So kamen sie herein: zehn echte Fälle von physischen Hacks und Sabotage

In den letzten Wochen haben wir über die PHP-Lücke vom 21. Oktober und über die Sicherheit des smarten Gebäudes geschrieben. Diesmal geht es um die Seite, die oft vergessen wird: die physische. Denn eine Firewall hilft nicht, wenn jemand einfach hereinkommt. Wir stellen zehn echte Fälle vor: was passiert ist, wie groß der Schaden war und wie es sich hätte verhindern lassen.

Wer hereinkommt, ist im Netzwerk

Fall 1: der falsche Techniker bei Barclays (London, 2013)

Was ist passiert? Im April 2013 meldete sich ein Mann in einer Filiale der britischen Bank Barclays in London. Er sagte, er komme, um die Computer zu reparieren. Er schloss ein kleines Gerät an einen Computer im Backoffice an: einen KVM-Switch mit einer mobilen Internetverbindung. Damit konnte die Bande den Computer aus der Ferne steuern, von einem Hotel in der Nähe aus.

Der Schaden: In 128 Überweisungen verschwanden gut 1,25 Millionen Pfund. Etwa 600.000 Pfund kamen später zurück. Einige Monate später versuchte die Bande dasselbe in einer Filiale von Santander. Dort ging es für die Täter schief: Die Polizei griff ein, bevor Geld weg war. 2014 wurden fünf Mitglieder der Bande verurteilt.

Wie hätte es sich verhindern lassen? Lassen Sie keinen Techniker ohne Termin herein, und rufen Sie im Zweifel selbst beim Lieferanten an. Lassen Sie Besucher nicht allein in Räumen mit IT. Und sorgen Sie dafür, dass das Netzwerk ein unbekanntes Gerät nicht einfach zulässt.

Fall 2: Hilfe von innen bei Sumitomo Mitsui (London, 2004)

Was ist passiert? In der Londoner Niederlassung der japanischen Bank Sumitomo Mitsui ließ der eigene Wachmann eine Gruppe Krimineller nach Büroschluss herein. Sie installierten Keylogger auf Computern: kleine Geräte oder Programme, die alles speichern, was jemand tippt, auch Passwörter.

Der Schaden: Mit den gestohlenen Zugangsdaten versuchten die Täter, etwa 229 Millionen Pfund auf Konten im Ausland zu überweisen. Das scheiterte an Fehlern bei der Eingabe. Es ging kein Geld verloren, aber es war knapp. 2009 folgten Verurteilungen.

Wie hätte es sich verhindern lassen? Geben Sie niemandem allein Zutritt außerhalb der Bürozeiten, halten Sie fest, wer wann im Gebäude ist, und prüfen Sie diese Daten auch. Kontrollieren Sie Computer regelmäßig auf fremde Geräte zwischen Tastatur und Computer.

Fall 3: Einbruch für den Drogenschmuggel im Hafen von Antwerpen (2011 bis 2013)

Was ist passiert? Drogenhändler wollten die Daten von Containern im Antwerpener Hafen ändern, damit ihre Container unbemerkt abgeholt werden konnten. Als ein Angriff per E-Mail nicht funktionierte, brachen sie in Büros von Hafenfirmen ein. Sie installierten Keylogger auf den Computern.

Der Schaden: Etwa zwei Jahre lang verließen Container mit Drogen den Hafen, ohne dass es jemand merkte. Die belgische und die niederländische Polizei arbeiteten zusammen, und 2013 wurden fünfzehn Personen festgenommen.

Wie hätte es sich verhindern lassen? Büros gut abschließen und mit einer Alarmanlage sichern, Computer auf fremde Geräte prüfen und die Systeme für den Betrieb vom normalen Büronetzwerk trennen.

Ein kleines Gerät, eine große Tür

Fall 4: ein USB-Stick im Hafen (Antwerpen und Rotterdam, 2020)

Was ist passiert? Ein Niederländer überredete einen Mitarbeiter eines Containerterminals in Antwerpen, einen USB-Stick in einen Arbeitscomputer zu stecken. Auf dem Stick war Schadsoftware. So bekam die Gruppe Zugang zu den Systemen für Container, Zufahrtstore und Ausweise des Personals. Außerdem stahlen sie die Standorte der Kameras und Grundrisse des Terminals.

