Weitere Abschussvorrichtungen und ein neues Bekennerschreiben – die Ermittlungsbehörden haben nach mehreren Anschlägen und Anschlagsversuchen auf Stromnetze viel zu tun. Die Suche nach einem 48-Jährigen aus Gevelsberg, den die Ermittler mit mehreren Angriffen in Verbindung brachten, war bereits erfolgreich. Der aktuelle Ermittlungsstand ist damit erzählt; die Auswertung hat für die Energiebranche allerdings erst begonnen.
Dass Technik allein keinen Schutz bietet, zeigt folgendes Beispiel, das ein Sicherheitsanbieter der ZFK schildert: Ein Radar schlägt nachts um drei Uhr an. Der Sicherheitsmitarbeiter erhält zwar eine Meldung, doch er hat Urlaub. Eine Vertretung ist nicht hinterlegt, eine Alarmierungskette gibt es nicht. "Das ist ein typisches Beispiel dafür, was passiert, wenn man in Technik investiert, aber den Prozess dahinter vergisst", sagt Benjamin Körner, Vertriebler beim schwedischen Sicherheitsanbieter Axis Communications.
Ein Zaun erkennt keinen Angriff
Dabei liegt die erste Herausforderung bereits in der Umgebung: Stromnetze und Umspannwerke liegen häufig auf weitläufigen, schwer überschaubaren Geländen. Kilometerlange Zäune können den Zutritt erschweren, sie lösen aber kein Erkennungsproblem. "Der klassische Ansatz mit einer einzelnen Technologie reicht deshalb nicht mehr aus", sagt Körner.
Stattdessen müssten Videotechnik, Radar und Audiosysteme miteinander verbunden werden. Diese sogenannte Sensorfusion – also die gemeinsame Auswertung verschiedener Sensordaten – soll ein genaueres Lagebild ermöglichen als eine einzelne Kamera oder ein einzelner Bewegungsmelder.
Entscheidend ist dabei weniger die Zahl der Geräte, sondern ihre Einbindung in einen Ablauf. Ein Radar kann zwar eine Bewegung melden. Doch erst eine Kamera kann unter Umständen zeigen, ob es sich um einen Menschen, ein Tier oder ein Fahrzeug handelt. Letztlich müssen ein Sicherheitsdienst oder die Polizei anschließend entscheiden, was zu tun ist. Fehlt eine dieser Verbindungen, bleibt die Technik ein Einzelinstrument.
Nach Einschätzung von Körner denken viele Energieversorger hier noch in klassischen Strukturen: Physische und digitale Sicherheit würden oft von unterschiedlichen Abteilungen bearbeitet. "Diese Themen sind noch in getrennten Abteilungen verortet, die unabgestimmt ihre eigenen Sicherheitskonzepte entwickeln."
Jonas Timm, Sprecher des Sicherheitsdienstleisters Securitas bestätigt diese Wahrnehmung: Cybersicherheit und physische Sicherheit würden häufig nicht zusammen gedacht. Beide Bereiche müssten in einer ganzheitlichen Sicherheitsstrategie betrachtet werden. Für Betreiber bedeutet das, dass ein Angriff auf eine Anlage nicht nur als Zaun- oder Kamera-Thema behandelt werden kann. Auch Leitstellen, Kommunikationswege, Fernzugriffe und die Verfügbarkeit von Personal gehören in dieselbe Risikoanalyse.
Wenn der Mensch in der Alarmkette fehlt
Die technisch beste Erkennung bleibt wirkungslos, wenn niemand zuständig ist. Betreiber müssen deshalb für jede relevante Meldung festlegen, wer sie erhält, wer sie bewertet und wer eine Reaktion auslöst. Dazu gehören Vertretungen, erreichbare Ansprechpartner und klare Eskalationsstufen. Ebenso wichtig sind Übungen. Erst im Ernstfall zeigt sich, ob eine Telefonnummer veraltet, eine Zuständigkeit unklar oder eine Leitstelle nicht erreichbar ist.
Timm verweist auf die Zusammenarbeit mit der Polizei. Gefahrenabwehr finde vor Ort statt. Betreiber, Sicherheitsdienstleister und die örtliche Polizeidienststelle sollten sich regelmäßig abstimmen, Ansprechpartner kennen und Abläufe für den Ernstfall festlegen. Dann müsse die Polizei sich nicht erst während eines Einsatzes mit der Anlage und ihren Besonderheiten vertraut machen.
