Ransomware-Resilienz für Stadtwerke: Melden, Nachweisen, Wiederherstellen

Warum NIS2 die Stadtwerke jetzt in die Pflicht nimmt

Cybersicherheit ist bei Stadtwerken keine Kür mehr, sondern Gesetz. Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz, und der Bundestag hatte es am 13. November 2025 beschlossen, der Bundesrat eine Woche später bestätigt. Rund 29.500 Unternehmen fallen darunter. Viele Stadtwerke sind dabei, mal als wichtige, mal als besonders wichtige Einrichtung, die großen als Betreiber kritischer Anlagen.

Wer betroffen ist, hängt an Sektor und Größe. Ab etwa 50 Beschäftigten oder 10 Millionen Euro Umsatz greifen die Pflichten. Und die Registrierungsfrist ist längst gelaufen, sie endete am 6. März 2026. Das BSI behält sich seither Bußgelder vor. Das ist der Rahmen, den das NIS2-Umsetzungsgesetz und das KRITIS-Dachgesetz gemeinsam aufspannen.

Warum trifft es ausgerechnet Ransomware so hart? Weil sie genau das angreift, was ein Versorger braucht: laufende Systeme. Ein verschlüsseltes Netz, eine stehende Abrechnung, ein blockiertes Bürgerportal, und schon ist der erhebliche Vorfall da, der die Meldepflicht auslöst. Der Sektor kennt das Muster bereits aus der Energieregulierung, etwa dem IT-Sicherheitskatalog nach Paragraf 5c EnWG.

Die Meldekette: 24 Stunden, 72 Stunden, ein Monat

Sobald das Stadtwerk den Vorfall bemerkt, läuft die Uhr. Drei feste Stufen hat die Meldekette nach Paragraf 32 BSIG, jede ausführlicher als die davor. Der Startpunkt ist der Knackpunkt. Nicht das Ende der Forensik zählt, sondern die Kenntnis.

Die einzelnen Stufen im Detail:

• Erstmeldung, binnen 24 Stunden: unverzüglich nach Kenntnis. Sie ist knapp und sagt vor allem, dass etwas Erhebliches passiert ist und ob ein rechtswidriger Angriff vermutet wird.
• Folgemeldung, binnen 72 Stunden: eine erste Bewertung. Art des Vorfalls, betroffene Systeme, Indikatoren einer Kompromittierung und der Schweregrad gehören hier hinein.
• Zwischenmeldungen, auf Anforderung: solange der Vorfall andauert, kann das BSI Zwischenstände verlangen.
• Abschlussmeldung, binnen eines Monats: der vollständige Bericht mit Ursachen, ergriffenen Maßnahmen und etwaigen grenzüberschreitenden Auswirkungen.

KRITIS-Betreiber melden obendrauf, welche Anlagen und welche kritischen Dienste hängen. Viel Bürokratie im Ausnahmezustand? Ja. Und trotzdem der falsche Moment, um sie zu improvisieren. Der Ernstfall entscheidet sich vorher: an bereitliegenden Rollen, Kontakten, Vorlagen. Wer erst mitten im Angriff überlegt, wer das BSI eigentlich anruft, hat die 24 Stunden schon verloren.

Nachweispflicht: alle drei Jahre belegen

Melden allein reicht nicht. Man muss auch belegen können, dass der Schutz wirkt. Für Betreiber kritischer Anlagen steht das in Paragraf 39 BSIG: alle drei Jahre ein Nachweis ans BSI, dass die Risikomanagementmaßnahmen tatsächlich laufen.

Voll greift diese Prüfbefugnis erst drei Jahre nach Inkrafttreten, ab Dezember 2028. Kein Grund zum Abwarten. Ein belastbarer Nachweis fällt nicht in ein paar Wochen vom Himmel, er ist das Nebenprodukt eines gepflegten Managementsystems, das über Jahre läuft. Bei besonders wichtigen Einrichtungen kann das BSI ein Audit auch jederzeit anordnen, gern direkt nach einem Vorfall. Und wer die Pflichten aus dem Netzkodex Cybersicherheit schon kennt, sieht hier vertraute Bausteine.

Warum Stadtwerke ein lohnendes Ziel sind

Betriebstechnik, Abrechnung, Bürgerdienste, ein kommunaler Versorger hält all das zusammen. Oft auf gewachsener IT, oft mit knappem Budget. Ein Angriff trifft dann nicht eine Sparte, sondern mehrere auf einmal. Und fällt ein gemeinsamer IT-Dienstleister aus, hängen gleich Dutzende Kommunen mit drin.

Südwestfalen-IT zeigt, wie schnell das eskaliert. Ende Oktober 2023, ein kommunaler IT-Dienstleister, die Akira-Ransomware verschlüsselt die Systeme. Über 100 Kommunen tagelang offline oder kaum arbeitsfähig. Bürgerbüro, Kfz-Zulassung, Zahlungsverkehr, alles stand. Die Wiederherstellung zog sich bis September 2024, gekostet hat sie rund 2,8 Millionen Euro. Erst danach kamen flächendeckende Multi-Faktor-Authentifizierung und eine strengere Segmentierung.

Der Fall ist kein Einzelereignis, sondern Teil eines Trends. Der BSI-Lagebericht 2025 zählt 950 vom BKA dokumentierte Ransomware-Angriffe, 72 Prozent davon mit Datenabfluss. Besonders betroffen sind Energie, Wasser und Verkehr. Und fast die Hälfte der KRITIS-Betreiber hat kein System zur Angriffserkennung. Das ist die eigentlich beunruhigende Zahl: nicht dass angegriffen wird, sondern dass es bei vielen niemand rechtzeitig bemerkt.

