Ihre Steuerungssysteme wurden im Hinblick auf Zuverlässigkeit entwickelt, nicht auf Sicherheit. Im Jahr 2026 hat diese Unterscheidung aufgehört, rein akademisch zu sein – sie wurde gesetzlich verankert.

Am 31. Juli 2026 hat die Central Electricity Authority die „Cyber Security in Power Sector Regulations, 2026“ in der Gazette of India veröffentlicht. Dies ist keine Richtlinie. Es handelt sich um ein rechtlich durchsetzbares Mandat mit namentlich genannten Rollen, festen Zeitplänen, einer 6-stündigen Meldepflicht für Sicherheitsvorfälle und einem Eskalationspfad, der bis zum Energieministerium reicht.

Zwei Jahrzehnte in thermischen superkritischen Einheiten, 765-kV-Umspannwerk-Automatisierungssystemen und SLDC EMS/SCADA-Netzwerken zeigen immer wieder dieselben Sicherheitslücken auf – und zwar durchgängig bei NTPC-Stationen, staatlichen Gencos, Transcos, Discoms und privaten IPPs. Die Muster sind vorhersagbar. Die Lösungen sind bekannt. Was meist fehlt, ist der Wille der Führungsebene und ein sequenzierter Plan.

Im Folgenden finden Sie die zwanzig am häufigsten auftretenden Sicherheitslücken, organisiert in fünf Bruchlinien, jeweils mit Ursache, geschäftlichen Auswirkungen, Relevanz für die CEA 2026 und einem konkreten Aktionsplan. Betrachten Sie dies als Bereitschafts-Checkliste, nicht als unverbindliche Empfehlung.

Die fünf Bruchlinien

Zwanzig Sicherheitslücken, fünf Kategorien. Governance-Mängel führen dazu, dass die anderen achtzehn ungelöst bleiben; Architektur- und Zugriffslücken sind die Einfallstore für Angreifer; Erkennungslücken bestimmen, wie lange sie unbemerkt bleiben; Lieferketten- und Resilienzlücken entscheiden darüber, wie schwerwiegend die Auswirkungen im Ernstfall sind.

BEREITSCHAFTS-CHECKLISTE

Die 20 Sicherheitslücken in der Reihenfolge ihres Auftretens

Sequenziell dargestellt, von Sicherheitslücke 1 bis 20, jeweils der entsprechenden Bruchlinie zugeordnet, damit das Muster auch beim einfachen Durchlesen erkennbar bleibt.

Detaillierte Analyse der Sicherheitslücken

Jede der unten aufgeführten Sicherheitslücken folgt derselben fünfteiligen Struktur: die Realität vor Ort, die Ursache, die geschäftlichen Auswirkungen, die Abdeckung durch die CEA 2026 nach Klauseln sowie ein sequenzierter Aktionsplan.

SICHERHEITSLÜCKE 01

TRANSPARENZ & ARCHITEKTUR

Die unsichtbare OT-Infrastruktur – kein Cyber-Asset-Register

Die Realität: Fragt man in den meisten indischen Kraftwerken oder Umspannwerken nach einem vollständigen Inventar aller PLCs, RTUs, IEDs, HMIs, Engineering Workstations, Managed Switches, Firewall-Regeln und Firmware-Versionen, erhält man im besten Fall eine Excel-Tabelle, die zuletzt 2019 aktualisiert wurde. Die meisten Versorgungsunternehmen können 30–40 % ihrer verbundenen OT-Assets nicht erfassen.

Ursache: Das Asset-Management hat sich historisch als IT-Disziplin etabliert. OT-Assets wurden von EPC-Auftragnehmern in Betrieb genommen, ohne jegliche Cybersicherheitsdokumentation übergeben und nie in einem formellen Register erfasst. Anlagen-Ingenieure kennen diese Systeme oft nur unter internen Spitznamen, nicht anhand von Asset-IDs.

Geschäftliche Auswirkungen: Was man nicht sieht, kann man nicht schützen. Nicht registrierte Assets bleiben bei Patching, Monitoring, Backups und Audits unberücksichtigt – und sind somit das erste Ziel für Angreifer, sobald diese das Netzwerk kompromittiert haben.

AKTIONSPLAN

→ Woche 1–2: Implementieren Sie passive Tools zur OT-Asset-Erkennung (z. B. Claroty, Nozomi oder Shieldworkz OThello Assess) in jedem OT-VLAN. Führen Sie niemals aktive Scans in einem produktiven Prozessnetzwerk durch.

