Cyberangriff legt die Fehmarnbelt-Baustelle zwischen Dänemark und Deutschland lahm

An den Toren der Tunnelbaustelle bei Rødbyhavn registrieren Wachleute die Arbeiter von Hand, vor der Küste liegen mehrere Arbeitsschiffe still. Ein Cyberangriff hat die IT des Baukonsortiums FLC getroffen, zu dem zwei deutsche Bauunternehmen gehören. Dänemark hatte die Gefahr solcher Angriffe knapp drei Wochen zuvor auf „hoch“ gesetzt.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

„Unser Auftragnehmer FLC hat uns darüber informiert, dass er von einem Cybervorfall betroffen ist“, erklärte Jens Villemoes, Pressechef der dänischen Staatsgesellschaft Sund & Bælt, am Dienstag.^[1] Laut dpa will die Projektgesellschaft Femern möglicherweise am Mittwoch weitere Angaben machen.

Das Wichtigste in Kürze

• Seit der Nacht zu Montag sind zentrale IT-Systeme des Tunnelbauers FLC gestört.
• Den Urheber kennen die Behörden noch nicht, Dänemark stuft die Gefahr destruktiver Cyberangriffe seit dem 24. September als hoch ein.
• In Deutschland müssen NIS2-Einrichtungen ihre unmittelbaren Dienstleister in das Risikomanagement einbeziehen.

Was fiel auf der Baustelle in Rødbyhavn aus?

Laut der Regionalzeitung Lolland-Falsters Folketidende begannen die Probleme in der Nacht zu Montag. Beschäftigte dürfen weder Computer noch WLAN oder Mails von FLC nutzen, das Zutrittssystem der Wachleute ist ausgefallen. Mehrere Schiffe liegen vor Rødbyhavn still, weil sie ohne digitale Systeme und Daten nicht arbeiten können. Das Fachmagazin Ingeniøren meldet Stillstand auf der Baustelle.

FLC baut den 18 Kilometer langen Absenktunnel zwischen Rødbyhavn und Puttgarden, dazu die Portale und die Fabrik für die Tunnelelemente.^[2] Im Konsortium arbeiten unter anderem Vinci, Per Aarsleff und BAM mit Wayss & Freytag Ingenieurbau und der Max Bögl Stiftung zusammen. Im Mai hatte FLC das erste von 89 Tunnelelementen abgesenkt.

Auf der Baustelle hängen Zutritt, Zeiterfassung und die Datenverbindungen zu den Schiffen offenbar an denselben zentralen Systemen. Fährt das Konsortium diese Systeme herunter, ruht die Arbeit an den Toren und auf See zugleich. Große Bauprojekte mit vielen Subunternehmern und Zugängen seien deshalb besonders angreifbar, sagte Jacob Herbst, Vorsitzender des dänischen Nationalen Cybersicherheitsrats, dem Sender TV 2.

Wer steckt hinter dem Angriff?

Einen Urheber hat bislang niemand benannt. Henning Mortensen, Vorsitzender des dänischen Rats für digitale Sicherheit, schloss gegenüber TV 2 eine Verbindung zur hybriden Kriegsführung nicht aus. Die Behörde für Gesellschaftssicherheit SAMSIK hatte am 24. September die Gefahr destruktiver Cyberangriffe von „mittel“ auf „hoch“ gesetzt und hält entsprechende Versuche Russlands für wahrscheinlich.^[3] Als Beispiel nennt SAMSIK ein kleines Wasserwerk, in dem prorussische Hacker Ende 2024 den Wasserdruck manipulierten.

In derselben Nacht lösten Angreifer in Frankreich über Steuerungen des dänischen Herstellers Danfoss das Abtauen der Kühlregale in Hunderten Supermärkten aus. Einen Zusammenhang hat keine Behörde hergestellt. Lisbeth Bech-Nielsen, Ministerin für Gesellschaftssicherheit, rief die Parteien der nationalen Cyberstrategie zusammen und hält Schlüsse für verfrüht.

Was heißt der Fall für deutsche Unternehmen?

Das BSI-Gesetz verpflichtet NIS2-Einrichtungen, also wichtige und besonders wichtige Einrichtungen, ihre Lieferkette abzusichern, ausdrücklich auch die Beziehungen zu unmittelbaren Anbietern und Dienstleistern (§ 30 Abs. 2 Nr. 4 BSIG).^[4] Einen erheblichen Sicherheitsvorfall melden diese Einrichtungen binnen 24 Stunden vorab und binnen 72 Stunden mit erster Bewertung an die gemeinsame Meldestelle von BSI und BBK.^[5] Für Baufirmen im Auftrag von Bahn, Autobahn oder Energieversorgern kann das eigene Sicherheitskonzept damit über Aufträge mitentscheiden.

• Notbetrieb: Legen Sie fest, wie Zutritt, Zeiterfassung und Maschinensteuerung ohne zentrale IT weiterlaufen, und üben Sie den Wechsel.
• Konten: Sperren Sie Zugänge ausgeschiedener Mitarbeiter und Partner sofort. Für Fernzugriffe nennt § 30 Abs. 2 Nr. 10 BSIG die Multi-Faktor-Anmeldung, denn geleakte Passwörter genügen Angreifern oft.
• Netze: Trennen Sie Baustellen- und Maschinennetze vom Büronetz, damit ein Angriff auf die Mails nicht bis zu den Kränen durchdringt.

Quellen

Mehr Newshunger?

• Hacker schalten in Frankreichs Supermärkten das Abtauen der Kühlregale ein
• FortiBleed: FBI warnt vor 86.644 gekaperten Fortinet-Firewalls
• Sungrow-Wechselrichter: Jedes Installateurkonto konnte fremde Solaranlagen umprogrammieren
• Bill Gates rechnet mit vielen KI-Cyberangriffen im nächsten Jahr
• Hackerangriff auf Fresenius Medical Care: ShinyHunters setzt dem Dialysekonzern eine Frist
• Fehmarnbelttunnel: Erstes 73.500-Tonnen-Element liegt im Meer