Offshore-Windpark unter KRITIS: was Helikopter und Boote ändern

Ein Offshore-Windpark ist keine entfernte Variante eines Onshore-Windparks. Er ist eine eigene Klasse von KRITIS-Anlage, deren Sicherheitslogik weniger mit Energieerzeugung als mit maritimer Operation zu tun hat.

Wer diese Unterscheidung nicht trifft, baut Sicherheitskonzepte für Offshore-Standorte, die auf dem Land entwickelt wurden und auf dem Wasser nicht tragen. Die Bedrohungen sind andere, die Zugriffswege sind andere, die Reaktionszeiten sind andere. Was im Industriegebiet zwei Minuten dauert, dauert auf See zwei Stunden. Was an Land mit einem Streifenwagen erledigt wird, verlangt auf See einen Helikopter, ein Schiff oder eine geplante Personalrotation. Aus dieser Asymmetrie ergeben sich Anforderungen, die in der KRITIS-Diskussion in Deutschland bisher zu kurz behandelt werden.

Die Einordnung von Offshore-Windparks unter die KRITIS-Logik des BSI ist regulatorisch klar, operativ aber unterbestimmt. Eine Plattform in der Nordsee, hundert Kilometer von der Küste entfernt, ist ein Industriestandort, der gleichzeitig ein maritimes Objekt ist. Sie unterliegt dem Energiesektor, der maritimen Verkehrsregulierung, dem Seerecht und den Anforderungen an Notfälle, wie sie aus der Offshore-Öl- und Gasindustrie bekannt sind. Diese Mehrfachzuordnung ist keine bürokratische Marginalie. Sie entscheidet darüber, wer im Krisenfall handelt, mit welchen Mitteln und in welcher Zeit.

Die Plattform als Industriestandort auf See

Eine Offshore-Konverterplattform ist ein Stahlbauwerk von der Größe eines mittleren Bürogebäudes, das auf Stützen im offenen Meer steht. Sie enthält Hochspannungstechnik, Leitstandtechnik, Wohnbereiche für Wartungspersonal, Notstromversorgung, Treibstofflager, Helikopterdeck und Bootslandung. Sie ist gleichzeitig ein Kraftwerk, ein Umspannwerk, eine Wohnstätte und ein logistischer Knoten. Wer die Plattform sichert, sichert nicht ein Gebäude, sondern ein Konglomerat aus Funktionen, deren Ausfall jeweils eigene Folgen hätte.

Die Stromproduktion des Windparks läuft an dieser Plattform zusammen. Sie ist der Knotenpunkt, an dem die Wechselspannung der einzelnen Turbinen zu Gleichstrom umgewandelt und über Seekabel ans Festland geführt wird. Fällt die Plattform aus, fällt der gesamte Park aus, unabhängig davon, ob die Turbinen drehen. Diese Konzentration ist kein konstruktiver Fehler. Sie ist die ökonomische Logik der Anlage. Sie macht aber auch den Punkt sichtbar, an dem ein Angriff oder ein technischer Vorfall den größten Hebel hat.

Auf der Plattform leben in normalen Phasen zwischen zwanzig und vierzig Personen, in Wartungsphasen mehr. Sie arbeiten in Zwölfstundenschichten, sie wechseln in Rotationen von zwei oder drei Wochen, sie sind während ihres Aufenthalts vollständig auf die Plattform angewiesen. Die Sicherheitslogik muss diese Personen schützen, ohne sie zu isolieren, und sie muss gleichzeitig den Standort vor unerwünschtem Zugriff sichern. Beide Anforderungen stehen in einem Spannungsverhältnis, weil jede zusätzliche Zugangsbarriere auch die Evakuierung im Notfall verlangsamt. Diese Spannung ist der Grundbefund jeder ernsthaften Offshore-Sicherheitsplanung.

Die bauliche Substanz der Plattform ist robust gegen Wetter, gegen Wellen, gegen Salz. Sie ist nicht robust gegen alles, was ein industrieller Angreifer mitbringen kann. Die Annahme, dass die Entfernung zur Küste eine Form von natürlicher Sicherheit darstellt, hält der Überprüfung nicht stand. Wer den Aufwand kalkuliert, einen Hochseeangriff vorzubereiten, kommt zu Zahlen, die für staatliche oder staatsnahe Akteure unter dem Wert liegen, den ein erfolgreicher Eingriff hätte. Diese Asymmetrie haben die Vorfälle an den Nord-Stream-Pipelines deutlich gemacht. Sie gelten für Konverterplattformen in ähnlicher Form.

