Netzbetrieb ist Betrieb. Sicherheit auch.

Was wir vorfinden

Das BSI beschreibt die Lage im Energiesektor zutreffend, aber aus der Vogelperspektive: Dezentralisierung, Sektorkopplung, Supply-Chain-Angriffe auf Wechselrichter und Netzleittechnik. Was wir in den Umgebungen selbst finden, ist konkreter und älter.

Das Overlay des armen Mannes. Fast überall steht OpenVPN, weil es im Gerät schon drin war. Die Authentifizierung ist schwach, überwacht wird der Tunnel nicht, und was darin passiert, sieht niemand. Auf den Gateways liegen keine oder nur rudimentäre Policies — laterale Bewegung gelingt praktisch immer. Dazu ein Master Key: einmal drin, überall drin.

Dass dieser eine Schlüssel bleibt, ist kein Versehen. Er macht den Betrieb einfach, und er erspart die Schlüsselrotation. Diese Anlagen sind auf zwanzig Jahre und mehr ausgelegt, und die Menschen, die sie gebaut haben, gehen mit ihnen in Rente — das ist die eigentliche Motivation hinter vielem, was wir vorfinden. Unsere Gegenthese: Menschen an diesen Systemen sollten alle fünf bis sieben Jahre wechseln, und die Systeme und Prinzipien selbst gehören alle drei bis fünf Jahre in Frage gestellt.

Segmentierung, die keine ist. Getrennt wird nach IP-Bereichen, nicht nach Anwendung und Rolle. Die Trennung zwischen Erzeuger- und Verbraucherseite, die eigentlich die wichtigste wäre, fehlt in den meisten Umgebungen ganz. Es stehen Firewalls führender Hersteller, oft in guter Hardware — nur ohne Zonenkonzept dahinter. Das Regelwerk ist über Jahre gewachsen, niemand führt eine einzige Quelle der Wahrheit, und gebaut wurde alles so, dass es läuft.

Die Server sind der blinde Fleck. Linux und Solaris, in Einzelfällen noch Tru64 als Hostsystem. Wer dort Einblick hat, ist selten derselbe, der die Netzwerke verantwortet. Über die Jahre entstehen stille Overlays und Administrationszugänge, die in keiner Dokumentation stehen. Auf einzelnen Systemen läuft weiterhin Telnet, weil es funktioniert und weil man es kennt.

Physischer Zugriff ist trivial. Boxen im Feld stehen dort, wo jeder hinkommt. Oft genügt eine serielle Konsole, und das System liefert eine Root-Shell. Cold-Boot-Angriffe, also das Auslesen des Arbeitsspeichers unmittelbar nach einem Neustart, sind damit kein Laborszenario mehr. Gegen beides hilft keine Firewall.

Und wenn Erkennung existiert, ist sie zu langsam. EDR oder XDR sind oft vorhanden. Was fehlt, ist jemand, dessen Aufgabe es ist, hinzusehen, und ein Prozess, der in Stunden statt in Wochen greift. Eine Exfiltration ist längst abgeschlossen, bevor die erste Freigabe erteilt wurde.

Drei Stufen fordert das BSI. Gebaut werden müssen sie trotzdem.

Das BSI fordert in seinem Positionspapier zum Energiesektor einen dreistufigen Ansatz: Basisabsicherung der gesamten OT- und IT-Netze, gezielte Härtung zentraler Komponenten wie Netzleittechnik, virtueller Kraftwerke, Speicher und Wechselrichter, und hochsichere Absicherung exponierter Systeme wie Netzkoppelpunkte und Steuerzentralen.

Dem ist inhaltlich nichts hinzuzufügen. Die Frage ist, was daraus im Betrieb wird — und da endet die Stufung in der Praxis meist bei Stufe eins, weil sich Stufe zwei und drei nicht kaufen lassen.

Basis heißt: eine Quelle für Identitäten und Regeln. Nicht fünf Benutzerdatenbanken, nicht ein Regelwerk pro Werkzeug. Solange jedes System seine eigene Wahrheit führt, gleicht sie nach sechs Monaten niemand mehr ab, und der Master Key bleibt, weil er der einzige Weg ist, der überall funktioniert.

