Wenn die Bundesnetzagentur den Strom drosselt

Industrieunternehmen tun gut daran, sich auf mögliche Strommangellagen vorzubereiten.Andrei Armiagov | shutterstock.com



Seit 2024 lässt die Bundesnetzagentur eine „Sicherheitsplattform Strom“ aufbauen, über die sie bei einem länger anhaltenden Engpass bei der Stromversorgung den Verbrauch großer Industriebetriebe steuern kann.



Für Unternehmen in diesem Bereich ist das nicht nur ein Thema für den Energieeinkauf, sondern ein Stresstest in Sachen Business Continuity, OT-Security und die gesamte Krisen-Governance.



„Sicherheitsplattform Strom“ – was ist das?



Zunächst die Fakten, ohne Alarmton: Die Bundesnetzagentur lässt seit 2024 vom Übertragungsnetzbetreiber Amprion eine digitale Plattform aufbauen. Im Fall einer „persistenten Strommangellage“ – also einem Engpass, der sich über Tage bis Wochen hinzieht – will sie darüber als „Bundeslastverteiler“ agieren.



Den rein präventiven Aufbau bestätigte die Behörde auf Anfrage der Zeitung für kommunale Wirtschaft. Weitere Details will die Behörde demnächst auf ihrer Website veröffentlichen. Die Rechtsgrundlage für die Sicherheitsplattform Strom bildet das Energiesicherungsrecht aus den 1970er-Jahren: Die Elektrizitätslastverteilungs-Verordnung erlaubt Lastverteilern befristete Verfügungen auch gegenüber Verbrauchern.



Das Vorbild ist die „Sicherheitsplattform Gas“, die am 29. September 2022 an den Start ging. Die konkreten Parameter stammen aus bislang unveröffentlichten Unterlagen einer Informationsveranstaltung von der Bundesnetzagentur und Amprion.



Demnach sollen sich Endabnehmer mit einem Jahresverbrauch ab acht Gigawattstunden registrieren. Sie müssen bei einer sich abzeichnenden Mangellage Verbrauchsprognosen und Einsparpotenziale melden und erhalten Reduktionsanweisungen mit einem Vorlauf von 24 Stunden bis zu drei Tagen. Über Dauer und Umfang einzelner Anweisungen und über endgültige Schwellenwerte gibt es bislang keine bestätigten öffentlichen Angaben.



Wichtig ist eine Abgrenzung, die in Teilen der Berichterstattung verrutscht ist: Hierbei handelt es sich nicht um einen Blackout-Plan. Ein Blackout ist ein ungeplanter, unkontrollierter Netzzusammenbruch – wie ihn Berlin etwa im Januar 2026 erlebt hat. Für kurzfristige Netzstörungen existieren etablierte Notfallverfahren der Netzbetreiber bis hin zum automatischen Lastabwurf – auf europäischer Ebene geregelt im „Emergency and Restoration Code“.



Die Sicherheitsplattform Strom zielt auf das Gegenteil ab: Eine absehbare Mangellage, in der geplanter Verbrauchsverzicht den unkontrollierten Zusammenbruch verhindern soll. Dass Amprion in seinem Maßnahmenplan zur Versorgungssicherheit vom Januar 2026 warnte, der übliche Sicherheitsstandard werde ab 2028 im Szenariomittel nicht mehr durchgängig eingehalten, gehört zur Einordnung dazu.



Die energiepolitische Bewertung überlasse ich anderen. Die betriebliche Konsequenz nicht.



Der Lackmustest für das ISMS



Aus Sicht einer Behörde lässt sich Last in Megawatt ausdrücken. Aus Sicht eines Werks besteht sie aus Pumpen, Öfen, Kompressoren, Kühlanlagen, Produktionslinien, Leitwarte, Servern und Brandmeldeanlagen.



Zwischen einer Anweisung wie „Reduzieren Sie den Bezug um 30 Prozent“ und ihrer Umsetzung liegt deshalb eine komplexe betriebliche Entscheidung – denn die Reduktion lässt sich nicht proportional über alle Anlagen verteilen. Manche Systeme kann man nahezu folgenlos abschalten. Andere brauchen Stunden für einen kontrollierten Stillstand.



Wieder andere dürfen während bestimmter Prozessphasen überhaupt nicht unterbrochen werden. In kontinuierlichen und thermischen Prozessen kann eine falsche Abschaltreihenfolge Anlagen beschädigen, Chargen vernichten, oder Safety- und Umweltrisiken auslösen. Der technische Störfall entsteht in diesen Fällen erst aus der Strommangellage.