Der Schaden: Der Zugang half beim Schmuggel von 210 Kilo Kokain, die im September 2020 in Rotterdam abgefangen wurden. Im Januar 2026 verurteilte das Berufungsgericht Amsterdam den Mann in zweiter Instanz zu sieben Jahren Haft.

Wie hätte es sich verhindern lassen? Sperren Sie USB-Sticks an Arbeitscomputern. Trennen Sie die Systeme für Zutritt und Kameras vom Büronetzwerk. Und halten Sie fest, welche Geräte ins Netzwerk gehören, damit ein neues Gerät auffällt.

Fall 5: ein Raspberry Pi bei der NASA (Vereinigte Staaten, 2018)

Was ist passiert? Im Netzwerk des Jet Propulsion Laboratory der NASA hing ein Raspberry Pi, ein kleiner Computer für ein paar Dutzend Euro. Er war ohne Erlaubnis angeschlossen und stand nicht auf der Liste der Geräte. Ein Angreifer nutzte das Gerät als Eingang. Weil das Netzwerk nicht gut aufgeteilt war, konnte er danach in andere Teile weiter.

Der Schaden: Laut dem Prüfbericht des Generalinspekteurs der NASA verschwanden etwa 500 Megabyte an Daten, unter anderem über eine Marsmission. Zur Vorsicht wurden einige Systeme zeitweise vom Netz getrennt.

Wie hätte es sich verhindern lassen? Führen Sie eine vollständige Liste aller Geräte im Netzwerk, lehnen Sie unbekannte Geräte ab und teilen Sie das Netzwerk in getrennte Bereiche auf. Ein kleiner Computer hinter einem Schrank oder unter einem Schreibtisch fällt nur auf, wenn jemand gezielt danach sucht.

Einbruch und Sabotage der Infrastruktur

Fall 6: Einbruch in einen Netzwerkstandort von Vodafone (Basingstoke, 2011)

Was ist passiert? In der Nacht zum 28. Februar 2011 brachen Einbrecher die Tür eines unbemannten Netzwerkstandorts von Vodafone im englischen Basingstoke auf. Sie nahmen Netzwerkswitches und andere Geräte mit.

Der Schaden: In Teilen Südenglands fielen Telefonie, SMS und mobiles Internet für sehr viele Kunden aus. Laut Vodafone wurden keine Kundendaten erbeutet.

Wie hätte es sich verhindern lassen? Eine stabile Tür, eine Alarmanlage mit schneller Reaktion, Kameras und ein Netzwerk, das nicht von einem einzigen Standort abhängt.

Fall 7: zwei durchtrennte Kabel bei der Deutschen Bahn (Deutschland, 2022)

Was ist passiert? Am 8. Oktober 2022 wurden an zwei Stellen Glasfaserkabel des Funksystems durchtrennt, über das Lokführer und Fahrdienstleitung in Kontakt bleiben. Die beiden Kabel sollten sich eigentlich gegenseitig als Reserve dienen.

Der Schaden: Der Zugverkehr in Norddeutschland stand etwa drei Stunden still. Die Täter wurden nicht gefunden.

Wie hätte es sich verhindern lassen? Echte Reserve bedeutet zwei Verbindungen ohne gemeinsame Schwachstelle, auf verschiedenen Wegen. Kabelkanäle und Schächte müssen verschlossen und gesichert sein.

Fall 8: Glasfaser durchtrennt während der Olympischen Spiele (Frankreich, 2024)

Was ist passiert? In der Nacht vom 28. auf den 29. Juli 2024, während der Olympischen Spiele, wurden Kabel mehrerer französischer Telekommunikationsanbieter durchtrennt, in etwa neun Departements. Einige Tage zuvor war die französische Bahn bereits Ziel von Brandanschlägen.

Der Schaden: Örtlich fielen Internet, Festnetz und Mobilfunk aus. Allein beim Anbieter SFR betraf es etwa 10.000 Festnetzanschlüsse.

