Vier Tage vom Netz: Cyberangriff legt Kraftwerk lahm – wie sicher sind unsere Versorger?
London/Neuwied. Ein Kraftwerk in Großbritannien musste im Juli nach einem Cyberangriff vier Tage lang vom Netz. Die britische Regierung hat den Vorfall bestätigt. Für Aufsehen sorgt vor allem eines: Die Anlage war so klein, dass sie nicht einmal unter die Meldepflicht fiel. Ein Blick auf die Lage in Deutschland zeigt, wo die eigentlichen Schwachstellen liegen.
Was in Großbritannien geschah
Zuerst berichtete die Zeitung "Telegraph" über den Fall. Demnach wurde im Juli ein Kraftwerk im Vereinigten Königreich so getroffen, dass es vier Tage lang stillstand.
Die Regierung bestätigte den Vorfall. Ein Sprecher des Energieministeriums sprach von einem "kleinen Stromerzeuger" – zu keinem Zeitpunkt habe ein Risiko für die allgemeine Energieversorgung bestanden.
Bemerkenswert ist ein Detail: Die Anlage war so klein, dass sie noch unter der Schwelle lag, ab der Betreiber Cybervorfälle melden müssen. Eine Regierungsquelle formulierte es drastisch: Die Kapazität sei im Vergleich zum Gesamtnetz "weniger als ein Rundungsfehler".
Standort und Betreiber wurden aus Sicherheitsgründen nicht genannt.
Die Iran-Spur ist nicht bestätigt
Der "Telegraph" macht ausdrücklich den Iran verantwortlich. Wichtig dabei: Weder die britische Regierung noch die Cyberabwehrbehörde NCSC haben das bestätigt.
Die Behörden bestätigten lediglich den Angriff selbst – nicht, wer dahintersteckt.
Hintergrund ist eine erhöhte Bedrohungslage, die nach Angaben der britischen Behörden seit den Angriffen der USA und Israels auf den Iran im Februar besteht. Das NCSC informierte Betreiber kritischer Infrastruktur entsprechend.
Parallel: Angriffe auf US-Wasserwerke
Ende Juli traf eine Angriffswelle über 30 Wasserwerke in mehreren US-Bundesstaaten. FBI und Umweltbehörde EPA warnten am 30. Juli.
Die Angreifer nutzten dabei keine ausgeklügelten Sicherheitslücken, sondern schlicht Steuerungscomputer, die ungeschützt aus dem Internet erreichbar waren – teils mit Werkspasswörtern. Sie änderten Zugangsdaten und sperrten die Betreiber aus.
Folgen waren Druckabfälle und örtliche Umstellungen auf Handbetrieb. In einem Fall bei Atlanta wurde vorsorglich zum Abkochen aufgerufen. Trinkwasser wurde nach Behördenangaben nicht verunreinigt.
Auch hier gilt: Die Zuschreibung an den Iran ist eine vorläufige Einschätzung, keine gesicherte Erkenntnis. US-Ermittler prüfen ausdrücklich, ob sich Täter nur als iranisch tarnten.
Und in Deutschland?
Das Bundesamt für Sicherheit in der Informationstechnik sieht derzeit keine Hinweise auf erhöhte iranische Aktivitäten gegen deutsche Ziele. Beobachtet werden vor allem Website-Verunstaltungen und Überlastungsangriffe – deren Wirkung durch begleitende Kampagnen in sozialen Medien größer erscheine, als sie sei.
Einzelne Angriffe auf exponierte Organisationen schließt das BSI aber nicht aus.
Die größere Gefahr sieht die Behörde woanders. Der Lagebericht 2025 nennt Ransomware als Hauptbedrohung und zählt durchschnittlich 119 neue Sicherheitslücken pro Tag. BSI-Präsidentin Claudia Plattner brachte es auf eine Formel: "Die Letzten beißen die Hunde." Angreifer suchen sich die verwundbarsten Ziele.
Eine Zahl macht nachdenklich: Rund 80 Prozent der Betreiber kritischer Infrastruktur haben ein Sicherheitsmanagement etabliert – aber nur 48 Prozent verfügen über ein System, das Angriffe überhaupt erkennt.
