Eines der größten Infrastrukturprojekte Europas ist zum Ziel von Cyberkriminellen geworden: Die BBT SE, die den Bau des Brenner-Basistunnels verantwortet, hat einen gezielten Cyberangriff bestätigt. Angreifer konnten dabei auf Unternehmensdaten zugreifen. Bekannt wurde der Vorfall allerdings erst Wochen später – am 6. November 2026 –, als eine Unternehmenssprecherin ihn gegenüber der „Tiroler Tageszeitung“ einräumte. Für Tirol, wo der Tunnel seinen nördlichen Ausgangspunkt hat, ist das ein Fall vor der eigenen Haustür.

Was die BBT SE bestätigt hat

Nach Angaben der Gesellschaft ist das Unternehmen „das Ziel eines gezielten Cyberangriffs geworden“. Betroffen waren demnach Teile jener Daten, die aus dem Internet erreichbar waren; sie wurden abgegriffen. Welche Informationen genau abgeflossen sind und wie groß der Datenabfluss tatsächlich ist, blieb zunächst offen. Auch auf die Frage, ob es Kontakt zu den Angreifern gab oder ob Lösegeld gefordert oder gezahlt wurde, gab die BBT SE keine Antwort.

Die BBT SE (Brenner Basistunnel SE) ist eine europäische Aktiengesellschaft, getragen von Österreich und Italien. Sie plant und baut den rund 55 Kilometer langen Eisenbahntunnel unter dem Brenner – ein Milliardenprojekt, das als Kernstück der Bahnachse zwischen München und Verona gilt. Dass ausgerechnet ein solches Großvorhaben ins Visier gerät, macht den Fall auch über Tirol und Südtirol hinaus brisant.

Angriff im Oktober, Bekanntgabe im November

Wichtig ist die zeitliche Trennung: Der eigentliche Angriff soll laut Berichten bereits Mitte Oktober 2026 passiert sein. Auf einer einschlägigen Leak-Plattform tauchte der Tunnelbetreiber am 17. Oktober als Opfer auf. Öffentlich bekannt und von der Gesellschaft bestätigt wurde der Vorfall dagegen erst rund drei Wochen später. Warum zwischen mutmaßlichem Angriff und Bekanntgabe so viel Zeit verging, ist bislang nicht erklärt.

Mutmaßlicher Täter: die Gruppe „Everest“

Als Urheber gilt die russischsprachige Erpressergruppe „Everest“ – allerdings ausdrücklich nur als Verdacht. Die Gruppe reklamiert den Angriff für sich; dokumentiert hat diese Beanspruchung unter anderem die Sicherheitsfirma Telsy, die in ihrem Lagebericht festhält, das „Everest Team“ habe die Kompromittierung der „Galleria di Base del Brennero – Brenner Basistunnel BBT SE“ für sich beansprucht. Eine behördliche oder sonst offizielle Zuordnung gibt es bislang nicht. Die US-Sicherheitsfirma ZeroFox beschreibt „Everest“ als international agierendes Netzwerk, das Daten stiehlt, mit deren Veröffentlichung droht und Geld fordert. Mehr lässt sich seriös derzeit nicht sagen – wer tatsächlich hinter dem Angriff steht, ist offen.

Reaktion und Behörden

Die BBT SE reagierte nach eigenen Angaben unmittelbar: Betroffene Systeme wurden isoliert, externe IT-Spezialisten hinzugezogen und die zuständigen Behörden informiert. Laut Berichten ist auch der Staatsschutz – die österreichische Direktion Staatsschutz und Nachrichtendienst (DSN) – mit dem Fall befasst. Die Analyse, wie tief die Angreifer in die IT-Systeme vordringen konnten, dauert an.

Für die Baustelle selbst gibt die Gesellschaft Entwarnung. „Nach aktuellem Kenntnisstand sind keine betrieblichen Prozesse beeinträchtigt“, erklärte die Sprecherin; die Abläufe beim Tunnelbau liefen ungestört weiter. Es gibt also – Stand 7. November 2026 – keine Hinweise darauf, dass der Angriff den Baufortschritt oder die Sicherheit auf der Baustelle berührt.

Einordnung: Warum Großprojekte zum Ziel werden

Der Fall reiht sich in ein bekanntes Muster ein. Erpressergruppen wie „Everest“ setzen heute seltener nur auf das klassische Verschlüsseln von Systemen, sondern auf Datendiebstahl plus Drohung: Sie kopieren möglichst viele Daten, kündigen deren Veröffentlichung an und verlangen Geld dafür, es zu unterlassen. Große, öffentlich sichtbare Infrastrukturprojekte sind dafür ein lohnendes Ziel – sie arbeiten mit vielen Partnerfirmen, Planungsbüros und Behörden zusammen, verwalten entsprechend viele Dokumente und stehen unter Druck, handlungsfähig zu bleiben.

Der entscheidende Punkt steckt in der Formulierung der Gesellschaft selbst: Abgeflossen seien Daten, die aus dem Internet erreichbar waren. Genau das ist der wunde Punkt. Nicht jeder Angriff beginnt mit einem spektakulären Einbruch tief in interne Netze; oft genügt es, dass Systeme, Portale oder Dateiablagen überhaupt aus dem Netz erreichbar sind und ein Angreifer eine Schwachstelle oder gültige Zugangsdaten findet. Wer ein Bauprojekt digital organisiert, sollte jeden von außen erreichbaren Dienst als mögliches Einfallstor behandeln – und sauber trennen, was wirklich öffentlich erreichbar sein muss und was hinter Zugangsschranken gehört.

Wie es weitergeht

Noch ist vieles offen: der genaue Umfang des Datenabflusses, der Angriffsweg, die Täterschaft und die Frage, ob verhandelt oder gezahlt wurde. Die Sache läuft – wir aktualisieren diesen Artikel, sobald die BBT SE oder die Behörden gesicherte Details nennen. Für alle anderen gilt vorerst vor allem eines: die bestätigten Fakten sauber von den noch unbestätigten Annahmen zu trennen – allen voran bei der mutmaßlichen Täterschaft.

Quellen

Bildnachweis