Cyberangriff auf spanische Bahnunternehmen ADIF und RENFE Ende September

Renfe und Adif waren Opfer eines Cyberangriffs, der die Isolierung der Systeme erforderlich machte, die beide Unternehmen verbinden, und bei dem angeblich 500 Gigabyte an Informationen abgezogen wurden. Der Zugverkehr und die Betreuung der Reisenden laufen normal weiter.

Renfe und Adif, die beiden zentralen Säulen des spanischen Bahnsystems, wurden im September 2026 Ziel eines Cyberangriffs. Der Angriff kompromittierte begrenzte Nutzerdaten und machte die Isolierung der Systeme erforderlich, die beide Unternehmen miteinander verbinden. Der Zugverkehr war nicht betroffen, die Betreuung der Reisenden lief normal weiter. Renfe verortet den Ursprung des Vorfalls auf Adif-Servern, die bereits zuvor angegriffen worden waren und mit den Systemen des Betreibers vernetzt waren.

Das Ausmaß des Angriffs bemisst sich in Daten. Durch den Einbruch sollen **500 Gigabyte** an Informationen abgezogen worden sein, wobei noch unbekannt ist, welche Dateien diese Daten enthalten. Der Untersuchung nahestehende Quellen, auf die sich **El Mundo** beruft, verlegen den Zeitpunkt der größten Datenmenge auf den Donnerstag; die Herkunft der verantwortlichen Gruppe ist weiterhin ungeklärt.

## Welche Nutzerdaten kompromittiert wurden

Renfe hat mitgeteilt, dass die Angreifer hauptsächlich auf Namen und E-Mail-Adressen zugreifen konnten. Der Betreiber hat keine eindeutigen Beweise dafür gefunden, dass diese Informationen öffentlich verbreitet wurden. Es gibt auch keine Hinweise auf Zugriffe auf Bank-, Finanz- oder Zahlungsdaten, Personalausweisdaten oder andere besonders sensible Informationen.

Man sollte das Bestätigte von dem trennen, was noch eine Arbeitshypothese ist. Dass die Angreifer an diese Daten gelangt sind, bedeutet nicht, dass sie sie veröffentlicht haben. Die Untersuchung läuft weiter, die Herkunft der verantwortlichen Gruppe ist weiterhin ungeklärt.

## Die Nacht des 24. September und die Isolierung der Systeme

Adif bemerkte in der Nacht zum **24. September** ungewöhnliche Aktivitäten in seinen Systemen. Seine Cybersicherheitstools arbeiteten daran, sie einzudämmen, auf die Angriffe zu reagieren und mögliche Auswirkungen zu begrenzen, so Quellen des Unternehmens. Nach den verfügbaren technischen Hinweisen waren die mit Adif vernetzten Systeme von Renfe Ziel des Angriffs.

Das Unternehmen aktivierte seine Reaktionsprotokolle, isolierte die betroffenen Umgebungen und ergriff mit Unterstützung unabhängiger Cybersicherheitsenscybersicherheit außerordentliche Schutzmaßnahmen. Renfe bringt den Vorfall mit mehreren Wochen andauernder Angriffsversuche auf seine Systeme in Verbindung. Das Unternehmen erklärt, diese Angriffe vor dem Einbruch mit seinen Schutzmechanismen erkannt und blockiert zu haben.

## Die Adif-Website als mutmaßliches Einfallstor im Visier der Ermittler

Die Ermittler vermuten den möglichen ersten Zugriff auf der Website von Adif. Von dort sollen die Täter in die Cloud-Infrastruktur des Unternehmens und anschließend in Systeme gelangt sein, die mit Renfe verbunden sind. Die Ermittler prüfen, ob die Täter ein KI-System nutzten, um Schwachstellen zu finden, bis sie einen Zugang entdeckten, wie **El Mundo** berichtete.

Das Vorgehen zeigt Ähnlichkeiten mit Einbrüchen, die auf künstlicher Intelligenz basieren, allerdings wird auch geprüft, ob ein menschlicher Fehler bei Adif den ersten Zugriff erleichtert haben könnte. Die Ermittlungen müssen noch klären, wie der Zugang zu den Systemen erfolgte und welche Rolle die künstliche Intelligenz dabei spielte, sofern überhaupt.

## Anzeige beim CCN und weiterhin laufende Dienste

Adif erstattete Anzeige und stellte die gesammelten Informationen dem **Centro Criptológico Nacional (CCN)** zur Verfügung, der nationalen Kryptografiebehörde Spaniens, die dem Geheimdienst untersteht. Das Unternehmen arbeitet mit seinen Technikdienstleistern daran, die Website wiederherzustellen, die weiterhin nicht erreichbar ist.

Keine Anwendung und kein System im Zusammenhang mit dem Bahnbetrieb wurde laut Adif beeinträchtigt. Der Zugverkehr läuft normal, die Website von Renfe ist weiterhin erreichbar. Der Vorfall hinterlässt eine unbequeme Lektion für die Branche: Die Vernetzung zwischen Betreiber und Infrastruktur steigert die Effizienz, macht aber auch aus einer einzigen Schwachstelle ein Tor zu gleich zwei Organisationen.