Cybersicherheit für die Energiewirtschaft
Umspannwerke, Wind- und Solarparks, Batteriespeicher, Wechselrichter, Smart Meter und die Hersteller-Clouds, die sie steuern.
Ein dezentrales Netz bedeutet Tausende vernetzte Einfallstore.
Umspannwerke, Wind- und Solarparks, Batteriespeicher, Wechselrichter und Smart Meter werden aus der Ferne überwacht und gesteuert, oft über Hersteller-Clouds. Die Energiewende vervielfacht die vernetzten Geräte, die das Netz stabil halten.
Für Betreiber gelten NIS2 und die KRITIS-Regeln. Für Hersteller von Wechselrichtern, Steuerungen und Ladetechnik gelten der CRA und die Funkanlagenrichtlinie. Beide müssen zeigen, dass die Fernsteuerung nicht missbraucht werden kann.
Für wen
- Übertragungs- und Verteilnetzbetreiber
- Betreiber von Wind-, Solar- und Speicheranlagen
- Hersteller von Wechselrichtern, Steuerungen und Energiemanagementsystemen
- Dienstleister mit Fernzugriff auf Energieanlagen
Wo Energiesysteme heute angreifbar sind
Die Angriffswege, die wir in Erzeugung, Netzen und den angeschlossenen Geräten am häufigsten sehen.
Fernsteuerung
Hersteller-Clouds
Viele Wechselrichter und Windturbinen werden über die Cloud des Herstellers gesteuert. Eine kompromittierte Plattform erreicht Tausende Anlagen gleichzeitig.
Kommunikation
Satelliten- und Mobilfunkverbindungen
Abgelegene Standorte hängen von Netzen Dritter ab. Fallen diese aus, gehen Überwachung und Steuerung verloren.
Umspannwerke
Stationsautomatisierung
IEC 61850 und Fernwirkprotokolle wurden für geschlossene Netze entwickelt und brauchen Schutz, sobald sie vernetzt sind.
Fernzugriff
Servicezugang
Serviceteams und Auftragnehmer greifen aus der Ferne auf Parks und Stationen zu, oft mit gemeinsamen Konten.
Geräte
Wechselrichter und Steuerungen
Firmware-Schwachstellen in Wechselrichtern und Batteriesteuerungen können die Netzstabilität gefährden, wenn sie in großem Umfang ausgenutzt werden.
Messwesen
Smart Meter und Gateways
Smart-Meter-Gateways verbinden Haushalte und Unternehmen mit dem Netz. In Deutschland regelt das BSI ihre Sicherheit.
Unternehmens-IT
Büronetze
Ransomware im Büro erzwingt das vorsorgliche Abschalten von Systemen, die den Betrieb unterstützen.
Lieferkette
Komponenten vieler Hersteller
Komponenten und Software vieler Hersteller treffen in einer Anlage zusammen. Eine Schwachstelle in einem Produkt betrifft viele Standorte.
Was echte Vorfälle zeigen
Im Energiesektor beginnen viele Vorfälle mit Schwächen bei der Fernsteuerung: Zugänge mit schwacher Anmeldung, Steuerbefehle, die weder verschlüsselt noch geprüft werden, Cloud-Plattformen, die Tausende Geräte gleichzeitig steuern, und Lieferanten, deren Ausfall die Kontrolle kostet. Das Risiko geht über den einzelnen Standort hinaus. Wenn Angreifer Erzeugung, Speicher oder Umspannwerke schalten können, verursachen sie Stromausfälle, die Krankenhäuser, Heizungen und alle treffen, die auf Strom angewiesen sind.
Dezember 2015, Angriff auf das Stromnetz
Ukraine: der erste Stromausfall durch einen Cyberangriff
Angreifer übernahmen die Fernsteuerung der Leitsysteme von drei Verteilnetzbetreibern und öffneten Schalter. Rund 225.000 Kunden waren stundenlang ohne Strom.
Quellen: Analyse von E-ISAC und SANS ICS, März 2016; ICS-CERT
Februar 2022, Angriff auf ein Satellitennetz
Enercon: 5.800 Windturbinen verlieren die Fernsteuerung
Ein Angriff auf das Satellitennetz KA-SAT im Februar 2022 unterbrach Fernüberwachung und Fernsteuerung von rund 5.800 Windturbinen.
