Der Preis der Resilienz | FAZ

Beruhigend verliefen die zurückliegenden Monate nicht. Es waren ja nicht nur 100.000 Menschen in der deutschen Hauptstadt tagelang ohne Strom. Es gab Angriffe auf Stellwerke der Bahn, es gab Drohnenüberflüge und Cyberangriffe an Flughäfen, dazu Löcher in den Zäunen einer Bundeswehrkaserne und ein brennendes Paket im DHL-Logistikzentrum Leipzig. An Silvester hatte ein Schiff wichtige Unterseekabel zwischen Finnland und Estland beschädigt, wenige Tage später folgte ein ähnlicher Vorfall vor der lettischen Küste. Hinzu kamen ein Spionageangriff auf den Rüstungsriesen Rheinmetall und Desinformationskampagnen in den sozialen Netzwerken während der Olympischen Spiele in Paris.

Die Aufzählung lässt sich lange fortsetzen. Immer öfter demonstrieren die Feinde von innen und außen dem Land seine Verwundbarkeit. Dabei hätte es durchaus schlimmer kommen können. Die Bewohner im Südwesten von Berlin konnten in beheizten Notunterkünften unterkommen, sie wurden mit Notstromaggregaten aus anderen Teilen der Republik versorgt. Aber wie wäre es gelaufen, wenn der Ausfall die gesamte Stadt betroffen hätte?

Christian Dörr sieht Deutschland schlecht vorbereitet auf einen solchen Fall. Am Hasso-Plattner-Institut in Potsdam beschäftigt er sich mit Cybersicherheit. Er erinnert an die Flutkatastrophe im Ahrtal. „Da waren eigentlich sämtliche Kapazitäten des Landes für eine kleine Region mit 42.000 Betroffenen gebunden. Wenn wir uns vorstellen, die Hauptstadtregion mit vier Millionen Einwohnern bräuchte in einem lang anhaltenden Ereignis Hilfe – das könnten wir gar nicht stemmen.“

Nun mag ein Stromausfall erst mal weniger dramatisch erscheinen als eine Flutkatastrophe. Aber die Auswirkungen eines langen und großflächigen Stromausfalls würden weit unterschätzt, sagt Dörr. „Stellen Sie sich allein einmal vor, Sie müssten alle Patienten der Charité verlegen.“ Auch die Lebensmittelvorräte in den Supermärkten seien binnen zwei Tagen dezimiert, weil die Unternehmen aus Kosten- und Platzgründen kaum Lagerhaltung betreiben.

Mehr Resilienz: In dieser Forderung scheinen sich dieser Tage alle einig zu sein. Stromkabel müssten unterirdisch verlegt werden, finden die einen. Jede auch noch so abgelegene Siedlung brauche mindestens zwei unabhängige Verbindungen zum übrigen Stromnetz, glauben die anderen. Mehr Notstromaggregate müssten bereitgehalten werden, finden jetzt alle. Und im Schneetreiben dieser Tage fällt plötzlich auf, dass nicht bloß die Streitkräfte eine Friedensdividende eingestrichen haben, sondern auch die Straßenmeistereien eine Klimadividende: Nicht bloß an Panzern wurde offenkundig gespart, sondern zum Beispiel auch an Räumfahrzeugen.

Es wird viel Geld kosten, das Land weniger anfällig zu machen. Und jeden Euro, der in die Resilienz der Infrastruktur fließt, muss am Ende jemand bezahlen. Jeder Cent fehlt für Projekte, die sich viele Menschen vielleicht dringender wünschen. Wer Straßenwege und Schienen sicherer macht, kann vielleicht nicht so viele neue bauen. Werden zusätzliche Stromkabel verlegt, steigen die Netzkosten – und damit am Ende wohl die Strompreise für die Verbraucher, die nach dem Willen der Politik doch eigentlich sinken sollen. Am Ende ist die Frage, welches Risiko der Gesellschaft welchen Preis wert ist, denn nicht alles wird man zu vertretbaren Kosten absichern können. Solche Risiko-Abwägungen sind sehr individuell und oft irrational, wie der Berliner Risikoforscher Gerd Gigerenzer in vielen Büchern gezeigt hat. Die einen denken sich nichts dabei, wenn sie ein Sprühfeuerwerk gegen eine leicht brennbare Decke richten, andere haben Flugangst, obwohl es sich um ein vergleichsweise sicheres Verkehrsmittel handelt.

