Mehrere Vorfälle, viele offene Ermittlungsfragen

Am Abend des 1. September wurde die Polizei zu einer technischen Störung in einem Umspannwerk in Bergheim gerufen. Mehrere Leitungen waren nach einem Kurzschluss ausgefallen. Nach den bisherigen Ermittlungen war leitfähiges Material gezielt gegen eine Stromleitung befördert worden. Die Kraftwerke Niederaußem und Neurath wurden daraufhin automatisch vom Netz getrennt. Nennenswerte Stromausfälle in den umliegenden Städten und Gemeinden wurden nicht festgestellt. In einem angrenzenden Feld fanden die Ermittler mehrere Vorrichtungen, die mit der Tat in Verbindung stehen könnten. Die Staatsanwaltschaft Köln ermittelt unter anderem wegen des Anfangsverdachts der verfassungsfeindlichen Sabotage und der Störung öffentlicher Betriebe.  

Nur wenige Stunden zuvor waren nahe dem Kraftwerk Jänschwalde in Brandenburg mehrere Stromleitungen beschädigt worden. Auch dort kamen offenbar selbstgebaute Vorrichtungen zum Einsatz. Nach Angaben des Übertragungsnetzbetreibers 50Hertz gab es eine kurzzeitige Leitungsunterbrechung; die allgemeine Stromversorgung blieb jedoch erhalten. Weitere noch nicht ausgelöste Vorrichtungen wurden am Tatort gefunden.  

Am 3. September entdeckte ein Spaziergänger in der Nähe eines Umspannwerks in Dormagen einen verdächtigen Gegenstand. Die Polizei geht von einem geplanten Sabotagedelikt aus und prüft, ob es sich ebenfalls um eine Abschussvorrichtung handelte, mit der ein Kurzschluss ausgelöst werden sollte. Schäden an der Anlage wurden bislang nicht festgestellt. Den Ermittlern liegt zudem ein Bekennerschreiben vor, in dem auf weitere öffentlich bekannte Vorfälle in Nordrhein-Westfalen und Brandenburg Bezug genommen wird.  

Der Polizeieinsatz am Umspannwerk in Ganderkesee hat nach aktuellem Stand einen anderen Ausgangspunkt. Dort war in der Nacht ein Schaltschrank offen vorgefunden worden. Das Gelände wurde mit Diensthunden, einem Hubschrauber und Unterstützung des Technischen Hilfswerks abgesucht. Beschädigungen oder verdächtige Personen wurden nicht festgestellt. Ob überhaupt eine Straftat vorliegt, ist noch Gegenstand der Ermittlungen. Der Vorgang sollte daher derzeit nicht ohne Weiteres in eine Reihe mit den bestätigten beziehungsweise mutmaßlichen Sabotagefällen gestellt werden.  

Auch bei Jänschwalde, Bergheim und Dormagen sind wesentliche Fragen noch offen. Ein ähnliches Tatmittel und ein Bekennerschreiben können Hinweise auf einen Zusammenhang liefern, ersetzen aber keine abgeschlossene Ermittlung. Aussagen zur Täterschaft, zum Motiv oder zu einer möglichen Steuerung durch Dritte wären zum jetzigen Zeitpunkt verfrüht.

Warum die Stromversorgung dennoch stabil blieb

Die Vorfälle zeigen nicht nur die Verwundbarkeit des Stromnetzes. Sie zeigen ebenso, dass seine technischen Sicherungsmechanismen grundsätzlich funktionieren.

Das europäische Übertragungsnetz wird nach dem sogenannten n-1-Prinzip geplant und betrieben. Der Ausfall eines einzelnen Netzelements – etwa einer Leitung oder eines Transformators – soll verkraftet werden können, ohne dass die Versorgung zusammenbricht. Schutztechnik erkennt Kurzschlüsse und andere Störungen, trennt betroffene Betriebsmittel automatisch vom Netz und verhindert dadurch, dass sich ein Fehler unkontrolliert ausbreitet. Netzleitstellen können Lastflüsse anpassen und Erzeugungsleistung verlagern. Zusätzlich trägt der europäische Netzverbund dazu bei, regionale Störungen auszugleichen.  

