Cyberangriff stoppt Lastschrift der Stadtwerke GSW

Am Abend des 28. Juni 2026 wurde der Cyberangriff auf die Gemeinschaftsstadtwerke Kamen, Bönen, Bergkamen bekannt. Weil das Unternehmen seine IT-Systeme vorsorglich vom Netz trennte, ließen sich die Kundenabschläge zum 1. Juli nach Angaben der ZfK nicht wie gewohnt per Lastschrift einziehen. Später korrigierten die GSW zudem ihre Einschätzung zu betroffenen Kundendaten.

Verwandt: Black October: Viele Angriffe liefen seit Monaten

Ausgangslage bei den GSW

An der Spitze der GSW Gemeinschaftsstadtwerke Kamen, Bönen, Bergkamen steht Geschäftsführer Alexander Loipfinger. Das Geschäft des Versorgers hat eine technische und eine kaufmännische Seite. Die technische ist die Versorgung selbst. Zur kaufmännischen gehören die digitalen Kundenkanäle vom Online-Kundencenter bis zur App „Meine GSW“ sowie der Zahlungsverkehr.

Dieser Zahlungsverkehr läuft in beide Richtungen. Von seinen Kunden zieht der Versorger Abschläge ein, also Vorauszahlungen auf die spätere Abrechnung. An EEG-Kunden, die nach dem Erneuerbare-Energien-Gesetz Strom einspeisen und dafür eine Vergütung erhalten, zahlt er Abschläge aus. Die Versorgungssicherheit war nach Unternehmensangaben zu keinem Zeitpunkt durch den Cyberangriff beeinträchtigt. Der Fall zeigt allerdings, dass eine gesicherte Versorgung erhebliche Einschränkungen der Zahlungsprozesse eines Versorgers nicht ausschließt.

Zeitachse des Angriffs

Am Abend des 28. Juni 2026 wurde der Cyberangriff auf die GSW bekannt. Das Unternehmen berief umgehend seinen Krisenstab ein, trennte vorsorglich die IT-Systeme vom Netz und informierte das Landeskriminalamt sowie die zuständigen Behörden.

Wenige Tage später wurde die Netztrennung für Kunden spürbar. Nach Angaben der ZfK konnten die regulären Kundenabschläge zum 1. Juli 2026 wegen der vorsorglichen Trennung der internen Systeme und Anwendungen nicht wie gewohnt per Lastschrift eingezogen werden. Ebenso standen nach diesen Angaben zum Stand vom 2. Juli die Abschlagszahlungen an EEG-Kunden aus.

In den folgenden Wochen holten die GSW ihre Systeme schrittweise zurück. Am 16. Juli waren das Online-Kundencenter und weitere digitale Kundenkanäle wieder erreichbar.

Entscheidungen im Krisenstab

Die vorsorgliche Netztrennung unmittelbar nach Bekanntwerden des Angriffs war die erste Weichenstellung. Danach ging es um den Weg zurück. Nach Angaben von Geschäftsführer Alexander Loipfinger setzten die GSW beim Wiederanlauf auf Sorgfalt vor Schnelligkeit.

In Abstimmung mit IT-Sicherheitsexperten und Ermittlungsbehörden kontrollierte das Unternehmen zunächst sämtliche Systeme, Server und Benutzerzugänge. Erst danach nahmen die GSW Systeme und Anwendungen schrittweise wieder ans Netz. Als zusätzliche Sicherheitsvorkehrung führten sie eine feinere Netzwerksegmentierung ein und teilten ihr Netz also stärker in voneinander abgeschottete Bereiche auf. Der Wiederanlauf war damit zugleich ein Umbau der Netzarchitektur.

Ergebnis von Wiederanlauf und Forensik

Im August liefen die Zahlungsprozesse wieder an. Die zum 1. August 2026 fälligen Kundenabschläge konnten die GSW nach Auskunft einer Unternehmenssprecherin gegenüber Energie & Management wieder einziehen. Ab dem 6. August ermöglichten nach Angaben von Antenne Unna auch die Kassensysteme der GSW-Bäder wieder bargeldlose Zahlungen.

