Die kurze Antwort
Die BBT SE, die österreichisch-italienische Projektgesellschaft hinter dem 64 Kilometer langen Brenner-Basistunnel, hat einen Cyberangriff von Mitte Oktober 2026 bestätigt. Die Angreifer kamen über aus dem Internet erreichbare Zugänge an nicht öffentliche Daten, Hochsicherheitsdaten sind laut Unternehmen nicht betroffen. Die Daten wurden im Darknet veröffentlicht, das Sicherheitsunternehmen ZeroFox ordnet den Angriff der Erpressergruppe Everest zu. Bau und späterer Betrieb des Tunnels sind nach Angaben der BBT nicht gefährdet.
Für Unternehmen aus Bau, Bahn und Logistik und Mobilität ist die Lehre klar: Die Schwachstelle großer Infrastrukturprojekte sind selten die Maschinen, sondern Projektportale, Dateiablagen und Partnerzugänge im Netz. Wer diese Angriffsfläche regelmäßig durch Penetrationstests und Sicherheitsaudits prüfen lässt, sieht offene Türen, bevor eine Erpressergruppe sie findet.
Was ist beim Brenner-Basistunnel passiert?
Bekannt wurde der Angriff durch einen Bericht der Tiroler Tageszeitung, dem die BBT SE den Vorfall bestätigte. Die Deutsche Presse-Agentur griff das Thema auf, heise online, ORF Tirol, die Salzburger Nachrichten und Euronews berichteten am 6. und 7. November. Laut Unternehmen haben sich die Täter Mitte Oktober über aus dem Internet erreichbare Zugänge Zugang zu Daten verschafft. Ein Sprecher betonte gegenüber der dpa, es gebe keine Gefahren für den Bau oder den späteren Betrieb des Tunnels.
Nach Entdeckung des Angriffs habe man die IT-Sicherheitsprotokolle aktiviert, die betroffene Datenquelle isoliert und externe Spezialisten mit der forensischen Analyse beauftragt, teilte die BBT mit. Die zuständigen Behörden seien informiert, betriebliche Prozesse nicht beeinträchtigt. Ob es Verhandlungen mit den Angreifern oder Zahlungen gab, lässt die Gesellschaft offen. Da die BBT SE ihren Sitz in Bozen hat, führen italienische Behörden die Ermittlungen.
Wer ist die Gruppe Everest?
Die erbeuteten Daten erschienen auf einer Plattform im Darknet. Das US-Sicherheitsunternehmen ZeroFox schreibt den Angriff der Gruppe Everest zu, die russischsprachigen Cybercrime-Kreisen zugerechnet wird. Ihr Vorgehen beschreibt ZeroFox laut ORF Tirol so: Daten stehlen, mit der Veröffentlichung drohen und Geld verlangen. Das ist die heute dominierende Form der Erpressung. Statt Systeme zu verschlüsseln, setzen solche Gruppen allein auf den Datendiebstahl. Für Opfer heißt das: Ein funktionierendes Backup schützt nicht vor dem Schaden, denn die Daten sind bereits draußen.
Der Brenner ist dabei kein Einzelfall. Laut heise online traf Mitte Oktober ein ähnlicher Angriff die IT-Systeme von Femern Link Contractors, dem Baukonsortium des Fehmarnbelttunnels zwischen Deutschland und Dänemark. Zwei grenzüberschreitende Tunnelprojekte innerhalb weniger Wochen: Infrastruktur-Großprojekte geraten erkennbar ins Visier, und zwar über ihre Büro- und Projekt-IT.
Was ist bekannt und was nicht?
| Punkt | Stand | Quelle |
|---|---|---|
| Zeitpunkt des Angriffs | Mitte Oktober 2026 | BBT SE, dpa |
| Einfallstor | aus dem Internet erreichbare Zugänge, Details nicht veröffentlicht | BBT SE, dpa |
| Hochsicherheitsdaten | laut Unternehmen nicht betroffen | BBT SE |
| Veröffentlichung der Daten | auf einer Darknet-Plattform | ORF Tirol, Euronews |
| Täter | Gruppe Everest, Zuordnung durch ZeroFox | ORF Tirol, Euronews |
| Auswirkung auf Bau und Betrieb | laut BBT keine | BBT SE |
| Umfang und Art der Daten, Lösegeld | nicht veröffentlicht | – |
Welche Lehren ziehen Bau- und Infrastrukturunternehmen?