In Bergheim führte der vorsätzlich ausgelöste Kurzschluss zur automatischen Abschaltung betroffener Anlagen. Der technische Schaden hatte damit Folgen für einzelne Betriebsmittel und Kraftwerksblöcke, nicht aber für die Stromversorgung der Bevölkerung. Ein ähnliches Bild zeigte sich in Brandenburg: Leitungen wurden beschädigt, die allgemeine Versorgung blieb nach Angaben des Netzbetreibers gesichert.  

Daraus lässt sich weder Entwarnung noch ein generelles Urteil über die Sicherheit des deutschen Stromnetzes ableiten. Der Ausfall eines einzelnen Elements gehört zu den Szenarien, auf die ein Übertragungsnetz vorbereitet ist. Ein planvoll handelnder Täter kann dagegen Standorte auswählen, wiederholt vorgehen oder versuchen, mehrere voneinander abhängige Komponenten zu treffen. Technische Ausfallsicherheit und Schutz vor vorsätzlicher Sabotage überschneiden sich, folgen aber nicht derselben Logik.

Was Betreiber heute bereits tun können

Umspannwerke und andere bedeutende Anlagen werden durch Zäune, Zugangskontrollen, Einbruchmeldeanlagen, Videoüberwachung, Beleuchtung, Sicherheitsdienste und organisatorische Zutrittsregelungen geschützt. Je nach Bedeutung und Bedrohungslage kommen zusätzliche Sensorik, Umfeldüberwachung oder verstärkte Kontrollen hinzu. Auch der Umgang mit Fremdfirmen, Wartungspersonal und privilegierten Zugängen gehört zum Sicherheitskonzept.

Das im März 2026 in Kraft getretene KRITIS-Dachgesetz greift diese Maßnahmen ausdrücklich auf. Es verlangt von den erfassten Betreibern eine risikobasierte Vorsorge, einen angemessenen physischen Schutz, Verfahren zur Reaktion auf Vorfälle, Maßnahmen zur Begrenzung der Auswirkungen und Vorkehrungen für die Wiederherstellung der kritischen Dienstleistung. Das Gesetz nennt unter anderem Objektschutz, Umfeldüberwachung, Detektionsgeräte, Zugangskontrollen, Krisenmanagement, Alarmverfahren, Notstromversorgung, alternative Lieferketten sowie Schulungen und Übungen.  

Parallel dazu regelt das Ende 2025 in Kraft getretene NIS-2-Umsetzungsgesetz die Anforderungen an die Cybersicherheit. Betroffene Einrichtungen müssen Risikomanagementmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle melden und sich beim BSI registrieren. Betreiber kritischer Anlagen fallen automatisch in die Kategorie der besonders wichtigen Einrichtungen.  

Physische Sicherheit und Cybersicherheit lassen sich bei modernen Versorgungsnetzen allerdings kaum noch getrennt behandeln. Umspannwerke, Leitstellen und Kraftwerke werden digital überwacht und gesteuert. Fernwartung, Telekommunikation, Identitätsmanagement und externe Dienstleister bilden zusätzliche Abhängigkeiten. Ein physischer Schaden kann deshalb mit einem Ausfall digitaler Steuerungs- oder Kommunikationsmöglichkeiten zusammentreffen. Umgekehrt kann ein Cyberangriff die technische Reaktion auf einen physischen Vorfall erschweren.

Die Grenzen des klassischen Objektschutzes

Ein einzelnes Rechenzentrum oder eine Leitstelle lässt sich vergleichsweise gut absichern. Bei einem Stromnetz, einer Bahnstrecke, einer Pipeline oder einem Telekommunikationsnetz ist die Situation grundlegend anders. Diese Infrastrukturen bestehen aus einer großen Zahl räumlich verteilter Komponenten. Leitungen durchqueren Felder, Wälder, Gewerbegebiete und öffentliche Räume. Viele technische Einrichtungen liegen außerhalb dauerhaft besetzter Standorte.

