Sabotage am Stromnetz: Physische Sicherheit für Netzbetreiber

Das deutsche Stromnetz gehört zu den zuverlässigsten in Europa. 2024 lag die durchschnittliche Nichtverfügbarkeit für Letztverbraucher bei lediglich 11,7 Minuten. 830 Netzbetreiber meldeten der Bundesnetzagentur dennoch insgesamt 164.645 Versorgungsunterbrechungen in Nieder- und Mittelspannungsnetzen.

Diese hohe Zuverlässigkeit ist das Ergebnis von Redundanz, professioneller Betriebsführung und jahrzehntelang optimierten Entstörungsprozessen.

Doch das Risikobild verändert sich.

Neben technischen Defekten, Witterung und unbeabsichtigten Einwirkungen Dritter müssen Netzbetreiber zunehmend auch gezielte physische Eingriffe berücksichtigen.

Wie konkret dieses Szenario inzwischen ist, zeigen die aktuellen Ereignisse vom September 2026. In Brandenburg versuchten Täter, mit selbstgebauten Vorrichtungen leitfähiges Material in Höchstspannungsleitungen nahe eines Umspannwerks einzubringen und Kurzschlüsse zu erzeugen. In Nordrhein-Westfalen wurde nahezu zeitgleich nach einem Kurzschluss an einem Umspannwerk wegen einer vorsätzlichen Tat ermittelt. Die öffentliche Stromversorgung blieb in beiden Fällen stabil.

Dass solche Angriffe erhebliche Auswirkungen haben können, hatte sich bereits am 9. September 2025 in Berlin gezeigt. Durch einen gezielten Angriff auf zwei 110-kV-Leitungssysteme verloren zeitweise rund 50.000 Kunden ihre Stromversorgung. Erst nach rund 60 Stunden waren alle wieder versorgt.

Für Netzbetreiber entsteht daraus eine neue Fragestellung: Wie lässt sich physische Manipulation erkennen, bevor aus ihr eine Betriebsstörung wird?

Ein Stromnetz ist auf technische Ausfälle vorbereitet. Ein einzelnes Betriebsmittel kann ausfallen, ohne dass daraus automatisch eine Versorgungsunterbrechung entsteht. Redundanzen, Schutzkonzepte und Umschaltmöglichkeiten sind genau dafür vorgesehen.

Gezielte Angriffe folgen jedoch einer anderen Logik. Ein Angreifer kann Schwachstellen auswählen, mehrere Komponenten gleichzeitig adressieren oder gezielt versuchen, vorhandene Redundanzen zu umgehen. Das Berliner Beispiel zeigt diese Problematik besonders deutlich: Das betroffene Netz war nach dem N-1-Prinzip aufgebaut. Durch die gleichzeitige Beschädigung beider versorgenden 110-kV-Leitungssysteme stand die vorgesehene Redundanz trotzdem nicht mehr zur Verfügung.

Damit unterscheidet sich Sabotage fundamental von vielen zufälligen Störungen: Der Angreifer reagiert auf die Schutzarchitektur – die technische Störung nicht. Er kann vorhandene Sicherungsmaßnahmen kennen, ihre Funktionsweise berücksichtigen und versuchen, sie gezielt zu umgehen.

Das betrifft auch klassische Maßnahmen der physischen Sicherheit. Ein Türkontakt kann beispielsweise zuverlässig melden, dass eine Tür geöffnet wurde. Für einen vorbereiteten Angreifer ist seine Existenz jedoch weder überraschend noch zwingend ein Hindernis. Er kann seinen Angriffsweg so wählen, dass die überwachte Tür gar nicht erst genutzt wird, oder die Alarmierung erfolgt erst zu einem Zeitpunkt, an dem der Angriff bereits begonnen hat.

Genau darin liegt die Herausforderung: Schutzmaßnahmen, die einzelne Ereignisse erkennen, sind nicht automatisch darauf ausgelegt, einem intelligenten und anpassungsfähigen Angreifer zuvorzukommen. Eine rein reaktive Betrachtung greift deshalb zu kurz. Die entscheidende Größe ist nicht nur Ausfallsicherheit, sondern Detektionszeit.

