Cybersicherheit im Bahnsektor: Die Gefahr kommt über die Schnittstellen
17.09.2026
Die sicherheitskritischen Systeme der Bahn sind gegenüber direkten Cyberangriffen bislang vergleichsweise robust. Das ist die zunächst beruhigende Botschaft von Prof. Iffländer von der Hochschule Dresden beim Lenkungskreis Bahntechnologie. Die größeren Risiken lauern in Lieferketten, externen Dienstleistern und veralteten Technologien.
„Ein Datensatz zu weltweit dokumentierten Cybervorfällen verzeichnet seit 2014 68 Angriffe auf Bahnsysteme. Nur ein einziger hatte unmittelbare Auswirkungen auf eine Safety-Funktion."
Prof. Dr. rer. nat Lukas Iffländer von der Hochschule für Technik und Wirtschaft Dresden griff das Thema Cybersecurity im Bahnsektor auf und zeigte Herausforderungen, Risiken und Lösungsansätze. Iffländer nannte Beispiele aus der Praxis „Ein Datensatz zu weltweit dokumentierten Cybervorfällen verzeichnet seit 2014 68 Angriffe auf Bahnsysteme. Nur ein einziger hatte unmittelbare Auswirkungen auf eine Safety-Funktion. Dennoch wächst die Bedrohung durch indirekte Angriffswege. Das zeigen bekannte Fälle: Beim WannaCry-Angriff 2017 waren Fahrgastinformationen und Fahrkartenautomaten betroffen, nicht aber Stellwerke oder Zugsicherung. Die Sicherheit blieb zwar gewahrt, das Vertrauen der Fahrgäste litt dennoch. 2022 führte der Angriff auf einen IT-Dienstleister im Bereich Disposition in Dänemark sogar zu einem landesweiten Zugausfall, obwohl das Bahnunternehmen selbst nicht kompromittiert war. Der bislang einzige dokumentierte Cybervorfall mit direkter Safety-Auswirkung war der RADIOSTOP-Angriff auf das polnische Bahnnetz 2023, wo der sicherheitsrelevante Zugfunk betroffen war.“
Safety und Security zusammendenken
Lange Lebenszyklen der Anlagen, der Parallelbetrieb moderner und historischer Technologien sowie zahlreiche externe Schnittstellen erschwerten den Schutz. Hinzu komme das Spannungsfeld zwischen Safety und Security. Beide Perspektiven müssten bereits bei Entwicklung und Zulassung berücksichtigt werden. „Beide Heuristiken sind intern richtig. Die Probleme entstehen, wenn nur eine am Design-Tisch sitzt“, so Iffländer. Technisch präferierte Iffländer „Defense in Depth“: Netzsegmentierung, kontrollierte Schnittstellen, Authentifizierung und kontinuierliche Überwachung sollten verhindern, dass der Ausfall einer Schutzschicht das Gesamtsystem gefährde. „Defense in Depth“ erkauft Zeit und erhöht die Kosten für den Angreifer. Es begrenzt den Schaden, wenn eine Schicht fällt“, resümierte Iffländer.
Cybersecurity als Führungsaufgabe
Mit NIS2 und dem Cyber Resilience Act stiegen auch die regulatorischen Anforderungen. Laut Iffländer sei es entscheidend, diese konsequent in Lieferketten und Zulassungsprozesse zu integrieren. Drei Handlungsfelder stünden im Mittelpunkt: Lieferketten und Zulieferer stärker absichern, Forschungs- und Testinfrastrukturen ausbauen und Cybersecurity als Führungsaufgabe verankern.
„Geschäftsleitungen tragen zunehmend unmittelbare Verantwortung für angemessene Schutzmaßnahmen."
„Geschäftsleitungen tragen zunehmend unmittelbare Verantwortung für angemessene Schutzmaßnahmen. Und die größte Herausforderung liegt weniger im sicherheitskritischen Kern der Bahn als an ihren Übergängen: bei Lieferanten, Legacy-Systemen und an der Schnittstelle zwischen Safety und Security. Standards und regulatorische Grundlagen sind vorhanden – entscheidend ist nun ihre konsequente Umsetzung.“
