Ein Täter, 4.200 Megawatt, Deutschlands Netzlücke

Zwei Anschläge, 4.200 Megawatt, ein Täter weiter auf freiem Fuß

Ein einzelner Täter platzierte innerhalb von vier Tagen selbstgebaute Startgeräte an drei deutschen Umspannwerken, und bis zum 5. September 2026 hatten die Anschläge bereits rund 4.200 Megawatt Kohlekapazität lahmgelegt und in einem zweiten Kraftwerk eine Sicherheitsabschaltung ausgelöst. Am 1. September wurden am Umspannwerk Preilack, das LEAGs Kohlekraftwerk Jänschwalde in Brandenburg versorgt, Geräte gefunden: raketenähnliche Vorrichtungen, die leitfähiges Material in Höchstspannungsleitungen schießen sollten, um einen Kurzschluss auszulösen. Mindestens eines detonierte, und LEAG-Chef Adolf Roesch erklärte, die Störung habe eine automatische Sicherheitsabschaltung von Block B in Jänschwalde ausgelöst. Am selben Tag ließen ähnliche Startgeräte in einem nahen Maisfeld beim RWE-Umspannwerk Bergheim bei Köln leitfähiges Material auf Freileitungen fallen und legten fünf Kohleblöcke lahm - nach Angaben von RWE rund 4.200 Megawatt Leistung.

Am 4. September tauchte ein drittes Set solcher Geräte am Umspannwerk Dormagen-Gohr auf, nachdem ein Passant die Polizei alarmiert hatte; die Ermittler hielten einen Zusammenhang mit dem Anschlag von Bergheim für "wahrscheinlich". Bei keinem der drei Vorfälle wurde jemand verletzt, und keiner führte zu einem größeren Stromausfall - doch alle drei zielten auf dieselbe Kategorie exponierter Infrastruktur: Freileitungen im offenen Gelände statt eines eingezäunten Umspannwerks.

Was ein Täter mit einfachen Mitteln tatsächlich bewiesen hat

Bis zum 4. September 2026 hatte die deutsche Polizei einen 48-jährigen Verdächtigen aus Gevelsberg identifiziert, in Presseberichten als Daniel W. genannt, nachdem er mehreren Redaktionen Briefe geschickt hatte, in denen er sich zu den Anschlägen bekannte und die Stromerzeugung aus fossilen Brennstoffen als "ein Verbrechen" bezeichnete. Ermittler durchsuchten einen umgebauten Wohnwagen, versteckt in einem Wald nahe Niederzier unweit des Braunkohletagebaus Hambach, etwa 100 Kilometer von Gevelsberg entfernt, und fanden Sprengstoff in seiner Wohnung - doch der Verdächtige befand sich nicht im Fahrzeug und ist weiterhin flüchtig, vermutlich zu Fuß unterwegs.

Bundesinnenminister Alexander Dobrindt erklärte, die Ermittler prüften den Fall auch als möglichen "Klimaterrorismus". NRW-Innenminister Herbert Reul wies die vom Verdächtigen genannte Rechtfertigung direkt zurück: "Es ist nicht die Stromerzeugung aus fossilen Brennstoffen, die ein Verbrechen ist, sondern der Angriff auf kritische Infrastruktur ist ein Verbrechen", sagte er und fügte hinzu, dass die Anschläge Krankenhauspatienten und andere kritische Dienste gefährdeten, unabhängig vom Motiv des Täters.

Klammert man das genannte Motiv aus, bleibt eine engere Tatsache: Allein handelnd, mit Geräten aus handelsüblichen Raketenteilen und leitfähigem Material statt spezieller oder militärtauglicher Ausrüstung, legte eine einzelne Person an einem einzigen Tag rund 4.200 Megawatt deutsche Kohlekapazität lahm und blieb der Polizei vier Tage lang voraus. Das ist der eigentliche Befund für jeden, der Anlagen dieser Art besitzt oder Strom aus ihnen bezieht: Die Kosten, ein Hochspannungs-Umspannwerk lahmzulegen, sind weit unter das gesunken, was die meisten Cyberabwehr-Budgets der Betreiber annehmen, denn keiner der drei Vorfälle beinhaltete einen Netzwerkeinbruch, ein gestohlenes Zugangsdatum oder irgendeinen digitalen Zugriff.

Was Betreiber und Industriekunden diese Woche fragen sollten

Die praktische Frage, die diese Ereignisfolge für einen Netzbetreiber oder einen großen industriellen Stromabnehmer aufwirft, ist nicht, wer der Verdächtige am Ende ist, sondern wie jemand mit ein paar Startgeräten an einer Freileitung an zwei Standorten unentdeckt blieb und erst an einem dritten gestoppt wurde, weil zufällig ein Passant aufmerksam wurde.

Drei Punkte gehören auf die Agenda dieser Woche statt in die Budgetprüfung des nächsten Quartals: ob die physische Überwachung Höchstspannungstrassen und Zufahrtswege abdeckt und nicht nur den Zaun um das Umspannwerk; ob Betreiber derselben Region - darunter LEAG, RWE sowie Übertragungsnetzbetreiber wie Amprion und TenneT - Erkennungsdaten in Echtzeit teilen, denn das Gerät bei Dormagen-Gohr wurde durch einen externen Hinweis gefunden und nicht durch einen gemeinsamen Alarm nach Bergheim; und ob Industriekunden mit Lieferverträgen für bestimmte Kohleblöcke einen dokumentierten Ausweichplan für einen mehrtägigen Kapazitätsausfall haben, der nichts mit Wetter oder Wartung zu tun hat. Nichts davon hängt davon ab, wie man die Ideologie des Täters einordnet - es ist eine Lücke bei physischer Sicherheit und Geschäftskontinuität, die diese Woche bereits ihren Preis gezeigt hat.

Weiterlesen: OpenAI-Agenten machten ein deutsches Wiki zu ihrem Brett  |  85 Prozent der deutschen Exchange-Server offen