Office-Posteingang.Stadtwerke-tauglich.E-Mail-Sicherheit für kritische Infrastrukturen.
MailGuard, DMARC, SecureMail und SecureFiles für Netzbetreiber, Elektrizitätswerke, Stadtwerke und Energiedienstleister. Mit Bezug zur Meldepflicht nach Art. 74b des Informationssicherheitsgesetzes und zum IKT-Minimalstandard, Hosting in Europa, ISMS-Anschluss, ohne Eingriff in Leit- oder Netzleittechnik.
Sicherheitsschicht für den Office-Posteingang, ohne Berührung der Leittechnik.
- Phishing aus Lieferanten- und Marktpartner-Domains landet im PostfachDMARC-, SPF- und DKIM-Prüfung plus BEC-Heuristik filtern Marktpartner-Spoofing
- Markenmissbrauch in Endkunden-Phishing ohne VisibilityDMARC-Reports mit Reject-Policy, Forensik für die Versorger-Marke
- Aufsichtsprüfung ohne dokumentierte Massnahmen für Mail und DateitransferISMS-fähige Massnahmenbeschreibung mit Audit-Log für den Nachweis gegenüber ElCom und Revision
Regulatorische Anker für die Energiebranche
Conbool deckt Massnahmen auf Mail- und Datenebene ab. Ob das Versorgungsunternehmen als Betreiberin einer kritischen Infrastruktur nach Art. 74b ISG gilt, entscheidet es selbst anhand des Gesetzes und der Verordnung. Die NIS2-Richtlinie der EU gilt in der Schweiz nicht unmittelbar. Conbool greift nicht in OT-, Leit- oder Fernwirksysteme ein.
Vier Bausteine für ÜNB, VNB und Stadtwerke.
MailGuard gegen Phishing aus der Marktpartner-Kommunikation, DMARC gegen Markenmissbrauch, SecureMail für ElCom und Aufsicht, SecureFiles für Netzpläne und Lieferantenpakete.
MailGuard
BEC- und CEO-Fraud-Schutz für Kämmerei, Einkauf und Projektabwicklung, CDR-Prüfung von Anhängen aus Lieferanten- und Marktpartner-Mails, URL-Reputation gegen Spear-Phishing auf Leitwarte, Netzführung und Engineering-Plätze. Mehrstufige Erkennung vor Microsoft 365 mit dokumentiertem Befund pro Vorfall.
MailGuard im DetailDMARCDMARC Reports
Aggregat- und Forensik-Reports zur eigenen Versorger-Marke und allen Vertriebs- und Marken-Domains. Schrittweise von p=none über p=quarantine zu p=reject, mit dokumentiertem Pfad für die Berichterstattung im ISMS und für den Nachweis gegenüber der Revision.
DMARC Reports im DetailSecureMailSecureMail
S/MIME, OpenPGP und Web-Reader für Korrespondenz mit der Eidgenössischen Elektrizitätskommission, mit dem Bundesamt für Energie, mit der nationalen Netzgesellschaft, mit kantonalen und kommunalen Eigentümern und mit Konzerngesellschaften. Outlook-Add-in für Classic, New und Web, ohne Bruch im Posteingang des Sachbearbeiters.
SecureMail im DetailDisclaimerSecureFiles und Disclaimer
SecureFiles für Netzpläne, Schaltbilder, Messdaten, Genehmigungsanlagen und Lieferantenpakete jenseits üblicher Mail-Limits, mit Passwort- oder Empfänger-Authentifizierung. Disclaimer für Pflichtangaben pro Stadtwerk, Tochter oder Marke server-seitig, mit AD- oder Entra-ID-Mapping.
Module ansehenVier Szenarien aus dem Alltag von Stadtwerken und Netzbetreibern.
Von der Lieferanten-Mail über die Marktkommunikation bis zur Prüfung durch die Revision.
Lieferanten-Phishing in der Kämmerei abfangen
Ein angeblicher Anlagenbauer eines Grossprojekts schickt der Kämmerei eines Stadtwerks per E-Mail eine geänderte Bankverbindung für eine sechsstellige Abschlagsrechnung. MailGuard prüft SPF, DKIM und DMARC der Absender-Domain, erkennt das Display-Name-Spoofing per BEC-Heuristik, gleicht die Bankverbindung gegen den bisherigen Verkehr ab und blockiert die Nachricht, bevor sie im Posteingang der Buchhaltung des Versorgers landet. Der Vorgang wird im Audit-Log dokumentiert und kann als Beleg für das ISMS-Reporting genutzt werden.
Datenaustausch mit Bilanzgruppen und Netzbetreibern flankieren
Die regulierte Marktkommunikation zwischen Lieferant, Verteilnetzbetreiber und Messstellenbetreiber läuft prozessual über definierte EDIFACT-Nachrichten und ist nicht E-Mail-basiert. Die begleitende Korrespondenz zu Klärfällen, Wechselprozessen, Bilanzkreis-Themen und GPKE oder GeLi Gas läuft hingegen per E-Mail. MailGuard und DMARC sichern diese Begleitkorrespondenz gegen Spoofing aus Marktpartner-Domains ab, ohne in die EDIFACT-Kette einzugreifen.
