Meldung vom 22. Oktober 2026 (19:01 Uhr)
Der Cyber-Angriff vergangene Woche auf das Eichstätter Rathaus war nach bisherigen Erkenntnissen kein gezielter Angriff auf die Kommunalverwaltung. Davon geht das Rathaus nach jetzigem Informationsstand aus.
Einbrechen konnten die Täter/-innen stattdessen mit überwiegender Wahrscheinlichkeit über eine Schwachstelle im Zusammenhang mit einer von der Stadtverwaltung eingesetzten Software – obwohl das Rathaus hier mit einer Zwei-Faktor-Authentifizierung gearbeitet hat. Ein spezifisches politisches Motiv ist nicht erkennbar. Damit ist die Stadt Eichstätt als Kundin mutmaßlich völlig zufällig in das Visier der Kriminellen, gegen die international ermittelt wird, geraten.
________________________________________________________
Ein ausführliches FAQ zum aktuellen Stand im Notbetrieb finden Sie hier
__________________________________________________________
Nach aktuellem Kenntnisstand liegt kein Hinweis darauf vor, dass der Cyberangriff durch eine Phishing-Attacke ausgelöst wurde. Es hat also beispielsweise kein/-e Mitarbeiter/-in der Stadtverwaltung auf einen gefährlichen Link in einer betrügerischen E-Mail geklickt.
So gehen die Täter/-innen technisch vor
Klar ist vielmehr, dass es sich um einen sogenannten Ransomware-Angriff gehandelt hat, der in der Nacht vom 8. auf den 9. Oktober begonnen hat. Der Begriff Ransomware setzt sich aus den englischen Worten Ransom, zu deutsch Lösegeld, und Software zusammen. Es handelt sich also um Schadsoftware, mit der Lösegeld erpresst werden soll. Angreifer/-innen verschlüsseln damit laut der Definition des Bundesamtes für Sicherheit in der Informationstechnik möglichst viele Dateien und Systeme des Opfers, wodurch der Zugriff hierauf unmöglich wird. Dann fordern die Täter/-innen Geld für die Wiederfreigabe des Systems. Auch in Eichstätt sind die Täter/-innen so vorgegangen. Sie haben der Stadtverwaltung nach dem Abschluss des Angriffs mitgeteilt, dass sie eingebrochen sind. Eine explizite Lösegeldforderung hat die Stadt Eichstätt aber nicht erreicht. Die Kommune würde sich aber grundsätzlich nicht erpressen lassen – das ist auch im Sinne der Empfehlung der Bundesvereinigung der kommunalen Spitzenverbände.
Täter/-innen erpressen auf mehreren Ebenen
Im Fall der Stadt Eichstätt lag sogar ein sogenannter Double Extortion-Fall vor, zu Deutsch „Doppelte Erpressung“. Die Täter haben also nicht nur die Server verschlüsselt, sondern zuvor auch den Großteil der Daten der Stadt Eichstätt auf einen Server im Ausland kopiert. Es ist also zu befürchten, dass die Täter/-innen die Daten veröffentlichen könnten. Das ist aber bis jetzt nicht passiert.
Unklar ist derzeit noch aus mehreren technischen Gründen, ob die Täter mit der Datenkopie arbeiten können – sprich, ob die Hacker/-innen die Dateien überhaupt öffnen oder lesen können. Ebenfalls ist nicht geklärt, ob personenbezogene Daten Teil der Kopie sind. Diese Gefahr nimmt die Stadt Eichstätt sehr ernst. Sobald hier mehr belastbare Informationen vorliegen, informiert die Kommunalverwaltung umgehend und spricht besonders betroffene Gruppen gezielt an. Präventiv rät die Stadt Eichstätt, wie schon vergangene Woche veröffentlicht, zu erhöhter Vorsicht, etwa im Zusammenhang mit Mitteilungen, die im Namen der Stadt Eichstätt verschickt werden (ausführliche Infos dazu unter www.eichstaett.de).
So funktioniert das Wiederhochfahren technisch
Natürlich hat die Stadt Eichstätt für das Wiederhochfahren der Server alle Zugänge zu der Software, die das Sicherheitsproblem darstellte, gekappt und arbeitet auch künftig nicht mehr mit diesem Anbieter zusammen.
Bekanntlich hat die Verwaltung tägliche Sicherungskopien ihres aktuellen Arbeitsstandes gemacht, die aus Sicherheitsgründen auf mehreren Servern in verschiedenen Rechenzentren in Deutschland gespeichert wurden. Da es den Angreifer/-innen aber leider gelungen ist, mehrere Tage im System zu bleiben, wurde die vorhandene Datensicherung umfassend auf ihre Integrität und mögliche Kompromittierung überprüft. Nach den bisherigen Untersuchungsergebnissen stehen geeignete Sicherungskopien für den kontrollierten Wiederaufbau zur Verfügung. Damit können aktuell die Server zurückgesetzt und jeweils die letzte Sicherungskopie wieder eingespielt werden. Dass das Wiederhochfahren der städtischen Server auf diesem Weg im Rahmen des Möglichen sicher ist, hat die Stadtverwaltung mit den beteiligten Sicherheitsbehörden wie dem Landesamt für Sicherheit in der Informationstechnik und einer extra beauftragten Cyber-Security-Firma abgestimmt.
Grienberger: "Gegner mit krimineller Energie und enormen Ressourcen"
„Die Stadt Eichstätt hat in den vergangenen Jahren IT-Sicherheit hohen Stellenwert eingeräumt. Wir haben viel Arbeit und Geld investiert, um auch kurzfristig auf die sich schnell verändernde Bedrohungslage zu reagieren. Leider kann es keine absolute Sicherheit geben, wenn der Gegner international agierende Hackergruppen mit großer krimineller Energie und enormen Ressourcen sind, die uns angreifen“, so Oberbürgermeister Josef Grienberger. „Wir werden den Angriff selbstverständlich auch kritisch aufarbeiten und die gewonnenen Erkenntnisse nutzen, um unsere Systeme und Abläufe weiter zu verbessern.“
