60 Millionen Menschen ohne Strom in 5 Sekunden — und die KI-Branche hat nichts gelernt
Ich war gerade in einem Call mit einem potenziellen Partner, als die Nachricht kam. 28. April 2025. Jemand im Meeting warf einen Link in den Chat: Spanien und Portugal waren komplett dunkel geworden. Sechzig Millionen Menschen ohne Strom. Ampeln tot. Krankenhäuser auf Notstromaggregaten. Züge in Tunneln gestrandet.
Mein erster Gedanke — und ich bin nicht stolz darauf — war Erleichterung. Nicht darüber, dass es passiert ist, natürlich. Sondern darüber, dass das, wovor wir seit zwei Jahren gewarnt hatten, endlich unmöglich zu ignorieren war. Wir hatten bei Veriprajna genau deshalb deterministische KI-Systeme gebaut, weil wir überzeugt waren, dass probabilistische Modelle — die Art, die die meisten KI-Unternehmen verkaufen — in kritischer Infrastruktur irgendwann katastrophal versagen würden. Und hier war es: 15 Gigawatt Erzeugungsleistung in fünf Sekunden verschwunden. Kein Cyberangriff. Keine Naturkatastrophe. Eine Kaskade von Regelungsfehlern, die eine bessere KI hätte verhindern können.
Mein zweiter Gedanke war Wut. Denn innerhalb weniger Stunden hatte sich das Narrativ bereits verfestigt: „Die Erneuerbaren haben den Blackout verursacht.“ Es war überall. Und es war falsch.
Was hat das Netz am 28. April wirklich lahmgelegt?
Lassen Sie mich genau sagen, was passiert ist, denn die Details zählen mehr als die Schlagzeilen.
An jenem Morgen erzeugten erneuerbare Energien 78 % des spanischen Stroms. Solar und Wind machten ihre Arbeit hervorragend. Aber hier ist, was die meisten Menschen über ein Stromnetz nicht verstehen: Strom zu erzeugen ist nur die halbe Aufgabe. Die andere Hälfte ist die Steuerung der Blindleistung — der unsichtbaren Kraft, die die Spannung über Tausende von Kilometern Übertragungsleitung hinweg stabil hält.
Stellen Sie es sich wie den Wasserdruck in einem Rohrsystem vor. Sie können reichlich Wasser haben (Wirkleistung), aber wenn der Druck (die Spannung) an den falschen Stellen abfällt oder in die Höhe schießt, platzen die Rohre. Blindleistung ist das, was diesen Druck reguliert. Spanische Vorschriften — konkret das sogenannte Betriebsverfahren 7.4 — verlangen von jedem Kraftwerk, Blindleistung dynamisch aufzunehmen oder einzuspeisen, um die Spannungen stabil zu halten. Jede Anlage muss mindestens 30 % ihrer Maximalleistung als Blindleistungsstützung bereitstellen können.
Am 28. April begann das Netz gegen Mittag seltsame Oszillationen zu zeigen — subsynchrone Schwingungen bei 0,21 Hz und 0,63 Hz. Die Übertragungsnetzbetreiber versuchten sie zu dämpfen, indem sie mehr Leitungen vermaschten und HVDC-Verbindungen in den Festleistungsmodus schalteten. Nachvollziehbare Schritte. Aber sie hatten eine unbeabsichtigte Folge: Die Spannungen begannen zu steigen.
Und dann das entscheidende Versagen: Mehrere Erzeugungsanlagen nahmen Blindleistung nicht wie vorgeschrieben auf. Sie reagierten zu langsam oder gar nicht. Eine große Anlage speiste sogar Blindleistung in ein bereits überspanntes Netz ein — genau das Gegenteil dessen, was die Physik verlangte. Es war, als würde man Benzin in ein Feuer gießen, das man eigentlich löschen soll.
Um 12:33 Uhr MESZ war die Kaskade vollständig. Fünfzehn Gigawatt weg in fünf Sekunden. Totaler Blackout auf der gesamten Iberischen Halbinsel für bis zu zehn Stunden. Mehrere Menschen starben.
Die unsichtbare Lücke, auf die niemand geachtet hat
Hier ist das Detail aus der Untersuchung nach dem Vorfall, das mich nachts wach gehalten hat.
