Digitale Umspannwerke nach IEC 61850 ersetzen festverdrahtete Kupferleitungen durch Ethernet-basierte Protokolle – GOOSE, Sampled Values (SV) und MMS –, die auf Geschwindigkeit und Interoperabilität ausgelegt wurden, nicht auf Informationssicherheit. Keines dieser Protokolle authentifiziert oder verschlüsselt den Datenverkehr standardmäßig. Dies bedeutet, dass ein Angreifer, der das entsprechende Netzwerksegment erreicht, GOOSE-Nachrichten ausspionieren kann, um Schaltgeräte zu identifizieren, gefälschte Auslösebefehle einzuspeisen, aufgezeichnete Fehlerdaten erneut einzuspielen (Replay-Angriffe) oder den Prozessbus zu überlasten, um Schutzrelais zu blockieren. Die dafür vorgesehene Sicherheitsschicht – die Normenreihe IEC 62351 – existiert zwar, doch eine Peer-Review-Studie aus dem Jahr 2026 bestätigt, dass sie „in realen Systemen selten vollständig implementiert ist“. Damit werden die meisten Umspannwerke primär durch Netzwerkarchitektur statt durch Protokollsicherheit geschützt. Der praxisnahe Ansatz ist eine mehrschichtige Defense-in-Depth-Architektur: strikte IT/OT-Segmentierung, unidirektionale Gateways (Datendioden), protokollsensitive Angriffserkennung (IDS), IEC 62351-6 (sofern von den IEDs unterstützt), kontinuierliches Monitoring auf GOOSE/SV-Anomalien sowie ein rigides Regelwerk für den Fernzugriff (Remote Access) durch Dritte. 

Warum Umspannwerke – und speziell IEC 61850 – zu Prioritätszielen wurden 

Betreten Sie ein Umspannwerk, das in den letzten zehn Jahren errichtet wurde, finden Sie Strukturen vor, die vor zwanzig Jahren undenkbar gewesen wären: Eine Ethernet-Architektur, in der Schutzrelais, Merging Units und Feldsteuergeräte (Bay Controller) Auslösesignale in Millisekunden über Glasfaser statt Kupfer austauschen. Diese Architektur wird durch IEC 61850 definiert und hat signifikante betriebliche Vorteile gebracht – herstellerübergreifende Interoperabilität, schnellere Schutzkonzepte, Engineering-Fernzugriff und drastisch reduzierte Verkabelungskosten. Gleichzeitig hat sie jedoch die physische Isolation aufgelöst, die Umspannwerke vormals standardmäßig schützte. 

„Die Infrastrukturen elektrischer Umspannwerke waren ursprünglich nicht mit externen Netzen verbunden. Das bedeutet, dass sie nicht unter Berücksichtigung von Cybersecurity-Anforderungen konzipiert wurden.“ 

Diese Beobachtung – aus einer Analyse von Stormshield zum Sicherheitsniveau von IEC 61850 – beschreibt nach wie vor das Kernproblem der Branche. Jede Nachricht, die früher über ein dediziertes, galvanisch getrenntes Kupferkabelpaar lief, wird nun über ein gemeinsam genutztes, routbares Netzwerk übertragen. Dabei basieren die Übertragungsprotokolle auf drei Annahmen, die nicht mehr zutreffen: 

1. Das Netzwerk ist vertrauenswürdig. GOOSE- und SV-Frames verfügen standardmäßig über keine Absenderauthentifizierung, keine Verschlüsselung und keine Integritätsprüfsumme. 

   
   

2. Abonnenten (Subscriber) sind legitim. Jedes Gerät innerhalb der Multicast-Domäne kann Frames publizieren, die von den abonnierenden IEDs verarbeitet und ausgeführt werden. 

   
   

3. Geschwindigkeit schlägt Sicherheit. Schutzrelevante Telegramme müssen in 3 Millisekunden oder schneller eintreffen. Kryptografische Verfahren konnten dieses Latenzbudget historisch nicht einhalten und wurden daher verworfen. 

Die Konsequenz: Sobald ein Angreifer im LAN des Umspannwerks Fuß fasst, sinkt die technische Hürde für reale physische Auswirkungen – das Öffnen von Leistungsschaltern, Fehlauslösungen oder die Blockade legitimer Schutzfunktionen – nahezu auf null. 