Wie hätte es sich verhindern lassen? Bei Kabeln im öffentlichen Raum ist das kaum ganz zu verhindern. Aber ein Gebäude mit zwei Anschlüssen von verschiedenen Anbietern, über zwei getrennte Hauseinführungen, bleibt erreichbar, wenn ein Kabel durchtrennt wird.

Fall 9: brennende Mobilfunkmasten (Niederlande, 2020)

Was ist passiert? Zwischen dem 3. April und dem 26. Mai 2020 wurden in den Niederlanden 29 Mobilfunkmasten in Brand gesteckt, so die niederländische Staatsanwaltschaft. Der Anlass waren Verschwörungstheorien über 5G.

Der Schaden: Örtlich fiel der Mobilfunkempfang aus, auch für Rettungsdienste. Es wurden Verdächtige festgenommen.

Was bedeutet das für Gebäude? Antennen und Technikräume auf dem Dach gehören hinter ein Schloss und eine Alarmanlage. Und wer von mobilem Internet abhängt, braucht eine feste Verbindung als Reserve.

Fall 10: Brand an einer Kabelbrücke legt Berlin ohne Strom (Deutschland, 2026)

Was ist passiert? Am 3. Januar 2026 legten Täter Feuer an einer Kabelbrücke über einen Kanal in Berlin. Fünf Hochspannungskabel wurden zerstört. Eine linksextremistische Gruppe bekannte sich zu dem Anschlag.

Der Schaden: Etwa 45.000 Haushalte und gut 2.200 Firmen waren ohne Strom, viele auch ohne Heizung und Internet. Es dauerte etwa fünf Tage, bis alle wieder Strom hatten.

Was bedeutet das für Gebäude? Wissen Sie, was funktioniert, wenn der Strom lange ausfällt. Eine Notstromversorgung für die wichtigste IT, ein Plan für Ausfälle und Absprachen mit Lieferanten machen den Unterschied zwischen ein paar Stunden und ein paar Tagen Stillstand.

Wie oft passiert das?

Physische Angriffe sind keine Seltenheit. Der deutsche Branchenverband Bitkom befragte 2024 1.003 Unternehmen nach ihren Erfahrungen. 62 Prozent waren vom Diebstahl von IT- oder Telefongeräten betroffen oder vermuteten das. 26 Prozent erlebten physische Sabotage von Systemen oder Abläufen, 9 Prozentpunkte mehr als im Jahr davor. Aber nur 54 Prozent hatten Maßnahmen ergriffen, um die IT vor physischen Angriffen zu schützen.

Was die Fälle gemeinsam haben

• Die Tür war die Schwachstelle, nicht die Software. In keinem dieser Fälle hätte eine bessere Firewall geholfen.
• Vertrauen wurde missbraucht. Ein falscher Techniker, ein eigener Wachmann, ein Mitarbeiter, der überredet wurde. Menschen lassen schnell jemanden mit einer guten Geschichte herein.
• Kleine Geräte, große Folgen. Ein KVM-Switch, ein Keylogger, ein USB-Stick oder ein Raspberry Pi: alle klein, billig und leicht zu verstecken.
• Ein Netzwerk für alles. Wer an einer Stelle drin war, kam oft weiter.
• Eine Reserve, die keine Reserve war. Zwei Kabel auf demselben Weg oder ein einziger Standort, an dem alles zusammenläuft.
• Niemand hat hingeschaut. Was nicht auf der Liste steht und nicht kontrolliert wird, fällt nicht auf.

So verhindern Sie es: zehn Maßnahmen

1. Halten Sie den Serverraum und die Patchschränke verschlossen, und wissen Sie, wer einen Schlüssel oder Ausweis hat.
2. Halten Sie fest, wer wann im Gebäude war, und prüfen Sie diese Daten.
3. Lassen Sie keinen Techniker ohne Termin herein, und fragen Sie im Zweifel beim Lieferanten nach.
4. Lassen Sie Besucher nicht allein in Räumen mit IT.
5. Sorgen Sie dafür, dass das Netzwerk unbekannte Geräte ablehnt.
6. Führen Sie eine Liste aller Geräte im Netzwerk.
7. Sperren Sie USB-Sticks an Computern, wo das möglich ist.
8. Trennen Sie das Büronetzwerk von Gästen, anderen Mietern und den Gebäudesystemen.
9. Sorgen Sie für eine zweite Verbindung, über einen anderen Weg und eine getrennte Hauseinführung.
10. Wissen Sie, was funktioniert, wenn der Strom ausfällt, und sorgen Sie für Notstrom für die wichtigste IT.

