Eintritt frei - Sicherheitslücke Innentäter

Jahrzehntelang konnten Personen auch ohne Zuverlässigkeitsüberprüfung ins Innere von AKW gelangen. Niemand bemerkte die Sicherheitslücke. Von Armin Simon

Foto: RWE

Herzlich Willkommen: Blick in die Hauptschleuse des Reaktors

Ein Fax genügte und die Türen gingen auf: Der Zutritt selbst zu sensiblen Sicherheitsbereichen in deutschen Atomanlagen war offenbar jahrzehntelang auch ohne die gesetzlich vorgeschriebene Sicherheitsüberprüfung möglich. Das räumten Atomaufsichtsbehörden Ende August öffentlich ein. Vorausgegangen war eine Zufallsenthüllung bei der Jülicher Entsorgungsgesellschaft für Nuklearanlagen (JEN). Dort hatte ein Mitarbeiter offenbar im Alleingang 21 Personen Persilscheine ausgestellt, die nie eine Sicherheitsüberprüfung durchlaufen hatten oder deren Überprüfung schon länger als fünf Jahre zurücklag – ohne dass dies jemand bemerkt hätte.

Offiziell sind Betreiber und Atomaufsichtsbehörden verpflichtet, alle in Atomanlagen tätigen Personen vor deren Einsatz zu überprüfen. Dies geschieht etwa mithilfe von Anfragen beim Bundeszentralregister sowie bei Kriminalämtern und dem Verfassungsschutz. Doch um die Zahl der Anfragen gering zu halten, dürfen die Betreiber von Atomanlagen das Ergebnis einer solchen Überprüfung mit einer sogenannten Quermeldung an andere Betreiber weiterreichen; die betreffende Person wird dort dann nicht erneut überprüft. Diese Quermeldungen, das enthüllte der Fall aus Jülich, unterliegen offenbar seit Jahrzehnten keinerlei Kontrolle: Einzelne Mitarbeiter*innen konnten ungeprüft Faxe verschicken, die Personen gegenüber anderen Atomanlagen als sicherheitsüberprüft auswiesen. Einem Schneeballsystem gleich konnten diese den Persilschein dann wiederum ungeprüft weiterverbreiten.

Unerkannte Sicherheitslücken

„Solche Manipulationen sind untragbar“, empörte sich das baden-wüttembergische Umweltministerium nach deren Bekanntwerden. Tatsächlich hatten die Aufsichtsbehörden, die über die Sicherheit der Atomanlagen wachen sollen, das dubiose Quermeldungs-System, das den Betrug erst ermöglichte, offenbar nie hinterfragt. Das ist umso frappierender, als die Gefährdung atomarer Anlagen durch mögliche „Innentäter*innen“ seit vielen Jahren auch in Behördenkreisen Thema ist, insbesondere seit auch Szenarien für möglich gehalten werden, bei denen Angreifer*innen ihren eigenen Tod in Kauf nehmen und also nicht mehr fliehen müssen. Diskutiert werden dabei sowohl eigenständige Angriffe auf die Anlage von innen als auch Manipulationen und Sabotageakte, die einen Angriff von außen erleichtern oder den dadurch erzielbaren Schaden vergrößern könnten. Im März 2016 ordnete die belgische Regierung eine teilweise Evakuierung der AKW Tihange und Doel an, nur für den Betrieb unverzichtbare Personen durften bleiben. Offenbar sollten mit der Eil-Maßnahme mögliche Täter*innen aus den Anlagen entfernt werden.

Bloß ein Einzelfall?

