Cyberangriff auf Baugesellschaft des Brennerbasistunnels

Mitte Oktober reichte der Zugriff aus dem Netz bis zu Daten der BBT SE: Unbekannte Täter gelangten an Teile von Informationen, die über das Internet erreichbar waren. Betroffen war damit die Baugesellschaft für den Brennerbasistunnel, ein Vorhaben, das Österreich und Italien mit einer neuen Bahnverbindung verbinden soll. Wie groß die erlangte Datenmenge war und um welche Inhalte es sich handelte, ist nicht bekannt. Auch zu möglichen Tätern oder ihren Beweggründen liegen keine Angaben vor.

Die BBT SE hat ihren Sitz in Bozen. Italienische Behörden führen die Ermittlungen. Die Baugesellschaft erklärte, der Angriff habe keine Gefahr für den Bau des Tunnels oder dessen späteren Betrieb bedeutet. Hochsicherheitsdaten seien nach Angaben eines BBT-Sprechers nicht betroffen gewesen. Damit ist eine zentrale Sorge bei einem Angriff auf ein großes Infrastrukturprojekt zunächst zurückgewiesen. Offen bleibt jedoch, welche Daten tatsächlich eingesehen wurden und ob der Vorfall weitere Folgen hatte.

Der Brennerbasistunnel ist 64 Kilometer lang und gilt als bedeutendes europäisches Infrastrukturprojekt. Die Kosten werden mit 11,7 Milliarden Euro beziffert. Ab 2034 soll der Tunnel Fahrten zwischen Deutschland und Italien deutlich verkürzen. Gerade bei Vorhaben dieser Größenordnung stellt sich neben der Frage nach dem Baufortschritt auch die nach dem Schutz digital erreichbarer Informationen: Welche Daten müssen besonders gesichert sein, und wie lässt sich ein Zugriff auf andere Bereiche begrenzen? Dazu liegen im Zusammenhang mit dem Angriff bislang keine näheren Angaben vor.

Der Vorfall ereignete sich in einer Phase, in der auch ein anderes großes Tunnelprojekt betroffen war. Mitte Oktober kam es beim Fehmarnbelttunnel zu einer Cyberattacke auf den Auftragnehmer Femern Link Contractors. Dort waren zeitweise mehrere IT-Systeme auf der Baustelle beeinträchtigt. Ob zwischen den Angriffen ein Zusammenhang besteht, ist nicht bekannt. Die beiden Fälle werfen damit Fragen nach der Widerstandsfähigkeit digitaler Abläufe auf, erlauben aber keine Aussage über gemeinsame Täter oder ein einheitliches Vorgehen.

Keine Gefahr für den Tunnelbau

Für die unmittelbaren Folgen des Angriffs beruft sich die BBT SE auf eine klare Einschätzung ihres Sprechers: Weder der Bau noch der spätere Betrieb des Brennerbasistunnels seien gefährdet gewesen. Auch Hochsicherheitsdaten seien nicht betroffen. Diese Angaben grenzen den bekannten Vorfall ein, beantworten aber nicht jede offene Frage. Welche internetzugänglichen Daten eingesehen wurden, wie viele Informationen betroffen waren und ob sie kopiert oder anderweitig verwendet wurden, ist nicht mitgeteilt worden. Ebenso machte der Sprecher keine Angaben zu möglichen Tätern und Hintergründen.

Die Unterscheidung zwischen erreichbaren Daten und Hochsicherheitsdaten ist für die Bewertung wichtig. Sie bedeutet nach den vorliegenden Angaben nicht, dass keinerlei Informationen zugänglich waren: Unbekannte Täter konnten auf einen Teil der über das Internet erreichbaren Daten zugreifen. Zugleich gibt es keine Grundlage für die Annahme, zentrale Informationen zur Sicherheit oder Steuerung des Tunnelbetriebs seien kompromittiert worden. Die Ermittlungen italienischer Behörden sollen den Vorfall weiter aufklären; Ergebnisse sind nicht bekannt.

Bei einem Projekt, das 64 Kilometer lang ist und mit 11,7 Milliarden Euro veranschlagt wird, betrifft digitale Sicherheit nicht allein die technische Arbeit auf einer Baustelle. Sie berührt auch die Frage, wie ein Infrastrukturträger den Zugriff auf Daten organisiert und welche Folgen ein Angriff für die Öffentlichkeit haben könnte. Für den Brennerbasistunnel stellt die BBT SE nach Aussage ihres Sprechers derzeit keine Gefahr für Bau oder Betrieb fest. Über konkrete Schutzmaßnahmen oder mögliche Änderungen nach dem Angriff gibt es jedoch keine Angaben.