Resilienz: Backup, Segmentierung, geübte Wiederherstellung

Am Ende zählt gegen Ransomware eine einzige Frage. Wie schnell bist du wieder im Betrieb? Paragraf 30 BSIG nennt das Business Continuity. Der Kern davon ist die Wiederherstellbarkeit, und die steht und fällt mit dem Backup. Eines, das im Angriff mitverschlüsselt wird, ist keins.

Vier Bausteine tragen die Resilienz:

• Unveränderliche Backups: Die 3-2-1-Regel als Minimum, also drei Kopien auf zwei Medien mit einer Kopie außer Haus, ergänzt um eine unveränderliche (immutable) und offline gehaltene Kopie. Sie lässt sich im Angriff weder verschlüsseln noch löschen.
• Netzsegmentierung: Betriebstechnik und Büro-IT trennen. So springt eine Infektion nicht von einer befallenen Bürokiste in die Netzleitstelle.
• Multi-Faktor-Authentifizierung: eine Pflichtmaßnahme nach Paragraf 30. Sie stoppt den Großteil der Angriffe, die über gekaperte Zugangsdaten laufen.
• Geübter Wiederanlauf: mit definierten RTO- und RPO-Zielen, regelmäßig getestet. Ein Plan, den niemand je durchgespielt hat, hält dem Ernstfall selten stand.

Wie sehr Tempo zählt, sagt eine Zahl aus der IBM-Studie 2025. 170 Tage brauchten deutsche Unternehmen im Schnitt, um einen Vorfall überhaupt zu erkennen und einzudämmen. 170 Tage. Jeder davon kostet, in Geld und in Vertrauen. Deshalb gehört die Sicherheit der angebundenen Systeme von Anfang an ins Konzept, so wie es die OT-Security nach IEC 62443 für Energieanlagen beschreibt.

Herausforderungen und Risiken

Die Pflichten sind klar formuliert. Die Umsetzung ist es selten. Vier Punkte machen sie in der Praxis schwer.

Erstens die Meldeschwelle. Was ist ein erheblicher Vorfall? Die Grenze ist auslegungsbedürftig. Wer zu viel meldet, bindet Ressourcen, wer zu wenig meldet, riskiert das Bußgeld. Diese Unsicherheit lässt sich nur mit klaren internen Kriterien auflösen.

Zweitens die Zeit. Die Frist läuft ab Kenntnis, auch um drei Uhr nachts und am Feiertag. Ohne einen 24/7-Meldeweg mit erreichbaren Verantwortlichen ist die 24-Stunden-Frist kaum zu halten.

Drittens die Zuständigkeit. Viele Stadtwerke betreiben ihre IT nicht selbst, sondern über einen kommunalen Dienstleister. Wer meldet dann, und wer haftet? Das gehört vertraglich geregelt, sonst zeigen im Ernstfall alle aufeinander.

Viertens Budget und Fachkräfte. Nachweise, Audits und ein Angriffserkennungssystem kosten Geld und Personal, gerade kleinere Versorger spüren das. Die Verantwortung liegt trotzdem bei der Geschäftsleitung persönlich. Delegieren an einen Dienstleister entbindet nicht von der Aufsichtspflicht. Datenschutz kommt obendrauf, denn ein Datenabfluss ist parallel ein Fall für die Sicherheit und den Datenschutz nach DSGVO.

Was Stadtwerke jetzt tun sollten

Der wichtigste Schritt passiert vor dem Vorfall. Nicht mittendrin. Wer die Meldekette einmal durchgespielt hat, verliert im Ernstfall keine Stunden mit Grundsatzfragen. Vier Schritte bringen ein Stadtwerk in Form.

1. Registrierung und Meldeweg aufsetzen

   Prüfe zuerst, ob die Registrierung beim BSI erfolgt ist, und hole sie bei Bedarf nach. Richte dann einen 24/7-Meldeweg mit Vorlagen und benannten Verantwortlichen für die drei Stufen 24 Stunden, 72 Stunden und ein Monat ein. Eine Meldung, die im Ernstfall aus der Schublade kommt, gewinnt Zeit.

2. Backups unveränderlich machen und testen

   Führe die 3-2-1-Regel plus eine unveränderliche, offline gehaltene Kopie ein. Und teste die Wiederherstellung mindestens einmal im Jahr mit klaren RTO- und RPO-Zielen. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, kein Schutz.

3. Angriffsfläche verkleinern

   Trenne Betriebstechnik und Büro-IT per Segmentierung, mach Multi-Faktor-Authentifizierung zur Pflicht und führe ein System zur Angriffserkennung ein. Fast die Hälfte der KRITIS-Betreiber hat noch keins, das ist die größte offene Lücke.

4. Nachweisfähigkeit aufbauen und Zuständigkeiten klären

   Plane Audits oder eine ISO-27001-Zertifizierung für die Nachweispflicht nach Paragraf 39 ein, bevor 2028 die Prüfbefugnis voll greift. Und regle die Verantwortung zwischen Stadtwerk und IT-Dienstleister schriftlich, inklusive Melde- und Wiederanlaufpflichten.

Weiterführende Informationen

Häufig gestellte Fragen