Der sichere Stillstand ist kein Nebenprodukt des Stromsparens, sondern ein eigenes Schutzobjekt. Was ein Werk braucht, ist kein allgemeiner Blackout-Plan, sondern ein belastbares Lastreduktions- und Wiederanlaufkonzept. Die Frage(n), auf die es dabei ankommt: Welche Leistung lässt sich in welcher Zeit einsparen, und unter welchen technischen und sicherheitsbezogenen Bedingungen?



Eine Vorlaufzeit von bis zu drei Tagen klingt zunächst komfortabel. Für komplexe Produktionsumgebungen ist das nicht der Fall: Schließlich müssen in diesem Zeitfenster Aufträge neu bewertet, Schichten geplant, Lieferanten und Kunden informiert, laufende Chargen abgeschlossen oder kontrolliert verworfen und der Ziel-Anlagenzustand definiert werden.



Zudem ist eine solche Ankündigung kein Wartungstermin: Eine zunächst begrenzte Reduzierung kann ausgeweitet oder verlängert werden, Telekommunikation und Logistik können ebenfalls betroffen sein. Anders ausgedrückt: Auch ein angekündigter Eingriff bleibt eine dynamische Krisenlage.



Ein ISMS, das die OT-Sicherheit ernst nimmt, muss auf diese Frage belastbare Antworten geben können: Schaltberechtigungen, ein Vetorecht der Safety, dokumentierte Freigaben – meist entwickelt für das Containment bei Cybervorfällen. Mit einer behördlich angeordneten Lastreduktion tritt nun ein externer, staatlicher Akteur in genau diese Entscheidungskette ein.



Daraus ergeben sich weitere Fragen – etwa:




Wer nimmt die Anordnung entgegen?



Wer übersetzt sie in eine Abschaltreihenfolge?



Wer verantwortet es, wenn eine behördliche Vorgabe gegen sicheren Anlagenzustand abgewogen werden muss?




Erschwerend kommt hinzu, dass diese Fragen in vielen Unternehmen auf vier getrennte Risikowelten treffen: Das Facility Management prüft die USV, die IT pflegt den Disaster-Recovery-Plan, die Produktion hat ihre Not-Aus-Anweisung, die OT-Security ihre Incident-Response-Playbooks.



Im Krisenfall treffen diese vier Welten gleichzeitig aufeinander. Genau das meint der gefahrenübergreifende Ansatz, den das NIS2-Umsetzungsgesetz verlangt – Risikomanagement einschließlich Betriebskontinuität und Krisenmanagement, dessen Umsetzung die Geschäftsleitung billigen und überwachen muss.



Eine Strommangellage ist der Lackmustest, ob der Allgefahrenansatz im eigenen ISMS auch in der Praxis und nicht bloß auf dem Papier tauglich ist.



Notstrom ist keine Resilienzstrategie



„Wir haben ein Aggregat.“ Diesen Satz höre ich in Assessments regelmäßig. Der beruhigt, beantwortet aber die falsche Frage. Notstrom ist fast nie für die Produktion dimensioniert, sondern für Leitwarte, Sicherheitssysteme, Serverräume und einzelne kritische Verbraucher.



USV-Anlagen überbrücken Minuten, allenfalls Stunden, bis das Aggregat übernimmt. Entscheidend ist dabei nicht, ob das Aggregat anspringt, sondern welche Betriebszustände das Werk mit der verfügbaren Restleistung sicher erreichen – und wie lange es sie halten kann.



Ein kurzer Leerlauftest sagt darüber nichts aus: Der Generator kann unter tatsächlicher Last trotzdem ausfallen – und irgendwann braucht er Kraftstoff, der Lieferwege und Personal voraussetzt. Dazu kommen Abhängigkeiten, die in keinem Lastprofil stehen:




Verzeichnis- und Lizenzserver, ohne die sich niemand anmeldet,



MES und Produktionsplanung,



Kühlung, Lüftung und Druckluft,



Brandmelde- und Zutrittssysteme,



Netzwerkkomponenten, und



die externe Telekommunikation.




Alles davon hat eine eigene Zeitachse. Die Stromversorgung eines Geräts sagt insofern wenig darüber aus, ob der zugehörige Prozess funktionsfähig bleibt. Besonders unterschätzt wird der Wiederanlauf: Wer eine Anlage geordnet herunterfahren kann, kann sie nicht automatisch in umgekehrter Reihenfolge wieder einschalten.