Härtung zentraler Komponenten heißt: terminieren statt durchreichen. Zwischen Prozessnetz, Anlagennetz und Büro-IT steht bei uns ein System, das das Protokoll beendet, prüft und nur Zulässiges weitergibt — Proxy, Sprungpunkt oder protokollbewusstes SCADA-Gateway. Eine Firewall-Regel, die ein Netzwerk einfach weiterreicht, erfüllt die Anforderung auf dem Papier und nicht im Ernstfall.

Exponierte Systeme heißen: Zugriff hat ein Ende. Herstellerfernwartung läuft über eine PAM-Strecke mit Freigabe je Einsatz, festem Zeitfenster und Sitzungsaufzeichnung. Keine dauerhaft hinterlegten Anmeldedaten, kein stiller Tunnel, der seit Jahren offen ist.

Auf dieser Grundlage haben wir Anomalieerkennung mit Machine Learning betrieben. Prozessverkehr ist im Normalbetrieb sehr regelmäßig — feste Gegenstellen, feste Funktionscodes, feste Takte. Das macht ihn zu einer der wenigen Umgebungen, in denen ein gelerntes Normalbild wirklich trägt. Die Modelle laufen am Gateway und am Übergabepunkt, nicht auf den Feldgeräten, und sie greifen nicht in die Steuerung ein: Sie melden die Abweichung an den Menschen, der sie bewerten kann.

Diese drei Schritte sind kein Produkt und keine Migration. Sie sind Architekturarbeit, danach Betrieb — und genau deshalb sind sie die Arbeit, die liegen bleibt.

Ladeinfrastruktur ist ein IT-Problem

Im Mai 2026 hat das BSI einen eigenen Lagebericht zur öffentlichen Ladeinfrastruktur veröffentlicht. Sein Befund dreht die übliche Erzählung um: Die Normen sind in Ordnung. ISO 15118 und OCPP entsprechen inzwischen weitgehend dem Stand der Technik. Was fehlt, ist die Umsetzung — Transportverschlüsselung, Sperrlisten und moderne kryptographische Verfahren werden laut Bericht „häufig nur eingeschränkt oder optional implementiert, teilweise aus Gründen der Abwärtskompatibilität“.

Das deckt sich mit dem, was wir sehen. OCPP selbst ist ein Denial-of-Service-Vektor: Die Decoder trennen nicht sauber zwischen gültigen und ungültigen Nachrichten. Wer einmal sprechen darf, kann senden, was er will, und den Host überlasten. In OCPP 1.5 gehen Karten-IDs noch unverschlüsselt über HTTP, mit allem, was an Wiedereinspielung daraus folgt.

Der zweite Befund des BSI ist der interessantere: Die Backend-Seite — Abrechnung und Lastmanagement — ist bislang kaum untersucht worden. Dort liegt aber das Geschäft. Ein Ladepunkt, der falsch abrechnet, ist teurer als einer, der nicht lädt.

Deshalb behandeln wir Ladeinfrastruktur nicht als Energietechnik, sondern als verteilte Anwendungslandschaft: saubere Mandantentrennung, kontrollierte Schnittstellen zu Roaming- und Abrechnungspartnern, ein nachvollziehbarer Rollout-Weg über hunderte Feldgeräte, und dieselbe Regel wie überall — der Übergang terminiert, prüft und gibt weiter.

Das BSI nennt auch die regulatorische Lage unübersichtlich: viele technische Vorgaben sind unverbindlich, für Authentifizierung, Bezahlung und Datensicherheit bestehen kaum spezifische IT-Sicherheitsanforderungen, und für Bereiche wie die Public-Key-Infrastruktur oder Energy-Management-Systeme existieren bislang keine definierten Prüfprozesse. Wer wartet, bis daraus eine Pflicht wird, baut später unter Zeitdruck.

Was sich als erstes lohnt

Der erste Schritt ist fast immer ein ehrliches Bild der Übergänge. Nicht ein neues Werkzeug, sondern die Frage: Wo redet welche Zone mit welcher, worüber, und wer hat das freigegeben. Danach in dieser Reihenfolge: Fernwartung auf einen kontrollierten Weg, eine führende Quelle für Identitäten, Konfigurationsstände aus Code statt aus Erinnerung — und für die Ladeseite die Backend-Härtung.

Quellen: BSI, Positionspapier „Cybersicherheit im Energiesektor Deutschlands“; BSI, „Bericht zur IT-Sicherheit der öffentlichen Ladeinfrastruktur“, veröffentlicht am 07.05.2026.