Insider-Risiken im Energiesektor: Laut aktuellem Cost of Insider Risks Report kosten Insider-Vorfälle Unternehmen weltweit 19,5 Millionen US-Dollar pro Jahr – NIS2 und KRITIS-Dachgesetz erhöhen den Druck auf Energieversorger in Deutschland, Personalrisiken zu steuern.

(WK-intern) – Wenn die Bedrohung aus den eigenen Reihen kommt

Energieversorger stehen technisch gut gerüstet gegen Angriffe von außen – Firewalls, Monitoring und Incident-Response-Pläne gehören längst zum Standard.

Schwerer zu kontrollieren ist eine andere Gefahr: Mitarbeitende, ehemalige Beschäftigte oder externe Dienstleister, die bereits über legitimen Zugang zu Leitsystemen, Netzsteuerung oder sensiblen Anlagen verfügen.

Was Insider-Vorfälle wirklich kosten

Wie teuer das werden kann, zeigt der aktuelle „Cost of Insider Risks“-Report von Ponemon Institute und DTEX Systems: Weltweit kostet ein Insider-Vorfall Unternehmen im Schnitt 19,5 Millionen US-Dollar pro Jahr – ein Anstieg von rund 20 Prozent seit 2023 (damals: 16,2 Millionen US-Dollar).

Den größten Kostenanteil verursachen dabei nicht vorsätzliche Täter, sondern Fahrlässigkeit: 53 Prozent der Kosten (10,3 Millionen US-Dollar) entfallen auf unbeabsichtigte Fehler von Mitarbeitenden, mit durchschnittlich 13,8 solcher Vorfälle pro Unternehmen und Jahr. Vorsätzliches Handeln macht 27 Prozent aus (4,7 Millionen US-Dollar), kompromittierte Zugangsdaten weitere 20 Prozent (4,5 Millionen US-Dollar).

Auch die Reaktionsgeschwindigkeit entscheidet über die Kosten: Wird ein Vorfall innerhalb von 30 Tagen eingedämmt, liegen die Jahreskosten bei 14,2 Millionen US-Dollar – dauert die Eindämmung länger als 90 Tage, steigen sie auf 21,9 Millionen US-Dollar.

Neue Gesetze erhöhen den Druck auf Energieversorger in Deutschland

Für Energieversorger in Deutschland kommt regulatorischer Druck hinzu. Seit dem 17. März 2026 ist das KRITIS-Dachgesetz in Kraft. Es verpflichtet Betreiber kritischer Infrastruktur in zehn Sektoren – darunter Energie – zur Registrierung und zu umfassenden Resilienzmaßnahmen.

Parallel dazu greift mit der NIS2-Umsetzung über das BSI-Gesetz (BSIG) und das Energiewirtschaftsgesetz (EnWG) eine schärfere Cybersicherheitsregulierung: Energieunternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz gelten als „wichtige Einrichtung“, ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz als „besonders wichtige Einrichtung“ – mit Meldepflichten binnen 24 Stunden (Erstmeldung) und 72 Stunden (Detailmeldung) bei Sicherheitsvorfällen.

Warum Technik allein nicht ausreicht

Beide Gesetze schreiben in erster Linie technische und organisatorische Maßnahmen vor. Die Kostendaten aus dem Insider-Risks-Report zeigen jedoch, warum Energieversorger den Faktor Mensch nicht ausklammern sollten: Wer Zugang zu Leitwarten, Netzsteuerung oder physischen Anlagen hat, kann im Ernstfall die Versorgung ganzer Regionen gefährden – unabhängig davon, ob der Fehler vorsätzlich oder fahrlässig geschieht.

Das betrifft nicht nur festangestelltes Personal, sondern auch externe Wartungstechniker, Anlagenbauer und IT-Dienstleister, die oft denselben Zugang erhalten wie eigene Mitarbeitende – jedoch seltener überprüft werden.

Validatos Antwort: Human Risk Framework für Energieversorger

Validato empfiehlt Energieversorgern in Deutschland ein rollenbasiertes Human Risk Framework: mit einem Pre-Employment-Screening vor dem ersten Zugang zu sicherheitsrelevanten Bereichen, anlassbezogenen Prüfungen bei Rollen- und Zugriffswechseln sowie einem In-Employment-Screening für Positionen mit Zugriff auf kritische Systeme – unabhängig davon, ob es sich um interne Mitarbeitende oder externe Fachkräfte handelt. Validato bietet dafür mehr als 18 einzeln wählbare Prüfmodule, liefert für die meisten Module Ergebnisse innerhalb von Minuten und ist nach ISO 27001 und ISO 27701 zertifiziert sowie durchgängig DSGVO-konform.

„Die Zahlen zeigen: Die teuersten Insider-Vorfälle sind nicht die spektakulären Sabotageakte, sondern der alltägliche Fehler eines überlasteten Mitarbeiters oder eines nicht überprüften externen Dienstleisters. Gerade Energieversorger sollten deshalb nicht warten, bis eine neue Verordnung sie dazu zwingt, sondern jetzt beginnen, Zugänge risikobasiert zu prüfen.“

PM: Validato AG

PB: Insider-Risiken im Energiesektor: Warum der Faktor Mensch Energieversorger in Deutschland Millionen kostet. Laut aktuellem Cost of Insider Risks Report kosten Insider-Vorfälle Unternehmen weltweit 19,5 Millionen US-Dollar pro Jahr – NIS2 und KRITIS-Dachgesetz erhöhen den Druck auf Energieversorger in Deutschland, Personalrisiken zu steuern. / ©: Validato AG

Weitere Beiträge:

Klimaschutz? - Das Aus für die Neubauförderung von Effizienzhaus/-gebäude 55 kommt zu früh.

Erdgasleitungs-Abschreibung: Netzbetreibern wird erheblich kürzere Nutzungsdauern als bisher eingerä...

Siemens ersetzt Gasturbine für die Produktion gleicher Strommenge die weniger Erdgas benötigt