Branche: Transport & Verkehr
Der Sabotage-Angriff auf das GSM-R-Funknetz der Deutschen Bahn 2022 legte den Bahnverkehr in Norddeutschland lahm. Lockbit-Ransomware blockierte 2023 den Containerhafen Nagoya für drei Tage. Transportinfrastruktur ist ein bevorzugtes Ziel staatlicher Akteure und krimineller Gruppen zugleich.
Vertrauen von Verkehrsbetrieben, Flughäfen und Logistikunternehmen
Warum Transport & Verkehr
Transportinfrastruktur ist das Rückgrat der modernen Wirtschaft. Flughäfen, Bahnnetze, Häfen und Leitstellen sind zugleich hochattraktive Ziele für staatliche Akteure, Ransomware-Gruppen und Hacktivisten.
SCADA- und PLC-Systeme steuern Bahnsignaltechnik, Weichenstellung und Zugsicherung (ETCS). Viele dieser OT-Systeme wurden ohne Sicherheitsanforderungen konzipiert und sind zunehmend mit IT-Netzen verbunden - ohne ausreichende Segmentierung oder Absicherung.
Der Ausfall einer Flugverkehrskontrolle, eines Hauptbahnhofs oder eines Containerhafens hat weitreichende Konsequenzen: Lieferketten reißen, Versorgung stockt, Millionen Reisende sind betroffen. Die Vernetzung moderner Transportsysteme macht jeden Angriffspunkt zu einer potenziellen Kettenreaktion.
Transportinfrastruktur steht im Zentrum hybrider Kriegsführung: Sabotage des Viasat-Satellitennetzwerks kurz vor dem Ukraine-Krieg, Beschädigung von Unterseekabeln (Nord Stream), Drohnen über Flughäfen. Staatlich gesponserte Gruppen zielen auf Transportinfrastruktur als strategisches Ziel.
Reale Angriffe zeigen: Der Transportsektor ist kein hypothetisches Ziel. Die Kombination aus veralteter OT-Infrastruktur und zunehmendem geopolitischem Druck macht Verkehrsinfrastruktur zur kritischsten Angriffsfläche in Europa.
2024
Der Ransomware-Angriff auf den IT-Dienstleister Südwestfalen-IT (SIT) traf über 70 Kommunen und zahlreiche kommunale Verkehrsbetriebe. Ticketsysteme, Fahrgastinformationen und Verwaltungsprozesse waren wochenlang nicht verfügbar. Der Vorfall verdeutlicht die Risiken gemeinsam genutzter IT-Infrastruktur im ÖPNV.
2023
LockBit-Ransomware legte das zentrale Containerterminal-System (NUTS) des Hafens Nagoya, Japans größtem Containerhafen, für drei Tage vollständig lahm. Containerumschlag war unmöglich. Toyota und andere Großkunden mussten Produktion drosseln. Der Angriff zeigt exemplarisch die Verwundbarkeit der globalen Lieferkette.
2022
Durchtrennte Glasfaserkabel des bahninternen GSM-R-Funknetzes legten den Bahnverkehr in Norddeutschland für mehrere Stunden lahm. Züge konnten nicht sicher kommunizieren. Zehntausende Reisende waren betroffen. Der Angriff demonstriert die Verwundbarkeit physisch-digitaler Kommunikationsinfrastruktur im Bahnbereich.
2021
Die südafrikanische Staatsbahn Transnet wurde von Ransomware getroffen und musste den Containerumschlag in mehreren Häfen auf manuellen Betrieb umstellen. Die Wiederherstellung dauerte Wochen. Der Vorfall zeigt, dass auch IT/OT-vernetzte Bahnsysteme nicht vor Ransomware gefeit sind.
Transportsektor: 2. häufigstes Ziel von Ransomware-Angriffen in der EU - ENISA Threat Landscape 2024.
Der Ernstfall ist keine Frage des Ob, sondern des Wann.
Regulatorische Anforderungen
Transportbetreiber unterliegen einem der komplexesten regulatorischen Rahmenwerke in Deutschland und Europa. Wir navigieren Sie sicher durch alle Anforderungen.