Die aktuellen Fälle verdeutlichen diese Besonderheit. Ein Angreifer muss offenbar nicht zwingend in das umzäunte Betriebsgelände eines Umspannwerks eindringen, um einen Kurzschluss oder eine technische Störung herbeizuführen. Ein höherer Zaun schützt den eigentlichen Standort, erfasst aber nicht automatisch die angrenzenden Leitungen, Trassen und Zuführungen.

Eine flächendeckende Bewachung wäre weder personell noch wirtschaftlich realistisch. Der Schutz muss sich deshalb an der Bedeutung eines Standorts für das Gesamtsystem orientieren. Anlagen mit großer Versorgungswirkung, langen Wiederherstellungszeiten oder schwer ersetzbaren Komponenten benötigen ein höheres Schutzniveau als Betriebsmittel, deren Funktion kurzfristig von anderen Teilen des Netzes übernommen werden kann.

Diese Priorisierung setzt voraus, dass Betreiber und zuständige Behörden die kritischen Knoten und ihre Abhängigkeiten kennen. Die Ergebnisse dürfen nicht öffentlich zugänglich sein. Für die Schutzplanung, die Gefahrenabwehr und die Wiederherstellung werden sie jedoch benötigt.

Redundanz hilft nur bei getrennten Ausfallwegen

Redundanz gehört zu den wichtigsten Instrumenten der technischen Resilienz. Ihre Wirkung hängt davon ab, wie unabhängig die vorhandenen Alternativen tatsächlich sind.

Zwei Leitungen bieten nur begrenzten zusätzlichen Schutz, wenn sie über dieselbe Trasse oder denselben zentralen Netzknoten geführt werden. Zwei Rechenzentren können gleichzeitig ausfallen, wenn sie dieselbe Stromzuführung, Telekommunikationsanbindung oder Identitätsplattform nutzen. Eine zweite Leitstelle bleibt wirkungslos, wenn der Zugriff auf die technischen Systeme weiterhin über dieselbe zentrale Infrastruktur erfolgt.

Ähnliche Zusammenhänge bestehen bei organisatorischen und logistischen Ressourcen. Ein Notstromaggregat benötigt Kraftstoff, Wartung und geschultes Personal. Ein Ersatzteilbestand nützt wenig, wenn für Transport und Einbau dieselben Dienstleister benötigt werden, die vom Ereignis ebenfalls betroffen sind. Mehrere Bereitschaftsteams schaffen keine echte personelle Reserve, wenn ihre Mitglieder aus demselben regionalen Umfeld kommen und bei einem großflächigen Ereignis gleichzeitig ausfallen.

Die Bewertung von Redundanzen muss deshalb gemeinsame Ausfallursachen einbeziehen. Dabei geht es um technische, räumliche und organisatorische Verbindungen. Erst ihre Betrachtung zeigt, ob eine Alternative unter den Bedingungen des vorgesehenen Schadensszenarios tatsächlich verfügbar wäre.

Hinzu kommen die Abhängigkeiten zwischen unterschiedlichen Sektoren. Wasserversorgung benötigt Energie. Energieversorgung ist auf Telekommunikation, digitale Steuerung und qualifiziertes Personal angewiesen. Krankenhäuser benötigen neben Strom und Wasser funktionierende IT, Logistik, Medikamente und Kommunikationsverbindungen. Das BBK weist darauf hin, dass solche gegenseitigen Abhängigkeiten Domino- und Kaskadeneffekte auslösen können. Besonders eng sind die Verbindungen zwischen Energie sowie Informationstechnik und Telekommunikation.  

Die Risikoanalyse eines Umspannwerks darf daher nicht an der Grundstücksgrenze enden. Sie muss auch die Leitstelle, Kommunikationsverbindungen, Ersatzteilversorgung, Dienstleister, Kraftstofflogistik und die Verfügbarkeit von Reparaturpersonal berücksichtigen.

