Blinde Flecken zwischen IT und OT
Ob Stadtwerk, Netzbetreiber, Erzeuger oder Betreiber dezentraler Erzeugungsanlagen – die Digitalisierung rückt zwei bislang getrennte Welten enger zusammen: IT-Systeme zur Verarbeitung von Geschäfts- und Marktdaten, etwa ERP oder Abrechnung, und OT-Systeme zur Steuerung und Überwachung von Anlagen und Netzen, etwa SCADA oder Leittechnik. In vielen Unternehmen bleiben beide Bereiche organisatorisch und aus Sicherheitsgründen dennoch strikt getrennt. Das erschwert den integrierten Betrieb moderner Energieinfrastrukturen, verlangsamt Entscheidungen und führt zu Reibungsverlusten an den Schnittstellen. Eine strukturierte Zusammenführung stärkt dagegen Transparenz, Steuerung und Effizienz.
Von:
Dennis Schiedat, Principal Partner Energiewirtschaft und Experte für Datenexzellenz und Transformation bei Detecon
Mark Großer, Principal und Experte für Security und Compliance bei Detecon
Im Dezember 2025 treffen koordinierte Cyberangriffe mehr als 30 Wind- und Photovoltaikparks in Polen sowie ein großes Heizkraftwerk, das fast eine halbe Million Kunden mit Wärme versorgt. Die Angreifer zerstören die Firmware von Fernwirkeinheiten an den Netzanschlusspunkten der Windparks, löschen Systemdateien und setzen spezialisierte Schadsoftware ein. Die betroffenen Anlagen verlieren die Kommunikation mit dem Verteilnetzbetreiber – eine Fernsteuerung ist nicht mehr möglich. Beim Heizkraftwerk infiltrieren die Angreifer über Monate unbemerkt das interne Netzwerk, bevor eine Sicherheitssoftware den letzten Schritt der Zerstörung blockiert.
Der Fall zeigt, wie angreifbar die Schnittstellen zwischen IT und OT sein können. Die Angreifer bewegten sich gezielt über die Grenze zwischen beiden Systemwelten hinweg. Die IT-Sicherheit hatte keinen Einblick in die Betriebstechnik, die OT-Verantwortlichen verfügten über keine Fähigkeiten zur Angriffserkennung. Gerade dort, wo Geschäftssysteme und Anlagensteuerung aufeinandertreffen, entstehen in vielen Unternehmen erhebliche blinde Flecken – und genau diese Schnittstellen machen integrierte Steuerung und wirksame Absicherung so anspruchsvoll.
Wenn zwei Welten nicht miteinander sprechen
In vielen Energieunternehmen sind IT und OT historisch getrennt gewachsen – aus guten Gründen. IT-Systeme verwalten Kundendaten, Abrechnungen und Geschäftsprozesse. Sie werden regelmäßig aktualisiert und folgen kurzen Innovationszyklen.
OT-Systeme hingegen steuern Kraftwerke, Umspannwerke und Netzleitstellen. Ihre Anlagen- und Steuerungskomponenten bleiben oft über Jahrzehnte im Einsatz – speicherprogrammierbare Steuerungen teils 30 bis 40 Jahre, Ein- und Ausgabekarten rund 20 Jahre. Sie müssen rund um die Uhr verfügbar sein und lassen sich im laufenden Betrieb nur eingeschränkt verändern.
Diese Trennung funktionierte, solange beide Welten physisch isoliert waren. Doch die Digitalisierung der Energiewirtschaft hat diese Isolation aufgelöst. Zustandsdaten aus Erzeugungsanlagen fließen in Cloud-basierte Analyseplattformen. Flexibilitätsplattformen steuern Last und Einspeisung dezentraler Erzeuger in Echtzeit. Fernwartungszugänge verbinden externe Dienstleister mit industriellen Steuerungssystemen. Jede dieser Verbindungen schafft Mehrwert – und gleichzeitig neue Angriffsflächen.
Das betrifft längst nicht mehr nur große Netzbetreiber. Auch Stadtwerke mit begrenzten IT-Ressourcen betreiben zunehmend vernetzte Infrastrukturen: von intelligenten Ortsnetzstationen über digitale Zählerinfrastruktur bis hin zu Ladeinfrastruktur für Elektromobilität. Und Betreiber dezentraler Erzeugungsanlagen – ob Windpark, PV-Freiflächenanlage oder virtuelles Kraftwerk – sind über Fernwirkeinheiten und Kommunikationsschnittstellen direkt mit dem Verteilnetz verbunden. Unterschiedliche Sicherheitsniveaus und getrennte Zuständigkeiten erzeugen dabei Lücken, die im Ernstfall niemand schließt.