Ein Projekt wie der Brenner-Basistunnel ist ein Netzwerk aus Bauherr, Planern, Baufirmen, Gutachtern und Behörden. Pläne, Ausschreibungen, Verträge und Prüfberichte wandern über Portale, Dateiplattformen und E-Mail. Jede dieser Schnittstellen ist eine potenzielle Tür. Fünf Punkte lassen sich aus dem Fall ableiten:
- Angriffsfläche kennen. Eine vollständige Liste aller aus dem Internet erreichbaren Systeme, inklusive vergessener Test- und Projektinstanzen, ist die Grundlage. Was niemand kennt, patcht auch niemand.
- Projektplattformen härten. Mehrfaktor-Authentifizierung für alle externen Zugänge, keine geteilten Konten für Partner, regelmäßiges Entziehen von Rechten nach Projektphasen. Gerade bei Plattformen, die über Jahre laufen, sammeln sich verwaiste Konten.
- Datenabfluss erkennen. Ungewöhnlich große Downloads oder Exporte sollten Alarm auslösen. Bei reinen Datendieb-Gruppen wie Everest ist das oft das einzige Signal, bevor die Daten im Darknet stehen. Saubere Protokollierung und Monitoring gehören in die Plattform, nicht erst in die Forensik, ein Thema für Cloud & DevOps.
- Lieferkette einbeziehen. Ein Konsortium ist nur so sicher wie sein schwächster Partner. Mindestanforderungen an Zugänge und Meldewege gehören in die Verträge mit Subunternehmern.
- Meldepflichten und Erpressungsfall vorbereiten. Bahninfrastruktur fällt in der EU unter die NIS-2-Richtlinie, in Deutschland kommen die Pflichten aus dem KRITIS-Dachgesetz hinzu. Wer festgelegt hat, wer wann meldet und wie mit einer Lösegeldforderung umgegangen wird, muss im Ernstfall nicht improvisieren.
Häufige Fragen
Was ist beim Brenner-Basistunnel passiert?
Die Projektgesellschaft BBT SE, die den Brenner-Basistunnel zwischen Österreich und Italien baut, wurde Mitte Oktober 2026 Ziel eines Cyberangriffs. Unbekannte verschafften sich über aus dem Internet erreichbare Zugänge Zugriff auf nicht öffentliche Daten. Öffentlich wurde der Vorfall am 6. und 7. November 2026.
Ist der Bau des Tunnels gefährdet?
Nein. Laut BBT SE gibt es keine Auswirkungen auf den Bau oder den späteren Betrieb des 64 Kilometer langen Tunnels, betriebliche Prozesse seien nicht beeinträchtigt. Hochsicherheitsdaten waren nach Unternehmensangaben nicht betroffen.
Wer steckt hinter dem Angriff?
Die erbeuteten Daten tauchten auf einer Plattform im Darknet auf. Das US-Sicherheitsunternehmen ZeroFox ordnet den Angriff der Gruppe Everest zu, die russischsprachigen Cybercrime-Kreisen zugerechnet wird und nach dem Muster Datendiebstahl, Veröffentlichungsdrohung und Geldforderung vorgeht. Eine offizielle Täterbestätigung gibt es nicht.
Was sollten Bau- und Infrastrukturunternehmen jetzt tun?
Alle aus dem Internet erreichbaren Systeme inventarisieren, Projekt- und Dateiplattformen mit Mehrfaktor-Authentifizierung absichern, ungewöhnliche Datenabflüsse überwachen, Zugänge von Partnern und Subunternehmern regelmäßig prüfen und einen Ablauf für Erpressungsfälle und Meldepflichten vorab festlegen.
Quellen
heise online (dpa) — Brenner-Basistunnel: Cyberangriff auf Baufirma (7. November 2026)
ORF Tirol — Hackerangriff auf den Brenner-Basistunnel (6. November 2026)
Euronews — Brenner Basistunnel meldet Hackerangriff (7. November 2026)
Tiroler Tageszeitung — Hackerangriff auf Brenner Basistunnel: Gesellschaft bestätigt Cyberattacke (November 2026)
Salzburger Nachrichten — Hackerangriff gegen Brenner Basistunnel (November 2026)