IT-Sicherheit Stadtwerke: Worauf es 2026 wirklich ankommt

Stadtwerke halten das Leben einer Region am Laufen: Strom, Gas, Wasser, Wärme, oft auch Glasfaser und Bäder. Genau deshalb ist IT-Sicherheit für Stadtwerke keine reine Technikfrage mehr, sondern eine Frage der Versorgungssicherheit, der Haftung und des Vertrauens der Bürger.

Die Bedrohung ist real und wächst. Laut Bitkom-Studie Wirtschaftsschutz 2025 entstand der deutschen Wirtschaft in den vergangenen zwölf Monaten ein Schaden von 289,2 Milliarden Euro durch Diebstahl, Spionage und Sabotage, 87 Prozent der befragten Unternehmen waren betroffen.

Gleichzeitig hat sich der Rechtsrahmen grundlegend verändert. Mit dem NIS2-Umsetzungsgesetz, den neuen Regeln im Energiewirtschaftsgesetz und dem IT-Sicherheitskatalog der Bundesnetzagentur fallen deutlich mehr Stadtwerke unter verbindliche Pflichten als früher, und die Geschäftsführung steht persönlich in der Verantwortung.

In diesem Beitrag erfahren Sie, welche Vorgaben für Ihr Stadtwerk gelten, wie Sie IT und Betriebstechnik wirksam schützen, was das kostet und wie ein realistischer Fahrplan aussieht. Am Ende haben Sie eine Checkliste, mit der Sie den Stand in Ihrem Haus in wenigen Stunden einschätzen können.

Warum IT-Sicherheit für Stadtwerke heute Chefsache ist

Ein Stadtwerk ist kein gewöhnliches Unternehmen. Es trägt einen Versorgungsauftrag, der keine Pause kennt: Wenn das Wasserwerk steht oder die Netzleitstelle blind ist, merkt es die ganze Stadt. Cyberangriffe treffen daher nicht nur Ihre Bilanz, sondern die öffentliche Daseinsvorsorge.

Hinzu kommt die rechtliche Seite. Der Gesetzgeber hat die Verantwortung für Cybersicherheit ausdrücklich bei der Unternehmensleitung verankert. Wer IT-Sicherheit an die IT-Abteilung delegiert und sich nicht weiter kümmert, handelt heute pflichtwidrig. Welche Pflichten das konkret sind, lesen Sie im Abschnitt zur Haftung.

Aktuelle Bedrohungslage: Warum Stadtwerke im Visier stehen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die Lage weiterhin als angespannt. Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum durchschnittlich 119 neue Software-Schwachstellen pro Tag bekannt, rund 24 Prozent mehr als im Vorjahreszeitraum.

Ransomware bleibt die größte Gefahr. Gemeint ist Schadsoftware, die Daten verschlüsselt und oft vorher stiehlt, um Lösegeld zu erpressen. Nach Erkenntnissen des BKA, zitiert im BSI-Lagebericht 2025, blieb die Zahl der angezeigten Ransomware-Angriffe mit 950 weitgehend unverändert, rund 80 Prozent davon trafen kleine und mittlere Unternehmen.

Daneben spielen DDoS-Angriffe eine Rolle, also die gezielte Überlastung von Webseiten und Kundenportalen. Und es gibt staatlich gesteuerte Akteure, die Versorgungsinfrastruktur ausspähen. In der Bitkom-Studie Wirtschaftsschutz 2025 verorteten jeweils 46 Prozent der betroffenen Unternehmen, die die Herkunft bestimmen konnten, Angriffe in Russland und in China.

Dass Stadtwerke konkret betroffen sind, zeigen mehrere Fälle aus den letzten Jahren:

• Stadtwerke Wismar (2021): Angreifer verschlüsselten die IT-Systeme für den Kundenservice. Die Versorgung lief weiter, weil die Versorgungs-IT vorab getrennt war, der Service arbeitete jedoch im Notbetrieb und die Service-IT sollte komplett neu aufgesetzt werden.
• Stadtwerke Burg (August 2024): Nach einem IT-Sicherheitsvorfall wurden alle IT-Dienste vorsorglich abgeschaltet. E-Mail und Marktkommunikation fielen aus, Kunden konnten zeitweise nicht zum Stadtwerk wechseln.
• Vereinigte Stadtwerke Ratzeburg/Mölln/Bad Oldesloe (November 2025): Der Angriff begann über einen Sicherheitsvorfall bei einem IT-Dienstleister. Er wurde früh gestoppt, dennoch flossen Daten von einem der rund 200 Server ab.

Was ein Cyberangriff für ein Stadtwerk konkret bedeutet

Die Beispiele zeigen ein Muster: Die eigentliche Versorgung lief meist weiter, aber das Unternehmen war wochenlang nur eingeschränkt handlungsfähig. Abrechnung, Kundenportal, Lieferantenwechsel und interne Kommunikation standen still. Der größte Schaden entsteht oft nicht im Netz, sondern in den Geschäftsprozessen.

