Das Wasser läuft  - Telefon und Email aber nicht

In der Nacht zum 1. September 2026 wurden bei den Stadtwerken Landsberg zentrale IT-Systeme verschlüsselt. Das Unternehmen spricht von einem „gezielten, kriminellen Cyber-Angriff". Die Reaktion kam schnell: sämtliche Internetverbindungen gekappt, Systeme heruntergefahren, Krisenstab aktiv, externe Forensik hinzugezogen, Anzeige erstattet, zuständige Behörden nach eigenen Angaben fristgerecht informiert. Alles gemäß Notfallplan.

Nicht betroffen waren laut Unternehmen Stromnetz, Wasserversorgung, Kläranlage, Fernwärme, Glasfasernetz, Ladeinfrastruktur, Inselbad und Parkgaragen. Das Kundenportal lief weiter, Vertragsabschlüsse blieben möglich.

Ausgefallen ist etwas anderes. Die Beschäftigten waren telefonisch und per E-Mail nicht oder nur eingeschränkt erreichbar. Es musste eine Telefon-Notleitung eingerichtet werden. Für viele Prozesse wurden Behelfslösungen aufgebaut. Am 7. September 2026 veröffentlichten die Stadtwerke eine weitere Mitteilung mit dem Titel „Information über IT-Vorfall – Hinweise für Betroffene gem. Art. 34 DSGVO".

Was offen ist

Bevor jemand mehr in diesen Fall liest, als drinsteht: Der Erstzugangsweg ist öffentlich nicht bekannt. Die Angreifergruppe wird nicht benannt. Wie lange die Einschränkungen insgesamt angedauert haben, ist nicht mitgeteilt.

Und vor allem: **warum** die Versorgungstechnik unversehrt blieb, sagen die Stadtwerke nicht. In Fachbeiträgen wird das bereits als gelungene IT/OT-Segmentierung gedeutet. Das mag zutreffen, steht aber in keiner Primärquelle. Wer daraus eine Lehre über Netztrennung baut, baut sie auf eine Vermutung.

Wo die eigentliche Lücke sitzt

Die belastbare Beobachtung ist eine andere, und sie ist unbequemer.

Der Schaden traf nicht die Anlage. Er traf die Verwaltung. Telefon, E-Mail, die Prozesse am Schreibtisch.

Notfallplanungen in der Versorgungswirtschaft sind fast immer um die Technik herum gebaut. Netz, Wasserwerk, Kläranlage, Fernwirktechnik, Bereitschaft. Das ist nachvollziehbar, denn dort liegt die kritische Dienstleistung. Nur fällt eben genau dort nichts aus, wenn Ransomware die Büro-IT erwischt.

Dass die Versorgung weiterläuft, ist die Mindestanforderung. Ein Versorger ist daneben Abrechnungsbetrieb, Arbeitgeber, Vertragspartner und Behördenschnittstelle. Fällt das aus, fällt nicht die Versorgung aus, sondern das Unternehmen als Organisation.

Rechnen Sie in Wochen

Ein Blick auf den Fall davor hilft bei der Dimensionierung. Das Gemeinschaftsstadtwerk GSW (Kamen, Bönen, Bergkamen) wurde Anfang Juli 2026 angegriffen. Über die Rückkehr in den Regelbetrieb wurde am 10. August 2026 berichtet. Zwei Wochen später, am 25. August 2026, wurde bekannt, dass ältere Kundendaten kurzzeitig im Darknet aufgetaucht waren.

Von der Nacht des Angriffs bis zur letzten schlechten Nachricht vergingen knapp zwei Monate. Ein Notbetriebskonzept, das auf drei Tage ausgelegt ist, trägt diesen Zeitraum nicht.

Der Normbezug

Die NIS-2-Richtlinie verlangt in Artikel 21 Absatz 2 unter anderem die Bewältigung von Sicherheitsvorfällen sowie die Aufrechterhaltung des Betriebs, ausdrücklich einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Das ist Business Continuity, nicht Perimeterschutz. Die Verantwortung für die Umsetzung liegt bei der Leitung, nicht in der IT-Abteilung und nicht zuerst bei der IT-Sicherheit.

