EU gegen Cyber-Angriffe unzureichend geschützt – Sonderbericht

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

Die EU hat in den vergangenen Jahren ein dichtes Netz an Strukturen für die Cybersicherheit aufgebaut: Netzwerke für Computer-Notfallteams, ein Krisenmanagement-Netzwerk, eine Cybersicherheitsreserve, ein europaweites Warnsystem. Der Europäische Rechnungshof hat sich kürzlich angesehen, was diese Architektur im Ernstfall leistet. Sein Befund im Sonderbericht 19/2026: Der Kooperationsrahmen macht Fortschritte, erleichtert die Erkennung schwerer Cybervorfälle und die Reaktion darauf aber nur teilweise. Verantwortlich dafür sind laut Prüfbericht vor allem ein begrenzter Informationsaustausch zwischen den Mitgliedstaaten, Lücken in der Berichterstattung und erhebliche Verzögerungen bei der Umsetzung.

Die Prüfung deckt den Zeitraum 2022 bis 2025 ab und stützt sich auf Aktenanalysen, Prüfbesuche in Irland, Griechenland und Italien sowie Befragungen von Behörden und Projektbeteiligten.

Gemeldet wird wenig, grenzüberschreitend fast nichts

Der deutlichste Befund betrifft die Meldepraxis. Zwischen 2018 und 2021 meldeten die Mitgliedstaaten der EU-Cybersicherheitsagentur ENISA jährlich zwischen 100 und 500 Vorfälle, 2024 waren es 1.276. Im selben Zeitraum identifizierte die ENISA für ihren Bedrohungslagebericht rund 4.800 Cybersicherheitsvorfälle allein aus frei zugänglichen Quellen wie Nachrichtenartikeln. Die Differenz lässt sich nicht exakt auflösen, weil die von den Mitgliedstaaten übermittelten Daten anonymisiert sind. Für den Rechnungshof ist sie dennoch ein starkes Indiz dafür, dass längst nicht alle erheblichen Vorfälle gemeldet werden.

Noch schmaler ist die Datenlage bei grenzüberschreitenden Angriffen. Im Jahr 2025 meldeten sieben Mitgliedstaaten insgesamt 14 erhebliche grenzüberschreitende Vorfälle. 2024 waren es zwei, 2023 keiner, 2022 drei. Zum Vergleich: Die ENISA zählte für 2024 allein 322 Vorfälle, die sich gezielt gegen zwei oder mehr Mitgliedstaaten richteten.

Und seit 2016 hat kein einziger Mitgliedstaat einen Cybervorfall als „von großem Ausmaß“ eingestuft. Das Eskalationsverfahren des EU-Krisennetzwerks EU-CyCLONe kam damit noch nie vollständig zur Anwendung.

Der Fall Collins Aerospace als Lehrstück

Wie das in der Praxis aussieht, illustriert der Rechnungshof am Ransomware-Angriff auf die Passagierabfertigungssoftware von Collins Aerospace im Vorjahr. Mehrere europäische Großflughäfen mussten auf manuelle Abfertigung umstellen, am stärksten betroffen waren London-Heathrow, Brüssel, Berlin-Brandenburg und Dublin. Es gab zahlreiche Verspätungen und Flugausfälle.

Formal behandelte kein Mitgliedstaat diesen Vorfall als erheblichen grenzüberschreitenden Sicherheitsvorfall. Weder die ENISA noch andere Mitgliedstaaten wurden offiziell unterrichtet, und das Netzwerk der Computer-Notfallteams informierte auch das EU-CyCLONe nicht. Ein koordiniertes europäisches Vorfallsmanagement fand also nicht statt.

Als Ursachen nennt der Bericht mehrere Faktoren: Es fehlt eine gemeinsame Taxonomie dafür, wann ein Vorfall als erheblich oder als großflächig gilt. Für die beteiligten Behörden ist oft nicht erkennbar, ob ein Angriff grenzüberschreitenden Charakter hat. Und es existiert keine EU-weite Plattform, auf der Meldungen in Echtzeit zusammenlaufen und über Sektoren oder technische Spuren miteinander verknüpft werden könnten.

