Vor einigen Wochen habe ich über Norwegens Digitalisierungsbehörde (Digdir) und ein Login-Problem geschrieben, das Bürgerinnen und Bürger von staatlichen Diensten ausgesperrt hat.
Es ist wieder passiert. Zwischen Juni und heute wurde Digdir von drei DDoS-Angriffen getroffen – der jüngste begann am 24. August, dauerte mehr als 30 Stunden und beeinträchtigte zehn verschiedene digitale Dienste, die von über 4,5 Millionen Menschen genutzt werden: ID-Verifizierung, E-Signaturen, Unternehmensregister, sogar Teile der digitalen Eingangstür des Gesundheitssystems.
Noch keine offizielle Zuordnung, auch wenn norwegische Medien auf prorussische Akteure verweisen. Aber ehrlich gesagt: Das „Wer“ ist hier weniger wichtig als das „Wie oft“.
Ein DDoS-Angriff ist ein Vorfall. Drei in drei Monaten sind ein Muster – und Muster sind genau das, was Business Continuity Planning nach NIS2 erkennen soll, bevor sie zur Routine werden.
Ein paar Fragen, die man sich unabhängig davon stellen sollte, wo man tätig ist:
Wissen Sie, wie viele Ereignisse mit eingeschränkter Dienstqualität Ihre kritischen Systeme in diesem Jahr hatten – nicht nur offene Sicherheitsverletzungen, sondern jeden Moment, in dem es „langsam, hakelig, schwer einzuloggen“ war? Die meisten Organisationen erfassen das nicht systematisch. Und wenn dasselbe System unter derselben Art von Druck immer wieder ausfällt, ist das kein Pech. Das ist eine Designlücke.
Digdirs eigene Einschätzung lautet, dass dieser Angriff zwar Störungen verursachte, aber keine personenbezogenen Daten kompromittiert hat. Das ist die richtige Haltung: DDoS-Angriffe und Datenpannen sind unterschiedliche Risikokategorien, und jeden Vorfall als gleich schwerwiegend zu behandeln, hilft niemandem, gute Entscheidungen zu treffen.
Stand der Recherche: 30. August 2026 — Regulatorik entwickelt sich dynamisch; dieser Beitrag ersetzt keine individuelle Rechts- oder Fachberatung.
