Iranischer Angriff setzt britisches Kraftwerk vier Tage lang außer Betrieb

Britische Energieanlage blieb vier Tage lang außer Betrieb

Am 23. August 2026 wurde bekannt, dass mit Iran verbundene Cyberakteure den Betrieb eines kleinen Kraftwerks im Vereinigten Königreich unterbrochen haben. Aus Sicherheitsgründen wurde die Anlage nicht öffentlich identifiziert.

Die Anlage war vier Tage lang nicht verfügbar, während das Personal an der Wiederherstellung arbeitete. Der Vorfall führte zu keinen Unterbrechungen der landesweiten Stromversorgung und setzte das britische Stromnetz insgesamt nicht unter Druck.

Der Fall gilt dennoch als erster bestätigter Vorfall, bei dem Gruppen mit Verbindungen zum iranischen Regime eine Energieanlage im Vereinigten Königreich außer Betrieb gesetzt haben sollen. Zudem wird er als der bislang wirksamste Angriff dieser Akteure auf die britische Energieinfrastruktur beschrieben.

Der Vorfall wurde dem National Cyber Security Centre (NCSC) gemeldet, einer Behörde des GCHQ, die zum Schutz der kritischen Infrastruktur des Landes beiträgt. Das NCSC hat den konkreten Fall öffentlich nicht kommentiert.

Ziel könnte der Nachweis operativer Fähigkeiten gewesen sein

Die veröffentlichte Einschätzung führt die Angreifer auf den Iran zurück, genauer gesagt auf Hacker mit Verbindungen zum Korps der Islamischen Revolutionsgarden (IRGC).

Es gibt keine Hinweise darauf, dass die Operation darauf ausgelegt war, Todesopfer zu verursachen oder der Bevölkerung unmittelbar zu schaden. Die wahrscheinlichste Annahme ist, dass der Angriff die Fähigkeit demonstrieren sollte, in eine britische Infrastruktur einzudringen und ihren Betrieb zu unterbrechen.

Die geringe Größe der Anlage dürfte ihren strategischen Wert daher nicht aufgehoben haben. Ein Generator, der im Verhältnis zum nationalen Stromnetz nur eine marginale Bedeutung hat, kann dennoch als konkreter Nachweis für Zugriff, Kontrolle und Persistenz in einer Betriebsumgebung dienen.

Dass das Kraftwerk vier Tage lang außer Betrieb blieb, ist ein weiterer bedeutender Aspekt. Es ging offenbar nicht nur darum, vorübergehend Zugriff zu erlangen, sondern die Unterbrechung lange genug aufrechtzuerhalten, um einen mehrtägigen Einsatz des Personals erforderlich zu machen.

Der initiale Angriffsvektor, die kompromittierten Systeme, die von den Angreifern eingesetzten Werkzeuge und die Methode zur Wiederinbetriebnahme der Anlage wurden nicht veröffentlicht. Daher lässt sich nicht feststellen, ob die Operation eine Schwachstelle, gestohlene Zugangsdaten, exponierte Fernzugänge oder Techniken zur Manipulation industrieller Steuerungssysteme ausgenutzt hat.

Die Operation fiel zeitlich mit Angriffen auf US-Wasseraufbereitungsanlagen zusammen

Der Angriff auf das britische Kraftwerk soll zeitgleich mit einer Kampagne gegen Wasserinfrastrukturen in den USA stattgefunden haben.

Dutzende über zwölf Bundesstaaten verteilte Kläranlagen wurden infiltriert. In einigen Fällen führten die Angriffe zu Überschwemmungen und einem geringeren Wasserdruck an den Wasserhähnen. Die örtlichen Behörden forderten die Bewohner auf, Wasser für den menschlichen Verzehr abzukochen.

Die ersten Meldungen gingen am 26. Juli aus Minnesota ein. Anschließend wurden ähnliche Vorfälle aus Michigan, Georgia, South Dakota und New Jersey gemeldet.

Zunächst sprach das FBI allgemein von „böswilligen Cyberakteuren“. Später bezeichneten US-Regierungsquellen Teheran als den wahrscheinlichsten Ursprung der Bedrohung.

Die Abfolge deutet auf ein Interesse an operativen und sichtbaren Zielen hin: Energie und Wasser sind essenzielle Dienstleistungen, doch nicht alle betroffenen Anlagen sind groß genug, um landesweite Folgen auszulösen. Auch eine lokale Anlage kann Angreifern jedoch eine reale Umgebung bieten, um Zugriffe, Abläufe und Fähigkeiten zur Betriebsunterbrechung zu testen.

Geringes Risiko für das Netz, aber nicht für einzelne Anlagen

Die britische Regierung betonte, dass der betroffene Standort deutlich unter den Schwellenwerten für die verpflichtende Meldung von Cyberaktivitäten liege. Seine Kapazität sei im Verhältnis zum gesamten Stromnetz vernachlässigbar.

