Sabotage-Alarm: So verwundbar ist Deutschlands kritische Infrastruktur

Es klingt nach einem ziemlich schlechten Katastrophenfilm: Selbst gebaute Sprengvorrichtungen stehen neben Hochspannungsleitungen. Drähte sollen auf Stromleitungen geschossen werden und Kurzschlüsse auslösen. Hacker kopieren Terabytes an Daten aus einer Verwaltung. Drohnen kreisen über sensiblen Anlagen. Nachrichtendienste werben über soziale Netzwerke Menschen für Sabotageaktionen an.

Nur: Der Film läuft längst.

In Sachsen haben Ermittler inzwischen 21 selbst hergestellte Sprengvorrichtungen im unmittelbaren Bereich von Hochspannungstrassen gefunden und entschärft. Allein bei einer weiteren Absuche südlich des Umspannwerks Graustein im Landkreis Görlitz kamen neun neue Funde hinzu. Die Zentralstelle Extremismus Sachsen bei der Generalstaatsanwaltschaft Dresden und das Landeskriminalamt ermitteln.

Ähnliche Angriffe und Sabotageversuche beschäftigen die Behörden in Brandenburg und Nordrhein-Westfalen. Inzwischen fahnden die Ermittler bundesweit beziehungsweise europaweit nach einem 48 Jahre alten Tatverdächtigen aus Nordrhein-Westfalen. Die Polizei Brandenburg bestätigt ausdrücklich, dass die Fahndung im Zusammenhang mit Sabotageakten an Umspannwerken in Brandenburg, Nordrhein-Westfalen und Sachsen steht.

Deutschlands kritische Infrastruktur ist damit plötzlich nicht mehr nur Thema für Geheimdienste, Verteidigungspolitiker und Katastrophenschützer.

Sie wird zur kommunalen Frage.

Angriff auf das Stromnetz: Mit erstaunlich einfachen Mitteln

Besonders beunruhigend ist nicht nur, dass Stromanlagen angegriffen werden. Beunruhigend ist, wie überschaubar die technischen Mittel teilweise sind.

Beim Umspannwerk Turnow-Preilack nahe dem brandenburgischen Kraftwerk Jänschwalde wurden selbst gebaute pyrotechnische Abschussvorrichtungen eingesetzt. Leitfähiges Material sollte in Hochspannungsleitungen geschossen werden und dort Kurzschlüsse verursachen. 

Fast zeitgleich wurde bei Bergheim in Nordrhein-Westfalen nach demselben Prinzip das Stromnetz attackiert. Der Kurzschluss führte dazu, dass mehrere Braunkohleblöcke der Kraftwerke Niederaußem und Neurath vorübergehend vom Netz gingen. Zeitweise waren fünf Kraftwerksblöcke mit rund 4.200 Megawatt installierter Leistung betroffen. Die allgemeine Stromversorgung blieb stabil.

Das ist einerseits beruhigend: Die Sicherungssysteme haben funktioniert.

Andererseits zeigt der Vorgang eine unangenehme Wahrheit. Wer kritische Infrastruktur angreifen will, braucht offenbar nicht immer eine Hackerarmee, Satellitentechnik und einen Etat in Millionenhöhe.

Manchmal reichen Pyrotechnik, Draht, Ortskenntnis und eine ziemlich kriminelle Idee.

Ein Tatverdächtiger und das Motiv „Kampf gegen fossile Energie“

In dem aktuellen Komplex gibt es inzwischen einen Tatverdächtigen. Zwei Bekennerschreiben wurden nach übereinstimmenden Berichten mit Namen und Adresse eines 48-jährigen Mannes aus Gevelsberg unterzeichnet. Der Verfasser bezeichnet darin den Kampf gegen fossile Energieerzeugung als Motiv.

Bundesinnenminister Alexander Dobrindt sprach nach dem bisherigen Ermittlungsstand von „Klimaextremismus“. Eine endgültige Bewertung nahm er ausdrücklich noch nicht vor. Auch die Ermittler prüfen weiter, ob der Verdächtige tatsächlich für alle Taten verantwortlich ist und ob weitere Personen beteiligt waren. Angriffe aus dem klima- und linksextremistischen Spektrum auf Energieinfrastruktur sind längst keine theoretische Gefahr mehr.

