Kläranlage im Dunkeln

Abwasserversorgung in Gefahr

Folgendes Szenario zeigt auf, was auf einem Kläranlagenbetrieb bei einem langanhaltenden Stromausfall passieren kann. Dabei werden primär die Geschehnisse im Betrieb selbst sowie im Kanalnetz berücksichtigt. Weitere allgemeine Folgen durch einen langanhaltenden Stromausfall, wie beispielsweise ein Ausfall der Verkehrsnetze oder Unruhen in der Bevölkerung etc. wurden außer Acht gelassen, um nicht von der Problematik auf der Kläranlage abzulenken.

Das Szenario ist vollkommen fiktiv. Die Ereignisse richten sich nach der Technikfolgenabschätzung des Deutschen Bundestages von 2011[1] und der über 35-jährigen Erfahrung des Planungsbüros john becker ingenieure.

Es ist der 1. Oktober 2019, 8:00 Uhr:

Max Müller betritt das Betriebsgebäude der Kläranlage Musterstadt. Als Betriebsmeister ist er verantwortlich für den gesamten Betrieb der Kläranlage. Dazu gehören unter anderem das Personal, die Technik und die Betriebsmittel. Die Kläranlage Musterstadt kann das Abwasser von ca. 450.000 Einwohnergleichwerten wiederaufbereiten. Dafür sind 30 Mitarbeiter angestellt, wovon mindestens 20 ständig im Betrieb sind. Aktuell geht jedoch die Grippe um, deshalb ist die Kläranlage mit 14 Mitarbeitern etwas unterbesetzt. Das ist jedoch nicht weiter schlimm, da Herr Müller seinen Betrieb gut im Griff hat.

Die Mitarbeiter sind ein eingespieltes Team und die Kläranlage kann im Normalbetrieb gut beherrscht werden. Zudem wurde die erneute Zertifizierung nach dem technischen Sicherheitsmanagement (TSM) erreicht. Alle haben gut mitgearbeitet.

Nach der morgentlichen Besprechung der Aufgaben geht jeder an seine Arbeit. Einige Aufgaben müssen wegen der dünnen Besetzung liegen bleiben und später erledigt werden. Momentan läuft die Kläranlage im Autobetrieb, es ist ein ruhiger Tag, Herr Müller ist im Leitstand und überwacht den Betrieb.

12:38 Uhr: Das Licht erlischt.

Nur noch die Fluchtwegeleuchte und die Sicherheitsbeleuchtung auf dem Flur schimmern. "Stromausfall?" fragt sich Herr Müller. Die Rechner in der Leitwarte sind noch in Betrieb, da sie über eine unterbrechungsfreie Stromversorgung (USV) verfügen. Diese hält ca. 1 Stunde.

Das Licht fängt an zu flackern. Nun ist der stationäre Notstromdiesel angesprungen. Er kann den Notbetrieb der Anlage ca. 8 Stunden aufrechterhalten. Glücklicherweise hat der Betriebselektriker noch kürzlich einen Notstromtest gefahren. Auch im Notbetrieb kann das Abwasser durch die Anlage geleitet und gereinigt werden, ohne dass die Ablaufwerte gefährdet werden. Einzelne Bereiche, wie zum Beispiel die Schlammbehandlung sind jedoch ohne Strom nicht funktionsbereit, da die Zentrifugen nicht versorgt werden. Kurzfristig ist das aber nicht weiter schlimm. Bei einem langanhaltenden Stromausfall würde der Schlamm nicht weiterbehandelt. Folglich würde der Schlamm nicht mehr eingedickt (SED), nicht mehr entwässert (SEW) und könnte auch nicht für die Faulung genutzt werden. Das wiederum hätte zur Folge, dass nach einiger Zeit nur noch wenig Faulgas für den BHKW-Betrieb zur Verfügung stünde. Das BHKW kann jedoch ohnehin nicht zur Ersatzstromversorgung beitragen, da es nicht für einen Inselbetrieb ausgelegt ist.

Herr Müller wird unruhig. Was ist die Ursache für den Stromausfall? Überspannungsschaden? Es gab keinen Blitzeinschlag. Hat ein Bagger ein Kabel beschädigt? Derzeit werden keine Baggerarbeiten durchgeführt. Brennt es vielleicht irgendwo auf der Anlage? Ihm fällt ein, dass nur das Betriebsgebäude mit einer Brandmeldeanlage ausgerüstet ist. Gab es einen Arbeitsunfall? Vom Fenster lässt sich nichts erkennen. War es vielleicht ein Hackerangriff? Die Gefahrenlage ist zunehmend komplexer geworden.

