Blog › Cybersecurity › KRITIS-Hack
KRITIS-Hack: Wenn das Stromnetz ausfällt und niemand bereit ist
Am Morgen des 3. Januar 2026 saßen 45.000 Berliner Haushalte plötzlich im Dunkeln. Vier Tage lang, bei Minusgraden. Pflegeheime, Krankenhäuser, 205 Arztpraxen, 2.200 Betriebe — alles aus.
Aktualisiert: Mai 2026
8 Min. Lesezeit
Nico Szczawinski
Es war kein Hackerangriff, sondern ein Brandanschlag auf eine Kabelbrücke. Das ist die analoge Variante eines KRITIS-Hacks. Die digitale Variante ist längst da. Sie ist schneller, leiser, wiederholbar — und sie kann von jedem Punkt der Welt aus ausgelöst werden.
Wenn Sie ein Unternehmen führen, das Strom liefert, Wasser bereitstellt, Patienten versorgt oder Lebensmittel produziert, ist die Frage nicht mehr, ob Sie ins Visier geraten. Die Frage ist, wann Sie angegriffen werden und ob Sie es schnell genug merken.
Auf einen Blick
- Cyberangriffe auf KRITIS sind Realität, nicht Theorie: Düsseldorf 2020 mit Todesfolge, Krankenhausangriffe +74 % zwischen 2020 und 2024, Stadtwerke unter Dauerbeschuss.
- Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz — rund 30.000 deutsche Unternehmen sind verpflichtet, Bußgelder bis 10 Mio. €, persönliche Haftung der Geschäftsführung mit Privatvermögen.
- Die Realität laut BSI-Lagebericht 2025: Nur 48 % der KRITIS-Betreiber haben eine funktionierende Angriffserkennung. Mehr als die Hälfte merkt einen laufenden Angriff also nicht zuverlässig.
Warum das jetzt Ihr Problem ist, auch wenn Sie sich nicht zu KRITIS zählen
Ein häufiger Irrtum auf Geschäftsführer-Ebene: „Wir sind kein Energieversorger, wir sind kein Krankenhaus — KRITIS betrifft uns nicht.“ Das war bis 2025 oft richtig. Seit dem NIS-2-Umsetzungsgesetz ist es falsch.
Der Kreis der regulierten Unternehmen ist von rund 4.500 auf etwa 30.000 deutsche Unternehmen in 18 Sektoren angewachsen. Maschinenbau, Lebensmittelproduktion, Pharma, Logistik, digitale Dienste, Post, Abfallwirtschaft — wer mehr als 50 Mitarbeiter oder 10 Mio. € Jahresumsatz hat und in einem dieser Sektoren tätig ist, fällt automatisch unter die Pflichten.
Selbst wenn Sie es selbst nicht tun: Ihre Kunden tun es. Und sie werden Ihre Sicherheitsstandards künftig vertraglich abprüfen, weil sie für Lieferketten-Sicherheit haften.
Wenn Sie also jetzt denken „das mache ich nächstes Quartal“ — die Registrierungsfrist beim BSI ist am 6. März 2026 bereits abgelaufen. Wer nicht registriert ist, begeht eine eigenständige Compliance-Verletzung.
Was passiert, wenn der Angriff trifft
Im September 2020 verstarb in Düsseldorf eine 78-jährige Notfallpatientin, weil das Universitätsklinikum nach einem Ransomware-Angriff keine Patienten mehr aufnehmen konnte. Der Rettungswagen musste sie nach Wuppertal umleiten — etwa eine Stunde Verzögerung. Es ist der erste bekannte Fall, in dem ein Cyberangriff direkt mit einem Todesfall in Verbindung gebracht wurde. Die Staatsanwaltschaft ermittelte wegen fahrlässiger Tötung.
