Når sabotage er billigere end bomber

Den 10. juli 2026 blev togtrafikken mellem Köln og Düsseldorf i Tyskland ramt af omfattende forstyrrelser. Regionaltog og fjerntog måtte aflyses eller omdirigeres, og først den følgende aften kunne trafikken genoptages normalt.

Årsagen var hverken ødelagte skinner eller et omfattende cyberangreb.

Brande to steder langs banen mellem Langenfeld og Leverkusen havde beskadiget signalkabler. Skaderne var tilstrækkelige til at sætte centrale funktioner ud af drift og standse togtrafikken på den berørte strækning.

Myndighederne mistænkte brandstiftelse, og der blev offentliggjort et ansvarsskrift, som angiveligt stammede fra en venstreekstremistisk gruppe. Det var dog ikke dokumenteret, hvem der stod bag.

Hændelsen illustrerer en særlig udfordring ved kritisk infrastruktur: Angriberen behøver ikke ramme den største eller dyreste komponent. Det kan være nok at ramme en funktion, som resten af systemet er afhængigt af.

Sikkerhedssystemet kan selv standse driften

Et moderne jernbanesystem er et netværk af signalanlæg, kommunikationsforbindelser, sporskifter, sensorer og sikkerhedsfunktioner.

Togene kan være funktionsdygtige, skinnerne intakte og strømforsyningen stabil. Men hvis signal- og sikkerhedssystemerne ikke længere kan sikre de nødvendige betingelser for sikker togdrift, må trafikken begrænses eller standses.

Det er ikke nødvendigvis et svigt i sikkerhedsdesignet. Tværtimod.

Sikkerhedskritiske systemer er ofte konstrueret efter fail-safe-princippet: Hvis en afgørende funktion svigter, skal systemet bevæge sig mod en sikker tilstand frem for at fortsætte under usikre betingelser.

Dermed kan et begrænset fysisk angreb udløse en langt større driftsafbrydelse, netop fordi sikkerhedssystemerne fungerer efter hensigten.

Det er en vigtig forskel: Angriberen behøver ikke nødvendigvis ødelægge den funktion, samfundet har brug for. Det kan være tilstrækkeligt at forstyrre de systemer, der gør det muligt at anvende den sikkert.

Redundans hjælper ikke, hvis reservevejen har samme svaghed

Kritiske systemer designes ofte med redundans. To kommunikationsforbindelser, flere strømforsyninger eller parallelle kontrolsystemer skal sikre, at en enkelt fejl ikke stopper driften.

Men redundans er kun effektiv, hvis reservefunktionerne ikke deler den sårbarhed, som udløser fejlen.

To fysisk adskilte servere kan eksempelvis være afhængige af samme strømforsyning. Og to kommunikationsforbindelser kan være teknisk uafhængige, men stadig følge samme kabeltracé. En enkelt fysisk skade kan derfor afbryde begge forbindelser.

Her er forskellen mellem single point of failure og common cause failure central.

Et single point of failure er en komponent, hvis svigt alene kan sætte en kritisk funktion ud af drift. En common cause failure opstår, når flere komponenter eller reservefunktioner svigter som følge af en fælles årsag.

Det betyder, at et system godt kan have redundans på komponentniveau uden at have reel modstandsdygtighed på systemniveau.

Udfordringen er derfor ikke blot at tilføje flere reservekomponenter, men at kortlægge de fælles afhængigheder, som kan gøre redundansen virkningsløs.

Hvorfor er sabotage et attraktivt angrebsmiddel?

Et konventionelt militært angreb kræver typisk betydelige ressourcer, hvis målet er at ødelægge et større infrastrukturanlæg. Sabotage kan i nogle situationer opnå en tilsvarende driftsforstyrrelse uden at påføre anlægget omfattende fysisk skade.

Det afgørende er forskellen mellem fysisk ødelæggelse og funktionelt tab.

En havn kan have intakte kraner og kajanlæg, men være ude af stand til at håndtere gods effektivt, hvis centrale styrings- og logistiksystemer svigter. Et energianlæg kan være mekanisk intakt, men ikke kunne drives forsvarligt uden nødvendige kontrolfunktioner.

For en angriber kan det derfor være mere interessant at ramme en kritisk afhængighed end selve hovedanlægget.

Det er ikke ensbetydende med, at sabotage altid er billigere eller lettere. Men hvis målet er at afbryde en funktion frem for at ødelægge infrastrukturen permanent, kan forholdet mellem indsats og effekt være meget forskelligt.

Robusthed handler også om at kunne fortsætte

Ingen kritisk infrastruktur kan beskyttes fuldstændigt mod alle tænkelige angreb. Kabler strækker sig over store afstande, anlæg er geografisk spredte, og digitale systemer er forbundet på tværs af sektorer.

Derfor er beskyttelse kun én del af opgaven.

Den anden er resiliens: Evnen til at opretholde, tilpasse og genetablere kritiske funktioner under og efter en forstyrrelse.

Det stiller andre spørgsmål til systemdesignet:

• Kan en funktion fortsætte i reduceret drift?
• Er alternative kommunikationsveje reelt uafhængige?
• Kan en fejl isoleres, før den spreder sig?
• Og hvor hurtigt kan den nødvendige funktion genetableres?

Sabotagen mod den tyske jernbane viste, hvordan skader på signalkabler kunne standse trafikken på en vigtig strækning i mere end et døgn.

Det viser, at et systems modstandsdygtighed først for alvor viser sig, når en kritisk komponent ikke længere fungerer.