Cyberangriff auf den Fehmarnbelt-Tunnel: Hacker stören Bau der Verbindung zwischen Dänemark und Deutschland

Während des Vorfalls funktionierten elektronische Mitarbeiterausweise nicht mehr, Beschäftigte verloren den Zugang zu internen Systemen und zum offiziellen WLAN, und gewöhnliche Geschäftsprozesse mussten manuell abgewickelt werden. Auch spezialisierte Offshore-Schiffe, Schwimmkrane und Plattformen, die zur Positionierung der riesigen Betonsegmente des Tunnels eingesetzt werden, wurden bewegungsunfähig, nachdem digitale Navigations- und Logistikwerkzeuge nicht mehr verfügbar waren.

Das vollständige Ausmaß der Störung bleibt unklar. Dänische und deutsche Medien berichteten, dass die Angreifer eine nicht offengelegte Sicherheitslücke ausnutzten, um Zugang zu einer breiten Palette interner Systeme zu erlangen. Weder die Täter noch die genaue Methode des Eindringens waren bis zum 14. Oktober offiziell identifiziert. Auch eine offizielle Bestätigung, dass der Normalbetrieb wieder aufgenommen wurde, lag nicht vor.

Für ein Projekt, das ohnehin mit Verzögerungen zu kämpfen hat, könnte der Zeitpunkt kaum schlechter sein. Doch der Vorfall wirft eine Frage auf, die weit über den Bauzeitplan hinausreicht: Wer ist für die Sicherung eines bedeutenden europäischen Verkehrskorridors verantwortlich, wenn seine physische Infrastruktur von einem internationalen Netzwerk privater Unternehmen errichtet wird?

Wenn digitaler Ausfall physische Arbeit zum Stillstand bringt

Der Fehmarnbelt-Tunnel ist ein ungewöhnlich klares Beispiel dafür, wie tief digitale Systeme in den Schwerbau eingebettet sind. Der rund 18 Kilometer lange Absenktunnel wird Rødbyhavn auf der dänischen Insel Lolland mit Puttgarden auf der deutschen Insel Fehmarn verbinden. Seine 89 vorgefertigten Betonelemente werden im Rahmen eines Projekts hergestellt und eingebaut, das Reisen zwischen Skandinavien und Mitteleuropa verkürzen soll.

Das dritte Element wurde im August 2026 erfolgreich abgesenkt. Dieser Vorgang erforderte die Koordination großer Strukturen, spezialisierter maritimer Ausrüstung und komplexer logistischer Prozesse. Wenn die Software- und Kommunikationssysteme, die solche Arbeiten unterstützen, ausfallen, bleiben die Folgen nicht auf die Büroverwaltung beschränkt.

Eine gesperrte Zutrittskarte ist für sich genommen ein Ärgernis. Der Verlust der digitalen Werkzeuge, die zur Koordinierung der Offshore-Ausrüstung benötigt werden, ist etwas anderes. Die Beschäftigten können noch vor Ort sein, die Maschinen physisch weiter betriebsbereit und die Tunnelsegmente unbeschädigt – und doch kann der Auftragnehmer wesentliche Aufgaben nicht mehr nach seinen normalen Verfahren ausführen.

Manuelle Behelfslösungen können einige Tätigkeiten in Gang halten, sind aber nicht unbedingt ein sicherer oder praktikabler Ersatz für die integrierten Systeme, die auf einer großen Baustelle eingesetzt werden. Schwere Hebevorgänge und marine Arbeiten hängen von Koordination, verlässlichen Informationen und klar definierten Verfahren ab. Die Arbeit ohne Vertrauen in diese Systeme fortzusetzen, kann gefährlicher sein als ein Stopp.

Der Vorfall legt damit eine Unterscheidung offen, mit der Infrastruktursicherheitsstrategien oft schwer umgehen können. Ausrüstung vor physischen Schäden zu schützen ist nicht dasselbe wie sicherzustellen, dass die Ausrüstung sicher betrieben werden kann, wenn ihre digitale Umgebung kompromittiert wurde.

Es gibt in den verfügbaren Informationen keine Hinweise darauf, dass die Angreifer unmittelbar die Kontrolle über Baumaschinen erlangten oder physische Schäden verursachten. Die gemeldete Störung war dennoch erheblich genug, um den Betrieb zu beeinträchtigen. Allein das zeigt, welche Hebelwirkung ein digitales Eindringen entfalten kann, ohne dass auch nur ein Stück Beton oder Stahl zerstört wird.