Warum die Risikoanalyse entscheidend ist
Eine vollständige Überwachung eines jeden Meters Stromnetz ist nicht realistisch. Auch Körner hält eine hundertprozentige Abdeckung weitläufiger Anlagen für unmöglich. Entscheidend sei deshalb eine Risikoanalyse: Welche Angriffsszenarien sind plausibel? Welche Täterprofile sind zu erwarten?
Netzbetreiber müssten sich im Vorfeld überlegen, welche Komponenten besonders kritisch seien. Und auch, welche Folgen der Ausfall eines bestimmten Betriebsmittels im schlimmsten Fall hätte.
Damit verschiebt sich der Blick von der Einzelanlage auf das Gesamtsystem. Ein Betreiber muss nicht nur wissen, wo ein Eindringling erkannt werden kann. Er muss auch bewerten, welche Anlagen räumlich nahe beieinanderliegen, welche Leitungen gemeinsame Infrastrukturen nutzen und wie schnell sich ein Ausfall kompensieren lässt.
Das sogenannte (n-1)-Prinzip schützt zwar vor dem Ausfall eines einzelnen Betriebsmittels. Gegen mehrere gezielte Angriffe oder eine gemeinsame physische Ursache bietet es jedoch keinen vollständigen Schutz.
Wo Technik auf Datenschutz trifft
Besonders deutlich wird die Lücke bei Drohnen. Technisch lassen sich Flugobjekte erkennen und verfolgen. Die Frage ist jedoch, wer sie abwehren darf. Betreiber können nicht automatisch in den Luftraum eingreifen oder eine Drohne technisch außer Gefecht setzen. Körner von Axis sieht hier einen regulatorischen Rahmen, der langsamer entwickelt worden sei als die verfügbare Technik.
Ähnlich gelagert ist die Videoüberwachung an Grundstücksgrenzen. Betreiber wollen unter Umständen auch angrenzende öffentliche Bereiche beobachten, um Annäherungen früh zu erkennen. Datenschutzrechtliche Grenzen erschweren das. Körner verweist auf technische Verfahren wie die automatische Verpixelung von Personen direkt in der Kamera. Solche Lösungen beseitigen aber nicht die Notwendigkeit eines abgestimmten Verfahrens und der frühzeitigen Einbindung des Datenschutzbeauftragten.
Schutz endet nicht am Werkszaun
Manuel Atug von der AG Kritis, die sich für mehr Schutz kritischer Infrastruktur einsetzt, fordert neben Zäunen, Überwachung und Zugangskontrollen klare Meldewege für Drohnensichtungen sowie abgestimmte Abläufe mit Polizei, Bundespolizei und Landeskriminalämtern.
Betreiber könnten viele Maßnahmen bereits umsetzen. Gleichzeitig kritisiert er, dass das Kritis-Dachgesetz zwar in Kraft sei, die für die praktische Umsetzung notwendigen Rechtsverordnungen aber noch nicht vollständig vorlägen.
Der Sicherheitsanbieter kann die Verantwortung des Staates dabei nicht ersetzen. Timm von Securitas warnt davor, den Objektschutz allein der Polizei zu überlassen. Selbst wenn Umspannwerke dauerhaft bewacht würden, könnten Angreifer auf andere Ziele ausweichen.
Begrenztes Personal spreche gegen einen flächendeckenden staatlichen Objektschutz. Betreiber müssten deshalb ihren eigenen Schutz organisieren – in enger Abstimmung mit den Behörden.
Nach dem Angriff zählt die Zeit
Die jüngsten Vorfälle zeigen auch, woran eine Schutzstrategie nicht scheitern darf: an der Annahme, jeder Angriff lasse sich verhindern. Florian Steinke, Leiter des Energy Information Networks & Systems Lab an der Technischen Universität Darmstadt, lenkt den Blick deshalb auf die Zeit nach einem Schaden.
Wenn eine Anlage zerstört werde, müssten Komponenten repariert oder ersetzt werden. Dann werde die Verfügbarkeit von Personal, Ersatzteilen und Produktionskapazitäten entscheidend. Die Erfahrungen aus der Ukraine zeigten, wie wichtig schnelle Wiederherstellung und ausreichende Materialreserven seien.