→ Woche 3–4: Klassifizieren Sie jedes erkannte Asset als kritisch oder nicht-kritisch gemäß Regulation 5(16).

→ Monat 2: Etablieren Sie ein standardisiertes Cybersicherheits-Übergabepaket (SBOM, Firmware-Versionen, Änderung von Standard-Anmeldedaten, Netzwerkdiagramme) als obligatorische Voraussetzung für jede neue Inbetriebnahme.

→  Fortlaufend: Integrieren Sie das Asset-Register fest in Ihre Risikoanalysen, VAPT-Scans, Backup-Pläne und Audit-Nachweise. 

SICHERHEITSLÜCKE 02

TRANSPARENZ & ARCHITEKTUR

Flache OT-Netzwerke ohne Segmentierung

Die Realität: Thermische 660-MW-Blöcke, in denen DCS, SCADA, Historian, Engineering Workstations und sogar die Videoüberwachung der Anlage eine einzige Layer-2-Broadcast-Domäne teilen, sind keine Seltenheit, sondern Standard. Ein kompromittierter CCTV-Rekorder wird so zum idealen Sprungbrett in das Turbinenschutzsystem.

Ursache: Netzwerke wurden primär für den betrieblichen Komfort und nicht für die Sicherheit konzipiert. Das Purdue-Modell und die Zonen-und-Conduit-Architektur nach IEC 62443 wurden oft als akademische Theorie und nicht als technische Notwendigkeit behandelt.

Geschäftliche Auswirkungen: Laterale Bewegungen im Netzwerk sind ein Leichtes. Ransomware oder staatliche Akteure, die Zugriff auf einen einzelnen OT-Endpunkt erlangen, können innerhalb von Minuten sicherheitskritische Systeme erreichen.

AKTIONSPLAN

→ Sofort: Erfassen Sie jeden Switch, jedes VLAN, jede Firewall und jede Inter-VLAN-Routing-Regel im Rahmen einer umfassenden Überprüfung der OT-Netzwerkarchitektur.

→ 30 Tage: Eliminieren Sie alle direkten Layer-2/3-Pfade zwischen IT und OT. Richten Sie eine industrielle DMZ (iDMZ) mit einer Dual-Firewall-Architektur ein.

→ 60 Tage: Segmentieren Sie die OT in Zonen gemäß dem Purdue-Modell: Level 0/1 (Feldgeräte/Steuerungen), Level 2 (Prozessführung/SCADA), Level 3 (Betriebsführung/Historian) und sichern Sie jedes Conduit mit protokollsensitiven Firewalls ab.

→ 90 Tage: Dokumentieren Sie jede Zonengrenze, Firewall-Regel und jeden Datenfluss als Audit-Nachweis gemäß Regulation 8(33).

Visualisierung: Das Segmentierungs-Baseline

Eine am Purdue-Modell und der IEC 62443 ausgerichtete Zonen-und-Conduit-Architektur entspricht den Anforderungen von Regulation 6(1) bezüglich der Isolation von OT gegenüber IT und Internet.

SICHERHEITSLÜCKE 03

TRANSPARENZ & ARCHITEKTUR

Veraltete Windows XP/7 Engineering Workstations

Die Realität: Eine besorgniserregende Anzahl indischer Kraftwerke betreibt nach wie vor Windows XP oder Windows 7 auf DCS/SCADA Engineering Workstations und HMI-Operator-Stationen. Diese Systeme haben das Ende ihres Lebenszyklus (EOL) längst überschritten, sind nicht mehr patchbar und oft die einzigen Maschinen, mit denen ältere PLCs noch programmiert werden können.

Ursache: Hersteller-Lock-in. OEMs zertifizierten ihre Software nur für bestimmte Betriebssystemversionen und rieten aktiv von Sicherheitsupdates ab, während Investitionsbudgets für OT-Modernisierungen über Jahrzehnte hinweg vernachlässigt wurden.

Geschäftliche Auswirkungen: Es handelt sich hierbei um dauerhafte Schwachstellen („Forever-Day-Vulnerabilities“). Ransomware-Gruppen und staatliche Akteure scannen OT-Umgebungen gezielt nach ausnutzbaren, veralteten Windows-Systemen ab.

