Kritis-Sicherheit: 83 Prozent sehen wachsende Bedrohung für Anlagen

Betreiber kritischer Anlagen sehen sich einer spürbar verschärften Sicherheitslage ausgesetzt. Wie aus Branchenberichten hervorgeht, behindern zugleich unklare und sich verändernde regulatorische Anforderungen die zügige Umsetzung notwendiger Schutzmaßnahmen sowie funktionaler Sicherheitsstandards in der industriellen Automatisierung.

Betreiber sorgen sich um Außenstandorte und Cyberangriffe

Eine nicht repräsentative Online-Befragung des Fachportals ZFK unter 239 Teilnehmenden, die zwischen dem 2. und 30. September 2026 durchgeführt wurde, verdeutlicht die angespannte Lage. Demnach gaben 83 Prozent der Befragten (199 von 239) an, dass sich die Bedrohung für Kritis-Anlagen in den vergangenen 24 Monaten verschärft habe.

Lediglich 16 Prozent stuften die Gefährdung als gering oder sehr gering ein. In diesem Zeitraum registrierten 124 Betreiber keinen sicherheitsrelevanten Vorfall, während 34 Unternehmen physische Beschädigungen oder Sabotageakte meldeten.

Als größte Schwachstelle bezeichnen 67 Prozent der Befragten abgelegene oder unbesetzte Liegenschaften. Bei 162 der 239 Betreiber gehört mindestens ein solcher Außenstandort zum Betrieb, 66 von ihnen verwalten sogar mehr als 50 unbesetzte Anlagen.

Bei den Gefahrenquellen stehen Cyberangriffe mit 69 Prozent an erster Stelle, gefolgt von kombinierten digital-physischen Attacken (37 Prozent) und Ausspähungen mittels Drohnen (27 Prozent).

Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenloses Cyber-Security E-Book jetzt herunterladen

Während bauliche Sicherungen (82 Prozent) und klassische Zutrittskontrollen (74 Prozent) breit etabliert sind, nannten lediglich elf Betreiber Systeme zur Drohnendetektion; 101 Teilnehmende halten die Drohnenerkennung für unzuverlässig.

Als wesentliche Hürden beim Ausbau der Schutzmaßnahmen führen die Organisationen unklare oder wechselnde Vorgaben (44 Prozent), fehlende Refinanzierungsmöglichkeiten (36 Prozent), unzureichende Regulierung (33 Prozent) und begrenzte Budgets (31 Prozent) an.

Veraltete Betriebstechnik erhöht das Risiko für Störungen

Die Vernetzung industrieller Systeme offenbart erhebliche Sicherheitslücken. Laut dem Bericht „State of Critical Infrastructure Cybersecurity 2026“ von Palo Alto Networks und Sapio Research vom 6. Oktober 2026 erlitten 59 Prozent der über 1.600 befragten Sicherheitsverantwortlichen in den vergangenen zwölf Monaten einen schwerwiegenden Vorfall.

Von den Betroffenen verzeichneten 96 Prozent erhebliche Folgen, darunter Sorgen um die physische Unversehrtheit (50 Prozent), ungeplante Betriebsunterbrechungen (49 Prozent) sowie Produktionsstörungen und finanzielle Einbußen (jeweils 46 Prozent).

Der Untersuchung zufolge fehlt 68 Prozent der befragten Einrichtungen eine lückenlose Echtzeit-Übersicht über vernetzte Betriebstechnik (OT). Durchschnittlich 23 Prozent der OT-Geräte gelten als unmanaged.

Zudem sehen 52 Prozent der Befragten veraltete OT-Systeme als primäres Hindernis für wirksame Schutzvorkehrungen, während 42 Prozent nicht patchbare Industrieanlagen als größtes Cyberrisiko nennen. Durchschnittlich setzen die Einrichtungen sieben verschiedene Sicherheitssysteme parallel ein, was nach Angaben von 59 Prozent zu gesteigerter Komplexität und bei 46 Prozent zu Sicherheitslücken führt.

Welche KI-Systeme gelten als Hochrisiko – und was müssen Unternehmen jetzt konkret tun? Die EU-KI-Verordnung stellt neue Regeln auf, die viele noch nicht kennen – dieser kostenlose Report klärt auf. Umsetzleitfaden zum EU AI Act gratis sichern

Bei 74 Prozent ist die Absicherung von IT und OT nicht vollständig verzahnt, wofür vor allem technologische Inkompatibilitäten und divergierende Prioritäten (jeweils 44 Prozent) verantwortlich gemacht werden.

Die Relevanz dieser Schwachstellen zeigte sich im August 2026 in den USA, als erfolgreiche Angriffe auf mehr als 30 kommunale Wasserversorger bekannt wurden, bei denen Angreifer über offen zugängliche Steuerungen Prozesswerte manipulieren konnten.

Regulatorische Initiativen und Kritik an Schutzlücken

Vor diesem Hintergrund formulieren Behörden und Standardisierungsgremien neue Leitlinien. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Betreibern kleiner Erzeugungsanlagen für erneuerbare Energien – etwa Photovoltaik-, Wind-, Biogas- oder Wasserkraftanlagen –, eigenständig Schutzmaßnahmen zu ergreifen.

Da Anlagen mit einer Leistung unter 100 Megawatt nicht unter die gesetzlichen Kritis-Bestimmungen fallen, raten IT-Sicherheitsexperten unter anderem dazu, Fernzugriffe strikt über verschlüsselte Netzwerkverbindungen und Multifaktor-Authentifizierung abzusichern, Standard-Passwörter zu deaktivieren und Komponenten vom offenen Internet zu trennen.

Zur Stärkung der physischen Sicherheit wurde die DIN SPEC 14027:2026 veröffentlicht. Der Standard stellt die Kritikalität von Werten sowie die Bedrohungsintensität in den Vordergrund, bietet einen modularen Rahmen für Unternehmen und verweist für Sicherheitsdienste auf die DIN 77200; Zertifizierungen sind hierfür derzeit jedoch noch nicht vorgesehen.

Zudem treten für den Bereich Künstliche Intelligenz ab dem 2. Dezember 2027 die Hochrisiko-Pflichten der europäischen Verordnung VO (EU) 2026/1744 in Kraft.

An bestehenden gesetzlichen Maßstäben gibt es unterdessen Kritik. Nach einem Vorfall am Flughafen Leipzig/Halle bemängelte der Sprecher der AG Kritische Infrastruktur, Manuel Atug, dass gesetzliche Standards für moderne Zaunsensorik oder optische Leitungsüberwachungen fehlten.

Zugleich kritisierte er die unklare Einstufung von Verkehrsknotenpunkten und warf dem Bundesinnenministerium sowie Minister Dobrindt vor, punktuelle Insellösungen statt eines integrierten Gesamtkonzepts zu verfolgen, was zu unklaren Zuständigkeiten führe.