Kritische Infrastrukturen lassen sich niemals vollständig schützen. Eine belastbare Sicherheitsstrategie muss deshalb weiter reichen als bis zum Zaun einer Anlage. Staat, Unternehmen und Bevölkerung brauchen ein gemeinsames Verständnis davon, welche Leistungen auch in einer schweren Krise verfügbar bleiben müssen, wie Ausfälle überbrückt werden und wie schnell eine Wiederherstellung möglich ist. Ebenso wichtig ist das Vertrauen der Bevölkerung in diese Fähigkeiten.
Die mutmaßlichen Sabotageakte an Anlagen der Stromversorgung haben die Verwundbarkeit kritischer Infrastruktur erneut sichtbar gemacht. Der Vorfall am Umspannwerk in Bergheim ist dafür ein anschauliches Beispiel: Mehrere Leitungen fielen nach einer vorsätzlichen Manipulation aus, Kraftwerksanlagen wurden automatisch abgeschaltet, nennenswerte Stromausfälle in den umliegenden Städten und Gemeinden blieben nach Angaben der Polizei jedoch aus. Der Angriff hatte damit eine technische Wirkung, führte aber nicht zu einer größeren Versorgungskrise.
Die öffentliche Debatte konzentriert sich in solchen Situationen schnell auf Zäune, Kameras, Sicherheitsdienste und Polizeipräsenz. Das ist nachvollziehbar, greift aber zu kurz. Versorgungssicherheit hängt nicht allein davon ab, ob eine bestimmte Anlage beschädigt wird. Entscheidend ist, ob Strom, Wasser, medizinische Versorgung, Kommunikation, Mobilität und andere elementare Leistungen trotz einer Störung weiter erbracht oder innerhalb einer vertretbaren Zeit wiederhergestellt werden können.
Der Blick muss deshalb über das einzelne Umspannwerk hinausgehen.
Kritische Infrastruktur ist der unsichtbare Unterbau unseres Alltags
Kritische Infrastrukturen begegnen uns selten als zusammenhängendes System. Im Alltag sehen wir das Krankenhaus, den Supermarkt, den Bahnhof, die Tankstelle oder den Geldautomaten. Dahinter stehen jedoch zahlreiche miteinander verbundene Leistungen.
Ein Krankenhaus benötigt nicht nur Ärzte, Pflegepersonal und medizinische Geräte. Es ist auf Strom, Wasser, Abwasserentsorgung, Telekommunikation, IT, Medikamente, medizinische Gase, Lebensmittel, Wäschereien und funktionierende Verkehrswege angewiesen. Ein Lebensmittelmarkt braucht Ware, Kühlung, Personal, Logistik, Kassensysteme, Zahlungsverkehr und eine verlässliche Energieversorgung. Die Wasserversorgung wiederum benötigt Strom für Pumpen und Aufbereitung, Kommunikationsverbindungen für die Steuerung sowie Chemikalien und Ersatzteile aus externen Lieferketten.
Das KRITIS-Dachgesetz zählt Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung zu den gesetzlich erfassten Sektoren. Als kritisch gelten Dienstleistungen, deren Ausfall zu erheblichen Versorgungsengpässen oder zu einer Gefährdung der öffentlichen Sicherheit führen würde.
Die etablierte Bund-Länder-Systematik betrachtet darüber hinaus auch Staat und Verwaltung sowie Medien und Kultur als gesellschaftlich bedeutsame Bereiche. Die genaue rechtliche Einordnung ist je nach Regelwerk unterschiedlich. Für die praktische Krisenvorsorge ist jedoch vor allem die Funktion maßgeblich: Welche Leistung würde bei einem Ausfall das öffentliche Leben, die Versorgung oder die staatliche Handlungsfähigkeit erheblich beeinträchtigen?
Diese funktionale Betrachtung ist wichtig, weil viele Unternehmen und Einrichtungen zwar nicht unmittelbar unter eine gesetzliche KRITIS-Definition fallen, für den Betrieb kritischer Dienstleistungen aber trotzdem unverzichtbar sind. Dazu können spezialisierte Wartungsunternehmen, Logistikdienstleister, Softwareanbieter, Labore, Kraftstofflieferanten, Hersteller einzelner Ersatzteile oder sogar Betreuungsangebote gehören, ohne die Beschäftigte ihre Arbeit in kritischen Einrichtungen nicht aufrechterhalten könnten. Das KRITIS-Dachgesetz erkennt ausdrücklich an, dass auch nicht erfasste Einrichtungen für die personelle und betriebliche Funktionsfähigkeit kritischer Anlagen von erheblicher Bedeutung sein können.
