# Vorfall-Lagebild: Cyberangriff legt IT der Stadtwerke Achim lahm Von Max Gilg · 11.11.2026 · 7 Min. Lesezeit Kurz gesagt: Erstmeldung zu „Cyberangriff legt IT der Stadtwerke Achim lahm“: was bekannt ist, was offen ist und was wahrscheinlich passiert ist. Vorfall-Lagebild · Erstmeldung · Stand 11.11.2026 18:00 [Bild: Infografik: Cyberangriff: IT der Stadtwerke Achim lahmgelegt] So viel ist belegt: rund 33 % der Fragen lassen sich mit Quellen beantworten, 27 % nur mit Vermutungen, 40 % sind offen. Die Stadtwerke Achim haben am Sonntag, 8. November 2026, über ihr Monitoring einen Cyberangriff erkannt, der laut Unternehmen schon Ende der Vorwoche stattfand. Zentrale IT-Systeme sind ausgefallen, die Kundenportale sind nicht erreichbar, E-Mails sind gestört, und alle Außenverbindungen wurden getrennt. Strom, Gas, Fernwärme und Warmwasser sind laut Stadtwerken nicht betroffen; über Täter, Forderungen und den Angriffsweg sagt das Unternehmen mit Verweis auf die laufende Forensik nichts. ## 1. Was ist passiert, und warum? - Belegt: Die Monitoring-Systeme der Stadtwerke Achim haben am Sonntag, 8. November, einen gezielten Cyberangriff erkannt; laut Unternehmen fand er „Ende vergangener Woche“ statt (Quelle (https://www.weser-kurier.de/landkreis-verden/stadt-achim/cyberangriff-auf-achimer-stadtwerke-it-systeme-lahmgelegt-doc88feidafgmdhl0xoarw)). - Belegt: Die Stadtwerke haben alle Außenverbindungen getrennt und sämtliche IT-Systeme isoliert. Ein Krisenstab mit externen, zertifizierten Spezialisten für Incident Response und IT-Forensik wurde gebildet (Quelle (https://www.weser-kurier.de/landkreis-verden/stadt-achim/cyberangriff-auf-achimer-stadtwerke-it-systeme-lahmgelegt-doc88feidafgmdhl0xoarw)). - Belegt: Wegen der laufenden IT-forensischen Untersuchung äußert sich das Unternehmen nicht zu Tätern und Forderungen (Quelle (https://www.weser-kurier.de/landkreis-verden/stadt-achim/cyberangriff-auf-achimer-stadtwerke-it-systeme-lahmgelegt-doc88feidafgmdhl0xoarw)). - Belegt: Die Website der Stadtwerke verweist auf „wichtige Informationen zum aktuellen IT-Vorfall“ und meldet: „Derzeit sind unsere Kundenportale nicht erreichbar“ (Quelle (https://www.stadtwerke-achim.de)). - Vermutlich: Es handelt sich um einen finanziell motivierten Angriff mit Erpressungsabsicht (Ransomware oder Datendiebstahl mit Drohung, die Daten zu veröffentlichen) (zu 70 % sicher). Das Muster passt zu vergleichbaren Fällen bei Stadtwerken (Ausfall zentraler IT, Isolierung, LKA eingeschaltet, Schweigen zu „Forderungen“). In Detmold ermittelt die Generalstaatsanwaltschaft wegen Erpressung, in Landsberg wurde verschlüsselt. Für Achim selbst ist das nicht bestätigt. - Vermutlich: Achim war kein gezielt ausgesuchtes politisches Ziel, sondern ein Opfer, weil der Zugang möglich war (zu 55 % sicher). Kriminelle Gruppen suchen typischerweise breit nach verwundbaren Zugängen. Hinweise auf staatliche Akteure gibt es nicht; das Unternehmen spricht aber ausdrücklich von einem „gezielten“ Angriff, und ausschließen lässt es sich nicht. - Offen: Wer hinter dem Angriff steckt und ob es eine Lösegeldforderung gibt - Offen: Ob Ransomware eingesetzt, also Daten verschlüsselt wurden - Offen: Wie die Angreifer hineingekommen sind - Offen: Wann genau der Angriff begann und wie lange die Angreifer im Netz waren - Offen: Ob Daten abgeflossen sind ## 2. Was ist die Auswirkung? - Belegt: Zentrale IT-Systeme sind ausgefallen, die Kundenportale (Kundenkonto, Zählerstand) sind nicht verfügbar, und die E-Mail-Kommunikation ist gestört. Telefonisch sind die Stadtwerke erreichbar, Anrufe werden dokumentiert und zurückgerufen (Quelle (https://www.weser-kurier.de/landkreis-verden/stadt-achim/cyberangriff-auf-achimer-stadtwerke-it-systeme-lahmgelegt-doc88feidafgmdhl0xoarw)). - Belegt: Strom, Gas, Fernwärme und Warmwasser sind laut Stadtwerken nicht betroffen, die Versorgung ist gewährleistet (Quelle (https://www.weser-kurier.de/landkreis-verden/stadt-achim/cyberangriff-auf-achimer-stadtwerke-it-systeme-lahmgelegt-doc88feidafgmdhl0xoarw)). - Belegt: Laut Unternehmen gibt es derzeit „keine Anhaltspunkte“, dass Systeme von Kunden und Partnern betroffen sind. Kunden sollen bei unerwarteter Kontaktaufnahme keine sensiblen Informationen herausgeben (Quelle (https://www.weser-kurier.de/landkreis-verden/stadt-achim/cyberangriff-auf-achimer-stadtwerke-it-systeme-lahmgelegt-doc88feidafgmdhl0xoarw)). - Belegt: Die Stadtwerke Achim versorgen Kunden in Achim, Oyten, Langwedel und Ottersberg (Quelle (https://www.stadtwerke-achim.de)). - Vermutlich: Kunden müssen sich auf Verzögerungen bei Abrechnung, Zählerstandsmeldungen und Vertragsänderungen einstellen (zu 75 % sicher). Portale und E-Mail fallen aus, und die Abrechnungssysteme hängen in der Regel an der zentralen IT. Bei Detmold waren die Kommunikationswege wochenlang eingeschränkt. - Vermutlich: Nach dem Angriff folgen Phishing-Versuche, die sich auf den Vorfall berufen (zu 50 % sicher). Das kommt nach öffentlich bekannten Vorfällen häufig vor, und die Stadtwerke warnen selbst vor unerwarteten Kontaktaufnahmen. Konkrete Fälle sind nicht berichtet. - Vermutlich: Daten wurden abgezogen (zu 40 % sicher). Bei Erpressungsangriffen ist doppelte Erpressung heute üblich (Vereinigte Stadtwerke 2025: Teil-Datenabfluss bestätigt). Achim nennt bisher keine Anhaltspunkte für betroffene Kunden- oder Partnersysteme, das bezieht sich aber nicht ausdrücklich auf Datenabfluss. - Offen: Ob Kundendaten (Namen, Adressen, Bankdaten) abgeflossen sind - Offen: Ob Abrechnung, Abschläge und Lastschriften verzögert werden - Offen: Wie viele Kundinnen und Kunden konkret betroffen sind ## 3. Wie lange dauert es digital (Wiederherstellung IT)? - Belegt: Die Stadtwerke Achim nennen keinen Zeitpunkt für die Wiederherstellung (Quelle (https://www.weser-kurier.de/landkreis-verden/stadt-achim/cyberangriff-auf-achimer-stadtwerke-it-systeme-lahmgelegt-doc88feidafgmdhl0xoarw)). - Belegt: Vergleich Detmold: Angriff im November 2025, laut ZfK sind seit Anfang 2026 alle Systeme wieder erreichbar (Quelle (https://www.zfk.de/digitalisierung/hackerangriff-stadtwerke-detmold-kommunikation)). - Belegt: Vergleich Neumünster: Telefon nach rund einer Woche wieder verfügbar, Systeme etwa vier Wochen später noch im Wiederaufbau (Quelle (https://kommunalwiki.boell.de/index.php/Cyberangriffe)). - Vermutlich: Telefon und einzelne Dienste sind innerhalb von ein bis zwei Wochen wieder da, der vollständige Normalbetrieb der IT dauert mehrere Wochen bis etwa zwei Monate (zu 65 % sicher). Das zeigen vergleichbare Fälle (Neumünster, Detmold). Forensik, bereinigter Neuaufbau und Prüfung vor dem Wiederanschluss brauchen Zeit. Unsicher, weil das Ausmaß in Achim unbekannt ist. - Vermutlich: Die Kundenportale bleiben länger offline als interne Systeme (zu 55 % sicher). Systeme mit Internetkontakt werden nach einem Angriff meist zuletzt und erst nach Härtung wieder freigegeben. Für Achim nicht belegt. - Offen: Ob es saubere, nicht betroffene Backups gibt - Offen: Ob verschlüsselt wurde oder nur vorsorglich abgeschaltet ist - Offen: Wie weit die Angreifer im Netz waren ## 4. Ist in der Anlage etwas kaputt, das lange dauert? - Belegt: Laut Stadtwerken sind Strom, Gas, Fernwärme und Warmwasser nicht betroffen, die Energieversorgung ist nicht Teil des IT-Vorfalls (Quelle (https://www.weser-kurier.de/landkreis-verden/stadt-achim/cyberangriff-auf-achimer-stadtwerke-it-systeme-lahmgelegt-doc88feidafgmdhl0xoarw)). - Vermutlich: Physische Anlagen wie Trafostationen, Gasdruckregelanlagen oder Heizwerke sind nicht beschädigt (zu 85 % sicher). Die Stadtwerke schließen eine Betroffenheit der Versorgung ausdrücklich aus, und in vergleichbaren Fällen (Detmold, Landsberg, Vereinigte Stadtwerke) war nur die IT betroffen. Kein Bericht deutet auf Eingriffe in Anlagen hin. - Vermutlich: Der Betrieb läuft mit mehr Handarbeit, etwa bei Störungsannahme, Einsatzplanung oder Messwertabrechnung (zu 45 % sicher). Nach einer Isolierung der IT fehlen oft Hilfssysteme wie Geoinformation, Wartungsplanung und Zählerdaten, auch wenn die Leittechnik läuft. Für Achim nicht berichtet. - Offen: Ob die Angreifer Zugriff auf Leittechnik oder Fernwirktechnik hatten - Offen: Wie die Netzleitstelle gegen die Büro-IT segmentiert ist - Offen: Ob die Leitstelle vorübergehend mit eingeschränkten Werkzeugen arbeitet [Bild: Diagramm: Was zum Angriff auf Achim belegt ist (Quelle: Eigene Aussagen-Zählung im Vorfall-Lagebild, Stand 11.11.2026)] ## 5. Wie viele solcher Ziele gibt es? - Belegt: Der Verband kommunaler Unternehmen (VKU) hatte im Juli 2025 rund 1.600 Mitgliedsunternehmen (Energie, Wasser, Abfall, Telekommunikation) (Quelle (https://www.vku.de/fileadmin/user_upload/Verbandsseite/Publikationen/2025/VKU_ZDF_2025_DE.pdf)). - Belegt: Seit Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 rechnet das BSI mit rund 29.500 beaufsichtigten Einrichtungen in Deutschland (Quelle (https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html)). - Belegt: Allein in den letzten zwölf Monaten wurden unter anderem die Stadtwerke Detmold (November 2025), die Vereinigten Stadtwerke (November 2025) und die Stadtwerke Landsberg (September 2026) angegriffen (Quelle (https://www.zfk.de/politik/deutschland/cyberangriff-detmold-erpressung-ermittlungen)). - Belegt: Shodan (aggregiert): OT-Protokolle öffentlich erreichbar in Deutschland: 139332 gesamt (DNP3 31568, OMRON FINS 26036, ProConOS 15449, EtherNet/IP 15189, Siemens S7 7595, OPC UA 4934). - Vermutlich: Die Zahl der öffentlich bekannten Angriffe auf Stadtwerke liegt unter der tatsächlichen Zahl (zu 75 % sicher). Nicht jeder Vorfall wird öffentlich, und Meldungen an das BSI sind nicht öffentlich einsehbar. - Offen: Eine amtliche Zahl erfolgreicher Angriffe auf Stadtwerke im Jahr 2026 - Offen: Wie viele Stadtwerke ihre Büro-IT und ihre Leittechnik wirksam trennen ## 6. Kann das wieder passieren? - Belegt: Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten (BGBl. 2025 I Nr. 301) und verpflichtet erfasste Einrichtungen zu Registrierung, Risikomanagement und Meldung erheblicher Vorfälle (Quelle (https://www.recht.bund.de/bgbl/1/2025/301/VO.html)). - Vermutlich: Weitere Stadtwerke in Deutschland werden in den kommenden Monaten Opfer ähnlicher Angriffe (zu 90 % sicher). Die Fälle Detmold, Vereinigte Stadtwerke, Landsberg und Achim zeigen eine Abfolge innerhalb eines Jahres, und an den Ursachen (Edge-Geräte, Zugangsdaten, Dienstleister) hat sich branchenweit wenig geändert. - Vermutlich: Achim selbst wird nach dem Wiederaufbau deutlich besser geschützt sein als vorher (zu 65 % sicher). Nach Vorfällen wird meist kräftig investiert, und die Forensik zeigt die konkrete Lücke. Wiederholte Angriffe auf dasselbe Opfer kommen trotzdem vor. - Offen: Wie der Zugang in Achim zustande kam und ob er geschlossen ist - Offen: Welche Maßnahmen die Stadtwerke nach dem Vorfall umsetzen ## Vergleichsfälle - Stadtwerke Detmold (2025): Die Versorgung lief, aber die Kommunikation mit Kunden war wochenlang eingeschränkt; die Generalstaatsanwaltschaft Köln ermittelt wegen Erpressung. (Quelle (https://www.zfk.de/politik/deutschland/cyberangriff-detmold-erpressung-ermittlungen)) - Vereinigte