Wer am 17. und 18. Februar 2026 unterwegs war, hat es sehr konkret gespürt: Fahrplanauskunft und Ticketkauf über bahn.de und den DB Navigator funktionierten zeitweise nicht oder nur eingeschränkt. Die Deutsche Bahn spricht von einer gezielten Cyberattacke, die „in Wellen“ gegen ihre IT‑Systeme lief; das „Ausmaß“ sei erheblich gewesen, Kundendaten seien nach Angaben der Bahn nicht entwendet worden.
Was nach „nur“ einem Ausfall von Website und App klingt, ist in Wahrheit ein Lehrstück darüber, wie sich kritische Infrastrukturen in Europa verändert haben – und wie sich Angriffe darauf politisch aufladen. Denn im digitalen Zeitalter ist Verfügbarkeit nicht bloß eine IT‑Kennzahl. Sie ist ein Bestandteil gesellschaftlicher Funktionsfähigkeit.
Die Deutsche Bahn beschreibt den Vorfall als DDoS‑Angriff: massenhafte Anfragen aus gekaperten oder missbrauchten Geräten überlasten Dienste so lange, bis sie nicht mehr erreichbar sind. Die BSI‑Präsidentin Claudia Plattner ordnete die Attacke öffentlich als außergewöhnlich ein und sprach im WDR‑Interview von „Milliarden Anfragen pro Minute“ – „die größere Kante, keine alltägliche Dimension“. Genau dieser Satz ist strategisch interessant: DDoS ist selten das spektakulärste Werkzeug im Angreifer‑Arsenal, aber es ist eines der sichtbarsten. Und Sichtbarkeit ist ein Effekt, der politische Rendite erzeugen kann.
DDoS als Kommunikationsmittel in einer vernetzten Gesellschaft
DDoS zielt primär auf Verfügbarkeit – nicht auf Datenabfluss und nicht zwingend auf Manipulation. Gerade deshalb wird es oft unterschätzt. Der unmittelbare Schaden entsteht nicht nur durch entgangene Umsätze oder die Kosten für Incident Response, sondern durch Reibung im Alltag: Menschen können ihre Mobilität nicht planen, Servicekanäle werden überlastet, und aus digitalen Störungen werden sehr schnell analoge Friktionen. Das BSI erwartet zwar keine nachhaltigen Schäden, betont aber die „ernsthafte Einschränkung im Alltagsservice“.
Damit wird DDoS zu einer Art „öffentlicher Demonstration“: Man zeigt, dass man in der Lage ist, zentrale Abläufe zumindest temporär zu stören. Plattner verweist ausdrücklich auf den Propaganda‑Charakter solcher Angriffe seit Beginn des russischen Angriffskriegs gegen die Ukraine und beschreibt die einschüchternde Botschaft dahinter sinngemäß als: „Seht her, wir können euch jederzeit angreifen.“ Entscheidend ist: Diese Aussage erklärt einen Mechanismus – sie ist keine Attribution des konkreten Bahn‑Angriffs. Genau hier beginnt die politische Dimension.
Warum Attribution heute fast immer geopolitisch gelesen wird
Die Bahn selbst äußert sich nicht zu Spekulationen über die Herkunft der Attacke; laut dpa ist der Ursprung offen, Medienberichte über einen Russland‑Bezug kommentiert der Konzern nicht. Trotzdem wird in der öffentlichen Debatte reflexhaft in geopolitischen Kategorien gedacht. Das ist nicht nur „Alarmismus“, sondern folgt einem Kontext, den Deutschland und Europa in den letzten Jahren selbst erfahren haben.
Ein prominentes Beispiel ist die Deutsche Flugsicherung (DFS): Die Bundesregierung hat nach Angaben mehrerer Medien einen Cyberangriff auf die DFS vom August 2024 dem russischen Militärgeheimdienst GRU bzw. der GRU‑nahen Gruppe APT28 („Fancy Bear“) zugeschrieben und deswegen im Dezember 2025 den russischen Botschafter einbestellt. In derselben politischen Lagewahrnehmung werden Cyberangriffe nicht als isolierte IT‑Kriminalität betrachtet, sondern als Elemente hybrider Konfliktführung unterhalb der Schwelle klassischer militärischer Eskalation.
Europaweit verdichtet sich dieses Bild. Westliche Sicherheitsvertreter sprechen von einer breiten Sabotage‑Kampagne Russlands in Europa seit 2022, die von Cyberangriffen bis zu Brandstiftungen reicht, oft mit dem Ziel, Unterstützung für die Ukraine zu unterminieren und Sicherheitsapparate zu binden. Und Europol warnt in seiner EU‑SOCTA‑Lagebewertung vor einer „shadow alliance“: kriminelle Netzwerke fungieren zunehmend als Proxies für hybride Akteure, wodurch sich kriminelle und politische Motive überlagern.
Auch pro‑russische „Hacktivismus“-Strukturen passen in dieses Muster. Europol beschreibt etwa das Netzwerk NoName057(16) als pro‑russisch und dokumentiert, dass es DDoS‑Angriffe gegen Ukraine und gegen Staaten bzw. Institutionen, die die Ukraine unterstützen, verübt hat; 2025 wurde die Infrastruktur in einer internationalen Operation („Eastwood“) teilweise zerschlagen. Das beweist nicht, dass dieser Akteur hinter der Attacke auf die Bahn steht – es erklärt aber, warum DDoS in Europa heute nicht mehr nur als „Nerv‑Angriff“ auf Websites wahrgenommen wird, sondern als Baustein einer politisierten Bedrohungslage.
Kritische Infrastruktur ist längst mehr als „OT“
Im Bahn‑Kontext ist wichtig, nüchtern zu bleiben: Die gemeldeten Störungen betrafen Auskunfts‑ und Buchungssysteme. Das ist nicht dasselbe wie ein Eingriff in Stellwerke, Zugsicherung oder Energieversorgung. Gleichzeitig wäre es ein Fehler, die digitale Kundenschnittstelle als „nicht kritisch“ abzutun. Im modernen Mobilitätssystem sind Informations‑ und Buchungsketten Teil der operativen Realität, weil sie Nachfrage, Auslastung, Kundenströme und Serviceprozesse steuern. Aus Ausfällen solcher Ketten können schnell weitere operative Risiken entstehen.
Hinzu kommt: Kritische Infrastruktur wird nicht mehr in Sektorsilos betrieben. Transport hängt von Energie, Telekommunikation, Cloud‑ und Software‑Lieferketten ab. Genau diese Interdependenz ist der Hebel hybrider Angriffe: Man muss nicht „den Zug“ hacken, um Wirkung zu erzielen. Es reicht, die Knotenpunkte anzugreifen, die Vertrauen und Taktung herstellen.
Dass diese Verwundbarkeit nicht nur digital ist, zeigt sich ebenfalls am Beispiel der Bahn: In den letzten Monaten gab es wiederholt analoge Angriffe wie Kabeldurchtrennungen und Brandanschläge auf Bahn‑Infrastruktur, die zu massiven Einschränkungen geführt haben. In hybriden Szenarien entsteht daraus ein unangenehmer Mix: digitale Störungen, physische Sabotage, Desinformation – und die Frage, ob alles zusammenhängt, auch wenn es operativ nicht zwingend koordiniert sein muss.
Politische Antworten: Resilienz wird Gesetz, Solidarität wird EU‑Programm
Die regulatorische und politische Reaktion in Europa folgt zunehmend einer Logik: weniger „IT‑Sicherheitsprojekt“, mehr gesamtstaatliche Resilienz.
Auf EU‑Ebene zielen NIS2 und die CER‑Richtlinie darauf, Cyber‑Risiko‑Management, Meldepflichten und Resilienz‑Anforderungen in „high criticality“-Sektoren systematisch zu heben – und das kohärenter, als es unter der alten NIS‑Richtlinie oft gelang. Ergänzend dazu schafft der EU Cyber Solidarity Act (Regulation (EU) 2025/38) Mechanismen für bessere Detektion, koordinierte Reaktion und eine „EU Cybersecurity Reserve“, die bei großen Vorfällen unterstützen soll.