Aus diesen Befunden ergibt sich eine Anforderung, die in der Praxis selten klar formuliert wird. Die Sicherheit einer Offshore-Plattform ist nicht die Sicherheit eines Industriegeländes, das zufällig im Wasser steht. Sie ist die Sicherheit eines maritimen Objekts, das industrielle Funktionen trägt. Aus dieser Reihenfolge ergeben sich die Sensorik, die Reaktionsketten und die Personalstruktur, die wir im Folgenden behandeln.

Der Perimeter beginnt nicht am Geländer

An Land beginnt der Perimeter am Zaun. Auf See gibt es keinen Zaun. Der Perimeter einer Offshore-Plattform ist eine virtuelle Größe, die sich aus mehreren Ringen zusammensetzt, deren Radien sich aus der Reaktionszeit der verfügbaren Einsatzmittel ergeben. Wer diesen Unterschied unterschätzt, plant Schutz, der zu spät greift.

Der äußerste Ring liegt typischerweise bei zehn bis zwanzig Seemeilen. In diesem Ring wird Schiffsverkehr erfasst, klassifiziert und nach Verhalten bewertet. Die Quellen sind AIS-Daten, Radar von der Plattform, Radar von benachbarten Schiffen, Daten der Wasserschutzpolizei und der Marine sowie satellitengestützte Beobachtung. Wer in diesem Ring auffällt, ist ein Schiff, das seinen Transponder ausgeschaltet hat, das eine ungewöhnliche Route fährt, das in der Nähe der Plattform verlangsamt oder das Kursänderungen vornimmt, die nicht mit einer normalen Frachtbewegung erklärbar sind. Diese Auffälligkeit löst nicht automatisch einen Alarm aus. Sie löst eine Verifikation aus, die in der Leitstelle des Betreibers in Verbindung mit den zuständigen Behörden erfolgt.

Der mittlere Ring liegt bei zwei bis fünf Seemeilen. Hier setzt die optische und thermische Sensorik der Plattform selbst ein. Kameras mit hoher Reichweite, Wärmebildtechnik und akustische Sensoren erkennen kleinere Wasserfahrzeuge, Tauchfahrzeuge oder Drohnen, die der äußere Ring nicht zuverlässig erfasst. In diesem Ring entscheidet sich, ob ein Vorgang als Annäherung eingestuft wird oder als zufälliges Vorbeifahren. Die Klassifikation ist nicht trivial, weil Fischerei, Forschung und Freizeitschifffahrt in vielen Offshore-Gebieten zugelassen sind. Eine Sicherheitsanlage, die jedes Fischereiboot als Bedrohung wertet, erzeugt eine Alarmlast, die in der Praxis ignoriert wird.

Der innere Ring beginnt bei der Plattform selbst. Hier greifen Zugangskontrolle, Videoanalyse, Bewegungssensorik und die Überwachung der Bootslandung sowie des Helikopterdecks. In diesem Ring ist die Zeit gegen den Betreiber, weil ein Angreifer, der den inneren Ring erreicht hat, in Minuten an kritischen Komponenten sein kann. Die Antwort auf diesen Ring ist nicht primär technologische Abwehr, sondern Vorverlagerung. Wer im inneren Ring reagieren muss, hat im mittleren Ring schon verloren.

Diese Drei-Ring-Logik ist nicht neu. Sie wird in der maritimen Sicherheit seit Jahrzehnten praktiziert, in der Offshore-Öl- und Gasindustrie hat sie sich nach den Anschlägen der 2000er Jahre etabliert. Was im Bereich der deutschen Offshore-Windparks oft fehlt, ist die konsequente Übertragung dieser Logik in die Betriebspraxis. Der Betreiber des Windparks ist nicht zugleich Betreiber eines maritimen Sicherheitssystems, und die Schnittstellen zu Marine, Bundespolizei See, Wasserschutzpolizei und Havariekommando sind in der Regel weniger eingespielt als die Schnittstellen, die ein Onshore-Kraftwerk zu Polizei und Feuerwehr hat. Hier liegt eine Lücke, die durch Übung, durch Vertragsklarheit und durch gemeinsame Lagebildsysteme geschlossen werden muss. Das Bundesamt für Sicherheit in der Informationstechnik kann den Rahmen vorgeben, die Umsetzung im operativen See-Alltag liegt beim Betreiber und den maritimen Behörden.

