Alle Tage Sabotage

In fünf Tagen wurden in Deutschland drei Anlagen angegriffen: zwei Umspannwerke in Brandenburg und Nordrhein-Westfalen, dazu am Donnerstag eine Baustelle in München in unmittelbarer Nähe mehrerer Rüstungsunternehmen. Dann nochmal zwei Umspannwerke, in der Nacht von heute nochmal eines. Am selben Tag wurde ein vertrauliches Lagebild des Bundeskriminalamts (BKA) bekannt: mehr als 165 Sabotageverdachtsfälle und 747 verdächtige Drohnenvorfälle seit Januar. Der materielle Schaden blieb in allen drei Fällen gering, mein Jan Hesselbarth in seinem SPARTANAT Artikel, die Wirkung liegt in der Wahrnehmung: Jede Meldung verschiebt die Frage, wem man glaubt und wie sicher der eigene Standort ist. Für Betreiber und Zulieferer im Sicherheits- und Verteidigungsmarkt bedeutet das Pflichten mit Fristen, eine ungeklärte Befugnislage bei der Drohnenabwehr und eine Kommunikationsaufgabe gegenüber der eigenen Belegschaft.

Drei Anlagen in fünf Tagen, dazu eine Kette von Ausspähungen seit Juli

• Juli 2026: In Bayern wird ein moldauischer Staatsangehöriger festgenommen, der mit einer Drohne das Rüstungsunternehmen KNDS ausgespäht haben soll. Die Ermittler vermuten Auftraggeber in russischen staatlichen Stellen. Quelle: BKA-Lagebild, berichtet von NDR, WDR und SZ.
• 4. August 2026: Am Flughafen Leipzig/Halle wird eine mit Sprengstoff beladene Drohne entdeckt, in der Nähe mehrerer ukrainischer Frachtflugzeuge. Der Flughafen ist Umschlagplatz für militärische Hilfslieferungen. Bis zum 25. August werden drei Fluggeräte ganz oder in Teilen gefunden; technische Spuren deuten auf eine höhere Zahl.
• Anfang August 2026: In Thüringen wird ein 33-jähriger ukrainischer Staatsangehöriger festgenommen. Die Generalstaatsanwaltschaft München beschuldigt ihn, im Juni Fotos vom Betriebsgelände eines bayerischen Rüstungsunternehmens an einen Auftraggeber geliefert zu haben, als Vorbereitung einer Sabotageoperation. Er sitzt in Untersuchungshaft.
• 9. August 2026: An einer Erdgasaufbereitungsanlage in Großenkneten (Landkreis Oldenburg) werden nachts Drohnen gesichtet. Ein Wachmann spricht zwei dunkel gekleidete Personen an. Nach dem Polizeibericht schlagen sie seinen Kopf auf die Motorhaube, er stürzt, die Täter fliehen mit Sturmhauben und Handschuhen. Die Fahndung bleibt erfolglos.
• 1. September 2026: Die Bundesregierung macht Russland für Leipzig/Halle verantwortlich. Bundesinnenminister Dobrindt: Die Erkenntnisse deuteten "klar auf russische Involvierung"; die Ausführung sei "dem Bereich von Low-Level-Agenten zuzuordnen". Konsequenzen: Einbestellung des Botschafters, Schließung des Generalkonsulats Bonn zum 18. September, Kündigung des Vertrags für das Russische Haus in Berlin, verschärfte Einreisekontrollen. Russland bestreitet jede Beteiligung, Präsident Putin wirft der Bundesregierung Beweisfälschung vor.
• 1. September 2026: Am Umspannwerk Turnow-Preilack bei Jänschwalde werden mehr als ein Dutzend selbstgebaute Geschosse mit Treibsatz gefunden, aus Röhren abgefeuert, mit Metallhaken und Kupferdrähten zur Erzeugung eines Kurzschlusses. Ein Block im Kraftwerk Jänschwalde schaltet ab, Back-up-Systeme greifen. Zur Trefferwirkung gehen die Angaben auseinander: rbb berichtet von zwei Kurzschlüssen, das ZDF zitiert Innenminister Redmann mit einem Treffer ohne Auswirkungen.
• 2. September 2026: In Bergheim bei Köln löst ein Kurzschluss den Ausfall mehrerer Leitungen aus, fünf Braunkohleblöcke gehen vom Netz. In einem Maisfeld werden sechs Abschussvorrichtungen gefunden. Amprion erklärt, die allgemeine Versorgung sei nicht betroffen gewesen. Am Abend kontrolliert die Hamburger Polizei Kraftwerke und Umspannwerke im Großraum Hamburg, nach eigener Darstellung ohne konkrete Hinweise.
• 3. September 2026: In München werden Brandsätze aus einem fahrenden Auto auf eine Baustelle geworfen, in deren unmittelbarer Nähe mehrere Rüstungsunternehmen ihren Sitz oder eine Niederlassung haben. Ein Zeuge alarmiert die Polizei, zwei bulgarische Staatsangehörige (38 und 28 Jahre) werden kurz darauf an einer Tankstelle festgenommen, ein nicht entzündeter Brandsatz wird entschärft. Nach Informationen des ARD-Hauptstadtstudios liegen starke Hinweise auf einen Auftrag eines russischen Geheimdienstes vor, ausgeführt durch angeheuerte Wegwerfagenten. Eine amtliche Zuschreibung liegt nicht vor.

