Teil des Sammelberichts: alle Branchen im Überblick → (/berichte/woche-dach-kw-46-2026/)

# OT-Wochenbericht Strom und Energie, KW 46/2026
Berichtszeitraum 06.11.2026 bis 13.11.2026 · Für: Netzbetreiber, Stadtwerke, Erzeuger, Energieversorger · TLP:CLEAR (öffentliche Quellen)
Lage: erhöht

## Executive Summary
Im Berichtszeitraum ist ein Cyberangriff auf einen deutschen Versorger bekannt geworden. Die Stadtwerke Achim (Niedersachsen) haben den Vorfall am 08.11.2026 über ihre eigenen Monitoring-Systeme erkannt und sprechen von einem gezielten, kriminellen und professionell durchgeführten Cyberangriff, der zum Ausfall zentraler IT-Systeme geführt hat. Kundenportale und E-Mail sind nicht verfügbar, und die Abschläge für EEG- und KWKG-Anlagen kommen im November nicht pünktlich. Die Versorgung mit Strom, Gas und Fernwärme war laut Stadtwerken zu keiner Zeit betroffen. Für andere Betreiber stellt sich damit die Frage, ob die eigene Trennung zwischen IT und Leittechnik im Ernstfall hält und ob der Notbetrieb ohne IT funktioniert.
Die zweite Linie der Woche ist PHP2Shell (CVE-2026-109618, CVSS 3.1: 9,8). Die Lücke ist jetzt in der Netzleittechnik angekommen: CISA hat am 12.11. das Siemens-Advisory zu Spectrum Power 3, 4, 7 und TG, AMIS TS und Energy Engage neu veröffentlicht. Für mehrere Produkte gibt es noch keinen Fix, für Energy Engage V2.0SP9 ist keiner geplant. Gleichzeitig trifft die Lücke das Fernwartungsportal mbCONNECT24 (Remote Code Execution ohne Anmeldung) und die Weidmüller-Router IE-SR (dort laut Advisory nur ein Denial of Service der Weboberfläche). Dazu führt die CISA seit dem 06.11. eine SonicWall-SSL-VPN-Lücke als aktiv ausgenutzt. Remote Access und Netzleitsysteme haben diese Woche Vorrang.
Gesamtbewertung: Die Lage ist erhöht: ein bestätigter Cyberangriff auf die IT eines deutschen Versorgers und kritische Lücken in Netzleitsystemen, für die es teilweise noch keinen Patch gibt. Vorrang haben die Abschottung von Spectrum-Power-Umgebungen und die Prüfung aller Fernwartungszugänge (SonicWall, mbCONNECT24, Industrie-Router).
Empfehlung an die Geschäftsführung: Die Geschäftsführung sollte sich bis Ende nächster Woche bestätigen lassen, dass die Netzleittechnik ohne die Office-IT weiterläuft und dass alle Fernwartungszugänge bekannt, gepatcht und mit MFA gesichert sind. Der Fall Achim zeigt, dass ein Angriff auf die zentrale IT Abrechnung und Einspeisevergütung stören kann, auch wenn die Versorgung weiterläuft.

## Relevanz im Überblick
Nr.ThemaWoRelevanzHandlungFrist
L-01Stadtwerke Achim: Cyberangriff auf die zentrale IT, Versorgung laut Unternehmen nicht betroffenZentrale IT, Kundenportale, AbrechnungHOCHNotbetrieb ohne Office-IT und Trennung zur Leittechnik prüfen1 Woche
L-02PHP2Shell in Siemens-Netzleittechnik: Spectrum Power, AMIS TS und Energy Engage betroffen, teils ohne Fix (ICSA-26-316-01)Netzleitstelle, Netzleitsystem und Monitoring-ServerKRITISCHBetroffene Systeme identifizieren, Netzzugriff einschränken, verfügbare PHP-Patches einspielensofort
L-03MB connect line mbCONNECT24: Remote Code Execution ohne Anmeldung über gebündeltes PHP (VDE-2026-128, CVSS 9,8)Fernwartung durch Hersteller und DienstleisterHOCHDienstleister nach Update auf 2.21.6 fragen1 Woche
L-04Weidmüller-Security-Router IE-SR: PHP2Shell legt Weboberfläche lahm (VDE-2026-152)Fernwirk- und Fernwartungszugang in StationenMITTELFirmware 2.3.4 einspielen, Weboberfläche nur intern erreichbar machen2 Wochen
L-05SonicWall SonicOS SSL-VPN: CVE-2026-19868 aktiv ausgenutzt (CISA KEV)VPN-Gateway für Fernwartung und BereitschaftHOCHPatchen, VPN-Logs auf auffällige Anmeldungen prüfen, MFA erzwingensofort
L-06Welotec egOS: Edge-Gateways vertrauen kompromittierten Zwischenzertifikaten (VDE-2026-138)Edge-Gateways für Telemetrie in Erzeugungs- und NetzanlagenNIEDRIGAuf egOS 1.11.2 aktualisierenQuartal

