Cyberangriff legt IT des Fehmarnbelttunnel-Konsortiums lahm

Auf der Baustelle des Fehmarnbelttunnels ist die IT offenbar Ziel eines Cyberangriffs geworden. Nach bisherigen Informationen wurde die Beeinträchtigung am Dienstag, dem 13. Oktober 2026, bekannt; ein Bericht beschreibt zudem, dass unbekannte Hacker bereits am Montag die komplette IT des Auftragnehmer-Konsortiums Femern Link Contractors (FLC) lahmgelegt haben sollen. FLC ist maßgeblich am Bau der Verbindung zwischen Deutschland und Dänemark beteiligt.

Die staatliche dänische Projektgesellschaft Femern A/S bestätigte, von FLC über den Cybervorfall informiert worden zu sein. Sie stehe mit dem Auftragnehmer in Kontakt. Das zuständige dänische Ministerium machte zunächst keine weiteren Angaben. Laut dem dänischen Fernsehsender TV2 handelte es sich um einen umfassenden Angriff. Hacker sollen eine Sicherheitslücke ausgenutzt und dadurch Zugang zu allen IT-Systemen erhalten haben.

Gestörte Abläufe auf der Baustelle

Medienberichten zufolge waren die Arbeitsabläufe am Dienstag gestört. Elektronische Zugangskarten funktionierten offenbar nicht mehr, Mitarbeiter sollten Computer und WLAN nicht benutzen. Mehrere Arbeitsschiffe standen still, einige Abläufe mussten manuell durchgeführt werden. Auf einer Großbaustelle mit vielen Gewerken, Maschinen und ständigem Materialfluss kann so etwas schnell Sand ins Getriebe streuen.

Noch ist unklar, wie weit die Angreifer in die Systeme eindringen konnten. Bestätigte Angaben dazu, ob Daten gestohlen wurden, ob Lösegeld gefordert wird oder ob Bau- und Sicherheitsunterlagen betroffen sind, gibt es nicht. Ebenfalls offen ist, ob Kosten oder Zeitplan beeinflusst werden. Die Identität der Hacker ist unbekannt. Ein dänisches Fachmedium brachte russische Hacker als mögliche Urheber ins Gespräch, Belege dafür liegen allerdings nicht vor.

Hinter FLC stehen Unternehmen aus Dänemark, Frankreich, Deutschland, Belgien und den Niederlanden: Per Aarsleff Holding A/S, VINCI Construction Grands Projets S.A.S., Wayss & Freytag Ingenieurbau AG, Max Bögl Stiftung & Co. KG, CFE SA, Solétanche-Bachy International S.A.S., BAM Infra B.V. und BAM International B.V. Aus Deutschland gehören damit unter anderem Wayss & Freytag Ingenieurbau und Max Bögl zum Konsortium.

Ein Tunnel, viele offene Termine

Der Fehmarnbelttunnel soll rund 18 Kilometer lang werden und Rødbyhavn auf der dänischen Insel Lolland mit Puttgarden auf Fehmarn in Schleswig-Holstein verbinden. Er verläuft als vierspurige Autobahn und zweigleisige Eisenbahnstrecke unter der Ostsee. Geplant ist, dass die Fahrt mit dem Auto etwa zehn Minuten und mit dem Zug sieben Minuten dauert. Das Milliardenprojekt soll den Verkehrsengpass zwischen Skandinavien und Mitteleuropa verringern und den Personen- und Güterverkehr beschleunigen. Es wäre der längste Absenktunnel der Welt.

Im August wurde das dritte von insgesamt 89 Tunnelelementen abgesenkt. Das Projekt verzögert sich allerdings seit Jahren. Der ursprünglich für 2031 geplante Eröffnungstermin wurde Anfang des Jahres aufgegeben, ein neuer Termin steht bislang nicht fest. Eine schrittweise Eröffnung war bis 2029 vorgesehen: zunächst für den Straßenverkehr, später für Züge. Ob diese Planung noch trägt, ist nach dem Cybervorfall ebenso offen wie die Frage, ob Deutschland von möglichen Verzögerungen betroffen sein wird.