Bundesinnenminister Dobrindt verwies bereits Anfang des Jahres im Bundestag ausdrücklich auf den Schutz Deutschlands vor Sabotage, Spionage und Terror und bezeichnete die sogenannte Vulkangruppe im Zusammenhang mit dem Berliner Stromanschlag als linksterroristisch. Für Hinweise zur Aufklärung des Anschlags wurde eine Belohnung von einer Million Euro ausgelobt.

Die Methode mag variieren. Das Ziel bleibt dasselbe: Mit vergleichsweise kleinen Angriffen sollen große Systeme gestört werden.

Mehr als 165 Sabotageverdachtsfälle – aber nicht 165 Anschläge

Noch größer wird die Dimension beim Blick auf ein vertrauliches Lagebild des Bundeskriminalamtes.

Nach Informationen, die mehrere Medien aus dem internen Papier veröffentlicht haben, registrierten Bund und Länder bis Ende August mehr als 165 Sabotageverdachtsfälle. Hinzu kamen demnach 112 Straftaten mit Spionagebezug und 747 verdächtige Drohnenvorfälle mit insgesamt 1.068 Drohnen über kritischer Infrastruktur, militärischen Einrichtungen und Rüstungsunternehmen.

Dabei ist journalistische Nüchternheit wichtig: 165 Sabotageverdachtsfälle bedeuten ausdrücklich nicht 165 bewiesene Anschläge.

Unter die Statistik fallen auch Ausspähungen und andere verdächtige Vorgänge. Manche Verdachtsfälle werden sich möglicherweise als harmlos erweisen.

Trotzdem ist allein die Größenordnung bemerkenswert. Denn Sicherheitsbehörden müssen inzwischen regelmäßig prüfen, ob jemand eine Stromleitung nur fotografiert – oder bereits den nächsten Angriff vorbereitet.

Auch Russland setzt offenbar auf Sabotage und „Low-Level-Agenten“

Hinzu kommt eine völlig andere Tätergruppe.

Das Bundesinnenministerium warnt seit längerem vor russischen Sabotageaktivitäten in Europa und Deutschland. Besonders bemerkenswert ist die Methode der sogenannten Low-Level-Agenten.

Dabei handelt es sich nicht unbedingt um ausgebildete Geheimdienstmitarbeiter mit falschem Pass und Trenchcoat. Russische Nachrichtendienste werben nach Erkenntnissen des Verfassungsschutzes Personen teilweise über soziale Netzwerke und Messengerdienste für einzelne Aufträge an.

Der Verfassungsschutz beschreibt unter anderem Brandstiftungen, Vandalismus, Ausspähung und Sabotage als mögliche Einsatzfelder. Das Hinweisaufkommen zu möglichen Sabotagefällen sei erheblich gestiegen.

Das Innenministerium warnt außerdem ausdrücklich davor, dass öffentlich zugängliche Informationen mögliche Angriffe erleichtern können. Interne Dokumente, Gebäudepläne, Webseiten, Broschüren oder selbst Stellenanzeigen können Hinweise auf Abläufe, Kommunikationswege sowie eingesetzte Hard- und Software liefern.

Das ist ein Punkt, der gerade in Rathäusern Aufmerksamkeit verdient.

Wenn Transparenz zur Gebrauchsanweisung wird

Kommunen veröffentlichen heute enorme Mengen an Informationen.

Ratsunterlagen stehen online. Ausschreibungen beschreiben technische Anforderungen. Baupläne werden digital bereitgestellt. Präsentationen zeigen neue Anlagen. Bebauungspläne, Lagekarten, Klimaschutzkonzepte, Feuerwehrbedarfspläne oder Hochwasserschutzkonzepte enthalten teilweise erstaunlich präzise Informationen.

Transparenz ist für eine demokratische Verwaltung unverzichtbar.

Aber Transparenz muss nicht bedeuten, jedem potentiellen Saboteur noch die Zufahrt zum Technikraum zu erklären.

Genau hier verändert sich die Sicherheitsdiskussion.

Die Frage lautet künftig nicht mehr nur: Dürfen wir diese Information veröffentlichen?

Sie muss auch lauten: Müssen wir diese Information wirklich in dieser Detailtiefe veröffentlichen?