Klassisches Netzmanagement konzentriert sich verständlicherweise stark auf Verfügbarkeit:

• Wie schnell kann umgeschaltet werden?

• Welche Redundanzen stehen zur Verfügung?

• Wie schnell kann der Entstördienst reagieren?

• Welche Ersatzteile werden benötigt?

• Wie lange dauert die Wiederherstellung?

Bei vorsätzlichen Eingriffen kommt eine weitere Kennzahl hinzu: Wie viel Zeit vergeht zwischen einer Manipulation und ihrer Erkennung?

Diese Zeitspanne entscheidet darüber, ob ein physischer Eingriff früh untersucht werden kann oder erst sichtbar wird, nachdem bereits eine technische Störung eingetreten ist. Ein vereinfachtes Beispiel: Wird nachts eine technische Komponente an einer unbemannten Netzstation manipuliert und erst bei der nächsten Wartung entdeckt, kann zwischen Eingriff und Feststellung eine erhebliche Zeit liegen.

Wird die Veränderung dagegen unmittelbar erkannt, kann geprüft werden:

• Welches Asset ist betroffen?

• Handelt es sich um einen erwarteten Wartungseingriff?

• Muss der Standort kontrolliert werden?

• Ist eine betriebliche Reaktion notwendig?

• Sind weitere Standorte betroffen?

• Muss ein Sicherheitsprozess gestartet werden?

Die unmittelbare Versorgungsunterbrechung ist nur eine mögliche Folge. Je nach betroffenem Asset können zusätzlich entstehen:

• Betriebliche Folgen.
  Entstörung, Umschaltungen, Einsatz von Bereitschaftspersonal, Reparaturen, Ersatzteilbeschaffung und Wiederherstellung binden Ressourcen.

• Verlust von Redundanz.
  Auch wenn Kunden zunächst weiter versorgt werden, kann ein Angriff Reserven oder alternative Versorgungswege beeinträchtigen. Das Netz bleibt in Betrieb, verfügt jedoch temporär über weniger Sicherheitsmarge.

• Sekundäre Auswirkungen.
  Stromversorgung ist Grundlage zahlreicher weiterer kritischer Dienstleistungen – von Telekommunikation über Verkehr und Gesundheitsversorgung bis zur Wasserversorgung.

• Regulatorische Auswirkungen.
  Versorgungsunterbrechungen fließen unter bestimmten Voraussetzungen in die Bewertung der Netzzuverlässigkeit ein.

• Reputations- und Kommunikationsaufwand.
  Größere Ausfälle führen zu erhöhtem Informationsbedarf bei Behörden, Kommunen, Kunden und Öffentlichkeit.

Gerade deshalb sollte die Sicherheitsbetrachtung nicht erst beim Blackout beginnen.

Nein. Ein häufiger Kurzschluss in der Diskussion um KRITIS-Sicherheit lautet: Stromausfall gleich Bußgeld. So funktioniert die Regulierung nicht.

Für Stromverteilernetzbetreiber können Versorgungsunterbrechungen jedoch wirtschaftliche Auswirkungen über die Qualitätsregulierung haben. Die Bundesnetzagentur bewertet dafür unter anderem SAIDI- und ASIDI-Kennzahlen. Abweichungen von den jeweiligen Referenzwerten können zu Zu- oder Abschlägen auf die Erlösobergrenze führen.

Interessant ist dabei: In den SAIDI nach EnWG fließen unter anderem ungeplante Versorgungsunterbrechungen durch „Einwirkungen Dritter“ ein. Netzbetreiber melden der Bundesnetzagentur Versorgungsunterbrechungen von mehr als drei Minuten mit Angaben zu Zeitpunkt, Dauer, Ausmaß und Ursache.

Daneben existieren Sicherheits-, Dokumentations- und Meldepflichten. Regulatorische Sanktionen knüpfen daher nicht einfach an die Existenz eines Stromausfalls an, sondern beispielsweise an die Verletzung konkreter gesetzlicher Pflichten.

Für die Sicherheitsstrategie ist diese Unterscheidung wichtig:

Das Ziel physischer Sicherheit sollte nicht primär sein, Bußgelder zu vermeiden. Das Ziel ist, Risiken für einen sicheren und resilienten Netzbetrieb angemessen zu beherrschen.