Was die Trennung im Alltag kostet
Die organisatorische Trennung von IT und OT wirkt sich konkret auf den täglichen Betrieb aus – oft schleichend, aber mit messbaren Folgen. Wenn ein Sicherheitsvorfall gleichzeitig Geschäfts-IT und Anlagensteuerung betrifft, müssen zwei getrennte Teams koordiniert werden – mit unterschiedlichen Berichtslinien, mit unterschiedlichen Eskalationswegen und häufig ohne gemeinsames Lagebild. In einem Sektor, in dem Minuten über Versorgungssicherheit entscheiden, kostet jede Abstimmungsschleife wertvolle Zeit.
Getrennte Budgets verschärfen das Problem. IT und OT beschaffen jeweils eigene Monitoring- und Sicherheitslösungen, ohne dass diese Systeme miteinander kommunizieren. Das Ergebnis sind parallele Investitionen, die kein durchgängiges Sicherheitsniveau schaffen. Gleichzeitig fließen Zustandsdaten aus dem OT-Bereich häufig erst nach manueller Aufbereitung in IT-Systeme. Prädiktive Instandhaltungsmodelle verlieren so ihren zeitlichen Vorteil – Instandhaltung bleibt reaktiv statt vorausschauend.
Dazu kommt wachsender regulatorischer Druck. Der IT-Sicherheitskatalog der Bundesnetzagentur und die NIS-2-Richtlinie fordern ein durchgängiges Sicherheitsniveau über die gesamte Netzinfrastruktur – einschließlich Fernwirk- und Leittechnik. Die NIS-2-Richtlinie nimmt Unternehmensleitungen dabei persönlich in die Pflicht. Mit getrennten IT- und OT-Strukturen lässt sich dieses Niveau gegenüber Aufsichtsbehörden nur erschwert nachweisen.
Diese Probleme treffen Stadtwerke und kleinere Energieversorger besonders hart. Während große Konzerne spezialisierte Teams für IT- und OT-Sicherheit betreiben, müssen kleinere Unternehmen mit begrenztem Personal beide Bereiche abdecken – oft ohne klare Zuständigkeiten und ohne integrierte Werkzeuge.
Zusammenführen, ohne den Betrieb zu gefährden
Die gute Nachricht: IT und OT zusammenzuführen bedeutet nicht, bewährte Betriebs- und Sicherheitsprozesse über Bord zu werfen. Es geht darum, gemeinsame Strukturen zu schaffen, die beide Welten verbinden – schrittweise und ohne die Verfügbarkeit den Schutz der OT-Systeme zu beeinträchtigen.
Gemeinsame Verantwortung schaffen: Eine zentrale Sicherheitsverantwortung – etwa ein CISO mit Zuständigkeit für IT und OT – schafft klare Entscheidungsstrukturen. Konsolidierte Risikoberichte geben der Geschäftsführung einen Gesamtblick auf Sicherheitslage und Investitionsbedarf. Für ein Stadtwerk bedeutet das konkret: Netzleitstelle, Fernwirktechnik und kaufmännische IT fallen unter ein gemeinsames Sicherheitskonzept.
Prozesse vereinheitlichen: Gemeinsame Standards für das Management von Anlagen und Systemen, für die Reaktion auf Sicherheitsvorfälle und für Zugriffskontrollen verbinden IT- und OT-Prozesse. Abgestimmte Verfahren für Änderungen und Updates reduzieren Schnittstellenrisiken, ohne die Verfügbarkeit der Betriebstechnik zu gefährden.
Teams zusammenbringen: Interdisziplinäre Teams vereinen Betriebsingenieure und IT-Fachleute. Gemeinsame Krisenübungen – etwa die Simulation eines Angriffs, der Netzanschlusspunkte und Geschäfts-IT gleichzeitig betrifft – verkürzen Reaktionszeiten und fördern gegenseitiges Verständnis. Gerade für kleinere Unternehmen, die keine spezialisierten Security-Teams aufbauen können, sind übergreifende Kompetenzen entscheidend.
