Große Stromnetzbetreiber haben ihre Leitstellen in den vergangenen Jahren abgeschottet, eigene Sicherheitszentren aufgebaut und setzen zunehmend auf KI-gestützte Angriffserkennung. Bei vielen kleinen Versorgern fehlt dagegen selbst ein System zur Angriffserkennung. Während Künstliche Intelligenz die Einstiegshürde für Angreifer senkt, wird diese Lücke zum Risiko für die Versorgungssicherheit.
Der Strom kommt überall an. Die Cyberabwehr nicht.
Der Energiekonzern RWE betreibt nach eigenen Angaben ein eigenes Security Operation Center, das die Systeme rund um die Uhr überwacht – nach Recherchen des WDR inzwischen auch mit KI-gestützter Erkennung von Angriffen 3. Damit steht der Essener Konzern exemplarisch für eine Entwicklung, die bei den großen Akteuren der Branche seit Jahren läuft: Leitstellen werden abgeschottet, Datenverkehr wird überwacht, Belegschaft wird trainiert.
Die Pflicht dazu ist älter als der aktuelle Bedrohungsdruck. Netzbetreiber müssen in Deutschland seit 2018 ein zertifiziertes Informationssicherheits-Managementsystem betreiben. Vorgeschrieben ist das im IT-Sicherheitskatalog der Bundesnetzagentur nach § 11 des Energiewirtschaftsgesetzes – lange bevor die EU-Richtlinie NIS2 vergleichbare Anforderungen auf andere Branchen ausdehnte 2.
Dazu kommt physischer Schutz: meterhohe Zäune um Umspannwerke, elektronische Zutrittskontrollen, Kameras, Überwachung durch geschultes Personal 3. Und Redundanz. „Wir haben Ringnetze, sodass wir so umschalten können, dass der Ausfall möglichst gering ist. Aktuell müsste man sich vielleicht auf drei bis vier Stunden Ausfall einstellen“, sagt Sascha Vaskowitsch, technischer Leiter der Stadtwerke Velbert 3.
Entscheidend ist allerdings nicht nur, wie viel Technik im Einsatz ist, sondern wie sie verdrahtet ist. Das deutsche Höchstspannungsnetz führen vier Übertragungsnetzbetreiber, darunter rund 870 Verteilnetzbetreiber – jeder mit eigener Leittechnik, eigenen Herstellern, eigenen Softwareständen. Für die Betreiber bedeutet das Kosten und Komplexität, für einen Angreifer ein Hindernis: Es gibt keinen Zugang, der überall funktioniert 2.
Die Lücke sitzt bei den kleinen Versorgern
Genau dieser Vorteil fällt dort weg, wo die Heterogenität am größten und das Budget am kleinsten ist. Laut dem Lagebericht 2025 des Bundesamts für Sicherheit in der Informationstechnik hat rund die Hälfte der KRITIS-Unternehmen noch kein System zur Angriffserkennung installiert 3. Eine Studie des Digitalverbands Bitkom kommt für dieses Jahr zu dem Ergebnis, dass drei Viertel aller KRITIS-Unternehmen von Datendiebstahl, Sabotage oder Spionage betroffen waren 3.
Die Gründe sind strukturell und seit Jahren bekannt. Stadtwerke und Versorger finden kaum Fachpersonal für IT-Sicherheit; sie konkurrieren mit privaten Unternehmen, die finanziell mehr bieten. Die Budgets für die Abwehr entsprechen oft nicht der Gefahrenlage. Und wer eine technische Lösung gefunden hat, muss sie betreiben: Alarme bewerten, Falsch-Positive aussortieren, rund um die Uhr reagieren – ohne geeignetes Personal kaum machbar 7.
Der US-Infrastrukturfachmann Andy Bochman von West Yost beschreibt die Lage kleiner Versorger drastisch: Es sei „fast so, als hätte man eine Fußmatte ausgelegt“. Diese Betriebe seien zu klein und zu unterfinanziert, um viel dagegen zu tun. „Man hat eine Million anderer Probleme zu lösen, etwa die alternde Infrastruktur – das Zeug fällt auseinander, weil es seit hundert Jahren im Boden liegt.“ Der Umgang mit diesem Investitionsstau fühle sich dringlicher an als „etwas mehr für Cybersicherheit zu tun“ 5.
