Für die Unternehmen begann damit eine aufwendige Wiederherstellung. Lebensmittel mussten bewertet und entsorgt, Anlagen überprüft und Ersatzlieferungen organisiert werden. Selbst nach dem Schließen eines digitalen Zugangs bleibt verdorbene Ware verloren. Und solange die Kühlung nicht nachweislich zuverlässig arbeitet, darf die nächste Lieferung nicht einfach wieder eingeräumt werden.

Die große Zahl betroffener Standorte macht den Vorfall auch außerhalb des Lebensmittelhandels relevant. Wo viele Unternehmen dieselben spezialisierten Steuerungen einsetzen, können sie trotz unterschiedlicher Eigentümer, Standorte und Dienstleister von derselben Schwachstelle abhängen. Das betrifft den Schutz einzelner Betriebe ebenso wie die Versorgung einer ganzen Region.

Viele Standorte, eine gemeinsame Angriffsfläche

Das französische CERT-FR bestätigte am 12. Oktober zahlreiche kompromittierte Geräte der Danfoss-Serien AK-SM und AK-SC. Danfoss erklärte gegenüber dem Branchenmedium Cooling Post, überwiegend seien ältere, nicht mehr unterstützte Produkte sowie aktuelle Systeme mit veralteter Firmware betroffen gewesen. Für Teile der Produktfamilie hatte der Hersteller bereits 2025 Sicherheitshinweise veröffentlicht.

Die genaue Angriffskette ist damit noch nicht abschließend geklärt. Insbesondere darf aus einer bekannten Schwachstelle nicht ohne Weiteres geschlossen werden, dass sie bei sämtlichen betroffenen Anlagen ausgenutzt wurde. Ebenso wenig ist durch die bisherigen Veröffentlichungen belegt, dass eine zentrale Herstellerplattform kompromittiert worden wäre.

Für die Vorsorge ist diese Unterscheidung wichtig. Ein gleichzeitiger Ausfall vieler Standorte setzt keine Verbindung zwischen deren Netzen voraus. Angreifer können auch zahlreiche voneinander getrennte Geräte erreichen, wenn diese dieselbe verwundbare Software nutzen und jeweils von außen zugänglich sind. Die Trennung der Filialnetze schützt dann zwar gegen eine Ausbreitung von Standort zu Standort, beseitigt aber nicht die gemeinsame Schwachstelle.

Eine Reserveanlage oder ein Ausweichlager muss deshalb auf mehr als seine räumliche Entfernung geprüft werden. Nutzt es dieselbe Steuerung, denselben administrativen Zugang oder denselben externen Managementdienst, könnte es unter denselben Bedingungen ausfallen wie der Hauptstandort. Diese Abhängigkeit gehört in die Notfallplanung, bevor freie Ersatzkapazität zugesagt wird.

Zuerst die tatsächlichen Zugänge finden

Eine Bestandsaufnahme sollte bei der betrieblichen Funktion beginnen. Welche Anlagen halten die Ware innerhalb der zulässigen Temperaturgrenzen? Welche Steuerungen, Netze und externen Dienste benötigen sie? Wer kann ihre Einstellungen verändern?

Dazu gehören auch Verbindungen, die außerhalb der zentralen IT eingerichtet wurden. Ein Mobilfunkrouter des Wartungsunternehmens kann eine Anlage erreichbar machen, obwohl das Filialnetz sorgfältig abgesichert ist. Dasselbe gilt für dauerhaft aktive Fernwartungssoftware oder zusätzliche Herstellerzugänge. Die Sicherheitsbewertung muss diese Wege vollständig erfassen.

Für jedes kritische System sollten Gerätetyp, Firmwarestand, Supportende, verantwortliche Stelle und sämtliche Fernzugänge bekannt sein. Ebenso braucht es eine verbindliche Zuständigkeit für Sicherheitsmeldungen: Jemand muss Herstellerwarnungen entgegennehmen, ihre Relevanz bewerten und die Umsetzung notwendiger Änderungen verfolgen. Ein Wartungsvertrag allein belegt noch nicht, dass diese Aufgaben tatsächlich erledigt werden.

Öffentlich erreichbare Verwaltungsoberflächen sollten geschlossen werden. Notwendige Fernwartung gehört hinter eine kontrollierte Zugangslösung mit personenbezogenen Konten, Mehrfaktorauthentifizierung und begrenzten Berechtigungen. Ein Techniker, der eine bestimmte Anlage wartet, benötigt dafür keinen dauerhaften Zugriff auf alle Standorte. Freigaben sollten möglichst zeitlich begrenzt und nachvollziehbar sein.

Auch zwischen Beobachten und Steuern ist zu unterscheiden. Ein Dienst, der Energieverbrauch und Temperaturen auswertet, braucht nicht zwangsläufig Schreibrechte auf die Anlage. Werden solche Rechte nur aus Bequemlichkeit mitgeführt, vergrößert sich der mögliche Schaden eines kompromittierten Zugangs.

Die Aktualisierung der Steuerungen muss parallel erfolgen. Bei unterstützten Produkten sind Sicherheitskorrekturen nach betrieblicher Prüfung einzuspielen. Nicht mehr unterstützte Systeme benötigen eine verbindliche Entscheidung über Austausch oder einen zeitlich begrenzten, zusätzlich abgesicherten Weiterbetrieb. Unbegrenztes Verschieben mit dem Hinweis, die Anlage funktioniere noch, lässt das digitale Risiko unverändert bestehen.

Updates sollten allerdings auch nicht ungeprüft gleichzeitig auf sämtlichen Standorten installiert werden. Ein gestaffeltes Vorgehen mit Testanlage, gesicherter Konfiguration und Wiederherstellungsverfahren begrenzt zusätzliche Betriebsrisiken. Bei akuter Gefährdung kann die Einschränkung externer Zugänge die notwendige Zeit dafür schaffen.

Gefährliche Betriebszustände müssen begrenzt werden

Der Angriff auf die Kühlanlagen wirft eine Frage auf, die über Zugangsschutz hinausgeht: Welche Folgen kann ein einzelner berechtigter oder unberechtigter Steuerbefehl überhaupt auslösen?

Für kritische Prozesse sollte mit dem Anlagenhersteller geprüft werden, welche Betriebsgrenzen technisch durchsetzbar sind. Dazu können zulässige Wertebereiche, maximale Laufzeiten bestimmter Funktionen und Plausibilitätsprüfungen gehören. Besonders folgenreiche Änderungen lassen sich gegebenenfalls an zusätzliche Freigaben oder eine Bestätigung vor Ort binden.

Solche Begrenzungen helfen allerdings wenig, wenn derselbe Fernzugang sowohl den Betriebsparameter als auch seine Schutzgrenze verändern kann. Je höher das Schadenspotenzial, desto wichtiger wird eine ausreichend unabhängige Schutzfunktion. Ihre Auslegung muss zur Anlage passen und darf bestehende Sicherheitsfunktionen nicht beeinträchtigen. Änderungen an der Regelung oder an Abschaltbedingungen gehören in die Hände qualifizierter Fachleute und müssen geprüft werden.

Ähnliches gilt für die Überwachung. Eine Steuerung kann erreichbar sein und formal fehlerfrei arbeiten, während ihre Einstellungen den Warenbestand gefährden. Deshalb sollten Veränderungen an Sollwerten, Abtauzeiten, Betriebsarten und Alarmkonfigurationen erkannt werden. Auffällig wäre beispielsweise eine nicht freigegebene Änderung außerhalb eines Wartungsfensters oder dieselbe ungewöhnliche Änderung an vielen Standorten.

Für besonders kritische Kühlbereiche ist eine unabhängig abgesicherte Temperaturüberwachung zu prüfen. Kann ein Angreifer Regelung und Alarmierung über denselben Zugang beeinflussen, besteht eine gemeinsame Manipulationsmöglichkeit. Eine getrennte Messung mit eigenem Meldeweg kann sie reduzieren. Auch ein Ausbleiben erwarteter Messwerte sollte auffallen.

Die Alarmkette endet dabei nicht auf einem Bildschirm. Es muss feststehen, wer eine Meldung annimmt, den Standort betreten kann und wirksame Maßnahmen veranlassen darf. Eine technisch korrekt versandte Nachricht schützt keine Ware, wenn sie nachts niemand liest.

Die verfügbare Reaktionszeit bestimmt den Notfallplan

Wie viel Zeit bleibt zwischen einer Manipulation und einem nicht mehr vertretbaren Schaden? Diese Frage muss für den konkreten Prozess beantwortet werden.

Bei Kühlanlagen hängt die Bewertung unter anderem von der Ware, der Temperaturentwicklung und dem tatsächlichen Betriebszustand ab. Eine ausgefallene Kühlung und eine aktiv Wärme einbringende Abtaufunktion sind unterschiedliche Szenarien. Erfahrungswerte aus Stromausfällen dürfen deshalb nicht ungeprüft übernommen werden.

Die Business-Impact-Analyse sollte daraus Anforderungen an Wiederanlaufzeit und Notbetrieb ableiten. Das verfügbare Zeitfenster muss für die gesamte Reaktionskette ausreichen: Erkennung, Alarmierung, Entscheidung, Anfahrt und Eingriff. Die vertraglich zugesagte Rückmeldung eines Dienstleisters ist nur ein Teil davon. Für den Warenbestand zählt, wann die Temperaturführung wieder beherrscht wird oder eine sichere Umlagerung abgeschlossen ist.

Unternehmen sollten einen eingeschränkten lokalen Betrieb vorbereiten, soweit dieser technisch und personell möglich ist. Dazu gehören dokumentierte Verfahren, geschulte Beschäftigte, verfügbare Werkzeuge und die erforderlichen Berechtigungen. „Dann schalten wir auf Handbetrieb“ ist keine belastbare Lösung, wenn vor Ort niemand weiß, wie das geht, oder die Anlage dafür gar nicht ausgelegt ist.

Auch das Trennen externer Verbindungen muss erprobt werden. Eine Netztrennung kann weitere Zugriffe unterbinden, stellt aber bereits manipulierte Parameter nicht automatisch zurück. Außerdem können mit der Verbindung Überwachung oder andere benötigte Funktionen verloren gehen. Der Isolationsplan muss deshalb beschreiben, welche Verbindungen getrennt werden, welcher Betriebszustand danach erwartet wird und wie dieser überprüft wird.

Für die Wiederherstellung werden vertrauenswürdige Konfigurationen, freigegebene Softwarestände und gegebenenfalls vorbereitete Ersatzsteuerungen benötigt. Diese Unterlagen sollten geschützt und auch dann verfügbar sein, wenn zentrale Systeme oder das Herstellerportal ausfallen. Eine Sicherungskopie ist erst dann ein belastbarer Bestandteil des Notfallplans, wenn ihre Wiederherstellung getestet wurde.

Bei mutmaßlich kompromittierten Danfoss-Geräten empfiehlt CERT-FR unter anderem ein Zurücksetzen, verfügbare Sicherheitskorrekturen, den Wechsel von Zugangsdaten sowie die Kontrolle vorhandener Konten und eine vollständige Neukonfiguration. Solche Eingriffe müssen mit dem sicheren Anlagenbetrieb und, soweit ohne zusätzliche Gefährdung möglich, der Beweissicherung abgestimmt werden.

Die technische Freigabe der Anlage und die Entscheidung über die Ware sind anschließend getrennt zu treffen. Eine wieder niedrige Temperatur beweist nicht, dass die Lagerbedingungen während des Vorfalls eingehalten wurden. Unvollständige oder möglicherweise manipulierte Verlaufsdaten müssen in die fachliche Bewertung einfließen.

Wenn ein Spezialanbieter kaum ersetzbar ist

Der Vorfall rechtfertigt keine unbelegte Aussage über eine Monopolstellung von Danfoss. Die öffentlich verfügbaren Informationen erlauben keine belastbare wettbewerbsrechtliche Bewertung. Er gibt aber Anlass, sich mit einer Abhängigkeit zu beschäftigen, die in spezialisierten Anwendungen entstehen kann.

Ein Unternehmen kann faktisch an einen einzigen Anbieter gebunden sein, obwohl am Markt mehrere Hersteller existieren. Proprietäre Schnittstellen, langjährig angepasste Steuerungsprogramme, besondere Qualifikationen der Wartungsunternehmen und aufwendige Abnahmen können einen Wechsel so schwierig machen, dass kurzfristig keine realistische Alternative bleibt. Für die Notfallplanung verhält sich diese Bindung dann ähnlich wie ein Monopol.

Die Folgen zeigen sich nicht nur bei Preisen oder Lieferzeiten. Werden viele Kunden derselben Plattform gleichzeitig getroffen, benötigen sie zur selben Zeit Updates, Ersatzgeräte und Spezialisten. Ein Dienstleister kann seine zugesagte Unterstützung möglicherweise im normalen Störungsbetrieb leisten, aber nicht bei einem flächigen Ereignis. Diese Leistungsgrenze sollte vorab geklärt werden.

Dabei ist Standardisierung keineswegs grundsätzlich falsch. Einheitliche Technik kann Schulungen erleichtern, Ersatzteilbestände verkleinern und Konfigurationsfehler reduzieren. Eine unübersichtliche Mischung zahlreicher Produkte bringt eigene Risiken mit sich. Zusätzliche Hersteller bedeuten weitere Softwarestände, Werkzeuge und Qualifikationsanforderungen.

Sinnvoll ist deshalb eine gezielte Begrenzung gemeinsamer Abhängigkeiten. Besonders wichtige Ausweichstandorte sollten darauf geprüft werden, ob sie technisch und organisatorisch ausreichend unabhängig sind. Zwei unterschiedliche Marken reichen als Nachweis nicht aus, wenn darunter dieselbe Softwarekomponente oder derselbe Fernwartungsdienst arbeitet.

Wo ein Herstellerwechsel kaum möglich ist, gewinnt die eigene Betriebsfähigkeit an Bedeutung. Betreiber sollten vertraglich und technisch sicherstellen, dass sie auf Konfigurationen und Betriebsdaten zugreifen, Systeme sichern und wiederherstellen sowie geeignete Fachunternehmen mit Wartung und Unterstützung beauftragen können. Wiederanlaufverfahren sollten nicht unnötig von einem gerade unerreichbaren Herstellerdienst abhängen.

Neue Beschaffungen müssen diese Anforderungen berücksichtigen. Dazu gehören ein klarer Supportzeitraum, rechtzeitige Informationen über das Supportende, verfügbare Sicherheitsupdates und dokumentierte Schnittstellen. Die gemeinsame Behördenempfehlung Secure by Demand, an der unter anderem CISA und BSI beteiligt waren, betont ausdrücklich offene Standards und die Handlungsfähigkeit der Betreiber gegenüber dem Hersteller.

Diese Eigenschaften sollten bei der Abnahme praktisch geprüft werden. Der Anbieter kann beispielsweise demonstrieren, wie eine Konfiguration exportiert, ein Gerät wiederhergestellt und der lokale Betrieb ohne externe Verbindung aufrechterhalten wird. Dabei wird auch sichtbar, welche Funktionen tatsächlich unabhängig verfügbar bleiben.

Dasselbe Muster in Krankenhaus, Rechenzentrum und Wasserversorgung

Die folgenden Übertragungen sind Planungsszenarien, keine Behauptung weiterer Vorfälle im Zusammenhang mit dem Angriff in Frankreich. Sie verdeutlichen, wie ähnliche digitale Abhängigkeiten in anderen Bereichen wirken könnten.

Bei einem pharmazeutischen Lager oder einer Krankenhausapotheke könnte eine manipulierte Kühlsteuerung temperaturempfindliche Bestände betreffen. Ein Ausfall würde dann über den Warenwert hinausreichen: Bei unklaren Lagerbedingungen müsste die Verwendbarkeit fachlich bewertet werden; bestimmte Produkte könnten vorübergehend fehlen. Ein geeignetes Vorsorgekonzept würde deshalb unabhängige Temperaturaufzeichnungen, fachliche Freigabeverfahren und nachweislich verfügbare alternative Lagerkapazitäten verbinden. Auch das Ersatzlager müsste auf gemeinsame Steuerungs- und Dienstleisterabhängigkeiten geprüft werden.

In einem Rechenzentrum könnte die Kühlung zum gemeinsamen Ausfallpunkt werden, obwohl Stromversorgung und IT-Systeme mehrfach vorhanden sind. Würden mehrere Kälteanlagen über dieselbe kompromittierbare Managementebene gesteuert, wäre ihre technische Redundanz möglicherweise nur eingeschränkt wirksam. Zu prüfen wären getrennte Regelungs- und Zugriffsbereiche, ein sicherer lokaler Betrieb und Verfahren zur kontrollierten Lastreduzierung. Auch bei einem zweiten Rechenzentrum müsste geklärt sein, ob vergleichbare Gebäudetechnik dieselbe Schwachstelle mitbringt.

In der Wasser- oder Wärmeversorgung wären andere Prozessgrößen betroffen: Fördermengen, Druckhaltung oder Temperaturen. Je nach Anlage könnten Manipulationen die Dienstleistung beeinträchtigen oder eine vorsorgliche Betriebsunterbrechung erforderlich machen. Die Sicherheitsplanung müsste hier besonders eng mit der Verfahrenstechnik abgestimmt werden. Unabhängige Prozessmessungen, belastbare Betriebsgrenzen und erprobte lokale Bedienung wären mögliche Bestandteile.

Dass über das Internet erreichbare Betriebstechnik in der Wasserversorgung tatsächlich angegriffen wird, beschreibt CISA in ihrer aktuellen Empfehlung zur Verringerung der Internetexposition. Die Behörde berichtet von Aktivitäten gegen mehr als 100 Einrichtungen des Wasser- und Abwassersektors im Juli 2026. Veränderte Geräteadressen und Passwörter führten unter anderem zum Verlust von Überwachungs- und Steuerungsmöglichkeiten, teilweise auch zu Betriebsstörungen.

Aus solchen Szenarien lassen sich keine pauschalen Schadensfolgen ableiten. Eine manipulierte Einstellung führt nicht zwangsläufig zu einem gefährlichen Prozesszustand; vorhandene Schutzfunktionen können eingreifen. Gerade deshalb sollte geprüft werden, welche Sicherungen unter einem gezielten Angriff noch wirksam bleiben und welche denselben digitalen Zugang nutzen.

Versorgungssicherheit hängt auch von gemeinsamen Vorleistungen ab

Die bisherigen Berichte aus Frankreich belegen erhebliche Warenverluste und Betriebsstörungen. Eine landesweite Versorgungskrise lässt sich daraus nicht ableiten. Für die Vorsorge wäre es dennoch zu kurz gegriffen, den Vorfall ausschließlich als wirtschaftlichen Schaden einzelner Händler zu behandeln.

Die Folgen eines gleichzeitigen Ausfalls hängen stark von den örtlichen Alternativen ab. In einem dicht versorgten Stadtgebiet können Kunden möglicherweise auf andere Geschäfte ausweichen. In einer ländlichen Region könnten längere Wege oder fehlende Transportmöglichkeiten den Ersatz erschweren. Pflegeeinrichtungen, Gemeinschaftsküchen und andere größere Abnehmer müssten zusätzlich prüfen, ob ihre Lieferanten weiterhin ausreichend leistungsfähig sind.

Das BBK zählt die Ernährung zu den Kritischen Infrastrukturen. Daraus folgt allerdings nicht, dass jeder Supermarkt automatisch sämtlichen gesetzlichen KRITIS-Pflichten unterliegt. Die konkrete rechtliche Erfassung hängt von den einschlägigen Vorschriften ab. Für eine betriebliche oder regionale Risikoanalyse bleiben auch kleinere Unternehmen wichtig, wenn ihre Leistungen vor Ort nur schwer ersetzt werden können.

Für die Versorgungssicherheit muss daher die gesamte Leistungskette betrachtet werden: Produktion, Lagerung, Transport, Handel und die dafür benötigte Technik. Ein spezialisierter Wartungsbetrieb oder Hersteller kann für zahlreiche versorgungsrelevante Unternehmen gleichzeitig wichtig sein, ohne selbst ein weithin sichtbarer Infrastrukturbetreiber zu sein.

Hier reicht die Betrachtung einzelner Lieferverträge nicht aus. Branchenverbände, Betreiber und zuständige Behörden sollten gemeinsame technische Abhängigkeiten in geeigneten, geschützten Austauschformaten untersuchen. Benötigt wird beispielsweise ein Verständnis dafür, wie viele kritische Leistungen von derselben Plattform abhängen und welche Ersatzkapazitäten bei einem gleichzeitigen Ausfall tatsächlich verfügbar wären. Daraus sollte kein öffentlich zugängliches Verzeichnis verwundbarer Anlagen entstehen.

