Kritische Infrastruktur: Was passiert bei Cyberangriffen?

Strom kommt aus der Steckdose, Wasser aus dem Hahn, das Telefon-Netz funktioniert. Selbstverständlich? Eigentlich nicht. Hinter diesen Selbstverständlichkeiten steht die Kritische Infrastruktur (KRITIS) — ein komplexes Netz aus Energie-, Wasser-, Gesundheits-, Verkehrs- und Telekommunikations-Anlagen. Und dieses Netz steht unter zunehmendem Druck: durch Klimawandel, Cyberangriffe, Sabotage und Lieferengpässe.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundesamt für Bevölkerungsschutz (BBK) und die EU haben in den letzten Jahren neue Regeln eingeführt: NIS2-Richtlinie auf europäischer Ebene, KRITIS-Dachgesetz auf deutscher Ebene. Sie verpflichten Betreiber zu mehr Cyber-Sicherheit, Resilienz und Meldewegen.

Aber was bedeutet das konkret für dich als Bürger? Welche Auswirkungen können Cyberangriffe auf deinen Alltag haben? Und wie kannst du dich vorbereiten? In diesem Ratgeber findest du eine Einordnung — verständlich erklärt.

Was ist KRITIS überhaupt?

KRITIS umfasst nach BBK-Definition 12 Sektoren:

Energie (Strom, Gas, Mineralöl)
Informationstechnik und Telekommunikation
Wasser (Trinkwasser, Abwasser)
Ernährung
Gesundheit (Krankenhäuser, Apotheken, Pharma)
Finanzwesen
Transport und Verkehr
Medien und Kultur
Staat und Verwaltung
Siedlungsabfallentsorgung
Weltraum
Forschung

Jeder Sektor enthält Anlagen, deren Ausfall erhebliche Auswirkungen auf die Bevölkerung hätte. Ein Atomkraftwerk gehört dazu, aber auch das große Klärwerk einer Stadt, das Fernheizwerk oder der Bahn-Knotenpunkt.

Welche Bedrohungen gibt es?

1. Cyberangriffe

Hacker greifen IT-Systeme an. Beispiele in den letzten Jahren:

Düsseldorf 2020: Cyberangriff auf Uniklinik — eine Patientin starb auf der Verlegungsfahrt in eine andere Stadt
Anhalt-Bitterfeld 2021: Ransomware-Angriff auf Landratsamt — wochenlanger Verwaltungs-Stillstand
Mehrere Stadtwerke wurden mit Erpressung konfrontiert
Gesundheits-Daten werden international zunehmend Ziel von Angriffen

2. Physische Sabotage

Erdöl- und Erdgas-Leitungen wurden 2022 (Nord Stream) gesprengt
Bahn-Kabel in Niedersachsen-Hamburg wurden durchtrennt — Fern-Bahnverkehr für Stunden lahm
Stromtrassen als potentielle Ziele

3. Lieferketten-Probleme

Halbleiter-Krise 2021/22 zeigte: Auch die Industrie-Versorgung ist verletzlich
Energie-Lieferungen aus politisch-instabilen Regionen
Pharmazeutika zu großen Teilen aus Asien

4. Klimawandel

Hitzewellen bringen Stromnetze an die Grenze
Hochwasser zerstört Infrastruktur (Ahrtal 2021: Stromnetze wochenlang aus)
Stürme legen Bahn und Straße lahm

5. Insider-Bedrohungen

Unzufriedene Mitarbeiter mit IT-Zugang
Sabotage durch eigene Belegschaft (selten, aber dokumentiert)

Was passiert bei einem Cyberangriff?

Beispiel: Stromnetz

Wenn ein Angreifer in das Steuerungssystem eines Stadtwerks eindringt:

Sofort: Lokal Strom weg
Stunden danach: Nachbarregionen können nicht einspringen, falls weiträumig
Tage danach: Stromnetzbetreiber stellen langsam wieder her

Reale Beispiele aus dem Ausland: Ukraine 2015 — gezielter Stromnetz-Angriff legte 230.000 Haushalte lahm.

Beispiel: Krankenhaus

Sofort: Patientenakten verschlüsselt — keine Behandlung möglich
Stunden danach: Notaufnahme schließt, Patienten werden umgeleitet
Tage danach: Operationen verschoben, kritische Fälle gefährdet

Beispiel: Wasserwerk

Sofort: Steuerung der Pumpen ausgefallen
Stunden danach: Druckabfall im Netz
Tage danach: Trinkwasser-Versorgung kompromittiert, Abkochempfehlung

NIS2-Richtlinie

Die NIS2-Richtlinie ist die EU-weite Cyber-Sicherheits-Regulierung. Seit Oktober 2024 in Kraft:

Betroffen: Über 30.000 Unternehmen in Deutschland (mittelgroße und große Firmen in 18 Sektoren)
Pflichten: Cyber-Sicherheits-Management, Vorfälle melden binnen 24 Stunden, regelmäßige Audits
Strafen: Bis 10 Millionen Euro oder 2 Prozent des Jahresumsatzes
Geschäftsführer-Haftung: Persönlich verantwortlich

Die Folge: Selbst der mittelgroße Stadtwerks-Betreiber muss seine IT massiv hochrüsten.

KRITIS-Dachgesetz

Das deutsche KRITIS-Dachgesetz (Stand 2026) ist die nationale Umsetzung. Wichtigste Punkte:

Resilienz-Management für KRITIS-Betreiber
Verpflichtende Risiko-Analyse
Mindeststandards für physische und digitale Sicherheit
Bevölkerungsschutz-Konzepte mit Behörden abgestimmt
Übungen und regelmäßige Tests

Auch hier: hohe Strafen bei Versäumnissen.

Was bedeutet das für Bürger?