Diese Entwicklung zeigt sich besonders deutlich im KRITIS-Dachgesetz, das am 17. März 2026 in Kraft getreten ist.

Für Betreiber kritischer Anlagen sieht das Gesetz einen risikobasierten Ansatz vor. Betreiber müssen Risikoanalysen durchführen und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zur Resilienz treffen. Als mögliche Maßnahmen nennt das Gesetz unter anderem bauliche und technische Sicherung, Überwachung der Umgebung, Detektionsgeräte und Zugangskontrollen. Zudem sollen Maßnahmen in einem Resilienzplan dokumentiert werden.

Die entscheidende Botschaft ist nicht, dass zukünftig jede Netzstation mit derselben Sicherheitstechnik ausgestattet werden muss.

Im Gegenteil. Das Gesetz folgt ausdrücklich einem risikobasierten und verhältnismäßigen Ansatz. Aufwand und Nutzen der Schutzmaßnahmen sollen in Relation zum jeweiligen Risiko stehen.

Damit wird für Betreiber eine andere Frage relevant: Welche Assets benötigen welches Schutzniveau?

Bei hunderten oder tausenden dezentralen Assets ist eine maximale Absicherung jedes einzelnen Standorts wirtschaftlich kaum sinnvoll.

Eine Priorisierung sollte deshalb beispielsweise berücksichtigen:

1. Welche Folgen hätte ein Ausfall?

Entscheidend ist nicht nur die technische Bedeutung einer Komponente, sondern die Auswirkung auf die Versorgung.

Wie viele Kunden wären betroffen? Gibt es besonders kritische Verbraucher? Welche Leistung oder Netzfunktion hängt von dem Asset ab.

2. Welche Redundanz besteht?

Kann ein Ausfall automatisiert oder durch betriebliche Maßnahmen kompensiert werden?

Besondere Aufmerksamkeit verdienen Assets, bei denen der Ausfall mehrerer Komponenten gemeinsame Redundanzen aufheben könnte.

3. Wie exponiert ist der Standort?

Eine technische Anlage auf einem kontrollierten Betriebsgelände weist ein anderes Risikoprofil auf als eine frei zugängliche oder abgelegene Station.

Relevant sind unter anderem Zugänglichkeit, Einsehbarkeit und Häufigkeit regulärer Kontrollen.

4. Wie schnell würde eine Manipulation auffallen?

Ein regelmäßig besetzter Standort verfügt über natürliche Detektionsmechanismen.

Bei unbemannten Anlagen kann eine physische Veränderung dagegen längere Zeit unentdeckt bleiben.

5. Wie aufwendig wäre die Wiederherstellung?

Nicht jede technische Komponente lässt sich kurzfristig ersetzen. Lieferzeiten, Spezialpersonal, Tiefbau oder besondere Reparaturverfahren können die Wiederherstellungszeit erheblich verlängern.

Aus diesen Faktoren lässt sich ein risikobasiertes Schutzkonzept entwickeln, statt Sicherheitstechnik pauschal über das gesamte Netz auszurollen.

6. Reicht ein Türkontakt zur Manipulationserkennung?

Für viele Anwendungen ist ein Türkontakt eine einfache und effektive Sicherheitsmaßnahme. Er beantwortet eine klar definierte Frage: Wurde eine bestimmte Tür oder Klappe geöffnet?

Genau darin liegt gleichzeitig seine Grenze. Ein Türkontakt überwacht einen definierten Zugang. Das bedeutet nicht automatisch, dass jede mögliche physische Veränderung am geschützten Asset über diesen Zugang erfolgen muss.

Je nach Aufbau einer Anlage können relevante Angriffsszenarien beispielsweise auch Veränderungen am Gehäuse, Bohr- oder Schneidversuche, Eingriffe über andere Öffnungen oder Veränderungen an außenliegenden Komponenten umfassen. Deshalb sollte die Auswahl einer Detektionsmethode vom Bedrohungsmodell abhängen.

Diese Technologien konkurrieren nicht zwangsläufig miteinander. Sie beantworten unterschiedliche Sicherheitsfragen. Für Betreiber ist deshalb weniger relevant, welches System „besser“ ist. Entscheidend ist: Welche Manipulation möchte ich erkennen und würde meine vorhandene Sensorik sie tatsächlich sehen?