Typische Folgen eines erfolgreichen Angriffs sind:

• Versorgungsrisiko: Gelingt der Sprung in die Leittechnik, können Pumpen, Schaltanlagen oder Fernwärme ausfallen.
• Datenabfluss: Kunden-, Verbrauchs- und Bankdaten landen auf Leakseiten im Darknet, mit Meldepflichten nach DSGVO.
• Kosten: Forensik, Wiederaufbau, externe Berater, Überstunden und entgangene Erlöse summieren sich schnell.
• Imageschaden: Bürger, Kommunalpolitik und Presse fragen kritisch nach, warum der Schutz nicht ausreichte.
• Lange Wiederanlaufzeit: Ein sauberer Neuaufbau der IT dauert häufig Wochen, nicht Tage.

Gerade die Wiederanlaufzeit wird unterschätzt. Wer keine getesteten Backups und keinen Notfallplan hat, verliert Zeit mit Grundsatzfragen, während Kunden auf Rechnungen und Abschläge warten.

Welche gesetzlichen Vorgaben gelten für Stadtwerke?

Für Stadtwerke greifen mehrere Regelwerke ineinander. Das macht die Lage unübersichtlich, lässt sich aber auf eine einfache Logik herunterbrechen: Das BSI-Gesetz (BSIG) regelt die allgemeinen Cybersicherheitspflichten, das Energiewirtschaftsgesetz (EnWG) ergänzt sie für Netz- und Energieanlagenbetreiber, und die KRITIS-Schwellenwerte entscheiden, ob zusätzliche Pflichten hinzukommen.

Regelwerk	Betrifft vor allem	Zuständige Stelle
BSIG (NIS2-Umsetzung)	Wichtige und besonders wichtige Einrichtungen, z. B. Wasser, Abwasser, Fernwärme, Energie	BSI
BSI-KritisV	Betreiber kritischer Anlagen oberhalb der Schwellenwerte	BSI
EnWG und IT-Sicherheitskatalog	Strom- und Gasnetzbetreiber, Energieanlagenbetreiber	Bundesnetzagentur
DSGVO	Alle, die personenbezogene Kundendaten verarbeiten	Landesdatenschutzbehörde

NIS2-Umsetzungsgesetz: Wer ist betroffen?

NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit, die Deutschland mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt hat. Laut BSI ist das Gesetz am 6. Dezember 2025 in Kraft getreten.

Eine Übergangsfrist für die Umsetzung der Pflichten gibt es nicht: Die Anforderungen gelten seit dem Tag des Inkrafttretens.

Der Kreis der Betroffenen hat sich stark vergrößert. Laut BSI-Pressemitteilung vom November 2025 waren bislang rund 4.500 Einrichtungen erfasst, künftig beaufsichtigt das BSI rund 29.500 Einrichtungen.

Entscheidend sind Sektor und Größe. Energie, Trinkwasser und Abwasser gehören zu den erfassten Sektoren, damit sind fast alle Stadtwerke grundsätzlich im Anwendungsbereich. Die Größenschwellen nach § 28 BSIG lauten:

• Wichtige Einrichtung:
  mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Bilanzsumme.
• Besonders wichtige Einrichtung:
  mindestens 250 Beschäftigte oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme, außerdem unabhängig von der Größe alle Betreiber kritischer Anlagen.

Die Schwellen und weiteren Details sind bei OpenKRITIS übersichtlich aufbereitet.

Wichtig für kommunale Unternehmen: Verbundene Unternehmen werden grundsätzlich mitgezählt. Ein kleines Stadtwerk innerhalb eines größeren Konzernverbunds kann deshalb schneller über den Schwellen liegen, als die eigene Mitarbeiterzahl vermuten lässt.

Betroffene Einrichtungen müssen sich beim BSI registrieren. Das Gesetz sieht dafür eine Frist von drei Monaten vor, die inzwischen abgelaufen ist.

Wer die Registrierung noch nicht erledigt hat, sollte sie jetzt umgehend nachholen.

KRITIS-Schwellenwerte und BSI-Gesetz

KRITIS steht für Kritische Infrastrukturen. Ob Ihr Stadtwerk eine kritische Anlage betreibt, ergibt sich aus der BSI-KritisV. Sie geht von einem Regelschwellenwert von 500.000 versorgten Personen aus und leitet daraus anlagenbezogene Werte ab.

Anlage	Kriterium	Schwellenwert
Stromverteilernetz	Entnommene Jahresarbeit	3.700 GWh/Jahr
Gasverteilernetz	Entnommene Arbeit	5.190 GWh/Jahr
Erzeugungsanlage	Installierte Nettonennleistung	104 MW
Fernwärmenetz	Angeschlossene Haushalte	250.000
Trinkwassergewinnung	Gewonnene Wassermenge	22 Mio. m³/Jahr
Kläranlage	Ausbaugröße	500.000 Einwohnerwerte

Die Werte stammen aus der BSI-KritisV in der aktuell veröffentlichten Fassung.

