Um 23 Uhr tritt Schichtleiter Bill Zewe im neuen Atomkraftwerk auf Three Mile Island zur Nachtschicht an. Es ist Dienstagabend, der 27. März 1979. Erst vor 88 Tagen ist der neue Reaktor ans Netz gegangen. Das Atomkraftwerk liegt nahe von Harrisburg in Pennsylvania, etwa 250 Kilometer westlich von New York, auf einer Insel im Susquehanna River. Bill Zewe und zwei seiner Kollegen waren zuvor bei der US-Marine Reaktoroperateure. Es sind erfahrene Männer, die wissen: In einer solchen Anlage kommt es dank ausgeklügelter Sicherheitssysteme höchstens mit einer Wahrscheinlichkeit von eins zu einer Million zu einem schweren Unfall - was soll da schon passieren?

Zewe kann nicht ahnen, dass ein harmloser Gummischlauch und eine banale Unachtsamkeit fünf Stunden später eine Kaskade in Gang setzen werden, die zum bis dahin schlimmsten Unfall in der Geschichte der zivilen Atomenergienutzung führt.

Ein dummer Fehler ...

Ein Atomkraftwerk ist nichts anderes als eine gigantische Dampfmaschine: Heisser Wasserdampf setzt eine Turbine in Bewegung und treibt danach einen Stromgenerator an. Der Dampf wird abgekühlt, verflüssigt sich zu Wasser und wird erneut erhitzt.

Die Komplexität eines AKWs entsteht dadurch, dass zur Erhitzung des Wassers die Wärme genutzt wird, die beim Kernzerfall des Uranbrennstoffs entsteht. Das Wasser wird dabei aber radioaktiv verseucht und darf nicht in die Umwelt gelangen. In Harrisburg ist ein Druckwasserreaktor in Betrieb, der über einen zweiten Wasserkreislauf verfügt, damit die Turbine nicht mit verseuchtem Wasser in Kontakt kommt. Im Dampferzeuger gibt das kontaminierte Reaktorwasser seine Wärme ab, ohne mit dem zweiten Kreislauf in Berührung zu kommen. Nach demselben Prinzip funktionieren in der Schweiz die Atomkraftwerke Beznau I und II und Gösgen. Auch die modernsten Reaktoren, die zurzeit in Finnland und Frankreich gebaut werden, sind Druckwasserreaktoren.

Wichtig ist, dass der Reaktorkern - der Ort, wo sich das radioaktive Brennmaterial befindet und die Wärme produziert wird - immer von Wasser umgeben ist und nie zu heiss wird. Dafür sorgt eine komplizierte Architektur von Leitungen, Pumpen und Ventilen, die von den Operateuren im Kontrollraum gesteuert werden.

Normalerweise haben sie wenig zu tun. Doch am Abend des 27. März 1979 ist auf Three Mile Island nichts normal. Ein Techniker schliesst einen Gummischlauch falsch an und verbindet so das Wasser- mit dem Druckluftsystem. Wasser schiesst nun durch die Druckluftleitungen, die eigentlich die Ventile steuern, welche die Wasserzufuhr des zweiten Kreislaufs regeln - in der Folge schliessen sich diese Ventile. Ein Ächzen geht durch das Gebäude, als um vier Uhr morgens frisches Kühlwasser gegen die verschlossenen Ventile hämmert. Zwar ist diese mögliche Komplikation schon länger bekannt, aber niemand hat nachträglich entsprechende Sicherheitsvorkehrungen eingebaut.

Die Operateure merken, dass etwas nicht stimmt. Sie schalten die Turbine aus. Der Reaktor produziert aber weiterhin Wärme und damit Dampf. Die Hitze muss unbedingt abgeführt werden. Deshalb versuchen die Operateure, den Dampf in eine andere Kammer umzuleiten. Dort sollte er sich abkühlen, verflüssigen und in den Dampferzeuger zurück, um den ersten Kreislauf zu kühlen. Doch das gelingt nicht. Also wird der überschüssige Dampf über Notventile in die Umgebung abgelassen. Das hallt wie der dumpfe Ton eines Schiffshorns durch die Nacht - ein erstes unfreiwilliges Warnsignal.

... ein kaputtes Ventil ...

Gleichzeitig steigt im Reaktorkern die Temperatur des Reaktorwassers, das im Dampferzeuger nicht mehr abgekühlt wird. Automatisch wird der Reaktor heruntergefahren, indem die sogenannten Steuerstäbe herunterfallen, um die Kernspaltung zu stoppen. Als Schichtleiter Bill Zewe die Unterbrechung über die Lautsprecheranlage durchgibt, scheint alles nach Plan zu funktionieren.

Die Notpumpen springen automatisch an, um wieder Kühlwasser in den Kreislauf zu speisen. Doch es kommt nicht weit: Nach Wartungsarbeiten haben die Techniker vergessen, die Ventile wieder aufzudrehen, die zwischen Notpumpen und Kühlkreislauf liegen. Ein Knopfdruck hätte genügt, um sie zu öffnen. Aber die entsprechende Warnlampe im Kontrollraum ist von einem Wartungszettel bedeckt, der auf einem Schalter daneben klebt. Deshalb sehen die Operateure nicht, dass die Lampe brennt.

Weil Temperatur und Druck im Reaktorkessel weiter steigen, öffnet sich ein Sicherheitsventil über einer Kammer des Reaktorkreislaufs, in der der Druck reguliert wird. Das Ventil schliesst sich nicht mehr - was die Mannschaft aber nicht mitbekommt. In nur zwei Minuten ist der Reaktor in einen bedrohlichen Zustand geraten.

