InterviewPro ArtikelHybride Angriffe gegen die deutsche Infrastruktur: «Wir werden nicht alles schützen können»Der Sicherheitsexperte Norbert Gebbeken warnt vor Lücken beim Schutz kritischer Infrastruktur. Das neue KRITIS-Dachgesetz reiche dafür bislang nicht aus – vor allem, weil konkrete Vorgaben und klare Schutzziele fehlten.Armin Arbeiter, Berlin03.09.2026, 16.37 Uhr5 LeseminutenPolizisten durchkämmen Gelände um das Umspannwerk Bergheim in Nordrhein-Westfalen. Dort verübten Unbekannte einen Anschlag.Imago/christoph Hardt / ImagoNach den Angriffen auf Umspannwerke in Brandenburg und Nordrhein-Westfalen rückt die Verwundbarkeit der deutschen Infrastruktur erneut in den Fokus. Norbert Gebbeken, Professor an der Universität der Bundeswehr München und seit Jahren mit baulichem Bevölkerungsschutz beschäftigt, hält es für unmöglich, jede Anlage gleich stark zu schützen. Anfang Jahr beschloss der Deutsche Bundestag ein Gesetz, das einen besseren Schutz ermöglichen solle. An dessen Umsetzung übt Gebbeken deutliche Kritik.Optimieren Sie Ihre BrowsereinstellungenNZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.Bitte passen Sie die Einstellungen an.Frage: Innert kurzer Zeit gab es in Deutschland Angriffe auf zwei Umspannwerke. Unabhängig davon, wer dahintersteckt: Was sagen solche Vorfälle über die Verwundbarkeit der deutschen Infrastruktur aus?Antwort: Wir müssen davon ausgehen, dass Deutschland hybrid angegriffen wird und dass unsere Infrastruktur an verschiedenen Stellen verwundbar ist. Besonders schwierig ist der Schutz bei den Infrastrukturen, die unser Land wie ein Nerven- oder Adernsystem durchziehen. Stromnetze sind dafür ein gutes Beispiel.Frage: Beim Umspannwerk in Brandenburg wurden zwar Kurzschlüsse ausgelöst, einen grösseren Stromausfall konnte das Netz jedoch auffangen. Zeigt das nicht auch, dass die Systeme widerstandsfähiger sind, als man zunächst glauben könnte?Antwort: Das hängt sehr stark davon ab, welche Komponente betroffen ist. Wir haben Angriffe oder Ausfälle gesehen, die grössere Folgen hatten, etwa in Berlin, und andere, deren Auswirkungen relativ gering geblieben sind. Genau deshalb brauchen wir flächendeckende Resilienz- und Risikoanalysen.Frage: Mit welchem Ergebnis für die Betreiber?Antwort: Ein Netzbetreiber muss wissen: Was passiert, wenn diese oder jene Anlage ausfällt? Welche anderen Komponenten hängen davon ab? Welche Folgen entstehen für die Versorgung? Manche Betreiber beschäftigen sich damit bereits sehr intensiv. An anderen Stellen merken wir aber, dass das noch lange nicht ausreichend geschieht.Frage: Seit März gilt das KRITIS-Dachgesetz. Sie kritisieren trotzdem, dass Deutschland beim physischen Schutz kritischer Infrastruktur noch nicht weit genug sei. Warum?Antwort: Weil das KRITIS-Dachgesetz aus meiner Sicht zunächst vor allem eine reine Verfahrensordnung ist. Aus dem Gesetz erfahre ich, ob ich als KRITIS-Betreiber gelte oder nicht. Wenn ich darunterfalle, muss ich gewisse Sicherheits- und Resilienzvorgaben erfüllen. Aber die entscheidenden inhaltlichen Vorgaben sind noch nicht ausreichend erarbeitet. Zu sagen, ein Betreiber müsse Sabotage, Naturgefahren oder andere Risiken berücksichtigen, reicht für den physischen Schutz nicht aus. Es fehlen insbesondere klare Schutzziele.Frage: Was müsste der Staat konkret vorgeben?Antwort: Wenn wir über physischen Schutz sprechen, brauchen wir konkrete Szenarien und quantitative Annahmen. Gegen welche Einwirkung soll eine Anlage geschützt werden? Welche Belastung muss sie aushalten? Welche Ausfallzeit ist noch akzeptabel? Welche Folgen dürfen eintreten und welche nicht? Mit der allgemeinen Forderung nach mehr Sicherheit und Resilienz kann ein Ingenieur kein Schutzkonzept dimensionieren. Es müssen konkrete Vorgaben entstehen.Frage: Woran liegt es, dass diese Vorgaben so langsam kommen?Antwort: Das frage ich mich selbst immer wieder. Die grundsätzlichen Zuständigkeiten sind bekannt, und trotzdem geht es nur sehr langsam voran. Ich habe den Eindruck, dass das Bundesinnenministerium an vielen Stellen zu einem Flaschenhals geworden ist. Entscheidend ist aber gar nicht, wer dafür politisch verantwortlich gemacht wird, sondern, dass die Betreiber irgendwann wissen