Fehmarnbelt-Tunnel: Cyberangriff legt Baustelle lahm

Ein Cyberangriff auf den Fehmarnbelt-Tunnel hat am Dienstag, 13. Oktober 2026, die Baustelle zwischen Dänemark und Deutschland weitgehend zum Erliegen gebracht. Betroffen ist nicht die staatliche dänische Infrastrukturgesellschaft Sund & Bælt, sondern ihr Hauptauftragnehmer Femern Link Contractors (FLC). Zentrale Systeme fielen aus, elektronische Zugangskarten funktionierten nicht mehr, Schiffe, Kräne und Offshore-Plattformen standen still. Wer hinter dem Vorfall steckt, ist unbekannt; ein Bekennerschreiben liegt nicht vor.

Fehmarnbelt-Tunnel: Der Cyberangriff traf zuerst den Auftragnehmer

Informiert wurde der Bauherr von FLC selbst. Sund & Bælt bestätigt den Vorgang und verweist auf laufende Gespräche mit dem Konsortium. Pressedirektor Jens Villemoes sagte, man sei „in dialogue with FLC about the situation, and at the present time we do not have further information". Das ist bemerkenswert nüchtern: Die Gesellschaft machte keine Angaben dazu, welche Systeme betroffen waren, wie groß der Schaden ausfällt und wer verantwortlich sein könnte.

Zum Ausmaß gibt es bislang zwei belastbare Angaben. Die Dokumentation der FLC-Mitteilung an Sund & Bælt nennt – unter Berufung auf dänische Medien – zentrale Systeme, die offline gingen, und erheblich beeinträchtigte Arbeiten an dem Milliardenprojekt. Berichte zum Projektverlauf beschreiben zusätzlich den Ausfall der Zugangskarten und die stillstehenden Schiffe, Kräne und Offshore-Plattformen. Die Bauarbeiten kamen demnach vollständig zum Erliegen.

Zugangskontrolle und Baustellen-IT: Warum der Ausfall kein Randthema ist

Wer den Vorfall als Ärgernis einer Großbaustelle abtut, unterschätzt die Rolle der IT in diesem Projekt. Der Tunnel entsteht aus 89 Betonsegmenten, die auf See mithilfe digitaler Software zusammengefügt werden. FLC beschäftigt rund 2.800 Menschen aus Dänemark, Deutschland, Frankreich, Belgien und den Niederlanden. Fällt die elektronische Zugangskontrolle aus, betrifft das nicht ein Büroprogramm, sondern die Frage, wer sich wann auf welchem Abschnitt und auf welcher Plattform aufhält.

Genau dieser Punkt ist sicherheitsrelevant. Eine Zugangskontrolle ist an einer Baustelle mit Offshore-Betrieb, Schwerlastkränen und internationalem Personalbestand kein Komfortmerkmal, sondern eine Schutzfunktion. Wenn sie ausfällt, muss der Betrieb entweder unterbrochen oder auf manuelle Verfahren zurückfallen – beides ist teuer und fehleranfällig. Der Ausfall der Zugangskarten ist in der regionalen Berichterstattung ausdrücklich bestätigt.

Der Kontext macht den Vorfall zusätzlich erklärungsbedürftig. Der Tunnel ist 18 Kilometer lang, verläuft zwischen Rødbyhavn in Dänemark und Puttgarden in Deutschland, kostet rund 7 Mrd. Euro und sollte ursprünglich 2029 eröffnet werden. Nach der Fertigstellung soll die Überfahrt sieben Minuten mit dem Zug und zehn Minuten mit dem Auto dauern. Der Bau begann 2020 auf dänischer und 2021 auf deutscher Seite – Verzögerungen waren bereits vor dem Angriff gemeldet worden.

Verantwortungskette: Die Lücke zwischen Bauherr und Konsortium

Für die regulatorische Einordnung ist entscheidend, wer hier eigentlich Adressat der Sicherheitspflichten ist. Das deutsche BSI-Gesetz verpflichtet Betreiber kritischer Anlagen unter anderem zu Meldungen bei erheblichen IT-Störungen – und der Tunnel ist als grenzüberschreitende Verkehrsachse ein Kandidat für eine solche Einstufung. Ob und in welcher Form er es tatsächlich ist, geht aus den vorliegenden Angaben jedoch nicht hervor und ist hier ausdrücklich als offen zu kennzeichnen. Zuständig wäre auf dänischer Seite ohnehin die dortige Aufsicht.

