Cyberabwehr: Warum Stadtwerke wie Angreifer denken müssen

Nach Darstellung des IT-Sicherheitsexperten Mirko Herth müssen Angriffe nicht mit auffälliger Schadsoftware beginnen. Gestohlene Zugangsdaten und bereits vorhandene Werkzeuge können einem Angreifer den Zugang erleichtern. Für die Betroffenen könne eine solche Anmeldung zunächst wie ein regulärer Vorgang aussehen, während sich der Angreifer bereits im Netzwerk ausbreitet.

Herth will deshalb den Blickwinkel drehen. Nicht nur die eigene Technik, sondern auch die Ziele und Arbeitsweisen der Angreifer müssten verstanden werden. Genau darüber spricht er bei seinem Vortrag auf dem Stadtwerkkongress – ZFK hat vorab nachgefragt. Für Herth beginnt die Verteidigung möglichst früh, noch bevor ein Angreifer versucht, in ein Netzwerk einzudringen.

Die Kette beginnt vor dem Eindringen

Das vom US-amerikanischen Rüstungs- und Technologiekonzern Lockheed Martin entwickelte Modell der Cyber Kill Chain ordnet einen Cyberangriff in sieben Phasen:

• Aufklärung
• Entwicklung der Angriffsmittel
• Zustellung
• Ausnutzung einer Schwachstelle
• Installation
• Aufbau einer Steuerungsverbindung
• die eigentliche Aktion am Ziel

Lockheed Martin versteht die Kette als Ansatz, um Eindringversuche nicht erst ab dem Moment zu betrachten, in dem ein System bereits kompromittiert ist. Schutzmaßnahmen können damit auch an früheren Punkten der Kette ansetzen.

Wie groß die Angriffsfläche inzwischen ist, zeigt der Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) für das Jahr 2025. Zwischen Juli 2024 und Juni 2025 wurden demnach durchschnittlich 119 neue Schwachstellen pro Tag bekannt. Das waren 24 Prozent mehr als im vorherigen Berichtszeitraum. Schwachstellen in Perimetersystemen, also an den äußeren Grenzen eines Netzwerks, blieben laut BSI ein wichtiges Einfallstor für Cyberangriffe.

Aufklärung ist Teil der Abwehr

Für Herth folgt daraus eine einfache, aber anspruchsvolle Voraussetzung: "Am Ende des Tages kann man nur die Dinge schützen, die man kennt." Stadtwerke müssten daher wissen, welche Systeme, Dienste und Zugänge sie betreiben, welche Verbindungen zu Dienstleistern bestehen und wo Informationstechnik mit Betriebstechnik verbunden ist. Aus Sicht eines Angreifers seien diese Informationen wertvoll, da sie Hinweise auf mögliche Schwachstellen und Wege in ein Unternehmen liefern.

Nach Herths Darstellung ist die Aufklärung, die Angreifer durchführen, nicht zwingend spektakulär. Sie könnten öffentlich zugängliche Informationen auswerten, Systeme automatisiert untersuchen oder nach bereits veröffentlichten Zugangsdaten suchen. Für die Verteidigung bedeute das, die eigene Angriffsfläche regelmäßig zu überprüfen. "Dazu gehört auch die Frage, welche Informationen ein Unternehmen nach außen preisgibt und ob alte oder nicht mehr benötigte Zugänge noch aktiv sind."

Gültige Zugänge wirken harmlos

Firewalls, Netzsegmentierung und Schutzprogramme auf einzelnen Geräten bleiben für Herth unverzichtbar. Sie allein würden aber keine Sicherheit garantieren. "Wir wollen immer dem Angreifer ein paar Schritte voraus sein", sagt er. Dafür müssten Unternehmen nach dem Stand der Technik arbeiten und sich laufend mit neuen Angriffsmöglichkeiten befassen. Angreifer wüssten, welche Schutzmaßnahmen in Unternehmen üblich seien und richteten ihr Vorgehen darauf aus.

Herth verweist auf das Prinzip "Living off the Land". Damit bezeichnen Sicherheitsbehörden eine Vorgehensweise, bei der Angreifer bereits vorhandene, legitime System- und Administrationswerkzeuge für ihre Zwecke missbrauchen. Die Cybersecurity and Infrastructure Security Agency (CISA) warnt, dass solche Aktivitäten dadurch wie reguläre System- oder Netzwerkverwaltung aussehen können und schwerer zu erkennen sind.