müssen, was konkret von ihnen verlangt wird. Solange diese Vorgaben nicht existieren, kann man schwer erwarten, dass überall systematisch investiert wird.Frage: Mehr Schutz kostet mehr Geld. Warum sollte ein privater oder kommunaler Betreiber Millionen investieren, solange der Staat ihm nicht konkret sagen kann, was er tun muss?Antwort: Das ist eine der Kernfragen. Gerade kommunale Betreiber sagen: Wir haben dieses Geld schlicht nicht. Wenn der Bund ein bestimmtes Schutzniveau verlangt, dann stellt sich für die Kommunen unmittelbar die Frage, ob der Bund es auch finanziert. Das tut er bislang nicht in ausreichendem Masse. Gleichzeitig stehen bereits enorme Summen für Verteidigung und Infrastruktur im Raum. Deshalb wird es einen Verteilungskampf geben: Was finanziert der Bund, was die Länder oder Kommunen, was staatliche Betreiber und was müssen private Unternehmen selbst leisten?Frage: Und wie reagieren die privaten Betreiber?Antwort: Auch dort höre ich häufig: Solange keine klaren Vorgaben kommen, machen wir zunächst mit den Schutzmassnahmen weiter, die wir ohnehin schon betreiben. Das ist nachvollziehbar. Auf Konferenzen und Veranstaltungen stelle ich immer wieder fest, dass vielen Beteiligten gar nicht klar ist, was physischer Schutz technisch bedeutet. Irgendwann muss man quantitative Anforderungen definieren. Um diese Frage drückt sich die Politik aus meiner Sicht bislang zu sehr herum.Frage: Nehmen wir ein Umspannwerk. Ein einfacher Zaun dürfte einen entschlossenen Saboteur kaum aufhalten. Wie kann man eine solche Anlage sinnvoll schützen?Antwort: Zuerst muss man sich im Rahmen der Risiko- und Resilienzanalyse ansehen, welche Bedeutung dieses Umspannwerk im Gesamtsystem hat. Es gibt grosse und kleinere Anlagen, und nicht jede muss mit demselben Aufwand geschützt werden. Dann beginnt die Priorisierung. Bei einer besonders wichtigen Anlage kann ein erster Schritt ein wirksamer Perimeterschutz sein. Damit meine ich nicht einen einfachen Zaun, sondern beispielsweise einen Zaun mit Sensorik, die erkennt, wenn jemand daran manipuliert. Dazu können optische Erkennungssysteme kommen.Frage: Aber damit wäre beispielsweise ein Angriff aus der Luft noch nicht verhindert.Antwort: Genau. Ein solcher Perimeterschutz ist zunächst nur ein Schutz gegen das Eindringen von aussen. Gegen Drohnen schützt er nicht. Wir haben gesehen, dass Fluggeräte Anlagen überfliegen und etwas abwerfen können. Deshalb muss man sich bei besonders wichtigen Einrichtungen auch Gedanken darüber machen, ob und wie man sie gegen Angriffe aus der Luft schützen muss. Man darf nicht den Fehler machen, ein einzelnes Schutzinstrument – etwa einen Zaun – mit einem vollständigen Schutzkonzept zu verwechseln.Frage: Im Militär gibt es den Grundsatz: Wer alles sichert, sichert nichts. Deutschland kann unmöglich jedes Umspannwerk, jede Bahnstrecke und jede Leitung gleich stark bewachen. Wie entscheidet man, was geschützt werden muss?Antwort: Genau dafür braucht man Vulnerabilitäts-, Risiko- und Resilienzanalysen. Ich schaue mir zunächst das Gesamtsystem an und frage: Wenn eine bestimmte Komponente ausfällt, welche Auswirkungen hat das? Bei manchen Anlagen kann man sagen, dass die Folgen für eine gewisse Zeit hinnehmbar sind. Bei anderen geht das nicht, weil ein Ausfall sehr viele oder besonders wichtige Abnehmer treffen würde oder weitere Systeme davon abhängen. Das lässt sich systematisch in einer Risikomatrix abbilden.Frage: Wie könnte eine solche aussehen?Antwort: Vereinfacht gesagt kann man Anlagen in grüne, gelbe und rote Kategorien einteilen. Bei den roten Anlagen kann man wiederum unterscheiden, welche zuerst bearbeitet werden müssen. So entsteht eine Priorisierung und daraus eine konkrete Handlungsempfehlung. Das ist aus meiner Sicht der entscheidende Punkt: Wir werden nicht alles gleich stark schützen können. Also müssen wir wissen, wo ein erfolgreicher Angriff besonders schwere Folgen hätte – und genau dort zuerst investieren.3 KommentareMarc Anderson 03.09.20261 EmpfehlungMan kann überall einen hinstellen, Warnweste, einen Kumpel, Walkietalkie, Mindestlohn. Gehen auch Asylbewerber. Kann jeder.Vincent Kraeutler 03.09.20261 EmpfehlungHerzlichen Dank fuer dieses interessante Interview.