Mit dem am 20. Mai 2026 vom Bundeskabinett beschlossenen „Pakt für den Bevölkerungsschutz“ reagiert die Bundesregierung auf eine Lage, die sich in den vergangenen Jahren grundlegend verändert hat: Russlands Angriffskrieg gegen die Ukraine, hybride Bedrohungen, Cyberangriffe, Extremwetterereignisse und die wachsende Bedeutung ziviler Verteidigung haben den Bevölkerungsschutz aus der fachpolitischen Nische in den Kern staatlicher Sicherheitsvorsorge gerückt. Die Bundesregierung beschreibt den Pakt als Modernisierungsschub für Bevölkerungsschutz und Zivile Verteidigung; vorgesehen sind Investitionen von insgesamt zehn Milliarden Euro bis 2029.

Der politische Impuls ist erheblich. Doch gerade aus den Reihen jener Organisationen, die im Einsatzfall Menschen betreuen, evakuieren, versorgen, retten und medizinisch unterstützen, kommt deutliche Kritik. Malteser, ASB und DLRG begrüßen zwar, dass der Bund das Thema aufwertet, sehen aber wesentliche Schwachstellen: zu wenig rechtliche Verbindlichkeit, zu geringe Einbindung der Hilfsorganisationen, fehlende Helfergleichstellung, unklare operative Verantwortung des Bundes und eine Resilienzstrategie, die aus ihrer Sicht deutlich zu schmal angelegt ist. Der S+K Verlag fasst diese Kritik unter der Überschrift zusammen, das Ehrenamt bleibe außen vor.

Was die Bundesregierung vorlegt

Der Pakt setzt sichtbar auf staatliche Koordination, technische Modernisierung und zivil-militärische Verzahnung. Geplant sind ein Steuerungsstab „Kommando Zivile Verteidigung“ im Bundesinnenministerium beziehungsweise beim BBK, der Ausbau der Zivilen Alarmplanung, ein gemeinsames digitales Lagebild Inland in Echtzeit, Investitionen in Warn- und Kommunikationssysteme, eine Weiterentwicklung der Warn-App NINA, die Fortsetzung der Sirenenförderung und eine stärkere Aus- und Fortbildung der Einsatzkräfte für den Zivilschutz. Auch das THW soll mit resilienten Standorten, Logistikzentren und besserer Ausstattung gestärkt werden.

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe stellt den Pakt ebenfalls als Stärkung der zivilen Verteidigung dar. Im Mittelpunkt stehen nach BBK-Darstellung zehn Milliarden Euro bis 2029, moderne Ausrüstung für Einsatzkräfte, verbesserte Warnsysteme, Trinkwasser- und Notstromversorgung sowie die Einbindung von Zivilschutzwissen in Schule und Bevölkerung. Sichtbar wurde der Pakt auch öffentlichkeitswirksam durch die Übergabe von Zivilschutzfahrzeugen und eine Präsentation von CBRN-Fähigkeiten in Berlin.

Damit adressiert der Bund reale Defizite. Warninfrastruktur, Lagebilder, Kommunikationsfähigkeit, robuste Standorte und ergänzende Ausstattung sind keine Nebenthemen, sondern Grundbedingungen für handlungsfähige Krisenstäbe und einsatzbereite Kräfte. Trotzdem trifft die Kritik der Hilfsorganisationen einen zentralen Punkt: Bevölkerungsschutz ist nicht nur eine Frage von Technik, Fahrzeugen und Stabsstrukturen. Er ist ein Hilfeleistungssystem, das im Ernstfall nur funktioniert, wenn Personal, Rechtsrahmen, Ausbildung, Finanzierung und operative Rollen zusammenpassen.

Der föderale Knoten bleibt ungelöst

Die strukturelle Schwierigkeit liegt im deutschen System selbst. Bevölkerungsschutz ist ein Oberbegriff für den Zivilschutz des Bundes und den Katastrophenschutz der Länder und Kommunen. Der Bund ist für den Schutz der Zivilbevölkerung im Spannungs- und Verteidigungsfall zuständig, während der Katastrophenschutz in Friedenszeiten Aufgabe der Länder ist. Operativ greifen diese Bereiche aber ineinander: Bei lokalen Schadenslagen arbeiten Feuerwehren, THW, ASB, DRK, Malteser, Johanniter und DLRG zusammen; der Bund wiederum nutzt im Zivilschutzfall vorhandene Katastrophenschutzeinheiten der Länder und ergänzt sie mit Ausstattung und Ausbildung.

Genau an dieser Schnittstelle setzen die Malteser an. Ihr Bundesbeauftragter für Krisenresilienz, Sicherheitspolitik und Zivil-Militärische Zusammenarbeit, Martin Schelleis, kritisiert, dass der Pakt keinen ausreichend ganzheitlichen, abgestimmten und rechtlich tragfähigen Ansatz enthalte. Zivil- und Katastrophenschutz griffen auf dieselben Personen und Strukturen zurück, doch Prozesse, Bedarfe, Führung und Lagebild seien nicht ausreichend vernetzt. Die Malteser fordern daher unter anderem eine Reform des Zivilschutz- und Katastrophenhilfegesetzes sowie mehr operative Verantwortung des Bundes bei Betreuung, Unterbringung und sanitätsdienstlicher Versorgung im Zivilschutzfall.

Die Kritik ist fachlich bedeutsam, weil sie über die Frage einzelner Förderprogramme hinausgeht. Ein digitales Lagebild nützt nur dann vollständig, wenn Zuständigkeiten, Meldewege, Einsatzwerte, Führungsbeziehungen und Personalverfügbarkeit verlässlich geklärt sind. Eine neue Ausstattung entfaltet nur dann Wirkung, wenn die Einheiten, die sie bedienen sollen, auch üben, ausbilden, Personal freistellen lassen und im Ereignisfall rechtssicher handeln können. Der Pakt stärkt die vertikale Steuerungsfähigkeit des Bundes; die Hilfsorganisationen verlangen zusätzlich eine horizontale Einsatzlogik über Bund, Länder, Kommunen und Organisationen hinweg.

Helfergleichstellung als Achillesferse

Der schärfste Kritikpunkt betrifft das Ehrenamt. Das DRK beschreibt die bundesweite Helfergleichstellung als zentrales Anliegen: Ehrenamtliche Helferinnen und Helfer in Hilfsorganisationen sollen rechtlich mit Einsatzkräften der Freiwilligen Feuerwehren und des THW gleichgestellt werden, insbesondere bei Freistellung, Entgeltfortzahlung, Versicherungsschutz und sozialer Absicherung. Das DRK verweist zugleich auf die föderal unterschiedlichen Regelungen und fordert eine flächendeckende Gleichstellung auch für Aus- und Fortbildung, Übungen sowie Einsätze unterhalb der Katastrophenschwelle.

Diese Frage ist nicht bloß eine Gerechtigkeitsdebatte innerhalb des Ehrenamts. Sie entscheidet über Einsatzfähigkeit. Wer tagsüber bei einem Arbeitgeber beschäftigt ist, muss für Ausbildung, Übung und Einsatz verlässlich freigestellt werden können. Arbeitgeber brauchen Klarheit über Entgeltfortzahlung und Erstattungen. Selbstständige benötigen Regelungen für Verdienstausfall. Ohne solche Mechanismen bleiben zusätzliche Fahrzeuge, Module oder Ausbildungskapazitäten im Zweifel ungenutzt, weil die Menschen fehlen, die sie betreiben sollen.

Die DLRG argumentiert in dieselbe Richtung. Sie lobt das Investitionsvorhaben, warnt aber, dass ehrenamtliche Kräfte der Hilfsorganisationen ohne rechtliche Anpassungen von den vorgesehenen Maßnahmen nicht ausreichend profitieren würden. Nach Darstellung der DLRG sind Helferinnen und Helfer anerkannter Hilfsorganisationen schlechter gestellt als Kräfte von Feuerwehr und THW; Ute Vogt fordert deshalb eine bundeseinheitliche Regelung nach dem Vorbild des THW-Gesetzes.

Technik ersetzt keine Trägerstrukturen

Der ASB formuliert die Kritik besonders deutlich. Nach seiner Einschätzung setzt der Pakt die zivile Verteidigung zwar auf die politische Agenda, entziehe sich aber in zentralen Fragen der Verantwortung. Das Programm beschreibe vor allem den Ausbau staatlicher und technischer Krisenfähigkeit, lasse die soziale und operative Realität des Bevölkerungsschutzes aber weitgehend außer Acht. Der ASB bemängelt unter anderem, dass gesetzliche Regelungen zur Helferfreistellung unangetastet bleiben und zentrale Finanzierungsfragen nicht ausreichend gelöst werden.

Das betrifft auch die Mobile Betreuungsreserve des Bundes. Das BBK beschreibt das Mobile Betreuungsmodul 5.000 als weitgehend autark funktionierende mobile Unterkunfts- und Betreuungseinrichtung für bis zu 5.000 unverletzt betroffene Menschen, vergleichbar mit einer mobilen Kleinstadt. Das Pilotprojekt „Labor Betreuung 5.000“ wird durch das BBK koordiniert und gemeinsam mit DRK, ASB, DLRG, Johannitern und Maltesern umgesetzt; ein zweites Modul wird durch den ASB realisiert.