Sabotage ist nur eine von vielen möglichen Ursachen
Die aktuelle Aufmerksamkeit gilt vorsätzlichen Angriffen. Eine belastbare Vorsorge darf sich darauf jedoch nicht beschränken. Kritische Dienstleistungen können durch Hochwasser, Hitze, Dürre, Sturm, Pandemien, technische Fehler, menschliches Versagen, Cyberangriffe, Lieferkettenausfälle, Sabotage oder eine Kombination mehrerer Ereignisse beeinträchtigt werden.
Das BBK empfiehlt deshalb einen All-Gefahren-Ansatz. Dieser beginnt nicht mit einer Festlegung auf den wahrscheinlichsten Täter oder die nächste konkrete Schadensursache. Ausgangspunkt ist die Frage, welche Folgen ein Ausfall hätte und welche Fähigkeiten benötigt werden, um diese Folgen zu begrenzen.
Dieser Ansatz ist auch wirtschaftlich sinnvoll. Eine räumlich getrennte Leitstelle hilft bei einem Brand ebenso wie bei einem gezielten Angriff. Eine unabhängige Notstromversorgung ist bei einem Hochwasser, einem technischen Netzfehler und einem Cybervorfall gleichermaßen relevant. Alternative Kommunikationswege, verfügbare Ersatzteile, funktionierende Alarmierungsverfahren und ein eingeübter Krisenstab sind nicht an ein einzelnes Szenario gebunden.
Die Konzentration auf die jeweilige Bedrohung darf daher nicht dazu führen, dass Organisationen für jede neue Schlagzeile ein eigenes Schutzprogramm aufsetzen. Entscheidend sind Fähigkeiten, die bei unterschiedlichen Ursachen funktionieren.
Vollständiger Schutz bleibt ausgeschlossen
Eine moderne Gesellschaft kann ihre gesamte kritische Infrastruktur nicht unangreifbar machen. Dafür gibt es mehrere Gründe.
Viele Infrastrukturen erstrecken sich über große Flächen. Stromleitungen, Bahnstrecken, Pipelines, Wasserleitungen und Glasfasertrassen verlaufen über Tausende Kilometer. Mobilfunkstandorte, Pumpstationen, Kabelverteiler und technische Nebenanlagen liegen häufig außerhalb dauerhaft besetzter Betriebsgelände. Eine flächendeckende Überwachung oder Bewachung wäre weder personell noch wirtschaftlich realistisch.
Hinzu kommt, dass ein Angreifer Ort, Zeitpunkt und Vorgehensweise auswählen kann. Betreiber und Sicherheitsbehörden müssten dagegen eine Vielzahl möglicher Ziele und Angriffsmethoden gleichzeitig berücksichtigen. Selbst umfangreiche Schutzmaßnahmen können umgangen, kombiniert oder auf bislang wenig beachtete Abhängigkeiten verlagert werden.
Auch technische Redundanz beseitigt dieses Problem nicht vollständig. Zwei Systeme erhöhen die Verfügbarkeit nur, wenn sie nicht dieselben Ausfallursachen teilen. Zwei Leitungen können über dieselbe Trasse verlaufen. Zwei Rechenzentren können von derselben Stromzuführung, Telekommunikationsverbindung oder Identitätsplattform abhängen. Ein Ersatzstandort kann dieselben Dienstleister und dasselbe Personal benötigen wie der Hauptstandort.
Der Gesetzgeber verlangt daher keine absolute Sicherheit. Das KRITIS-Dachgesetz sieht angemessene und verhältnismäßige technische, organisatorische und sicherheitsbezogene Maßnahmen vor. Aufwand, Risiko und wirtschaftliche Leistungsfähigkeit des Betreibers müssen gegeneinander abgewogen werden. Gleichzeitig umfasst die gesetzliche Definition von Resilienz weit mehr als Prävention: Sie reicht vom Schutz und der Abwehr über die Reaktion und Schadensbegrenzung bis zur Bewältigung und Erholung nach einem Vorfall.