Im Fall des Jülicher Mitarbeiters bemühen sich die Behörden nun um Schadensbegrenzung. Das Bundesumweltministerium ordnete die Überprüfung aller Quermeldungen aus Jülich der letzten fünf Jahre an, spricht aber bis heute nur im Konjunktiv von der seit Jahrzehnten unentdeckten Gefahr, die das manipulationsanfällige System mit sich bringt: „(…) da es damit potentiellen Tätern möglich wäre (sic!), sich unberechtigten Zugang zu kerntechnischen Anlagen zu verschaffen.“ Tatsächlich haben allein in den vergangenen fünf Jahren nach derzeitigem Stand 21 Personen unberechtigten Zutritt zu Atomanlagen in Deutschland erhalten, und das nur aufgrund der Manipulationen eines einzigen Jülicher Mitarbeiters. Ob auch andere Mitarbeiter*innen in anderen Atomanlagen gefälschte Quermeldungen verschickt haben und welche Kreise das zog, ist weiter ungeklärt und wird offenbar auch nicht überprüft. Das Bundesumweltministerium räumte Ende September lapidar ein, ihm lägen dazu keine Erkenntnisse vor.

Bund und Länder wollen im Oktober über „eventuell notwendige langfristige Änderungen zur Verbesserung der Manipulationssicherheit“ beraten. Baden-Württemberg forderte die Betreiber selbst auf, einen Vorschlag vorzulegen, wie „Manipulationen von Quermeldungen in ihren Anlagen (…) künftig zuverlässig verhindert werden“. Seine Pressemitteilung zu den eklatanten, jahrzehntelang unentdeckten oder ignorierten Sicherheitslücken überschrieb das Stuttgarter
Ministerium übrigens so: „Beim Betrieb von kerntechnischen Anlagen steht Sicherheit an erster Stelle.“  

Gradiverende Fehler bleiben jahrelang unentdeckt

Die Sicherheits-Lüge

Seit Beginn der Atomkraftnutzung beteuern Aufsichtsbehörden und Betreiber, AKW seien „sicher“. Sie meinen: Sie entsprechen den für sie geltenden, in der Regel Jahrzehnte alten Sicherheitsanforderungen. Doch selbst die halten die Anlagen nicht unbedingt ein. Von Armin Simon

Gravierende Fehler bleiben unentdeckt, bekannte Defizite ohne Folgen - und die AKW am Netz

„Wir sind jahrelang davon ausgegangen, dass die Beherrschung eines Flugzeugabsturzes und eines Erdbebens gewährleistet war. Und wir mussten feststellen, dass das nicht der Fall war, und zwar seit Errichtung der Anlage.“ Es ist der Leiter der Atomaufsicht im Stuttgarter Umweltministerium, der am 23. Februar 2017 im Fernsehen so über das AKW Philippsburg‑2 spricht. Und damit einräumt: Die angeblich so sicheren AKW in Deutschland erfüllen unter Umständen selbst grundlegende, unstrittige und von Anfang an geltende Sicherheitsanforderungen nicht. Der angenommene Zustand der Anlagen stimmt nicht unbedingt mit der Realität überein. Auch schwerwiegende Sicherheitsmängel können jahrzehntelang unbemerkt bleiben.

Unbemerkte Mängel

Es ist nicht der erste derartige Fall, auch nicht in Philippsburg‑2. Trotzdem durfte der Reaktor bisher nach jeder noch so beunruhigenden Entdeckung wieder ans Netz, immer nach dem Motto: Es lief zwar was falsch, aber jetzt ist alles wieder in Ordnung. Was, wie das oben genannte Statement beweist, noch nie stimmte.

Dabei geht es nicht um einzelne Ausfälle von Bauteilen, wie sie – schlimm genug – auch in AKW immer wieder auftreten. Es geht um Konstruktionsfehler, die niemand ahnt, die niemand bemerkt, mit denen niemand rechnet. Um Abweichungen von den Plänen, die Basis der Sicherheitsanalysen und Genehmigungen sind. Um Betriebsregeln, die systematisch missachtet werden. Um angenommenen Schutz, der real gar nicht vorhanden ist. Um Sicherheitsanforderungen, die zum Teil jahrzehntelang nicht eingehalten werden. Weil es schlicht niemandem auffällt. Oder weil es niemanden interessiert.

