Die Stadtwerke Achim sind Opfer eines gezielten Cyberangriffs geworden. Seit dem 8. November sind zentrale IT-Systeme des kommunalen Versorgers ausgefallen, Kundenportale und E-Mail-Verkehr funktionieren nur eingeschränkt. Die Versorgung mit Strom, Gas, Fernwärme und Warmwasser war nach Unternehmensangaben zu keinem Zeitpunkt gefährdet. Ob Daten abgeflossen sind oder Lösegeld gefordert wurde, ist offen.
Ein Angriff auf die Verwaltung, nicht auf die Netze
Die Stadtwerke Achim sind nach eigenen Angaben Opfer eines gezielten Cyberangriffs geworden. Entdeckt wurde er am Sonntag, 8. November, durch die Überwachungssysteme des Unternehmens; die eigentliche Attacke datiert nach Angaben der Stadtwerke auf das Ende der Vorwoche 2 3. Ausgefallen sind seither zentrale IT-Systeme, darunter die Kundenportale. Auch die Kommunikation per E-Mail ist erheblich gestört. Telefonisch ist das Unternehmen weiterhin unter den bekannten Rufnummern erreichbar; eingehende Anrufe würden dokumentiert und zurückgemeldet, teilt es mit 2 3.
Für Kundinnen und Kunden heißt das konkret: kein Zugriff auf die Kundenkonten, keine Übermittlung von Zählerständen über die gewohnten Wege, keine weiteren digitalen Dienstleistungen. „Dies bedeutet, dass die damit verbundenen Funktionen ebenfalls stark eingeschränkt sind, wie etwa der Zugriff auf Kundenkonten, die Übermittlung von Zählerständen und andere“, so die Stadtwerke 3. Das Unternehmen spricht von einem „gezielten, kriminellen und professionell durchgeführten Angriff“ 1 2.
Strom, Gas und Fernwärme fließen weiter
Die Versorgung mit Strom, Gas, Fernwärme und Warmwasser war nach Angaben der Stadtwerke zu keinem Zeitpunkt gefährdet 1 2 3 4. Der Angriff traf demnach die Büro- und Kundensysteme, nicht die Belieferung. Für die Einordnung ist das der entscheidende Punkt: In der Branche gilt die Trennung zwischen Büro-IT und operativer Steuerungstechnik – kurz OT – als wichtigste Schutzlinie. Gelingt sie, bleiben Netze und Anlagen selbst dann steuerbar, wenn Verwaltung, Abrechnung und Kundenportal kompromittiert sind. Wie es im Achimer Fall um diese Trennung bestellt ist, lässt sich von außen nicht beurteilen.
Zu den genauen Umständen und zum Hergang will sich das Unternehmen nicht äußern, solange die IT-forensischen Untersuchungen laufen; dasselbe gilt für die Frage nach den Tätern und deren Motiven 3. Damit bleibt auch offen, ob die Angreifer überhaupt bis in die technischen Systeme vorgedrungen sind oder ob sie sich auf die Unternehmens-IT beschränkt haben.
Keine Hinweise auf Datenabfluss, Lösegeldfrage offen
Nach derzeitigem Kenntnisstand gibt es nach Angaben der Stadtwerke keine Anhaltspunkte dafür, dass personenbezogene Daten abgeflossen sind. Die eingebundenen Fachleute halten eine Veröffentlichung solcher Daten für unwahrscheinlich; das frei zugängliche Internet und das Darknet würden dennoch fortlaufend auf mögliche Veröffentlichungen überprüft 2. Ob es sich um einen Erpressungsversuch mit Ransomware handelt, ob Kontakt zu den Tätern besteht und ob eine Lösegeldforderung vorliegt, dazu äußert sich das Unternehmen mit Verweis auf die laufenden Ermittlungen nicht 2 3.
Trotz dieser vorläufigen Entwarnung warnt das Unternehmen seine Kunden. Man solle keine sensiblen Informationen aufgrund einer unerwarteten Kontaktaufnahme herausgeben und die Identität anfragender Personen sorgfältig prüfen. Besondere Aufmerksamkeit gelte unerwarteten Anrufen, E-Mails oder Nachrichten, die sich auf Leistungen der Energieversorgung beziehen 2 3. Der Hinweis ist branchenüblich: Wer Zugriff auf Kundendaten erlangt, kann Anrufe und Mails glaubwürdig gestalten und Verbraucher zu Zahlungen oder zur Preisgabe weiterer Daten bewegen.
Krisenstab, Forensiker und drei Behörden
Das Unternehmen hat nach eigenen Angaben sofort einen internen Krisenstab gebildet, dem auch externe, zertifizierte Spezialisten für Incident Response und IT-Forensik angehören. Sie sollen klären, wie die Täter in die Systeme gelangten, welcher Schaden entstanden ist und wie die Infrastruktur sicher wiederhergestellt werden kann 2 3. Als Sicherheitsmaßnahme hat der Versorger alle Außenverbindungen getrennt und sämtliche Systeme isoliert – der Grund dafür, dass die Kundenportale weiterhin nicht erreichbar sind 3.
