IT-Sicherheit · 14. Oktober 2026

BSI-Empfehlung zu vernetzten Steuerungen: Was Kommunen und ihre Betriebe jetzt prüfen sollten

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 13. Oktober 2026 die Cybersicherheitsempfehlung BSI-CS 154 „Gefährdung durch internet-verbundene OT-Systeme“ veröffentlicht (Version 1.0 vom 09.10.2026). Sie richtet sich an Betreiber kleiner und kleinster industrieller Anlagen: Trinkwasserversorgung, Abwasserbehandlung, Solaranlagen beliebiger Größe, Blockheizkraftwerke, Biogas- oder Kühlanlagen. Damit sind nicht nur Unternehmen gemeint, sondern sehr direkt auch Kommunen, Zweckverbände, Eigenbetriebe und Liegenschaftsverwaltungen. In der Pressemitteilung verweist BSI-Präsidentin Claudia Plattner ausdrücklich auf die jüngsten Vorfälle in Frankreich. Plattner fordert die Betreiber „eindringlich“ auf, ihre Systeme sicher zu betreiben.

Was sich ändert

Die Empfehlung ist kein neues Gesetz und keine neue Meldepflicht. Sie ist aber eine amtliche Festlegung dessen, was das BSI als Mindestmaß an Sorgfalt erwartet, und sie ist ungewöhnlich deutlich formuliert. Wörtlich heißt es: Jeder Betreiber, der OT-Systeme ohne ausreichende Schutzmaßnahmen offen aus dem Internet zugänglich macht, „handelt grundsätzlich pflichtwidrig und nimmt die Gefahr eines unbefugten Zugriffs oder einer Störung zumindest billigend in Kauf“. Das gilt nach dem Dokument „unabhängig von Anlagengröße, Rechtsform oder Art der Anlage“.

Das BSI begründet die Dringlichkeit mit konkreten Vorfällen. Im August 2026 wurden in den USA Wasserversorger über offen erreichbare Steuerungen (SPS) und SCADA-Systeme angegriffen; Prozesswerte wurden manipuliert und Zugänge gesperrt, betroffen waren nach Angaben des BSI mehr als 30 kommunale Betreiber. Bereits im Dezember 2025 trafen koordinierte Angriffe in Polen Windparks und Kraft-Wärme-Kopplungsanlagen. Die Ursachen waren nach der BSI-Auswertung durchweg trivial: unveränderte Werkspasswörter, identische Passwörter über mehrere Anlagen hinweg und vermeintlich abgeschottete Mobilfunkanbindungen, die Querbewegungen zwischen Standorten erlaubten. Das BSI warnt zudem, dass Angreifer exponierte Steuerungen inzwischen teilautomatisiert und mit KI-generierten Skripten ausnutzen.

Die Empfehlung legt eine feste Reihenfolge der Maßnahmen fest:

1. Direkten Zugriff aus dem Internet unterbinden. Frei erreichbare SPS-, SCADA- und HMI-Zugänge trennen, Portweiterleitungen im Router abschalten. OT-Protokolle wie Modbus-TCP, S7Com oder Profinet dürfen „keinesfalls“ ins Internet exponiert sein, ebenso wenig Management-Oberflächen von Routern und Firewalls.
2. Zugriffe absichern. Fernzugriffe nur über VPN, Standardzugänge deaktivieren, starke Passwörter und möglichst Mehrfaktor-Authentisierung. Eine dynamische IP-Adresse ist ausdrücklich kein Schutz. Herstellercloud-Anbindungen sollen auf ihre Notwendigkeit geprüft werden.
3. Systeme aktuell halten. Software- und Firmwarestände prüfen, Sicherheitsupdates schnellstmöglich einspielen, besonders bei Routern und Fernzugängen.
4. Maßnahmen zur Routine machen. Angriffsflächen wiederkehrend prüfen, Patch-Management etablieren, Inventar, Fernzugriffsdokumentation sowie Benutzer und Passwörter fortlaufend pflegen, auch für Anlagen, die Dritte installiert haben.

Darüber hinaus beschreibt das Dokument Prüfwege von außen (Abgleich der eigenen IP-Adressen in Internet-Suchdiensten, Portscan nur am eigenen Anschluss) und von innen (Netzwerkinventar, Kontrolle ausgehender Verbindungen, Suche nach Mobilfunk-Gateways in Schaltschränken, Positivlisten statt pauschaler Freigaben, echte Segmentierung zwischen Büro-IT, OT, Fernwartung und IIoT).

Folgen für die Verwaltung

Für Behörden ist die Empfehlung aus drei Gründen relevant.

Erstens betreiben Kommunen und ihre Einrichtungen genau die Anlagen, die das BSI nennt: Pumpwerke und Hochbehälter, Kläranlagen, Photovoltaik auf Schulen und Verwaltungsgebäuden, Blockheizkraftwerke, Gebäudeleittechnik. Viele dieser Anlagen liegen unterhalb der KRITIS-Schwellenwerte und waren deshalb bisher selten Gegenstand der Informationssicherheitsplanung. Die Empfehlung macht deutlich, dass die fehlende Regulierung kein Freibrief ist.