Bemerkenswert ist die Struktur: Betroffen war nicht der Betreiber, sondern ein Baukonsortium. Genau in dieser Konstellation entsteht regelmäßig eine Lücke. Große Auftragnehmer betreiben eigene, gewachsene IT-Landschaften – von der Zeiterfassung über die Zugangskontrolle bis zur Baudokumentation. Diese Systeme liegen außerhalb der klassischen Betreiberverantwortung, können aber den Projektbetrieb vollständig lahmlegen, wie der Zugangskarten-Ausfall zeigt.

Die Empfehlungen, die Fachleute in Schleswig-Holstein nach dem Vorfall geben, dürften daher weit über das Einzelprojekt hinaus relevant sein. Wer Bauleistungen vergibt, sollte vertraglich klären, wie Meldewege, Wiederanlaufreihenfolgen und Notbetrieb für genau diese Systeme aussehen – bevor etwas passiert, nicht danach.

Hybride Kriegsführung: Was belegt ist – und was Spekulation bleibt

Attribuiert ist bislang nichts. Allerdings schloss Henning Mortensen, Leiter des Danish Council for Digital Security, einen Zusammenhang mit hybrider Kriegsführung nicht aus. Dänische Dienste hatten zuvor vor möglichen russischen Cyberangriffen gewarnt und die Bedrohungsstufe auf hoch gesetzt. Aus einem „nicht ausgeschlossen" wird damit keine Zuordnung – und die Berichterstattung sollte diese Grenze respektieren.

Dasselbe gilt für zwei weitere Behauptungen, die sich verselbstständigt haben. Die Aussage, Hacker hätten eine Sicherheitslücke ausgenutzt, stammt aus zweiter Hand und ist in den Volltextquellen nicht bestätigt. Und die Rede von der „kompletten IT" des Konsortiums geht über das hinaus, was belastbar belegt ist; die gesicherten Angaben nennen zentrale Systeme und die Zugangskontrolle. Bei der Datierung findet sich zudem ein Widerspruch: Einzelne Berichte nennen Montag, die übrige Berichterstattung Dienstag, den 13. Oktober 2026.

Offene Fragen statt fertiger Antworten

Was der Einstiegsvektor war, ob Daten abgeflossen sind und wie der Wiederanlauf organisiert wurde, ist öffentlich nicht bekannt. Auffällig ist, dass FLC selbst bislang nicht mit einer eigenen Stellungnahme zitiert wird und Sund & Bælt zum technischen Ablauf schweigt. Diese Lücke ist selbst Teil der Nachricht. Die überregionale Berichterstattung ordnet den Vorfall als Störung einer Großbaustelle ein, ohne die offenen Punkte aufzulösen.

Fazit: Was Betreiber jetzt prüfen sollten

Der Fall zeigt ein Muster, das sich auf andere grenzüberschreitende Infrastrukturvorhaben übertragen lässt. Erstens: Auftragnehmer-IT gehört in die Risikoanalyse des Projekts, nicht nur in die des Bauherrn. Zweitens: Zugangskontrollen, Anlagensteuerung und Baudokumentation brauchen getestete Notverfahren für den Ausfall. Drittens: Muss-Klauseln zu Meldung, Nachweis und Wiederanlauf gehören in den Bauvertrag – inklusive der Frage, wer bei einem Vorfall informiert und wer haftet.

Ob der Fehmarnbelt-Tunnel als kritische Anlage eingestuft wird und welche Meldepflichten im deutsch-dänischen Verhältnis greifen, sollten die zuständigen Stellen zeitnah beantworten. Die Erfahrung lehrt, dass nach jedem größeren Vorfall die Aufklärung beginnt – sinnvoller ist es, die Verantwortungskette vor dem nächsten zu klären.

Quellen