Cyberangriffe haben die Projektgesellschaften zweier großer Tunnelbauvorhaben getroffen: des Brennerbasistunnels und des Fehmarnbelttunnels. Was genau betroffen war, ist offen.
Damit stehen zwei Bauvorhaben im Zusammenhang mit Cyberangriffen, doch die verfügbaren Angaben unterscheiden sich deutlich. Für die Gesellschaft, die den Bau des Brennerbasistunnels verantwortet, ist ein Zugriff auf Daten bekannt. Zum Fehmarnbelttunnel liegen dagegen keine näheren Informationen über den Angriff vor. Ob dort ebenfalls Daten eingesehen oder kopiert wurden, lässt sich aus den vorliegenden Angaben nicht ableiten.
Auch zentrale Fragen zum Brennerfall bleiben unbeantwortet. Weder ist bekannt, wann der Angriff erfolgte, noch wie viele Daten betroffen waren. Ebenso gibt es keine Angaben dazu, ob Informationen tatsächlich aus dem Zugriff herausgelangt sind oder welchen Umfang ein möglicher Abfluss gehabt haben könnte. Ein Motiv der Angreifer wird nicht genannt; ihre Identität ist unbekannt.
Die knappen Informationen erlauben daher keine Einschätzung, welche konkreten Folgen die Vorfälle für die Tunnelprojekte oder die betroffenen Gesellschaften haben könnten. Ein Zugriff auf Daten ist nicht gleichbedeutend mit einem nachgewiesenen Abfluss. Zugleich macht die Unklarheit deutlich, welche Fragen bei Angriffen auf Projektgesellschaften für die Öffentlichkeit relevant sind: Welche Informationen waren erreichbar, und welche Konsequenzen ergeben sich daraus? Solange dazu keine Angaben vorliegen, bleibt die Tragweite der Vorfälle offen. Sicher ist lediglich, dass beide Projektgesellschaften von Cyberangriffen betroffen waren und im Brennerfall ein Datenzugriff festgestellt wurde.
Zugriff auf Daten beim Brennerprojekt
Die betroffene Gesellschaft ist für den Bau des Brennerbasistunnels verantwortlich. Der Cyberangriff richtete sich damit gegen eine Projektgesellschaft, die unmittelbar mit einem der beiden in diesem Zusammenhang genannten Großbauvorhaben verbunden ist. Nach den vorliegenden Angaben gelangten Unbekannte an Daten der Gesellschaft. Wer hinter dem Zugriff steht, ist nicht bekannt.
Was dieser Befund im Einzelnen bedeutet, bleibt jedoch unklar. Die Angaben nennen weder die Art der betroffenen Informationen noch deren Anzahl. Auch lässt sich daraus nicht entnehmen, ob Daten lediglich eingesehen oder darüber hinaus kopiert und nach außen übertragen wurden. Ein Zugriff ist deshalb nicht ohne Weiteres mit einem bestätigten Datenabfluss gleichzusetzen. Ebenso wenig ist bekannt, ob der Vorfall den Bau des Tunnels beeinträchtigt hat.
Ungeklärt sind außerdem der Zeitpunkt des Angriffs und das Motiv der Angreifer. Damit fehlt eine Grundlage, um den Vorgang zeitlich einzuordnen oder die Absichten der Unbekannten zu bewerten. Die vorhandenen Informationen beschränken sich auf den Angriff, den Zugriff auf Daten und die Zuständigkeit der betroffenen Gesellschaft für den Bau des Brennerbasistunnels.
Gerade bei einer Projektgesellschaft stellt sich die Frage, welche Bedeutung ein solcher Zugriff für das Bauvorhaben und den Umgang mit Informationen haben kann. Eine belastbare Antwort ist auf Grundlage der bekannten Angaben nicht möglich. Dafür müsste unter anderem feststehen, welche Daten betroffen waren und ob sie die Gesellschaft verlassen haben. Solange Umfang und mögliche Folgen offenbleiben, wäre es verfrüht, von einem bestimmten Schaden oder einer konkreten Gefährdung des Tunnelbaus zu sprechen. Fest steht lediglich: Unbekannte griffen auf Daten der für den Brennerbau zuständigen Gesellschaft zu; nähere Angaben zur Reichweite des Vorfalls liegen nicht vor.
Auch Fehmarnbelttunnel betroffen
Neben der Projektgesellschaft des Brennerbasistunnels war auch die Projektgesellschaft des Fehmarnbelttunnels von einem Cyberangriff betroffen. Damit stehen zwei große Tunnelbauvorhaben im Zusammenhang mit den bekannt gewordenen Vorfällen. Für den Fehmarnbelt-Fall sind jedoch keine näheren Angaben zum Angriff verfügbar. Insbesondere ist nicht bekannt, ob dort ebenfalls auf Daten zugegriffen wurde. Eine solche Parallele lässt sich aus den vorliegenden Informationen nicht ableiten.
Die knappe Faktenlage setzt der Einordnung enge Grenzen. Weder ist beschrieben, welche Systeme oder Informationen beim Fehmarnbelttunnel betroffen gewesen sein könnten, noch lässt sich sagen, welche Folgen der Angriff für die Projektgesellschaft hatte. Auch eine Verbindung zwischen den beiden Vorfällen ist nicht belegt. Dass beide Gesellschaften betroffen waren, reicht nicht aus, um auf gemeinsame Täter, ein gleiches Vorgehen oder ein einheitliches Ziel zu schließen.
Bei großen Bauvorhaben kann der Umgang mit Informationen grundsätzlich eine wichtige Rolle spielen. Welche konkreten Daten eine Projektgesellschaft verwaltet und welche Bedeutung ein unbefugter Zugriff für ein Vorhaben hätte, hängt jedoch vom jeweiligen Einzelfall ab. Für den Fehmarnbelttunnel liegen dazu keine Angaben vor. Deshalb wäre es nicht gerechtfertigt, einen möglichen Datenverlust, eine Störung der Bauarbeiten oder eine Gefährdung des Projekts zu behaupten.