Auch die gesetzlichen Anforderungen greifen diese Zusammenhänge auf. § 30 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen unter anderem Maßnahmen zur Betriebsaufrechterhaltung, zum Krisenmanagement, zur Lieferkettensicherheit und zur Wirksamkeitsprüfung. Das seit dem 17. März 2026 geltende KRITIS-Dachgesetz berücksichtigt in § 12 sektorübergreifende Abhängigkeiten und sieht in § 13 Maßnahmen zur Begrenzung von Vorfällen und zur Wiederherstellung kritischer Dienstleistungen vor. Welche Pflichten für einen konkreten Betreiber ab wann greifen, ist gesondert anhand des Anwendungsbereichs und der gesetzlichen Regelungen zu prüfen.

Für die praktische Vorsorge sollten Mindestleistungen festgelegt werden. Welche Einrichtungen müssen vorrangig beliefert werden? Welche Produkte lassen sich durch andere ersetzen? Welche Transporte und Lagerflächen sind verbindlich verfügbar? Eine Ersatzkapazität, auf die mehrere Unternehmen gleichzeitig zugreifen wollen, darf in der Planung nicht mehrfach als sicher verfügbar gelten.

Die nächste Übung sollte ohne Herstellerhilfe auskommen

Eine geeignete Krisenübung könnte mit mehreren gleichzeitigen Temperaturmeldungen beginnen. Die Fernwartung wird vorsorglich eingeschränkt, der Hersteller ist zunächst nicht erreichbar, und die Integrität der zentralen Messdaten lässt sich noch nicht bestätigen.

Damit müssten Filialbetrieb, Kältetechnik, Informationssicherheit, Qualitätssicherung und Logistik gemeinsam arbeiten. Die Übung würde zeigen, wie schnell betroffene Standorte identifiziert werden, wer lokale Maßnahmen freigibt und ob die vorgesehenen Ausweichflächen tatsächlich nutzbar sind. Auch die Priorisierung knapper Techniker- und Transportkapazitäten ließe sich erproben.

Bewertet werden sollten konkrete Ergebnisse: die Zeit bis zur Alarmannahme, bis zur sicheren Begrenzung des Vorfalls und bis zu einer belastbaren Entscheidung über Anlage und Ware. Ebenso wichtig wäre der Nachweis, dass notwendige Unterlagen, Zugänge und Ersatzteile ohne die ausgefallenen Dienste verfügbar sind.

Aus der Übung sollte ein verbindlicher Maßnahmenplan entstehen. Kurzfristig lassen sich unnötige Fernzugänge schließen, Berechtigungen begrenzen und Alarmwege prüfen. Anschließend müssen Wiederherstellungsverfahren, Ersatzkapazitäten und Dienstleistervereinbarungen belastbar gemacht werden. Nicht mehr unterstützte Steuerungen und problematische Herstellerabhängigkeiten gehören mit Budget und Termin in die Investitionsplanung.

Der Angriff auf die französischen Supermärkte liefert dafür einen konkreten Prüfauftrag: Den Weg vom ersten ungewöhnlichen Messwert bis zur erneuten Freigabe der Ware einmal vollständig durchspielen – auch nachts, an mehreren Standorten und ohne die Annahme, dass der vertraute Hersteller jederzeit helfen kann.

Quellen

Zum Angriff und zu den gemeldeten Schäden: Golem.de, „Cyberangriff trifft Tiefkühlung in Hunderten Supermärkten“, Oktober 2026. Die genannten Schadenssummen sind vorläufige Angaben aus der Berichterstattung. Golem.de

Behördliche Bestätigung und Maßnahmen für betroffene Geräte: CERT-FR/ANSSI, Sicherheitswarnung CERTFR-2026-ALE-012 vom 12. Oktober 2026 zu den Danfoss-Serien AK-SM und AK-SC. CERT-FR

Herstellerangaben zum Supportstatus: Cooling Post, „Danfoss moves to mitigate cyberattack“, 12. Oktober 2026; mit einer gegenüber der Redaktion abgegebenen Stellungnahme von Danfoss. Cooling Post

Bereits veröffentlichte Produktschwachstellen: Danfoss, Security Advisory DSA-2025-03-01, erstmals veröffentlicht am 24. März 2025, sowie die Übersicht weiterer Sicherheitshinweise. Diese Veröffentlichungen belegen nicht den konkreten Angriffsweg des aktuellen Vorfalls. Danfoss

Bestandsaufnahme und Architekturverständnis: CISA, „Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators“, sowie NCSC, „Creating and maintaining a definitive view of your OT architecture“. CISA

Fernzugänge und Internetexposition: CISA, „Internet Exposure Reduction Guidance“, einschließlich der Angaben zu Angriffen auf Einrichtungen des Wasser- und Abwassersektors im Juli 2026. CISA

Segmentierung, Überwachung und Isolation: NCSC, „Secure connectivity principles for operational technology“, insbesondere Prinzipien 6, 7 und 8. National Cyber Security Centre

Lokaler Notbetrieb und Wiederherstellung: CISA und Partnerbehörden, „Primary Mitigations to Reduce Cyber Threats to Operational Technology“, 6. Mai 2025. CISA

Herstellerabhängigkeiten und Beschaffung: Gemeinsame Behördenempfehlung „Secure by Demand: Priority Considerations for Operational Technology Owners and Operators when Selecting Digital Products“, Januar 2025, unter Beteiligung unter anderem von CISA und BSI. Cyber Security Australia

Dienstleisterrisiken und vertragliche Anforderungen: NCSC, „Understand and document third-party risks to your OT system“ sowie „The principles of supply chain security – Establish control“. National Cyber Security Centre

Business-Impact-Analyse und Wiederanlaufanforderungen: BSI, Online-Kurs Notfallmanagement, Kapitel „Wiederanlaufparameter bestimmen“. BSI

Ernährung und Versorgungssicherheit: BBK, „KRITIS-Sektor: Ernährung“. BSI

Gesetzliche Anforderungen: § 30 BSIG; KRITIS-Dachgesetz, insbesondere §§ 12 und 13; ergänzend die Informationen des BBK zum Inkrafttreten. Gesetze im Internet

Redaktionsstand: 13. Oktober 2026. Die technische Aufklärung des Angriffs und die Ermittlung des Gesamtschadens dauern an. Die Übertragungen auf andere Branchen und die daraus abgeleiteten Maßnahmen sind fachliche Bewertungen; ihre Umsetzung erfordert eine anlagen- und risikospezifische Prüfung.

Der Beitrag Über Nacht verdorben: Cyberangriff auf die Kühlkette erschien zuerst auf Vor die Lage.

An solchen Einsätzen muss sich auch die Diskussion über die Zukunft der Notfallversorgung orientieren. Bei einer Katastrophe kommen zusätzliche Verletzte und Erkrankte zu den Menschen hinzu, die ohnehin medizinische Behandlung, Medikamente oder Pflege benötigen. Gleichzeitig können Straßen unpassierbar, Arztpraxen geschlossen und Krankenhäuser nur eingeschränkt arbeitsfähig sein. Das Hilfesystem muss unter erschwerten Bedingungen mehr leisten.

Die geplante Notfallreform berührt deshalb eine Frage, die über Zuständigkeiten von Krankenkassen und Rettungsdiensten hinausgeht: Welche Versorgung steht der Bevölkerung zur Verfügung, wenn die üblichen Strukturen über Stunden, Tage oder Wochen nicht ausreichen?

Die aktuellen Warnungen kommen keineswegs allein von einer Organisation. DRK, Arbeiter-Samariter-Bund, Johanniter, Malteser und DLRG haben sich gemeinsam mit Feuerwehren und Luftrettungsorganisationen positioniert. Ihre Stellungnahmen zeigen, wie eng die tägliche Notfallversorgung und die Vorsorge für größere Schadenslagen miteinander verbunden sind.

Wie aus täglicher Versorgung Katastrophenhilfe wird

Im Alltag versorgt der Rettungsdienst Menschen mit akuten Erkrankungen oder Verletzungen. Leitstellen nehmen Hilfeersuchen entgegen, veranlassen geeignete Maßnahmen und koordinieren die verfügbaren Einsatzmittel. Krankenhäuser, Arztpraxen und der ärztliche Bereitschaftsdienst übernehmen weitere Teile der Versorgung.

Bei einem größeren Schadensereignis werden zusätzliche Kräfte benötigt. Einheiten des Sanitätsdienstes können Behandlungsplätze einrichten, Verletzte versorgen und Patiententransporte übernehmen. Der Betreuungsdienst kümmert sich insbesondere um Menschen, die ihre Wohnung verlassen mussten oder sich vorübergehend nicht selbst versorgen können. Dazu gehören Unterkunft, Verpflegung, soziale Betreuung und Unterstützung besonders hilfsbedürftiger Personen. Diese Aufgaben werden wesentlich von Hilfsorganisationen und ehrenamtlichen Einsatzkräften getragen. [2]

Der Übergang zwischen diesen Bereichen ist praktisch fließend. Eine Lage beginnt möglicherweise mit wenigen Rettungsdiensteinsätzen und entwickelt sich innerhalb kurzer Zeit zu einer Evakuierung mehrerer Straßenzüge. Aus der Versorgung einzelner Verletzter kann eine überörtliche Aufgabe werden, bei der zusätzlich Pflege, Transport, Unterbringung und Logistik organisiert werden müssen.

Fachleute sprechen von Aufwuchsfähigkeit, wenn ein System seine verfügbaren Kräfte und Leistungen bei steigendem Bedarf erweitern kann. Ebenso wichtig ist die Durchhaltefähigkeit: Die Versorgung muss auch nach dem ersten Einsatzabschnitt funktionieren, wenn Personal abgelöst, Material ersetzt und Fahrzeuge gewartet werden müssen.

Eine zusätzliche Einheit auf dem Papier reicht dafür nicht aus. Benötigt werden tatsächlich verfügbare Menschen, einsatzfähige Ausstattung, funktionierende Führungsstrukturen und eine gesicherte Versorgung der Einsatzkräfte selbst.

Was die Hilfsorganisationen fordern

Am 8. September 2026 veröffentlichten acht Organisationen eine gemeinsame Position zur Notfallreform: Arbeiter-Samariter-Bund, Deutsches Rotes Kreuz, Johanniter-Unfall-Hilfe einschließlich Johanniter Luftrettung, Malteser Hilfsdienst, DLRG, ADAC Luftrettung, DRF Luftrettung sowie der Deutsche Feuerwehrverband gemeinsam mit der Arbeitsgemeinschaft der Leiterinnen und Leiter der Berufsfeuerwehren.

Sie begrüßen die Reform grundsätzlich. Bessere Zusammenarbeit, zeitgemäße Leitstellen und eine passendere Versorgung der Hilfesuchenden werden ausdrücklich unterstützt. Zugleich verlangen die Organisationen eine verlässliche Finanzierung der notwendigen Personal-, Betriebs-, Ausbildungs- und Investitionskosten. Außerdem fordern sie eigene, gesicherte Mitsprache bei bundesweiten Entscheidungen über den Rettungsdienst. [3]

In den einzelnen Stellungnahmen werden unterschiedliche Schwerpunkte sichtbar.

Das Deutsche Rote Kreuz beschreibt den Rettungsdienst als Bindeglied zum überwiegend ehrenamtlich getragenen gesundheitlichen Bevölkerungsschutz. Besonders wichtig ist dem Verband, die Finanzierung der einsatzunabhängigen Bereitschaft ausdrücklich im Gesetz abzusichern. Dazu zählt das DRK unter anderem Personal, Fahrzeuge, Leitstellentechnik, Bevorratung und Ausbildung. Eine Erläuterung allein in der Gesetzesbegründung hält es für nicht ausreichend. [4]

Die Johanniter stellen die Fähigkeit in den Vordergrund, auf unterschiedliche Gefahrenlagen reagieren und bei Bedarf zusätzliche Versorgung aufbauen zu können. Ihre Stellungnahme vom 7. September fordert ausdrücklich, diese Aufwuchsfähigkeit zu erhalten. Zugleich sprechen sie sich für realitätsgerechte Finanzierungsregelungen und eine stärkere Gesundheits- und Selbsthilfekompetenz der Bevölkerung aus. [5]

Der Arbeiter-Samariter-Bund unterstützt eine fachlich gesteuerte Vermittlung an die geeignete Behandlungsstelle. Menschen sollen nicht selbst herausfinden müssen, welcher Teil eines komplizierten Versorgungssystems für ihr Anliegen zuständig ist. In seiner weitergehenden Bevölkerungsschutzpolitik betont der ASB außerdem die soziale und organisatorische Seite der Krisenbewältigung. Beim im Mai vorgestellten „Pakt für den Bevölkerungsschutz“ kritisierte er, dass technische und staatliche Fähigkeiten zu stark im Vordergrund stünden, während die Hilfsorganisationen und ihre Versorgungs- und Betreuungsstrukturen nicht hinreichend gestärkt würden. [6]

Die DLRG trägt die gemeinsame Position zur Notfallreform mit und verweist darüber hinaus auf zwei für Katastrophenlagen besonders wichtige Voraussetzungen: verlässliche Bedingungen für ehrenamtliche Einsatzkräfte und eine angemessene Berücksichtigung der Wasserrettung. Im Mai 2026 forderte sie unter anderem einheitlichere Regelungen zur Freistellung für Einsätze, Übungen und Ausbildung sowie eine ausdrückliche Verankerung der Wasserrettung im Zivilschutz- und Katastrophenhilfegesetz. [7]

Die Forderungen sind nicht in jedem Detail identisch. Gemeinsam ist ihnen die Sorge, dass neue Anforderungen beschlossen werden, ohne die dafür benötigten Strukturen dauerhaft abzusichern. Daraus folgt noch keine belastbare Prognose eines flächendeckenden Zusammenbruchs. Die Stellungnahmen benennen aber konkrete Risiken, die bei einer Reform nicht als bloße Interessenvertretung einzelner Anbieter abgetan werden sollten.

Was die Notfallreform verbessern kann

Die Reform befindet sich weiterhin im Gesetzgebungsverfahren. Der Bundestag beriet den Regierungsentwurf am 9. Juli 2026 in erster Lesung; am 9. September folgte die öffentliche Anhörung im Gesundheitsausschuss. Die vorgesehenen Änderungen sind daher von bereits geltendem Recht zu unterscheiden. [8]

Geplant ist unter anderem eine engere digitale Zusammenarbeit zwischen den Leitstellen hinter den Rufnummern 112 und 116117. An geeigneten Krankenhäusern sollen Integrierte Notfallzentren entstehen, in denen eine gemeinsame Ersteinschätzung den Weg in die passende Behandlung erleichtert. Telemedizinische und aufsuchende Angebote sollen die Versorgung ergänzen.

Außerdem soll die medizinische Notfallrettung als eigenständige Leistung der gesetzlichen Krankenversicherung anerkannt werden. Damit würde ihre Finanzierung die medizinische Arbeit besser abbilden, statt sich im Bundesrecht vor allem am Transport ins Krankenhaus zu orientieren. Eine fachgerechte Versorgung am Einsatzort soll auch ohne anschließende Krankenhausfahrt angemessen berücksichtigt werden. [9]

Diese Ziele sind sinnvoll. Ein Patient, der sicher zu Hause behandelt werden kann, benötigt nicht zwangsläufig einen Transport und einen Aufenthalt in der Notaufnahme. Werden Rettungswagen und Krankenhauspersonal dadurch tatsächlich entlastet, verbessert das grundsätzlich auch ihre Verfügbarkeit für andere Aufgaben.

Die Entlastung setzt allerdings voraus, dass eine geeignete Alternative vorhanden ist. Eine telefonische Weiterleitung allein schafft noch keinen Hausbesuch, keinen Behandlungstermin und keinen verfügbaren Pflegedienst. Bereits in der Bundestagsanhörung wurde davor gewarnt, neue Angebote ohne ausreichendes Personal und verlässliche Finanzierung vorzusehen. [8]

Für die Katastrophenvorsorge kommt eine weitere Anforderung hinzu: Die neu verbundenen Versorgungswege müssen auch dann nutzbar bleiben, wenn einzelne Einrichtungen oder technische Systeme ausfallen.

Warum weniger Einsätze nicht automatisch weniger Bereitschaft erlauben

Im Rettungsdienst bezeichnet Vorhaltung die Einsatzbereitschaft unabhängig davon, ob gerade ein Notruf eingeht. Dazu gehören besetzte Rettungsmittel, Standorte, Leitstellen und die erforderliche Ausstattung. Diese Kosten entstehen auch in einsatzarmen Stunden.

Ein vereinfachtes Beispiel verdeutlicht die Bedeutung: In einer ländlichen Region könnten bessere ambulante Angebote mehrere Krankenhaustransporte am Tag vermeiden. Das würde Fahrleistung und Einsatzzeiten reduzieren. Die Entfernung zwischen den Ortschaften bliebe jedoch unverändert. Auch zwei gleichzeitig auftretende schwere Notfälle müssten weiterhin bewältigt werden.

Ob tatsächlich weniger Fahrzeuge oder Personal benötigt werden, ließe sich deshalb erst anhand der örtlichen Versorgung prüfen. Eine sinkende Transportzahl genügt als Begründung nicht.

Für größere Schadenslagen ist diese Unterscheidung besonders wichtig. Die alltägliche Einsatzbereitschaft bildet den Ausgangspunkt für die erste Reaktion. Zusätzliche Katastrophenschutzeinheiten müssen alarmiert werden, sich sammeln und gegebenenfalls aus anderen Regionen anreisen. Ihre Existenz erlaubt es nicht, die reguläre Versorgung beliebig zu verringern.

Dabei verbietet der Regierungsentwurf die Finanzierung notwendiger Vorhaltung keineswegs grundsätzlich. Die Bundesregierung erklärt, dass erforderliche anteilige Vorhalte- und Investitionskosten berücksichtigt werden können, soweit sie dem Leistungsanspruch der Krankenversicherung dienen. Umstritten ist, wie verbindlich und rechtssicher diese Finanzierung ausgestaltet wird. [10]

Die berechtigte Forderung nach Wirtschaftlichkeit bleibt bestehen. Standorte, Dienstzeiten und Organisationsformen müssen überprüfbar sein. Wirtschaftlichkeit bedeutet aber nicht, jede freie Kapazität als vermeidbare Ausgabe zu behandeln. Bei einer bewusst vorgehaltenen Sicherheitsleistung gehört zeitweilige Nichtauslastung zum Zweck.

In der Katastrophe müssen auch Pflege und Grundversorgung weitergehen

Eine Betrachtung allein nach der Zahl von Rettungswagen und Krankenhausbetten greift zu kurz.

Für Menschen mit Pflegebedarf kann eine unterbrochene Versorgung sehr schnell zu einer ernsten Gefährdung werden. Eine erreichbare Notaufnahme hilft nur begrenzt, wenn zu Hause Unterstützung beim Essen, bei der Körperpflege oder bei der Mobilität fehlt. Auch Angehörige können durch eine Evakuierung, gesperrte Verkehrswege oder eigene Betroffenheit ausfallen.

Das Forschungsprojekt AUPIK zur Aufrechterhaltung ambulanter Pflegeinfrastrukturen kommt zu einem wichtigen Ergebnis: Die pflegerische Versorgung muss auch in Katastrophenlagen wesentlich durch die vorhandenen Pflegedienste weitergeführt werden. Der Katastrophenschutz kann unterstützen, diese Strukturen aber nicht einfach vollständig ersetzen. Die Forschung macht außerdem deutlich, dass die Einsatzbereitschaft des Pflegepersonals mit der Versorgung der eigenen Familie zusammenhängt. [11]

Für die kommunale Vorsorge folgt daraus, dass ambulante Pflegedienste, Pflegeeinrichtungen, Arztpraxen und weitere Versorger frühzeitig einbezogen werden sollten. Es muss geklärt sein, wie notwendige Besuche bei Verkehrsbehinderungen organisiert werden, welche alternativen Kontaktwege bestehen und wohin Menschen gebracht werden können, wenn ihre Versorgung zu Hause nicht mehr möglich ist.