Das Bundesverkehrsministerium nennt für die Verzögerungen unter anderem Inflation, die angespannte Lage in der Baubranche und zusätzliche Bauvorhaben wie den Fehmarnsund-Tunnel. Der Bundesrechnungshof erwartet außerdem deutlich höhere Kosten für die deutsche Hinterlandanbindung als bisher angenommen.

Zur Einordnung gehört auch der Fehmarnsund. Die Brücke verbindet Fehmarn seit ihrer Einweihung 1963 mit dem deutschen Festland, ist knapp einen Kilometer lang und soll nach Fertigstellung des Fehmarnsund-Tunnels vor allem dem regionalen Verkehr erhalten bleiben. Der derzeit gebaute Fehmarnsund-Tunnel ist Teil der Hinterlandanbindung, soll knapp zwei Kilometer lang werden und vier Fahrstreifen sowie zwei Eisenbahngleise umfassen.

Warum IT-Ausfälle bei Infrastruktur ins Gewicht fallen

Der Blick auf die Zahlen des Bundesamts für Sicherheit in der Informationstechnik zeigt, weshalb ein Ausfall vernetzter Systeme weit über einen einzelnen Rechner hinausreichen kann. Die BSI-Webseite „KRITIS in Zahlen“ stellt Statistiken zu Betreibern und Anlagen Kritischer Infrastrukturen bereit. Die Rechtsgrundlage für die Datenerhebung änderte sich am 6. Dezember 2025 durch die Novellierung des BSI-Gesetzes zur Umsetzung der NIS-2-Richtlinie. Die am 31. Juli 2026 veröffentlichten Daten beziehen sich auf den Stichtag 30. Juni 2026.

Als KRITIS-Betreiber gilt eine natürliche oder juristische Person beziehungsweise eine rechtlich unselbstständige Organisationseinheit, die bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt. Eine Anlage kann eine Betriebsstätte, ortsfeste Installation, Maschine, ein Gerät oder eine sonstige technische Installation sein. Kritisch ist sie dann, wenn sie für die Erbringung einer kritischen Dienstleistung erheblich ist. Registriert werden in Deutschland kritische Anlagen, nicht Unternehmen; ein Betreiber kann mehrere Anlagen und Anlagen in mehreren Sektoren betreiben.

Zum 30. Juni 2026 waren beim BSI 1.231 Betreiber und 2.180 kritische Anlagen registriert. Berücksichtigt werden Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanzwesen, Transport und Verkehr, Siedlungsabfallentsorgung, Leistungen der Sozialversicherung und Grundsicherung für Arbeitsuchende sowie Weltraum. Der Sektor Weltraum wird derzeit nicht dargestellt, weil noch keine Anlagekategorien und Schwellenwerte festgelegt sind. Für Siedlungsabfallentsorgung sowie Sozialversicherung und Grundsicherung lagen noch keine Nachweise nach § 39 Absatz 1 BSIG vor.

Die Strukturen unterscheiden sich deutlich. Im Gesundheitsbereich liegen Anlagen häufig lokal, etwa Krankenhäuser. Informationstechnik und Telekommunikation sowie Transport und Verkehr sind dagegen oft überregional oder bundesländerübergreifend vernetzt. Genau solche Verbindungen machen Ausfälle manchmal schwer greifbar.

Der Energiesektor ist für alle anderen KRITIS-Sektoren relevant. Zu den kritischen Dienstleistungen zählen Stromversorgung, Gasversorgung, Kraftstoff- und Heizölversorgung sowie Fernwärmeversorgung. Registriert waren 339 Betreiber und 552 Anlagen; Kategorien und Schwellenwerte stehen in Anhang 1 der BSI-KritisV.

Im Wasserbereich geht es um Trinkwasserversorgung und Abwasserbeseitigung. Zu den Anlagen der Trinkwasserversorgung zählen Gewinnungsanlagen, Wasseraufbereitungsanlagen, Wasserverteilungssysteme und Leitzentralen, bei der Abwasserbeseitigung Kanalisation, Kläranlagen und Leitzentralen. Die Versorgung und Entsorgung ist meist lokal organisiert. Betreiber verfügen üblicherweise über eine bis drei Anlagen oberhalb der Registrierungsschwelle. Der Regelschwellenwert orientiert sich an 500.000 versorgten Personen. Für Trinkwasser wird ein durchschnittlicher Verbrauch von 44 m³ pro Person und Jahr angesetzt: 500.000 Personen mal 44 m³ ergeben 22 Millionen m³ pro Jahr. Zwei Wasserwerke mit jeweils 300.000 versorgten Personen und 13,2 Millionen m³ Jahresleistung liegen jeweils unter dem Schwellenwert. Im Sektor Wasser waren 83 Betreiber und 182 Anlagen registriert; die Vorgaben stehen in Anhang 2 der BSI-KritisV.

