Für die Unternehmen begann damit eine aufwendige Wiederherstellung. Lebensmittel mussten bewertet und entsorgt, Anlagen überprüft und Ersatzlieferungen organisiert werden. Selbst nach dem Schließen eines digitalen Zugangs bleibt verdorbene Ware verloren. Und solange die Kühlung nicht nachweislich zuverlässig arbeitet, darf die nächste Lieferung nicht einfach wieder eingeräumt werden.

Die große Zahl betroffener Standorte macht den Vorfall auch außerhalb des Lebensmittelhandels relevant. Wo viele Unternehmen dieselben spezialisierten Steuerungen einsetzen, können sie trotz unterschiedlicher Eigentümer, Standorte und Dienstleister von derselben Schwachstelle abhängen. Das betrifft den Schutz einzelner Betriebe ebenso wie die Versorgung einer ganzen Region.

Viele Standorte, eine gemeinsame Angriffsfläche

Das französische CERT-FR bestätigte am 12. Oktober zahlreiche kompromittierte Geräte der Danfoss-Serien AK-SM und AK-SC. Danfoss erklärte gegenüber dem Branchenmedium Cooling Post, überwiegend seien ältere, nicht mehr unterstützte Produkte sowie aktuelle Systeme mit veralteter Firmware betroffen gewesen. Für Teile der Produktfamilie hatte der Hersteller bereits 2025 Sicherheitshinweise veröffentlicht.

Die genaue Angriffskette ist damit noch nicht abschließend geklärt. Insbesondere darf aus einer bekannten Schwachstelle nicht ohne Weiteres geschlossen werden, dass sie bei sämtlichen betroffenen Anlagen ausgenutzt wurde. Ebenso wenig ist durch die bisherigen Veröffentlichungen belegt, dass eine zentrale Herstellerplattform kompromittiert worden wäre.

Für die Vorsorge ist diese Unterscheidung wichtig. Ein gleichzeitiger Ausfall vieler Standorte setzt keine Verbindung zwischen deren Netzen voraus. Angreifer können auch zahlreiche voneinander getrennte Geräte erreichen, wenn diese dieselbe verwundbare Software nutzen und jeweils von außen zugänglich sind. Die Trennung der Filialnetze schützt dann zwar gegen eine Ausbreitung von Standort zu Standort, beseitigt aber nicht die gemeinsame Schwachstelle.

Eine Reserveanlage oder ein Ausweichlager muss deshalb auf mehr als seine räumliche Entfernung geprüft werden. Nutzt es dieselbe Steuerung, denselben administrativen Zugang oder denselben externen Managementdienst, könnte es unter denselben Bedingungen ausfallen wie der Hauptstandort. Diese Abhängigkeit gehört in die Notfallplanung, bevor freie Ersatzkapazität zugesagt wird.

Zuerst die tatsächlichen Zugänge finden

Eine Bestandsaufnahme sollte bei der betrieblichen Funktion beginnen. Welche Anlagen halten die Ware innerhalb der zulässigen Temperaturgrenzen? Welche Steuerungen, Netze und externen Dienste benötigen sie? Wer kann ihre Einstellungen verändern?

Dazu gehören auch Verbindungen, die außerhalb der zentralen IT eingerichtet wurden. Ein Mobilfunkrouter des Wartungsunternehmens kann eine Anlage erreichbar machen, obwohl das Filialnetz sorgfältig abgesichert ist. Dasselbe gilt für dauerhaft aktive Fernwartungssoftware oder zusätzliche Herstellerzugänge. Die Sicherheitsbewertung muss diese Wege vollständig erfassen.

Für jedes kritische System sollten Gerätetyp, Firmwarestand, Supportende, verantwortliche Stelle und sämtliche Fernzugänge bekannt sein. Ebenso braucht es eine verbindliche Zuständigkeit für Sicherheitsmeldungen: Jemand muss Herstellerwarnungen entgegennehmen, ihre Relevanz bewerten und die Umsetzung notwendiger Änderungen verfolgen. Ein Wartungsvertrag allein belegt noch nicht, dass diese Aufgaben tatsächlich erledigt werden.

Öffentlich erreichbare Verwaltungsoberflächen sollten geschlossen werden. Notwendige Fernwartung gehört hinter eine kontrollierte Zugangslösung mit personenbezogenen Konten, Mehrfaktorauthentifizierung und begrenzten Berechtigungen. Ein Techniker, der eine bestimmte Anlage wartet, benötigt dafür keinen dauerhaften Zugriff auf alle Standorte. Freigaben sollten möglichst zeitlich begrenzt und nachvollziehbar sein.

Auch zwischen Beobachten und Steuern ist zu unterscheiden. Ein Dienst, der Energieverbrauch und Temperaturen auswertet, braucht nicht zwangsläufig Schreibrechte auf die Anlage. Werden solche Rechte nur aus Bequemlichkeit mitgeführt, vergrößert sich der mögliche Schaden eines kompromittierten Zugangs.

Die Aktualisierung der Steuerungen muss parallel erfolgen. Bei unterstützten Produkten sind Sicherheitskorrekturen nach betrieblicher Prüfung einzuspielen. Nicht mehr unterstützte Systeme benötigen eine verbindliche Entscheidung über Austausch oder einen zeitlich begrenzten, zusätzlich abgesicherten Weiterbetrieb. Unbegrenztes Verschieben mit dem Hinweis, die Anlage funktioniere noch, lässt das digitale Risiko unverändert bestehen.

Updates sollten allerdings auch nicht ungeprüft gleichzeitig auf sämtlichen Standorten installiert werden. Ein gestaffeltes Vorgehen mit Testanlage, gesicherter Konfiguration und Wiederherstellungsverfahren begrenzt zusätzliche Betriebsrisiken. Bei akuter Gefährdung kann die Einschränkung externer Zugänge die notwendige Zeit dafür schaffen.

Gefährliche Betriebszustände müssen begrenzt werden

Der Angriff auf die Kühlanlagen wirft eine Frage auf, die über Zugangsschutz hinausgeht: Welche Folgen kann ein einzelner berechtigter oder unberechtigter Steuerbefehl überhaupt auslösen?

Für kritische Prozesse sollte mit dem Anlagenhersteller geprüft werden, welche Betriebsgrenzen technisch durchsetzbar sind. Dazu können zulässige Wertebereiche, maximale Laufzeiten bestimmter Funktionen und Plausibilitätsprüfungen gehören. Besonders folgenreiche Änderungen lassen sich gegebenenfalls an zusätzliche Freigaben oder eine Bestätigung vor Ort binden.

Solche Begrenzungen helfen allerdings wenig, wenn derselbe Fernzugang sowohl den Betriebsparameter als auch seine Schutzgrenze verändern kann. Je höher das Schadenspotenzial, desto wichtiger wird eine ausreichend unabhängige Schutzfunktion. Ihre Auslegung muss zur Anlage passen und darf bestehende Sicherheitsfunktionen nicht beeinträchtigen. Änderungen an der Regelung oder an Abschaltbedingungen gehören in die Hände qualifizierter Fachleute und müssen geprüft werden.

Ähnliches gilt für die Überwachung. Eine Steuerung kann erreichbar sein und formal fehlerfrei arbeiten, während ihre Einstellungen den Warenbestand gefährden. Deshalb sollten Veränderungen an Sollwerten, Abtauzeiten, Betriebsarten und Alarmkonfigurationen erkannt werden. Auffällig wäre beispielsweise eine nicht freigegebene Änderung außerhalb eines Wartungsfensters oder dieselbe ungewöhnliche Änderung an vielen Standorten.

Für besonders kritische Kühlbereiche ist eine unabhängig abgesicherte Temperaturüberwachung zu prüfen. Kann ein Angreifer Regelung und Alarmierung über denselben Zugang beeinflussen, besteht eine gemeinsame Manipulationsmöglichkeit. Eine getrennte Messung mit eigenem Meldeweg kann sie reduzieren. Auch ein Ausbleiben erwarteter Messwerte sollte auffallen.

Die Alarmkette endet dabei nicht auf einem Bildschirm. Es muss feststehen, wer eine Meldung annimmt, den Standort betreten kann und wirksame Maßnahmen veranlassen darf. Eine technisch korrekt versandte Nachricht schützt keine Ware, wenn sie nachts niemand liest.

Die verfügbare Reaktionszeit bestimmt den Notfallplan

Wie viel Zeit bleibt zwischen einer Manipulation und einem nicht mehr vertretbaren Schaden? Diese Frage muss für den konkreten Prozess beantwortet werden.

Bei Kühlanlagen hängt die Bewertung unter anderem von der Ware, der Temperaturentwicklung und dem tatsächlichen Betriebszustand ab. Eine ausgefallene Kühlung und eine aktiv Wärme einbringende Abtaufunktion sind unterschiedliche Szenarien. Erfahrungswerte aus Stromausfällen dürfen deshalb nicht ungeprüft übernommen werden.

Die Business-Impact-Analyse sollte daraus Anforderungen an Wiederanlaufzeit und Notbetrieb ableiten. Das verfügbare Zeitfenster muss für die gesamte Reaktionskette ausreichen: Erkennung, Alarmierung, Entscheidung, Anfahrt und Eingriff. Die vertraglich zugesagte Rückmeldung eines Dienstleisters ist nur ein Teil davon. Für den Warenbestand zählt, wann die Temperaturführung wieder beherrscht wird oder eine sichere Umlagerung abgeschlossen ist.

Unternehmen sollten einen eingeschränkten lokalen Betrieb vorbereiten, soweit dieser technisch und personell möglich ist. Dazu gehören dokumentierte Verfahren, geschulte Beschäftigte, verfügbare Werkzeuge und die erforderlichen Berechtigungen. „Dann schalten wir auf Handbetrieb“ ist keine belastbare Lösung, wenn vor Ort niemand weiß, wie das geht, oder die Anlage dafür gar nicht ausgelegt ist.

Auch das Trennen externer Verbindungen muss erprobt werden. Eine Netztrennung kann weitere Zugriffe unterbinden, stellt aber bereits manipulierte Parameter nicht automatisch zurück. Außerdem können mit der Verbindung Überwachung oder andere benötigte Funktionen verloren gehen. Der Isolationsplan muss deshalb beschreiben, welche Verbindungen getrennt werden, welcher Betriebszustand danach erwartet wird und wie dieser überprüft wird.

Für die Wiederherstellung werden vertrauenswürdige Konfigurationen, freigegebene Softwarestände und gegebenenfalls vorbereitete Ersatzsteuerungen benötigt. Diese Unterlagen sollten geschützt und auch dann verfügbar sein, wenn zentrale Systeme oder das Herstellerportal ausfallen. Eine Sicherungskopie ist erst dann ein belastbarer Bestandteil des Notfallplans, wenn ihre Wiederherstellung getestet wurde.

Bei mutmaßlich kompromittierten Danfoss-Geräten empfiehlt CERT-FR unter anderem ein Zurücksetzen, verfügbare Sicherheitskorrekturen, den Wechsel von Zugangsdaten sowie die Kontrolle vorhandener Konten und eine vollständige Neukonfiguration. Solche Eingriffe müssen mit dem sicheren Anlagenbetrieb und, soweit ohne zusätzliche Gefährdung möglich, der Beweissicherung abgestimmt werden.

Die technische Freigabe der Anlage und die Entscheidung über die Ware sind anschließend getrennt zu treffen. Eine wieder niedrige Temperatur beweist nicht, dass die Lagerbedingungen während des Vorfalls eingehalten wurden. Unvollständige oder möglicherweise manipulierte Verlaufsdaten müssen in die fachliche Bewertung einfließen.

Wenn ein Spezialanbieter kaum ersetzbar ist

Der Vorfall rechtfertigt keine unbelegte Aussage über eine Monopolstellung von Danfoss. Die öffentlich verfügbaren Informationen erlauben keine belastbare wettbewerbsrechtliche Bewertung. Er gibt aber Anlass, sich mit einer Abhängigkeit zu beschäftigen, die in spezialisierten Anwendungen entstehen kann.

Ein Unternehmen kann faktisch an einen einzigen Anbieter gebunden sein, obwohl am Markt mehrere Hersteller existieren. Proprietäre Schnittstellen, langjährig angepasste Steuerungsprogramme, besondere Qualifikationen der Wartungsunternehmen und aufwendige Abnahmen können einen Wechsel so schwierig machen, dass kurzfristig keine realistische Alternative bleibt. Für die Notfallplanung verhält sich diese Bindung dann ähnlich wie ein Monopol.

Die Folgen zeigen sich nicht nur bei Preisen oder Lieferzeiten. Werden viele Kunden derselben Plattform gleichzeitig getroffen, benötigen sie zur selben Zeit Updates, Ersatzgeräte und Spezialisten. Ein Dienstleister kann seine zugesagte Unterstützung möglicherweise im normalen Störungsbetrieb leisten, aber nicht bei einem flächigen Ereignis. Diese Leistungsgrenze sollte vorab geklärt werden.

Dabei ist Standardisierung keineswegs grundsätzlich falsch. Einheitliche Technik kann Schulungen erleichtern, Ersatzteilbestände verkleinern und Konfigurationsfehler reduzieren. Eine unübersichtliche Mischung zahlreicher Produkte bringt eigene Risiken mit sich. Zusätzliche Hersteller bedeuten weitere Softwarestände, Werkzeuge und Qualifikationsanforderungen.

Sinnvoll ist deshalb eine gezielte Begrenzung gemeinsamer Abhängigkeiten. Besonders wichtige Ausweichstandorte sollten darauf geprüft werden, ob sie technisch und organisatorisch ausreichend unabhängig sind. Zwei unterschiedliche Marken reichen als Nachweis nicht aus, wenn darunter dieselbe Softwarekomponente oder derselbe Fernwartungsdienst arbeitet.

Wo ein Herstellerwechsel kaum möglich ist, gewinnt die eigene Betriebsfähigkeit an Bedeutung. Betreiber sollten vertraglich und technisch sicherstellen, dass sie auf Konfigurationen und Betriebsdaten zugreifen, Systeme sichern und wiederherstellen sowie geeignete Fachunternehmen mit Wartung und Unterstützung beauftragen können. Wiederanlaufverfahren sollten nicht unnötig von einem gerade unerreichbaren Herstellerdienst abhängen.

Neue Beschaffungen müssen diese Anforderungen berücksichtigen. Dazu gehören ein klarer Supportzeitraum, rechtzeitige Informationen über das Supportende, verfügbare Sicherheitsupdates und dokumentierte Schnittstellen. Die gemeinsame Behördenempfehlung Secure by Demand, an der unter anderem CISA und BSI beteiligt waren, betont ausdrücklich offene Standards und die Handlungsfähigkeit der Betreiber gegenüber dem Hersteller.

Diese Eigenschaften sollten bei der Abnahme praktisch geprüft werden. Der Anbieter kann beispielsweise demonstrieren, wie eine Konfiguration exportiert, ein Gerät wiederhergestellt und der lokale Betrieb ohne externe Verbindung aufrechterhalten wird. Dabei wird auch sichtbar, welche Funktionen tatsächlich unabhängig verfügbar bleiben.

Dasselbe Muster in Krankenhaus, Rechenzentrum und Wasserversorgung

Die folgenden Übertragungen sind Planungsszenarien, keine Behauptung weiterer Vorfälle im Zusammenhang mit dem Angriff in Frankreich. Sie verdeutlichen, wie ähnliche digitale Abhängigkeiten in anderen Bereichen wirken könnten.

Bei einem pharmazeutischen Lager oder einer Krankenhausapotheke könnte eine manipulierte Kühlsteuerung temperaturempfindliche Bestände betreffen. Ein Ausfall würde dann über den Warenwert hinausreichen: Bei unklaren Lagerbedingungen müsste die Verwendbarkeit fachlich bewertet werden; bestimmte Produkte könnten vorübergehend fehlen. Ein geeignetes Vorsorgekonzept würde deshalb unabhängige Temperaturaufzeichnungen, fachliche Freigabeverfahren und nachweislich verfügbare alternative Lagerkapazitäten verbinden. Auch das Ersatzlager müsste auf gemeinsame Steuerungs- und Dienstleisterabhängigkeiten geprüft werden.

In einem Rechenzentrum könnte die Kühlung zum gemeinsamen Ausfallpunkt werden, obwohl Stromversorgung und IT-Systeme mehrfach vorhanden sind. Würden mehrere Kälteanlagen über dieselbe kompromittierbare Managementebene gesteuert, wäre ihre technische Redundanz möglicherweise nur eingeschränkt wirksam. Zu prüfen wären getrennte Regelungs- und Zugriffsbereiche, ein sicherer lokaler Betrieb und Verfahren zur kontrollierten Lastreduzierung. Auch bei einem zweiten Rechenzentrum müsste geklärt sein, ob vergleichbare Gebäudetechnik dieselbe Schwachstelle mitbringt.

In der Wasser- oder Wärmeversorgung wären andere Prozessgrößen betroffen: Fördermengen, Druckhaltung oder Temperaturen. Je nach Anlage könnten Manipulationen die Dienstleistung beeinträchtigen oder eine vorsorgliche Betriebsunterbrechung erforderlich machen. Die Sicherheitsplanung müsste hier besonders eng mit der Verfahrenstechnik abgestimmt werden. Unabhängige Prozessmessungen, belastbare Betriebsgrenzen und erprobte lokale Bedienung wären mögliche Bestandteile.

Dass über das Internet erreichbare Betriebstechnik in der Wasserversorgung tatsächlich angegriffen wird, beschreibt CISA in ihrer aktuellen Empfehlung zur Verringerung der Internetexposition. Die Behörde berichtet von Aktivitäten gegen mehr als 100 Einrichtungen des Wasser- und Abwassersektors im Juli 2026. Veränderte Geräteadressen und Passwörter führten unter anderem zum Verlust von Überwachungs- und Steuerungsmöglichkeiten, teilweise auch zu Betriebsstörungen.

Aus solchen Szenarien lassen sich keine pauschalen Schadensfolgen ableiten. Eine manipulierte Einstellung führt nicht zwangsläufig zu einem gefährlichen Prozesszustand; vorhandene Schutzfunktionen können eingreifen. Gerade deshalb sollte geprüft werden, welche Sicherungen unter einem gezielten Angriff noch wirksam bleiben und welche denselben digitalen Zugang nutzen.

Versorgungssicherheit hängt auch von gemeinsamen Vorleistungen ab

Die bisherigen Berichte aus Frankreich belegen erhebliche Warenverluste und Betriebsstörungen. Eine landesweite Versorgungskrise lässt sich daraus nicht ableiten. Für die Vorsorge wäre es dennoch zu kurz gegriffen, den Vorfall ausschließlich als wirtschaftlichen Schaden einzelner Händler zu behandeln.

Die Folgen eines gleichzeitigen Ausfalls hängen stark von den örtlichen Alternativen ab. In einem dicht versorgten Stadtgebiet können Kunden möglicherweise auf andere Geschäfte ausweichen. In einer ländlichen Region könnten längere Wege oder fehlende Transportmöglichkeiten den Ersatz erschweren. Pflegeeinrichtungen, Gemeinschaftsküchen und andere größere Abnehmer müssten zusätzlich prüfen, ob ihre Lieferanten weiterhin ausreichend leistungsfähig sind.

Das BBK zählt die Ernährung zu den Kritischen Infrastrukturen. Daraus folgt allerdings nicht, dass jeder Supermarkt automatisch sämtlichen gesetzlichen KRITIS-Pflichten unterliegt. Die konkrete rechtliche Erfassung hängt von den einschlägigen Vorschriften ab. Für eine betriebliche oder regionale Risikoanalyse bleiben auch kleinere Unternehmen wichtig, wenn ihre Leistungen vor Ort nur schwer ersetzt werden können.

Für die Versorgungssicherheit muss daher die gesamte Leistungskette betrachtet werden: Produktion, Lagerung, Transport, Handel und die dafür benötigte Technik. Ein spezialisierter Wartungsbetrieb oder Hersteller kann für zahlreiche versorgungsrelevante Unternehmen gleichzeitig wichtig sein, ohne selbst ein weithin sichtbarer Infrastrukturbetreiber zu sein.