Die Lage im Jahr 2026: Erkenntnisse aus aktueller Forschung und Sicherheitsvorfällen 

Bevor die technischen Angriffsmechanismen detailliert betrachtet werden, ist eine Bestandsaufnahme der aktuellen Bedrohungslage erforderlich, da sich das Bedrohungsszenario für IEC 61850-Schaltanlagen von theoretischen Modellen zu realen Angriffen gewandelt hat. 

1. „Living-off-the-Land“-Angriffe gegen MMS sind Realität, keine Hypothese 

Im Juli 2026 veröffentlichten Forscher eine Peer-Review-Studie auf Basis von Software-in-the-Loop-Simulationen. Sie belegt, dass ein Angreifer mit ausschließlich lokalem Netzwerkzugriff eine vollständige Angriffskette über das IEC 61850 MMS-Protokoll ausführen kann – das Client/Server-Protokoll für Steuerung, Monitoring und Engineering: 

• Aufklärung per Sniffing: Der Angreifer erfasst passiv den GOOSE-Multicast-Verkehr, um Application IDs, GoIDs sowie Logical Device- und Logical Node-Namen (wie CSWI für Schaltbedienung und XCBR für Leistungsschalter) auszulesen. Anschließend gleicht er MAC-Adressen mit ARP-Traffic ab, um Ziel-IEDs exakt zu identifizieren. 

• Injektion valider Befehle: Der Angreifer baut eine TCP-Sitzung zu Port 102 auf dem Ziel-IED auf und sendet eine SelectWithValue-Anforderung, unmittelbar gefolgt von einem Operate-Befehl – vollständig über legitime MMS-Dienste. 

• Physische Auswirkung: Der Leistungsschalter öffnet sich, was der Angreifer anhand der Statusänderung von stVal im GOOSE-Datenstrom unmittelbar verifiziert. 

Keine Malware, keine Exploits, keine Zero-Day-Schwachstellen. Lediglich valide Protokollbefehle, abgesetzt von einem unberechtigten System. Dies ist das Kernmerkmal moderner OT-Angriffe: Das Protokoll selbst fungiert als Angriffswerkzeug. 

2. Der Angriff auf die Bremanger-Talsperre veränderte die OT-Risikobewertung 

Im Jahr 2025 manipulierten Angreifer die OT-Steuerung einer Talsperre im norwegischen Bremanger, öffneten Wehrschütze und verursachten Überschwemmungen flussabwärts – eine Tat, die von den norwegischen Behörden einer prorussischen Hackergruppierung zugeschrieben wurde. Die Lagebeurteilung des dänischen Militärgeheimdienstes aus dem Jahr 2025 warnt explizit davor, dass Netze Kritischer Infrastrukturen (KRITIS) weiterhin Primärziele für derartige hybride Bedrohungsszenarien darstellen. 

Für Betreiber von Umspannwerken ist das Fazit eindeutig: Angriffe durch Manipulation der OT-Ebene sind keine Ausnahmefälle mehr. Sie gehören zum festen Instrumentarium staatlicher Akteure, wobei Stromnetze an oberster Stelle der Prioritätenliste stehen. 

3. Die „Industroyer-Linie“ hat sich zu protokollnativer Malware entwickelt 

Die Angriffsfamilie, die mit Industroyer (2016, Angriff auf ukrainische Übertragungsumspannwerke über IEC 104) begann und sich zu INCONTROLLER/Pipedream weiterentwickelte – modularer Schadsoftware mit dedizierten Modulen für OPC UA, Modbus und IEC 61850 GOOSE/SV –, hat den Maßstab gesetzt: Wiederverwendbare, protokollnative Werkzeuge, die Umspannwerke herstellerunabhängig und über Landesgrenzen hinweg attackieren können. Die 61850-Module von INCONTROLLER waren in der Lage, IEDs zu scannen, logische Knoten zu enumerieren und Steuerbefehle abzusetzen – dasselbe LOTL-Schema, das durch die Forschung 2026 bestätigt wurde. Energieversorger, die davon ausgehen, ihre Anlagen seien zu spezifisch für maßgeschneiderte Schadprogramme, müssen diese Annahme revidieren.

4. IEC 62351 wurde 2026 aktualisiert – das Nadelöhr liegt in der Umsetzung, nicht im Standard 

Die Normenreihe IEC 62351 (Informationssicherheit für die Energieversorgung) erhielt eine Überarbeitung 2026, und IEC 62351-6 spezifiziert unverändert eine HMAC-basierte Nachrichtenauthentifizierung für GOOSE und SV. Das Problem liegt nicht in der Spezifikation. Die Herausforderung, die in Whitepapers von Herstellern, CIGRE-Studien und wissenschaftlichen Fachpublikationen übereinstimmend dargelegt wird, besteht darin, dass: 

• Hersteller die IEC 62351 unterschiedlich oder nur partiell implementieren, was die Interoperabilität bricht. 