In Deutschland gibt es eine Gegenbewegung. Kleinere und mittlere Versorger, IT-Unternehmen und Kommunen haben sich zu regionalen Sicherheitsnetzwerken zusammengeschlossen, etwa im Bergischen Städtedreieck. Als Vorzeigeprojekt gilt das Lagezentrum „CyberSec@Wasser“ in Essen, das rund um die Uhr die Netze teilnehmender Wasserversorger überwacht und in das nach Schätzungen mehrere Millionen Euro geflossen sind 3. Für viele Stadtwerke ist der Weg über einen Managed Security Service Provider der pragmatischere: Er übernimmt die personalintensive Bewertung von Angriffen und schult das eigene Team an realen Ereignissen 7.
Was KI an der Bedrohung ändert
Die Dringlichkeit hat einen neuen Treiber. Wie viel Schaden wenige Zeilen Code anrichten, zeigte schon vor fast zwei Jahrzehnten der Aurora-Generator-Test am Idaho National Laboratory: Ein 27 Tonnen schwerer Dieselgenerator wurde über 30 Zeilen Code so manipuliert, dass er außer Takt mit dem Netz geriet und sich sein Innenleben zerlegte – vor den Augen versammelter Versorgungsmanager 5.
Der Unterschied zu heute liegt nicht in der Wirkung, sondern in der Zugangsschwelle. „Früher brauchte man hochqualifizierte technische Expertise“, sagt Alvaro Cardenas, Informatikprofessor an der University of California in Santa Cruz. „Heute reicht eine allgemeine Vorstellung davon, was möglich ist“ 5. Der Columbia-Forscher Jason Healey formuliert es so: „Geopolitik erodiert die Annahme, dass die, die es können, es nicht wollen – und KI erodiert den anderen Teil, dass die, die es wollen, es nicht können“ 5.
Hinzu kommt die Ausdauer. KI-Agenten „schlafen nicht, sie werden nicht müde, und sie werden nicht krank“, sagt Bochman 5. Für Angreifer heißt das: mehr Ziele, mehr Versuche, mehr Zeit für die Vorbereitung. Die US-Sicherheitsbehörde NSA warnte in diesem Jahr, Angreifer setzten KI gezielt gegen US-Infrastruktur ein, darunter Steuerungen von Siemens 5. Im August 2026 wurden Dutzende Wasser- und Abwassersysteme in Kleinstädten attackiert, mutmaßlich von einer iranisch verbundenen Gruppe; es kam zu zeitweisen Wasserstopps und Überschwemmungen. US-Präsident Donald Trump erklärte daraufhin den nationalen Notstand wegen ausländischer Einflussnahme auf das Stromsystem 5.
Belegte Angriffe auf die Energieleittechnik
Bislang ist die Stromversorgung durch Cyberangriffe in genau einem Land nachweislich beeinträchtigt worden: in der Ukraine. Am 23. Dezember 2015 übernahm die russische Gruppe „Sandworm“ die Leittechnik dreier Verteilnetzbetreiber, nachdem sie sich Monate zuvor über gestohlene VPN-Zugänge eingenistet hatte. Aus der Ferne öffneten die Angreifer Leistungsschalter in rund 30 Umspannwerken; etwa 230.000 Kunden waren bis zu sechs Stunden ohne Strom. Dass es nicht länger dauerte, lag daran, dass Techniker die Umspannwerke anfuhren und von Hand wieder zuschalteten 2.
Ein Jahr später legte die Schadsoftware „Industroyer“ ein Umspannwerk im Norden Kiews für rund eine Stunde lahm – erstmals beherrschte Malware die Leittechnik-Protokolle IEC 60870-5-104 und IEC 61850 selbst. Der Nachfolger „Industroyer2“ wurde im April 2022 in Hochspannungs-Umspannwerken entdeckt, bevor er Schaden anrichten konnte. Im Oktober 2022 brauchte Sandworm für den Eingriff in die Leittechnik keine eigene Schadsoftware mehr, sondern nutzte die Bordmittel eines veralteten MicroSCADA-Systems 2.
