Compliance & Standards

Perimeterschutz für KRITIS: Was die Sabotage an Umspannwerken offenlegt

Kurzschlüsse im Bereich zweier Umspannwerke am 1. September 2026: Was Vorrichtungen auf dem Nachbarfeld für den Perimeterschutz bei KRITIS bedeuten.

Jan Hörnemann Chief Operating Officer · Prokurist

| 18. September 2026 | 8 Min. Lesezeit

ISO 27001 Lead Auditor (PECB/TÜV) T.I.S.P. (TeleTrusT) ITIL 4 (PeopleCert) BSI IT-Grundschutz-Praktiker (DGI) Ext. ISB (TÜV) BSI CyberRisikoCheck CEH (EC-Council)

Beitragsbild KI-generiert, redaktionell geprüft (EU AI Act Art. 50).

TL;DR

Am 1. September 2026 kam es im Bereich der Umspannwerke Turnow-Preilack und Bergheim-Rheidt zu Kurzschlüssen, eine vorübergehende Notabschaltung der Leitungen wurde nötig. In Bergheim-Rheidt lagen sechs Abschussvorrichtungen auf einem angrenzenden Maisfeld, das Gelände mussten die Täter nach Darstellung von heise online nicht betreten. Fünf RWE-Braunkohleblöcke mit einer Kapazität von insgesamt 4.200 MW gingen vom Netz, eingespeist hatten sie zu diesem Zeitpunkt rund 3.000 MW. Die allgemeine Stromversorgung blieb nach Angaben von Amprion und 50Hertz stabil, das deutsche Übertragungsnetz folgt dem n-1-Kriterium. Offen bleibt, ob die eigene Risikoanalyse Angriffe erfasst, die außerhalb der Grundstücksgrenze beginnen.

Diese Zusammenfassung wurde KI-gestützt erstellt (EU AI Act Art. 50).

Inhaltsverzeichnis (9 Abschnitte)

Perimeterschutz sichert die Grundstücksgrenze. Die Angriffe auf deutsche Umspannwerke im September 2026 begannen davor. Nach Darstellung des Generalbundesanwalts kam es am 1. September 2026 im Bereich der Umspannwerke Turnow-Preilack in Brandenburg und Bergheim-Rheidt in Nordrhein-Westfalen zu Kurzschlüssen. Eine vorübergehende Notabschaltung der Leitungen wurde erforderlich. An weiteren Orten fanden Ermittler nicht gestartete Vorrichtungen. Die allgemeine Stromversorgung blieb in beiden Fällen stabil.

Was ist Perimeterschutz?

Perimeterschutz bezeichnet die Sicherung der Grundstücksgrenze einer Anlage: Zaun, Zutrittskontrolle und Videoüberwachung auf dem eigenen Gelände. Das Konzept setzt voraus, dass ein Angreifer dieses Gelände betritt. Am Amprion-Umspannwerk Rommerskirchen in Bergheim-Rheidt entdeckten Ermittler im September 2026 sechs Abschussvorrichtungen auf einem angrenzenden Maisfeld, also jenseits des Zauns. Gegen Angriffe aus einigen Dutzend Metern Entfernung hilft dieser Schutz laut heise online nicht.

Chronologie der Sabotage am Umspannwerk vom 1. bis 11. September 2026

Die Quelle steht je Eintrag in Klammern.

