Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine neue Cybersicherheitsempfehlung veröffentlicht. Sie richtet sich ausdrücklich an Betreiber kleiner und kleinster Energieerzeugungsanlagen – darunter auch Solaranlagen jeder Größe, Windenergieanlagen, Kraft-Wärme-Kopplungsanlagen und Biogasanlagen.
Das Dokument trägt die Bezeichnung BSI-CS 154 und beschreibt konkrete technische Maßnahmen zum Schutz vor Angriffen auf sogenannte OT-Systeme (für Operational Technology) – also die digitale Steuerungstechnik von Anlagen.
Angriffe auf Energieanlagen in Polen und den USA
Hintergrund der Empfehlung sind reale Vorfälle. Im Dezember 2025 griffen Angreifer koordiniert Windparks sowie Kraft-Wärme-Kopplungsanlagen in Polen an. Sie unterbrachen die Kommunikation zu Netzbetreibern und schalteten Turbinen sowie Wasseraufbereitungsanlagen ab. Ursache waren triviale Sicherheitslücken: Geräte liefen mit werksseitigen Standardpasswörtern, identische Passwörter wurden anlagenübergreifend wiederverwendet. Im August 2026 griffen Angreifer in den USA mehr als 30 kommunale Wasserversorger an. Sie manipulierten Prozesswerte und sperrten den Zugriff auf Steuerungsgeräte.
Speicherbranche fordert Ende des Anschlussstaus
BSI-Präsidentin Claudia Plattner kommentiert: „Die Vorfälle in Frankreich zeigen deutlich, wie Cyberangriffe unseren Alltag beeinflussen und stören können.“ Dieser Angriff hätte jedes Land treffen können und könne jederzeit Nachahmer finden. „Derartige Einfallstore laden regelrecht zu Sabotage ein. Wir fordern die Betreiber solcher Anlagen eindringlich auf, ihre Systeme sicher zu betreiben“, sagt Plattner. Diese Sicherheitsmaßnahmen seien unkompliziert umzusetzen.
Vier Maßnahmen – priorisiert und konkret
Das BSI empfiehlt vier Maßnahmen: Erstens sollen Betreiber den direkten Internetzugang zu Steuerungssystemen unterbinden. Dazu gehört es, Portweiterleitungen im Router zu deaktivieren und speicherprogrammierbare Steuerungen (SPS), SCADA-Systeme sowie Bedienoberflächen (Human Machine Interface, HMI) vom Internet zu trennen.
KI in Gutachten – auf beiden Seiten des Tisches
Zweitens sind Fernzugriffe über ein Virtual Private Network (VPN) und Multifaktor-Authentifizierung abzusichern. Standardpasswörter müssen deaktiviert und durch sichere Passwörter ersetzt werden. Drittens sind Software- und Firmware-Updates zeitnah einzuspielen. Viertens sollen diese Maßnahmen zur Routine werden – mit regelmäßiger Prüfung der Angriffsfläche und gepflegter Dokumentation.
Warnung vor Cloud-abhängigen Produkten
Das BSI weist zudem auf ein Risiko hin, das für Installateure besonders relevant ist: Bei Anlagen, die mit einer Hersteller-Cloud verbunden sind, empfiehlt die Behörde zu prüfen, ob diese Verbindung dauerhaft nötig ist. Produkte, die zwingend auf digitale Herstellerdienste angewiesen sind, sollten nach BSI-Angaben nur mit Bedacht beschafft werden.
Terror gegen die Ukraine erreicht neue Stufe
Bei Geschäftsaufgabe oder Support-Ende des Herstellers drohe ein Totalverlust der Funktionsfähigkeit. Das BSI stellt klar: Betreiber, die OT-Systeme ohne ausreichende Schutzmaßnahmen aus dem Internet zugänglich machen, handelten grundsätzlich pflichtwidrig. (nhp)
Weitere aktuelle News? Abonnieren Sie unseren kostenlosen Newsletter!