Transportbetreiber oberhalb der BSI-KritisV-Schwellenwerte (z. B. Schiene ab 12 Mio. Fahrgäste/Jahr, Flughäfen ab 15 Mio. Passagiere/Jahr) müssen sich registrieren, den Stand der Technik umsetzen, Systeme zur Angriffserkennung einsetzen und alle drei Jahre einen Nachweis erbringen (§39 BSIG).
KRITIS-BeratungDer gesamte Transportsektor ist als kritischer Sektor eingestuft. Als wichtige Einrichtung gilt, wer ≥50 Mitarbeitende beschäftigt oder (Umsatz >10 Mio. EUR und Bilanzsumme >10 Mio. EUR) erreicht (BSIG §28 Abs. 2). Pflichten: Gestaffelte Meldepflicht (24h Frühwarnung, 72h vollständige Meldung, 1 Monat Abschlussbericht), 10 Pflichtmaßnahmen (Risikomanagement, Zugangskontrollen, Kryptographie, Incident Response), persönliche Geschäftsführer-Haftung.
NIS-2-LeitfadenDie EU-Richtlinie über die Resilienz kritischer Einrichtungen (EU 2022/2557) verpflichtet Transportbetreiber zu physischen Schutzmaßnahmen: Perimeterschutz, Zugangskontrollen, CCTV, Risikoabschätzungen für Sabotage und Terrorismus sowie Resilienzpläne für den Weiterbetrieb.
Branchenspezifische Sicherheitsstandards (B3S) für den Transportsektor legen konkrete Maßnahmen je Teilsektor fest - vom B3S Eisenbahn über Luftfahrt bis hin zu Schifffahrt. Als BSI-anerkannte Standards bilden sie die Grundlage für den KRITIS-Nachweis.
Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft (BGBl. I 2026 Nr. 66) und setzt die CER-Richtlinie in deutsches Recht um. Es schafft erstmals einen integrierten Rahmen für physische und IT-Sicherheit kritischer Infrastrukturen. Transportbetreiber müssen umfassende Resilienzpläne und Sicherheitskonzepte vorhalten; für bestimmte Pflichten gelten Übergangsfristen von 12 bis 18 Monaten.
Im Bahnbereich legt die ERA-Verordnung (EU 2016/796) technische Spezifikationen (TSI) für Interoperabilität und Sicherheit fest. Die EASA-Verordnung (EU 2018/1139) regelt Cybersicherheitsanforderungen in der Luftfahrt. Beide Rahmenwerke stellen branchenspezifische IT-Sicherheitsanforderungen.
Sie sind unsicher, welche Pflichten für Ihren Betrieb gelten?
In einem kostenlosen 30-Minuten-Gespräch klären wir Ihren regulatorischen Status und zeigen konkreten Handlungsbedarf auf.
Kostenlose Erstberatung. Konkrete Handlungsempfehlungen in 30 Minuten.
Kostenlos · 30 Minuten · Unverbindlich
Von der OT-Schwachstellenanalyse über den ISMS-Aufbau bis zur Sensibilisierung von Leitstellen-Mitarbeitern - alles aus einer Hand, ISO 27001-zertifiziert.
Webportale, Active Directory, externe Infrastruktur und OT-Netzwerke. OWASP, PTES und BSI-Leitfaden konform. Industriesteuerungen und Leitstellen auf Anfrage.
Penetrationstest ansehenISMS-Aufbau nach ISO 27001 / BSI IT-Grundschutz. B3S-Transport-Umsetzung. Gap-Analyse, Risikobewertung, Dokumentation und KRITIS-Nachweis-Vorbereitung.
DetailsVollständige NIS-2-Gap-Analyse und Umsetzung aller 10 Pflichtmaßnahmen für Transport- und Verkehrsunternehmen. Meldeprozesse, Risikomanagement, Lieferkettensicherheit.
DetailsAutomatisierte und manuelle Prüfung externer und interner IT- sowie OT-Infrastruktur. Kontinuierliches Monitoring als Retainer-Modell. Industrieprotokoll-Scanner für SCADA-Umgebungen.
DetailsPraxisnahe Phishing-Simulationen und Schulungen für Leitstellen-Personal, IT-Administratoren und Führungskräfte. Live-Hacking-Demonstrationen speziell für den Transportbereich.