Für viele mittelgroße Stadtwerke liegen diese Schwellen zu hoch. Wer sie aber erreicht, hat zusätzliche Pflichten: Betreiber kritischer Anlagen müssen nach § 31 BSIG Systeme zur Angriffserkennung einsetzen und die Umsetzung ihrer Maßnahmen dem BSI regelmäßig nachweisen. Laut BSI hat sich der Nachweiszyklus mit dem neuen Gesetz von zwei auf drei Jahre verlängert.

EnWG und IT-Sicherheitskatalog der Bundesnetzagentur

Für Strom- und Gasnetzbetreiber sowie Betreiber von Energieanlagen gilt zusätzlich das Energiewirtschaftsgesetz. Die früheren Regelungen in § 11 Abs. 1a und 1b EnWG wurden mit der NIS2-Umsetzung in neue Paragrafen überführt: § 5c EnWG regelt die IT-Sicherheitskataloge, § 5d die Melde- und Registrierungspflichten, § 5e die Pflichten der Geschäftsleitung.

Laut Bundesnetzagentur gelten bis zur Veröffentlichung neuer Kataloge die bisherigen Kataloge weiter: der IT-Sicherheitskatalog für Strom- und Gasnetze von August 2015 und der Katalog für Energieanlagen von Dezember 2018. Ein überarbeiteter Katalog, der auch digitale Energiedienste einbezieht, ist in Arbeit.

Kern des Katalogs ist ein zertifiziertes Informationssicherheits-Managementsystem (ISMS) auf Basis von ISO/IEC 27001, ergänzt um die energiespezifische Norm ISO/IEC 27019. Eine reine ISO-27001-Zertifizierung genügt nicht: Zertifizieren darf nur eine von der DAkkS akkreditierte Stelle nach dem Konformitätsbewertungsprogramm der Bundesnetzagentur.

Meldepflichten bei Sicherheitsvorfällen

Erhebliche Sicherheitsvorfälle müssen Sie dem BSI in drei Stufen melden. Erheblich ist ein Vorfall vereinfacht gesagt dann, wenn er schwere Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere erheblich schädigt.

Meldung	Frist	Inhalt
Erstmeldung	spätestens 24 Stunden nach Kenntnis	Erste Einschätzung, Verdacht auf Angriff, mögliche Auswirkungen
Folgemeldung	spätestens 72 Stunden nach Kenntnis	Bewertung von Schwere und Auswirkungen, ggf. Kompromittierungsindikatoren
Abschlussmeldung	spätestens einen Monat nach der Meldung	Ausführliche Beschreibung, Ursache, Abhilfemaßnahmen

Die Fristen und Inhalte beschreibt das BSI auf seiner Infoseite zur Meldepflicht.

Das BSI betont: Schnelligkeit geht vor Vollständigkeit. Legen Sie deshalb vorab fest, wer meldet, wer entscheidet und wo die Zugangsdaten zum BSI-Portal liegen. Mitten in einer Krise am Freitagabend ist dafür keine Zeit.

Haftung und Verantwortung der Geschäftsführung

NIS2 nimmt die Leitung direkt in die Pflicht. Laut BSI gilt für betroffene Einrichtungen eine Billigungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen.

Konkret bedeutet das für Sie als Geschäftsführer:

• Billigen: Sie müssen die Risikomanagementmaßnahmen förmlich beschließen, nicht nur zur Kenntnis nehmen.
• Überwachen: Sie müssen sich regelmäßig berichten lassen, ob die Maßnahmen wirken.
• Schulen: Sie müssen selbst regelmäßig an Schulungen teilnehmen, um Risiken beurteilen zu können.
• Haften: Bei Pflichtverletzungen haften Sie gegenüber der Gesellschaft nach den allgemeinen Regeln des Gesellschaftsrechts.

Besonders brisant: Auf Ersatzansprüche gegen die Geschäftsleitung kann die Gesellschaft nach § 38 BSIG nicht ohne Weiteres verzichten. Für Netz- und Energieanlagenbetreiber regelt § 5e EnWG die entsprechenden Pflichten.

Hinzu kommen Bußgelder für das Unternehmen. Nach § 65 BSIG drohen besonders wichtigen Einrichtungen bis zu 10 Mio. Euro oder bei mehr als 500 Mio. Euro Umsatz bis zu 2 Prozent des weltweiten Umsatzes, wichtigen Einrichtungen bis zu 7 Mio. Euro beziehungsweise 1,4 Prozent.

Dokumentieren Sie deshalb jede Entscheidung zur Informationssicherheit im Protokoll von Geschäftsführung und Aufsichtsrat. Im Ernstfall ist das Ihr wichtigster Nachweis, dass Sie Ihrer Sorgfaltspflicht nachgekommen sind.

ISMS für Stadtwerke: Das Fundament der Informationssicherheit

Ein ISMS ist kein Software-Produkt, sondern ein Managementsystem: feste Regeln, Rollen und Abläufe, mit denen Sie Informationssicherheit planen, umsetzen, prüfen und verbessern. Man kann es sich vorstellen wie ein Qualitätsmanagement, nur für Sicherheit.