Mehr über die physische Sicherheit von IT-Räumen lesen Sie in Die Tür zu Ihrem Serverraum.

Wo das IT-Label und unsere Services helfen

• IT-Label Security Audit. Ein Spezialist prüft vor Ort Ihr WLAN, Ihre Netzwerkgeräte, Ihren Serverraum und Patchschrank, die Stelle, an der die Internetverbindung ins Gebäude kommt, unbekannte Geräte im Netzwerk und die Trennung zwischen Netzwerken. Sie erhalten einen Bericht mit den Risiken und einer Empfehlung pro Risiko.
• Das IT-Label. Das IT-Label bewertet die digitale Infrastruktur eines Gebäudes in sechs Bereichen. Die physische Einrichtung von Server- und Patchräumen gehört zum Bereich Infrastruktur. Außerdem sehen Sie, ob ein Gebäude eine zweite Verbindung hat.
• Vorinspektion. Ein erster Blick darauf, wo Ihr Gebäude digital steht, mit den wichtigsten Verbesserungspunkten.
• Digital Due Diligence. Für alle, die ein Gebäude kaufen, verkaufen oder neu entwickeln: die physische und digitale Infrastruktur im Überblick.
• IT-Label Smart Control. Für alle, die die IT eines Gebäudes dauerhaft im Blick behalten lassen wollen, auch nach der Inspektion.

Häufig gestellte Fragen

Gibt es physische Hacks auch bei kleinen Firmen?

Ja. Die bekannten Fälle betreffen oft Banken und Häfen, aber die Methode ist einfach und billig. Ein offener Patchschrank im Flur oder ein Netzwerkanschluss im Besprechungsraum ist in jedem Büro ein Risiko.

Was ist ein KVM-Switch?

Ein KVM-Switch ist ein kleines Gerät, mit dem man mit einer Tastatur, einem Bildschirm und einer Maus mehrere Computer bedient. Mit einer mobilen Internetverbindung dazu kann jemand einen Computer aus der Ferne steuern, ohne dass es auffällt.

Wer ist für die Technikräume verantwortlich: der Vermieter oder der Mieter?

Das hängt von den Absprachen ab. Oft ist der Eigentümer für die Technikräume des Gebäudes verantwortlich und der Mieter für die eigenen Geräte. Halten Sie das in einer Demarkationsliste fest, damit klar ist, wer den Schlüssel verwaltet.

Wie erkenne ich, ob fremde Geräte in meinem Netzwerk sind?

Bitten Sie Ihren IT-Partner um eine Übersicht aller Geräte im Netzwerk, und vergleichen Sie sie mit dem, was da sein sollte. Bei einem Security Audit achten wir auch auf Geräte, die ungeschützt oder unbekannt im Netzwerk sind.

Hilft eine zweite Internetverbindung gegen Sabotage?

Ja, wenn sie wirklich unabhängig ist: von einem anderen Anbieter, über einen anderen Weg und eine getrennte Hauseinführung ins Gebäude. Zwei Verbindungen im selben Kabelkanal fallen zusammen aus.

Wissen Sie, wo Ihr Gebäude verwundbar ist

Die Täter in diesen Fällen suchten den einfachsten Weg hinein. Sorgen Sie dafür, dass dieser Weg bei Ihnen verschlossen ist. Fordern Sie ein Security Audit an oder beginnen Sie mit einer Vorinspektion.

Quellen: The Register, Barclays und Santander (2014); The Register, Sumitomo Mitsui (2009); ASIS, Hafen von Antwerpen (2014); The Record, Urteil des Berufungsgerichts Amsterdam (2026); NASA OIG, Bericht IG-19-022 (2019); Data Center Knowledge, Vodafone (2011); Deutsche Bahn, Oktober 2022; Euronews, Frankreich (2024); Niederländische Staatsanwaltschaft, Brände an Mobilfunkmasten; ZDF, Stromausfall Berlin (2026); Bitkom, Wirtschaftsschutz 2024.