Wie groß die Fallzahl insgesamt ist

Das vertrauliche BKA-Lagebild, entstanden aus der Arbeit des im Juni 2026 eingeweihten Gemeinsamen Abwehrzentrums Hybrid, weist mit Stand Ende August 2026 aus:

• mehr als 165 Sabotageverdachtsfälle bundesweit im laufenden Jahr, einschließlich Ausspähungssachverhalten ohne Tatmittel Drohne,
• 747 verdächtige Drohnenvorfälle von Januar bis Ende August, dabei 1.068 Drohnen über kritischer Infrastruktur, militärischen Einrichtungen und Rüstungsunternehmen, gegenüber rund 1.300 gemeldeten Drohnen-Sachverhalten im gesamten Jahr 2025,
• 24 neue Ermittlungsverfahren wegen Spionage, davon zwölf zu Cyberspionage, dazu 40 Prüfvorgänge,
• 112 festgestellte Straftaten mit Spionagebezug, darunter mehr als 60 Fälle sicherheitsgefährdenden Abbildens und 26 Fälle mit Verdacht auf Agententätigkeit zu Sabotagezwecken,
• regionale Schwerpunkte: Brandenburg 23, Nordrhein-Westfalen und Schleswig-Holstein je 21, Niedersachsen 15 Straftaten.

Was bei den Umspannwerken offen bleibt

Für Jänschwalde und Bergheim gibt es keine Zuschreibung. Die Staatsanwaltschaften ermitteln wegen Terrorismus oder verfassungsfeindlicher Sabotage, ein Zusammenhang beider Taten gilt als wahrscheinlich, ein Bekennerschreiben liegt in keinem der beiden Fälle vor. NRW-Innenminister Reul prüft fremdstaatlich gelenkte Sabotage und Linksextremismus. In Sicherheitskreisen heißt es, die Vorgehensweise sei für Linksextremisten ungewöhnlich unprofessionell; für eine Ausführung durch Wegwerfagenten fehlen bislang Hinweise. Der Vorsitzende des Parlamentarischen Kontrollgremiums, Marc Henrichmann, mahnt, sich vor vorschnellen Bewertungen zu hüten.

Die Behörden benennen die Gesellschaft selbst als Ziel

Das Wirkprinzip ist offengelegt und wird von den zuständigen Behörden beschrieben. Das Bundesamt für Verfassungsschutz (BfV) nennt es die Summe kleiner Nadelstiche, ausgeführt über angeworbene Gelegenheitstäter, rekrutiert über Messengerdienste, bezahlt in Kryptowährung. BfV-Präsident Sinan Selen benennt das Ziel: es sei "gerade die Zielfläche Gesellschaft, die es zu beeinflussen gilt". Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) beschreibt denselben Zweck als Destabilisierung und Einflussnahme auf die Meinungs- und Willensbildung. Wer diese Beschreibung ernst nimmt, bewertet die drei Anschläge dieser Woche nicht am Sachschaden.

