Der Pakt von Münster: Doch wer handelt im Ernstfall?

Am Donnerstag haben sich die geschäftsführenden Vorstände von CDU/CSU und SPD in Münster zur Klausurtagung getroffen. Die Köpfe der Regierungsparteien kündigten unter anderem einen Pakt für den Bevölkerungsschutz an. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) soll demnach künftig stärker koordinieren und das Technische Hilfswerk (THW) als operative Einsatzorganisation wirken. Die Koalition will damit nicht nur auf akute Katastrophen reagieren. Ihr Beschlusspapier versteht Resilienz als "strukturelle Widerstands- und Anpassungsfähigkeit" von Staat, Wirtschaft und Gesellschaft.

Unionsfraktionschef Thorsten Frei (CDU) stellte den Beschluss im Abschluss-Statement in einen breiteren politischen Zusammenhang. Die Innovationswettbewerbsfähigkeit entscheide mit darüber, "ob wir als Industrieland auch in Zukunft an der Spitze stehen können oder eben nicht", sagte Frei. Zugleich habe die Klausur deutlich gemacht, dass die Koalition ihre aktuellen Reformvorhaben "gemeinsam (…) über die Bühne bringen möchten". Für den Bevölkerungsschutz ist das zunächst eine politische Ankündigung, kein fertiges Gesetz. Offen bleibt, welche Mindeststandards für kritische Funktionen gelten sollen, wie Bund und Länder ihre Lagebilder verbinden und wer zusätzliche Schutzmaßnahmen bezahlt.

Berlin zeigt, woran Resilienz gemessen wird

Am 3. Januar 2026 zerstörte ein Anschlag mehrere Hochspannungskabel an einer Kabelbrücke des Kraftwerks Lichterfelde. Rund 45.000 Haushalte, mehr als 100.000 Menschen und 2200 Gewerbebetriebe im Bezirk Steglitz-Zehlendorf waren, tagelang ohne Strom. Nach Einschätzung einer vom Berliner Senat eingesetzten Expertenkommission geriet die Hauptstadt trotz des räumlich begrenzten Schadens an ihre Belastungsgrenze. Betroffen waren weniger als fünf Prozent der Stadtfläche und drei Prozent der Bevölkerung. Die ZFK-Analyse zum Berliner Stromnetz ordnet die Folgen und die bisherige Reaktion ein. Die bessere Koordinierung verschiedener Einsatzstrukturen war ein zentraler Punkt im Abschlussbericht der Expertenkommission. Die Experten empfahlen etwa den "Aufbau eines Lage- und Krisenzentrums".

Die Kommission forderte darüber hinaus: Betreiber kritischer Infrastruktur sollen ihre Kernfunktionen zunächst 72 Stunden, mittelfristig zehn Tage autonom aufrechterhalten können. Bis spätestens 2029 soll diese Fähigkeit für alle Akteure gelten, die an einem Berliner Krisenfall beteiligt sind. Der Bericht verweist zugleich auf Abhängigkeiten im Alltag: Rund 95 Prozent der Berliner Photovoltaikanlagen lieferten während des Stromausfalls keinen Strom, weil sie nicht inselbetriebsfähig waren. Bei Fernwärme und Gas fehlten vielfach nur ein Zündfunke und 20 bis 30 Watt für die Umwälzpumpe.

Schutz beginnt nicht erst beim nächsten Ausfall

Berlin hat nach den Anschlägen erste sichtbare Maßnahmen umgesetzt. Nach Angaben des Rundfunks Berlin-Brandenburg wurden die mehr als 70 Umspannwerke von Stromnetz Berlin mit höheren Zäunen, Stacheldraht und Videoüberwachung gesichert. Rund 20 Kilometer Zaun seien verstärkt oder neu errichtet worden. Das vom Senat im Mai vorgestellte Konzept sieht außerdem zusätzliche Georedundanzen, Angriffserkennung mithilfe Künstlicher Intelligenz (KI), rund um die Uhr besetzten Wachschutz sowie weiterentwickelte Krisen- und Notfallpläne vor.

Die Berliner Expertenkommission schlägt auch eine ressortübergreifende Stelle für Resilienz vor. Zugleich bezifferte Innensenatorin Iris Spranger (SPD) den zusätzlichen Finanzbedarf für den Katastrophenschutz auf einen dreistelligen Millionenbetrag. Die vom Senat genannten 2,86 Milliarden Euro für die Modernisierung und den Ausbau des Stromnetzes von 2025 bis 2029 sind damit nicht unmittelbar vergleichbar. Sie betreffen den Netzausbau insgesamt, nicht allein die zusätzliche Krisenvorsorge.