Das neue KRITIS-Dachgesetz greift diesen Gedanken auf. Die Bundesregierung verweist ausdrücklich darauf, dass bei kritischen Infrastrukturen auch bestehende Transparenzpflichten unter Sicherheitsgesichtspunkten überprüft werden sollen.

Ein bisschen weniger deutsche Lust am öffentlichen Lageplan könnte hier tatsächlich einmal Fortschritt sein.

Hackerangriff auf Berlin zeigt die zweite Front

Denn physische und digitale Sicherheit lassen sich kaum noch trennen.

Besonders drastisch zeigt das der Cyberangriff auf das Berliner Landesnetz. Die Hackergruppe Rhysida behauptete zunächst, rund 5,7 Terabyte Daten gestohlen zu haben, und verlangte 30 Bitcoin Lösegeld. Berlin zahlte nicht. Anschließend wurden gestohlene Daten veröffentlicht. Der Senat richtete eine zentrale Steuerungseinheit ein, an der unter anderem Landeskriminalamt und Sicherheitsbehörden beteiligt sind.

In einem später veröffentlichten Datenpaket befanden sich nach Angaben des Berliner Senats auch Zugangsdaten. Vorsorglich mussten Sicherheitsmaßnahmen bei betroffenen Fachverfahren verschärft werden.

Apollo News berichtet unter Berufung auf die veröffentlichten Daten und weitere Recherchen von rund 1,44 Millionen Dateien beziehungsweise 5,8 Terabyte und von Dokumenten mit Bezug zu Heizkraftwerken, Tanklagern, Notstromanlagen und Umspannwerken. Der Berliner Senat widerspricht allerdings der Darstellung, es seien sicherheitskritische Hochsicherheitsdaten abgeflossen.

Beides kann gleichzeitig stimmen.

Ein gestohlener Verwaltungsdatensatz muss kein geheimer Bauplan für einen Anschlag sein, um gefährlich zu werden. Bereits Informationen über Zuständigkeiten, Zugänge, Ansprechpartner, technische Systeme oder Standorte können zusammengenommen wertvoll sein.

Aus vielen scheinbar belanglosen Puzzleteilen entsteht irgendwann ein ziemlich gutes Bild.

Warum aus einem Stromausfall schnell eine kommunale Krise wird

Für Bürgermeister ist dabei eine andere Frage entscheidend als für Nachrichtendienste:

Was passiert, wenn der Angriff erfolgreich ist?

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe beschreibt die Stromversorgung als Grundlage praktisch aller anderen kritischen Systeme. Von ihr hängen unter anderem Gesundheitsversorgung, Gefahrenabwehr, Telekommunikation und weitere KRITIS-Sektoren ab.

Ein längerer Stromausfall bedeutet deshalb nicht einfach: Im Rathaus bleibt das Licht aus.

Er kann bedeuten:

Das Mobilfunknetz fällt teilweise aus. Pumpen funktionieren nicht. Wasser- und Abwasseranlagen geraten unter Druck. Tankstellen können keinen Kraftstoff ausgeben. Ampeln fallen aus. Supermarktkassen stehen still. Pflegeeinrichtungen brauchen Notstrom. Krankenhäuser benötigen Treibstoffnachschub. Verwaltungsserver sind womöglich nicht erreichbar. Bürger brauchen Informationen – und genau die üblichen Informationswege funktionieren plötzlich nicht mehr.

Das BBK empfiehlt deshalb für kritische Einrichtungen eine Notstromversorgung von mindestens 72 Stunden ohne Nachbetankung von außen. Auch Behörden sollen ihren notwendigen Energiebedarf für einen solchen Notbetrieb kennen und entsprechende Vorräte vorhalten.

Das ist eine wunderbar einfache Zahl für jede Rathausspitze:

72 Stunden.

Nicht auf dem Papier. Nicht „der Bauhof wird da schon irgendwo Diesel haben“.

Sondern tatsächlich.

KRITIS-Dachgesetz: Der Gesetzgeber reagiert

Seit dem 17. März 2026 gilt das neue KRITIS-Dachgesetz. Es schafft erstmals sektorübergreifende Mindestanforderungen für den physischen Schutz kritischer Infrastrukturen.