Hier reicht die Betrachtung einzelner Lieferverträge nicht aus. Branchenverbände, Betreiber und zuständige Behörden sollten gemeinsame technische Abhängigkeiten in geeigneten, geschützten Austauschformaten untersuchen. Benötigt wird beispielsweise ein Verständnis dafür, wie viele kritische Leistungen von derselben Plattform abhängen und welche Ersatzkapazitäten bei einem gleichzeitigen Ausfall tatsächlich verfügbar wären. Daraus sollte kein öffentlich zugängliches Verzeichnis verwundbarer Anlagen entstehen.

Auch die gesetzlichen Anforderungen greifen diese Zusammenhänge auf. § 30 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen unter anderem Maßnahmen zur Betriebsaufrechterhaltung, zum Krisenmanagement, zur Lieferkettensicherheit und zur Wirksamkeitsprüfung. Das seit dem 17. März 2026 geltende KRITIS-Dachgesetz berücksichtigt in § 12 sektorübergreifende Abhängigkeiten und sieht in § 13 Maßnahmen zur Begrenzung von Vorfällen und zur Wiederherstellung kritischer Dienstleistungen vor. Welche Pflichten für einen konkreten Betreiber ab wann greifen, ist gesondert anhand des Anwendungsbereichs und der gesetzlichen Regelungen zu prüfen.

Für die praktische Vorsorge sollten Mindestleistungen festgelegt werden. Welche Einrichtungen müssen vorrangig beliefert werden? Welche Produkte lassen sich durch andere ersetzen? Welche Transporte und Lagerflächen sind verbindlich verfügbar? Eine Ersatzkapazität, auf die mehrere Unternehmen gleichzeitig zugreifen wollen, darf in der Planung nicht mehrfach als sicher verfügbar gelten.

Die nächste Übung sollte ohne Herstellerhilfe auskommen

Eine geeignete Krisenübung könnte mit mehreren gleichzeitigen Temperaturmeldungen beginnen. Die Fernwartung wird vorsorglich eingeschränkt, der Hersteller ist zunächst nicht erreichbar, und die Integrität der zentralen Messdaten lässt sich noch nicht bestätigen.

Damit müssten Filialbetrieb, Kältetechnik, Informationssicherheit, Qualitätssicherung und Logistik gemeinsam arbeiten. Die Übung würde zeigen, wie schnell betroffene Standorte identifiziert werden, wer lokale Maßnahmen freigibt und ob die vorgesehenen Ausweichflächen tatsächlich nutzbar sind. Auch die Priorisierung knapper Techniker- und Transportkapazitäten ließe sich erproben.

Bewertet werden sollten konkrete Ergebnisse: die Zeit bis zur Alarmannahme, bis zur sicheren Begrenzung des Vorfalls und bis zu einer belastbaren Entscheidung über Anlage und Ware. Ebenso wichtig wäre der Nachweis, dass notwendige Unterlagen, Zugänge und Ersatzteile ohne die ausgefallenen Dienste verfügbar sind.

Aus der Übung sollte ein verbindlicher Maßnahmenplan entstehen. Kurzfristig lassen sich unnötige Fernzugänge schließen, Berechtigungen begrenzen und Alarmwege prüfen. Anschließend müssen Wiederherstellungsverfahren, Ersatzkapazitäten und Dienstleistervereinbarungen belastbar gemacht werden. Nicht mehr unterstützte Steuerungen und problematische Herstellerabhängigkeiten gehören mit Budget und Termin in die Investitionsplanung.

Der Angriff auf die französischen Supermärkte liefert dafür einen konkreten Prüfauftrag: Den Weg vom ersten ungewöhnlichen Messwert bis zur erneuten Freigabe der Ware einmal vollständig durchspielen – auch nachts, an mehreren Standorten und ohne die Annahme, dass der vertraute Hersteller jederzeit helfen kann.

Quellen

Zum Angriff und zu den gemeldeten Schäden: Golem.de, „Cyberangriff trifft Tiefkühlung in Hunderten Supermärkten“, Oktober 2026. Die genannten Schadenssummen sind vorläufige Angaben aus der Berichterstattung. Golem.de

Behördliche Bestätigung und Maßnahmen für betroffene Geräte: CERT-FR/ANSSI, Sicherheitswarnung CERTFR-2026-ALE-012 vom 12. Oktober 2026 zu den Danfoss-Serien AK-SM und AK-SC. CERT-FR

Herstellerangaben zum Supportstatus: Cooling Post, „Danfoss moves to mitigate cyberattack“, 12. Oktober 2026; mit einer gegenüber der Redaktion abgegebenen Stellungnahme von Danfoss. Cooling Post

Bereits veröffentlichte Produktschwachstellen: Danfoss, Security Advisory DSA-2025-03-01, erstmals veröffentlicht am 24. März 2025, sowie die Übersicht weiterer Sicherheitshinweise. Diese Veröffentlichungen belegen nicht den konkreten Angriffsweg des aktuellen Vorfalls. Danfoss

Bestandsaufnahme und Architekturverständnis: CISA, „Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators“, sowie NCSC, „Creating and maintaining a definitive view of your OT architecture“. CISA

Fernzugänge und Internetexposition: CISA, „Internet Exposure Reduction Guidance“, einschließlich der Angaben zu Angriffen auf Einrichtungen des Wasser- und Abwassersektors im Juli 2026. CISA

Segmentierung, Überwachung und Isolation: NCSC, „Secure connectivity principles for operational technology“, insbesondere Prinzipien 6, 7 und 8. National Cyber Security Centre

Lokaler Notbetrieb und Wiederherstellung: CISA und Partnerbehörden, „Primary Mitigations to Reduce Cyber Threats to Operational Technology“, 6. Mai 2025. CISA

Herstellerabhängigkeiten und Beschaffung: Gemeinsame Behördenempfehlung „Secure by Demand: Priority Considerations for Operational Technology Owners and Operators when Selecting Digital Products“, Januar 2025, unter Beteiligung unter anderem von CISA und BSI. Cyber Security Australia

Dienstleisterrisiken und vertragliche Anforderungen: NCSC, „Understand and document third-party risks to your OT system“ sowie „The principles of supply chain security – Establish control“. National Cyber Security Centre

Business-Impact-Analyse und Wiederanlaufanforderungen: BSI, Online-Kurs Notfallmanagement, Kapitel „Wiederanlaufparameter bestimmen“. BSI

Ernährung und Versorgungssicherheit: BBK, „KRITIS-Sektor: Ernährung“. BSI

Gesetzliche Anforderungen: § 30 BSIG; KRITIS-Dachgesetz, insbesondere §§ 12 und 13; ergänzend die Informationen des BBK zum Inkrafttreten. Gesetze im Internet

Redaktionsstand: 13. Oktober 2026. Die technische Aufklärung des Angriffs und die Ermittlung des Gesamtschadens dauern an. Die Übertragungen auf andere Branchen und die daraus abgeleiteten Maßnahmen sind fachliche Bewertungen; ihre Umsetzung erfordert eine anlagen- und risikospezifische Prüfung.

Der Beitrag Über Nacht verdorben: Cyberangriff auf die Kühlkette erschien zuerst auf Vor die Lage.

An solchen Einsätzen muss sich auch die Diskussion über die Zukunft der Notfallversorgung orientieren. Bei einer Katastrophe kommen zusätzliche Verletzte und Erkrankte zu den Menschen hinzu, die ohnehin medizinische Behandlung, Medikamente oder Pflege benötigen. Gleichzeitig können Straßen unpassierbar, Arztpraxen geschlossen und Krankenhäuser nur eingeschränkt arbeitsfähig sein. Das Hilfesystem muss unter erschwerten Bedingungen mehr leisten.

Die geplante Notfallreform berührt deshalb eine Frage, die über Zuständigkeiten von Krankenkassen und Rettungsdiensten hinausgeht: Welche Versorgung steht der Bevölkerung zur Verfügung, wenn die üblichen Strukturen über Stunden, Tage oder Wochen nicht ausreichen?

Die aktuellen Warnungen kommen keineswegs allein von einer Organisation. DRK, Arbeiter-Samariter-Bund, Johanniter, Malteser und DLRG haben sich gemeinsam mit Feuerwehren und Luftrettungsorganisationen positioniert. Ihre Stellungnahmen zeigen, wie eng die tägliche Notfallversorgung und die Vorsorge für größere Schadenslagen miteinander verbunden sind.

Wie aus täglicher Versorgung Katastrophenhilfe wird

Im Alltag versorgt der Rettungsdienst Menschen mit akuten Erkrankungen oder Verletzungen. Leitstellen nehmen Hilfeersuchen entgegen, veranlassen geeignete Maßnahmen und koordinieren die verfügbaren Einsatzmittel. Krankenhäuser, Arztpraxen und der ärztliche Bereitschaftsdienst übernehmen weitere Teile der Versorgung.

Bei einem größeren Schadensereignis werden zusätzliche Kräfte benötigt. Einheiten des Sanitätsdienstes können Behandlungsplätze einrichten, Verletzte versorgen und Patiententransporte übernehmen. Der Betreuungsdienst kümmert sich insbesondere um Menschen, die ihre Wohnung verlassen mussten oder sich vorübergehend nicht selbst versorgen können. Dazu gehören Unterkunft, Verpflegung, soziale Betreuung und Unterstützung besonders hilfsbedürftiger Personen. Diese Aufgaben werden wesentlich von Hilfsorganisationen und ehrenamtlichen Einsatzkräften getragen. [2]

Der Übergang zwischen diesen Bereichen ist praktisch fließend. Eine Lage beginnt möglicherweise mit wenigen Rettungsdiensteinsätzen und entwickelt sich innerhalb kurzer Zeit zu einer Evakuierung mehrerer Straßenzüge. Aus der Versorgung einzelner Verletzter kann eine überörtliche Aufgabe werden, bei der zusätzlich Pflege, Transport, Unterbringung und Logistik organisiert werden müssen.

Fachleute sprechen von Aufwuchsfähigkeit, wenn ein System seine verfügbaren Kräfte und Leistungen bei steigendem Bedarf erweitern kann. Ebenso wichtig ist die Durchhaltefähigkeit: Die Versorgung muss auch nach dem ersten Einsatzabschnitt funktionieren, wenn Personal abgelöst, Material ersetzt und Fahrzeuge gewartet werden müssen.

Eine zusätzliche Einheit auf dem Papier reicht dafür nicht aus. Benötigt werden tatsächlich verfügbare Menschen, einsatzfähige Ausstattung, funktionierende Führungsstrukturen und eine gesicherte Versorgung der Einsatzkräfte selbst.

Was die Hilfsorganisationen fordern

Am 8. September 2026 veröffentlichten acht Organisationen eine gemeinsame Position zur Notfallreform: Arbeiter-Samariter-Bund, Deutsches Rotes Kreuz, Johanniter-Unfall-Hilfe einschließlich Johanniter Luftrettung, Malteser Hilfsdienst, DLRG, ADAC Luftrettung, DRF Luftrettung sowie der Deutsche Feuerwehrverband gemeinsam mit der Arbeitsgemeinschaft der Leiterinnen und Leiter der Berufsfeuerwehren.

Sie begrüßen die Reform grundsätzlich. Bessere Zusammenarbeit, zeitgemäße Leitstellen und eine passendere Versorgung der Hilfesuchenden werden ausdrücklich unterstützt. Zugleich verlangen die Organisationen eine verlässliche Finanzierung der notwendigen Personal-, Betriebs-, Ausbildungs- und Investitionskosten. Außerdem fordern sie eigene, gesicherte Mitsprache bei bundesweiten Entscheidungen über den Rettungsdienst. [3]

In den einzelnen Stellungnahmen werden unterschiedliche Schwerpunkte sichtbar.

Das Deutsche Rote Kreuz beschreibt den Rettungsdienst als Bindeglied zum überwiegend ehrenamtlich getragenen gesundheitlichen Bevölkerungsschutz. Besonders wichtig ist dem Verband, die Finanzierung der einsatzunabhängigen Bereitschaft ausdrücklich im Gesetz abzusichern. Dazu zählt das DRK unter anderem Personal, Fahrzeuge, Leitstellentechnik, Bevorratung und Ausbildung. Eine Erläuterung allein in der Gesetzesbegründung hält es für nicht ausreichend. [4]

Die Johanniter stellen die Fähigkeit in den Vordergrund, auf unterschiedliche Gefahrenlagen reagieren und bei Bedarf zusätzliche Versorgung aufbauen zu können. Ihre Stellungnahme vom 7. September fordert ausdrücklich, diese Aufwuchsfähigkeit zu erhalten. Zugleich sprechen sie sich für realitätsgerechte Finanzierungsregelungen und eine stärkere Gesundheits- und Selbsthilfekompetenz der Bevölkerung aus. [5]

Der Arbeiter-Samariter-Bund unterstützt eine fachlich gesteuerte Vermittlung an die geeignete Behandlungsstelle. Menschen sollen nicht selbst herausfinden müssen, welcher Teil eines komplizierten Versorgungssystems für ihr Anliegen zuständig ist. In seiner weitergehenden Bevölkerungsschutzpolitik betont der ASB außerdem die soziale und organisatorische Seite der Krisenbewältigung. Beim im Mai vorgestellten „Pakt für den Bevölkerungsschutz“ kritisierte er, dass technische und staatliche Fähigkeiten zu stark im Vordergrund stünden, während die Hilfsorganisationen und ihre Versorgungs- und Betreuungsstrukturen nicht hinreichend gestärkt würden. [6]

Die DLRG trägt die gemeinsame Position zur Notfallreform mit und verweist darüber hinaus auf zwei für Katastrophenlagen besonders wichtige Voraussetzungen: verlässliche Bedingungen für ehrenamtliche Einsatzkräfte und eine angemessene Berücksichtigung der Wasserrettung. Im Mai 2026 forderte sie unter anderem einheitlichere Regelungen zur Freistellung für Einsätze, Übungen und Ausbildung sowie eine ausdrückliche Verankerung der Wasserrettung im Zivilschutz- und Katastrophenhilfegesetz. [7]

Die Forderungen sind nicht in jedem Detail identisch. Gemeinsam ist ihnen die Sorge, dass neue Anforderungen beschlossen werden, ohne die dafür benötigten Strukturen dauerhaft abzusichern. Daraus folgt noch keine belastbare Prognose eines flächendeckenden Zusammenbruchs. Die Stellungnahmen benennen aber konkrete Risiken, die bei einer Reform nicht als bloße Interessenvertretung einzelner Anbieter abgetan werden sollten.

Was die Notfallreform verbessern kann

Die Reform befindet sich weiterhin im Gesetzgebungsverfahren. Der Bundestag beriet den Regierungsentwurf am 9. Juli 2026 in erster Lesung; am 9. September folgte die öffentliche Anhörung im Gesundheitsausschuss. Die vorgesehenen Änderungen sind daher von bereits geltendem Recht zu unterscheiden. [8]

Geplant ist unter anderem eine engere digitale Zusammenarbeit zwischen den Leitstellen hinter den Rufnummern 112 und 116117. An geeigneten Krankenhäusern sollen Integrierte Notfallzentren entstehen, in denen eine gemeinsame Ersteinschätzung den Weg in die passende Behandlung erleichtert. Telemedizinische und aufsuchende Angebote sollen die Versorgung ergänzen.

Außerdem soll die medizinische Notfallrettung als eigenständige Leistung der gesetzlichen Krankenversicherung anerkannt werden. Damit würde ihre Finanzierung die medizinische Arbeit besser abbilden, statt sich im Bundesrecht vor allem am Transport ins Krankenhaus zu orientieren. Eine fachgerechte Versorgung am Einsatzort soll auch ohne anschließende Krankenhausfahrt angemessen berücksichtigt werden. [9]

Diese Ziele sind sinnvoll. Ein Patient, der sicher zu Hause behandelt werden kann, benötigt nicht zwangsläufig einen Transport und einen Aufenthalt in der Notaufnahme. Werden Rettungswagen und Krankenhauspersonal dadurch tatsächlich entlastet, verbessert das grundsätzlich auch ihre Verfügbarkeit für andere Aufgaben.

Die Entlastung setzt allerdings voraus, dass eine geeignete Alternative vorhanden ist. Eine telefonische Weiterleitung allein schafft noch keinen Hausbesuch, keinen Behandlungstermin und keinen verfügbaren Pflegedienst. Bereits in der Bundestagsanhörung wurde davor gewarnt, neue Angebote ohne ausreichendes Personal und verlässliche Finanzierung vorzusehen. [8]

Für die Katastrophenvorsorge kommt eine weitere Anforderung hinzu: Die neu verbundenen Versorgungswege müssen auch dann nutzbar bleiben, wenn einzelne Einrichtungen oder technische Systeme ausfallen.

Warum weniger Einsätze nicht automatisch weniger Bereitschaft erlauben

Im Rettungsdienst bezeichnet Vorhaltung die Einsatzbereitschaft unabhängig davon, ob gerade ein Notruf eingeht. Dazu gehören besetzte Rettungsmittel, Standorte, Leitstellen und die erforderliche Ausstattung. Diese Kosten entstehen auch in einsatzarmen Stunden.

Ein vereinfachtes Beispiel verdeutlicht die Bedeutung: In einer ländlichen Region könnten bessere ambulante Angebote mehrere Krankenhaustransporte am Tag vermeiden. Das würde Fahrleistung und Einsatzzeiten reduzieren. Die Entfernung zwischen den Ortschaften bliebe jedoch unverändert. Auch zwei gleichzeitig auftretende schwere Notfälle müssten weiterhin bewältigt werden.

Ob tatsächlich weniger Fahrzeuge oder Personal benötigt werden, ließe sich deshalb erst anhand der örtlichen Versorgung prüfen. Eine sinkende Transportzahl genügt als Begründung nicht.

Für größere Schadenslagen ist diese Unterscheidung besonders wichtig. Die alltägliche Einsatzbereitschaft bildet den Ausgangspunkt für die erste Reaktion. Zusätzliche Katastrophenschutzeinheiten müssen alarmiert werden, sich sammeln und gegebenenfalls aus anderen Regionen anreisen. Ihre Existenz erlaubt es nicht, die reguläre Versorgung beliebig zu verringern.

Dabei verbietet der Regierungsentwurf die Finanzierung notwendiger Vorhaltung keineswegs grundsätzlich. Die Bundesregierung erklärt, dass erforderliche anteilige Vorhalte- und Investitionskosten berücksichtigt werden können, soweit sie dem Leistungsanspruch der Krankenversicherung dienen. Umstritten ist, wie verbindlich und rechtssicher diese Finanzierung ausgestaltet wird. [10]

Die berechtigte Forderung nach Wirtschaftlichkeit bleibt bestehen. Standorte, Dienstzeiten und Organisationsformen müssen überprüfbar sein. Wirtschaftlichkeit bedeutet aber nicht, jede freie Kapazität als vermeidbare Ausgabe zu behandeln. Bei einer bewusst vorgehaltenen Sicherheitsleistung gehört zeitweilige Nichtauslastung zum Zweck.

In der Katastrophe müssen auch Pflege und Grundversorgung weitergehen

Eine Betrachtung allein nach der Zahl von Rettungswagen und Krankenhausbetten greift zu kurz.

Für Menschen mit Pflegebedarf kann eine unterbrochene Versorgung sehr schnell zu einer ernsten Gefährdung werden. Eine erreichbare Notaufnahme hilft nur begrenzt, wenn zu Hause Unterstützung beim Essen, bei der Körperpflege oder bei der Mobilität fehlt. Auch Angehörige können durch eine Evakuierung, gesperrte Verkehrswege oder eigene Betroffenheit ausfallen.

Das Forschungsprojekt AUPIK zur Aufrechterhaltung ambulanter Pflegeinfrastrukturen kommt zu einem wichtigen Ergebnis: Die pflegerische Versorgung muss auch in Katastrophenlagen wesentlich durch die vorhandenen Pflegedienste weitergeführt werden. Der Katastrophenschutz kann unterstützen, diese Strukturen aber nicht einfach vollständig ersetzen. Die Forschung macht außerdem deutlich, dass die Einsatzbereitschaft des Pflegepersonals mit der Versorgung der eigenen Familie zusammenhängt. [11]

Für die kommunale Vorsorge folgt daraus, dass ambulante Pflegedienste, Pflegeeinrichtungen, Arztpraxen und weitere Versorger frühzeitig einbezogen werden sollten. Es muss geklärt sein, wie notwendige Besuche bei Verkehrsbehinderungen organisiert werden, welche alternativen Kontaktwege bestehen und wohin Menschen gebracht werden können, wenn ihre Versorgung zu Hause nicht mehr möglich ist.

