Explosionen in Kraftwerken, Krankenhäusern und Rüstungsanlagen erschüttern seit Tagen die Islamische Republik. Sind sie Teil einer asymmetrischen Attacke?
Durch die Wucht der Explosion färbte sich der Himmel für einen kurzen Moment orange. Der Feuerball wurde von manchen Einwohnern Teherans mit ihren Smart Phones gefilmt, der Vorfall vom 26. Juni 2020 sogleich in sozialen Medien diskutiert. Die iranische Regierung hatte rasch eine Antwort parat. Brigadegeneral Davoud Abdi, der Sprecher des iranischen Verteidigungsministeriums, teilte mit, es sei in Parchin (rund 30 Kilometer südöstlich vom Zentrum Teherans) zur Explosion eines Gaslagers gekommen. Ein Unfall, das Feuer sei bereits wieder unter Kontrolle.
Erste Satellitenaufnahmen zeigen aber, dass die gewaltige Explosion nicht unmittelbar im Parchin-Komplex, sondern in der benachbarten Khojir-Anlage, stattfand. Bei Parchin und Khojir handelt es sich tatsächlich um zwei bedeutende Entwicklungs- und Produktionsstandorte iranischer Waffentechnologie. In Khojir, dem mutmaßlichen Explosionsort, sollen die Iraner ballistische Raketen und weitreichende Drohnen entwickeln. Und bereits im Oktober 2014 hatte es in Parchin einen ähnlichen ungewöhnlichen Explosionsvorfall gegeben. 2015 häuften sich schließlich die Vorwürfe der internationalen Gemeinschaft, denen zufolge Parchin mit dem iranischen Nuklearwaffenprogramm in Zusammenhang steht. Im September 2015 berichtete die IAEA, sie sei bei einer ihren Inspektionen auf Spuren von waffenfähigem Uran gestoßen.
Ebenfalls in den Morgenstunden des 26. Juni kam es zu einem Blackout in einem Kraftwerk in Shiraz, rund 800 Kilometer südlich der iranischen Hauptstadt Teheran gelegen. Auch hier drangen vorerst keine weiteren Details an die Öffentlichkeit. Vier Tage später, am 30. Juni erfolgten dann mehrere Explosionen im Sina-Athar-Krankenhaus im Norden von Teheran. Dabei fanden nach offiziellen Angaben neunzehn Menschen den Tod – das Ergebnis, so zumindest das offizielle Statement, einer verheerenden Explosion von Sauerstofftanks.
Der vierte Vorfall geschah am 2. Juli in der Nähe der unterirdischen Nuklearanlage von Natanz zu einer Explosion. Auch die Anlange von Natanz ist nicht unbekannt. Sie ist eine der wichtigsten iranischen Standorte für Anreicherung von potenziell waffenfähigem Uran. Die Häufung dieser Vorfälle innerhalb weniger Tage erfordert nun eine nähere Betrachtung.
Tatsächlich waren sowohl das iranische Rüstungs-, als auch das Atomprogram in der Vergangenheit immer wieder Angriffen ausgesetzt. Von deren Durchführung erfuhr die Weltöffentlichkeit meist erheblich später. Die Angriffe erfolgten dabei in unterschiedlicher Form. Als sich die Anstrengungen Irans zur Erzeugung von mutmaßlich waffenfähigem Uran immer mehr intensivierten, erfolgten im Jahr 2010 erste Rückschläge. So wurde im Januar 2010 der iranische Atomphysiker Massud Ali-Mohammadi durch eine gezielte Explosion getötet. Im November starb bei einem Anschlag der Forscher Majid Shahriari und der Atomphsiker Fereidun Abbassi wurde bei einem weiteren Angriff verletzt. Im Juli 2011 wurde schließlich der Physiker Dariush Rezaie ermordet. Im November 2011 erfolgte dann eine verheerende Explosion auf einem Raketentestgelände der Revolutionsgarde. Dabei fand General Hassan Moghaddam den Tod. Er war für die Entwicklung weitreichender iranischer ballistischer Raketen zuständig gewesen. Im Januar 2012 starb Mostafa Roshan, der Leiter der Anlage in Natanz durch einen Bombenanschlag.
