Von Stephanie Gust
Ein massiver Anstieg von Cyberangriffen trifft auf eine zunehmend digital vernetzte Energieinfrastruktur. Im ersten Halbjahr 2025 registrierte der IT-Sicherheitsanbieter Link11 im eigenen Netzwerk 225 Prozent mehr DDoS-Attacken als im Vorjahreszeitraum – darunter hochpräzise Layer-7-Angriffe, die sich kaum noch vom regulären Datenverkehr unterscheiden. Gleichzeitig wächst die Zahl potenzieller Einfallstore: Wechselrichter, Cloud-verbundene PV-Systeme und unsichere Schnittstellen erhöhen das Risiko für Netzbetreiber.
"Wenn ich Zugriff auf ein Standardpasswort bekomme, kann ich im schlimmsten Fall 10.000 Wechselrichter kontrollieren – oder mich zumindest zwischen Gerät und Cloud-Backend schalten", sagt Lisa Fröhlich, Cybersicherheitsexpertin bei Link11, im Gespräch mit der ZfK. Besonders kritisch sei, dass viele Geräte nicht nach dem Prinzip "Security by Design" entwickelt würden und der regulatorische Schutz noch nicht greift.
Angriffslandschaft 2025 & Risiken in der Energietechnik
Zentrale Zahlen aus dem Cyber-Report von Link11 (1. Halbjahr 2025):
- 225 Prozent mehr DDoS-Angriffe gegenüber dem Vorjahr
- 438 Terabyte Angriffsvolumen (entspricht sieben Jahren 4K-Streaming)
- 1,2 Terabit/s maximale Bandbreite
- 207 Millionen Pakete pro Sekunde (Spitzenwert)
- Dauer der längsten dokumentierten Attacke: über 8 Tage
Sicherheitsrisiken für Stadtwerke und Netzbetreiber:
- Voreingestellte Passwörter bei PV-Komponenten
- Ungesicherte Cloud-APIs und offene Schnittstellen
- IoT-Geräte ohne Netztrennung im Haushalt
- Schwaches Patch-Management bei Herstellern
- Mangelnde Netzsegmentierung in der Infrastruktur
- Supply-Chain-Angriffe über Drittsysteme und Software
Link zum Dowonload des Reports
Schwachstellen in PV-Systemen: Wenn Geräte zur Angriffsplattform werden
Viele der heute installierten PV-Anlagen – vom Balkonkraftwerk bis zur gewerblichen Einspeiseanlage – verfügen über eine digitale Steuerung via App oder Cloud. Der Wechselrichter als Herzstück ist dabei häufig mit dem Heimnetz oder einem Backend-Anbieter verbunden. Das birgt laut Fröhlich erhebliche Risiken: "Die wenigsten ändern voreingestellte Passwörter oder beachten Netzwerksicherheit. Das wissen auch die Angreifer."
Ein weiteres Problem sind schlecht gesicherte Schnittstellen (APIs) bei herstellereigenen Cloud-Lösungen. Diese sind oft nicht ausreichend gehärtet, das Patch-Management ist lückenhaft. Angreifer können bekannte Schwachstellen nutzen oder Geräte automatisiert in Botnetze instrumentalisieren. Fröhlich: "Eine einzige Lücke reicht aus, wenn die Angreifer die Motivation und Mittel haben."
Zielscheibe Stromnetz: Zwischen Theorie und realer Gefahr
Angriffe auf Energieanlagen sind längst keine hypothetischen Szenarien mehr. Politisch motivierte Gruppen wie "NoName057(16)" nehmen laut Link11 gezielt Versorgungsunternehmen, Stadtportale oder Fernwärmenetze ins Visier. Häufig zeitlich abgestimmt auf geopolitischen Entscheidungen. Allein im ersten Halbjahr 2025 wurden 438 Terabyte DDoS-Traffic im Link11-Netzwerk abgewehrt. Der längste Angriff dauerte über acht Tage.
Gleichzeitig wächst die Gefahr durch sogenannte "Nuisance Attacks" – gezielte Störangriffe mit geringer Bandbreite, die unterhalb klassischer Schutzsysteme bleiben. Sie verursachen Paketverluste, Verbindungsprobleme oder Fehlverhalten von Regeltechnik. In Kombination mit ungepatchter Betriebstechnik oder Lieferkettenangriffen auf Software-Drittsysteme kann dies gravierende Folgen haben.