Angreifer müssen dafür nicht zwingend auffällige Schadsoftware nachladen. Zusammen mit gestohlenen Zugangsdaten kann ein Angriff entstehen, der in den vorhandenen Sicherheitsmechanismen zunächst nicht als solcher erscheint. Umso wichtiger sei es laut Herth, nicht nur Anmeldungen zu prüfen, sondern auch ungewöhnliche Verhaltensmuster zu erkennen.

Der Mensch ist nur eines von vielen Zielen

Herth will den Menschen dabei nicht pauschal zum Sicherheitsrisiko erklären: "Der Mensch ist nicht das schwächste Glied." Das eigentlich schwächste Glied sei vielmehr das jeweilige Hauptangriffsziel. Das könne ein Mensch sein, aber ebenso ein ungepatchtes System, ein öffentlich erreichbares System oder eine schwache Authentifizierung. Schulungen, Mehrfaktor-Authentifizierung und technische Überwachung müssten deshalb zusammenspielen.

Wie unterschiedlich sich ein Cyberangriff auf einzelne Bereiche eines Versorgers auswirken kann, zeigt ein Fall aus Detmold. Ein Angriff legte bei den Stadtwerken Detmold im November 2025 die interne und externe Kommunikation lahm. Telefon und E-Mail waren vorübergehend nicht nutzbar. Nach Angaben der Stadtwerke blieben die Versorgung mit Strom, Gas, Wasser und Fernwärme sowie die Steuerung und Überwachung der kritischen Infrastruktur stabil. Die Polizei Bielefeld leitete Ermittlungen ein.

Detmold zeigt: Nicht jeder Dienst fällt aus

Aus den veröffentlichten Angaben der Stadtwerke lässt sich nicht ableiten, welche konkrete technische oder organisatorische Maßnahme die Versorgung vor Auswirkungen des Angriffs schützte. Der Fall zeigt aber, dass ein Angriff unterschiedliche Bereiche eines Versorgers treffen kann. Für Herth ist deshalb die Frage nach der vollständigen Vermeidung eines Angriffs nicht entscheidend. Er sagt: "Das wird man nicht schaffen." Unternehmen müssten vielmehr Angriffe erkennen und ihre Wirkung begrenzen.

Damit verschiebt sich der Schwerpunkt von der vollständigen Vermeidung eines Angriffs zur Widerstandsfähigkeit. Wer einen Angriff früh erkennt, kann Verbindungen unterbrechen, betroffene Systeme isolieren und den Betrieb aufrechterhalten. Dafür brauche es aktuelle Informationen über die eigene Infrastruktur, klare Zuständigkeiten und Menschen, die Warnungen auch auswerten, sagte Herth.

Sicherheit endet nicht beim Produkt

Herth warnt vor einem Sicherheitsverständnis, das mit dem Kauf einer technischen Lösung endet. "Cyber-Security ist kein Produkt, sondern ein Prozess", sagt er. Systeme müssten fortlaufend geprüft, Protokolldaten ausgewertet und Auffälligkeiten untersucht werden. Entscheidend sei auch, dass Netzwerk, Betriebstechnik, Sicherheitsverantwortliche und Unternehmensleitung nicht isoliert voneinander arbeiteten.

Eine Notfallübung dürfe sich deshalb nicht auf die Frage beschränken, ob ein Back-up vorhanden sei und sich wiederherstellen lasse. Viel wichtiger ist laut Herth das Durchspielen von Worst-Case-Szenarien: "Was passiert denn, wenn mein Server mal nicht da ist? Wie agiert das Unternehmen, wie agieren die Mitarbeiter? Und was passiert, wenn meinem SOC-Team oder meinem Security-Team Tools weggenommen werden?"

Nach dem Angriff soll der Zustand besser sein

Für die Zeit nach einem Vorfall geht Herth noch einen Schritt weiter. Resilienz bedeute, dass Dienste auch unter einem Angriff verfügbar blieben und ein früherer Zustand wiederhergestellt werden könne. Ihm reiche das allein nicht. "Was bringt es, wenn ich denselben Zustand wiederherstelle? Ich muss einen besseren Zustand herstellen", sagt er. Herth bezeichnet diesen weitergehenden Anspruch als "Antifragilität" – als seine Weiterentwicklung des Resilienzgedankens.

Die Perspektive des Angreifers führt damit nicht zu einer Anleitung für einen Angriff, sondern zu einer anderen Reihenfolge bei der Verteidigung: zuerst die eigene Angriffsfläche verstehen, dann wahrscheinliche Wege und Ziele prüfen, anschließend Erkennung, Reaktion und Wiederanlauf üben. Wie sich dieses Denken auf die Versorgungspraxis übertragen lässt, will Herth in seinem Vortrag auf dem Stadtwerkkongress erläutern.