Stadtwerke (Ratzeburg/Bad Oldesloe/Mölln) (2025): Der Angriff begann laut Unternehmen nach einem Vorfall bei einem IT-Dienstleister; trotz früher Erkennung floss ein Teil der Daten ab, eine Ransomware-Gruppe beanspruchte die Tat für sich. (Quelle (https://borncity.com/blog/2025/12/30/cyberangriff-auf-vereinigte-stadtwerke-nov-2025/)) - Stadtwerke Landsberg (2026): Zentrale IT wurde in der Nacht zum 1. September verschlüsselt; Strom, Wasser und Fernwärme liefen weiter, ein Abfluss von Kundendaten war zunächst nicht auszuschließen. (Quelle (https://www.tdworld.com/smart-utility/grid-security/news/55403973/cyberattack-on-german-public-utility-highlights-broader-resiliency-landscape-of-regional-power-infrastructure)) - Stadtwerke Neumünster (2023): Telefon war nach rund einer Woche wieder da, der Wiederaufbau der IT dauerte mehr als vier Wochen. (Quelle (https://kommunalwiki.boell.de/index.php/Cyberangriffe)) [Bild: Schema: So reagierten die Stadtwerke Achim auf den Angriff] ## Quellen - https://www.weser-kurier.de/landkreis-verden/stadt-achim/cyberangriff-auf-achimer-stadtwerke-it-systeme-lahmgelegt-doc88feidafgmdhl0xoarw - https://www.stadtwerke-achim.de - https://www.zfk.de/digitalisierung/hackerangriff-stadtwerke-detmold-kommunikation - https://kommunalwiki.boell.de/index.php/Cyberangriffe - https://www.vku.de/fileadmin/user_upload/Verbandsseite/Publikationen/2025/VKU_ZDF_2025_DE.pdf - https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html - https://www.zfk.de/politik/deutschland/cyberangriff-detmold-erpressung-ermittlungen - https://www.recht.bund.de/bgbl/1/2025/301/VO.html - https://borncity.com/blog/2025/12/30/cyberangriff-auf-vereinigte-stadtwerke-nov-2025/ - https://www.tdworld.com/smart-utility/grid-security/news/55403973/cyberattack-on-german-public-utility-highlights-broader-resiliency-landscape-of-regional-power-infrastructure Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder (/vorfaelle/). Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene. Passt zu: Schritt 1: Für den Notfall vorbereitet (/schritte/notfall/)Schritt 3: Sehen, was im Netz passiert (/schritte/sehen/) In der Simulation ausprobieren: Umspannwerke 110/20 kV mit Netzleitstelle. So läuft ein Angriff, so funktioniert die Response, im Browser und ohne Installation. Umspannwerke 110/20 kV mit Netzleitstelle öffnen (/simulationen/umspannwerke/anlage/Umspannwerke_Leitstand_PurpleTeam.html) · Mehr zur Anlage (/simulationen/umspannwerke/) [Bild: Max Gilg]Über den Autor Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Mehr über Max Gilg → (/max-gilg/) ← Alle Artikel (/blog/) Zuletzt aktualisiert: 11.11.2026 Fragen? Wir helfen auch. (/kontakt/#anfrage) Notfall? 24/7 anrufen: +49 8031 8603164 (tel:+4980318603164) Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-cyberangriff-legt-it-der-stadtwerke-achim-lahm.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-cyberangriff-legt-it-der-stadtwerke-achim-lahm.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-cyberangriff-legt-it-der-stadtwerke-achim-lahm.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-cyberangriff-legt-it-der-stadtwerke-achim-lahm.html&text=Vorfall-Lagebild%3A%20Cyberangriff%20legt%20IT%20der%20Stadtwerke%20Achim%20lahm)WhatsApp (https://wa.me/?text=Vorfall-Lagebild%3A%20Cyberangriff%20legt%20IT%20der%20Stadtwerke%20Achim%20lahm%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-cyberangriff-legt-it-der-stadtwerke-achim-lahm.html)E-Mail (mailto:?subject=Vorfall-Lagebild%3A%20Cyberangriff%20legt%20IT%20der%20Stadtwerke%20Achim%20lahm&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fvorfall-lagebild-cyberangriff-legt-it-der-stadtwerke-achim-lahm.html)