Post & Kurier
Cybersicherheitspflichten für Postdienste, Paketzentren und Kurier- und Expressdienstleister
Ist Ihr Unternehmen betroffen?
- Anbieter von Postdiensten im Sinne der Richtlinie 97/67/EG ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz (NIS2UmsuCG Anhang II, Nr. 1)
- Kurier-, Express- und Paketdienste einschließlich reiner Zustellorganisationen ohne eigene Sortierinfrastruktur
- Betreiber von Paketzentren, Umschlaghallen und automatisierten Sortieranlagen
- Anbieter von Paketstationen und Abholpunkten mit netzangebundener Schließfachsteuerung
- Logistikdienstleister, die als Subunternehmer wesentliche Teile der Zustellkette übernehmen und selbst die Schwellenwerte überschreiten
NIS2-Anforderungen nach Art. 21
- 01.
Verfügbarkeit der Sortier- und Steuerungstechnik
Ein Paketzentrum ohne funktionierende Sortiersteuerung ist innerhalb weniger Stunden physisch blockiert — Sendungen stauen sich, und der Rückstau pflanzt sich durch das gesamte Netz fort. Verfügbarkeit ist hier kein Komfortthema, sondern bestimmt, wie schnell ein Vorfall unumkehrbar wird.
- 02.
Schutz der Adress- und Sendungsdaten
Zustelldaten verbinden Namen, Anschriften, Abwesenheitszeiten und Kaufverhalten. Dieser Datenbestand ist für Betrug und Social Engineering unmittelbar verwertbar. Neben der Verfügbarkeit steht deshalb die Vertraulichkeit gleichrangig im Fokus.
- 03.
Absicherung der Sendungsverfolgung nach außen
Trackingportale und Statusbenachrichtigungen sind öffentlich erreichbar und werden massenhaft für Phishing missbraucht. Neben der technischen Absicherung der Schnittstellen gehört dazu eine klare Kommunikationslinie, woran Kunden echte Benachrichtigungen erkennen.
- 04.
Sicherheit in einer stark unterbeauftragten Zustellkette
Die letzte Meile wird überwiegend von Subunternehmern gefahren, oft mit eigenen Geräten und Zugriff auf Scan- und Statussysteme. NIS2 verlangt, diese Zugriffe zu kennen, vertraglich zu regeln und beim Ausscheiden zuverlässig zu entziehen.
- 05.
Absicherung von Paketstationen und Abholpunkten
Netzangebundene Schließfachanlagen stehen unbeaufsichtigt im öffentlichen Raum. Sie sind zugleich Zugangspunkt zum Netz und physisches Angriffsziel — beide Aspekte gehören in dieselbe Risikobetrachtung.
- 06.
Meldepflicht bei Beeinträchtigung der Zustellung
Erhebliche Sicherheitsvorfälle gehen binnen 24 und 72 Stunden an das BSI. Betrifft der Vorfall zugleich personenbezogene Sendungsdaten, läuft die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO parallel. Beide Fristen sind gemeinsam zu steuern.
- 07.
Grenzüberschreitender Betrieb und Zuständigkeit
Internationale Sendungsströme laufen über Netze mehrerer Länder und wechselnde Partner. Bei einem Vorfall muss vorab geklärt sein, welche nationale Aufsicht zuständig ist und wie mit Partnernetzen kommuniziert wird.
Typische Bedrohungsszenarien
Stillstand des internationalen Versands
Ein Ransomware-Angriff traf die Systeme eines nationalen Postunternehmens und legte den internationalen Versand über Wochen still. Kunden konnten keine Sendungen ins Ausland aufgeben — betroffen war nicht die Zustellung selbst, sondern die Erzeugung der Versandunterlagen.
LockBit-Ransomware bei Royal Mail (Vereinigtes Königreich, 2023)Zerstörerische Schadsoftware im Logistiknetz
Ein weltweit agierender Expressdienstleister wurde von einer Wiper-Kampagne getroffen, die Systeme unwiederbringlich zerstörte. Die Abwicklung lief monatelang auf Papier weiter, der wirtschaftliche Schaden ging in die Hunderte Millionen.
NotPetya bei TNT Express (2017)Zweifacher Angriff mit Datenabfluss
Ein Logistikkonzern wurde binnen weniger Monate zweimal von unterschiedlichen Ransomware-Gruppen getroffen. Beim zweiten Vorfall wurden zusätzlich Daten abgezogen und veröffentlicht — ein Muster, das zeigt, wie oft ein erster Vorfall unzureichend aufgearbeitet wird.
Ransomware-Angriffe auf die Toll Group (Australien, 2020)Maßnahmen-Checkliste
- Netztrennung zwischen Sortiersteuerung, Sendungsverwaltung und allgemeiner Unternehmens-IT
- Beschriebener und geübter Notbetrieb je Paketzentrum, einschließlich manueller Sortierung und Papierbelegen
- Ermittelte Rückstaugrenze je Standort — ab wann ein Ausfall physisch nicht mehr aufzuholen ist
- Verschlüsselung der Adress- und Sendungsdaten im Ruhezustand sowie rollenbasierte Zugriffsbeschränkung
- Härtung und Ratenbegrenzung der Trackingschnittstellen gegen massenhaftes Abfragen
- Verbindliche Erklärung gegenüber Kunden, welche Benachrichtigungen echt sind und welche Angaben nie erfragt werden
- Geräteverwaltung für Scanner und mobile Endgeräte in der Zustellung, mit Fernlöschung bei Verlust
- Zuverlässiger Entzug aller Zugänge beim Ausscheiden von Subunternehmern, mit dokumentierter Kontrolle
- Physische und netzseitige Absicherung von Paketstationen als eigenständige Risikoklasse
- Gemeinsam gesteuerte Meldefristen gegenüber Bundesamt und Datenschutzaufsicht, mit benannter Zuständigkeit
Verwandte Inhalte
Leistungen
Checklisten
NIS2-Compliance für Post & Kurier?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen