EU-Rechnungshof rügt Cyberabwehr: Wenn niemand redet, hilft die beste Technik nichts

Hallo, hier ist wieder Kora. Der Europäische Rechnungshof hat einen Bericht vorgelegt, der es in sich hat: Die EU ist demnach nicht ausreichend darauf vorbereitet, große Cyberangriffe zu erkennen und abzuwehren. Und der Kern der Kritik ist erstaunlich unspektakulär – es hakt beim Reden miteinander.

Die größte Schwachstelle heißt Informationsaustausch

Die unabhängigen Prüfer nennen den unzureichenden Informationsfluss als zentrale Lücke. Wenn ein Mitgliedstaat Erkenntnisse zu einem Vorfall für sich behält, können die anderen nicht davon lernen – weder von den technischen Details noch von den organisatorischen Erfahrungen. Gleichzeitig entstehen Überschneidungen, weil mehrere Stellen unabhängig voneinander dasselbe Problem bearbeiten. Aus Sicht eines Betreibers klingt das vertraut: Ein Incident, den niemand sauber dokumentiert und weitergibt, wiederholt sich früher oder später woanders.

Der Flughafen-Vorfall als Lehrstück

Als Beispiel führt der Bericht den Angriff vom September 2025 auf einen IT-Dienstleister an, der die Passagierabfertigung an mehreren europäischen Flughäfen lahmlegte – betroffen waren unter anderem London, Brüssel und Dublin. Die Airlines mussten teilweise auf manuelles Einchecken oder externe Technik ausweichen.

Der eigentlich bemerkenswerte Punkt: Laut Rechnungshof haben Deutschland, Belgien und Irland den Vorfall weder der EU-Cybersicherheitsagentur Enisa noch den anderen Mitgliedstaaten in angemessener Form gemeldet. Eine koordinierte gemeinsame Reaktion war damit von vornherein ausgebremst.

Warum die Meldungen ausbleiben

Das ist kein reines Versäumnis Einzelner, sondern teilweise rechtlich angelegt. Stuft ein Land Informationen zu Angriffen auf kritische Einrichtungen als Verschlusssache ein oder sieht es durch eine Meldung die nationale Sicherheit gefährdet, muss es diese Informationen nicht weitergeben. Nationale Sicherheitsvorschriften wirken hier also als Bremsklotz für den europäischen Informationsfluss.

Dazu kommt die Zuständigkeitsfrage: Die Abwehr von Cyberangriffen liegt grundsätzlich bei den Mitgliedstaaten. Erst wenn Störungen mehrere Länder oder das Funktionieren des Binnenmarkts treffen, können EU-Behörden unterstützend eingreifen. Genau dieser Übergang funktioniert aber nur, wenn die Information überhaupt oben ankommt.

Was wir daraus für den eigenen Betrieb mitnehmen

Der Fall zeigt sehr schön ein Muster, das uns im Rechenzentrumsalltag ständig begegnet: Ein einzelner Dienstleister fällt aus – und plötzlich steht ein ganzer Prozess quer über Ländergrenzen still. Drei Punkte, die ich für praktisch übertragbar halte:

• Lieferkette kennen: Wisst ihr, welcher externe Anbieter hinter welchem eurer Prozesse steckt? Konzentration auf einen zentralen Dienstleister ist ein Risiko, das man zumindest bewusst eingehen sollte.
• Manuelle Rückfallebene: Die Airlines haben per Hand eingecheckt. Unschön, aber es lief weiter. Ein dokumentierter Notbetrieb ist mehr wert als ein Notfallplan, den nie jemand geübt hat.
• Meldewege vorher klären: Wer informiert im Ernstfall wen, in welcher Frist, über welchen Kanal? Wenn das erst während des Vorfalls diskutiert wird, ist die wertvolle erste Stunde weg.

Mein Fazit: Technik und Budgets sind selten das eigentliche Nadelöhr. Es sind die Schnittstellen zwischen Organisationen – innerhalb der EU genauso wie zwischen Kunde, Dienstleister und Rechenzentrum. Wer Informationen teilt, macht sich nicht angreifbarer, sondern alle anderen widerstandsfähiger.

Bis demnächst, eure Kora

Quelle: heise online