Anschläge auf Pipelines, Umspannwerke und Stromleitungen in Europa häufen sich. Sie offenbaren, wie verwundbar kritische Infrastruktur ist. Einen hundertprozentigen Schutz gibt es nicht – auch nicht in Österreich.

Die Täter wollten größtmöglichen Schaden anrichten: mit selbstgebastelten Flugkörpern, um damit Kurzschlüsse bei einer Hochspannungsleitung in Brandenburg hervorzurufen. Bei Köln und Dormagen (Nordrhein-Westfalen) wurden Umspannwerke Ziel von Sabotage. Drei Anschläge in drei Tagen. Ob sie zusammenhängen, steht bisher noch nicht fest. Sie gingen glimpflich aus. Niemand wurde verletzt. Es gab keine großen Ausfälle. Doch es führte Deutschland vor Augen, wie verwundbar die sogenannte kritische Infrastruktur ist.

Das Bedrohungspotenzial ist breit gefächert: Drohnenangriffe, Cyberattacken, Sabotage und Spionage. Die zunehmende Vernetzung und Digitalisierung macht Wasserversorgung, Strom- und Datennetze sowie Pipelines verwundbarer. In ganz Europa häufen sich Angriffe auf hochsensible Energie-Infrastruktur. In Berlin waren im Jänner infolge eines Brandanschlags 100.000 Menschen für Tage ohne Strom. In der Ostsee wurden mehrere Unterseekabel beschädigt, in Italien ein Strommast, der eine Pipeline-Pumpstation mit Strom versorgt. Das wirft die Frage auf, wie gut kritische Energie-Infrastruktur in Österreich geschützt werden kann. Können Hunderte Kilometer Stromleitungen quer durchs Land überwacht werden? Sind Umspannwerke gegen Drohnenangriffe gefeit? Und wie gut sind Sicherheitsbehörden auf Anschläge vorbereitet?

Umspannwerke gut gesichert

Das Nervenzentrum der heimischen Stromversorgung befindet sich im Südosten Wiens, am Johannesberg im zehnten Bezirk. Stacheldraht umgibt die Steuerzentrale der Austria Power Grid (APG). Nur wenige Menschen haben Zutritt zum Gebäude. Die APG, eine 100-Prozent-Tochter des Verbunds, ist für das überregionale Stromübertragungsnetz verantwortlich. Hier fließen alle Informationen über das heimische Stromnetz zusammen.

Es zählt zur kritischen Infrastruktur in Österreich. Besonders Umspannwerke sind neuralgische Punkte. Die APG betreibt 67 in ganz Österreich. „Unsere Umspannwerke werden rund um die Uhr beobachtet und haben einen Perimeter-Schutz. Sie sind mit Kameras und Detektionen gegen unbefugten Eintritt gesichert“, sagt Gerhard Christiner, technischer Vorstand der APG, zum STANDARD.

Um die Sicherheit der Stromnetze und der Energieinfrastruktur zu gewährleisten, arbeitet die APG eng mit Innenministerium und Abwehramt zusammen. Der Stromnetzbetreiber übt mit Polizisten und Soldaten regelmäßig den Ernstfall. Käme es zu einem physischen Angriff, wären Einsatzkräfte innerhalb kürzester Zeit am Johannesberg.

Anders sieht es bei Leitungen aus. Von Bregenz bis Wien stehen 12.000 Strommasten, verlaufen 7000 Kilometer Stromleitungen. „Das muss man nüchtern sagen: Wir haben tausende Strommasten, die wir nicht schützen können“, sagt Christiner. Auf Ausfälle ist man dennoch gut vorbereitet, das Netz arbeitet nach dem n-1-Prinzip: Fällt irgendwo etwa eine Leitung oder ein Transformator aus – ob durch Defekt oder Sabotage – übernehmen andere Bestandteile des Netzes die Aufgabe.

Die jüngsten Anschläge in Deutschland waren physischer Natur. Die viel größere Gefahr gehe jedoch von digitalen Attacken aus. „Gezielte Cyberangriffe richten noch mehr Schaden an. Darauf sind wir aber bestmöglich vorbereitet“, sagt Christiner. Er vergleicht das Sicherheitskonzept der APG mit einer Zwiebelschale. „Um ins Innerste zu gelangen, müssen die Angreifer einige Türen überwinden. Anomalien im Stromnetz werden bei uns aber sofort registriert“, sagt der APG-Vorstand.

Gewappnet gegen Angriffe sieht man sich auch bei den Wiener Netzen, die für den Transport von Strom, Gas und Fernwärme zu rund zwei Millionen Menschen in Wien und Umgebung verantwortlich sind. „Wir verfügen über eine umfassende Sicherheitsarchitektur“, teilen die Wiener Netze auf Anfrage mit. Der Netzbetreiber stehe in engem Austausch mit den Behörden und sei als Teil der kritischen Infrastruktur ins staatliche Krisen- und Katastrophenmanagement eingebunden. Angriffsszenarien werden regelmäßig geübt, heißt es. Wie genau sich die Wiener Netze auf solche Szenarien vorbereitet, wird aus „sicherheitstechnischen Gründen“ nicht öffentlich gemacht.