NIS2 als Flaschenhals

Ein struktureller Grund für die dünne Datenlage liegt in der verzögerten Umsetzung der NIS-2-Richtlinie. Die Frist für die Überführung in nationales Recht lief im Herbst 2024 ab, eingehalten haben sie nach Angaben des Rechnungshofs zwei Mitgliedstaaten. Solange die Umsetzung aussteht, sind die betroffenen Unternehmen und Einrichtungen rechtlich nicht zur Meldung verpflichtet. Der Sprung ist beträchtlich: Unter die alte NIS-Richtlinie fielen nach Kommissionsschätzung rund 15.500 Einrichtungen, in den Anwendungsbereich von NIS2 fallen mehr als 110.000. Die öffentliche Verwaltung, laut ENISA der am stärksten betroffene Sektor in der EU, war unter der alten Regelung überhaupt nicht meldepflichtig. Österreich hat seine Umsetzung im heurigen Jahr auf den Weg gebracht.

Hinzu kommen rechtliche Grenzen: Stuft ein Mitgliedstaat Informationen über Angriffe auf kritische Einrichtungen als Verschlusssache ein, muss er sie nicht weitergeben. Eine EU-weite Analyse, wie stark die nationalen Sicherheitsgesetze den Austausch tatsächlich einschränken, gibt es bislang nicht. Der Rechnungshof empfiehlt, genau das nachzuholen.

Warnsystem noch nicht in Betrieb

Das mit der Cybersolidaritätsverordnung geschaffene europäische Warnsystem für Cybersicherheit soll die Erkennung von Bedrohungen verbessern, indem kleinere Gruppen von Mitgliedstaaten in grenzüberschreitenden Cyber-Hubs enger zusammenarbeiten. Zwei solche Hubs sind eingerichtet: ATHENA mit Bulgarien, Griechenland, Zypern und Malta sowie ENSOC mit Spanien, Italien, Luxemburg, den Niederlanden, Österreich, Portugal und Rumänien. Ein dritter Hub erhielt heuer Mittel, womit das Netzwerk auf 20 Länder wächst.

Betriebsbereit ist zum Prüfzeitpunkt keiner der beiden bestehenden Hubs. Die zweistufigen Vergabeverfahren für die nötigen Erkennungsinstrumente zogen sich, 18 Monate nach ihrem Start war für kein einziges Los ein Vertrag unterzeichnet. Die Laufzeiten der Finanzhilfevereinbarungen wurden um 15 beziehungsweise 18 Monate verlängert. Ohne Werkzeuge lagen die Tätigkeiten der Hubs still, das Warnsystem funktioniert bislang nicht. Auch Kooperationsvereinbarungen, eine gemeinsame Taxonomie und Interoperabilitätsstandards fehlen noch, obwohl die grenzüberschreitenden Hubs gleichzeitig zusätzliche Kommunikationsebenen in eine ohnehin komplexe Landschaft einziehen.

Reserve wird eher zur Vorsorge genutzt

Die EU-Cybersicherheitsreserve ist mit 36 Millionen Euro für 2025 bis 2027 ausgestattet und soll Mitgliedstaaten bei der Reaktion auf schwere Vorfälle und bei der Wiederherstellung unterstützen. Die ENISA schließt dafür Vorverträge mit privaten Anbietern ab, was einen raschen Einsatz ermöglicht. Der Rechnungshof bewertet diesen Mechanismus grundsätzlich positiv.

Zwei Einschränkungen führt er an. Erstens werden die Mittel gleichmäßig auf die Mitgliedstaaten aufgeteilt, ohne deren jeweiligen Bedarf zu berücksichtigen: Ruft ein Land seine vorreservierten Dienste nicht ab, lassen sie sich nicht auf ein anderes Land umlenken. Zweitens zeigen die Erfahrungen aus dem Vorläuferprogramm, dass Mitgliedstaaten die Mittel bevorzugt in Vorsorge stecken. Im Jahr 2023 entfielen 84 Prozent der Ausgaben auf Abwehrbereitschaft, und für den Zeitraum 2024 bis 2026 beantragten lediglich neun Mitgliedstaaten abrufbare Reaktionsdienste. Damit besteht laut Bericht das Risiko, dass die Reserve entgegen ihrer Zweckbestimmung primär zur Vorsorge genutzt wird.