Datum	Ereignis
1. September 2026	Im Bereich der Umspannwerke Turnow-Preilack (Brandenburg) und Bergheim-Rheidt (Nordrhein-Westfalen) kommt es zu Kurzschlüssen, eine vorübergehende Notabschaltung der Leitungen wird erforderlich (Generalbundesanwalt). In Turnow-Preilack werden unkonventionelle Spreng- und Brandvorrichtungen im niedrigen zweistelligen Bereich aufgefunden, die teilweise nicht umgesetzt wurden (Staatsanwaltschaft Cottbus).
2. September 2026	Amprion geht für die Umspannanlage Rommerskirchen in Bergheim-Rheidt mit hoher Wahrscheinlichkeit von einer Fremdeinwirkung aus. RWE Power meldet fünf betroffene Braunkohleblöcke: Neurath G und F sowie Niederaußem H, G und K (Amprion, RWE Power).
3. September 2026	Spaziergänger entdecken an einem Umspannwerk bei Dormagen zwei Abschussvorrichtungen, die den Vorrichtungen aus Bergheim stark ähneln. Schäden entstehen nicht (WDR).
4. September 2026	Die Polizei durchkämmt die Umgebung des Kraftwerks Weisweiler und eines Umspannwerks in Eschweiler, weil der Ort in einem Bekennerschreiben genannt worden war (WDR).
5. September 2026	Generalstaatsanwaltschaft Dresden und LKA Sachsen teilen mit, dass in Sachsen zwölf Sprengsätze gefunden wurden: südlich des Umspannwerks Bärwalde nahe Lippen und östlich des Umspannwerks Graustein nahe Schleife (WDR).
8. September 2026	Die Polizei nimmt einen 48-jährigen Tatverdächtigen in der Nähe des Kraftwerks Weisweiler bei Aachen fest. In unmittelbarer Nähe steht ein im Unterholz aufgestelltes Zelt mit weiteren Sprengladungen (WDR).
10. September 2026	Die Bundesanwaltschaft übernimmt die Ermittlungen. Der Verdacht lautet auf versuchte und vollendete verfassungsfeindliche Sabotage nach § 88 Abs. 1 Nr. 3 StGB sowie versuchte und vollendete Störung öffentlicher Betriebe nach § 316b Abs. 1 Nr. 2 StGB (Generalbundesanwalt). NRW-Innenminister Herbert Reul berichtet dem Innenausschuss des Landtags von einem im Wohnmobil sichergestellten Notizbuch mit handschriftlichen Vermerken zu mehr als 160 bisherigen und möglichen weiteren Anschlagszielen (Berliner Zeitung).
11. September 2026	Amprion-Chef Christoph Müller fordert im Interview Videoüberwachung im Umfeld der Anlagen und lehnt Drohnenabwehr durch Netzbetreiber ab (FAZ, Reuters).

Warum der Perimeterschutz die Freileitung nicht erfasste

Der Generalbundesanwalt beschreibt den Aufbau. Nach dem derzeitigen Stand der Ermittlungen soll der Beschuldigte diverse Silvesterraketen oder ähnliche Gegenstände platziert haben. Die Orte lagen laut Pressemitteilung unter Hochspannungsleitungen in der Nähe von Umspannwerken in Brandenburg, Nordrhein-Westfalen und Sachsen. Die Gegenstände waren mit Zündern, Zeitschaltern und Drähten verbunden. Die Vorrichtungen sollten zu voreingestellten Zeiten in Richtung der Hochspannungsleitungen geschossen werden, um Kurzschlüsse auszulösen.

Den technischen Ablauf gibt heise online nach dem Leitenden Kriminaldirektor Michael Esser wieder. An beiden Standorten sollen pyrotechnische Gegenstände abgefeuert worden sein, die an einem Zaun befestigte Drähte über die Freileitungen schleuderten. Ein Draht verglühte, beschädigte den Zaun und löste einen Erdschluss aus. Die Täter in Bergheim mussten das Gelände nicht betreten, sie schossen laut heise online aus dem Feld.

Der Angriffsweg wirkt über die Freileitung, ein Bauteil, das den Perimeter überschreitet. Wegen der Zeitschalter braucht er niemanden, der zum Zeitpunkt der Auslösung vor Ort ist.

Die digitale Seite bleibt davon unberührt. Steuerungs- und Fernwirktechnik ist ein eigener Angriffsweg, wie der Cyberangriff auf ein Kraftwerk in Großbritannien zeigt. Geprüft wird sie im Penetrationstest für Industriesteuerungen und IoT.

Schutz kritischer Infrastrukturen: warum das Netz stabil blieb

Das deutsche Übertragungsnetz folgt dem n-1-Kriterium. Fällt eine einzelne Leitung oder ein Transformator aus, darf das keinen großflächigen Stromausfall auslösen. Beim Ausfall einer Leitung übernehmen andere Leitungen die Last automatisch, die Schutztechnik trennt nur die betroffene Verbindung. Für den 1. September 2026 nennt 50Hertz die schnelle Wiedereinschaltung der betroffenen Leitung und die redundante Auslegung des Übertragungsnetzes als ausschlaggebend dafür, dass ein Stromausfall vermieden wurde.

Fünf Braunkohleblöcke von RWE im Rheinischen Revier gingen vom Netz, eine Kapazität von insgesamt 4.200 MW. Eingespeist hatten die Blöcke zu diesem Zeitpunkt rund 3.000 MW. Zwei Einheiten liefen laut heise online am Vormittag des 2. September wieder an, die übrigen im Lauf des Tages beziehungsweise bis zum Wochenende.