Die Frage, wer das alles bezahlen soll, richtet sich deshalb erst mal an den Bundesfinanzminister. Lars Klingbeil verweist zunächst auf die Bundesländer und jene 100 Milliarden Euro, die ihnen in den kommenden Jahren aus dem Infrastrukturtopf des Bundes zustehen. „Die Länder können jetzt mit den Mitteln des Sondervermögens auch in die Resilienz der Infrastruktur investieren. Das ist notwendig“, sagt der Sozialdemokrat. „Dass wir in der Hauptstadt der Bundesrepublik Deutschland einen Stromausfall über mehrere Tage haben, das empfinden viele Menschen auch als Symbolbild. Die Leute wollen, dass der Staat funktioniert, und daran arbeiten wir.“ Das darf man auch als Anregung an Landespolitiker verstehen, über ihre Prioritäten noch mal nachzudenken.

Im Sondervermögen Infrastruktur und Klimaneutralität seien allein für das laufende Jahr rund zwei Milliarden Euro für Investitionen in die Energieinfrastruktur vorgesehen, etwa in Flüssigkeitsterminals, ergänzt eine Sprecherin. Außerdem erlaube die Ausnahme von der Schuldenregel für Verteidigungsausgaben in diesem Jahr weitere zwei Milliarden Euro an Ausgaben für verteidigungsrelevante Verkehrsinfrastruktur. Hinzu kämen 605 Millionen Euro für das Bundesamt für Bevölkerungsschutz und mehr als 720 Millionen Euro für das Technische Hilfswerk. Einen Überblick, wie viel Geld die Länder aus ihrem Anteil am Sondervermögen für Resilienz verwenden, gibt es noch nicht.

Vor allem aber finden Politiker und Sicherheitsexperten, dass auch die Unternehmen mehr tun und dafür selbst bezahlen müssen. Das betrifft einerseits Präventionsmaßnahmen wie einen soliden Werkschutz, der vielerorts vernachlässigt wird: Zutrittskontrollen, Umzäunungen, Sicherheitsdienste. Und es gilt, potentielle Auswirkungen von Angriffen so gering wie möglich zu halten. Obwohl etwa Krankenhäuser bereits mit Generatoren vorsorgen, reichte das für längere Ausfälle meist nicht aus, sagt der Sicherheitsforscher Ferdinand Gehringer, Ko-Autor eines Buchs über „Deutschland im Ernstfall“. „Es wäre wichtig, dass Pflegeeinrichtungen und Krankenhäuser selbst bessere Vorhaltungen treffen, damit Menschen nicht gleich verlegt werden müssen.“ In Skandinavien sei es üblich, dass Betriebe Notstromaggregate vorhalten, die Ukraine habe kleine mobile Kraftwerke mit Batteriespeichern.

Können die Auswirkungen von hybriden Angriffen dadurch abgepuffert werden, sende das ein wichtiges Signal an potentielle Angreifer: Versucht es doch mit eurer Sabotage – aber das erhoffte Chaos werdet ihr damit nicht stiften. „So werden wir als Ziel unattraktiver“, fasst Gehringer zusammen.

Wer all das bezahlen soll, ist nicht klar. Schließlich wird kritische Infrastruktur zu wesentlichen Teilen von privaten oder teilstaatlichen Unternehmen betrieben und gewartet. Während es um Effizienz und Gewinnmaximierung geht, hat der Staat eher die Sicherung der Versorgung im Blick. Beide müssen ihren Beitrag leisten. Wie also kann eine Aufteilung der Verantwortung aussehen?

Gehringer führt als Beispiel die Drohnenabwehr an: „Die großen Betriebe der kritischen Infrastruktur müssen in die Erkennung von Drohnen investieren“, sagt er. „Der Staat könnte dann, zum Beispiel mithilfe des neuen Drohnenabwehrzen­trums, maßgeschneiderte Lösungen für die Abwehr bereitstellen.“ Derzeit sei es allerdings so, dass sich Unternehmen und Staat gegenseitig die Verantwortung zuweisen. Auch die Befugnisse staatlicher Institutionen sind etwa bei Cyberangriffen kompliziert. „Es gibt eine ganze Menge interessante Definitionslücken und unklare Zuständigkeiten, und die Angreifer wissen diese natürlich hervorragend auszunutzen“, sagt Sicherheitsforscher Dörr.