Quellen: Enercon; Viasat; Reuters; AFP
März 2022, Ransomware
Nordex: ein Turbinenhersteller schaltet seine IT ab
Nach einem Einbruch im März 2022 schaltete der Turbinenhersteller seine IT ab und musste seine Flotte auf andere Fernsteuerungsdienste umstellen.
Quellen: Pressemitteilungen von Nordex, April 2022; Infosecurity Magazine; ISMG
Kommende Herausforderungen
Die Energiewende verlagert die Steuerung an den Rand des Netzes: Wechselrichter, Batteriespeicher, Wärmepumpen und Ladestationen werden über Hersteller-Clouds gesteuert, oft in großen Flotten. 2025 fanden Forscher 46 Schwachstellen in Solarsystemen und Cloud-Plattformen von drei führenden Herstellern, über die Angreifer ganze Flotten von Wechselrichtern hätten steuern können (Forescout, SUN:DOWN, März 2025). Die Hersteller haben sie behoben. Die Regulierung zieht nach: NIS2 gilt für Betreiber, der EU-Netzkodex für Cybersecurity im Stromsektor ist seit 2024 in Kraft, und der Cyber Resilience Act stellt Sicherheitsanforderungen an die Geräte selbst.
Wo wir helfen
Für Hersteller von Wechselrichtern, Steuerungen und Turbinen bauen wir Sicherheit nach IEC 62443 und CRA in das Produkt ein, mit sicherer Fernsteuerung, signierten Updates und Schwachstellenbehandlung. Für Betreiber sichern wir Fernzugänge und Verbindungen zu Hersteller-Clouds, trennen Netze und bereiten die Anforderungen aus NIS2 und dem Netzkodex vor. AITIGRITY verbindet Bedrohungen, Anforderungen und Tests je Produkt und achtet auf neue Schwachstellen in den Komponenten.
So sieht ein funktionierender Sicherheitsansatz in der Energiewirtschaft aus
Sechs Bausteine, die Erzeugung und Netze steuerbar halten, für Betreiber und Hersteller.
1
Inventar von Anlagen und Verbindungen
Jeder Standort, jedes Gerät und jede Fernverbindung ist bekannt, auch Hersteller-Clouds.
2
Sichere Fernsteuerung
Starke Authentifizierung, Verschlüsselung und Freigabe für jeden Weg, über den Befehle gesendet werden können.
3
Redundante Kommunikation
Ersatzwege, damit Überwachung und Steuerung den Ausfall eines Netzes überstehen.
4
Segmentierte Umspannwerke und Parks
Zonen und Conduits nach IEC 62443 und geschützte Steuerungsprotokolle nach IEC 62351.
5
Sichere Produkte
Wechselrichter, Steuerungen und Gateways, entwickelt nach CRA, Funkanlagenrichtlinie und IEC 62443-4-2.
6
Notfallreaktion für den Betrieb
Leitfäden für Handbetrieb, Meldung und Wiederherstellung nach einem Angriff.
So helfen wir
Für Betreiber und Hersteller, von der ersten Prüfung der geltenden Regeln bis zu getesteten Steuerungswegen.
OT- und Anlagensicherheit
Parks und Umspannwerke, die auch unter Angriff steuerbar bleiben.
Was wir tun
- Bewertung nach IEC 62443 und IEC 62351
- Konzept für Fernzugriff und Kommunikation
- Planung von Wiederherstellung und Handbetrieb
Sie erhalten
Zonenmodell, Maßnahmenplan, Wiederanlaufplan
Regulatorik und Compliance
Klarheit zu NIS2, KRITIS, CRA und Funkanlagenrichtlinie.
Was wir tun
- Prüfung der Anwendbarkeit für Betreiber und Hersteller
- Gap-Analyse gegen die relevanten Anforderungen
- Roadmap mit Prioritäten
Sie erhalten
Bericht zur Anwendbarkeit, Lückenliste, Roadmap
Produktsicherheit in der Entwicklung
Sichere Wechselrichter, Steuerungen und Energiemanagementsysteme.
