Optimistisch bis naiv: Wie die üstra AG selber ihre IT-Risiken einschätzt – äußerst gering.
Am 27.8.2026 fand in Hannover als Präsenzveranstaltung (eine Ausnahme heutzutage!) die Hauptversammlung der üstra AG statt. Die üstra ist der Monopolist des ÖPNV in Stadt und Region Hannover, betreibt dort Busse und Stadtbahnen.
Die diesjährige Hauptversammlung war geprägt von einer etwas fahrig wirkenden Vorstandsvorsitzenden und einem blassen Aufsichtsrat. Ob die von diesen gegebenen Antworten in allen Details richtig waren, mag man in wenigen Einzelfällen mit Blick auf die Antworten der letzten Jahre bezweifeln. Insofern sind alle von uns umfassend dokumentierten Antworten auf unsere Fragen ohne Gewähr.
Öffentlicher Personennahverkehr ist super und gehört mehr geschätzt und gefördert denn je, ist er doch vor allem in Ballungsräumen die gute und notwendige Alternative zum KFZ-Individualverkehr. Umso wichtiger ist aus unserer Sicht der kritische Blick auf das Wirken und Tun der für den ÖPNV verantwortlichen Stellen. Wir lehnen wir eine flächendeckende Videoüberwachung des ÖPNV grundsätzlich ab und fordern die Gewährleistung des Rechts auf anonymes Reisen und Unterwegssein.
Die Hauptversammlungen der üstra begleiten wir seit rund 15 Jahren und fragen kontinuierlich u.a. zur Entwicklung der Videoüberwachung und Kriminalitätszahlen. Einen vergleichenden Bericht dazu werden wir noch nachtragen, hier geht es nur um punktuelle, uns wichtig erscheinende Einzelinformationen aus der Hauptversammlung von diesem Jahr.
Also stichpunktartig:
Die Anzahl von „Vorfällen“ (der üstra-Ausdruck von Geschehnissen, die zu Strafanzeigen oder Ordnungswidrigkeitsverfahren führen können, aber längst nicht müssen) ist mit 2.091 um 12% zurückgegangen. Insbesondere die Kategorie „Anschläge, Sabotage, Brände“ war mit einem Minus von 38% besonders stark rückläufig.
Dass die „gefühlte Sicherheit“ damit nicht einhergeht ist nichts neues und dem inzwischen üblichen (verfassungsrechtlich bedenklichen) Muster, das Wirken der AG im Wesentlichen darauf auszurichten ist tragisch – mutmasslicherweise der üblen Berichterstattungen populistischer Zeitungen (BILD, Welt, u.a. auch HAZ) und den so genannten „sozialen Medien“ mit ihren Verzerrungseffekten und politischen Beeinflussungen zuzuschreiben. Die üstra hat deswegen u.a. auch im vergangenen Jahr ein umfassendes Alkoholverbot in Bussen, Bahnen und an den Haltestellen und Stationen verhängt (das vermutlich wenig bringt außer dem neuen Recht des „Sicherheitspersonals“, das als Grund für ein Angehen von Menschen zu „nutzen“) und diente der Stadt Hannover weiterhin als Steigbügelhalter für die Ausweitung unseliger Waffenverbotszonen. Über die genauen Inhalte der Gespräche der üstra mit Polizeien und Stadt Hannover wollte man sich nicht erklären.
Ob die insgesamt rund 2.500 bis 3.500 von der üstra betriebenen Überwachungskameras auch nur je einmal dazu beigetragen haben, eine Straftat aufzuklären oder zu verhindern – die üstra sagt, dazu könne sie gar nichts sagen und habe keine Ahnung davon. An einer Evaluation ist man nicht interessiert.
Mitteilen kann die üstra dagegen schon, dass sie die Wartung der Kameras in die Hand einer externen Firma gegeben hat, die dafür jährlich 200.000 Euro erhält. Zuzüglich 30.660 Euro für Software-Updates etc. Trotzdem sind in 2025 in 49 Fällen Kameras als defekt erkannt worden und konnten aus dem Grunde keine verwertbaren Daten für die Aufklärung oder Beweislegung eines „Vorfalls“ liefern.
Vorstand und Aufsichtsrat der üstra sind der Meinung, Open-Source-Software wäre in keinem Fall eine Alternative zu den bislang eingesetzten Microsoft-Produkten. Und das, obwohl die üstra (wohl auch „dank“ Microsoft) vor einigen Jahren einen erfolgreichen Cyberangriff erleben musste, der die Bahnen z.T. außer Gefecht setzte und die IT des Unternehmens umfangreich geschädigt hatte – inklusive Abfluss personenbezogener Daten, die später in Teilen wieder im Darknet auftauchten. Das kostete die üstra (nach eigenen Angaben) 1,7 Millionen Euro. Die Nichtnutzung von Open Source begründen die üstra-Verantwortlichen damit, dass es „keine professionelle Beratung und Systeme“ bei Open Source gäbe. (Was offensichtlicher Quatsch ist.)
Lieber bezahlt die üstra Lizenzgebühren für unsicherere Microsoft-Software – im Jahr 2025 waren das 1,01 Millionen Euro.
Für eine in 2025 neu abgeschlossene Versicherung gegen Cyberangriffe zahlt die üstra jährlich 70.000 Euro.
Und das alles, obwohl die üstra die IT-Risiken selber mit dem ungefährlichsten Ranking „C“ belegt. Sie war aber leider nicht in der Lage oder willens darzustellen, wie sich in der Matrix der Unternehmensrisiken diese Bewertung im Detail ergibt.
Die üstra interessiert sich nicht dafür, wie häufig die von ihr für Schwarzfahren eingeleiteten Strafverfahren dazu geführt haben, dass die Menschen dafür ins Gefängnis gesteckt worden sind. Mit möglicherweise entsprechenden Konsequenzen: Arbeits- und Wohnungsverlust, Obdachlosigkeit. Diese Informationen seien „nicht relevant“.
Die üstra will auch weiterhin nicht dem Beispiel anderer Verkehrsverbünde folgen und von Strafanzeigen bei Ordnungswidrigkeiten absehen: „Wir machen weiter so.“
Inzwischen hat die üstra neue Kontrollgeräte angeschafft, mit denen die Deutschlandtickets online abgeglichen werden können. Wie teuer diese Geräte waren wurde nicht mitgeteilt. Aber dass bei jeder Kontrolle ein Datensatz an „VDV eTicket Service GmbH & Co. KG“ übertragen wird. Und dass geplant ist, diese Daten zukünftig deutschlandweit zentral zu erfassen und zu verarbeiten. (Damit eröffnet sich ein neues Szenario der ÖPNV-Fahrgast-Überwachung, vor dem wir schon vor Jahren gewarnt haben.)