Die kritische Dienstleistung im Sektor Ernährung ist die allgemeine Lebensmittelversorgung, einschließlich Lebensmittelherstellung und -behandlung sowie Lebensmittelhandel. Dort waren 73 Betreiber und 117 Anlagen registriert, geregelt in Anhang 3 der BSI-KritisV.

Bei Informationstechnik und Telekommunikation können Ausfälle oder Beeinträchtigungen wegen sektorübergreifender Abhängigkeiten erhebliche Auswirkungen haben. Als besonderes Risiko nennt das BSI die Verbreitung von Schadcode über manipulierte Software-Updates und Lieferketten. Registriert waren 81 Betreiber und 129 Anlagen; Kategorien und Schwellenwerte enthält Anhang 4 der BSI-KritisV.

Der Gesundheitssektor umfasst die stationäre medizinische Versorgung in Krankenhäusern, die Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, verschreibungspflichtigen Arzneimitteln sowie Blut- und Plasmakonzentraten und die Laboratoriumsdiagnostik. Zur stationären Versorgung gehören unter anderem Aufnahme, Diagnose, Therapie, Unterbringung, Pflege und Entlassung. Für Krankenhäuser gilt ein Schwellenwert von mehr als 30.000 vollstationären Fällen pro Jahr. Registriert waren 232 Betreiber und 356 Anlagen; maßgeblich ist Anhang 5 der BSI-KritisV.

Im Finanzwesen zählen Bargeldversorgung, kartengestützter und konventioneller Zahlungsverkehr, Handel, Verrechnung und Abwicklung von Wertpapier- und Derivatgeschäften sowie Versicherungsdienstleistungen zu den kritischen Leistungen. Dort gab es 65 Betreiber und 198 Anlagen, mit Kategorien und Schwellenwerten in Anhang 6 der BSI-KritisV.

Der Bereich Sozialversicherung und Grundsicherung umfasst die Inanspruchnahme von Sozialversicherungsleistungen sowie von Leistungen zur Sicherung des Lebensunterhalts mithilfe der IT-Systeme der Bundesagentur für Arbeit. Registriert waren 46 Betreiber und 50 Anlagen; die Regelungen stehen in Anhang 9 der BSI-KritisV.

Transport und Verkehr sichern die allgemeine Versorgung mit Personen- und Güterverkehr. Dazu gehören Luftverkehr, Eisenbahnverkehr, See- und Binnenschifffahrt, Straßenverkehr, öffentlicher Personennahverkehr, Logistik und verkehrsträgerübergreifende Leistungen. Im Luftverkehr zählen etwa Passagier- und Frachtabfertigung, Infrastruktur und Flugsicherung dazu. Der Sektor ist auf Energieversorgung und Treibstoff angewiesen und zugleich für andere Bereiche von Bedeutung. Registriert waren 99 Betreiber und 219 Anlagen; Anhang 7 der BSI-KritisV legt Kategorien und Schwellenwerte fest.

Bei der Siedlungsabfallentsorgung geht es um Abfälle privater Haushalte, haushaltsähnliche Abfälle aus Einrichtungen und Gewerbe, Bioabfälle sowie getrennt erfasste Wertstoffe wie Glas, Papier und Kunststoff. Typischerweise folgen Anlagen für Sammlung, Lagerung, Sortierung und Verbrennung aufeinander. Die Schwellenwerte orientieren sich an 500.000 versorgten Personen; bewertet werden angeschlossene Einwohner und jährliche Abfallmengen. Registriert waren 243 Betreiber und 377 Anlagen, geregelt in Anhang 8 der BSI-KritisV.

