Fehmarnbelt-Hack: Wochen unbemerkt im Netz

Zwischen Deutschland und Dänemark entsteht mit dem Fehmarnbelt-Tunnel das größte Bauprojekt Europas. Seit Mitte Oktober beschäftigt das Projekt nicht nur Ingenieure, sondern auch IT-Forensiker: Das Baukonsortium Femern Link Contractors (FLC), Hauptauftragnehmer des Absenktunnels, entdeckte am 11. Oktober 2026 einen Cyberangriff auf seine IT-Systeme. Inzwischen ist bestätigt, dass dabei Daten gestohlen wurden, darunter personenbezogene Daten (Femern A/S, 27.10.2026; Construction Briefing, 28.10.2026).

Die eigentliche Lehre dieses Falls liegt aber nicht in der Größe des Opfers, sondern in der Zeitachse: Die Erpressergruppe, die den Angriff für sich reklamiert, behauptet, bereits Wochen vor der Entdeckung im Netzwerk gewesen zu sein. Genau diese Spanne, in der Fachsprache Dwell Time, entscheidet darüber, ob ein Vorfall eine Störung bleibt oder zur Katastrophe wird. Dieser Beitrag rekonstruiert den Fall, trennt Fakten von Täterbehauptungen und zeigt, wie Mittelständler ihre eigene Erkennungszeit von Wochen auf Stunden verkürzen.

Der Fall: Was bestätigt ist, und was Täterbehauptung

Bestätigt ist nach Angaben von FLC, der Projektgesellschaft Femern und dem Projektträger Sund & Bælt (Femern, Construction Briefing):

• FLC entdeckte den Angriff am 11. Oktober 2026, isolierte betroffene Server, aktivierte seine Incident-Response-Prozesse und zog externe Sicherheitsspezialisten hinzu.
• Es wurden Daten gestohlen, darunter personenbezogene Daten; möglicherweise betroffene Beschäftigte wurden informiert, für sie wurde eine eigene Hotline eingerichtet.
• Die Produktion der Tunnelelemente in Rødbyhavn war beeinträchtigt und sollte "in Kürze" wieder anlaufen; in mehreren Bereichen wurde die Arbeit wieder aufgenommen, die Erdarbeiten liefen ohne Unterbrechung weiter.
• Die Systeme der Projektgesellschaft selbst waren nach deren Angaben nicht betroffen.

Unbestätigte Täterangaben: Die Erpressergruppe "Barracuda" reklamiert den Angriff für sich und behauptet, bereits seit dem 17. September Zugriff gehabt, rund 2,44 Terabyte Daten kopiert und die virtuelle Infrastruktur (vCenter) verschlüsselt zu haben; die Daten bietet sie zum Verkauf an (Brinztech-Analyse der Leak-Seiten-Behauptungen, 28.10.2026). Diese Angaben stammen von den Tätern selbst und sind unabhängig nicht verifiziert, Erpressergruppen übertreiben regelmäßig, um Druck aufzubauen.

Doch selbst wenn man die Täterangaben nur als Szenario betrachtet, beschreibt es das Standardmuster moderner Ransomware-Angriffe: Einstieg, wochenlanges leises Umsehen, Rechteausweitung, Datenabfluss, und erst ganz am Ende die Verschlüsselung, die alle bemerken.

Dwell Time: Die unterschätzte Kennzahl der IT-Sicherheit

Dwell Time bezeichnet die Zeit zwischen dem ersten erfolgreichen Zugriff eines Angreifers und seiner Entdeckung. Sollte die Behauptung der Täter stimmen, lägen beim Fehmarnbelt-Fall zwischen Einstieg (17. September) und Entdeckung (11. Oktober) über drei Wochen. Das wäre kein Ausreißer, sondern Normalfall: In dieser Phase kartieren Angreifer das Netzwerk, sammeln Zugangsdaten, identifizieren Backups und die wertvollsten Daten, alles leise, denn noch verdienen sie nichts an ihrer Entdeckung.

Für die Schadenshöhe ist diese Phase entscheidender als der Einstieg selbst. Wer einen Eindringling nach Stunden bemerkt, verliert vielleicht einen kompromittierten Account. Wer ihn nach Wochen bemerkt, verliert typischerweise Terabytes an Daten, die Kontrolle über die Virtualisierung und die Backups gleich mit. Die behauptete Verschlüsselung der vCenter-Ebene illustriert das Muster: Wer die Virtualisierungsplattform kontrolliert, kontrolliert sämtliche darauf laufenden Systeme auf einen Schlag, ein Vorgehen, das sich genauso in Mittelstandsfällen findet, wo oft die gesamte Server-Landschaft auf wenigen Hosts virtualisiert ist.