Herr Müller greift zum Telefon und ruft im Nebengebäude an. Die Leitung ist tot. Ihm fällt ein, dass die Telefone im Nebengebäude von analog auf digital umgestellt wurden und somit direkt vom Strom abhängig sind. Mit dem Diensthandy ruft er seine Kollegin Mara Meyer im Maschinengebäude an und fragt was los ist. Frau Meyer berichtet, dass auf einmal der Strom ausgefallen sei. Sie weiß aber auch nicht, wie es dazu kam. Alle würden im Maschinenhaus umherlaufen und nach einer Ursache suchen.

12:49 Uhr: Herr Müller und seine Kollegen rätseln, was die Ursache für den Stromausfall sein könnte.

Er ruft den leitenden Betriebselektriker Siegfried Schmidt zu sich. Er arbeitet seit über 20 Jahren auf der Anlage und kennt fast jede Klemme. Herr Schmidt prüft die Mittelspannungseinspeisung. Es ist kein Defekt in der Anlage. Der Fehler muss also im öffentlichen Netz liegen. Herr Müller ruft daher via Mobilfunk beim Energieversorger an, kommt aber nicht durch. Vermutlich ist das Mobilfunknetz überlastet oder alle Leitungen belegt. Eine Kollegin kommt herein und berichtet, dass sie gerade auf dem Handy online gelesen hat, dass es einen großflächigen Stromausfall in Musterstadt gibt. Die Ursache sei jedoch noch unklar.

13:05 Uhr: Herr Müller schaut auf die Monitore in der Leitwarte und realisiert, dass alle nicht notstromberechtigten Geräte und Anlagen in Störung sind.

Zwei Mitarbeiter betreten die Leitwarte und berichten, dass einige Maschinen nicht mehr betrieben werden können. Sowohl Teile der Schlammförderung als auch -entwässerung stehen still. Schnell beauftragt er zwei Mitarbeiter sich um die Entleerung der Zentrifuge der Schlammentwässerung zu kümmern, bevor der Schlamm aushärtet. Herr Müller atmet durch und versucht Ruhe zu bewahren. Die Schlammförderung kann auch erstmal pausieren, ohne dass größere Schäden entstehen, oder erst einmal mit Notstromversorgung weiterlaufen. Prozessleitsystem und SPS haben eine unterbrechungsfreie Stromversorgung (USV) - also kann in den nächsten Stunden erstmal nichts Schlimmes passieren.

13:20 Uhr: Sechs Mitarbeiter sind auf der Anlage und im Kanalnetz beschäftigt.

Die restlichen acht Mitarbeiter trommelt Herr Müller zur Sicherheit zusammen und bespricht, wie nun fortgefahren wird. In dem Moment ruft ein Mitarbeiter aus dem Kanalnetz per Handy an und berichtet, dass sich die ankommende Wassermenge verringert, da die Pumpwerke im Kanalnetz ausgefallen sind. Sie verfügen teilweise über keine Notstromversorgung. Ein Blick auf die Messinstrumente bestätigt, dass die Wassermenge nachlässt. Das Hauptpumpwerk wird mittlerweile über den stationären Notstromdiesel betrieben. Herr Müller schickt einen Mitarbeiter zur Überwachung. Zudem beauftragt er zwei Mitarbeiter den mobilen Notstromdiesel zu einem Pumpwerk ohne stationäre Notstromversorgung zu bringen, damit dieses wieder betrieben werden kann und das Kanalnetz nicht überläuft.

13:40 Uhr: Eine Stunde ohne externe Stromversorgung.

Bei den Mitarbeitern breitet sich Unruhe aus. Solch eine Situation haben sie noch nicht erlebt. Die letzte Notfallübung haben sie 2015 absolviert. Der vorhandene Notfallplan hilft nicht weiter, da die Organisation mittlerweile verändert wurde. Herr Müller ordnet an, dass seine verbliebenen Mitarbeiter in regelmäßigen Abständen die wichtigsten Anlagenteile der Kläranlage prüfen und bei Auffälligkeiten sofort Bericht erstatten.

Die mittlerweile auf fünf verfügbare Mitarbeiter reduzierte Belegschaft hat nun nur noch eine Aufgabe: Den Betrieb bestmöglich funktionstüchtig zu halten. Jetzt darf nichts mehr schiefgehen.

14:50 Uhr: Zwei Stunden ohne externe Stromversorgung.