AKTIONSPLAN

→ Woche 1: Inventarisieren Sie jede OT-Workstation nach Betriebssystemversion, Patch-Stand und EOL-Status. Kennzeichnen Sie alle XP/7/Server 2008-Instanzen.

→ Monat 1: Mikrosegmentieren Sie veraltete Workstations mithilfe von „Deny-by-Default“-Regeln. Blockieren Sie jeglichen Datenverkehr in Richtung Internet und IT.

→ Monat 2: Implementieren Sie kompensierende Sicherheitskontrollen: Application Whitelisting, hostbasierte IDS, physische oder richtlinienbasierte USB-Sperren sowie erweitertes Logging.

→ Quartal 2: Erstellen Sie einen vorstandsreifen, dreijährigen Investitionsplan zur Modernisierung. Positionieren Sie diesen als obligatorisches Projekt zur Einhaltung der CEA-Vorgaben, nicht als optionales IT-Budget.

SICHERHEITSLÜCKE 04

ZUGRIFF & PERIMETER

Unverschlüsselte Industrieprotokolle (Modbus, DNP3, IEC 60870-5-104)

Die Realität: Der Großteil des SCADA- und Stationsautomatisierungs-Datenverkehrs in Indien läuft nach wie vor im Klartext über Modbus TCP, DNP3 oder IEC 60870-5-104 – ohne Authentifizierung, ohne Integritätsprüfungen, ohne Verschlüsselung. Jedes Gerät, das Zugriff auf das Netzwerk erlangt, kann Steuerungsbefehle senden oder Schutzgeräte auslösen.

Ursache: Diese Protokolle wurden vor über dreißig Jahren für serielle Netzwerke und nicht für TCP/IP entwickelt. Bei der Migration auf Ethernet wurden die unsicheren Protokolle ohne zusätzliche Sicherheitsebene übernommen.

Geschäftliche Auswirkungen: Ein Angreifer mit Netzwerkzugriff kann manipulierte Befehle einschleusen, legitimen Datenverkehr aufzeichnen und manipulieren (Replay-Angriffe) oder Sollwerte verändern, ohne dass herkömmliche Alarmsysteme anschlagen. Dies ist ein Muster, das weltweit bereits erfolgreich gegen Energieinfrastrukturen eingesetzt wurde.

AKTIONSPLAN

→ Sofort: Implementieren Sie protokollsensitive OT-Firewalls an allen Schnittstellen zu Steuerungen. Setzen Sie eine „Read-Only“-Richtlinie für alle nicht-technischen Datenquellen durch.

→ 30 Tage: Richten Sie IP-Whitelisting und Funktionscode-Filterung für alle Zugriffe auf PLCs, RTUs und IEDs ein.

→ 60 Tage: Migrieren Sie, wo immer möglich, auf DNP3 Secure Authentication oder IEC 62351-4 für verschlüsselten Transport.

→ 90 Tage: Implementieren Sie OT-Netzwerk-Erkennung und -Reaktion (NDR), um das normale Protokollverhalten zu analysieren und anomale Funktionscodes oder unberechtigte Master-Geräte sofort zu melden.

SICHERHEITSLÜCKE 05

ZUGRIFF & PERIMETER

Unkontrollierter OEM-Fernzugriff

Die Realität: Ihr Turbinenhersteller in Deutschland, Ihr DCS-OEM in Japan, Ihr Schutzrelais-Lieferant in den USA – alle fordern VPN-Zugang für die „routinemäßige Wartung“. Allzu oft sind diese Tunnel dauerhaft aktiv, nutzen gemeinsam verwendete Anmeldedaten, verzichten auf MFA und führen direkt aus dem öffentlichen Internet in das Steuerungsnetzwerk.

Ursache: Einkaufsteams haben Service-Level-Agreements (SLAs) und Wartungsverträge ohne jegliche Cybersicherheitsklauseln ausgehandelt. Der Zugriff durch Drittanbieter wurde als betriebliche Notwendigkeit angesehen und nicht als kontrolliertes Risiko behandelt.

Geschäftliche Auswirkungen: Genau so gelang der Angriff auf das ukrainische Stromnetz im Jahr 2015 – über kompromittierte Zugangsdaten von Dienstleistern und offene Fernzugriffspfade. Auch in Indien stehen kritische Infrastrukturen im Fokus geopolitisch motivierter Bedrohungsakteure.