Die Übertragungsnetzbetreiber schauten die ganze Zeit auf ihre Bildschirme. Auf der 400-Kilovolt-Ebene — dem Hochspannungsrückgrat — sah alles gut aus. Die Spannungen zeigten 418 kV, deutlich innerhalb der Grenzwerte. Aber an den Umspannwerken auf der Sammelschienenebene, wo Solar- und Windparks tatsächlich mit 220 kV an das Netz angeschlossen sind, hatten die Spannungen bereits 242 kV erreicht — jenseits der Schutzschwellen, die automatische Abschaltungen auslösen.
Die Transformator-Stufenschalter zwischen diesen Spannungsebenen konnten nicht schnell genug nachregeln. Das Monitoring-Dashboard des Übertragungsnetzbetreibers zeigte also Grün, während sich das tatsächliche Netz bereits in der Krise befand. Ich begann, dies die Beobachtbarkeitslücke zu nennen: der Abstand zwischen dem, was die Betreiber sehen können, und dem, was das Netz tatsächlich tut.
Der iberische Blackout war kein Versagen der Erzeugung. Er war ein Versagen der Intelligenz — die Lücke zwischen dem, was die Leitwarte sehen konnte, und dem, was das Netz tatsächlich tat.
Als ich diese Analyse unserem Team vorstellte, sagte eine unserer Ingenieurinnen — Priya — etwas, das mir im Gedächtnis geblieben ist: „Das ist, als würde ein Arzt Ihre Herzfrequenz überwachen, während Ihr Blutdruck Sie umbringt. Sie beobachten den falschen Vitalwert.“ Genau so ist es. Und genau diese Art von Versagen sollte bessere KI verhindern.
Warum hat KI das nicht verhindert?
An dieser Stelle packt mich echte Frustration über meine eigene Branche.
Es hat eine Explosion von KI-Unternehmen gegeben, die „Smart Grid“-Lösungen verkaufen. Die meisten davon sind das, was wir Wrapper-Anwendungen nennen — dünne Schnittstellen, die auf großen Sprachmodellen wie GPT-4 oder Claude aufsetzen. Man speist Netzdaten ein, das Modell verarbeitet sie, man bekommt eine Analyse zurück. Das klingt ausgeklügelt. Für dieses Problem ist es gefährlich unzureichend.
Etwa ein Jahr vor dem Blackout sagte mir ein Investor, wir sollten für unsere Netzüberwachung „einfach GPT mit einer feinabgestimmten Schicht nehmen“. Ich versuchte zu erklären, warum das nicht funktionieren würde, und er sah mich an, als wäre ich schwierig. „Alle nutzen LLMs“, sagte er. „Warum machen Sie das so kompliziert?“
Hier ist der Grund. Probabilistische KI-Modelle haben drei fatale Schwächen, wenn man sie auf kritische Infrastruktur anwendet:
Sie halluzinieren physikalische Zustände. Ein LLM optimiert auf die am plausibelsten klingende Ausgabe. Während einer Netzkrise könnte es melden, dass „sich die Spannungspegel stabilisieren“, weil das in seinen Trainingsdaten bei Oszillationsereignissen üblicherweise passiert. Es hat keinen Mechanismus, um das anhand der tatsächlichen Physik zu überprüfen. „Wahrscheinlich“ und „korrekt“ werden als dasselbe behandelt.
Sie sind zu langsam. Wrapper-basierte KI leitet Daten durch Cloud-APIs. Round-Trip-Latenz: 500 Millisekunden bis mehrere Sekunden. Die iberische Kaskade war in fünf Sekunden abgeschlossen. Bis ein cloudbasiertes Modell seine Inferenz beendet hätte, wäre der Blackout bereits irreversibel gewesen. Die Edge-nativen Systeme, die wir bei Veriprajna bauen, erreichen Inferenz in unter 0,7 Millisekunden — schnell genug, um einzugreifen, bevor eine Kaskade vollständig ist.