Die Bedrohungslage erfordert ein gemeinsames Lagebild

Nach einem internen Lagebild des Bundeskriminalamts, über das NDR, WDR und die Süddeutsche Zeitung berichten, wurden bis Ende August 2026 bundesweit mehr als 165 Sabotageverdachtsfälle registriert. Hinzu kamen 747 gemeldete verdächtige Drohnensichtungen über sensiblen Einrichtungen. Diese Zahlen beschreiben Verdachtsfälle. Sie belegen weder eine gemeinsame Täterschaft noch eine einheitliche politische oder staatliche Steuerung. Sie zeigen jedoch, dass Sicherheitsbehörden inzwischen mit einer großen Bandbreite möglicher Ausspähungs- und Sabotagehandlungen umgehen müssen.  

Für Betreiber ergibt sich daraus ein Informationsproblem. Sie kennen ihre Anlagen, Prozesse und technischen Schwachstellen. Sicherheitsbehörden verfügen möglicherweise über Hinweise zu Tätergruppen, Vorgehensweisen, aktuellen Tatmitteln oder regionalen Auffälligkeiten. Katastrophenschutzbehörden können abschätzen, welche Folgen ein Ausfall für Krankenhäuser, Pflegeeinrichtungen, Wasserversorgung oder Verkehr hätte. Solange diese Informationen getrennt bleiben, entsteht kein vollständiges Lagebild.

Der Fund in Dormagen zeigt, wie schnell aus einer lokalen Beobachtung ein überregionaler Prüfbedarf entstehen kann. Nachdem Hinweise auf ähnliche Tatmittel und weitere mögliche Standorte vorlagen, wurden auch andere Anlagen kontrolliert. Solche lageabhängigen Schutzmaßnahmen sind wesentlich wirksamer als eine gleichmäßige und dauerhaft hohe Bewachung sämtlicher Standorte.  

Dafür braucht es erreichbare Ansprechpartner auf beiden Seiten, sichere Kommunikationswege und vorab vereinbarte Verfahren. Betreiber sollten wissen, an wen sie verdächtige Beobachtungen rund um die Uhr melden können. Behörden wiederum benötigen einen Weg, um konkrete Bedrohungsinformationen kurzfristig an diejenigen Unternehmen weiterzugeben, die daraus Schutzmaßnahmen ableiten können.

Die Aufgabenverteilung muss dabei klar bleiben. Betreiber tragen Verantwortung für die Sicherung ihrer Anlagen und die Widerstandsfähigkeit ihres Betriebs. Nachrichtendienstliche Aufklärung, Terrorismusabwehr, Strafverfolgung und hoheitliche Gefahrenabwehr können sie nicht übernehmen.

Wiederherstellung gehört zum Schutzkonzept

Bei einer schwerwiegenden Sabotage entscheidet nicht allein die technische Umschaltmöglichkeit über die Folgen. Ebenso wichtig sind Reparaturdauer und Wiederbeschaffungszeit.

Große Transformatoren, Schaltanlagen und andere Spezialkomponenten lassen sich nicht in jedem Fall kurzfristig ersetzen. Ihre Beschaffung kann aufwendig sein; Transport, Genehmigungen, Hebetechnik und qualifiziertes Montagepersonal müssen zusammenpassen. Ein auf dem Papier vorhandenes Ersatzteil ist erst dann eine belastbare Reserve, wenn es zum betroffenen Standort gebracht, angeschlossen und in Betrieb genommen werden kann.

Betreiber benötigen deshalb mehr als Lagerbestände. Erforderlich sind vorbereitete Transportkonzepte, Rahmenverträge, gegenseitige Unterstützungsvereinbarungen, mobile Ersatztechnik und eingespielte Reparaturteams. Bei Komponenten mit besonderer Bedeutung können sektorale oder überregionale Reserven sinnvoller sein als getrennte Bestände bei jedem einzelnen Unternehmen.

Auch die Krisenorganisation muss auf einen längeren Ausfall vorbereitet sein. Alarmierung, Lageführung, Behördenkommunikation, Pressearbeit und Priorisierung der Wiederherstellung dürfen nicht von den Systemen abhängen, die durch den Vorfall ausgefallen sind. Sichere und unabhängig verfügbare Kommunikationsmittel gehören deshalb zur Grundausstattung.

Ein Resilienzplan gewinnt seinen Wert erst durch die praktische Erprobung. Technische Umschaltungen, der Wechsel auf einen Ersatzstandort und die Wiederherstellung aus Notbetriebsbedingungen müssen regelmäßig getestet werden. Eine Besprechung am Konferenztisch kann organisatorische Schwächen aufdecken, ersetzt aber keinen realen Funktionsnachweis.

