NIS2 in Verkehr + Logistik: ÖPNV, Bahn, Logistiker

Hauptartikel: NIS2-Umsetzung Deutschland — dort stehen Anwendungsbereich, Maßnahmen nach § 30 BSIG, Geschäftsleiterhaftung nach § 38 BSIG, Meldepflichten und Bußgelder im Einzelnen.

1. Wer ist betroffen?

Betroffen ist nur, wer zwei Voraussetzungen zugleich erfüllt (§ 28 Abs. 2 Nr. 3 BSIG): die Zuordnung zu einer in Anlage 1 oder Anlage 2 BSIG bestimmten Einrichtungsart und das Erreichen der Größenschwellen. Die Unternehmensgröße allein begründet keine Betroffenheit.

Anlage 1 Nr. 2 BSIG (Sektor Transport und Verkehr) nennt in Spalte D folgende Einrichtungsarten: Luftverkehr — Luftfahrtunternehmen nach Art. 3 Nr. 4 der VO (EG) Nr. 300/2008, Flughafenleitungsorgane und Flughäfen nach RL 2009/12/EG einschließlich Betreibern zugehöriger Einrichtungen, ATM/ANS-Anbieter; Schienenverkehr — Betreiber von Eisenbahninfrastruktur nach § 2 Abs. 6 und 6a AEG, Eisenbahnverkehrsunternehmen nach § 2 Abs. 3 AEG einschließlich Betreibern einer Serviceeinrichtung; Schifffahrt — Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, Leitungsorgane von Häfen einschließlich ihrer Hafenanlagen, Betreiber einer Anlage oder eines Systems zum sicheren Betrieb einer Wasserstraße; Straßenverkehr — Betreiber von Anlagen oder Systemen zur Verkehrsbeeinflussung sowie Betreiber intelligenter Verkehrssysteme nach § 2 Nr. 1 IVSG.

Speditionen und Logistikdienstleister sind in dieser Liste nicht genannt. Sie werden nur erfasst, wenn sie selbst eine der genannten Einrichtungsarten erfüllen — etwa als Frachtbeförderungsunternehmen der Binnen-, See- oder Küstenschifffahrt oder als Eisenbahnverkehrsunternehmen — oder wenn sie über Anlage 2 Nr. 1 BSIG (Post- und Kurierdienste: Anbieter von Postdienstleistungen nach § 3 Nr. 15 PostG einschließlich Anbietern von Kurierdiensten) als wichtige Einrichtung gelten. Eine vorhandene Logistik-IT ist kein gesetzliches Kriterium. Ebenso ist der reine Busverkehr des ÖPNV keine eigene Einrichtungsart; ÖPNV-Betreiber werden über den Schienenverkehr erfasst, soweit sie Eisenbahninfrastruktur betreiben oder Eisenbahnverkehrsunternehmen nach § 2 Abs. 3 AEG sind.

Wichtig: Sind die Voraussetzungen der Einrichtungsart erfüllt, sind die Größenkriterien Alternativen, keine Kumulation (§ 28 Abs. 2 Nr. 3 Buchst. a und b BSIG). Erfasst ist, wer mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweist. Ein Eisenbahnverkehrsunternehmen mit 60 Beschäftigten und 5 Mio. EUR Umsatz ist damit erfasst — die Umsatzschwelle muss nicht zusätzlich erreicht werden. Betreiber kritischer Anlagen im Sektor Transport und Verkehr (KRITIS) gelten unabhängig davon als besonders wichtige Einrichtung.

2. Welcher Teilsektor greift für Ihr Unternehmen?

Maßgeblich ist die konkrete Anknüpfung, nicht die Branchenbezeichnung: Der Sektor Transport und Verkehr besteht aus vier Teilsektoren, und jeder verweist auf eigene fachgesetzliche Definitionen. Die Zuordnung ist keine Formsache — § 33 Abs. 1 BSIG verlangt bei der Registrierung die Angabe des relevanten Sektors nach Anlage 1 oder 2.

Der Unterschied ist nicht kosmetisch: Nur Anlage-1-Arten können über § 28 Abs. 1 Nr. 4 BSIG in die Kategorie „besonders wichtig" aufsteigen; Anlage-2-Arten erfasst diese Norm nicht. Wer mehrere Tätigkeiten bündelt — Bahnbetrieb, Hafenumschlag und Paketzustellung im selben Konzern — prüft die Zuordnung je Einrichtung, nicht je Konzern.

