Am Fehmarnbelt-Tunnel, dem 18 Kilometer langen abgesenkten Straßen- und Schienenübergang zwischen Dänemark und Deutschland, laufen die Arbeiten nach einem Cyberangriff auf das Bauprojekt wieder an, berichtet heise online. Der Tunnel gehört zu den größten Ingenieurbauwerken Europas: Er soll die Fährverbindung zwischen Rødby auf der dänischen Insel Lolland und Puttgarden auf der deutschen Insel Fehmarn durch eine zehnminütige Autofahrt oder eine siebenminütige Zugfahrt ersetzen und soll derzeit 2029 eröffnet werden.
Was die öffentliche Bilanz noch nicht beantwortet, ist der Teil, der für alle zählt, die auf diesen Termin bauen: wer hinter dem Eindringen steckte, welche Systeme erreicht wurden und wie viele Arbeitstage es gekostet hat. Ein Projekt dieser Größe läuft auf einer weitverzweigten und uneinheitlichen IT-Landschaft — grenzüberschreitend geteilte BIM-Modelle und Vermessungsdaten, Maschinensteuerungen auf den Pontons, die Tunnelelemente positionieren, Dokumentenportale für Dutzende Nachunternehmer sowie Personal- und Zutrittssysteme des staatlichen dänischen Bauherrn Femern A/S. Ein Eindringen irgendwo in dieser Kette kann eine Baustelle stilllegen, ohne den Tunnel selbst je zu berühren.
Das ist das Muster, das Sicherheitsforscher für das Bauwesen immer wieder beschreiben. Die Branche hat sich schnell digitalisiert; ihre Lieferkette hat sich nicht im selben Tempo und nicht auf demselben Niveau digitalisiert. Ein gut geschützter Generalunternehmer kann über die Freigabe eines Nachunternehmers, ein einzelnes ungepatchtes Fernzugriffsgerät oder einen aus einer früheren Panne wiederverwendeten Zugang erreichbar bleiben. Hunderte Organisationen halten bei einem solchen Projekt vertraglich Logins — und jede davon ist eine Tür.
Warum es zählt: Grenzüberschreitende Infrastruktur ist auch politische Infrastruktur. Eine Verzögerung am Fehmarnbelt ist eine Verzögerung im Korridor Hamburg–Kopenhagen, und beide Regierungen haben Wachstumsversprechen an die Verbindung geknüpft. Cybervorfälle gehören inzwischen auf dasselbe Risikoregister wie Wetter, Geologie und Finanzierung — und anders als das Wetter lassen sie sich von jemandem verursachen.
Worauf zu achten ist: Drei Datenpunkte entscheiden, ob daraus eine Fußnote oder eine Fallstudie wird. Die Dauer des Stillstands, die die Meldung über den Neustart implizit bemisst. Ob Daten von Nachunternehmern oder Beschäftigten das Netz verlassen haben — der Unterschied zwischen einem Verfügbarkeitsvorfall und einer Datenschutzverletzung mit rechtlichen Folgen nach der DSGVO. Und ob das Projekt den Einstiegspunkt offenlegt. Das Schweigen beim dritten Punkt ist das, was aus einem Vorfall den nächsten macht.