Informiert wurden das Bundesamt für Sicherheit in der Informationstechnik (BSI), der Landesbeauftragte für den Datenschutz Niedersachsen sowie die Landeskriminalpolizei 2 3 4. Neben kurzfristigen Maßnahmen will das Unternehmen nach eigenen Angaben mittel- und langfristige Verbesserungen der Sicherheitsvorkehrungen ableiten 3.
Zwischen der Erkennung am Sonntag und der öffentlichen Information vergingen mehrere Tage. Das ist gängige Praxis, solange unklar ist, ob Angreifer noch im Netz aktiv sind – eine Offenlegung kann Ermittler und Wiederherstellung behindern. Zugleich verpflichtet das Regelwerk NIS-2 betroffene Unternehmen zu einer Frühwarnung an das BSI binnen 24 Stunden; eine Informationspflicht gegenüber der Öffentlichkeit in vergleichbarer Frist besteht nicht 5.
Meldefristen von 24 Stunden und ein Monat
Seit dem 6. Dezember 2025 gelten die Meldepflichten aus der NIS-2-Richtlinie in der Praxis: Betroffene Einrichtungen müssen erhebliche Sicherheitsvorfälle unverzüglich melden, mit einer frühen Erstmeldung binnen 24 Stunden, einer Folgemeldung binnen 72 Stunden und einer Abschlussmeldung spätestens einen Monat nach der Meldung 5. Die Verantwortung liegt ausdrücklich bei der Geschäftsführung. „Die NIS-2-Richtlinie macht Cybersicherheit zur Chefinnen- und Chefsache“, heißt es beim BSI 8.
Ob die Stadtwerke Achim unter die NIS-2-Regeln oder als Betreiber kritischer Anlagen unter die KRITIS-Vorgaben fallen, hängt von Schwellenwerten ab und lässt sich von außen nicht klären; das Unternehmen äußert sich dazu nicht. Die Meldung an das BSI ist unabhängig davon auch für nicht regulierte Unternehmen möglich 5.
Kommunale Versorger geraten häufiger ins Visier
Die Einordnung des Falls fällt in eine Lage, die sich in den offiziellen Berichten seit Jahren zuspitzt. Der Bericht zur Cybersicherheit in Bayern 2026, im August vorgelegt, verzeichnet für 2025 mehr als 49.400 bei der bayerischen Polizei angezeigte Cybercrime-Fälle und eine deutlich gestiegene Zahl von Angriffen auf Behörden und Einrichtungen der kritischen Infrastruktur. Die Zahl der registrierten Ransomware-Fälle stieg um 18 Prozent auf 230; das Landesamt für Sicherheit in der Informationstechnik bearbeitete rund 6.000 sicherheitsrelevante Vorfälle, zehn Prozent mehr als im Vorjahr 6.
Hinzu kommt die Automatisierung: Künstliche Intelligenz verändere die Lage grundlegend, sagte BSI-Vizepräsident Thomas Caspers. Mit ihrer Hilfe ließen sich nicht nur einzelne Systeme angreifen. „Angreifer, die menschliche Methoden einsetzen, können sich auf ein, zwei, vielleicht auf zehn Systeme konzentrieren. Mit Hilfe von KI können sie hunderte, tausende vielleicht sogar zehntausende Systeme gleichzeitig angreifen“ 7. In Tangerhütte in Sachsen-Anhalt legten Angreifer im September das digitale Rathaus lahm – nach Einschätzung des beteiligten Softwareentwicklers der bislang erste bekannt gewordene KI-gestützte Angriff auf eine deutsche Kommune 7.
Die besondere Verwundbarkeit kommunaler Versorger ist strukturell. Viele Stadtwerke sind klein, ihre IT ist über Jahre gewachsen, und sie hängen an Schnittstellen zu Messstellenbetrieb, Abrechnung, Marktkommunikation und externen Dienstleistern. Ein tagelang ausgefallenes Kundenportal ist dabei vor allem ein Ärgernis; ein verschlüsseltes Abrechnungs- oder Ablesesystem trifft Umsatz und Liquidität – selbst dann, wenn Strom und Wärme weiter fließen.
Wann die Kundenportale in Achim wieder erreichbar sind, ist offen. Das Unternehmen kündigt an, neue Erkenntnisse fortlaufend auf seiner Internetseite zu veröffentlichen 2 3. Offen sind auch die Fragen, an denen sich der Fall entscheiden wird: ob die Forensik ein Eindringen in die Steuerungstechnik ausschließt, ob eine Lösegeldforderung existiert und ob doch Kundendaten in Umlauf geraten.