Es gibt eine historische Blaupause für die Operation
Neben gezielten Tötungen meldet der Iran immer wieder die Sichtung ausländischer Drohnen (UAV) über seinen militärischen Anlagen. Im Dezember 2011 konnte eine amerikanische UAV vom Typ RQ-170 zur Landung gezwungen werden – mittels „Spoofing“, wie der Fachbegriff für die feindliche Übernahme der Kontrolle durch eine Cyberattacke lautet. Einen Nachbau dieser US-Drohne setzten die Iraner dann im Februar 2018 wahrscheinlich über Israel ein.
Doch Tötungen und Drohnenaufklärung waren nur ein Teil einer umfassenden Angriffsoperation gegen Iran. Unbemerkt für die Iraner war es ab 2010 gelungen ein Virus namens „Stuxnet“ in die technischen Anlagen der Urananreicherung zu infiltrieren. Das Virus war entwickelt worden, um gezielt computergesteuerte Prozessleitsysteme (SCADA) des Herstellers Siemens anzugreifen. Dieses verwendeten die Iraner für das Betreiben ihrer Zentrifugen. Unter anderem aufgrund der Angaben des US-Whistleblowers Edward Snowden ist heute bekannt, dass die Entwicklung des Virus das Ergebnis einer gemeinsamen Operation des NSA und des israelischen Geheimdienstes war. Durch die Wirkung des Virus wurden eine Vielzahl an iranischen Zentrifugen zerstört, das iranische Nuklearprogramm um Jahre zurückgeworfen.
Der Einsatz einer Schadsoftware für einen gezielten Angriff war ein bis zu diesem Zeitpunkt einzigartiger Vorgang. Die Entwicklung des Virus war mit hohem Aufwand betrieben worden. Es gelang den Entwicklern mit dem Einsatz des Virus nicht nur, bestehende Sicherheitslücken von Microsoft-Betriebssystemen gezielt auszunutzen, sondern auch exakt die angegriffenen Leitsysteme anzusteuern. Dazu wurden eigens programmierte rootkits verwendet, um die Zentrifugen in eine unkontrollierte Beschleunigung zu versetzen. Dies führte nach kurzer Zeit zu deren Zerstörung. Stuxnet ging dabei so raffiniert vor, dass die Zentrifugen nicht alle auf einmal, sondern nach und nach zerstört wurden. Die Iraner standen vor einem Rätsel und es dauerte lange, bis sie es lösen könnten. Zu spät um einen umfangreichen Schaden abwenden zu können.
Womöglich ist das Beispiel Stuxnet aufschlussreich, wenn man den bis jetzt fünften auffälligen Störfall in Iran betrachtet: Er fand am 3. Juli in einem Kraftwerk in Ahwaz in der Provinz Khuzestan statt, wo offenbar ein Transformator explodierte. Darauf folgte ein großflächiger Brand in dem Kraftwerk.
Eine Analyse der ersten Berichte und Bilder der dargestellten Ereignisse in Iran zeigt, dass vor allem die Stromversorgungseinrichtungen von den Explosionen und Bränden betroffen waren. Es scheint, dass eine radikale Änderung der Belastung die Transformatoren der Anlagen zur Explosion gebracht haben. Die Belastung wird normalerweise durch Spannungswandler geregelt. Werden diese unvermittelt auf Volllast gebracht, kommt es zur Explosion. In allen Fällen könnte dies der Fall gewesen sein. Dies deutet auf einen gezielten Cyberangriff hin. Wie im Falle von Stuxnet könnte es das Ziel gewesen sein, nur bestimmte Bauteile anzugreifen. Aufgrund der Verbreitung über das Netz wurde so zwar das oder die Hauptangriffsziele getroffen (möglichweise Natanz und Khojir) aber auch Kollateralschäden (Krankenhäuser, Kraftwerke) verursacht.
