Cyberangriff auf Kraftwerk: Was KRITIS-Betreiber jetzt prüfen sollten

Im Juli 2026 legte ein Cyberangriff ein britisches Kraftwerk für vier Tage lahm. Die britische Regierung bestätigte ihn am darauffolgenden Sonntag; eine offizielle Attribution zu Iran liegt nicht vor. Das NCSC soll betroffene Betreiber nach Medienberichten vorab gewarnt haben; eine NCSC-Stellungnahme liegt nicht vor.

OT-Sicherheit im Kraftwerk: Was beim Angriff passiert ist

Ein Kraftwerk im Vereinigten Königreich wurde im Juli 2026 nach einem Cyberangriff für vier Tage vom Netz genommen. Die betroffene Anlage war nach Angaben des britischen Regierungssprechers zu klein, um die übergeordnete Stromversorgung zu gefährden. Originalzitat: "a very small-scale site, less than a rounding error compared to grid capacity." Medienberichte darunter The Telegraph, The Guardian und die BBC brachten den Angriff mit iranisch-affiliierten Akteuren in Verbindung.

Die britische Regierung bestätigte den Vorfall, nannte aber keine offizielle Attribution. Sicherheitsexperten wie Robert M. Lee (CEO Dragos) mahnen zur Vorsicht: "It's probably Iran. But probably isn't enough in geopolitics." Die US-Sanktionen gegen das Mabna Institute (Operation Economic Outcast, 24. August 2026) betreffen Aktivitäten seit 2013. Eine direkte operative Verbindung zum UK-Kraftwerksangriff haben die USA öffentlich nicht hergestellt.

Zeitgleich wurden mehr als 30 kommunale Wasserwerke in Minnesota angegriffen; Sicherheitsbehörden untersuchten mögliche Verbindungen zur selben iranisch-affiliierten Akteursgruppe, ohne eine operative Verbindung öffentlich zu bestätigen. Dem FBI meldeten Versorger aus mindestens sieben US-Bundesstaaten Vorfälle. Der gemeinsame Nenner: direkt aus dem Internet erreichbare speicherprogrammierbare Steuerungen (PLCs/SPS), für die kein Zero-Day-Exploit nötig war.

OT Security: direkt exponierte SPS im KRITIS-Angriffspfad

Die US-Behörden CISA, FBI, NSA, EPA, DOE und weitere Behörden hatten den Angriffspfad in einem gemeinsamen Advisory (AA26-097A) beschrieben. Die Akteure verbanden sich über gehostete Drittanbieter-IPs direkt mit exponierten PLCs der Hersteller Rockwell Automation, Schneider Electric und Siemens. Dafür nutzten sie herstellereigene Programmiersoftware: Studio 5000 Logix Designer, EcoStruxure Control Expert und Siemens TIA Portal.

Projektdateien wurden heruntergeladen, modifiziert und zurückgespielt. Das Ergebnis: Kritische Abschalt- und Alarmlogik war deaktiviert; Bediener sahen auf HMI- und SCADA-Displays manipulierte Anzeigewerte, ohne Anomalien zu bemerken. Die Zielports (44818, 2222, 102, 502) entsprechen Standard-OT-Protokollen. Fehlende Netzsegmentierung und nie geänderte Werkspasswörter reichten als Einstiegsweg aus.

Die OT/ICS-Sicherheitsarchitektur mit Purdue-Modell und IT/OT-Trennung nach IEC 62443 hätte den direkten Zugriff auf die PLCs verhindert.

Incident Response in OT-Netzen: Warum vier Tage zu lang sind

Das ist die eigentliche operative Frage. Muhammad Yahya Patel, vCISO EMEA bei Huntress, formuliert es so: "Die Bedeutung liegt nicht in der Größe der Anlage, sondern darin, dass ein Cyberangriff zu vier Tagen operativer Störung geführt hat. Warum hat die Recovery vier Tage gedauert, und sind kleinere Betreiber ausreichend vorbereitet, um solche Vorfälle zu containen?"

Vier Tage sind für eine vorbereitete OT-Umgebung mit geübten Containment-Abläufen keine plausible Recovery-Zeit. Phil Tonkin (Field CTO, Dragos) weist auf ein weiteres Risiko hin: Diese Angriffe sind oft wiederholbar und könnten im größeren Maßstab eingesetzt werden.