Der Aufwand entsteht auf der angegriffenen Seite

Das Kosten-Nutzen-Verhältnis liegt beim Angreifer. Material aus dem Handel, Aufwand nach Aussage des Brandenburger Innenministers ohne Spezialistenwissen, Täter aus dem europäischen Ausland mit Touristenvisum oder Mietwagen. Auf der anderen Seite: Polizeihundertschaften in Maisfeldern, Drohnen über Kraftwerken, Sonderkontrollen in Hamburg ohne konkrete Hinweise, eine Woche politische Debatte. Diese Asymmetrie erklärt die Frequenz der Versuche.

Die Zuschreibung dauerte 28 Tage und war danach selbst umstritten

Die Zuordnung eines Vorfalls braucht Zeit, und diese Zeit wirkt für den Angreifer. Zwischen dem Vorfall in Leipzig und der Zuschreibung lagen 28 Tage. Danach wurde die Zuschreibung selbst zum Streitgegenstand: Die AfD-Fraktion beanstandet die unzureichende Offenlegung der Belege, der stellvertretende Vorsitzende des Parlamentarischen Kontrollgremiums von Notz verweist auf die Ermittlungen von Generalbundesanwalt und BKA, der Sicherheitsforscher Peter Neumann hält die Zuordnung für plausibel und die öffentliche Beweisführung für zu dünn. Nico Lange von der Münchner Sicherheitskonferenz beschreibt die Verschleierung der Urheberschaft als Bestandteil der Methode. Für Jänschwalde und Bergheim dauert diese Phase an, und sie kann anders ausgehen als in Leipzig.

Zur Gewöhnung fehlen Daten, zum wachsenden Dunkelfeld liegen sie vor

Zu einer Wahrnehmungsabnutzung liegt keine belastbare deutsche Zeitreihe vor. Rechnerisch stehen 165 Sabotageverdachtsfälle in acht Monaten für rund 20 Fälle im Monat, von denen ein kleiner Teil öffentlich verhandelt wird. Zwei Werte sind gemessen: In der Bitkom-Studie "Wirtschaftsschutz 2026" (1.003 Unternehmen ab zehn Beschäftigten, vorgestellt am 26. August gemeinsam mit dem BfV) sank der Anteil der Unternehmen, die einen erfolgreichen Angriff mit Sicherheit feststellen konnten, von 87 auf 67 Prozent, während die bloße Vermutung von 10 auf 29 Prozent stieg. In der Bitkom-Untersuchung "Hybride Angriffe" vom März 2026 (604 Unternehmen, 1.263 Personen ab 16 Jahren) erwarten 83 Prozent der Unternehmen und 82 Prozent der Bevölkerung eine ernsthafte Krise infolge hybrider Angriffe; gut vorbereitet sehen sich 12 Prozent der Unternehmen und 15 Prozent der Bevölkerung, ausreichend informiert 22 Prozent der Unternehmen, 64 Prozent der Bevölkerung geben an, nicht informiert zu sein. Bitkom ist Interessenvertreter seiner Mitglieder; beide Erhebungen sind repräsentativ gewichtet mit ausgewiesener Fehlertoleranz. Die Annahme einer nachlassenden Aufmerksamkeit bleibt damit eine Arbeitshypothese; prüfbar ist sie im eigenen Haus an der Beteiligung an Übungen und an der Meldedisziplin bei Auffälligkeiten am Standort.

