KRITIS braucht umfassende Sichtbarkeit

KRITIS-Unternehmen sind einem stark wachsenden Risiko durch Cyberangriffe ausgesetzt. NIS2 schafft wichtige Vorgaben für die Sicherheit. Doch ohne Sichtbarkeit über IT- und Operational-Technology-Netzwerke (OT) hinweg bleiben Angreifer häufig unentdeckt.

Die jüngsten Cyberangriffe in Deutschland zeigen, wie ernst die Bedrohung inzwischen ist. Ein kurzer Blick auf Vorfälle im Juli 2026 verdeutlicht die Lage: Eine DDoS-Attacke traf die Stadt Wiesbaden und beeinträchtigte Teile ihrer Online-Dienste. In Mülheim an der Ruhr wurde ein kommunales System angegriffen, während der Energiedienstleister Enseco einen Cyberangriff mit Datendiebstahl bestätigte. Bereits Ende Juni waren auch die Gemeinschaftsstadtwerke für Kamen, Bönen und Bergkamen von einem Angriff betroffen.

Diese Cyberattacken sind nur die Spitze des Eisbergs. So registrierte das Bundeskriminalamt im Jahr 2025 insgesamt 36.706 DDoS-Angriffe – 25 Prozent mehr als im Vorjahr. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) meldet alarmierende Zahlen. Es misst öffentlich bekannt gewordene DDoS-Angriffe anhand eines Index, bei dem das Jahr 2021 den Ausgangswert 100 darstellt. Im Juni 2026 erreichte der Index 320 Punkte und stieg weiter an, zuletzt um 11 Prozent. Damit hat sich die Zahl der Angriffe seit 2021 mehr als verdreifacht.

Staatliche Akteure verfolgen langfristige Ziele

Betreiber kritischer Infrastrukturen gehören zu den bevorzugten Zielen und zwar nicht nur von Cyberkriminellen. Das Bundesamt für Verfassungsschutz warnt vor staatlich gesteuerten Cyberangriffen auf die deutsche Energieversorgung. Nach seiner Einschätzung kundschaften ausländische Nachrichtendienste kritische Infrastrukturen gezielt aus. Ihr Ziel ist es, potenzielle Einfallstore zu identifizieren und künftige Angriffe vorzubereiten. Der Annual Threat Report 2026 von Darktrace beschreibt dasselbe Muster.

Damit verändert sich auch die Art der Bedrohung. Klassische Cyberkriminelle verfolgen in der Regel das Ziel, möglichst schnell Einnahmen durch Datendiebstahl oder Erpressung zu erzielen. Staatliche Akteure gehen dagegen langfristig vor. Sie verfolgen häufig strategische Ziele und verfügen über größere finanzielle und personelle Ressourcen als kriminelle Gruppen. Unmittelbaren Schaden anzurichten, ist nicht immer ihre vorrangige Absicht. Stattdessen können sie darauf abzielen, über einen längeren Zeitraum unentdeckt in einer Umgebung zu bleiben. Ein solcher dauerhafter Zugang ist wertvoll, weil er beispielsweise für Datenspionage oder zur Störung der Infrastruktur eines Staates genutzt werden kann.

Eine zusätzliche Herausforderung entsteht durch den hybriden Charakter solcher Operationen. Cyberangriffe können mit klassischer Spionage, Desinformationskampagnen oder anderen Aktivitäten kombiniert werden. Staatliche Akteure können zudem mit kriminellen Gruppen zusammenarbeiten, um das Ausmaß des Schadens zu vergrößern. Für KRITIS-Unternehmen entsteht dadurch eine grundsätzlich andere Form des Risikos. Ein Gegner, der mit einem strategischen Auftrag handelt, lässt sich nicht wirksam mit einzelnen Schutzmaßnahmen abwehren. Einer langfristigen Angriffsstrategie muss eine ebenso langfristige Verteidigungsstrategie gegenüberstehen.

Compliance ersetzt keine interne Sichtbarkeit

NIS2 hat den Druck auf Unternehmen erhöht, Sicherheitsmaßnahmen systematisch umzusetzen und deren Umsetzung nachzuweisen. Compliance ist jedoch kein Beleg dafür, dass ein Unternehmen sämtliche gefährlichen Aktivitäten innerhalb seiner Infrastruktur erkennen kann. Unternehmen sollten sich deshalb nicht ausschließlich auf Compliance-Nachweise und Perimeterschutz konzentrieren. Das reicht nicht aus, weil dabei eine entscheidende technische Lücke übersehen wird: eine unzureichende Sichtbarkeit der eigenen Netzwerkumgebung im Monitoring.