Die Aussagen zur Versorgungslage stammen von unterschiedlichen Stellen und sind getrennt zu lesen. Amprion erklärte, die allgemeine Stromversorgung sei zu keinem Zeitpunkt betroffen und die Systemstabilität immer gewährleistet gewesen. 50Hertz erklärte, die allgemeine Stromversorgung sei zu keiner Zeit beeinträchtigt gewesen. Der Generalbundesanwalt stellt daneben fest, dass die Stromversorgung in einem angrenzenden Ort zeitweilig beeinträchtigt war.

KRITIS-Anforderungen: NIS2 verlangt gefahrenübergreifenden Ansatz

Art. 21 Abs. 2 der Richtlinie (EU) 2022/2555 benennt den Ansatz. Die Risikomanagementmaßnahmen müssen demnach auf einem gefahrenübergreifenden Ansatz beruhen. Er zielt darauf ab, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen. Zu den Mindestbestandteilen zählt Buchstabe i die Sicherheit des Personals, Konzepte für die Zugriffskontrolle und das Management von Anlagen.

Der Angemessenheitsmaßstab steht in Art. 21 Abs. 1 Unterabsatz 2. Die Maßnahmen müssen ein Sicherheitsniveau gewährleisten, das dem bestehenden Risiko angemessen ist. Zu berücksichtigen sind dabei der Stand der Technik, gegebenenfalls die einschlägigen europäischen und internationalen Normen sowie die Kosten der Umsetzung. Bei der Verhältnismäßigkeit sind zudem das Ausmaß der Risikoexposition, die Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Sicherheitsvorfällen gebührend zu berücksichtigen.

Seit Frühjahr 2026 verpflichtet in Österreich das Resilienz kritischer Einrichtungen-Gesetz (RKEG) mehrere Hundert Betreiber zu Risikokonzepten. Nach Einschätzung des PwC-Sicherheitsexperten Bernhard Müller ersetzt es keine Prüfung der tatsächlichen physischen Sicherheit. Die zehn Sicherheitsanforderungen nach Art. 21 NIS2 sind an anderer Stelle im Einzelnen beschrieben, ebenso die Schutzpflichten für KRITIS-Betreiber.

Physische Sicherheit nach ISO 27001 Annex A

Drei Maßnahmen aus dem Annex A von ISO/IEC 27001:2022 sind in diesem Szenario einschlägig. Die Tabelle nennt die Nummer und den Befund zum Vorfall, die Bezeichnungen der Maßnahmen stehen im Normtext.

Maßnahme	Was der Vorfall daran sichtbar macht
A.7.1	Die Abschussvorrichtungen lagen in Bergheim-Rheidt jenseits des Zauns, auf einem angrenzenden Maisfeld.
A.7.4	Den Zaun einer Anlage darf ein Betreiber nach Darstellung des Amprion-Chefs nur von der Innenseite bewachen.
A.7.5	Aus dem angrenzenden Feld heraus erreichten die Vorrichtungen die Freileitung, ohne dass jemand das Gelände betrat.

Der Ansatzpunkt liegt eine Ebene höher, in der Risikobeurteilung. Ein Risikomodell, das Sabotage als Übersteigen des Zauns definiert, bildet den Vorgang vom 1. September 2026 nicht ab. Wer ein ISMS nach ISO 27001 betreibt, prüft diese Annahme bei der Risikobeurteilung.

Was Betreiber beim Sabotageschutz im Umfeld ihrer Anlagen dürfen

In Österreich sichert die Netzbetreiberin APG ihre 67 Umspannwerke mit Kameras und Perimeter-Schutz. Die 12.000 Strommasten des Unternehmens lassen sich laut Technikvorstand Gerhard Christiner de facto nicht flächendeckend schützen. Die erste Grenze liegt damit in der Fläche.

Die zweite Grenze ist rechtlicher Natur, Amprion-Chef Christoph Müller benennt sie. „Ich finde es grotesk, dass ich den Zaun von einem Umspannwerk nur von der Innenseite bewachen darf“, sagte er der FAZ. Sein Vorschlag bleibt eng gefasst: 20 bis 50 Meter im Umfeld solcher kritischen Anlagen sollen videoüberwacht werden dürfen.

Drohnen sieht er dagegen als Chance. Amprion setzt sie bereits zur Leitungskontrolle ein und darf sie wegen der rechtlichen Rahmenbedingungen nur im unmittelbaren Sichtfeld der Piloten fliegen lassen. Die Abwehr fremder Drohnen lehnt er für Netzbetreiber ab, sie falle unter das Gewaltmonopol des Staates.

