Sicherheit im ÖPNV: Angriffe erkennen, bevor der Betrieb stillsteht

Früher fiel ein Zug aus, wenn eine Schwelle brach. Heute genügt oft schon ein verschlüsseltes Ticketsystem, eine Leitstelle im Notbetrieb oder eine Fahrgastinformation, die schlicht schweigt. Vernetzte Leitstellen, digitales Ticketing und automatisierte Depots verändern den öffentlichen Personennahverkehr fundamental: Was früher einzelne, isolierte Systeme steuerten, hängt heute zusammen, und jede neue Schnittstelle vergrößert zugleich die Angriffsfläche. Für Betrieb und Management verschiebt sich damit die entscheidende Frage: nicht, ob ein Angriff kommt, sondern wie schnell er erkannt wird, während der Betrieb weiterläuft. 
 
Reale Vorfälle zeigen: es trifft längst nicht nur Metropolen
Als 2023 ein deutscher ÖPNV-Betreiber Ziel eines Cyberangriffs wurde, fiel der Online-Ticketverkauf tagelang aus. Ein IT-Dienstleister für über 70 Kommunen war ebenfalls Ziel eines Ransomware-Angriffs: Wochenlang waren zentrale Verwaltungsdienste nicht verfügbar, ein Ausfallmuster, das zeigt, wie verwundbar vernetzte, dienstleisterabhängige kommunale IT-Landschaften insgesamt sind. In beiden Fällen traf es keine Großkonzerne, sondern kommunale Infrastruktur, wie sie in vielen Verkehrsbetrieben ganz ähnlich aussieht. Mit dem KRITIS-Dachgesetz, das seit März 2026 gilt und den Sektor Transport und Verkehr einschließlich ÖPNV einbezieht, sowie mit den NIS-2-Vorgaben ist Cyber-Resilienz im Nahverkehr inzwischen auch gesetzlich festgelegt.

Drei Fragen, an denen sich jede Lösung messen lassen muss

Drei Kriterien sind dabei entscheidend: Erstens muss die Erkennung früh genug greifen, in der Ausforschungs- und Bewegungsphase eines Angriffs, nicht erst, wenn Systeme schon verschlüsselt wurden. Zweitens darf eine Lösung den laufenden Betrieb nicht stören, denn Leitsysteme und Fahrgastinformationen vertragen keine Tests im echten Betrieb. Drittens müssen Daten und Betrieb in deutscher Hand bleiben, vor allem bei einer Infrastruktur, die täglich Millionen Menschen nutzen. 

Zwei Ebenen, ein Ziel: Angreifer früh sichtbar machen

Cybersense setzt an genau diesen Kriterien an, mit zwei Bausteinen, die sich ergänzen. Cybersense Deception platziert unauffällige Köder, Decoys und digitale Bewegungsmelder an strategischen Stellen im Netzwerk, täuschend echt und von produktiven Systemen nicht zu unterscheiden. Sobald ein Angreifer mit ihnen interagiert, schlägt die Lösung Alarm, unabhängig vom eingesetzten Werkzeug. Das zweite Element bleibt bewusst einfach: Statt einer aufwändigen Plattform mit endlosem Funktionsumfang liefert das Cybersense Core SIEM eine gezielt reduzierte Auswertung, priorisierte sicherheitsrelevante Meldungen aus Windows- und Linux-Systemen, betreut vom SOC aus Dortmund. Beide Bausteine laufen on-premise und agentenlos auf den Produktivsystemen, ohne Eingriff in bestehende Leit- und Ticketsysteme. 
 

Lernen Sie Cybersense auf der InnoTrans 2026 kennen

Wie ein solches Frühwarnsystem konkret für Verkehrsbetriebe aussieht und was es im Ernstfall leistet, zeigen wir Ihnen gerne persönlich: vom 22. bis 25. September 2026 auf der InnoTrans in Berlin. Melden Sie sich für ein Gespräch mit unserem Team an.