Gerade dieses Beispiel zeigt die Lücke zwischen Konzept und Verstetigung. Betreuung im Zivilschutz ist materialintensiv, personalintensiv und logistisch anspruchsvoll. Zelte, Sanitärcontainer, Küchen, Stromversorgung, Transport, Registrierung, soziale Betreuung, medizinische Schnittstellen und Betrieb über längere Zeiträume lassen sich nicht ad hoc improvisieren. Wenn solche Module politisch gewollt sind, brauchen sie dauerhafte Finanzierung, klare Trägerschaft, regelmäßige Übungen und verbindliche Personalmodelle. Der ASB kritisiert deshalb, dass die Verstetigung und vollständige Ausfinanzierung der MBM 5.000 nicht abgesichert sei.

Wasserrettung und Sanitätsversorgung zeigen die Breite des Problems

Die Kritik der DLRG macht deutlich, dass Bevölkerungsschutz nicht allein von Landfahrzeugen, Stabsräumen und Warn-Apps her gedacht werden kann. Hochwasser, Starkregen, beschädigte Wasserbauwerke, Evakuierungen über Gewässer und Einsätze in überfluteten Gebieten gehören zu realistischen Szenarien. Die DLRG fordert daher, die Wasserrettung im ZSKG zu verankern und für den Zivilschutzfall ergänzende Ausstattung vorzusehen.

Der geltende Zuschnitt des Zivilschutzes konzentriert sich in der ergänzenden Ausstattung des Bundes traditionell auf Bereiche wie Betreuung, Sanitätswesen, Brandschutz und CBRN-Schutz. Das BBK beschreibt ausdrücklich, dass Spezialtechnik des Bundes der Betreuung, dem Sanitätswesen, dem Brandschutz und dem CBRN-Schutz dient und den Ländern in Friedenszeiten für den Katastrophenschutz zur Verfügung gestellt wird.

Die fachliche Frage lautet daher, ob der Pakt die tatsächlichen Einsatzszenarien breit genug abbildet. Moderne Krisenvorsorge muss Massenbetreuung, sanitätsdienstliche Versorgung, Evakuierung, Wasserrettung, CBRN-Lagen, Strom- und Trinkwasserausfälle, Kommunikation, psychosoziale Unterstützung und Lageführung zusammendenken. Wird der Pakt dagegen vor allem als Beschaffungsprogramm verstanden, besteht die Gefahr, dass einzelne Fähigkeiten gestärkt werden, ohne dass daraus ein belastbares Gesamtsystem entsteht.

Resilienz der Bevölkerung braucht mehr als Information

Ein weiterer Streitpunkt ist die Bevölkerung selbst. Die Bundesregierung will das bundesweite Warnsystem verbessern, NINA weiterentwickeln, Sirenen zentral ansteuerbar machen, Selbstschutzwissen ausbauen und Zivilschutz stärker in Schulen verankern. Das ist wichtig, denn Warnung wirkt nur, wenn Menschen verstehen, was sie tun sollen, und wenn Haushalte, Einrichtungen und Kommunen vorbereitet sind.

Gleichzeitig ist Resilienz mehr als ein Ratgeber, eine Kampagne oder Unterrichtsmaterial. Die Bundeszentrale für politische Bildung weist darauf hin, dass das gesellschaftliche Bewusstsein für Bevölkerungsschutz zwar wächst, aber nur langsam in Vorsorgehandeln, krisenrelevante Kompetenzen oder Engagement in den auf Ehrenamt angewiesenen Hilfsorganisationen mündet.

Hier liegt eine strategische Lücke. Eine Bevölkerung, die in Krisen handlungsfähig sein soll, braucht niedrigschwellige Bildungsangebote, Erste-Hilfe- und Selbstschutzkompetenzen, lokale Anlaufstellen, verlässliche Kommunikation, Unterstützung vulnerabler Gruppen und eine Kultur regelmäßiger Übungen. Hilfsorganisationen können genau diese Brücke zwischen Staat und Bevölkerung schlagen, weil sie vor Ort präsent sind, Ausbildungserfahrung haben und Vertrauen in der Fläche genießen. Wenn sie im Pakt jedoch vor allem als spätere Nutzer von Ausstattung erscheinen, bleibt ein großer Teil ihres Potenzials ungenutzt.

Anerkennung reicht nicht ohne Verbindlichkeit

Das DRK begrüßt, dass Bevölkerungsschutz politisch wieder auf der Tagesordnung steht, fordert aber zugleich, die anerkannten Hilfsorganisationen stärker in die Planungen einzubeziehen und Mittel zu verstetigen. DRK-Präsident Hermann Gröhe spricht von erheblichem Nachholbedarf; DRK-Generalsekretär Christian Reuter verweist darauf, dass Versorgung, Betreuung und Widerstandskraft der Bevölkerung ohne gut ausgestattete Hilfsorganisationen nicht tragfähig ausgebaut werden können.

Damit entsteht ein klares Bild: Der Pakt ist ein notwendiger Schritt, aber noch kein vollständiger Systemumbau. Er stärkt das, was staatlich gut steuerbar und politisch sichtbar ist: Investitionen, Warnsysteme, Fahrzeuge, THW-Strukturen, digitale Lagebilder und zivil-militärische Koordination. Die Hilfsorganisationen fordern dagegen, auch das weniger sichtbare Fundament zu regeln: Rechtsstatus, Freistellung, Finanzierung, Übungsfähigkeit, Einbindung in Lage- und Führungsstrukturen sowie operative Zuständigkeiten für Betreuung und Versorgung.

Der eigentliche Test liegt in der Umsetzung

Ob der Bevölkerungsschutzpakt trägt, wird sich nicht an der Summe von zehn Milliarden Euro allein entscheiden. Entscheidend wird sein, ob aus dem Pakt ein verbindliches Arbeitsprogramm entsteht, das die föderale Trennung zwischen Zivilschutz und Katastrophenschutz praxistauglich überbrückt. Dazu gehört ein gemeinsames Lagebild ebenso wie ein gemeinsames Verständnis davon, wer im Ernstfall führt, wer betreibt, wer Personal stellt, wer Material vorhält, wer Kosten trägt und wie Ehrenamtliche rechtlich abgesichert werden.

Die Hilfsorganisationen verlangen keine Randkorrekturen, sondern eine Verschiebung des Blickwinkels. Bevölkerungsschutz beginnt nicht erst beim Gerät, sondern bei den Menschen, die es einsetzen. Er endet nicht bei der Warnmeldung, sondern bei der Fähigkeit, Betroffene zu retten, zu betreuen, medizinisch zu versorgen und über Tage oder Wochen zu stabilisieren. Genau dort entscheidet sich, ob der Pakt ein Modernisierungsschub für das gesamte Hilfeleistungssystem wird oder vor allem ein großes Investitionsprogramm für staatliche Strukturen bleibt.

Der Beitrag Bevölkerungsschutzpakt: Milliardenprogramm mit offener Flanke beim Ehrenamt erschien zuerst auf Business Resilience Podcast.

Diese Bedeutung hat in den vergangenen Jahren deutlich zugenommen. Geopolitische Spannungen, der Krieg gegen die Ukraine, Angriffe auf Unterseekabel, Drohnenüberflüge, Sabotageverdacht und Cyberattacken zeigen, dass maritime Infrastruktur heute Teil eines hybriden Konfliktraums ist. Häfen stehen dabei besonders im Fokus, weil sie digitale Komplexität, physische Verwundbarkeit und wirtschaftliche Relevanz miteinander verbinden.

Cybersicherheit in Häfen ist daher keine technische Spezialdisziplin mehr. Sie ist eine Frage der Resilienz, der Unternehmensführung und zunehmend auch der nationalen Sicherheit.

Die Digitalisierung macht Häfen effizienter und angreifbarer

Moderne Häfen funktionieren nur noch durch digitale Vernetzung. Containerbewegungen, Terminalsteuerung, Zeitfensterbuchungen, Zollprozesse, Gefahrgutdokumentation, Zutrittskontrollen, Kamerasysteme, Energieversorgung, Bahnanschlüsse, Krananlagen und Wartungsprozesse sind über IT- und OT-Systeme miteinander verbunden. Diese Vernetzung sorgt für Geschwindigkeit, Transparenz und Effizienz. Gleichzeitig entsteht eine Angriffsfläche, die weit über klassische Büro-IT hinausgeht.

Ein Angriff muss heute nicht mehr zwingend physische Schäden verursachen, um erhebliche Wirkung zu entfalten. Es reicht, Datenflüsse zu stören, Buchungssysteme zu manipulieren, Zugänge zu kompromittieren, Identitäten zu missbrauchen oder Terminalprozesse zu verlangsamen. Wenn ein Hafen nicht mehr weiß, welcher Container wann wohin muss, welches Fahrzeug berechtigt ist, welches Schiff priorisiert wird oder welche Daten verlässlich sind, entsteht schnell operativer Stillstand.

Besonders kritisch ist die enge Taktung. Häfen sind keine isolierten Anlagen mit großzügigen Puffern. Sie sind Knotenpunkte hochoptimierter Lieferketten. Verzögerungen in einem Terminal können sich auf Speditionen, Reedereien, Bahnbetreiber, Industrieunternehmen und Endkunden auswirken. Cybersicherheit wird damit unmittelbar zur Frage der Lieferfähigkeit.

IT und OT lassen sich nicht mehr getrennt betrachten

Viele Organisationen haben ihre Sicherheitsarchitektur historisch aus der IT heraus entwickelt. Firewalls, Endpoint-Schutz, E-Mail-Security, Backups und Benutzerverwaltung standen im Mittelpunkt. In Häfen reicht dieser Blick nicht aus. Die eigentliche operative Verwundbarkeit entsteht dort, wo klassische IT mit industriellen Steuerungssystemen, Sensorik, Fernwartung, Zutrittskontrolle und physischer Infrastruktur verschmilzt.

