IT-Sicherheit für Energieversorger und Stadtwerke, von der Leitwarte bis zum Außendienst

Viele Angriffe beginnen weiterhin mit einer Nachricht. In der Auswertung der ENISA zu Vorfällen in der EU zwischen Juli 2024 und Juni 2025 war Phishing einschließlich Vishing am Telefon in rund 60 % der beobachteten Fälle der Einstieg (Quelle: ENISA Threat Landscape 2025, Oktober 2025). Beim Versorger kann der Köder ein Wartungsauftrag sein, die neue Rechnungsadresse eines Lieferanten, eine Bitte um Bestätigung von Netzanschlussdaten oder die Ankündigung eines Zählerwechsels. Er landet bei jemandem, der jeden Tag Dutzende solcher Nachrichten bearbeitet.

Ein Anrufer gibt sich als Techniker des Anlagenherstellers aus und braucht sofort einen Fernzugang. Ein anderes Mal meldet sich angeblich der IT-Servicedesk und will vor dem Schichtwechsel ein Passwort zurücksetzen. Mit Voice Cloning ist eine vertraute Stimme kein verlässlicher Beleg mehr dafür, wer am Apparat ist. Für die Cybersicherheit im Stromnetz kommt es deshalb darauf an, dass Teams am Telefon, über Funk und am Handy erst prüfen und dann handeln.

Wartungsfirmen, Messstellenbetreiber und IT-Dienstleister haben oft Fernzugänge zur Leit- und Betriebstechnik. Für die Cyber Security in der Energiewirtschaft ist die Sicherheit der Lieferkette deshalb keine Kür: Das BSI-Gesetz und das Energiewirtschaftsgesetz zählen sie zu den Mindestmaßnahmen. Wird das Konto eines Partners übernommen, sieht die Anmeldung legitim aus. Beschäftigte, die eine ungewöhnliche Anfrage hinterfragen, können den Angriff früh stoppen.

Netzbetrieb, Vertrieb, Wasserversorgung und weitere kommunale Dienste liegen häufig in getrennten Gesellschaften, beim Netz oft schon wegen der Entflechtungsvorgaben des Energiewirtschaftsgesetzes. Das Sicherheitsteam ist meist klein. Es verantwortet die IT-Sicherheit des Energieversorgers für alle Gesellschaften und braucht für jede einzelne eigene Nachweise.

An der Konsole entscheidet sich ein guter Teil der Cybersicherheit im Stromnetz, in der Wärme- und in der Wasserversorgung. Das Schichtpersonal lernt in Einheiten von wenigen Minuten, am gemeinsam genutzten Terminal oder auf dem eigenen Gerät, wann immer die Schicht es zulässt. Mit eigenen Lerneinheiten greifen Sie Fälle aus dem Leitwartenalltag auf, zum Beispiel den Hersteller, der plötzlich einen Fernzugriff verlangt, oder den Anrufer, der eine Störung meldet und auf eine schnelle Entscheidung drängt.

Zählerableserinnen und -ableser, Monteurinnen und Monteure sind einen Großteil des Tages unterwegs und viele von ihnen haben keine dienstliche E-Mail-Adresse. Sie melden sich auf dem Smartphone an und lernen dort. Saison- und Zeitarbeitskräfte nehmen auf demselben Weg teil. Ein Teil der Simulationen kommt als Smishing per SMS, etwa ein neuer Auftrag, der nie vergeben wurde, oder eine Anmeldeanfrage, die niemand selbst ausgelöst hat. Dienstleister mit Zugang zu Ihren Systemen lassen sich ebenfalls einbeziehen.

Abrechnung, Kundenservice und Einkauf arbeiten täglich mit Konten und Zahlungen, also mit genau dem, was Angreifer nachahmen. Die Schulung greift Anfragen auf, die jedes Team aus der eigenen Arbeit kennt. In der Abrechnung ist es der Lieferant, der eine neue Bankverbindung mitteilt. Im Kundenservice ruft jemand an und möchte den Vertragsinhaber ändern lassen, und im Einkauf trifft eine Ausschreibungsmitteilung ein, deren Link angeblich zu den vollständigen Vergabeunterlagen führt.

Für Administratorinnen und Administratoren gibt es Lerninhalte zum Schutz privilegierter Konten, zur Zugriffsverwaltung und zum Melden von Vorfällen. Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, bei Netz- und Anlagenbetreibern nach § 5e Abs. 3 EnWG, bei Wasserversorgern und anderen Einrichtungen nach § 38 Abs. 3 BSIG. Für sie gibt es eigene NIS2-Lerneinheiten, von der Billigung der Risikomanagementmaßnahmen bis zur Verantwortung bei Vorfällen, deren Erstmeldung binnen 24 Stunden fällig ist. Stadtwerke mit mehreren Gesellschaften richten je nach Paket für jede Gesellschaft einen eigenen Mandanten ein und filtern Ergebnisse nach Standort und Abteilung.