Sie lassen sich nicht verifizieren. Man kann nicht formal beweisen, dass ein LLM das kirchhoffsche Spannungsgesetz oder die Schwingungsgleichung befolgt. Man kann seine Argumentation nicht auditieren. Man kann nicht garantieren, dass es nicht vorschlägt, während eines Überspannungsereignisses Blindleistung einzuspeisen — genau der Fehler, den am 28. April ein menschlicher Operator gemacht hat. Über diese Fehlermodi habe ich ausführlich geschrieben — für eine tiefere technische Analyse siehe unser Forschungspapier zur deterministischen Netz-Immunität.
In kritischer Infrastruktur wird der Unterschied zwischen „wahrscheinlich korrekt“ und „beweisbar korrekt“ in Menschenleben gemessen.
Was bedeutet „deterministische Immunität“ eigentlich?
Nach dem Blackout verbrachte mein Team Wochen damit, jeden veröffentlichten Bericht zu sezieren — von ENTSO-E, von Red Eléctrica, von unabhängigen Forschern. Wir haben die gesamte Fehlerkette kartiert. Und wir kamen immer wieder auf eine Frage zurück: Bei welcher Art von KI-Architektur wäre diese Kaskade physikalisch unmöglich?
Nicht unwahrscheinlich. Nicht unplausibel. Unmöglich.
Das ist es, was wir mit deterministischer Immunität meinen. Und um sie zu bauen, muss man die Vorstellung aufgeben, dass eine einzige Art von KI alles kann.
Die Architektur, die wir entwickelt haben, besteht aus mehreren Schichten, von denen jede einen anderen Teil des Problems löst. Ich gehe hier nicht tief auf die Mathematik ein — Sie können die interaktive Version unseres Whitepapers erkunden, um das vollständige technische Framework zu sehen —, aber die Kernideen sind überraschend intuitiv.
Neuronalen Netzen beibringen, die Gesetze der Physik zu befolgen
Herkömmliche neuronale Netze lernen Muster aus Daten. Zeigen Sie ihnen genug Beispiele für Netzverhalten, und sie lernen vorherzusagen, was als Nächstes kommt. Aber sie haben kein Konzept davon, warum Dinge geschehen. Sie wissen nicht, dass Spannung und Blindleistung durch fundamentale elektromagnetische Gesetze verknüpft sind. Sie wissen nur, dass auf Eingabemuster A üblicherweise Ausgabemuster B folgt.
Physikinformierte neuronale Netze — PINNs — sind anders. Wir betten die tatsächlichen Differentialgleichungen, die die Dynamik von Energiesystemen bestimmen, direkt in den Trainingsprozess ein. Das neuronale Netz lernt nicht nur aus historischen Daten; es lernt unter der Bedingung, dass seine Ausgaben den Gesetzen der Physik genügen müssen.
Hier ist, was das in der Praxis bedeutet. Während des iberischen Ereignisses waren subsynchrone Oszillationen bei 0,63 Hz ein Warnsignal, das konventionelle Regler als Rauschen interpretierten. Ein PINN-basierter Regler hätte diese Oszillationen als dynamische Verletzung der Stabilitätsgleichungen erkannt und aktive Dämpfung bereitgestellt — unsere Simulationen zeigen Reaktionszeiten, die bis zu 87-mal schneller sind als bei konventionellen Optimierungsverfahren. Der Grund ist nicht, dass das neuronale Netz schneller rechnet, sondern dieser: Es kennt die Mathematik bereits. Die Physik ist fest in seine Architektur eingebaut.
Ich erinnere mich an den Nachmittag, an dem wir das zum ersten Mal in der Simulation zum Laufen brachten. Wir hatten wochenlang mit der Trainingsstabilität gekämpft — die physikalischen Randbedingungen lagen ständig im Streit mit dem datengetriebenen Lernen. Unser ML-Lead, der aus einem reinen Deep-Learning-Umfeld kam, war skeptisch, ob die Randbedingungen eher helfen als schaden würden. Dann ließen wir das iberische Szenario durch das trainierte Modell laufen. Das PINN erkannte das Oszillationsmuster um 12:00 Uhr — dreiunddreißig Minuten vor der tatsächlichen Kaskade. Er starrte nur auf den Bildschirm und sagte: „Okay. Jetzt verstehe ich es.“
Das Sandwich, das dumme Entscheidungen blockiert
Physikinformierte Inferenz ist die erste Schicht. Die zweite ist das, was wir das neuro-symbolische Sandwich nennen — und es ist das Element, das das ungeheuerlichste Versagen des 28. April direkt verhindert hätte.
