EU-Rechnungshof kritisiert Lücken bei der Abwehr von Cyberangriffen
Der Europäische Rechnungshof sieht die EU nicht ausreichend auf große Cyberangriffe vorbereitet. Besonders der mangelnde Informationsaustausch zwischen den Mitgliedstaaten sei eine Schwachstelle, wie der Fall eines Angriffs auf europäische Flughäfen im September 2025 zeige.
Der Europäische Rechnungshof hat die EU davor gewarnt, dass sie auf die Abwehr großer Cyberangriffe nicht ausreichend vorbereitet ist. In einem aktuellen Bericht stellen die unabhängigen Prüfer fest, dass die Mitgliedstaaten und EU-Institutionen stärker zusammenarbeiten müssten, um Informationen besser auszutauschen und Überschneidungen zu vermeiden. Als größte Schwachstelle benennen sie den unzureichenden Informationsfluss zwischen den Ländern.
«Dass Informationen nicht weitergegeben werden, bedeutet, dass Mitgliedstaaten nicht von dem Wissen und den Erfahrungen anderer profitieren können», kritisierte George-Marius Hyzler, Prüfer beim Europäischen Rechnungshof, bei einer Pressekonferenz. Die fehlende Weitergabe von Erkenntnissen über Angriffe und Abwehrmaßnahmen führe dazu, dass Synergien ungenutzt blieben und sich die EU nicht als gemeinsamer Verteidigungsraum aufstellen könne.
Wie folgenreich Cyberattacken für Bürger und Unternehmen in Europa sein können, zeigte sich im September 2025. Ein umfangreicher Angriff auf einen IT-Dienstleister legte die Passagierabfertigung an mehreren europäischen Flughäfen lahm. Betroffen waren unter anderem die Flughäfen in Berlin, Brüssel, Dublin und London. Die Airlines mussten das Einchecken von Passagieren teilweise per Hand oder mit externer Technik durchführen, was zu erheblichen Verzögerungen und Störungen im Betriebsablauf führte.
Trotz der gravierenden Auswirkungen des Vorfalls hätten die betroffenen Mitgliedstaaten Deutschland, Belgien und Irland die Attacke weder der EU-Cybersicherheitsagentur Enisa noch den anderen Mitgliedsländern gemeldet, heißt es in dem Bericht. Dadurch seien Potenziale für eine gemeinsam koordinierte Abwehr des Angriffs ungenutzt geblieben. Der Rechnungshof sieht darin ein grundsätzliches Problem: Nationale Sicherheitsinteressen und rechtliche Hürden bremsen den Informationsaustausch.
Nach den geltenden Rechtsvorschriften sind Mitgliedstaaten nicht verpflichtet, Informationen über Cyberangriffe auf kritische Einrichtungen weiterzugeben, wenn sie diese als Verschlusssache einstufen oder eine Gefährdung der nationalen Sicherheit befürchten. Diese Ausnahmeregelungen führen nach Einschätzung der Prüfer dazu, dass entscheidende Erkenntnisse über Angriffsmuster und wirksame Gegenmaßnahmen nicht diejenigen erreichen, die sie am dringendsten benötigen.
Die Verantwortung für die Bekämpfung von Cyberangriffen liegt grundsätzlich bei den Mitgliedstaaten. Erst wenn Störungen mehrere Länder betreffen oder die reibungslose Funktion des Binnenmarktes beeinträchtigen, können EU-Behörden eingreifen und die Länder unterstützen. Der Rechnungshof fordert daher eine bessere Verzahnung der nationalen und europäischen Ebene, damit die EU als Ganzes schneller und effektiver auf groß angelegte Angriffe reagieren kann.
Der Europäische Rechnungshof prüft die Ausgaben der EU und kontrolliert, ob die Mittel effektiv eingesetzt werden. Sein Bericht fällt in eine Zeit, in der die Bedrohung durch Cyberangriffe auf kritische Infrastrukturen in ganz Europa zunimmt. Die Prüfer mahnen, dass die bisherigen Strukturen und der freiwillige Charakter des Informationsaustauschs nicht ausreichen, um der wachsenden Gefahr zu begegnen.
Die EU-Kommission und die Mitgliedstaaten stehen nun vor der Aufgabe, die Empfehlungen des Rechnungshofs umzusetzen. Ob und in welchem Umfang dies geschieht, bleibt abzuwarten. Klar ist jedoch, dass die Sicherheit der digitalen Infrastruktur in Europa maßgeblich davon abhängt, wie gut die Staaten zusammenarbeiten und ob sie bereit sind, nationale Egoismen zugunsten einer gemeinsamen Verteidigungsstrategie zurückzustellen.
7
