Das Risiko für Cyberangriffe auf die Energieversorgung steigt
Die Energiewirtschaft digitalisiert sich und wird dezentraler – mit Smart MeterDigitale Stromzähler, die regelmäßig Daten zum Verbrauch und – falls vorhanden – zur Erzeugung erfassen und auch an Netzbetreiber versenden.Digitale Stromzähler, die regelmäßig Daten zum Verbrauch und – falls vorhanden – zur Erzeugung erfassen und auch an Netzbetreiber versenden., intelligenten Netzen, ferngesteuerten Energieerzeugungsanlagen und privaten Wallboxen, Wärmepumpen und Home Energy Management Systems (HMS). Doch mit der zunehmenden Digitalisierung steigt auch das Risiko für Cyberangriffe auf die Energieversorgung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Bedrohungslage als hoch ein, die Zahl der Angriffe auf Versorger und Netzbetreiber nähmen zu. Die Art und Täter der Angriffe sind dabei durchaus unterschiedlich: Neben staatlich unterstützten, auf Destabilisierung und Spionage zielenden Hackern etwa aus Russland und China sieht das BSI kriminelle Gruppen am Werk, die Energieunternehmen erpressen, indem sie Daten verschlüsseln und damit unzugänglich machen.
Mit der Zunahme der Bedrohung wächst aber auch das Bewusstsein für die Gefahr. Die Neufassung des Cybersecurity Act der EU soll zum Beispiel potenziell sicherheitsgefährdende Technik – wie chinesische Wechselrichter für PV-Anlagen – verbieten. Experten empfehlen, sogar noch weiterzugehen und Produkte auch aus anderen Ländern vom europäischen Markt zu verbannen.
Welche Art von Cyberangriffen gibt es?
- Phishing und Spoofing: Cyberkriminelle geben sich als vertrauenswürdige Person oder Organisation (etwa Bank oder Behörde) aus, um Beschäftigte dazu zu bringen, sensible Informationen preiszugeben oder den Zugang zu ihnen zu ermöglichen.
- Social Engineering: Nicht die Technik, sondern der Mensch ist oft das schwächste Glied in der Cybersicherheitskette. Cyberkriminelle nutzen gezielt menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität aus.
- Malware: Der Begriff umfasst sämtliche Arten von Schadsoftware. Das Ziel von Viren, Würmern oder auch Trojanern besteht darin, digitale Netzwerke unbemerkt zu infiltrieren, anschließend Daten zu stehlen und/oder die IT-Systeme zu beschädigen.
- Ransomware: In diesem Fall wird Schadsoftware genutzt, um Daten beim Opfer zu verschlüsseln oder den Zugriff auf IT-Systeme komplett zu verhindern. Die Cyberkriminellen fordern ein Lösegeld („ransom“), um die Systeme wieder freizugeben.
- DDoS-Attacke: Beim Distributed Denial of Service wird eine Website oder ein Server gezielt mit einer massiven Flut von Internetanfragen überschwemmt. Dadurch wird das Zielsystem überlastet, sodass es vorübergehend nicht mehr erreichbar ist.
NIS-2 bringt weitreichende Pflichten für Unternehmen
Weitere Vorgaben zum Schutz von kritischer Infrastruktur, zu der auch unsere Energieversorgung zählt, liefert die zweite Richtlinie zur Sicherung von Netz- und Informationssystemen – kurz NIS-2. Der deutsche Gesetzgeber hat die Anforderungen der Richtlinie an Energieunternehmen in das BSI-Gesetz (BSIG) und das Energiewirtschaftsgesetz (EnWG) aufgenommen. Demnach müssen Unternehmen, die die folgenden beiden Kriterien erfüllen, die NIS-2-Vorgaben umsetzen:
- Unternehmen, die Einrichtungen betreiben, die in den Anlagen 1 und 2 zum BSIG genannt werden (z. B. Energieerzeugungs- und Speicheranlagen)
- Unternehmen, die entweder mindestens 50 Beschäftigte oder sowohl 10 Millionen Euro Jahresumsatz als auch 10 Millionen Euro Jahresbilanzsumme erreichen
Aus überstandenen Cyberangriffen lernen
Ein Unternehmen, dass sich bereits mit einem Cyberangriff konfrontiert sah, ist die Deutsche Windtechnik. Vor vier Jahren wurde es Opfer einer Ransomware-Attacke. Über einen infiltrierten Laptop haben Hacker die Büro- und Geschäftsprogramme verschlüsselt und ein Lösegeld gefordert. Dank einer Backup-Lösung konnte ein größerer Schaden abgewendet werden. Dennoch bereitet sich das Unternehmen auf weitere mögliche Angriffe intensiv vor – und hat aus der Attacke viel gelernt.
FAQ zum Thema Cybersicherheit in der Energiewirtschaft
Warum ist die Energiewirtschaft ein besonders attraktives Ziel für Cyberangriffe?
Die Energiewirtschaft zählt zur kritischen Infrastruktur. Mit der Energiewende steigt die Zahl digital vernetzter Anlagen wie Windparks, Solaranlagen, Batteriespeicher, Wärmepumpen und Ladeinfrastrukturen. Diese Vernetzung schafft zusätzliche Angriffsflächen für Cyberkriminelle und staatlich unterstützte Akteure. Bereits einzelne kompromittierte Systeme können Auswirkungen auf die Versorgungssicherheit und Netzstabilität haben.
Welche Folgen kann ein erfolgreicher Cyberangriff auf Energieunternehmen haben?
Cyberangriffe können Betriebsabläufe stören, Fernwartungssysteme lahmlegen, Daten verschlüsseln oder den Zugriff auf Anlagen verhindern. Oft gehen die Angriffe mit Lösegeldforderungen einher. Neben finanziellen Schäden drohen Reputationsverluste und im Extremfall Beeinträchtigungen der Energieversorgung.
Welche Pflichten ergeben sich durch die NIS-2-Richtlinie für Unternehmen der Energiewirtschaft?
Viele Energieunternehmen fallen inzwischen unter die NIS-2-Richtlinie. Sie müssen unter anderem ein wirksames Risikomanagement etablieren, Sicherheitsmaßnahmen dokumentieren, Zugriffs- und Backup-Konzepte umsetzen sowie erhebliche Sicherheitsvorfälle an die zuständigen Behörden melden. Zudem trägt die Geschäftsleitung Verantwortung für die Umsetzung und kann bei Verstößen haftbar gemacht werden.
