierten Notfallkontakt.

Ja, im Rahmen unseres Physical-Pentest-Moduls. Wir prüfen Zutrittskontrolle, Zaun- und Torsicherung sowie, ob sich jemand glaubwürdig als Wartungstechniker ausgeben und unbemerkt Zugang verschaffen könnte. Wer auf eurer Seite eingeweiht ist und wer den Test im Zweifel abbricht, legen wir vorher gemeinsam fest.

Der Scope wird vor dem Test festgezurrt: Aktiv geprüft wird nur, was ihr ausdrücklich freigebt, alles andere analysieren wir passiv. Bei produktiven OT- und Leitsystemen gilt grundsätzlich: im Zweifel vorsichtiger testen oder auslassen. Ein Notfallkontakt auf eurer Seite und der sofortige Stopp bei unerwarteten Auswirkungen gehören bei Netzbetreibern immer dazu.

Das hängt stark vom Umfang ab: Anzahl der Standorte, ob OT/SCADA im Scope ist, ob Physical und Kundenportale eingeschlossen werden sollen. Steht der Scope nach dem kostenlosen Erstgespräch, bekommt ihr ein Festpreisangebot ohne offene Posten.

Einen Abschlussbericht mit allen Findings, bewertet nach Schweregrad, Ausnutzbarkeit und Auswirkung auf die Versorgungssicherheit, jedes davon dem IT-Sicherheitskatalog zugeordnet. Dazu eine Management-Summary für Geschäftsführung, IT-Leitung und Netzbetrieb sowie eine Bescheinigung mit Auftraggeber, Testzeitraum, Umfang und Referenzcode, die sich online prüfen lässt.

Die nächste Re-Zertifizierung kommt bestimmt.

In 30 Minuten besprechen wir euren Scope und klären, was für den IT-Sicherheitskatalog und KRITIS relevant ist. Am Ende steht ein unverbindliches, kostenloses Angebot.

Jetzt Erstgespräch buchen Kontakt aufnehmen

Kontakt

Adresse
Albert-Einstein-Straße 1, 95028 Hof
E-Mail
hello@access-granted.de
Telefon
+49 9281 5918506

AccessGranted X GmbH · HRB 7266 · Hof (Saale)

Unternehmen

Leistungen

Pentests für Regularien

Branchen

Netzwerke & Vertrauenszeichen
Vertrauenszeichen des Bundesverbands IT‑Sicherheit (TeleTrusT)
Teilnehmer der Allianz für Cyber-Sicherheit
© AccessGranted X GmbH Zuletzt aktualisiert: 18.09.2026