Kritische Infrastrukturen schützt man vor digitalen Angriffen durch eine Kombination aus technischen Schutzmaßnahmen, organisatorischen Prozessen und rechtlichen Vorgaben. Dazu gehören unter anderem die Segmentierung von IT- und OT-Netzwerken, regelmäßige Sicherheitsaudits, ein strukturiertes Notfallmanagement sowie die Einhaltung gesetzlicher Anforderungen wie dem IT-Sicherheitsgesetz und der NIS2-Richtlinie. Der folgende Artikel beantwortet die wichtigsten Fragen rund um Cybersicherheit für KRITIS-Betreiber.
Die häufigsten Angriffsmethoden auf kritische Infrastrukturen sind Ransomware, Phishing, DDoS-Angriffe (Distributed Denial of Service) sowie gezielte Angriffe auf industrielle Steuerungssysteme (ICS/SCADA). Diese Methoden zielen darauf ab, den Betrieb zu stören, Daten zu stehlen oder Lösegeld zu erpressen. Besonders gefährlich sind Angriffe, die IT- und OT-Systeme gleichzeitig betreffen.
Ransomware ist dabei besonders verbreitet: Angreifer verschlüsseln kritische Daten und fordern Lösegeld für die Freigabe. In Sektoren wie der Energieversorgung oder dem Gesundheitswesen kann ein solcher Angriff unmittelbare Auswirkungen auf die öffentliche Sicherheit haben. Phishing-Kampagnen richten sich gezielt an Mitarbeitende, um Zugangsdaten zu stehlen und so einen Einstiegspunkt ins Netzwerk zu schaffen.
DDoS-Angriffe überlasten Systeme und Netzwerke mit massiven Anfragemengen, sodass Dienste nicht mehr erreichbar sind. Für Wasserversorger, Krankenhäuser oder Energienetze kann bereits eine kurze Nichtverfügbarkeit schwerwiegende Folgen haben. Darüber hinaus werden zunehmend sogenannte Supply-Chain-Angriffe beobachtet, bei denen Angreifer über Drittanbieter oder Softwarelieferanten in die Systeme von KRITIS-Betreibern eindringen.
In Deutschland zählen zur kritischen Infrastruktur (KRITIS) alle Einrichtungen, Anlagen und Systeme, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit verursachen würde. Die Einteilung erfolgt nach dem BSI-Gesetz und der BSI-Kritisverordnung (BSI-KritisV) und umfasst neun Sektoren.
Diese Sektoren sind:
Ob ein Unternehmen oder eine Einrichtung als KRITIS-Betreiber gilt, hängt von definierten Schwellenwerten ab, die in der BSI-KritisV festgelegt sind. Ein Wasserversorger, der mehr als 500.000 Personen versorgt, fällt beispielsweise in den Geltungsbereich. Diese Schwellenwerte werden regelmäßig überprüft und angepasst.
KRITIS-Betreiber in Deutschland unterliegen einer Reihe gesetzlicher Anforderungen, die sich aus dem IT-Sicherheitsgesetz (IT-SiG 2.0), dem BSI-Gesetz sowie der europäischen NIS2-Richtlinie ergeben. Dazu gehören Meldepflichten bei Sicherheitsvorfällen, der Nachweis angemessener Schutzmaßnahmen sowie die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI).
Im Einzelnen müssen KRITIS-Betreiber:
Mit der Umsetzung der NIS2-Richtlinie in deutsches Recht, die 2026 vollständig wirksam ist, erweitert sich der Kreis der betroffenen Unternehmen erheblich. Auch mittelgroße Unternehmen in relevanten Sektoren müssen künftig Mindestanforderungen an die Cybersicherheit erfüllen und Risikomanagementmaßnahmen nachweisen. Unternehmen, die noch nicht vollständig konform sind, sollten ihre Netzwerksicherheit dringend überprüfen und gleichzeitig ihre gesamte IT-Sicherheit auf den Prüfstand stellen.