Der Vergleich mit dem zeitgleichen Vorfall beim Fehmarnbelttunnel bleibt begrenzt: Dort beeinträchtigte ein Angriff auf den Auftragnehmer Femern Link Contractors vorübergehend mehrere IT-Systeme auf der Baustelle. Für das BBT-Projekt ist eine solche Beeinträchtigung nicht mitgeteilt worden. Ob sich daraus unterschiedliche Sicherheitslagen oder lediglich unterschiedliche Folgen ergeben, lässt sich anhand der bekannten Angaben nicht beurteilen. Entscheidend für die weitere Einordnung sind daher die Ermittlungsergebnisse und eine genauere Klärung, welche Daten tatsächlich betroffen waren.

Ermittlungen in Italien

Wer hinter dem Angriff auf die BBT SE steht und welches Motiv die Täter gehabt haben könnten, ist bislang nicht bekannt. Auch dazu, welche konkreten Daten eingesehen oder möglicherweise kopiert wurden, liegen in den bekannten Angaben keine näheren Informationen vor. Ein BBT-Sprecher machte keine Angaben zu den möglichen Tätern und den Hintergründen. Damit bleibt offen, ob die Attacke auf bestimmte Informationen zielte oder ob sich ihr Zweck bisher nicht erkennen lässt. Aus dem Umstand, dass Daten aus dem Internet erreichbar waren, lässt sich für sich genommen weder auf eine gezielte Spionage noch auf eine bestimmte Tätergruppe schließen.

Die Ermittlungen führen italienische Behörden. Die Baugesellschaft hat ihren Sitz in Bozen, also in Italien. Wer innerhalb der zuständigen Stellen welche Schritte unternimmt, ist nicht näher mitgeteilt worden. Ebenso wenig ist bekannt, ob bereits Verdächtige identifiziert oder weitere Einzelheiten zum Ablauf festgestellt wurden. Solange solche Angaben fehlen, lässt sich der Angriff nur in seinen bislang benannten Grundzügen beschreiben: Unbekannte Täter griffen Mitte Oktober auf Teile internetzugänglicher Daten zu.

Für die weitere Einordnung ist entscheidend, was die Ermittlungen über den Zugriff und die betroffenen Informationen ergeben. Dabei geht es nicht allein um die Frage, wer angegriffen hat. Ebenso wichtig ist, welche Daten erreichbar waren und ob über den festgestellten Zugriff hinaus Folgen entstanden sind. Der BBT-Sprecher erklärte, Hochsicherheitsdaten seien nicht betroffen gewesen. Das grenzt den bekannten Umfang ein, ersetzt aber keine genauere Beschreibung der betroffenen Daten. Auch daraus lässt sich nicht ableiten, ob Informationen für Außenstehende einen besonderen Wert hatten.

Bei einem Bauvorhaben dieser Größenordnung berührt ein Cyberangriff grundsätzlich Fragen des Schutzes digitaler Informationen und der Verantwortung für deren Erreichbarkeit. Welche konkreten Sicherungsmaßnahmen die BBT SE nutzt oder ob Behörden Änderungen empfohlen haben, ist nicht bekannt. Aussagen dazu wären daher derzeit ebenso wenig belastbar wie Vermutungen über die Urheber. Bis weitere Erkenntnisse vorliegen, bleiben Täter, Motiv und genauer Datenumfang offen.

Ein europäisches Großprojekt

Der Brennerbasistunnel ist als 64 Kilometer lange Bahnverbindung zwischen Österreich und Italien geplant. Die BBT SE errichtet das Bauwerk; die Gesellschaft hat ihren Sitz in Bozen. Mit veranschlagten Kosten von 11,7 Milliarden Euro zählt das Vorhaben zu den großen Infrastrukturprojekten Europas. Die geplante Inbetriebnahme ist ab 2034 vorgesehen. Damit reicht die Bedeutung des Projekts über die Baustelle und die beteiligten Unternehmen hinaus: Eine neue Verbindung kann den Bahnverkehr zwischen Ländern verändern und wirft zugleich Fragen nach Finanzierung, Sicherheit und verlässlicher Umsetzung auf.