Einen gezielten Cyberangriff auf das Stromnetz in Deutschland hält Fröhlich dennoch für unwahrscheinlich. "Technisch wäre das durchaus möglich – doch die politischen Hürden wären enorm, da ein solcher Angriff als kriegerische Handlung gewertet werden könnte", sagt sie. Zwar sei das Stromsystem durch seine Dezentralität und digitale Durchdringung anfällig, doch konkrete Angriffe in Friedenszeiten seien derzeit nicht zu erwarten. Die Ausnahme seien Länder im Konfliktzustand, wie etwa die Ukraine, wo 2014 nachweislich Angriffe auf die Energieversorgung stattfanden.
KI verändert die Bedrohung – von Masse zu Präzision
Ein weiterer Faktor, der die Angriffslandschaft verändert, ist der zunehmende Einsatz von künstlicher Intelligenz. Laut Link11 nutzen Angreifer automatisierte Tools, um Schwachstellen schneller zu erkennen, Botnetze gezielter einzusetzen und legitimen Datenverkehr zu imitieren. Besonders tückisch sind dabei sogenannte Layer-7-DDoS-Angriffe: Sie zielen nicht auf die Überlastung der Leitung, sondern auf die Anwendungsebene – etwa durch tausende scheinbar normale HTTP-Anfragen pro Minute. So wird der Server mit scheinbar normalen Aufgaben überfordert – er bricht zusammen, obwohl keine klassische Datenflut erkennbar ist. "20.000 täuschend echte Requests pro Minute können gefährlicher sein als 200 Millionen Pakete pro Sekunde", sagt Jag Bains, VP Solution Engineering bei Link11.
Auch Fröhlich warnt: "Künstliche Intelligenz senkt die Einstiegshürde für Angreifer. Phishing-Mails, die früher holprig formuliert waren, klingen heute täuschend echt." Die Automatisierung und Arbeitsteilung in der Cybercrime-Szene nehme spürbar zu – ein Trend, der auch Stadtwerke und Netzbetreiber direkt betreffe.
IoT-Geräte im Haushalt – unterschätzte Einfallstore ins Energiesystem
Neben den kritischen Infrastrukturen geraten zunehmend auch Haushaltsgeräte mit Netzwerkanbindung ins Visier. Fröhlich warnt: "Sobald Geräte mit dem Internet verbunden sind, öffnen sich neue potenzielle Angriffspunkte – egal ob es um Saugroboter, smarte Thermostate oder PV-Wechselrichter geht."
Viele dieser Geräte sind Bestandteil moderner Smart-Home-Systeme, teilen sich aber oft dieselbe Netzwerkstruktur wie sensible Geräte – etwa Arbeitsrechner im Homeoffice oder Energietechnik. "Wenn der Wechselrichter am Router hängt, an dem auch mein PC angeschlossen ist, kann ein schlecht abgesichertes Gerät die gesamte Infrastruktur kompromittieren", so Fröhlich. Eine saubere Trennung zwischen Haushaltsnetz und Betriebsnetz sei die Ausnahme – nicht die Regel.
Laut Link11 zeigt sich in vielen DDoS-Kampagnen, dass unsichere IoT-Geräte als Botnetz-Knoten missbraucht werden, ohne dass die Betroffenen es merken. Die Gefahr wächst mit der Zahl vernetzter Haushaltsgeräte, die in Europa inzwischen in die Millionen geht.
Cybersicherheit muss in die Fläche – und zur Chef:innen-Sache werden
"Ein sicher konfigurierter Wechselrichter ist wertlos, wenn die übergeordnete IT-Architektur lückenhaft ist", warnt Fröhlich. Besonders kritisch sei, dass viele Industriekomponenten eine lange Lebensdauer haben – bis zu 50 Jahre – und aktuell in eine digitalisierte Welt ohne durchgängige Sicherheitsstandards hineinragen. Netzbetreiber müssen daher stärker auf Segmentierung, Redundanz und Abwehrsysteme setzen.
Hoffnung setzt Fröhlich auf den Cyber Resilience Act, der ab 2027 alle digitalen Produkte in Europa verpflichtend absichern soll – mit CE-Zertifizierung für Cybersicherheit. Bis dahin gelte: "Cybersicherheit muss Bestandteil jeder Risikobewertung, jeder Netzplanung und jedes Beschaffungsprozesses sein."
