Die Botschaft, die keine war
Spät an einem Sonntagabend in Karatschi wurden Zuschauer von Geo News – Pakistans meistgesehenem Fernsehsender – Zeugen einer Bildschirmübernahme. Die Sendung brach ohne Vorwarnung ab und wurde durch das ersetzt, was die Senderleitung später nur als „unangemessene" und „subversive" Nachricht bezeichnen sollte . Innerhalb weniger Stunden hatte Pakistans National Computer Emergency Response Team eine Untersuchung eingeleitet, denn es schien sich um einen koordinierten Angriff zu handeln: Mehrere Fernsehsender, Websites und mobile Anwendungen waren gleichzeitig kompromittiert worden .
Die Geschäftsführung von Geo News räumte ein, dass in den vorangegangenen 24 Stunden hartnäckig versucht worden war, in ihre Systeme einzudringen . Der Sender distanzierte sich umgehend von allen unbefugten Inhalten , doch der Vorfall offenbarte etwas Beunruhigenderes als das Sicherheitsversagen eines einzelnen Senders. Tausende Kilometer entfernt, in Minnesota, geriet eine ganz andere Art von Infrastruktur unter Beschuss.
Zwischen Sonntag, dem 26. Juli, und Montag, dem 27. Juli, wurden die IT-Systeme von mehr als 30 kommunalen Wasserversorgungseinrichtungen in Minnesota koordinierten Cyberangriffen ausgesetzt . Die Ziele waren verstreut, das Timing präzise. Und während Beamte in Islamabad und Minneapolis versuchten zu verstehen, was mit ihren jeweiligen Systemen geschehen war, lagen die Antworten nicht in lokalen Fehden oder kriminellem Opportunismus, sondern in einem Konflikt, der auf der anderen Seite der Welt ausgebrochen war – einem Konflikt, der nicht mit dem traditionellen Nebel des Krieges begann, sondern mit der kalkulierten Durchtrennung der digitalen Lebensadern einer ganzen Nation.
Dunkelheit vor der Dämmerung
Am 28. Februar 2026 begannen US-amerikanische und israelische Kampfjets eine Bombenkampagne gegen den Iran . Die kinetischen Angriffe waren verheerend: Der oberste Führer Ali Chamenei starb zusammen mit mehreren hochrangigen Regierungsvertretern . Doch Stunden bevor die ersten Bomben fielen, hatte bereits eine andere Art von Angriff begonnen.
Die Internetverbindung des Iran brach am selben Tag auf 4 % des normalen Datenverkehrs zusammen, was eine nahezu vollständige Abschaltung des landesweiten Zugangs signalisierte . Über 90 Millionen Menschen fanden sich von der digitalen Welt abgeschnitten . Die Blockade sollte 47 Tage andauern, bevor der Iran damit begann, auch nur einen eingeschränkten Zugang wiederherzustellen – eine Periode, in der das Land in einem Zustand erzwungener Isolation existierte, wie sie im modernen Internetzeitalter beispiellos war.
Die Abschaltung sei „vom Regime verhängt" worden, so mehrere Quellen , obwohl diese Bezeichnung ebenso viele Fragen aufwirft, wie sie beantwortet. War dies Teherans Versuch, den Informationsfluss während einer nationalen Krise zu kontrollieren? Oder hatten US-amerikanische und israelische Cyberoperationen die digitale Infrastruktur des Iran so gründlich kompromittiert, dass die Trennung zur einzigen verfügbaren Verteidigungsoption wurde? Die Beweislage deutet darauf hin, dass beide Realitäten nebeneinander existierten: Die iranische Regierung zog den Stecker, während ausländische Akteure die Fähigkeit behielten, ihn dunkel zu lassen.
Cyberoperationen, so stellte sich heraus, hatten von Anfang an eine bedeutende Rolle gespielt und Kommunikations- und Sensornetzwerke im gesamten Iran gestört . Verkehrskameras fielen aus. Fernsehsendungen versagten. Die digitalen Nervenbahnen, die einen modernen Staat mit seinen Bürgern – und sein Militär mit seinen Sensoren – verbinden, wurden mit chirurgischer Präzision durchtrennt, bevor konventionelle Waffen überhaupt ihre Hardpoints verließen.