Stellen Sie sich kurz vor, das wäre Ihr Klinikum. Ihr Telefon klingelt um 4 Uhr morgens. Ihre IT-Abteilung sagt, sämtliche Systeme sind verschlüsselt. Die Notaufnahme ist nicht mehr betriebsfähig. Was sagen Sie der Familie der Patientin? Was sagen Sie dem Staatsanwalt, wenn er fragt, warum Ihre Angriffserkennung nicht ansprang?
+74%
mehr Angriffe auf Krankenhäuser, 2020 bis 2024
30.000
Unternehmen fallen unter NIS-2, vorher 4.500
48%
der KRITIS-Betreiber erkennen Angriffe zuverlässig
Das ist kein Worst Case. Das ist die Wirklichkeit, die nach BSI-Daten 74 Prozent häufiger geworden ist — Cyberangriffe auf Krankenhäuser haben sich zwischen 2020 und 2024 fast verdoppelt. Das Gesundheitswesen ist der am stärksten betroffene KRITIS-Sektor.
Und Energieversorger ziehen nach: Im November 2025 traf es die Vereinigte Stadtwerke GmbH — Daten flossen ab, der Versorgungsbetrieb blieb nur deshalb stabil, weil die KRITIS-Systeme strikt von der Office-IT getrennt waren. Eine Architekturentscheidung, die nicht jeder Betreiber getroffen hat.
Warum „niemand bereit ist“ — und warum das auch für Sie gilt
Der BSI-Lagebericht 2025 liest sich wie ein Mahnruf. 80 % der KRITIS-Betreiber haben mittlerweile ein Informationssicherheitsmanagementsystem auf Reifegrad 3 — klingt gut, ist aber nur die Mindestanforderung. Beim Business Continuity Management sind es nur noch rund zwei Drittel. Bei der Angriffserkennung sind es 48 Prozent.
Übersetzt: Mehr als jeder zweite KRITIS-Betreiber in Deutschland würde einen aktiven Angriff nicht zuverlässig bemerken. Das ist die statistische Wahrheit hinter „niemand ist bereit“.
Dazu kommen 119 neue Schwachstellen pro Tag (+24 % gegenüber Vorjahr) und rund 30.000 verwundbare Microsoft-Exchange-Server, die laut BSI in Krankenhäusern, Schulen und kritischen Einrichtungen weiterhin im Netz hängen. Wenn Sie Geschäftsführer eines betroffenen Unternehmens sind, ist das nicht bloß eine traurige Statistik. Es ist Ihre persönliche Risikoposition. Denn das NIS-2-Umsetzungsgesetz hat einen Punkt eingeführt, den frühere KRITIS-Regelungen so nicht kannten: Sie haften mit Ihrem Privatvermögen.
Was NIS-2 von Ihnen persönlich verlangt
Konkret bedeutet das:
- 24-Stunden-Frühwarnung, 72-Stunden-Bericht, 1-Monats-Abschlussmeldung an das BSI bei jedem erheblichen Sicherheitsvorfall — keine Übergangsfrist.
- Zehn verpflichtende Risikomanagement-Bereiche, darunter Risikoanalyse, Backup-Management, Multi-Faktor-Authentifizierung, Lieferkettensicherheit, Schulungen, Kryptografie.
- Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes — je nachdem, was höher ist.
- Persönliche Haftung der Geschäftsleitung. Sie können sich nicht mehr hinter „die IT hat das verbockt“ verstecken. Wenn Sie als Geschäftsführer Ihre Sorgfaltspflichten verletzen, haftet Ihr Privatvermögen.
Für die physische Seite — Brandanschläge, Sabotage, Naturereignisse — gibt es seit März 2026 das KRITIS-Dachgesetz. Das ist eine andere Baustelle. Die digitale Seite, also Ihr Tagesgeschäft, regelt NIS-2. Das Architekturprinzip, mit dem sich diese Anforderungen strukturiert erfüllen lassen, heißt Zero Trust.
Beide Antworten haben Konsequenzen. Wir klären Ihre Betroffenheit, identifizieren die größten Lücken in Ihrer Angriffserkennung und priorisieren die Maßnahmen, die wirklich Schutz bringen.