Herr Müller wundert sich, dass der Stromausfall immer noch anhält. Das Fernwirknetz zu den Pumpwerken funktioniert nur noch sehr eingeschränkt. Entweder sind die Mobilfunkmasten nicht ausreichend notstromgepuffert oder das Netz ist einfach überlastet. Immerhin das Radio funktioniert noch. Darüber erfahren sie, dass es einen Hackerangriff auf das Stromnetz des Netzbetreibers gab. Der Angriff wurde erkannt, konnte aber noch nicht abgewehrt werden.

Zur Sicherheit beauftragt Herr Müller einen Mitarbeiter die Treibstoffvorräte für den Notstromdiesel zu prüfen. Die Vorräte sind vor einigen Jahren für eine Autonomiezeit von zwölf Stunden im Notbetrieb ausgelegt worden. Mittlerweile wurden allerdings neue Anlagenteile gebaut und die Anlagenkapazität deutlich erweitert. Die Auslegung passt nicht mehr. Und: Sind die Tanks wirklich voll? Die Prüfung ergibt, dass die Vorräte noch etwa sieben Stunden für den jetzigen Betrieb ausreichen.

16:23 Uhr: Knapp vier Stunden ohne externe Stromversorgung.

Der Notbetrieb erfordert mehr Personal. Hecktisch versucht das Sekretariat alle kranken und im Urlaub befindlichen Mitarbeiter anzurufen und zum Dienst zu bitten. Aufgrund der überlasteten und nur noch in Teilen funktionsfähigen Handynetze können von 16 Mitarbeitern jedoch nur vier per Handy erreicht werden. Davon sind nur zwei in der Lage sofort vorbeizukommen.

18:11 Uhr: Über fünf Stunden ohne externe Stromversorgung.

Der Diesel reicht noch für ca. vier Stunden. Zwei Mitarbeiter berichten von ihren Kontrollgängen. Die Zusammensetzung des Abwassers hat sich verändert. Es ist dicker und stinkt mehr als üblich. Mittlerweile macht sich bemerkbar, dass die Wasserversorgung nur noch eingeschränkt läuft. Vermutlich ist die Wasserversorgung in den Außenbereichen ausgefallen. Gleichzeitig sind nicht alle Pumpen notstromversorgt, wodurch der Wasserdruck insgesamt sinkt. Es besteht die Gefahr, dass die Leitungen verstopfen und Krankheitserreger übertragen werden. Aber wie lange funktioniert die Klärung wohl noch?

19:35 Uhr: Fast sieben Stunden ohne externe Stromversorgung.

Der Diesel reicht noch knapp drei Stunden. Das stationär notstromversorgte Hauptpumpwerk meldet eine ähnliche Restlaufzeit. Zu den Mitarbeitern beim mobilen Notstromaggregat besteht kein Kontakt mehr. Läuft es noch?

Da im Notstrombetrieb nicht alle Verdichter für die Belebung zur Verfügung stehen, haben die Werte den Soll-Bereich verlassen. Um die Belebung zu entlasten, leitet Herr Müller einen Teil des ankommenden Abwassers in das Misch- und Ausgleichsbecken um.

20:30 Uhr: Fast acht Stunden ohne Strom.

Der Diesel reicht noch knapp zwei Stunden. Ein Polizist kommt vorbei und gibt einen Statusbericht. Der Hackerangriff wurde abgewehrt. Nun müssen die Systeme wieder in Gang gesetzt werden, damit die Stromversorgung wieder funktioniert. Dies könnte bis zu zwölf Stunden dauern. Ein erstes Durchatmen geht durch die Reihen. Gleichzeitig wird allen bewusst, dass die Dieselvorräte für zwölf Stunden nicht ausreichen werden. Für eine Nachbetankung steht niemand zur Verfügung.

22:17 Uhr: Der Netzersatzdiesel meldet Treibstoffmangel und geht nur Minuten später aus.

Auf der Anlage wird es ruhig. Herr Müller und seine Mitarbeiter sind nervlich am Ende. Alle wissen, die Autonomiezeit der USV für Kommunikations- und Steuerungstechnik beträgt ab jetzt nur noch ca. eine Stunde.

Das noch ankommende Wasser kann nicht mehr gereinigt und auch nicht mehr gefördert werden. Zudem macht sich der Regen vom Nachmittag bemerkbar, sodass der Pegel im Zulauf der Kläranlage schnell ansteigt. Weiteres Abwasser wird außerdem über den Notabschlag in den Vorfluter eingeleitet. Herr Müller mag sich gar nicht ausmalen, was das für Umweltschäden nach sich zieht. Hoffentlich folgen keine strafrechtlichen Konsequenzen oder Schadenersatzforderungen.