Personalrotation als sicherheitskritischer Vorgang

In einem Onshore-Kraftwerk kommt das Personal mit dem Auto, parkt, betritt das Werksgelände durch einen Zugang mit Ausweis und beginnt die Schicht. Diese Routine ist sicherheitstechnisch beherrschbar, weil sie täglich stattfindet und weil die Identität der Personen über Jahre stabil ist. In einem Offshore-Windpark ist Personalrotation ein logistischer und sicherheitstechnischer Vorgang, der jede Woche neu geplant werden muss und der erhebliche Schnittstellen zur Außenwelt schafft.

Die Rotation läuft über zwei Wege. Der eine Weg ist der Helikopter, der vom Festland startet, auf der Plattform landet, Personal absetzt und Personal aufnimmt. Der zweite Weg ist das Crew-Transfer-Vessel oder das Service-Operations-Vessel, das auf dem Wasser anlegt und Personal über die Bootslandung umsteigen lässt. Beide Wege haben eigene Sicherheitsprofile.

Der Helikopter bringt Personal in einer kurzen Zeitspanne auf die Plattform, ist aber wetterabhängig, kostenintensiv und in der Kapazität begrenzt. Er verlangt ein Helikopterdeck, das im Notfall auch zur Evakuierung dient, und er verlangt eine Bodenmannschaft auf der Plattform, die die Maschine sicher abfertigt. Die Sicherheitsprüfung des Personals erfolgt vor dem Start am Festland. Auf der Plattform wird die Identität bestätigt, nicht erneut umfassend geprüft. Diese Vertrauensstruktur funktioniert, solange die Voraussetzungen am Festland gegeben sind. Wer am Festland nicht sauber prüft, prüft auf der Plattform nichts mehr.

Das Schiff ist langsamer, wetterabhängig in anderer Form, dafür kapazitätsstärker. Es bringt Material und Personal in größerer Zahl, es hält länger an der Plattform, es hat eine eigene Besatzung. Diese Besatzung ist nicht das Personal des Windparkbetreibers, sondern Personal der maritimen Reederei. Daraus ergibt sich eine zusätzliche Vertrauenskette, deren Glieder einzeln tragen müssen.

Aus diesen Vorgängen folgt eine Anforderung, die in der KRITIS-Praxis selten ausdrücklich behandelt wird. Die Identitätsprüfung des Offshore-Personals muss am Festland abgeschlossen sein. Die Plattform ist kein Ort, an dem nachträglich geprüft werden kann, weil sie keine Rückverlagerungsmöglichkeit hat. Wer auf der Plattform ist, ist auf der Plattform, bis das nächste Transportmittel ihn abholt. Diese Logik verlangt eine sehr saubere Schnittstelle zwischen Personalmanagement, Sicherheitsabteilung und Logistik, die in vielen Betrieben über Jahre gewachsen ist und nicht immer dem Stand der KRITIS-Anforderungen entspricht.

Hinzu kommt die Rotation des Fremdpersonals. Wartungstechniker, Spezialisten, Behördenvertreter, Auditoren. Diese Personen sind nicht regelmäßig auf der Plattform, sie sind aber zugangsberechtigt für ihre jeweilige Aufgabe. Wer diese Zugänge nicht zentral führt, verliert die Kontrolle über die tatsächlich anwesende Personenzahl, und damit verliert er auch die Kontrolle über die Evakuierungsplanung. Im Buch BOSWAU + KNAUER, Vom Bau zur Sicherheitstechnologie, ist die Trennung zwischen dokumentierter und tatsächlicher Sicherheitslage als das wiederkehrende Versagensmuster industrieller Sicherheit beschrieben. Offshore zeigt sich dieses Muster in besonders zugespitzter Form.