Bemerkenswert am Fehmarnbelt-Fall ist zugleich: Nach der Entdeckung lief die Reaktion lehrbuchmäßig, Server isolieren, Spezialisten einbinden, Betroffene informieren, Produktion kontrolliert wieder anfahren. Das Problem war nicht die Reaktion. Das Problem war, dass die Uhr mutmaßlich Wochen vorher zu laufen begann.

Übertragung auf den Mittelstand: Ihre wichtigste Stellschraube

Ihr Unternehmen ist kleiner als ein europäisches Jahrhundertprojekt, die Mechanik eines Angriffs ist dieselbe. Und eine Stellschraube besitzen Sie vollständig selbst: wie schnell Sie einen Eindringling bemerken. Vier Hebel verkürzen die Dwell Time wirksam:

1. Sichtbarkeit schaffen: Endpunkte, Server, Identitäten

Was nicht protokolliert wird, kann nicht auffallen. Moderne Endpoint-Detection-Sensoren (EDR) auf Servern und Clients, zentrale Auswertung von Anmeldeereignissen und Protokolle der kritischen Systeme (Virtualisierung, Backup, VPN) sind die Datenbasis jeder Erkennung.

2. Jemand muss hinschauen, rund um die Uhr

Die verräterischen Signale der Erkundungsphase, ungewöhnliche Anmeldezeiten, neue Admin-Konten, interne Scans, auffällige Datenbewegungen Richtung Internet, erscheinen selten zwischen 9 und 17 Uhr. Ein Managed-Detection-&-Response-Service übernimmt genau diese Daueraufgabe: durchgehende Analyse der Signale, Alarmierung und Eindämmung, bevor aus der Erkundung die Verschlüsselung wird. Für die meisten KMU ist das der realistische Weg, Erkennungszeiten von Wochen auf Stunden zu drücken, ohne ein eigenes Security Operations Center aufzubauen. MDR: Angriffserkennung von Valyros

3. Die Kronjuwelen besonders überwachen: Virtualisierung und Backups

vCenter und Co. gehören in ein eigenes, streng kontrolliertes Admin-Netz mit MFA und dediziertem Monitoring, und Backups müssen so gestaltet sein, dass auch ein Angreifer mit Admin-Rechten sie nicht löschen kann (offline oder unveränderbar). Das sind die beiden Ziele, die über Wiederanlauf oder Wochen Stillstand entscheiden.

4. Erkennung testen statt vermuten

Ob Ihre Erkennung funktioniert, zeigt sich erst im Test: Ein Penetrationstest, der nicht nur Schwachstellen sucht, sondern auch prüft, welche seiner Aktionen auffallen, liefert Ihre persönliche Dwell-Time-Prognose. Penetrationstest: Prüfen, was Ihre Erkennung wirklich sieht

Regulatorisch ist das Thema ohnehin gesetzt: NIS2 verlangt von regulierten Unternehmen ausdrücklich Prozesse zur Erkennung und Bewältigung von Vorfällen, inklusive der Meldung erheblicher Vorfälle binnen 24 Stunden, was ohne funktionierende Erkennung schlicht unmöglich ist. NIS2-Durchsetzung: BSI plant Prüfungen ab 2027

Und wenn es doch passiert: Je früher professionelle Hilfe eindämmt und forensisch klärt, desto kleiner der Schaden. Incident Response: Soforthilfe im Ernstfall

Fazit

Der Angriff auf den Fehmarnbelt-Hauptauftragnehmer zeigt beides: eine nach der Entdeckung vorbildlich schnelle Reaktion, und, sollten die Täterangaben auch nur in der Tendenz stimmen, ein wochenlang unbemerktes Vorspiel, in dem der eigentliche Schaden entstand. Die Frage für Ihr Unternehmen lautet deshalb nicht "Kommt jemand rein?", sondern "Wie lange könnte er bleiben, bis es jemand merkt?". Wenn Sie diese Zahl für Ihr Haus nicht kennen, finden wir sie gemeinsam heraus und verkürzen sie. Erkennungs-Check mit Valyros vereinbaren

Quellen

• Femern A/S: Status, cyberattack on the main contractor for the Fehmarnbelt project (27.10.2026): https://femern.com/press/news/status-cyberattack-on-the-main-contractor-for-the-fehmarnbelt-project
• Construction Briefing: Personal data stolen in Fehmarnbelt cyber attack (28.10.2026): https://constructionbriefing.com/news/personal-data-stolen-in-fehmarnbelt-cyber-attack/8135024.article
• Brinztech: Barracuda ransomware syndicate claims 2.44 TB data breach against FLC (28.10.2026, Täterangaben, unbestätigt): https://www.brinztech.com/breach-alerts/brinztech-alert-barracuda-ransomware-syndicate-claims-2-44-tb-data-breach-and-virtual-infrastructure-shutdown-against-fehmarnbelt-tunnel-builder-femern-link-contractors