Die Schwachstelle liegt außerhalb des Projekteigentümers

Das Fehmarnbelt-Projekt wird von Sund & Bælt, einem dänischen Staatsunternehmen, überwacht, doch die Bauarbeiten werden von FLC ausgeführt, einem Konsortium aus Unternehmen aus Dänemark, Frankreich, Deutschland, Belgien und den Niederlanden.

Diese Aufteilung der Verantwortlichkeiten ist der Kern des Sicherheitsproblems.

Staatliche Stellen können Eigentümer eines strategischen Vermögenswerts bleiben und sich zugleich auf private Auftragnehmer verlassen, die die Systeme entwerfen, bauen und betreiben, die ihn funktionsfähig machen. Diese Auftragnehmer wiederum unterhalten ihre eigenen IT-Umgebungen und koordinieren sich mit Nachunternehmern, Zulieferern und Anbietern spezialisierter Ausrüstung. Sicherheit muss über diese Beziehungen hinweg funktionieren, nicht nur innerhalb der Organisation, die formal für das Projekt verantwortlich ist.

Ein multinationales Konsortium bietet erhebliche ingenieurtechnische Expertise. Es schafft zugleich ein breites organisatorisches Umfeld, in dem Zugriffsrechte, Software, Betriebsverfahren und Sicherheitsstandards zusammenwirken müssen. Je stärker der Betrieb vernetzt ist, desto schwieriger kann es sein, festzustellen, wo eine Schwachstelle ihren Ursprung hatte und wie weit ein Eindringen sich ausgebreitet hat.

Die genaue bei FLC ausgenutzte Schwachstelle bleibt unbekannt. Es wäre daher verfrüht, den Vorfall einem bestimmten Zulieferer, einem System oder einem Versagen interner Kontrollen zuzuschreiben. Ebenso wenig gibt es Belege dafür, dass es sich bei den Angreifern um einen ausländischen Staat, eine Ransomware-Gruppe oder ein kriminelles Syndikat handelt.

Doch die Unsicherheit über die Methode beseitigt nicht die zugrunde liegende Sorge. Wenn das interne Netzwerk eines Auftragnehmers sowohl die Routineverwaltung als auch die wesentliche Baulogistik trägt, kann eine Kompromittierung dieses Netzwerks ein strategisches öffentliches Projekt beeinträchtigen, selbst wenn die eigenen Systeme des staatlichen Auftraggebers nicht betroffen sind.

Der Sicherheitsperimeter eines modernen Infrastrukturprojekts wird nicht mehr durch die Grenzen des Vermögenswerts selbst definiert. Er erstreckt sich in die kommerziellen und technologischen Netzwerke, von denen der Bau abhängt.

Das ist ein komplizierteres Problem als die Sicherung eines Regierungscomputersystems oder eines einzelnen Verkehrsbetreibers. Es verlangt von öffentlichen Auftraggebern zu verstehen, nicht nur ob ihre Auftragnehmer über Cybersicherheitsrichtlinien verfügen, sondern ob diese Richtlinien die Systeme schützen, deren Ausfall die Arbeit vor Ort zum Erliegen bringen könnte.

Kopenhagen steht vor einer Verantwortungsprüfung

Die dänische Reaktion geht bereits über die unmittelbaren technischen Schwierigkeiten des Auftragnehmers hinaus. Sund & Bælt bestätigte, dass FLC den Vorfall gemeldet hatte, und erklärte, während der laufenden Untersuchungen mit dem Konsortium in Kontakt zu bleiben. Verkehrsministerin Signe Munk und die Ministerin für öffentliche Sicherheit und Katastrophenschutz, Lisbeth Bech-Nielsen, befassten sich beide mit dem Ernst der Lage.

Am 14. Oktober berief Bech-Nielsen die Parlamentsparteien ein, um über nationale digitale Resilienz und Reaktionsprotokolle zu beraten.

Die politische Aufmerksamkeit ist verständlich. Ein Bauunternehmen mag ein privates Wirtschaftsunternehmen sein, doch die Störung eines bedeutenden grenzüberschreitenden Infrastrukturprojekts wirft Fragen öffentlicher Rechenschaftspflicht auf. Der Staat muss klären, ob die Baustelle sicher ist, ob der Betrieb gefahrlos wieder aufgenommen werden kann und ob ähnliche Schwachstellen anderswo in den Netzwerken bestehen, die kritische Verkehrsinfrastruktur tragen.