Für Reisende soll der Tunnel vor allem eine spürbare Verkürzung der Fahrten zwischen Deutschland und Italien ermöglichen. Wie groß die Zeitersparnis im Einzelnen ausfallen wird, ist in den vorliegenden Angaben nicht beziffert. Der Termin ab 2034 beschreibt zudem einen vorgesehenen Zeitpunkt, keine Garantie dafür, dass der Tunnel dann tatsächlich in Betrieb geht. Bei einem Vorhaben dieser Dimension hängen die Erwartungen an den Nutzen deshalb auch daran, ob Bau und Planung im vorgesehenen Zeitraum vorankommen.

Die Summe von 11,7 Milliarden Euro macht deutlich, dass es um erhebliche öffentliche und wirtschaftliche Interessen geht. Daraus folgt ein besonderer Anspruch an nachvollziehbare Planung und an den Schutz der Systeme, die mit dem Projekt verbunden sind. Über konkrete IT-Strukturen oder Sicherheitsvorkehrungen der BBT SE ist nichts bekannt. Der Cyberangriff erlaubt deshalb keine Aussage darüber, ob der Bau insgesamt technisch oder organisatorisch gefährdet wäre. Nach Angaben eines BBT-Sprechers bestand keine Gefahr für den Bau oder den späteren Betrieb des Tunnels.

Der Brennerbasistunnel steht damit für zwei miteinander verbundene Aufgaben: eine grenzüberschreitende Bahnverbindung zu errichten und ein langfristiges Infrastrukturprojekt verlässlich zu betreiben. Welche Folgen der Angriff für den Projektablauf hat, ist nicht mitgeteilt worden. Der Vorfall macht jedoch deutlich, dass bei großen Bauvorhaben neben den baulichen Arbeiten auch der Schutz digital zugänglicher Daten Teil der öffentlichen Debatte ist.

Auch Fehmarnbelttunnel betroffen

Mitte Oktober geriet auch das Fehmarnbelttunnel-Projekt ins Visier eines Cyberangriffs. Betroffen war der Auftragnehmer Femern Link Contractors. Die Attacke beeinträchtigte zeitweise mehrere IT-Systeme auf der Baustelle. Welche Systeme genau betroffen waren und welche konkreten Folgen das für die Arbeiten hatte, ist nicht näher mitgeteilt worden. Die Projektgesellschaft Femern A/S informierte über die Auswirkungen auf die IT.

Der Vergleich mit dem Angriff auf die BBT SE zeigt zunächst, dass beide Vorfälle Bauprojekte mit großer grenzüberschreitender Bedeutung betrafen. Die bekannten Folgen unterscheiden sich jedoch: Bei Femern Link Contractors waren mehrere Systeme auf der Baustelle vorübergehend beeinträchtigt. Bei der BBT SE hatten Unbekannte Zugriff auf Teile internetzugänglicher Daten; nach Angaben des Unternehmenssprechers waren weder der Bau noch der spätere Betrieb des Brennerbasistunnels gefährdet. Daraus lässt sich nicht ableiten, dass die Angriffe denselben Ursprung oder ein gemeinsames Motiv hatten. Zu möglichen Tätern und Hintergründen des Angriffs auf die BBT SE machte der Sprecher keine Angaben.

Der Fehmarnbelttunnel soll die deutsche Insel Fehmarn mit der dänischen Insel Lolland verbinden. Die rund 18 Kilometer lange Verbindung ist damit ein anderes Vorhaben als der 64 Kilometer lange Brennerbasistunnel, verfolgt aber ebenfalls das Ziel, Verkehrswege zwischen europäischen Ländern zu stärken. Nach seiner Fertigstellung soll die Zugfahrt von Hamburg nach Kopenhagen rund zweieinhalb Stunden dauern.

Die zeitliche Nähe der beiden Cyberangriffe wirft Fragen danach auf, wie Baugesellschaften und Auftragnehmer digitale Systeme und erreichbare Daten schützen. Aus den vorliegenden Angaben geht allerdings nicht hervor, ob die Projekte ihre Sicherheitsmaßnahmen infolge der Vorfälle verändert haben oder ob die Beeinträchtigungen beim Fehmarnbelttunnel den Bauablauf dauerhaft beeinflussten. Klar ist lediglich, dass die digitale Arbeitsumgebung inzwischen auch bei großen Infrastrukturvorhaben eine Rolle spielt: Störungen können IT-Systeme auf einer Baustelle betreffen, während bei anderen Projekten Datenzugriffe im Mittelpunkt stehen.