Auch Notunterkünfte benötigen eine differenzierte Planung. Eine Person, die selbstständig laufen und sich versorgen kann, hat andere Anforderungen als ein bettlägeriger Mensch oder jemand mit Demenz. Barrierefreie Zugänge, geeignete Sanitäranlagen, Ruhemöglichkeiten und fachliche Unterstützung sollten deshalb bereits Teil der Vorbereitung sein.

Unterkunft und Verpflegung sind zudem gesundheitlich relevante Leistungen. Das BBK zählt zur Betreuung ausdrücklich die Deckung von Grundbedürfnissen, die Begleitung besonders hilfsbedürftiger Menschen und die Vermittlung in weiterführende psychosoziale Hilfen. [2]

Wer diese Aufgaben aus der Betrachtung ausklammert, unterschätzt den tatsächlichen Versorgungsbedarf einer betroffenen Bevölkerung.

Zusätzliche Kapazitäten brauchen Zeit und Logistik

Für außergewöhnliche Lagen gibt es ergänzende Konzepte des Bundes. Dazu gehören die Medizinischen Task Forces: standardisierte Einheiten mit besonderen sanitätsdienstlichen Fähigkeiten für den Zivilschutz und die länderübergreifende Katastrophenhilfe. Sie sind unter anderem für den Betrieb von Behandlungsplätzen, die Versorgung kontaminierter Verletzter und weiträumige Patiententransporte vorgesehen. [12]

Für die Unterbringung und Versorgung größerer Bevölkerungsgruppen werden Mobile Betreuungsmodule entwickelt. Ein Modul „5.000“ ist als weitgehend eigenständig funktionierende Einrichtung für bis zu 5.000 Menschen konzipiert. Dazu gehören Unterkünfte, Küchen, Sanitäranlagen, Energieversorgung sowie medizinische und pflegerische Unterstützung. Das BBK weist ausdrücklich darauf hin, dass der Aufbau aufwendig ist und solche Einrichtungen für eine längere Nutzung am gewählten Standort vorgesehen sind. [13]

Diese Fähigkeiten sind wertvoll. Sie stehen jedoch für andere Aufgaben und Zeitabläufe als der Rettungswagen, der nach einem Notruf unmittelbar ausrückt. Ihre Existenz darf deshalb nicht mit einer überall sofort verfügbaren Ersatzversorgung verwechselt werden.

Für die Einsatzplanung sollte nachvollziehbar sein, welche Hilfe vor Ort sofort verfügbar ist und welche erst später eintrifft. Ebenso muss die Versorgung bis zu diesem Zeitpunkt organisiert werden. Bei länger dauernden Lagen kommen Ablösung, Kraftstoff, Verbrauchsmaterial, Verpflegung, Unterbringung und Instandhaltung hinzu.

Eine Einheit kann bei der Alarmierung vollständig besetzt sein und trotzdem nach einem langen Einsatz an ihre Grenzen gelangen. Daher sollte die Leistungsfähigkeit über mehrere Schichten betrachtet werden. Die Zahl vorhandener Fahrzeuge beantwortet diese Frage nicht.

Ehrenamtliche müssen tatsächlich verfügbar sein

Die Forderungen von ASB und DLRG zur Stellung ehrenamtlicher Helfer betreffen unmittelbar die Versorgungssicherheit. Beide Organisationen weisen auf die Bedeutung verlässlicher Freistellungsbedingungen und einer strukturellen Unterstützung des Ehrenamts hin. Die DLRG kritisiert dabei Unterschiede zwischen Ländern und Einsatzorganisationen. [6, 7]

Für eine Katastrophenschutzplanung ist entscheidend, ob ausgebildete Einsatzkräfte ihren Arbeitsplatz tatsächlich verlassen können, ob sie für Übungen verfügbar sind und wie längere Abwesenheiten geregelt werden. Ohne regelmäßige Ausbildung und gemeinsame Übungen lässt sich aus vorhandener Ausrüstung keine verlässlich einsetzbare Fähigkeit ableiten.

Hinzu kommt die persönliche Betroffenheit. Wer selbst evakuiert wurde oder die Versorgung seiner Angehörigen organisieren muss, steht möglicherweise nicht im vorgesehenen Umfang zur Verfügung. Personalplanung sollte deshalb nicht allein auf Mitgliederzahlen oder nominellen Besetzungsstärken beruhen.

Auch Doppelverwendungen müssen sichtbar sein. Wird dieselbe Fachkraft gleichzeitig für den regulären Rettungsdienst, eine zusätzliche Behandlungseinheit und einen Führungsdienst eingeplant, entstehen daraus keine drei unabhängig verfügbaren Personen. Solche Überschneidungen sollten bereits in der Vorbereitung aufgelöst werden.

Die Verantwortung liegt dabei nicht allein bei den Freiwilligen. Arbeitgeber, öffentliche Träger und Einsatzorganisationen benötigen verlässliche Vereinbarungen, damit Engagement im Ernstfall praktisch möglich ist.

Gemeinsame Infrastruktur kann beide Aufgaben stärken

Wie sich Alltagsbetrieb und Katastrophenvorsorge sinnvoll verbinden lassen, zeigt ein Beispiel aus Sachsen. Die Johanniter eröffneten im Mai 2026 die Erweiterung ihres Zentrums in Heidenau. Im Normalbetrieb dienen die Gebäude unter anderem Rettungs- und Fahrdiensten sowie Ausbildung und Training. Für Katastrophenlagen verfügt der Standort nach Angaben der Organisation über Möglichkeiten, bis zu 200 Menschen mehrere Tage autark zu versorgen. Dazu gehören ein Notstromaggregat sowie eigene Brunnen- und Abwasserinfrastruktur. [14]

Eine solche Doppelnutzung kann wirtschaftlich sinnvoll sein. Gebäude, Technik und Ausbildung werden regelmäßig genutzt und zugleich für besondere Lagen vorbereitet. Sie verdeutlicht aber auch, weshalb Finanzierungsentscheidungen nicht völlig getrennt betrachtet werden sollten.

Wird eine gemeinsam genutzte Struktur verändert, muss geprüft werden, welche Aufgaben davon betroffen sind. Der Verlust eines Rettungsdienstauftrags führt nicht automatisch zum Wegfall des örtlichen Katastrophenschutzes. Wo jedoch Ausbildung, Logistik, Räume oder technische Unterstützung eng miteinander verbunden sind, kann eine Veränderung Auswirkungen auf mehrere Leistungen haben.

Daraus folgt keine Pflicht der Krankenversicherung, sämtliche Katastrophenschutzkosten zu übernehmen. Der Entwurf grenzt ausdrücklich Kosten anderer öffentlicher Aufgaben von den Leistungen der Krankenversicherung ab. Der Katastrophenschutz liegt bei den Ländern; für den Zivilschutz im Verteidigungsfall ist der Bund zuständig. [2, 10]

Erforderlich ist deshalb eine nachvollziehbare Zuordnung gemeinsam genutzter Ressourcen und eine gesicherte Finanzierung der jeweiligen Aufgaben. Eine rechnerische Trennung hilft wenig, wenn anschließend ein notwendiger Teil der Infrastruktur von keinem zuständigen Träger ausreichend finanziert wird.

Die Versorgung muss unter Ausfallbedingungen erprobt werden

Die Qualität der Reform sollte nicht ausschließlich daran gemessen werden, ob im Alltag weniger Menschen in Notaufnahmen erscheinen oder weniger Krankenhaustransporte stattfinden. Aus Sicht des Bevölkerungsschutzes muss auch überprüft werden, wie die Versorgung bei Ausfällen funktioniert.

Ein geeigneter Prüfrahmen wäre beispielsweise ein länger andauernder regionaler Stromausfall, bei dem zugleich ein Krankenhaus eingeschränkt arbeitet und mehrere Pflegeeinrichtungen Unterstützung benötigen. An einem solchen Szenario ließe sich untersuchen, wie Hilfeersuchen aufgenommen, Menschen erreicht, Transporte organisiert und die notwendige Behandlung fortgesetzt werden können.

Dabei sollten auch die Grenzen digitaler Vernetzung geprüft werden. Welche Übergaben sind noch möglich, wenn die gemeinsame Plattform nicht erreichbar ist? Wie erhalten Leitstellen verlässliche Informationen über tatsächlich verfügbare Behandlungsmöglichkeiten? Welche Anlaufstellen kennt die Bevölkerung, wenn gewohnte Kommunikationswege ausfallen?

Krankenhäuser müssen in diese Betrachtung einbezogen werden. Das BBK behandelt in seiner Krankenhausalarm- und -einsatzplanung ausdrücklich sowohl interne Ereignisse wie Brände oder Cyberangriffe als auch einen starken zusätzlichen Patientenzustrom von außen. Eine funktionierende Rettungskette benötigt aufnahme- und arbeitsfähige Behandlungseinrichtungen. [15]

Solche Übungen sollten deshalb über die Zusammenarbeit von Rettungsdienst und Feuerwehr hinausgehen. Pflege, ambulante Medizin, Betreuungsdienste, Versorgungsunternehmen und kommunale Krisenstäbe gehören an denselben Tisch. Gerade an ihren Übergängen zeigt sich, ob aus einzelnen Notfallplänen eine tatsächlich funktionierende Versorgung entsteht.

Die Bevölkerung sollte dabei als Beteiligte berücksichtigt werden. Verständliche Informationen, Erste-Hilfe-Kenntnisse und angemessene Eigenvorsorge können dazu beitragen, Hilfe auf Menschen mit dringendem Unterstützungsbedarf zu konzentrieren. Für Personen, die sich aufgrund von Krankheit, Behinderung oder ihrer Lebenssituation nur eingeschränkt selbst helfen können, muss die Planung jedoch gezielt Unterstützung vorsehen. Die Vorsorgeempfehlungen des BBK bieten hierfür einen Ausgangspunkt, ersetzen aber keine öffentliche Versorgungsplanung. [16]

Eine Reform braucht einen Maßstab, der über den Alltag hinausgeht

Die Hilfsorganisationen stellen die Notwendigkeit einer besseren Notfallversorgung nicht infrage. Ihre gemeinsame Forderung ist, die Leistungsfähigkeit derjenigen Strukturen zu erhalten, auf die die Bevölkerung im Alltag und in außergewöhnlichen Lagen angewiesen ist.

Dafür braucht es eine Finanzierung, die notwendige Einsatzbereitschaft verlässlich berücksichtigt, zusätzliche Katastrophenschutzfähigkeiten absichert und gemeinsame Infrastruktur transparent zuordnet. Ebenso wichtig sind tatsächlich verfügbare Einsatzkräfte, belastbare Ablösekonzepte und die Einbindung der Pflege und sozialen Versorgung.

Die Erfahrungen aus dem Ahrtal zeigen, wie weit diese Verantwortung reicht. Nach der unmittelbaren Rettung mussten medizinische Behandlung, Hygiene, Stromversorgung und Betreuung weiter organisiert werden. Eine Notfallreform sollte solche Anforderungen von Beginn an berücksichtigen.

Ob die Versorgung trägt, zeigt sich schließlich daran, ob Menschen die benötigte Hilfe auch unter schwierigen Bedingungen erhalten: unmittelbar nach dem Ereignis, in der folgenden Nacht und in den Tagen danach.

Quellen

[1] Deutsches Rotes Kreuz: „Jahrestag Hochwasserkatastrophe: DRK-Einsatz im Ahrtal zeigt Gebot, Ehrenamt zu stärken“, 11. Juli 2022. Dokumentation der medizinischen, technischen und betreuungsdienstlichen Hilfe nach der Flut. DRK

[2] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Fachinformationen „Sanitätsdienst“ und „Betreuung im Zivilschutz“. Aufgaben, ergänzende Einheiten sowie Zuständigkeiten von Bund und Ländern. BZgA

[3] Gemeinsame Erklärung von Hilfsorganisationen, Luftrettungsorganisationen und Feuerwehren: „Notfallreform: Rettungsdienst braucht verlässliche Finanzierung und echte Mitsprache“, 8. September 2026. DRK

[4] Deutsches Rotes Kreuz: Stellungnahme zum Entwurf eines Gesetzes zur Reform der Notfallversorgung, 7. September 2026, insbesondere zur Verbindung mit dem gesundheitlichen Bevölkerungsschutz und zur gesetzlichen Absicherung der Vorhaltekosten. Deutscher Bundestag

[5] Johanniter-Unfall-Hilfe: Stellungnahme zum Entwurf eines Gesetzes zur Reform der Notfallversorgung, 7. September 2026. Anforderungen an Aufwuchsfähigkeit, Finanzierung und Selbsthilfekompetenz. Johanniter

[6] Arbeiter-Samariter-Bund: „Notruf 112: Zu viele landen im falschen System – ASB ordnet Reform ein“, 10. Februar 2026; „Kein ‚Pakt‘ auf Augenhöhe: Bund lässt Hilfsorganisationen im Zivilschutz außen vor“, 21. Mai 2026. Arbeiter-Samariter-Bund

[7] Deutsche Lebens-Rettungs-Gesellschaft: „DLRG zum Pakt für den Bevölkerungsschutz: Zentrales Problem bleibt weiter ungelöst“, Mitteilung des Bundesverbandes vom 21. Mai 2026, veröffentlicht unter anderem auf den Seiten der DLRG-Gliederungen. DLRG Rheda-Wiedenbrück

[8] Bundesministerium für Gesundheit und Deutscher Bundestag: Verfahrensübersicht zur Notfallreform und Bericht über die öffentliche Anhörung vom 9. September 2026. BMG

[9] Bundesministerium für Gesundheit: „Bundeskabinett beschließt Notfallreform“, 22. April 2026, sowie Fragen und Antworten zur Reform. BMG

[10] Bundesregierung: Entwurf eines Gesetzes zur Reform der Notfallversorgung, Bundestagsdrucksache 21/6808 vom 1. Juli 2026, einschließlich Begründung, Stellungnahme des Bundesrates und Gegenäußerung der Bundesregierung. Bundestag DServer

[11] Universität Tübingen, Internationales Zentrum für Ethik in den Wissenschaften: „Welche Infrastruktur ist für wen kritisch?“, Erkenntnisse aus dem Forschungsprojekt AUPIK zur Aufrechterhaltung ambulanter Pflegeinfrastrukturen in Krisensituationen. Universität Tübingen

[12] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Fachinformation „Die Medizinische Task Force des Bundes“. Aufgaben und Einsatzspektrum der ergänzenden sanitätsdienstlichen Einheiten. BZgA

[13] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Fachinformation „Mobiles Betreuungsmodul 5.000“. Konzeption, Versorgungsleistungen und logistische Voraussetzungen. BZgA

[14] Johanniter-Unfall-Hilfe: „Feierliche Eröffnung des AKKON II in Heidenau“, 29. Mai 2026. Doppelnutzung von Infrastruktur für den Regelbetrieb und die Versorgung in Katastrophenlagen. Johanniter

[15] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Fachinformation „Krankenhausalarm- und -einsatzplanung“. Vorbereitung auf interne Ausfälle und außergewöhnliche externe Belastungen. BZgA

[16] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Materialien zur Vorsorge bei Stromausfall sowie zu Bevorratung und Notgepäck, einschließlich des Ratgebers „Vorsorgen für Krisen und Katastrophen“.

Der Beitrag Versorgung in Katastrophen: Warum die Notfallreform den Bevölkerungsschutz mitdenken muss erschien zuerst auf Vor die Lage.

Normalerweise wäre das ein schwerwiegender IT-Sicherheitsvorfall. Im Fall des chinesischen Wechselrichterherstellers Sungrow geht es jedoch um etwas anderes: um elektrische Leistung im Gigawattbereich.

Genau deshalb hat die Recherche der ZEIT in den vergangenen Tagen erhebliche Aufmerksamkeit ausgelöst. Rund 470.000 Anlagen in Europa sollen über die betroffene iSolarCloud erreichbar gewesen sein, davon etwa 250.000 in Deutschland. Für die deutschen Anlagen wird eine installierte Spitzenleistung von rund 7,8 Gigawatt genannt. Der Sicherheitsforscher Marlon Starkloff vom Kasseler Unternehmen Jakkaru spricht für Europa unter günstigen Erzeugungsbedingungen von rund 17 Gigawatt Leistung, die sich potenziell gleichzeitig beeinflussen ließen.

Die Schlagzeile vom möglichen „Superblackout“ liegt da nahe.

So einfach ist die Sache allerdings nicht. Und gerade die seit dem 8. Oktober vorliegenden zusätzlichen Informationen zeigen, dass eine differenziertere Betrachtung notwendig ist.

Der Vorfall ist ernst. Ein europaweiter Blackout war aber keineswegs zwangsläufig nur einen Mausklick entfernt.

Das eigentliche Problem ist interessanter: Wir haben eine Energieversorgung aufgebaut, die physisch immer dezentraler wird, digital aber an einigen Stellen erstaunlich zentralisiert ist.

Und genau darin liegt das Risiko.

Was der Sicherheitsforscher tatsächlich gefunden hat

Jakkaru hat inzwischen selbst technische Details des Angriffs veröffentlicht. Ausgangspunkt war der Login der Sungrow-Plattform iSolarCloud. Die Forscher stellten fest, dass verschiedene Anmeldearten über einen Parameter unterschieden wurden. Bei einem bestimmten Wert ignorierte das System nach Darstellung von Jakkaru das eingegebene Passwort und meldete den Nutzer dennoch am angegebenen Konto an.

Noch problematischer: Über weitere Informationen innerhalb der Plattform konnten Konten mit höheren Berechtigungen identifiziert werden. Nach Darstellung der Forscher ließ sich daraus eine Privilegieneskalation bis auf Administratorebene entwickeln.

Jakkaru beschreibt die Auswirkungen sehr weitreichend. Mit administrativem Zugriff hätten Anlagen aufgelistet und verändert sowie Solaranlagen, Wechselrichter und Batteriespeicher gestartet oder gestoppt werden können. Darüber hinaus seien Firmware-Updates auf mit der Cloud verbundene Geräte möglich gewesen.

Gerade der zweite Punkt ist sicherheitstechnisch möglicherweise noch bedeutender als die Vorstellung, jemand drücke gleichzeitig auf einen virtuellen Ausschalter.

Ein Angreifer müsste nicht zwingend hunderttausende Wechselrichter in diesem Moment abschalten. Manipulierte Firmware könnte beispielsweise so programmiert werden, dass Geräte zu einem vorher festgelegten Zeitpunkt reagieren. Der Angriff und seine physische Wirkung wären damit zeitlich voneinander getrennt.

Auch Starkloff bezeichnet diesen Weg inzwischen als eines der realistischeren Szenarien.

Sungrow widerspricht einem entscheidenden Teil der Darstellung

Seit heute liegt allerdings auch eine wesentlich konkretere Stellungnahme des Herstellers vor.

Sungrow bestätigt den Fehler im Authentifizierungsverfahren und bestätigt ebenfalls, dass die Schwachstelle die Cloud-Infrastruktur und nicht nur einzelne Wechselrichtermodelle betraf. Das Unternehmen bestreitet jedoch, dass der gefundene Zugang für einen unautorisierten Massenangriff auf die angeschlossenen Anlagen ausgereicht hätte.

Für kritische Funktionen wie Gerätebefehle oder Firmware-Änderungen seien weitere Authentifizierungsschritte vorgesehen gewesen, unter anderem zusätzliche Passwortprüfungen und Zwei-Faktor-Mechanismen. Die gefundene Schwachstelle allein habe deshalb nach Darstellung des Herstellers keine massenhaften Manipulationen ermöglicht.

Jakkaru widerspricht wiederum dieser Einschätzung. Nach Starkloffs Darstellung ließ sich nach erfolgreicher Übernahme eines Kontos auch dessen Passwort zurücksetzen. Damit wären nach seiner Einschätzung anschließend die weitergehenden Funktionen erreichbar gewesen.

Damit gibt es an einem zentralen Punkt derzeit zwei unterschiedliche technische Bewertungen.

Für die Einordnung ist das wichtig. Es wäre unseriös, inzwischen weiterhin uneingeschränkt zu behaupten, ein Angreifer hätte nachweislich mit einem einzigen Klick 17 Gigawatt Erzeugungsleistung abschalten können.

Ebenso falsch wäre es allerdings, den Vorgang deshalb als harmlosen Datenzugriff abzutun.

Denn selbst Sungrow räumt ein, dass der reguläre Authentifizierungsmechanismus zeitweise umgangen werden konnte und dass sämtliche über die jeweilige Plattform verwalteten Systeme prinzipiell betroffen waren. Das Unternehmen hat inzwischen die NCC Group mit einer zusätzlichen unabhängigen Sicherheitsprüfung beauftragt.