## Exponierte OT-Systeme (Shodan)
Exponierte OT-Systeme (Shodan, Stand 13.11.2026):

Region
Gesamt
Top-Protokolle

Deutschland
139840
DNP3: 31446, OMRON FINS: 26419, ProConOS: 15503, Siemens S7: 7574, OPC UA: 4952

Österreich
4663
HMI/VNC: 1007, DNP3: 959, Niagara Fox: 456, Siemens S7: 381, OPC UA: 149

Gezählt werden aus dem Internet erreichbare Dienste typischer OT-Protokolle. Die Zahlen sind ein Indikator für Angriffsfläche, kein Nachweis einer Verwundbarkeit. Keine Einzelsysteme genannt. Siemens S7 = Port 102 (alle ISO-TSAP-Dienste, nicht nur echte S7-Steuerungen), OPC UA = Standardport 4840.

## Lage im Detail

### L-01 Stadtwerke Achim: Cyberangriff auf die zentrale IT, Versorgung laut Unternehmen nicht betroffen
HOCH · Stadtwerke Achim, 08.11. (https://www.stadtwerke-achim.de/de/Unternehmen/Aktuelles/Wichtige-News/)
Was ist neu: Die Stadtwerke Achim haben den Angriff am 08.11.2026 über ihre eigenen Monitoring-Systeme erkannt. Sie sprechen von einem gezielten, kriminellen und professionell durchgeführten Cyberangriff, der zum Ausfall zentraler IT-Systeme geführt hat. Alle IT-Systeme wurden isoliert, das BSI und die Landesdatenschutzbeauftragte sind informiert. Kundenportale und E-Mail sind nicht verfügbar, die Abschläge für EEG- und KWKG-Anlagen kommen im November nicht pünktlich.
Bedeutung: Laut Stadtwerken war die Versorgung mit Strom, Gas und Fernwärme zu keiner Zeit betroffen. Wie die Leittechnik in Achim angebunden ist, ist nicht öffentlich. Unsere Einschätzung allgemein: Ob ein Netz nach einem Angriff auf die Büro-IT weiterläuft, hängt davon ab, wie sauber IT und Leittechnik getrennt sind.
Empfehlung: Nachweisen, dass es keine dauerhafte Verbindung aus der Büro-IT in die Leittechnik gibt (gemeinsames Active Directory, Jump Host, Datei-Shares), und den Notbetrieb bei isolierter Büro-IT üben, inklusive Abrechnung, Einspeisevergütung und BSI-Meldung (CC2, CC1).

### L-02 PHP2Shell in Siemens-Netzleittechnik: Spectrum Power, AMIS TS und Energy Engage betroffen, teils ohne Fix (ICSA-26-316-01)
KRITISCH · CISA / Siemens ProductCERT (SSA-166980), 12.11. (https://www.cisa.gov/news-events/ics-advisories/icsa-26-316-01)
Was ist neu: CISA hat das Siemens-Advisory zu CVE-2026-109618 (CVSS 9,8) und CVE-2026-109619 (CVSS 8,1) im Sektor Energy neu veröffentlicht. Betroffen sind Spectrum Power 3, 4, 7 und TG, AMIS TS, Energy Engage und blueplanet-Wechselrichter. Für Energy Engage V2.0SP9 ist kein Fix geplant, für AMIS TS, blueplanet 360 und Spectrum Power 4 gibt es noch keinen.
Bedeutung: Spectrum Power ist in vielen Netzleitstellen im Einsatz. Die Lücken sitzen in der PHP-Laufzeit, die zum Beispiel im Infrastruktur-Monitoring (IHM/NagiosXI) mitläuft, und erlauben Code-Ausführung ohne Anmeldung. Wer aus dem Leitsystem-Netz eine dieser Komponenten erreicht, hat damit einen Weg in den Kern der Leittechnik.
Empfehlung: Beim Systemlieferanten klären, welche Spectrum-Power- und Monitoring-Komponenten PHP nutzen, und die verfügbaren Red-Hat- bzw. PHP-Updates einplanen (CC5). Bis dahin den Zugriff auf die Weboberflächen auf feste Admin-Hosts begrenzen und den Verkehr dorthin überwachen (CC2, CC3).