3. Besonders wichtig oder wichtig — die Einstufung

Die Einstufung entscheidet über Aufsichtsintensität und Bußgeldrahmen und folgt im Sektor Transport und Verkehr drei Wegen: einem größenunabhängigen und zwei größenabhängigen. Weitere größenunabhängige Sonderfälle des § 28 Abs. 1 BSIG — qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries, DNS-Diensteanbieter und bestimmte Anbieter von Telekommunikationsnetzen und -diensten — liegen außerhalb dieses Sektors.

Zwei Fallstricke treten in Verkehr und Logistik besonders häufig auf. Erstens genügt der Umsatz allein nie: § 28 Abs. 1 Nr. 4 Buchst. b BSIG verlangt Umsatz über 50 Mio. EUR und zusätzlich eine Bilanzsumme über 43 Mio. EUR; nur die Mitarbeiterzahl ab 250 wirkt als eigenständiges Kriterium. Zweitens gibt es bei den wichtigen Einrichtungen keine Mitarbeiter-Obergrenze — ein Paketdienstleister mit mehreren tausend Beschäftigten, der ausschließlich der Anlage-2-Art Post- und Kurierdienste zuzuordnen ist, bleibt wichtige Einrichtung und fällt sehr wohl in den Anwendungsbereich. Für die Berechnung von Mitarbeiterzahl, Umsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG); Konzernzugehörigkeit kann verbundene Unternehmen einbeziehen — für kommunale Verkehrsbetriebe in Stadtwerke-Strukturen der entscheidende Prüfpunkt.

4. OT/IT-Konvergenz

Die Zusammenführung von Betriebstechnik und IT ist kein eigener Pflichttatbestand des BSIG, sondern schlägt über mehrere Bereiche des allgemeinen Maßnahmenkatalogs durch — die Steuerungsebene muss darin ausdrücklich mitgedacht werden.

Verkehrs-Steuerungssysteme (ETCS, Stellwerke, Signale) historisch von IT getrennt. Konvergenz zu Cyber-Risiko gemacht — IEC 62443-Standard.

§ 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme zu vermeiden; die Einhaltung ist zu dokumentieren. Der Katalog des § 30 Abs. 2 BSIG nennt zehn Bereiche: (1) Konzepte für Risikoanalyse und Sicherheit von Informationssystemen, (2) Bewältigung von Sicherheitsvorfällen, (3) Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement, (4) Sicherheit der Lieferkette, (5) Sicherheit bei Erwerb, Entwicklung und Wartung, (6) Bewertung der Wirksamkeit der Maßnahmen, (7) grundlegende Schulungen und Sensibilisierungsmaßnahmen, (8) Kryptografie und Verschlüsselung, (9) Personalsicherheit und Zugriffskontrolle, (10) Multi-Faktor-Authentifizierung, kontinuierliche Authentifizierung und sichere Kommunikation. Praxisempfehlung: In Betrieben mit Leit- und Sicherungstechnik werden vor allem die Bereiche 1, 3, 9 und 10 für die Steuerungsebene getrennt beantwortet, weil dort andere Wiederanlaufzeiten gelten als in der Büro-IT; die Umsetzungstiefe bleibt nach § 30 Abs. 1 BSIG risikobasiert.

Praxisempfehlung: Die Maßnahmen sollen nach § 30 Abs. 2 Satz 1 BSIG den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen; die Norm nennt keine konkrete Standardfamilie. Ein sektorspezifischer Standard wie IEC 62443 ist damit ein Begründungsweg für die Angemessenheit, kein gesetzlich vorgeschriebener Nachweis. Der Begriff „Cyberhygiene" stammt im Übrigen nicht aus dem BSIG, sondern aus Art. 21 Abs. 2 Buchst. g der Richtlinie (EU) 2022/2555.

5. Vorfälle: wann die Meldepflicht greift

Typische Szenarien im Verkehr sind ein Softwarefehler in der Stellwerkstechnik oder ein Phishing-Angriff auf die IT eines Hafenbetreibers.

Ob ein solches Ereignis meldepflichtig ist, entscheidet allein die gesetzliche Schwelle. Meldepflichtig ist der erhebliche Sicherheitsvorfall nach § 2 Nr. 11 BSIG: ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Beide Alternativen genügen jeweils für sich, und beide erfassen auch das bloße Verursachen-Können — ein abgewendeter Schaden schließt die Meldepflicht also nicht automatisch aus.

