Bit2Watt: Angriff auf das Stromnetz – allein durch GPU-Workloads in der Cloud

Hier ist, was die Forschung enthüllt und warum Netzregulierungsbehörden dies bereits als ernsthafte neue Bedrohung betrachten.

Wie Bit2Watt funktioniert: Der Stromverbrauch einer GPU als Waffe

Die elektrische Leistungsaufnahme einer GPU folgt direkt ihrer Rechenlast: Schwere Berechnungen ziehen hohen Strom; Leerlauf zieht niedrigen Strom. Ein böswilliger Cloud-Mieter wechselt einfach mit legitimen GPU-Workloads zwischen diesen Zuständen. Dies erzeugt kontrollierbare Leistungsschwingungen an der Steckdose, die sich durch die Strominfrastruktur der Einrichtung in das lokale Netz ausbreiten .

Der Angriff erfordert keine Malware, keine Privilegienerweiterung und kein Eindringen in Netzkontrollsysteme – der Mieter hat bereits das Recht, GPU-Jobs auszuführen .

Zwei Angriffstechniken und Laborergebnisse

SWMA erzeugte die schnellsten Schwingungen (über 6.000 Hz), während LTMA eine Modulation im Bereich legitimer LLM-Trainingsmuster erreichte . Beide Techniken zeigen, dass ein Cloud-Mieter Leistungsschwankungen erzeugen kann, die weit schneller sind als die sanften Schwankungen eines Haushaltsgeräts wie einer Klimaanlage .

Worst-Case-Simulationsergebnisse

Die Forscher modellierten die Auswirkungen auf zwei Ebenen:

• 1.000 synchronisierte GPUs auf einem 1-MW-Lokalsystem: Leistungsschwingungen trieben die gesamte harmonische Verzerrung auf über 10 %, was in 3 von 5 IEEE-Benchmark-Verteilungsnetzen zu instabiler Spannung führte und Schutzrelais auslöste . Der Angriff hatte eine >80-prozentige Wahrscheinlichkeit, Kaskadenausfälle und Blackouts im örtlichen Verteilnetz zu verursachen .

• Hochskaliert auf ein europäisches Übertragungsnetzmodell: Synchronisierte Leistungsschwingungen bei Resonanzfrequenzen könnten sich als Schwingungen zwischen Gebieten über Weitverkehrs-Übertragungskorridore ausbreiten und die Stabilität auf kontinentaler Ebene bedrohen .

Regulierungsbehörden waren bereits alarmiert

Der Bit2Watt-Angriff kommt zu einem Zeitpunkt, als die Netzregulierungsbehörden bereits zunehmend dringende Warnungen vor den Zuverlässigkeitsrisiken von KI-Rechenzentren ausgesprochen haben.

Die North American Electric Reliability Corporation (NERC) hat dokumentiert, dass KI-Trainingscampus im Gigawatt-Maßstab innerhalb von Sekunden über 1.000 MW abwerfen können, wenn Schutzsysteme auslösen – schneller, als herkömmliche Netzschutzmaßnahmen reagieren können . Im Mai 2026 gab NERC eine seltene Level-3-Warnung („Essential Actions“) – ihre höchste Dringlichkeitsstufe – heraus, nachdem es mehrere Vorfälle gab, bei denen über 1 GW an Rechenzentrumslast abrupt abfiel, was zu Frequenzüberhöhungen und Spannungsspitzen führte . NERC hat zwei spezifische Vorfälle dokumentiert: einen im Februar 2025, der etwa 1.800 MW abwarf, und einen weiteren im Juni 2025 mit etwa 1.300 MW .

NERCs Bericht zur Netzzuverlässigkeit 2026 identifiziert explizit die gepulsten und nichtlinearen Lastcharakteristiken von Rechenzentren als eine neue Bedrohung der Zuverlässigkeit . Die Federal Energy Regulatory Commission (FERC) hat NERC angewiesen, bis zum 31. Dezember 2026 verbindliche Zuverlässigkeitsstandards für Rechenlasten (einschließlich KI-Anlagen) zu erarbeiten .

Ein realer Beinahe-Unfall in Virginia

Diese Warnungen sind nicht theoretisch. Anfang 2025 schalteten sich etwa 40 Rechenzentren im Loudoun County in Virginia – der „Rechenzentrumsmeile“ nahe Washington, D.C. – gleichzeitig nach Übertragungsstörungen vom Netz ab. Einige Berichte sprechen von 60 Zentren. Der kombinierte Lastabfall (etwa 1.500 MW) riskierte einen Systemausfall und zwang die Netzbetreiber, umgehend für einen Notfallausgleich zu sorgen .

