Resilienz-Radar
Viele Ziele, keine klaren Zuweisungen
Ausgabe September 2026
Die Bedrohung des hybriden Krieges gegen Europa ist real. Es vergeht kein Tag, an dem es in Europa nicht irgendwo kracht. Kritische Infrastruktur und Defence-Unternehmen scheinen im Fokus eines nicht erklärten Krieges zu stehen. Nicht alle Ereignisse sind zweifelsfrei zuzuordnen. Eines ist den Aggressoren allerdings gelungen: Das Gefühl der Verunsicherung wächst. Die Situation ist unübersichtlich und die politische Kakophonie zwischen rechten und linken Appeasement-Erzählungen steigert das Gefühl der Ohnmacht. Die Aufgabe für Kommunikatoren ist gewaltig.
Europas Energieversorgung, Bahnverkehr und Verteidigungsindustrie waren im September erneut von Angriffen, Sabotageverdacht und ungeklärten Vorfällen betroffen. Auch Satellitenkommunikation und kommunale IT gerieten in den Blick. Das Lagebild zeigt eine Häufung an strategisch relevanten Zielen – aber nicht in jedem Fall eine gesicherte Erklärung dafür, wer hinter einem Vorfall steht.
Für den Zeitraum vom 1. bis 30. September haben wir sicherheitsrelevante Vorfälle in der EU, im EWR und im Vereinigten Königreich ausgewertet. Der Resilienz-Radar unterscheidet zwischen bestätigten oder vereitelten Angriffen, Verdachtsfällen und strategisch auffälligen Ereignissen. Denn ein bestätigter Vorfall ist nicht automatisch einem bestimmten Akteur zuzurechnen.
Physische Angriffe, Sabotage und relevante Verdachtsfälle
| Datum | Land / Ziel | Vorfall und Auswirkungen | Bewertung |
|---|---|---|---|
| 1.–7. Sept. | Deutschland – Stromnetze in Brandenburg, Nordrhein-Westfalen und Sachsen | Selbstgebaute Brand- und Sprengvorrichtungen an mehreren Energieanlagen. Zwei Braunkohlekraftwerke wurden zeitweise abgeschaltet; in Sachsen wurden weitere Vorrichtungen entschärft. | Angriffe und Ermittlungen bestätigt. Der Tatverdacht richtet sich nach öffentlichem Stand gegen einen inländischen Klimaextremisten. Eine russische Steuerung ist nicht belegt. |
| Nacht 2./3. Sept. | Deutschland – Umfeld von Rohde & Schwarz und Helsing, München | Ein Brandanschlag beschädigte Fahrzeuge und ein Gebäude. Mehrere bulgarische Tatverdächtige wurden festgenommen. | Brandanschlag bestätigt; Ermittlungen dauern an. Ein möglicher Bezug zu russischen Diensten wurde in Medien diskutiert, ist aber nicht offiziell zugeschrieben. |
| 8. Sept. | Rumänien – militärische und kritische Infrastruktur | Der Inlandsnachrichtendienst meldete eine vereitelte Sabotageoperation. Als mögliche Ziele wurden unter anderem ein Antonow-Flugzeug und kritische Einrichtungen genannt. | Vereitelte Operation; von rumänischen Behörden Russland zugeschrieben. |
| 4.–9. Sept. | Vereinigtes Königreich – Drohnenproduktionsstandorte in Swindon | Anklage wegen der mutmaßlichen Vorbereitung von Sabotage an mehreren Standorten und der Unterstützung eines ausländischen Nachrichtendienstes. | Strafverfahren bestätigt. Der Ausgang des Verfahrens bleibt abzuwarten. |
| 11. Sept. | Frankreich – Bahnstrecke bei Cléon | Ein schweres Metallteil auf den Gleisen führte zur Entgleisung eines Zuges; 44 Menschen wurden verletzt. | Eine vorsätzliche Platzierung gilt als wahrscheinlich. Eine belastbare Attribution liegt nicht vor. |
| 15. Sept. | Niederlande – Bahnnetz in Mitte und Norden | Polizei und Betreiber untersuchten mehr als 35 Gegenstände oder Manipulationen im Gleisbereich. Der Bahnverkehr war erheblich beeinträchtigt. | Gezielte Störungen bestätigt; ein konkreter Urheber wurde nicht belastbar benannt. |
| 23. Sept. | Polen – Starlink-Bodenstation von Exatel | Ein Brand beschädigte eine strategisch relevante Bodenstation. Die Ermittlungen prüften den Verdacht auf Brandstiftung oder Sabotage. | Sabotageverdacht; ein staatlicher Urheber ist nicht abschließend belegt. |
| 27. Sept. | Vereinigtes Königreich – RAF Fairford | Nach dem Auffinden verdächtiger Fahrzeuge und von Benzin wurden fünf Personen festgenommen. Ein Sprengsatz wurde nicht gefunden. | Ermittlungen dauern an. Hinweise auf einen möglichen Iran-Bezug sind von einer abschließenden Attribution zu unterscheiden. |
| Nacht 31. Aug./1. Sept. | Deutschland – Stadtwerke Landsberg am Lech | Ein Ransomware-Angriff verschlüsselte zentrale IT-Systeme. Die Versorgung blieb nach Betreiberangaben aufrechterhalten. | Cyberangriff bestätigt; keine belastbare Zuordnung. |
| 3. Sept. | Frankreich – Eurenco Sorgues | Zwei Brände betrafen Flächen am und auf dem Gelände des Munitionsherstellers. | Ursache ungeklärt. Der Fall bleibt wegen der strategischen Bedeutung des Standorts auf der Beobachtungsliste. |
| 29. Sept. | Deutschland – Stellwerksbereich Bautzen | Durchtrennte und gestohlene Kabel beeinträchtigten die Signaltechnik und den regionalen Bahnverkehr. | Beschädigung bestätigt; ein strategisches Motiv ist nicht belegt. |
Zwischenbilanz
- Sechs bestätigte oder vereitelte Angriffskomplexe betrafen Energie, Verteidigung, Bahnverkehr und kommunale IT.