Terminal Operating Systems, Port Community Systems, Kransteuerungen, Gate-Systeme, Energieanlagen und industrielle Netzwerke haben andere Anforderungen als Office-Umgebungen. Sie müssen hochverfügbar sein, laufen oft über viele Jahre, lassen sich nicht beliebig patchen und werden häufig von spezialisierten Herstellern oder Wartungspartnern betreut. Genau daraus entstehen Risiken. Was aus betrieblicher Sicht sinnvoll ist, kann aus Sicherheitsperspektive zur Schwachstelle werden.

Fernwartungszugänge sind ein gutes Beispiel. Für den Betrieb sind sie praktisch, manchmal unverzichtbar. Aus Sicht eines Angreifers sind sie attraktive Einstiegspunkte. Gleiches gilt für gemeinsam genutzte Konten, veraltete Systeme, unvollständige Asset-Inventare oder Netzwerke, die historisch gewachsen sind und nie konsequent segmentiert wurden. In einer maritimen Umgebung können solche Schwächen direkte Auswirkungen auf reale Abläufe haben.

Hybride Bedrohungen verbinden Cyberangriff und Sabotage

Die Sicherheitslage verändert sich nicht nur durch mehr Cyberkriminalität. Entscheidend ist die Verbindung unterschiedlicher Angriffsmuster. Digitale Angriffe, physische Sabotage, Spionage, Desinformation, Drohneneinsatz und Störungen von Kommunikations- oder Energieinfrastruktur können Teil desselben Lagebilds sein. Genau diese Kombination macht hybride Bedrohungen so schwer beherrschbar.

Ein isolierter Ransomware-Vorfall ist bereits belastend. Wird er aber mit Drohnenaktivität, Störungen in der Energieversorgung, Kommunikationsproblemen oder verdächtigen Vorfällen auf dem Gelände kombiniert, entsteht eine völlig andere Krisendynamik. Dann geht es nicht mehr nur um IT-Wiederherstellung. Es geht um Lagebewertung, Entscheidungsfähigkeit, Behördenkommunikation, physische Sicherheit, operative Priorisierung und öffentliche Kommunikation.

Für Hafenbetreiber bedeutet das, dass Cybersicherheit nicht allein im Security Operations Center entschieden wird. Sie muss mit Werkschutz, Betrieb, Krisenstab, Rechtsabteilung, Kommunikation, Behördenkontakten, Dienstleistern und Management verbunden sein. Wer hybride Bedrohungen ernst nimmt, baut keine isolierten Sicherheitsinseln, sondern integrierte Reaktionsfähigkeit.

Die Lieferkette ist Teil der Angriffsfläche

Ein Hafen ist kein einzelnes Unternehmen, sondern ein Ökosystem. Reedereien, Terminalbetreiber, Speditionen, Bahnunternehmen, Zoll, Sicherheitsdienste, Energieversorger, IT-Dienstleister, Softwareanbieter, Wartungsfirmen und Behörden greifen täglich ineinander. Diese Struktur ist leistungsfähig, aber sie vergrößert auch die Angriffsfläche.

Viele Angriffe beginnen nicht beim offensichtlich kritischen Ziel. Sie beginnen bei einem Dienstleister mit schwächerem Sicherheitsniveau, bei einem kompromittierten Benutzerkonto, bei einer unzureichend abgesicherten Schnittstelle oder bei Software, die in vielen Organisationen gleichzeitig eingesetzt wird. Für Angreifer ist der indirekte Weg oft einfacher als der direkte Angriff auf den Hafenbetreiber selbst.

Deshalb reicht es nicht, nur die eigene Infrastruktur zu härten. Maritime Cybersicherheit muss Lieferketten, Dienstleister und gemeinsame Prozesse einschließen. Verträge müssen Sicherheitsanforderungen konkret definieren. Zugänge müssen nachvollziehbar, begrenzt und überprüfbar sein. Kritische Dienstleister müssen in Notfallpläne eingebunden werden. Und es muss vor einem Vorfall klar sein, wer welche Verantwortung trägt.

In einer Krise ist keine Zeit, Zuständigkeiten neu zu verhandeln. Entscheidend ist, ob Kommunikationswege, Eskalationsstufen und Wiederanlaufprozesse bereits eingeübt sind.

Regulierung erhöht den Druck auf die Unternehmensführung

Mit europäischen und nationalen Vorgaben wie NIS2, der CER-Richtlinie und KRITIS-bezogenen Anforderungen verschiebt sich die Verantwortung für Cybersicherheit weiter in Richtung Unternehmensleitung. Es geht nicht mehr nur um technische Schutzmaßnahmen, sondern um nachweisbares Risikomanagement, Meldeprozesse, Governance, Lieferkettensicherheit und organisatorische Resilienz.

Für Hafenunternehmen und verbundene Akteure bedeutet das einen deutlichen Reifegradsprung. Sicherheitskonzepte müssen belastbar dokumentiert sein. Risiken müssen regelmäßig bewertet werden. Vorfälle müssen erkannt, klassifiziert und gemeldet werden können. Maßnahmen müssen nicht nur existieren, sondern im Ernstfall funktionieren.

Das ist ein wichtiger Unterschied. Compliance zeigt, dass Anforderungen adressiert wurden. Resilienz zeigt, dass eine Organisation auch unter Druck handlungsfähig bleibt. Gerade in Häfen ist dieser Unterschied entscheidend, weil technische Ausfälle unmittelbar operative und wirtschaftliche Folgen haben können.

Resilienz beginnt mit Transparenz

Viele Sicherheitsprogramme scheitern nicht an fehlender Technologie, sondern an mangelnder Übersicht. Wer nicht weiß, welche Systeme im Einsatz sind, welche Abhängigkeiten bestehen, welche Dienstleister Zugriff haben und welche Prozesse wirklich kritisch sind, kann Risiken kaum sinnvoll priorisieren.

Ein belastbares Asset- und Abhängigkeitsmanagement ist deshalb die Grundlage maritimer Cybersicherheit. Es muss klar sein, welche IT- und OT-Systeme für den Hafenbetrieb unverzichtbar sind, welche Datenflüsse geschäftskritisch sind und welche Komponenten bei einem Ausfall zuerst wiederhergestellt werden müssen. Ohne diese Transparenz bleiben Notfallpläne abstrakt.

Dazu gehört auch eine ehrliche Bewertung alter Systeme. In vielen industriellen Umgebungen laufen Anlagen über lange Zeiträume zuverlässig. Genau deshalb geraten sie aus dem Blick. Aus Sicherheitsperspektive können aber veraltete Betriebssysteme, nicht dokumentierte Schnittstellen oder nicht mehr unterstützte Komponenten erhebliche Risiken darstellen. Resilienz entsteht nicht dadurch, alles sofort zu ersetzen. Sie entsteht dadurch, Risiken sichtbar zu machen und kontrolliert zu behandeln.

Security by Design muss in Hafenmodernisierung integriert werden

Viele Häfen investieren in Modernisierung, Automatisierung und neue Kapazitäten. Diese Investitionen sind notwendig, weil Handelsvolumen, Energiewende, militärische Mobilität und internationale Wettbewerbsfähigkeit neue Anforderungen stellen. Gleichzeitig darf Digitalisierung nicht erst nachträglich abgesichert werden.

Security by Design muss Teil jeder Modernisierung sein. Neue Systeme müssen segmentierbar, überwachbar, updatefähig und notfalltauglich sein. Identitäten und Berechtigungen müssen konsequent verwaltet werden. Schnittstellen zu Partnern müssen kontrolliert werden. Datenintegrität muss genauso wichtig sein wie Verfügbarkeit. Und Wiederanlaufprozesse müssen bereits in der Architektur mitgedacht werden.

Das gilt besonders für automatisierte Terminals, digitale Leitstände, cloudbasierte Plattformen, IoT-Sensorik und KI-gestützte Optimierungssysteme. Je stärker operative Entscheidungen datengetrieben werden, desto wichtiger wird die Frage, ob diese Daten echt, vollständig und unverändert sind. Manipulierte Daten können in einem Hafen genauso gefährlich sein wie ausgefallene Systeme.

Übungen sind wichtiger als Papierkonzepte

Viele Organisationen verfügen über Notfallpläne. Die entscheidende Frage ist, ob diese Pläne unter realistischen Bedingungen funktionieren. Ein Cybervorfall im Hafenbetrieb verläuft selten sauber nach Handbuch. Informationen sind unvollständig, Systeme reagieren unerwartet, Dienstleister sind nicht sofort erreichbar, Medien fragen nach, Behörden benötigen Lagebilder und der Betrieb muss parallel weiterlaufen.

Deshalb müssen maritime Organisationen regelmäßig Szenarien üben, die technische, operative und kommunikative Aspekte verbinden. Es reicht nicht, Ransomware im Büro-Netzwerk zu simulieren. Realistische Szenarien betreffen Terminalausfälle, manipulierte Ladungsdaten, gestörte Zutrittskontrollen, kompromittierte Dienstleisterzugänge, gleichzeitige physische Sicherheitslagen oder den Ausfall zentraler Kommunikationssysteme.