Am 8. Januar 2025 veröffentlichte NERC eine Überprüfung des Vorfalls, der Spannungsspitzen und Frequenzungleichgewichte verursachte und schwerwiegende Schwachstellen im übertragungsnetz aufdeckte . Das Wall Street Journal berichtete, dass die Rechenzentren, die genug Strom für über eine Million Haushalte verbrauchten, gleichzeitig auf Notstrom umschalteten und so beinahe einen flächendeckenden Blackout verursacht hätten .

Die Denial-of-Service-Rückkopplungsschleife

Die Forscher beschrieben einen sich selbst verstärkenden DoS-Mechanismus: Durch Leistungsschwingungen verursachte Spannungsinstabilität löst Schutzsysteme im Rechenzentrum aus, die Server drosseln oder abkoppeln. Dies verstärkt wiederum die Netzstörung. Die eigenen Sicherheitssysteme der Computerinfrastruktur verschlimmern den Netzausfall, der dann die Computerinfrastruktur weiter stört – eine geschlossene, bidirektionale Destabilisierung .

Warum es der Standard-Cloud-Überwachung entgeht

Jeder Vorgang, den der Mieter ausführt, ist eine legitime Cloud-Nutzung – Starten von GPU-Kernels, Trainieren von Modellen, Verbrauch zugewiesener Rechenzyklen. Es gibt keine bösartige Nutzlast, keine ausgenutzte Sicherheitslücke, keinen unbefugten Zugriff. Bestehende Systeme zur Erkennung von Eindringlingen, Antivirenprogramme und Cloud-Sicherheitsüberwachung achten auf Anomalien auf Softwareebene, nicht auf Stromverbrauchsmuster. Da der Angriff keinen verdächtigen Netzwerkverkehr, keine Dateischreibvorgänge und kein verdächtiges Prozessverhalten erzeugt, ist er für herkömmliche Abwehrmaßnahmen unsichtbar .

Vorgeschlagene Abhilfemaßnahmen

Das Papier und die Nachrichtenberichte identifizieren mehrere Verteidigungsklassen, die Cloud-Anbieter, GPU-Hersteller und Netzbetreiber umfassen:

• Cloud-Seite: Überwachung der GPU-Leistungsaufnahme auf Hypervisor- oder Anlagenebene auf verdächtige periodische Muster; Ratenbegrenzung oder Kennzeichnung hochfrequenter Leistungsmodulation .
• GPU-Anbieter: Änderung der GPU-Firmware oder -Treiber, um einen „Power-Smoothing“-Modus hinzuzufügen, der schnelle Stromänderungen unter netzrelevante Frequenzen dämpft .
• Netzseite: Einsatz von leistungselektronischen Filtern (z. B. aktive Oberschwingungskompensatoren) am Netzverknüpfungspunkt des Rechenzentrums, um hochfrequente Lastschwankungen vom Netz fernzuhalten .
• Regulierung: FERCs bevorstehende verbindliche Zuverlässigkeitsstandards für Rechenlasten sollten Modulationsgrenzen und Anforderungen an die Echtzeit-Lastüberwachung umfassen .

Warum gemeinsame Verteidigung jetzt nötig ist

Die Autoren argumentieren, dass der Bit2Watt-Angriff an der Schnittstelle von drei verschiedenen Bereichen liegt – Cloud-Computing, GPU-Hardwaredesign und elektrische Energiesysteme –, die derzeit jeweils mit unabhängigen Sicherheitsmodellen und keiner bereichsübergreifenden Bedrohungssichtbarkeit operieren. Kein einzelner Akteur kann dies vollständig entschärfen :

• Cloud-Anbieter kontrollieren die Mieterumgebung, haben aber keine Befugnis über Netzausrüstung.
• GPU-Anbieter können das Chipverhalten ändern, können aber den Einsatz nicht vorschreiben.
• Netzbetreiber können das Netz schützen, aber nicht in Cloud-Workloads hineinsehen.

Die Angriffsklasse könnte Jahre lang einsatzbereit sein, bevor die getrennten Branchen eine Abwehr koordinieren. Die Autoren fordern präventive gemeinsame Standards und Echtzeit-Informationsaustauschmechanismen, bevor ein Angreifer die Technik in freier Wildbahn einsetzt .