• Die MAC-Berechnung zusätzliche Latenzen verursacht, die historisch mit den geforderten 3 ms für Schutzauslösungen kollidierten, weshalb Betreiber die Funktion deaktivieren. 

• Das Schlüsselmanagement (Verteilung und Rollierung symmetrischer Schlüssel über Hunderte von IEDs heterogener Hersteller) betrieblich hochkomplex ist und in der Praxis oft verworfen wird. 

Eine CIGRE-Studie von 2026 zu Bedrohungen in digitalen Umspannwerken bringt es auf den Punkt: IEC 61850-Protokollen „fehlt es an robuster Authentifizierung und Verschlüsselung, was sie anfällig für Angriffe wie Spoofing und Replay macht“ – und dies gilt für den Anlagenbestand selbst dort, wo der Standard die Sicherheitslücke theoretisch schließt. 

5. Selbst IEC 62351-konformes GOOSE ist angreifbar 

Die wohl kritischste Erkenntnis der Sicherheitsforschung: Eine detaillierte Schwachstellenanalyse von GOOSE (Sensors, 2021) untersuchte das Protokoll mit und ohne das SHA-256-HMAC-Verfahren nach IEC 62351 mittels automatisierter Security-Claim-Verifikation und Hardware-in-the-Loop-Simulationen. Das Ergebnis: Die Implementierung von IEC 62351 reduzierte die Angriffsfläche, dennoch war die Injektion manipulierter Auslösebefehle weiterhin erfolgreich – da GOOSE dieselben Informationen repetitiv per Multicast überträgt und Insider-Angreifer im LAN weiterhin mehrere valide Angriffspfade ausnutzen können. Die Härtung gemäß Standard ist notwendig, reicht allein jedoch nicht aus.

6. Forschung stärkt auch die Seite der Verteidiger 

Auch im Bereich der defensiven Sicherheitsmaßnahmen gibt es signifikante Fortschritte: 

• Hybride Digital-Twin-Datensätze (IEEE DataPort, 2026) stellen nun klassifizierte GOOSE/SV-Netzwerkmitschnitte eines simulierten 14-Knoten-Umspannwerks unter Normal- und Angriffsbedingungen bereit – einschließlich eines „Adversarial-Aware“-Angreifers, der legitime MAC-OUIs fälscht und Sequenznummern adaptiert, um die Erkennung zu umgehen. Dies bildet die Grundlage für Machine-Learning-basierte Angriffserkennungssysteme (IDS) in Umspannwerken. 

• Echtzeit-Mitigationsverfahren für IEC 61850/IEC 62351-Schaltanlagen wurden auf dem CIGRE-Symposium „Grid of the Future 2025“ vorgestellt. Der Fokus liegt darauf, koordinierte Angriffe abzufangen, bevor sie das Automatisierungssystem erreichen. 

• Automatisierte Cybersecurity-Testsysteme (HIL-Prüfstandsforschung) zeigen, dass die meisten kommerziellen IEDs in Tests weder vereinzelte SV-Injektionen noch koordinierte Multi-IED-Angriffe erkennen – ein starkes Argument dafür, Sicherheitsprüfungen fest in die Beschaffungs- und Abnahmeprozesse (SAT/FAT) zu integrieren. 

7. Zeitsynchronisation als unterschätzter Angriffsvektor 

Digitale Umspannwerke setzen zwingend auf IEEE 1588 PTP für die Sub-Mikrosekunden-Synchronisation von SV-Datenströmen. Peer-Review-Studien zu PTP-Angriffen auf IEC 61850-Schaltanlagen (Electronics, 2023) belegen, dass Manipulationen der Zeitbasis Merging Units und Schutzgeräte desynchronisieren können – was zu Fehlauslösungen des Differentialschutzes führt, ohne dass ein einziges bösartiges GOOSE- oder SV-Telegramm versendet werden muss. GPS-Spoofing oder Jamming erzielt vergleichbare Effekte von außerhalb des Stationszauns. Die Zeitbasis ist eine betriebskritische Schutzgröße und muss als sicherheitsrelevantes Asset geschützt werden.

