Einordnung: Cyberangriff auf den Brenner Basistunnel
Die Projektgesellschaft BBT SE hat am 06.11.2026 einen Cyberangriff auf den Brenner Basistunnel bestätigt, bei dem die Angreifer auf Daten zugreifen konnten (Tiroler Tageszeitung). Laut Sprecherin verschafften sich die Täter teilweise Zugriff auf Daten, „die aus dem Internet erreichbar waren“ (Bluewin). Laut BBT SE sind nach aktuellem Stand keine betrieblichen Prozesse beeinträchtigt. Wer Anlagen betreibt oder baut, sollte jetzt prüfen, welche Systeme bewusst offen im Netz stehen und wer darauf zugreift.
Was ist beim Brenner Basistunnel passiert?
Laut ORF Tirol hat die Gesellschaft nach Bekanntwerden die betroffene Datenquelle isoliert und die zuständigen Behörden informiert. Nach aktuellem Kenntnisstand seien keine betrieblichen Prozesse beeinträchtigt. Bluewin berichtet, dass externe IT-Fachleute beigezogen wurden, der Tunnelbau normal weiterläuft und der Angriff bereits Mitte Oktober stattfand. Ob es Verhandlungen oder eine Zahlung gab, hat die BBT SE laut Tiroler Tageszeitung nicht beantwortet.
Die Erpressergruppe Everest führt „Brenner Base Tunnel“ seit dem 17.10.2026 auf ihrer Leak-Site (ransomware.live). Das ist eine Behauptung der Gruppe, behördlich bestätigt ist die Zuordnung nicht. Auch welche Daten betroffen sind, ist offen. Die Menge von 812 Gigabyte, die Bluewin nennt, stammt von der Gruppe selbst und lässt sich laut Bluewin nicht überprüfen.
Den laufenden Stand mit allen Quellen führe ich im Vorfall-Lagebild.
Was bedeutet das für Betreiber und Bauprojekte in Tirol und Bayern?
Ich bin Max Gilg, OT-Cybersecurity-Experte aus Rosenheim, und schaue mir solche Fälle aus Sicht der Anlagentechnik an. Was folgt, ist meine allgemeine Einschätzung zu Bauprojekten, kein Befund zu diesem Fall: Welche Daten bei der BBT SE abgeflossen sind und wie tief die Angreifer ins Netzwerk vordringen konnten, ist laut Bluewin offen. Bei großen Bauprojekten werden Pläne, Ausschreibungen und Wartungsunterlagen mit Planern, Baufirmen und Lieferanten geteilt, etwa über Datenräume oder File-Transfer-Lösungen im Internet. Solche Unterlagen können im späteren Betrieb zeigen, wo Leittechnik, Lüftung und Fernwartung sitzen.
Was sollten Betreiber jetzt prüfen?
Zuerst die Austauschplattformen. Welche Datenräume, Cloud-Ordner und File-Transfer-Systeme stehen im Internet, wer hat dort ein Konto, und werden Konten von Subunternehmern nach Projektende gelöscht? Projektdaten und Leittechnik gehören dabei klar getrennt.
Dann die Fernwartung. Wo Anlagen oder Baustellentechnik per Remote Access gewartet werden, braucht jeder Zugang einen Verantwortlichen, MFA und ein Protokoll, wer wann drin war.
Und der Notfallplan. Wer entscheidet, ob eine Plattform vom Netz geht, und wer meldet was an welche Behörde? Bei der BBT SE war die Datenquelle laut ORF schnell isoliert. Allgemein gilt: Eine Plattform rasch vom Netz zu nehmen gelingt vor allem, wenn die Abläufe vorher geübt sind.
Wer dabei Unterstützung braucht, erreicht mich über OT-Incident-Response oder die OT-Security-Beratung.
Quellen
- Tiroler Tageszeitung, 06.11.2026: https://www.tt.com/artikel/30946313/hackerangriff-auf-brenner-basistunnel-gesellschaft-bestaetigt-cyberattacke
- ORF Tirol, 06.11.2026: https://tirol.orf.at/stories/3378528/
- Bluewin: https://www.bluewin.ch/de/digital/hacker-greifen-europas-mega-tunnel-an-spur-fuehrt-zu-stadler-erpressern-li.3665008
- ransomware.live, Eintrag vom 17.10.2026: https://www.ransomware.live/id/QnJlbm5lciBCYXNlIFR1bm5lbEBldmVyZXN0
Häufige Fragen
Was ist beim Cyberangriff auf den Brenner Basistunnel passiert?
Die BBT SE hat am 06.11.2026 einen gezielten Cyberangriff bestätigt. Angreifer konnten teils auf Daten zugreifen, die aus dem Internet erreichbar waren. Die Datenquelle wurde laut ORF Tirol isoliert, die Behörden wurden informiert.
Steht der Tunnelbau nach dem Cyberangriff still?
Nein. Laut Bluewin läuft der Tunnelbau nach Angaben der Gesellschaft normal weiter, laut ORF Tirol sind keine betrieblichen Prozesse beeinträchtigt.
Steckt die Gruppe Everest hinter dem Angriff auf den Brenner Basistunnel?
Everest führt den Brenner Basistunnel seit dem 17.10.2026 auf ihrer Leak-Site. Das ist eine Behauptung der Gruppe, behördlich bestätigt ist sie nicht.
Darf der Servicetechniker per Fernwartung auf die Anlagentechnik zugreifen?
Ja, wenn jeder Zugang einen Verantwortlichen hat, mit MFA abgesichert ist und protokolliert wird. Offene Dauerzugänge ohne Kontrolle sind bei Angriffen wie diesem das größte Risiko.
Wer hilft bei OT-Security in Tirol und Bayern?
Max Gilg, OT-Cybersecurity-Experte aus Rosenheim, unterstützt Betreiber und Maschinenbauer in Bayern, Tirol und Salzburg bei Notfallplan, Fernwartung und Segmentierung.