Notfälle haben auf See eine andere Uhr

Wer in einem Industriestandort an Land einen Notfall hat, ruft Feuerwehr, Polizei oder Rettungsdienst, und die Reaktionszeit liegt im einstelligen Minutenbereich. Wer auf einer Offshore-Plattform einen Notfall hat, rechnet in Stunden. Diese Differenz prägt jede Notfallplanung. Sie verlangt eine Eigenständigkeit der Plattform, die an Land in dieser Form nicht erforderlich ist.

Die typischen Notfälle auf einer Plattform sind Brand, medizinischer Notfall, Sturz ins Wasser, Helikopternotlandung, Schiffshavarie in der Nähe der Plattform, technischer Großvorfall mit Gefahr für die Anlage und Sicherheitsvorfall mit unbefugtem Zutritt. Jeder dieser Vorfälle hat eine eigene Reaktionskette, und jede Reaktionskette läuft in der ersten Stunde ausschließlich mit den Mitteln, die auf der Plattform vorhanden sind.

Aus dieser Eigenständigkeit ergibt sich, was an Bord vorhanden sein muss. Eine Krankenstation, die für die ersten Stunden trägt. Brandbekämpfungsmittel, die die Plattform isoliert durchführen kann. Rettungsboote, die auch bei Wellengang einsetzbar sind. Notunterkunftsbereiche, die brand- und wettergeschützt sind. Kommunikation, die nicht von der primären Stromversorgung abhängt. Diese Ausstattung ist in den geltenden Offshore-Standards beschrieben, und sie wird regelmäßig durch Klassifikationsgesellschaften und durch staatliche Aufsicht geprüft. Wer als KRITIS-Verantwortlicher den Notfallstand seiner Plattform einschätzen will, prüft nicht die Ausstattung, sondern die Übungsfrequenz. Eine Plattform, deren Personal jeden Notfalltyp regelmäßig übt, ist anders aufgestellt als eine, deren letzte vollständige Übung über ein Jahr zurückliegt.

Die Verbindung zwischen Plattform und Festland läuft im Notfall über das Havariekommando in Cuxhaven, das für die maritime Notfallkoordination in der deutschen ausschließlichen Wirtschaftszone zuständig ist, sowie über die Bundespolizei See, die DGzRS und die Marine. Diese Kette ist gut eingespielt, sie ist aber nicht für Windparks gebaut worden, sondern für die Handelsschifffahrt. Wer einen Windpark betreibt, muss sicherstellen, dass die maritimen Akteure die Eigenheiten der Anlage kennen, dass die Anflugkorridore bekannt sind, dass die elektrischen Risiken eingepreist sind und dass die Anzahl der Personen im Lagebild zentral verfügbar ist. Diese Vorarbeit ist nicht spektakulär, sie ist aber die Bedingung dafür, dass im Notfall die zweite Stunde nicht verloren geht, weil in der ersten Stunde Grundinformationen ausgetauscht werden mussten, die längst hätten geklärt sein können.

Eine letzte Anforderung an die Notfalllogik ist die Cybersicherheit. Ein Cybervorfall auf einer Offshore-Plattform ist kein abstrakter Vorgang, weil die Leittechnik der Anlage die Sicherheit der anwesenden Personen direkt berührt. Wer die Steuerung übernimmt, kann Brandschutzsysteme deaktivieren, Notstrom abschalten oder Hochspannung umschalten. Die Trennung zwischen IT und OT, die in industriellen Anlagen seit Jahren diskutiert wird, ist offshore keine Diskussion mehr, sondern eine Bedingung. Die Anforderungen des BSI an KRITIS-Betreiber gelten hier in voller Schärfe, und sie greifen nur, wenn die Plattform auch im Falle einer unterbrochenen Verbindung zum Festland operativ bleiben kann.

