Angriffserkennung in OT-Netzen: SzA prüfen und nachweisen
Betreiber von Energieanlagen müssen erkennen, wenn jemand in ihre Leittechnik greift, und das dem BSI belegen. Dieser Beitrag zeigt, was ein System zur Angriffserkennung leisten muss, wie die Reifegrad-Prüfung abläuft, warum ein OT-Netz eine eigene Lösung braucht und was das NIS2-Umsetzungsgesetz an der Nachweislogik ändert.
Betreiber von Energieversorgungsnetzen und Energieanlagen mussten den Einsatz eines Systems zur Angriffserkennung erstmals am 1. Mai 2023 gegenüber dem BSI nachweisen, danach alle zwei Jahre. Grundlage war § 11 Absatz 1f EnWG, ergänzt durch § 8a Absatz 1a BSIG für KRITIS-Betreiber allgemein. Ein solches System deckt drei Funktionsbereiche ab: Protokollierung, Detektion und Reaktion. Wie gut es ist, misst die BSI-Orientierungshilfe OH SzA, deren überarbeitete Fassung am 18. November 2024 erschien. Prüfer bewerten den Reifegrad auf einer Skala von 0 bis 5. Mindestniveau ist Reifegrad 3 mit allen MUSS-Anforderungen, angestrebt wird Reifegrad 4 mit MUSS und SOLL. Für ein OT-Netz taugt keine umgelabelte Büro-IT. Beobachtet wird passiv über SPAN-Ports oder Netzwerk-Taps, die Detektion muss OT-Protokolle wie IEC 60870-5-104, Modbus, DNP3 und IEC 61850 verstehen, und ohne gepflegtes Asset-Inventar erkennt niemand etwas. Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Es streicht die eigenständige Meldung nach § 11 Absatz 1f EnWG und verschiebt die Pflicht in den IT-Sicherheitskatalog nach § 5c Absatz 4 Nummer 11 EnWG. Die Pflicht selbst bleibt.
Warum die Angriffserkennung im OT-Netz zur Nachweispflicht wird
Ein System zur Angriffserkennung ist für Energieversorger keine Empfehlung, sondern eine geprüfte Pflicht. Betreiber von Energieversorgungsnetzen und Energieanlagen mussten den Einsatz erstmals am 1. Mai 2023 belegen, und danach alle zwei Jahre. Wer den Nachweis nicht erbringt, gibt eine unvollständige Meldung ab. So streng ist das.
Der Ausgangspunkt war § 11 Absatz 1f EnWG, für KRITIS-Betreiber allgemein ergänzt durch § 8a Absatz 1a BSIG. Der Nachweis geht an das Bundesamt für Sicherheit in der Informationstechnik, geprüft wird nicht vom Betreiber selbst, sondern von einer registrierten prüfenden Stelle. Der Turnus läuft seit 2023 im Zwei-Jahres-Takt: 2023, 2025, der nächste Termin liegt 2027.
Der Grund für die Pflicht steht in jedem Lagebericht. Energieanlagen sind ein bevorzugtes Ziel, und die Angriffe kommen nicht nur von Kriminellen, sondern auch aus dem staatlichen Umfeld. Der Wiper DynoWiper der Gruppe Sandworm hat gezeigt, wie gezielt Schadsoftware heute auf Leittechnik zielt. Erkennen lässt sich so ein Angriff nur, wenn jemand hinschaut, systematisch und automatisiert.
Was ein System zur Angriffserkennung leisten muss
Ein SzA ist kein Kästchen, das man kauft und ins Rack schraubt. Es ist ein Zusammenspiel aus Technik, Prozessen und Personal. § 8a Absatz 1a BSIG teilt es in drei Funktionsbereiche, und alle drei müssen sitzen. Fehlt einer, hilft der Rest wenig.
Die drei Bereiche bauen aufeinander auf:
- Protokollierung: Sicherheitsrelevante Ereignisse aus IT und OT werden zentral, manipulationssicher und lang genug gespeichert. Das ist die Datenbasis. Wer hier lückenhaft sammelt, kann später nichts erkennen und im Zweifel auch nichts rekonstruieren.
- Detektion: Gespeicherte und laufende Daten werden automatisiert mit Angriffsmustern abgeglichen. Auffälligkeiten werden gemeldet, nicht in einem Log versteckt, das niemand liest. Genau hier trennt sich ein echtes SzA von einem reinen Logserver.
