Dreistufiger Sicherheitsansatz BSI fordert höhere Cybersicherheit für den Energiesektor

Immer mehr Cyberangriffe, darunter auch staatlich finanzierte, zielen auf Unternehmen in der Energie­versorgung ab. Das Bundesamt für Sicherheit in der Informationstechnik fordert Maßnahmen für verstärkte Sicherheits­vorkehrungen in diesen Unternehmen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Bedrohung für Kritische Infrastrukturen aus dem Cyberraum als hoch ein. Der Energiesektor steht dabei besonders im Fokus von staatlich unterstützten Operationen, die auf Destabilisierung und Spionage abzielen, aber auch von Cyberkriminellen, die Energieunternehmen erpressen oder von Hacktivisten, die ideologische Ziele verfolgen. Deshalb sieht das BSI hier dringenden Handlungsbedarf. Hierzu veröffentlicht das Amt ein Positionspapier, das Forderungen und Herausforderungen für eine robuste Cybersicherheitsstrategie im Energiesektor formuliert.

Die Lage der IT-Sicherheit 2024

BSI sieht Bedrohungslage als „besorgniserregend“

Diese Herausforderungen bestehen laut BSI

Eine der im Papier genannten Herausforderungen ist die zunehmende Systemkomplexität. Diese komme unter anderem durch die Digitalisierung und Dezentralisierung der Energieversorgung zustande. Das führe wiederum zu einer wachsenden Anzahl an IT- und OT-Systemen, die miteinander kommunizieren müssen. Zudem würden neue Technologien wie Smart Grids, Cloud-Plattformen, IoT-Sensorik und digitale Zähler (Smart Meter) die Angriffsflächen erhöhen. Gleichzeitig bestehe in vielen Altanlagen ein hoher Nachholbedarf bei Segmentierung, Härtung und Überwachung.

Update: Plattner fordert Schutz der Energieversorgung

Versteckte Kommunikations­module in Solar­wechsel­richtern aus China

Eine weitere Herausforderung sei der unzureichende Schutz kritischer Komponenten. Viele steuerungsrelevante Systeme, wie Netzleittechnik, Wechselrichter, Speicher, seien nicht ausreichend gegen Cyberangriffe abgesichert. Es fehle an standardisierten Sicherheitsarchitekturen für dezentrale Anlagen, insbesondere im Bereich erneuerbarer Energien. Basisabsicherungen wie Zugriffskontrollen, Protokollhärtung oder Monitoring seien oft lückenhaft oder uneinheitlich implementiert.

Das BSI warnt außerdem davor, dass auch nicht-KRITIS-Unternehmen ins Visier der Angreifer geraten könnten. Solche Unternehmen verfügen oft über eine geringe Sicherheitsausstattung, da diese Betreiber nicht denselben gesetzlichen Mindestanforderungen wie KRITIS-Unternehmen unterliegen. Dabei erfüllen sie teilweise systemisch relevante Aufgaben wie Netzstabilität, Einspeisung oder Verteilung.

Mehr Vernetzung in der Energiebranche bringt höheres Risiko

Energiewende mit Sicherheit

Cyberangriffe auf Energieversorger

Aktuelle Cyberangriffe auf Energieversorger in Deutschland bestätigen die Kernaussagen des BSI-Positionspapiers:

• Angriff auf die Deutsche Energie-Agentur (Dena) im November 2023: Die Dena wurde Opfer eines Ransomware-Angriffs, für den die Hackergruppe LockBit die Verantwortung übernahm. Die IT-Systeme der Agentur wurden erheblich beeinträchtigt, was zu einer weitgehenden Arbeitsunfähigkeit führte. Die Angreifer drohten mit der Veröffentlichung gestohlener Daten, sollte kein Lösegeld gezahlt werden.

• Cyberangriff auf die Stadtwerke Karlsruhe im Februar 2023: Als Reaktion auf einen Schadsoftware-Angriff verstärkten die Stadtwerke Karlsruhe akut ihre Sicherheitsmaßnahmen. Obwohl die Software sich daraufhin nicht weiterverbreiten konnte, zeigt der Vorfall die Anfälligkeit auch regionaler Energieversorger für Cyberbedrohungen.

• Datenleck bei Tibber im November 2024: Nach einem Datenleck beim Ökostromanbieter Tibber im November 2024 wurden Daten von etwa 50.000 deutschen Kunden gestohlen. Der Vorfall unterstreicht die Risiken, denen auch digitale Energieunternehmen ausgesetzt sind, insbesondere im Hinblick auf den Schutz sensibler Kundendaten.

Steigende Stromkosten nach Cyberangriff

Tibber verliert Daten von 50.000 deutschen Kunden

Maßnahmen zur Stärkung der Cybersicherheit im Energiesektor

In dem Papier wird ein dreistufiger Sicherheitsansatz vorgeschlagen:

• 1. Basisschutz der allgemeinen IT- und OT-Infrastruktur einführen.

• 2. Gezielte Härtung besonders sensibler Komponenten wie Smart Meter Gateways, Netzleittechnik oder Einspeiseregler umsetzen.

• 3. Hochsichere Absicherung zentraler Strukturen wie Koppelpunkte, Steuerzentralen und Schnittstellen zum Übertragungsnetz umsetzen.

Der Plan verfolgt ein abgestuftes Sicherheitsniveau, das sich an der Kritikalität und Systemfunktion der jeweiligen Infrastruktur orientiert. Ziel ist es, ressourcenschonend, aber wirksam Sicherheitsmaßnahmen zu etablieren – vom Grundschutz bis zur Hochverfügbarkeit.

Cyber-Angriffe erkennen, Ausfälle vorhersagen

Schutzschild für virtuelle Kraftwerke

(ID:50435425)