Das eigentliche Problem: Steuerungen am Netz
Der technische Kern aller genannten Angriffe ist derselbe.
Speicherprogrammierbare Steuerungen regeln Pumpen, Ventile und Turbinen. Viele der zugrundeliegenden Protokolle stammen aus einer Zeit, in der niemand an Angriffe dachte – sie kennen weder Verschlüsselung noch Zugangskontrolle.
Hängt eine solche Steuerung am Internet, kann sie im Prinzip jeder ansprechen, der ihre Adresse kennt. Suchmaschinen wie Shodan listen solche Geräte auf.
Ein deutsches Forschungsprojekt zählte rund 30.000 ungeschützt mit dem Internet verbundene Steuerungen in Deutschland. Die Zahl ist einige Jahre alt, die Größenordnung dürfte aber weiterhin stimmen.
Eine Warnung, die Deutschland betrifft
Es gibt einen aktuellen Warnhinweis deutscher Behörden zu genau diesem Thema – allerdings mit anderem Absender.
Im Juni warnten BSI und Verfassungsschutz gemeinsam vor russischen Akteuren, die ungeschützt erreichbare Photovoltaikanlagen auskundschaften. Fachleute sprechen von möglichem "Prepositioning" – dem Vorbereiten späterer Angriffe.
Die Empfehlung gilt über den Energiesektor hinaus: Erreichbarkeit aus dem Internet unterbinden, Fernzugriff nur über gesicherte Verbindungen.
Was das für Stadtwerke bedeutet
Seit Dezember gelten in Deutschland verschärfte Regeln. Das NIS-2-Umsetzungsgesetz betrifft rund 29.500 Unternehmen – vorher waren es etwa 4.500.
Erhebliche Sicherheitsvorfälle müssen binnen 24 Stunden gemeldet werden. Bußgelder reichen bis zu zehn Millionen Euro, Geschäftsleitungen haften persönlich.
Für Stromerzeuger gilt: Ab 104 Megawatt Leistung zählt eine Anlage als kritische Infrastruktur. Kleinere Anlagen fallen durch das Raster – genau wie im britischen Fall.
Der Verband kommunaler Unternehmen beschreibt die Lage seiner Mitglieder deutlich. Hauptgeschäftsführer Ingbert Liebing sagt, in der Energiewirtschaft werde man "tagtäglich angegriffen. Entweder durch Cyberattacken, durch Spionage oder durch Sabotage."
Was bei deutschen Versorgern bislang passierte
Mehrere Fälle der vergangenen Jahre zeigen ein wiederkehrendes Muster: Die Verwaltungs-IT wird getroffen, die Versorgung bleibt gesichert – weil beide Netze getrennt sind.
Bei den Technischen Werken Ludwigshafen erbeuteten Angreifer 2020 über 500 Gigabyte Kundendaten und forderten Millionen. Ein Zugriff auf die Steuerungstechnik gelang nicht.
Bei den Stadtwerken Detmold und den Vereinigten Stadtwerken Ratzeburg kam es Ende 2025 zu IT-Ausfällen. Strom, Gas, Wasser und Wärme liefen weiter.
Ein Vorfall bei einem Versorger im Raum Neuwied oder Koblenz ist nicht bekannt.
Wie wahrscheinlich ist ein Blackout?
Trotz der Bedrohungslage: Das deutsche Stromnetz gehört zu den zuverlässigsten der Welt. Die durchschnittliche Ausfallzeit lag 2024 bei 11,7 Minuten pro Kunde und Jahr.
Das Bundesamt für Bevölkerungsschutz empfiehlt dennoch eine Grundvorsorge – unabhängig von aktuellen Bedrohungen: Vorräte für zehn Tage, zwei Liter Flüssigkeit pro Person und Tag, ein batteriebetriebenes Radio, Taschenlampe, Powerbank und Bargeld.
Das Radio ist dabei kein Nostalgie-Tipp: Bei einem längeren Stromausfall fallen Internet und Mobilfunk aus. Der Rundfunk bleibt oft der einzige Weg, an amtliche Informationen zu kommen.
