openPR bei Google bevorzugen.
(openPR) Eine aktuelle Untersuchung identifiziert Tausende aus dem Internet erreichbare Systeme europäischer Solar- und Windparks. Für Unternehmen wird daraus ein zusätzliches Problem, wenn Zuständigkeit und Entscheidungsbefugnis erst im Vorfall geklärt werden.
Ulm, Oktober 2026. Forscher von Modat und dem niederländischen National Cyber Security Centre NCSC-NL haben 8.547 aus dem Internet erreichbare Systeme identifiziert, die Solar- und Windparks in 35 europäischen Ländern zugeordnet werden konnten. Die Ergebnisse wurden am 6. Oktober auf der ONE Conference in Den Haag vorgestellt.
Die Forschenden werteten internetweite Scandaten aus und ordneten erreichbare Systeme mithilfe automatisierter Verfahren konkreten Anlagen zu. Darunter befanden sich Verwaltungsoberflächen und operative Interfaces. Bei rund 181 Standorten hielten die Forschenden eine vollständige operative Kontrolle für möglich. Die Untersuchung belegt jedoch nicht, dass diese Systeme tatsächlich angegriffen oder kompromittiert wurden.
„Bei dieser Art automatisierter Aufklärung muss ein Angreifer nicht erst verstehen, wie ein Unternehmen organisiert ist. Er kann systematisch danach suchen, was von außen erreichbar ist“, sagt Uta-Alexandra Kral, Sparringspartnerin für Decision Readiness und Leadership Voice. „Kritisch wird es, wenn Außenstehende ein System längst sehen können und intern im Ernstfall erst geklärt werden muss, wer dafür verantwortlich ist.“
Parallel zur Ursachenanalyse beginnt eine Unternehmensentscheidung
Nach einem Cybervorfall müssen IT und Security feststellen, was geschehen ist, welche Systeme betroffen sind und wie der Vorfall eingedämmt werden kann.
Für die Unternehmensführung beginnt parallel ein eigener Entscheidungsprozess: ob, wann und unter welchen Bedingungen der Betrieb fortgesetzt werden kann.
„Die Ursachenanalyse darf weiterlaufen. Eine notwendige Geschäftsentscheidung kann nicht warten, bis jede technische Frage beantwortet ist“, sagt Kral. „Wenn im Cybervorfall zunächst ausgehandelt werden muss, wem das System, das Problem oder das Risiko gehört, verstreicht wertvolle Entscheidungszeit.“
Gerade bei vernetzten Anlagen können Betreiber, Hersteller, Softwareanbieter und externe Dienstleister beteiligt sein. Technische Betreuung und unternehmerische Entscheidungsbefugnis liegen nicht zwingend an derselben Stelle. Wird diese Zuordnung erst im Vorfall geklärt, muss das Unternehmen unter Zeitdruck nachholen, was vorher offen geblieben ist.
Kral fasst den Punkt so zusammen:
„Ein Risiko verschwindet nicht, nur weil intern niemand glaubt, dafür zuständig zu sein.“
Daraus folgt für Kral eine zentrale Führungsfrage:
„Was sieht ein Fremder von unseren Systemen, bevor wir selbst entschieden haben, was von außen sichtbar sein darf?“
Quellen: Modat/NCSC-NL, To See the Wind and the Sun: Thousands of Exposed Systems in Europe’s Wind Farms and Solar Parks, veröffentlicht am 6. Oktober 2026; Reuters, 6. Oktober 2026.
Uta-Alexandra Kral arbeitet mit Führungskräften an Decision Readiness und Leadership Voice in Situationen, in denen Sicherheit, Zeitdruck und Unternehmensentscheidungen zusammentreffen. Sie verbindet langjährige Konzern-, Führungs- und Unternehmenssicherheitserfahrung mit Rhetorik und Kommunikation. Im Mittelpunkt steht die Frage, wie aus fachlichen Informationen eine nachvollziehbare Unternehmensentscheidung wird.