Der Vorfall erweitert somit den Kreis der betroffenen Gesellschaften, ohne dass sich seine Reichweite näher bestimmen lässt. Für eine sachliche Bewertung wäre zunächst zu klären, was bei der Projektgesellschaft des Fehmarnbelttunnels tatsächlich geschehen ist. Solange diese Informationen fehlen, bleibt offen, ob der Angriff über die bestätigte Betroffenheit hinaus konkrete Auswirkungen hatte. Auch die Frage, welche Schutzmaßnahmen oder organisatorischen Konsequenzen daraus folgen könnten, lässt sich derzeit nicht beantworten.
Was bislang offenbleibt
Zu den Angriffen fehlen mehrere Angaben, die für eine belastbare Einordnung nötig wären. Nicht bekannt ist zunächst, wann die Vorfälle stattfanden. Ohne einen Zeitpunkt lässt sich nicht nachvollziehen, in welchem zeitlichen Verhältnis die Angriffe zueinander standen oder wie lange ein möglicher Zugriff gedauert haben könnte. Auch der Ablauf der Ereignisse ist damit nicht näher zu bestimmen.
Für die Brenner-Projektgesellschaft ist ein Zugriff auf Daten bekannt. Welche Informationen betroffen waren, ist jedoch nicht benannt. Ebenso bleibt offen, wie viele Daten berührt wurden und ob die Angreifer sie lediglich einsehen konnten oder ob sie die Gesellschaft verlassen haben. Ein Zugriff und ein nachgewiesener Abfluss sind unterschiedliche Sachverhalte; die vorliegenden Angaben erlauben keine Aussage darüber, welcher davon hier vorliegt. Für die Projektgesellschaft des Fehmarnbelttunnels gibt es nicht einmal nähere Angaben zur Art des Angriffs.
Auch ein Motiv der unbekannten Angreifer wird nicht genannt. Deshalb lässt sich nicht beurteilen, ob sie auf bestimmte Informationen aus waren oder ein anderes Ziel verfolgten. Jede Zuschreibung eines Beweggrunds wäre Spekulation. Ebenso fehlen Angaben, anhand derer sich ein möglicher Schaden oder konkrete Folgen für die beiden Bauvorhaben feststellen ließen.
Diese Lücken sind nicht bloß technische Details. Ohne Wissen über Zeitpunkt, Umfang und Art eines Zugriffs können weder die betroffenen Gesellschaften noch Außenstehende die Tragweite des Geschehens verlässlich einschätzen. Zugleich wäre es voreilig, aus den fehlenden Informationen auf besonders weitreichende Folgen zu schließen. Der gesicherte Kenntnisstand bleibt begrenzt: Beide Projektgesellschaften waren betroffen, und bei der für den Brennerbau verantwortlichen Gesellschaft wurde auf Daten zugegriffen. Was darüber hinaus geschah, ist bislang nicht geklärt.
Bedeutung für digitale Sicherheit
Cyberangriffe auf Projektgesellschaften großer Bauvorhaben lenken den Blick auf eine Frage, die über einzelne technische Systeme hinausgeht: Welche Bedeutung haben digitale Daten für Planung und Umsetzung eines Projekts, und wie lässt sich ein Zugriff darauf bewerten? Im konkreten Fall ist diese Einordnung nur begrenzt möglich. Bekannt ist, dass bei der für den Bau des Brennerbasistunnels zuständigen Gesellschaft auf Daten zugegriffen wurde. Welche Daten betroffen waren, wie viele Datensätze es gab und ob Informationen tatsächlich nach außen gelangten, ist nicht bekannt. Für die Projektgesellschaft des Fehmarnbelttunnels liegen ebenfalls keine näheren Angaben zum Angriff vor.
Diese Unterscheidung ist wichtig. Ein unbefugter Zugriff auf Daten ist nicht gleichbedeutend mit einem nachgewiesenen Abfluss oder einer Veränderung von Informationen. Ebenso lässt sich aus der Betroffenheit einer Projektgesellschaft nicht ableiten, dass Bauabläufe gestört wurden oder technische Anlagen gefährdet waren. Dafür fehlen konkrete Angaben. Auch ein Motiv der Angreifer ist nicht benannt. Eine belastbare Bewertung muss daher zwischen dem bestätigten Zugriff im Brenner-Fall und möglichen, aber nicht belegten Folgen unterscheiden.
Bei großen Bauvorhaben können digitale Informationen für unterschiedliche Aufgaben eine Rolle spielen. Welche Arten von Daten die beiden Gesellschaften verwalten oder welche Systeme bei den Angriffen betroffen waren, geht aus dem verfügbaren Kenntnisstand jedoch nicht hervor. Gerade deshalb lässt sich aus den Vorfällen keine Aussage über konkrete Schwachstellen oder über die Wirksamkeit vorhandener Schutzvorkehrungen ableiten. Solche Schlussfolgerungen würden mehr voraussetzen als die bisher bekannten Angaben.
Der Fall zeigt damit vor allem die Bedeutung nachvollziehbarer Informationen nach einem Cyberangriff: Erst wenn Zeitpunkt, Zugriffsumfang und betroffene Daten bekannt sind, kann die Tragweite eingeordnet werden. Bis dahin bleibt offen, ob es sich um einen begrenzten Vorfall oder um einen Vorgang mit weiterreichender Bedeutung handelte. Für die öffentliche Bewertung großer Bauprojekte ist diese Unsicherheit selbst relevant – sie ersetzt aber keinen Nachweis konkreter Schäden.