Transparenzdilemma

Auch die Gas Connect Austria, die ein rund 900 Kilometer Gas-Pipelinenetz betreibt, will „aus Sicherheitsgründen keine näheren Angaben zu konkreten Schutzmaßnahmen, Sicherheitskonzepten, Überwachungsprozessen oder operativen Abläufen“ machen. Nur so viel: „Wir setzen auf ein mehrschichtiges Sicherheitskonzept, das technische, organisatorische und personelle Maßnahmen miteinander verbindet.“ Potenzielle Bedrohungen nehme man sehr ernst, Vorkehrungen würden entsprechend angepasst, heißt es.

Das zeigt das Dilemma, in dem Energieunternehmen stecken. Denn einerseits wird stets Transparenz gefordert. Zahlreiche (Echtzeit-)Daten, etwa zu Netzauslastungen und Speicherkapazitäten sind öffentlich zugänglich. Standorte von Umspannwerken lassen sich zudem schnell auf Google Maps finden. Andererseits können diese Daten auch potenziellen Angreifern nützen. Microsoft etwa eröffnete 2025 drei Rechenzentren in Niederösterreich. Wo genau sie sich befinden, wollte der Tech-Konzern nicht preisgeben – aus Sicherheitsgründen. Der Bundesverband der Energie- und Wasserwirtschaft in Deutschland fordert deshalb nach den jüngsten Anschlägen, dass detaillierte Informationen und Pläne zu kritischen Infrastrukturen „potenziellen Angreifern nicht frei zugänglich sein“ sollen.

Meldepflicht bei Vorfällen

In Österreich zwingt seit dem Frühjahr ein Gesetz Unternehmen kritischer Infrastruktur, Risikokonzepte zu erstellen. Das „Resilienz kritischer Einrichtungen-Gesetz“ (RKEG) soll sicherstellen, dass Schäden verhindert und im Fall schnell reagiert werden kann. Wer RKEG-betroffen ist, entscheidet die Direktion Staatsschutz und Nachrichtendienst (DSN), die für den Schutz kritischer Infrastruktur zuständig ist. Sie hat jene Unternehmen verständigt, die im Rahmen ihrer Risikoanalysen nun der DSN Konzepte vorlegen müssen. Diese Unternehmen haben auch eine Meldepflicht bei Sicherheitsvorfällen. Laut Innenministerium handelt es sich um „mehrere Hundert Unternehmen“ aus den Bereichen Energie, Transport, Lebensmittelversorgung und dem Gesundheitssektor. Aus Sicherheitsgründen werden nicht mehr Details veröffentlicht. „Die DSN steht in engem Austausch mit ausländischen Sicherheitsbehörden, um Entwicklungen und Tendenzen zu Bedrohungen, insbesondere durch staatliche Akteure, zu erkennen und Maßnahmen zu ergreifen“, heißt es auf STANDARD-Anfrage aus dem Innenministerium.

„Ein Gesetz schafft aber noch keine Resilienz“, sagt Bernhard Müller, Sicherheitsexperte bei PwC. Aber mit dem RKEG gebe es erstmals eine gesetzliche Verpflichtung für Unternehmen, die Sicherheit ihrer physischen Infrastruktur zu prüfen und gegebenenfalls Schutz aufzubauen. Beim RKEG geht es aber nicht nur um Angriffe. Auch Naturgefahren müssen dargestellt werden. Fragen wie: Kann das Unternehmen von Hochwasser, Muren, Überschwemmungen betroffen sein und wenn ja, welche Maßnahmen können Folgen verringern, gehören zum Konzept. „Neben dem Abwenden eines Schadens muss auch dargestellt werden, wie rasch Folgen wieder behoben werden können“, sagt Müller.

Klar seit laut Müller aber, dass man nicht die gesamte Infrastruktur schützen könne. Man könne ein Umspannwerk einzäunen, mit Kameras überwachen, Sicherheitspersonal engagieren. Aber Schienenstrecken können nicht dauerhaft lückenlos überwacht werden. Bestimmte Abschnitte werden überwacht, wenn es einen Anlass oder eine Gefährdungslage dazu gibt.

Frage des Geldes

Man müsse laut Müller auch überlegen, wie wahrscheinlich ein Angriff auf ein bestimmtes Ziel ist, und wie sich das auswirken würde. Fällt ein Umspannwerk aus, werden die Folgen von anderen Werken in der Umgebung wohl rasch ausgeglichen werden können. Fallen drei Werke in einer Region zeitgleich aus, werde das nicht ohne Folgen für die Bevölkerung bleiben. Nicht jeder Ausfall habe laut Müller Folgen für die Bevölkerung, wirtschaftlich seien die jeweiligen Unternehmen jedenfalls betroffen.
Am Ende des Tages ist die Frage nach Sicherheit auch eine Frage des Geldes. Für APG-Chef Christiner steht fest, dass sich die Kosten in einem „ökonomisch vertretbaren Rahmen“ bewegen müssen. Einen hundertprozentigen Schutz vor Angriffen gibt es aber keinen.

Der Standard