Teil 1 der dreiteiligen Serie „Die Akte der Anderen – Lehren aus dem GUTcert-Vorfall” · Stand: 25. September 2026
Anfang September ist die Berliner Zertifizierungsgesellschaft GUTcert Opfer eines Cyberangriffs geworden. Rund 640 GB Daten sind abgeflossen. Auf den ersten Blick ist das ein weiterer Eintrag in einer langen Liste von Ransomware- und Erpressungsfällen. Auf den zweiten Blick ist es etwas anderes: Betroffen ist keine Organisation, die selbst kritische Infrastruktur betreibt, sondern eine, die sie prüft. Und damit eine Stelle, bei der sich über Jahre genau die Informationen sammeln, die Betreiber sonst mit hohem Aufwand schützen.
In dieser dreiteiligen Serie geht es deshalb weniger um GUTcert als um ein strukturelles Problem. Teil 1 ordnet den Vorfall ein und fragt nüchtern, wie groß das Gefährdungspotenzial ist. Teil 2 gibt Empfehlungen für compliance-pflichtige Unternehmen. Teil 3 richtet sich an die eigene Zunft: Zertifizierungsstellen und Auditoren.
Vorweg ein Hinweis in eigener Sache: Ich bin selbst als Lead Auditor tätig. Dieser Text ist keine Abrechnung mit einem Marktteilnehmer. Ein vergleichbarer Vorfall hätte jede Zertifizierungsstelle, jedes Beratungshaus und jeden freiberuflichen Auditor treffen können. Genau das ist der Punkt.
Was bisher bekannt ist
Die Faktenlage ist noch lückenhaft. Ich trenne deshalb bewusst nach Quellen.
Von GUTcert bestätigt (Pressemitteilung und laufend aktualisierte Informationsseite):
Unbekannte verschafften sich am 5. September 2026 Zugriff auf Teile der IT-Systeme. Zwischen dem 6. und 9. September wurden rund 640 GB Daten entwendet. Bemerkt wurde der Vorfall in der Nacht vom 9. auf den 10. September im Zuge einer Routinetätigkeit, die identifizierten Zugänge wurden am 10. September gekappt. Am 11. September meldete GUTcert den Vorfall der Berliner Datenschutzbeauftragten, dem Landeskriminalamt und zusätzlich dem BSI. Am 12. und 15. September folgten Erpressungsversuche, auf die das Unternehmen nach eigener Aussage nicht eingegangen ist. Ebenfalls am 15. September wurde bei der weiteren Untersuchung noch eine aktive E-Mail-Sitzung der Angreifer entdeckt und beendet. Ein externer Forensik-Dienstleister ist beauftragt, die Untersuchung läuft.
Als betroffene Datenkategorien nennt GUTcert unter anderem personenbezogene Daten von Beschäftigten, Finanz- und Steuerunterlagen sowie Kundendaten aus der internen Projektablage – darunter Kontaktdaten, Auditnachweise, Auditberichte sowie Dokumentationen von Managementsystemen und Verfahren. Auf die Nextcloud-Plattform, über die Kunden Unterlagen bereitstellen, gibt es nach bisherigem Stand keinen Hinweis auf einen Zugriff.
Von Betroffenen bestätigt:
Als erstes Energieunternehmen hat Entega öffentlich erklärt, dass ein Abfluss eigener Daten nicht ausgeschlossen werden kann. Hintergrund sind Zertifizierungen der e-netz Südhessen sowie der von Entega betriebenen Müllheizkraftwerk-Anlage in Darmstadt. Die eigene Versorgung und die eigenen IT-Systeme seien nicht betroffen.
Aus zweiter Hand berichtet:
Im Blog von Günter Born hat ein Leser aus der Kundeninformation berichtet. Danach sollen auch Betriebsstättenlisten mit Standorten von Umspannwerken, Ortsnetzstationen und Gasdruckregelanlagen betroffen sein, außerdem Netzstrukturpläne mit IT- und OT-Infrastruktur sowie technische Angaben zu Schwachstellen. Kunden aus der Energiewirtschaft seien aufgefordert worden, eine eigene Meldepflicht zu prüfen. Diese Detailangaben sind plausibel, weil sie genau dem entsprechen, was im Rahmen der Zertifizierung nach den IT-Sicherheitskatalogen als Nachweis vorgelegt wird. Öffentlich im Detail bestätigt sind sie bislang nicht.
Unbekannt:
Der Angriffsweg, die Tätergruppe und die Frage, ob und in welchem Umfang die Daten bereits veröffentlicht wurden. Da nicht gezahlt wurde, ist eine Veröffentlichung nach dem üblichen Muster doppelter Erpressung wahrscheinlich.
Warum dieser Vorfall anders ist
GUTcert zertifiziert unter anderem nach dem IT-Sicherheitskatalog der Bundesnetzagentur für Energienetze (1a) und für Energieanlagen (1b) und prüft Nachweise zu Systemen zur Angriffserkennung. Diese Zertifizierungen sind für Strom- und Gasnetzbetreiber sowie für bestimmte Erzeugungsanlagen Pflicht.
Das Prüfmodell hat eine unbequeme Eigenschaft: Damit ein Auditor die Wirksamkeit eines ISMS beurteilen kann, muss er die sensibelsten Unterlagen sehen – Netzpläne, Segmentierungskonzepte, Risikoanalysen, Schwachstellenmanagement, Behebungsstände. In vielen Zertifizierungsprojekten werden diese Unterlagen nicht nur gezeigt, sondern hochgeladen, per E-Mail verschickt, in Projektordnern abgelegt und auf Auditoren-Laptops kopiert. Und das jedes Jahr aufs Neue, im Überwachungsaudit.
So entsteht bei jeder Zertifizierungsstelle, die im Energiesektor aktiv ist, schleichend ein Datenbestand, den es bei keinem einzelnen Betreiber gibt: ein Querschnitt durch die Sicherheitsarchitektur vieler Netzbetreiber, sauber nach Kunden sortiert, versehen mit den Einschätzungen erfahrener Prüfer, wo die Schwächen liegen. Für einen Angreifer ist das ein Aggregationspunkt mit enormer Hebelwirkung.
Ein Einbruch öffnet nicht ein Unternehmen, sondern einen Ausschnitt einer ganzen Branche.
Hinzu kommt ein bekanntes Muster: Die Sicherheit einer Information bemisst sich an ihrer schwächsten Kopie. Ein Betreiber kann seine Netzpläne intern streng klassifizieren, verschlüsselt ablegen und Zugriffe protokollieren. Wenn dieselben Pläne in einer Projektablage oder einem Postfach eines Dienstleisters liegen, gilt dort dessen Schutzniveau. Dass die Kundenplattform nach bisherigem Stand nicht betroffen ist, die interne Projektablage und mindestens ein E-Mail-Konto aber schon, passt zu diesem Muster: Daten bleiben selten dort, wo sie sicher angeliefert wurden.
Gefährdungspotenzial: nüchtern betrachtet
Schlagzeilen wie „Geheimnisse des Stromnetzes erbeutet” liegen nahe. Sie helfen aber weder den Betroffenen noch der Einordnung. Nützlicher ist die Frage, welche Information einem Angreifer welchen Vorteil verschafft.
| Informationsart | Bereits anderweitig verfügbar? | Zusätzlicher Wert für Angreifer |
|---|---|---|
| Standorte von Umspannwerken, Stationen, Gasdruckregelanlagen | teilweise (Kartendienste, Genehmigungsunterlagen, Augenschein) | gering bis mittel; relevant v. a. als vollständige, kuratierte Liste inkl. Kritikalität |
| Kontaktdaten, Organigramme, Rollen (ISB, Netzleitstelle) | teilweise (Websites, Karrierenetzwerke) | mittel; wertvoll für gezieltes Phishing und Social Engineering |
| Managementsystem- und Verfahrensdokumentation | nein | mittel; zeigt Prozesse, Zuständigkeiten, Eskalationswege |
| Netzstrukturpläne, IT-/OT-Segmentierung, Fernwartungszugänge | nein | hoch; verkürzt die Aufklärungsphase eines Angriffs erheblich |
| Schwachstellenlisten, Auditfeststellungen, Behebungsstände | nein | sehr hoch; zeigt, wo und wie lange Lücken offen sind |
| Unterlagen zu Systemen zur Angriffserkennung | nein | hoch; zeigt, was erkannt wird – und was nicht |
Drei Punkte fallen dabei auf.
Erstens altern Informationen unterschiedlich schnell. Ein Standort bleibt jahrzehntelang gleich, eine Schwachstelle ist im besten Fall nach Wochen behoben. Betreiber, deren Behebungsstände aus dem letzten Audit längst abgearbeitet sind, sind weniger exponiert als solche, bei denen die Feststellungen noch offen sind.