Erinnern Sie sich an das Kraftwerk? Es speiste bei einem Überspannungsereignis Blindleistung ein. Das geschah, weil das Steuerungssystem der Anlage — ob automatisiert oder von Menschen geführt — einen Befehl ausgab, der gegen das Betriebsverfahren 7.4 verstieß. Der Befehl war physikalisch ausführbar, also wurde er ausgeführt. Das Netz hatte kein Immunsystem, das ihn hätte zurückweisen können.
In unserer Architektur liegt eine symbolische Logikschicht wie eine verfassungsartige Leitplanke um das neuronale Netz. Wir kodieren die gesamte Regelung P.O. 7.4 — und jeden weiteren anwendbaren Netzkodex — in eine formale domänenspezifische Sprache. Das neuronale Netz schlägt Aktionen vor. Die symbolische Schicht prüft jede vorgeschlagene Aktion gegen die harten Regeln, bevor sie die physische Anlagentechnik erreicht.
Wenn die Spannung über dem Maximalgrenzwert liegt und weiter steigt und die neuronale Schicht vorschlägt, Blindleistung einzuspeisen — aus welchem Grund auch immer und wie hoch die Konfidenz ihrer Vorhersage auch sein mag —, blockiert die symbolische Schicht es. Nicht mit einer Warnung. Nicht mit einem Wahrscheinlichkeitswert. Es kann physisch nicht durchkommen. Das System behandelt regulatorische Konformität so, wie eine Brücke die Schwerkraft behandelt: nicht als Richtlinie, sondern als Randbedingung, die nicht verletzt werden kann.
Ein neuro-symbolischer Netzregler warnt Sie nicht vor schlechten Entscheidungen. Er macht schlechte Entscheidungen physikalisch unausführbar.
Das meine ich, wenn ich davon spreche, den „Trugschluss der unendlichen Freiheit“ hinter uns zu lassen — die Annahme, dass flexiblere KI immer bessere KI ist. In kritischer Infrastruktur will man weniger Freiheit, nicht mehr. Man will eine KI, die innerhalb harter Grenzen brillant anpassungsfähig und an diesen Grenzen absolut unnachgiebig ist.
Warum muss die Intelligenz an der Edge sitzen?
Es gibt eine praktische Frage, die jedes Mal aufkommt, wenn ich diese Arbeit vorstelle: Wo findet die Berechnung statt?
Die Beobachtbarkeitslücke, die dem iberischen Netz zum Verhängnis wurde, existierte, weil die Intelligenz zentralisiert war. Die Leitwarte des Übertragungsnetzbetreibers überwachte das 400-kV-Rückgrat. Die Umspannwerke auf der 220-kV-Sammelschienenebene — wo sich die eigentliche Krise entfaltete — befanden sich im Grunde im Blindflug. Daten aus diesen Umspannwerken wurden aggregiert, gemittelt und in Zyklen gemeldet, die zu langsam waren, um eine Fünf-Sekunden-Kaskade zu erfassen.
Unsere Neural Grid Controller sind Edge-Computing-Geräte, die direkt am Transformator auf der Sammelschienenebene sitzen. Sie führen hochauflösende Synchro-Waveform-Messungen durch, durchlaufen alle 100 Millisekunden kontinuierliche Optimierungsschleifen und setzen Wechselrichterbefehle um, um die lokale Spannungsstabilität innerhalb von ±0,02 per unit zu halten. Sie warten nicht darauf, dass die Leitwarte ein Problem bemerkt. Sie senden keine Daten an eine Cloud-API und warten auf eine Antwort. Sie handeln lokal, in dem Tempo, das die Physik verlangt.
Es gab einen Moment während unserer Edge-Hardware-Tests — spät an einem Donnerstag, eine dieser Sitzungen, die um 14 Uhr beginnen und um Mitternacht enden —, als uns klar wurde, dass unser Prototyp simulierte Spannungsanomalien schneller erkannte, als das Überwachungssystem sie überhaupt anzeigen konnte. Die Anomalie war korrigiert, bevor sich das Dashboard aktualisierte. Einer unserer Hardware-Ingenieure lachte und sagte: „Wir haben gerade die Leitwarte überflüssig gemacht.“ Er hat gescherzt. Größtenteils.