Auch Notunterkünfte benötigen eine differenzierte Planung. Eine Person, die selbstständig laufen und sich versorgen kann, hat andere Anforderungen als ein bettlägeriger Mensch oder jemand mit Demenz. Barrierefreie Zugänge, geeignete Sanitäranlagen, Ruhemöglichkeiten und fachliche Unterstützung sollten deshalb bereits Teil der Vorbereitung sein.

Unterkunft und Verpflegung sind zudem gesundheitlich relevante Leistungen. Das BBK zählt zur Betreuung ausdrücklich die Deckung von Grundbedürfnissen, die Begleitung besonders hilfsbedürftiger Menschen und die Vermittlung in weiterführende psychosoziale Hilfen. [2]

Wer diese Aufgaben aus der Betrachtung ausklammert, unterschätzt den tatsächlichen Versorgungsbedarf einer betroffenen Bevölkerung.

Zusätzliche Kapazitäten brauchen Zeit und Logistik

Für außergewöhnliche Lagen gibt es ergänzende Konzepte des Bundes. Dazu gehören die Medizinischen Task Forces: standardisierte Einheiten mit besonderen sanitätsdienstlichen Fähigkeiten für den Zivilschutz und die länderübergreifende Katastrophenhilfe. Sie sind unter anderem für den Betrieb von Behandlungsplätzen, die Versorgung kontaminierter Verletzter und weiträumige Patiententransporte vorgesehen. [12]

Für die Unterbringung und Versorgung größerer Bevölkerungsgruppen werden Mobile Betreuungsmodule entwickelt. Ein Modul „5.000“ ist als weitgehend eigenständig funktionierende Einrichtung für bis zu 5.000 Menschen konzipiert. Dazu gehören Unterkünfte, Küchen, Sanitäranlagen, Energieversorgung sowie medizinische und pflegerische Unterstützung. Das BBK weist ausdrücklich darauf hin, dass der Aufbau aufwendig ist und solche Einrichtungen für eine längere Nutzung am gewählten Standort vorgesehen sind. [13]

Diese Fähigkeiten sind wertvoll. Sie stehen jedoch für andere Aufgaben und Zeitabläufe als der Rettungswagen, der nach einem Notruf unmittelbar ausrückt. Ihre Existenz darf deshalb nicht mit einer überall sofort verfügbaren Ersatzversorgung verwechselt werden.

Für die Einsatzplanung sollte nachvollziehbar sein, welche Hilfe vor Ort sofort verfügbar ist und welche erst später eintrifft. Ebenso muss die Versorgung bis zu diesem Zeitpunkt organisiert werden. Bei länger dauernden Lagen kommen Ablösung, Kraftstoff, Verbrauchsmaterial, Verpflegung, Unterbringung und Instandhaltung hinzu.

Eine Einheit kann bei der Alarmierung vollständig besetzt sein und trotzdem nach einem langen Einsatz an ihre Grenzen gelangen. Daher sollte die Leistungsfähigkeit über mehrere Schichten betrachtet werden. Die Zahl vorhandener Fahrzeuge beantwortet diese Frage nicht.

Ehrenamtliche müssen tatsächlich verfügbar sein

Die Forderungen von ASB und DLRG zur Stellung ehrenamtlicher Helfer betreffen unmittelbar die Versorgungssicherheit. Beide Organisationen weisen auf die Bedeutung verlässlicher Freistellungsbedingungen und einer strukturellen Unterstützung des Ehrenamts hin. Die DLRG kritisiert dabei Unterschiede zwischen Ländern und Einsatzorganisationen. [6, 7]

Für eine Katastrophenschutzplanung ist entscheidend, ob ausgebildete Einsatzkräfte ihren Arbeitsplatz tatsächlich verlassen können, ob sie für Übungen verfügbar sind und wie längere Abwesenheiten geregelt werden. Ohne regelmäßige Ausbildung und gemeinsame Übungen lässt sich aus vorhandener Ausrüstung keine verlässlich einsetzbare Fähigkeit ableiten.

Hinzu kommt die persönliche Betroffenheit. Wer selbst evakuiert wurde oder die Versorgung seiner Angehörigen organisieren muss, steht möglicherweise nicht im vorgesehenen Umfang zur Verfügung. Personalplanung sollte deshalb nicht allein auf Mitgliederzahlen oder nominellen Besetzungsstärken beruhen.

Auch Doppelverwendungen müssen sichtbar sein. Wird dieselbe Fachkraft gleichzeitig für den regulären Rettungsdienst, eine zusätzliche Behandlungseinheit und einen Führungsdienst eingeplant, entstehen daraus keine drei unabhängig verfügbaren Personen. Solche Überschneidungen sollten bereits in der Vorbereitung aufgelöst werden.

Die Verantwortung liegt dabei nicht allein bei den Freiwilligen. Arbeitgeber, öffentliche Träger und Einsatzorganisationen benötigen verlässliche Vereinbarungen, damit Engagement im Ernstfall praktisch möglich ist.

Gemeinsame Infrastruktur kann beide Aufgaben stärken

Wie sich Alltagsbetrieb und Katastrophenvorsorge sinnvoll verbinden lassen, zeigt ein Beispiel aus Sachsen. Die Johanniter eröffneten im Mai 2026 die Erweiterung ihres Zentrums in Heidenau. Im Normalbetrieb dienen die Gebäude unter anderem Rettungs- und Fahrdiensten sowie Ausbildung und Training. Für Katastrophenlagen verfügt der Standort nach Angaben der Organisation über Möglichkeiten, bis zu 200 Menschen mehrere Tage autark zu versorgen. Dazu gehören ein Notstromaggregat sowie eigene Brunnen- und Abwasserinfrastruktur. [14]

Eine solche Doppelnutzung kann wirtschaftlich sinnvoll sein. Gebäude, Technik und Ausbildung werden regelmäßig genutzt und zugleich für besondere Lagen vorbereitet. Sie verdeutlicht aber auch, weshalb Finanzierungsentscheidungen nicht völlig getrennt betrachtet werden sollten.

Wird eine gemeinsam genutzte Struktur verändert, muss geprüft werden, welche Aufgaben davon betroffen sind. Der Verlust eines Rettungsdienstauftrags führt nicht automatisch zum Wegfall des örtlichen Katastrophenschutzes. Wo jedoch Ausbildung, Logistik, Räume oder technische Unterstützung eng miteinander verbunden sind, kann eine Veränderung Auswirkungen auf mehrere Leistungen haben.

Daraus folgt keine Pflicht der Krankenversicherung, sämtliche Katastrophenschutzkosten zu übernehmen. Der Entwurf grenzt ausdrücklich Kosten anderer öffentlicher Aufgaben von den Leistungen der Krankenversicherung ab. Der Katastrophenschutz liegt bei den Ländern; für den Zivilschutz im Verteidigungsfall ist der Bund zuständig. [2, 10]

Erforderlich ist deshalb eine nachvollziehbare Zuordnung gemeinsam genutzter Ressourcen und eine gesicherte Finanzierung der jeweiligen Aufgaben. Eine rechnerische Trennung hilft wenig, wenn anschließend ein notwendiger Teil der Infrastruktur von keinem zuständigen Träger ausreichend finanziert wird.

Die Versorgung muss unter Ausfallbedingungen erprobt werden

Die Qualität der Reform sollte nicht ausschließlich daran gemessen werden, ob im Alltag weniger Menschen in Notaufnahmen erscheinen oder weniger Krankenhaustransporte stattfinden. Aus Sicht des Bevölkerungsschutzes muss auch überprüft werden, wie die Versorgung bei Ausfällen funktioniert.

Ein geeigneter Prüfrahmen wäre beispielsweise ein länger andauernder regionaler Stromausfall, bei dem zugleich ein Krankenhaus eingeschränkt arbeitet und mehrere Pflegeeinrichtungen Unterstützung benötigen. An einem solchen Szenario ließe sich untersuchen, wie Hilfeersuchen aufgenommen, Menschen erreicht, Transporte organisiert und die notwendige Behandlung fortgesetzt werden können.

Dabei sollten auch die Grenzen digitaler Vernetzung geprüft werden. Welche Übergaben sind noch möglich, wenn die gemeinsame Plattform nicht erreichbar ist? Wie erhalten Leitstellen verlässliche Informationen über tatsächlich verfügbare Behandlungsmöglichkeiten? Welche Anlaufstellen kennt die Bevölkerung, wenn gewohnte Kommunikationswege ausfallen?

Krankenhäuser müssen in diese Betrachtung einbezogen werden. Das BBK behandelt in seiner Krankenhausalarm- und -einsatzplanung ausdrücklich sowohl interne Ereignisse wie Brände oder Cyberangriffe als auch einen starken zusätzlichen Patientenzustrom von außen. Eine funktionierende Rettungskette benötigt aufnahme- und arbeitsfähige Behandlungseinrichtungen. [15]

Solche Übungen sollten deshalb über die Zusammenarbeit von Rettungsdienst und Feuerwehr hinausgehen. Pflege, ambulante Medizin, Betreuungsdienste, Versorgungsunternehmen und kommunale Krisenstäbe gehören an denselben Tisch. Gerade an ihren Übergängen zeigt sich, ob aus einzelnen Notfallplänen eine tatsächlich funktionierende Versorgung entsteht.

Die Bevölkerung sollte dabei als Beteiligte berücksichtigt werden. Verständliche Informationen, Erste-Hilfe-Kenntnisse und angemessene Eigenvorsorge können dazu beitragen, Hilfe auf Menschen mit dringendem Unterstützungsbedarf zu konzentrieren. Für Personen, die sich aufgrund von Krankheit, Behinderung oder ihrer Lebenssituation nur eingeschränkt selbst helfen können, muss die Planung jedoch gezielt Unterstützung vorsehen. Die Vorsorgeempfehlungen des BBK bieten hierfür einen Ausgangspunkt, ersetzen aber keine öffentliche Versorgungsplanung. [16]

Eine Reform braucht einen Maßstab, der über den Alltag hinausgeht

Die Hilfsorganisationen stellen die Notwendigkeit einer besseren Notfallversorgung nicht infrage. Ihre gemeinsame Forderung ist, die Leistungsfähigkeit derjenigen Strukturen zu erhalten, auf die die Bevölkerung im Alltag und in außergewöhnlichen Lagen angewiesen ist.

Dafür braucht es eine Finanzierung, die notwendige Einsatzbereitschaft verlässlich berücksichtigt, zusätzliche Katastrophenschutzfähigkeiten absichert und gemeinsame Infrastruktur transparent zuordnet. Ebenso wichtig sind tatsächlich verfügbare Einsatzkräfte, belastbare Ablösekonzepte und die Einbindung der Pflege und sozialen Versorgung.

Die Erfahrungen aus dem Ahrtal zeigen, wie weit diese Verantwortung reicht. Nach der unmittelbaren Rettung mussten medizinische Behandlung, Hygiene, Stromversorgung und Betreuung weiter organisiert werden. Eine Notfallreform sollte solche Anforderungen von Beginn an berücksichtigen.

Ob die Versorgung trägt, zeigt sich schließlich daran, ob Menschen die benötigte Hilfe auch unter schwierigen Bedingungen erhalten: unmittelbar nach dem Ereignis, in der folgenden Nacht und in den Tagen danach.

Quellen

[1] Deutsches Rotes Kreuz: „Jahrestag Hochwasserkatastrophe: DRK-Einsatz im Ahrtal zeigt Gebot, Ehrenamt zu stärken“, 11. Juli 2022. Dokumentation der medizinischen, technischen und betreuungsdienstlichen Hilfe nach der Flut. DRK

[2] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Fachinformationen „Sanitätsdienst“ und „Betreuung im Zivilschutz“. Aufgaben, ergänzende Einheiten sowie Zuständigkeiten von Bund und Ländern. BZgA

[3] Gemeinsame Erklärung von Hilfsorganisationen, Luftrettungsorganisationen und Feuerwehren: „Notfallreform: Rettungsdienst braucht verlässliche Finanzierung und echte Mitsprache“, 8. September 2026. DRK

[4] Deutsches Rotes Kreuz: Stellungnahme zum Entwurf eines Gesetzes zur Reform der Notfallversorgung, 7. September 2026, insbesondere zur Verbindung mit dem gesundheitlichen Bevölkerungsschutz und zur gesetzlichen Absicherung der Vorhaltekosten. Deutscher Bundestag

[5] Johanniter-Unfall-Hilfe: Stellungnahme zum Entwurf eines Gesetzes zur Reform der Notfallversorgung, 7. September 2026. Anforderungen an Aufwuchsfähigkeit, Finanzierung und Selbsthilfekompetenz. Johanniter

[6] Arbeiter-Samariter-Bund: „Notruf 112: Zu viele landen im falschen System – ASB ordnet Reform ein“, 10. Februar 2026; „Kein ‚Pakt‘ auf Augenhöhe: Bund lässt Hilfsorganisationen im Zivilschutz außen vor“, 21. Mai 2026. Arbeiter-Samariter-Bund

[7] Deutsche Lebens-Rettungs-Gesellschaft: „DLRG zum Pakt für den Bevölkerungsschutz: Zentrales Problem bleibt weiter ungelöst“, Mitteilung des Bundesverbandes vom 21. Mai 2026, veröffentlicht unter anderem auf den Seiten der DLRG-Gliederungen. DLRG Rheda-Wiedenbrück

[8] Bundesministerium für Gesundheit und Deutscher Bundestag: Verfahrensübersicht zur Notfallreform und Bericht über die öffentliche Anhörung vom 9. September 2026. BMG

[9] Bundesministerium für Gesundheit: „Bundeskabinett beschließt Notfallreform“, 22. April 2026, sowie Fragen und Antworten zur Reform. BMG

[10] Bundesregierung: Entwurf eines Gesetzes zur Reform der Notfallversorgung, Bundestagsdrucksache 21/6808 vom 1. Juli 2026, einschließlich Begründung, Stellungnahme des Bundesrates und Gegenäußerung der Bundesregierung. Bundestag DServer

[11] Universität Tübingen, Internationales Zentrum für Ethik in den Wissenschaften: „Welche Infrastruktur ist für wen kritisch?“, Erkenntnisse aus dem Forschungsprojekt AUPIK zur Aufrechterhaltung ambulanter Pflegeinfrastrukturen in Krisensituationen. Universität Tübingen

[12] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Fachinformation „Die Medizinische Task Force des Bundes“. Aufgaben und Einsatzspektrum der ergänzenden sanitätsdienstlichen Einheiten. BZgA

[13] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Fachinformation „Mobiles Betreuungsmodul 5.000“. Konzeption, Versorgungsleistungen und logistische Voraussetzungen. BZgA

[14] Johanniter-Unfall-Hilfe: „Feierliche Eröffnung des AKKON II in Heidenau“, 29. Mai 2026. Doppelnutzung von Infrastruktur für den Regelbetrieb und die Versorgung in Katastrophenlagen. Johanniter

[15] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Fachinformation „Krankenhausalarm- und -einsatzplanung“. Vorbereitung auf interne Ausfälle und außergewöhnliche externe Belastungen. BZgA

[16] Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: Materialien zur Vorsorge bei Stromausfall sowie zu Bevorratung und Notgepäck, einschließlich des Ratgebers „Vorsorgen für Krisen und Katastrophen“.

Der Beitrag Versorgung in Katastrophen: Warum die Notfallreform den Bevölkerungsschutz mitdenken muss erschien zuerst auf Vor die Lage.

Cloud-Dienste sind für viele Unternehmen längst Teil der betrieblichen Grundversorgung. Damit verändert sich auch die Bewertung von Abhängigkeiten. Ein Rechenzentrum in Frankfurt oder Amsterdam macht eine Plattform noch nicht souverän. Entscheidend ist, wie viel Kontrolle ein Unternehmen über Daten, Identitäten, Schlüssel, Software und letztlich über seine eigene Betriebsfähigkeit behält.

Die Diskussion um digitale Souveränität wird schnell grundsätzlich. Europäische Anbieter gegen amerikanische Hyperscaler, Open Source gegen proprietäre Software oder eigene Rechenzentren gegen Public Cloud. Für Unternehmen führen solche Gegenüberstellungen allerdings nur begrenzt weiter.

AWS, Microsoft Azure oder Google Cloud bieten eine technologische Breite und Skalierung, die sich intern kaum wirtschaftlich nachbauen lässt. Moderne Datenplattformen, weltweite Netze, Security Services oder KI-Infrastruktur können Projekte erheblich beschleunigen. Es wäre deshalb wenig sinnvoll, Cloud-Nutzung grundsätzlich als Verlust von Souveränität zu betrachten.

Problematisch wird sie dort, wo aus einer technisch sinnvollen Abhängigkeit eine Abhängigkeit ohne belastbare Alternative wird.

Genau das passiert in vielen Unternehmen schleichend.

Ein Rechenzentrum in Europa reicht nicht

Beim Einkauf von Cloud-Diensten wird Souveränität häufig zunächst mit dem Standort der Daten gleichgesetzt. Liegen die Daten innerhalb Deutschlands oder zumindest innerhalb der Europäischen Union, scheint ein wichtiger Teil des Problems gelöst.

Das ist richtig, aber unvollständig.

Der physische Speicherort sagt zunächst nur, wo Daten verarbeitet oder gespeichert werden. Er sagt wenig darüber aus, wer die Plattform kontrolliert, welches Unternehmen administrative Zugriffe ausführen kann, welchem Recht der Betreiber unterliegt, wo Supportpersonal sitzt, wer die kryptografischen Schlüssel kontrolliert oder über welche Systeme Software-Updates ausgeliefert werden.

Besonders sichtbar wird diese Unterscheidung bei US-amerikanischen Cloud-Anbietern. Der US CLOUD Act führt nicht dazu, dass amerikanische Behörden beliebig auf Daten europäischer Kunden zugreifen könnten. Er schafft aber unter bestimmten Voraussetzungen rechtliche Möglichkeiten, US-Anbieter zur Herausgabe von Daten zu verpflichten, auch wenn diese außerhalb der USA gespeichert sind. Europäische Datenschutzbehörden beschäftigen sich deshalb seit Jahren mit möglichen Konflikten zwischen solchen Zugriffsansprüchen und europäischem Datenschutzrecht.[1]

Umgekehrt hat auch Europa reagiert. Der EU Data Act verpflichtet Anbieter von Datenverarbeitungsdiensten unter anderem dazu, technische, organisatorische und rechtliche Maßnahmen gegen bestimmte unzulässige Zugriffe von Drittstaaten auf in der EU gespeicherte nicht personenbezogene Daten zu treffen.[2]

Damit wird deutlich: Datenlokation ist eine Komponente von Souveränität, aber nicht deren Definition.

Die eigentliche Abhängigkeit entsteht eine Ebene höher

Die stärksten Bindungen an einen Cloud-Anbieter entstehen heute häufig gar nicht beim Speicherplatz oder bei virtuellen Maschinen.

Sie entstehen durch Plattformdienste.

Eine Anwendung, die auf virtuellen Servern läuft und ihre Daten in einer weitgehend standardisierten Datenbank hält, lässt sich mit Aufwand auf eine andere Infrastruktur übertragen. Anders sieht es aus, wenn dieselbe Anwendung eng mit proprietären Identity Services, serverlosen Funktionen, Event-Plattformen, Datenbanken, Security-Werkzeugen, KI-APIs und herstellerspezifischen Managementdiensten verbunden ist.

Jeder einzelne dieser Dienste kann technisch sinnvoll sein. Zusammen entsteht jedoch eine Architektur, deren Wechselkosten kontinuierlich steigen.

Der Lock-in steckt dann nicht im Vertrag, sondern im Systemdesign.

