Vier Tage lang arbeitete ein britisches Kraftwerk nicht. Nicht wegen eines Defekts, nicht wegen eines Unwetters, nicht wegen eines Streiks - sondern weil jemand aus der Ferne in sein System eindrang und es abschaltete. Mit dem Iran verbundene Hacker haben es britischen Quellen zufolge geschafft, die Stromproduktion in einer Anlage auf dem Gebiet des Vereinigten Königreichs zu stoppen. Das gilt als einer der schwersten Cyberangriffe auf die Energieinfrastruktur des Landes bislang.

Der Name des Kraftwerks wurde aus Sicherheitsgründen nicht veröffentlicht. Es handelt sich um eine relativ kleine Anlage, weshalb der viertägige Ausfall keine Versorgungsprobleme verursachte. Aber darum geht es nicht, und London weiß das genau. Es geht darum, dass die Angreifer tief genug eindrangen, um die Stromerzeugung physisch zu stoppen. Sie stahlen keine Daten. Sie legten keine Website lahm. Sie schalteten den Strom ab.

Der erste bekannte Fall - und genau das macht Angst

Nach den Veröffentlichungen ist dies der erste bekannte Fall, in dem mit dem iranischen Regime verbundene Hacker ein britisches Kraftwerk vollständig lahmlegten. Details wurden nicht bekannt gegeben: Weder ist bekannt, wie sie eindrangen, welche Teile der Infrastruktur sie kompromittierten, noch wie hoch der materielle Schaden ist. Auch nicht, ob sie direkt die Kontrolle über industrielle Steuerungssysteme übernahmen oder ob die Anlage vorsorglich abgeschaltet wurde, nachdem das Kernnetz bereits durchbrochen war.

Das ist der Unterschied zwischen zwei Szenarien, den niemand öffentlich benennen will. Im ersten hielten die Angreifer die Hebel in der Hand. Im zweiten zog der Betreiber selbst die Bremse, weil er im eigenen Netz nicht mehr wusste, wem er trauen kann. Keines von beiden ist eine gute Nachricht.

200 Vorfälle in einem Jahr

Das britische National Cyber Security Centre teilte im Juni mit, in den vorangegangenen zwölf Monaten auf mehr als 200 Cybervorfälle reagiert zu haben, die die kritische Infrastruktur des Landes oder deren Trägersysteme betrafen. Rund drei Viertel davon werden staatlichen Akteuren zugerechnet. Zu den Ländern, deren Hackergruppen als größte Bedrohung genannt werden, zählen Russland, China und der Iran.

Unter kritischer Infrastruktur verstehen die Briten Kraftwerke, Krankenhäuser, Flughäfen, Kommunikationsnetze, Wasserversorgungssysteme - all das, ohne das ein Staat schlicht stehen bleibt. Das Zentrum hatte bereits gewarnt, dass iranische staatliche und mit dem Iran verbundene Gruppen die Fähigkeit zu ernsthaften Operationen behalten. Der jüngste Fall zeigte, dass die Warnung keine theoretische Übung war.

Jenseits des Atlantiks dieselbe Geschichte

Der Vorfall in Großbritannien fiel zeitlich mit einer Reihe von Angriffen auf Infrastruktur in den USA zusammen. Veröffentlichten Informationen zufolge trafen mit dem Iran verbundene Angriffe Wasserversorgungssysteme in zwölf US-Bundesstaaten; an einzelnen Standorten kam es zu ernsten Problemen mit Kläranlagen und zu Warnungen zur Wassersicherheit.

Deshalb halten die britischen Dienste den Angriff auf das Kraftwerk nun womöglich nicht für einen Einzelfall, sondern für Teil einer breiteren Angriffswelle gegen die Infrastruktur von Staaten, die Teheran als Gegner betrachtet. Unternehmen wurden erneut gewarnt, den Schutz ihrer Schlüsselsysteme zu verstärken.

Krieg ohne Raketen

Was dieser Fall gezeigt hat, ist einfacher und unangenehmer als jede Militäranalyse: Um einem Staat den Strom abzuschalten, braucht man keine Raketen und Bomben mehr. Der Zugang zu einem Computersystem genügt. Es gibt keine Front, keine verteidigbare Grenze, keine Sirene, die vor dem Schlag heult.

Und hier kommt die Frage, die man hier stellen sollte und nicht in London. Großbritannien hat ein nationales Cybersicherheitszentrum, das in einem Jahr auf 200 Vorfälle reagierte - also zählt jemand, protokolliert jemand, warnt jemand. Die Frage für unsere Region lautet nicht, ob ein solcher Angriff möglich ist, sondern ob wir ihn überhaupt bemerken würden. Wie viele der Systeme, die uns Strom, Wasser und die Verbindung zur Welt bringen, wurden im vergangenen Jahr geprüft - und wer hat sie geprüft?