Kurz nach 20 Uhr fielen am Dienstag im rheinischen Braunkohlerevier fünf Kraftwerksblöcke gleichzeitig aus. Auslöser war kein Sturm und kein Defekt, sondern eine Störung an einem Umspannwerk des Netzbetreibers Amprion, die die Polizei Essen als vorsätzliche Tat einstuft.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Ein einzelner Angriffspunkt reichte, um rund drei Gigawatt Leistung aus dem Netz zu werfen. Die Versorgung blieb stabil, doch der Fall zeigt, wie verwundbar die Knoten des Stromnetzes sind.
Das Wichtigste in Kürze
- Ein vorsätzlicher Eingriff an einem Amprion-Umspannwerk trennte am Dienstagabend fünf RWE-Braunkohleblöcke mit rund 3.000 Megawatt vom Netz.
- Die Polizei Essen ermittelt wegen einer Straftat und schließt einen technischen Defekt aus; die Stromversorgung blieb durchgehend stabil.
- Angegriffen wurde nicht die IT, sondern die physische Anlage, für die seit dem KRITIS-Dachgesetz vom 17. März 2026 erstmals eigene Schutzpflichten gelten.
Wie legt ein Umspannwerk fünf Kraftwerksblöcke still?
Ein Kraftwerk speist seinen Strom nicht direkt in die Leitungen, sondern über ein Umspannwerk, das die Spannung auf die Höchstspannungsebene hebt. Fällt dieser Knoten aus, verlieren die angeschlossenen Blöcke ihren einzigen Anschlusspunkt und schalten sich zum Eigenschutz automatisch ab. So lief die Störung an der Anlage des Übertragungsnetzbetreibers Amprion, an der mehrere Leitungen durch einen Kurzschluss ausfielen.[1]
Betroffen waren die Neurath-Blöcke F und G sowie Niederaußem H, G und K, die zum Zeitpunkt der Störung rund 3.000 Megawatt lieferten. Ein einzelner Zugriff auf einen schlecht gesicherten Knoten wirkt damit stärker als ein Angriff auf ein einzelnes Kraftwerk, weil er die Leistung vieler Blöcke bündelt. Die Versorgung blieb dennoch stabil, weil das Netz den Ausfall über andere Kraftwerke auffing.
Ist das ein Einzelfall?
Der Angriff reiht sich in eine Serie ein. Kurz zuvor meldeten die Behörden einen Sabotageversuch am Lausitzer Kraftwerksstandort Jänschwalde. Schon 2022 legte durchtrenntes Kabel den Zugfunk der Deutschen Bahn im Norden lahm. Rund um Rechenzentren und Umspannwerke häufen sich zudem Drohnenüberflüge, vor denen Verfassungsschutz und BSI seit Monaten warnen.
Das Muster wiederholt sich: Nicht die gut gesicherte Leitwarte ist das Ziel, sondern die unbewachte Anlage auf freiem Feld. Dieselbe Logik treibt digitale Angriffe wie den Angriff auf Rumäniens Grundbuch, bei dem gelöschte Backups mehr Schaden anrichteten als der Einbruch selbst. Gegen den gezielten Kabelbruch verlegen Konzerne inzwischen sogar Seekabel in Ringform.
Ein Zaun und eine Kamera mehr am Umspannwerk kosten wenig, ein bundesweiter Blackout kostet Milliarden. Das KRITIS-Dachgesetz macht aus dieser Rechnung endlich eine Pflicht, nicht mehr nur eine gute Absicht.
— Markus Seyfferth, Chefredakteur Dr. Web
Was müssen Betreiber jetzt tun?
Seit dem 17. März 2026 gilt in Deutschland das KRITIS-Dachgesetz, das die EU-Richtlinie zur Resilienz kritischer Einrichtungen in nationales Recht überführt. Anders als die auf IT-Sicherheit zielende NIS2-Regulierung verlangt das Dachgesetz erstmals umfassende Vorkehrungen gegen physische Sabotage und hybride Bedrohungen. Rund 2.000 Betreiber kritischer Anlagen müssen sich seit Juli 2026 registrieren und ihre Schutzmaßnahmen nachweisen.
Für Betreiber bedeutet der Fall im Rheinland zweierlei. Physische und digitale Abwehr gehören zusammengedacht, von Zugangsschutz und Videoüberwachung an entlegenen Anlagen bis zu Meldeketten und Wiederanlaufplänen. Dass redundante Wege einen Ausfall abfedern, zeigt auch der Netzausbau, für den Konzerne wie Hochtief eigens Freileitungsbauer übernehmen.
Auch Unternehmen ohne KRITIS-Status hängen an denselben Netzen. Ein Notfallplan für den mehrstündigen Stromausfall und eine unterbrechungsfreie Versorgung der kritischen Systeme gehören deshalb in jede Betriebsplanung, lange bevor der nächste Knoten ausfällt.
Quelle
[1] RWE: Presseinformationen zum Vorfall am Umspannwerk im rheinischen Revier
Mehr Newshunger?
- Dropbox: Ein fremder Lenovo-Login genügte zur Kontoübernahme
- TeamViewer: zwei hochriskante Client-Lücken erlauben fremden Code
- Drei kritische ServiceNow-Lücken: Angreifer brauchen kein Login
- 500 Millionen Euro: Münchener Rück kauft den Cyberversicherer At-Bay
- Palo Alto Networks wollte Okta kaufen und landete bei CyberArk für 21,8 Milliarden Euro