Direkte Auswirkungen sind selten, aber:

Wenn ein Angriff erfolgreich ist

Strom-Ausfall über Stunden bis Tage
Wasserversorgung unterbrochen
Bargeld-Versorgung ausfällt (Banken, Geldautomaten)
Internet und Telefon weg
Krankenhäuser überlastet
Lebensmittel-Versorgung schwierig (Logistik-Ausfall)

Mit anderen Worten: Eine größere Krise, die durch persönliche Vorsorge abfederbar ist.

Was du tun kannst

1. Vorrat anlegen

Die Standard-Empfehlungen des BBK:

10 Tage Wasser
10 Tage Lebensmittel
Bargeld (200–500 Euro)
Batterie-Radio
Powerbank

2. Diversifizierung

Mehrere Bezahl-Methoden: Kein Single-Point-of-Failure
Zwei Banken für höhere Sicherheit
Hausarzt + alternative Klinik kennen
Mehrere Vorräte (Konserven + Trockenwaren + Frischeware)

3. Infos aus mehreren Quellen

NINA, Cell Broadcast, Lokalradio
Mehrere Bekannte als Backup-Kontakt
Behörden-Telefonnummern auf Papier

4. Cyber-Hygiene zuhause

Starke Passwörter und Passwort-Manager
Zwei-Faktor-Authentifizierung überall
Backups der wichtigsten Daten
Aktuelle Software (Updates installieren)
Phishing-E-Mails erkennen — nicht klicken

Spezial: Ransomware-Wellen

Ransomware verschlüsselt Computer-Daten. Auch Privat-Computer können betroffen sein:

Backup auf externer Festplatte (offline!)
Kein Klick auf verdächtige Anhänge
Browser und Software aktuell halten
Antivirus mit Verhaltens-Erkennung
Wichtige Dokumente in der Cloud (verschlüsselt)

Spezial: Mobil und IoT

Internet-of-Things-Geräte (Smart-Home, Smart-TV, Kameras) sind oft schlecht abgesichert:

WLAN-Passwort regelmäßig ändern
Gast-WLAN für IoT-Geräte einrichten
Standard-Passwörter sofort ändern
Updates der Smart-Home-Geräte installieren
Unnötige Geräte vom Netzwerk trennen

Resilienz: Wenn es passiert

Bei Stromausfall

Siehe der Stromausfall-Ratgeber. Wichtig hier: Bei einem Cyber-Angriff kann es länger dauern als bei normalem Stromausfall, weil die Wiederherstellung manuell erfolgen muss.

Bei Wasser-Ausfall

Vorrat aktivieren
Brauchwasser-Quellen identifizieren
Aufbereitungs-Mittel (Mikropur) bereithalten

Bei Internet-Ausfall

Bargeld für Einkäufe
Lokale Lieferanten haben oft eigene Backup
Information über Radio
Kommunikation über lokale Treffpunkte / Anrufkette

Häufige Fragen

Wie wahrscheinlich sind Cyberangriffe?

Sehr wahrscheinlich, aber meist klein und lokal. Großflächige Angriffe sind selten, kommen aber zunehmend vor. In Deutschland 2023: Über 200 Angriffe auf KRITIS-Sektoren (laut BSI-Bericht).

Wer ist verantwortlich, wenn die Stadtwerke ausfallen?

Der Betreiber ist primär verantwortlich, hat aber meist Versicherungs-Schutz. Für die Bürger: Schadensersatz schwierig, weil "Höhere Gewalt" oft argumentiert wird. Eigene Vorsorge ist besser als auf Versicherung zu vertrauen.

Sind staatliche Stellen darauf vorbereitet?

Mit NIS2 und KRITIS-Dachgesetz besser als vor 5 Jahren — aber nicht perfekt. Das BBK selbst weist darauf hin, dass die Bevölkerung "wesentlich aktiver" werden muss.

Was ist mit Banken und Konten?

Online-Banking funktioniert nicht ohne Internet. Bei Cyber-Angriffen können Banken zeitweise schließen. Daher: Bargeld als Backup, mehrere Bank-Beziehungen.

Wer warnt mich bei Cyber-Angriffen?

In der Regel lokale Behörden über NINA / Cell Broadcast. Bei Großstörungen auch über Radio. Aber: Cyber-Angriffe werden oft erst spät bekanntgegeben (Ermittlungen).

Soll ich Bitcoin für den Notfall haben?

Krypto ist abhängig von Internet-Verfügbarkeit. Im Krisenfall daher nicht hilfreich. Bargeld bleibt die beste Krisen-Reserve.

Wie schütze ich meinen Smart-Home-Hub?

Standard-Passwort sofort ändern
WLAN-Passwort regelmäßig erneuern
Smart-Home auf separates Gast-WLAN
Updates aller Geräte
Bei Verdacht: Firmware komplett neu

Was kann ich gegen den Klimawandel tun?

Auf Bürger-Ebene: Vorsorge stärken (Hochwasser, Hitze) und politisch aktiv werden. Auf System-Ebene: Resiliente Infrastruktur fordern.

Fazit

Kritische Infrastruktur ist die unsichtbare Lebensader unserer modernen Gesellschaft. Cyberangriffe und Sabotage sind reale Bedrohungen, die durch NIS2 und KRITIS-Dachgesetz besser adressiert werden — aber nicht ausgeschlossen sind. Als Bürger ist deine beste Antwort: persönliche Vorsorge auf BBK-Standard, gute Cyber-Hygiene und ein Bewusstsein für die Mehrkanal-Information.

Mit dem Objektschutz-Modul des Alarmplaners siehst du die KRITIS-Standorte in deiner Region und kannst dein eigenes Resilienz-Profil einschätzen. So bleibst du auch bei einem Cyber-Schlag handlungsfähig.