Das sogenannte Sumpfsiebproblem ist so ein Fall: Bei einem Leck ausströmendes Reaktorkühlwasser kann Isolier- und anderes Material mit sich reißen. Der Theorie nach soll dieses Wasser unten im Sicherheitsbehälter, im sogenannten Reaktorsumpf, aufgefangen und von dort wieder in den Reaktor gepumpt werden, um diesen weiter zu kühlen. Doch eben diese Kühlung kann versagen, wenn der mitgerissene Schmutz die Siebe vor den Ansaugöffnungen der Pumpen verstopft. Expert*innen sagen diesen Fall, der am Ende zur Kernschmelze führen kann, bereits in den 1970ern vorher. Sie unterschätzen aber die Brisanz gewaltig. Das zeigt sich, als 1992 im schwedischen AKW Barsebäck ein falsch montiertes Ventil am Kühlkreislauf abreißt – ein kleines Leck, noch innerhalb des Sicherheitsbehälters. Doch statt zehn Stunden, wie vorhergesagt, dauert es ganze 25 Minuten, bis die Sumpfpumpen stottern und kein Wasser mehr in den Reaktor befördern: die Siebe sind dicht mit Isoliermaterial. Erst zweieinhalb Stunden später gelingt es der Betriebsmannschaft, die Verstopfung durch Rückwärtspumpen zu lösen.

An diese Rückwärtsgang-Idee klammern sich auch die AKW-Betreiber in Deutschland. Die Behörden sehen keinen Grund einzuschreiten. Erst 17 (!) Jahre später hält die Reaktorsicherheitskommission (RSK) in einem vertraulichen Protokoll fest, dass die angeblichen Nachweise der Betreiber „nicht in allen Aspekten nachvollziehbar sind“, das heißt: ungültig. Es dauert ein weiteres Jahr, bis Maßnahmen gegen die Verstopfungsgefahr laut Bundesumweltministerium zumindest „weitgehend umgesetzt“ sind. Alle AKW liefen derweil munter weiter.

Veraltete Standards

Oder der angebliche Schutz der Anlagen gegen Flugzeugabstürze, der sich jetzt in Philippsburg‑2, wie die Atomaufsicht einräumt, als Schimäre entpuppt hat: Die Lüftungskanäle für alle vier Notspeisesysteme sind anders montiert, als in den Bauplänen des AKW angegeben. Bei Erschütterungen können sie abreißen, was zum Ausfall der Notkühlung führen könnte. Das AKW hätte so niemals ans Netz gehen dürfen.

Trotzdem ist gut möglich, dass der grüne Umweltminister Franz Untersteller den Reaktor bald wieder ans Netz lässt: Wenn EnBW nachgewiesen hat, dass die Lüftungskanäle mehr als 32 Jahre nach Inbetriebnahme des AKW nun endlich den Anforderungen entsprechend montiert sind.

Selbst dann wäre Philippsburg‑2 allerdings nur gegen die Flugzeuge geschützt, gegen die der Reaktor bei seinem Bau ausgelegt werden musste. Das war ein „Phantom“-Jagdbomber. Abstürze von ungleich größeren Passagierflugzeugen mit mehr Kerosin im Tank galten damals als unvorstellbar.

Seit dem 11.9.2001 ist diese Einstufung obsolet: Abstürze großer Passagiermaschinen auf AKW zählen nicht mehr zum Restrisiko. Der Staat muss seine Bürger*innen daher vor den Folgen solcher Ereignisse schützen, stellt das Bundesverwaltungsgericht 2008 nochmals klar. Ein Gutachten im Auftrag des Bundesumweltministeriums hielt schon 2002 fest, dass kein Meiler einen Absturz einer großen Passagiermaschine sicher überstehen würde. Ernsthafte Konsequenzen für die AKW hatte das allerdings bis heute nicht: Dann müsste man sie ja abschalten.