Zweitens liegt der größte Schaden nicht in einem einzelnen Dokument, sondern in der Kombination. Wer weiß, wo eine Anlage steht, wie ihr Netz segmentiert ist, welche Fernzugänge existieren und welche Lücken der letzte Auditor gefunden hat, braucht für die Vorbereitung eines Angriffs deutlich weniger Zeit und Aufwand.
Drittens ist die Tätergruppe entscheidend. Klassisch finanziell motivierte Ransomware-Akteure interessieren sich in erster Linie für das Erpressungspotenzial und veröffentlichen Daten wahllos. Das Problem entsteht danach: Veröffentlichte Daten stehen allen zur Verfügung, auch Akteuren mit ganz anderen Motiven. Vor dem Hintergrund zunehmender Sabotageversuche gegen Energieanlagen ist das keine theoretische Sorge.
Gleichzeitig gilt: Für einen erfolgreichen Angriff auf ein Stromnetz reicht Dokumentation allein nicht. Es braucht Zugang, Fähigkeiten und Zeit. Ein Netzbetreiber mit wirksamer Segmentierung, gehärteten Fernzugängen und einer funktionierenden Angriffserkennung wird durch einen Abfluss seiner Unterlagen nicht wehrlos. Er verliert aber einen Teil seines Vorsprungs.
Zeitachse und Kommunikation
Ohne den Ergebnissen der Forensik vorzugreifen, lohnt ein Blick auf die Zeitachse, weil sie für die Betroffenen unmittelbare Folgen hat.
Zwischen dem ersten Zugriff und der Entdeckung lagen rund fünf Tage, in denen die Daten abgezogen wurden, ohne dass es auffiel. Zwischen Entdeckung und Information der Kunden lagen je nach Quelle rund fünf bis sieben Tage. Das ist für eine Organisation, die erst den Umfang verstehen muss, nicht ungewöhnlich. Für die Kunden aus dem Anwendungsbereich von NIS-2 und BSIG ist es trotzdem ein Problem: Deren eigene Meldefristen beginnen mit Kenntnis eines erheblichen Vorfalls. Wer erst eine Woche später erfährt, dass seine Netzpläne betroffen sein könnten, hat keinen Einfluss auf diesen Verzug, trägt aber die Verantwortung für die eigene Bewertung.
Hier zeigt sich eine Lücke, die über den Einzelfall hinausgeht: Die Meldekette zwischen Dienstleister und Kunde ist in vielen Verträgen gar nicht oder nur allgemein geregelt. Darauf komme ich in Teil 2 zurück.
Offene Fragen
Folgende Fragen sind aus meiner Sicht für eine abschließende Bewertung entscheidend:
- Wie verschafften sich die Angreifer den ersten Zugang, und welche Rolle spielten E-Mail-Konten?
- Welche Kunden und welche Dokumentenarten sind konkret betroffen, und aus welchen Jahren stammen sie?
- Waren auch Daten auf Endgeräten oder in Postfächern freiberuflicher Auditoren betroffen?
- Wurden die Daten veröffentlicht, und wenn ja, in welchem Umfang?
- Wie bewerten BSI und Bundesnetzagentur den Vorfall, und ziehen sie Konsequenzen für das Konformitätsbewertungsprogramm?
Sobald dazu belastbare Antworten vorliegen, werde ich die Serie um einen vierten Teil ergänzen und prüfen, welche der hier getroffenen Annahmen sich bestätigt haben.
Was Betroffene jetzt tun sollten
Kurzfassung für alle, die nicht bis Teil 2 warten wollen:
- Betroffenheit klären: Waren Sie in den letzten Jahren Kunde von GUTcert? Liegt Ihnen die Kundeninformation vor?
- Bestandsaufnahme: Welche Unterlagen wurden in welchen Auditzyklen übermittelt?
- Meldepflichten prüfen: nach DSGVO und nach BSIG bzw. den für Energieversorger geltenden Vorgaben – und die Entscheidung dokumentieren, auch wenn sie gegen eine Meldung ausfällt.
- Nach Informationswert bewerten: Zugangsdaten, Fernzugänge und offene Schwachstellen haben Vorrang vor Standortlisten.
- Beweise sichern: E-Mails mit Download-Links zu mutmaßlich erbeuteten Daten nicht einfach löschen, sondern mit dem eigenen Sicherheitsteam abstimmen.
Ausblick
In Teil 2 (7. Oktober) geht es darum, was compliance-pflichtige Unternehmen bei der Auswahl ihrer Dienstleister und im Zertifizierungsprojekt anders machen können. Der zentrale Gedanke vorweg: Ein Nachweis muss nicht zwingend eine Kopie sein.
regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.