AKTIONSPLAN

→ Sofort: Überprüfen Sie jede aktive Fernzugriffssitzung. Deaktivieren Sie alle nicht autorisierten oder dauerhaft offenen VPN-Tunnel in die OT-Umgebung.

→ Woche 2: Richten Sie ein dediziertes industrielles Fernzugriffs-Gateway mit obligatorischer MFA, Sitzungsaufzeichnung, zeitlich begrenzten Zugriffsfenstern und granularer rollenbasierter Zugriffskontrolle (RBAC) ein.

→ Monat 1: Passen Sie alle SLAs mit Dienstleistern an die Vorgaben von Regulation 11 an (Offenlegung der SBOM, digital signierte Patches, Sicherheitsüberprüfung des Personals, Haftung bei Sicherheitsvorfällen).

→ Quartal 1: Entwerfen Sie für jeden legitimen OT-Fernbetrieb einen Vorstandsbeschluss, gestützt auf eine formelle Risikoanalyse, der über eine dedizierte nationale MPLS- oder Standleitung realisiert wird.

SICHERHEITSLÜCKE 06

ERKENNUNG & REAKTION

Kein 24/7 OT-Sicherheitsbetrieb

Die Realität: Die meisten indischen Versorgungsunternehmen betreiben ein IT-SOC im 8/5-Modus, das oft an einen MSSP in Bengaluru ausgelagert ist, der keinerlei Einblick in Industrieprotokolle hat. Wenn am Sonntag um 2:00 Uhr nachts eine OT-Anomalie auftritt, bleibt dies unbemerkt. Die durchschnittliche Verweildauer (Dwell Time) von Angreifern in OT-Umgebungen beträgt bereits über 200 Tage.

Ursache: Sicherheitsabläufe basieren meist auf IT-SIEM-Systemen, die Modbus, DNP3 oder IEC 61850 nicht interpretieren können. Die OT-Sicherheit wurde fälschlicherweise als bloße Erweiterung der IT behandelt und nicht als die spezialisierte Disziplin, die sie ist.

Geschäftliche Auswirkungen: Bis ein OT-Einbruch bemerkt wird, hat der Angreifer meist schon Ihre Regelkreise analysiert, Sicherheitsverriegelungen identifiziert und sich für eine gezielte Beeinträchtigung des Betriebs positioniert.

AKTIONSPLAN

→ Monat 1: Richten Sie eine interne 24/7-ISD ein. Die CEA fordert echte interne Kapazitäten, kein vollständiges Outsourcing.

→ Monat 2: Implementieren Sie passive, OT-spezifische NDR/SIEM-Sensoren in allen OT-Zonen, die Daten in ein zentrales SOC-Dashboard einspeisen.

→ Monat 3: Schulen Sie Ihre ISD-Analysten in Industrieprotokollen, dem Betrieb von Energiesystemen und CEA-Meldewegen. Binden Sie das CSIRT-Power für aktuelle Bedrohungsinformationen an.

→ Fortlaufend: Führen Sie vierteljährliche Red-Teaming-Übungen durch, um OT-spezifische Angriffsszenarien zu simulieren (z. B. SIS-Manipulationen im TRITON-Stil oder Missbrauch von IEC 60870-5-104 im Industroyer-Stil).

SICHERHEITSLÜCKE 07

ZUGRIFF & PERIMETER

IT/OT-Konvergenz ohne Perimeter-Sicherheitskontrollen

Die Realität: Dual-Homed-Workstations, uneingeschränkte Routing-Regeln auf Firewalls, direkte RDP-Sitzungen aus der Unternehmens-IT direkt in ein OT-HMI – all das ist nach wie vor gängige Praxis. Dass Betriebsleiter von einem Büro-Laptop aus auf das DCS zugreifen, „weil es praktischer ist“, ist kein theoretisches Szenario.

Ursache: Smart-Plant- und Digitalisierungsinitiativen priorisierten die Datenverfügbarkeit auf Kosten einer sicheren Sicherheitsarchitektur. Die IT benötigte OT-Daten für ERP und Business Intelligence (BI), weshalb Sicherheitsbarrieren umgangen wurden.

Geschäftliche Auswirkungen: Dies ist der klassische Angriffspfad: Phishing-E-Mail an einen HR-Mitarbeiter → Kompromittierung der IT-Domäne → laterale Bewegung über eine Dual-Homed-Workstation → Zugriff auf das DCS/SCADA. Genau dieses Muster führte 2021 zum Ausfall der Colonial Pipeline.