- Reaktion: Ein erkannter Vorfall löst definierte Abläufe aus, von der Alarmierung der richtigen Leute bis zur Eindämmung. Wer erst im Ernstfall überlegt, wer zu benachrichtigen ist, hat schon verloren.
Die Orientierungshilfe und die Reifegrad-Bewertung
Wie gut ein SzA ist, wird nicht nach Bauchgefühl beurteilt. Das BSI hat dafür eine Orientierungshilfe geschrieben, die OH SzA. Sie bündelt die Anforderungen als MUSS und SOLL und ordnet jede den drei Funktionsbereichen zu. Die erste Fassung kam im Herbst 2022, die überarbeitete Version am 18. November 2024.
In der Prüfung vergeben die Prüfer einen Reifegrad von 0 bis 5. Das Mindestniveau ist Reifegrad 3, bei dem alle MUSS-Anforderungen umgesetzt sind. Angestrebt wird Reifegrad 4, der zusätzlich die SOLL-Anforderungen abdeckt oder begründet, warum einzelne davon nicht gelten. Reifegrad 5 ist der Vollausbau. Wer bei 2 landet, hat die Pflicht nicht erfüllt, egal wie teuer die eingekaufte Technik war.
Die Prüfung fragt nicht, ob ein Produkt installiert ist, sondern wie reif Protokollierung, Detektion und Reaktion zusammenspielen. Reifegrad 3 ist das Minimum, Reifegrad 4 der realistische Zielwert. Das entscheidet sich an Prozessen und Personal, nicht allein an der Software.
Warum OT-Netze eine eigene Angriffserkennung brauchen
Ein SzA aus der Büro-IT lässt sich nicht einfach in die Leittechnik stecken. OT-Netze ticken anders. Alte Protokolle, empfindliche Prozesse, Anlagen, die seit zwanzig Jahren laufen und einen Neustart übelnehmen. Ein aktiver Portscan, im IT-Netz reine Routine, kann eine Steuerung aus dem Tritt bringen.
Deshalb sieht die Angriffserkennung im OT-Netz anders aus:
- Passiv statt aktiv: Beobachtet wird über SPAN-Ports oder Netzwerk-Taps, die den Datenverkehr spiegeln. Das System hört mit, es fragt nicht nach. So bleibt der Prozess unberührt.
- Protokolle verstehen: Die Detektion muss die Sprache der Leittechnik kennen, IEC 60870-5-104, Modbus, DNP3, IEC 61850. Ein Werkzeug, das nur TCP-Ports zählt, sieht den eigentlichen Angriff auf eine Schutzfunktion nicht.
- Asset-Inventar als Basis: Erkennen lässt sich nur, was bekannt ist. Ohne aktuelle Liste aller Geräte, Firmwarestände und normalen Kommunikationsbeziehungen fehlt der Maßstab, an dem sich eine Anomalie überhaupt zeigt.
Diese OT-Sicht ergänzt die Härtung, die über OT-Security nach IEC 62443 und dem Cyber Resilience Act läuft. Härtung senkt die Angriffsfläche, die Angriffserkennung sieht, wenn trotzdem jemand durchkommt. Beides gehört zusammen.
Was das NIS2-Umsetzungsgesetz an der Nachweislogik ändert
Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Es ordnet die Rechtsgrundlagen neu, ohne die eigentliche Pflicht zu streichen. Für Energieversorger ist das mehr als Kosmetik, denn die vertraute Meldeschiene ändert sich.
Die Pflicht bleibt, der Meldeweg wandert. Die eigenständige SzA-Meldung nach § 11 Absatz 1f EnWG entfällt. Die Pflicht zum Einsatz eines Systems zur Angriffserkennung geht in die Anforderungen des IT-Sicherheitskatalogs nach § 5c Absatz 4 Nummer 11 EnWG über. Rund 29.500 Unternehmen fallen jetzt unter die BSI-Aufsicht, die Registrierungsfrist endete am 6. März 2026. Wer den Nachweis vom Mai-Turnus kennt, sollte prüfen, wo er künftig zusammenläuft.
Der rote Faden bleibt: Ein SzA betreiben, seine Wirksamkeit prüfen lassen, das Ergebnis belegen. NIS2 verschiebt die Verankerung und weitet den Kreis der Verpflichteten, es macht die Angriffserkennung aber nicht optional. Wie das Gesetz mit dem KRITIS-Dachgesetz zusammenspielt, ordnet der Beitrag zu NIS2 und dem KRITIS-Dachgesetz ein. Und wer schon jetzt an den NIS2-Meldepflichten für Stadtwerke arbeitet, kann die Angriffserkennung gleich mitdenken.