### L-03 MB connect line mbCONNECT24: Remote Code Execution ohne Anmeldung über gebündeltes PHP (VDE-2026-128, CVSS 9,8)
HOCH · MB connect line, koordiniert von CERT@VDE, 10.11. (https://certvde.com/en/advisories/VDE-2026-128/)
Was ist neu: mbCONNECT24 und mymbCONNECT24 ab Version 2.0.0 und vor 2.21.6 enthalten ein PHP mit CVE-2026-109618 (CVSS 3.1: 9,8) und CVE-2026-109619 (CVSS 3.1: 8,1). Laut Advisory können beide Lücken zu Remote Code Execution ohne Anmeldung führen. Behoben ist das in Version 2.21.6. Eine Ausnutzung meldet das Advisory nicht.
Bedeutung: Über solche Portale warten Anlagenbauer BHKW, Wärmeerzeuger, Pumpen und Nebenanlagen in Umspannwerken. Ein übernommenes Portal öffnet auf einen Schlag den Weg zu allen angebundenen Anlagen mehrerer Betreiber.
Empfehlung: Eine Liste aller Dienstleister mit eigenem Fernzugang führen und schriftlich den Patch-Stand des Portals abfragen. Zugänge nur bei Bedarf freischalten und Sitzungen protokollieren (CC4).

### L-04 Weidmüller-Security-Router IE-SR: PHP2Shell legt Weboberfläche lahm (VDE-2026-152)
MITTEL · CERT@VDE, 10.11. (https://certvde.com/en/advisories/VDE-2026-152/)
Was ist neu: In den Security-Routern IE-SR-4TX und IE-SR-4GT vor Firmware 2.3.4 steckt CVE-2026-109618. Laut CERT@VDE kann ein Angreifer damit die Weboberfläche zeitweise lahmlegen, Code ausführen kann er nicht. Behoben ist das in Firmware 2.3.4.
Bedeutung: Solche Hutschienen-Router sitzen oft als Zugang in Ortsnetz- und Umspannstationen. Routing und Firewall laufen laut Advisory weiter, aber ohne Weboberfläche ist die Fernverwaltung im Ernstfall eingeschränkt.
Empfehlung: Router im Asset-Inventar suchen, Firmware 2.3.4 einplanen und die Weboberfläche nur aus dem Management-Netz erreichbar machen (CC5, CC4).

### L-05 SonicWall SonicOS SSL-VPN: CVE-2026-19868 aktiv ausgenutzt (CISA KEV)
HOCH · CISA, 06.11. (https://www.cisa.gov/news-events/alerts/2026/11/06/cisa-adds-one-known-exploited-vulnerability-catalog)
Was ist neu: Die CISA hat am 06.11. CVE-2026-19868 in SonicOS SSLVPN („Use of Single-factor Authentication“) in den KEV-Katalog aufgenommen, weil es Belege für aktive Ausnutzung gibt. Betroffene Versionen nennt die Meldung nicht.
Bedeutung: SonicWall-Firewalls sind bei kleineren Stadtwerken und Netzbetreibern oft das VPN-Gateway für Fernwartung und Bereitschaft. Ein übernommener VPN-Zugang ist ein direkter Initial Access ins Netz und je nach Segmentierung bis in die Leittechnik.
Empfehlung: Herstellerhinweis zu CVE-2026-19868 lesen und patchen, phishing-resistente MFA am SSL-VPN erzwingen und die VPN-Logs der letzten Wochen auf Anmeldungen zu ungewöhnlichen Zeiten oder aus fremden Ländern prüfen (CC4).