Bei den Kundendaten mussten die GSW ihre Einschätzung korrigieren. Die bisherigen forensischen Untersuchungen, also die technische Spurensicherung auf den Systemen, hatten keine betroffenen Kundendaten ergeben. Nach neueren Ermittlungserkenntnissen könnten jedoch ältere Datensicherungen aus dem Jahr 2019 und teilweise aus dem Jahr 2017 betroffen sein. Nach Unternehmensangaben standen Kundendaten aus dem Angriff für einen kurzen Zeitraum im Darknet zur Verfügung, also in einem nur über Anonymisierungsdienste erreichbaren Teil des Internets.

In derselben Mitteilung erklärten die GSW zugleich, es gebe zu diesem Zeitpunkt keine Hinweise darauf, dass die betroffenen Kundendaten veröffentlicht, weitergegeben oder missbräuchlich verwendet worden seien. Ihre Kunden erhielten konkrete Verhaltenshinweise zu Kontobewegungen, Bankkontakt, verdächtigen Anfragen und Passwörtern.

Folgerungen für CISOs im DACH-Raum

Aus dem Fall der GSW lassen sich für Sicherheitsverantwortliche mehrere Folgerungen ableiten.

1. Notfallpläne von Versorgern brauchen eigene Szenarien für Zahlungsprozesse. Eine gesicherte Versorgung schließt erhebliche Einschränkungen bei Lastschrifteinzug, Auszahlungen und Kassen nicht aus.
2. Die Netztrennung gehört als vorbereitete Option in den Krisenplan, samt einer Übersicht der Geschäftsprozesse, die an den getrennten Systemen hängen. Bei den GSW betraf die Trennung der internen Systeme und Anwendungen unmittelbar den Lastschrifteinzug.
3. Ein Wiederanlauf in Stufen setzt eine festgelegte Prüfreihenfolge voraus. Die GSW kontrollierten Systeme, Server und Benutzerzugänge vor der Rückkehr ans Netz. Den Neustart nutzten sie zugleich für eine feinere Segmentierung.
4. Datensicherungen gehören vollständig ins Dateninventar, einschließlich Aufbewahrungsfristen und Löschkonzept. Bei den GSW kamen nach neueren Ermittlungserkenntnissen Sicherungen aus 2019 und teilweise 2017 als möglicherweise betroffen hinzu.
5. Erste Aussagen zu Datenabflüssen sind als vorläufig zu kennzeichnen. Die GSW mussten den Befund ihrer bisherigen forensischen Untersuchungen später korrigieren und verbanden die Korrektur mit Verhaltenshinweisen für ihre Kunden.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Was raten die GSW ihren Kunden nach dem Datenvorfall?

Die GSW empfahlen regelmäßige Kontrollen der Kontobewegungen und bei Auffälligkeiten den Kontakt zur eigenen Bank. Sensible Informationen sollten Kunden nicht aufgrund eingehender Nachrichten oder Anrufe preisgeben. Zudem rieten die GSW davon ab, Passwörter wiederzuverwenden.

Welche Online-Dienste der GSW waren am 16. Juli wieder erreichbar?

Zu diesem Zeitpunkt waren das Online-Kundencenter, die Selbstbedienungsfunktionen der App „Meine GSW“ und das Netzportal für Netzanmeldungen wieder erreichbar. Wie alle Systeme kehrten auch diese Dienste erst nach der Kontrolle sämtlicher Systeme, Server und Benutzerzugänge schrittweise ans Netz zurück.

Was änderte sich am 6. August in den GSW-Bädern?

Nach Angaben von Antenne Unna ermöglichten die Kassensysteme der Bäder ab diesem Tag wieder bargeldlose Zahlungen. Zugleich ließen sich dort wieder Gutscheine kaufen und einlösen.

Lesetipps der Redaktion

LesetippLinux-Kernel-Lücke: Ubuntu liefert noch keinen PatchLesetippCisco-VPN wird angegriffen: Wer jetzt patchen mussLesetippKI-Agenten brauchen begrenzte Vollmachten

Bildquelle: KI-generiert (November 2026)

Mehr aus dem MBF Media Netzwerk

cloudmagazinCloud-Souveränität könnte 115 Milliarden Euro kosten MyBusinessFutureKI-Assistenten bringen seltener Zielkunden als die Suche Digital ChiefsSchwarz setzt auf Cohere: Was Aleph-Alpha-Kunden tun