Das Arsenal, das niemand sieht
Der US-israelische Angriff vom 28. Februar stellte den Höhepunkt jahrelanger Vorbereitungen im Cyberraum dar . Doch um zu verstehen, was geschah, muss man anerkennen, was iranische staatlich geförderte Akteure jahrelang zuvor getan hatten: Sie führten störende, cyber-gestützte Informationsoperationen durch, um die geopolitischen Ziele des Iran und die Interessen des Regimes voranzutreiben .
Es handelte sich nicht um hochentwickelte Zero-Day-Exploits gegen gehärtete militärische Netzwerke. Iranische Bedrohungsakteure hatten sich stattdessen auf etwas Heimtückischeres konzentriert: Sie griffen opportunistisch schlecht gesicherte kritische Infrastrukturnetzwerke und mit dem Internet verbundene Geräte auf der ganzen Welt an, darunter solche im Zusammenhang mit Wasser- und Energiesektoren . Die Strategie war eine der geduldigen Akkumulation – Zugang aufbauen, Präsenz aufrechterhalten, auf den Moment warten, in dem die angesammelten Fähigkeiten für maximale Wirkung entfesselt werden können.
Dass die Wassersysteme in Minnesota im Juli – Monate nach den Angriffen im Februar – unter Beschuss gerieten, deutet darauf hin, dass der Iran tatsächlich Fähigkeiten gespeichert hatte und auf Momente hohen Risikos wartete, um Angriffe auf US-Unternehmen und -Infrastruktur zu starten . Die Wasserwerke stellten weiche Ziele mit harten Konsequenzen dar: kommunale Systeme, die im Falle einer Kompromittierung die öffentliche Gesundheit beeinträchtigen und das Vertrauen in kritische Dienste untergraben könnten. Die Botschaft war klar: Wenn ihr in unser Land eindringen könnt, können wir in eures eindringen.
Doch die iranische Cyberdoktrin war schon immer eher opportunistisch als elegant. Im März 2026 entdeckten Forscher von Unit 42 ein neues Cluster von Bedrohungsaktivitäten mit der Bezeichnung CL-STA-1128, das auf Betriebstechnologie und industrielle Steuerungssysteme von Rockwell Automation abzielte . Dies sind die Geräte, die Fabriken betreiben, Stromnetze verwalten, Fertigungsprozesse steuern – das unscheinbare digitale Rückgrat der industriellen Zivilisation. Die Zielauswahl deutete darauf hin, dass iranische Akteure nach Schwachstellen suchten, die sich in reale Störungen übersetzen ließen: Produktionsstillstände, Sicherheitsvorfälle, wirtschaftliche Schäden, die sich im Laufe der Zeit potenzieren.
„Der Iran wird sehr wahrscheinlich sein Cyberprogramm nutzen, um auf die gemeinsamen Kampfeinsätze der USA und Israels gegen den Iran zu reagieren."
Diese Einschätzung von Analysten, die den Konflikt verfolgten , hat sich als grimmig zutreffend erwiesen. Doch sie verweist auch auf eine beunruhigende Asymmetrie: Während die USA und Israel die Fähigkeit demonstrierten, den Iran durch umfassende, mit kinetischen Angriffen koordinierte Cyberoperationen effektiv zu blenden, waren die iranischen Reaktionen eher von Diffusion und Beharrlichkeit als von entscheidender Wirkung geprägt. Der Geo-News-Hack, die Wassersysteme in Minnesota, das Ausspähen industrieller Steuerungssysteme – dies sind die Aktionen eines Akteurs, der zuschlägt, wo er kann, nicht dort, wo er möchte.
Die überlasteten Verteidiger
Während die iranische Hackerbedrohung eskalierte, fand sich Amerikas führende Cyberbehörde gefährlich überlastet . So sollte es nicht funktionieren. Das U.S. Cyber Command, die National Security Agency und die Cybersicherheitsabteilung des Department of Homeland Security hatten Jahre damit verbracht, offensive und defensive Fähigkeiten aufzubauen, die darauf abzielten, Dominanz im digitalen Raum zu etablieren. Die Angriffe im Februar demonstrierten diese offensive Fähigkeit überzeugend. Aber Verteidigung – die unscheinbare Arbeit, Tausende kommunaler Wassersysteme, regionale Stromnetze, Krankenhausnetzwerke und Industrieanlagen zu schützen – erwies sich als eine andere Herausforderung.