Was wir tun
- Bedrohungsanalyse pro Produkt
- Anforderungen auf Basis von IEC 62443-4-2 und EN 18031
- Prüfung der Update- und Cloud-Architektur
Sie erhalten
Bedrohungsanalyse, Anforderungskatalog, Architektur-Review
Tests und Umgang mit Schwachstellen
Der Nachweis, dass Geräte und Steuerungswege Angriffen standhalten.
Was wir tun
- Penetrationstests von Geräten, Clouds und Fernzugriff
- Überwachung von Schwachstellen und Reaktionsprozess
- Vorbereitung auf die Meldepflichten nach CRA und NIS2
Sie erhalten
Testbericht, Reaktionsprozess, Meldeleitfaden
So arbeiten wir
Schritt 1
Umfang
Wir legen Standorte, Produkte und Regeln fest.
Schritt 2
Bewerten
Standortbesuche, Workshops und eine Prüfung der Unterlagen zeigen, wo Sie stehen.
Schritt 3
Umsetzen
Wir erstellen die Arbeitsergebnisse mit Ihren Ingenieuren oder erzeugen sie mit AITIGRITY.
Schritt 4
Nachweisen
Tests, Übungen und Audit-Vorbereitung schließen die Lücken, auf die es ankommt.
Normen und Vorschriften
NIS2 und BSI-Gesetz
Netz- und Erzeugungsbetreiber sind wesentliche oder wichtige Einrichtungen mit Pflichten zu Risikomanagement und Meldung. Betreiber kritischer Anlagen legen dem BSI zusätzlich Nachweise vor.
IT-Sicherheitskataloge der Bundesnetzagentur
Deutsche Betreiber von Energieversorgungsnetzen und Energieanlagen müssen die IT-Sicherheitskataloge der BNetzA nach dem Energiewirtschaftsgesetz erfüllen, einschließlich einer Zertifizierung nach ISO 27001.
Netzkodex für Cybersicherheit (EU) 2024/1366
Besondere Regeln für grenzüberschreitende Stromflüsse, mit Risikobewertungen für Einrichtungen, die für das Netz kritisch sind.
IEC 62351, IEC 61850 und IEC 62443
Sicherheit für die Kommunikation in Energiesystemen, die Stationsautomatisierung sowie Steuerungssysteme und Komponenten in Anlagen.
Cyber Resilience Act und Funkanlagenrichtlinie
Wechselrichter, Steuerungen, Wallboxen und Gateways mit digitalen Elementen fallen unter den CRA. Funkgeräte müssen seit August 2025 die Cybersicherheitsanforderungen der RED erfüllen.
Passende Leistungen und Module
Die Beratungsleistungen und AITIGRITY-Module, die in der Energiewirtschaft am häufigsten genutzt werden.
Unsicher, wo Sie anfangen sollen?
Ein kurzes Gespräch zeigt, welche Regeln für Ihre Standorte oder Produkte gelten und was zuerst kommt.
Mit einem Experten sprechenHäufige Fragen
Gilt der CRA für unsere Wechselrichter und Steuerungen?
In den meisten Fällen ja, wenn sie Software enthalten oder sich mit Netzen verbinden. Funkprodukte müssen zusätzlich die Anforderungen der Funkanlagenrichtlinie erfüllen. Wir prüfen das pro Produktfamilie.
Was verlangen die IT-Sicherheitskataloge der BNetzA?
Ein Informationssicherheits-Managementsystem mit Zertifizierung nach ISO 27001 für den im Katalog festgelegten Geltungsbereich, dazu besondere Maßnahmen für die Systeme, die das Netz oder die Anlage steuern.
Wie behalten wir während eines Angriffs die Kontrolle über entfernte Standorte?
Mit redundanten Kommunikationswegen, Abläufen für den Betrieb vor Ort und von Hand sowie Übungen, die das testen. Wir helfen Ihnen, das zu planen und zu üben.
Können Sie die Cloud-Plattform unseres Herstellers bewerten?
Ja. Wir prüfen die Sicherheit von Fernsteuerungsplattformen und legen fest, welche Anforderungen Ihre Verträge enthalten sollten.
Wo steht Ihr Produkt?
Erzählen Sie uns von Ihrem Produkt und den Vorgaben, die Sie erfüllen müssen. Sie sprechen vom ersten Gespräch an mit einem Ingenieur.
Cybersecurity-Beratung und die Plattform AITIGRITY für vernetzte Produkte und industrielle Systeme.