*****************************************************

„Außerhalb der Kontrolle"

Gregory Jaczko

Herr Jaczko, Aufsichtsbehörden und Betreiber betonen immer wieder, die AKW seien „sicher“. Trotzdem gab es schon drei Super-GAUs. Wo liegt das Missverständnis?
Gregory Jaczko, ehemaliger Chef der US-Atomaufsicht: Wenn Atomaufsichtsbehörden „sicher“ sagen, meinen sie, dass das AKW den für es geltenden Standards entspricht. Aber die sind nie so angelegt, dass sie jeden möglichen Unfall verhindern. Sie sind nur da, um sicherzustellen, dass die Anlagen in den meisten Fällen ohne Unfall laufen.

Was versteht die Öffentlichkeit, wenn sie das Wort „sicher“ hört?
Dass es nie einen Unfall geben wird und alles immer gut ist. Es gibt also einen großen Unterschied zwischen dem, was die eine Gruppe sagt, und dem, was die andere Gruppe hört.

Atomaufsichtsbehörden können also schwere Atomunfälle nicht verhindern?
Ganz klar nein – siehe Harrisburg, Tschernobyl und Fukushima.

Vielleicht haben sie bloß ihren Job nicht gut gemacht?
Das ist sicher so. Es gibt immer etwas in der Art, dass die Aufsichtsbehörden von einem Problem wussten und nichts getan haben, was den Unfall hätte vermeiden können. Aber selbst wenn sie und der Betreiber immer alles richtig machen, können Dinge passieren, die außerhalb der Kontrolle von allen sind. Das Design der Reaktoren ist so, dass es immer Szenarien geben kann, die zu einem schweren Unfall führen.

Interview (März 2016): Armin Simon

„Die Minister nutzen ihren Spielraum nicht“

Ulrich Wollenteit

Rechtsanwalt Ulrich Wollenteit über die Möglichkeiten der Atomaufsicht und der Umweltminister, AKW aus Sicherheitsgründen stillzulegen und so den Atomausstieg zu beschleunigen. Interview: Armin Simon

Herr Wollenteit, in den vier Jahren nach der Abschaltung des AKW Grafenrheinfeld soll nach Merkels „Ausstiegs“-Plan nur ein einziger weiterer Reaktor stillgelegt werden. Ist dieses Schneckentempo das letzte Wort?

Dr. Ulrich Wollenteit: In erster Linie ist es eine politische Frage, wann AKWs abgeschaltet werden. Beim rot-grünen „Atomkonsens“ aus dem Jahr 2000 beziehungsweise nach Fukushima hätte man durchaus auch kürzere Laufzeiten ins Gesetz schreiben können. Die nächste Frage ist dann: Was ist allein auf Basis des geltenden Atomrechts möglich? Das wird häufig unterschätzt.

Inwiefern?
Die Rechtsprechung gesteht den Atomaufsichtsbehörden im Prinzip das Recht zu, sicherheitsrelevante Fragen in eigener Verantwortung zu beurteilen. Wenn sie dabei bestimmte Spielregeln beachten, halten sich die Gerichte bei der Rechtskontrolle zurück. Diese sogenannte Einschätzungsprärogative steht jedem Landesumweltminister zu – und sie kann natürlich auch im Interesse eines Ausstiegs genutzt werden.

An was denken Sie?
Meine Vermutung ist, dass die Aufsichtsbehörden durchaus sehr genaue Kenntnisse von den Schwachstellen der Reaktoren haben. Ich kenne die zwar nicht, aber aus meiner langjährigen Erfahrung bei verschiedensten Prozessen um Atomkraft kann ich sagen, dass da doch immer wieder erstaunliches Wissen vorhanden ist, wenn man mal ein bisschen tiefer bohrt.