Solche Übungen zeigen, wo Prozesse funktionieren und wo Annahmen zu optimistisch sind. Sie machen sichtbar, welche Entscheidungen vorbereitet werden müssen, welche Daten im Krisenfall benötigt werden und welche manuellen Rückfallverfahren tatsächlich tragfähig sind. Gerade in kritischen Infrastrukturen ist Übung keine Formalität, sondern ein zentraler Bestandteil professioneller Sicherheitssteuerung.

Cybersicherheit wird zum Wettbewerbsfaktor

Häfen konkurrieren nicht nur über Lage, Kapazität und Effizienz. Zunehmend wird auch Verlässlichkeit zum Standortfaktor. Kunden, Reedereien, Industrieunternehmen und staatliche Akteure werden künftig stärker darauf achten, ob ein Hafen auch unter Störbedingungen handlungsfähig bleibt. Wer Sicherheits- und Resilienzfähigkeit glaubwürdig nachweisen kann, schafft Vertrauen.

Das betrifft auch Versicherbarkeit, Finanzierung, regulatorische Bewertung und Partnerschaften. In einer Welt, in der Lieferketten anfälliger und geopolitische Risiken sichtbarer werden, gewinnt operative Stabilität wirtschaftlichen Wert. Cybersicherheit ist damit nicht nur Kostenstelle, sondern Teil des Leistungsversprechens eines Hafens.

Professionelle Betreiber werden Cybersicherheit deshalb nicht als reaktive Abwehr verstehen, sondern als strategische Fähigkeit. Sie werden Sicherheitsarchitektur, Risikomanagement, Krisenorganisation und Lieferkettensteuerung zusammenführen. Sie werden technische Maßnahmen mit Managementverantwortung verbinden. Und sie werden nicht nur fragen, ob ein Angriff verhindert werden kann, sondern wie schnell der Betrieb nach einer Störung wieder kontrolliert funktioniert.

Maritime Resilienz braucht gemeinsame Verantwortung

Kein Hafen kann diese Aufgabe allein lösen. Maritime Cybersicherheit braucht Zusammenarbeit zwischen Betreibern, Behörden, Sicherheitsorganisationen, Technologieanbietern, Reedereien, Logistikunternehmen und politischen Entscheidern. Gemeinsame Lagebilder, klare Meldewege, branchenspezifische Standards und belastbare Informationsaustauschformate werden immer wichtiger.

Dabei geht es nicht um Alarmismus. Es geht um nüchterne Vorbereitung auf eine Realität, in der kritische Infrastruktur stärker in den Fokus von Kriminellen, staatlichen Akteuren und hybriden Operationen rückt. Häfen sind offene, komplexe und leistungsorientierte Systeme. Genau deshalb müssen sie so geschützt werden, dass Sicherheit den Betrieb ermöglicht und nicht blockiert.

Die maritime Wirtschaft steht damit vor einem Reifegradsprung. Wer Häfen digitalisiert, muss sie auch widerstandsfähiger machen. Wer Effizienz steigert, muss Abhängigkeiten beherrschbar halten. Wer Infrastruktur modernisiert, muss Cyberresilienz von Anfang an einplanen.

Häfen sind Knotenpunkte der Wirtschaft. In einer angespannten geopolitischen Lage werden sie zugleich zu Knotenpunkten der Sicherheit. Ihre Zukunftsfähigkeit entscheidet sich nicht allein an Kaikanten, Kränen und Umschlagzahlen, sondern auch daran, wie gut sie digitale Angriffe, physische Störungen und hybride Bedrohungen verkraften.

Der Beitrag Häfen im Fadenkreuz: Warum maritime Cybersicherheit zur strategischen Aufgabe wird erschien zuerst auf Business Resilience Podcast.

Was nach „nur“ einem Ausfall von Website und App klingt, ist in Wahrheit ein Lehrstück darüber, wie sich kritische Infrastrukturen in Europa verändert haben – und wie sich Angriffe darauf politisch aufladen. Denn im digitalen Zeitalter ist Verfügbarkeit nicht bloß eine IT‑Kennzahl. Sie ist ein Bestandteil gesellschaftlicher Funktionsfähigkeit.

Die Deutsche Bahn beschreibt den Vorfall als DDoS‑Angriff: massenhafte Anfragen aus gekaperten oder missbrauchten Geräten überlasten Dienste so lange, bis sie nicht mehr erreichbar sind.  Die BSI‑Präsidentin Claudia Plattner ordnete die Attacke öffentlich als außergewöhnlich ein und sprach im WDR‑Interview von „Milliarden Anfragen pro Minute“ – „die größere Kante, keine alltägliche Dimension“.  Genau dieser Satz ist strategisch interessant: DDoS ist selten das spektakulärste Werkzeug im Angreifer‑Arsenal, aber es ist eines der sichtbarsten. Und Sichtbarkeit ist ein Effekt, der politische Rendite erzeugen kann.

DDoS als Kommunikationsmittel in einer vernetzten Gesellschaft

DDoS zielt primär auf Verfügbarkeit – nicht auf Datenabfluss und nicht zwingend auf Manipulation. Gerade deshalb wird es oft unterschätzt. Der unmittelbare Schaden entsteht nicht nur durch entgangene Umsätze oder die Kosten für Incident Response, sondern durch Reibung im Alltag: Menschen können ihre Mobilität nicht planen, Servicekanäle werden überlastet, und aus digitalen Störungen werden sehr schnell analoge Friktionen. Das BSI erwartet zwar keine nachhaltigen Schäden, betont aber die „ernsthafte Einschränkung im Alltagsservice“.

Damit wird DDoS zu einer Art „öffentlicher Demonstration“: Man zeigt, dass man in der Lage ist, zentrale Abläufe zumindest temporär zu stören. Plattner verweist ausdrücklich auf den Propaganda‑Charakter solcher Angriffe seit Beginn des russischen Angriffskriegs gegen die Ukraine und beschreibt die einschüchternde Botschaft dahinter sinngemäß als: „Seht her, wir können euch jederzeit angreifen.“  Entscheidend ist: Diese Aussage erklärt einen Mechanismus – sie ist keine Attribution des konkreten Bahn‑Angriffs. Genau hier beginnt die politische Dimension.

Warum Attribution heute fast immer geopolitisch gelesen wird

Die Bahn selbst äußert sich nicht zu Spekulationen über die Herkunft der Attacke; laut dpa ist der Ursprung offen, Medienberichte über einen Russland‑Bezug kommentiert der Konzern nicht.  Trotzdem wird in der öffentlichen Debatte reflexhaft in geopolitischen Kategorien gedacht. Das ist nicht nur „Alarmismus“, sondern folgt einem Kontext, den Deutschland und Europa in den letzten Jahren selbst erfahren haben.

Ein prominentes Beispiel ist die Deutsche Flugsicherung (DFS): Die Bundesregierung hat nach Angaben mehrerer Medien einen Cyberangriff auf die DFS vom August 2024 dem russischen Militärgeheimdienst GRU bzw. der GRU‑nahen Gruppe APT28 („Fancy Bear“) zugeschrieben und deswegen im Dezember 2025 den russischen Botschafter einbestellt.  In derselben politischen Lagewahrnehmung werden Cyberangriffe nicht als isolierte IT‑Kriminalität betrachtet, sondern als Elemente hybrider Konfliktführung unterhalb der Schwelle klassischer militärischer Eskalation.

Europaweit verdichtet sich dieses Bild. Westliche Sicherheitsvertreter sprechen von einer breiten Sabotage‑Kampagne Russlands in Europa seit 2022, die von Cyberangriffen bis zu Brandstiftungen reicht, oft mit dem Ziel, Unterstützung für die Ukraine zu unterminieren und Sicherheitsapparate zu binden.  Und Europol warnt in seiner EU‑SOCTA‑Lagebewertung vor einer „shadow alliance“: kriminelle Netzwerke fungieren zunehmend als Proxies für hybride Akteure, wodurch sich kriminelle und politische Motive überlagern.

Auch pro‑russische „Hacktivismus“-Strukturen passen in dieses Muster. Europol beschreibt etwa das Netzwerk NoName057(16) als pro‑russisch und dokumentiert, dass es DDoS‑Angriffe gegen Ukraine und gegen Staaten bzw. Institutionen, die die Ukraine unterstützen, verübt hat; 2025 wurde die Infrastruktur in einer internationalen Operation („Eastwood“) teilweise zerschlagen.  Das beweist nicht, dass dieser Akteur hinter der Attacke auf die Bahn steht – es erklärt aber, warum DDoS in Europa heute nicht mehr nur als „Nerv‑Angriff“ auf Websites wahrgenommen wird, sondern als Baustein einer politisierten Bedrohungslage.

Kritische Infrastruktur ist längst mehr als „OT“

Im Bahn‑Kontext ist wichtig, nüchtern zu bleiben: Die gemeldeten Störungen betrafen Auskunfts‑ und Buchungssysteme.  Das ist nicht dasselbe wie ein Eingriff in Stellwerke, Zugsicherung oder Energieversorgung. Gleichzeitig wäre es ein Fehler, die digitale Kundenschnittstelle als „nicht kritisch“ abzutun. Im modernen Mobilitätssystem sind Informations‑ und Buchungsketten Teil der operativen Realität, weil sie Nachfrage, Auslastung, Kundenströme und Serviceprozesse steuern. Aus Ausfällen solcher Ketten können schnell weitere operative Risiken entstehen.

Hinzu kommt: Kritische Infrastruktur wird nicht mehr in Sektorsilos betrieben. Transport hängt von Energie, Telekommunikation, Cloud‑ und Software‑Lieferketten ab. Genau diese Interdependenz ist der Hebel hybrider Angriffe: Man muss nicht „den Zug“ hacken, um Wirkung zu erzielen. Es reicht, die Knotenpunkte anzugreifen, die Vertrauen und Taktung herstellen.