Näher an der deutschen Realität liegt ein Fall aus Polen. Am 29. Dezember 2025 drangen Angreifer nach einem Bericht von CERT Polska mit VPN-Zugängen und Standardpasswörtern in die Netzanschlusspunkte von mehr als 30 Wind- und Solarparks ein und setzten Fernwirkgeräte, Schutzrelais und Bedienrechner mit manipulierter Firmware außer Betrieb. Die Anlagen speisten weiter ein – der Verteilnetzbetreiber konnte sie nur nicht mehr sehen und nicht mehr schalten 8 2.
In Deutschland ist bis heute kein Stromausfall bekannt, den ein Cyberangriff verursacht hat. Die Angriffe treffen hierzulande eher die Verwaltung: Die Stadtwerke Detmold waren nach einem Angriff im November 2025 wochenlang weder per Telefon noch per E-Mail erreichbar, Strom, Gas, Wasser und Fernwärme liefen weiter. Bei den Gemeinschaftsstadtwerken Kamen, Bönen und Bergkamen fielen nach einem Angriff Ende Juni 2026 Kundenportal und Lastschriftverfahren aus, die Versorgung nicht 2.
Die Angriffsfläche wächst allerdings an einer Stelle, die lange niemandem gehörte: auf den Dächern. Millionen Photovoltaikanlagen, Batteriespeicher und Wallboxen hängen am Verteilnetz, ihre Wechselrichter sprechen mit Hersteller-Clouds. Am 3. Juni 2026 warnten Bundesamt für Verfassungsschutz und BSI gemeinsam, russische Cyberakteure klärten aktiv ungeschützte Photovoltaikanlagen im Internet auf. Im Fokus stünden Monitoring-Systeme, die auch steuernden Zugriff erlauben; bei betroffenen Anlagen sei teils sogar ein Zugriff ohne Zugangsdaten möglich, und die Softwarestände seien „in Teilen stark veraltet“ 4. Eine Simulation des Prüfdienstleisters DNV für den Verband SolarPower Europe kommt zu dem Ergebnis, dass gezielter Zugriff auf drei Gigawatt Wechselrichterleistung das europäische Netz ernsthaft stören kann 2.
Der regulatorische Rahmen
Die Pflichtenlage ist in Deutschland dichter, als die Debatte vermuten lässt. Der IT-Sicherheitskatalog nach § 11 EnWG gilt nicht nur für die vier Übertragungsnetzbetreiber, sondern für die Netzbetreiber insgesamt – also auch für jene rund 870 Verteilnetzbetreiber, zu denen viele Stadtwerke gehören 2. Mit der NIS-2-Richtlinie, die über das BSI-Gesetz umgesetzt wurde, kommen Registrierungs-, Melde- und Risikomanagementpflichten hinzu; die gesetzliche Registrierungsfrist ist nach Angaben des BSI bereits abgelaufen 6. Das BSI macht die Verantwortung ausdrücklich zur Chefsache: „Die NIS-2-Richtlinie macht Cybersicherheit zur Chefinnen- und Chefsache“, sagt BSI-Präsidentin Claudia Plattner. Geschäftsführungen seien verpflichtet, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und sich schulen zu lassen 6.
Parallel hat der Bund das KRITIS-Dachgesetz auf den Weg gebracht, das seit März gilt und den Kreis der betroffenen Unternehmen auf rund 30.000 erweitert. Die Anforderungen reichen von einer 24/7-Anlaufstelle für Sicherheitsbehörden über verpflichtende Risikoanalysen und Resilienzpläne bis zu Personalsicherheitskonzepten; Vorfälle müssen binnen 24 Stunden gemeldet werden, bei Verstößen drohen Bußgelder in Millionenhöhe 3.
In den USA ist die Architektur anders – und genau darin liegt der Befund, den Quartz in den Mittelpunkt stellt: Die Sicherheitsregeln zwängen große Energieunternehmen, die Computer abzuschotten, die das Netz steuern. Die meisten kommunalen Versorger fielen nicht darunter, und Angreifer kämen weiter hinein 1. Deutschland hat mit dem sektorweiten Katalog den formal weiteren Ansatz gewählt. Ob eine Pflicht, die für alle gilt, auch für alle erfüllbar ist, ist damit aber nicht beantwortet.
Ähnliche Artikel