Für Verkehrsbetriebe wichtig: Die EU-Durchführungsverordnung 2024/2690 konkretisiert diese Schwelle zwar mit quantitativen Kriterien (u. a. Anzahl betroffener Nutzer, finanzielle Auswirkungen, Dauer), jedoch nur für bestimmte digitale Einrichtungsarten wie DNS-Diensteanbieter, TLD-Name-Registries, Cloud- und Rechenzentrumsdienste, CDN, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter (vgl. § 30 Abs. 3 BSIG). Für Einrichtungen des Sektors Transport und Verkehr gilt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG die Definition des § 2 Nr. 11 BSIG — eine Zahlenschwelle, an der sich die Meldeentscheidung festmachen ließe, gibt es für diesen Sektor derzeit nicht.

Praxisempfehlung: Weil die Schwelle qualitativ formuliert ist, gehört die Bewertungslogik vorab in das Incident-Response-Playbook — mit Auslösern aus dem eigenen Betrieb und einer benannten Person, die die Meldeentscheidung trifft. Wer erst im Vorfall über die Auslegung diskutiert, verbraucht die 24-Stunden-Frist.

6. Lieferketten-Audit

Die Sicherheit der Lieferkette ist ein eigener Pflichtbereich (§ 30 Abs. 2 Nr. 4 BSIG) — im Verkehr betrifft sie vor allem Hersteller und Wartungsdienstleister der Leit- und Sicherungstechnik.

OEMs (Siemens Mobility, Alstom, Bombardier) + IT-Dienstleister. Spezifische Anforderungen wegen Sicherheits-Kritikalität.

Die Pflicht trifft die Einrichtung selbst, nicht den Lieferanten: Sie müssen die Sicherheit Ihrer Lieferkette beherrschen, auch wenn der Hersteller seinerseits nicht dem BSIG unterliegt. Nach Praxiseinschätzung ist Bereich 4 eine häufige Schwachstelle — typischerweise, weil Cybersecurity-Klauseln in den Verträgen fehlen. In der Umsetzung haben sich vier Bausteine etabliert (Praxisempfehlung, keine gesetzliche Aufzählung):

• Lieferanten-Bewertung mit Risikoklassifizierung — kritische von unkritischen Lieferanten trennen.
• Cybersecurity-Klauseln im Standard-Vertragswerk statt in Einzelverhandlungen.
• Right-to-Audit für kritische Lieferanten.
• Vertragliche Vorfall-Benachrichtigung durch den Lieferanten, üblicherweise binnen 24 Stunden — damit Ihre eigene 24-Stunden-Frist nach § 32 Abs. 1 Nr. 1 BSIG einhaltbar bleibt.

Für Verkehrsbetriebe kommt erschwerend hinzu, dass Wartungszugänge der Hersteller in die Steuerungsebene reichen — diese Zugänge sind Lieferkette (§ 30 Abs. 2 Nr. 4 BSIG) und Zugriffskontrolle (§ 30 Abs. 2 Nr. 9 BSIG) zugleich.

7. Vorfall-Meldewege

Ein erheblicher Sicherheitsvorfall löst in Deutschland eine gestufte Meldekette an die gemeinsame Meldestelle von BSI und BBK aus — 24 Stunden, 72 Stunden, ein Monat (§ 32 Abs. 1 BSIG); die Stufen betreffen denselben Vorfall und sind keine Alternativen.

Einen parallelen Meldeweg an das Eisenbahn-Bundesamt oder das Bundesverkehrsministerium sieht das BSIG nicht vor; ob daneben fachrechtliche Meldepflichten gegenüber Verkehrsbehörden bestehen, ist gesondert zu prüfen.

Die 24-Stunden-Uhr läuft ab Kenntnis, nicht ab Vorfallsbeginn — und sie läuft auch nachts und am Wochenende. Praxisempfehlung: Eine durchgehende Erreichbarkeit über interne Rufbereitschaft oder einen externen SOC-Dienstleister ist der übliche Weg, diese Frist organisatorisch zu halten; ein bestimmtes Betriebsmodell schreibt das Gesetz nicht vor.

8. Registrierung beim BSI und Nachweis der Umsetzung

Die Registrierung ist eine eigenständige Pflicht und nicht Teil des Risikomanagements: Besonders wichtige und wichtige Einrichtungen registrieren sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, über eine gemeinsam vom BSI und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichtete Registrierungsmöglichkeit (§ 33 Abs. 1 BSIG). Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist; wer sie versäumt hat, holt die Registrierung nach — die Pflicht besteht fort.