Die Unmöglichkeit vollständigen Schutzes ist deshalb kein Argument für Untätigkeit. Sie ist der Ausgangspunkt einer realistischen Sicherheitspolitik. Eine solche Politik akzeptiert, dass ein Restrisiko bestehen bleibt, und bereitet Staat, Wirtschaft und Bevölkerung auf den Umgang damit vor.
Versorgungssicherheit ist eine Frage der Leistungsfähigkeit
Bei der Sicherheitsplanung steht häufig die Anlage im Mittelpunkt: Ist der Standort geschützt? Gibt es eine zweite Leitung? Ist ein Notstromaggregat vorhanden? Diese Fragen sind notwendig, reichen für eine belastbare Bewertung aber nicht aus.
Versorgungssicherheit muss anhand der erbrachten Leistung bewertet werden. Für jede kritische Dienstleistung sollten deshalb mindestens vier Größen geklärt sein:
- Welche Mindestleistung muss auch während einer schweren Störung aufrechterhalten werden?
- Wie lange kann der Betrieb ohne externe Unterstützung fortgeführt werden?
- Welche Personengruppen, Einrichtungen oder Regionen müssen vorrangig versorgt werden?
- Innerhalb welcher Zeit muss eine ausgefallene Leistung wieder verfügbar sein?
Für ein Krankenhaus kann die Mindestleistung bedeuten, Notaufnahme, Intensivmedizin, Operationsbereitschaft und lebenswichtige Diagnostik aufrechtzuerhalten, während weniger dringliche Leistungen zeitweise entfallen. Bei der Wasserversorgung kann eine reduzierte Abgabemenge ausreichen, solange Trinkwasser in hygienisch einwandfreier Qualität verfügbar bleibt. Eine Verwaltung muss möglicherweise nicht alle Dienstleistungen anbieten, wohl aber Gefahrenabwehr, Sozialleistungen, Meldewesen, Krisenkommunikation und bestimmte hoheitliche Entscheidungen sicherstellen.
Damit verändert sich auch die Bewertung von Redundanz. Ein vorhandenes Ersatzsystem ist nur dann relevant, wenn es die notwendige Mindestleistung tatsächlich übernehmen kann. Ein Notstromaggregat, das lediglich einen kleinen Teil der technischen Anlagen versorgt, schafft keine vollständige Betriebsfähigkeit. Ein zweites Rechenzentrum kann nutzlos sein, wenn die Mitarbeitenden wegen eines ausgefallenen Identitätsdienstes keinen Zugriff auf die Anwendungen erhalten.
Das KRITIS-Dachgesetz folgt grundsätzlich dieser Logik. Betreiber sollen Vorfälle verhindern, Anlagen angemessen physisch schützen, auf Störungen reagieren, Auswirkungen begrenzen und die kritische Dienstleistung zügig wiederherstellen. Zu den ausdrücklich genannten Maßnahmen gehören Notfallvorsorge, Objektschutz, Umfeldüberwachung, Detektion, Zugangskontrollen, Krisenmanagement, Alarmabläufe, Notstromversorgung, alternative Lieferketten, Personalsicherheit, Schulungen und Übungen.
Der Wert dieser Maßnahmen zeigt sich allerdings erst unter realistischen Bedingungen. Vorhandene Dokumente und technische Komponenten belegen noch keine belastbare Versorgungssicherheit.
Die größte Verwundbarkeit liegt häufig zwischen den Organisationen
Betreiber kennen ihre eigenen Anlagen meist gut. Schwieriger wird die Bewertung bei externen Abhängigkeiten.
Das BBK weist auf Domino- und Kaskadeneffekte zwischen kritischen Infrastrukturen hin. Ein Ausfall in einem Sektor kann weitere Sektoren beeinträchtigen. Besonders bedeutsam sind Energie sowie Informationstechnik und Telekommunikation, weil nahezu alle anderen kritischen Dienstleistungen auf diese Leistungen angewiesen sind und beide Bereiche zugleich voneinander abhängen.
In der Praxis entstehen dadurch komplexe Ausfallketten. Fällt die Stromversorgung aus, können Mobilfunkstationen zunächst durch Batterien oder Netzersatzanlagen weiterlaufen. Deren Betriebsdauer ist jedoch begrenzt. Ohne Kommunikation werden technische Störungen schwieriger zu koordinieren. Tankstellen benötigen wiederum Strom für Pumpen und Kassensysteme. Ohne Kraftstoff können Notstromanlagen, Einsatzfahrzeuge und Reparaturteams nicht dauerhaft betrieben werden.