Dass diese Verwundbarkeit nicht nur digital ist, zeigt sich ebenfalls am Beispiel der Bahn: In den letzten Monaten gab es wiederholt analoge Angriffe wie Kabeldurchtrennungen und Brandanschläge auf Bahn‑Infrastruktur, die zu massiven Einschränkungen geführt haben.  In hybriden Szenarien entsteht daraus ein unangenehmer Mix: digitale Störungen, physische Sabotage, Desinformation – und die Frage, ob alles zusammenhängt, auch wenn es operativ nicht zwingend koordiniert sein muss.

Politische Antworten: Resilienz wird Gesetz, Solidarität wird EU‑Programm

Die regulatorische und politische Reaktion in Europa folgt zunehmend einer Logik: weniger „IT‑Sicherheitsprojekt“, mehr gesamtstaatliche Resilienz.

Auf EU‑Ebene zielen NIS2 und die CER‑Richtlinie darauf, Cyber‑Risiko‑Management, Meldepflichten und Resilienz‑Anforderungen in „high criticality“-Sektoren systematisch zu heben – und das kohärenter, als es unter der alten NIS‑Richtlinie oft gelang.  Ergänzend dazu schafft der EU Cyber Solidarity Act (Regulation (EU) 2025/38) Mechanismen für bessere Detektion, koordinierte Reaktion und eine „EU Cybersecurity Reserve“, die bei großen Vorfällen unterstützen soll.

In Deutschland bekommt das Thema zusätzlich eine physische Schutzdimension. Der Bundestag hat am 29. Januar 2026 das KRITIS‑Dachgesetz beschlossen, das die CER‑Vorgaben umsetzt und erstmals sektorübergreifende Mindestvorgaben für den physischen Schutz kritischer Anlagen in einem bundeseinheitlichen Rahmen setzt.  Damit wird politisch anerkannt, dass „kritisch“ nicht nur bedeutet, Server zu patchen, sondern auch Kabelbrücken, Standorte, Zugangskontrollen, Krisenkommunikation und Wiederanlaufpläne mitzudenken.

Parallel verschiebt sich der sicherheitspolitische Ton. Bundesinnenminister Alexander Dobrindt will härter gegen Cyberangriffe vorgehen, ein neues Abwehrzentrum schaffen und den Ansatz verfolgen, Angreifer auch „zurückzuschlagen“.  Das ist politisch nachvollziehbar, weil Abschreckung ohne glaubhafte Reaktionsfähigkeit schwer ist. Es ist aber auch riskant: „Hackback“ bewegt sich schnell in juristischen Grauzonen, kann Kollateralschäden erzeugen und lässt Eskalationsdynamiken entstehen – gerade dann, wenn Attribution unsicher ist oder Proxies im Spiel sind.

Die technische Lehre: Cloud skaliert – aber Angreifer skalieren auch

Ein zusätzlicher Realitätscheck steckt im Detail der Umsetzung. Zentrale, geschäftskritische Bahn‑Dienste laufen auf Infrastruktur von Amazon Web Services und der Vorfall ist ein Beispiel dafür ein, dass selbst große Cloud‑Plattformen bei extremen DDoS‑Volumina nicht automatisch „unverwundbar“ sind.  Das ist keine Cloud‑Kritik, sondern eine Erinnerung an das Shared‑Responsibility‑Prinzip: Elastische Compute‑Kapazität ersetzt kein DDoS‑Design, das Bandbreite, State‑Exhaustion, Abhängigkeiten in der Authentisierung, Third‑Party‑APIs und die Engpässe im eigenen Application‑Stack mitdenkt.

Dass DDoS kein Randphänomen ist, unterstreicht auch das BSI mit seiner Lagebeobachtung: Für Deutschland wird in den Lageberichten zuletzt ein deutlicher Anstieg bekannt gewordener DDoS‑Angriffe in bestimmten Monaten beschrieben.

Was der Bahn‑Vorfall über Europa verrät

Wenn man den Angriff als Einzelfall behandelt, bleibt die Debatte bei der Frage hängen, warum eine App ausfällt. Wenn man ihn als Symptom betrachtet, wird sichtbar, worum es wirklich geht: Europa ist in eine Phase eingetreten, in der kritische Infrastruktur ein strategischer Austragungsort ist – nicht nur für klassische Spionage oder Ransomware, sondern für dauerhaften Druck durch viele kleinere, hoch sichtbare Störungen. ENISA beschreibt diese Entwicklung in der Threat Landscape 2025 als Verschiebung hin zu kontinuierlichen, diversifizierten und teils konvergenten Kampagnen, die Resilienz schrittweise erodieren.

In dieser Logik ist ein DDoS gegen Buchungssysteme nicht „harmlos“, aber auch nicht automatisch „Krieg“. Er ist ein Signal in der Grauzone: niedrigschwellig, plausibel abstreitbar, gesellschaftlich wirksam. Die politische Herausforderung liegt darin, nicht in symbolische Überreaktion zu verfallen – und trotzdem entschlossen zu investieren: in Resilienz‑Engineering, in sektorübergreifende Übungen, in robuste Melde‑ und Lagebilder, in europäische Solidaritätsmechanismen und in eine Kommunikationsfähigkeit, die Panik vermeidet, ohne zu beschönigen.

Wer Verantwortung für digitale Dienste in KRITIS trägt – ob Betreiber, Zulieferer, Cloud‑Partner oder Behörde – sollte den Bahn‑Vorfall deshalb als Weckruf lesen: Verfügbarkeit ist geopolitisch geworden. Und genau darum muss sie so behandelt werden, wie wir es bei Safety seit Jahrzehnten tun: als Kernanforderung, nicht als „Betriebsstörung“.

Der Beitrag Wenn die Bahn‑App schweigt: Der DDoS‑Angriff auf die Deutsche Bahn und die Geopolitik der Verfügbarkeit erschien zuerst auf Business Resilience Podcast.

Warum Kommunen besonders verwundbar sind

Kommunen sind attraktiv, weil sie „hohe Wirkung bei vergleichsweise geringem Aufwand“ versprechen: Wer ein Rathaus, ein Landratsamt oder einen kommunalen IT-Dienstleister lahmlegt, trifft unmittelbar Verwaltungsabläufe und damit Bürgerinnen und Bürger. Erschwerend kommen strukturelle Faktoren hinzu, die in vielen Verwaltungen wiederkehren: heterogene Systemlandschaften, historisch gewachsene Zuständigkeiten, begrenzte Standardisierung, externe Abhängigkeiten und ein hoher Anteil an Fachverfahren, die schwer modernisierbar sind.

Hinzu kommt ein zentraler Engpass: qualifiziertes Personal ist knapp, die Gewinnung von IT-Security-Spezialisten im öffentlichen Dienst bleibt schwierig, und Sicherheit konkurriert im Tagesgeschäft gegen Projekte, die politisch sichtbarer sind. Genau diese Kombination sorgt dafür, dass grundlegende Maßnahmen – etwa konsequentes Patch-Management, Protokollauswertung, Awareness-Programme oder ein belastbarer Incident-Response-Prozess – in der Priorisierung zu oft nach hinten rutschen.

Ransomware dominiert – und der Einstieg ist oft banal

Viele schwerwiegende Vorfälle im kommunalen Umfeld folgen einem wiederkehrenden Muster: Angreifer verschaffen sich Zugang, bewegen sich im Netz seitlich, ziehen Daten ab und verschlüsseln Systeme – verbunden mit Erpressung (Lösegeldforderung und zunehmend die Drohung, Daten zu veröffentlichen). Kommunen werden dabei häufig nicht „nach Name und Adresse“ ausgesucht, sondern über automatisierte Scans und opportunistische Angriffe getroffen – mit besonders hoher Wirkung dort, wo Basisabsicherung nicht konsequent umgesetzt ist.

Die Einfallstore sind selten exotisch: unsichere oder falsch konfigurierte Fernzugänge, schwache Passwörter, fehlende Mehrfaktorauthentifizierung, E-Mail-Phishing, kompromittierte Konten oder ungepatchte Komponenten am Netzrand. Gerade in der Fläche zeigt sich: Ein erheblicher Teil des Risikos entsteht nicht durch hochkomplexe Zero-Days, sondern durch Standardfehler in Konfiguration, Betrieb und Identitätsmanagement.

Outsourcing und Verbundnetze: Klumpenrisiken statt Risikotransfer

Viele Kommunen betreiben ihre IT nicht vollständig selbst, sondern beziehen Fachverfahren, Betrieb und teilweise auch Sicherheitsleistungen von externen Providern oder kommunalen IT-Dienstleistern. Das ist wirtschaftlich sinnvoll und in der Praxis oft alternativlos – erzeugt aber Klumpenrisiken: Fällt ein Dienstleister aus, kann das nicht eine Kommune, sondern eine ganze Region treffen.

Ein weiteres, häufig unterschätztes Risiko liegt im Vendor-Management: Sicherheitslücken bei Dienstleistern, unklare Verantwortlichkeiten, unzureichende Meldewege oder nicht gelebte vertragliche Pflichten können dazu führen, dass Kommunen Sicherheitsrisiken erst dann sehen, wenn es zu spät ist. Aus Security-Sicht ist Outsourcing damit kein automatischer Risikotransfer, sondern ein Governance-Thema: Verträge, Kontrollen, Auditrechte, Nachweise, Incident-Kommunikation und technische Mindeststandards müssen so gestaltet werden, dass Risiken tatsächlich reduziert werden – und nicht nur organisatorisch „verschoben“ erscheinen.

