Kraftwerk vier Tage offline - keine Meldepflicht griff

Vier Tage Stromausfall an einer britischen Anlage, aufgedeckt von einer Zeitung

The Telegraph berichtete am 22. August 2026, dass iranisch verbundene Hacker eine kleine britische Stromerzeugungsanlage vier Tage lang lahmgelegt haben - nach Angaben mehrerer Medien der erste erfolgreiche iranische Cyberangriff, der ein britisches Kraftwerk offline nahm. Der Bericht berief sich auf nicht namentlich genannte Sicherheits- und Regierungsquellen, und innerhalb weniger Stunden folgten bestätigende Berichte von Iran International, GB News, der Jerusalem Post, Ynetnews und Israel Hayom.

Britische Behörden werteten den Einbruch als Fähigkeitsdemonstration und nicht als Versuch, das nationale Stromnetz zu stören, weil die betroffene Anlage klein war und das übrige Netz während der gesamten viertägigen Störung ohne Unterbrechung weiterlief. Diese Einordnung ist wichtig dafür, wie ernst kleinere Betreiber den Vorfall nehmen sollten: Eine Demonstration an einer kleinen Anlage zeigt trotzdem, was derselbe Akteur an einer größeren versuchen könnte.

Kein Einzelfall: ein Muster in fünf Ländern plus eine US-Wasserwelle

Der Einbruch beim britischen Kraftwerk fiel in dasselbe Zeitfenster wie eine Angriffswelle auf US-Wasserversorger in 12 Bundesstaaten, Vorfälle, die Berichten zufolge Überflutungen, Druckabfälle und Trinkwasserwarnungen für betroffene Gemeinden auslösten.

Dieses Timing folgte auf eine Reihe vermuteter iranischer Eindringversuche in kritische Infrastruktur anderswo in Europa, in Deutschland, Polen, Finnland, Belgien und Albanien, laut derselben Berichterstattung. Zusammengenommen liest sich das weniger wie verstreutes Herumsondieren und mehr wie ein einzelner Akteur, der gleichzeitig Zugänge über mehrere Branchen und mehrere Länder hinweg testet.

Jenseits des Vorfalls: eine Meldelücke, die NIS2 nicht auffangen sollte

Die Öffentlichkeit erfuhr von diesem Einbruch in die britische Energieinfrastruktur nicht durch eine Meldepflicht, sondern durch eine Zeitungsrecherche, veröffentlicht Tage nachdem der Ausfall bereits vorüber war.

Die britischen NIS Regulations und die parallele EU-Richtlinie NIS2 bauen ihre Meldepflichten um sogenannte Betreiber wesentlicher Dienste auf, eine Einstufung, die auf große Netzbetreiber, nationale Übertragungsgesellschaften und große Versorger zielt, nicht auf jede kleine unabhängige Erzeugungsanlage, die an das übrige Netz angeschlossen ist. In Deutschland zieht das BSI im Rahmen des KRITIS-Dachgesetzes und der NIS2-Umsetzung eine ähnliche Schwelle, und genau in dieser Lücke saß diese Anlage: klein genug, um außerhalb des offensichtlichen Meldeperimeters zu bleiben, vernetzt genug, um ein echtes Ziel zu sein, und das Ergebnis ist ein Einbruch, von dem die Öffentlichkeit eher durch Zufall als durch Systematik erfuhr.

Was britische und EU-Betreiber von Industrie- und Energieanlagen jetzt prüfen sollten

Jeder britische oder EU-Betreiber von Industrie- oder Energieinfrastruktur hat jetzt einen konkreten Grund, zwei Annahmen neu zu prüfen: ob die eigene Anlage tatsächlich eine Meldepflicht nach NIS2 oder den britischen NIS Regulations auslösen würde, und ob die Trennung zwischen IT und Betriebstechnik demselben Eindringpfad standhalten würde, der hier genutzt wurde.

Das Muster in fünf Ländern, Deutschland, Polen, Finnland, Belgien und Albanien, zusammen mit der US-Wasserwelle, spricht dagegen, das als Einzelfall abzutun; es spricht dafür, die Exposition einer kleinen Anlage als echten Posten auf demselben Risikoregister zu behandeln wie den größten nationalen Versorger, denn der Akteur dahinter sortiert seine Ziele nicht nach Größe.

Weiterlesen: Deutschlands NIS2-Schonfrist ist vorbei  |  Autonome KI-Agenten griffen Taiwans Regierung an