Ein ISMS für Stadtwerke ist die Basis für fast alle gesetzlichen Pflichten. Für die Wahl des Rahmenwerks gibt es drei gängige Optionen:

Kriterium	ISO/IEC 27001 (mit 27019)	BSI IT-Grundschutz	CISIS12
Ansatz	Risikobasiert, international	Sehr detaillierte Bausteine und Anforderungen	Schlanker Einstieg in 12 Schritten
Geeignet für	Netzbetreiber, größere Stadtwerke	Organisationen mit Nähe zur Verwaltung	Kleinere Stadtwerke, kommunale Unternehmen
Erfüllt IT-Sicherheitskatalog	Ja, mit Katalog-Zertifizierung	Nicht als Ersatz für das BNetzA-Schema	Nein, aber Ausbau zu ISO 27001 möglich
Aufwand	Mittel bis hoch	Hoch	Niedrig bis mittel

CISIS12 ist eine Weiterentwicklung des Standards ISIS12 und richtet sich ausdrücklich an kleine und mittlere Unternehmen sowie Kommunen und ihre Gesellschaften. Es lässt sich später zu ISO 27001 oder IT-Grundschutz ausbauen.

Für Netzbetreiber führt an ISO 27001 und 27019 kein Weg vorbei. Für reine Wasser- oder Bäderbetriebe kann CISIS12 ein pragmatischer Einstieg sein.

Geltungsbereich und Risikoanalyse richtig festlegen

Der Geltungsbereich legt fest, welche Standorte, Prozesse und Systeme das ISMS abdeckt. Ist er zu eng, bleiben Risiken außen vor. Ist er zu weit, wird das Projekt unbeherrschbar.

In der Praxis bewährt sich diese Reihenfolge:

• Inventar: Erfassen Sie alle Systeme, Anwendungen, Netzwerke, Standorte und Dienstleister, einschließlich der Betriebstechnik.
• Werte: Bestimmen Sie, welche Informationen und Prozesse geschäftskritisch sind, etwa Netzsteuerung, Abrechnung, Kundendaten.
• Schutzbedarf: Bewerten Sie für jeden Wert Vertraulichkeit, Integrität und Verfügbarkeit.
• Risikobehandlungsplan: Legen Sie fest, welche Risiken Sie reduzieren, übertragen oder bewusst tragen, mit Verantwortlichen und Terminen.

Ein häufiger Fehler ist ein veraltetes Inventar. Wer nicht weiß, welche Fernwirkstation noch mit Standardpasswort im Netz hängt, kann sie auch nicht schützen.

Zertifizierung, Audits und Re-Zertifizierung

Die Zertifizierung ist kein einmaliges Ereignis. Ein Zertifikat nach IT-Sicherheitskatalog ist drei Jahre gültig, vorausgesetzt, Sie bestehen jährliche Überwachungsaudits durch die akkreditierte Stelle.

Danach folgt die Re-Zertifizierung. Dazwischen erwarten Auditoren nachvollziehbare Dokumentation: Richtlinien, Risikoanalyse, Erklärung zur Anwendbarkeit (welche Maßnahmen Sie umsetzen und warum), interne Audits und Managementbewertungen.

Planen Sie das ISMS daher als Dauerbetrieb mit festem Budget und festen Personalkapazitäten, nicht als Projekt mit Enddatum.

IT und OT: Die besondere Herausforderung der Versorgungstechnik

OT steht für Operational Technology, also die Betriebstechnik, die physische Prozesse steuert: Netzleittechnik, SCADA-Systeme (Software zur Überwachung und Steuerung technischer Anlagen), Pumpensteuerungen, Fernwirktechnik in Umspannwerken. OT-Sicherheit folgt anderen Regeln als klassische Büro-IT.

In der OT hat Verfügbarkeit oberste Priorität. Ein Neustart für ein Sicherheitsupdate ist nicht immer möglich, manche Steuerungen laufen seit Jahrzehnten. Gleichzeitig wachsen IT und OT zusammen, weil Daten aus der Anlage für Abrechnung, Prognosen und Wartung gebraucht werden. Damit wachsen auch die Angriffswege.

Zur Strukturierung hilft das Purdue-Modell. Es teilt die Systemlandschaft in Ebenen, von Feldgeräten über Steuerung und Leitstelle bis zur Unternehmens-IT, und legt fest, welche Ebenen wie miteinander sprechen dürfen. Die Normenreihe IEC 62443 liefert dazu die Anforderungen an sichere Industrieautomatisierung, für Betreiber wie für Hersteller.

Netzsegmentierung und sichere Fernwartung

Segmentierung bedeutet, das Netzwerk in getrennte Bereiche aufzuteilen. IEC 62443 spricht von Zonen (Bereiche mit gleichem Schutzbedarf) und Conduits (kontrollierte Verbindungen zwischen den Zonen). Der Fall Wismar zeigt den Nutzen: Weil Versorgungs-IT und Service-IT getrennt waren, lief die Versorgung weiter.

