Der aktuelle Anlass
Anfang September 2026 wurden mehrere mutmaßliche Sabotageakte an Umspannwerken bekannt: Am 1. September traf es Turnow-Preilack in Brandenburg (nahe dem Kraftwerk Jänschwalde) sowie Rommerskirchen bei Bergheim in Nordrhein-Westfalen, zwei Tage später einen weiteren Standort in Dormagen. In allen Fällen wurden Drähte mit selbstgebauten Wurfvorrichtungen in Hochspannungsleitungen geschossen und lösten dadurch Kurz- beziehungsweise Erdschlüsse aus.
Die Netzbetreiber 50Hertz und Amprion bestätigten, dass die allgemeine Stromversorgung der Bevölkerung in beiden Regionen stabil blieb. Durch den Vorfall bei Rommerskirchen gingen jedoch mehrere Braunkohleblöcke eines Energieversorgers mit mehreren Gigawatt Leistung vom Netz. Wer für die Taten verantwortlich ist und aus welchem Motiv, ist Gegenstand laufender Ermittlungen — das ist nicht Thema dieses Beitrags.
Bemerkenswert ist etwas anderes: Es brauchte keinen komplexen Cyberangriff, um zentrale Knotenpunkte der Energieversorgung tagelang außer Betrieb zu setzen — ein simples technisches Mittel reichte aus, um an einer empfindlichen Stelle im System anzusetzen. Genau diese Verwundbarkeit einzelner Knotenpunkte ist für Unternehmen relevant, ganz unabhängig davon, wer sie verursacht (ausführlicher Hintergrund bei heise online).
Kritische Infrastruktur ist verwundbarer als gedacht
Strom, Internet, Logistik: Die meisten Unternehmen verlassen sich täglich auf ein Zusammenspiel von Infrastrukturen, die sie selbst nicht kontrollieren — und über deren tatsächliche Belastbarkeit sie sich selten Gedanken machen, solange alles funktioniert. Die Vorfälle an den Umspannwerken zeigen, dass selbst gut ausgebaute Netze an bestimmten Knotenpunkten empfindlich sein können.
Das ist keine Besonderheit der Energieversorgung. Auch ein einzelner Cloud-Anbieter, eine einzelne Internetleitung oder ein einzelner Logistikpartner kann zu einem solchen Knotenpunkt werden — mit dem Unterschied, dass ein Unternehmen dessen Ausfall direkter zu spüren bekommt als einen regionalen Stromausfall, der oft noch abgefangen wird.
Warum das jedes Unternehmen betrifft
Ein Unternehmen muss nicht selbst Ziel eines Angriffs oder einer Störung sein, um davon getroffen zu werden. Es reicht, wenn der Stromlieferant, der IT-Dienstleister, ein Cloud-Dienst oder ein zentraler Zulieferer betroffen ist. Produktionsausfälle, verlorene Aufträge oder unerreichbare Systeme sind dann eine Frage der eigenen Vorbereitung — nicht der Frage, ob man selbst „im Fokus“ stand.
Für regulierte Unternehmen kommt hier zusätzlich NIS2 ins Spiel: Wer als wichtige oder wesentliche Einrichtung gilt, muss ein funktionierendes Risikomanagement und Notfallvorsorge ohnehin nachweisen. Der Kern dieses Beitrags gilt aber unabhängig davon — für jedes Unternehmen, unabhängig von Branche oder Regulierungspflicht.
Resilienz ist unternehmerische Vorsorge — kein reines Compliance-Thema
Resilienz wird häufig als Thema von Gesetzen und Auditoren wahrgenommen — etwas, das Unternehmen erfüllen müssen, weil eine Vorschrift es verlangt. Tatsächlich ist die Frage viel einfacher: Wie lange kann Ihr Unternehmen ohne Strom, ohne Internet oder ohne den wichtigsten Zulieferer arbeiten, bevor es wirtschaftlich schmerzt? Und wer trifft in genau diesem Moment die Entscheidungen?
Ein IT-Notfallplan und eine durchdachte Business-Continuity-Vorsorge beantworten diese Fragen im Voraus, statt sie während eines akuten Ausfalls unter Zeitdruck zu improvisieren. Das ist unabhängig von Unternehmensgröße oder Branche sinnvoll — ein Handwerksbetrieb mit fünf Mitarbeitenden hat dieselbe Grundfrage wie ein mittelständischer Fertigungsbetrieb, nur mit anderen Prioritäten.
Checkliste: Worauf es jetzt ankommt
Fünf Bereiche, die sich unabhängig von Unternehmensgröße und Branche lohnen, regelmäßig zu prüfen:
Für welche Systeme reicht eine unterbrechungsfreie Stromversorgung (USV) zur Überbrückung, und wo braucht es ein Notstromaggregat? Entscheidend ist, die Überbrückungszeit realistisch an der Wiederherstellungsdauer zu messen — nicht an Wunschdenken.
Ein Backup zählt nur, wenn es regelmäßig getestet wird und mindestens eine Kopie räumlich getrennt bzw. offline vorliegt. Ohne geprüften Restore ist ein Backup eine Vermutung, keine Absicherung.
Wer entscheidet im Ernstfall, welche Prozesse haben Priorität, und welche manuellen Ersatzabläufe greifen, wenn IT-Systeme oder Strom ausfallen? Ein kurzer, bekannter Plan ist mehr wert als ein langes Dokument, das niemand gelesen hat.
Funktioniert die interne und externe Kommunikation auch dann, wenn E-Mail, Telefonanlage oder Internetzugang selbst betroffen sind? Ein vorher festgelegter Ersatzkanal verhindert Stillstand genau dann, wenn Abstimmung am wichtigsten ist.
Cloud-Anbieter, Zahlungsdienstleister, Logistikpartner, Energieversorger: Wo hängt der eigene Betrieb an einzelnen externen Gliedern, und was passiert, wenn genau dieses Glied ausfällt? Diese Abhängigkeiten lassen sich nur im Voraus sauber kartieren, nicht während der Störung.
Diese Checkliste ist ein Einstieg, keine vollständige Notfallplanung. Wie viel Vorsorge im Einzelfall angemessen ist, hängt von Ihren konkreten Geschäftsprozessen und Abhängigkeiten ab — dafür lohnt sich eine strukturierte Bestandsaufnahme.
Wie belastbar ist Ihre Notfallvorsorge wirklich?
Keep IT Fair unterstützt Unternehmen in Norderstedt, Hamburg und Umgebung mit einem allgemeinen IT-Sicherheits- und Notfall-Readiness-Check — unabhängig davon, ob eine Regulierung wie NIS2 greift oder nicht.
Readiness-Check anfragenWeiterlesen