Das Problem ist die Angriffsfläche. Der Iran muss nicht das Pentagon hacken oder das Stromnetz der Ostküste lahmlegen. Dreißig Wassersysteme in Minnesota erreichen etwas fast ebenso Wertvolles: Sie demonstrieren Reichweite, sie erzeugen Schlagzeilen, sie zwingen defensive Ressourcen dazu, über ein unmöglich weites Territorium verteilt zu werden. Jeder kleine Angriff erfordert Untersuchung, Sanierung, öffentliche Beruhigung. Die kumulativen Kosten an Aufmerksamkeit und Ressourcen nähern sich allmählich den Auswirkungen eines einzelnen, spektakulären Einbruchs an.
Dies ist asymmetrische Kriegsführung, übertragen auf den Cyberraum. Die USA und Israel können den Iran ins Dunkel stürzen, aber der Iran kann dafür sorgen, dass amerikanische Verteidiger nie zur Ruhe kommen, dass die Wachsamkeit, die zum Schutz weitläufiger, dezentraler, oft schlecht gesicherter Infrastruktur erforderlich ist, zu ihrer eigenen Form der Zermürbung wird.
Echos über Grenzen hinweg
Der Hack von Geo News und anderen pakistanischen Medien stellt vielleicht die faszinierendste Dimension der Cyberkomponente des Konflikts dar . Pakistan ist keine formelle Konfliktpartei in der Auseinandersetzung zwischen USA, Israel und dem Iran, und doch wurde seine Medieninfrastruktur zum Schlachtfeld. Die Koordination – mehrere Sender und Plattformen wurden gleichzeitig kompromittiert – deutet auf Fähigkeiten hin, die über das hinausgehen, was kriminelle Hacker oder lokale Akteure typischerweise demonstrieren.
War dies eine iranische Vergeltung gegen einen Nachbarn, der als nicht ausreichend unterstützend wahrgenommen wurde? Oder handelte es sich um False-Flag-Operationen, die darauf abzielten, Verwirrung über die Zuschreibung zu säen und gleichzeitig die Medienkapazität in einem strategisch wichtigen Land zu schwächen? Die CERT-Untersuchung Pakistans läuft weiter , doch der Vorfall unterstreicht, wie moderne Konflikte sich weigern, geografische Grenzen oder traditionelle Vorstellungen von Kriegsführung zu respektieren.
In einer Ära, in der eine kompromittierte Fernsehsendung in Karatschi und ein Cyberangriff auf Wassersysteme in Minnesota nur im Kontext von Angriffen auf Teheran verstanden werden können, löst sich das Konzept eines „Kriegsschauplatzes" auf. Jedes mit dem Internet verbundene Gerät wird zu einem potenziellen Brückenkopf, jedes schlecht gesicherte System zu einem potenziellen Ziel, jedes Land mit digitaler Infrastruktur zu einem potenziellen Schlachtfeld.
Die Doktrin der anhaltenden Störung
Was sich aus der gemeinsamen Betrachtung dieser Vorfälle ergibt, ist eine neue Konfliktdoktrin, die seit Jahren theoretisiert wird, nun aber nachweislich operativ ist. Der Krieg gegen den Iran begann im Cyberraum, bevor er im physischen Raum begann, und er hat im Cyberraum lange nach Abschluss der ersten Phase der konventionellen Bombenkampagne angedauert.
Der US-israelische Ansatz demonstrierte, wie Cyberoperationen kinetische Angriffe ermöglichen können: feindliche Sensoren schwächen, Kommunikation stören, Verwirrung darüber schaffen, was wo geschieht und wo sich Streitkräfte befinden. Die 47-tägige Internetblockade – ob nun von Teheran verhängt, von ausländischen Akteuren aufrechterhalten oder eine Kombination aus beidem – stellte eine umfassende Informationsverweigerung dar, die in jedem früheren Konflikt unvorstellbar gewesen wäre .
Doch die Reaktion des Iran hat ein anderes Prinzip illustriert: dass selbst ein schwächerer Cyberakteur durch Beharrlichkeit und Diffusion Kosten auferlegen kann. Man muss kritische Infrastruktur nicht lahmlegen, wenn man den Gegner zwingen kann, sie alle gleichzeitig zu verteidigen. Man braucht keine spektakulären Einbrüche, wenn man durch kleine, wiederholte Eindringlinge stetige Angst erzeugen kann. Die Wassersysteme in Minnesota versagten nicht , aber ihre Anvisierung erreichte dennoch etwas – eine Demonstration, dass die amerikanische Infrastruktur verwundbar bleibt, dass die Heimat kein Heiligtum ist, dass die Kosten ferner Kriege sich in lokalen Krisen manifestieren können.