Die Lücke ist geschlossen – und offenbar nicht missbraucht worden

Auch hier gibt es inzwischen präzisere Informationen.

Nach Angaben von Sungrow wurde die Schwachstelle am 22. August gemeldet. Am 25. August sei der Angriff reproduziert, ein Emergency Patch über sämtliche iSolarCloud-Ebenen ausgerollt und die zugrunde liegende Ursache beseitigt worden. Eine erneute Überprüfung durch Jakkaru Mitte September habe bestätigt, dass sich die Schwachstelle nicht mehr reproduzieren ließ.

Jakkaru bestätigt seinerseits die schnelle Reaktion und bewertet die Zusammenarbeit mit Sungrows Product Security Incident Response Team ausdrücklich positiv.

Nach Prüfung der Protokolldaten fand Sungrow keine Hinweise darauf, dass andere Personen die Schwachstelle ausgenutzt hätten. Auch dem BSI liegen nach eigener Aussage keine Hinweise auf eine aktive Ausnutzung vor. Weitere behördliche Maßnahmen seien deshalb nach Schließen der Lücke nicht erforderlich gewesen.

Das ist eine wichtige Feststellung.

Wir sprechen über einen möglichen Angriffsweg, nicht über einen tatsächlich durchgeführten Angriff auf das europäische Stromsystem.

Trotzdem bestätigt das BSI das strukturelle Problem

Interessant ist deshalb weniger die Frage, ob genau dieser Angriff tatsächlich einen Blackout ausgelöst hätte.

Entscheidender ist die Schlussfolgerung des BSI.

Die Behörde weist darauf hin, dass auf einigen Cloud-Plattformen inzwischen erhebliche elektrische Leistung gebündelt ist. Werden solche Plattformen kompromittiert, können die Auswirkungen entsprechend groß sein, weil die angeschlossenen Anlagen unmittelbar über diese Systeme beeinflusst werden können.

Damit verschiebt sich die Betrachtung.

Eine einzelne Photovoltaikanlage mit zehn Kilowatt Leistung ist für die Stabilität des europäischen Stromnetzes völlig unbedeutend. Hunderttausende Anlagen mit identischer Technik und gemeinsamer Steuerungsplattform sind es nicht.

Physikalisch bleiben sie dezentral.

Digital bilden sie einen Verbund.

Aus Sicht der Resilienz entsteht damit ein klassisches Common-Mode-Risiko: Viele unabhängige Komponenten können durch eine gemeinsame Abhängigkeit gleichzeitig ausfallen oder manipuliert werden.

Genau diese Konstellation hatte die Bundesregierung bereits im Juni beschrieben. In ihrer Antwort auf eine parlamentarische Anfrage heißt es ausdrücklich, dass ein koordinierter Zugriff auf große Mengen gleichartiger und zentral administrierbarer Energiekomponenten die Stabilität der Stromversorgung beeinflussen könne – selbst dann, wenn jede einzelne Anlage für sich weit unterhalb der Schwellenwerte Kritischer Infrastruktur liegt.

Das betrifft längst nicht mehr nur Photovoltaik. Die Bundesregierung nennt ausdrücklich Wechselrichter, Batteriespeicher, Ladeinfrastruktur, Wärmepumpen, Windenergieanlagen und weitere digital steuerbare Komponenten.

Die Größenordnung wächst also weiter.

17 Gigawatt bedeuten nicht automatisch Blackout

Auch dieser Punkt gehört zur nüchternen Einordnung.

Die 7,8 Gigawatt der deutschen Sungrow-Anlagen sind eine aufsummierte installierte Spitzenleistung. Sie stehen nicht ständig zur Verfügung. Nachts beträgt die Solarproduktion null, bei Wolken entsprechend weniger. Auch eine theoretisch erreichbare europäische Leistung von 17 Gigawatt muss deshalb immer zusammen mit Tageszeit, Wetter und aktueller Einspeisung betrachtet werden.

Außerdem verfügt das kontinentaleuropäische Verbundnetz über verschiedene Ebenen von Regelreserven, Schutzsystemen, Lastabwurf und gegenseitiger Unterstützung.

Ein Leistungsausfall oberhalb eines bestimmten Wertes bedeutet deshalb nicht: Ab hier geht Europa automatisch das Licht aus.

Trotzdem wäre ein schlagartiger Verlust von mehreren oder gar deutlich mehr als zehn Gigawatt eine außergewöhnliche Störung.

Der entscheidende Faktor wäre dabei die Dynamik. Netzbetreiber müssen Erzeugung und Verbrauch praktisch permanent im Gleichgewicht halten. Fallen innerhalb von Sekunden große Erzeugungsmengen weg, sinkt die Netzfrequenz. Reichen die vorgesehenen Gegenmaßnahmen nicht aus, greifen weitere Schutzmechanismen. Im ungünstigsten Fall können daraus zusätzliche Abschaltungen und eine Kaskade entstehen.

Genau solche Wechselwirkungen machen große Stromsysteme kompliziert.

Der Blackout in Spanien und Portugal vom 28. April 2025 ist dafür ein gutes Beispiel – allerdings ausdrücklich nicht als Beleg für einen Cyberangriff. Der Abschlussbericht von ENTSO-E nennt eine Kombination aus Oszillationen, Problemen bei Spannungs- und Blindleistungsregelung, schnellen Leistungsrückgängen und anschließenden Generatorabschaltungen. Diese Faktoren verstärkten sich gegenseitig und führten schließlich zu kaskadierenden Ausfällen.

Das ist der relevante Vergleich: Nicht „Solarhacker verursachen Spanien 2.0“, sondern die Erkenntnis, dass Stromnetze komplexe Systeme sind, in denen mehrere zunächst beherrschbare Ereignisse miteinander interagieren können.

Ein Cyberangriff könnte einen solchen Prozess gezielt anstoßen.

Bemerkenswertes Timing: Die EU hatte das Szenario gerade erst beschrieben

Fast noch interessanter als der konkrete Sungrow-Fall ist ein Dokument, das nur wenige Tage zuvor veröffentlicht wurde.

Die Cybersecurity Working Group der Smart Energy Expert Group der EU hat Ende September ihren Bericht „Recommendations to address cybersecurity risk in photovoltaic generation“ veröffentlicht. Die aktuell verfügbare Version 1.1 trägt das Datum 1. Oktober 2026.

Darin wird praktisch genau das Szenario beschrieben, über das nun im Zusammenhang mit Sungrow diskutiert wird.

Die Experten bewerten Angriffe auf zentrale Herstellerplattformen, an die viele Photovoltaikanlagen angebunden sind, ausdrücklich als hohes Risiko – insbesondere bei privaten sowie gewerblichen und industriellen Anlagen.

Der Bericht beschreibt die mögliche Wirkung ebenfalls ungewöhnlich deutlich: Werden ausreichend viele PV-Anlagen gleichzeitig ein- oder ausgeschaltet, könnten Ungleichgewichte, Netzengpässe und Spannungsprobleme entstehen. Im schlimmsten Fall seien großflächige Stromausfälle möglich.

Das Papier entstand vor Bekanntwerden des aktuellen Sungrow-Vorfalls.

Damit handelt es sich nicht um eine nachträgliche Interpretation einer medialen Schlagzeile. Das Risiko war bereits unabhängig davon identifiziert worden.

Die EU geht inzwischen deutlich weiter

Besonders interessant sind die vorgeschlagenen Konsequenzen.

Die Expertengruppe empfiehlt nicht nur klassisches „Security by Design“. Hersteller vernetzter Energieanlagen sollen verbindliche Prozesse zum Vulnerability Management und klar definierte Fristen für die Beseitigung von Schwachstellen etablieren. Bug-Bounty-Programme sollen ausdrücklich gefördert werden.

Für größere Anlagen schlägt die Arbeitsgruppe außerdem vor, die Kommunikation der Wechselrichter wesentlich stärker zu kontrollieren. Verbindungen sollen dokumentiert, verschlüsselt und authentifiziert werden. Ausgehende Kommunikation soll auf vorher festgelegte Server beschränkt werden; bei besonders relevanten Anlagen sollen diese Server innerhalb der EU oder vergleichbaren Jurisdiktionen stehen.

Noch weiter geht die Empfehlung bei Firmware-Updates. Für kommerzielle, industrielle und große PV-Anlagen sollten vom Hersteller automatisch ausgelöste Firmware-Updates nach Auffassung der Expertengruppe durch kontrollierte Updates qualifizierter Dienstleister ersetzt werden.

Das ist bemerkenswert.

Die bislang als Sicherheitsvorteil verstandene Möglichkeit, hunderttausende Geräte zentral und schnell zu aktualisieren, wird selbst zum Risiko betrachtet.

Denn derselbe Mechanismus, der innerhalb weniger Stunden eine Sicherheitslücke schließen kann, könnte im Fall einer kompromittierten Herstellerplattform auch innerhalb weniger Stunden Schadsoftware verteilen.

Resilienz besteht eben selten aus einer Maßnahme, die ausschließlich Vorteile hat.

Auch beim Cyber Resilience Act sieht die EU noch eine Lücke

Der Cyber Resilience Act ist inzwischen in einer ersten wichtigen Phase angekommen. Seit dem 11. September 2026 gelten bereits die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die grundlegenden Produktanforderungen werden ab Dezember 2027 vollständig angewendet.

Der neue EU-Bericht hält die bestehenden Vorgaben für Wechselrichter jedoch noch nicht für ausreichend.

Die Expertengruppe empfiehlt, PV-Wechselrichter künftig als wichtige Produkte der Klasse II nach dem Cyber Resilience Act einzuordnen. Das hätte zur Folge, dass nicht lediglich der Hersteller selbst die Konformität beurteilt, sondern eine unabhängige benannte Stelle beteiligt werden müsste.

Noch deutlicher fällt das Urteil beim Thema Lieferkette aus.

Nach Einschätzung der Arbeitsgruppe adressiert derzeit keine bestehende Regelung ausreichend das Risiko absichtlich eingebauter Hintertüren bei Herstellern oder Komponenten aus sicherheitspolitisch problematischen Drittstaaten. Deshalb werden weitergehende Beschränkungen sogenannter High-Risk Suppliers vorgeschlagen.

Auch die Bundesregierung betrachtet diese Frage inzwischen ausdrücklich nicht mehr ausschließlich als IT-Sicherheitsproblem. Sie verweist auf strukturelle Risiken durch staatliche Einflussmöglichkeiten auf Hersteller in Drittstaaten und schätzt den Anteil chinesischer Anbieter am europäischen Wechselrichtermarkt – abhängig von Segment und Berechnung – auf etwa 70 bis 80 Prozent.

Das bedeutet nicht, dass chinesische Wechselrichter per se unsicher sind.

Es bedeutet aber sehr wohl, dass technologische Abhängigkeit Bestandteil einer Risikoanalyse sein muss.

Und plötzlich sind wir bei Marc Elsbergs „Blackout“

Als Marc Elsbergs Thriller „Blackout – Morgen ist es zu spät“ 2012 erschien, wirkte das zugrunde liegende Szenario für viele Leser wahrscheinlich noch wie eine gute, aber weit entfernte Technikfiktion.

Im Roman wird das europäische Stromsystem durch digitale Manipulationen angegriffen. Intelligente Stromzähler und Steuerungssysteme spielen dabei eine zentrale Rolle. Aus einer technischen Störung entsteht eine Kaskade. Stromversorgung, Telekommunikation, Wasserversorgung, Lebensmittelversorgung, Gesundheitswesen und öffentliche Ordnung geraten zunehmend unter Druck.

Elsberg hat später beschrieben, dass der Ausgangspunkt seiner Überlegungen vor allem die immer stärkere Vernetzung moderner Gesellschaften war: Was passiert, wenn ein Element dieser gegenseitig abhängigen Systeme ausfällt – oder mehrere gleichzeitig?

Genau hier wird der Vergleich mit Sungrow interessant.

Nicht weil Elsberg 2012 konkrete chinesische Solarwechselrichter vorhergesagt hätte.

Die technische Realität hat sich sogar in eine etwas andere Richtung entwickelt.

Damals lag der Fokus auf intelligenten Stromzählern und klassischen Steuerungssystemen. Heute entsteht eine zusätzliche Ebene: Hersteller-Clouds, Apps, Energiemanagementsysteme, Batteriespeicher, Wallboxen und Millionen internetfähiger Wechselrichter.

Das Grundprinzip bleibt trotzdem erstaunlich ähnlich.

Der Angreifer muss nicht mehr jede Anlage einzeln kompromittieren.

Er sucht die gemeinsame Steuerungsebene.

Dezentralisierung schützt nur, solange sie wirklich dezentral bleibt

Das führt zu einem gewissen Widerspruch der Energiewende.

Aus Sicht der klassischen Versorgungssicherheit ist eine große Zahl kleiner Erzeugungsanlagen zunächst attraktiv. Der Ausfall einer einzelnen Photovoltaikanlage fällt im Netz nicht auf. Selbst tausend ausgefallene Hausanlagen lassen sich normalerweise problemlos verkraften.

Genau das unterscheidet dezentrale Erzeugung von einem Großkraftwerk.

Diese Resilienzwirkung verschwindet jedoch teilweise, wenn hunderttausende physisch verteilte Anlagen von derselben Software, derselben Cloud und denselben administrativen Schnittstellen abhängig werden.

Aus 250.000 kleinen Anlagen wird digital plötzlich wieder eine große Anlage.

Nicht physikalisch.

Aber aus Sicht eines Angreifers.

Das ist wahrscheinlich die wichtigste Erkenntnis aus dem aktuellen Fall.

Das Problem endet nicht auf dem Dach

Photovoltaik ist dabei nur der Anfang.

Zu den Wechselrichtern kommen Batteriespeicher. Dazu kommen Millionen steuerbarer Wärmepumpen und Wallboxen. Elektrofahrzeuge werden zunehmend bidirektional laden können. Energiemanagementsysteme optimieren Erzeugung und Verbrauch automatisiert. Aggregatoren bündeln tausende kleine Anlagen zu virtuellen Kraftwerken.

All diese Technologien werden für ein zunehmend erneuerbares Stromsystem benötigt.

Gleichzeitig entsteht eine riesige cyber-physische Infrastruktur.

Software entscheidet dann nicht lediglich darüber, welche Daten angezeigt werden.

Software entscheidet darüber, wann Strom erzeugt, gespeichert oder verbraucht wird.

Cybersecurity bekommt damit unmittelbar eine physikalische Dimension.

„Blackout“ ist deshalb heute weniger Warnung vor Hackern als vor Abhängigkeiten

Der wichtigste Punkt in Elsbergs Roman ist rückblickend ohnehin nicht der konkrete Angriff.

Es ist die Kaskade danach.

Strom fällt aus. Mobilfunk und Telekommunikation funktionieren nur noch begrenzt. Tankstellen können keinen Kraftstoff ausgeben. Pumpen und Wasserwerke benötigen Energie. Logistik bricht weg. Kühlung fällt aus. Krankenhäuser wechseln auf Notstrom und werden dadurch wiederum von Kraftstoffversorgung und Logistik abhängig.

Aus einem IT-Problem wird ein Stromproblem.

Aus einem Stromproblem wird eine Versorgungslage.

Und aus einer Versorgungslage kann innerhalb relativ kurzer Zeit eine Bevölkerungsschutzlage werden.

Genau deshalb sollten Cybersecurity, Business Continuity Management und Katastrophenschutz bei solchen Szenarien nicht getrennt betrachtet werden.

Der beste Patch verhindert nicht jede Schwachstelle.

Und die beste Firewall garantiert nicht, dass ein Angriff niemals erfolgreich sein wird.

Organisationen und Staaten müssen deshalb gleichzeitig zwei Fragen beantworten:

Wie verhindern wir den Angriff?

Und: Was tun wir, wenn er trotzdem gelingt?

Die eigentliche Lehre aus Sungrow

Sungrow hat in diesem konkreten Fall schnell reagiert. Die Schwachstelle wurde innerhalb kurzer Zeit geschlossen. Es gibt derzeit keine Hinweise auf einen Missbrauch. Der Hersteller lässt seine Sicherheitsarchitektur zusätzlich extern überprüfen.

Das gehört ebenfalls zur vollständigen Geschichte.

Trotzdem wäre es falsch, den Fall damit abzuhaken.

Denn die Schwachstelle hat sichtbar gemacht, was Bundesregierung, BSI und die europäische Expertengruppe inzwischen unabhängig voneinander beschreiben: Die digitale Bündelung großer Mengen dezentraler Energieanlagen schafft eine neue Kategorie systemischer Risiken. tagesschau.de

Für Betreiber Kritischer Infrastrukturen und größere Unternehmen sollte die Herkunft und Architektur solcher Systeme deshalb künftig ebenso selbstverständlich Teil der Beschaffung sein wie Preis, Leistung und Wirkungsgrad.

Entscheidend ist nicht allein, ob ein Wechselrichter technisch gut funktioniert.

Relevant wird, wo seine Cloud betrieben wird, wer administrative Rechte besitzt, wie Fernwartung erfolgt, ob externe Zugriffe deaktivierbar sind, wie Firmware signiert und verteilt wird, ob der Betreiber ein Update kontrollieren kann und was mit der Anlage geschieht, wenn Herstellerplattform oder Internetverbindung ausfallen.

Und vor allem: Welche maximale elektrische Leistung kann über einen gemeinsamen administrativen Zugriff gleichzeitig beeinflusst werden?

Das ist eigentlich eine klassische Risikoanalyse.

Nur haben wir sie bei kleinen dezentralen Anlagen lange nicht gestellt.

Vielleicht war „Blackout“ an einer Stelle sogar zu konservativ

2012 musste Marc Elsberg für seinen Roman ein komplexes Angriffsszenario konstruieren.

Vierzehn Jahre später verbinden Hersteller ihre Produkte freiwillig mit zentralen Cloud-Plattformen. Millionen Geräte erhalten Updates aus der Ferne. Batteriespeicher und Wechselrichter lassen sich per App konfigurieren. Herstellerplattformen aggregieren elektrische Leistungen, die früher nur große Energieunternehmen kontrollierten.

Das alles hat gute Gründe. Ohne Digitalisierung wird die Energiewende kaum funktionieren.

Aber die Digitalisierung verändert die Definition Kritischer Infrastruktur.

Kritisch ist nicht mehr nur das große Kraftwerk, die Umspannanlage oder die Leitstelle.

Kritisch kann auch ein Cloud-Dienst werden, von dem hunderttausende eigentlich unkritische Geräte abhängen.

Der aktuelle Sungrow-Fall ist deshalb keine Bestätigung, dass Deutschland tatsächlich Sekunden vor einem „Superblackout“ stand. Dafür wissen wir zu wenig, und Hersteller und Sicherheitsforscher bewerten die technisch erreichbaren Eingriffe derzeit unterschiedlich.

Er ist aber ein ziemlich eindrucksvoller Beleg für eine andere These:

Dezentralität allein schafft noch keine Resilienz.

Wenn hunderttausende dezentrale Anlagen über denselben digitalen Kontrollpunkt erreichbar sind, entsteht dort ein neues Single Point of Failure.

Marc Elsbergs „Blackout“ beschreibt, was passiert, wenn eine hochgradig vernetzte Gesellschaft ihre technischen Abhängigkeiten erst bemerkt, nachdem zentrale Systeme nicht mehr funktionieren.

Vielleicht sollten wir diese Abhängigkeiten diesmal vorher sehen.

Quellen

Ausgangspunkt ist die aktuelle Recherche der ZEIT vom 7. Oktober 2026. ZEIT: Hackerangriff auf Solaranlagen

Die technische Beschreibung der gefundenen Schwachstelle stammt von Jakkaru. Jakkaru: Sungrow Vulnerability Exposes Gigawatts of Power Worldwide

Die am 8. Oktober aktualisierte Berichterstattung des Hessischen Rundfunks enthält sowohl die Sungrow-Stellungnahme als auch die Einschätzung des BSI und von Fraunhofer. Tagesschau/hessenschau: Wie kritisch war die Sungrow-Sicherheitslücke?