Diese Fragen lassen sich nicht allein dadurch beantworten, dass der Zugang zu Computern wiederhergestellt oder digitale Dienste wieder verbunden werden. Die Ermittler müssen das Ausmaß des Eindringens feststellen und die Integrität der betroffenen Systeme überprüfen, bevor das Vertrauen in den Normalbetrieb wiederhergestellt werden kann.

Die Unterscheidung ist wichtig, weil die unmittelbare technische Wiederherstellung und die längerfristige Sicherheitsreaktion getrennte Aufgaben sind. Ein System, das wieder zu funktionieren scheint, kann weiterhin Überprüfung erfordern, wenn der ursprüngliche Eintrittspunkt unbekannt bleibt oder der volle Umfang des unbefugten Zugriffs nicht geklärt ist.

Die verfügbaren Informationen belegen nicht, ob deutsche Behörden oder übergreifende Sicherheitsstellen unmittelbar an der forensischen Untersuchung beteiligt sind. Angesichts der internationalen Struktur des Projekts und seiner künftigen Rolle bei der Verbindung beider Länder wird die Zusammenarbeit über Jurisdiktionen hinweg ein wichtiger Gesichtspunkt sein. Sie sollte jedoch nicht mit einer bestätigten operativen Vereinbarung verwechselt werden.

Für Kopenhagen birgt der Vorfall auch eine schwierige politische Balance. Eine entschlossene Reaktion mag notwendig sein, um zu zeigen, dass die Sicherheit strategischer Infrastruktur ernst genommen wird. Zugleich muss die Regierung vermeiden, einen nicht identifizierten Angriff als Beweis für eine bestimmte geopolitische Bedrohung zu behandeln, bevor die Beweise diese Schlussfolgerung stützen.

Die unmittelbare Priorität ist festzustellen, was geschehen ist. Die institutionelle Herausforderung besteht darin, sicherzustellen, dass die nächste Untersuchung nicht erst beginnt, nachdem eine weitere Baustelle stillgelegt wurde.

Europa hat das weitere Szenario bereits geprobt

Der Angriff erfolgt vor dem Hintergrund wachsender europäischer Besorgnis über Cyberbedrohungen für Verkehr und Logistik. Im Juni 2026 führte die EU mit Cyber Europe 2026 ihre bislang größte Cyberkrisenübung durch, bei der koordinierte Angriffe auf grenzüberschreitende Bahn- und Seeverkehrsnetze simuliert wurden. Sicherheitsbehörden haben zudem Phishing-Kampagnen verfolgt, die auf europäische Logistik, Frachtbörsen und Tankkartenplattformen abzielen, darunter Kampagnen, die Gruppen wie Diesel Vortex zugeschrieben werden.

Der Fehmarnbelt-Vorfall sollte nicht als Beweis dafür behandelt werden, dass ein bestimmtes Übungsszenario eingetreten ist oder der Angriff Teil einer koordinierten Kampagne ist. Eine solche Verbindung wurde nicht hergestellt. Seine Bedeutung liegt darin, dass die Störung die Art operativer Abhängigkeit veranschaulicht, die grenzüberschreitende Infrastruktur anfällig für digitale Einflussnahme macht.

Europäische Verkehrsnetze sind nicht einfach Sammlungen von Straßen, Schienen, Häfen und Brücken. Ihr Bau und Betrieb beruhen auf miteinander verbundenen Systemen aus Auftragnehmern, Ausrüstung, Kommunikation und Logistik. Ein Eindringen, das eine Organisation betrifft, kann Folgen über deren unmittelbare Räumlichkeiten hinaus haben, insbesondere wenn diese Organisation Arbeiten ausführt, die für einen größeren öffentlichen Vermögenswert wesentlich sind.

Daraus entsteht ein mögliches Missverhältnis zwischen dem Ausmaß des Risikos und der Verteilung der Verantwortung für seine Bewältigung. Die strategische Bedeutung eines Tunnels liegt auf der Hand. Die Bedeutung der Zutrittskontrollsysteme, internen Netzwerke oder Betriebssoftware des Auftragnehmers mag weniger sichtbar sein, bis diese Systeme ausfallen.

