Was ANCPI und Südwestfalen-IT verbindet

Ein Staat kann Satelliten starten, digitale Identitäten ausrollen und Milliarden in Verwaltungsmodernisierung investieren. Er kann aber auch Windows XP betreiben, eine Firewall per Gruppenrichtlinie abschalten und Passwörter verwenden, deren Raffinesse ungefähr auf dem Niveau eines unverschlossenen Aktenschranks liegt. Genau dieser Kontrast macht die Cyberattacke auf die rumänische Kataster- und Grundbuchbehörde ANCPI zu mehr als einem weiteren IT-Vorfall. Sie ist eine Parabel über Digitalisierung ohne Sicherheitsreife.

Nach der Analyse des israelischen Cybersicherheitsunternehmens KELA enthielten die aus dem Umfeld der ANCPI veröffentlichten Daten Hinweise auf längst nicht mehr unterstützte Systeme: Windows XP, Windows 7 und Windows Server 2003. Das mutmaßlich kompromittierte Active Directory wies zudem mindestens 69 Gruppenrichtlinien auf. Darunter befand sich ein Objekt mit dem unmissverständlichen Namen "DISABLE WINDOWS FIREWALL". Sekundärberichte nennen außerdem das Passwort "passw0rd". Hinzu kamen administrative Zugangsdaten, die zuvor durch Infostealer-Malware abgegriffen worden sein könnten. KELA betont allerdings, dass weder die Gültigkeit dieser Zugangsdaten zum Tatzeitpunkt noch ihre tatsächliche Verwendung für den Erstzugang bestätigt ist. 

Das ist wichtig: Ein technisches Artefakt ist noch kein vollständiger Kausalnachweis. Eine Gruppenrichtlinie mit dem Namen "DISABLE WINDOWS FIREWALL" beweist nicht, dass genau diese Richtlinie den Einbruch ermöglicht hat. Ein im Untergrund gefundener Zugang beweist nicht, dass er genutzt wurde. Und doch ergeben die Befunde ein Risikoprofil, das kaum beruhigender ist als ein bestätigter Angriffspfad: Die Organisation betrieb offenbar eine Umgebung, in der technische Altlasten, schwache Identitäten und bewusst deaktivierte Schutzmechanismen gleichzeitig existierten.

Windows XP ist kein Betriebssystem mehr

Microsoft beendete den regulären Support für Windows XP am 8. April 2014, für Windows Server 2003 im Juli 2015 und für Windows 7 am 14. Januar 2020. Ohne reguläre Sicherheitsupdates bleiben neu entdeckte Schwachstellen grundsätzlich ungepatcht. Wer solche Systeme im Jahr 2026 noch in einem sensitiven Behördennetz betreibt, verwaltet keine bloße technische Altlast. Er akzeptiert ein dauerhaft wachsendes, strukturelles Angriffsfenster. 

Natürlich lassen sich Altsysteme nicht immer über Nacht ersetzen. Fachverfahren sind häufig proprietär, Hersteller verschwunden, Schnittstellen historisch gewachsen und Migrationsprojekte politisch unattraktiv. Genau deshalb gehört Legacy-Risiko in das Zentrum des IT-Risikomanagements. Ein End-of-Life-System benötigt eine dokumentierte Ausnahmeentscheidung, einen benannten Risikoeigner, eine zeitlich verbindliche Ablösung, technische Kompensationsmaßnahmen, strikte Segmentierung und kontinuierliche Überwachung. "Das System läuft noch" ist keine Risikobewertung. Es ist die Beschreibung des Zustands unmittelbar vor dem Ausfall.

Die entscheidende Awareness-Lücke liegt deshalb nicht beim einzelnen Sachbearbeiter. Sie liegt im Management. Eine Organisation, die End-of-Life-Systeme über Jahre toleriert, hat gelernt, die Abwesenheit eines sichtbaren Schadens mit Sicherheit zu verwechseln. In der Sicherheitsforschung wird dieses Muster als Normalisierung von Abweichungen beschrieben: Eine riskante Ausnahme bleibt folgenlos, wird zur Gewohnheit und irgendwann zum vermeintlich normalen Betriebsmodell.