Anatomie eines IEC 61850-Angriffs: Relevante Bedrohungsszenarien 

Bedrohung 1: GOOSE-Spoofing und False Data Injection 

GOOSE ist ein Layer-2-Multicast-Publish/Subscribe-Protokoll. Erkennt ein Schutzgerät einen Fehler, publiziert es ein Auslöse-GOOSE-Telegramm; alle abonnierten Leistungsschalter reagieren innerhalb von Millisekunden. Da die Frames unauthentifiziert sind, kann ein Angreifer, der die MAC-Adresse des Senders klont, gefälschte GOOSE-Nachrichten mit inkrementierter Statusnummer (stNum, bei zurückgesetzter sqNum auf null) einspielen – exakt die Signatur eines legitimen neuen Ereignisses. Die abonnierenden IEDs akzeptieren die Nachricht und lösen aus. 

Das Gefahrenpotenzial: Ein einzelner Frame genügt, um einen Leistungsschalter zu öffnen. Eine Folge manipulierter boolescher Werte kann kaskadierende Fehlfunktionen in Verriegelungs- und Schalterversagerschutz-Schemata herbeiführen – ohne Exploit-Code, realisierbar mit Standardwerkzeugen wie Scapy und Wireshark. 

Häufig übersehener Aspekt: Semantische Spoofing-Angriffe, die sich innerhalb der Protokollspezifikationen bewegen – wie etwa die Manipulation von Stufenschalter-Befehlsfolgen, bei denen einzelne GOOSE-Ereignisse modifiziert werden, ohne Latenzfenster zu verletzen –, sind extrem schwer zu detektieren, da sie formal dem Standard entsprechen. 

Bedrohung 2: Injektion und Replay von Sampled Values (SV) 

SV-Datenströme übertragen digitalisierte Strom- und Spannungsmesswerte von Merging Units über den Prozessbus an die Schutzgeräte – mit Raten von bis zu 4.800 Abtastwerten pro Sekunde. Werden manipulierte SV-Frames mit Fehlerströmen injiziert, löst der Überstrom- oder Differentialschutz aufgrund eines vorgetäuschten Fehlers aus. Bei einem Replay-Angriff mit zuvor aufgezeichneten Störschrieben reagiert der Schutz auf ein real nicht existentes Ereignis. 

Erkenntnisse aus HIL-Prüfungen: In Hardware-in-the-Loop-Untersuchungen an einem 500-kV-Schaltanlagenmodell konnten die meisten handelsüblichen IEDs vereinzelt injizierte, manipulierte SV-Pakete nicht erkennen und lösten die Leistungsschalter dennoch aus. Sparse Injection – ein manipulativer Frame unter Tausenden – umgeht rein schwellwertbasierte Anomalieerkennungen meist zuverlässig. 

Bedrohung 3: Missbrauch von MMS-Steuerbefehlen 

Wie dargelegt stellen unberechtigte Geräte, die reguläre Operate-Befehle über MMS absetzen, heute das operativ realistischste Angriffsszenario dar. Da MMS auf TCP/IP basiert, überwindet es VLAN-Grenzen und kann aus vorgelagerten Netzebenen erreicht werden – einschließlich, infolge fehlerhafter Gateway-Konfigurationen, aus IT-Segmenten. Dies ist der Angriffsvektor, der CISOs besondere Sorge bereiten sollte, da er keinerlei Ausnutzung von Protokollschwachstellen erfordert. 

Bedrohung 4: Denial of Service und Netzwerküberlastung 

Ein GOOSE-Flooding bei 40–85 % der Netzwerkkapazität führt zu signifikantem Paketverlust, ausbleibenden Retransmissions und asynchronem Verhalten der Subscriber. Da in Umspannwerken die Verfügbarkeit über der Vertraulichkeit steht (ein blockiertes Relais kann bei einem echten Netzfehler nicht auslösen), ist ein DoS auf dem Prozessbus kein bloßer Betriebsunterbruch – es ist ein Schutzausfall mit Blackout-Potenzial. IEDs mit begrenzter Prozessorleistung reagieren besonders empfindlich auf manipulierten Hochvolumen-Traffic. 

Bedrohung 5: Kompromittierung des Dienstleister-Fernzugriffs 

Das häufigste Einfallstor in der Praxis ist nicht die kompromittierte Firewall, sondern das Notebook eines Technikers, eine Wartungssitzung des Herstellers oder ein temporärer Engineering-Zugang, der nach der Inbetriebnahme nicht deaktiviert wurde. Eine Kompromittierung der Lieferkette bei einem Dienstleister mit legitimen Rechten hebelt die Sicherheitsarchitektur aus: Der Angreifer befindet sich bereits im OT-Teilnetz und umgeht die Perimeterschutzmaßnahmen vollständig. 