OT-Systeme: Wenn Kläranlage und Schulheizung Teil der Angriffsfläche werden

Neben klassischer Verwaltungs-IT rücken OT-Systeme (Operational Technology) in den Fokus: Anlagen- und Betriebstechnik, die reale Prozesse steuert – etwa Kläranlagen, Wasserversorgung oder Heizungssteuerungen in Schulen. OT-Sicherheit ist anspruchsvoll, weil sie andere Prioritäten hat als Büro-IT: Verfügbarkeit und Prozesssicherheit stehen im Vordergrund, Patches sind oft schwieriger einspielbar, und Fernwartung ist verbreitet. Der praktische Knackpunkt: Fernwartung benötigt Zugänge – und Zugänge sind potenzielle Einfallstore.

Für Kommunen und kommunale Betriebe bedeutet das: Segmentierung zwischen IT/OT, strikt kontrollierte Remote-Access-Wege (idealerweise über Jump-Hosts), starke Authentifizierung, enges Monitoring und klare Notfallprozesse sind nicht „nice to have“, sondern Grundvoraussetzung für sichere Daseinsvorsorge.

Wenn es passiert: Notbetrieb, Datenabfluss und Millionenaufwand

Die Folgen kommunaler Cyberangriffe sind im Alltag sehr konkret: eingeschränkte Erreichbarkeit, Ausfall digitaler Dienste, Rückstau in Bürger- und Sozialleistungen, Medienbruch zurück zu Papierprozessen – und oft ein langer, teurer Wiederaufbau. Besonders kritisch sind Fälle, in denen neben der Verschlüsselung auch ein Datenabfluss stattfindet und sensible Informationen veröffentlicht oder zur Erpressung genutzt werden.

Ein wiederkehrendes Muster ist dabei der „lange Schatten“ eines Vorfalls: Wiederherstellung, Härtung, forensische Aufarbeitung, Neuaufbau von Infrastrukturen und die Rückkehr zu stabilen Betriebsprozessen binden über Monate Ressourcen. Hinzu kommen Reputationsschäden, erhöhte politische Aufmerksamkeit und – je nach Betroffenheit – aufsichtsrechtliche bzw. datenschutzrechtliche Folgen.

Finanzdruck, Priorisierung und Reifegrad: Warum Prävention zu oft verliert

Kommunen investieren in der Praxis häufig zu wenig und zu spät in Cybersicherheit. Angesichts rekordhoher Defizite und konkurrierender Pflichtausgaben werden Security-Budgets vielerorts nicht risikoadäquat dotiert; Investitionen erfolgen häufig ereignisgetrieben (nach Angriffen) statt planvoll (präventiv). Zusätzlich verstärken Fachkräftemangel und fehlendes Know-how die Wirkung knapper Mittel.

Diese Dynamik führt zu einem Sicherheitsparadox: Gerade weil kommunale Systeme zunehmend kritisch sind, wäre planvolle Prävention wirtschaftlich und organisatorisch sinnvoll – sie ist aber im Haushalt oft schwer durchsetzbar, solange der „konkrete Schaden“ nicht sichtbar geworden ist. Das Ergebnis sind Sicherheitsprogramme, die zu stark von Einzelereignissen abhängen, statt auf einem dauerhaft verankerten Managementsystem aufzubauen.

Standards und Regulierung: IT-Grundschutz trifft NIS2

Für Kommunen stellt sich die Frage nicht nur „Was ist technisch sinnvoll?“, sondern auch „Was wird künftig erwartet – und was ist prüfbar umsetzbar?“. Ein pragmatischer Ankerpunkt ist der BSI-IT-Grundschutz, der mit Profilen und Bausteinen einen strukturierten Weg bietet, Basisschutz organisatorisch und technisch umzusetzen. Entscheidend ist dabei weniger das „Papierkonzept“ als die Etablierung eines wiederkehrenden Prozesses: Risikoanalyse, Maßnahmenplanung, Umsetzung, Wirksamkeitskontrolle, Verbesserung.

Parallel steigen die Anforderungen durch europäische und nationale Cyberregulierung (NIS2-Umsetzung, Meldepflichten, Governance-Anforderungen, Lieferkettenthemen). Kommunale Betriebe der Daseinsvorsorge sowie kommunalnahe Organisationen in regulierten Sektoren müssen dabei mit erhöhten Anforderungen an Nachweisfähigkeit, Incident-Handling und Risikomanagement rechnen. Auch dort, wo Kommunen nicht unmittelbar Adressat sind, wirkt die Regulierung über Dienstleister, Betreiber und Partner in die kommunale Realität hinein.

Ein pragmatisches Zielbild: Cyberresilienz als Managementsystem – nicht als Einzelprojekt

Wirksame kommunale Cyberresilienz ist weniger ein Tool-Problem als ein Organisationsproblem. Entscheidend sind klare Verantwortung, eine realistische Risikoakzeptanz, durchsetzbare Mindeststandards sowie eine Krisenorganisation, die den IT-Ernstfall als Verwaltungs- und Führungsaufgabe versteht.

Ein belastbarer Ansatz lässt sich in drei Ebenen strukturieren:

1. Führung und Governance: Zuständigkeiten, Budgethoheit, Risikoentscheidungen und Prioritäten müssen auf Leitungsebene verankert werden. Ohne diesen Rückhalt bleiben Security-Programme fragmentiert und reaktiv.
2. Basisschutz und Betriebshygiene: MFA überall, Härtung der Fernzugänge, Patch- und Schwachstellenmanagement, Segmentierung, Least Privilege, E-Mail-Security, Logging und Detektion – mit klaren Betriebsprozessen.
3. Resilienz und Wiederanlauf: Getrennte, getestete Backups (inkl. Offline/immutable), Notfallhandbuch, definierte Wiederanlaufpläne, regelmäßige Übungen und externe Unterstützungswege (Forensik, IR-Partner, Krisenkommunikation).

Kommunen als hochwirksame Angriffspunkte

Kommunen sind im Cyberraum keine Randziele mehr, sondern hochwirksame Angriffspunkte – weil sie unmittelbare Wirkung auf das öffentliche Leben haben. Die wesentlichen Treiber sind eine wachsende digitale Angriffsfläche, Abhängigkeiten in Liefer- und Betriebsstrukturen, OT-Nähe sowie knappe Ressourcen. Entscheidend ist daher ein Perspektivwechsel: Cybersicherheit darf nicht als „IT-Kostenstelle“ verstanden werden, sondern als Voraussetzung kommunaler Handlungsfähigkeit. Wer präventiv in Governance, Basisschutz und Resilienz investiert, reduziert nicht nur das Risiko erfolgreicher Angriffe, sondern vor allem die Dauer und Schwere der Auswirkungen im Ernstfall.

Der Beitrag Kommunen als Hacker-Opfer: Wenn digitale Verwaltung zur kritischen Infrastruktur wird erschien zuerst auf Business Resilience Podcast.

Moderne Bedrohungen gegen kritische Infrastrukturen sind zunehmend „hybrid“: Sie kombinieren digitale und physische Mittel, nutzen Abhängigkeiten zwischen Sektoren aus und zielen auf Kaskadeneffekte. Ein mehrtägiger Stromausfall ist in diesem Kontext nicht nur ein Energieproblem, sondern ein Multiplikator, der in kurzer Zeit Versorgung, Kommunikation, Mobilität und Sicherheit gleichzeitig belastet. Hybride Lagen entstehen dabei nicht zwingend durch einen einzelnen, spektakulären Angriff, sondern häufig durch die Überlagerung mehrerer Störungen – etwa Sabotage oder Brandstiftung an physischen Netzen, flankiert durch Cyberaktivitäten und Desinformation.

Der psychologische Effekt ist Teil der Angriffslogik

Hybride Angriffe sind in ihrer Wirkung nicht auf unmittelbare technische Schäden oder Datenabfluss begrenzt. Ein zentraler Hebel ist der Vertrauensverlust: Wenn wesentliche Funktionen des Alltags ausfallen, steigt die gesellschaftliche Unsicherheit, und die Erwartung an staatliche und betriebliche Handlungsfähigkeit wird unter Stress gesetzt. Aus Resilienzsicht ist deshalb Kommunikation kein „Begleitfaktor“, sondern ein operatives Element der Krisenbewältigung. Fehlende Informationen, widersprüchliche Gerüchte oder unklare Zuständigkeiten wirken wie ein Verstärker und führen in der Bevölkerung zu Fehlentscheidungen, Panikverhalten oder riskanten Improvisationen – insbesondere in vulnerablen Haushalten.

Risikowahrnehmung versus Eigenvorsorge: Eine strukturelle Lücke

Die öffentliche Wahrnehmung hybrider Bedrohungen ist in Deutschland mittlerweile ausgeprägt: Viele Menschen halten Krisen infolge von Cyberangriffen, Sabotageakten oder Desinformation für plausibel. Gleichzeitig besteht jedoch ein deutlicher Abstand zwischen Risikobewusstsein und konkreter Vorsorge im eigenen Haushalt. Das ist sicherheitspolitisch relevant, weil Resilienz im Krisenfall nicht ausschließlich von Behörden und KRITIS-Betreibern getragen werden kann. Wenn ein signifikanter Anteil der Bevölkerung praktisch unvorbereitet ist, verlagert sich in den ersten 24 bis 72 Stunden die Last auf Rettungsdienste, Leitstellen und Gesundheitseinrichtungen – und zwar genau in dem Moment, in dem diese selbst mit Infrastruktur- und Ressourcenstress umgehen müssen.