Für wen gilt KRITIS - und wer fällt durch das Raster?

KRITIS-Pflichten gelten in Deutschland für Betreiber kritischer Infrastrukturen ab einer Versorgungsschwelle von 500.000 Personen. Wer darunter liegt, ist zwar genauso angreifbar, aber weder registrierungs- noch meldepflichtig. Genau diese Lücke zeigt der britische Fall.

Der britische Regierungssprecher bestätigte, dass die betroffene Anlage so klein war, dass der Vorfall noch unter die Meldeschwellen fiel. Kein Bericht, keine behördliche Sichtbarkeit: der Vorfall blieb im regulatorischen toten Winkel.

Im deutschen KRITIS-Kontext ist diese Konstellation bekannt. Die meisten kommunalen Versorger liegen unter der 500.000-Personen-Schwelle. Die Bundesregierung hat kurz vor der Sommerpause 2026 die Registrierungspflicht für KRITIS-Betreiber beim BBK aus dem KRITIS-Dachgesetz gestrichen (Bundesgesetzblatt Nr. 221, 28. Juli 2026). Die KRITIS-Verordnung war bis Redaktionsschluss noch nicht verabschiedet (geplant: Herbst 2026). Das BBK muss Muster und Vorlagen für Resilienzpläne frühestens acht Monate nach Inkrafttreten bereitstellen; verbindliche Betreiberpflichten folgen nach weiteren Umsetzungsfristen. Was der UK-Vorfall illustriert, gilt damit auch für DACH: Kleinere Betreiber außerhalb der Meldeschwellen sind angreifbar und bleiben regulatorisch im toten Winkel. Mehr zu den NIS2-Meldepflichten im deutschen Kontext steht im NIS2-Überblick für Unternehmen.

ISO 27001:2022 im ISMS: was bei OT-Vorfällen zuerst greift

Für Betreiber, die den Vorfall als Anlass für eine Bestandsaufnahme nutzen, empfiehlt sich eine klare Priorisierung der ISO/IEC 27001:2022-Controls für OT-Umgebungen:

Empfehlungen (nicht durch die Controls mandatiert): Übungen mindestens jährlich (A.5.26); RTO-Ziel für OT-Umgebungen unter 24 Stunden (A.5.30).

CISA empfiehlt ergänzend:

• physische Mode-Switches der PLCs auf Run-Position setzen
• Standard-Passwörter durch komplexe Kombinationen ersetzen
• Multifaktor-Authentifizierung für jeden Remote-Zugriff auf OT-Systeme aktivieren

Das Incident-Response-Playbook nach NIST 800-61 liefert die Grundstruktur, die sich auf OT-Szenarien übertragen lässt. Wer APT-Akteure staatlicher Herkunft früh erkennen will, findet dort die Mapping-Grundlage auf MITRE ATT&CK.

Einordnung

Vier Tage Stillstand in einem Kraftwerk, das zu klein war, um meldepflichtig zu sein.

Für das ISMS lautet die relevante Frage: Wie lange brauchen wir, bis unsere OT-Systeme nach einem Angriff wieder operativ sind? Wer darauf keine belastbare Antwort aus einem geübten Notfallplan vorweisen kann, bekommt sie im Ernstfall. Die regulatorischen Fristen in Deutschland verschieben sich; die Bedrohungslage wartet nicht darauf.

Quellen

• CISA Advisory AA26-097A: Iranian-Affiliated Cyber Actors Exploit PLCs (CISA, FBI, NSA u.a., 07.04.2026, aktualisiert 22.07.2026)
• Wake-Up Call for CNI After Iranian Attack Shuts Down UK Power Plant (Infosecurity Magazine, 24.08.2026)
• Iran-linked Hackers Shut Down UK Power Plant for Four Days (SecurityWeek, 24.08.2026)
• Britische Regierung bestätigt Cyberattacke auf Kraftwerk (heise online, 25.08.2026)
• United States Implements Operation Economic Outcast (U.S. Department of State, 24.08.2026)
• Doch keine NIS2-Registrierungslücke; Kuriose Änderung am KRITIS-Dachgesetz (borncity.com, 24.08.2026)