Bedrohung 6: Angriffe auf die Zeitsynchronisation (PTP/GPS) 

Bereits thematisiert – muss jedoch in jedem IT/OT-Sicherheitskonzept Berücksichtigung finden, da dieser Vektor im Verhältnis zu seiner Hebelwirkung chronisch unterfinanziert ist. 

Bedrohung 7: Laterale Bewegung von der IT in die OT 

Umspannwerke nach IEC 61850 sind keine isolierten Inseln mehr. Engineering-Stationen, SCADA-Gateways, Betriebsdaten-Historian-Systeme und Asset-Management-Schnittstellen bilden Übergänge zur IT. Standardannahmen der IT-Sicherheit (Patch-Zyklen, EDR-Abdeckung, Identitätsprüfung) lassen sich in Schaltanlagen kaum 1:1 anwenden. Ein einziger durch Phishing erbeuteter Engineering-Zugang kann den Zugriff auf den Prozessbus ermöglichen.

Der Sicherheitsleitfaden: Eine mehrschichtige Sicherheitsarchitektur für IEC 61850 

Keine Einzelmaßnahme sichert ein digitales Umspannwerk ab. Erforderlich ist ein Defense-in-Depth-Konzept, bei dem jede Schicht die systemimmanenten Lücken der anderen kompensiert. Nachfolgend die empfohlene Architektur, ausgerichtet an den Zonen und Conduits der IEC 62443 sowie relevanten KRITIS-Vorgaben. 

Schicht 1: Architektur-Segmentierung (IEC 62443 Zonen & Conduits) 

• Segmentieren Sie das Umspannwerk in definierte Sicherheitszonen: Stationsbus, Prozessbus, Engineering-Zone und SCADA/Gateway-Zone. Conduits müssen die Kommunikation strikt nach dem Least-Privilege-Prinzip reglementieren. 

  
  

• Setzen Sie nach IEC 61850-3 zertifizierte Industrie-Firewalls/Gateways mit Deep Packet Inspection (DPI) ein, die GOOSE-EtherType (0x88B8), SV (0x88BA), MMS (TCP/102) und SNTP auf Protokollebene analysieren – reine Portfilter genügen nicht. 

  
  

• Verwenden Sie unidirektionale Gateways (Datendioden) für Datenströme, die keine Rückkopplung erfordern (z. B. Replikation von Betriebsdaten aus der OT in die IT). Jede bidirektionale Verbindung birgt das Risiko lateraler Bewegungen. 

Schicht 2: Härtung auf Protokollebene (IEC 62351, selektiv angewendet) 

• Aktivieren Sie die HMAC-Nachrichtenauthentifizierung nach IEC 62351-6 für GOOSE und SV dort, wo die IED-Hardware dies innerhalb der Latenzvorgaben leisten kann – und verifizieren Sie die Schutzzeiten vor dem Produktivbetrieb durch lückenlose End-to-End-Messungen. 

  
  

• Erzwingen Sie für MMS rollenbasierte Zugriffskontrolle (RBAC), starke Authentifizierung und TLS (sofern unterstützt); anonyme Assoziationen sind ausnahmslos zu unterbinden. 

  
  

• Etablieren Sie das Schlüsselmanagement als Kernprozess des operativen Betriebs: Zentrale Schlüsselverteilung, definierte Wechselintervalle und dokumentierte Verantwortlichkeiten. Die Mehrheit der 62351-Projekte scheitert an diesem Punkt – planen Sie diesen Aufwand von Beginn an fest ein. 

Schicht 3: Netzwerkinfrastruktur-Maßnahmen 

• VLAN-Segmentierung einzelner Verkehrsklassen; Deaktivierung ungenutzter Switch-Ports; Port-Security und MAC-Begrenzung an allen IED-Ports. 

  
  

• Rate Limiting und Storm Control, präzise abgestimmt auf reguläre GOOSE/SV-Profile, damit ein Denial-of-Service-Angriff den Betrieb kontrolliert einschränkt statt abrupt lahmlegt. 

  
  

• Nutzung von PRP/HSR-Redundanz zur Gewährleistung der Hochverfügbarkeit – beachten Sie jedoch, dass redundante Pfade mit der gleichen Sorgfalt gehärtet werden müssen; unüberwachte Redundanzpfade verdoppeln die Angriffsfläche. 

  
  

• Engineering-Fernzugriff ausschließlich über Jump Hosts mit MFA, Sitzungsaufzeichnung und zeitlich limitierten Just-in-Time-Berechtigungen – untersagen Sie direkte Verbindungen von Dienstleister-Notebooks in die IED-Netzsegmente. 

