Bei der Berliner Zertifizierungsgesellschaft GUTcert haben sich nach Unternehmensangaben am 5. September 2026 Unbekannte Zugriff auf die Systeme verschafft. Vom 6. bis 9. September flossen rund 640 GB Daten ab. Entdeckt wurde der Angriff erst in der Nacht zum 10. September. Betroffen sind laut GUTcert unter anderem Auditberichte und Netzstrukturpläne. Auch Angaben zu Schwachstellen gehören dazu. Laut Fachpresse sollen zudem Betriebsstättenlisten mit Standorten von Umspannwerken und Gasdruckregelanlagen darunter sein.
GUTcert hat den Vorfall am 11. September der Berliner Datenschutzbeauftragten und dem LKA gemeldet und zusätzlich freiwillig das BSI informiert. Auf mehrere Erpressungsversuche ist das Unternehmen nach eigenen Angaben nicht eingegangen. Am 20. September schrieben die Angreifer Kunden und Auditoren von GUTcert direkt an und verschickten Links zu den gestohlenen Daten. Ob die Daten darüber hinaus veröffentlicht wurden, kann GUTcert weder bestätigen noch ausschließen. Zu den Kunden gehört der Darmstädter Versorger ENTEGA. ENTEGA hat bestätigt, dass ihre Netztochter e-netz Südhessen und das von ihr betriebene Müllheizkraftwerk Darmstadt Zertifizierungen bei GUTcert beauftragt hatten. Der Versorger hat den Vorfall als KRITIS-Betreiber selbst an das BSI gemeldet und lässt mögliche Leak-Seiten überwachen.
Der Fall zeigt ein strukturelles Problem. Netzbetreiber müssen sich nach dem IT-Sicherheitskatalog gemäß EnWG zertifizieren lassen. Für das Audit reichen sie genau die Unterlagen ein, die ein Angreifer zur Vorbereitung eines Angriffs braucht. Beim Prüfer liegen dann diese Unterlagen vieler Betreiber gebündelt an einem Ort. Weil Prüfer als Kontrollinstanz gelten, werden sie bei der Bewertung von Lieferanten leicht übersehen.
Unternehmen, die GUTcert beauftragt haben, sollten zunächst ihre eigenen Meldepflichten nach BSIG, NIS-2 und DSGVO prüfen. Die Meldung von GUTcert ersetzt keine eigenen Meldungen. Eine dokumentierte Bewertung schafft Klarheit, auch wenn am Ende keine Meldung nötig ist. Bis GUTcert geklärt hat, welche Dokumente betroffen sind, ist es sinnvoll, alle übermittelten Unterlagen als kompromittiert zu behandeln. Zudem ist mit gezieltem Phishing zu rechnen, das sich auf GUTcert oder konkrete Auditfeststellungen bezieht. Dass die Angreifer Kunden bereits direkt angeschrieben haben, macht das wahrscheinlich. ENTEGA zeigt mit der eigenen BSI-Meldung und der Überwachung möglicher Leak-Seiten, wie eine angemessene Reaktion aussehen kann.
Die Frage nach dem Verbleib von Auditunterlagen betrifft allerdings jedes Unternehmen, das sich zertifizieren lässt. Erst ein Überblick darüber, welche Dokumente bei welchem Prüfer liegen, macht das Risiko überhaupt bewertbar. Vertraglich lässt sich regeln, dass abgeschlossene Audit-Artefakte zurückgegeben oder gelöscht werden. Noch weiter geht die Remote-Sichtung, bei der Prüfer Unterlagen einsehen, ohne eine Kopie zu erhalten.
Auch Compliance hat eine Lieferkette. Wer sich auditieren lässt, gibt einen Teil seines Sicherheitsdesigns aus der Hand. Steuern lässt sich danach nur noch, wo die Unterlagen liegen und wie lange. Netzpläne, die nach Abschluss eines Audits ohne festes Löschdatum bei einem Prüfer lagern, sind damit ein Risiko, das in Lieferantenbewertungen leicht übersehen wird.
GUTcert, Pressemitteilung zum Cyberangriff
https://www.pressebox.de/pressemitteilung/gut-certifizierungsgesellschaft-fuer-managementsysteme-mbh/cyberangriff-auf-die-gutcert-gmbh/boxid/1313139
ENTEGA, Pressemitteilung zum Angriff auf GUTcert
https://www.entega.ag/aktuelles-presse/pressemeldungen/pressemeldung/pressemitteilung-zum-cyberangriff-auf-die-gutcert-gmbh-1/
IT-Administrator zu Datenmenge und Datenarten
https://www.it-administrator.de/datenleck-gutcert-kritische-infrastruktur-energienetz
energate messenger zu den betroffenen Netzbetreibern
https://www.energate-messenger.de/news/267259/cyberattacke-verursacht-grosses-kritis-datenleck
Borns IT- und Windows-Blog zur Zeitleiste und zu den Betriebsstättenlisten
https://borncity.com/blog/2026/09/20/hackerangriff-auf-die-gutcert-kundendaten-abgeflossen/
DIESEC zur Zertifizierungspflicht und zur freiwilligen Information des BSI
https://diesec.com/de/2026/10/gutcert-datenschutzverletzung-kritische-infrastruktur/
PrimeITler zur ungeklärten Veröffentlichung
https://www.primeitler.de/newsroom/gutcert-angriff-beim-zertifizierer-was-betriebe-jetzt-pruefen