Was Sie jetzt konkret tun sollten
Vier Dinge gehören diese Woche auf Ihren Schreibtisch.
- NIS-2-Betroffenheitsprüfung. Wenn Sie nicht zweifelsfrei wissen, ob Sie betroffen sind, sind Sie es vermutlich. Nutzen Sie den Betroffenheits-Check des BSI.
- Realistische Standortbestimmung Ihrer Angriffserkennung. Nicht „haben wir eine Firewall?“, sondern: Wie lange würde es dauern, bis ein Angreifer in Ihrem Netz auffällt? Wenn die Antwort „weiß ich nicht“ ist, ist sie zu lang. Eine Managed Firewall mit laufender Überwachung schließt genau diese Lücke.
- IT/OT-Segmentierung prüfen. Was die Vereinigte Stadtwerke vor dem Versorgungsausfall gerettet hat, war eine harte Trennung zwischen Büro-IT und Steuerungssystemen. Haben Sie die?
- Geschäftsführungs-Haftungsschutz dokumentieren. Was haben Sie wann entschieden, was haben Sie eskaliert, was haben Sie unterschrieben? Im Fall der Fälle ist das Ihre Versicherung.
Welche Angriffsmethoden dabei am häufigsten zum Einstieg führen, ordnet die Übersicht zu den acht Cyberangriffen 2026 ein. Die organisatorische Basis liefern die zehn Maßnahmen zum Schutz vor Cyberangriffen.
Häufige Fragen zu KRITIS und NIS-2
Was ist KRITIS?
KRITIS steht für kritische Infrastruktur — Einrichtungen, deren Ausfall die Versorgung der Bevölkerung gefährdet: Energie, Wasser, Gesundheit, Ernährung, Transport, Finanzwesen, IT und Telekommunikation. Betreiber unterliegen besonderen Sicherheits- und Meldepflichten gegenüber dem BSI.
Fällt mein Unternehmen unter NIS-2?
Betroffen sind Unternehmen in 18 Sektoren mit mehr als 50 Mitarbeitern oder über 10 Mio. € Jahresumsatz — darunter auch Maschinenbau, Lebensmittelproduktion, Pharma, Logistik und Abfallwirtschaft. Der Kreis wuchs von rund 4.500 auf etwa 30.000 Unternehmen. Das BSI stellt einen Betroffenheits-Check bereit.
Was passiert bei einem Verstoß gegen NIS-2?
Es drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Neu gegenüber früheren KRITIS-Regelungen: Die Geschäftsleitung haftet persönlich mit ihrem Privatvermögen für die Verletzung von Sorgfaltspflichten.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
Drei Stufen ohne Übergangsfrist: Frühwarnung an das BSI binnen 24 Stunden, ausführlicher Bericht binnen 72 Stunden, Abschlussmeldung binnen eines Monats. Die Fristen gelten für jeden erheblichen Sicherheitsvorfall.
Nico Szczawinski
IT- & Telekommunikationsmarketing
Erstellt seit 2025 regelmäßig redaktionelle Inhalte zu IT- und Telekommunikationsthemen für beckconsult.
In 30 Minuten wissen Sie, ob Sie betroffen sind und wo Ihre größten Lücken liegen.
06.12.2025NIS-2-Umsetzungsgesetz in Kraft
06.03.2026Registrierungsfrist beim BSI abgelaufen
10 Mio. €Bußgeld, Geschäftsleitung haftet privat
25+ Jahrebeckconsult als Sparringspartner für ITK-Infrastruktur
Würden Sie einen laufenden Angriff bemerken?
Mehr als jeder zweite KRITIS-Betreiber in Deutschland würde es nicht. In einem 30-minütigen Erstgespräch klären wir Ihre Betroffenheit und priorisieren die Maßnahmen, die wirklich Schutz bringen.