23:12 Uhr: Ein Mitarbeiter der Elektrotechnik meldet, dass die Batterien der USV den unteren Ladezustand erreicht haben.

Die Warnung, dass die Kommunikations- und Steuerungstechnik in Kürze nicht weiter versorgt werden kann, trifft alle. Ohne diese Technik gibt es keine Überwachung und keine Steuerung der Betriebsanlagen! Jetzt können sie nur noch warten, bis der Strom wieder verfügbar ist.

23:51 Uhr: Die Stromversorgung funktioniert wieder.

Herr Müller und seine Belegschaft können wieder aufatmen. Nun gilt es die Anlagen wieder in den Regelbetrieb zu versetzen...

Fazit: Auch wenn langanhaltende Stromausfälle in einer Industrienation wie Deutschland selten auftreten, steigt bei wachsender Bedrohungslage, wachsender Anlagenkomplexität, mehr Extremwetterereignissen und instabiler Netze die Gefahr von Stromausfällen oder anderen Störungen, die ähnliche Kaskadeneffekte hervorrufen.

Unabhängig von diesem Szenario kann ein Stromausfall oder ein anderer Störfall auf einer Kläranlage auch durch einen Unfall, technisches Versagen oder höhere Gewalt auftreten. Es ist aus Sicht der john becker ingenieure deshalb wichtig, dass für das Personal und die technische Anlage die richtigen präventiven Maßnahmen ergriffen werden, damit der Betrieb im Notfall funktionsfähig bleibt.

Zudem lohnt es für viele Kläranlagen die Abhängigkeit vom Stromnetz zu reduzieren. Die Technikfolgeabschätzung empfiehlt die Energieautarkie zu erhöhen und den Betrieb inselnetztauglich aufzubauen. Möglich ist dies einerseits durch die Nutzung von Faulgas für BHKWs, wie es auch schon vieler Orts durchgeführt wird. Hierdurch erhöht sich laut john becker ingenieure nicht nur die Betriebssicherheit, sondern auch die Wirtschaftlichkeit und Umweltfreundlichkeit der Kläranlage.

Anlagenbetreiber müssen berücksichtigen, dass sie als Betreiber für einen funktionierenden Betrieb verantwortlich sind und für Folgen durch selbstverschuldete Störfälle haften.

In diesem fiktiven Szenario liegt die Fehlerquelle nicht auf dem Betriebsgelände. Ein Hackerangriff hätte aber auch eine Kläranlage außer Betrieb setzen können. Laut BSI-Lagebericht der IT-Sicherheit 2018 sind "Betreiber Kritischer Infrastrukturen [...] verstärkt im Fokus von Cyberangriffen." Dazu gehören auch Betriebe der Wasserwirtschaft.

Für Angriffe auf die Informationstechnik wurde bereits ein Handlungsbedarf vom Staat erkannt. Das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) führt auf, dass Betreiber Kritischer Infrastrukturen (z. B. Kläranlagen mit mehr als 500.000 Einwohnergleichwerten) verpflichtet sind "angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind" (Vgl. § 8a Abs. 1 BSIG). Da aber nicht für jeden Störfall die Ursache in der Informationstechnik liegt, lohnt es sich einen ganzheitlichen Blick auf die Sicherheit von Kläranlagen zu werfen. Insbesondere gilt es Mitarbeiter und Anlagen auf einen Notfall vorzubereiten.

Autoren: Dipl. Ing. Martin Mergelmeyer, Dipl. Ing. Ture Schönebeck, M. Sc. Frieder Helmich, Dipl. Ing. Jan Zerling alle john becker ingenieure

[1] "Gefährdung und Verletzbarkeit moderner Gesellschaft - am Beispiel eines großräumigen und langandauernden Ausfalls der Stromversorgung", Deutscher Bundestag, 27.04.2011

Kontakt

Stammhaus
Lilienthal

Zur alten Wörpe 6
28865 Lilienthal

 

Telefon
04298 / 276 95-0

Mail schreiben

Zu Google Maps

Niederlassung München

Landsberger Straße 408
81241 München 

Telefon
089 / 568 27 68-0 

Mail schreiben 

Zu Google Maps 

Niederlassung Berlin-Brandenburg

Bahnhofstraße 6 
15344 Strausberg 

Telefon
03341 / 490 60-0

Mail schreiben 

Zu Google Maps