AKTIONSPLAN

→ Woche 1: Erfassen Sie alle IT/OT-Verbindungen (physisch, logisch, drahtlos, Out-of-Band) in detaillierten Netzwerkdiagrammen.

→ Woche 2: Entfernen Sie sämtliche Dual-Homed-Workstations; isolieren oder installieren Sie diese neu.

→ Monat 1: Ersetzen Sie bidirektionale Datenflüsse durch unidirektionale Datendioden von der OT zur IT. Jede Verbindung in Gegenrichtung bedarf der Freigabe durch den Vorstand und einer gehärteten DMZ.

→ Monat 2: Implementieren Sie Next-Generation-OT-Firewalls mit Deep Packet Inspection (DPI) an allen IT/OT-Grenzen, wobei Signatur-Updates offline gemäß Regulation 6(2) erfolgen müssen.

Visualisierung: Der tatsächliche Ablauf einer Kompromittierung

Dies zeigt die Struktur des Colonial-Pipeline-Angriffs. Es ist der heute am häufigsten beobachtete Angriffspfad in indischen OT-Umgebungen – in nur fünf Schritten von einer Phishing-E-Mail bis zum Betriebsausfall.

SICHERHEITSLÜCKE 08

GOVERNANCE & RECHENSCHAFTSPFLICHT

Kein vom Vorstand genehmigter Cyber-Krisenmanagementplan

Die Realität: Die meisten indischen Versorgungsunternehmen verfügen über einen IT-Notfallplan. Nur sehr wenige besitzen jedoch einen spezifischen, am KRITIS-Standard orientierten Cyber-Krisenmanagementplan (CCMP) für die OT, der auf Netzinstabilitäten, kaskadierende Blackouts, physische Schäden an Generatoren oder die Kompromittierung von Sicherheitssystemen ausgelegt ist – und noch weniger haben diesen jemals praktisch erprobt.

Ursache: Das Krisenmanagement wurde oft als reine Business-Continuity-Checkliste behandelt, erstellt von IT-Beratern ohne operative Erfahrung in einer Leitwarte.

Geschäftliche Auswirkungen: Bei einem echten OT-Sicherheitsvorfall führt Handlungsunfähigkeit zu fatalen Zeitverlusten. Im Energiesektor bedeuten Stunden Verzögerung kaskadierende Ausfälle, Hardwareschäden und erhebliche regulatorische Konsequenzen.

AKTIONSPLAN

→ Monat 1: Erstellen Sie einen OT-spezifischen CCMP: Erkennung & Eindämmung, Erhalt der Netzstabilität, Lastabwurf-Protokolle, Eskalation an OEMs/Dienstleister, Einhaltung der 6-Stunden-Meldefrist an CSIRT-Power/CERT-In sowie Krisenkommunikation für Medien und Behörden.

→ Monat 2: Legen Sie den CCMP dem CERT-In zur Prüfung gemäß Regulation 5(11) vor.

→ Quartal 1: Führen Sie eine Tabletop-Übung unter Einbeziehung von Betrieb, Netzführung, CISO, Rechtsabteilung und PR durch, um einen Ransomware-Angriff auf Ihr SLDC EMS zu simulieren.

→ Halbjährlich: Führen Sie umfassende Notfallübungen gemäß Regulation 10(2) durch, dokumentieren Sie die Erkenntnisse und passen Sie den CCMP entsprechend an.

SICHERHEITSLÜCKE 09

GOVERNANCE & RECHENSCHAFTSPFLICHT

Kein formeller CISO mit gesetzlicher Befugnis

Die Realität: In vielen indischen Energieversorgungsunternehmen fungiert der CIO oder IT-Leiter in Personalunion als „CISO“. Er berichtet an den CTO, besitzt keine Weisungsbefugnis über den OT-Betrieb, verfügt über kein eigenes Budget und kann jederzeit ohne Weiteres versetzt werden.

Ursache: Cybersicherheit wurde fälschlicherweise als reine IT-Unterfunktion und nicht als strategisches Risiko auf Vorstandsebene behandelt. Da die CEA-Richtlinien von 2021 unverbindlich waren, blieb die Umsetzung oft optional.

Geschäftliche Auswirkungen: Ohne einen entscheidungsbefugten, dedizierten CISO zieht die Sicherheit im Konfliktfall mit der operativen Bequemlichkeit immer den Kürzeren – Budgets werden gekürzt, Risiken stillschweigend akzeptiert und Vorfälle vertuscht.