Das gilt inzwischen besonders für KI. Unternehmen speichern nicht mehr nur Daten in einer Cloud. Dort entstehen Vektordatenbanken, Embeddings, Modellzugriffe, RAG-Architekturen, Agenten, Governance-Funktionen und ganze Entwicklungsumgebungen. Wer diese Komponenten ausschließlich mit proprietären Diensten eines Anbieters aufbaut, bindet nicht nur Infrastruktur, sondern zunehmend auch Wissen und Geschäftslogik an eine Plattform.

Das muss kein Fehler sein. Ein Lock-in kann wirtschaftlich vernünftig sein, wenn der Nutzen größer ist als das damit verbundene Risiko. Problematisch wird er erst dann, wenn niemand weiß, wie groß diese Abhängigkeit tatsächlich geworden ist.

Multicloud löst das Problem nicht automatisch

Eine häufig genannte Antwort lautet Multicloud. Werden mehrere Anbieter eingesetzt, könne ein Unternehmen bei Problemen einfach ausweichen.

In der Praxis funktioniert das selten so einfach.

Eine Anwendung gleichzeitig für Azure, AWS und Google Cloud vollständig portabel zu halten, kann erhebliche zusätzliche Entwicklungs-, Betriebs- und Testkosten verursachen. Hinzu kommen unterschiedliche Sicherheitsmodelle, IAM-Strukturen, Netzwerkarchitekturen und Betriebswerkzeuge. Wer versucht, jede technische Besonderheit der Anbieter zu vermeiden, verzichtet unter Umständen gerade auf diejenigen Funktionen, wegen derer die Cloud ursprünglich gewählt wurde.

Multicloud ist deshalb nicht automatisch eine Resilienzstrategie.

Sinnvoller ist es, gezielt zu entscheiden, wo Portabilität tatsächlich erforderlich ist.

Für ein zeitkritisches Produktionssystem kann es sinnvoll sein, Datenformate, Deployment und Datenbank so zu gestalten, dass eine Migration möglich bleibt. Bei einem weniger kritischen Collaboration-Dienst kann das Unternehmen dagegen bewusst eine stärkere Herstellerbindung akzeptieren – sofern Datenexport, Notbetrieb und Wiederanlauf geklärt sind.

Souveränität bedeutet damit nicht, jede Komponente jederzeit austauschen zu können. Sie bedeutet, Abhängigkeiten zu kennen und dort Alternativen vorzubereiten, wo ihr Ausfall oder Wegfall das Unternehmen ernsthaft treffen würde.

Europa versucht, Wechselmöglichkeiten regulatorisch zu stärken

Interessant ist, dass sich inzwischen auch die europäische Regulierung stärker mit genau dieser praktischen Seite der Cloud-Abhängigkeit beschäftigt.

Der EU Data Act gilt seit dem 12. September 2025. Sein Kapitel VI enthält konkrete Vorgaben zum Wechsel zwischen Datenverarbeitungsdiensten. Anbieter müssen Hindernisse abbauen, die Kunden am Wechsel zu einem anderen Anbieter oder zurück auf eine eigene Infrastruktur hindern. Verträge müssen entsprechende Wechselmöglichkeiten berücksichtigen und die Übertragung exportierbarer Daten und digitaler Assets regeln.[2]

Ab dem 12. Januar 2027 dürfen Anbieter für den eigentlichen Wechsel keine Wechselentgelte mehr verlangen. Der regulatorische Ansatz ist bemerkenswert: Vendor Lock-in wird damit nicht nur als technisches Architekturproblem betrachtet, sondern ausdrücklich als Wettbewerbs- und Souveränitätsthema.

Dass die Problematik inzwischen auch wettbewerbsrechtlich relevant ist, zeigte die EU-Kommission im Juni 2026. Sie teilte Amazon und Microsoft ihre vorläufige Auffassung mit, dass AWS und Azure wegen ihrer Marktstellung als Gatekeeper unter dem Digital Markets Act eingestuft werden sollten. Als Gründe nennt die Kommission ausdrücklich Lock-in-Effekte, hohe Wechselkosten und die großen Ökosysteme der Anbieter. Die Prüfung ist noch kein endgültiger Beschluss, zeigt aber, wie weit das Thema inzwischen über klassische IT-Architektur hinausgeht.[3]

Noch deutlicher wird die politische Richtung beim im Juni 2026 vorgelegten Vorschlag für den Cloud and AI Development Act (CADA). Die Kommission schlägt darin einen EU-weiten Rahmen zur Bewertung von Cloud- und KI-Souveränität vor. Dieser soll verschiedene Souveränitätsstufen unterscheiden – von der Verarbeitung innerhalb der EU bis zu weitreichenden Anforderungen an Eigentum, Kontrolle und Software-Lieferketten. Wichtig ist dabei der rechtliche Status: CADA ist derzeit ein Gesetzgebungsvorschlag und noch kein geltendes Recht.[4]

Damit bekommt ein bislang vergleichsweise unscharfer Begriff erstmals deutlich konkretere Kriterien.

Souveränität muss in der Architektur sichtbar werden

Für Unternehmen ergibt sich daraus eine sehr praktische Aufgabe. Sie sollten nicht versuchen, einen Anbieter pauschal als „souverän“ oder „nicht souverän“ einzustufen. Relevant ist vielmehr die konkrete Kombination aus Anwendung, Daten, Schutzbedarf und Abhängigkeit.

Am Anfang steht deshalb eine Bestandsaufnahme: Welche geschäftskritischen Prozesse hängen von welchen Cloud-Diensten ab? Dabei reicht es nicht, lediglich „Microsoft“, „AWS“ oder „Google“ in eine Lieferantenliste einzutragen.

Die Abhängigkeit liegt häufig tiefer.

Welche Identitätsplattform authentifiziert die Administratoren? Wo liegen die kryptografischen Schlüssel? Welche SaaS-Anwendung enthält die einzige aktuelle Kopie bestimmter Geschäftsdaten? Von welchem Dienst hängen Backups ab? Welche APIs werden für zentrale Geschäftsprozesse benötigt? Lassen sich Protokolldaten exportieren? Kann auf Daten noch zugegriffen werden, wenn der zentrale Identity Provider nicht verfügbar ist?

Eine solche Betrachtung verändert das Bild erheblich.

Ein Unternehmen kann beispielsweise seine Anwendungen auf mehrere Rechenzentren verteilen und trotzdem einen Single Point of Failure besitzen, wenn sämtliche administrativen Zugriffe über einen einzigen Cloud-Identity-Dienst laufen.

Der Exit gehört bereits in die Beschaffung

Besonders häufig wird über den Ausstieg aus einem Cloud-Dienst erst nachgedacht, wenn er tatsächlich notwendig wird.

Dann ist es zu spät.

Eine belastbare Cloud-Strategie behandelt die Exit-Frage bereits bei Architektur und Beschaffung. Dabei geht es nicht um einen theoretischen Satz im Vertrag, wonach der Anbieter bei Vertragsende Daten bereitstellt. Ein Unternehmen muss wissen, welche Daten tatsächlich exportiert werden können, in welchem Format sie vorliegen, wie lange ein vollständiger Export dauert und welche Funktionen nach einer Migration verloren gehen.

Bei einigen SaaS-Lösungen lassen sich Dokumente problemlos exportieren, während Metadaten, Berechtigungen, Auditinformationen oder Workflow-Logik nur eingeschränkt übertragen werden können. Bei PaaS-Plattformen lässt sich vielleicht die Datenbank migrieren, nicht aber die gesamte umgebende Geschäftslogik.

Ein technisch möglicher Export ist daher noch keine funktionierende Exit-Strategie.

Das BSI greift diesen Gedanken beispielsweise in seinem Mindeststandard zur Nutzung externer Cloud-Dienste auf. Bei Beendigung eines Cloud-Nutzungsverhältnisses sollen Datenrückgabe und Datenlöschung kontrolliert und dokumentiert werden. Der zugrunde liegende Gedanke lässt sich auch außerhalb der Bundesverwaltung sinnvoll übertragen: Der Lebenszyklus einer Cloud-Nutzung endet nicht mit der Vertragsunterschrift, sondern erst mit einer geordneten Ablösung.[5]

Wer die Schlüssel kontrolliert, kontrolliert noch lange nicht alles

Verschlüsselung spielt bei souveränen Cloud-Konzepten zu Recht eine wichtige Rolle. Customer Managed Keys, Bring Your Own Key oder externe Key-Management-Systeme können die Kontrolle des Kunden erheblich erhöhen.

Aber auch hier lohnt ein genauer Blick.

Wenn die Anwendung Daten zur Verarbeitung entschlüsseln muss und der Cloud-Anbieter gleichzeitig wesentliche Teile der Laufzeitumgebung kontrolliert, löst die Kontrolle über den Schlüssel nicht automatisch sämtliche Zugriffsrisiken. Entscheidend ist, an welcher Stelle entschlüsselt wird, wer Zugriff auf die Verarbeitungsebene besitzt und wie Administration und Schlüsselverwaltung voneinander getrennt sind.

Bei besonders sensiblen Anwendungen können deshalb zusätzliche Konzepte wie Confidential Computing oder eine vom Cloud-Anbieter organisatorisch und technisch getrennte Schlüsselverwaltung sinnvoll sein.

Auch hier gilt: Ein einzelnes Sicherheitsmerkmal erzeugt noch keine Souveränität.

Open Source hilft – wenn man es betreiben kann

Ähnliches gilt für Open Source.

Offene Software kann Abhängigkeiten reduzieren, weil Quellcode verfügbar ist, Schnittstellen nachvollziehbarer sind und grundsätzlich die Möglichkeit besteht, Software selbst oder durch einen anderen Dienstleister weiterbetreiben zu lassen.

Doch ein Repository auf GitHub ist noch keine Exit-Strategie.

Wer eine Plattform nach dem Ausfall eines Dienstleisters theoretisch selbst betreiben könnte, dafür aber weder Personal noch Dokumentation noch Infrastruktur besitzt, hat nur eine formale Alternative. Deshalb rückt inzwischen auch die Europäische Union neben der Verfügbarkeit von Open Source stärker dessen nachhaltige Pflege, Governance und Finanzierung in den Mittelpunkt. Die 2026 vorgestellte EU Open Source Strategy verknüpft offene Technologien ausdrücklich mit technologischer Souveränität und der Reduzierung von Abhängigkeiten.[6]

Für Unternehmen ist das ein wichtiger Unterschied: Relevant ist nicht nur, ob eine Technologie offen ist, sondern ob tatsächlich mehrere realistische Betriebs- und Supportoptionen existieren.

Cloud-Souveränität ist auch Business Continuity

Gerade bei geschäftskritischen Cloud-Diensten sollte das Thema deshalb aus der reinen IT-Architektur herausgeholt werden.

Der Ausfall eines Cloud-Anbieters ist nur eines der möglichen Szenarien. Ebenso relevant sind ein Ausfall des Identity Providers, eine größere Fehlkonfiguration, ein kompromittiertes Administratorkonto, der Verlust des Managementzugangs, ein regionales Infrastrukturproblem, eine Unterbrechung wichtiger APIs oder eine Situation, in der ein Dienst aufgrund rechtlicher oder geopolitischer Veränderungen nicht mehr wie bisher genutzt werden kann.

Business Continuity und IT Service Continuity Management sollten solche Abhängigkeiten berücksichtigen.

Dabei muss nicht für jedes denkbare Ereignis eine zweite vollständige Cloud-Umgebung bereitstehen. Häufig reicht eine abgestufte Strategie. Für besonders kritische Funktionen kann echte technische Redundanz notwendig sein. Andere Prozesse benötigen einen zeitlich begrenzten Notbetrieb. Wieder andere können einige Tage stillstehen, wenn anschließend Daten und Systeme zuverlässig wiederhergestellt werden können.

Erst diese Einordnung macht aus einer allgemeinen Forderung nach digitaler Souveränität ein handhabbares Risikomanagement.

Die sinnvollere Frage lautet: Welche Optionen bleiben uns?

Vollständige technologische Unabhängigkeit ist für die meisten Unternehmen weder realistisch noch wirtschaftlich sinnvoll. Selbst ein eigenes Rechenzentrum besteht aus Prozessoren, Betriebssystemen, Netzwerkkomponenten, Softwarebibliotheken und Sicherheitsprodukten internationaler Hersteller.

Souveränität kann deshalb nicht bedeuten, jede Abhängigkeit zu vermeiden.

Sie zeigt sich darin, ob eine Organisation ihre Abhängigkeiten kennt, bewusst eingeht und kritische Entscheidungen weiterhin selbst treffen kann.

Dazu gehört die Wahl des Datenstandorts ebenso wie die Kontrolle von Identitäten und Schlüsseln. Dazu gehören offene Schnittstellen, nachvollziehbare Lieferketten und vertragliche Regelungen. Vor allem gehört dazu aber die Fähigkeit, Daten zurückzuerhalten, Anwendungen zu migrieren und kritische Prozesse weiterzubetreiben, wenn sich technische, wirtschaftliche oder politische Rahmenbedingungen ändern.

Eine Cloud-Architektur ist deshalb nicht schon dann souverän, wenn der Anbieter dieses Wort auf seine Produktseite schreibt.

Sie ist dann belastbar, wenn das Unternehmen auch unter ungünstigen Bedingungen noch reale Handlungsoptionen besitzt.

Quellen und weiterführende Informationen

[1] European Data Protection Board / European Data Protection Supervisor: Stellungnahme zu möglichen Auswirkungen des US CLOUD Act auf den europäischen Datenschutzrahmen.

[2] Verordnung (EU) 2023/2854 – EU Data Act, insbesondere Kapitel VI zum Wechsel zwischen Datenverarbeitungsdiensten, Artikel 29 zu Wechselentgelten sowie Artikel 32 zum Zugriff von Drittstaaten. Der Data Act gilt grundsätzlich seit dem 12. September 2025; Wechselentgelte werden zum 12. Januar 2027 abgeschafft.

[3] Europäische Kommission, 25. Juni 2026: Vorläufige Position zur möglichen Gatekeeper-Einstufung von Amazon AWS und Microsoft Azure unter dem Digital Markets Act.

[4] Europäische Kommission, 3. Juni 2026: Vorschlag für den Cloud and AI Development Act sowie europäisches Technologiesouveränitätspaket. Der vorgeschlagene Rahmen sieht vier Abstufungen für Cloud- und KI-Souveränität vor.

[5] Bundesamt für Sicherheit in der Informationstechnik: Mindeststandard zur Nutzung externer Cloud-Dienste, einschließlich Anforderungen an Beendigung, Datenrückgabe und Datenlöschung; ergänzend Cloud Computing Compliance Criteria Catalogue (C5).

[6] Europäische Kommission: EU Open Source Strategy, veröffentlicht im Rahmen des Technologiesouveränitätspakets am 3. Juni 2026.

[7] Ausgangspunkt und thematischer Impuls: Prof. Dr. Iris Lorscheid, „Kritische Infrastruktur Cloud: Warum jetzt Souveränität zählt“, Security-Insider, 5. Oktober 2026.

Der Beitrag Cloud-Souveränität beginnt nicht beim Standort des Rechenzentrums erschien zuerst auf Vor die Lage.

Verfassungsschutzpräsident Sinan Selen sprach von hybriden Angriffen auf Deutschlands Souveränität. BND-Präsident Martin Jäger bezeichnete Russland als den aktuell gefährlichsten Gegner Deutschlands. MAD-Präsidentin Martina Rosenberg wiederum machte deutlich, dass aus einer früher eher abstrakten Gefährdungslage konkrete Angriffe geworden seien.

Für Unternehmen ist diese Entwicklung von erheblicher Bedeutung. Denn hybride Bedrohungen treffen längst nicht mehr ausschließlich staatliche Institutionen, Streitkräfte oder Nachrichtendienste. Transportwege, Energieversorgung, Telekommunikation, Logistik, industrielle Produktion, IT-Dienstleister und Lieferketten sind Teil derselben gesellschaftlichen Infrastruktur. Unternehmen können deshalb sowohl unmittelbares Ziel als auch Kollateralschaden einer Auseinandersetzung sein, die zunächst gar nicht gegen sie gerichtet war.

Der Konflikt findet längst unterhalb der Kriegsschwelle statt

Der Begriff „hybrid“ wird inzwischen häufig verwendet, bleibt aber in der betrieblichen Praxis oft abstrakt. Gemeint ist die Kombination verschiedener staatlicher und nichtstaatlicher Mittel: Cyberangriffe, Spionage, Sabotage, Desinformation, Einflussoperationen, wirtschaftlicher Druck und teilweise auch physische Gewalt.

Das Entscheidende ist die Verbindung dieser Instrumente.

Ein Cyberangriff kann beispielsweise einen Logistikbetrieb stören. Zeitgleich verbreitete Desinformation kann Zweifel an der Ursache oder am Krisenmanagement erzeugen. Die Ausspähung von Transportbewegungen kann wiederum die Vorbereitung weiterer Maßnahmen ermöglichen. Physische Sabotage kann schließlich technische Störungen hervorrufen, die zunächst wie ein gewöhnlicher Betriebsunfall wirken.

Genau diese Mehrdeutigkeit gehört zur Logik hybrider Angriffe.

Der Angreifer versucht nicht zwangsläufig, möglichst spektakulär aufzutreten. Oft ist das Gegenteil sinnvoller: Unsicherheit darüber, was überhaupt geschehen ist, erschwert Reaktion, Attribution und politische Konsequenzen.

Für Unternehmen ergibt sich daraus ein grundlegendes Problem. Klassische Risikobetrachtungen trennen häufig zwischen Cybersecurity, physischer Sicherheit, Business Continuity, Lieferkettenrisiken und Krisenkommunikation. Ein hybrider Angriff hält sich nicht an diese organisatorischen Grenzen.

Transport, Logistik und Infrastruktur geraten besonders in den Fokus

Der Verfassungsschutz nennt aktuell insbesondere Transport und Verkehr, die Verteidigungsindustrie sowie militärische Infrastruktur als gefährdete Bereiche.

Das ist zunächst nachvollziehbar: Moderne Gesellschaften und Streitkräfte funktionieren nur, solange Waren, Energie, Daten und Menschen bewegt werden können. Wer diese Verbindungen stört, benötigt nicht zwingend einen Angriff auf ein militärisches Ziel.

Ein ausgefallener Umschlagplatz, eine gestörte Bahnstrecke, ein kompromittierter Logistikdienstleister oder eine manipulierte Energieversorgung können erhebliche Folgewirkungen entwickeln.

Dabei endet die Betrachtung nicht beim Betreiber einer kritischen Infrastruktur.

Ein produzierendes Unternehmen kann nach wenigen Stunden betroffen sein, wenn Vormaterial nicht geliefert wird. Ein Krankenhaus kann unter Druck geraten, wenn Versorgungswege ausfallen. Einzelhandel und Logistik sind abhängig von Energie, Kommunikation, Kraftstoff, Zahlungsverkehr und Transportkapazitäten. Selbst ein Unternehmen ohne jede formale KRITIS-Einstufung kann damit erhebliche Abhängigkeiten von kritischen Infrastrukturen besitzen.

Das eigentliche Risiko liegt deshalb häufig nicht im eigenen Unternehmen, sondern einige Stufen davor.

Eine moderne Business-Impact-Analyse sollte diese Abhängigkeiten sichtbar machen.

Low-Level-Agenten verändern das Sabotagerisiko

Besonders relevant ist eine Entwicklung, vor der die deutschen Sicherheitsbehörden bereits seit einiger Zeit warnen: der Einsatz sogenannter Low-Level-Agenten.

Dabei handelt es sich nicht um klassische, langfristig geführte Nachrichtendienstmitarbeiter. Menschen können über soziale Netzwerke oder Messenger für vergleichsweise einfache Aufgaben angeworben werden. Das Spektrum reicht von Fotografien und Ausspähung bis zu Sachbeschädigungen oder Sabotage.

Der Aufwand für den Auftraggeber kann gering sein.

Genau darin liegt das Problem.

Ein Unternehmen muss bei Sabotage nicht mehr zwangsläufig mit einem professionell ausgebildeten Täter rechnen, dessen Verhalten frühzeitig auffällt. Bestimmte Aufgaben können an Personen ausgelagert werden, die über wenig Fachwissen verfügen und lediglich konkrete Anweisungen erhalten.