Der gesetzliche Rahmen ist vorhanden, die Umsetzung steht noch am Anfang

Das KRITIS-Dachgesetz schafft erstmals einen sektorübergreifenden Rahmen für die physische Resilienz kritischer Anlagen. Es berücksichtigt neben dem Objektschutz auch Krisenreaktion, Betriebsfortführung, alternative Lieferketten und Wiederherstellung. Zudem verpflichtet es Betreiber, Abhängigkeiten von anderen kritischen Dienstleistungen in ihre Risikoanalysen einzubeziehen.  

Die praktische Wirkung des Gesetzes ist jedoch noch begrenzt. Die Rechtsverordnung, mit der die erfassten kritischen Anlagen konkret bestimmt werden, ist nach Angaben des BBK noch nicht in Kraft. Auch methodische Vorgaben für Risikoanalysen und weitere Umsetzungsregelungen befinden sich in der Ausarbeitung beziehungsweise Abstimmung. Betroffene Betreiber müssen daher derzeit noch nicht sämtliche im Gesetz angelegten Pflichten erfüllen.  

Die weitere Ausgestaltung sollte sich möglichst eng an der tatsächlichen Funktionsfähigkeit orientieren. Ein vorhandener Resilienzplan, eine Kamera oder ein Ersatzaggregat belegen für sich genommen noch keine ausreichende Vorsorge. Aussagekräftiger sind nachgewiesene Durchhaltezeiten, erfolgreich getestete Umschaltungen, verfügbare Ersatzkomponenten und realistisch geübte Wiederherstellungsverfahren.

Das hat auch finanzielle Folgen. Viele dieser Maßnahmen verursachen erhebliche Kosten, ohne im normalen Betrieb zusätzliche Erträge zu erzeugen. Bei regulierten Netzen, kommunalen Unternehmen, Krankenhäusern und anderen stark kostenbelasteten Einrichtungen muss geklärt sein, wie zusätzliche Sicherheits- und Resilienzinvestitionen finanziert werden. Staatlich geforderte Schutzstandards werden nur dann flächendeckend wirksam, wenn sie wirtschaftlich umsetzbar sind.

Die Lehre aus den Vorfällen

Die Ereignisse dieser Woche belegen nicht, dass das deutsche Stromnetz schutzlos wäre. Technische Sicherungssysteme haben größere Versorgungsausfälle offenbar verhindert. Gleichzeitig wird sichtbar, wie schwer eine weit verteilte Infrastruktur gegen vorsätzliche Eingriffe abzusichern ist.

Eine pauschale Forderung nach mehr Kameras, höheren Zäunen und zusätzlicher Bewachung greift deshalb zu kurz. Solche Maßnahmen sind an besonders bedeutenden Standorten sinnvoll und teilweise dringend erforderlich. Sie müssen jedoch in ein umfassenderes Konzept eingebettet sein.

Dazu gehören eine belastbare Kritikalitätsanalyse, tatsächlich unabhängige Redundanzen, ein schneller Informationsaustausch zwischen Staat und Betreibern, verfügbare Reparaturkapazitäten sowie regelmäßig erprobte Notbetriebs- und Wiederherstellungsverfahren. Physische Sicherheit, Cyber- und OT-Sicherheit, Business Continuity und Krisenmanagement müssen dabei aufeinander abgestimmt werden.

Der Zustand einer einzelnen Anlage ist nur ein Teil der Sicherheitsbewertung. Für die Bevölkerung zählt am Ende, ob Strom, Wasser, Kommunikation, Gesundheitsversorgung und Verkehr trotz eines Angriffs weiter funktionieren oder innerhalb einer vertretbaren Zeit wiederhergestellt werden können.

Ein beschädigtes Betriebsmittel ist ein ernster Sicherheitsvorfall. Eine länger unterbrochene Versorgung kann daraus eine gesellschaftliche Krise machen. Zwischen beidem liegt die Qualität der vorbereiteten Resilienz.