Schicht 4: Kontinuierliches OT-Monitoring und Anomalieerkennung 

Hier besteht bei vielen Betreibern der größte Nachholbedarf – gleichzeitig bietet die Sicherheitsforschung hierfür wirksame Mechanismen: 

• Baseline bilden, Abweichungen detektieren. Profilieren Sie jeden GOOSE-Publisher (APPID, Datensatz, stNum/sqNum-Kadenz, Wiederholungsverhalten) und jeden SV-Stream (Abtastrate, smpCnt-Zähler). Anomalien – wie gefälschte OUIs, unplausible Sequenzsprünge, unbekannte Sender-MACs oder Zeitabweichungen – liefern in hochdeterministischen OT-Umgebungen Alarme mit minimaler Falsch-Positiv-Rate. 

  
  

• Implementieren Sie ML-gestützte Angriffserkennungssysteme (IDS), trainiert auf Datensätzen digitaler Zwillinge, die komplexe Angriffsmuster abbilden; rein signaturbasierte Systeme lassen sich nachweislich unterwandern. 

  
  

• Überwachen Sie die Zeitdomäne: Zustand der PTP-Grandmaster, Holdover-Meldungen und die Integrität der Zeitsignale (GPS) synchron zur Netzwerktelemetrie. 

  
  

• Integrieren Sie Alerts in Incident-Response-Playbooks, die betriebliche Handlungsanweisungen für Schaltwarte und Netzführung umfassen – ein verifiziertes GOOSE-Spoofing bei Unwetterlagen ist stets ein Cybersicherheitsvorfall und ein Netzsicherheitsereignis zugleich. 

Schicht 5: Asset-, Lieferanten- und Supply-Chain-Governance 

• Führen Sie ein automatisiertes Asset-Inventar aller IEDs, Firmware-Stände und Protokollfunktionen – Systeme, die nicht erfasst sind, lassen sich weder absichern noch patchen. Die IEC 61850-SCL-Dateien (ICD/CID) dienen bei strukturierter Auswertung als exaktes digitales Anlagenabbild. 

  
  

• Verankern Sie Sicherheitsabnahmetests (SAT) vor der Inbetriebnahme vertraglich in den Beschaffungsprozessen – inklusive SV-Injektion, GOOSE-Spoofing und koordinierter Angriffsszenarien (die Prüfmethodik existiert; machen Sie sie zur Pflichtanforderung). 

  
  

• Reglementieren Sie den Fernzugriff von Dritten über ein institutionalisiertes Programm: Personengebundene Konten, Vier-Augen-Freigabe, vollständige Protokollierung und automatischer Rechteentzug. Die Erkenntnisse aus Bremanger belegen, dass Angreifer nicht selten über legitime Dienstleister-Accounts agieren. 

Schicht 6: Compliance-Ausrichtung ohne Scheinsicherheit 

• Richten Sie Schutzmaßnahmen an IEC 62443, den IT-Sicherheitskatalogen der BNetzA/des BSI, den Vorgaben des BSI IT-Grundschutzes sowie NIS-2 aus (international: NERC CIP). 

  
  

• Verstehen Sie Compliance als Mindeststandard, nicht als Maximalziel: Ein rein normenkonformes Setup hätte den oben skizzierten LOTL-MMS-Angriff nicht verhindert – eine verhaltensbasierte Netzwerkanalyse (INSM) hingegen schon. 

Aktuelle Entwicklungen (2025 bis Oktober 2026) 

Angriffe auf Energieübertragungsnetze zielen nicht mehr nur auf IT-Störungen, sondern auf die Zerstörung von Primärtechnik ab. Die Vorfälle in Polen verdeutlichen diesen Trend. Zusammen mit dem Angriff auf das ukrainische Stromnetz 2015, bei dem Angreifer über kompromittierte Zugangsdaten und VPNs Leistungsschalter in Umspannwerken fernauslösten (Hitachi Energy beziffert die Folgen auf 30 abgeschaltete Umspannwerke und rund 225.000 unversorgte Kunden), zeigen sich zwei Angriffsmuster: Die unberechtigte Betriebsführung des Netzes oder die gezielte Beschädigung der Betriebsmittel. Betreiber müssen Vorkehrungen für beide Szenarien treffen. 