Damit verändern sich auch Schutzkonzepte.

Technische Hochsicherheit allein reicht nicht aus, wenn einfache Schwachstellen bestehen: frei zugängliche Nebeneingänge, schlecht überwachte Außenbereiche, öffentlich dokumentierte Betriebsabläufe, ungeschützte technische Einrichtungen oder Informationen, die Beschäftigte beiläufig über soziale Netzwerke veröffentlichen.

Auch scheinbar banale Beobachtungen können relevant werden. Wiederholte Fotografien technischer Anlagen, ungewöhnliche Fragen zu Betriebszeiten oder Lieferwegen, manipulierte Zugangseinrichtungen oder auffällige Drohnenflüge müssen nicht automatisch Ausdruck einer feindlichen Handlung sein. Sie sollten aber auch nicht grundsätzlich als bedeutungslos betrachtet werden.

Entscheidend ist ein funktionierender Meldeweg.

Beschäftigte müssen nicht selbst beurteilen, ob sie gerade Spionage oder Sabotage beobachten. Sie müssen wissen, wo eine ungewöhnliche Beobachtung gemeldet werden kann und wer sie anschließend bewertet.

Cyber und physische Sicherheit lassen sich kaum noch trennen

Noch immer behandeln viele Organisationen Informationssicherheit und physische Sicherheit als getrennte Disziplinen.

Das entspricht zunehmend nicht mehr dem tatsächlichen Risiko.

Ein Cyberangriff kann physische Prozesse beeinflussen. Eine physische Manipulation kann wiederum den Zugang zu digitalen Systemen ermöglichen. Informationen aus sozialen Netzwerken können zur Vorbereitung eines Einbruchs dienen. Kompromittierte Kameras können Bewegungen beobachten. Gestohlene Zugangsdaten ermöglichen möglicherweise die Vorbereitung physischer Maßnahmen.

Die russischen Aktivitäten gegen westliche Logistikorganisationen zeigen diese Verbindung besonders deutlich. Sicherheitsbehörden mehrerer Staaten haben vor Kampagnen gewarnt, bei denen Logistikunternehmen und Technologieanbieter ausgespäht wurden. Dabei standen nicht ausschließlich Unternehmensdaten im Mittelpunkt. Auch Informationen über Transportbewegungen und logistische Abläufe können von erheblichem strategischem Wert sein.

Für Unternehmen verändert sich damit die Frage, welche Informationen eigentlich schützenswert sind.

Nicht nur vertrauliche Dokumente oder personenbezogene Daten besitzen einen Wert.

Auch Informationen darüber, wann bestimmte Lieferungen eintreffen, welche Transportwege genutzt werden, wann ein Standort besonders schwach besetzt ist oder welche Systeme bei einem Ausfall zuerst benötigt werden, können ein Lagebild ermöglichen.

Informationsschutz muss deshalb stärker vom möglichen Nutzen für einen Angreifer aus gedacht werden.

Vernetzter Extremismus ist ein zweites Risikofeld

Neben staatlichen Bedrohungen warnen die Nachrichtendienste ausdrücklich vor internationalem Terrorismus und gewaltorientiertem Extremismus.

Besonders auffällig ist dabei die zunehmende digitale Vernetzung.

Radikalisierungsprozesse können heute sehr schnell stattfinden. Menschen bewegen sich in digitalen Gemeinschaften, in denen Gewalt legitimiert, Feindbilder verstärkt und Aktionen teilweise gegenseitig angefeuert werden. Sicherheitsbehörden beobachten dabei auch sehr junge Akteure und Minderjährige mit hoher Gewaltbereitschaft.

Für Unternehmen entsteht daraus ein weiteres Risikospektrum.

Standorte mit politischer, gesellschaftlicher oder symbolischer Bedeutung können Ziel extremistischer Aktionen werden. Gleiches gilt für Energieanlagen, Verkehrswege oder Unternehmen, die bestimmten Branchen zugerechnet werden.

Dabei ist eine saubere Trennung wichtig.

Russische Nachrichtendienste, Terrororganisationen und gewaltorientierte Extremisten sind unterschiedliche Akteure mit unterschiedlichen Motiven. Ähnliche Ziele oder Methoden bedeuten nicht automatisch eine organisatorische Verbindung.

Für das Krisenmanagement ist jedoch häufig zunächst etwas anderes entscheidend: Die Auswirkungen können ähnlich sein.

Ein Brandanschlag auf eine technische Einrichtung führt unabhängig von der später ermittelten Motivation zunächst zu denselben betrieblichen Fragen. Menschen müssen geschützt, Bereiche gesichert, Ersatzverfahren aktiviert und Kommunikation organisiert werden.

Die Attribution ist für Sicherheitsbehörden wichtig. Die Aufrechterhaltung des Betriebs ist Aufgabe des Unternehmens.

Das größte Problem sind häufig voneinander getrennte Informationen

Hybride Bedrohungen machen eine organisatorische Schwäche besonders sichtbar: Informationen liegen häufig an unterschiedlichen Stellen.

Der Werkschutz registriert einen ungewöhnlichen Vorfall am Zaun.

Die IT entdeckt verdächtige Netzwerkaktivitäten.

Der Einkauf erhält merkwürdige Anfragen zu einem Lieferanten.

Ein Mitarbeiter meldet einen auffälligen Kontakt über LinkedIn.

Die Kommunikationsabteilung bemerkt plötzlich verbreitete Falschinformationen über das Unternehmen.

Jedes Ereignis für sich kann eine harmlose Erklärung haben.

Die entscheidende Frage lautet deshalb nicht, ob jeder ungewöhnliche Vorfall sofort als Angriff interpretiert werden sollte. Das wäre ebenso falsch wie gefährlich.

Die Frage lautet vielmehr, ob eine Organisation überhaupt erkennen würde, wenn mehrere scheinbar unabhängige Ereignisse zusammengehören.

Dafür braucht es ein gemeinsames Lagebild.

Security, Informationssicherheit, BCM, Betrieb, Kommunikation und gegebenenfalls Corporate Intelligence müssen Informationen in definierten Situationen zusammenführen können. Dabei sollte konsequent zwischen bestätigten Tatsachen, Annahmen und offenen Fragen unterschieden werden.

Ein gutes Lagebild produziert keine Gewissheit, wo keine vorhanden ist.

Es reduziert Unsicherheit so weit, dass Entscheidungen getroffen werden können.

Business Continuity muss von Abhängigkeiten ausgehen

Aus Sicht des Business Continuity Managements führen hybride Bedrohungen zurück zu einer sehr klassischen Frage:

Welche Leistungen müssen auch dann noch funktionieren, wenn wesentliche Voraussetzungen plötzlich nicht mehr verfügbar sind?

Die Antwort darf nicht bei IT-Systemen enden.

Unternehmen benötigen Strom, Telekommunikation, Gebäude, Personal, Lieferanten, Logistik, Zahlungsverkehr, externe Dienstleister und funktionierende Entscheidungsstrukturen.

Aus der Business-Impact-Analyse muss deshalb eine Abhängigkeitsanalyse werden.

Besonders kritisch sind dabei sogenannte Common-Mode-Failures.

Zwei Internetanschlüsse schaffen beispielsweise nur dann echte Redundanz, wenn sie nicht über dieselbe physische Trasse laufen. Zwei Rechenzentren helfen wenig, wenn beide von derselben Stromversorgung oder demselben Netzbetreiber abhängen. Ein alternativer Kommunikationskanal ist nutzlos, wenn seine Authentifizierung wiederum vom ausgefallenen Identity Provider abhängt.

Ähnliches gilt für Lieferketten.

Ein Unternehmen kann fünf Lieferanten besitzen und trotzdem keine wirkliche Redundanz haben, wenn alle dieselbe Rohstoffquelle, denselben Hafen oder denselben Logistikdienstleister verwenden.

Resilienz entsteht nicht durch die Anzahl von Alternativen.

Sie entsteht durch deren tatsächliche Unabhängigkeit.

Krisenkommunikation wird selbst zum Angriffsziel

Ein weiterer Aspekt hybrider Bedrohungen betrifft die Kommunikation.

In einer Krise reicht es nicht, technisch weiterhin Nachrichten versenden zu können. Ein Unternehmen muss auch sicherstellen können, dass Informationen authentisch sind.

Was passiert, wenn plötzlich Nachrichten angeblich von der Geschäftsführung auftauchen?

Was geschieht, wenn Screenshots interner Kommunikation veröffentlicht werden?

Was passiert, wenn echte Informationen mit manipulierten Inhalten kombiniert werden?

Generative KI verschärft dieses Problem zusätzlich. Gefälschte Texte, Stimmen, Bilder und Videos lassen sich inzwischen mit geringem Aufwand erzeugen. Entscheidend ist deshalb nicht, jede Fälschung technisch zweifelsfrei erkennen zu können.

Organisationen benötigen verlässliche Vertrauensanker.

Für besonders kritische Entscheidungen muss festgelegt sein, wie eine Anweisung unabhängig bestätigt werden kann. Krisenstäbe brauchen alternative Kommunikationswege. Ansprechpartner und Eskalationswege müssen auch außerhalb der regulären IT verfügbar sein.

Ein Krisenkommunikationsplan sollte daher nicht nur die Frage beantworten, über welchen Kanal kommuniziert wird.

Er sollte auch beantworten, wann diesem Kanal noch vertraut werden kann.

Unternehmen sollten keine Geheimdienste spielen

Eine Gefahr bei der Beschäftigung mit hybriden Bedrohungen besteht darin, anschließend überall feindliche Aktivitäten zu vermuten.

Das wäre kontraproduktiv.

Nicht jede technische Störung ist Sabotage. Nicht jede Drohne betreibt Spionage. Nicht jeder ungewöhnliche Kontakt ist ein Nachrichtendienstmitarbeiter. Und politische Kritik an einem Unternehmen ist selbstverständlich keine Sicherheitsbedrohung.

Professionelles Sicherheitsmanagement benötigt deshalb nachvollziehbare Kriterien.

Meldungen müssen dokumentiert, bewertet und gegebenenfalls mit anderen Informationen abgeglichen werden. Bei ernsthaften Verdachtsmomenten müssen Sicherheitsbehörden eingebunden werden.

Unternehmen sollen keine Nachrichtendienstanalyse betreiben.

Ihre Aufgabe besteht darin, relevante Auffälligkeiten überhaupt erkennen zu können, Beweise nicht unnötig zu zerstören und im Ernstfall handlungsfähig zu bleiben.

Übungen müssen Unsicherheit erzeugen

Gerade hybride Szenarien eignen sich hervorragend für Krisenübungen.

Allerdings sollten solche Übungen nicht daraus bestehen, dem Krisenstab zu Beginn mitzuteilen: „Russland führt gerade einen hybriden Angriff gegen Ihr Unternehmen durch.“

Im wirklichen Ereignis wird diese Information kaum vorliegen.

Ein realistisches Szenario beginnt anders.

Ein Produktionssystem verhält sich ungewöhnlich.

Kurz darauf fällt ein Dienstleister aus.

Eine Drohne wird über dem Betriebsgelände beobachtet.

In sozialen Netzwerken erscheinen Fotos einer angeblichen Störung.

Ein Mitarbeiter erhält eine ungewöhnliche Kontaktanfrage.

Eine journalistische Anfrage erreicht die Kommunikation.

Niemand weiß zunächst, ob diese Ereignisse zusammengehören.

Genau dort beginnt Krisenmanagement.

Der Stab muss Informationen sammeln, Hypothesen bilden, Entscheidungen treffen und gleichzeitig vermeiden, aus Vermutungen Tatsachen zu machen.

Das ist eine wesentlich anspruchsvollere Übung als ein bekanntes Ransomware-Szenario mit klar erkennbarem Auslöser.

Denn die eigentliche Herausforderung einer hybriden Lage ist Unsicherheit.

Resilienz wird damit zur Führungsaufgabe

Die Aussagen der Nachrichtendienstpräsidenten sollten nicht dazu führen, dass Unternehmen plötzlich geopolitische Szenarien in jede Risikoanalyse aufnehmen.

Sie sollten aber dazu führen, bestehende Annahmen zu überprüfen.

Die Sicherheitslage Europas hat sich verändert. Staatliche Akteure setzen Cyberangriffe, Spionage, Sabotage und Informationsoperationen ein. Gleichzeitig entstehen durch terroristische und extremistische Netzwerke weitere Bedrohungen.

Unternehmen können diese Entwicklungen nicht verhindern.

Sie können jedoch beeinflussen, wie verwundbar sie gegenüber deren Auswirkungen sind.

Dazu gehören belastbare Abhängigkeitsanalysen, funktionierende Business-Continuity-Strukturen, sichere Kommunikation, ein Zusammenspiel von physischer und digitaler Sicherheit und vor allem regelmäßig geübte Krisenorganisationen.

Für Geschäftsleitungen ergibt sich daraus eine vergleichsweise einfache Prüfgröße:

Wenn morgen gleichzeitig ein wesentlicher IT-Dienstleister ausfällt, ein Standort nicht erreichbar ist und die Zuverlässigkeit der regulären Kommunikationswege infrage steht – weiß die Organisation dann, wer entscheidet, wie kommuniziert wird und welche Leistungen unbedingt weiterlaufen müssen?

Wenn diese Frage nicht klar beantwortet werden kann, liegt das eigentliche Risiko weniger darin, welcher Akteur Deutschland möglicherweise angreift.

Es liegt in der eigenen Vorbereitung.

Quellen und weiterführende Informationen

Deutscher Bundestag, 5. Oktober 2026: „Nachrichtendienste sehen Russland als gefährlichsten Gegner“. Zusammenfassung der öffentlichen Anhörung von BND-Präsident Martin Jäger, BfV-Präsident Sinan Selen und MAD-Präsidentin Martina Rosenberg vor dem Parlamentarischen Kontrollgremium. Deutscher Bundestag – Nachrichtendienste sehen Russland als gefährlichsten Gegner

Deutscher Bundestag, 5. Oktober 2026: Öffentliche Anhörung der Präsidenten der Nachrichtendienste des Bundes vor dem Parlamentarischen Kontrollgremium. Deutscher Bundestag – Öffentliche Anhörung der Nachrichtendienste

Bundesamt für Verfassungsschutz, Mai 2025: „Gefährdungen durch russische Spionage, Sabotage und Desinformation“. Die Veröffentlichung beschreibt unter anderem Sabotage gegen kritische Infrastruktur, Lieferketten und Verkehrswege sowie den Einsatz sogenannter Low-Level-Agenten. BfV – Gefährdungen durch russische Spionage, Sabotage und Desinformation

Bundesamt für Sicherheit in der Informationstechnik: BSI-Standard 200-4 „Business Continuity Management“. Der Standard beschreibt den Aufbau und Betrieb eines BCMS einschließlich Business-Impact-Analyse, Kontinuitätsstrategien, Wiederanlaufplanung sowie Übungen und Tests. BSI – Standard 200-4 Business Continuity Management

Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: LÜKEX 23 „Cyberangriff auf das Regierungshandeln“. Die Übung behandelte unter anderem den Ausfall staatlicher IT-Infrastruktur, erhebliche Einschränkungen kritischer Prozesse und eine begleitende Medienkampagne. BBK – LÜKEX 23 Cyberangriff auf das Regierungshandeln

BBK: Auswertungsbericht zur LÜKEX 23. Der Bericht enthält Erkenntnisse zur ressort- und organisationsübergreifenden Zusammenarbeit, Aufrechterhaltung kritischer Funktionen, Krisenorganisation und Kommunikation. BBK – Auswertungsbericht LÜKEX 23

Bundesregierung, 7. September 2026: Regierungspressekonferenz unter anderem zur sichergestellten Drohne am Flughafen Leipzig/Halle, Drohnenabwehr und zum Cyberangriff auf das Berliner Landesnetz. Bundesregierung – Regierungspressekonferenz vom 7. September 2026

DER SPIEGEL, 5. Oktober 2026: Berichterstattung über die öffentliche Anhörung der Nachrichtendienstchefs und deren Warnungen vor Russland sowie vernetzten extremistischen Strukturen. Der Beitrag war Ausgangspunkt für diesen Artikel.

Weiterführend: Die vollständige Aufzeichnung der Anhörung vom 5. Oktober 2026 ist über die Mediathek des Deutschen Bundestages verfügbar.

Der Beitrag Hybride Bedrohungen: Was die Warnungen der Nachrichtendienste für Unternehmen bedeuten erschien zuerst auf Vor die Lage.

Die mutmaßlichen Sabotageakte an Anlagen der Stromversorgung haben die Verwundbarkeit kritischer Infrastruktur erneut sichtbar gemacht. Der Vorfall am Umspannwerk in Bergheim ist dafür ein anschauliches Beispiel: Mehrere Leitungen fielen nach einer vorsätzlichen Manipulation aus, Kraftwerksanlagen wurden automatisch abgeschaltet, nennenswerte Stromausfälle in den umliegenden Städten und Gemeinden blieben nach Angaben der Polizei jedoch aus. Der Angriff hatte damit eine technische Wirkung, führte aber nicht zu einer größeren Versorgungskrise.  

Die öffentliche Debatte konzentriert sich in solchen Situationen schnell auf Zäune, Kameras, Sicherheitsdienste und Polizeipräsenz. Das ist nachvollziehbar, greift aber zu kurz. Versorgungssicherheit hängt nicht allein davon ab, ob eine bestimmte Anlage beschädigt wird. Entscheidend ist, ob Strom, Wasser, medizinische Versorgung, Kommunikation, Mobilität und andere elementare Leistungen trotz einer Störung weiter erbracht oder innerhalb einer vertretbaren Zeit wiederhergestellt werden können.

Der Blick muss deshalb über das einzelne Umspannwerk hinausgehen.

Kritische Infrastruktur ist der unsichtbare Unterbau unseres Alltags

Kritische Infrastrukturen begegnen uns selten als zusammenhängendes System. Im Alltag sehen wir das Krankenhaus, den Supermarkt, den Bahnhof, die Tankstelle oder den Geldautomaten. Dahinter stehen jedoch zahlreiche miteinander verbundene Leistungen.

Ein Krankenhaus benötigt nicht nur Ärzte, Pflegepersonal und medizinische Geräte. Es ist auf Strom, Wasser, Abwasserentsorgung, Telekommunikation, IT, Medikamente, medizinische Gase, Lebensmittel, Wäschereien und funktionierende Verkehrswege angewiesen. Ein Lebensmittelmarkt braucht Ware, Kühlung, Personal, Logistik, Kassensysteme, Zahlungsverkehr und eine verlässliche Energieversorgung. Die Wasserversorgung wiederum benötigt Strom für Pumpen und Aufbereitung, Kommunikationsverbindungen für die Steuerung sowie Chemikalien und Ersatzteile aus externen Lieferketten.

Das KRITIS-Dachgesetz zählt Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung zu den gesetzlich erfassten Sektoren. Als kritisch gelten Dienstleistungen, deren Ausfall zu erheblichen Versorgungsengpässen oder zu einer Gefährdung der öffentlichen Sicherheit führen würde.  

Die etablierte Bund-Länder-Systematik betrachtet darüber hinaus auch Staat und Verwaltung sowie Medien und Kultur als gesellschaftlich bedeutsame Bereiche. Die genaue rechtliche Einordnung ist je nach Regelwerk unterschiedlich. Für die praktische Krisenvorsorge ist jedoch vor allem die Funktion maßgeblich: Welche Leistung würde bei einem Ausfall das öffentliche Leben, die Versorgung oder die staatliche Handlungsfähigkeit erheblich beeinträchtigen?  

Diese funktionale Betrachtung ist wichtig, weil viele Unternehmen und Einrichtungen zwar nicht unmittelbar unter eine gesetzliche KRITIS-Definition fallen, für den Betrieb kritischer Dienstleistungen aber trotzdem unverzichtbar sind. Dazu können spezialisierte Wartungsunternehmen, Logistikdienstleister, Softwareanbieter, Labore, Kraftstofflieferanten, Hersteller einzelner Ersatzteile oder sogar Betreuungsangebote gehören, ohne die Beschäftigte ihre Arbeit in kritischen Einrichtungen nicht aufrechterhalten könnten. Das KRITIS-Dachgesetz erkennt ausdrücklich an, dass auch nicht erfasste Einrichtungen für die personelle und betriebliche Funktionsfähigkeit kritischer Anlagen von erheblicher Bedeutung sein können.  