Auch digitale Konzentrationsrisiken gewinnen an Bedeutung. Verschiedene Unternehmen können scheinbar unabhängige Systeme betreiben und trotzdem denselben Cloudanbieter, Telekommunikationsdienstleister, Softwarehersteller oder IT-Service-Provider nutzen. Ein Ausfall bei diesem Dienstleister kann mehrere Sektoren gleichzeitig treffen.
Ähnliche Risiken bestehen beim Personal. Kritische Dienstleistungen hängen häufig von wenigen Spezialisten ab. Eine Pandemie, ein regionales Extremwetterereignis, unterbrochene Verkehrswege oder der Ausfall von Betreuungseinrichtungen können dazu führen, dass technisch intakte Anlagen nicht mehr ausreichend besetzt werden können.
Solche Zusammenhänge werden in klassischen, organisationsbezogenen Risikoanalysen leicht unterschätzt. Das BBK empfiehlt daher ein integriertes Risikomanagement, bei dem Betreiber, Kommunen, Gefahrenabwehrbehörden und weitere relevante Stellen ihre Perspektiven zusammenführen. Nach Einschätzung des BBK erfolgt diese Zusammenarbeit bislang vielerorts noch zu zögerlich.
Tatsächliche Sicherheit und Sicherheitsgefühl
Die Bevölkerung kann die technische Widerstandsfähigkeit kritischer Infrastruktur kaum selbst beurteilen. Kaum jemand weiß, wie lange das örtliche Wasserwerk ohne externe Stromversorgung arbeiten kann, welche alternativen Kommunikationswege einer Leitstelle zur Verfügung stehen oder wie schnell ein beschädigter Transformator ersetzt werden könnte.
Menschen bewerten die Lage daher anhand sichtbarer und verständlicher Signale: Funktionieren Strom, Wasser und Mobilfunk? Sind Behörden erreichbar? Gibt es eindeutige Warnungen? Werden widersprüchliche Informationen korrigiert? Ist erkennbar, wer die Verantwortung trägt? Werden angekündigte Maßnahmen tatsächlich umgesetzt?
Das Sicherheitsgefühl ist deshalb keine nebensächliche Kommunikationsfrage. Es beeinflusst, ob Menschen behördlichen Empfehlungen folgen, Informationen aus offiziellen Quellen nutzen und die Grenzen staatlicher Hilfe realistisch einschätzen.
Dabei sollte es nicht um bloße Beruhigung gehen. Ein tragfähiges Sicherheitsgefühl entsteht durch begründetes Vertrauen. Die Bevölkerung muss erfahren, welche Vorsorge getroffen wurde, welche Einschränkungen möglich sind, was der Staat leisten kann und wo persönliche Vorbereitung notwendig bleibt.
Das BBK unterscheidet dabei zwischen Risikokommunikation und Krisenkommunikation. Risikokommunikation findet bereits vor einem konkreten Ereignis statt. Sie vermittelt Gefahren, Schutzmöglichkeiten und Handlungskompetenz. Krisenkommunikation beginnt mit dem Ereignis und muss aktuell, verständlich und handlungsorientiert informieren. Das BMI betont, dass Bevölkerung und Medien umfassend, wahrheitsgemäß und widerspruchsfrei informiert werden müssen, um Vertrauen in die getroffenen Maßnahmen zu erhalten.
Während einer Störung sollten öffentliche Informationen deshalb regelmäßig mindestens folgende Punkte beantworten: Was ist geschehen? Welche Leistungen sind betroffen? Welche Bereiche funktionieren weiterhin? Welche Maßnahmen laufen? Was sollen die Menschen konkret tun? Welche Informationen sind noch unsicher? Wann folgt die nächste Aktualisierung?
Auch die Wiederholung solcher Abläufe schafft Vertrauen. Die Auswertung des Bundesweiten Warntags 2025 zeigte in einer großen offenen Onlinebefragung, dass die Kombination aus Cell Broadcast, Warn-Apps und Sirenen einen hohen Anteil der Teilnehmenden erreichte. Knapp drei Viertel gaben an, der gute Verlauf habe gezeigt, dass man sich auf das Warnsystem verlassen könne. Die Erhebung ist wegen der freiwilligen Teilnahme keine repräsentative Messung der Gesamtbevölkerung, sie zeigt aber, dass sichtbare und wiederkehrende Tests das Vertrauen in staatliche Fähigkeiten stärken können.