Weitere Details zu Patch, Nachprüfung und der von Sungrow beauftragten Untersuchung durch NCC Group enthält pv magazine. pv magazine: Sungrow patches iSolarCloud vulnerability

Die europäische Risikobewertung ist in „Recommendations to address cybersecurity risk in photovoltaic generation“, Version 1.1 vom 1. Oktober 2026, enthalten. EU Smart Energy Expert Group: Cybersecurity risks in photovoltaic generation

Zur deutschen Bewertung vernetzter Energieanlagen: Deutscher Bundestag: Cybersicherheit vernetzter Energieanlagen

Zum Cyber Resilience Act und den seit 11. September 2026 geltenden Meldepflichten: EU-Kommission: CRA Reporting Obligations

Zum Blackout auf der Iberischen Halbinsel und seinen tatsächlichen Ursachen: ENTSO-E: Final Report zum Blackout vom 28. April 2025

Marc Elsberg erläutert die Überlegungen hinter „Blackout“ in einem Interview auf seiner eigenen Website. Marc Elsberg: Interview zu BLACKOUT

Der Beitrag Hunderttausende Solaranlagen: und die Frage nach dem Blackout erschien zuerst auf Vor die Lage.

Cloud-Dienste sind für viele Unternehmen längst Teil der betrieblichen Grundversorgung. Damit verändert sich auch die Bewertung von Abhängigkeiten. Ein Rechenzentrum in Frankfurt oder Amsterdam macht eine Plattform noch nicht souverän. Entscheidend ist, wie viel Kontrolle ein Unternehmen über Daten, Identitäten, Schlüssel, Software und letztlich über seine eigene Betriebsfähigkeit behält.

Die Diskussion um digitale Souveränität wird schnell grundsätzlich. Europäische Anbieter gegen amerikanische Hyperscaler, Open Source gegen proprietäre Software oder eigene Rechenzentren gegen Public Cloud. Für Unternehmen führen solche Gegenüberstellungen allerdings nur begrenzt weiter.

AWS, Microsoft Azure oder Google Cloud bieten eine technologische Breite und Skalierung, die sich intern kaum wirtschaftlich nachbauen lässt. Moderne Datenplattformen, weltweite Netze, Security Services oder KI-Infrastruktur können Projekte erheblich beschleunigen. Es wäre deshalb wenig sinnvoll, Cloud-Nutzung grundsätzlich als Verlust von Souveränität zu betrachten.

Problematisch wird sie dort, wo aus einer technisch sinnvollen Abhängigkeit eine Abhängigkeit ohne belastbare Alternative wird.

Genau das passiert in vielen Unternehmen schleichend.

Ein Rechenzentrum in Europa reicht nicht

Beim Einkauf von Cloud-Diensten wird Souveränität häufig zunächst mit dem Standort der Daten gleichgesetzt. Liegen die Daten innerhalb Deutschlands oder zumindest innerhalb der Europäischen Union, scheint ein wichtiger Teil des Problems gelöst.

Das ist richtig, aber unvollständig.

Der physische Speicherort sagt zunächst nur, wo Daten verarbeitet oder gespeichert werden. Er sagt wenig darüber aus, wer die Plattform kontrolliert, welches Unternehmen administrative Zugriffe ausführen kann, welchem Recht der Betreiber unterliegt, wo Supportpersonal sitzt, wer die kryptografischen Schlüssel kontrolliert oder über welche Systeme Software-Updates ausgeliefert werden.

Besonders sichtbar wird diese Unterscheidung bei US-amerikanischen Cloud-Anbietern. Der US CLOUD Act führt nicht dazu, dass amerikanische Behörden beliebig auf Daten europäischer Kunden zugreifen könnten. Er schafft aber unter bestimmten Voraussetzungen rechtliche Möglichkeiten, US-Anbieter zur Herausgabe von Daten zu verpflichten, auch wenn diese außerhalb der USA gespeichert sind. Europäische Datenschutzbehörden beschäftigen sich deshalb seit Jahren mit möglichen Konflikten zwischen solchen Zugriffsansprüchen und europäischem Datenschutzrecht.[1]

Umgekehrt hat auch Europa reagiert. Der EU Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten unter anderem dazu, technische, organisatorische und rechtliche Maßnahmen gegen bestimmte unzulässige Zugriffe von Drittstaaten auf in der EU gespeicherte nicht personenbezogene Daten zu treffen.[2]

Damit wird deutlich: Datenlokation ist eine Komponente von Souveränität, aber nicht deren Definition.

Die eigentliche Abhängigkeit entsteht eine Ebene höher

Die stärksten Bindungen an einen Cloud-Anbieter entstehen heute häufig gar nicht beim Speicherplatz oder bei virtuellen Maschinen.

Sie entstehen durch Plattformdienste.

Eine Anwendung, die auf virtuellen Servern läuft und ihre Daten in einer weitgehend standardisierten Datenbank hält, lässt sich mit Aufwand auf eine andere Infrastruktur übertragen. Anders sieht es aus, wenn dieselbe Anwendung eng mit proprietären Identity Services, serverlosen Funktionen, Event-Plattformen, Datenbanken, Security-Werkzeugen, KI-APIs und herstellerspezifischen Managementdiensten verbunden ist.

Jeder einzelne dieser Dienste kann technisch sinnvoll sein. Zusammen entsteht jedoch eine Architektur, deren Wechselkosten kontinuierlich steigen.

Der Lock-in steckt dann nicht im Vertrag, sondern im Systemdesign.

Das gilt inzwischen besonders für KI. Unternehmen speichern nicht mehr nur Daten in einer Cloud. Dort entstehen Vektordatenbanken, Embeddings, Modellzugriffe, RAG-Architekturen, Agenten, Governance-Funktionen und ganze Entwicklungsumgebungen. Wer diese Komponenten ausschließlich mit proprietären Diensten eines Anbieters aufbaut, bindet nicht nur Infrastruktur, sondern zunehmend auch Wissen und Geschäftslogik an eine Plattform.

Das muss kein Fehler sein. Ein Lock-in kann wirtschaftlich vernünftig sein, wenn der Nutzen größer ist als das damit verbundene Risiko. Problematisch wird er erst dann, wenn niemand weiß, wie groß diese Abhängigkeit tatsächlich geworden ist.

Multicloud löst das Problem nicht automatisch

Eine häufig genannte Antwort lautet Multicloud. Werden mehrere Anbieter eingesetzt, könne ein Unternehmen bei Problemen einfach ausweichen.

In der Praxis funktioniert das selten so einfach.

Eine Anwendung gleichzeitig für Azure, AWS und Google Cloud vollständig portabel zu halten, kann erhebliche zusätzliche Entwicklungs-, Betriebs- und Testkosten verursachen. Hinzu kommen unterschiedliche Sicherheitsmodelle, IAM-Strukturen, Netzwerkarchitekturen und Betriebswerkzeuge. Wer versucht, jede technische Besonderheit der Anbieter zu vermeiden, verzichtet unter Umständen gerade auf diejenigen Funktionen, wegen derer die Cloud ursprünglich gewählt wurde.

Multicloud ist deshalb nicht automatisch eine Resilienzstrategie.

Sinnvoller ist es, gezielt zu entscheiden, wo Portabilität tatsächlich erforderlich ist.

Für ein zeitkritisches Produktionssystem kann es sinnvoll sein, Datenformate, Deployment und Datenbank so zu gestalten, dass eine Migration möglich bleibt. Bei einem weniger kritischen Collaboration-Dienst kann das Unternehmen dagegen bewusst eine stärkere Herstellerbindung akzeptieren – sofern Datenexport, Notbetrieb und Wiederanlauf geklärt sind.

Souveränität bedeutet damit nicht, jede Komponente jederzeit austauschen zu können. Sie bedeutet, Abhängigkeiten zu kennen und dort Alternativen vorzubereiten, wo ihr Ausfall oder Wegfall das Unternehmen ernsthaft treffen würde.

Europa versucht, Wechselmöglichkeiten regulatorisch zu stärken

Interessant ist, dass sich inzwischen auch die europäische Regulierung stärker mit genau dieser praktischen Seite der Cloud-Abhängigkeit beschäftigt.

Der EU Data Act gilt seit dem 12. September 2025. Sein Kapitel VI enthält konkrete Vorgaben zum Wechsel zwischen Datenverarbeitungsdiensten. Anbieter müssen Hindernisse abbauen, die Kunden am Wechsel zu einem anderen Anbieter oder zurück auf eine eigene Infrastruktur hindern. Verträge müssen entsprechende Wechselmöglichkeiten berücksichtigen und die Übertragung exportierbarer Daten und digitaler Assets regeln.[2]

Ab dem 12. Januar 2027 dürfen Anbieter für den eigentlichen Wechsel keine Wechselentgelte mehr verlangen. Der regulatorische Ansatz ist bemerkenswert: Vendor Lock-in wird damit nicht nur als technisches Architekturproblem betrachtet, sondern ausdrücklich als Wettbewerbs- und Souveränitätsthema.

Dass die Problematik inzwischen auch wettbewerbsrechtlich relevant ist, zeigte die EU-Kommission im Juni 2026. Sie teilte Amazon und Microsoft ihre vorläufige Auffassung mit, dass AWS und Azure wegen ihrer Marktstellung als Gatekeeper unter dem Digital Markets Act eingestuft werden sollten. Als Gründe nennt die Kommission ausdrücklich Lock-in-Effekte, hohe Wechselkosten und die großen Ökosysteme der Anbieter. Die Prüfung ist noch kein endgültiger Beschluss, zeigt aber, wie weit das Thema inzwischen über klassische IT-Architektur hinausgeht.[3]

Noch deutlicher wird die politische Richtung beim im Juni 2026 vorgelegten Vorschlag für den Cloud and AI Development Act (CADA). Die Kommission schlägt darin einen EU-weiten Rahmen zur Bewertung von Cloud- und KI-Souveränität vor. Dieser soll verschiedene Souveränitätsstufen unterscheiden – von der Verarbeitung innerhalb der EU bis zu weitreichenden Anforderungen an Eigentum, Kontrolle und Software-Lieferketten. Wichtig ist dabei der rechtliche Status: CADA ist derzeit ein Gesetzgebungsvorschlag und noch kein geltendes Recht.[4]

Damit bekommt ein bislang vergleichsweise unscharfer Begriff erstmals deutlich konkretere Kriterien.

Souveränität muss in der Architektur sichtbar werden

Für Unternehmen ergibt sich daraus eine sehr praktische Aufgabe. Sie sollten nicht versuchen, einen Anbieter pauschal als „souverän“ oder „nicht souverän“ einzustufen. Relevant ist vielmehr die konkrete Kombination aus Anwendung, Daten, Schutzbedarf und Abhängigkeit.

Am Anfang steht deshalb eine Bestandsaufnahme: Welche geschäftskritischen Prozesse hängen von welchen Cloud-Diensten ab? Dabei reicht es nicht, lediglich „Microsoft“, „AWS“ oder „Google“ in eine Lieferantenliste einzutragen.

Die Abhängigkeit liegt häufig tiefer.

Welche Identitätsplattform authentifiziert die Administratoren? Wo liegen die kryptografischen Schlüssel? Welche SaaS-Anwendung enthält die einzige aktuelle Kopie bestimmter Geschäftsdaten? Von welchem Dienst hängen Backups ab? Welche APIs werden für zentrale Geschäftsprozesse benötigt? Lassen sich Protokolldaten exportieren? Kann auf Daten noch zugegriffen werden, wenn der zentrale Identity Provider nicht verfügbar ist?

Eine solche Betrachtung verändert das Bild erheblich.

Ein Unternehmen kann beispielsweise seine Anwendungen auf mehrere Rechenzentren verteilen und trotzdem einen Single Point of Failure besitzen, wenn sämtliche administrativen Zugriffe über einen einzigen Cloud-Identity-Dienst laufen.

Der Exit gehört bereits in die Beschaffung

Besonders häufig wird über den Ausstieg aus einem Cloud-Dienst erst nachgedacht, wenn er tatsächlich notwendig wird.

Dann ist es zu spät.

Eine belastbare Cloud-Strategie behandelt die Exit-Frage bereits bei Architektur und Beschaffung. Dabei geht es nicht um einen theoretischen Satz im Vertrag, wonach der Anbieter bei Vertragsende Daten bereitstellt. Ein Unternehmen muss wissen, welche Daten tatsächlich exportiert werden können, in welchem Format sie vorliegen, wie lange ein vollständiger Export dauert und welche Funktionen nach einer Migration verloren gehen.

Bei einigen SaaS-Lösungen lassen sich Dokumente problemlos exportieren, während Metadaten, Berechtigungen, Auditinformationen oder Workflow-Logik nur eingeschränkt übertragen werden können. Bei PaaS-Plattformen lässt sich vielleicht die Datenbank migrieren, nicht aber die gesamte umgebende Geschäftslogik.

Ein technisch möglicher Export ist daher noch keine funktionierende Exit-Strategie.

Das BSI greift diesen Gedanken beispielsweise in seinem Mindeststandard zur Nutzung externer Cloud-Dienste auf. Bei Beendigung eines Cloud-Nutzungsverhältnisses sollen Datenrückgabe und Datenlöschung kontrolliert und dokumentiert werden. Der zugrunde liegende Gedanke lässt sich auch außerhalb der Bundesverwaltung sinnvoll übertragen: Der Lebenszyklus einer Cloud-Nutzung endet nicht mit der Vertragsunterschrift, sondern erst mit einer geordneten Ablösung.[5]

Wer die Schlüssel kontrolliert, kontrolliert noch lange nicht alles

Verschlüsselung spielt bei souveränen Cloud-Konzepten zu Recht eine wichtige Rolle. Customer Managed Keys, Bring Your Own Key oder externe Key-Management-Systeme können die Kontrolle des Kunden erheblich erhöhen.

Aber auch hier lohnt ein genauer Blick.

Wenn die Anwendung Daten zur Verarbeitung entschlüsseln muss und der Cloud-Anbieter gleichzeitig wesentliche Teile der Laufzeitumgebung kontrolliert, löst die Kontrolle über den Schlüssel nicht automatisch sämtliche Zugriffsrisiken. Entscheidend ist, an welcher Stelle entschlüsselt wird, wer Zugriff auf die Verarbeitungsebene besitzt und wie Administration und Schlüsselverwaltung voneinander getrennt sind.

Bei besonders sensiblen Anwendungen können deshalb zusätzliche Konzepte wie Confidential Computing oder eine vom Cloud-Anbieter organisatorisch und technisch getrennte Schlüsselverwaltung sinnvoll sein.

Auch hier gilt: Ein einzelnes Sicherheitsmerkmal erzeugt noch keine Souveränität.

Open Source hilft – wenn man es betreiben kann

Ähnliches gilt für Open Source.

Offene Software kann Abhängigkeiten reduzieren, weil Quellcode verfügbar ist, Schnittstellen nachvollziehbarer sind und grundsätzlich die Möglichkeit besteht, Software selbst oder durch einen anderen Dienstleister weiterbetreiben zu lassen.

Doch ein Repository auf GitHub ist noch keine Exit-Strategie.

Wer eine Plattform nach dem Ausfall eines Dienstleisters theoretisch selbst betreiben könnte, dafür aber weder Personal noch Dokumentation noch Infrastruktur besitzt, hat nur eine formale Alternative. Deshalb rückt inzwischen auch die Europäische Union neben der Verfügbarkeit von Open Source stärker dessen nachhaltige Pflege, Governance und Finanzierung in den Mittelpunkt. Die 2026 vorgestellte EU Open Source Strategy verknüpft offene Technologien ausdrücklich mit technologischer Souveränität und der Reduzierung von Abhängigkeiten.[6]

Für Unternehmen ist das ein wichtiger Unterschied: Relevant ist nicht nur, ob eine Technologie offen ist, sondern ob tatsächlich mehrere realistische Betriebs- und Supportoptionen existieren.

Cloud-Souveränität ist auch Business Continuity

Gerade bei geschäftskritischen Cloud-Diensten sollte das Thema deshalb aus der reinen IT-Architektur herausgeholt werden.

Der Ausfall eines Cloud-Anbieters ist nur eines der möglichen Szenarien. Ebenso relevant sind ein Ausfall des Identity Providers, eine größere Fehlkonfiguration, ein kompromittiertes Administratorkonto, der Verlust des Managementzugangs, ein regionales Infrastrukturproblem, eine Unterbrechung wichtiger APIs oder eine Situation, in der ein Dienst aufgrund rechtlicher oder geopolitischer Veränderungen nicht mehr wie bisher genutzt werden kann.

Business Continuity und IT Service Continuity Management sollten solche Abhängigkeiten berücksichtigen.

Dabei muss nicht für jedes denkbare Ereignis eine zweite vollständige Cloud-Umgebung bereitstehen. Häufig reicht eine abgestufte Strategie. Für besonders kritische Funktionen kann echte technische Redundanz notwendig sein. Andere Prozesse benötigen einen zeitlich begrenzten Notbetrieb. Wieder andere können einige Tage stillstehen, wenn anschließend Daten und Systeme zuverlässig wiederhergestellt werden können.

Erst diese Einordnung macht aus einer allgemeinen Forderung nach digitaler Souveränität ein handhabbares Risikomanagement.

Die sinnvollere Frage lautet: Welche Optionen bleiben uns?

Vollständige technologische Unabhängigkeit ist für die meisten Unternehmen weder realistisch noch wirtschaftlich sinnvoll. Selbst ein eigenes Rechenzentrum besteht aus Prozessoren, Betriebssystemen, Netzwerkkomponenten, Softwarebibliotheken und Sicherheitsprodukten internationaler Hersteller.

Souveränität kann deshalb nicht bedeuten, jede Abhängigkeit zu vermeiden.

Sie zeigt sich darin, ob eine Organisation ihre Abhängigkeiten kennt, bewusst eingeht und kritische Entscheidungen weiterhin selbst treffen kann.

Dazu gehört die Wahl des Datenstandorts ebenso wie die Kontrolle von Identitäten und Schlüsseln. Dazu gehören offene Schnittstellen, nachvollziehbare Lieferketten und vertragliche Regelungen. Vor allem gehört dazu aber die Fähigkeit, Daten zurückzuerhalten, Anwendungen zu migrieren und kritische Prozesse weiterzubetreiben, wenn sich technische, wirtschaftliche oder politische Rahmenbedingungen ändern.

Eine Cloud-Architektur ist deshalb nicht schon dann souverän, wenn der Anbieter dieses Wort auf seine Produktseite schreibt.

Sie ist dann belastbar, wenn das Unternehmen auch unter ungünstigen Bedingungen noch reale Handlungsoptionen besitzt.

Quellen und weiterführende Informationen

[1] European Data Protection Board / European Data Protection Supervisor: Stellungnahme zu möglichen Auswirkungen des US CLOUD Act auf den europäischen Datenschutzrahmen.

[2] Verordnung (EU) 2023/2854 – EU Data Act, insbesondere Kapitel VI zum Wechsel zwischen Datenverarbeitungsdiensten, Artikel 29 zu Wechselentgelten sowie Artikel 32 zum Zugriff von Drittstaaten. Der Data Act gilt grundsätzlich seit dem 12. September 2025; Wechselentgelte werden zum 12. Januar 2027 abgeschafft.

[3] Europäische Kommission, 25. Juni 2026: Vorläufige Position zur möglichen Gatekeeper-Einstufung von Amazon AWS und Microsoft Azure unter dem Digital Markets Act.

[4] Europäische Kommission, 3. Juni 2026: Vorschlag für den Cloud and AI Development Act sowie europäisches Technologiesouveränitätspaket. Der vorgeschlagene Rahmen sieht vier Abstufungen für Cloud- und KI-Souveränität vor.

[5] Bundesamt für Sicherheit in der Informationstechnik: Mindeststandard zur Nutzung externer Cloud-Dienste, einschließlich Anforderungen an Beendigung, Datenrückgabe und Datenlöschung; ergänzend Cloud Computing Compliance Criteria Catalogue (C5).

[6] Europäische Kommission: EU Open Source Strategy, veröffentlicht im Rahmen des Technologiesouveränitätspakets am 3. Juni 2026.

[7] Ausgangspunkt und thematischer Impuls: Prof. Dr. Iris Lorscheid, „Kritische Infrastruktur Cloud: Warum jetzt Souveränität zählt“, Security-Insider, 5. Oktober 2026.

Der Beitrag Cloud-Souveränität beginnt nicht beim Standort des Rechenzentrums erschien zuerst auf Vor die Lage.