... und zwei bange Tage

Um 4.08 Uhr entdeckt Operator Craig Faust endlich den fatalen Zettel über der Warnlampe und öffnet die Ventile zum Kühlwasserkreislauf. Frisches Wasser durchspült den Dampferzeuger. Es vermag das Reaktorwasser zwar nicht zu kühlen, verlangsamt aber den Temperaturanstieg. Doch das fehlerhafte Sicherheitsventil steht immer noch offen, und dann passiert das Unvermeidliche: Der Tank, der den entweichenden Dampf auffängt, birst - eine strahlende, kochend heisse Brühe ergiesst sich ins Auffangbecken des Containments, der Betonschutzhülle um den Reaktor. Von da gelangt das radioaktive Dreckwasser über Drainagen ins Versorgungsgebäude.

Derweil sinkt der Druck im Reaktorkreislauf weiter - bis das Wasser wegen des geringen Drucks zu kochen beginnt. Ein Gemisch aus Wasser und Dampfblasen jagt nun durch die Leitungen des Reaktorkreislaufs und versetzt dessen Pumpen in heftige Schwingungen. Um zu verhindern, dass Pumpen auseinanderbrechen, müssen die Operateure sie abschalten. Nun zirkuliert das Wasser nicht mehr, es bildete sich im Kessel eine Dampfblase, und der Wasserspiegel sinkt allmählich, bis schliesslich die oberen Enden der Brennstäbe freiliegen.

Ohne Kühlwasser beginnen die Brennstäbe zu schmelzen, es kommt zu einer sogenannten partiellen Kernschmelze. Gleichzeitig wird wegen einer chemischen Reaktion Wasserstoff freigesetzt, der in grossen Mengen hochexplosiv ist - und nun auch ins Containment gelangt.

Es dauert bis zum morgendlichen Schichtwechsel, als ein ausgeschlafener Ingenieur um 6.18 Uhr das defekte, lecke Ventil identifiziert und ein zweites dahinter schliesst. Der Druckabfall wird damit gestoppt. Aber längst ist über Lüftungsschächte im Versorgungsgebäude radioaktiver Dampf ins Freie gelangt. Zudem hat man kontaminiertes Wasser aus den überquellenden Auffangbecken in den Susquehanna River gepumpt. Die Geigerzähler im Kraftwerk spielen verrückt, und die Wasserstoffblase im Containment ist eine tickende Zeitbombe.

Obwohl der Schichtleiter um 7.24 Uhr höchste Alarmstufe ausgelöst hat, bequemt sich der Kraftwerksbetreiber Metropolitan Edison erst zwei Stunden später zu einer Stellungnahme. Es sei keine Radioaktivität ausgetreten, lässt er verlauten. Der Alarm wird nicht erwähnt. Was in den nächsten zwei Tagen folgt, ist ein Hinhalten und Schönreden, wie es von vielen Katastrophen bekannt ist. Unterdessen versuchen die Techniker, den Reaktorkern abzukühlen.

Immer wieder tritt radioaktives Gas aus dem Kraftwerk. Erst zwei Tage nach dem Unglück, am 30. März, wird das Katastrophenzentrum von Pennsylvania darüber benachrichtigt, dass die Umgebung evakuiert werden müsste. Und erst zwei weitere Tage später gelingt es den Ingenieuren, die Lage im Atomkraftwerk unter Kontrolle zu bekommen.

Das unbekannte Risiko

In den USA sind seitdem keine neuen AKW mehr genehmigt worden. Nach dem Unfall in Three Mile Island mussten die Schweizer AKW-Betreiber ihre Anlagen nachrüsten. Sie wurden aber nie müde zu behaupten: Harrisburg wiederholt sich nicht.

Die Gesellschaft für Anlagen- und Reaktorsicherheit in Köln hat 2006 in einer Sicherheitsanalyse untersucht, was passiert, wenn der Kern eines Siedewasserreaktors «schwer beschädigt» wird, falls - ähnlich wie in Harrisburg - Pumpen und Ventile in einer Kaskade versagen. Ergebnis: Die Wahrscheinlichkeit, dass dann radioaktive Substanzen aus dem Reaktor in die Umwelt gelangen, ist grösser als fünfzig Prozent.

AKW-ExpertInnen werden immer wieder überrascht von Situationen, die sie sich gar nicht vorstellen konnten. 2001 kam es etwa im deutschen AKW Brunsbüttel in einer Zuleitung zum Reaktorkern zu einer Wasserstoffexplosion - obwohl das Wasser in der Leitung stand und nicht floss. Zuvor hatte man nur Szenarien entwickelt, wie das leichte Gas in fliessendem Wasser freigesetzt werden könnte.

Michael Sailer, Atomexperte des Öko-Instituts Darmstadt und Mitglied der deutschen Reaktorsicherheitskommission, weist denn auch darauf hin, dass eben nicht nur Bauteile unter der jahrzehntelangen Beanspruchung leiden. Auch die Sicherheitskonzepte selbst würden altern, weil sie nicht als Ganzes auf dem neuesten Stand gehalten würden. Hinzu kommt, dass manche Ersatzteile nicht mehr identisch sind mit den Originalteilen aus den siebziger Jahren, weil Schalter beispielsweise andere Eigenschaften haben oder inzwischen andere Normen gelten.

Die Reaktoren der dritten Generation, die derzeit in Finnland und Frankreich gebaut werden, sind zwar so konstruiert, dass mehr Ersatzsysteme einspringen können, wenn wie in Harrisburg Teile der Anlage ausfallen. Aber selbst der Erbauer dieser neuen AKW, der Energiekonzern EDF, musste in einem Schreiben an die französische Reaktorsicherheitskommission einräumen, dass die Sicherheitskonzepte «nicht alle Eventualitäten einschliessen können». Es ist der Reaktortyp, den die grossen Energieunternehmen Axpo, BKW und Alpiq in der Schweiz gerne bauen möchten.