Doppelgleisigkeiten im Lagezentrum

Kritisch sieht der Rechnungshof auch das 2022 eingerichtete Cyber-Lagezentrum der Generaldirektion Connect. Für dessen Betrieb wurde ein Auftrag über knapp 18 Millionen Euro mit vier Jahren Laufzeit an externe Dienstleister vergeben. Die dort erbrachte Arbeit zur Lageerfassung und Bedrohungsüberwachung überschneidet sich nach den Feststellungen der Prüfer:innen teilweise mit dem, was die ENISA ohnehin dauerhaft leistet. Das Rationalisierungspotenzial sei bei der Einrichtung nicht ausreichend genutzt worden. Der Vertrag läuft mit Jahresende 2026 aus, einen umfassenden Plan für die Zeit danach gab es zum Prüfzeitpunkt nicht.

Förderprogramm mit Schwächen in der Kontrolle

Die Cybersicherheit wird im laufenden Finanzrahmen vor allem über das Programm „Digitales Europa“ finanziert, das insgesamt 8,1 Milliarden Euro umfasst, davon 1,4 Milliarden für Cybersicherheit. Der Rechnungshof prüfte elf Projekte. Alle verfolgen relevante Ziele, einige liefern greifbare Ergebnisse, etwa ein Sicherheitseinsatzzentrum für griechische KMU oder ein irisches Förderprogramm, das mehr als 50 kleinen Unternehmen rund 1,8 Millionen Euro für Cybersicherheitsmaßnahmen bereitstellte. Von den bewertbaren Projekten stuften die Prüfer:innen vier als zufriedenstellend ein, zwei zeigten Schwachstellen, drei fielen durch.

Ein sicherheitspolitisch heikler Punkt betrifft die Eigentümerprüfung. Cybersicherheitsförderungen können auf Rechtsträger beschränkt werden, die in der EU ansässig und von Mitgliedstaaten oder EU-Bürger:innen kontrolliert werden. Im Zeitraum 2022 bis 2025 bestanden 7 Prozent aller Antragsteller:innen oder ihrer Unterauftragnehmer:innen diese Bewertung nicht. Wird Geld allerdings als finanzielle Unterstützung an Dritte weitergereicht, prüfen die Projektbegünstigten selbst, nach eigener Methodik. Das Europäische Kompetenzzentrum für Cybersicherheit validiert diese Methodik weder, noch führt es Stichproben durch. Der Rechnungshof sieht darin ein erhebliches Risiko, das sensible Infrastrukturen, operative Daten und sicherheitskritische Technologien exponieren könnte.

Schließlich attestiert der Bericht dem Leistungsrahmen grundlegende Schwächen. Etappenziele und Indikatoren sind vielfach nicht messbar oder ohne Zielwerte definiert, ein Projekt arbeitet mit 52 Indikatoren. Von sieben Projekten, die zur Halbzeitmeldung verpflichtet waren, berichteten drei über die Programmindikatoren, zwei davon fehlerhaft. Die Programmleistungsberichte der Kommission weisen die Cybersicherheitsindikatoren als planmäßig aus. Der Rechnungshof konnte nicht nachvollziehen, wie diese Werte zustande kommen, und hält die gemeldeten Daten für nicht aussagekräftig.

Fünf Empfehlungen

Der Rechnungshof legt fünf Empfehlungen vor. Die Kommission soll gemeinsam mit der ENISA analysieren lassen, welche nationalen Sicherheitsvorschriften den Austausch bremsen, und Lösungen für Echtzeitmeldungen an die ENISA entwickeln. Die Lageerfassungskapazitäten von Kommission und ENISA sollen zusammengeführt werden. Für das europäische Warnsystem braucht es Kooperationsvereinbarungen und Interoperabilitätsstandards. Das Kompetenzzentrum soll die Eigentümerprüfungen bei weitergereichten Mitteln absichern und den Leistungsüberwachungsrahmen des Programms überarbeiten. Die Zieldaten reichen von 2026 bis 2028.