Verfassungsschutzpräsident Sinan Selen sprach von hybriden Angriffen auf Deutschlands Souveränität. BND-Präsident Martin Jäger bezeichnete Russland als den aktuell gefährlichsten Gegner Deutschlands. MAD-Präsidentin Martina Rosenberg wiederum machte deutlich, dass aus einer früher eher abstrakten Gefährdungslage konkrete Angriffe geworden seien.

Für Unternehmen ist diese Entwicklung von erheblicher Bedeutung. Denn hybride Bedrohungen treffen längst nicht mehr ausschließlich staatliche Institutionen, Streitkräfte oder Nachrichtendienste. Transportwege, Energieversorgung, Telekommunikation, Logistik, industrielle Produktion, IT-Dienstleister und Lieferketten sind Teil derselben gesellschaftlichen Infrastruktur. Unternehmen können deshalb sowohl unmittelbares Ziel als auch Kollateralschaden einer Auseinandersetzung sein, die zunächst gar nicht gegen sie gerichtet war.

Der Konflikt findet längst unterhalb der Kriegsschwelle statt

Der Begriff „hybrid“ wird inzwischen häufig verwendet, bleibt aber in der betrieblichen Praxis oft abstrakt. Gemeint ist die Kombination verschiedener staatlicher und nichtstaatlicher Mittel: Cyberangriffe, Spionage, Sabotage, Desinformation, Einflussoperationen, wirtschaftlicher Druck und teilweise auch physische Gewalt.

Das Entscheidende ist die Verbindung dieser Instrumente.

Ein Cyberangriff kann beispielsweise einen Logistikbetrieb stören. Zeitgleich verbreitete Desinformation kann Zweifel an der Ursache oder am Krisenmanagement erzeugen. Die Ausspähung von Transportbewegungen kann wiederum die Vorbereitung weiterer Maßnahmen ermöglichen. Physische Sabotage kann schließlich technische Störungen hervorrufen, die zunächst wie ein gewöhnlicher Betriebsunfall wirken.

Genau diese Mehrdeutigkeit gehört zur Logik hybrider Angriffe.

Der Angreifer versucht nicht zwangsläufig, möglichst spektakulär aufzutreten. Oft ist das Gegenteil sinnvoller: Unsicherheit darüber, was überhaupt geschehen ist, erschwert Reaktion, Attribution und politische Konsequenzen.

Für Unternehmen ergibt sich daraus ein grundlegendes Problem. Klassische Risikobetrachtungen trennen häufig zwischen Cybersecurity, physischer Sicherheit, Business Continuity, Lieferkettenrisiken und Krisenkommunikation. Ein hybrider Angriff hält sich nicht an diese organisatorischen Grenzen.

Transport, Logistik und Infrastruktur geraten besonders in den Fokus

Der Verfassungsschutz nennt aktuell insbesondere Transport und Verkehr, die Verteidigungsindustrie sowie militärische Infrastruktur als gefährdete Bereiche.

Das ist zunächst nachvollziehbar: Moderne Gesellschaften und Streitkräfte funktionieren nur, solange Waren, Energie, Daten und Menschen bewegt werden können. Wer diese Verbindungen stört, benötigt nicht zwingend einen Angriff auf ein militärisches Ziel.

Ein ausgefallener Umschlagplatz, eine gestörte Bahnstrecke, ein kompromittierter Logistikdienstleister oder eine manipulierte Energieversorgung können erhebliche Folgewirkungen entwickeln.

Dabei endet die Betrachtung nicht beim Betreiber einer kritischen Infrastruktur.

Ein produzierendes Unternehmen kann nach wenigen Stunden betroffen sein, wenn Vormaterial nicht geliefert wird. Ein Krankenhaus kann unter Druck geraten, wenn Versorgungswege ausfallen. Einzelhandel und Logistik sind abhängig von Energie, Kommunikation, Kraftstoff, Zahlungsverkehr und Transportkapazitäten. Selbst ein Unternehmen ohne jede formale KRITIS-Einstufung kann damit erhebliche Abhängigkeiten von kritischen Infrastrukturen besitzen.

Das eigentliche Risiko liegt deshalb häufig nicht im eigenen Unternehmen, sondern einige Stufen davor.

Eine moderne Business-Impact-Analyse sollte diese Abhängigkeiten sichtbar machen.

Low-Level-Agenten verändern das Sabotagerisiko

Besonders relevant ist eine Entwicklung, vor der die deutschen Sicherheitsbehörden bereits seit einiger Zeit warnen: der Einsatz sogenannter Low-Level-Agenten.

Dabei handelt es sich nicht um klassische, langfristig geführte Nachrichtendienstmitarbeiter. Menschen können über soziale Netzwerke oder Messenger für vergleichsweise einfache Aufgaben angeworben werden. Das Spektrum reicht von Fotografien und Ausspähung bis zu Sachbeschädigungen oder Sabotage.

Der Aufwand für den Auftraggeber kann gering sein.

Genau darin liegt das Problem.

Ein Unternehmen muss bei Sabotage nicht mehr zwangsläufig mit einem professionell ausgebildeten Täter rechnen, dessen Verhalten frühzeitig auffällt. Bestimmte Aufgaben können an Personen ausgelagert werden, die über wenig Fachwissen verfügen und lediglich konkrete Anweisungen erhalten.

Damit verändern sich auch Schutzkonzepte.

Technische Hochsicherheit allein reicht nicht aus, wenn einfache Schwachstellen bestehen: frei zugängliche Nebeneingänge, schlecht überwachte Außenbereiche, öffentlich dokumentierte Betriebsabläufe, ungeschützte technische Einrichtungen oder Informationen, die Beschäftigte beiläufig über soziale Netzwerke veröffentlichen.

Auch scheinbar banale Beobachtungen können relevant werden. Wiederholte Fotografien technischer Anlagen, ungewöhnliche Fragen zu Betriebszeiten oder Lieferwegen, manipulierte Zugangseinrichtungen oder auffällige Drohnenflüge müssen nicht automatisch Ausdruck einer feindlichen Handlung sein. Sie sollten aber auch nicht grundsätzlich als bedeutungslos betrachtet werden.

Entscheidend ist ein funktionierender Meldeweg.

Beschäftigte müssen nicht selbst beurteilen, ob sie gerade Spionage oder Sabotage beobachten. Sie müssen wissen, wo eine ungewöhnliche Beobachtung gemeldet werden kann und wer sie anschließend bewertet.

Cyber und physische Sicherheit lassen sich kaum noch trennen

Noch immer behandeln viele Organisationen Informationssicherheit und physische Sicherheit als getrennte Disziplinen.

Das entspricht zunehmend nicht mehr dem tatsächlichen Risiko.

Ein Cyberangriff kann physische Prozesse beeinflussen. Eine physische Manipulation kann wiederum den Zugang zu digitalen Systemen ermöglichen. Informationen aus sozialen Netzwerken können zur Vorbereitung eines Einbruchs dienen. Kompromittierte Kameras können Bewegungen beobachten. Gestohlene Zugangsdaten ermöglichen möglicherweise die Vorbereitung physischer Maßnahmen.

Die russischen Aktivitäten gegen westliche Logistikorganisationen zeigen diese Verbindung besonders deutlich. Sicherheitsbehörden mehrerer Staaten haben vor Kampagnen gewarnt, bei denen Logistikunternehmen und Technologieanbieter ausgespäht wurden. Dabei standen nicht ausschließlich Unternehmensdaten im Mittelpunkt. Auch Informationen über Transportbewegungen und logistische Abläufe können von erheblichem strategischem Wert sein.

Für Unternehmen verändert sich damit die Frage, welche Informationen eigentlich schützenswert sind.

Nicht nur vertrauliche Dokumente oder personenbezogene Daten besitzen einen Wert.

Auch Informationen darüber, wann bestimmte Lieferungen eintreffen, welche Transportwege genutzt werden, wann ein Standort besonders schwach besetzt ist oder welche Systeme bei einem Ausfall zuerst benötigt werden, können ein Lagebild ermöglichen.

Informationsschutz muss deshalb stärker vom möglichen Nutzen für einen Angreifer aus gedacht werden.

Vernetzter Extremismus ist ein zweites Risikofeld

Neben staatlichen Bedrohungen warnen die Nachrichtendienste ausdrücklich vor internationalem Terrorismus und gewaltorientiertem Extremismus.

Besonders auffällig ist dabei die zunehmende digitale Vernetzung.

Radikalisierungsprozesse können heute sehr schnell stattfinden. Menschen bewegen sich in digitalen Gemeinschaften, in denen Gewalt legitimiert, Feindbilder verstärkt und Aktionen teilweise gegenseitig angefeuert werden. Sicherheitsbehörden beobachten dabei auch sehr junge Akteure und Minderjährige mit hoher Gewaltbereitschaft.

Für Unternehmen entsteht daraus ein weiteres Risikospektrum.

Standorte mit politischer, gesellschaftlicher oder symbolischer Bedeutung können Ziel extremistischer Aktionen werden. Gleiches gilt für Energieanlagen, Verkehrswege oder Unternehmen, die bestimmten Branchen zugerechnet werden.

Dabei ist eine saubere Trennung wichtig.

Russische Nachrichtendienste, Terrororganisationen und gewaltorientierte Extremisten sind unterschiedliche Akteure mit unterschiedlichen Motiven. Ähnliche Ziele oder Methoden bedeuten nicht automatisch eine organisatorische Verbindung.

Für das Krisenmanagement ist jedoch häufig zunächst etwas anderes entscheidend: Die Auswirkungen können ähnlich sein.

Ein Brandanschlag auf eine technische Einrichtung führt unabhängig von der später ermittelten Motivation zunächst zu denselben betrieblichen Fragen. Menschen müssen geschützt, Bereiche gesichert, Ersatzverfahren aktiviert und Kommunikation organisiert werden.

Die Attribution ist für Sicherheitsbehörden wichtig. Die Aufrechterhaltung des Betriebs ist Aufgabe des Unternehmens.

Das größte Problem sind häufig voneinander getrennte Informationen

Hybride Bedrohungen machen eine organisatorische Schwäche besonders sichtbar: Informationen liegen häufig an unterschiedlichen Stellen.

Der Werkschutz registriert einen ungewöhnlichen Vorfall am Zaun.

Die IT entdeckt verdächtige Netzwerkaktivitäten.

Der Einkauf erhält merkwürdige Anfragen zu einem Lieferanten.

Ein Mitarbeiter meldet einen auffälligen Kontakt über LinkedIn.

Die Kommunikationsabteilung bemerkt plötzlich verbreitete Falschinformationen über das Unternehmen.

Jedes Ereignis für sich kann eine harmlose Erklärung haben.

Die entscheidende Frage lautet deshalb nicht, ob jeder ungewöhnliche Vorfall sofort als Angriff interpretiert werden sollte. Das wäre ebenso falsch wie gefährlich.

Die Frage lautet vielmehr, ob eine Organisation überhaupt erkennen würde, wenn mehrere scheinbar unabhängige Ereignisse zusammengehören.

Dafür braucht es ein gemeinsames Lagebild.

Security, Informationssicherheit, BCM, Betrieb, Kommunikation und gegebenenfalls Corporate Intelligence müssen Informationen in definierten Situationen zusammenführen können. Dabei sollte konsequent zwischen bestätigten Tatsachen, Annahmen und offenen Fragen unterschieden werden.

Ein gutes Lagebild produziert keine Gewissheit, wo keine vorhanden ist.

Es reduziert Unsicherheit so weit, dass Entscheidungen getroffen werden können.

Business Continuity muss von Abhängigkeiten ausgehen

Aus Sicht des Business Continuity Managements führen hybride Bedrohungen zurück zu einer sehr klassischen Frage:

Welche Leistungen müssen auch dann noch funktionieren, wenn wesentliche Voraussetzungen plötzlich nicht mehr verfügbar sind?

Die Antwort darf nicht bei IT-Systemen enden.

Unternehmen benötigen Strom, Telekommunikation, Gebäude, Personal, Lieferanten, Logistik, Zahlungsverkehr, externe Dienstleister und funktionierende Entscheidungsstrukturen.

Aus der Business-Impact-Analyse muss deshalb eine Abhängigkeitsanalyse werden.

Besonders kritisch sind dabei sogenannte Common-Mode-Failures.

Zwei Internetanschlüsse schaffen beispielsweise nur dann echte Redundanz, wenn sie nicht über dieselbe physische Trasse laufen. Zwei Rechenzentren helfen wenig, wenn beide von derselben Stromversorgung oder demselben Netzbetreiber abhängen. Ein alternativer Kommunikationskanal ist nutzlos, wenn seine Authentifizierung wiederum vom ausgefallenen Identity Provider abhängt.

Ähnliches gilt für Lieferketten.

Ein Unternehmen kann fünf Lieferanten besitzen und trotzdem keine wirkliche Redundanz haben, wenn alle dieselbe Rohstoffquelle, denselben Hafen oder denselben Logistikdienstleister verwenden.

Resilienz entsteht nicht durch die Anzahl von Alternativen.

Sie entsteht durch deren tatsächliche Unabhängigkeit.

Krisenkommunikation wird selbst zum Angriffsziel

Ein weiterer Aspekt hybrider Bedrohungen betrifft die Kommunikation.

In einer Krise reicht es nicht, technisch weiterhin Nachrichten versenden zu können. Ein Unternehmen muss auch sicherstellen können, dass Informationen authentisch sind.

Was passiert, wenn plötzlich Nachrichten angeblich von der Geschäftsführung auftauchen?

Was geschieht, wenn Screenshots interner Kommunikation veröffentlicht werden?

Was passiert, wenn echte Informationen mit manipulierten Inhalten kombiniert werden?

Generative KI verschärft dieses Problem zusätzlich. Gefälschte Texte, Stimmen, Bilder und Videos lassen sich inzwischen mit geringem Aufwand erzeugen. Entscheidend ist deshalb nicht, jede Fälschung technisch zweifelsfrei erkennen zu können.

Organisationen benötigen verlässliche Vertrauensanker.

Für besonders kritische Entscheidungen muss festgelegt sein, wie eine Anweisung unabhängig bestätigt werden kann. Krisenstäbe brauchen alternative Kommunikationswege. Ansprechpartner und Eskalationswege müssen auch außerhalb der regulären IT verfügbar sein.

Ein Krisenkommunikationsplan sollte daher nicht nur die Frage beantworten, über welchen Kanal kommuniziert wird.

Er sollte auch beantworten, wann diesem Kanal noch vertraut werden kann.

Unternehmen sollten keine Geheimdienste spielen

Eine Gefahr bei der Beschäftigung mit hybriden Bedrohungen besteht darin, anschließend überall feindliche Aktivitäten zu vermuten.

Das wäre kontraproduktiv.

Nicht jede technische Störung ist Sabotage. Nicht jede Drohne betreibt Spionage. Nicht jeder ungewöhnliche Kontakt ist ein Nachrichtendienstmitarbeiter. Und politische Kritik an einem Unternehmen ist selbstverständlich keine Sicherheitsbedrohung.

Professionelles Sicherheitsmanagement benötigt deshalb nachvollziehbare Kriterien.

Meldungen müssen dokumentiert, bewertet und gegebenenfalls mit anderen Informationen abgeglichen werden. Bei ernsthaften Verdachtsmomenten müssen Sicherheitsbehörden eingebunden werden.

Unternehmen sollen keine Nachrichtendienstanalyse betreiben.

Ihre Aufgabe besteht darin, relevante Auffälligkeiten überhaupt erkennen zu können, Beweise nicht unnötig zu zerstören und im Ernstfall handlungsfähig zu bleiben.

Übungen müssen Unsicherheit erzeugen

Gerade hybride Szenarien eignen sich hervorragend für Krisenübungen.

Allerdings sollten solche Übungen nicht daraus bestehen, dem Krisenstab zu Beginn mitzuteilen: „Russland führt gerade einen hybriden Angriff gegen Ihr Unternehmen durch.“

Im wirklichen Ereignis wird diese Information kaum vorliegen.

Ein realistisches Szenario beginnt anders.

Ein Produktionssystem verhält sich ungewöhnlich.

Kurz darauf fällt ein Dienstleister aus.

Eine Drohne wird über dem Betriebsgelände beobachtet.

In sozialen Netzwerken erscheinen Fotos einer angeblichen Störung.

Ein Mitarbeiter erhält eine ungewöhnliche Kontaktanfrage.

Eine journalistische Anfrage erreicht die Kommunikation.

Niemand weiß zunächst, ob diese Ereignisse zusammengehören.

Genau dort beginnt Krisenmanagement.

Der Stab muss Informationen sammeln, Hypothesen bilden, Entscheidungen treffen und gleichzeitig vermeiden, aus Vermutungen Tatsachen zu machen.

Das ist eine wesentlich anspruchsvollere Übung als ein bekanntes Ransomware-Szenario mit klar erkennbarem Auslöser.

Denn die eigentliche Herausforderung einer hybriden Lage ist Unsicherheit.

Resilienz wird damit zur Führungsaufgabe

Die Aussagen der Nachrichtendienstpräsidenten sollten nicht dazu führen, dass Unternehmen plötzlich geopolitische Szenarien in jede Risikoanalyse aufnehmen.

Sie sollten aber dazu führen, bestehende Annahmen zu überprüfen.

Die Sicherheitslage Europas hat sich verändert. Staatliche Akteure setzen Cyberangriffe, Spionage, Sabotage und Informationsoperationen ein. Gleichzeitig entstehen durch terroristische und extremistische Netzwerke weitere Bedrohungen.

Unternehmen können diese Entwicklungen nicht verhindern.

Sie können jedoch beeinflussen, wie verwundbar sie gegenüber deren Auswirkungen sind.

Dazu gehören belastbare Abhängigkeitsanalysen, funktionierende Business-Continuity-Strukturen, sichere Kommunikation, ein Zusammenspiel von physischer und digitaler Sicherheit und vor allem regelmäßig geübte Krisenorganisationen.

Für Geschäftsleitungen ergibt sich daraus eine vergleichsweise einfache Prüfgröße:

Wenn morgen gleichzeitig ein wesentlicher IT-Dienstleister ausfällt, ein Standort nicht erreichbar ist und die Zuverlässigkeit der regulären Kommunikationswege infrage steht – weiß die Organisation dann, wer entscheidet, wie kommuniziert wird und welche Leistungen unbedingt weiterlaufen müssen?

Wenn diese Frage nicht klar beantwortet werden kann, liegt das eigentliche Risiko weniger darin, welcher Akteur Deutschland möglicherweise angreift.

Es liegt in der eigenen Vorbereitung.

Quellen und weiterführende Informationen

Deutscher Bundestag, 5. Oktober 2026: „Nachrichtendienste sehen Russland als gefährlichsten Gegner“. Zusammenfassung der öffentlichen Anhörung von BND-Präsident Martin Jäger, BfV-Präsident Sinan Selen und MAD-Präsidentin Martina Rosenberg vor dem Parlamentarischen Kontrollgremium. Deutscher Bundestag – Nachrichtendienste sehen Russland als gefährlichsten Gegner

Deutscher Bundestag, 5. Oktober 2026: Öffentliche Anhörung der Präsidenten der Nachrichtendienste des Bundes vor dem Parlamentarischen Kontrollgremium. Deutscher Bundestag – Öffentliche Anhörung der Nachrichtendienste

Bundesamt für Verfassungsschutz, Mai 2025: „Gefährdungen durch russische Spionage, Sabotage und Desinformation“. Die Veröffentlichung beschreibt unter anderem Sabotage gegen kritische Infrastruktur, Lieferketten und Verkehrswege sowie den Einsatz sogenannter Low-Level-Agenten. BfV – Gefährdungen durch russische Spionage, Sabotage und Desinformation

Bundesamt für Sicherheit in der Informationstechnik: BSI-Standard 200-4 „Business Continuity Management“. Der Standard beschreibt den Aufbau und Betrieb eines BCMS einschließlich Business-Impact-Analyse, Kontinuitätsstrategien, Wiederanlaufplanung sowie Übungen und Tests. BSI – Standard 200-4 Business Continuity Management

Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: LÜKEX 23 „Cyberangriff auf das Regierungshandeln“. Die Übung behandelte unter anderem den Ausfall staatlicher IT-Infrastruktur, erhebliche Einschränkungen kritischer Prozesse und eine begleitende Medienkampagne. BBK – LÜKEX 23 Cyberangriff auf das Regierungshandeln

BBK: Auswertungsbericht zur LÜKEX 23. Der Bericht enthält Erkenntnisse zur ressort- und organisationsübergreifenden Zusammenarbeit, Aufrechterhaltung kritischer Funktionen, Krisenorganisation und Kommunikation. BBK – Auswertungsbericht LÜKEX 23

Bundesregierung, 7. September 2026: Regierungspressekonferenz unter anderem zur sichergestellten Drohne am Flughafen Leipzig/Halle, Drohnenabwehr und zum Cyberangriff auf das Berliner Landesnetz. Bundesregierung – Regierungspressekonferenz vom 7. September 2026

DER SPIEGEL, 5. Oktober 2026: Berichterstattung über die öffentliche Anhörung der Nachrichtendienstchefs und deren Warnungen vor Russland sowie vernetzten extremistischen Strukturen. Der Beitrag war Ausgangspunkt für diesen Artikel.