Gefühlte Sicherheit darf allerdings nicht durch sogenannte Sicherheitstheater-Maßnahmen erzeugt werden. Eine sichtbare Polizeistreife oder zusätzliche Kamera kann sinnvoll sein. Für die tatsächliche Versorgungssicherheit können ein getestetes Notstromsystem, ein verfügbarer Ersatztransformator oder eine unabhängige Kommunikationsverbindung erheblich wichtiger sein. Gute Kommunikation muss daher erklären, dass Resilienz häufig aus Maßnahmen besteht, die im Alltag nicht sichtbar sind.
Was der Staat leisten muss
Der Staat trägt die Verantwortung für den rechtlichen Rahmen, die Gefahrenabwehr, die nachrichtendienstliche Aufklärung, den Bevölkerungsschutz und die Koordination über Sektoren und föderale Ebenen hinweg. Betreiber können ihre Anlagen sichern. Sie können jedoch keine hoheitliche Sabotageabwehr, Terrorismusbekämpfung oder Strafverfolgung übernehmen.
Eine der wichtigsten staatlichen Aufgaben besteht darin, verbindliche Schutzziele für kritische Dienstleistungen zu definieren. Dabei sollte es nicht nur um technische Mindeststandards gehen. Benötigt werden sektorbezogene Vorgaben zu Mindestversorgung, Durchhaltefähigkeit und Wiederherstellungszeiten. Krankenhäuser, Wasserwerke, Energieversorger, Telekommunikationsunternehmen und Behörden haben unterschiedliche Anforderungen. Dennoch muss nachvollziehbar sein, welche Leistung die Gesellschaft selbst unter schwierigen Bedingungen erwarten kann.
Zweitens braucht Deutschland ein geschütztes, sektorenübergreifendes Bild der Abhängigkeiten. Bund, Länder und Kommunen müssen wissen, welche Knotenpunkte für mehrere Sektoren gleichzeitig bedeutsam sind, wo gemeinsame Ausfallursachen bestehen und welche Komponenten besonders lange Wiederbeschaffungszeiten haben. Die dafür benötigten Informationen dürfen aus Sicherheitsgründen nicht öffentlich zugänglich sein. Sie müssen jedoch denjenigen Behörden und Betreibern zur Verfügung stehen, die Schutzmaßnahmen priorisieren oder eine Wiederherstellung koordinieren.
Drittens sollte der physische Schutz stärker nach Kritikalität gestaffelt werden. Nicht jedes Umspannwerk, Wasserwerk oder Rechenzentrum benötigt dasselbe Schutzniveau. Anlagen mit besonders großer Versorgungswirkung oder schwer ersetzbaren Komponenten verdienen intensivere Überwachung, bauliche Härtung und vorbereitete polizeiliche Intervention. Bei weit verteilten Infrastrukturen müssen Detektion, schnelle Alarmierung und Reparaturfähigkeit einen größeren Stellenwert erhalten, weil eine vollständige Abschirmung nicht erreichbar ist.
Viertens gehören strategische Reserven zur staatlichen Vorsorge. Mobile Stromerzeuger, Trinkwasseraufbereitung, Kommunikationsmittel, Spezialfahrzeuge, medizinische Reserven und bestimmte technische Ersatzkomponenten können nicht erst nach Eintritt einer Krise beschafft werden. Ihre Standorte, Transportwege, Bedienmannschaften und Einsatzprioritäten müssen vorher feststehen.
Der im Mai 2026 vom Bundeskabinett beschlossene Pakt für den Bevölkerungsschutz setzt hierfür wichtige Schwerpunkte. Vorgesehen sind bis 2029 Investitionen von insgesamt zehn Milliarden Euro, ein gemeinsames digitales Lagebild für den Bevölkerungsschutz, stärkere Warn- und Kommunikationssysteme, resiliente THW-Standorte, Logistikzentren sowie Verbesserungen bei Trinkwasser- und Notstromversorgung. Auch die Vermittlung von Zivilschutzwissen in Schulen soll ausgebaut werden.