Sabotage ist nur eine von vielen möglichen Ursachen

Die aktuelle Aufmerksamkeit gilt vorsätzlichen Angriffen. Eine belastbare Vorsorge darf sich darauf jedoch nicht beschränken. Kritische Dienstleistungen können durch Hochwasser, Hitze, Dürre, Sturm, Pandemien, technische Fehler, menschliches Versagen, Cyberangriffe, Lieferkettenausfälle, Sabotage oder eine Kombination mehrerer Ereignisse beeinträchtigt werden.

Das BBK empfiehlt deshalb einen All-Gefahren-Ansatz. Dieser beginnt nicht mit einer Festlegung auf den wahrscheinlichsten Täter oder die nächste konkrete Schadensursache. Ausgangspunkt ist die Frage, welche Folgen ein Ausfall hätte und welche Fähigkeiten benötigt werden, um diese Folgen zu begrenzen.  

Dieser Ansatz ist auch wirtschaftlich sinnvoll. Eine räumlich getrennte Leitstelle hilft bei einem Brand ebenso wie bei einem gezielten Angriff. Eine unabhängige Notstromversorgung ist bei einem Hochwasser, einem technischen Netzfehler und einem Cybervorfall gleichermaßen relevant. Alternative Kommunikationswege, verfügbare Ersatzteile, funktionierende Alarmierungsverfahren und ein eingeübter Krisenstab sind nicht an ein einzelnes Szenario gebunden.

Die Konzentration auf die jeweilige Bedrohung darf daher nicht dazu führen, dass Organisationen für jede neue Schlagzeile ein eigenes Schutzprogramm aufsetzen. Entscheidend sind Fähigkeiten, die bei unterschiedlichen Ursachen funktionieren.

Vollständiger Schutz bleibt ausgeschlossen

Eine moderne Gesellschaft kann ihre gesamte kritische Infrastruktur nicht unangreifbar machen. Dafür gibt es mehrere Gründe.

Viele Infrastrukturen erstrecken sich über große Flächen. Stromleitungen, Bahnstrecken, Pipelines, Wasserleitungen und Glasfasertrassen verlaufen über Tausende Kilometer. Mobilfunkstandorte, Pumpstationen, Kabelverteiler und technische Nebenanlagen liegen häufig außerhalb dauerhaft besetzter Betriebsgelände. Eine flächendeckende Überwachung oder Bewachung wäre weder personell noch wirtschaftlich realistisch.

Hinzu kommt, dass ein Angreifer Ort, Zeitpunkt und Vorgehensweise auswählen kann. Betreiber und Sicherheitsbehörden müssten dagegen eine Vielzahl möglicher Ziele und Angriffsmethoden gleichzeitig berücksichtigen. Selbst umfangreiche Schutzmaßnahmen können umgangen, kombiniert oder auf bislang wenig beachtete Abhängigkeiten verlagert werden.

Auch technische Redundanz beseitigt dieses Problem nicht vollständig. Zwei Systeme erhöhen die Verfügbarkeit nur, wenn sie nicht dieselben Ausfallursachen teilen. Zwei Leitungen können über dieselbe Trasse verlaufen. Zwei Rechenzentren können von derselben Stromzuführung, Telekommunikationsverbindung oder Identitätsplattform abhängen. Ein Ersatzstandort kann dieselben Dienstleister und dasselbe Personal benötigen wie der Hauptstandort.

Der Gesetzgeber verlangt daher keine absolute Sicherheit. Das KRITIS-Dachgesetz sieht angemessene und verhältnismäßige technische, organisatorische und sicherheitsbezogene Maßnahmen vor. Aufwand, Risiko und wirtschaftliche Leistungsfähigkeit des Betreibers müssen gegeneinander abgewogen werden. Gleichzeitig umfasst die gesetzliche Definition von Resilienz weit mehr als Prävention: Sie reicht vom Schutz und der Abwehr über die Reaktion und Schadensbegrenzung bis zur Bewältigung und Erholung nach einem Vorfall.  

Die Unmöglichkeit vollständigen Schutzes ist deshalb kein Argument für Untätigkeit. Sie ist der Ausgangspunkt einer realistischen Sicherheitspolitik. Eine solche Politik akzeptiert, dass ein Restrisiko bestehen bleibt, und bereitet Staat, Wirtschaft und Bevölkerung auf den Umgang damit vor.

Versorgungssicherheit ist eine Frage der Leistungsfähigkeit

Bei der Sicherheitsplanung steht häufig die Anlage im Mittelpunkt: Ist der Standort geschützt? Gibt es eine zweite Leitung? Ist ein Notstromaggregat vorhanden? Diese Fragen sind notwendig, reichen für eine belastbare Bewertung aber nicht aus.

Versorgungssicherheit muss anhand der erbrachten Leistung bewertet werden. Für jede kritische Dienstleistung sollten deshalb mindestens vier Größen geklärt sein:

• Welche Mindestleistung muss auch während einer schweren Störung aufrechterhalten werden?
• Wie lange kann der Betrieb ohne externe Unterstützung fortgeführt werden?
• Welche Personengruppen, Einrichtungen oder Regionen müssen vorrangig versorgt werden?
• Innerhalb welcher Zeit muss eine ausgefallene Leistung wieder verfügbar sein?

Für ein Krankenhaus kann die Mindestleistung bedeuten, Notaufnahme, Intensivmedizin, Operationsbereitschaft und lebenswichtige Diagnostik aufrechtzuerhalten, während weniger dringliche Leistungen zeitweise entfallen. Bei der Wasserversorgung kann eine reduzierte Abgabemenge ausreichen, solange Trinkwasser in hygienisch einwandfreier Qualität verfügbar bleibt. Eine Verwaltung muss möglicherweise nicht alle Dienstleistungen anbieten, wohl aber Gefahrenabwehr, Sozialleistungen, Meldewesen, Krisenkommunikation und bestimmte hoheitliche Entscheidungen sicherstellen.

Damit verändert sich auch die Bewertung von Redundanz. Ein vorhandenes Ersatzsystem ist nur dann relevant, wenn es die notwendige Mindestleistung tatsächlich übernehmen kann. Ein Notstromaggregat, das lediglich einen kleinen Teil der technischen Anlagen versorgt, schafft keine vollständige Betriebsfähigkeit. Ein zweites Rechenzentrum kann nutzlos sein, wenn die Mitarbeitenden wegen eines ausgefallenen Identitätsdienstes keinen Zugriff auf die Anwendungen erhalten.

Das KRITIS-Dachgesetz folgt grundsätzlich dieser Logik. Betreiber sollen Vorfälle verhindern, Anlagen angemessen physisch schützen, auf Störungen reagieren, Auswirkungen begrenzen und die kritische Dienstleistung zügig wiederherstellen. Zu den ausdrücklich genannten Maßnahmen gehören Notfallvorsorge, Objektschutz, Umfeldüberwachung, Detektion, Zugangskontrollen, Krisenmanagement, Alarmabläufe, Notstromversorgung, alternative Lieferketten, Personalsicherheit, Schulungen und Übungen.  

Der Wert dieser Maßnahmen zeigt sich allerdings erst unter realistischen Bedingungen. Vorhandene Dokumente und technische Komponenten belegen noch keine belastbare Versorgungssicherheit.

Die größte Verwundbarkeit liegt häufig zwischen den Organisationen

Betreiber kennen ihre eigenen Anlagen meist gut. Schwieriger wird die Bewertung bei externen Abhängigkeiten.

Das BBK weist auf Domino- und Kaskadeneffekte zwischen kritischen Infrastrukturen hin. Ein Ausfall in einem Sektor kann weitere Sektoren beeinträchtigen. Besonders bedeutsam sind Energie sowie Informationstechnik und Telekommunikation, weil nahezu alle anderen kritischen Dienstleistungen auf diese Leistungen angewiesen sind und beide Bereiche zugleich voneinander abhängen.  

In der Praxis entstehen dadurch komplexe Ausfallketten. Fällt die Stromversorgung aus, können Mobilfunkstationen zunächst durch Batterien oder Netzersatzanlagen weiterlaufen. Deren Betriebsdauer ist jedoch begrenzt. Ohne Kommunikation werden technische Störungen schwieriger zu koordinieren. Tankstellen benötigen wiederum Strom für Pumpen und Kassensysteme. Ohne Kraftstoff können Notstromanlagen, Einsatzfahrzeuge und Reparaturteams nicht dauerhaft betrieben werden.

Auch digitale Konzentrationsrisiken gewinnen an Bedeutung. Verschiedene Unternehmen können scheinbar unabhängige Systeme betreiben und trotzdem denselben Cloudanbieter, Telekommunikationsdienstleister, Softwarehersteller oder IT-Service-Provider nutzen. Ein Ausfall bei diesem Dienstleister kann mehrere Sektoren gleichzeitig treffen.

Ähnliche Risiken bestehen beim Personal. Kritische Dienstleistungen hängen häufig von wenigen Spezialisten ab. Eine Pandemie, ein regionales Extremwetterereignis, unterbrochene Verkehrswege oder der Ausfall von Betreuungseinrichtungen können dazu führen, dass technisch intakte Anlagen nicht mehr ausreichend besetzt werden können.

Solche Zusammenhänge werden in klassischen, organisationsbezogenen Risikoanalysen leicht unterschätzt. Das BBK empfiehlt daher ein integriertes Risikomanagement, bei dem Betreiber, Kommunen, Gefahrenabwehrbehörden und weitere relevante Stellen ihre Perspektiven zusammenführen. Nach Einschätzung des BBK erfolgt diese Zusammenarbeit bislang vielerorts noch zu zögerlich.  

Tatsächliche Sicherheit und Sicherheitsgefühl

Die Bevölkerung kann die technische Widerstandsfähigkeit kritischer Infrastruktur kaum selbst beurteilen. Kaum jemand weiß, wie lange das örtliche Wasserwerk ohne externe Stromversorgung arbeiten kann, welche alternativen Kommunikationswege einer Leitstelle zur Verfügung stehen oder wie schnell ein beschädigter Transformator ersetzt werden könnte.

Menschen bewerten die Lage daher anhand sichtbarer und verständlicher Signale: Funktionieren Strom, Wasser und Mobilfunk? Sind Behörden erreichbar? Gibt es eindeutige Warnungen? Werden widersprüchliche Informationen korrigiert? Ist erkennbar, wer die Verantwortung trägt? Werden angekündigte Maßnahmen tatsächlich umgesetzt?

Das Sicherheitsgefühl ist deshalb keine nebensächliche Kommunikationsfrage. Es beeinflusst, ob Menschen behördlichen Empfehlungen folgen, Informationen aus offiziellen Quellen nutzen und die Grenzen staatlicher Hilfe realistisch einschätzen.

Dabei sollte es nicht um bloße Beruhigung gehen. Ein tragfähiges Sicherheitsgefühl entsteht durch begründetes Vertrauen. Die Bevölkerung muss erfahren, welche Vorsorge getroffen wurde, welche Einschränkungen möglich sind, was der Staat leisten kann und wo persönliche Vorbereitung notwendig bleibt.

Das BBK unterscheidet dabei zwischen Risikokommunikation und Krisenkommunikation. Risikokommunikation findet bereits vor einem konkreten Ereignis statt. Sie vermittelt Gefahren, Schutzmöglichkeiten und Handlungskompetenz. Krisenkommunikation beginnt mit dem Ereignis und muss aktuell, verständlich und handlungsorientiert informieren. Das BMI betont, dass Bevölkerung und Medien umfassend, wahrheitsgemäß und widerspruchsfrei informiert werden müssen, um Vertrauen in die getroffenen Maßnahmen zu erhalten.  

Während einer Störung sollten öffentliche Informationen deshalb regelmäßig mindestens folgende Punkte beantworten: Was ist geschehen? Welche Leistungen sind betroffen? Welche Bereiche funktionieren weiterhin? Welche Maßnahmen laufen? Was sollen die Menschen konkret tun? Welche Informationen sind noch unsicher? Wann folgt die nächste Aktualisierung?

Auch die Wiederholung solcher Abläufe schafft Vertrauen. Die Auswertung des Bundesweiten Warntags 2025 zeigte in einer großen offenen Onlinebefragung, dass die Kombination aus Cell Broadcast, Warn-Apps und Sirenen einen hohen Anteil der Teilnehmenden erreichte. Knapp drei Viertel gaben an, der gute Verlauf habe gezeigt, dass man sich auf das Warnsystem verlassen könne. Die Erhebung ist wegen der freiwilligen Teilnahme keine repräsentative Messung der Gesamtbevölkerung, sie zeigt aber, dass sichtbare und wiederkehrende Tests das Vertrauen in staatliche Fähigkeiten stärken können.  

Gefühlte Sicherheit darf allerdings nicht durch sogenannte Sicherheitstheater-Maßnahmen erzeugt werden. Eine sichtbare Polizeistreife oder zusätzliche Kamera kann sinnvoll sein. Für die tatsächliche Versorgungssicherheit können ein getestetes Notstromsystem, ein verfügbarer Ersatztransformator oder eine unabhängige Kommunikationsverbindung erheblich wichtiger sein. Gute Kommunikation muss daher erklären, dass Resilienz häufig aus Maßnahmen besteht, die im Alltag nicht sichtbar sind.

Was der Staat leisten muss

Der Staat trägt die Verantwortung für den rechtlichen Rahmen, die Gefahrenabwehr, die nachrichtendienstliche Aufklärung, den Bevölkerungsschutz und die Koordination über Sektoren und föderale Ebenen hinweg. Betreiber können ihre Anlagen sichern. Sie können jedoch keine hoheitliche Sabotageabwehr, Terrorismusbekämpfung oder Strafverfolgung übernehmen.

Eine der wichtigsten staatlichen Aufgaben besteht darin, verbindliche Schutzziele für kritische Dienstleistungen zu definieren. Dabei sollte es nicht nur um technische Mindeststandards gehen. Benötigt werden sektorbezogene Vorgaben zu Mindestversorgung, Durchhaltefähigkeit und Wiederherstellungszeiten. Krankenhäuser, Wasserwerke, Energieversorger, Telekommunikationsunternehmen und Behörden haben unterschiedliche Anforderungen. Dennoch muss nachvollziehbar sein, welche Leistung die Gesellschaft selbst unter schwierigen Bedingungen erwarten kann.

Zweitens braucht Deutschland ein geschütztes, sektorenübergreifendes Bild der Abhängigkeiten. Bund, Länder und Kommunen müssen wissen, welche Knotenpunkte für mehrere Sektoren gleichzeitig bedeutsam sind, wo gemeinsame Ausfallursachen bestehen und welche Komponenten besonders lange Wiederbeschaffungszeiten haben. Die dafür benötigten Informationen dürfen aus Sicherheitsgründen nicht öffentlich zugänglich sein. Sie müssen jedoch denjenigen Behörden und Betreibern zur Verfügung stehen, die Schutzmaßnahmen priorisieren oder eine Wiederherstellung koordinieren.

Drittens sollte der physische Schutz stärker nach Kritikalität gestaffelt werden. Nicht jedes Umspannwerk, Wasserwerk oder Rechenzentrum benötigt dasselbe Schutzniveau. Anlagen mit besonders großer Versorgungswirkung oder schwer ersetzbaren Komponenten verdienen intensivere Überwachung, bauliche Härtung und vorbereitete polizeiliche Intervention. Bei weit verteilten Infrastrukturen müssen Detektion, schnelle Alarmierung und Reparaturfähigkeit einen größeren Stellenwert erhalten, weil eine vollständige Abschirmung nicht erreichbar ist.

Viertens gehören strategische Reserven zur staatlichen Vorsorge. Mobile Stromerzeuger, Trinkwasseraufbereitung, Kommunikationsmittel, Spezialfahrzeuge, medizinische Reserven und bestimmte technische Ersatzkomponenten können nicht erst nach Eintritt einer Krise beschafft werden. Ihre Standorte, Transportwege, Bedienmannschaften und Einsatzprioritäten müssen vorher feststehen.

Der im Mai 2026 vom Bundeskabinett beschlossene Pakt für den Bevölkerungsschutz setzt hierfür wichtige Schwerpunkte. Vorgesehen sind bis 2029 Investitionen von insgesamt zehn Milliarden Euro, ein gemeinsames digitales Lagebild für den Bevölkerungsschutz, stärkere Warn- und Kommunikationssysteme, resiliente THW-Standorte, Logistikzentren sowie Verbesserungen bei Trinkwasser- und Notstromversorgung. Auch die Vermittlung von Zivilschutzwissen in Schulen soll ausgebaut werden.  

Die Wirkung solcher Programme entscheidet sich allerdings vor Ort. Kommunen benötigen funktionsfähige Krisenstäbe, vorbereitete Anlaufstellen für die Bevölkerung, unabhängige Kommunikationsmöglichkeiten und ein aktuelles Bild ihrer örtlichen Versorgungsabhängigkeiten. Besondere Aufmerksamkeit verdienen Pflegeeinrichtungen, Krankenhäuser, Menschen mit stromabhängigen medizinischen Hilfsmitteln, Personen ohne eigene Mobilität sowie Haushalte, die finanziell oder räumlich kaum vorsorgen können.

Beim gesetzlichen Rahmen besteht weiterhin Umsetzungsbedarf. Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Zentrale Rechtsverordnungen zur Bestimmung kritischer Anlagen sowie weitere Konkretisierungen befinden sich nach Angaben des BBK jedoch noch in Erarbeitung und Abstimmung. Viele Betreiberpflichten werden erst nach der entsprechenden Registrierung wirksam.  

Die Regulierung muss nun so umgesetzt werden, dass betriebliche Fähigkeiten entstehen. Zusätzliche Formulare, Risikoanalysen und Resilienzpläne haben nur dann einen Sicherheitswert, wenn daraus finanzierte Maßnahmen, verfügbare Ressourcen und nachgewiesene Wiederherstellungsfähigkeiten folgen.

Was Unternehmen leisten müssen

Unternehmen tragen die operative Verantwortung für ihre kritischen Dienstleistungen. Das gilt nicht nur für formal regulierte KRITIS-Betreiber. Auch Zulieferer, IT-Dienstleister, Logistikunternehmen, Gebäudedienstleister und Hersteller spezialisierter Komponenten können für die Versorgung eine erhebliche Bedeutung haben.

Die Geschäftsleitung muss zunächst wissen, welche Leistungen des eigenen Unternehmens tatsächlich zeitkritisch sind. Eine vollständige Liste aller Prozesse hilft dabei wenig. Erforderlich ist eine Priorisierung: Welche Produkte, Dienstleistungen und Funktionen müssen unter allen Umständen weiterlaufen? Welche Mindestkapazität wird benötigt? Wie lange kann eine Unterbrechung toleriert werden? Welche Kunden, Standorte oder gesellschaftlichen Funktionen wären betroffen?

Anschließend müssen die Abhängigkeiten dieser Leistungen untersucht werden. Dazu gehören nicht nur IT-Systeme und Maschinen, sondern auch Strom, Wasser, Kommunikation, Personal, Gebäude, Cloud-Dienste, Identitätsplattformen, Lieferanten, Ersatzteile, Logistik, Kraftstoff und externe Spezialisten.

Besondere Aufmerksamkeit verdienen vermeintliche Redundanzen. Ein zweites System erhöht die Widerstandsfähigkeit nur, wenn es auch bei Ausfall des Hauptsystems nutzbar bleibt. Das muss technisch und organisatorisch überprüft werden. Gemeinsame Leitungswege, zentrale Authentifizierungsdienste, identische Softwarekomponenten und dieselben Dienstleister können dazu führen, dass Haupt- und Ersatzlösung gleichzeitig ausfallen.

