Beim Allianz Smart City Meetup in Dortmund wurden aktuelle Projekte vorgestellt: ein Klimamessnetz aus Sensoren, smartes Abfallmanagement, digitale Stelen. Jedes dieser Systeme sammelt Daten, um die Stadt besser zu steuern, von der Luftqualität bis zur Leerung der Mülltonnen. Der Vortrag von Ali Recai Yekta behandelte die Cybersicherheit smarter Städte und die Frage, wie sich ihre digitale Resilienz erhöhen lässt. Jeder Sensor ist ein Gerät im Netz, das angegriffen werden kann.
Wie das aussieht, zeigt ein aktueller Fall. Im Juli 2026 wurde bekannt, dass ein russischer Militärgeheimdienst, die Gruppe Fancy Bear, über Jahre private Überwachungs- und Türklingelkameras entlang von NATO-Nachschubrouten angezapft hat, um Waffenlieferungen an die Ukraine zu beobachten. Ermittelt haben das niederländische Geheimdienste. Der Zugang gelang über Standardpasswörter und veraltete Firmware, also alte Gerätesoftware. Die Besitzer merkten nichts, weil die Kameras normal weiterliefen. Das macht solche Angriffe schwer zu entdecken, da die Auswirkungen nicht sofort sichtbar sind.
Die Geräte einer Smart City sind vernetzte Kleincomputer, auch IoT-Geräte genannt. Viele kommen mit voreingestellten Standardpasswörtern, bekommen selten Sicherheitsupdates und sind direkt aus dem Internet erreichbar. Ungeschützte Geräte werden in großer Zahl übernommen und zu ferngesteuerten Netzen zusammengeschaltet, sogenannten Botnetzen.
Dazu kommt die lange Nutzungsdauer. In den Niederlanden ließen sich Ampeln über ein Funksystem aus der Ferne umschalten. Dieses System, KAR (Korteafstandsradio), erlaubt Rettungsfahrzeugen und Bussen seit 2005, an Kreuzungen auf Grün zu schalten. Es entstand vor solchen Bedrohungen und lässt sich nicht absichern, weshalb zehntausende Anlagen bis etwa 2030 ausgetauscht werden müssen. Im öffentlichen Raum steht solche Technik zehn bis fünfzehn Jahre. Ob ein Gerät über diese Zeit Updates bekommt, sollte deshalb schon bei der Beschaffung feststehen. Der Cyber Resilience Act der EU verlangt ab Dezember 2027 Sicherheitsupdates über einen festgelegten Support-Zeitraum von mindestens fünf Jahren. Für langlebige Stadttechnik ist das ein gesetzliches Minimum, das die tatsächliche Nutzungsdauer nicht abdeckt.
Manche Angriffe sind sofort spürbar. Ende Dezember 2025 traf ein koordinierter Angriff über 30 polnische Wind- und Solarparks und ein Heizkraftwerk mit rund 500.000 Wärmekunden. Häufiger ist der stille Schaden. Aus der Sensorik einer Stadt lassen sich Bewegungsprofile gewinnen, über Kameras, Kennzeichen und die Funksignale von Handys. Diese Daten laufen auf einer zentralen Datenplattform zusammen und sind auch für den Betreiber verlockend, etwa durch eine spätere Ausweitung des Zwecks. Der Datenschutz setzt hier Grenzen. Wer von vornherein wenig erhebt, verliert im Ernstfall wenig. Eine weitere Möglichkeit ist die falsche Information. In Dallas lösten Angreifer 2017 nachts alle 156 Notfallsirenen aus. Anzeigetafeln und digitale Stelen lassen sich auf ähnliche Weise missbrauchen, wenn sie nicht ausreichend geschützt sind.
Für die Planung ergeben sich daraus konkrete Prioritäten. Man sollte nur erheben und vernetzen, was einen Zweck hat, voreingestellte Passwörter ändern und vor dem Kauf klären, ob ein Gerät über seine Nutzungsdauer Updates bekommt. Ebenso wichtig ist die Annahme, dass ein Angreifer eindringt, ohne etwas zu zerstören. Solche stillen Zugriffe erkennt nur, wer seine Infrastruktur kennt und beobachtet. Dafür braucht es ein Asset Management, das erfasst, welche Geräte existieren und wohin sie Daten senden, und ein Security Monitoring, das Auffälligkeiten meldet, etwa eine Kamera, die plötzlich Daten an eine fremde Adresse schickt.
Wie sich ein solcher Angriff auswirkt, zeigten Ali Recai Yekta, Marco Gren und Mucahid Yekta am Demonstrator YekCity. An einem Stadtmodell führten sie Angriffe auf die Energieversorgung bis zum Blackout vor, angelehnt an reale Vorfälle wie in Polen und der Ukraine.