Noch ist es zu früh um eine valide abschließende Analyse durchführen zu können. Die Häufung der Vorfälle in Iran sowie der Fokus auf die Stromversorgung können jedoch als erste Indizien für einen gezielten Cyberangriff gelten. Er würde zumindest an die Serie der bisherigen Angriffe anschließen. Sollte er tatsächlich stattgefunden haben ist es auch noch zu früh über mögliche Verursacher zu spekulieren. So kommen die USA, Israel aber auch Saudi-Arabien (als Reaktion auf iranische oder von Iran unterstützte Attacken im Königreich) in Frage.
Wird Teheran bereit zu sein, diese Angriffe hinzunehmen? Bisher haben die Iraner ihrerseits mit diversen, auch hochtechnologischen Methoden militärisch operiert. Auch wiederholt und in einer Form, wie man es nicht erwartet hätte. 2019 haben die Iraner eine amerikanische Aufklärungsdrohne vom Typ RQ-4 abgeschossen, im Januar 2020 als Vergeltung für die Tötung von Generalmajor Qassem Soleimani durch die Amerikaner eine der wichtigsten US-Militärbasen im Raum punktgenau mit ballistischen Raketen angegriffen. Zudem ist Irans Verwicklung in die Angriffe auf die saudischen Aramco-Erdölanlagen (2019) offensichtlich.
Die Ratlines nach Syrien und Jemen laufen weiterhin auf Hochtouren
Am 2. Juli 2020 veröffentlichte die saudische Luftwaffe Videos, in welchen F-15 Kampfflugzeuge der königlichen Luftwaffe einfliegende Drohnen abschießen. Eindeutig sind diese auf den Bildern als iranische UAV-X zu identifizieren. Ende Juni waren bei einem Angriff insgesamt acht weitreichende mit Sprengstoff beladene Drohnen in den saudischen Luftraum eingedrungen. Hinzu kamen weitere drei abgefeuerte ballistische Raketen. Das Angriffsziel hatte offenbar in Riad gelegen, wenngleich sich die saudische Hauptstadt bis dahin nicht in Reichweite der Drohnen befand. Der Angriff wurde zwar wie üblich von den Houthi-Rebellen im Jemen beansprucht. Doch ist offensichtlich, dass die Angriffsmittel vom Iran geliefert worden waren. Ein Sprecher des saudischen Verteidigungsministeriums gab bekannt, dass derartige Angriffe in Zukunft nicht mehr toleriert werden würden.
Derweil laufen die „Ratlines“ nach Syrien und in den Jemen weiter auf Hochtouren. Laufend erfolgen Lieferungen an die syrischen Verbündeten und an die Houthis. In Syrien werden stetig iranische Drohnenteams ins Land gebracht. Deren Auftreten wird von Israel mit Argusaugen verfolgt und wann immer möglich unterbunden. Einen Vorfall wie im Februar 2018 – als eine mit Sprengstoff beladene iranische Drohne in den israelischen Luftraum eindrang – soll sich nicht wiederholen. Die immer wieder stattfindenden Luftangriffe der israelischen Luftwaffe auf syrischem Territorium lassen die hohe Frequenz der iranischen Lieferungen erahnen. Hinzu kommt, dass Iran sich aufgrund des Austritts der USA aus dem internationalen Nuklearabkommen (JCPOA) und der schmerzhaften Sanktionen nicht mehr an die Auflagen des Abkommens zur Urananreicherung gebunden fühlt. Besonders Irans Gegner in der Region befürchten nun, dass die Islamische Republik wieder verstärkt an nuklearen Waffen arbeite.
Die beschriebene Verkettung von „Vorfällen“ kann darauf hindeuten, dass diese Gegner sich entschlossen haben, Cyberangriffe auf iranische Ziele zu verstärken. Sollte dies der Fall sein, wird die iranische Antwort wohl nicht lange auf sich warten lassen.
