Auf Basis der Forschungsarbeiten von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Die Energiewende dezentralisiert die Stromerzeugung: Statt weniger großer Kraftwerke speisen heute zehntausende Windräder, Solaranlagen und Speichersysteme in die Netze ein – jedes von ihnen digital gesteuert, vernetzt und fernwartbar. Was die Energieversorgung flexibler macht, schafft zugleich eine enorme neue Angriffsfläche. Ein koordinierter Cyberangriff auf vernetzte Erneuerbare-Energien-Anlagen könnte Netze destabilisieren und im Extremfall Blackouts auslösen. Teichmann hat die spezifischen Cyberrisiken und die Pflichten unter NIS-2 analysiert (Teichmann, Cyberangriffe auf Erneuerbare-Energien-Anlagen – Risikoanalyse und Regulierungsoptionen, REE 2025, S. 143–150; ders., NIS-2 in der Energiewirtschaft: Pflichten und Haftungsregime für KRITIS-Betreiber, EnWZ 2025, S. 248–253).

Die neue Angriffsfläche der Energiewende

Erneuerbare Energien unterscheiden sich grundlegend von der klassischen, zentralisierten Energieerzeugung. Teichmann identifiziert mehrere spezifische Risikofaktoren: die schiere Anzahl der Angriffspunkte, da jede einzelne Anlage ein potenzielles Einfallstor ist; die oft mangelhafte Sicherheit der eingesetzten Steuerungstechnik; die für den wirtschaftlichen Betrieb unverzichtbaren Fernwartungszugänge, die aber zugleich Türen für Angreifer öffnen; und die Aggregation, durch die viele dezentrale Anlagen über zentrale Leitsysteme gebündelt werden – wer dieses zentrale System kompromittiert, kann potenziell tausende Anlagen gleichzeitig beeinflussen (Teichmann, REE 2025, S. 143–150).

Das Schreckensszenario: Koordinierter Angriff auf das Netz

Das gravierendste Risiko ist ein koordinierter Angriff, der gleichzeitig viele Erneuerbare-Energien-Anlagen manipuliert. Da diese Anlagen einen wachsenden Anteil der Stromerzeugung ausmachen, könnte ein solcher Angriff die Netzstabilität gefährden. Wenn plötzlich eine große Menge eingespeister Leistung wegfällt oder unkontrolliert schwankt, drohen Frequenzabweichungen und im schlimmsten Fall ein großflächiger Stromausfall. Dieses Szenario ist kein theoretisches Gedankenspiel – mit dem steigenden Anteil erneuerbarer Energien wächst auch die systemische Bedeutung ihrer Cybersicherheit (Teichmann, REE 2025, S. 143–150).

NIS-2: Erweiterter Geltungsbereich für die Energiewirtschaft

NIS-2 hat den Anwendungsbereich in der Energiewirtschaft erheblich ausgeweitet. Energiedienstleister ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz gelten als wichtige Einrichtungen, größere Unternehmen ab 250 Mitarbeitern als wesentliche Einrichtungen. Damit fallen zahlreiche bislang unregulierte Akteure unter NIS-2. Das BSI rechnet mit rund 29.000 neu verpflichteten Einrichtungen in Deutschland insgesamt. Auch kleinere Betreiber, die unterhalb der Größenschwellen liegen, können indirekt betroffen sein – über die Lieferkettenanforderungen (Teichmann, EnWZ 2025, S. 248–253).

Die konkreten Pflichten

Energieunternehmen, die unter NIS-2 fallen, müssen ein umfassendes Cyber-Risikomanagement implementieren. Besonders relevant ist der Schutz der Betriebstechnik (OT-Sicherheit): Statt nur die IT, müssen Energieunternehmen auch ihre Anlagensteuerung angemessen schützen – eine eigene technische Herausforderung. Und NIS-2 verlangt, dass die Cybersicherheitsrisiken bei Zulieferern und Dienstleistern systematisch bewertet werden. Das erzwingt eine vertragliche Cyber-Due-Diligence: Beim Einkauf von Steuerungstechnik müssen Partner zu Mindeststandards verpflichtet werden. Für die stark zuliefererabhängige Erneuerbare-Energien-Branche ist das eine erhebliche neue Verpflichtung (Teichmann, EnWZ 2025, S. 248–253).

Das Haftungsregime: Persönliche Verantwortung der Geschäftsleitung

NIS-2 nimmt die Geschäftsleitung von Energieunternehmen erstmals persönlich in die Pflicht. Vorstände und Geschäftsführer müssen die Cybersicherheitsmaßnahmen aktiv billigen, überwachen und sich schulen lassen. Bei unzureichender Umsetzung drohen Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes sowie die persönliche Haftung der Leitungsorgane. Teichmann spricht von einem Paradigmenwechsel: Cybersicherheit wird in der Energiewirtschaft von einer technischen Aufgabe zur Führungsverantwortung mit persönlichen Konsequenzen (Teichmann, EnWZ 2025, S. 248–253).

Was Betreiber erneuerbarer Energien jetzt tun sollten

Zunächst die Betroffenheitsprüfung: Fällt das Unternehmen unter NIS-2, und falls nicht – ist es über Lieferkettenanforderungen indirekt betroffen? Dann der Schutz der Betriebstechnik: OT-Systeme müssen von der allgemeinen IT getrennt und besonders abgesichert werden. Fernwartungszugänge müssen streng kontrolliert, authentifiziert und protokolliert werden. Die Lieferkette muss abgesichert werden. Meldeprozesse und Notfallpläne müssen aufgebaut, die Geschäftsleitung muss geschult und die gesamte Compliance dokumentiert werden (Teichmann, EnWZ 2025, S. 248–253).

Fazit: Cybersicherheit als Voraussetzung der Energiewende

Die Energiewende und die Cybersicherheit sind untrennbar miteinander verbunden. Eine dezentrale, digitalisierte Energieversorgung ist nur dann zukunftsfähig, wenn ihre digitale Infrastruktur sicher ist. Die vernetzten Erneuerbare-Energien-Anlagen, die das Rückgrat der künftigen Energieversorgung bilden, sind zugleich eine ihrer größten Schwachstellen. Wer in die Cybersicherheit seiner Anlagen investiert, schützt nicht nur sein eigenes Unternehmen, sondern trägt zur Stabilität des gesamten Energiesystems bei.

Alle Quellenangaben beziehen sich auf veröffentlichte wissenschaftliche Beiträge von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. Die vollständige Bibliographie ist im Publikationsverzeichnis (Stand Mai 2026) dokumentiert.