In Deutschland bekommt das Thema zusätzlich eine physische Schutzdimension. Der Bundestag hat am 29. Januar 2026 das KRITIS‑Dachgesetz beschlossen, das die CER‑Vorgaben umsetzt und erstmals sektorübergreifende Mindestvorgaben für den physischen Schutz kritischer Anlagen in einem bundeseinheitlichen Rahmen setzt. Damit wird politisch anerkannt, dass „kritisch“ nicht nur bedeutet, Server zu patchen, sondern auch Kabelbrücken, Standorte, Zugangskontrollen, Krisenkommunikation und Wiederanlaufpläne mitzudenken.
Parallel verschiebt sich der sicherheitspolitische Ton. Bundesinnenminister Alexander Dobrindt will härter gegen Cyberangriffe vorgehen, ein neues Abwehrzentrum schaffen und den Ansatz verfolgen, Angreifer auch „zurückzuschlagen“. Das ist politisch nachvollziehbar, weil Abschreckung ohne glaubhafte Reaktionsfähigkeit schwer ist. Es ist aber auch riskant: „Hackback“ bewegt sich schnell in juristischen Grauzonen, kann Kollateralschäden erzeugen und lässt Eskalationsdynamiken entstehen – gerade dann, wenn Attribution unsicher ist oder Proxies im Spiel sind.
Die technische Lehre: Cloud skaliert – aber Angreifer skalieren auch
Ein zusätzlicher Realitätscheck steckt im Detail der Umsetzung. Zentrale, geschäftskritische Bahn‑Dienste laufen auf Infrastruktur von Amazon Web Services und der Vorfall ist ein Beispiel dafür ein, dass selbst große Cloud‑Plattformen bei extremen DDoS‑Volumina nicht automatisch „unverwundbar“ sind. Das ist keine Cloud‑Kritik, sondern eine Erinnerung an das Shared‑Responsibility‑Prinzip: Elastische Compute‑Kapazität ersetzt kein DDoS‑Design, das Bandbreite, State‑Exhaustion, Abhängigkeiten in der Authentisierung, Third‑Party‑APIs und die Engpässe im eigenen Application‑Stack mitdenkt.
Dass DDoS kein Randphänomen ist, unterstreicht auch das BSI mit seiner Lagebeobachtung: Für Deutschland wird in den Lageberichten zuletzt ein deutlicher Anstieg bekannt gewordener DDoS‑Angriffe in bestimmten Monaten beschrieben.
Was der Bahn‑Vorfall über Europa verrät
Wenn man den Angriff als Einzelfall behandelt, bleibt die Debatte bei der Frage hängen, warum eine App ausfällt. Wenn man ihn als Symptom betrachtet, wird sichtbar, worum es wirklich geht: Europa ist in eine Phase eingetreten, in der kritische Infrastruktur ein strategischer Austragungsort ist – nicht nur für klassische Spionage oder Ransomware, sondern für dauerhaften Druck durch viele kleinere, hoch sichtbare Störungen. ENISA beschreibt diese Entwicklung in der Threat Landscape 2025 als Verschiebung hin zu kontinuierlichen, diversifizierten und teils konvergenten Kampagnen, die Resilienz schrittweise erodieren.
In dieser Logik ist ein DDoS gegen Buchungssysteme nicht „harmlos“, aber auch nicht automatisch „Krieg“. Er ist ein Signal in der Grauzone: niedrigschwellig, plausibel abstreitbar, gesellschaftlich wirksam. Die politische Herausforderung liegt darin, nicht in symbolische Überreaktion zu verfallen – und trotzdem entschlossen zu investieren: in Resilienz‑Engineering, in sektorübergreifende Übungen, in robuste Melde‑ und Lagebilder, in europäische Solidaritätsmechanismen und in eine Kommunikationsfähigkeit, die Panik vermeidet, ohne zu beschönigen.
Wer Verantwortung für digitale Dienste in KRITIS trägt – ob Betreiber, Zulieferer, Cloud‑Partner oder Behörde – sollte den Bahn‑Vorfall deshalb als Weckruf lesen: Verfügbarkeit ist geopolitisch geworden. Und genau darum muss sie so behandelt werden, wie wir es bei Safety seit Jahrzehnten tun: als Kernanforderung, nicht als „Betriebsstörung“.