Darauf sollten Sie besonders achten:

• Keine direkte Verbindung zwischen Büronetz und Leittechnik, nur über kontrollierte Übergänge mit Firewall.
• Fernzugänge ausschließlich über zentrale, protokollierte Zugänge mit Multi-Faktor-Authentifizierung.
• Standardpasswörter von Herstellern konsequent ändern, auch bei Altgeräten.
• Dienstleisterzugänge nur bei Bedarf freischalten und nach Abschluss wieder sperren.
• Regelmäßig prüfen, welche Systeme aus dem Internet erreichbar sind.

Smart Meter, IoT und dezentrale Anlagen absichern

Mit der Energiewende steigt die Zahl vernetzter Geräte enorm: intelligente Messsysteme, digitalisierte Ortsnetzstationen, Ladesäulen, Photovoltaik- und Batteriespeicher. Jedes Gerät ist ein potenzieller Einstiegspunkt.

Intelligente Messsysteme kommunizieren über ein vom BSI zertifiziertes Smart-Meter-Gateway, das ist ein solider Ausgangspunkt. Die Schwachstellen liegen oft drumherum: in der Backend-Software, bei Mobilfunkroutern in Ortsnetzstationen oder bei Ladesäulen mit offenen Wartungsschnittstellen.

Behandeln Sie dezentrale Anlagen als eigene Zone im Netzwerk und verlangen Sie von Herstellern Sicherheitsupdates über die gesamte Lebensdauer. Nehmen Sie diese Pflicht schon in die Ausschreibung auf.

Die wichtigsten technischen Schutzmaßnahmen für Stadtwerke

Viele erfolgreiche Angriffe nutzen keine raffinierten Methoden, sondern bekannte Lücken. Bei durchschnittlich 119 neuen Schwachstellen pro Tag laut BSI ist systematisches Vorgehen Pflicht. Diese Maßnahmen bilden das technische Grundgerüst:

• Multi-Faktor-Authentifizierung (MFA):
  Anmeldung mit einem zweiten Faktor, etwa App oder Hardware-Token. Pflicht für E-Mail, Fernzugänge, Cloud-Dienste und alle Administratorkonten.
• Patch- und Schwachstellenmanagement:
  Ein fester Prozess, der Sicherheitsupdates nach Kritikalität priorisiert und zeitnah einspielt. In der OT mit abgestimmten Wartungsfenstern.
• Verschlüsselung:
  Schutz von Daten bei der Übertragung und auf Datenträgern, besonders bei Laptops, Backups und Kundendaten.
• Log-Management:
  Zentrales Sammeln von Protokolldaten, damit Angriffe erkannt und im Nachhinein rekonstruiert werden können.
• EDR (Endpoint Detection and Response):
  Software auf Rechnern und Servern, die verdächtiges Verhalten erkennt und automatisch eingreift, deutlich wirksamer als klassischer Virenschutz.
• Backup:
  Regelmäßige, vom Netzwerk getrennte Sicherungen, die regelmäßig auf Wiederherstellbarkeit getestet werden.

Angriffserkennung mit SIEM und SOC

Für Betreiber kritischer Anlagen ist ein System zur Angriffserkennung (SzA) gesetzlich vorgeschrieben. Aber auch für alle anderen Stadtwerke gilt: Ohne Erkennung bemerken Sie einen Angriff oft erst, wenn die Erpresserbotschaft auf dem Bildschirm steht.

Ein SIEM (Security Information and Event Management) wertet Protokolldaten aus vielen Quellen aus und schlägt bei Auffälligkeiten Alarm. Ein SOC (Security Operations Center) ist das Team, das diese Alarme rund um die Uhr bewertet und reagiert. Ein eigenes 24/7-SOC ist für die meisten Stadtwerke personell nicht darstellbar. Managed Security Services, bei denen ein spezialisierter Dienstleister die Überwachung übernimmt, sind hier meist die wirtschaftlichere Lösung.

Der Ratzeburger Fall zeigt, wie viel frühe Erkennung bringt: Die Schutzsysteme erkannten den Angriff und stoppten ihn, bevor er sich weiter ausbreiten konnte.

Backup, Notfallplanung und Wiederanlauf

Backups sind nur so gut wie ihr letzter erfolgreicher Wiederherstellungstest. Moderne Ransomware sucht gezielt nach Sicherungen und verschlüsselt sie mit. Mindestens eine Kopie muss deshalb offline oder unveränderbar gespeichert sein.

Darüber hinaus brauchen Sie ein Business Continuity Management (BCM), also eine Planung, wie kritische Geschäftsprozesse bei einem Ausfall weiterlaufen. Dazu gehören:

• Ein Notfallhandbuch, das auch ausgedruckt vorliegt, falls die IT ausfällt.
• Klare Wiederanlaufprioritäten: Was muss zuerst wieder laufen, Leitstelle, Abrechnung oder Kundenservice?
• Alternative Kommunikationswege für Krisenstab und Belegschaft.
• Regelmäßige Krisenübungen mit Geschäftsführung, IT, Netzbetrieb und Kommunikation.

