Cyberangriff legt britischen Stromerzeuger vier Tage lahm

Nach übereinstimmenden Medienberichten zwangen Angreifer einen kleinen britischen Energieerzeuger im Juli 2026 für vier Tage zur Abschaltung. Britische Medien bringen den Angriff mit iranischen Akteuren in Verbindung. Eine offizielle Attribution gibt es bislang jedoch nicht. Die britische Regierung bestätigte lediglich einen Cybervorfall und betonte, dass weder das übergeordnete Stromnetz gefährdet gewesen sei noch Kunden die Stromversorgung verloren hätten.

Welche Anlage betroffen war und über welchen Weg die Angreifer eindrangen, bleibt geheim. Damit lässt sich auch nicht belegen, dass sie unmittelbar industrielle Systeme manipulierten. Die viertägige Abschaltung könnte ebenso darauf zurückzuführen sein, dass Betreiber Systeme vorsorglich offline hielten, die Umgebung untersuchten und erst nach Sicherheitsprüfungen den Betrieb wieder aufnahmen.

Staatliche Akteure nehmen kritische Systeme ins Visier

Der Vorfall trifft auf eine ohnehin angespannte Bedrohungslage. Das britische National Cyber Security Centre (NCSC) bearbeitete im Jahr bis Mai 2026 mehr als 200 Cybervorfälle mit Bezug zur kritischen nationalen Infrastruktur und deren Umfeld. Rund drei Viertel davon wurden staatlichen Akteuren zugerechnet. NCSC-Chef Richard Horne warnte, viele heute tolerierte Schwachstellen könnten in einem Konflikt gezielt ausgenutzt werden.

Besondere Aufmerksamkeit gilt dabei Operational Technology (OT), also Systemen zur Überwachung und Steuerung physischer Prozesse. Dazu zählen Industrial Control Systems (ICS), Supervisory Control and Data Acquisition (SCADA) und Programmable Logic Controllers (PLC).

Wie konkret die Gefahr ist, zeigt eine gemeinsame Warnung mehrerer US-Behörden. Iran-nahe Akteure griffen dort internetseitig erreichbare PLCs an, veränderten Projektdaten sowie Anzeigen von Human Machine Interfaces (HMI) und SCADA-Systemen und verursachten dadurch Betriebsstörungen und finanzielle Schäden. Eine Verbindung zum britischen Vorfall ist allerdings nicht nachgewiesen.

Vier Tage Stillstand bedeuten nicht vier Tage Kontrolle

Aus der Dauer des Ausfalls lässt sich kein Angriffspfad rekonstruieren. Denkbar wären kompromittierte Fernzugänge, schwache oder voreingestellte Passwörter, verwundbare VPN-Gateways oder öffentlich erreichbare industrielle Geräte. Solche Zugangswege sind aus früheren OT-Vorfällen bekannt.

Ein Bericht von CERT Polska zu Angriffen auf polnische Energieanlagen zeigt beispielsweise, dass Angreifer sowohl IT-Systeme als auch physische OT-Komponenten erreichen können. Das NCSC warnt ebenfalls ausdrücklich vor schlecht geschützten oder unnötig exponierten OT-Verbindungen.

„Ob der gemeldete Ausfall durch einen direkten Eingriff in die OT, eine Kompromittierung unterstützender Systeme oder eine vorsorgliche Abschaltung durch die Betreiber verursacht wurde – das Ergebnis ist dasselbe“, so Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI. „Ein Cybervorfall führte zu einer messbaren Betriebsunterbrechung. Für Organisationen, die kritische Prozesse steuern, ist allein das bereits von Bedeutung.“

Was Betreiber jetzt prüfen sollten

Für Unternehmen mit industriellen Prozessen ergeben sich daraus konkrete Aufgaben:

• Internetfähige OT-Systeme erfassen: PLCs, Controller, Fernzugangs-Gateways, Engineering-Workstations und weitere extern erreichbare Komponenten identifizieren.
• Fernzugänge überprüfen: Zugriffe von Mitarbeitern, Dienstleistern und Lieferanten erfassen und nicht mehr benötigte Verbindungen entfernen.
• Authentifizierung härten: Standardpasswörter ersetzen, gemeinsame Konten vermeiden und starke Authentisierung einsetzen.
• IT und OT segmentieren: Verbindungen zwischen Unternehmensnetz und Produktionsumgebung auf das notwendige Minimum beschränken.
• Engineering-Aktivitäten überwachen: Programmierung, Konfigurations- und Logikänderungen an Steuerungen protokollieren.
• Logging und Erkennung verbessern: Ereignisse aus IT und OT zentral auswertbar machen.
• Ungeklärte Ausfälle untersuchen: Unerwartete Betriebsstörungen auch als möglichen Cybervorfall behandeln.
• Wiederanlauf vorbereiten: Getestete Backups, dokumentierte Recovery-Verfahren und gegebenenfalls manuelle Betriebsprozesse vorhalten.

Der britische Fall zeigt damit vor allem eines: Ein Cyberangriff muss kein landesweites Stromnetz lahmlegen, um reale Folgen zu verursachen. Schon der Stillstand einer einzelnen Anlage macht deutlich, warum OT-Sicherheit, Segmentierung und kontrollierte Fernzugänge inzwischen zu den zentralen Bausteinen der Cyberresilienz kritischer Infrastruktur gehören.

Einen tieferen Einblick in die Sicherheitsherausforderungen beim Schutz von OT-Umgebungen gibt es im Trend Micro Sicherheitsbericht 2026 zu kritischen Infrastrukturen.