Autonome Pentests für Energieversorger und Stadtwerke
Kundenportale, Ladepunkt-Backends und Einspeiser-APIs ändern sich mit jedem Release. Autonome Pentests prüfen im selben Takt: Ergebnis in 24 Stunden, mit Beweis je Schwachstelle und Retest.
Kundenportale · Ladepunkte · § 14a EnWG · NIS2
Autonome Pentests für Energieversorger: Sicherheit im Takt Ihrer Releases
Für die Person, die im Versorger Sicherheit verantwortet, mit den Argumenten für die Geschäftsleitung. Wie Stadtwerke ihre Portale und APIs im risikogerechten Takt prüfen lassen, Schwachstellen schneller schließen und das gegenüber Aufsicht und Geschäftsleitung belegen.
- Fünf Angriffsketten in Versorgerportalen und wie man sie testet
- Stufung und Takt für ein ganzes Portfolio, mit Rechenbeispiel
- Sieben Anforderungen an jeden Anbieter und drei Abnahmetests, die Sie selbst durchführen
- Der Nachweis nach BSIG, EnWG und KRITIS-Dachgesetz, und die ersten 30 Tage
Direkt herunterladen, ohne Formular. Das Rechenblatt enthält nur Formeln, keine Makros. Rechtsstand 8. November 2026; keine Rechtsauskunft.
Wo es bei Versorgern ernst wird
Die Anfrage ist technisch korrekt und fachlich nicht erlaubt: Sitzung, Token und Format stimmen, nur gehört das Objekt nicht dem Aufrufer. Solche Berechtigungsfehler entstehen mit jedem Release neu und berühren direkt Geld, Kundendaten und Vertrauen.
Zählerstände und Abschläge
Kunde B liest oder ändert Zählerstand oder Abschlag von Kunde A, weil die Vertragskennung auf jeder Rechnung steht und die Zuordnung zum Aufrufer fehlt.
Kontoübernahme über die Vertragsverknüpfung
Wenn Kundennummer und Zählernummer der einzige Besitznachweis sind, wird der Verknüpfungsendpunkt zum Orakel für Kontaktdaten, Bankdaten und Passwort-Reset.
Ladepunkt-Backends
Vorhersagbare Kennungen, verdrängte Verbindungen und unplausible Zählerwerte im Backend, das Ladepunkte annimmt. Geprüft im Testmandanten, mit Testladepunkten oder Simulator.
Prosumer-, PV- und Direktvermarkter-APIs
Mandantentrennung, Rollenverwechslung zwischen Installateur und Betreiber und wertrelevante Felder wie Leistung und Inbetriebnahmedatum.
Steuerbare Verbraucher nach § 14a EnWG
Nicht vorhandene oder doppelt angemeldete Geräte und fremde Abmeldungen: geprüft am Berechtigungsmodell der Portal- und API-Schicht, nie durch Steuerbefehle ins Produktivnetz.
Das gemeinsame Muster
Ein Scanner weiß nicht, welcher Datensatz zu welchem Nutzer gehört. Gefunden werden diese Fehler von Tests, die mehrere Identitäten gegeneinander führen und die Antwort fachlich bewerten.
Sicherheit im Takt Ihrer Releases
Die entscheidende Größe ist das Expositionsfenster: die Zeit, die eine ausnutzbare Schwachstelle unentdeckt offen ist. Beim jährlichen Pentest sind das im Mittel sechs Monate, bei einem Test nach jedem Release wenige Tage plus Ihre Behebungszeit.
Ergebnis am nächsten Tag
Ihr Kundenportal bekommt ein Release, und 24 Stunden später liegt ein Pentest-Ergebnis zu genau diesem Stand vor, mit reproduzierbarem Beweis je Schwachstelle.
Authentifiziert in mehreren Rollen
Testkunden und Mitarbeiterkonten werden gegeneinander geführt. So zeigen sich die Berechtigungsfehler, die Scanner nicht sehen, weil sie nicht wissen, welcher Datensatz wem gehört.
Retest nach der Korrektur
Der Retest wiederholt genau die belegte Anfrage und bestätigt, dass die Lücke geschlossen ist. Behebung wird gemessen, nicht angenommen.
Grenzen, die Sie setzen
Für jede Adresse legen Sie fest, ob Schwachstellen nur bestätigt oder auch ausgenutzt werden, und Sie können einen laufenden Test jederzeit selbst abbrechen.
Der Nachweis gegenüber Aufsicht und Geschäftsleitung
Einen bestimmten Prüftakt schreibt das Gesetz nicht vor: Sie legen ihn selbst fest und begründen ihn aus Ihrer Risikoanalyse. Pentest-Berichte mit Retest liefern dazu konkrete technische Belege für die geprüften Anwendungen. Lesart des Wortlauts, Stand 8. November 2026, keine Rechtsauskunft.
BSIG nach NIS2UmsuCG
Seit dem 6. Dezember 2025 verlangt § 30 BSIG geeignete, verhältnismäßige und wirksame Maßnahmen und ihre Dokumentation, ausdrücklich auch Schwachstellenmanagement und Verfahren zur Bewertung der Wirksamkeit. Die Geschäftsleitung setzt um und überwacht (§ 38 BSIG).
EnWG §§ 5c bis 5e
Für Netz- und Anlagenbetreiber gelten die §§ 5c bis 5e EnWG, § 5d verlangt die Dokumentation gegenüber der Bundesnetzagentur. Ein Stadtwerk mit Netz, Vertrieb und Ladeinfrastruktur kann je Tätigkeit unter unterschiedlichen Regimen stehen.
Takt, Tiefe, Nachweis
Ein Programm besteht aus drei schriftlichen Entscheidungen: Takt aus Änderungsrate, Tiefe aus Schadenswirkung, Nachweis aus Schwachstelle, Beweis, Frist und Retest.
Aus dem Blog
Gültige Anfrage, falscher Absender: fünf Angriffsketten in Versorgerportalen, die Scanner nicht sehen, und die Testmethode, die für alle fünf gilt.
Häufig gestellte Fragen
Angreifer erreichen OT oft über die IT: über Portale, Fernwartungszugänge, Web-Oberflächen und APIs, die Daten oder Befehle an die Steuerung weitergeben. Genau diese Wege prüft SQUR: Kundenportale und Apps, Backends für Ladepunkte, Schnittstellen für Einspeiser und Direktvermarkter, Portale für steuerbare Verbrauchseinrichtungen und die Web-Oberflächen von OT-Komponenten, bevorzugt in einer Testumgebung. Welche Systeme in den Test gehören, legen wir im Erstgespräch mit Ihrer OT-Sicherheit fest.
Für jede Adresse legen Sie fest, ob Schwachstellen nur bestätigt oder auch ausgenutzt werden, und Sie können einen laufenden Test jederzeit selbst abbrechen. Schreibende Tests treffen nur Ihre Testobjekte. Wie Scope-Prüfung, Abbruch und Protokollierung umgesetzt sind, zeigen wir Ihnen in einem technischen Review.
Einen Verantwortlichen für die Anwendung, die Freigabe des Betreibers, eine Testumgebung mit Freigabeliste und geprüftem Abbruchweg sowie zwei Testkunden und ein Mitarbeiterkonto mit Testverträgen. Erfahrungsgemäß ist das in wenigen Tagen erledigt.
Nein. Fachbeitrag, Checkliste und Rechenblatt laden Sie direkt herunter, ohne Formular und ohne E-Mail-Adresse.
Fangen Sie mit einer Anwendung an
Typischerweise das Kundenportal oder seine API. Den ersten Lauf richten wir mit Ihnen in einem kurzen Gespräch ein.