Weiterführend: Die vollständige Aufzeichnung der Anhörung vom 5. Oktober 2026 ist über die Mediathek des Deutschen Bundestages verfügbar.

Der Beitrag Hybride Bedrohungen: Was die Warnungen der Nachrichtendienste für Unternehmen bedeuten erschien zuerst auf Vor die Lage.

Mit dem am 20. Mai 2026 vom Bundeskabinett beschlossenen „Pakt für den Bevölkerungsschutz“ reagiert die Bundesregierung auf eine Lage, die sich in den vergangenen Jahren grundlegend verändert hat: Russlands Angriffskrieg gegen die Ukraine, hybride Bedrohungen, Cyberangriffe, Extremwetterereignisse und die wachsende Bedeutung ziviler Verteidigung haben den Bevölkerungsschutz aus der fachpolitischen Nische in den Kern staatlicher Sicherheitsvorsorge gerückt. Die Bundesregierung beschreibt den Pakt als Modernisierungsschub für Bevölkerungsschutz und Zivile Verteidigung; vorgesehen sind Investitionen von insgesamt zehn Milliarden Euro bis 2029.

Der politische Impuls ist erheblich. Doch gerade aus den Reihen jener Organisationen, die im Einsatzfall Menschen betreuen, evakuieren, versorgen, retten und medizinisch unterstützen, kommt deutliche Kritik. Malteser, ASB und DLRG begrüßen zwar, dass der Bund das Thema aufwertet, sehen aber wesentliche Schwachstellen: zu wenig rechtliche Verbindlichkeit, zu geringe Einbindung der Hilfsorganisationen, fehlende Helfergleichstellung, unklare operative Verantwortung des Bundes und eine Resilienzstrategie, die aus ihrer Sicht deutlich zu schmal angelegt ist. Der S+K Verlag fasst diese Kritik unter der Überschrift zusammen, das Ehrenamt bleibe außen vor.

Was die Bundesregierung vorlegt

Der Pakt setzt sichtbar auf staatliche Koordination, technische Modernisierung und zivil-militärische Verzahnung. Geplant sind ein Steuerungsstab „Kommando Zivile Verteidigung“ im Bundesinnenministerium beziehungsweise beim BBK, der Ausbau der Zivilen Alarmplanung, ein gemeinsames digitales Lagebild Inland in Echtzeit, Investitionen in Warn- und Kommunikationssysteme, eine Weiterentwicklung der Warn-App NINA, die Fortsetzung der Sirenenförderung und eine stärkere Aus- und Fortbildung der Einsatzkräfte für den Zivilschutz. Auch das THW soll mit resilienten Standorten, Logistikzentren und besserer Ausstattung gestärkt werden.

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe stellt den Pakt ebenfalls als Stärkung der zivilen Verteidigung dar. Im Mittelpunkt stehen nach BBK-Darstellung zehn Milliarden Euro bis 2029, moderne Ausrüstung für Einsatzkräfte, verbesserte Warnsysteme, Trinkwasser- und Notstromversorgung sowie die Einbindung von Zivilschutzwissen in Schule und Bevölkerung. Sichtbar wurde der Pakt auch öffentlichkeitswirksam durch die Übergabe von Zivilschutzfahrzeugen und eine Präsentation von CBRN-Fähigkeiten in Berlin.

Damit adressiert der Bund reale Defizite. Warninfrastruktur, Lagebilder, Kommunikationsfähigkeit, robuste Standorte und ergänzende Ausstattung sind keine Nebenthemen, sondern Grundbedingungen für handlungsfähige Krisenstäbe und einsatzbereite Kräfte. Trotzdem trifft die Kritik der Hilfsorganisationen einen zentralen Punkt: Bevölkerungsschutz ist nicht nur eine Frage von Technik, Fahrzeugen und Stabsstrukturen. Er ist ein Hilfeleistungssystem, das im Ernstfall nur funktioniert, wenn Personal, Rechtsrahmen, Ausbildung, Finanzierung und operative Rollen zusammenpassen.

Der föderale Knoten bleibt ungelöst

Die strukturelle Schwierigkeit liegt im deutschen System selbst. Bevölkerungsschutz ist ein Oberbegriff für den Zivilschutz des Bundes und den Katastrophenschutz der Länder und Kommunen. Der Bund ist für den Schutz der Zivilbevölkerung im Spannungs- und Verteidigungsfall zuständig, während der Katastrophenschutz in Friedenszeiten Aufgabe der Länder ist. Operativ greifen diese Bereiche aber ineinander: Bei lokalen Schadenslagen arbeiten Feuerwehren, THW, ASB, DRK, Malteser, Johanniter und DLRG zusammen; der Bund wiederum nutzt im Zivilschutzfall vorhandene Katastrophenschutzeinheiten der Länder und ergänzt sie mit Ausstattung und Ausbildung.

Genau an dieser Schnittstelle setzen die Malteser an. Ihr Bundesbeauftragter für Krisenresilienz, Sicherheitspolitik und Zivil-Militärische Zusammenarbeit, Martin Schelleis, kritisiert, dass der Pakt keinen ausreichend ganzheitlichen, abgestimmten und rechtlich tragfähigen Ansatz enthalte. Zivil- und Katastrophenschutz griffen auf dieselben Personen und Strukturen zurück, doch Prozesse, Bedarfe, Führung und Lagebild seien nicht ausreichend vernetzt. Die Malteser fordern daher unter anderem eine Reform des Zivilschutz- und Katastrophenhilfegesetzes sowie mehr operative Verantwortung des Bundes bei Betreuung, Unterbringung und sanitätsdienstlicher Versorgung im Zivilschutzfall.

Die Kritik ist fachlich bedeutsam, weil sie über die Frage einzelner Förderprogramme hinausgeht. Ein digitales Lagebild nützt nur dann vollständig, wenn Zuständigkeiten, Meldewege, Einsatzwerte, Führungsbeziehungen und Personalverfügbarkeit verlässlich geklärt sind. Eine neue Ausstattung entfaltet nur dann Wirkung, wenn die Einheiten, die sie bedienen sollen, auch üben, ausbilden, Personal freistellen lassen und im Ereignisfall rechtssicher handeln können. Der Pakt stärkt die vertikale Steuerungsfähigkeit des Bundes; die Hilfsorganisationen verlangen zusätzlich eine horizontale Einsatzlogik über Bund, Länder, Kommunen und Organisationen hinweg.

Helfergleichstellung als Achillesferse

Der schärfste Kritikpunkt betrifft das Ehrenamt. Das DRK beschreibt die bundesweite Helfergleichstellung als zentrales Anliegen: Ehrenamtliche Helferinnen und Helfer in Hilfsorganisationen sollen rechtlich mit Einsatzkräften der Freiwilligen Feuerwehren und des THW gleichgestellt werden, insbesondere bei Freistellung, Entgeltfortzahlung, Versicherungsschutz und sozialer Absicherung. Das DRK verweist zugleich auf die föderal unterschiedlichen Regelungen und fordert eine flächendeckende Gleichstellung auch für Aus- und Fortbildung, Übungen sowie Einsätze unterhalb der Katastrophenschwelle.

Diese Frage ist nicht bloß eine Gerechtigkeitsdebatte innerhalb des Ehrenamts. Sie entscheidet über Einsatzfähigkeit. Wer tagsüber bei einem Arbeitgeber beschäftigt ist, muss für Ausbildung, Übung und Einsatz verlässlich freigestellt werden können. Arbeitgeber brauchen Klarheit über Entgeltfortzahlung und Erstattungen. Selbstständige benötigen Regelungen für Verdienstausfall. Ohne solche Mechanismen bleiben zusätzliche Fahrzeuge, Module oder Ausbildungskapazitäten im Zweifel ungenutzt, weil die Menschen fehlen, die sie betreiben sollen.

Die DLRG argumentiert in dieselbe Richtung. Sie lobt das Investitionsvorhaben, warnt aber, dass ehrenamtliche Kräfte der Hilfsorganisationen ohne rechtliche Anpassungen von den vorgesehenen Maßnahmen nicht ausreichend profitieren würden. Nach Darstellung der DLRG sind Helferinnen und Helfer anerkannter Hilfsorganisationen schlechter gestellt als Kräfte von Feuerwehr und THW; Ute Vogt fordert deshalb eine bundeseinheitliche Regelung nach dem Vorbild des THW-Gesetzes.

Technik ersetzt keine Trägerstrukturen

Der ASB formuliert die Kritik besonders deutlich. Nach seiner Einschätzung setzt der Pakt die zivile Verteidigung zwar auf die politische Agenda, entziehe sich aber in zentralen Fragen der Verantwortung. Das Programm beschreibe vor allem den Ausbau staatlicher und technischer Krisenfähigkeit, lasse die soziale und operative Realität des Bevölkerungsschutzes aber weitgehend außer Acht. Der ASB bemängelt unter anderem, dass gesetzliche Regelungen zur Helferfreistellung unangetastet bleiben und zentrale Finanzierungsfragen nicht ausreichend gelöst werden.

Das betrifft auch die Mobile Betreuungsreserve des Bundes. Das BBK beschreibt das Mobile Betreuungsmodul 5.000 als weitgehend autark funktionierende mobile Unterkunfts- und Betreuungseinrichtung für bis zu 5.000 unverletzt betroffene Menschen, vergleichbar mit einer mobilen Kleinstadt. Das Pilotprojekt „Labor Betreuung 5.000“ wird durch das BBK koordiniert und gemeinsam mit DRK, ASB, DLRG, Johannitern und Maltesern umgesetzt; ein zweites Modul wird durch den ASB realisiert.

Gerade dieses Beispiel zeigt die Lücke zwischen Konzept und Verstetigung. Betreuung im Zivilschutz ist materialintensiv, personalintensiv und logistisch anspruchsvoll. Zelte, Sanitärcontainer, Küchen, Stromversorgung, Transport, Registrierung, soziale Betreuung, medizinische Schnittstellen und Betrieb über längere Zeiträume lassen sich nicht ad hoc improvisieren. Wenn solche Module politisch gewollt sind, brauchen sie dauerhafte Finanzierung, klare Trägerschaft, regelmäßige Übungen und verbindliche Personalmodelle. Der ASB kritisiert deshalb, dass die Verstetigung und vollständige Ausfinanzierung der MBM 5.000 nicht abgesichert sei.

Wasserrettung und Sanitätsversorgung zeigen die Breite des Problems

Die Kritik der DLRG macht deutlich, dass Bevölkerungsschutz nicht allein von Landfahrzeugen, Stabsräumen und Warn-Apps her gedacht werden kann. Hochwasser, Starkregen, beschädigte Wasserbauwerke, Evakuierungen über Gewässer und Einsätze in überfluteten Gebieten gehören zu realistischen Szenarien. Die DLRG fordert daher, die Wasserrettung im ZSKG zu verankern und für den Zivilschutzfall ergänzende Ausstattung vorzusehen.

Der geltende Zuschnitt des Zivilschutzes konzentriert sich in der ergänzenden Ausstattung des Bundes traditionell auf Bereiche wie Betreuung, Sanitätswesen, Brandschutz und CBRN-Schutz. Das BBK beschreibt ausdrücklich, dass Spezialtechnik des Bundes der Betreuung, dem Sanitätswesen, dem Brandschutz und dem CBRN-Schutz dient und den Ländern in Friedenszeiten für den Katastrophenschutz zur Verfügung gestellt wird.

Die fachliche Frage lautet daher, ob der Pakt die tatsächlichen Einsatzszenarien breit genug abbildet. Moderne Krisenvorsorge muss Massenbetreuung, sanitätsdienstliche Versorgung, Evakuierung, Wasserrettung, CBRN-Lagen, Strom- und Trinkwasserausfälle, Kommunikation, psychosoziale Unterstützung und Lageführung zusammendenken. Wird der Pakt dagegen vor allem als Beschaffungsprogramm verstanden, besteht die Gefahr, dass einzelne Fähigkeiten gestärkt werden, ohne dass daraus ein belastbares Gesamtsystem entsteht.

Resilienz der Bevölkerung braucht mehr als Information

Ein weiterer Streitpunkt ist die Bevölkerung selbst. Die Bundesregierung will das bundesweite Warnsystem verbessern, NINA weiterentwickeln, Sirenen zentral ansteuerbar machen, Selbstschutzwissen ausbauen und Zivilschutz stärker in Schulen verankern. Das ist wichtig, denn Warnung wirkt nur, wenn Menschen verstehen, was sie tun sollen, und wenn Haushalte, Einrichtungen und Kommunen vorbereitet sind.

Gleichzeitig ist Resilienz mehr als ein Ratgeber, eine Kampagne oder Unterrichtsmaterial. Die Bundeszentrale für politische Bildung weist darauf hin, dass das gesellschaftliche Bewusstsein für Bevölkerungsschutz zwar wächst, aber nur langsam in Vorsorgehandeln, krisenrelevante Kompetenzen oder Engagement in den auf Ehrenamt angewiesenen Hilfsorganisationen mündet.

Hier liegt eine strategische Lücke. Eine Bevölkerung, die in Krisen handlungsfähig sein soll, braucht niedrigschwellige Bildungsangebote, Erste-Hilfe- und Selbstschutzkompetenzen, lokale Anlaufstellen, verlässliche Kommunikation, Unterstützung vulnerabler Gruppen und eine Kultur regelmäßiger Übungen. Hilfsorganisationen können genau diese Brücke zwischen Staat und Bevölkerung schlagen, weil sie vor Ort präsent sind, Ausbildungserfahrung haben und Vertrauen in der Fläche genießen. Wenn sie im Pakt jedoch vor allem als spätere Nutzer von Ausstattung erscheinen, bleibt ein großer Teil ihres Potenzials ungenutzt.

Anerkennung reicht nicht ohne Verbindlichkeit

Das DRK begrüßt, dass Bevölkerungsschutz politisch wieder auf der Tagesordnung steht, fordert aber zugleich, die anerkannten Hilfsorganisationen stärker in die Planungen einzubeziehen und Mittel zu verstetigen. DRK-Präsident Hermann Gröhe spricht von erheblichem Nachholbedarf; DRK-Generalsekretär Christian Reuter verweist darauf, dass Versorgung, Betreuung und Widerstandskraft der Bevölkerung ohne gut ausgestattete Hilfsorganisationen nicht tragfähig ausgebaut werden können.

Damit entsteht ein klares Bild: Der Pakt ist ein notwendiger Schritt, aber noch kein vollständiger Systemumbau. Er stärkt das, was staatlich gut steuerbar und politisch sichtbar ist: Investitionen, Warnsysteme, Fahrzeuge, THW-Strukturen, digitale Lagebilder und zivil-militärische Koordination. Die Hilfsorganisationen fordern dagegen, auch das weniger sichtbare Fundament zu regeln: Rechtsstatus, Freistellung, Finanzierung, Übungsfähigkeit, Einbindung in Lage- und Führungsstrukturen sowie operative Zuständigkeiten für Betreuung und Versorgung.

Der eigentliche Test liegt in der Umsetzung

Ob der Bevölkerungsschutzpakt trägt, wird sich nicht an der Summe von zehn Milliarden Euro allein entscheiden. Entscheidend wird sein, ob aus dem Pakt ein verbindliches Arbeitsprogramm entsteht, das die föderale Trennung zwischen Zivilschutz und Katastrophenschutz praxistauglich überbrückt. Dazu gehört ein gemeinsames Lagebild ebenso wie ein gemeinsames Verständnis davon, wer im Ernstfall führt, wer betreibt, wer Personal stellt, wer Material vorhält, wer Kosten trägt und wie Ehrenamtliche rechtlich abgesichert werden.

Die Hilfsorganisationen verlangen keine Randkorrekturen, sondern eine Verschiebung des Blickwinkels. Bevölkerungsschutz beginnt nicht erst beim Gerät, sondern bei den Menschen, die es einsetzen. Er endet nicht bei der Warnmeldung, sondern bei der Fähigkeit, Betroffene zu retten, zu betreuen, medizinisch zu versorgen und über Tage oder Wochen zu stabilisieren. Genau dort entscheidet sich, ob der Pakt ein Modernisierungsschub für das gesamte Hilfeleistungssystem wird oder vor allem ein großes Investitionsprogramm für staatliche Strukturen bleibt.

Der Beitrag Bevölkerungsschutzpakt: Milliardenprogramm mit offener Flanke beim Ehrenamt erschien zuerst auf Vor die Lage.

Die Warnung klingt dramatisch: Die Welt sei auf einen digitalen „Super-GAU“ nicht vorbereitet. Doch hinter dieser Zuspitzung steckt kein Science-Fiction-Szenario, sondern eine nüchterne Risikoanalyse. Der von ITU, UNDRR und Sciences Po vorgestellte Bericht „When digital systems fail“ beschreibt, wie stark moderne Gesellschaften inzwischen von digitalen Grundstrukturen abhängen: Stromversorgung, Satellitennavigation, Unterseekabel, Rechenzentren, Mobilfunk, Zahlungsverkehr, Gesundheitsdaten, Notfallwarnungen und staatliche Dienste greifen ineinander. Fällt ein Teil aus, kann die Störung schnell weit über den ursprünglichen Auslöser hinaus eskalieren. Genau diese Kettenreaktionen bezeichnen die Autorinnen und Autoren als Risiko einer „digitalen Pandemie“.

Das Entscheidende daran: Der nächste große digitale Ausfall muss kein Cyberangriff sein. Er kann durch einen Sonnensturm, extreme Hitze, ein beschädigtes Unterseekabel, einen Satellitenausfall, eine fehlerhafte Softwareaktualisierung oder eine Stromnetzstörung ausgelöst werden. Damit verschiebt sich die Debatte. Es geht nicht mehr nur um IT-Sicherheit im engeren Sinne, sondern um digitale Resilienz als Bestandteil von Katastrophenschutz, Unternehmensführung und nationaler Sicherheitsarchitektur.

Digitalisierung hat Effizienz geschaffen, aber auch neue Abhängigkeiten

Viele Organisationen haben in den vergangenen Jahren erfolgreich digitalisiert. Prozesse wurden automatisiert, Daten in Clouds verlagert, Lieferketten vernetzt, Zahlungen dematerialisiert und Kundeninteraktionen in Apps verschoben. Das hat Geschwindigkeit, Skalierung und Komfort ermöglicht. Gleichzeitig sind analoge Ausweichverfahren vielerorts verschwunden oder nie ernsthaft getestet worden.

Der UN-Bericht benennt genau diese Verwundbarkeit: Gesellschaften verlassen sich auf digitale Systeme, ohne ausreichend analoge Fähigkeiten und belastbare Fallback-Optionen vorzuhalten. Das ist ein strategisches Problem. Denn Resilienz entsteht nicht dadurch, dass jedes Einzelsystem möglichst effizient läuft. Sie entsteht dadurch, dass ein Gesamtsystem auch dann handlungsfähig bleibt, wenn mehrere Annahmen gleichzeitig brechen.

Ein Beispiel aus der jüngeren Vergangenheit zeigt, wie gering die technische Ursache im Verhältnis zur gesellschaftlichen Wirkung sein kann. Beim CrowdStrike-Ausfall im Juli 2024 waren nach Microsoft-Schätzung rund 8,5 Millionen Windows-Geräte betroffen, weniger als ein Prozent aller Windows-Maschinen. Dennoch waren die Auswirkungen breit spürbar, weil betroffene Systeme in Unternehmen eingesetzt wurden, die kritische Dienste betreiben. Microsoft selbst sprach anschließend von der vernetzten Natur des Ökosystems aus Cloud-Anbietern, Softwareplattformen, Sicherheitsanbietern und Kunden.