Die Zuständigkeit liegt beim Betreiber, eine klare Verordnung dazu fehlt

Die Zuständigkeit ist eindeutig, die Rechtsgrundlage ist es nicht. Das Bundesinnenministerium stuft kritische Infrastruktur als hoch abstrakt gefährdet ein und stellt klar: "Grundsätzlich sind jedoch die Betreiber für den Schutz ihrer jeweiligen Einrichtungen verantwortlich." Das KRITIS-Dachgesetz gilt seit dem 17. März 2026. Die Rechtsverordnung, die kritische Dienstleistungen, Anlagenkategorien und Schwellenwerte bestimmt, liegt seit dem 28. Mai 2026 als Referentenentwurf vor und ist nicht erlassen; einen Zeitplan hat das Ministerium auf Nachfrage nicht genannt. Damit steht für einen Teil der Anlagen weiterhin nicht fest, ob und ab wann sie erfasst sind. Irene Mihalic (Grüne) bemängelt, es sei unklar, "welche Unternehmen und Einrichtungen welche konkreten Maßnahmen treffen müssen"; die Deutsche Polizeigewerkschaft erklärt, der Schutz kritischer Infrastruktur sei keine originäre Polizeiaufgabe und es fehle an konsequenten Investitionen. Reul fordert erweiterte Betreiberrechte bei Videoüberwachung und Drohnenabwehr und hält das für "relativ schnell" regelbar. Der Bundesverband der Energie- und Wasserwirtschaft (BDEW) verlangt Anpassungen im Datenschutzrecht für die Überwachung angrenzender öffentlicher Flächen.

Vier Folgen für Betreiber und Zulieferer

Die Registrierung setzt Fristen von drei, neun und zehn Monaten in Gang.

Das KRITIS-Dachgesetz (Gesetz zur Stärkung der physischen Resilienz kritischer Anlagen; KRITIS steht für kritische Infrastruktur) verlangt von Betreibern kritischer Anlagen eine eigene Risikoanalyse mindestens alle vier Jahre, Resilienzmaßnahmen und einen Resilienzplan. Hybride Bedrohungen sind als Risikokategorie ausdrücklich genannt. Die Maßnahmenliste des Gesetzes umfasst baulichen und technischen Objektschutz, Verfahren zur Überwachung der Umgebung, Detektionsgeräte, Zugangskontrollen, Krisenmanagement, Notstromversorgung, alternative Lieferketten sowie ein Sicherheitsmanagement für Mitarbeitende einschließlich des Personals externer Dienstleister. Die Uhr läuft ab der Registrierung: drei Monate zur Registrierung, neun Monate bis zur Risikoanalyse, zehn Monate bis Resilienzmaßnahmen, Meldewesen und Geschäftsleitungspflichten. Der Regelschwellenwert liegt bei 500.000 versorgten Einwohnern, das Bundesinnenministerium kann Anlagen darunter im Einzelfall als erheblich feststellen. Parallel gilt seit dem 6. Dezember 2025 das NIS-2-Umsetzungsgesetz, mit dem die EU-Cybersicherheitsrichtlinie NIS 2 in deutsches Recht überführt wurde, für rund 29.500 Einrichtungen; Betreiber kritischer Anlagen gelten dort automatisch als besonders wichtige Einrichtungen.

Detektion ist zulässig, die Abwehr durch Betreiber ist ungeregelt

Das Zweite Gesetz zur Änderung des Luftsicherheitsgesetzes ist zum 17. März 2026 in Kraft und erlaubt den Streitkräften den Abschuss von Drohnen zur Unterstützung der Länder, wenn nur so ein besonders schwerer Unglücksfall abgewendet werden kann. Für Betreiber besteht nach der Entschließung des Bundestages vom 26. Februar 2026 keine ausdrückliche Rechtsgrundlage zur Detektion und Abwehr; die Bundesregierung ist zur Prüfung einer Ermächtigungsgrundlage aufgefordert. Wer Detektion, Sensorik oder Objektschutz anbietet, sollte diesen Prüfauftrag verfolgen, weil er über die Zulässigkeit ganzer Leistungsbilder entscheidet. Wer beschafft, trennt Detektion, die zulässig ist, von Wirkmitteln, deren Einsatz staatlichen Stellen zugeordnet bleibt.

Zulieferer und ihre Geschäftsführer stehen im Zielspektrum

Die belegten Fälle betreffen mehrfach Unternehmen der Verteidigungswirtschaft und deren Führungspersonal: Ausspähung von KNDS im Juli, Fotos eines bayerischen Betriebsgeländes im Juni, Festnahmen im März wegen Ausspähung des Drohnenherstellers Donaustahl und des privaten Wohnsitzes seines Geschäftsführers, nach Überzeugung der Sicherheitsbehörden zur Vorbereitung einer Tötung, dazu zwei Festnahmen an der ungarisch-serbischen Grenze im Juli mit Sprengstoff und Drohne auf dem Weg nach Deutschland. Selen benennt die Sicherheits- und Verteidigungswirtschaft als besonders attraktive Zielfläche fremder Dienste. Wer in diesem Markt wächst, kalkuliert Personenschutz, Werkschutz und Informationssicherheit als Positionen der Wachstumskosten.