- Daneben stehen mehrere Verdachts- und Watchlist-Fälle, bei denen Ursache, Absicht oder Urheberschaft offen sind.
- Niedrigtechnische Mittel wie Brandsätze und Kabelmanipulation können erhebliche Folgen haben – von zeitweisen Kraftwerksabschaltungen bis zu Störungen im Bahnverkehr.
- Die Personengefahr steigt, wenn Manipulationen in den laufenden Verkehr hineinwirken. Der Vorfall bei Cléon macht das deutlich.
- Die Zahl strategisch auffälliger Ereignisse ist größer als die Zahl belastbarer staatlicher Attributionen. Diese Lücke muss in der öffentlichen Kommunikation sichtbar bleiben.
Auch ältere Fälle erhalten neue Einordnungen
Im September wurden zudem Entwicklungen zu früheren Vorfällen bekannt. Die Bundesregierung schrieb den vereitelten Versuch, am Flughafen Leipzig/Halle eine Sprengstoffdrohne einzuschleusen, Russland zu. Estland machte Russland für den Brandanschlag vom 15. August auf das Verteidigungsunternehmen Milrem Robotics verantwortlich. Beim Brand des polnischen Rüstungsunternehmens WB Electronics prüfte die Staatsanwaltschaft einen möglichen Bezug zu einem ausländischen Nachrichtendienst; eine abschließende Attribution lag weiterhin nicht vor.
Medienberichte über eine russische Übung zur möglichen Beschädigung von Unterseekabeln bei Svalbard verweisen auf ein Aufklärungs- und Vorbereitungssignal. Ein tatsächlicher Schaden wurde nicht gemeldet. Auch hier gilt: Ein Hinweis auf mögliche Vorbereitung ist kein vollendeter Angriff.
Aktuelle Berichte und Studien
Der dänische Militärnachrichtendienst erwartet in seiner September-Bewertung eine Zunahme hybrider Aktivitäten Russlands. Das ist eine strategische Bedrohungsbewertung, aber kein Beleg für die Urheberschaft einzelner Vorfälle.
Die aktualisierten NATO-Anforderungen zur Resilienz betonen getestete Wiederanlauf- und Reparaturpläne, klare Zuständigkeiten und den Einbezug von Sabotageszenarien in die Business-Continuity-Planung. Der ENISA Threat Landscape 2026 hebt unter anderem Ransomware, Lieferkettenabhängigkeiten und Angriffe auf operative Systeme hervor. Seine Datengrundlage bezieht sich überwiegend auf 2025 und dient der Einordnung, nicht der Zählung der September-Fälle.
Was Unternehmen daraus ableiten sollten
Unternehmen sollten für physische Sabotage, Cyberangriffe und ungeklärte Brände klare Melde- und Entscheidungswege festlegen. Diese Abläufe müssen zusammenpassen, auch wenn unterschiedliche Teams zunächst für den Vorfall zuständig sind.
Für die Kommunikation hilft eine einfache Trennung: Was ist bestätigt? Was wird noch untersucht? Was ist ausdrücklich nicht belegt? Eine Attribution sollte nur dann nach außen kommuniziert werden, wenn sie behördlich oder anderweitig belastbar ist.
Krisenübungen sollten Werkschutz, IT und OT, Betrieb, Recht, Management und Kommunikation gemeinsam einbeziehen. Ein zentrales Faktenprotokoll mit Quellenstatus, Zeitstempel und Freigabeverantwortung hilft, widersprüchliche Aussagen zu vermeiden und die Handlungsfähigkeit zu erhalten.
Ausblick
Der September-Radar zeigt: Resilienz hängt auch davon ab, unter Unsicherheit schnell und präzise zu entscheiden. Unternehmen müssen nicht jede Ursache sofort kennen. Sie sollten aber in der Lage sein, belegte Fakten von Vermutungen zu trennen, den Betrieb zu sichern und verlässlich zu kommunizieren.
Der „Resilienz-Radar“ ist ein monatliches Format von Sieber Advisors für Unternehmen, die sicherheitsrelevante Entwicklungen in Europa faktenbasiert einordnen wollen. Die ausführliche Analyse mit Methodik und Quellen erscheint im monatlichen Lagebericht. Sieber Advisors unterstützt Organisationen außerdem mit Krisensimulationen, um Entscheidungs- und Kommunikationsfähigkeit im Ernstfall zu testen.
Über diesen Bericht
„Resilienz-Radar“ ist ein monatliches Format von Sieber Advisors für Unternehmen, die sicherheitsrelevante Entwicklungen in Europa faktenbasiert einordnen wollen. Hier im Blog finden Sie die Langversion der Analyse. In unserem LinkedIn Newsletter „Resilienz-Radar kompakt“ liefern wird die Analysen dazu – mit monatlich wechselndem Schwerpunkt. Wir unterstützen Organisationen zudem mit kompakten Krisensimulationen, um die eigene Kommunikations- und Entscheidungsfähigkeit im Ernstfall zu testen.