Welche Ausfälle besonders kritisch sind – und warum

In der Risikowahrnehmung stehen typischerweise die Energieversorgung und die Finanzinfrastruktur weit oben, gefolgt von der Gesundheitsversorgung, der Wasserversorgung und der Lebensmittelversorgung. Diese Priorisierung ist fachlich konsistent: Energie ist der dominierende „Enabler“ für nahezu alle anderen Sektoren; digitale Finanz- und Kommunikationssysteme sind hochgradig vernetzt; und Gesundheit ist in Krisenlagen die existenzielle Nachfrage. Für die Resilienzplanung bedeutet das, dass die Schutz- und Wiederanlaufstrategien besonders konsequent auf sektorübergreifende Abhängigkeiten ausgerichtet werden müssen – also nicht nur auf die Wiederherstellung einzelner Systeme, sondern auf die Stabilisierung der Versorgungskette.

Resilienz als „Whole-of-Society“-Fähigkeit: Die Gesundheitsdimension

Die Gesundheitsversorgung wird in hybriden Lagen schnell zum Brennpunkt, auch wenn der initiale Angriff nicht „medizinisch“ ist. Der Grund ist banal und zugleich entscheidend: Klinischer Betrieb, ambulante Versorgung, Pflege, Arzneimittelversorgung und häusliche Betreuung sind massiv abhängig von Strom, Wärme, IT, Konnektivität und funktionsfähiger Mobilität. Sobald Aufzüge, Türsysteme, Kühlketten, Netzwerke oder Heizungsinfrastruktur ausfallen, steigen Risiko und Arbeitslast sprunghaft – insbesondere bei Pflegebedürftigen, chronisch Kranken und Menschen mit medizinischer Heimtechnik. In der Praxis ist deshalb nicht nur die Resilienz einzelner Krankenhäuser relevant, sondern die Stabilität des gesamten Versorgungsökosystems inklusive „letzter Meile“: Zugang zu Wohnungen, Erreichbarkeit ambulanter Dienste, Funktionsfähigkeit der Quartiersinfrastruktur und verlässliche Informationswege.

Digitale Abhängigkeiten als Multiplikator: Warum Cyber und Betrieb zusammen gedacht werden müssen

Hybride Bedrohungen sind häufig erfolgreich, weil digitale Abhängigkeiten betriebliche Robustheit reduzieren. Viele Organisationen – auch im Gesundheitswesen – sind so digitalisiert, dass ein Konnektivitäts- oder IT-Ausfall innerhalb kurzer Zeit zu Funktionsverlust führt: Termin- und Patientensteuerung, Kommunikation mit Lieferanten, elektronische Dokumentation, Labor- und Bilddaten, E-Rezept-Prozesse, Logistik und Abrechnung. Selbst wenn zentrale klinische Prozesse durch Notstrom stabilisiert werden, kann die operative Leistungsfähigkeit durch Ausfälle bei Kommunikation und IT erheblich sinken. Resilienz muss daher als Zusammenspiel aus Cybersecurity, Business Continuity und Krisenorganisation verstanden werden: technische Redundanz, klare Minimalbetriebsmodelle, geübte Offline-Fallback-Prozesse und ein belastbarer Wiederanlaufplan.

Von der Angst zur Handlungsfähigkeit: Praktische Resilienz im Haushalt und in der Versorgungskette

Viele Vorsorgemaßnahmen in Haushalten sind digital geprägt, etwa Sicherheitssoftware oder Dokumentensicherungen. Für hybride Lagen mit Infrastruktur- und Energiekomponente sind jedoch zusätzliche, sehr konkrete Fähigkeiten entscheidend: Informationszugang ohne Netz (z. B. batteriebetriebene Empfangsmöglichkeiten), Bargeldreserve, Notvorräte, ein belastbarer Medikamentenbestand für chronische Erkrankungen, einfache Wärme- und Lichtversorgung sowie abgestimmte Unterstützung für pflegebedürftige Angehörige. Diese Dimension ist keine Privatsache im engen Sinn, sondern eine Systementlastung: Je besser Haushalte die ersten Tage überbrücken können, desto geringer ist der Druck auf Rettungsdienst, Notaufnahmen, Pflegedienste und Krisenstäbe.

Resilienz ist geteilte Verantwortung – und operativ messbar

Hybride Angriffe machen Resilienz zur Kernanforderung moderner Daseinsvorsorge. Entscheidend ist nicht nur Prävention, sondern die Fähigkeit, unter Störung handlungsfähig zu bleiben: technisch, organisatorisch und kommunikativ. Staatliche Lageführung, Betreiberverantwortung in KRITIS, robuste Wiederanlaufprozesse in Versorgungseinrichtungen und alltagspraktische Eigenvorsorge der Bevölkerung wirken dabei wie eine zusammenhängende Kette. Wo ein Glied schwach ist, entsteht Eskalationspotenzial – und genau das ist die Logik hybrider Bedrohungen. Für das Gesundheitswesen folgt daraus ein klarer Auftrag: Resilienzprogramme müssen über Klinikgrenzen hinausgehen, ambulante Versorgung, Arzneimittelketten und Pflege systematisch einbeziehen und die „letzte Meile“ als kritischen Faktor behandeln.

Der Beitrag Hybride Angriffe in Deutschland: Warum Resilienz im Alltag beginnt und im Gesundheitswesen entschieden wird erschien zuerst auf Business Resilience Podcast.

Am frühen Samstagmorgen, dem 3. Januar 2026, hat ein Brand an einer Kabelbrücke über den Teltowkanal nahe des Heizkraftwerks Lichterfelde die Stromversorgung in Teilen des Berliner Südwestens massiv beeinträchtigt. Nach Angaben des Netzbetreibers Stromnetz Berlin waren rund 45.000 Haushalte und etwa 2.200 Gewerbekunden in Nikolassee, Zehlendorf, Wannsee und Lichterfelde betroffen. Die Lage erwies sich nicht als kurze Störung, sondern als mehrtägiges Ereignis: Bereits am selben Tag kommunizierte Stromnetz Berlin, dass aufgrund erheblicher Schäden und der notwendigen provisorischen Wiederherstellung eine vollständige Wiederversorgung voraussichtlich erst am Donnerstagnachmittag, dem 8. Januar 2026, erreicht werden kann.

Lageentwicklung: Teilrückspeisung und provisorische Wiederherstellung

Am Sonntag, dem 4. Januar 2026, zeigte sich zugleich, was „Resilienz“ im Alltag praktisch bedeutet und wo ihre Grenzen liegen. Durch Umbauten an anderen Netzteilen konnten laut Stromnetz Berlin in der Nacht gegen 3:30 Uhr zunächst rund 7.000 Haushalte und 150 Gewerbekunden in Lichterfelde wieder versorgt werden; weitere 3.000 sollten im Laufe des Tages folgen. Dennoch waren am Vormittag des 4. Januar weiterhin rund 38.000 Haushalte und rund 2.000 Gewerbekunden ohne Strom. Parallel dazu liefen nach Angaben des Netzbetreibers Arbeiten an einer zusätzlichen provisorischen Hochspannungsleitung in Berlin-Dahlem sowie Reparaturen am Brandort, nachdem die Polizei den Bereich freigegeben hatte.

Strom als Querschnittsinfrastruktur: Warum aus „Licht aus“ schnell ein Systemproblem wird

Die unmittelbaren Folgen eines solchen Ausfalls sind bekannt, aber in ihrer Kaskade oft unterschätzt. Strom ist nicht nur „Energie“, sondern eine Basisinfrastruktur, an der Kommunikation, Wärmeversorgung, Mobilität, Versorgungsketten und Sicherheitsfunktionen hängen. Das BBK beschreibt genau diese systemischen Abhängigkeiten: Wenn der Strom ausfällt, können neben Licht und Heizung auch Wasser, Internet und Mobilfunk beeinträchtigt sein, und je nach Lage kann die Wiederherstellung auch nicht nur Stunden, sondern im Ausnahmefall Tage dauern.  In Berlin kam erschwerend hinzu, dass der Vorfall in eine winterliche Wetterlage fiel und die Frage der Wärmeversorgung in Wohnungen, der Funktionsfähigkeit von Aufzügen und der Erreichbarkeit von Hilfe schnell zur zentralen Dimension der Krise wurde.

Schulen, Kitas, Alltag: Resilienz zeigt sich an der sozialen Oberfläche

Dass sich die Auswirkungen nicht auf „Haushalte“ im abstrakten Sinne reduzieren lassen, zeigt die Debatte um Schulen und Kitas sehr konkret. Während die Stromwiederherstellung mehrere Tage beanspruchen kann, läuft der Kalender der Stadt weiter: Die Wiederaufnahme des regulären Betriebs nach den Weihnachtsferien ist ein hochgradig getakteter Prozess. Nach Medienberichten gab es keine flächendeckende formale Schulschließung, aber die zuständigen Stellen gingen davon aus, dass ein regulärer Betrieb in den nächsten Tagen in Teilen nicht möglich sein wird; Eltern wurden aufgefordert, Betreuung anderweitig zu organisieren beziehungsweise den Schulbesuch vorerst auszusetzen.  Gerade an diesem Punkt wird sichtbar, dass Resilienz nicht nur eine Frage von „Kabeln und Transformatoren“ ist, sondern auch eine Frage der organisatorischen Handlungsfähigkeit von Bildungs- und Betreuungssystemen, die ohne Strom nur sehr eingeschränkt sicher betrieben werden können.