Der digitale Angriff kennt keine Stadtgrenzen

Wie schnell staatliche Handlungsfähigkeit auch digital unter Druck geraten kann, zeigt der Cyberangriff auf zwei Berliner Senatsverwaltungen. Die Behörden waren zeitweise ohne Internetverbindung und Mailkommunikation nach außen. Homeoffice war nicht möglich, die Auszahlung von Sozialleistungen war gefährdet. Die Senatskanzlei entdeckte den Angriff am 14. August und trennte die Verwaltungen vom Landesnetz. Nach bisherigen Erkenntnissen flossen bereits vom 7. bis zum 12. August Daten ab. Am 28. August wies der Senat eine Lösegeldforderung zurück.

Der Fall zeigt eine andere Seite der Resilienz: Nicht nur Systeme müssen geschützt, kritische Leistungen müssen auch nach einer Abschaltung aufrechterhalten werden. IT-Sicherheitsexperte Mirko Herth setzt deshalb bei der Aufklärung an. Unternehmen und Behörden müssten ihre Systeme, Zugänge und Verbindungen zu Dienstleistern kennen. "Am Ende des Tages kann man nur die Dinge schützen, die man kennt", sagte Herth im Gespräch mit ZFK. Fallback-Strukturen, getrennte Kommunikationswege und eingeübte Abläufe entscheiden dann darüber, ob aus einem IT-Vorfall eine längere Arbeitsunfähigkeit wird.

Verdacht ist noch keine Zuschreibung

Der Klausurbeschluss umfasst auch einen Punkt der als wehrhafte Demokratie betitelt ist. Konkret heißt es in dem Schriftstück: "Resilienz heißt auch, die Wehrhaftigkeit unserer Demokratie zu festigen und sie gegen extremistische Bestrebungen sowie ausländische Einflussnahme zu schützen, die auf eine Schwächung unserer freiheitlich-demokratischen Grundordnung abzielen."

Blick man auf die aktuelle "Wirtschaftsschutz-Studie" des Digitalverbands Bitkom wird die Dringlichkeit der Thematik deutlich: 45 Prozent der betroffenen Kritis-Unternehmen nannten 2026 ausländische Nachrichtendienste als mögliche Täter. 2022 waren es rund neun Prozent.

Gerade diese Unsicherheit gehört zum Kernproblem hybrider Bedrohungen. Der Staat muss Angriffe erkennen, ihre Folgen begrenzen und gegebenenfalls reagieren, auch wenn die Herkunft zunächst offenbleibt. Zugleich darf ein Verdacht nicht zur gesicherten Zuschreibung werden. Für die kommunale Energie- und Versorgungswirtschaft bedeutet das: Sicherheitskonzepte müssen mit unklaren Lagebildern umgehen können. Es reicht nicht, auf den Nachweis eines bestimmten Angreifers zu warten, wenn der Betrieb bereits beeinträchtigt ist.

Drohnen machen die Zuständigkeitslücke sichtbar

Bei Drohnen über Kraftwerken, Umspannwerken oder Wasserwerken tritt dieselbe Grundfrage offen zutage. Betreiber sollen Risiken bewerten, Vorfälle melden und ihre Anlagen schützen. Eine gefährliche Drohne dürfen sie aber nicht selbst abwehren. Der Stadtwerkeverband VKU verweist deshalb auf die staatliche Verantwortung: "Sicherheit ist originäre Aufgabe des Staates und die Abwehr von Drohnen oder Anschlägen damit Sache der Polizei und Geheimdienste, nicht von Stadtwerken." Der größte deutsche Energiewirtschaftsverband BDEW hält eine freiwillige Beleihung privater Betreiber nur bei "vollständiger Kostenneutralität und klarer Haftungsregelung" für denkbar.

Ein Vorstoß des brandenburgischen Innenministeriums, Betreiber unter engen Voraussetzungen mit hoheitlichen Befugnissen auszustatten, zeigt die offenen Flanken. Das Land prüft eine freiwillige Beleihung, lehnt eine pauschale Finanzierung der Abwehrsysteme aber ab. Ungeklärt sind zudem die Kompetenzverteilung zwischen Bund und Ländern sowie die Frage, welche technischen Mittel eingesetzt werden dürften. Die ZFK-Recherche zu Finanzierung, Haftung und Zuständigkeit zeigt damit die praktische Lücke zwischen Betreiberpflicht und staatlichem Gewaltmonopol.

Der politische Beschluss wird sich nicht allein an neuen Zuständigkeiten für BBK und THW messen lassen. Entscheidend wird sein, ob daraus überprüfbare Anforderungen für Betreiber, gemeinsame Übungen und belastbare Finanzierungsregeln entstehen. Der Berliner Expertenbericht nennt mit 72 Stunden und zehn Tagen eine konkrete Messlatte.

Für Cyberangriffe und Drohnenabwehr fehlen vergleichbare Standardwerte noch. Die offene Frage lautet deshalb: Wie schnell wird aus dem Resilienzversprechen eine Sicherheitsarchitektur, die im Krisenfall nicht nur reagiert, sondern kritische Funktionen tatsächlich aufrechterhält?