Durch diese Lücken ist bislang auch das geplante „Kritis-Dachgesetz“ gefallen, wobei die Abkürzung für „kritische Infrastrukturen“ steht. Schon unter der Ampelregierung hatte sich die Debatte so lange hingezogen, dass die geplante Verabschiedung schließlich der vorgezogenen Neuwahl zum Opfer fiel. Jetzt geht alles von vorne los – und bislang nicht besonders schnell, auch wegen der Frage, wer am Ende eigentlich die Kosten trägt.

Das Gesetz soll die Betreiber etwa von Versorgungsnetzen zu „passgenauen Resilienzmaßnahmen“ verpflichten, wie ein Sprecher von Innenminister Alexander Dobrindt (CSU) erklärt. Dabei gehe es um die Verhinderung von Störfällen und Ausfällen oder die schnelle Wiederherstellung der Arbeitsfähigkeit. „Falls Betreiber zusätzliche Maßnahmen nach dem Kritis-Dachgesetz zu treffen haben, haben sie auch die Kosten für diese Maßnahmen zu tragen“, heißt es aus dem Ministerium klipp und klar. Schließlich könnten solche Investitionen den Unternehmen selbst hohe Folgekosten ersparen. Dabei ist klar, dass es hier um viel Geld geht. Allein den Aufwand für die Umsetzung der EU-Vorgaben zur Cybersicherheit (NIS2) werde die Firmen zwei Milliarden Euro kosten, heißt es in der Gesetzesbegründung zur nationalen Umsetzung. Die öffentliche Hand kommt mit 200 Millionen davon.

„Der Erfüllungsaufwand liegt am Ende bei den Betreibern“, sagt auch der schleswig-holsteinische Bundestagsabgeordnete Sebastian Schmidt, Berichterstatter für das Kritis-Gesetz im Innenausschuss. Er kann sich allerdings vorstellen, die Unternehmen durch steuerliche Anreize oder durch einen Resilienzfonds zu unterstützen. „Das Denken im Klein-Klein ist beim Bevölkerungsschutz nicht zielführend“, sagt er. Ob die Netzbetreiber die Kosten am Ende auf die Kunden umlegen, das könne die Politik nicht entscheiden.

Fest steht: Politik und Unternehmen allein können das Problem nicht lösen, am Ende muss auch die Bevölkerung ran – ob mit Geld oder eigener Initiative, wahrscheinlich mit beidem. Aus Sicht von Sicherheitsforscher Ferdinand Gehringer bräuchte ein Schutzkonzept für kritische Infrastruktur drei Säulen. Die erste: ein besserer physischer Schutz etwa von Knotenpunkten im Stromnetz, Flughäfen, Wasserwerken und Chemiefabriken. Mehr Ersatzteile müsse man vorhalten und für wichtige Versorgungswege Redundanzen schaffen, also beispielsweise eine parallele Leitung, die im Notfall aktiviert werden kann. Dies umzusetzen, werde einige Jahre dauern, sagt er. „Aber irgendwann werden wir da einen Haken dranmachen“, ist sich Gehringer sicher.

Für komplexer hält er dagegen die Aufgabe, die Bevölkerung besser vorzubereiten auf Angriffe auf die Infrastruktur. Der Staat könne nicht alles verhindern. „Es kann nicht sein, dass wir empört sind, wenn mal die Heizung ausfällt. Oder dass der Notruf, wie es in Berlin der Fall war, über Stunden quasi blockiert ist, weil besorgte Bürger anrufen, die gerade keinen Strom haben“, sagt Gehringer. „Das ist eine Belastung des Notfallsystems mit Themen, die nicht absolut akut sind.“

In einer repräsentativen Untersuchung der Technischen Universität Kaiserslautern-Landau von 2025 gaben mehr als die Hälfte der Befragten an, sich bisher nicht mit dem Thema der Notfallvorsorge beschäftigt zu haben, mehr als ein Drittel von ihnen gaben an, Katastrophenereignisse mit persönlicher Betroffenheit für unwahrscheinlich zu halten.

Da ist sie wieder, die sehr unterschiedliche Einschätzung von Risiken.