Kommunales Krisenmanagement: Notunterkünfte, Wärmestellen und Hotlines

Die kommunale Krisenreaktion ist ein zentraler Bestandteil der Resilienzarchitektur. Der Bezirk Steglitz-Zehlendorf veröffentlichte am 4. Januar 2026 unter anderem eine Hotline für den Katastrophenstab und benannte Notunterkünfte sowie Orte zum Aufwärmen, Laden von Mobiltelefonen und für warme Getränke.  Solche Maßnahmen sind nicht „nice to have“, sondern gehören zur zweiten Verteidigungslinie, wenn die Primärinfrastruktur ausfällt: Sie sichern Mindestversorgung, Informationsweitergabe und soziale Stabilität. Sie zeigen aber auch, wie schnell Kommunen in eine Rolle rutschen, in der sie praktisch Ersatzfunktionen für ausgefallene Systeme bereitstellen müssen.

Kommunikation und politische Präsenz: Der unterschätzte Faktor Vertrauen

Der Vorfall hat zudem eine Debatte über Führung, Präsenz und Kommunikation ausgelöst. Ein Kommentar der Berliner Zeitung kritisiert weniger einen „Blackout der Verwaltung“ als einen Mangel an politischer Präsenz und deutet das Schweigen der Stadtspitze als Signal in einer Lage, in der Orientierung und Vertrauen besonders wertvoll sind.  Unabhängig davon, wie man diese Kritik politisch bewertet, berührt sie einen fachlich relevanten Kern: Resilienz ist auch Kommunikationsresilienz. In Krisen entscheidet nicht nur die technische Wiederherstellung, sondern auch die Qualität der Lagekommunikation darüber, ob Menschen angemessen handeln, ob Gerüchte dominieren und ob sich vulnerable Gruppen rechtzeitig Hilfe organisieren können.

Resilienz vs. Zuverlässigkeit: Warum SAIDI nicht das ganze Bild zeigt

Der Berliner Vorfall ist lehrreich, weil er die Differenz zwischen hoher Zuverlässigkeit im Normalbetrieb und Verletzbarkeit in Extremereignissen herausarbeitet. Der Berliner Senat hat erst am 16. Dezember 2025 einen „Maßnahmenplan zur Stärkung der Resilienz des Berliner Stromnetzes“ kommuniziert. Darin wird einerseits betont, dass Berlin im Jahr 2024 mit einem SAIDI-Wert von 8,7 Minuten pro Kunde und Jahr unter dem Bundesdurchschnitt lag, andererseits wird der Anschlag auf Hochspannungsmasten in Johannisthal im September 2025 explizit als Beleg dafür genannt, dass Strominfrastruktur trotz Vorkehrungen anfällig für Sabotage sein kann.  Genau diese Spannung – statistisch sehr zuverlässig, aber nicht „absolut sicher“ – ist der Kern moderner Resilienzdebatten.

Technische Resilienz: Redundanz, Georedundanz und Reparaturfähigkeit

Resilienz unterscheidet sich dabei von klassischer Versorgungssicherheit oder „Reliability“: Sie beschreibt nicht nur die Wahrscheinlichkeit, dass etwas ausfällt, sondern die Fähigkeit eines Systems, Ausfälle zu absorbieren, zu überbrücken, sich schnell zu erholen und aus Ereignissen zu lernen. Die Bundesregierung formuliert im Kontext der Blackout-Debatte, dass großflächige, langanhaltende Stromausfälle in Deutschland selten sind, aber die gesellschaftliche Bedeutung von Elektrizität wächst und Systemsicherheit unter anderem auf Redundanzprinzipien wie dem „n-1-Prinzip“ basiert, das den Weiterbetrieb bei Ausfall einer Komponente ermöglichen soll.  Der Berliner Vorfall zeigt jedoch, dass Redundanz nicht gleichbedeutend mit Unverwundbarkeit ist, insbesondere wenn Ereignisse gezielt kritische Knoten treffen oder wenn Reparaturen durch Spurensicherung, Witterung und Bauaufwand zeitkritisch werden.

Interdependenzen: Wenn Stromausfall Telekommunikation und Zahlungsverkehr mitreißt

Ein weiterer zentraler Aspekt ist die Interdependenz von Infrastrukturen. Stromausfall bedeutet nicht nur „Licht aus“, sondern kann Telekommunikation, Zahlungsverkehr, Logistik, Treibstoffversorgung, Gesundheitsversorgung und öffentliche Sicherheit mittelbar beeinträchtigen. Reuters verweist in der Berichterstattung zum Berliner Vorfall explizit auf mögliche Störungen von Mobilfunk- und Festnetzdiensten.  Das ist in der Praxis hochrelevant, weil Notrufsysteme, Lageinformationen und Koordination in hohem Maße auf Kommunikation angewiesen sind. Genau deshalb spielen alternative Informations- und Anlaufstrukturen eine Rolle, die für Situationen gedacht sind, in denen digitale Kanäle nicht zuverlässig funktionieren.

Katastrophenschutz-Leuchttürme: Offline-Anlaufstellen als zweite Kommunikationsachse

Berlin beschreibt dafür das Konzept der Katastrophenschutz-Leuchttürme und Informationspunkte als Orte, an denen Informationen bereitgestellt und bei Bedarf Notrufe aufgenommen und weitervermittelt werden können. Geplant sind laut Berlin.de 45 behördlich betriebene Leuchttürme sowie 147 ehrenamtlich besetzte Informationspunkte, die in besonderen Ausnahmesituationen aktiviert werden.  Auch die Berliner Feuerwehr ordnet das Konzept fachlich ein und verweist auf die Idee „notstromversorgter leuchtender Inseln“ als bürgernahe Anlaufstellen bei längerfristigem Stromausfall und damit verbundenem Kommunikations- und Versorgungsausfall.

Private Vorsorge: Risiko-Management statt Alarmismus

Resilienz ist keine rein staatliche oder betriebliche Aufgabe. Der Senat formuliert in seinem Maßnahmenplan ausdrücklich, dass neben der weiteren Verbesserung des Netzes und der Krisenkoordination auch die Eigenverantwortung nichtstaatlicher Akteure gefördert werden müsse.  Für private Vorsorge liefert das BBK seit Jahren klare, praxisnahe Leitlinien. Die Behörde betont, dass es nicht um Panik, sondern um systematische Vorbereitung geht und empfiehlt, sich idealerweise für etwa zehn Tage selbst versorgen zu können; zugleich wird auch ein Vorrat für zumindest drei Tage als entlastend beschrieben.  Ergänzend nennt das BBK für Stromausfälle konkrete Selbsthilfemaßnahmen, die im Kern auf Informationsfähigkeit, Grundversorgung und Handlungsfähigkeit abzielen, weil Geldautomaten, Kartenzahlungen und digitale Informationskanäle bei längeren Ausfällen unzuverlässig werden können.

Unternehmen und BCM: Der Stromausfall als Stresstest für Betriebsfähigkeit

Für Unternehmen ist die Lehre ähnlich, nur in größerer Dimension. Resilienz in kritischen Infrastrukturen ist immer auch Resilienz derjenigen, die auf diese Infrastruktur angewiesen sind. Business-Continuity-Management und Krisenplanung sind deshalb nicht nur für Betreiber „kritischer“ Systeme relevant, sondern für jede Organisation, deren Leistungsfähigkeit an Strom, Kommunikation, Kühlung, IT-Dienste oder Zugänglichkeit von Standorten gebunden ist. Der Berliner Senat verweist im Maßnahmenplan auf die Notwendigkeit, Angebote und Unterstützung für Unternehmen an Gewerbestandorten auszubauen und auf die Bedeutung von Notfallplänen, Schwachstellenanalysen und Notstromlösungen.  Gerade in einer zunehmend elektrifizierten Stadtökonomie wird die Frage entscheidend, welche Prozesse eine Organisation kurzzeitig unterbrechen kann, welche zwingend aufrechterhalten werden müssen und welche technischen sowie organisatorischen Brücken dafür bereitstehen.

Resilienz ist ein Prozess – und beginnt vor dem Ereignis

Am Ende steht eine nüchterne, aber produktive Erkenntnis: Eine moderne Großstadt kann Stromausfälle nicht vollständig ausschließen, weder durch Technik noch durch Organisation. Was sie jedoch sehr wohl beeinflussen kann, ist die Wahrscheinlichkeit schwerer Ereignisse, die Dauer der Unterbrechung und die gesellschaftlichen Folgeschäden. Genau darin liegt der Sinn von Resilienz als Leitprinzip: Sie verbindet physische Netzarchitektur, Sicherheits- und Redundanzkonzepte, Reparaturfähigkeit, Krisenkommunikation, behördliche Anlaufstrukturen und die Fähigkeit der Bevölkerung, mit begrenzten Ressourcen für eine gewisse Zeit eigenständig handlungsfähig zu bleiben. Der Berliner Vorfall ist damit weniger ein Argument für Alarmismus als ein Anlass für professionelles Risikomanagement – in der Infrastrukturpolitik, in Organisationen und in privaten Haushalten gleichermaßen.

Der Beitrag Stromausfall im Berliner Südwesten: Ein Realitätscheck für Resilienz erschien zuerst auf Business Resilience Podcast.