Zweitens liegt der Betrieb häufig bei Dritten. Systemintegratoren und Wartungsfirmen richten Fernzugänge ein, oft über eigene LTE-Router oder Herstellerportale, die in keinem Netzplan der Verwaltung auftauchen. Das BSI sagt dazu offen, dass es Fälle gibt, in denen Betreibern solche Zugänge „überhaupt nicht bekannt sind“. Die Empfehlung ist ausdrücklich als Grundlage gedacht, um erforderliche Maßnahmen gegenüber Dienstleistern einzufordern. Für die öffentliche Hand bedeutet das: Wartungs- und Serviceverträge sind ein Sicherheitsthema.

Drittens verschiebt sich die Verantwortungsfrage. Wenn das BSI eine offen erreichbare Steuerung als „grundsätzlich pflichtwidrig“ bezeichnet, wird es nach einem Vorfall schwer zu begründen sein, warum eine Behörde nicht geprüft hat. Für Anlagen, die unter KRITIS- oder NIS-2-Pflichten fallen, gelten ohnehin die dort festgelegten Anforderungen; die Empfehlung ersetzt diese nicht, sondern beschreibt die Basis, auf der sie aufsetzen.

Mittelfristig kommt Bewegung von der Herstellerseite. Ab dem 11. Dezember 2027 gelten die Hauptpflichten des Cyber Resilience Act, unter anderem sichere Voreinstellungen im Auslieferungszustand. Für den heutigen Bestand an Anlagen hilft das nicht; er muss vom Betreiber selbst abgesichert werden.

Prüfen allein reicht nicht, es muss belegt sein

Die Empfehlung verlangt keine einmalige Aktion, sondern Routine: Angriffsflächen wiederkehrend prüfen, Patches nachziehen, Inventar und Fernzugänge fortlaufend pflegen. Für Kommunen und ihre Betriebe heißt das in der Praxis, dass dieselben Prüfungen an vielen Anlagen und Standorten in festen Abständen wiederholt werden, oft gemeinsam mit externen Dienstleistern.

Entscheidend ist, was davon übrig bleibt. Nach einem Vorfall fragen Aufsicht, Rechnungsprüfung und gegebenenfalls Versicherer nicht, ob geprüft wurde, sondern wann, von wem, mit welchem Ergebnis und was danach geändert wurde. Prüfungen, die nur in E-Mails, Tabellen oder Wartungsprotokollen der Dienstleister stehen, lassen sich später kaum zusammenführen.

Bewährt hat sich, die Maßnahmen der Empfehlung als feste Prüffälle anzulegen, jede Durchführung mit Person, Zeitpunkt und Ergebnis zu dokumentieren und Abweichungen bis zur Behebung nachzuverfolgen. So entsteht der Nachweis, dass die Behörde ihrer Sorgfalt nachgekommen ist, als Nebenprodukt der laufenden Arbeit.

Was jetzt zu tun ist

Für IT-Leitungen, Informationssicherheitsbeauftragte und technische Betriebe in Kommunen und Landesverwaltungen ergibt sich eine überschaubare, aber verbindlich zu erledigende Liste:

• Bestand erfassen. Welche Anlagen mit Steuerungstechnik betreibt die Kommune, ihre Eigenbetriebe und Zweckverbände? Dazu gehören auch PV-Anlagen, Gebäudeleittechnik, Ladeinfrastruktur und Bäder.
• Exposition prüfen. Für jede Anlage klären, ob sie direkt aus dem Internet erreichbar ist. Die öffentlichen IP-Adressen der Standorte mit den im BSI-Papier genannten Diensten abgleichen; Portscans nur an eigenen Anschlüssen oder mit Freigabe des Netzbetreibers.
• Fernzugänge offenlegen. Dienstleister und Integratoren schriftlich auffordern, alle aktiven und ungenutzten Fernzugänge, Mobilfunkmodule und Cloudanbindungen zu benennen. Ungenutzte Zugänge abschalten, benötigte über VPN mit Mehrfaktor-Authentisierung führen.
• Passwörter bereinigen. Werkspasswörter ersetzen, identische Passwörter über Standorte hinweg auflösen.
• Updates nachziehen. Firmwarestände von Routern, Fernwartungsgateways und Steuerungen prüfen und aktualisieren.
• Verträge anpassen. Bei neuen oder verlängerten Wartungsverträgen die Maßnahmen der Empfehlung als Leistungsbestandteil vereinbaren, einschließlich Dokumentation der Fernzugänge und Meldung von Änderungen.
• Prüfungen wiederholen und belegen. Die Prüfungen in einen festen Turnus übernehmen, jede Durchführung mit Person, Zeitpunkt und Ergebnis dokumentieren und Abweichungen bis zur Behebung nachverfolgen. Das gilt auch für Prüfungen, die Dienstleister im Auftrag durchführen.

Wer tiefer einsteigen will, findet die weitergehenden Anforderungen im ICS-Security-Kompendium und im IT-Grundschutz-Kompendium des BSI, auf die die Empfehlung selbst verweist.