Laufende Sicherheitshinweise (Security Advisories) für Schutzrelais 

• Im September 2026 veröffentlichte Siemens die Sicherheitsmeldung SSA-142885 (durch CISA als ICSA-26-258-05 übernommen) für Schutzrelais der Baureihe Reyrolle 7SR5. Die gravierendste Schwachstelle, CVE-2026-62645 (CVSS 9.8), betrifft eine Umgehung der Authentifizierung im Webinterface, über die Angreifer gültige Session-IDs generieren können. Das Problem wird ab Firmware-Version V2.70 behoben. Zum Veröffentlichungszeitpunkt waren keine aktiven Exploits bekannt; der Angriffspfad ist netzwerkbasiert und erfordert keine vorherige Authentifizierung. 

  
  

• Die CISA publizierte zudem ICSA-26-169-07 bezüglich Schwachstellen in Schneider Electric Easergy-, EcoStruxure- und PowerLogic-Systemen, einschließlich Easergy MiCOM-Schutzgeräten und Stationsleittechnik. Betreiber sollten CSAF-Dateien der Hersteller automatisiert mit ihrem Asset-Bestand abgleichen, statt Sicherheitsmeldungen manuell auszuwerten. 

Die gemeinsame Schwachstelle liegt in der Management-Ebene: Web-Oberflächen, Engineering-Schnittstellen und Relais-Gateways werden bei der reinen Betrachtung des 61850-Verkehrs häufig vernachlässigt.

Verschärfte regulatorische Vorgaben für den Stationsbus 

• NERC CIP-015-1 verpflichtet Betreiber in Nordamerika zur internen Überwachung der Netzwerksicherheit (Internal Network Security Monitoring, INSM) innerhalb elektronischer Sicherheitsperimeter, primär für den Ost-West-Verkehr. Die Durchsetzung ist ab dem 1. Oktober 2028 geplant; CIP-015-2 soll diese Überwachung auf Systeme wie EACMS und PACS außerhalb des ESP ausweiten. 

  
  

• Indiens Central Electricity Authority (Cyber Security in Power Sector) Regulations, 2026 traten am 31. Juli 2026 in Kraft, werden zum 1. April 2027 verbindlich und ersetzen die Leitlinien von 2021. Sie fordern zwingend einen CISO, ein 24/7-Security-Operations-Center, strikte Netztrennung zwischen OT, IT und Internet sowie Fernzugriffe auf kritische Assets nur im Störungsfall unter Einsatz von MFA und vollständigem Logging. Meldungen an CSIRT-Power und CERT-In müssen binnen sechs Stunden erfolgen (24 Stunden bei Cyber-Sabotage). Hersteller unterliegen erweiterten Pflichten, wie digital signierten Patches und Software-Stücklisten (SBOM). 

  
  

• Aktuelle Analysen zeigen zudem, dass Stadtwerke und kleinere Verteilnetzbetreiber (VNB) oft unterhalb formaler Schwellenwerte für KRITIS-Klassifizierungen liegen, technisch jedoch denselben Cyber-Bedrohungen ausgesetzt sind – ein kritischer Aspekt für Betreiber dezentraler Netze. 

Praxiserprobte Sicherheitsarchitektur für Umspannwerke 

Keine Einzelmaßnahme gewährleistet die Sicherheit eines IEC 61850-Umspannwerks. Wirksam ist ein mehrschichtiges Modell, das den Kernfunktionen gängiger Standards (wie dem NIST CSF und IEC 62443) entspricht. 

90-Tage-Aktionsplan für Sicherheitsverantwortliche 

Für Betreiber von Umspannwerken empfiehlt sich folgendes Vorgehen: 

1. Tag 1–30 – Transparenz herstellen: Passives Asset Discovery und Erstellung einer GOOSE/SV-Kommunikations-Baseline in sämtlichen Umspannwerken. Agentenlos, rückwirkungsfrei auf Schutzfunktionen – rein passives Monitoring. 

   
   

2. Tag 30–60 – Zugriffskontrolle härten: Dienstleister-Fernzugriffe absichern (Just-in-Time, MFA, Session Recording). Vollständiges Audit aller statischen Benutzerkonten und Firewall-Regeln an den Schnittstellen zwischen IT und OT. 

   
   

3. Tag 60–90 – Erkennungsmechanismen etablieren: Protokollsensitive Anomalieerkennung auf Basis der ermittelten Baseline aktivieren; Durchführung einer Tabletop-Übung (Stabsrahmenübung) anhand des in diesem Beitrag beschriebenen MMS-LOTL-Szenarios. 