AKTIONSPLAN

→ Sofort: Falls Ihr CISO gleichzeitig als CIO fungiert, trennen Sie diese Rollen unverzüglich durch eine formelle Ernennung.

→ Woche 2: Überprüfen Sie die Qualifikationen des CISO (Ingenieursstudium, 15+ Jahre Erfahrung, indische Staatsbürgerschaft/Wohnsitz) und besetzen Sie die Rolle gegebenenfalls konform neu (einschließlich der Benennung eines Stellvertreters).

→ Woche 3: Veröffentlichen Sie die Kontaktdaten des CISO und seines Stellvertreters auf Ihrer Website und melden Sie diese gemäß Regulation 5(7) an das CSIRT-Power.

→ Fortlaufend: Sichern Sie dem CISO einen direkten Berichtspfad zum Vorstand, ein eigenständiges Budget und ein Vetorecht bei Risikoentscheidungen in der OT.

SICHERHEITSLÜCKE 10

LIEFERKETTE & RESILIENZ

Schwaches oder nicht vorhandenes OT-Patchmanagement

Die Realität: OT-Patches werden entweder aus Sorge vor Beeinträchtigungen herstellerzertifizierter Konfigurationen gar nicht eingepflegt oder ungetestet und planlos installiert. Es ist keine Seltenheit, dass PLCs mit Firmware aus dem Jahr 2012 laufen, weil „der Hersteller von Änderungen abgeraten hat“.

Ursache: Das Einspielen von Updates erfordert geplante Stillstandszeiten, Abstimmungen mit Herstellern und Regressionstests. Dies stört den laufenden Betrieb, und es fehlen strukturierte Prozesse mit definierten SLAs, Testumgebungen oder Rollback-Szenarien, um dieses Risiko pragmatisch zu steuern.

Geschäftliche Auswirkungen: Ungepatchte OT-Systeme sind ein leichtes Ziel. Allein im Jahr 2025 veröffentlichte die CISA über 500 ICS-Sicherheitsmeldungen zu 2.155 Schwachstellen – ein historischer Höchststand, wobei 82 % als hoch oder kritisch eingestuft wurden.

AKTIONSPLAN

→ Monat 1: Erstellen Sie Standardarbeitsanweisungen (SOP) für das OT-Patchmanagement (Schwachstellenbewertung, CVSS- und Kritikalitäts-Scoring, Validierung in Testumgebungen, Freigabeprozesse, Offline-Deployment, Verifizierung nach dem Patchvorgang).

→ Monat 2: Richten Sie eine OT-Testumgebung ein, die die produktive Steuerungslogik, HMI-Konfiguration und Netzwerk-Topologie exakt widerspiegelt.

→ Quartal 1: Verankern Sie die Pflicht zur Lieferung digital signierter Patches und zur EOL-Ankündigung in allen neuen OEM-Verträgen gemäß Regulation 11(2) und 11(4).

→ Fortlaufend: Nutzen Sie ein an das Asset-Register gekoppeltes Dashboard zur Überwachung des Patch-Status. Setzen Sie eine Frist von maximal 30 Tagen zur Behebung kritischer Schwachstellen nach Validierung des Patches.

SICHERHEITSLÜCKE 11

LIEFERKETTE & RESILIENZ

Ungeprüfte Lieferkette und fehlende Software-Stückliste (SBOM)

Die Realität: Ein neues System zur Stationsautomatisierung wird von einem Systemintegrator geliefert, ohne dass jemand weiß, welche Software-Bibliotheken im HMI integriert sind, welche Drittanbieter-DLLs im Historian laufen oder ob die Firmware aus einer vertrauenswürdigen Quelle stammt. Vorfälle wie SolarWinds und Dragonfly haben gezeigt, dass die Kompromittierung der Lieferkette die bevorzugte Methode staatlicher Akteure ist.

Ursache: Der Einkauf bewertet Lieferanten primär nach Preis, Lieferzeit und Gewährleistung – Cybersicherheitsaspekte bleiben außen vor. Verträge enthalten selten Klauseln zur Offenlegung der SBOM, zu signierten Patches oder zur Sicherheitsüberprüfung des Personals.