Physische Sicherheit, Cybersecurity, OT-Security, Business Continuity Management und Krisenmanagement sollten dafür nicht als getrennte Disziplinen nebeneinanderstehen. Ein moderner Vorfall kann mehrere Ebenen gleichzeitig betreffen. Ein physischer Schaden kann die Telekommunikation unterbrechen, ein Cyberangriff kann die technische Reaktion behindern und ein kompromittierter Dienstleister kann sowohl digitale als auch physische Zugänge besitzen.

Auf der Cyberseite gelten seit dem 6. Dezember 2025 für rund 29.500 Unternehmen neue Pflichten aus dem NIS-2-Umsetzungsgesetz. Dazu gehören Registrierung, Meldung erheblicher Sicherheitsvorfälle sowie die Umsetzung und Dokumentation von Risikomanagementmaßnahmen. Das BSI nennt unter anderem Incident Response, Business Continuity, Wiederherstellung, Lieferkettensicherheit, Zugriffskontrollen, Schulungen und gesicherte Notfallkommunikation.  

Die technische und organisatorische Vorsorge muss praktisch getestet werden. Dazu gehören Umschaltungen auf Ersatzsysteme, Wiederherstellung aus gesicherten Datenbeständen, der Betrieb unter Notstrom, der Wechsel auf alternative Kommunikationswege und die Arbeit eines Krisenstabs außerhalb der regulären Geschäftszeiten. Auch Lieferanten und Dienstleister sollten in solche Übungen einbezogen werden.

Ein Plan, der nur unter normalen Arbeitsbedingungen funktioniert, bietet in einer schweren Lage wenig Schutz. Unternehmen sollten deshalb bewusst Annahmen überprüfen: Was geschieht, wenn Mobilfunk und Unternehmens-IT gleichzeitig nicht verfügbar sind? Wie lange kann der Betrieb ohne Nachlieferung von Kraftstoff fortgesetzt werden? Wer entscheidet, wenn mehrere Führungskräfte nicht erreichbar sind? Können kritische Prozesse manuell oder mit reduzierter Leistung weitergeführt werden?

Schließlich gehört auch die Kommunikation zur betrieblichen Resilienz. Beschäftigte, Kunden, Behörden und Partner benötigen verlässliche Informationen. Unternehmen sollten frühzeitig festlegen, wer sprechen darf, welche Kommunikationswege unabhängig verfügbar sind und wie mit noch ungeklärten Sachverhalten umgegangen wird. Schweigen schützt in einer sichtbaren Krise selten die Reputation. Eine sachliche Kommunikation über bekannte Fakten, laufende Maßnahmen und bestehende Unsicherheiten ist meist belastbarer.

Was die Bevölkerung leisten kann

Die Bevölkerung kann kritische Infrastruktur weder ersetzen noch größere Versorgungsausfälle selbst bewältigen. Persönliche Vorsorge schafft jedoch Zeit und entlastet Einsatzkräfte in der ersten Phase einer Krise.

Das BBK empfiehlt, Haushalte möglichst auf eine eigenständige Versorgung über zehn Tage vorzubereiten. Auch ein Vorrat für mindestens drei Tage wird ausdrücklich als sinnvoller erster Schritt bezeichnet. Die Empfehlungen sind keine starre Vorgabe und müssen an Haushaltsgröße, gesundheitliche Bedürfnisse, verfügbare Lagerfläche und finanzielle Möglichkeiten angepasst werden.  

Zur Grundvorsorge gehören insbesondere Trinkwasser, haltbare Lebensmittel, regelmäßig benötigte Medikamente, eine geladene Powerbank, Taschenlampen, eine stromunabhängige Informationsmöglichkeit, wichtige Telefonnummern auf Papier und ein angemessener Bargeldbestand. Das BBK weist darauf hin, dass bei einem Stromausfall auch Geldautomaten, Internet, Mobilfunk, Heizung und teilweise die Wasserversorgung beeinträchtigt sein können.  

Mindestens ebenso wichtig ist eine einfache familiäre Notfallplanung. Angehörige sollten wissen, wie sie sich bei ausgefallener Kommunikation verhalten, wo sie sich treffen und wer sich um Kinder, ältere Menschen oder pflegebedürftige Personen kümmert. Erste-Hilfe-Kenntnisse, der Umgang mit Feuerlöschern und ein funktionierender Rauch- oder Kohlenmonoxidmelder sind im Alltag ebenso nützlich wie in einer größeren Krise.

Die Bevölkerung kann außerdem zur Informationssicherheit beitragen. Warn-Apps, Cell Broadcast, lokale Behördeninformationen und öffentlich-rechtlicher Rundfunk sollten Vorrang vor ungeprüften Meldungen in sozialen Netzwerken haben. Nicht bestätigte Hinweise auf Anschläge, Täter oder angeblich bevorstehende Ausfälle können die Lage zusätzlich belasten. Verdächtige Beobachtungen an technischen Anlagen sollten der Polizei oder dem Betreiber gemeldet werden, ohne Gegenstände zu berühren, Anlagen zu betreten oder selbst Ermittlungen anzustellen.

Nachbarschaftliche Unterstützung ist ebenfalls ein wichtiger Teil der Vorsorge. Nicht jeder Haushalt kann Lebensmittel, Wasser und Technik für mehrere Tage lagern. Manche Menschen sind auf Medikamente, Pflege, elektrische Hilfsmittel oder regelmäßige Unterstützung angewiesen. Ein funktionierendes soziales Umfeld kann solche Unterschiede zumindest teilweise ausgleichen.

Dabei darf Eigenvorsorge nicht als Rückzug des Staates aus seiner Verantwortung verstanden werden. Sie überbrückt die Zeit, bis organisierte Hilfe verfügbar ist, und ermöglicht es Einsatzkräften, sich zunächst auf Menschen zu konzentrieren, die sich nicht selbst helfen können.

Eine Studie von BBK und Bundeskanzleramt zeigt allerdings, dass die Rollenverteilung noch nicht ausreichend geklärt ist. In der Befragung aus den Jahren 2024 und 2025 sahen 61 Prozent der Teilnehmenden den Staat als Hauptakteur bei der Bewältigung von Katastrophen, während rund 46 Prozent eine eigene Verantwortung für die Vorsorge anerkannten. Etwa die Hälfte hatte bereits bestimmte Maßnahmen getroffen. Als Hindernisse wurden unter anderem Zeitmangel und fehlender Platz genannt.  

Eine wirksame Vorsorgestrategie muss diese Lebensrealitäten berücksichtigen. Appelle allein reichen nicht. Informationen sollten verständlich, praktisch und in mehreren Sprachen zugänglich sein. Kommunen können gemeinschaftliche Lösungen fördern, etwa lokale Anlaufstellen, Leih- oder Poolkonzepte für bestimmte Ausrüstung und Unterstützungsnetzwerke für besonders gefährdete Menschen.

Eine realistische Arbeitsteilung

Versorgungssicherheit ist eine Gemeinschaftsleistung, die klare Verantwortlichkeiten voraussetzt.

Der Staat muss Risiken bewerten, Schutzstandards setzen, Bedrohungen erkennen, Gefahren abwehren und die Hilfe für die Bevölkerung organisieren. Er muss zugleich ehrlich benennen, dass seine Kräfte bei einer großflächigen Lage nicht überall gleichzeitig verfügbar sein können.

Unternehmen müssen ihre kritischen Leistungen kennen, Abhängigkeiten reduzieren, angemessene Schutzmaßnahmen umsetzen und den Betrieb auch unter erschwerten Bedingungen vorbereiten. Dafür braucht es mehr als regulatorische Compliance. Entscheidend sind getestete technische und organisatorische Fähigkeiten.

Die Bevölkerung benötigt ein Grundwissen über Warnung, Selbstschutz und gegenseitige Hilfe. Persönliche Vorsorge macht den Staat nicht überflüssig. Sie erhöht aber die gesamtgesellschaftliche Durchhaltefähigkeit und verringert die Zahl der Menschen, die in den ersten Stunden einer Störung unmittelbar auf externe Hilfe angewiesen sind.

Diese Arbeitsteilung sollte offen kommuniziert werden. Ein Staat, der vollständige Sicherheit verspricht, wird an diesem Versprechen scheitern. Ein Staat, der lediglich auf Eigenverantwortung verweist, wird seiner Aufgabe ebenfalls nicht gerecht. Glaubwürdig ist ein Sicherheitsversprechen, das Leistungsfähigkeit, Grenzen und Erwartungen transparent macht.

Vollständiger Schutz bleibt unerreichbar

Die jüngsten Sabotagefälle haben eine reale Verwundbarkeit offengelegt. Sie dürfen jedoch nicht zu der Annahme führen, kritische Infrastruktur sei grundsätzlich ungeschützt oder größere Versorgungsausfälle seien zwangsläufig.

Deutschland verfügt über leistungsfähige Netze, technische Sicherungssysteme, erfahrene Betreiber, Gefahrenabwehrbehörden und eine breite ehrenamtliche Struktur im Bevölkerungsschutz. Gleichzeitig bestehen Lücken bei sektorübergreifenden Abhängigkeiten, Wiederherstellungsressourcen, lokaler Vorsorge, Kommunikation und der praktischen Umsetzung neuer gesetzlicher Anforderungen.

Vollständiger Schutz bleibt unerreichbar. Ein realistisches Sicherheitskonzept verbindet deshalb Prävention, physischen Schutz, Cyber- und OT-Sicherheit, unabhängige Ausweichmöglichkeiten, Krisenorganisation, persönliche Vorsorge und schnelle Wiederherstellung.

Der Maßstab für Versorgungssicherheit ist die Funktionsfähigkeit der kritischen Dienstleistungen unter Belastung. Hinzu kommt ein begründetes Vertrauen der Bevölkerung: das Wissen, dass Staat und Betreiber vorbereitet sind, dass Einschränkungen offen kommuniziert werden und dass jeder Mensch einen überschaubaren eigenen Beitrag zur Bewältigung leisten kann.

Stand: 4. September 2026

Der Beitrag KRITIS-Schutz ohne Illusionen: Funktionsfähigkeit unter Belastung erschien zuerst auf Vor die Lage.

Mehrere Vorfälle, viele offene Ermittlungsfragen

Am Abend des 1. September wurde die Polizei zu einer technischen Störung in einem Umspannwerk in Bergheim gerufen. Mehrere Leitungen waren nach einem Kurzschluss ausgefallen. Nach den bisherigen Ermittlungen war leitfähiges Material gezielt gegen eine Stromleitung befördert worden. Die Kraftwerke Niederaußem und Neurath wurden daraufhin automatisch vom Netz getrennt. Nennenswerte Stromausfälle in den umliegenden Städten und Gemeinden wurden nicht festgestellt. In einem angrenzenden Feld fanden die Ermittler mehrere Vorrichtungen, die mit der Tat in Verbindung stehen könnten. Die Staatsanwaltschaft Köln ermittelt unter anderem wegen des Anfangsverdachts der verfassungsfeindlichen Sabotage und der Störung öffentlicher Betriebe.  

Nur wenige Stunden zuvor waren nahe dem Kraftwerk Jänschwalde in Brandenburg mehrere Stromleitungen beschädigt worden. Auch dort kamen offenbar selbstgebaute Vorrichtungen zum Einsatz. Nach Angaben des Übertragungsnetzbetreibers 50Hertz gab es eine kurzzeitige Leitungsunterbrechung; die allgemeine Stromversorgung blieb jedoch erhalten. Weitere noch nicht ausgelöste Vorrichtungen wurden am Tatort gefunden.  

Am 3. September entdeckte ein Spaziergänger in der Nähe eines Umspannwerks in Dormagen einen verdächtigen Gegenstand. Die Polizei geht von einem geplanten Sabotagedelikt aus und prüft, ob es sich ebenfalls um eine Abschussvorrichtung handelte, mit der ein Kurzschluss ausgelöst werden sollte. Schäden an der Anlage wurden bislang nicht festgestellt. Den Ermittlern liegt zudem ein Bekennerschreiben vor, in dem auf weitere öffentlich bekannte Vorfälle in Nordrhein-Westfalen und Brandenburg Bezug genommen wird.  

Der Polizeieinsatz am Umspannwerk in Ganderkesee hat nach aktuellem Stand einen anderen Ausgangspunkt. Dort war in der Nacht ein Schaltschrank offen vorgefunden worden. Das Gelände wurde mit Diensthunden, einem Hubschrauber und Unterstützung des Technischen Hilfswerks abgesucht. Beschädigungen oder verdächtige Personen wurden nicht festgestellt. Ob überhaupt eine Straftat vorliegt, ist noch Gegenstand der Ermittlungen. Der Vorgang sollte daher derzeit nicht ohne Weiteres in eine Reihe mit den bestätigten beziehungsweise mutmaßlichen Sabotagefällen gestellt werden.  

Auch bei Jänschwalde, Bergheim und Dormagen sind wesentliche Fragen noch offen. Ein ähnliches Tatmittel und ein Bekennerschreiben können Hinweise auf einen Zusammenhang liefern, ersetzen aber keine abgeschlossene Ermittlung. Aussagen zur Täterschaft, zum Motiv oder zu einer möglichen Steuerung durch Dritte wären zum jetzigen Zeitpunkt verfrüht.

Warum die Stromversorgung dennoch stabil blieb

Die Vorfälle zeigen nicht nur die Verwundbarkeit des Stromnetzes. Sie zeigen ebenso, dass seine technischen Sicherungsmechanismen grundsätzlich funktionieren.

Das europäische Übertragungsnetz wird nach dem sogenannten n-1-Prinzip geplant und betrieben. Der Ausfall eines einzelnen Netzelements – etwa einer Leitung oder eines Transformators – soll verkraftet werden können, ohne dass die Versorgung zusammenbricht. Schutztechnik erkennt Kurzschlüsse und andere Störungen, trennt betroffene Betriebsmittel automatisch vom Netz und verhindert dadurch, dass sich ein Fehler unkontrolliert ausbreitet. Netzleitstellen können Lastflüsse anpassen und Erzeugungsleistung verlagern. Zusätzlich trägt der europäische Netzverbund dazu bei, regionale Störungen auszugleichen.  

In Bergheim führte der vorsätzlich ausgelöste Kurzschluss zur automatischen Abschaltung betroffener Anlagen. Der technische Schaden hatte damit Folgen für einzelne Betriebsmittel und Kraftwerksblöcke, nicht aber für die Stromversorgung der Bevölkerung. Ein ähnliches Bild zeigte sich in Brandenburg: Leitungen wurden beschädigt, die allgemeine Versorgung blieb nach Angaben des Netzbetreibers gesichert.  

Daraus lässt sich weder Entwarnung noch ein generelles Urteil über die Sicherheit des deutschen Stromnetzes ableiten. Der Ausfall eines einzelnen Elements gehört zu den Szenarien, auf die ein Übertragungsnetz vorbereitet ist. Ein planvoll handelnder Täter kann dagegen Standorte auswählen, wiederholt vorgehen oder versuchen, mehrere voneinander abhängige Komponenten zu treffen. Technische Ausfallsicherheit und Schutz vor vorsätzlicher Sabotage überschneiden sich, folgen aber nicht derselben Logik.

Was Betreiber heute bereits tun können

Umspannwerke und andere bedeutende Anlagen werden durch Zäune, Zugangskontrollen, Einbruchmeldeanlagen, Videoüberwachung, Beleuchtung, Sicherheitsdienste und organisatorische Zutrittsregelungen geschützt. Je nach Bedeutung und Bedrohungslage kommen zusätzliche Sensorik, Umfeldüberwachung oder verstärkte Kontrollen hinzu. Auch der Umgang mit Fremdfirmen, Wartungspersonal und privilegierten Zugängen gehört zum Sicherheitskonzept.

Das im März 2026 in Kraft getretene KRITIS-Dachgesetz greift diese Maßnahmen ausdrücklich auf. Es verlangt von den erfassten Betreibern eine risikobasierte Vorsorge, einen angemessenen physischen Schutz, Verfahren zur Reaktion auf Vorfälle, Maßnahmen zur Begrenzung der Auswirkungen und Vorkehrungen für die Wiederherstellung der kritischen Dienstleistung. Das Gesetz nennt unter anderem Objektschutz, Umfeldüberwachung, Detektionsgeräte, Zugangskontrollen, Krisenmanagement, Alarmverfahren, Notstromversorgung, alternative Lieferketten sowie Schulungen und Übungen.  

Parallel dazu regelt das Ende 2025 in Kraft getretene NIS-2-Umsetzungsgesetz die Anforderungen an die Cybersicherheit. Betroffene Einrichtungen müssen Risikomanagementmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle melden und sich beim BSI registrieren. Betreiber kritischer Anlagen fallen automatisch in die Kategorie der besonders wichtigen Einrichtungen.  

Physische Sicherheit und Cybersicherheit lassen sich bei modernen Versorgungsnetzen allerdings kaum noch getrennt behandeln. Umspannwerke, Leitstellen und Kraftwerke werden digital überwacht und gesteuert. Fernwartung, Telekommunikation, Identitätsmanagement und externe Dienstleister bilden zusätzliche Abhängigkeiten. Ein physischer Schaden kann deshalb mit einem Ausfall digitaler Steuerungs- oder Kommunikationsmöglichkeiten zusammentreffen. Umgekehrt kann ein Cyberangriff die technische Reaktion auf einen physischen Vorfall erschweren.

Die Grenzen des klassischen Objektschutzes

Ein einzelnes Rechenzentrum oder eine Leitstelle lässt sich vergleichsweise gut absichern. Bei einem Stromnetz, einer Bahnstrecke, einer Pipeline oder einem Telekommunikationsnetz ist die Situation grundlegend anders. Diese Infrastrukturen bestehen aus einer großen Zahl räumlich verteilter Komponenten. Leitungen durchqueren Felder, Wälder, Gewerbegebiete und öffentliche Räume. Viele technische Einrichtungen liegen außerhalb dauerhaft besetzter Standorte.

Die aktuellen Fälle verdeutlichen diese Besonderheit. Ein Angreifer muss offenbar nicht zwingend in das umzäunte Betriebsgelände eines Umspannwerks eindringen, um einen Kurzschluss oder eine technische Störung herbeizuführen. Ein höherer Zaun schützt den eigentlichen Standort, erfasst aber nicht automatisch die angrenzenden Leitungen, Trassen und Zuführungen.

Eine flächendeckende Bewachung wäre weder personell noch wirtschaftlich realistisch. Der Schutz muss sich deshalb an der Bedeutung eines Standorts für das Gesamtsystem orientieren. Anlagen mit großer Versorgungswirkung, langen Wiederherstellungszeiten oder schwer ersetzbaren Komponenten benötigen ein höheres Schutzniveau als Betriebsmittel, deren Funktion kurzfristig von anderen Teilen des Netzes übernommen werden kann.

Diese Priorisierung setzt voraus, dass Betreiber und zuständige Behörden die kritischen Knoten und ihre Abhängigkeiten kennen. Die Ergebnisse dürfen nicht öffentlich zugänglich sein. Für die Schutzplanung, die Gefahrenabwehr und die Wiederherstellung werden sie jedoch benötigt.

Redundanz hilft nur bei getrennten Ausfallwegen

Redundanz gehört zu den wichtigsten Instrumenten der technischen Resilienz. Ihre Wirkung hängt davon ab, wie unabhängig die vorhandenen Alternativen tatsächlich sind.

Zwei Leitungen bieten nur begrenzten zusätzlichen Schutz, wenn sie über dieselbe Trasse oder denselben zentralen Netzknoten geführt werden. Zwei Rechenzentren können gleichzeitig ausfallen, wenn sie dieselbe Stromzuführung, Telekommunikationsanbindung oder Identitätsplattform nutzen. Eine zweite Leitstelle bleibt wirkungslos, wenn der Zugriff auf die technischen Systeme weiterhin über dieselbe zentrale Infrastruktur erfolgt.

Ähnliche Zusammenhänge bestehen bei organisatorischen und logistischen Ressourcen. Ein Notstromaggregat benötigt Kraftstoff, Wartung und geschultes Personal. Ein Ersatzteilbestand nützt wenig, wenn für Transport und Einbau dieselben Dienstleister benötigt werden, die vom Ereignis ebenfalls betroffen sind. Mehrere Bereitschaftsteams schaffen keine echte personelle Reserve, wenn ihre Mitglieder aus demselben regionalen Umfeld kommen und bei einem großflächigen Ereignis gleichzeitig ausfallen.