Die Wirkung solcher Programme entscheidet sich allerdings vor Ort. Kommunen benötigen funktionsfähige Krisenstäbe, vorbereitete Anlaufstellen für die Bevölkerung, unabhängige Kommunikationsmöglichkeiten und ein aktuelles Bild ihrer örtlichen Versorgungsabhängigkeiten. Besondere Aufmerksamkeit verdienen Pflegeeinrichtungen, Krankenhäuser, Menschen mit stromabhängigen medizinischen Hilfsmitteln, Personen ohne eigene Mobilität sowie Haushalte, die finanziell oder räumlich kaum vorsorgen können.
Beim gesetzlichen Rahmen besteht weiterhin Umsetzungsbedarf. Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Zentrale Rechtsverordnungen zur Bestimmung kritischer Anlagen sowie weitere Konkretisierungen befinden sich nach Angaben des BBK jedoch noch in Erarbeitung und Abstimmung. Viele Betreiberpflichten werden erst nach der entsprechenden Registrierung wirksam.
Die Regulierung muss nun so umgesetzt werden, dass betriebliche Fähigkeiten entstehen. Zusätzliche Formulare, Risikoanalysen und Resilienzpläne haben nur dann einen Sicherheitswert, wenn daraus finanzierte Maßnahmen, verfügbare Ressourcen und nachgewiesene Wiederherstellungsfähigkeiten folgen.
Was Unternehmen leisten müssen
Unternehmen tragen die operative Verantwortung für ihre kritischen Dienstleistungen. Das gilt nicht nur für formal regulierte KRITIS-Betreiber. Auch Zulieferer, IT-Dienstleister, Logistikunternehmen, Gebäudedienstleister und Hersteller spezialisierter Komponenten können für die Versorgung eine erhebliche Bedeutung haben.
Die Geschäftsleitung muss zunächst wissen, welche Leistungen des eigenen Unternehmens tatsächlich zeitkritisch sind. Eine vollständige Liste aller Prozesse hilft dabei wenig. Erforderlich ist eine Priorisierung: Welche Produkte, Dienstleistungen und Funktionen müssen unter allen Umständen weiterlaufen? Welche Mindestkapazität wird benötigt? Wie lange kann eine Unterbrechung toleriert werden? Welche Kunden, Standorte oder gesellschaftlichen Funktionen wären betroffen?
Anschließend müssen die Abhängigkeiten dieser Leistungen untersucht werden. Dazu gehören nicht nur IT-Systeme und Maschinen, sondern auch Strom, Wasser, Kommunikation, Personal, Gebäude, Cloud-Dienste, Identitätsplattformen, Lieferanten, Ersatzteile, Logistik, Kraftstoff und externe Spezialisten.
Besondere Aufmerksamkeit verdienen vermeintliche Redundanzen. Ein zweites System erhöht die Widerstandsfähigkeit nur, wenn es auch bei Ausfall des Hauptsystems nutzbar bleibt. Das muss technisch und organisatorisch überprüft werden. Gemeinsame Leitungswege, zentrale Authentifizierungsdienste, identische Softwarekomponenten und dieselben Dienstleister können dazu führen, dass Haupt- und Ersatzlösung gleichzeitig ausfallen.
Physische Sicherheit, Cybersecurity, OT-Security, Business Continuity Management und Krisenmanagement sollten dafür nicht als getrennte Disziplinen nebeneinanderstehen. Ein moderner Vorfall kann mehrere Ebenen gleichzeitig betreffen. Ein physischer Schaden kann die Telekommunikation unterbrechen, ein Cyberangriff kann die technische Reaktion behindern und ein kompromittierter Dienstleister kann sowohl digitale als auch physische Zugänge besitzen.
Auf der Cyberseite gelten seit dem 6. Dezember 2025 für rund 29.500 Unternehmen neue Pflichten aus dem NIS-2-Umsetzungsgesetz. Dazu gehören Registrierung, Meldung erheblicher Sicherheitsvorfälle sowie die Umsetzung und Dokumentation von Risikomanagementmaßnahmen. Das BSI nennt unter anderem Incident Response, Business Continuity, Wiederherstellung, Lieferkettensicherheit, Zugriffskontrollen, Schulungen und gesicherte Notfallkommunikation.
Die technische und organisatorische Vorsorge muss praktisch getestet werden. Dazu gehören Umschaltungen auf Ersatzsysteme, Wiederherstellung aus gesicherten Datenbeständen, der Betrieb unter Notstrom, der Wechsel auf alternative Kommunikationswege und die Arbeit eines Krisenstabs außerhalb der regulären Geschäftszeiten. Auch Lieferanten und Dienstleister sollten in solche Übungen einbezogen werden.