Diese Einschätzung relativiert die systemischen Auswirkungen des Vorfalls: Die landesweite Stromversorgung war nicht beeinträchtigt, und die Widerstandsfähigkeit des Netzes gilt als intakt. Das Risiko für kleinere Anlagen wird dadurch jedoch nicht beseitigt. Diese sind häufig weniger sichtbar und verfügen potenziell über geringere Ressourcen für Sicherheitsmaßnahmen und die Wiederherstellung.

Im März hatte das NCSC britischen Organisationen bereits empfohlen, angesichts der Ausweitung des Konflikts ihre Sicherheitslage zu überprüfen. Im Juni erklärte der geschäftsführende Direktor der Behörde, Richard Horne, dass im vergangenen Jahr mehr als 200 Angriffe auf nationale kritische Infrastrukturen bearbeitet worden seien.

Der für die Aufsicht über die Nachrichtendienste zuständige Parlamentsausschuss hatte einen iranischen Cyberangriff auf die Infrastruktur des Vereinigten Königreichs im vergangenen Jahr als „unwahrscheinlich“ eingestuft. Eine im vergangenen Monat veröffentlichte Risikobewertung des Cabinet Office veranschlagte die Wahrscheinlichkeit eines schweren und erfolgreichen Cyberangriffs auf die heimische Infrastruktur dagegen auf 5 bis 25 Prozent.

Dasselbe Dokument hob einen zusätzlichen Druckfaktor hervor: Künstliche Intelligenz kann offensive Operationen schneller und kostengünstiger machen und dadurch die für ihre Durchführung erforderlichen technischen Kenntnisse reduzieren. Das Briefing stellt jedoch keinen Zusammenhang zwischen dem Angriff auf das britische Kraftwerk und dem Einsatz bestimmter KI-Werkzeuge her.

Eine umfassendere Kampagne gegen westliche Staaten

Der veröffentlichten Einschätzung zufolge soll der Iran seine Operationen gegen westliche Staaten nach Beginn der US-amerikanischen und israelischen Luftangriffe im Februar verstärkt haben.

Auch aus Deutschland, Polen, Finnland, Belgien und Albanien wurden verdächtige Aktivitäten gemeldet. Israel und andere Staaten im Nahen Osten bleiben jedoch die am häufigsten mit dieser Aktivität in Verbindung gebrachten Ziele.

Der britische Fall ist somit Teil eines über mehrere Sektoren und Regionen verteilten Drucks. Das Ziel scheint sich nicht auf den Diebstahl von Daten zu beschränken: Die beschriebenen Vorfälle richten sich auch gegen die Verfügbarkeit von Diensten, also gegen die Fähigkeit, essenzielle Prozesse stillzulegen oder zu beeinträchtigen.

Für die Behörden besteht die Herausforderung darin, zwischen Sabotage mit systemischen Folgen und einer lokalen Unterbrechung zu unterscheiden, die als Machtdemonstration dient. Letztere kann unmittelbar geringere Auswirkungen haben, den Angreifern jedoch wertvolle Informationen über Abläufe, Reaktionszeiten und Schwachstellen liefern.

Was Betreiber und Organisationen tun sollten

Energieunternehmen und andere britische Firmen erhielten von der Regierung Hinweise zum Vorgehen im Ereignisfall. Das NCSC empfahl außerdem eine Überprüfung der Sicherheitslage, wobei sich die Aufmerksamkeit nicht nur auf Anlagen beschränken sollte, die als Infrastruktur von nationaler Bedeutung eingestuft sind.

Konkret sollten Organisationen die Fernzugänge zu betrieblichen und industriellen Systemen überprüfen, privilegierte Zugangsdaten kontrollieren und Verwaltungsnetze so weit wie möglich von Steuerungsnetzen trennen. Ebenso wichtig ist sicherzustellen, dass die Wiederanlauf- und Wiederherstellungspläne auch dann umsetzbar sind, wenn die Anlage in einem eingeschränkten oder manuellen Betriebsmodus arbeiten muss.

Der Vorfall zeigt zudem den Wert einer schnellen Reaktion: Der Angriff wurde dem NCSC gemeldet, während das Personal an der Wiederherstellung der Anlage arbeitete. Technische Indikatoren, Adressen, Malware oder konkrete Verfahren, nach denen in den Systemen gesucht werden sollte, wurden nicht veröffentlicht.

Für die betroffenen Wasseraufbereitungsanlagen in den USA gehörte das Abkochen von Trinkwasser zu den Empfehlungen für die Bevölkerung. Ob der Vorfall im KEV-Katalog der CISA erfasst ist, lässt sich anhand der vorliegenden Beschreibung nicht feststellen.