Eindringling im Netz: Warum NIDS in Umspannwerken zur Pflicht wird

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit „Monitoring in der Stationsautomatisierung“ eine Empfehlung für das Sicherheitsmonitoring der Stationsautomatisierung in Energienetzen veröffentlicht. In dem im März 2025 veröffentlichten Dokument empfiehlt das BSI für dezentral geführte Energieversorgungsanlagen wie Umspannwerke unter anderem die Installation eines netzbasierten Angriffserkennungssystems beziehungsweise eines Network Intrusion Detection Systems (NIDS).

Was Energieversorger jetzt wissen müssen

Das BSI begründet seine Empfehlung mit der zunehmenden Digitalisierung und Vernetzung kritischer Anlagen durch exponierte Netzwerkkomponenten sowie der wachsenden Gefahr von Supply-Chain-Kompromittierungen. Bei dieser Form des Cyberangriffs versuchen Angreifer, sowohl über die Komponentenhersteller als auch über die Dienstleister, die in der Regel weitreichende Privilegien für die Systeme besitzen, in ein Netzwerk einzudringen. Die OT (Operational Technology, also Netzleit- und Fernwirktechnik) ist aufgrund ihres geringen eigenen Grads an Cybersicherheit besonders anfällig für externe Kompromittierung und Störung.

„Die Entscheidung des BSI spiegelt unsere Beobachtungen der letzten zehn Jahre aus Schwachstellenbewertungen sowie dem laufenden Betrieb unseres Angriffserkennungssystems in OT-Netzen wider“, kommentiert René Krause, Teamleiter Support bei Rhebo. Das Leipziger Technologieunternehmen bietet seit 2015 ein speziell für die OT entwickeltes NIDS (Network Intrusion Detection System), das passives Sicherheitsmonitoring mit Anomalieerkennung verbindet. Das Angriffserkennungssystem schützt bereits eine Vielzahl von Netzleitstellen deutscher Energieversorgungsunternehmen vor mehrstufigen Angriffen, versteckten Sicherheitsrisiken und technischen Fehlerzuständen.

„Die Kerngefahr für die OT der deutschen Energieversorgung geht von veralteten Systemen, schwacher Authentifizierung und umfassenden Fernzugriff-Privilegien aus. Diese Sicherheitslücken können jedoch nicht so einfach abgestellt werden. Ein NIDS bildet deshalb die beste Lösung, um dieses bleibende Restrisiko in den Griff zu bekommen. Was ich nicht direkt absichern kann, muss ich kontinuierlich überwachen.“

Arbeitsaufwand minimieren und Reaktionsfähigkeit sichern

Das Ziel der BSI-Empfehlung ist, dass Energieversorgungsunternehmen sicherheitsrelevante Ereignisse (SRE) in ihrer Stationsautomatisierung schnellstmöglich erkennen und darauf reagieren können. Dazu empfiehlt das BSI, dass das industrielle System zur Angriffserkennung die SRE an eine zentrale Instanz im Unternehmen übermittelt – in der Regel ein SIEM –, um die OT-Sicherheit ressourcenschonend in die allgemeine IT-Sicherheit zu integrieren. Rhebo ermöglicht seit 2019 die Übermittlung der Sicherheitsmeldungen an SIEM-Systeme, unter anderem von Splunk und IBM QRadar.

Für das einfache Anlernen des NIDS empfiehlt das BSI in IEC-61850-Infrastrukturen die Nutzung der bestehenden .scd-Datei – eine von Rhebo seit einigen Jahren angebotene Methode, um das Baselining der Anomalieerkennung zu automatisieren.

„Die Empfehlung für ein Monitoring in der Stationsautomatisierung ist ein wichtiger Schritt, um die deutsche Energieversorgung gegen bestehende und kommende Cybergefahren resilienter zu machen“, so René Krause. Denn wie das BSI in seiner Empfehlung anmerkt, wird nicht davon ausgegangen, dass Angriffe direkt über die zentrale Leittechnik erfolgen. Vielmehr suchen sich Angreifende „gezielt Systeme, die nur schwach gesichert und kontrolliert werden. Das Monitoring in Umspannwerken ist damit für den Schutz der kritischen Dienstleistung genauso wichtig wie der Schutz der zentralen Netzleittechnik.“

Rhebo bietet einfache und effektive Cybersicherheitslösungen für die Netzleit-, Fernwirk- und Steuerungstechnik sowie für verteilte industrielle Anlagen in Energieunternehmen, kritischen Infrastrukturen und Industrieunternehmen. Das deutsche Unternehmen unterstützt Kunden auf dem gesamten Weg der OT-Sicherheit – von der initialen Risikoanalyse bis hin zum betreuten OT-Monitoring mit Anomalie- und Angriffserkennung. Seit 2021 ist Rhebo Teil von Landis+Gyr, einem globalen Anbieter integrierter Energiemanagement-Lösungen für die Energiewirtschaft mit weltweit rund 7.500 Mitarbeitenden in über 30 Ländern.