Milliarden Anfragen pro Minute: Massive Cyberattacke legt Deutsche Bahn lahm

Was sich am Dienstagnachmittag zunächst wie eine der üblichen technischen Pannen bei der Deutschen Bahn anfühlte, entpuppte sich als digitaler Großangriff von besorgniserregender Dimension. Die Webseite bahn.de und die Smartphone-App „DB Navigator" – für Millionen Pendler und Reisende das tägliche Werkzeug zur Fahrplanauskunft und Ticketbuchung – gingen in die Knie. Doch diesmal war es kein marodes IT-System, das den Geist aufgab. Es war ein gezielter Angriff von außen.

BSI-Chefin warnt: „Keine alltägliche Dimension"

Claudia Plattner, die Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI), fand deutliche Worte. Es habe sich um Milliarden Anfragen pro Minute gehandelt, die auf die Systeme der Deutschen Bahn einprasselten. Diese sogenannte DDoS-Attacke – bei der tausende gekaperte Computer und Geräte gleichzeitig eine Flut von Anfragen an einen Server senden, bis dieser unter der Last zusammenbricht – sei „die größere Kante" gewesen, wie Plattner gegenüber dem WDR erklärte. Keine alltägliche Dimension also, sondern ein Angriff, der in seiner Wucht selbst erfahrene Sicherheitsexperten aufhorchen ließ.

Für den normalen Nutzer sah das Ganze freilich weniger spektakulär aus: Die Seite lud nicht, die App streikte, Tickets ließen sich nicht buchen. Wer am Dienstagabend glaubte, das Schlimmste sei überstanden, wurde am Mittwochmorgen eines Besseren belehrt – erneut traten Störungen auf. Erst im Laufe des Tages konnte die Bahn vermelden, dass ihre Systeme wieder vollständig zur Verfügung stünden.

Der Elefant im Raum: Wer steckt dahinter?

Über die Urheberschaft des Angriffs hüllte sich die Deutsche Bahn in Schweigen. Auch die BSI-Chefin wollte sich zu konkreten Spekulationen nicht äußern – verwies aber auf einen Zusammenhang, der kaum zu übersehen ist. Seit Beginn des russischen Angriffskrieges gegen die Ukraine habe die Zahl solcher Cyberattacken auf deutsche Infrastruktur spürbar zugenommen. Das Ziel dieser digitalen Nadelstiche sei klar: Propaganda und Einschüchterung. Die Botschaft laute schlicht: „Seht her, wir können eure Systeme jederzeit angreifen."

Man muss kein Geheimdienstanalyst sein, um hier eins und eins zusammenzuzählen. Die hybride Kriegsführung Russlands gegen westliche Demokratien ist längst keine Theorie mehr, sondern bittere Realität. Und Deutschland, mit seiner chronisch unterfinanzierten digitalen Infrastruktur, bietet eine dankbare Angriffsfläche.

Deutschlands digitale Verwundbarkeit

Plattner betonte zwar, Deutschland sei „nicht schutzlos" und die Bahnsysteme seien gut aufgestellt. Die Behörden hätten eng mit den IT-Stellen der Bahn zusammengearbeitet. Auch ein Bahnsprecher versicherte, die Abwehrmaßnahmen hätten „gegriffen". Doch wenn Milliarden Anfragen pro Minute ausreichen, um eines der wichtigsten Buchungssysteme des Landes stundenlang lahmzulegen – wie gut aufgestellt ist Deutschland dann wirklich?

Die Wahrheit ist unbequem. Während andere Nationen seit Jahren massiv in ihre Cyberabwehr investieren, hat Deutschland jahrelang geschlafen. Die Digitalisierung der Verwaltung gleicht einem Trauerspiel, kritische Infrastrukturen sind verwundbar, und die politische Klasse diskutiert lieber über Gendersternchen als über die Frage, wie man Krankenhäuser, Energieversorger und Verkehrssysteme vor digitalen Angriffen schützt. Das 500-Milliarden-Euro-Sondervermögen der neuen Bundesregierung fließt in Infrastruktur – doch ob dabei auch die digitale Verteidigung angemessen berücksichtigt wird, darf bezweifelt werden.

Ein Weckruf, der verhallen könnte

Der Angriff auf die Deutsche Bahn ist mehr als eine technische Störung. Er ist ein Symptom einer tiefgreifenden Verwundbarkeit, die Deutschland sich über Jahre hinweg selbst eingebrockt hat. In einer Welt, in der geopolitische Konflikte zunehmend im digitalen Raum ausgetragen werden, kann sich ein Land wie Deutschland keine Nachlässigkeit leisten. Jeder DDoS-Angriff, jede Ransomware-Attacke auf ein Krankenhaus, jeder Hack einer Behörde ist ein Warnsignal.

Die Frage ist nicht, ob der nächste Angriff kommt. Die Frage ist, ob Deutschland dann besser vorbereitet sein wird. Angesichts der bisherigen Bilanz darf man skeptisch sein. Denn eines hat die Geschichte dieses Landes in den vergangenen Jahren immer wieder gezeigt: Weckrufe verhallen, Maßnahmen werden verschleppt, und am Ende steht der Bürger wieder im Regen – oder eben vor einer nicht funktionierenden Bahn-App.