Der Faktor Mensch: Schulung und Sicherheitskultur

Technik allein reicht nicht. Viele Angriffe beginnen mit einer gut gemachten Phishing-Mail, also einer gefälschten Nachricht, die zur Eingabe von Passwörtern oder zum Öffnen eines Anhangs verleitet. Ein einziger Klick kann genügen.

Wirksame Awareness-Programme setzen auf Regelmäßigkeit statt auf die jährliche Pflichtschulung:

• Kurze, praxisnahe Lerneinheiten mehrmals im Jahr.
• Simulierte Phishing-Kampagnen mit konstruktivem Feedback statt Bloßstellung.
• Ein einfacher Meldeweg für verdächtige E-Mails und klare Rückmeldung an die Meldenden.
• Zielgruppengerechte Inhalte, etwa für Kundenservice, Buchhaltung und Netzbetrieb.

Eine besondere Herausforderung in Stadtwerken ist die Verständigung zwischen IT- und OT-Teams. Die IT denkt in Updates und Vertraulichkeit, der Netzbetrieb in Verfügbarkeit und Anlagensicherheit. Gemeinsame Workshops und eine gemeinsame Sprache verhindern, dass Sicherheitsmaßnahmen an der Schnittstelle scheitern.

Und die Geschäftsführung? Sie ist gesetzlich zur Schulung verpflichtet. Eine gute Geschäftsführerschulung vermittelt keine Technik, sondern Entscheidungsfähigkeit: Welche Risiken sind existenziell, welche Fragen stelle ich meinem ISB, wie reagiere ich in der ersten Stunde einer Krise?

Lieferkette und IT-Dienstleister absichern

Stadtwerke arbeiten mit vielen Dienstleistern: Rechenzentren, Abrechnungsdienstleister, Leittechnikhersteller, Wartungsfirmen. Jeder Zugang von außen ist ein möglicher Angriffsweg. Laut BSI müssen betroffene Einrichtungen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit der Lieferkette gewährleisten, einschließlich der Beziehungen zu direkten Anbietern und Dienstleistern.

Wie real dieses Risiko ist, zeigt der Angriff auf die Vereinigten Stadtwerke im November 2025: Ausgangspunkt war ein Sicherheitsvorfall bei einem IT-Dienstleister. Die KRITIS-Systeme waren getrennt und nicht betroffen, trotzdem kam es zu einem Datenabfluss.

So sichern Sie Ihre Lieferkette ab:

• Verträge: Sicherheitsanforderungen, Meldepflichten bei Vorfällen, Patchmanagement und Auditrechte vertraglich festhalten.
• Bewertung: Dienstleister nach Kritikalität einstufen und die wichtigsten regelmäßig prüfen, etwa per Fragebogen oder Nachweis eines Zertifikats.
• Fernwartung: Nur über Ihre zentrale Zugangslösung, mit MFA, Protokollierung und zeitlicher Begrenzung.
• Minimalprinzip: Jeder Dienstleister erhält nur die Rechte, die er für seine Aufgabe braucht.
• Exit-Plan: Wissen, wie Sie einen Dienstleister im Notfall schnell vom Netz trennen.

CISO, ISB oder externe Unterstützung: Wer kümmert sich?

Informationssicherheit braucht klare Verantwortung. In der Praxis begegnen Ihnen zwei Rollen: Der Chief Information Security Officer (CISO) ist meist eine strategische Führungsrolle in größeren Häusern. Der Informationssicherheitsbeauftragte (ISB) steuert das ISMS operativ und berichtet direkt an die Geschäftsführung. In vielen Stadtwerken ist beides eine Person.

Wichtig ist die Unabhängigkeit: Der ISB sollte nicht gleichzeitig IT-Leiter sein, sonst kontrolliert er sich selbst. Gerade kleinere Stadtwerke finden jedoch kaum geeignete Fachkräfte. Dafür gibt es bewährte Modelle:

Modell	Vorteile	Zu beachten
Interner ISB	Kennt das Haus, immer verfügbar	Schwer zu besetzen, Vertretung nötig
CISO-as-a-Service / externer ISB	Sofort verfügbares Fachwissen, planbare Kosten	Interner Ansprechpartner bleibt nötig
Kooperation mehrerer Stadtwerke	Geteilte Kosten und Erfahrungen	Abstimmungsaufwand, klare Verträge
Managed Security Services	24/7-Überwachung ohne eigenes SOC	Verantwortung bleibt beim Stadtwerk

Die Verantwortung lässt sich nie auslagern, nur die Ausführung. Auch mit externem ISB bleibt die Geschäftsführung in der Pflicht, Maßnahmen zu billigen und zu überwachen.

Was kostet IT-Sicherheit für Stadtwerke? Ein realistischer Kostenrahmen

Die ehrliche Antwort: Es hängt stark von Größe, Sparten, Ausgangslage und Regulierung ab. Seriöse Pauschalbeträge in Euro lassen sich daher nicht nennen. Eine Orientierung liefert der Bitkom: Laut Bitkomfließen in deutschen Unternehmen inzwischen 18 Prozent des IT-Budgets in IT-Sicherheit, 2022 waren es noch 9 Prozent.

Die folgende Übersicht zeigt die typischen Kostenblöcke als Richtwerte für den relativen Aufwand, nicht als Preisangabe:

Kostenblock	Art der Kosten	Relativer Aufwand
ISMS-Einführung	Einmalig, Beratung und interne Arbeitszeit	Hoch im ersten Jahr
Zertifizierung und Audits	Wiederkehrend, jährliche Überwachung	Mittel
SIEM/SOC als Managed Service	Laufend, meist monatlich	Mittel bis hoch
Schulung und Awareness	Laufend	Niedrig
Externer ISB / CISO-as-a-Service	Laufend, nach Tagessätzen oder Pauschale	Niedrig bis mittel
Technische Härtung (MFA, EDR, Backup, Segmentierung)	Einmalig plus Lizenzen	Mittel bis hoch

Für Netzbetreiber stellt sich zusätzlich die Frage, wie sich Sicherheitskosten in der Erlösobergrenze der Anreizregulierung niederschlagen. Das hängt von Kostenart und Regulierungsperiode ab. Binden Sie Ihre Regulierungsabteilung deshalb frühzeitig in die Budgetplanung ein.

Und vergleichen Sie immer mit der Alternative: Ein wochenlanger Ausfall von Abrechnung und Kundenservice, forensische Aufarbeitung und mögliche Bußgelder kosten in aller Regel deutlich mehr als vorbeugende Maßnahmen.

Häufige Fehler bei der IT-Sicherheit in Stadtwerken

In der Praxis tauchen bei Versorgern immer wieder dieselben Muster auf:

• Betroffenheit nicht geprüft: Man geht davon aus, zu klein für NIS2 zu sein, ohne Konzernverbund und Sektoren genau zu prüfen.
• Notfallpläne nur auf Papier: Das Handbuch existiert, wurde aber nie geübt und liegt nur auf dem Server, der verschlüsselt wird.
• Backups ungetestet: Erst im Ernstfall zeigt sich, dass die Wiederherstellung Tage dauert oder gar nicht funktioniert.
• OT vergessen: Das ISMS deckt die Büro-IT ab, die Leittechnik und Fernwirkstationen bleiben ein blinder Fleck.
• Dienstleistern blind vertraut: Fernwartungszugänge sind dauerhaft offen, Verträge enthalten keine Sicherheitsanforderungen.

Alle diese Fehler haben eine Gemeinsamkeit: Sie lassen sich mit überschaubarem Aufwand beheben, wenn man sie kennt. Eine ehrliche Bestandsaufnahme ist daher der wichtigste erste Schritt.

Praxisbeispiel: So geht ein mittelgroßes Stadtwerk vor

Das folgende Beispiel ist fiktiv, aber typisch: Ein Stadtwerk mit rund 300 Beschäftigten betreibt Strom- und Gasnetz, Wasserversorgung und ein Fernwärmenetz. Es ist damit besonders wichtige Einrichtung nach NIS2 und als Netzbetreiber an den IT-Sicherheitskatalog gebunden.

Die ersten 90 Tage: Standortbestimmung und Quick Wins

• Woche 1–4: Betroffenheit prüfen, BSI-Registrierung abschließen, Gap-Analyse gegen NIS2 und IT-Sicherheitskatalog.
• Woche 5–8: MFA für alle Fernzugänge und Administratoren, Offline-Backup einrichten und testen, Standardpasswörter in der OT ändern.
• Woche 9–12: Meldeprozess festlegen, Krisenstab benennen, erste Schulung der Geschäftsführung, Dienstleisterzugänge prüfen.

Monat 4 bis 12: ISMS und Angriffserkennung

• ISMS-Geltungsbereich festlegen, Inventar inklusive OT vervollständigen, Risikoanalyse durchführen.
• Netzsegmentierung nach Zonen und Conduits planen und schrittweise umsetzen.
• Managed SOC beauftragen und die wichtigsten Logquellen anbinden.
• Awareness-Programm mit Phishing-Simulationen starten.
• Erste Krisenübung, internes Audit und Vorbereitung der Zertifizierung.

Nach zwölf Monaten hat das Stadtwerk nicht alles perfekt gelöst, aber die größten Risiken deutlich reduziert und die gesetzlichen Pflichten nachweisbar angegangen. Genau darauf kommt es bei Behörden und Auditoren an: auf einen nachvollziehbaren, gesteuerten Prozess.