DetailsOT-Security nach IEC 62443, Incident-Response-Retainer, Netzwerksegmentierung IT/OT - zugeschnitten auf Ihre Infrastruktur.
Bedarf besprechenOT-Systeme im Transportbereich erfordern einen spezialisierten Sicherheitsansatz: Verfügbarkeit hat oberste Priorität, Betriebsunterbrechungen durch Tests müssen ausgeschlossen sein, und klassische IT-Security-Methoden greifen häufig nicht.
SCADA / ICS
Industrielle Steuerungen prüfen
GSM-R / TETRA
Betriebsfunk absichern
ETCS / Signaltechnik
Zugsicherung und Weichensteuerung
IEC 62443
OT-Sicherheitsstandard
Unsere OT-Sicherheitsanalysen berücksichtigen die Verfügbarkeitsanforderungen des Transportbetriebs: Tests werden außerhalb kritischer Betriebszeiten durchgeführt, und passive Analyseverfahren schließen Betriebsunterbrechungen aus. Wir arbeiten nach IEC 62443 und orientieren uns an der BSI-Orientierungshilfe für Angriffserkennung in KRITIS-OT-Umgebungen.
Warum AWARE7 für Transportbetreiber
Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter: mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.
Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere auf ACM- und Springer-Konferenzen publizierten Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.
Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.
Mehr zur digitalen SouveränitätInnerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot ohne Stundensatz-Risiko. Eingespieltes Team und standardisierte Prozesse sorgen für einen klaren Zeitplan mit definiertem Start- und Endtermin.
Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner und behalten dieselbe Kontaktperson über das gesamte Projekt.
Peer-reviewte Publikationen
Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations
ACM AsiaCCS 2025
Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
A Platform for Physiological and Behavioral Security
NSPW 2025
Jan Hörnemann
Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem
IEEE/IFIP DSN 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Understanding Regional Filter Lists: Efficacy and Impact
PoPETS 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Für wen sind wir der richtige Partner?
Mittelstand mit 50-2.000 MA
Unternehmen, die echte Security brauchen, ohne einen DAX-Konzern-Dienstleister zu bezahlen. Festpreis, klarer Scope, ein Ansprechpartner.
IT-Verantwortliche & CISOs
Die intern überzeugend argumentieren müssen und dafür einen Bericht mit Vorstandssprache brauchen, nicht nur technische Findings.
Regulierte Branchen
KRITIS, Gesundheitswesen, Finanzdienstleister: NIS-2, ISO 27001, DORA. Wir kennen die Anforderungen und liefern Nachweise, die Auditoren akzeptieren.
Bald verfügbar
Geplant ist eine kompakte Orientierung zu NIS-2-Anforderungen und typischem Handlungsbedarf für Verkehrs- und Transportbetriebe.
In einem 30-minütigen Gespräch erfassen wir Ihre Ausgangslage: KRITIS-Status, OT-Architektur, bestehende Maßnahmen, regulatorische Pflichten und konkreten Handlungsbedarf nach NIS-2 und BSI-KritisV.
Wir führen die vereinbarten Prüfungen durch - Pentest, OT-Schwachstellenanalyse, Gap-Analyse - und liefern einen priorisierten Maßnahmenplan mit konkreten Handlungsempfehlungen, abgestimmt auf Ihre Betriebszeiten.
Auf Wunsch begleiten wir die Umsetzung der Maßnahmen, bauen Ihr ISMS auf und verifizieren die Wirksamkeit im Nachtest. Festpreiszusage auf alle Leistungen. KRITIS-Nachweis-Begleitung inklusive.
Regulierung & Wissen
Bahn, Flughäfen, Häfen und Logistikunternehmen unterliegen strengen Sicherheitsanforderungen - AWARE7 unterstützt bei der Umsetzung.
Kostenloses Erstgespräch mit einem KRITIS- und OT-Sicherheitsexperten. Konkrete Empfehlungen in 30 Minuten.
Kostenlos · 30 Minuten · Unverbindlich
Arturs Nikitins
Erstberatung & Bedarfsanalyse
Persönliche Beratung gewünscht?
Unverbindlich · Antwort werktags innerhalb 24h