Versicherung, Haftung und die Frage, wer zahlt

Die Versicherbarkeit von Offshore-Windparks ist eine Disziplin für sich. Die Anlagewerte einer einzelnen Plattform liegen im dreistelligen Millionenbereich, die Anlagewerte eines Parks im Milliardenbereich. Die Folgekosten einer Betriebsunterbrechung sind erheblich, weil der Ausfall einer Konverterplattform den ganzen Park aus dem Netz nimmt. Versicherer arbeiten in diesem Marktsegment mit speziellen Konsortien, mit Rückversicherung und mit harten Anforderungen an die Sicherheitsstruktur der versicherten Anlagen. Der GDV als Branchenverband hat in den letzten Jahren wiederholt darauf hingewiesen, dass Anlagen mit dokumentierter Sicherheitsstruktur andere Prämien tragen als Anlagen ohne diese Struktur.

Die Versicherung deckt typischerweise Sachschäden, Betriebsunterbrechung und Drittschäden. Sie deckt nicht ohne Weiteres Schäden, die durch staatliche oder staatsnahe Akteure verursacht werden. Diese Lücke ist im klassischen Versicherungsrecht als Kriegs- und Sabotageausschluss bekannt, und sie ist nach den Nord-Stream-Vorfällen Gegenstand laufender Diskussionen. Wer eine Offshore-Anlage betreibt, muss diese Lücke in seinen Risikobetrachtungen explizit ausweisen. Sie verschwindet nicht durch höhere Prämien, sie verschiebt sich nur.

Die Haftung des Betreibers ergibt sich aus dem Energiewirtschaftsgesetz, aus den Vorgaben des BSI-Gesetzes für KRITIS-Betreiber, aus dem Seerecht und aus den vertraglichen Regelungen mit Netzbetreibern und Abnehmern. Diese Mehrfachzuordnung führt dazu, dass die Haftung bei Vorfällen oft schwer zu klären ist. Wer als Betreiber gut aufgestellt ist, hat diese Zuordnung in seinen Verträgen sauber geregelt, und er hat die Schnittstellen zu den Behörden so dokumentiert, dass im Schadensfall keine Lücken in der Beweisführung entstehen. Diese Dokumentation ist nicht primär für den Schadensfall gedacht, sondern für die Vermeidung des Schadens, weil eine saubere Dokumentation die Verantwortlichkeiten so klar zuweist, dass jeder Beteiligte seine Rolle kennt und ausführt.

Aus der Sicht eines Herstellers von Sicherheitstechnologie sind die Anforderungen der Versicherer eine der wichtigsten Quellen für die Produktentwicklung. Was Versicherer als wirksam anerkennen, geht in die Prämien ein, und was in die Prämien eingeht, wird vom Betreiber gefordert. Diese Schleife ist kürzer und härter als die regulatorische Schleife, und sie ist einer der Gründe, warum sich Sicherheitsstandards in versicherten Märkten schneller bewegen als in unversicherten.

Was bleibt

Offshore-Windparks sind eine Klasse von KRITIS-Anlagen, deren Schutz nicht aus der Onshore-Industrie übertragen werden kann. Die Entfernung zur Küste, die Konzentration der Funktionen auf der Konverterplattform, die maritime Reaktionslogik und die Eigenständigkeit im Notfall ergeben Anforderungen, die in einer eigenen Sicherheitsarchitektur abgebildet werden müssen. Der Perimeter beginnt nicht am Geländer der Plattform, sondern bei der äußeren Erfassung des Schiffsverkehrs. Die Personalrotation ist ein sicherheitskritischer Vorgang, dessen Identitätsprüfung am Festland abgeschlossen sein muss. Notfälle laufen in der ersten Stunde mit Bordmitteln, weil maritime Reaktionszeiten in Stunden gemessen werden. Versicherbarkeit, Haftung und Cybersicherheit sind keine begleitenden Themen, sondern Teil der Sicherheitslage.

Was ein Betreiber daraus mitnehmen kann, ist die Notwendigkeit einer Bestandsaufnahme, die nicht in der Sicherheitsabteilung allein erstellt wird, sondern gemeinsam mit Logistik, Personal, Leittechnik und den maritimen Schnittstellen. Diese Bestandsaufnahme liefert Antworten auf Fragen, die im Tagesgeschäft selten gemeinsam gestellt werden. Wer beginnen will, beginnt mit einem Gespräch von sechzig Minuten, in dem die Lage skizziert und eine erste Einschätzung gegeben wird. Wer tiefer einsteigen will, geht in ein Audit von drei bis fünf Tagen, in dem die Schnittstellen, die Notfallübungen und die Sensoriklage geprüft werden. Beide Wege sind im Anhang des Buches BOSWAU + KNAUER beschrieben, und sie sind so gebaut, dass sie unabhängig voneinander gehen.