Checkliste: IT-Sicherheit im Stadtwerk in 12 Schritten

Mit dieser Liste prüfen Sie als Geschäftsführung den Stand in Ihrem Haus:

• 1. Betroffenheit nach NIS2, KRITIS und EnWG geprüft und dokumentiert.
• 2. Registrierung beim BSI abgeschlossen.
• 3. ISB benannt, mit direktem Berichtsweg zur Geschäftsführung.
• 4. Risikomanagementmaßnahmen von der Geschäftsführung gebilligt und protokolliert.
• 5. Geschäftsführung hat an einer Cybersicherheitsschulung teilgenommen.
• 6. Vollständiges Inventar von IT und OT vorhanden.
• 7. MFA für alle Fernzugänge, E-Mail und Administratorkonten aktiv.
• 8. Büro-IT und Leittechnik wirksam getrennt.
• 9. Offline-Backup vorhanden und Wiederherstellung im letzten Halbjahr getestet.
• 10. Meldeprozess für 24, 72 Stunden und einen Monat festgelegt.
• 11. Angriffserkennung im Betrieb, intern oder als Managed Service.
• 12. Sicherheitsanforderungen in allen kritischen Dienstleisterverträgen verankert.

Häufig gestellte Fragen zu IT-Sicherheit bei Stadtwerken

Die IT-Sicherheit stellt Stadtwerke vor zahlreiche technische, organisatorische und rechtliche Herausforderungen. In den folgenden häufig gestellten Fragen beantworten wir wichtige Fragen zu gesetzlichen Anforderungen, Verantwortlichkeiten und der praktischen Umsetzung von Sicherheitsmaßnahmen.

Gilt NIS2 auch für kleine Stadtwerke?

Ja, sobald ein Stadtwerk in einem erfassten Sektor wie Energie oder Wasser tätig ist und mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme hat. Dabei werden verbundene Unternehmen grundsätzlich mitgezählt. Auch Stadtwerke unterhalb der Schwellen sind oft indirekt betroffen, weil Kunden und Partner Sicherheitsnachweise verlangen.

Reicht eine ISO-27001-Zertifizierung aus?

Für die NIS2-Pflichten ist ein ISMS nach ISO 27001 eine sehr gute Grundlage. Netz- und Energieanlagenbetreiber benötigen jedoch eine Zertifizierung nach dem Schema des IT-Sicherheitskatalogs der Bundesnetzagentur, die ISO 27019 einbezieht. Eine reine ISO-27001-Zertifizierung genügt dafür nicht.

Wie schnell muss ein Sicherheitsvorfall gemeldet werden?

Eine Erstmeldung an das BSI muss spätestens 24 Stunden nach Kenntnis eines erheblichen Vorfalls erfolgen, eine Folgemeldung nach 72 Stunden und eine Abschlussmeldung nach einem Monat. Geht es um personenbezogene Daten, kommen die Meldepflichten der DSGVO hinzu.

Was kostet IT-Sicherheit für ein Stadtwerk?

Das hängt von Größe, Sparten und Ausgangslage ab, pauschale Beträge sind nicht seriös. Laut Bitkom fließen im Schnitt 18 Prozent des IT-Budgets deutscher Unternehmen in IT-Sicherheit. Eine Gap-Analyse liefert die Grundlage für ein belastbares Budget.

Kann der Informationssicherheitsbeauftragte extern sein?

Ja, ein externer ISB oder CISO-as-a-Service ist gerade für kleinere Stadtwerke eine bewährte Lösung. Wichtig ist ein interner Ansprechpartner, der das Haus kennt und Maßnahmen intern vorantreibt. Die Verantwortung der Geschäftsführung bleibt davon unberührt.

Ersetzt eine Cyberversicherung Schutzmaßnahmen?

Nein. Eine Cyberversicherung kann finanzielle Folgen abfedern, verhindert aber keinen Angriff und keinen Versorgungsausfall. Versicherer verlangen zudem in der Regel Mindeststandards wie MFA und getestete Backups, bevor sie überhaupt einen Vertrag anbieten.

Fazit: IT-Sicherheit als Daueraufgabe für Stadtwerke

IT-Sicherheit für Stadtwerke ist kein Projekt, das man einmal abschließt. Die Bedrohungslage ist angespannt, reale Angriffe auf Versorger zeigen die Folgen, und mit NIS2, EnWG und IT-Sicherheitskatalog sind die Pflichten verbindlich und persönlich geworden.

Die gute Nachricht: Mit einer klaren Bestandsaufnahme, schnellen Grundschutzmaßnahmen und einem schrittweise aufgebauten ISMS lässt sich das Risiko deutlich senken. Wer heute strukturiert beginnt, schützt Versorgung, Kundendaten und die eigene Haftung. Nutzen Sie die Checkliste als Startpunkt und setzen Sie das Thema auf die nächste Tagesordnung der Geschäftsführung.

Sie möchten wissen, wo Ihr Stadtwerk bei der IT-Sicherheit steht?

Wir prüfen gemeinsam mit Ihnen Betroffenheit, Lücken und Prioritäten und entwickeln einen realistischen Fahrplan für IT und OT.

Jetzt unverbindliches Erstgespräch zur IT-Sicherheit Ihres Stadtwerks anfragen.