   
   

4. Quartal 2 – Validierung & Penetrationstests: Beauftragung unabhängiger Angriffssimulationen (SV-Injektion, GOOSE-Spoofing, Manipulation von PTP-Zeitsignalen) an repräsentativen Test-IED-Aufbauten, bevor Schwachstellen im Ernstfall ausgenutzt werden. 

Häufig gestellte Fragen (FAQ) 

Ist IEC 61850 „Secure by Design“? Nein. IEC 61850 wurde primär für Interoperabilität und deterministisches Echtzeitverhalten entwickelt. Sicherheitsmechanismen wurden bewusst in die ergänzende Normenreihe IEC 62351 ausgelagert, deren Implementierungsgrad in Bestandsanlagen nach wie vor unvollständig und heterogen ist. 

Worin liegt der Unterschied zwischen GOOSE- und MMS-Angriffen? GOOSE/SV-Angriffe erfolgen auf Layer 2 (Ethernet-Multicast, innerhalb des lokalen Subnetzes, im Sub-Millisekundenbereich, ohne TCP/IP) und zielen direkt auf die Auslöselogik der Schutzgeräte ab. MMS-Angriffe basieren auf TCP/IP und adressieren Leit-, Überwachungs- und Engineering-Funktionen. Dadurch sind sie potenziell über vorgelagerte Netzwerksegmente erreichbar und für Angreifer infrastrukturell leichter zugänglich. 

Bietet die Implementierung von IEC 62351 vollständige Sicherheit? Sie reduziert das Risiko für Spoofing- und Replay-Angriffe signifikant und sollte überall dort umgesetzt werden, wo Hardware-Ressourcen und geforderte Latenzzeiten dies zulassen. Wissenschaftliche Untersuchungen belegen jedoch, dass auch IEC 62351-konformes GOOSE für spezifische Injektionsmuster anfällig bleiben kann. Die Norm bildet somit ein wichtiges Element, ersetzt aber nicht eine mehrschichtige Sicherheitsarchitektur aus Segmentierung, Monitoring und Zugriffskontrolle. 

Welche Bedeutung hatte der Vorfall an der Bremanger-Talsperre 2025? Angreifer manipulierten die OT-Steuerungssysteme, um Wehrschütze zu öffnen, was zu Überschwemmungen führte. Der Vorfall wurde von norwegischen Sicherheitsbehörden einer prorussischen Gruppe zugeschrieben. Er gilt in der Fachwelt als Beleg dafür, dass gezielte physische OT-Sabotage mittlerweile eine operative Fähigkeit staatlich gelenkter Akteure darstellt. 

Sind digitale Umspannwerke verwundbarer als konventionelle Anlagen? Sie verfügen über eine größere netzwerkbasierte Angriffsfläche – bedingt durch eine höhere Anzahl vernetzter Komponenten, routingfähige Protokolle und Fernzugriffskanäle. Der entscheidende Vorteil liegt jedoch in der vollständigen Transparenz: Jede Auslöseentscheidung erzeugt digitale Datenströme, die durch ein adäquat instrumentiertes Monitoring zur frühzeitigen Erkennung von Angriffen genutzt werden können – was in konventionell verdrahteten Feldern unmöglich ist. 

Fazit 

IEC 61850 hat Umspannwerke hochgradig vernetzt, reaktionsschnell und herstellerunabhängig gemacht. Die Informationssicherheit wurde dabei jedoch vernachlässigt. Die Vorfälle der Jahre 2025 und 2026 – von nachgewiesenen Living-off-the-Land-MMS-Angriffen bis zur physischen OT-Sabotage der Talsperre in Bremanger – haben verdeutlicht, wie konkret Bedrohungsszenarien für Kritische Infrastrukturen geworden sind. Betreiber, die ihre Netze resilient aufstellen wollen, müssen IT/OT-Sicherheit ganzheitlich denken: Jedes GOOSE-Telegramm, jede Dienstleister-Sitzung und jedes PTP-Zeitsignal muss als sicherheitsrelevantes Ereignis überwacht werden. 

Bei Shieldworkz entwickeln wir ganzheitliche OT-Cybersecurity-Lösungen für genau diese Anforderungen: Asset-Transparenz, protokollsensitive Angriffserkennung, Architekturen nach IEC 62443, Angriffssimulationen sowie Managed Detection, maßgeschneidert auf IEC 61850-Schaltanlagen, SCADA und industrielle IoT-Infrastrukturen. Denn dem Leistungsschalter ist es gleichgültig, woher der Befehl kam – Ihre Schutzsysteme müssen die Integrität jedes Steuerbefehls gewährleisten können.