Security? Einfach gemeinsam machen.

Viele Organisationen, dieselbe Aufgabe

Ich habe mit einer Frage ans Publikum begonnen: Wer kennt ein Stadtwerk, in dem ein oder zwei Menschen die gesamte IT-Sicherheit tragen?

Die Energiewende macht die Branche dezentraler und digitaler. Damit verteilt sich auch die Verantwortung für IT-Sicherheit auf viele kleine Versorger, Netzbetreiber und Dienstleister. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz; laut BSI-Schätzung sind rund 29.500 Organisationen betroffen. Dazu kommen Firmen, die selbst nicht reguliert sind, aber an regulierte Unternehmen liefern und deren Anforderungen über den Einkauf erfüllen müssen.

Am Wissen fehlt es dabei selten. Es fehlen Zeit, Personal und Budget, und jede Organisation baut ihre Expertise allein auf.

Die Idee: eine Kohorte

In einer Kohorte setzen 10 bis 15 Organisationen im selben Zeitraum dieselbe Aufgabe um. Jede arbeitet in ihrer eigenen Umgebung, alle mit derselben Methode. Niemand gibt seine IT ab. Geteilt werden Methode, Vorlagen, Expertise und der Austausch untereinander.

Eine Kohorte nimmt das Beste aus drei Welten:

• Projekt: ein klares Ziel, messbar umgesetzt, mit gemeinsamem Abschluss.
• Training: Wissen, das bleibt, weil es direkt an den eigenen Systemen entsteht.
• Community: Austausch auf Augenhöhe, voneinander lernen.

Eine Kohorte dauert je nach Thema 6 bis 12 Wochen, mit festen Terminen und einem klaren Ende. Dieser feste Rahmen schützt das Vorhaben vor dem Tagesgeschäft.

Beleg 1: 27 Kommunen härten ihre Server

Den Praxistest haben 27 Kommunen am Niederrhein gemacht. Gebündelt hat sie das Kommunale Rechenzentrum Niederrhein (KRZN); int[cube] hat Methode, Fahrplan, Moderation und Security-Expertise beigesteuert, Computacenter weitere, tiefe Fachexpertise. Geplant waren 10 bis 15 Teilnehmende, am Ende waren es 27. Deshalb liefen zwei Gruppen parallel, eine am Vormittag und eine am Nachmittag, jede über 12 Wochen mit 12 Sessions.

Das Thema: Windows-Server und Active Directory härten, in fünf Umsetzungsthemen von Auditing und Logging über gefährliche Protokolle, AD-Hygiene und SMB- und LDAP-Signing bis zur Kerberos-Härtung. In der Abschlussrunde nannten Teilnehmende unter anderem: Logging aktiviert, SMB-Signing und LDAP-Signing eingeführt, ein eigenes SIEM aufgebaut, Tiering umgesetzt. Nicht jede Kommune hat alles umgesetzt, aber alle sind ein gutes Stück weiter.

In der anonymen Abschlussbefragung (n = 22) sagten 100 % der Befragten, sie würden noch einmal bei einer Kohorte mitmachen; 91 % empfehlen die Kohorte anderen Kommunen weiter. Am hilfreichsten fanden die Teilnehmenden die Anleitungen und Skripte, den festen Rhythmus und das Lernen von Computacenter, int[cube] und voneinander.

Drei Stimmen aus der Befragung:

„Haben Input bekommen, auf den wir alleine nicht gekommen wären.“

„Sinnvolle Investition. Bitte mehr davon - besonders im Securitybereich.“

„Eine super Schnittmenge aus Workshop, Community und Schulung.“

Auf die Frage, wie sie sich am Ende der Kohorte fühlen, kam die Antwort: „weniger allein“. Für mich ist das das wichtigste Ergebnis. Mehr Details stehen in der Fallstudie zu den 27 Kommunen.

Beleg 2: NIS2-Readiness mit der dena

Mit der dena haben wir 2025 eine Kohorte („Pilot-Mentoring“) für Start-ups und kleine Unternehmen der Stromwirtschaft begleitet, die meist nicht direkt NIS2-pflichtig sind, aber an regulierte Unternehmen liefern. Sieben Unternehmen haben in neun Sessions gearbeitet, jedes an drei von sechs Themen. Das Ergebnis ist die frei verfügbare dena NIS2-Roadmap für Energie-Start-ups: sechs Etappen von „Endgegner Einkauf“ bis „Sichere Software“. Friederike Wenderoth, Teamleiterin Energieinfrastruktur bei der dena: „Das Ergebnis hat unsere Erwartungen deutlich übertroffen.“

Warum es funktioniert

Aus beiden Kohorten haben wir sechs Erfolgsfaktoren mitgenommen:

1. Am realen Objekt arbeiten: eigene Systeme, keine Schulungsumgebung.
2. Fester Rhythmus: feste Termine, feste Aufgaben, fester Abschluss.
3. Dokumentation inklusive: Sie entsteht während der Arbeit.
4. Sicherer Austausch: ein geschützter Raum für offene Fragen.
5. Sportsgeist: Security als Mannschaftssport.
6. Fortschritt messen: für alle sichtbar, damit die Gruppe nachsteuern kann.

Dazu kommen drei Rollen: Die Teilnehmenden setzen um, ein Multiplikator bündelt (bei den Kommunen das KRZN, in der Energiewirtschaft die dena), und das Veranstalterteam begleitet mit Methode, Moderation und Fachexpertise.

Was Stadtwerke gemeinsam angehen könnten

Erprobt sind neben Server-Härtung und NIS2-Readiness auch Vorbereitung auf den Ernstfall, Krisenkommunikation und das Verkleinern der Angriffsfläche. Naheliegend für Stadtwerke und Netzbetreiber wären außerdem ein ISMS aufbauen, OT-Netze segmentieren, ransomware-sichere Backups, MFA flächendeckend oder Phishing-Resilienz. Und vielleicht trägt das Format auch über Security hinaus, etwa bei der kommunalen Wärmeplanung oder beim Smart-Meter-Rollout. Wer dort Fachexpertise hat: Mit Ihnen bauen wir gern eine Kohorte.

Die Folien

Folien als PDF (16 Seiten)

Wer macht die erste Stadtwerke-Kohorte?

Kommunen und kleine Energieunternehmen haben gezeigt, dass es funktioniert. Jetzt fehlt die erste Kohorte für Stadtwerke, und dafür braucht es einen Bündler: einen Verband, eine Kooperation, eine Energieagentur oder einen kommunalen IT-Dienstleister. Die nächsten Kohorten starten im Januar 2027.

Mehr zum Angebot auf der Seite Kohorten für die Energiewirtschaft, für Kommunen unter Kohorten für Kommunen, und wie Kohorten allgemein funktionieren unter Unconsulting in Kohorten. Sie bündeln Stadtwerke oder Netzbetreiber? Dann lassen Sie uns sprechen.