Was passiert, wenn das Netz trotzdem ausfällt?
Selbst mit Prävention braucht man Wiederherstellung. Das iberische Netz brauchte bis zu 24 Stunden für die vollständige Wiederherstellung — ein schmerzhaft manueller Prozess aus dem Wiederanfahren von Erzeugungseinheiten, dem vorsichtigen Wiederzusammenschalten von Lastinseln und dem Synchronisieren der Frequenz über Regionen hinweg.
Wir nutzen Multi-Agenten-Reinforcement-Learning für die automatisierte Netzwiederherstellung. Stellen Sie es sich als ein Team von KI-Agenten vor, von denen jeder eine lokale Stromversorgungsinsel verwaltet, koordiniert von übergeordneten Agenten, die die Synchronisierung überwachen. Bei der Wiederherstellung 2025 lieferte Marokko 900 MW und Frankreich steuerte 2 GW Stützleistung bei. Aber diese Leistung an die richtigen Stellen zu leiten, in der richtigen Reihenfolge, ohne Sekundärkollapse auszulösen, erforderte menschliche Operatoren, die unter extremem Druck Hunderte sequenzieller Entscheidungen trafen.
Unsere Simulationen legen nahe, dass autonome Agenten, die innerhalb desselben deterministischen Rahmens arbeiten — physikinformiert, symbolisch beschränkt —, eine 24-stündige Wiederherstellung auf rund vier Stunden verkürzen könnten. Nicht weil sie klüger wären als menschliche Operatoren, sondern weil sie schneller und besser koordiniert sind und der panikgetriebenen Fehler unfähig sind, die sich in einer Krise aufschaukeln.
Wie hält das der regulatorischen Prüfung stand?
Diese Frage wird mir ständig gestellt, und sie ist berechtigt. Der EU AI Act stuft die Netzsteuerung als kritische Infrastruktur ein, was bedeutet, dass jedes KI-System in diesem Bereich strengen Transparenz- und Erklärbarkeitsanforderungen unterliegt. Genau hier stehen wrapper-basierte LLMs vor ihrem fundamentalsten Problem: Sie können buchstäblich nicht erklären, warum sie eine bestimmte Vorhersage getroffen haben. Die Mathematik funktioniert so nicht.
Unsere neuro-symbolische Architektur erzeugt für jeden Eingriff einen vollständigen Audit-Trail. Keine nachträgliche Rationalisierung — eine echte Entscheidungsspur:
Die neuronale Schicht erkannte eine subsynchrone Oszillation bei 0,63 Hz. Die symbolische Schicht identifizierte eine Verletzung von P.O. 7.4: dynamische Spannungsgrenze von 435 kV überschritten. Die symbolische Schicht erzwang die vorgeschriebene Blindleistungsaufnahme in Höhe von 30 % der Maximalkapazität. Die Spannung stabilisierte sich bei 418 kV. Schutzauslösung auf der Sammelschienenebene verhindert.
Jedes Glied in der Kette ist einsehbar, auditierbar und rechtlich belastbar. Das ist kein Nice-to-have. Nach dem iberischen Blackout schreiben Regulierungsbehörden in ganz Europa die Netzkodizes um. Die Systeme, die das nächste Jahrzehnt regulatorischer Verschärfung überstehen, werden diejenigen sein, die beweisen können — nicht nur behaupten —, dass ihre KI die Regeln befolgt.
Die Frage, die niemand stellen will
Was mich an der Reaktion der Branche auf den iberischen Blackout am meisten stört, ist Folgendes.
Innerhalb von Wochen zog die Diskussion weiter. KI-Unternehmen verkauften wieder Wrapper-Produkte. Netzbetreiber flickten ihre offensichtlichsten Schwachstellen. Die Debatte Erneuerbare gegen Fossile verbrauchte den gesamten Sauerstoff. Und das grundlegende architektonische Problem — dass wir Energiesysteme des 21. Jahrhunderts mit Steuerungsparadigmen managen, die nicht schnell genug sehen, denken oder handeln können — blieb ungelöst.