Dies ist die Logik der anhaltenden Störung: Akzeptieren, dass man im Cyberraum nicht entscheidend gewinnen kann, aber sicherstellen, dass der Gegner es auch nicht kann. Verteidigung teuer machen, sie ermüdend machen, sie zu einer ständigen Belastung für Aufmerksamkeit und Ressourcen machen. Auf Momente hohen Risikos warten und dort zuschlagen, wo die Verteidigungen am schwächsten sind. Eine Präsenz über Tausende schlecht gesicherter Systeme aufbauen und diesen Zugang nutzen, um Zweifel daran zu schaffen, was sonst noch kompromittiert sein könnte.
Der Krieg, der nicht endet
Traditionelle Kriege haben Abschlüsse: Verträge werden unterzeichnet, Truppen abgezogen, der Wiederaufbau beginnt. Cyberkriegsführung bietet keine solche Klarheit. Das Internet des Iran wurde wiederhergestellt, zumindest teilweise , aber die im Februar kompromittierten Verkehrskameras könnten weiterhin verwundbar sein. Die im März ausgespähten industriellen Steuerungssysteme könnten noch immer Hintertüren beherbergen. Die im Juli angegriffenen Wassersysteme wurden gesichert – oder etwa nicht? Und was ist mit den Systemen, die noch nicht angegriffen wurden, die aber möglicherweise vor Monaten oder Jahren penetriert wurden und ruhen, bis zum Moment ihrer Aktivierung?
Die führende US-Cyberbehörde bleibt überlastet , ein Zustand, der wohl anhalten wird. Denn der Iran hat seine Fähigkeiten nicht erschöpft; er hat sie lediglich selektiv demonstriert. Und andere Akteure – die diesen Konflikt aufmerksam beobachten – ziehen Lehren daraus, was funktioniert, was nicht, und welche neuen Schwachstellen entstehen, während Verteidiger sich beeilen, alte zu schließen.
Die Bombenkampagne, die den obersten Führer des Iran tötete, war ein definitiver Akt mit klaren Konsequenzen . Doch die Cyberoperationen, die diesen Angriffen vorausgingen, sie begleiteten und ihnen folgten, existieren in einem undurchsichtigeren Bereich. Einige wurden eingeräumt, andere abgeleitet, viele bleiben völlig unsichtbar. Die Botschaft, die auf den Bildschirmen von Geo News erschien, wurde dementiert, aber nie vollständig erklärt . Die Mechanismen, die den Iran ins digitale Dunkel stürzten, wurden nicht detailliert dargelegt. Das volle Ausmaß der iranischen Penetration westlicher Infrastruktur bleibt unbekannt.
„Iranische staatlich geförderte Cyber-Bedrohungsakteure greifen opportunistisch schlecht gesicherte kritische Infrastrukturnetzwerke und mit dem Internet verbundene Geräte auf der ganzen Welt an."
Dies war vor Februar 2026 wahr , und es bleibt heute wahr. Der Krieg mit dem Iran mag mit konventionellen Angriffen begonnen haben, aber der ihn begleitende Cyberkonflikt hat kein klares Ende. Er setzt sich im Hintergrund des täglichen Lebens fort: in den Sicherheitsupdates, die an industrielle Steuerungen übertragen werden, in den Überwachungssystemen, die kommunale Wasseranlagen beobachten, in den Untersuchungen, die noch immer in Islamabad und Minneapolis und Dutzenden anderen Orten laufen, die keine Schlagzeilen gemacht haben.
Wir sind in eine Ära eingetreten, in der Kriege beginnen, bevor sie erklärt werden, und andauern, nachdem sie angeblich beendet wurden, in der das Schlachtfeld überall und nirgendwo ist, in der die Unterscheidung zwischen Kombattanten und ziviler Infrastruktur zusammenbricht, weil alles, was mit dem Internet verbunden ist, potenziell Teil des Schlachtfeldes ist. Der Iran-Krieg von 2026 demonstrierte das Potenzial von Cyberoperationen mit beispielloser Klarheit. Aber er demonstrierte auch etwas Beunruhigenderes: dass solche Konflikte, einmal begonnen, möglicherweise nie wirklich enden. Die Waffen sind bereits an Ort und Stelle, eingebettet in Systeme, von denen wir abhängig sind, wartend auf den nächsten Moment hohen Risikos, den nächsten kalkulierten Angriff, die nächste Botschaft, die ungebeten auf Bildschirmen einer verdunkelten Welt erscheint.