Geschäftliche Auswirkungen: Eine einzige kompromittierte Komponente in der Lieferkette kann über Jahre hinweg unentdeckt bleiben, bevor sie aktiviert wird – ohne jegliche Chance auf Erkennung, bis sie bereits tief in sicherheitskritische Systeme integriert ist.

 AKTIONSPLAN

→ Sofort: Versenden Sie Vertragsnachträge an alle OEMs, Systemintegratoren und Cloud-Anbieter, um die Einhaltung von Regulation 11 einzufordern (SBOM-Offenlegung, signierte Patches, EOL-Ankündigungen, Härtungszertifikate, Wiederherstellungspläne).

→ Monat 1: Machen Sie die SBOM-Offenlegung und Cybersicherheitstests im Rahmen von FAT/SAT (Regulation 5(31)) zu einem bindenden Kriterium bei jeder Neuanschaffung.

→ Monat 2: Richten Sie ein Lieferanten-Risikoregister ein, das Reifegrad der Cybersicherheit, Vorfallshistorie und Compliance-Nachweise bewertet.

→ Fortlaufend: Verlangen Sie Hintergrundüberprüfungen und unterzeichnete NDAs vom Personal der Dienstleister vor jedem physischen oder logischen Zugriff auf kritische Systeme.

SICHERHEITSLÜCKE 12

ERKENNUNG & REAKTION

Keine OT-spezifischen VAPT- oder Penetrationstests

Die Realität: Wenn indische Versorgungsunternehmen VAPT-Aktivitäten durchführen, beschränken sich diese fast immer auf Webanwendungen und das IT-Netzwerk. Die OT-Infrastruktur – PLCs, RTUs, Seriell-zu-Ethernet-Konverter, HMI-Stationen – wird aus Sorge vor Betriebsunterbrechungen („der Scanner könnte die Anlage lahmlegen“) nie getestet.

Ursache: Die Sorge vor ungeplanten Stillständen, ein Mangel an spezialisierten OT-Sicherheitsprüfern in Indien und das Fehlen eines klaren gesetzlichen Mandats für OT-VAPT in der Vergangenheit.

Geschäftliche Auswirkungen: Sie agieren blind gegenüber den kritischsten Schwachstellen – jenen, die zum Ausfall von Generatoren oder zur unkontrollierten Öffnung von Leistungsschaltern führen können –, bis ein Angreifer diese vor Ihnen findet.

AKTIONSPLAN

→ Monat 1: Beauftragen Sie einen spezialisierten OT-Sicherheitsdienstleister mit einer zerstörungsfreien Schwachstellenanalyse unter Verwendung passiver und semi-aktiver Methoden.

→ Monat 2: Verankern Sie das OT-VAPT vor der Inbetriebnahme als vertragliche Pflicht vor der Erteilung des vorläufigen Abnahmezertifikats (PAC) für neue Systeme.

→ Quartal 1: Planen Sie Ihr erstes jährliches Cybersicherheitsaudit mit einer vom CERT-In akkreditierten Prüfstelle, mit explizitem Fokus auf OT-Protokolle, Steuerungslogik und Funk-/RF-Verbindungen.

→ Fortlaufend: Rotieren Sie die Audit-Dienstleister alle 2–3 Jahre gemäß Regulation 13. Bewahren Sie Audit-Nachweise für fünf Jahre auf.

SICHERHEITSLÜCKE 13

TRANSPARENZ & ARCHITEKTUR

Unzureichende physische Sicherheit von Steuerungssystemen

Die Realität: Ungesicherte PLC-Schränke in Freiluft-Schaltanlagen, offen zugängliche USB-Ports an HMI-Stationen, unbewachte Relaisräume und universelle Schlüssel für Umspannwerkstore – selbst in kritischen 500-kV-Anlagen.

Ursache: Physische Sicherheit lag historisch in der Verantwortung des Werkschutzes und wurde selten mit der Cybersicherheit verknüpft. Die Schnittmenge aus physischem und logischem Zugriff wurde nie systematisch bewertet.

Geschäftliche Auswirkungen: Stuxnet hat bewiesen, dass ein einziger USB-Stick ausreicht, um ein physisch isoliertes System (Air Gap) zu kompromittieren. Ein Angreifer mit physischem Zugriff kann Firmware manipulieren, unautorisierte Hardware platzieren oder Daten abziehen, ohne Spuren im Netzwerk zu hinterlassen.