Sechzig Millionen Menschen verloren den Strom. Mehrere Menschen starben. Der wirtschaftliche Schaden ging in die Milliarden. Und die Grundursache war kein Zufallsereignis. Es war eine vorhersehbare Folge bekannter architektonischer Schwächen. Die subsynchronen Oszillationen waren zuvor schon beobachtet worden. Die Lücken bei der Blindleistungskonformität waren dokumentiert. Die Beobachtbarkeitslücke zwischen der Überwachung auf Übertragungs- und auf Sammelschienenebene war in der akademischen Literatur gut verstanden.
Der iberische Blackout war kein schwarzer Schwan. Er war ein graues Nashorn — eine hochwahrscheinliche Bedrohung mit gewaltiger Wirkung, die alle kommen sahen und niemand aufhielt.
Wir wussten es. Die Branche wusste es. Und wir haben trotzdem Systeme gebaut, die damit nicht umgehen konnten.
Das ist kein Problem der erneuerbaren Energien
Ich möchte hier absolut klar sein, denn die Fehlinformation kursiert immer noch.
Erneuerbare Energien haben den iberischen Blackout nicht verursacht. Der Anteil von 78 % erneuerbarer Energien am 28. April verringerte die Systemträgheit, was das Netz empfindlicher gegenüber Störungen machte — das stimmt. Aber Empfindlichkeit ist keine Kausalität. Die Ursache war das Versagen der Erzeugungsanlagen, die Blindleistungsstützung bereitzustellen, zu der sie gesetzlich verpflichtet waren. Die Ursache waren Steuerungssysteme, die zu langsam und zu dumm waren, um Spannungsdynamik in Echtzeit zu beherrschen. Die Ursache war eine Beobachtbarkeitsarchitektur, die die Betreiber blind für die Krise ließ, die sich auf der Sammelschienenebene entfaltete.
Den Erneuerbaren die Schuld an diesem Blackout zu geben, ist, als gäbe man Leichtbaumaterialien die Schuld an einem Einsturz durch ein Erdbeben, wenn das eigentliche Problem war, dass niemand die Bauvorschriften befolgt hat. Die Materialien erfordern eine andere Ingenieurleistung. Die Ingenieurleistung wurde nicht erbracht. Das ist ein menschliches und institutionelles Versagen, kein physikalisches.
Und es ist genau die Art von Versagen, die deterministische KI beseitigen soll — nicht indem sie menschliches Urteilsvermögen ersetzt, sondern indem sie sicherstellt, dass das System selbst die Gesetze durchsetzt, die dafür sorgen, dass das Licht anbleibt, wenn menschliches Urteilsvermögen versagt, wenn veraltete Regler versagen oder wenn ein Kraftwerksbetreiber im falschen Moment die falsche Entscheidung trifft.
Das Licht bleibt an, weil wir es so konstruiert haben
Ich habe Veriprajna gegründet, weil ich glaubte, dass die wichtigsten KI-Systeme der Welt keine Chatbots, Bildgeneratoren oder Empfehlungsmaschinen sein würden. Es wären die unsichtbaren Systeme, die die Infrastruktur steuern, von der die Zivilisation abhängt — Stromnetze, Wasseraufbereitung, Verkehrsnetze, Finanz-Clearing-Systeme. Orte, an denen „wahrscheinlich richtig“ ein Todesurteil ist.
Der iberische Blackout hat diese Überzeugung auf die schlimmstmögliche Weise bestätigt. Fünfzehn Gigawatt in fünf Sekunden. Eine ganze Halbinsel im Dunkeln. Und die Antwort der KI-Branche bestand darin, weiter probabilistische Wrapper für Probleme zu verkaufen, die deterministische Gewissheit verlangen.
Das Netz der Zukunft wird nicht stabil bleiben, weil wir es hoffen. Es wird nicht stabil bleiben, weil ein LLM meint, es sollte das wahrscheinlich. Es wird stabil bleiben, weil wir die Gesetze der Physik in die neuronale Architektur eingebettet, die Vorschriften in symbolische Logik kodiert, die Intelligenz an die Edge geschoben haben, wo die Millisekunden zählen, und ein System gebaut haben, das physikalisch außerstande ist, die Entscheidungen zu treffen, die das iberische Netz zu Fall gebracht haben. Das ist kein Optimismus. Das ist Ingenieurskunst.