Gerade bei dezentralen technischen Assets kann eine zusätzliche Betrachtung sinnvoll sein. Statt ausschließlich zu überwachen, wie jemand Zugang zu einem Asset erhält, lässt sich auch überwachen, ob sich das Asset selbst verändert hat. Dieser Ansatz wird häufig als Tamper Detection beziehungsweise Integritätsüberwachung bezeichnet. Der Vorteil liegt darin, dass die Detektion nicht ausschließlich an einen bestimmten Angriffsweg gekoppelt ist. Das kann vor allem für exponierte und unbemannte Anlagen interessant sein, bei denen eine Manipulation möglichst früh erkannt werden soll.

Eine technische Lösung für diese Art der Überwachung ist beispielsweise PHYSEC SEAL. Das System erstellt mithilfe eines Anti-Tamper-Radio-Sensors einen elektromagnetischen Referenzzustand des überwachten Assets und vergleicht diesen mit späteren Messungen. Physische Veränderungen können dadurch erkannt und an zentrale Monitoring- beziehungsweise SIEM-/SOC-Systeme übermittelt werden.

SEAL ersetzt damit weder Zutrittskontrolle noch Türkontakte. Es ergänzt diese dort, wo nicht nur der Zugang, sondern die Integrität des Assets selbst überwacht werden soll. Entscheidend ist die Reaktion nach der Detektion. Ein Sensor allein erhöht noch keine Resilienz. Erst wenn aus einer erkannten Veränderung ein definierter Prozess entsteht, wird aus Detektion ein Sicherheitsmechanismus.

Netzbetreiber sollten deshalb für relevante Assets festlegen:

• Was gilt als Ereignis? Welche Zustandsänderungen müssen überprüft werden?

• Wo läuft die Information auf? Leitstelle, Netzführung, Security Operations Center oder Bereitschaftsdienst?

• Wie wird zwischen Wartung und unautorisiertem Eingriff unterschieden?

• Wer bewertet den Vorfall?

• Wann ist eine Vor-Ort-Kontrolle erforderlich?

• Wann wird ein Cybersecurity- oder KRITIS-Incident-Prozess ausgelöst?

• Wie wird der Vorgang dokumentiert?

Damit wird deutlich: Physische Manipulationserkennung ist kein isoliertes Hardwarethema. Sie ist Teil des Risiko-, Betriebs- und Incident-Managements.

Die aktuelle Bedrohungslage zeigt, dass Stromnetzbetreiber physische Angriffe als realistisches Szenario in ihre Risikoanalysen aufnehmen sollten. Die Antwort darauf besteht jedoch nicht darin, jede Anlage maximal abzusichern.

Erforderlich ist eine strukturierte Betrachtung:

1. Welche Assets sind für den Netzbetrieb besonders relevant?

2. Welche Angriffsszenarien sind dort realistisch?

3. Welche bestehenden Schutzmaßnahmen adressieren diese Szenarien bereits?

4. Wo bestehen Detektionslücken?

5. Wie schnell würde ein physischer Eingriff heute erkannt?

6. Welche Reaktion würde eine Erkennung auslösen?

Erst danach sollte über konkrete Technik entschieden werden. Denn ein Zaun löst ein anderes Problem als eine Kamera. Eine Kamera löst ein anderes Problem als ein Türkontakt. Und ein Türkontakt beantwortet wiederum eine andere Frage als eine Integritätsüberwachung. Genau diese Trennung ist entscheidend für ein wirtschaftliches und belastbares Schutzkonzept.

Für Stromnetzbetreiber entwickelt sich physische Sicherheit damit von einer klassischen Objektschutzaufgabe zunehmend zu einem Bestandteil des technischen Risikomanagements. Die zentrale Frage lautet nicht mehr nur: „Können wir einen Ausfall beherrschen?“ Sondern zusätzlich: „Erkennen wir frühzeitig, wenn jemand versucht, unsere Fähigkeit zum sicheren Netzbetrieb zu beeinträchtigen?“ Wer diese Frage für seine kritischen Assets beantworten kann, hat einen wesentlichen Schritt von reaktiver Störungsbeseitigung hin zu echter Resilienz gemacht.