nstag, den 27. März 1979, um 23 Uhr die Nachtschicht im nagelneuen Kraftwerk 2 auf Three Mile Island antrat. Erst 88 Tage vorher war das AKW nahe Harrisburg im US-Bundesstaat Pennsylvania ans Netz gegangen. Er und zwei seiner Kollegen waren erfahrene Reaktor­operatoren, die wussten: eins zu eine Million, dank ausgeklügelter Sicherheitssysteme – was soll da schon passieren?Eine gigantische DampfmaschineZewe konnte nicht ahnen, dass ein harmloser Gummischlauch fünf Stunden später eine Kaskade in Gang setzen würden, die zum bis dahin schlimmsten Unfall in der Geschichte der Kernenergie führen sollte. Der Fast-GAU von Three Mile Island verdeutlicht noch immer exemplarisch, wie eine noch so unwahrscheinliche Verkettung von menschlichen Fehlern, technischem Versagen und Konstruktionslücken zur Katastrophe führen kann.Trotz der hochmodernen Technik ist ein Kernkraftwerk nichts anderes als eine gigantische Dampfmaschine. Obwohl es auf einer Entdeckung der modernen Physik, dem Zerfall von Atomkernen, aufbaut, ist das Prinzip dasselbe wie bei den ersten Dampfmaschinen des 18. Jahrhunderts: Heißer Wasserdampf versetzt eine Mechanik in Drehbewegung. Diese Turbine treibt dann einen Generator an. Der Dampf wird abgekühlt, verflüssigt sich zu Wasser und wird erneut erhitzt. Ein endloser Kreislauf.Dabei muss sichergestellt sein, dass der Kern des Reaktors immer von Wasser umgeben ist und nicht zu heiß wird. Dafür sorgt eine komplizierte Architektur von Leitungen, Pumpen und Ventilen, die von den Operatoren in der Reaktorwarte gesteuert wird. Bei dem einfachen Reaktortypen, dem Siedewasserreaktor, treibt der radioaktive Dampf direkt die Turbine an. Beim sogenannten Druckwasserreaktor, wie in Harrisburg, schaltet man zwischen Turbine und Reaktorkern einen zweiten Wasserkreislauf. Der nimmt in einem Dampferzeuger die Hitze des Reaktorwassers auf, ohne sich mit ihm zu vermischen, und kühlt es gleichzeitig. Neben einigen Vorteilen hat dieser Typ den Nachteil, dass die Steuerung komplexer ist und das Wasser im sogenannten Primärkreislauf unter einem wesentlich höheren Druck steht.Eine Kette von FehlernDiese Komplexität wäre den Technikern auf Three Mile Island beinahe zum Verhängnis geworden. In jener Nacht nahm das Unheil seinen Anfang mit einem simplen Schlauch, mit dem ein Mitarbeiter aus Versehen das Wasser- und das Druckluftleitungssystem verband. Fehler Nummer eins in der Kette. Wasser schoss nun durch die Druckluftleitungen, über die auch die Ventile für die Wasserzufuhr des zweiten Kreislaufs gesteuert wurden, – und schloss diese. Ein Ächzen ging durch das gesamte Gebäude, als um vier Uhr morgens frisches Kühlwasser gegen die verschlossenen Ventile hämmerte. Zwar war schon länger bekannt, dass das Eindringen von Wasser in die Druckluftleitungen zum Schließen der Ventile führen konnte, aber niemand hatte nachträglich entsprechende Sicherheitsvorkehrungen eingebaut.Noch aber hatten die Operatoren alles unter Kontrolle. Sie schalteten die Turbine aus und versuchten, den Dampf in eine andere Kammer umzuleiten, wo er sich verflüssigen konnte. Doch das gelang nicht, der überschüssige Dampf wurde über Außenventile abgelassen, was wie der dumpfe Ton eines Schiffshorns durch die Nacht hallte. Ein unfreiwilliger erster Warnton.Ein Zettel verdeckte das WarnlämpchenGleichzeitig stieg im Reaktorkern sofort die Temperatur des Reaktorwassers, das im leerlaufenden Dampferzeuger nicht mehr abgekühlt werden konnte. Dort kam ja kein frisches Wasser mehr an. Automatisch wurde der Reaktor heruntergefahren, um den weiteren Kernzerfall des Urans zu stoppen. Als Schichtleiter Bill Zewe