Die Belegschaft entscheidet über Meldung und Deutung eines Vorfalls

Wenn die Wirkung über Verunsicherung läuft, ist die Belegschaft Teil der Angriffsfläche und Teil der Verteidigung. Der Vorfall in Großenkneten zeigt zusätzlich, dass Wachpersonal körperlich betroffen ist. Zwei Punkte gehören daher zusammen: die Meldedisziplin bei Auffälligkeiten an Zäunen, Zufahrten und Nachbarflächen, und eine eigene, schnelle Information der Beschäftigten, damit die Deutung eines Vorfalls nicht über Gerüchte läuft. Die Anwerbung von Gelegenheitstätern über Messengerdienste betrifft Ihr Personal und das Personal Ihrer Dienstleister; das Gesetz adressiert dieses Feld ausdrücklich.

Handlungsempfehlung

1. Lassen Sie schriftlich feststellen, ob Ihr Unternehmen unter das KRITIS-Dachgesetz, unter das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes oder unter beide fällt, mit Begründung und Datum. Setzen Sie einen Beobachtungsauftrag für die Kritisverordnung, damit die Dreimonatsfrist zur Registrierung nicht durch Zuständigkeitsfragen verstreicht. Eine rechtliche Einzelfallprüfung bleibt erforderlich.
2. Prüfen Sie Ihre Standorte gegen das jetzt dokumentierte Vorgehen: Vorbereitungshandlungen im Umfeld über mehrere Tage, Ablagen in angrenzenden Feldern, Sichtachsen auf Freileitungen und Zufahrten, Drohnenanflüge in der Nacht. Führen Sie eine Übung mit Nachtszenario durch, in der die Meldekette an Polizei, Netzbetreiber und, soweit anwendbar, BBK und Bundesamt für Sicherheit in der Informationstechnik (BSI) vollständig durchlaufen wird. Nehmen Sie das Personal externer Dienstleister in das Sicherheitsmanagement auf und regeln Sie das Verhalten von Wachpersonal bei Begegnung mit Unbekannten.
3. Legen Sie eine Informationsroutine für Vorfälle im Umfeld Ihrer Standorte fest, mit benannter Absenderin oder benanntem Absender, festem Kanal und einer Regel für den ersten Hinweis innerhalb weniger Stunden. Nehmen Sie die Anwerbung über Messengerdienste in die Sicherheitsunterweisung auf, mit einer klaren Meldeadresse im Unternehmen.

Drei Fragen an Sie:

1. Wissen Ihre Beschäftigten, wohin sie eine Auffälligkeit am Standort melden, und haben Sie diesen Weg in den vergangenen zwölf Monaten geprüft?
2. Woher erfahren Ihre Beschäftigten von einem Vorfall in Ihrem Umfeld: aus Ihrem Haus oder aus sozialen Netzwerken?
3. Welche Aussage treffen Sie gegenüber Ihrer Belegschaft, solange eine Zuschreibung offen ist, und wer im Unternehmen darf sie treffen?

Bleiben Sie wachsam!

JAN HESSELBARTH verantwortet als Co-Founder und Managing Partner der BRAVO SIX ADVISORY GmbH den Bereich Defence und bringt über 20 Jahre operative und strategische Führungserfahrung aus Bundeswehr, Bundesbehörden und Privatwirtschaft mit. Als Fallschirmjägeroffizier und Joint Terminal Attack Controller (JTAC) war nach einem Einsatz in Kunduz/Afghanistan beim Landeskommando Hamburg für territoriale Aufgaben und Host Nation Support zuständig. Sein Beratungsportfolio umfasst NATO-Missionen, Programme mit bis zu 1.000 Beteiligten, Ausbildungsbeiträge für mehr als 5.000 Bundeswehrangehörige sowie die Co-Autorenschaft einer bundesweiten Studie zur maritimen Sicherheit für das Bundesministerium des Innern, einem Kernthema im KRITIS-Kontext.

BRAVO SIX ADVISORY online