Drei Szenarien, ein gemeinsames Muster

Die ZEIT-Meldung zur dpa-Berichterstattung greift drei Szenarien aus dem UN-Kontext auf, die auf den ersten Blick sehr unterschiedlich wirken: ein Sonnensturm wie 1859, eine Extremhitze wie 2003 und ein massives Unterseeereignis wie 2022 bei Tonga. Gemeinsam ist ihnen, dass sie digitale Infrastruktur nicht isoliert treffen, sondern Abhängigkeiten sichtbar machen, die im Normalbetrieb kaum wahrgenommen werden.

Ein schwerer Sonnensturm könnte Satellitennavigation, Funkverbindungen und Stromnetze beeinträchtigen. NOAA beschreibt, dass koronale Massenauswürfe geomagnetische Stürme auslösen können, die zusätzliche Ströme im Boden induzieren, Stromnetze belasten und GPS- beziehungsweise GNSS-Signale stören. In einer Wirtschaft, die auf präzise Zeitstempel, Navigation, Hochfrequenzhandel, Logistik und automatisierte Steuerung angewiesen ist, wird daraus sehr schnell mehr als ein technisches Problem.

Extreme Hitze wiederum trifft nicht nur Menschen und Energieversorgung, sondern auch die digitale Infrastruktur selbst. Rechenzentren brauchen Energie und Kühlung. Die IEA meldete im April 2026, dass der Strombedarf von Rechenzentren 2025 um 17 Prozent gestiegen sei und sich bis 2030 voraussichtlich verdoppeln werde; zugleich verweist sie auf Engpässe bei Netzanbindungen, Transformatoren, Gasturbinen, Chips und weiteren Komponenten. Parallel erhöhen Hitzewellen den Kühlbedarf und belasten Stromnetze, was die Verwundbarkeit digitaler Dienste weiter vergrößert.

Das dritte Szenario sind Unterseekabel. Sie sind die unsichtbaren Hauptschlagadern der globalen Vernetzung. Die ITU beziffert das globale Netz auf rund 500 Kabel mit mehr als 1,7 Millionen Kilometern Länge; mehr als 99 Prozent des internationalen Datenverkehrs laufen über solche Kabel, und jährlich werden weltweit über 200 Störungen gemeldet. Wer Cloud, Videokonferenzen, Zahlungsverkehr, internationale Lieferketten oder Echtzeitdaten nutzt, hängt an dieser physischen Infrastruktur, auch wenn sie im Alltag kaum sichtbar ist.

Compliance reicht nicht mehr

In Europa ist das Thema nicht unbekannt. NIS2 erweitert die Anforderungen an Cybersicherheit und Risikomanagement in 18 kritischen Sektoren, DORA verpflichtet Finanzunternehmen seit Januar 2025 zu digitaler operationaler Resilienz, und die CER-Richtlinie adressiert die Widerstandsfähigkeit kritischer Einrichtungen gegenüber natürlichen und menschengemachten Risiken. Diese Regulierungen sind wichtig, weil sie Cyber- und Infrastrukturresilienz näher an Vorstand, Geschäftsführung und Aufsicht heranrücken.

Aber Regulierung allein erzeugt noch keine Handlungsfähigkeit. Viele Unternehmen behandeln Resilienz weiterhin als Compliance-Projekt, nicht als Führungsaufgabe. Sie dokumentieren Risiken, statt sie operativ zu testen. Sie prüfen Lieferanten, ohne echte Konzentrationsrisiken zu verstehen. Sie halten Backups vor, ohne Wiederanlaufzeiten unter realistischen Störbedingungen zu üben. Sie schreiben Notfallhandbücher, die im Ernstfall in genau den Systemen liegen, die gerade nicht verfügbar sind.

Der eigentliche Reifegrad zeigt sich nicht im Audit, sondern im Stresstest. Kann ein Unternehmen kommunizieren, wenn E-Mail, Teams, Mobilfunk oder zentrale Identitätsdienste ausfallen? Kann es Zahlungen abwickeln, wenn ein Zahlungsdienstleister, eine Bankenschnittstelle oder ein Rechenzentrum nicht verfügbar ist? Kann es Kunden informieren, wenn die Website offline ist? Können Mitarbeitende an kritischen Standorten ohne Cloud-Dokumentation, ohne SaaS-Zugriff und ohne zentrale Ticketsysteme weiterarbeiten? Und weiß die Geschäftsführung, welche Prozesse nach 24, 72 oder 168 Stunden wirklich überlebenswichtig sind?

Resilienz beginnt mit einer unbequemen Frage

Die wichtigste Frage lautet nicht: „Sind unsere Systeme sicher?“ Sie lautet: „Welche gesellschaftlichen, wirtschaftlichen und operativen Funktionen müssen wir auch dann erbringen, wenn digitale Normalität ausfällt?“

Diese Perspektive verändert Prioritäten. Dann geht es nicht nur um Firewalls, EDR, Backups und Incident Response, sondern um minimale Betriebsfähigkeit. Es geht um Abhängigkeiten von Strom, Kühlung, Netzanbindung, Cloud-Regionen, Satellitenzeit, DNS, Identitätsprovidern, Zahlungsdienstleistern, Telekommunikationsanbietern und physischen Standorten. Es geht um Datenportabilität, alternative Kommunikationswege, manuelle Freigabeprozesse, Offline-Dokumentation, analoge Notfallroutinen und klare Entscheidungsrechte unter Unsicherheit.

Das ist kein Plädoyer gegen Digitalisierung. Im Gegenteil. Je digitaler eine Organisation wird, desto professioneller muss sie die physischen und organisatorischen Voraussetzungen ihrer digitalen Leistungsfähigkeit verstehen. Resiliente Digitalisierung bedeutet nicht Rückkehr zum Papier. Sie bedeutet, digitale Systeme so zu bauen, zu betreiben und zu steuern, dass Ausfälle eingeplant, begrenzt und beherrschbar werden.

Digitale Resilienz wird zum Wettbewerbsfaktor

Der UN-Bericht ist deshalb mehr als eine Warnung an Staaten. Er ist auch ein Weckruf für Unternehmen. In einer vernetzten Wirtschaft wird Resilienz zur Vertrauenswährung. Kunden, Aufsichtsbehörden, Investoren und Partner werden zunehmend danach fragen, ob Organisationen nicht nur wachsen und skalieren können, sondern auch unter Stress verlässlich bleiben.

Die Unternehmen, die hier früh handeln, werden sich unterscheiden. Sie werden Abhängigkeiten kartieren, Szenarien über Organisationsgrenzen hinweg üben, analoge Rückfallebenen bewusst erhalten, technische Redundanz mit organisatorischer Entscheidungskraft verbinden und Resilienz nicht an die IT delegieren. Sie werden verstehen, dass Business Continuity, Cybersecurity, physische Sicherheit, Energieversorgung, Lieferkettenmanagement und Krisenkommunikation nicht getrennte Disziplinen sind, sondern Bestandteile derselben Führungsaufgabe.

Der digitale „Super-GAU“ ist nicht unausweichlich. Aber die Wahrscheinlichkeit schwerer digitaler Kettenreaktionen steigt, wenn wir Systeme immer enger koppeln und gleichzeitig so tun, als ließen sich Risiken weiterhin einzeln betrachten. Die eigentliche Botschaft des UN-Berichts lautet daher: Wir müssen nicht weniger digital werden. Wir müssen erwachsener digital werden.

Der Beitrag Digitale Resilienz: Warum der nächste globale Ausfall kein Hackerangriff sein muss erschien zuerst auf Vor die Lage.

Am frühen Samstagmorgen, dem 3. Januar 2026, hat ein Brand an einer Kabelbrücke über den Teltowkanal nahe des Heizkraftwerks Lichterfelde die Stromversorgung in Teilen des Berliner Südwestens massiv beeinträchtigt. Nach Angaben des Netzbetreibers Stromnetz Berlin waren rund 45.000 Haushalte und etwa 2.200 Gewerbekunden in Nikolassee, Zehlendorf, Wannsee und Lichterfelde betroffen. Die Lage erwies sich nicht als kurze Störung, sondern als mehrtägiges Ereignis: Bereits am selben Tag kommunizierte Stromnetz Berlin, dass aufgrund erheblicher Schäden und der notwendigen provisorischen Wiederherstellung eine vollständige Wiederversorgung voraussichtlich erst am Donnerstagnachmittag, dem 8. Januar 2026, erreicht werden kann.

Lageentwicklung: Teilrückspeisung und provisorische Wiederherstellung

Am Sonntag, dem 4. Januar 2026, zeigte sich zugleich, was „Resilienz“ im Alltag praktisch bedeutet und wo ihre Grenzen liegen. Durch Umbauten an anderen Netzteilen konnten laut Stromnetz Berlin in der Nacht gegen 3:30 Uhr zunächst rund 7.000 Haushalte und 150 Gewerbekunden in Lichterfelde wieder versorgt werden; weitere 3.000 sollten im Laufe des Tages folgen. Dennoch waren am Vormittag des 4. Januar weiterhin rund 38.000 Haushalte und rund 2.000 Gewerbekunden ohne Strom. Parallel dazu liefen nach Angaben des Netzbetreibers Arbeiten an einer zusätzlichen provisorischen Hochspannungsleitung in Berlin-Dahlem sowie Reparaturen am Brandort, nachdem die Polizei den Bereich freigegeben hatte.

Strom als Querschnittsinfrastruktur: Warum aus „Licht aus“ schnell ein Systemproblem wird

Die unmittelbaren Folgen eines solchen Ausfalls sind bekannt, aber in ihrer Kaskade oft unterschätzt. Strom ist nicht nur „Energie“, sondern eine Basisinfrastruktur, an der Kommunikation, Wärmeversorgung, Mobilität, Versorgungsketten und Sicherheitsfunktionen hängen. Das BBK beschreibt genau diese systemischen Abhängigkeiten: Wenn der Strom ausfällt, können neben Licht und Heizung auch Wasser, Internet und Mobilfunk beeinträchtigt sein, und je nach Lage kann die Wiederherstellung auch nicht nur Stunden, sondern im Ausnahmefall Tage dauern.  In Berlin kam erschwerend hinzu, dass der Vorfall in eine winterliche Wetterlage fiel und die Frage der Wärmeversorgung in Wohnungen, der Funktionsfähigkeit von Aufzügen und der Erreichbarkeit von Hilfe schnell zur zentralen Dimension der Krise wurde.

Schulen, Kitas, Alltag: Resilienz zeigt sich an der sozialen Oberfläche

Dass sich die Auswirkungen nicht auf „Haushalte“ im abstrakten Sinne reduzieren lassen, zeigt die Debatte um Schulen und Kitas sehr konkret. Während die Stromwiederherstellung mehrere Tage beanspruchen kann, läuft der Kalender der Stadt weiter: Die Wiederaufnahme des regulären Betriebs nach den Weihnachtsferien ist ein hochgradig getakteter Prozess. Nach Medienberichten gab es keine flächendeckende formale Schulschließung, aber die zuständigen Stellen gingen davon aus, dass ein regulärer Betrieb in den nächsten Tagen in Teilen nicht möglich sein wird; Eltern wurden aufgefordert, Betreuung anderweitig zu organisieren beziehungsweise den Schulbesuch vorerst auszusetzen.  Gerade an diesem Punkt wird sichtbar, dass Resilienz nicht nur eine Frage von „Kabeln und Transformatoren“ ist, sondern auch eine Frage der organisatorischen Handlungsfähigkeit von Bildungs- und Betreuungssystemen, die ohne Strom nur sehr eingeschränkt sicher betrieben werden können.

Kommunales Krisenmanagement: Notunterkünfte, Wärmestellen und Hotlines

Die kommunale Krisenreaktion ist ein zentraler Bestandteil der Resilienzarchitektur. Der Bezirk Steglitz-Zehlendorf veröffentlichte am 4. Januar 2026 unter anderem eine Hotline für den Katastrophenstab und benannte Notunterkünfte sowie Orte zum Aufwärmen, Laden von Mobiltelefonen und für warme Getränke.  Solche Maßnahmen sind nicht „nice to have“, sondern gehören zur zweiten Verteidigungslinie, wenn die Primärinfrastruktur ausfällt: Sie sichern Mindestversorgung, Informationsweitergabe und soziale Stabilität. Sie zeigen aber auch, wie schnell Kommunen in eine Rolle rutschen, in der sie praktisch Ersatzfunktionen für ausgefallene Systeme bereitstellen müssen.

Kommunikation und politische Präsenz: Der unterschätzte Faktor Vertrauen

Der Vorfall hat zudem eine Debatte über Führung, Präsenz und Kommunikation ausgelöst. Ein Kommentar der Berliner Zeitung kritisiert weniger einen „Blackout der Verwaltung“ als einen Mangel an politischer Präsenz und deutet das Schweigen der Stadtspitze als Signal in einer Lage, in der Orientierung und Vertrauen besonders wertvoll sind.  Unabhängig davon, wie man diese Kritik politisch bewertet, berührt sie einen fachlich relevanten Kern: Resilienz ist auch Kommunikationsresilienz. In Krisen entscheidet nicht nur die technische Wiederherstellung, sondern auch die Qualität der Lagekommunikation darüber, ob Menschen angemessen handeln, ob Gerüchte dominieren und ob sich vulnerable Gruppen rechtzeitig Hilfe organisieren können.

Resilienz vs. Zuverlässigkeit: Warum SAIDI nicht das ganze Bild zeigt

Der Berliner Vorfall ist lehrreich, weil er die Differenz zwischen hoher Zuverlässigkeit im Normalbetrieb und Verletzbarkeit in Extremereignissen herausarbeitet. Der Berliner Senat hat erst am 16. Dezember 2025 einen „Maßnahmenplan zur Stärkung der Resilienz des Berliner Stromnetzes“ kommuniziert. Darin wird einerseits betont, dass Berlin im Jahr 2024 mit einem SAIDI-Wert von 8,7 Minuten pro Kunde und Jahr unter dem Bundesdurchschnitt lag, andererseits wird der Anschlag auf Hochspannungsmasten in Johannisthal im September 2025 explizit als Beleg dafür genannt, dass Strominfrastruktur trotz Vorkehrungen anfällig für Sabotage sein kann.  Genau diese Spannung – statistisch sehr zuverlässig, aber nicht „absolut sicher“ – ist der Kern moderner Resilienzdebatten.

Technische Resilienz: Redundanz, Georedundanz und Reparaturfähigkeit

Resilienz unterscheidet sich dabei von klassischer Versorgungssicherheit oder „Reliability“: Sie beschreibt nicht nur die Wahrscheinlichkeit, dass etwas ausfällt, sondern die Fähigkeit eines Systems, Ausfälle zu absorbieren, zu überbrücken, sich schnell zu erholen und aus Ereignissen zu lernen. Die Bundesregierung formuliert im Kontext der Blackout-Debatte, dass großflächige, langanhaltende Stromausfälle in Deutschland selten sind, aber die gesellschaftliche Bedeutung von Elektrizität wächst und Systemsicherheit unter anderem auf Redundanzprinzipien wie dem „n-1-Prinzip“ basiert, das den Weiterbetrieb bei Ausfall einer Komponente ermöglichen soll.  Der Berliner Vorfall zeigt jedoch, dass Redundanz nicht gleichbedeutend mit Unverwundbarkeit ist, insbesondere wenn Ereignisse gezielt kritische Knoten treffen oder wenn Reparaturen durch Spurensicherung, Witterung und Bauaufwand zeitkritisch werden.

Interdependenzen: Wenn Stromausfall Telekommunikation und Zahlungsverkehr mitreißt

Ein weiterer zentraler Aspekt ist die Interdependenz von Infrastrukturen. Stromausfall bedeutet nicht nur „Licht aus“, sondern kann Telekommunikation, Zahlungsverkehr, Logistik, Treibstoffversorgung, Gesundheitsversorgung und öffentliche Sicherheit mittelbar beeinträchtigen. Reuters verweist in der Berichterstattung zum Berliner Vorfall explizit auf mögliche Störungen von Mobilfunk- und Festnetzdiensten.  Das ist in der Praxis hochrelevant, weil Notrufsysteme, Lageinformationen und Koordination in hohem Maße auf Kommunikation angewiesen sind. Genau deshalb spielen alternative Informations- und Anlaufstrukturen eine Rolle, die für Situationen gedacht sind, in denen digitale Kanäle nicht zuverlässig funktionieren.

Katastrophenschutz-Leuchttürme: Offline-Anlaufstellen als zweite Kommunikationsachse

Berlin beschreibt dafür das Konzept der Katastrophenschutz-Leuchttürme und Informationspunkte als Orte, an denen Informationen bereitgestellt und bei Bedarf Notrufe aufgenommen und weitervermittelt werden können. Geplant sind laut Berlin.de 45 behördlich betriebene Leuchttürme sowie 147 ehrenamtlich besetzte Informationspunkte, die in besonderen Ausnahmesituationen aktiviert werden.  Auch die Berliner Feuerwehr ordnet das Konzept fachlich ein und verweist auf die Idee „notstromversorgter leuchtender Inseln“ als bürgernahe Anlaufstellen bei längerfristigem Stromausfall und damit verbundenem Kommunikations- und Versorgungsausfall.

Private Vorsorge: Risiko-Management statt Alarmismus

Resilienz ist keine rein staatliche oder betriebliche Aufgabe. Der Senat formuliert in seinem Maßnahmenplan ausdrücklich, dass neben der weiteren Verbesserung des Netzes und der Krisenkoordination auch die Eigenverantwortung nichtstaatlicher Akteure gefördert werden müsse.  Für private Vorsorge liefert das BBK seit Jahren klare, praxisnahe Leitlinien. Die Behörde betont, dass es nicht um Panik, sondern um systematische Vorbereitung geht und empfiehlt, sich idealerweise für etwa zehn Tage selbst versorgen zu können; zugleich wird auch ein Vorrat für zumindest drei Tage als entlastend beschrieben.  Ergänzend nennt das BBK für Stromausfälle konkrete Selbsthilfemaßnahmen, die im Kern auf Informationsfähigkeit, Grundversorgung und Handlungsfähigkeit abzielen, weil Geldautomaten, Kartenzahlungen und digitale Informationskanäle bei längeren Ausfällen unzuverlässig werden können.

Unternehmen und BCM: Der Stromausfall als Stresstest für Betriebsfähigkeit

Für Unternehmen ist die Lehre ähnlich, nur in größerer Dimension. Resilienz in kritischen Infrastrukturen ist immer auch Resilienz derjenigen, die auf diese Infrastruktur angewiesen sind. Business-Continuity-Management und Krisenplanung sind deshalb nicht nur für Betreiber „kritischer“ Systeme relevant, sondern für jede Organisation, deren Leistungsfähigkeit an Strom, Kommunikation, Kühlung, IT-Dienste oder Zugänglichkeit von Standorten gebunden ist. Der Berliner Senat verweist im Maßnahmenplan auf die Notwendigkeit, Angebote und Unterstützung für Unternehmen an Gewerbestandorten auszubauen und auf die Bedeutung von Notfallplänen, Schwachstellenanalysen und Notstromlösungen.  Gerade in einer zunehmend elektrifizierten Stadtökonomie wird die Frage entscheidend, welche Prozesse eine Organisation kurzzeitig unterbrechen kann, welche zwingend aufrechterhalten werden müssen und welche technischen sowie organisatorischen Brücken dafür bereitstehen.

Resilienz ist ein Prozess – und beginnt vor dem Ereignis

Am Ende steht eine nüchterne, aber produktive Erkenntnis: Eine moderne Großstadt kann Stromausfälle nicht vollständig ausschließen, weder durch Technik noch durch Organisation. Was sie jedoch sehr wohl beeinflussen kann, ist die Wahrscheinlichkeit schwerer Ereignisse, die Dauer der Unterbrechung und die gesellschaftlichen Folgeschäden. Genau darin liegt der Sinn von Resilienz als Leitprinzip: Sie verbindet physische Netzarchitektur, Sicherheits- und Redundanzkonzepte, Reparaturfähigkeit, Krisenkommunikation, behördliche Anlaufstrukturen und die Fähigkeit der Bevölkerung, mit begrenzten Ressourcen für eine gewisse Zeit eigenständig handlungsfähig zu bleiben. Der Berliner Vorfall ist damit weniger ein Argument für Alarmismus als ein Anlass für professionelles Risikomanagement – in der Infrastrukturpolitik, in Organisationen und in privaten Haushalten gleichermaßen.

Der Beitrag Stromausfall im Berliner Südwesten: Ein Realitätscheck für Resilienz erschien zuerst auf Vor die Lage.