Dazu gehören Energie, Verkehr, Gesundheit, Trinkwasser, Abwasser, Abfallentsorgung, Informationstechnik, Telekommunikation, Ernährung und Teile der öffentlichen Verwaltung. Betreiber müssen Risiken bewerten, Resilienzmaßnahmen entwickeln und erhebliche Vorfälle melden.

Die Bundesregierung nennt ausdrücklich stärkeren Objektschutz, Notfallteams und Maßnahmen zur Ausfallsicherheit als mögliche Instrumente. Kritische Anlagen werden im Bundesmodell grundsätzlich über ihre Bedeutung für die Versorgung von mehr als 500.000 Menschen definiert; die Länder können zusätzliche Anlagen bestimmen.

Damit ist allerdings keineswegs jedes Rathaus automatisch eine kritische Anlage nach dem Gesetz.

Für eine Gemeinde wäre es trotzdem fahrlässig, daraus zu schließen: Betrifft uns nicht.

Denn im Ernstfall spielt die juristische Definition kaum eine Rolle.

Wenn das Wasserwerk nicht pumpt, die Leitstelle nicht erreichbar ist oder das Pflegeheim keinen Diesel mehr hat, klingelt niemand zuerst beim Gesetzgeber.

Dann klingelt das Telefon beim Bürgermeister.

Falls es noch funktioniert.

Sieben Fragen, die jetzt in jedes Rathaus gehören

Die aktuellen Fälle sollten deshalb Anlass sein, den kommunalen Krisenschutz noch einmal ziemlich unromantisch durchzugehen.

1. Welche Einrichtungen müssen bei uns unbedingt funktionieren?

Wasserwerk, Abwasser, Feuerwehr, Rettungsdienst, Pflegeeinrichtungen, Krankenhaus, Verwaltung, kommunale IT, Stadtwerke und Kommunikationsinfrastruktur gehören auf eine lokale Prioritätenliste.

2. Wie lange funktioniert unser Notstrom wirklich?

Nicht laut Handbuch, sondern nach einem echten Test unter Last.

3. Woher kommt nach 24, 48 oder 72 Stunden der Diesel?

Eine Tankstelle ohne Strom ist im Krisenfall eine ausgesprochen dekorative Einrichtung.

4. Wie kommuniziert der Krisenstab ohne Internet und Mobilfunk?

Alternative Kommunikationswege müssen vorher feststehen.

5. Wer spricht im Ernstfall mit Stadtwerken und privaten Betreibern?

Notfallnummern gehören nicht erst während des Blackouts zusammengesucht.

6. Welche Informationen über unsere Infrastruktur veröffentlichen wir selbst?

Webseiten, Ausschreibungen, Pläne und Ratsunterlagen sollten auf unnötige sicherheitsrelevante Details überprüft werden.

7. Wie funktioniert das Rathaus ohne IT?

Cyberangriff und Stromausfall können dieselben Fachverfahren gleichzeitig treffen. Wer keinerlei analogen Notbetrieb mehr kennt, hat Digitalisierung mit Unverwundbarkeit verwechselt.

Das Problem sitzt am Ende im Rathaus

Deutschland verfügt noch immer über eine ausgesprochen zuverlässige Energieversorgung. Dass trotz der jüngsten Angriffe keine großflächigen Ausfälle entstanden sind, zeigt auch: Schutzmechanismen, Redundanzen und Netzsteuerung funktionieren.

Die Bedrohung kommt heute aus mehreren Richtungen gleichzeitig. Klimaextremisten können Stromanlagen attackieren. Linksextremistische Gruppen haben Infrastruktur bereits zum Ziel erklärt. Cyberkriminelle legen Behörden und Unternehmen lahm. Ausländische Nachrichtendienste erkunden Schwachstellen und nutzen nach Erkenntnissen des Verfassungsschutzes sogar angeworbene Hilfskräfte für Sabotage und Ausspähung.

Und genau deshalb wird der Schutz kritischer Infrastruktur zu einer Kernfrage kommunaler Handlungsfähigkeit.

Der Bund kann Gesetze schreiben, Geheimdienste können warnen und die Polizei kann Täter suchen.

Wenn am Montagmorgen das Wasser nicht läuft, die Ampeln dunkel bleiben und das Mobilfunknetz schweigt, steht der Bürger trotzdem vor seinem Rathaus.

Darauf sollte man vorbereitet sein.