Ein Plan, der nur unter normalen Arbeitsbedingungen funktioniert, bietet in einer schweren Lage wenig Schutz. Unternehmen sollten deshalb bewusst Annahmen überprüfen: Was geschieht, wenn Mobilfunk und Unternehmens-IT gleichzeitig nicht verfügbar sind? Wie lange kann der Betrieb ohne Nachlieferung von Kraftstoff fortgesetzt werden? Wer entscheidet, wenn mehrere Führungskräfte nicht erreichbar sind? Können kritische Prozesse manuell oder mit reduzierter Leistung weitergeführt werden?
Schließlich gehört auch die Kommunikation zur betrieblichen Resilienz. Beschäftigte, Kunden, Behörden und Partner benötigen verlässliche Informationen. Unternehmen sollten frühzeitig festlegen, wer sprechen darf, welche Kommunikationswege unabhängig verfügbar sind und wie mit noch ungeklärten Sachverhalten umgegangen wird. Schweigen schützt in einer sichtbaren Krise selten die Reputation. Eine sachliche Kommunikation über bekannte Fakten, laufende Maßnahmen und bestehende Unsicherheiten ist meist belastbarer.
Was die Bevölkerung leisten kann
Die Bevölkerung kann kritische Infrastruktur weder ersetzen noch größere Versorgungsausfälle selbst bewältigen. Persönliche Vorsorge schafft jedoch Zeit und entlastet Einsatzkräfte in der ersten Phase einer Krise.
Das BBK empfiehlt, Haushalte möglichst auf eine eigenständige Versorgung über zehn Tage vorzubereiten. Auch ein Vorrat für mindestens drei Tage wird ausdrücklich als sinnvoller erster Schritt bezeichnet. Die Empfehlungen sind keine starre Vorgabe und müssen an Haushaltsgröße, gesundheitliche Bedürfnisse, verfügbare Lagerfläche und finanzielle Möglichkeiten angepasst werden.
Zur Grundvorsorge gehören insbesondere Trinkwasser, haltbare Lebensmittel, regelmäßig benötigte Medikamente, eine geladene Powerbank, Taschenlampen, eine stromunabhängige Informationsmöglichkeit, wichtige Telefonnummern auf Papier und ein angemessener Bargeldbestand. Das BBK weist darauf hin, dass bei einem Stromausfall auch Geldautomaten, Internet, Mobilfunk, Heizung und teilweise die Wasserversorgung beeinträchtigt sein können.
Mindestens ebenso wichtig ist eine einfache familiäre Notfallplanung. Angehörige sollten wissen, wie sie sich bei ausgefallener Kommunikation verhalten, wo sie sich treffen und wer sich um Kinder, ältere Menschen oder pflegebedürftige Personen kümmert. Erste-Hilfe-Kenntnisse, der Umgang mit Feuerlöschern und ein funktionierender Rauch- oder Kohlenmonoxidmelder sind im Alltag ebenso nützlich wie in einer größeren Krise.
Die Bevölkerung kann außerdem zur Informationssicherheit beitragen. Warn-Apps, Cell Broadcast, lokale Behördeninformationen und öffentlich-rechtlicher Rundfunk sollten Vorrang vor ungeprüften Meldungen in sozialen Netzwerken haben. Nicht bestätigte Hinweise auf Anschläge, Täter oder angeblich bevorstehende Ausfälle können die Lage zusätzlich belasten. Verdächtige Beobachtungen an technischen Anlagen sollten der Polizei oder dem Betreiber gemeldet werden, ohne Gegenstände zu berühren, Anlagen zu betreten oder selbst Ermittlungen anzustellen.
Nachbarschaftliche Unterstützung ist ebenfalls ein wichtiger Teil der Vorsorge. Nicht jeder Haushalt kann Lebensmittel, Wasser und Technik für mehrere Tage lagern. Manche Menschen sind auf Medikamente, Pflege, elektrische Hilfsmittel oder regelmäßige Unterstützung angewiesen. Ein funktionierendes soziales Umfeld kann solche Unterschiede zumindest teilweise ausgleichen.
Dabei darf Eigenvorsorge nicht als Rückzug des Staates aus seiner Verantwortung verstanden werden. Sie überbrückt die Zeit, bis organisierte Hilfe verfügbar ist, und ermöglicht es Einsatzkräften, sich zunächst auf Menschen zu konzentrieren, die sich nicht selbst helfen können.