Daten zusammenführen: Gemeinsame Monitoring-Plattformen führen Betriebs- und Sicherheitsdaten in einem konsolidierten Lagebild zusammen. Das verbessert die Entscheidungsgrundlage – für die Netzführung ebenso wie für die Instandhaltungsplanung. Anomalien, die in isolierten Systemen unbemerkt bleiben, fallen so frühzeitig auf.
Der Einstieg gelingt am besten schrittweise: Zunächst gemeinsame Governance-Strukturen und Risikobewertungen aufbauen, dann Prozesse angleichen und erst danach technische Plattformen konsolidieren. So bleibt der laufende Betrieb stabil, während die Organisation zusammenwächst. Doch der Zeitrahmen für diesen Aufbau wird knapper.
Konvergenz als Voraussetzung für den Betrieb von morgen
Die Digitalisierung der Energiewirtschaft verbindet IT und OT immer mehr – technisch ist die Konvergenz längst Realität. Organisatorisch und sicherheitstechnisch hinken viele Unternehmen dieser Entwicklung hinterher. Der polnische Vorfall hat gezeigt, welche Konsequenzen das haben kann: Angreifer nutzen genau die Lücken, die getrennte Strukturen offenlassen. Für Energieunternehmen jeder Größe – vom Stadtwerk bis zum überregionalen Netzbetreiber – wird die Zusammenführung von IT und OT damit zur Voraussetzung für einen sicheren und zukunftsfähigen Betrieb. Die NIS-2-Umsetzungsfristen setzen den zeitlichen Rahmen. Der Einstieg muss nicht perfekt sein – aber er muss jetzt beginnen.
Über die Autoren
Dennis Schiedat ist Principal Partner und berät Unternehmen der Energiebranche bei der digitalen Transformation. Sein Fokus liegt auf Datenexzellenz, IT-Security, sowie modernen IT-Architekturen. Er unterstützt Unternehmen bei der Umsetzung regulatorischer Anforderungen, entwickelt Datenschutzstrategien und integriert Datenschutzmaßnahmen in digitale Prozesse. Im DACH-Raum hat er große Projekte an der Schnittstelle zwischen Business und IT geleitet.
Mark Großer ist Principal bei Detecon und verantwortet die Beratungsfelder Security & Compliance. Mit über 20 Jahren Erfahrung berät er Unternehmen in den Bereichen Cyber-Security, IT-Sicherheit, Risk Management und Datenschutz. Seine Schwerpunkte liegen in den Branchen Finanzdienstleistungen, Energie, öffentlicher Sektor und Automobilindustrie. Als Bankkaufmann und Diplom-Volkswirt hilft er Unternehmen, ihre Geschäftsmodelle sicher und zukunftsfähig zu gestalten.
Über Detecon International
Wir sind Detecon. Think, do, transform: Mit herausragender Expertise und inspirierendem Enthusiasmus begleiten wir unsere Kunden durch die digitale Transformation.
Auf Basis unserer jahrzehntelangen Erfahrung als führende Managementberatung für Digitalisierung werden wir von unseren Kunden als vertrauenswürdiger Partner geschätzt. Gemeinsam bündeln wir unsere Stärken, um unsere Kunden auf ihrer Transformationsreise in eine nachhaltige, datengesteuerte und vernetzte Zukunft zu führen.
Als eigenständiges Unternehmen im Konzernverbund der Deutschen Telekom ist digitale Kompetenz ein wesentlicher Bestandteil unserer Unternehmens-DNA – von der Netzwerkinfrastruktur über 5G Campusnetze bis zur Entwicklung smarter Mobilitätslösungen, von der Gestaltung digitaler Ökosysteme bis zur Adaption von Arbeitswelten und Kollaborationsformen.
Mit mehr als 1.100 Mitarbeiterinnen an weltweiten Standorten und hochqualifizierten Beraterinnen aus über 50 Nationen bieten wir die nötige Qualität und Kapazität, um langfristige Beziehungen und zukunftsfähige Lösungen zu schaffen.
Erfahren Sie mehr unter detecon.com
Unternehmenskontakt
Selam Ghebre
Corporate Communications
Detecon International GmbH
+49 16094424328
Selam.Ghebre@detecon.com
Pressekontakt
Rebecca Haas
Oseon GmbH
mobile: +49-160-92 55 3429
detecon@oseon.com