die Unterbrechung über die Lautsprecheranlage durchgab, schien alles, wie so häufig durchgespielt, zu funktionieren.Auch die Notpumpen sprangen automatisch an, um wieder Kühlwasser in den Kreislauf zu speisen. Doch das Wasser kam nicht weit. Bei Wartungsarbeiten eine Woche vorher hatten die Techniker vergessen, die Ventile wieder aufzudrehen, die zwischen Notpumpen und Kühlkreislauf lagen. Fehler Nummer zwei. Ein Knopfdruck hätte genügt, sie zu öffnen. Aber die entsprechende Kontrolllampe in der Leitwarte war von einem Wartungszettel bedeckt, der auf einem daneben liegenden Schalter klebte. Fehler Nummer drei. Weil Temperatur und Druck im Reaktorkessel weiter stiegen, öffnete sich ein Sicherheitsventil über einer Kammer des Reaktorkreislaufs, in der der Druck reguliert wird. Fehler Nummer vier: Das Ventil schloss sich nicht mehr – was der Mannschaft ebenfalls nicht angezeigt wurde. Fehler Nummer fünf.In nur zwei Minuten war der Reaktor in einen bedrohlichen Zustand gekippt. Ohne frisches Kühlwasser heizte die Nachwärme des Urans das Reaktorwasser immer weiter auf. Aus dem Ventil schoss heißer radioaktiver Dampf wie aus einem Wasserkessel, der nicht vom Herd genommen wird, in einen Auffangtank. Weil dadurch der Druck abfiel, sprangen nun andere Pumpen an, die Wasser in den Reaktorkreislauf einspeisten, aber eigentlich nur den Dampfstrom durch das offene Ventil fütterten.Strahlende kochendheiße BrüheUm 4.08 Uhr entdeckte Operator Craig Faust endlich den fatalen Zettel über der Kontrolllampe und öffnete die Ventile zum Kühlwasserkreislauf. Frisches Wasser durchspülte den Dampferzeuger und kühlte das Reaktorwasser des Primärkreislaufs zwar nicht, verlangsamte aber den Temperaturanstieg. Aber das fehlerhafte Sicherheitsventil stand immer noch offen, und dann passierte das Unvermeidliche: Der Auffangtank hinter dem Ventil barst, und eine strahlende, schmutzige, kochendheiße Brühe ergoss sich ins Auffangbecken im Inneren der Reaktorhalle, des Containments, und von da weiter über Drainagen ins Versorgungsgebäude.Derweil sank der Druck im Reaktorkreislauf weiter – bis das Wasser wegen des geringen Drucks zu kochen anfing. Ein Gemisch aus Wasser und Dampfblasen jagte nun durch die Leitungen des Reaktorkreislaufs und versetzte dessen Pumpen in heftige Schwingungen. Um ein Auseinanderbrechen zu verhindern, mussten die Operatoren sie abschalten. Nun zirkulierte das Wasser jedoch nicht mehr, es bildete sich eine Dampfblase im Kessel, und der Wasserspiegel sank, bis schließlich die oberen Enden der Brennstäbe freilagen.Das war aus zwei Gründen problematisch: Ohne Kühlwasser wird das Uran so heiß, dass es schmilzt, es kommt zur so genannten Kernschmelze. Und gleichzeitig wird über eine chemische Reaktion zwischen der Metallhülle und dem Wasserdampf Wasserstoff freigesetzt, der in großen Mengen hochexplosiv ist – und nun auch in die Reaktorhalle gelangte.Tickende ZeitbombeEs dauerte bis zum morgendlichen Schichtwechsel, als ein ausgeschlafener Ingenieur um 6.18 Uhr das lecke Ventil identifizierte und ein Absperrventil dahinter schloss. Der Druckabfall war damit gestoppt. Aber längst war über Lüftungsschächte radioaktiver Dampf ins Freie gelangt, kontaminiertes Wasser aus den Auffangbecken in den Susquehanna River gepumpt worden. Die Geigerzähler im Kraftwerk spielten verrückt, und die Wasserstoffblase im Containment war eine tickende Zeitbombe.Obwohl der Schichtleiter um 7.24 Uhr höchste Alarmstufe auslöste, bequemte sich der Kraftwerksbetreiber Metropolitan Edison erst zwei Stunden später zu einer Stellungnahme. Es sei keine Radioaktivität ausgetreten, hieß es, und der