Das Problem verschärft sich durch die Konvergenz von IT und Operational Technology. In modernen OT-Umgebungen werden traditionelle Steuerungssysteme zunehmend mit IT-Komponenten integriert. Cloud-Dienste, externe Dienstleister und Fernwartungszugänge erhöhen die Komplexität zusätzlich. Der Annual Threat Report nennt Cloud- und SaaS-Dienste sowie vertrauenswürdige Plattformen ausdrücklich als mögliche Wege, über die Angreifer herkömmliche Abwehrsysteme umgehen und sich innerhalb der Infrastruktur eines Unternehmens festsetzen können.

KI-Systeme und autonome Agenten erhöhen die Komplexität zusätzlich. Sie können sich mit legitimen Berechtigungen eigenständig durch Infrastrukturen bewegen, mit Anwendungen und Daten interagieren und Aktionen ausführen, die für klassische Monitoring-Systeme wie normales, autorisiertes Verhalten aussehen können. Dadurch wird potenziell gefährliches Verhalten noch schwerer zu erkennen. Für Sicherheits- und Compliance-Teams kann es schwierig sein zu beurteilen, ob ein Agent noch innerhalb seines vorgesehenen Handlungsspielraums agiert oder ob sein Verhalten bereits davon abweicht. Sichtbarkeit muss sich deshalb nicht nur auf Netzwerkaktivitäten erstrecken, sondern auch darauf, was KI-Systeme und Agenten innerhalb der Infrastruktur tatsächlich tun.

Diese Entwicklungen weichen die traditionelle Trennung zwischen einem potenziell gefährlichen externen Netz und einer vertrauenswürdigen internen Umgebung weiter auf. Ein kompromittiertes Lieferantenkonto, gestohlene Zugangsdaten oder ein eigentlich legitimer Fernwartungszugang können einen Angreifer hinter den Perimeter bringen. Von dort aus kann er reguläre Kommunikationswege nutzen. Gerade in OT-Umgebungen werden solche Aktivitäten möglicherweise nicht sofort erkannt, wenn dabei bekannte Protokolle, gültige Konten und vertrauenswürdige Systeme zum Einsatz kommen.

Netzwerkkommunikation macht Angriffe sichtbar

In OT-Netzwerken reicht die klassische Sicherheitsüberwachung nicht aus. Ein Security Information and Event Management System (SIEM) oder Warnmeldungen einzelner Systeme können lediglich zeigen, was auf einem bestimmten Gerät oder im Zusammenhang mit einem bestimmten Benutzerkonto geschehen ist. Entscheidend ist jedoch die Kommunikation zwischen den Systemen: Welche Geräte kommunizieren miteinander? Welche Verbindungen sind neu? Hat sich das Verhalten eines Engineering-Arbeitsplatzes verändert? Greift ein bekanntes System plötzlich auf ungewöhnliche Ziele zu? Entstehen neue Datenströme zwischen IT und OT? Genau diese Art von Sichtbarkeit fehlt häufig.

Die umfassende Überwachung interner Netzwerke und eine wirksame Incident Response gehören ebenfalls zu den Anforderungen der EU-NIS2-Richtlinie. Es reicht jedoch nicht aus, jede Abweichung vom normalen Verhalten als Angriff zu melden. OT-Umgebungen verändern sich regelmäßig, etwa durch Herstellerzugriffe oder technische Anpassungen. Eine wirksame Erkennung muss deshalb in der Lage sein, normale Veränderungen von Abweichungen mit Sicherheitsrelevanz zu unterscheiden.

OT-Sicherheit benötigt kontinuierliche Sichtbarkeit

Ein wirksames Security-Monitoring sollte deshalb die Analyse interner Netzwerkkommunikation als Ergänzung zum Perimeterschutz umfassen. In OT-Umgebungen ist das nicht einfach, da ältere Steuerungssysteme nur selten Sicherheitsprotokolle erzeugen, die sich sinnvoll auswerten lassen. Andere Geräte speichern Informationen lediglich lokal oder verwenden proprietäre, herstellerspezifische Formate. Ein spezieller OT-Netzwerksensor kann über Schnittstellen zusätzliche Datenquellen integrieren und dadurch Kommunikationsvorgänge erkennen, die von den Geräten selbst nicht protokolliert werden.

Für KRITIS-Betreiber lautet die entscheidende Sicherheitsfrage: Was geschieht hinter dem Perimeter? Klassische Sicherheitsmaßnahmen wie Firewalls und Netzwerksegmentierung können nicht beantworten, was passiert, wenn sich ein Angreifer bereits innerhalb der vertrauenswürdigen Umgebung befindet. OT-Sicherheit benötigt deshalb kontinuierliche Sichtbarkeit über IT und OT hinweg. So können Unternehmen schnell auf bereits laufende Angriffe reagieren und Sicherheitslücken nachhaltig schließen.