 AKTIONSPLAN

→ Woche 1: Begehen Sie alle Leitwarten, Relaisräume, Freianlagen und Remote-Terminals. Dokumentieren Sie jeden Zugangspunkt, Schaltschrank und USB-Port.

→ Woche 2: Sichern Sie jeden PLC/RTU/IED-Schrank mit mechanischen oder elektronischen Schlössern. Deaktivieren oder blockieren Sie ungenutzte USB-Ports an HMIs und Engineering-Arbeitsplätzen physisch.

→ Monat 1: Implementieren Sie eine lückenlose Protokollierung des physischen Zutritts über RFID-Karten für alle kritischen Bereiche, direkt angebunden an das SOC.

→ Monat 2: Bringen Sie Plomben (Tamper-evident Seals) an kritischen Gehäusen an und installieren Sie Videoüberwachung an allen sensiblen Zugängen.

SICHERHEITSLÜCKE 14

LIEFERKETTE & RESILIENZ

Keine Datenresidenz- oder Datensouveränitätskontrollen

Die Realität: Backups des SCADA-Historians liegen auf AWS in Singapur, Anlagentelemetrie fließt über eine europäische Cloud-Analyseplattform und der Fernwartungsserver des Herstellers steht in den USA. Operative Daten des indischen Stromnetzes verlassen täglich unkontrolliert die Landesgrenzen.

Ursache: Bei Cloud-Migrationen und Industrie-4.0-Initiativen wurden Kosten und Skalierbarkeit über die Datensouveränität gestellt – im Einkauf wurden entsprechende Datenresidenzklauseln schlicht vernachlässigt.

Geschäftliche Auswirkungen: Der Zugriff ausländischer Jurisdiktionen auf nationale Netzdaten stellt ein erhebliches Spionagerisiko dar. In geopolitischen Krisen können Cloud-Anbieter gezwungen sein, Daten an ausländische Regierungen herauszugeben. Zudem liegt hier ein direkter Verstoß gegen die CEA-Vorgaben vor.

 AKTIONSPLAN

→ Woche 1: Analysieren Sie jeden Datenfluss (Cloud-Dienste, SaaS-Plattformen, Backup-Ziele, Telemetrie-Empfänger) und dokumentieren Sie den Speicherort.

→ Woche 2: Migrieren oder kündigen Sie Dienste, die Betriebsdaten des indischen Energiesektors außerhalb Indiens speichern – beginnend mit SCADA-Historians, AMI-Headends und Netzanalysetools.

→ Monat 1: Verhandeln Sie Verträge mit Cloud-Anbietern und OEMs neu, mit expliziten Klauseln zu „India-only“-Datenhaltung und Verschlüsselung im Ruhezustand (Encryption-at-Rest).

→ Fortlaufend: Führen Sie vierteljährliche Audits zur Datenresidenz durch und testen Sie die Wiederherstellung von Backups von inländischen Systemen.

SICHERHEITSLÜCKE 15

LIEFERKETTE & RESILIENZ

Fehlendes oder unzureichende OT-Backup und Recovery

Die Realität: Datensicherung wird oft als reines IT-Thema wahrgenommen – bis die DCS-Konfiguration, die SCADA-Datenpunkt-Datenbank oder die Parametrierungsdateien der Schutzrelais verloren gehen und kein aktuelles Backup zur Hand ist. Viele Betreiber haben noch nie eine vollständige Wiederherstellung eines OT-Systems praktisch erprobt.

Ursache: Die OT-Datensicherung wurde vernachlässigt. Engineering-Arbeitsplätze wurden nicht in die Backup-Richtlinien einbezogen, die Programmierlogik der PLCs lag oft ausschließlich auf den Laptops einzelner Ingenieure und RTO/RPO-Zeiten für Steuerungssysteme wurden nie definiert.

Geschäftliche Auswirkungen: Ein Ransomware-Angriff auf Ihre DCS-Engineering-Station kann Wochen manueller Rekonstruktion nach sich ziehen – vorausgesetzt, die Ingenieure mit dem entsprechenden Fachwissen sind noch im Unternehmen. Ohne validierte Backups ist die Wiederherstellung reines Glücksspiel.

 AKTIONSPLAN

→ Monat 1: Inventarisieren Sie alle OT-Backup-Ziele (DCS-Konfigurationen, SCADA-Datenbanken, HMI-Projekte, PLC-Logik, Relaisparameter, Netzwerk- und Firewall-Konfigurationen).