Alarm wurde nicht einmal erwähnt. Was in den nächsten zwei Tagen folgte, ist ein von vielen Katas­trophen bekanntes Hinhalten und Schönreden, während die Techniker versuchten, den Reaktorkern herunterzukühlen.Immer wieder trat radioaktives Gas aus dem Kraftwerk. Erst zwei Tage nach dem Unglück, am 30. März, wurde das Katastrophenzentrum von Pennsylvania darüber benachrichtigt, dass die Umgebung evakuiert werden müsste. Erst weitere zwei Tage später gelang es den Ingenieuren, die Lage endlich unter Kontrolle zu bekommen.In den USA sind seitdem keine neuen AKW mehr genehmigt worden. In Deutschland stoppte erst der Schock von Tschernobyl den Ausbau der Kernenergie, während Frankreich noch bis in die 90er Jahre neue Kraftwerke gebaut hat. Immer wieder ist es in all den Jahren zu Störfällen gekommen. Aber die Betreiber haben stets abgewunken: Harrisburg wiederholt sich nicht.Sicherheitskonzepte alternDie Gesellschaft für Anlagen- und Reaktorsicherheit (GRS) in Köln hat 2006 in einer Sicherheitsanalyse für das Bundesumweltministerium untersucht, was passiert, wenn der Kern eines Siedewasserreaktors „schwer beschädigt“ wird, weil etwa – ähnlich wie in Harrisburg – Pumpen und Ventile in einer Kas­kade versagen. Ergebnis: Die Wahrscheinlichkeit, dass dann radioaktive Sub­stanzen aus dem Reaktor in die Umwelt gelangen, ist größer als 50 Prozent. Die Schwachstelle sind die Öffnungen im stählernen Reaktorkessel, durch die die Steuerstäbe von unten hineingefahren werden. Selbst eine teilweise Kernschmelze würde sich „so gut wie sicher“ hindurchfressen. Glücklicherweise sind zumindest die AKW Krümmel und Brunsbüttel – zwei der sechs deutschen Siedewasserreaktoren –, die immer wieder durch Störfälle in die Schlagzeilen gerieten, seit 2007 nicht mehr am Netz, obwohl sie offiziell noch nicht abgeschaltet sind.Zwar werden die Sicherheitskonzepte bei den existierenden Reaktoren noch weiter entwickelt. Dennoch sind auch Experten immer wieder überrascht von Situationen, die sie nicht einmal vorausgeahnt haben. 2001 kam es etwa im AKW Brunsbüttel in einer Zuleitung zum Reaktorkern zu einer Wasserstoffexplosion – obwohl das Wasser in der Leitung stand und nicht floss. Zuvor hatte man nur Szenarien entwickelt, wie das leichte Gas in fließendem Wasser freigesetzt werden könnte.Michael Sailer, AKW-Sicherheitsexperte des Öko-Instituts und Mitglied der Reaktorsicherheitskommission, weist denn auch daraufhin, dass eben nicht nur Bauteile unter der jahrzehntelangen Beanspruchung leiden. Auch die Sicherheitskonzepte selbst würden altern, weil sie nicht als Ganzes auf dem neuesten Stand gehalten würden. Häufig wird nur ein Ausschnitt der Gesamtanlage neu analysiert, der einen unvorhergesehenen Störfall auslöste. Hinzu kommt, dass manche Ersatzteile nicht mehr vollständig identisch mit Originalteilen aus den 70er Jahren sind, weil Schalter beispielsweise andere Eigenschaften haben oder inzwischen andere Normen gelten.Die Reaktoren der dritten Generation, die derzeit in Finnland und Frankreich gebaut werden, sind zwar so konstruiert, dass mehr Ersatzsysteme einspringen können, wenn Teile der Anlage ausfallen wie in Harrisburg. Auch sollen sie Angriffen mit entführten Flugzeugen besser standhalten können, die seit den Anschlägen vom 11. September 2001 ernst genommen werden müssen. Aber selbst der französische Energieerzeuger EdF musste in einem Schreiben an die französische Reaktorsicherheitskommission einräumen, dass die Sicherheitskonzepte hierfür „nicht alle Eventualitäten einschließen können“. Das Unwahrscheinliche ist auch 30 Jahre nach dem Fast-GAU von Three Mile Island möglich.