Cyber Eeurope 2026

Ein Kontinent im Krisenmodus

Züge bleiben plötzlich auf offener Strecke stehen. Reisende geraten in Panik, Lieferketten ins Stocken und Unternehmen sowie Behörden in Alarmbereitschaft. Bei der „Cyber Europe 2026“ trainierten am 10. und 11. Juni 2026 rund 30 Staaten den Ernstfall.

Cyber-Angriffe gehören längst zu den realen Bedrohungen für Behörden, Unternehmen und kritische Infrastruktur. Um Abläufe und Zusammenarbeit für den Ernstfall zu erproben, organisiert die Agentur der Europäischen Union für Cybersicherheit (ENISA) alle zwei Jahre die europaweite Großübung „Cyber Europe“. Das internationale Grundszenario wird zentral entwickelt und von den teilnehmenden Staaten an ihre jeweiligen nationalen Gegebenheiten angepasst. In Österreich lag diese Aufgabe heuer erstmals beim Bundesministerium für Inneres. Verantwortlich für die nationale Umsetzung waren Martin Merka und Wilhelm Ehn.
Martin Merka ist seit 2015 in der Abteilung IV/S/2 des Innenministeriums schwerpunktmäßig mit Cyber-Sicherheit und Awareness befasst, zuvor war er im Cyber Security Center tätig. Mit 1. Oktober 2026 wurde die Abteilung auf Grundlage des NIS-Gesetzes 2026 in das neue Bundesamt für Cybersicherheit übergeführt.
Zweimal koordinierte Merka das BMI-Team für „Cyber Europe“. Die erstmalige Übernahme der nationalen Koordination durch das Innenministerium brachte jedoch deutlich umfangreichere Aufgaben mit sich. Wilhelm Ehn, der ebenfalls seit vielen Jahren im Bereich Cyber-Sicherheit im BMI arbeitet, war vor der Übung unter anderem für die Szenarien-Entwicklung und währenddessen für die fachliche Begleitung der technischen Aufgaben verantwortlich.
„Eine unserer Herausforderungen war es, ohne tiefgehende Kenntnis des betroffenen Wirtschaftssektors geeignete Mitspielende zu identifizieren, zu kontaktieren und für eine Teilnahme zu gewinnen“, sagt Martin Merka. Bei der Auswahl unterstützte die Schienen-Control GmbH das BMI. Damit stützte sich die Auswahl auf eine neutrale fachliche Empfehlung und eine Bevorzugung einzelner Unternehmen durch das BMI wurde vermieden. Über mehrere Monate passte das Übungsleitungs­team das Szenario gemeinsam mit den teilnehmenden Unternehmen und Organisationen an die nationalen Gegebenheiten an.

Der Angriff beginnt.

Im Mittelpunkt der Übung standen die schienengebundene und die maritime Infrastruktur. Zu den teilnehmenden Organisationen in Österreich gehörten unter anderem die ÖBB-Infrastruktur AG, die WESTbahn, die Wiener Linien, Metrans, Frequentis und RailNetEurope. Die Teilnehmenden arbeiteten an ihren regulären Arbeitsplätzen und wurden laufend mit neuen Lageentwicklungen konfrontiert. Auf die simulierten Vorfälle sollten sie so reagieren, wie sie es auch im Ernstfall tun würden.
Parallel dazu nahmen auch die staatlichen Stellen ihre Aufgaben so wahr, wie sie es im Ernstfall tun würden. Beteiligt waren unter anderem die NIS-Behörde, die Operative Koordinierungsstruktur (OpKoord), ihr Innerer Kreis (IKDOK), das nationale CERT, GovCERT sowie das staatliche Krisen- und Katastrophenmanagement (nähere Informationen im Infokasten). Eine Besonderheit war die Doppelrolle des Bundesministeriums für Innovation, Mobilität und Infrastruktur: Es war sowohl als zuständige Aufsichtsbehörde für den Schienensektor als auch als simuliertes Angriffsziel in die Übung eingebunden. „Eine doppelte Herausforderung, die die Kolleginnen und Kollegen vorbildlich meisterten“, sagt Merka.

Kommunikation.

Je komplexer eine Krise ist, desto wichtiger wird der Informationsaustausch. Darin lag aus Sicht der Übungsleitung eine der größten Herausforderungen: Zu Beginn verfügt jede Organisation nur über einen Ausschnitt der Gesamtlage. „Während beispielsweise ein Unternehmen noch in einem normalen Störungsmodus arbeitet, wird bei einem anderen bereits ein Krisenstab gebildet“, erklärt Martin Merka. „Zudem gelten bei den Beteiligten unterschiedliche Geheimhaltungs-, Weitergabe- und Need-to-Know-Prinzipien. Das kann die Entwicklung eines gemeinsamen Lagebildes erschweren“, ergänzt der Übungsleiter.
Der Informationsaustausch wurde während der beiden Übungstage intensiv trainiert. Unternehmen meldeten sicherheitsrelevante Vorfälle an die zuständigen Computer-Notfallteams. Diese leiteten die Informationen an die NIS-Behörde weiter – und zwar nicht über eine eigens eingerichtete Übungsplattform, sondern über die tatsächlich eingesetzte NIS-Meldeplattform. Von dort flossen die Meldungen in die Operative Koordinierungsstruktur und ihren „Inneren Kreis“, wo Expertinnen und Experten mehrerer Ministerien die Gesamtlage bewerteten.

Internationale Zusammenarbeit.

Cyber-Angriffe machen nicht an Staatsgrenzen halt. Entsprechend wichtig war während der Übung die internationale Zusammenarbeit. Dabei arbeiteten zwei Ebenen parallel: Das Netzwerk EU-CyCLONe befasste sich mit dem strategischen Krisenmanagement und dem europaweiten Lagebild, während das CSIRTs-Netzwerk den technischen Informationsaustausch zwischen den Computer-Notfallteams der Mitgliedstaaten koordinierte.
„Der Mehrwert dieser europaweiten Stresstests liegt in der unmittelbaren Überprüfung unserer Meldewege und Reaktionspläne unter Hochdruck“, sagt Merka. „Nur wenn Informationen rasch fließen, Zuständigkeiten klar geregelt sind und alle Beteiligten einander kennen, kann eine Krise effizient bewältigt werden.“
Darin liegt auch die Bedeutung von „Cyber Europe“. Die Übung überprüft nicht nur technische Fähigkeiten, sondern vor allem das Zusammenspiel zwischen Unternehmen, Behörden und internationalen Partnern. Entscheidend ist, ob die vorgesehenen Meldewege, Zuständigkeiten und Koordinationsprozesse auch unter Krisenbedingungen funktionieren. Merka fasst es so zusammen: „Die Sicherheit unserer kritischen Infrastruktur erfordert nicht nur technische Expertise, sondern vor allem klar definierte und bewährte Koordinationsprozesse. Dieser ressortübergreifende Schulterschluss ist das Fundament unserer nationalen Cybersicherheitsarchitektur.“

Lisa-Maria Unterberger

---

Öffentliche Sicherheit, Ausgabe 11-12/2026
 Druckversion des Artikels (pdf, 87 kB)