Die Bewertung von Redundanzen muss deshalb gemeinsame Ausfallursachen einbeziehen. Dabei geht es um technische, räumliche und organisatorische Verbindungen. Erst ihre Betrachtung zeigt, ob eine Alternative unter den Bedingungen des vorgesehenen Schadensszenarios tatsächlich verfügbar wäre.

Hinzu kommen die Abhängigkeiten zwischen unterschiedlichen Sektoren. Wasserversorgung benötigt Energie. Energieversorgung ist auf Telekommunikation, digitale Steuerung und qualifiziertes Personal angewiesen. Krankenhäuser benötigen neben Strom und Wasser funktionierende IT, Logistik, Medikamente und Kommunikationsverbindungen. Das BBK weist darauf hin, dass solche gegenseitigen Abhängigkeiten Domino- und Kaskadeneffekte auslösen können. Besonders eng sind die Verbindungen zwischen Energie sowie Informationstechnik und Telekommunikation.  

Die Risikoanalyse eines Umspannwerks darf daher nicht an der Grundstücksgrenze enden. Sie muss auch die Leitstelle, Kommunikationsverbindungen, Ersatzteilversorgung, Dienstleister, Kraftstofflogistik und die Verfügbarkeit von Reparaturpersonal berücksichtigen.

Die Bedrohungslage erfordert ein gemeinsames Lagebild

Nach einem internen Lagebild des Bundeskriminalamts, über das NDR, WDR und die Süddeutsche Zeitung berichten, wurden bis Ende August 2026 bundesweit mehr als 165 Sabotageverdachtsfälle registriert. Hinzu kamen 747 gemeldete verdächtige Drohnensichtungen über sensiblen Einrichtungen. Diese Zahlen beschreiben Verdachtsfälle. Sie belegen weder eine gemeinsame Täterschaft noch eine einheitliche politische oder staatliche Steuerung. Sie zeigen jedoch, dass Sicherheitsbehörden inzwischen mit einer großen Bandbreite möglicher Ausspähungs- und Sabotagehandlungen umgehen müssen.  

Für Betreiber ergibt sich daraus ein Informationsproblem. Sie kennen ihre Anlagen, Prozesse und technischen Schwachstellen. Sicherheitsbehörden verfügen möglicherweise über Hinweise zu Tätergruppen, Vorgehensweisen, aktuellen Tatmitteln oder regionalen Auffälligkeiten. Katastrophenschutzbehörden können abschätzen, welche Folgen ein Ausfall für Krankenhäuser, Pflegeeinrichtungen, Wasserversorgung oder Verkehr hätte. Solange diese Informationen getrennt bleiben, entsteht kein vollständiges Lagebild.

Der Fund in Dormagen zeigt, wie schnell aus einer lokalen Beobachtung ein überregionaler Prüfbedarf entstehen kann. Nachdem Hinweise auf ähnliche Tatmittel und weitere mögliche Standorte vorlagen, wurden auch andere Anlagen kontrolliert. Solche lageabhängigen Schutzmaßnahmen sind wesentlich wirksamer als eine gleichmäßige und dauerhaft hohe Bewachung sämtlicher Standorte.  

Dafür braucht es erreichbare Ansprechpartner auf beiden Seiten, sichere Kommunikationswege und vorab vereinbarte Verfahren. Betreiber sollten wissen, an wen sie verdächtige Beobachtungen rund um die Uhr melden können. Behörden wiederum benötigen einen Weg, um konkrete Bedrohungsinformationen kurzfristig an diejenigen Unternehmen weiterzugeben, die daraus Schutzmaßnahmen ableiten können.

Die Aufgabenverteilung muss dabei klar bleiben. Betreiber tragen Verantwortung für die Sicherung ihrer Anlagen und die Widerstandsfähigkeit ihres Betriebs. Nachrichtendienstliche Aufklärung, Terrorismusabwehr, Strafverfolgung und hoheitliche Gefahrenabwehr können sie nicht übernehmen.

Wiederherstellung gehört zum Schutzkonzept

Bei einer schwerwiegenden Sabotage entscheidet nicht allein die technische Umschaltmöglichkeit über die Folgen. Ebenso wichtig sind Reparaturdauer und Wiederbeschaffungszeit.

Große Transformatoren, Schaltanlagen und andere Spezialkomponenten lassen sich nicht in jedem Fall kurzfristig ersetzen. Ihre Beschaffung kann aufwendig sein; Transport, Genehmigungen, Hebetechnik und qualifiziertes Montagepersonal müssen zusammenpassen. Ein auf dem Papier vorhandenes Ersatzteil ist erst dann eine belastbare Reserve, wenn es zum betroffenen Standort gebracht, angeschlossen und in Betrieb genommen werden kann.

Betreiber benötigen deshalb mehr als Lagerbestände. Erforderlich sind vorbereitete Transportkonzepte, Rahmenverträge, gegenseitige Unterstützungsvereinbarungen, mobile Ersatztechnik und eingespielte Reparaturteams. Bei Komponenten mit besonderer Bedeutung können sektorale oder überregionale Reserven sinnvoller sein als getrennte Bestände bei jedem einzelnen Unternehmen.

Auch die Krisenorganisation muss auf einen längeren Ausfall vorbereitet sein. Alarmierung, Lageführung, Behördenkommunikation, Pressearbeit und Priorisierung der Wiederherstellung dürfen nicht von den Systemen abhängen, die durch den Vorfall ausgefallen sind. Sichere und unabhängig verfügbare Kommunikationsmittel gehören deshalb zur Grundausstattung.

Ein Resilienzplan gewinnt seinen Wert erst durch die praktische Erprobung. Technische Umschaltungen, der Wechsel auf einen Ersatzstandort und die Wiederherstellung aus Notbetriebsbedingungen müssen regelmäßig getestet werden. Eine Besprechung am Konferenztisch kann organisatorische Schwächen aufdecken, ersetzt aber keinen realen Funktionsnachweis.

Der gesetzliche Rahmen ist vorhanden, die Umsetzung steht noch am Anfang

Das KRITIS-Dachgesetz schafft erstmals einen sektorübergreifenden Rahmen für die physische Resilienz kritischer Anlagen. Es berücksichtigt neben dem Objektschutz auch Krisenreaktion, Betriebsfortführung, alternative Lieferketten und Wiederherstellung. Zudem verpflichtet es Betreiber, Abhängigkeiten von anderen kritischen Dienstleistungen in ihre Risikoanalysen einzubeziehen.  

Die praktische Wirkung des Gesetzes ist jedoch noch begrenzt. Die Rechtsverordnung, mit der die erfassten kritischen Anlagen konkret bestimmt werden, ist nach Angaben des BBK noch nicht in Kraft. Auch methodische Vorgaben für Risikoanalysen und weitere Umsetzungsregelungen befinden sich in der Ausarbeitung beziehungsweise Abstimmung. Betroffene Betreiber müssen daher derzeit noch nicht sämtliche im Gesetz angelegten Pflichten erfüllen.  

Die weitere Ausgestaltung sollte sich möglichst eng an der tatsächlichen Funktionsfähigkeit orientieren. Ein vorhandener Resilienzplan, eine Kamera oder ein Ersatzaggregat belegen für sich genommen noch keine ausreichende Vorsorge. Aussagekräftiger sind nachgewiesene Durchhaltezeiten, erfolgreich getestete Umschaltungen, verfügbare Ersatzkomponenten und realistisch geübte Wiederherstellungsverfahren.

Das hat auch finanzielle Folgen. Viele dieser Maßnahmen verursachen erhebliche Kosten, ohne im normalen Betrieb zusätzliche Erträge zu erzeugen. Bei regulierten Netzen, kommunalen Unternehmen, Krankenhäusern und anderen stark kostenbelasteten Einrichtungen muss geklärt sein, wie zusätzliche Sicherheits- und Resilienzinvestitionen finanziert werden. Staatlich geforderte Schutzstandards werden nur dann flächendeckend wirksam, wenn sie wirtschaftlich umsetzbar sind.

Die Lehre aus den Vorfällen

Die Ereignisse dieser Woche belegen nicht, dass das deutsche Stromnetz schutzlos wäre. Technische Sicherungssysteme haben größere Versorgungsausfälle offenbar verhindert. Gleichzeitig wird sichtbar, wie schwer eine weit verteilte Infrastruktur gegen vorsätzliche Eingriffe abzusichern ist.

Eine pauschale Forderung nach mehr Kameras, höheren Zäunen und zusätzlicher Bewachung greift deshalb zu kurz. Solche Maßnahmen sind an besonders bedeutenden Standorten sinnvoll und teilweise dringend erforderlich. Sie müssen jedoch in ein umfassenderes Konzept eingebettet sein.

Dazu gehören eine belastbare Kritikalitätsanalyse, tatsächlich unabhängige Redundanzen, ein schneller Informationsaustausch zwischen Staat und Betreibern, verfügbare Reparaturkapazitäten sowie regelmäßig erprobte Notbetriebs- und Wiederherstellungsverfahren. Physische Sicherheit, Cyber- und OT-Sicherheit, Business Continuity und Krisenmanagement müssen dabei aufeinander abgestimmt werden.

Der Zustand einer einzelnen Anlage ist nur ein Teil der Sicherheitsbewertung. Für die Bevölkerung zählt am Ende, ob Strom, Wasser, Kommunikation, Gesundheitsversorgung und Verkehr trotz eines Angriffs weiter funktionieren oder innerhalb einer vertretbaren Zeit wiederhergestellt werden können.

Ein beschädigtes Betriebsmittel ist ein ernster Sicherheitsvorfall. Eine länger unterbrochene Versorgung kann daraus eine gesellschaftliche Krise machen. Zwischen beidem liegt die Qualität der vorbereiteten Resilienz.

Der Beitrag Sabotage am Stromnetz: Schutz lässt sich nicht auf Zäune und Kameras reduzieren erschien zuerst auf Vor die Lage.

Gerade diese Art von Lage verdient mehr Aufmerksamkeit. Denn sie entsteht nicht plötzlich, ist meteorologisch meist absehbar und trifft dennoch auf Strukturen, die im Regelbetrieb bereits wenig Reserve haben.

Nach Angaben der Stadt Köln kam es am Samstag, 27. Juni 2026, zu 1.136 Einsätzen der Leitstelle, davon 936 im Rettungsdienst. An einem normalen Tag liegt die Zahl der Einsätze deutlich niedriger. Zusätzlich wurden weitere Rettungswagen und Notarzteinsatzfahrzeuge in Dienst genommen. In der Messehalle Köln-Deutz wurde ein Notfallversorgungszentrum eingerichtet, um Krankenhäuser zu entlasten. Zusammen mit einer sogenannten Kälteinsel standen mehrere hundert Feldbetten zur Verfügung.

Das ist bemerkenswert, weil hier Maßnahmen sichtbar wurden, die üblicherweise eher aus Katastrophenschutz- und MANV-Konzepten bekannt sind: zusätzliche rettungsdienstliche Ressourcen, überörtliche Unterstützung, vorbereitete Behandlungsstrukturen und die organisatorische Entlastung klinischer Notaufnahmen.

Auch Einheiten aus dem Umland wurden alarmiert. Unter anderem wurde aus dem Oberbergischen Kreis über eine ÜMANV-B1-Lage berichtet, also überörtliche Unterstützung bei einem Massenanfall von Verletzten oder Erkrankten. In der Messehalle Köln-Deutz sollten Behandlungsplatzstrukturen aufgebaut werden. Solche Konzepte sind in Nordrhein-Westfalen grundsätzlich vorbereitet, etwa über den BHP 50 NRW, der für die zeitlich begrenzte notfallmedizinische Versorgung einer größeren Zahl von Verletzten oder Erkrankten vorgesehen ist.

Wichtig ist dabei die Einordnung: Das bedeutet nicht, dass die gesamte Versorgung „zusammengebrochen“ ist. Aber es zeigt, dass extreme Hitze eine Sonderlage erzeugen kann, die weit über individuelle Gesundheitsrisiken hinausgeht.

Besonders betroffen ist die gesamte Versorgungskette. Rettungsdienst, Leitstelle, Notaufnahmen, Intensivstationen, Normalstationen, Pflegebereiche, Transportdienste, Rechtsmedizin und Bestattungswesen hängen funktional zusammen. Wenn an mehreren Stellen gleichzeitig zusätzliche Belastung entsteht, reichen lokale Einzelmaßnahmen oft nicht mehr aus.

Berichtet wurde, dass Notaufnahmen in Köln deutlich stärker frequentiert waren als üblich. In den zentralen Notaufnahmen und Intensivbereichen der Kölner Kliniken mussten nach Medienberichten deutlich mehr Menschen reanimiert werden als an vergleichbaren Tagen. Gleichzeitig wurden viele Patientinnen und Patienten wegen hitzebedingter Beschwerden behandelt, darunter Dehydratation, Kreislaufprobleme, Erschöpfung und schwere Verläufe bis hin zur intensivmedizinischen Versorgung.

Auch die Zahl der Todesfälle lag nach Berichten von WDR und Kölner Stadt-Anzeiger deutlich über dem üblichen Niveau. Genannt wurden etwa 120 Todesfälle zwischen Freitag und Sonntag in Köln, also ein Vielfaches eines normalen Wochenendes. Fachlich ist hier Zurückhaltung wichtig: Das sind nicht automatisch „120 Hitzetote“. Todesursachen sind komplex, besonders bei älteren oder vorerkrankten Menschen. Aber eine solche Häufung ist ein ernst zu nehmendes Signal für Übersterblichkeit im zeitlichen Zusammenhang mit extremer Hitze.

Wenig öffentlich diskutiert wurden die nachgelagerten Folgen. Aus Berichten und Angaben im politischen Raum geht hervor, dass es im Raum Köln und Leverkusen auch bei Abtransport und Unterbringung Verstorbener zu Engpässen kam. Bestattungsunternehmen, Kühlkapazitäten, Krankenhäuser, Rechtsmedizin und polizeiliche Abläufe sind Teil derselben Lagebewältigung. Wenn diese Strukturen an Grenzen kommen, zeigt sich, dass Hitzeschutz nicht nur eine Frage von Trinktipps und Warn-Apps ist, sondern eine Frage operativer Resilienz.

Genau hier liegt aus meiner Sicht der entscheidende Punkt.

Hitze ist als Gesundheitsrisiko bekannt. Das Umweltbundesamt, das Bundesgesundheitsministerium, das Robert Koch-Institut und viele kommunale Gesundheitsakteure weisen seit Jahren darauf hin, dass hohe Temperaturen insbesondere ältere Menschen, chronisch Kranke, Säuglinge, Kleinkinder, pflegebedürftige Menschen, Wohnungslose und sozial isolierte Personen gefährden. Auch Beschäftigte im Freien, Menschen in schlecht isolierten Wohnungen und Personen mit Herz-Kreislauf- oder Atemwegserkrankungen gehören zu den besonders vulnerablen Gruppen.

Neu ist nicht die medizinische Erkenntnis. Neu ist die Häufigkeit, mit der solche Lagen in Zukunft zu erwarten sind, und die Frage, ob unsere Versorgungsstrukturen darauf ausreichend vorbereitet sind.

Für Krankenhäuser ist das besonders relevant. Viele Klinikgebäude sind baulich nicht auf längere Hitzeperioden ausgelegt. OP-Bereiche, Intensivstationen und einzelne Funktionsbereiche sind häufig klimatisiert; Normalstationen, Flure, Wartebereiche, Patientenzimmer oder Personalräume dagegen oft nur teilweise oder gar nicht. Gleichzeitig benötigen gerade vulnerable Patientinnen und Patienten eine Umgebung, in der Kreislaufbelastung, Flüssigkeitsmanagement und Medikamentenrisiken kontrolliert werden können.

Hitzeschutz im Krankenhaus ist deshalb keine Komfortfrage. Es geht um Patientensicherheit, Arbeitsfähigkeit des Personals, Infektionsschutz, technische Betriebssicherheit und Notfallkapazität.

Das macht die aktuelle Debatte um Krankenhausfinanzierung besonders relevant. Wer Kliniken dauerhaft am Limit finanziert, nimmt ihnen Spielräume für Resilienz. Klimaanpassung kostet Geld: Verschattung, Dämmung, Lüftung, Kühlung vulnerabler Bereiche, Trinkwasserversorgung, bauliche Anpassungen, Redundanzen, Personalreserve, Schulung und belastbare Alarm- und Einsatzplanung. Diese Maßnahmen lassen sich nicht nebenbei aus ohnehin angespannten Budgets finanzieren.

Aus dem Hitzewochenende lassen sich deshalb einige nüchterne Schlussfolgerungen ziehen:

Erstens: Hitzelagen sollten verbindlicher Bestandteil von Krankenhausalarm- und Einsatzplänen, Rettungsdienstbedarfsplanung und kommunaler Gefahrenabwehr sein. Nicht als allgemeiner Sommerhinweis, sondern mit konkreten Auslösewerten, Rollen, Kommunikationswegen und Ressourcen.

Zweitens: Notaufnahmen und Rettungsdienste brauchen definierte Entlastungsmechanismen für vorhersehbare Spitzenlagen. Dazu gehören zusätzliche Einsatzmittel, frühzeitige Lagebilder, strukturierte Patientensteuerung und vorbereitete Unterstützungsangebote durch Hilfsorganisationen und Katastrophenschutz.

Drittens: Kliniken benötigen finanzierte Hitzeschutzpläne. Viele Arbeitshilfen existieren bereits. Entscheidend ist die Umsetzung in Gebäuden, Prozessen und Personalplanung.

Viertens: Die Versorgung Verstorbener muss in solchen Lagen mitgedacht werden. Kühlkapazitäten, Transport, Rechtsmedizin, Bestatter, polizeiliche Abläufe und Ausweichstrukturen gehören zur Krisenplanung. Das ist ein sensibler Bereich, aber gerade deshalb darf er nicht erst im Ereignis improvisiert werden.

Fünftens: Kommunale Hitzeschutznetzwerke sollten vulnerablen Menschen aktiv helfen, bevor der Rettungsdienst gerufen werden muss. Hausärztliche Versorgung, Pflege, Apotheken, Sozialdienste, Wohnungswirtschaft, Seniorenarbeit, Ordnungsamt, Hilfsorganisationen und Nachbarschaftsstrukturen können hier gemeinsam viel leisten.

Die Lehre aus Köln sollte nicht sein, die Lage dramatischer darzustellen, als sie war. Die Lehre sollte sein, sie ernst genug zu nehmen.

Extreme Hitze ist ein planbares Gesundheitsrisiko. Sie trifft nicht nur Einzelpersonen, sondern belastet gleichzeitig viele Bereiche der Daseinsvorsorge. Genau deshalb gehört sie in die gleiche strategische Kategorie wie andere vorhersehbare Lagen: vorbereitet, finanziert, geübt und ausgewertet.

In der öffentlichen Diskussion blieb dieses Wochenende vergleichsweise randständig. Dabei liefert es wichtige Hinweise für die nächsten Jahre. Wenn Rettungsdienst, Kliniken und Katastrophenschutz bei einer Hitzelage zusätzliche Strukturen aktivieren müssen, sollte das kein Nebenthema sein – insbesondere nicht in einer Phase, in der über weitere Einsparungen und Strukturveränderungen im Krankenhausbereich diskutiert wird.

Resilienz entsteht nicht im Ereignis. Sie entsteht vorher.

Hitzeschutz ist Gesundheitsschutz. Hitzeschutz ist Teil von Bevölkerungsschutz. Und Hitzeschutz braucht eine Finanzierung, die der Realität extremer Wetterlagen gerecht wird.

Quellen: Stadt Köln, WDR, Kölner Stadt-Anzeiger, Deutscher Wetterdienst, Umweltbundesamt, Bundesgesundheitsministerium, Krankenhausgesellschaft NRW, Deutsche Krankenhausgesellschaft, Landeskonzepte Katastrophenschutz NRW.

Der Beitrag Hitzeschutz gehört in die Versorgungsplanung – nicht nur in die Wettervorhersage erschien zuerst auf Vor die Lage.