Nachweise, Meldepflichten und die Zahlen von 2026

Betreiber kritischer Anlagen müssen dem BSI alle drei Jahre Risikomanagementmaßnahmen nachweisen. Die Nachweise enthalten Einschätzungen zur Wirksamkeit von Informationssicherheitsmanagementsystemen (ISMS) und Business-Continuity-Managementsystemen (BCMS). Die Reifegrade reichen von 1 bis 5: Stufe 1 bedeutet geplant, aber noch nicht etabliert; Stufe 2 weitestgehend etabliert; Stufe 3 etabliert und dokumentiert; Stufe 4 regelmäßig auf Effektivität überprüft; Stufe 5 zusätzlich regelmäßig verbessert.

Die Statistik verwendet jeweils den letzten eingereichten Nachweis. Die Zahl der Nachweise entspricht nicht der Zahl der Betreiber, weil neu registrierte Betreiber erst später nachweispflichtig werden. Für alle Sektoren liegen keine Nachweise vor. Wegen einer Übergangsregelung nach dem novellierten BSIG gehen derzeit nur vereinzelt neue Nachweise ein. Deshalb wurden die BSI-Diagramme zu den Reifegraden entfernt; historische Darstellungen bis einschließlich des vierten Quartals 2025 bleiben verlinkt.

Systeme zur Angriffserkennung sind für KRITIS-Betreiber nach § 31 Absatz 2 BSIG vorgeschrieben. Die Umsetzungsgrade reichen von 0 bis 5: 0 steht für keine Maßnahmen oder Planungen, 1 für vorhandene Planungen ohne vollständige Umsetzung, 2 für begonnene Umsetzung in allen Bereichen mit noch fehlenden Muss-Anforderungen, 3 für erfüllte Muss-Anforderungen und einen etablierten oder geplanten Verbesserungsprozess, 4 zusätzlich für erfüllte oder begründet ausgeschlossene Soll-Anforderungen und 5 zusätzlich für alle Kann-Anforderungen sowie weitere risikobasierte Maßnahmen.

Auch diese Umsetzungsgrade werden aus dem jeweils letzten Nachweis übernommen. Nicht für alle Sektoren liegen Nachweise vor. Wegen der Übergangsregelungen und der geringen Zahl neuer Nachweise wurden die Diagramme ebenfalls entfernt; historische Darstellungen bis einschließlich des vierten Quartals 2025 bleiben verfügbar.

Die Meldepflicht nach § 32 BSIG umfasst erhebliche Ereignisse, die Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder IT-Diensten beeinträchtigen. Sie erweitert die frühere Meldepflicht nach § 8b Absatz 4 BSIG. Weitere Meldepflichten bestehen unter anderem nach § 5d Absatz 3 EnWG für bestimmte Energieunternehmen sowie nach § 168 TKG für öffentliche Telekommunikationsnetze und öffentlich zugängliche Telekommunikationsdienste. Einige Meldungen liegen unterhalb der gesetzlichen Meldeschwelle; die Zahl der Meldungen ist deshalb nicht automatisch ein Maß für die Informationssicherheit eines Sektors.

Seit dem 17. Januar 2025 gilt die EU-Verordnung DORA. DORA-regulierte Finanzunternehmen, die zugleich KRITIS-Betreiber sind, sind von der BSIG-Meldepflicht ausgenommen. DORA-Meldungen werden von der BaFin an das BSI weitergeleitet. Im betrachteten Zeitraum wurden 53 abgeschlossene DORA-Vorfälle und drei nach BSIG gemeldete Störungen erfasst.

Das novellierte BSIG und das KRITIS-Dachgesetz verändern die Datengrundlagen. Für die Registrierung kritischer Anlagen ist nun das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zuständig. KRITIS-Betreiber sind nach dem BSIG eine Teilmenge der besonders wichtigen Einrichtungen. Besonders wichtige und wichtige Einrichtungen unterliegen einer Meldepflicht; eine separate KRITIS-Meldepflicht besteht nicht mehr.

Das BSI will Registrierungs- und Meldungszahlen künftig unter „NIS-2 in Zahlen“ veröffentlichen. Die nächste Aktualisierung der KRITIS-Seite wird voraussichtlich Mitte 2027 erfolgen. Als Grund nennt das BSI, dass in allen Sektoren erst ab dem zweiten Quartal 2027 mit einer größeren Zahl eingehender KRITIS-Nachweise gerechnet wird. Künftige Veröffentlichungen sollen stärker Reife- und Umsetzungsgrade sowie die Beseitigung festgestellter Mängel auswerten.