IT- und OT-Netzwerke in kritischen Infrastrukturen schützt man durch strikte Netzwerksegmentierung, kontinuierliches Monitoring, den Einsatz von Intrusion-Detection-Systemen (IDS) sowie durch klare Zugriffskontrollen. Da OT-Systeme (Operational Technology) häufig veraltete Protokolle verwenden und nicht für den Einsatz im vernetzten Umfeld konzipiert wurden, ist ihre Absicherung besonders anspruchsvoll.
IT- und OT-Netzwerke sollten konsequent voneinander getrennt werden, um zu verhindern, dass ein Angriff auf die IT-Infrastruktur direkt auf Steuerungssysteme übergreift. Firewalls, DMZ-Konzepte und strenge Regelwerke für den Datentransfer zwischen den Segmenten sind dabei grundlegende Maßnahmen. Der Zugriff auf OT-Systeme sollte nach dem Prinzip der minimalen Rechtevergabe (Least Privilege) gestaltet sein.
Ein effektives Security Operations Center (SOC) überwacht Netzwerke rund um die Uhr auf ungewöhnliche Aktivitäten. Systeme zur Angriffserkennung analysieren Netzwerkverkehr und Protokolldaten in Echtzeit und schlagen bei Abweichungen vom Normalverhalten Alarm. Gerade im OT-Bereich ist ein tiefes Verständnis der normalen Betriebsabläufe Voraussetzung für eine zuverlässige Anomalieerkennung. Die tatsächliche Leistung solcher Systeme kann je nach Konfiguration und Umgebung variieren.
Ein Notfallplan für Cyberangriffe auf kritische Infrastrukturen sollte klare Verantwortlichkeiten, definierte Eskalationswege, technische Wiederherstellungsverfahren sowie Kommunikationsstrategien für interne und externe Stakeholder umfassen. Ohne einen strukturierten Plan verlängert sich die Reaktionszeit im Ernstfall erheblich, was zu größeren Schäden führen kann.
Konkret sollte ein solcher Notfallplan folgende Elemente enthalten:
Notfallpläne sollten regelmäßig durch Übungen und Simulationen getestet werden. Nur ein erprobter Plan bietet im Ernstfall tatsächliche Sicherheit. Die Häufigkeit und Art der Übungen sollte sich am jeweiligen Risikoprofil des Betreibers orientieren.
Externe IT-Dienstleister übernehmen beim Schutz kritischer Infrastrukturen eine wichtige ergänzende Rolle: Sie bringen spezialisiertes Know-how, rund um die Uhr verfügbare Überwachungskapazitäten und aktuelle Bedrohungsinformationen ein, die interne Teams häufig nicht in diesem Umfang vorhalten können. Dabei tragen KRITIS-Betreiber jedoch stets die Letztverantwortung für ihre Sicherheitsmaßnahmen.
Externe Dienstleister können unter anderem folgende Leistungen erbringen:
Bei der Auswahl eines externen Dienstleisters ist auf zertifizierte Infrastrukturen (z. B. ISO 27001) und nachgewiesene Erfahrung im KRITIS-Umfeld zu achten. Vertragsregelungen sollten klare Service Level Agreements (SLAs) sowie Regelungen zur Datenhaltung und Datensouveränität enthalten, insbesondere im Hinblick auf die DSGVO.
Wir bei der Concat AG unterstützen Betreiber kritischer Infrastrukturen mit einem umfassenden Portfolio an IT-Sicherheitslösungen, das technische Expertise mit zertifizierten Prozessen verbindet. Unser Ansatz ist ganzheitlich: von der strategischen Beratung über die Implementierung geeigneter Schutzmaßnahmen bis hin zum laufenden Betrieb.
Im Einzelnen bieten wir:
Unsere Expertise reicht von mittelständischen Unternehmen bis hin zu öffentlichen Einrichtungen und Forschungsinstituten. Wenn Sie erfahren möchten, wie wir Ihre kritische Infrastruktur absichern können, nehmen Sie Kontakt mit uns auf und sprechen Sie direkt mit unseren Sicherheitsexperten.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr Informationen