Korrespondenz mit ElCom und Aufsicht verschlüsseln
Anfragen zu Netznutzungsentgelten, zur Kostenrechnung, zur Versorgungssicherheit und zum Netzzugang gehen verschlüsselt per S/MIME oder OpenPGP an die Eidgenössische Elektrizitätskommission und an das Bundesamt für Energie. SecureMail liefert Empfangsbestätigung, Verschlüsselungsnachweis und Audit-Log als Beleg für das interne Vorgangsmanagement und für spätere Verfahrensschritte.
Nachweisführung gegenüber Aufsicht und Revision
Aufsicht und Revision prüfen, ob die Betreiberin geeignete Sicherheitsmassnahmen nach dem Stand der Technik getroffen hat. Conbool stellt eine Massnahmenbeschreibung entlang des IKT-Minimalstandards, Konfigurations-Exporte zu DMARC- und Mail-Sicherheits-Settings sowie Audit-Log-Auszüge bereit, die in den eigenen Nachweis eingebunden werden können.
Sicherheitsschicht für die Office-IT, ohne OT-Berührung.
Conbool sitzt als MX vor Microsoft 365 in der Office-IT eines Versorgers. Leitstelle, Netzleitsystem, Fernwirktechnik und der Datenaustausch mit Bilanzgruppen und Netzbetreibern bleiben in eigenen Zonen mit eigener Härtung. Das entspricht dem Zonenkonzept und der IT-OT-Trennung, die der IKT-Minimalstandard in der Branchenausgabe für die Stromversorgung beschreibt.
MX-Switch im Stadtwerk
Eingehender SMTP-Verkehr läuft über Conbool und wird dort gefiltert, auf Anhänge geprüft und auf BEC untersucht. Microsoft 365 bleibt Backend. Outbound über M365 oder über Conbool, je nach DMARC- und DKIM-Strategie.
Office- und OT-Zonen sauber getrennt
Office-Postfächer der Verwaltung, des Kunden-Centers und der Netzplanung laufen über Conbool. Leitstellen- und Wartungs-Postfächer bleiben in separaten Zonen. Keine Berührung von SCADA, PLS, Fernwirkstrecken oder ICS-Komponenten.
ISMS-Anschluss nach ISO 27001 und B3S
Mail- und Datentransfer als technische und organisatorische Massnahme im ISMS dokumentierbar, mit Mapping auf ISO 27001, IT-Grundschutz-Bausteine und die ergänzenden Anforderungen des B3S Energie.
SIEM- und SOC-Anbindung
Audit-Log und Vorfallsdaten per Syslog, CEF oder Standard-Connector ans Versorger-SOC, an einen dienstleistenden MSSP oder an ein gemeinsam betriebenes Konzern-SOC. Ereignis-Korrelation mit Netzleit- und Endpoint-Daten bleibt zentralisiert.
Meldepflicht und IKT-Minimalstandard auf Massnahmen-Ebene.
Art. 74b des Informationssicherheitsgesetzes verpflichtet Betreiberinnen kritischer Infrastrukturen, einen Cyberangriff innert 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit zu melden. Der IKT-Minimalstandard des Bundes beschreibt in der Branchenausgabe für die Stromversorgung die erwarteten Massnahmen, üblicherweise getragen von einem ISMS nach ISO 27001. Conbool liefert die Bausteine auf der Mail- und Datenschicht und die belegbaren Nachweise für Aufsicht und Revision.
Schutzbedarfsfeststellung Office-IT
Conbool als technische Massnahme im Schutzbedarf der Office-IT, mit hohem bis sehr hohem Bedarf für Vertraulichkeit der Korrespondenz mit ElCom, Kantonen, Gemeinden, Marktpartnern und Konzerntöchtern.
Vertraulichkeit und Integrität
S/MIME- und OpenPGP-Verschlüsselung mit Web-Reader-Fallback, Manipulationsschutz im Audit-Log, signierte Outbound-Mails per DKIM und durchgesetzte DMARC-Policy. Anhangsfilter mit CDR gegen Office-Macro- und PDF-Exploits.
Verfügbarkeit und Wiederanlauf
Geo-redundante Mail-Filterung in europäischen Rechenzentren mit Spool und Continuity bei M365-Ausfall. RTO und RPO in den Notfallplan des Versorgers integrierbar, mit dokumentierter Wiederanlauf-Reihenfolge nach ISO 22301 oder einem gleichwertigen Standard.
Meldung innert 24 Stunden nach Art. 74b ISG
Audit-Log- und Vorfallsdaten-Exporte als Nachweis für die Erstmeldung eines Cyberangriffs an das Bundesamt für Cybersicherheit innert 24 Stunden nach Entdeckung und für die anschliessende Ergänzung der Meldung.
Pilot im Stadtwerk, dann Konzern-Rollout.