Bis auf Bayern sind derzeit in allen Ländern, in denen noch AKW laufen, grüne Umweltminister für die Atomaufsicht zuständig. Günstige Voraussetzungen also?
Natürlich darf eine Behörde nicht willkürlich entscheiden. Sie muss alle relevanten Auffassungen, die zu einem sicherheitsbedeutsamen Problem vertreten werden, sichten, berücksichtigen und bewerten. Wenn sie auf dieser Basis dann aber zu dem Ergebnis kommt, dass ein Sicherheitsproblem vorliegt und deshalb eine Nachrüstung oder gar die Stilllegung des Reaktors erforderlich ist, dann beanstanden das die Gerichte nicht, weil sie sich nicht für kompetenter halten. Auch wenn eine Genehmigungsvoraussetzung, die man früher angenommen hat, heute nicht mehr als gegeben angesehen werden kann, reicht das möglicherweise bereits für den Widerruf der AKW-Betriebsgenehmigung. Das zu beurteilen, liegt ebenfalls im Ermessen der Behörde. Ich denke da etwa an die Gefahr durch gezielten Flugzeugabsturz, ein Szenario, das man früher schlicht für unmöglich gehalten hat.

… und das bisher nur zu so Alibi-Vorkehrungen wie ein paar Nebelwerfern geführt hat.
Unter Experten ist es ein offenes Geheimnis, warum man in diesem Punkt nicht konsequenter handelt: § 18 Atomgesetz verspricht den Betreibern eine Entschädigung, wenn ihr Reaktor wegen eines Umstands stillgelegt wird, dessen Ursache außerhalb der Anlage liegt. Bei Terrorgefahren wird dies von vielen angenommen, weil die Gefahr nur mittelbar von dem Reaktor ausgeht. Der Paragraf meint zwar keinen echten Schadensersatz, in der Summe kann das also deutlich weniger sein. Aber ein Problem ist es trotzdem.

Gilt die Entschädigungspflicht in jedem Fall?
Nein. Das Risiko, dass eine Anlage aufgrund inhärenter technischer Risiken stillgelegt wird, trägt laut Atomgesetz allein der Betreiber. Wenn eine Aufsichtsbehörde ihre Anordnung also auf einen derartigen Schwachpunkt stützt, besteht keine Entschädigungspflicht – das ist eindeutig.

Gibt es Beispiele, wo eine Aufsichtsbehörde schon einmal auf eine solche Weise agiert hat? Frühere hessische Regierungen haben zeitweise sehr drastische Auflagen für Biblis verhängt. Das AKW ist sogar zeitweise stillgelegt und erst aufgrund einer bundesaufsichtlichen Weisung wieder angefahren worden. Ein solcher Vollzug ist also möglich – erst recht unter dem heutigen Atomgesetz, das ja nicht mehr die Förderung, sondern den Ausstieg aus der Atomkraft zum Ziel hat. Da ist juristischer Spielraum vorhanden, der nicht genutzt wird.

RWE hat die von CDU-Umweltminister Weimar damals erlassenen Auflagen, etwa den Bau einer verbunkerten externen Notstandswarte, nie vollständig abgearbeitet.
Die haben das verschleppt, ja. Das muss eine Aufsichtsbehörde aber an sich nicht hinnehmen. Wenn im Übrigen die Bundesatomaufsicht das Vorgehen der Behörde nicht blockiert hätte, wäre Biblis vielleicht sehr viel früher vom Netz gegangen.

Das Problem, dass die Bundesatomaufsicht per Weisungsrecht jede scharfe Anordnung einer Landesatomaufsicht unterbinden, aufheben oder konterkarieren kann, gibt es allerdings heute auch noch. Schon. Aber es ist die Frage, ob eine Bundesregierung das nochmal so machen würde wie damals in Biblis. Da war ja das Land in der Atomfrage noch viel gespaltener. Heutzutage gibt es klare und stabile Mehrheiten in der öffentlichen Meinung – für ein Abschalten der AKW.