Was Betreiber jetzt tun sollten
Der Weg zum belastbaren Nachweis ist planbar, wenn er früh beginnt. Die Prüfung fragt nach Reifegraden, nicht nach guten Vorsätzen. Vier Schritte bringen das in Form.
-
Geltungsbereich klären
Leg fest, welche OT-Netze und Energieanlagen unter die Pflicht fallen und wo die Grenze zwischen IT und OT verläuft. Ein unscharfer Geltungsbereich ist der häufigste Grund, warum eine Prüfung länger dauert als geplant.
-
Ist-Stand gegen die OH SzA erheben
Geh die MUSS- und SOLL-Anforderungen der Orientierungshilfe durch und bestimme den aktuellen Reifegrad ehrlich. Ein zu optimistisches Selbstbild fliegt spätestens beim Prüfer offen, dann kostet es Zeit.
-
Lücken zu Reifegrad 3 und 4 schließen
Priorisiere die Lücken, die zwischen dem heutigen Stand und Reifegrad 3 liegen, danach die zu Reifegrad 4. Der Schwerpunkt liegt meist bei der lückenlosen Protokollierung und einer OT-tauglichen Detektion, nicht beim Einkauf noch eines weiteren Tools.
-
Prüftermin und Turnus verankern
Plane den Termin mit einer registrierten prüfenden Stelle rechtzeitig und trag den Zwei-Jahres-Turnus fest in den Compliance-Kalender ein. Der Nachweis ist keine Einmalaufgabe, sondern eine wiederkehrende.
Ein System zur Angriffserkennung im OT-Netz ist für Energieversorger Pflicht, nachzuweisen alle zwei Jahre gegenüber dem BSI und bewertet mit einem Reifegrad von 0 bis 5. Reifegrad 3 ist das Minimum, Reifegrad 4 der Zielwert. Wer den Geltungsbereich früh klärt, den Ist-Stand ehrlich erhebt und die Protokollierung sowie die OT-taugliche Detektion in den Vordergrund stellt, geht mit einem belastbaren Nachweis in die Prüfung.
Weiterführende Informationen
Häufig gestellte Fragen
Ein System zur Angriffserkennung ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Technik, Prozessen und Personal. Nach § 8a Absatz 1a BSIG deckt es drei Funktionsbereiche ab: die Protokollierung sicherheitsrelevanter Ereignisse, die automatisierte Detektion von Angriffen und die Reaktion auf erkannte Vorfälle. Es überwacht sowohl IT- als auch OT-Netze.
Betreiber von Energieversorgungsnetzen und Energieanlagen mussten den Einsatz eines Systems zur Angriffserkennung erstmals am 1. Mai 2023 gegenüber dem BSI nachweisen und danach alle zwei Jahre. Der Nachweis erfolgt über eine registrierte prüfende Stelle. Eine Meldung ohne diesen Nachweis gilt als unvollständig.
Die Prüfung bewertet den Reifegrad des Systems zur Angriffserkennung auf einer Skala von 0 bis 5, orientiert an der BSI-Orientierungshilfe OH SzA. Mindestniveau ist Reifegrad 3, bei dem alle MUSS-Anforderungen erfüllt sind. Angestrebt wird Reifegrad 4, der zusätzlich die SOLL-Anforderungen umfasst.
OT-Netze nutzen andere Protokolle und laufen empfindliche Prozesse, die aktive Scans aus der Büro-IT stören können. Deshalb beobachtet die Angriffserkennung im OT-Netz passiv über SPAN-Ports oder Netzwerk-Taps, ohne in den Prozess einzugreifen. Die Detektion muss OT-Protokolle wie IEC 60870-5-104, Modbus, DNP3 und IEC 61850 verstehen und setzt ein gepflegtes Asset-Inventar voraus.
Das NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft und ordnet die Rechtsgrundlagen neu. Die eigenständige SzA-Meldung nach § 11 Absatz 1f EnWG entfällt, die Pflicht zum Einsatz eines Systems zur Angriffserkennung wandert in die Anforderungen des IT-Sicherheitskatalogs nach § 5c Absatz 4 Nummer 11 EnWG. Die eigentliche Pflicht bleibt bestehen.