Versorger-Konzerne mit mehreren Stadtwerken, Netzbetreibern und Energiedienstleistern starten typischerweise in einer Tochter. Der Pilot validiert MX-Switch, DMARC-Politik und ISMS-Anschluss. Danach Konzern-Rollout über das Microsoft-365-Admin-Center mit zentralem Tenant oder mehrmandantenfähigem Setup.
Pilot in einer Tochter oder einem Stadtwerk
Eine kleinere Tochter, ein Stadtwerk oder die Vertriebsgesellschaft migriert MX, DMARC und Outlook-Add-in, der Rest des Konzerns bleibt unverändert. Validierung von Filterquote, False-Positive-Rate und ISMS-Anschluss in vier bis acht Wochen.
DMARC-Pfad mit dokumentierter Eskalation
Stufenweise von p=none über p=quarantine zu p=reject, mit Aggregat- und Forensik-Reports in jeder Phase. Subdomains der Vertriebsmarken und Töchter werden separat behandelt, fehlende Drittsysteme über SPF-Includes oder DKIM-Selectoren nachgezogen.
Konzern-Rollout über Entra ID
Outlook-Add-in für Classic, New und Web über das Microsoft-365-Admin-Center, AD- oder Entra-ID-gestützte Bereitstellung. Mehrmandantenfähigkeit pro Konzerngesellschaft, getrennte Mandate für Netzbetrieb und Vertrieb entsprechend der Entflechtung nach Art. 10 StromVG.
Auslauf der Altlösung
Bestehende SEG-, Hornetsecurity-, Proofpoint- oder NoSpamProxy-Strecke läuft parallel aus, ohne Postfach-Migration. Kein Doppel-Lizenz-Druck, Wechsel pro Tochter oder pro Domain möglich.
Häufige Fragen aus der Energiebranche
Greift Conbool in OT, Leitstelle oder Fernwirktechnik ein?
Wie passt Conbool zum IKT-Minimalstandard für die Stromversorgung?
Welche Pflichten bringt die Meldepflicht nach Art. 74b ISG mit sich, und wo hilft Conbool?
Wie verhält sich Conbool zum Datenaustausch mit Bilanzgruppen und Netzbetreibern?
Welche Phishing- und BEC-Vektoren sind typisch für Stadtwerke und Netzbetreiber?
Wie sieht der Konzern-Rollout in einem Stadtwerks-Verbund mit mehreren Gesellschaften aus?
Welche Module sind für die Kommunikation mit ElCom, Bundesbehörden und Eigentümern relevant?
Verwandte Lösungen
Hornetsecurity-Alternative
Deutsche MailGuard-Alternative nach der Proofpoint-Übernahme.
Barracuda-Alternative
Module je Postfach statt Planstufen, deutscher Vertragspartner.
Phishing-Schutz
BEC, Spear-Phishing und QR-Code-Phishing erkennen und entfernen.
Phishing-Simulation
Was durch den Filter kommt, mit dem Team üben statt hoffen.
Ransomware-Schutz E-Mail
Mehrstufige Anhang-Filter und URL-Reputation gegen Ransomware-Kampagnen.
Spam-Filter Unternehmen
Spam und unerwünschte Massenmail mit DACH-Heuristiken filtern.
CEO-Fraud-Schutz
BEC und CEO-Fraud-Attacken über Authentifizierungs-Layer abwehren.
DANE und TLSA
Manipulationssichere Transportverschlüsselung nach BSI TR-03108, gegen Downgrade und MITM.
Directory-Harvesting-Schutz
Abwehr von Adress-Sammlern, bevor gültige Postfächer in Spam-Datenbanken landen.
Verwandte Branchen
Conbool ist in benachbarten Branchen mit ähnlichem Compliance-Profil im Einsatz.
E-Mail-Sicherheit für kritische Infrastrukturen, ohne OT-Eingriff.
Demo in 30 Minuten. Pilot in einer Tochter oder einem Stadtwerk. Modular pro Funktion und Postfach.
Quellen und Stand
Aussagen zur Meldepflicht basieren auf Art. 74b des Informationssicherheitsgesetzes und der dazugehörigen Verordnung, mit einer Erstmeldung an das Bundesamt für Cybersicherheit innert 24 Stunden nach Entdeckung. Aussagen zu erwarteten Massnahmen basieren auf dem IKT-Minimalstandard des Bundes und seiner Branchenausgabe für die Stromversorgung. Aussagen zur Ordnung des Strommarkts basieren auf dem Stromversorgungsgesetz, insbesondere Art. 10 zur Entflechtung, und auf der Aufsicht durch die Eidgenössische Elektrizitätskommission. Aussagen zum Datenschutz basieren auf dem revidierten Datenschutzgesetz, insbesondere Art. 8 und Art. 24. Stand 2026.
ElCom ist eine Bezeichnung der Eidgenössischen Elektrizitätskommission. Microsoft, Microsoft 365 und Outlook sind Marken der Microsoft Corporation. SAP und S/4HANA sind Marken der SAP SE. Conbool ist eine Marke der Conbool GmbH.