Boswau + Knauer baut keine Plattformen und betreibt keine Windparks. Was Boswau + Knauer baut, ist die Sensorik, die Videoanalyse und die Plattformlogik, die ein Betreiber braucht, um die hier beschriebenen Anforderungen in operative Praxis zu übersetzen. Die Verbindung von baulicher Erfahrung und technologischer Tiefe ist auf Offshore-Anwendungen übertragbar, sie verlangt aber eine Anpassung an die maritime Umgebung, die wir gemeinsam mit Partnern aus der Offshore-Industrie entwickeln. Wer als Betreiber, als Versicherer oder als Behörde diese Übersetzung sucht, findet bei uns einen Ansprechpartner, der die Sprache beider Seiten spricht.

Häufige Fragen

Sind Offshore-Windparks KRITIS?

Offshore-Windparks fallen unter den KRITIS-Sektor Energie, sofern sie die Schwellenwerte der BSI-Kritisverordnung überschreiten. Diese Schwellenwerte richten sich nach der eingespeisten Leistung und der Versorgungsrelevanz. Große Offshore-Windparks in der deutschen Nord- und Ostsee überschreiten diese Werte deutlich und unterliegen den Anforderungen des BSI-Gesetzes an Betreiber kritischer Infrastrukturen. Hinzu kommen Anforderungen aus der NIS-2-Richtlinie auf europäischer Ebene, die den Kreis der erfassten Anlagen ausweitet und die Aufsicht verschärft. Die genaue Einstufung ist anlagenspezifisch zu prüfen.

Welche See-Behörden sind zuständig?

In der deutschen ausschließlichen Wirtschaftszone sind mehrere Behörden parallel zuständig. Das Bundesamt für Seeschifffahrt und Hydrographie genehmigt und überwacht die Anlagen. Die Bundespolizei See übernimmt polizeiliche Aufgaben auf hoher See. Die Marine wirkt im Rahmen ihres Auftrags an der maritimen Lagebildbildung mit. Das Havariekommando in Cuxhaven koordiniert komplexe Notfälle. Die DGzRS leistet Seenotrettung. Für den Strom selbst sind die Bundesnetzagentur und der jeweilige Übertragungsnetzbetreiber zuständig. Diese Mehrfachzuständigkeit verlangt vom Betreiber klare Vertragsregelungen und eingespielte Kommunikationswege.

Welche Notfälle sind vorgesehen?

Die Notfallplanung einer Offshore-Plattform deckt typischerweise Brand, medizinischen Notfall, Person über Bord, Helikoptervorfall, Schiffshavarie in der Nähe, technischen Großvorfall an der Leittechnik, Cybervorfall und unbefugten Zutritt ab. Jeder Notfalltyp hat eine eigene Reaktionskette mit definierten Verantwortlichkeiten an Bord und Schnittstellen zu den maritimen Behörden. Die erste Stunde wird mit Bordmitteln bewältigt, die zweite Stunde bringt externe Unterstützung. Regelmäßige Übungen, dokumentierte Abläufe und geprüfte Ausstattung nach den Standards der Klassifikationsgesellschaften und der zuständigen Aufsicht sind die Grundlage einer tragfähigen Notfalllage.

Wer überwacht den Perimeter?

Der Perimeter einer Offshore-Plattform wird in mehreren Ringen überwacht. Der äußere Ring nutzt AIS-Daten, Küstenradar, satellitengestützte Beobachtung und das maritime Lagebild der zuständigen Behörden. Der mittlere Ring nutzt Radar, optische und thermische Sensorik auf der Plattform selbst. Der innere Ring nutzt Videoanalyse, Zugangskontrolle und Bewegungssensorik an Helikopterdeck, Bootslandung und kritischen Anlagenteilen. Der Betreiber führt die Sensorik, die maritimen Behörden tragen die hoheitliche Reaktionsfähigkeit. Die Wirksamkeit ergibt sich aus der Verbindung beider Seiten, nicht aus der Sensorik allein.