Eine Studie von BBK und Bundeskanzleramt zeigt allerdings, dass die Rollenverteilung noch nicht ausreichend geklärt ist. In der Befragung aus den Jahren 2024 und 2025 sahen 61 Prozent der Teilnehmenden den Staat als Hauptakteur bei der Bewältigung von Katastrophen, während rund 46 Prozent eine eigene Verantwortung für die Vorsorge anerkannten. Etwa die Hälfte hatte bereits bestimmte Maßnahmen getroffen. Als Hindernisse wurden unter anderem Zeitmangel und fehlender Platz genannt.
Eine wirksame Vorsorgestrategie muss diese Lebensrealitäten berücksichtigen. Appelle allein reichen nicht. Informationen sollten verständlich, praktisch und in mehreren Sprachen zugänglich sein. Kommunen können gemeinschaftliche Lösungen fördern, etwa lokale Anlaufstellen, Leih- oder Poolkonzepte für bestimmte Ausrüstung und Unterstützungsnetzwerke für besonders gefährdete Menschen.
Eine realistische Arbeitsteilung
Versorgungssicherheit ist eine Gemeinschaftsleistung, die klare Verantwortlichkeiten voraussetzt.
Der Staat muss Risiken bewerten, Schutzstandards setzen, Bedrohungen erkennen, Gefahren abwehren und die Hilfe für die Bevölkerung organisieren. Er muss zugleich ehrlich benennen, dass seine Kräfte bei einer großflächigen Lage nicht überall gleichzeitig verfügbar sein können.
Unternehmen müssen ihre kritischen Leistungen kennen, Abhängigkeiten reduzieren, angemessene Schutzmaßnahmen umsetzen und den Betrieb auch unter erschwerten Bedingungen vorbereiten. Dafür braucht es mehr als regulatorische Compliance. Entscheidend sind getestete technische und organisatorische Fähigkeiten.
Die Bevölkerung benötigt ein Grundwissen über Warnung, Selbstschutz und gegenseitige Hilfe. Persönliche Vorsorge macht den Staat nicht überflüssig. Sie erhöht aber die gesamtgesellschaftliche Durchhaltefähigkeit und verringert die Zahl der Menschen, die in den ersten Stunden einer Störung unmittelbar auf externe Hilfe angewiesen sind.
Diese Arbeitsteilung sollte offen kommuniziert werden. Ein Staat, der vollständige Sicherheit verspricht, wird an diesem Versprechen scheitern. Ein Staat, der lediglich auf Eigenverantwortung verweist, wird seiner Aufgabe ebenfalls nicht gerecht. Glaubwürdig ist ein Sicherheitsversprechen, das Leistungsfähigkeit, Grenzen und Erwartungen transparent macht.
Vollständiger Schutz bleibt unerreichbar
Die jüngsten Sabotagefälle haben eine reale Verwundbarkeit offengelegt. Sie dürfen jedoch nicht zu der Annahme führen, kritische Infrastruktur sei grundsätzlich ungeschützt oder größere Versorgungsausfälle seien zwangsläufig.
Deutschland verfügt über leistungsfähige Netze, technische Sicherungssysteme, erfahrene Betreiber, Gefahrenabwehrbehörden und eine breite ehrenamtliche Struktur im Bevölkerungsschutz. Gleichzeitig bestehen Lücken bei sektorübergreifenden Abhängigkeiten, Wiederherstellungsressourcen, lokaler Vorsorge, Kommunikation und der praktischen Umsetzung neuer gesetzlicher Anforderungen.
Vollständiger Schutz bleibt unerreichbar. Ein realistisches Sicherheitskonzept verbindet deshalb Prävention, physischen Schutz, Cyber- und OT-Sicherheit, unabhängige Ausweichmöglichkeiten, Krisenorganisation, persönliche Vorsorge und schnelle Wiederherstellung.
Der Maßstab für Versorgungssicherheit ist die Funktionsfähigkeit der kritischen Dienstleistungen unter Belastung. Hinzu kommt ein begründetes Vertrauen der Bevölkerung: das Wissen, dass Staat und Betreiber vorbereitet sind, dass Einschränkungen offen kommuniziert werden und dass jeder Mensch einen überschaubaren eigenen Beitrag zur Bewältigung leisten kann.
Stand: 4. September 2026