Steuerungen, Leitsystem, MES und ERP haben eine definierte Reihenfolge. Systeme, die einen Tag stromlos waren, können in ungeprüften oder inkonsistenten Zuständen hochfahren – vor der Produktionsfreigabe steht deshalb die Integritätsprüfung.



„Inselbetrieb“ betrifft dabei nicht nur die elektrische Insel: Sind zentrale IT- und Cloud-Dienste nicht erreichbar, entscheiden lokale Authentifizierung, lokal bedienbare Wiederherstellungswerkzeuge und eine vorab festgelegte Autarkiedauer darüber, ob der Standort arbeitsfähig bleibt.



Standorte mit gewachsener Schwarzstart- und Wiederanlauforganisation sollten ihre Cyberrecovery nicht parallel danebenstellen, sondern in deren Reihenfolge und Schaltberechtigungen integrieren – zwei konkurrierende Wiederanlaufpläne erzeugen im Ernstfall Doppelaufträge und widersprüchliche Freigaben.



5 Vorbereitungsmaßnahmen (nicht nur) für die Mangellage



Ein Aspekt fehlt in der Debatte fast vollständig: Ein zentrales System, über das sich der Stromverbrauch der deutschen Industrie koordinieren lässt, ist selbst ein hochattraktives Ziel für Angreifer – ein Verzeichnis registrierungspflichtiger Großverbraucher ein sensibler Datenbestand. Die Absicherung von Plattform und Daten ist Sache von Behörde und Betreiber.



Auf der Unternehmensseite bleibt eine sehr konkrete Frage: Woran erkennt Ihre Organisation, dass eine Abschaltanordnung echt ist? Wer eine solche Anordnung glaubwürdig fälschen kann, dem ist es in der Theorie möglich, Produktionsstillstände zu verursachen, ohne ein einziges OT-System anzufassen.



Der Verifikationsweg gehört deshalb in den Prozess, bevor die Plattform ihren ersten Ernstfall erlebt: definierte Kanäle, Rückbestätigung über bekannte Kontakte, festgelegte Empfänger, Vier-Augen-Prinzip. Nach den Deepfake- und CEO-Fraud-Fällen der letzten Jahre ist das erwartbares Angriffsverhalten, keine theoretische Sorge.



Was folgt daraus praktisch? Die folgenden fünf Bausteine lassen sich in bestehende ISMS- und BCM-Strukturen intergieren – und sind unabhängig von Schwellenwerten und Meldeformularen jeden Aufwand wert.




Lastreduktionsregister erstellen: Welche Lasten lassen sich in 30 Minuten, vier Stunden, 24 Stunden reduzieren – und mit welchen Folgen für Produktion, Safety, Qualität und Wiederanlauf?



Crown Jewels um Versorgungsabhängigkeiten erweitern: Kritische OT-Systeme mit ihrem Energie- und Hilfsmedienbedarf erfassen – Kühlung, Netzwerk, Authentisierung, Zeitversorgung, Kommunikation.



Drei Betriebszustände definieren: Reduzierter Betrieb, sicherer Minimalbetrieb, kontrollierter Stillstand – jeweils mit Leistungsbedarf, Umschaltzeit und maximaler Dauer.



Abschalt- und Wiederanlauf-RACI festlegen: Schaltberechtigungen, Safety-Veto, Freigaben für den Neustart – ergänzt um den Verifikationsweg für behördliche Anordnungen.



Abschaltung und Wiederanlauf gemeinsam üben: Die Tabletop-Übung endet nicht beim erfolgreichen Herunterfahren; Notstrom und Minimalbetrieb unter echter Last testen statt im Selbsttest.




Die Bundesnetzagentur kann festlegen, wie viel Last vom Netz geht. Sie kann nicht entscheiden, welche Pumpe, welche Linie, welches OT-System ein Werk zuerst abschaltet. Ob aus der angeordneten Drosselung ein geordneter Übergang oder ein teurer Zwischenfall wird, entscheidet sich deshalb auch nicht in Bonn, sondern im Werk.



Jeder der fünf Bausteine zahlt dabei auf den ungeplanten Stromausfall genauso ein, wie auf den Cybervorfall und das nächste NIS2-Audit. Wer auf die behördliche Nachricht wartet, der fängt zu spät an. (fm)



Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!