Weniger Transparenz im Internet und eine bessere Nutzung der vorhandenen Videoüberwachung kosten nach seiner Darstellung fast nichts. In dieselbe Richtung zielt der Bundesverband der Energie- und Wasserwirtschaft (BDEW). Der Verband fordert nach den Anschlägen, Detailinformationen zu kritischer Infrastruktur nicht mehr frei zugänglich zu machen. Nordrhein-Westfalen hat nach Müllers Darstellung kürzlich das Baurecht geändert, für Umbauten an den Anlagen braucht Amprion keine Baugenehmigung mehr.

Einordnung

Auf frühere Angriffe verweist heise online: den Anschlag auf das Stromnetz in Berlin Anfang des Jahres und die mutmaßliche Brandstiftung in einem Umspannwerk in Reutlingen. Beide zeigen laut heise, welche Folgen erfolgreiche Sabotageakte haben können, wenn Redundanzen fehlen und Schutzmechanismen nicht greifen.

Der Generalbundesanwalt benennt in seiner Begründung ein Schutzgut, das über die Anlage hinausreicht. Die Taten seien geeignet gewesen, in der Bevölkerung das Zutrauen in den Schutz der kritischen Infrastruktur zu schwächen.

Damit verschiebt sich der Bezugspunkt. Ein Zaun bleibt wirksam gegen das, wogegen er gebaut wurde. Gegen eine Vorrichtung mit Zeitschalter auf dem Nachbarfeld wirkt er nicht. Der Prüfpunkt liegt deshalb in der Risikoanalyse. Grundlagen dazu stehen im Wiki-Eintrag zur OT- und ICS-Sicherheit.

Quellen

Häufige Fragen

Warum hat der Perimeterschutz die Angriffe auf die Umspannwerke nicht erfasst?

Der Angriffsweg wirkte über die Freileitung, ein Bauteil, das den Perimeter überschreitet. An beiden Standorten sollen nach der Wiedergabe von heise online pyrotechnische Gegenstände abgefeuert worden sein, die an einem Zaun befestigte Drähte über die Freileitungen schleuderten. Ein Draht verglühte, beschädigte den Zaun und löste einen Erdschluss aus. Die Täter in Bergheim mussten das Gelände nicht betreten, sie schossen laut heise online aus dem Feld.

Welche KRITIS-Anforderungen stellt NIS2 an das Risikomanagement?

Art. 21 Abs. 2 der Richtlinie (EU) 2022/2555 verlangt, dass die Risikomanagementmaßnahmen auf einem gefahrenübergreifenden Ansatz beruhen. Er zielt darauf ab, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen. Zu den Mindestbestandteilen zählt Buchstabe i die Sicherheit des Personals, Konzepte für die Zugriffskontrolle und das Management von Anlagen. Der Angemessenheitsmaßstab steht in Art. 21 Abs. 1 Unterabsatz 2: Die Maßnahmen müssen ein Sicherheitsniveau gewährleisten, das dem bestehenden Risiko angemessen ist.

Welche Maßnahmen aus ISO 27001 Annex A betreffen die physische Sicherheit?

In diesem Szenario sind drei Maßnahmen aus dem Annex A von ISO/IEC 27001:2022 einschlägig: A.7.1, A.7.4 und A.7.5. Die Abschussvorrichtungen lagen in Bergheim-Rheidt jenseits des Zauns, auf einem angrenzenden Maisfeld, und erreichten die Freileitung, ohne dass jemand das Gelände betrat. Der Ansatzpunkt liegt eine Ebene höher, in der Risikobeurteilung: Ein Risikomodell, das Sabotage als Übersteigen des Zauns definiert, bildet den Vorgang vom 1. September 2026 nicht ab.

Darf ein Netzbetreiber das Umfeld seiner Anlagen videoüberwachen?

Den Zaun einer Anlage darf ein Betreiber nach Darstellung des Amprion-Chefs Christoph Müller nur von der Innenseite bewachen. Sein Vorschlag bleibt eng gefasst: 20 bis 50 Meter im Umfeld solcher kritischen Anlagen sollen videoüberwacht werden dürfen. Die Abwehr fremder Drohnen lehnt er für Netzbetreiber ab, sie falle unter das Gewaltmonopol des Staates.

Nächster Schritt

Unsere zertifizierten Sicherheitsexperten beraten Sie zu den Themen aus diesem Artikel — unverbindlich und kostenlos.

Kostenlose Erstberatung vereinbaren Leistungen ansehen

Kostenlos · 30 Minuten · Unverbindlich

Artikel teilen

Zertifiziert ISO 27001ISO 9001AZAV