Zu übermitteln sind Name samt Rechtsform und ggf. Handelsregisternummer, Anschrift und aktuelle Kontaktdaten einschließlich E-Mail, öffentlicher IP-Adressbereiche und Telefonnummern, der relevante Sektor nach Anlage 1 oder 2 — hier zahlt sich die Teilsektor-Zuordnung aus Abschnitt 2 aus —, die Liste der EU-Mitgliedstaaten mit Diensterbringung sowie die zuständigen Aufsichtsbehörden des Bundes und der Länder. Änderungen sind unverzüglich, spätestens zwei Wochen nach Kenntnis zu übermitteln (§ 33 Abs. 5 BSIG). Betreiber kritischer Anlagen registrieren sich abweichend nach § 8 KRITIS-Dachgesetz (§ 33 Abs. 2 BSIG); kommt eine Einrichtung ihrer Registrierungspflicht nicht nach, kann das BSI die Registrierung selbst vornehmen (§ 33 Abs. 3 BSIG).

Vom laufenden Nachweis ist die Registrierung strikt zu trennen. Die turnusmäßige Nachweispflicht durch Sicherheitsaudits, Prüfungen oder Zertifizierungen trifft nach § 39 Abs. 1 BSIG nur Betreiber kritischer Anlagen: zu einem vom BSI festgelegten Zeitpunkt, frühestens drei Jahre nachdem sie erstmals als Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre; zu übermitteln sind die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel. Besonders wichtige und wichtige Einrichtungen ohne kritische Anlage schulden stattdessen die Dokumentation nach § 30 Abs. 1 BSIG: Zu dokumentieren ist die Einhaltung der Maßnahmen, nicht nur ihr Bestehen.

9. Geschäftsleitung und Bußgeldrahmen

Die Verantwortung für die Risikomanagementmaßnahmen liegt bei der Geschäftsleitung selbst und ist nicht delegierbar: § 38 Abs. 1 BSIG verpflichtet sie, die Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen — beides, nicht nur das eine. Hinzu kommt die Pflicht zur regelmäßigen Teilnahme an Schulungen (§ 38 Abs. 3 BSIG); das Gesetz sagt „regelmäßig", die konkrete Taktung ist eine Praxisentscheidung und keine gesetzliche Frist.

Die Haftung nach § 38 Abs. 2 BSIG richtet sich nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts; nach dem BSIG selbst haftet die Geschäftsleitung nur subsidiär, nämlich wenn das maßgebliche Gesellschaftsrecht keine solche Haftungsregelung enthält (§ 38 Abs. 2 Satz 2 BSIG). Anders als die Richtlinie kennt das BSIG kein pauschales „höherer Wert gilt": Die Umsatzvariante greift nur ab einem Gesamtumsatz von mehr als 500 Mio. EUR und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße; Gesamtumsatz ist die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein DSGVO-Bußgeld verhängt, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG) — relevant etwa, wenn ein Vorfall zugleich Fahrgastdaten betrifft.

10. Österreich: NIS2 im Verkehr unter dem NISG 2026

Dieser Artikel beschreibt die deutsche Umsetzung (BSIG, BSI, KRITIS-Schwellen der KritisV). In Österreich gilt NIS2 im Verkehrssektor über das NISG 2026 (BGBl. I Nr. 94/2025). Zeitliche Einordnung: Das NISG 2026 wurde am 23.12.2025 kundgemacht, wird aber erst am 01.10.2026 anwendbar — neun Monate nach der Kundmachung, mit dem nächstfolgenden Monatsersten (§ 51 Abs. 1 und 2 NISG 2026). Zum Stand dieses Artikels bestehen für österreichische Bahn-, ÖPNV- und Logistikunternehmen aus dem NISG 2026 daher noch keine wirksamen Pflichten; die folgenden Fundstellen beschreiben, was ab dem 01.10.2026 gilt. Die Pflichten sind inhaltlich weitgehend gleich, Fundstellen und Behörden unterscheiden sich jedoch:

• Aufsicht: Cybersicherheitsbehörde (statt BSI) — das Bundesamt für Cybersicherheit, eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde mit bundesweiter Zuständigkeit und Sitz in Wien (§ 3a Abs. 1 und 2, § 3b Abs. 3 NISG 2026); Aufsicht und Durchsetzung nach §§ 38 und 39 NISG 2026.
• Betroffene Einrichtungsarten: Anlage 1 NISG 2026 entspricht Anhang I der NIS-2-Richtlinie, Anlage 2 dem Anhang II (§ 2 Z 1 bis 18; Verkehr = Z 2, Post- und Kurierdienste = Z 12). Auch dort ist die Spedition keine eigene Einrichtungsart — die Zuordnung zu einer Anlage-1- oder Anlage-2-Art ist nach § 24 NISG 2026 Voraussetzung für die Einstufung als wesentliche oder wichtige Einrichtung.
• Einstufung: Große Unternehmen der Anlage-1-Arten sind wesentliche Einrichtungen (§ 24 Abs. 1 Z 3); Anlage-1- und Anlage-2-Arten, die ein großes oder mittleres Unternehmen betreiben, sind wichtige Einrichtungen (§ 24 Abs. 2 Z 1).
• Risikomanagement-Maßnahmen: § 32 NISG 2026 (Pendant zu § 30 BSIG) — derselbe Katalog in derselben Reihenfolge, § 32 Abs. 4 lit. a bis j (lit. d = Sicherheit der Lieferkette, lit. g = Cyberhygiene und Schulungen).
• Meldung: Dreistufiges Schema 24 h / 72 h / 1 Monat an das zuständige CSIRT nach § 34 NISG 2026 — zuständig ist das sektorspezifische CSIRT, in Ermangelung eines solchen das nationale CSIRT (§ 34 Abs. 1); von dort erfolgt die Weiterleitung an die Cybersicherheitsbehörde. Sektoral differenziert wird in Österreich nur auf CSIRT-Ebene (§ 8 Abs. 3), nicht bei der Aufsicht.
• Registrierung: binnen drei Monaten bei der Cybersicherheitsbehörde nach § 29 NISG 2026 — nicht über die gemeinsame BSI/BBK-Registrierung. Bezogen auf das Inkrafttreten am 01.10.2026 endet die Frist Ende 2026 (§ 29 Abs. 2 und 3); Änderungen der Kerndaten sind binnen zwei Wochen nachzumelden (§ 29 Abs. 4).
• Größenschwellen: § 25 Abs. 2 und 3 NISG 2026 — dieselben Alternativkriterien wie in Deutschland (mittleres Unternehmen: zumindest 50 Mitarbeiter oder Jahresumsatz über 10 Mio. EUR und Jahresbilanzsumme über 10 Mio. EUR).
• Nachweis der Umsetzung: Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht; auf Aufforderung ist die Umsetzung durch eine unabhängige Stelle nachzuweisen (§ 33 NISG 2026), wobei die erstmalige Aufforderung frühestens zwei Jahre nach Inkrafttreten erfolgen kann. Wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung binnen zwei Monaten nach Aufforderung nachweisen. In Deutschland trifft der Drei-Jahres-Nachweis nach § 39 Abs. 1 BSIG dagegen nur Betreiber kritischer Anlagen.
• Geschäftsleitung: § 31 NISG 2026 verpflichtet die Leitungsorgane, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen, und schreibt die Teilnahme an Cybersicherheitsschulungen vor — eine ausdrückliche Innenhaftungs-Regel analog § 38 Abs. 2 BSIG enthält das NISG 2026 nicht.
• Verwaltungsstrafen: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen (§ 45 Abs. 2), bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen (§ 45 Abs. 3) — je nachdem, welcher Betrag höher ist; sonstige Übertretungen bis 50.000 EUR, im Wiederholungsfall bis 100.000 EUR (§ 45 Abs. 4). Verhängt werden sie von der Bezirksverwaltungsbehörde (§ 44 Abs. 1), die Aufsicht bleibt bei der Cybersicherheitsbehörde.

Rein deutschlandspezifisch sind die BSI-Registrierung und die KRITIS-Schwellen der KritisV. Das dreistufige Meldeschema 24 h / 72 h / 1 Monat gilt in beiden Ländern gleichermaßen; beim Bußgeldrahmen ist der Unterschied feiner, als er wirkt: Österreich übernimmt die EU-Maxima einschließlich der Regel „je nachdem, welcher Betrag höher ist" (§ 45 Abs. 2 und 3 NISG 2026), während die deutsche Umsatzvariante erst ab einem Gesamtumsatz über 500 Mio. EUR und nur für bestimmte Verstöße greift (§ 65 Abs. 6 und 7 BSIG). Für Konzerne mit deutschen und österreichischen Verkehrs- oder Logistiktöchtern folgt daraus: getrennte Registrierung in beiden Ländern, getrennte Meldewege (BSI/BBK gegenüber CSIRT), aber ein gemeinsam nutzbares Risikomanagement.

11. Praxis-Fahrplan

Die folgende Reihenfolge ist eine Praxisempfehlung, keine gesetzliche Fristenkette — gesetzlich fixiert sind allein die in den Abschnitten 7, 8 und 10 genannten Fristen. Sie bildet ab, in welcher Reihenfolge sich die Pflichten abarbeiten lassen, weil jeder Schritt die Grundlage des nächsten liefert.