Ob ein konkretes Unternehmen unter das deutsche Umsetzungsgesetz fällt, hängt an Tätigkeit und Größenschwellen und ist im Einzelfall zu prüfen. Ich ordne den Fall Landsberg hier ausdrücklich nicht ein.

Unabhängig von NIS-2 gilt die DSGVO. Artikel 33 verlangt die Meldung an die Aufsichtsbehörde binnen 72 Stunden, Artikel 34 die Benachrichtigung betroffener Personen, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht. Beide Fristen laufen ab Kenntnis, nicht ab Abschluss der Forensik.

Fünf Fragen für diese Woche

Kein Projekt, kein Budget. Papier und eine Stunde reichen.

1. Wenn E-Mail und Telefonanlage ausfallen: Über welchen Weg erreichen Sie Ihren Krisenstab? Wurde dieser Weg in den letzten zwölf Monaten einmal ausprobiert?

2. Liegt eine aktuelle Offline-Kontaktliste vor — Krisenstab, Bereitschaft, IT-Dienstleister, Versicherung, Aufsichtsbehörde, Datenschutzbeauftragter, Polizei? Von wann ist sie?

3. Wer stellt bei Ihnen die Meldung nach Artikel 33 DSGVO innerhalb von 72 Stunden? Und wer macht es, wenn diese Person im Urlaub ist?

4. Welche fünf Verwaltungsprozesse müssen nach 48 Stunden wieder laufen, notfalls per Hand? Wer hat das aufgeschrieben?

5. Wann wurde zuletzt eine Wiederherstellung getestet — nicht die Sicherung, die Wiederherstellung? Und ist das Backup so getrennt, dass ein Angreifer mit Domänenrechten es nicht miterwischt?

Wer bei mehr als zwei Fragen zögert, hat kein IT-Problem, sondern eine offene Aufgabe in der Notfallplanung.

Die Stadtwerke Landsberg haben in einer schlechten Nacht nach Plan gehandelt und offen darüber informiert. Das ist mehr, als man nach vielen Vorfällen zu sehen bekommt. Die Frage für alle anderen lautet nicht, ob eine Sicherheitsrichtlinie im Ordner liegt, sondern ob am Morgen des 1. September jemand gewusst hätte, was zu tun ist.

---

Quellen:

- Stadtwerke Landsberg KU: [Cyber-Angriff auf Stadtwerke Landsberg KU – Wiederaufbau läuft](https://www.stadtwerke-landsberg.de/pressemitteilungen/cyber-angriff-auf-stadtwerke-landsberg-ku-wiederaufbau-laeuft), veröffentlicht 03.09.2026

- Stadtwerke Landsberg KU: [Information über IT-Vorfall – Hinweise für Betroffene gem. Art. 34 DSGVO](https://www.stadtwerke-landsberg.de/pressemitteilungen), veröffentlicht 07.09.2026

- Kreisbote (Gabriel Gavran): [Erstmal offline: Cyber-Attacke trifft Stadtwerke Landsberg](https://www.kreisbote.de/lokales/landsberg/erstmal-offline-cyber-attacke-trifft-stadtwerke-landsberg-94472771.html), 03.09.2026, 09:48 Uhr

- Energie & Management (Volker Stephan): [Krisenstab nach Cyberangriff auf Landsbergs Versorger eingerichtet](https://www.energie-und-management.de/nachrichten/ueberblick/detail/krisenstab-nach-cyberangriff-auf-landsbergs-versorger-eingerichtet-376779), 04.09.2026, 12:08 Uhr

- Energie & Management: [Im August kehrt bei attackiertem Stadtwerk die Normalität ein](https://www.energie-und-management.de/nachrichten/ueberblick/detail//im-august-kehrt-bei-attackiertem-stadtwerk-die-normalitaet-ein-373667), 10.08.2026

- Energie & Management: [Erbeutete GSW-Kundendaten kurzzeitig im Darknet aufgetaucht](https://www.energie-und-management.de/nachrichten/ueberblick/detail//erbeutete-gsw-kundendaten-kurzzeitig-im-darknet-aufgetaucht-375497), 25.08.2026

- Richtlinie (EU) 2022/2555 (NIS-2), Artikel 21 Absatz 2; Verordnung (EU) 2016/679 (DSGVO), Artikel 33 und 34