Der Cybersicherheitsrahmen NIS2 der EU bietet einen bestehenden regulatorischen Bezugspunkt für die Stärkung der Sicherheit wesentlicher Einrichtungen. Der politische Druck nach dem Fehmarnbelt-Vorfall könnte Argumente für strengere Compliance, klarere Pflichten der Auftragnehmer und systematischere Prüfungen der digitalen Systeme stärken, die grenzüberschreitende Projekte tragen.

Doch zusätzliche Regeln allein können Resilienz nicht garantieren. Anforderungen müssen die Organisationen und technischen Prozesse erreichen, von denen Infrastruktur tatsächlich abhängt. Öffentliche Auftraggeber brauchen ein klares Verständnis davon, welche Auftragnehmersysteme für den Betrieb wesentlich sind, wie Zugriffe kontrolliert werden, wie Vorfälle eingedämmt werden und was sicher fortgesetzt werden kann, wenn digitale Dienste ausfallen.

Es stellt sich auch eine praktische Frage der Verhältnismäßigkeit. Große Infrastrukturkonsortien bringen Unternehmen mit unterschiedlichen technischen Umgebungen und organisatorischen Fähigkeiten zusammen. Einheitliche Standards in diesem Netzwerk durchzusetzen erfordert mehr als eine allgemeine Anweisung zur Verbesserung der Cybersicherheit. Es erfordert, dass der Projekteigentümer weiß, wo kritische Abhängigkeiten liegen, und festlegt, wie diese Abhängigkeiten geschützt werden.

Ein verzögerungsanfälliges Projekt steht vor einer weiteren Unsicherheit

Für FLC und Sund & Bælt kommt das unmittelbare Sicherheitsproblem zu einem ohnehin schwierigen Zeitplan hinzu. Die ursprünglich angepeilte Eröffnung des Tunnels im Jahr 2031 wurde bereits früher im Jahr 2026 verworfen, und ein überarbeiteter zweistufiger Start, bei dem der Straßenverkehr vor dem Bahnverkehr anläuft, wird erwogen. Lieferkettenengpässe, Inflation und steigende Kosten im Zusammenhang mit den deutschen Hinterlandanbindungen haben die Umsetzung bereits erschwert.

Es ist zu früh, um festzustellen, ob der Cyberangriff zu einer dauerhaften Verzögerung führen oder die Gesamtkosten des Projekts wesentlich erhöhen wird. Das wird von der Dauer der Störung, dem Ausmaß der kompromittierten Systeme und dem Aufwand abhängen, der nötig ist, um das Vertrauen in die digitale Umgebung des Auftragnehmers wiederherzustellen.

Dennoch fügt der Vorfall einem Projekt, dessen Zeitplan ohnehin ungewiss war, eine neue Unsicherheitsquelle hinzu. Sicherheitsuntersuchungen, Systemwiederherstellung und die Überprüfung der Betriebsbereitschaft können Kosten verursachen, selbst wenn der physische Bau keinen Schaden nimmt.

Die Folgen beschränken sich nicht auf den Ruf von FLC. Sund & Bælt muss Fragen zur Resilienz der von ihm überwachten Umsetzungsstruktur beantworten, während das gesamte Projekt auf das Vertrauen angewiesen ist, dass der Tunnel sicher fertiggestellt und betrieben werden kann. Eine längere Unterbrechung könnte einen ohnehin anspruchsvollen Koordinierungsaufwand erschweren, wobei das Ausmaß eines solchen Effekts unbekannt bleibt.

Die Versuchung wird sein, den Vorfall als außergewöhnliches Ereignis zu betrachten und sich darauf zu konzentrieren, den Bauzeitplan wiederherzustellen. Damit bliebe das größere Problem ungelöst.

Die nächste Generation europäischer Verkehrsinfrastruktur entsteht durch zunehmend komplexe Kombinationen aus öffentlichem Eigentum, privater Ingenieursleistung und digitaler Koordination. Der Staat mag den Tunnel in Auftrag geben, doch er kann das Projekt nicht sichern, indem er nur den Staat schützt. Wenn ein kompromittiertes Netzwerk eines Auftragnehmers die Maschinen lahmlegen kann, die für den Bau einer strategischen Verbindung zwischen zwei Ländern nötig sind, ist die digitale Resilienz des Auftragnehmers Teil der Infrastruktur selbst geworden.