### L-06 Welotec egOS: Edge-Gateways vertrauen kompromittierten Zwischenzertifikaten (VDE-2026-138)
NIEDRIG · CERT@VDE, 11.11. (https://certvde.com/en/advisories/VDE-2026-138/)
Was ist neu: Der Trust Store von egOS übernimmt die Mozilla-NSS-Wurzeln und enthält eMudhra-emSign-Zertifikate, deren Schlüssel für acht Zwischen-CAs kompromittiert sind. Betroffen sind egOS-Versionen vor 1.11.2 (CVE-2026-113470, CVSS 5,4).
Bedeutung: Wer einen dieser Schlüssel besitzt und den Verkehr mitlesen kann, kann ausgehende TLS-Verbindungen der Gateways übernehmen. Das betrifft Gateways, die Messwerte aus PV-, Wind- oder Netzanlagen per TLS weitergeben.
Empfehlung: egOS im nächsten Wartungsfenster auf 1.11.2 heben und prüfen, ob die Gateways nur mit fest hinterlegten Zielen sprechen (CC5).

## Trends

- PHP2Shell zieht sich durch die ganze Kette: Netzleitsystem (Spectrum Power), Fernwartungsportal (mbCONNECT24) und Stationsrouter (Weidmüller) innerhalb einer Woche.
- In Achim fielen nach dem Angriff Kundenportale, E-Mail und die pünktlichen EEG- und KWKG-Zahlungen aus, die Versorgung lief laut Stadtwerken weiter.
- Fernwartungszugänge (SSL-VPN, Herstellerportale, Mobilfunk-Router) bleiben der wahrscheinlichste Einstieg in die OT.
- Für mehrere Produkte der Netzleittechnik gibt es noch keinen Patch, kompensierende Maßnahmen wie Segmentierung und Monitoring müssen die Zeit bis zum Fix überbrücken.
## Fragen für das nächste Jour fixe

- Welche Komponenten unseres Netzleitsystems nutzen PHP, und was sagt der Lieferant zu SSA-166980?
- Könnte unsere Leitstelle weiterarbeiten, wenn wir die gesamte Office-IT wie in Achim isolieren müssten?
- Welche Dienstleister haben einen eigenen Fernzugang, und über welches Portal bzw. VPN läuft er?
- Haben wir SonicWall-SSL-VPN im Einsatz, und wurden die Logs nach dem 06.11. geprüft?
- Wie zahlen wir EEG- und KWKG-Einspeiser aus, wenn das Abrechnungssystem zwei Wochen ausfällt?
## Maßnahmen dieser Woche

- Spectrum-Power-, AMIS-TS- und Energy-Engage-Systeme erfassen, Lieferant zu PHP-Patches befragen und Zugriff auf feste Admin-Hosts begrenzen.
- SonicOS patchen und alle SSL-VPN-Konten auf phishing-resistente MFA umstellen.
- Dienstleister mit mbCONNECT24 oder anderen Portalen schriftlich nach Version 2.21.6 bzw. dem Patch-Stand fragen.
- Weidmüller-, Welotec- und andere Stationsrouter im Asset-Inventar suchen und Firmware-Updates einplanen.
- Die Trennung zwischen Office-IT und Leittechnik gegen die Firewall-Regeln abgleichen und undokumentierte Verbindungen schließen.
- Ein kurzes Tabletop zum Szenario „IT isoliert, Leitstelle läuft“ inklusive BSI-Meldung durchführen.
## Empfehlungen

- HOCH · Notbetrieb bei isolierter Office-IT üben, inklusive Abrechnung, Einspeisevergütung und BSI-Meldung [CC1 ICS Incident Response] (0 bis 3 Monate)
- HOCH · Spectrum-Power-Umgebung abschotten und verfügbare PHP-Patches einspielen; für Produkte ohne Fix kompensierende Maßnahmen dokumentieren (CC5, CC2) (sofort)
- MITTEL · Router und Edge-Gateways in Stationen (Weidmüller, Welotec) in den Patch-Zyklus aufnehmen (CC5) (0 bis 3 Monate)
- HOCH · SonicWall-SSL-VPN patchen, phishing-resistente MFA erzwingen und VPN-Logs seit Anfang November auswerten [CC4 Secure Remote Access] (sofort)Vollständiger Bericht als PDF (/berichte/woche-strom-kw-46-2026/2026-11-13_OT-Cyber-Wochenbericht_strom.pdf)
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Mehr über Max Gilg → (/max-gilg/)