Wenn Bequemlichkeit zur Sicherheitsstrategie wird

Noch deutlicher als ein altes Betriebssystem spricht eine ausdrücklich deaktivierte Firewall. Microsoft empfiehlt ausdrücklich, die Windows-Firewall nicht abzuschalten, weil dadurch zentrale Schutzfunktionen verloren gehen. In Unternehmensnetzen dient die Host-Firewall nicht nur dem Schutz vor Angriffen aus dem Internet. Sie begrenzt auch laterale Bewegungen innerhalb des Netzes – also genau jene Ausbreitung, die aus einem kompromittierten Konto eine organisationsweite Krise machen kann.

Es gibt technische Situationen, in denen eine Regel angepasst oder ein Dienst temporär freigeschaltet werden muss. Aber zwischen einer fein begrenzten Ausnahme und "Firewall aus" liegt der Unterschied zwischen Risikosteuerung und Kapitulation. Jede Abweichung von einem Sicherheitsstandard braucht mindestens vier Dinge: eine fachliche Begründung, eine zeitliche Befristung, kompensierende Kontrollen und eine messbare Rückführung in den Sollzustand. Fehlt eines davon, verwandelt sich die Ausnahme in einen unsichtbaren Dauerzustand.

Der Name der Gruppenrichtlinie ist deshalb symbolisch. Er zeigt eine Organisation, die Sicherheit möglicherweise nicht als unverhandelbare Betriebsanforderung behandelt hat, sondern als störende Option. Awareness bedeutet hier nicht, den Beschäftigten ein jährliches Lernvideo über Phishing vorzuspielen. Awareness bedeutet, dass Administratoren, Fachverantwortliche, Beschaffung, Revision und Leitung dieselbe rote Linie kennen: Schutzkontrollen werden nicht aus Komfortgründen global deaktiviert.

"passw0rd" ist kein Passwort 

"passw0rd" ist die Art von Zeichenfolge, die in einer Kolumne fast zu schön klingt, um wahr zu sein. Gerade deshalb muss die Quellenlage sauber getrennt werden. Der öffentlich zugängliche KELA-Bericht bestätigt mindestens ein codiertes Unternehmenspasswort; die konkrete Zeichenfolge wird in Medienberichten genannt, die sich auf KELA berufen. Selbst wenn die Einzelangabe später korrigiert würde, bliebe die größere Diagnose bestehen: Passwortbasierte Administration ohne konsequente Mehrfaktor-Authentisierung, privilegiertes Zugriffsmanagement und Überwachung exponierter Zugangsdaten ist im Jahr 2026 kein tragfähiges Schutzmodell. 

Ein starkes Passwort schützt zudem nur begrenzt, wenn ein Infostealer es direkt aus Browsern, Passwortspeichern, Sitzungsdaten oder lokalen Anwendungen entwendet. Infostealer sind industrialisierte Schadprogramme: Sie sammeln Zugangsdaten automatisiert und speisen sie in kriminelle Märkte ein. Damit wird aus einem einzelnen infizierten Endgerät eine Lieferkette für Ransomware, Spionage und Kontoübernahmen. Die Verteidigung muss deshalb Identitäten wie Hochrisiko-Assets behandeln: phishing-resistente Mehrfaktor-Authentisierung, getrennte Administrationskonten, Privileged Access Management, kurze Sitzungslebensdauern, Erkennung kompromittierter Zugangsdaten und eine schnelle Sperr- und Rotationsfähigkeit. 

ANCPI und Südwestfalen-IT: Verschiedene Angriffe, dasselbe Muster

Die Parallele zur Ransomware-Attacke auf die Südwestfalen-IT im Oktober 2023 ist nicht, dass beide Vorfälle technisch identisch verliefen. Die Parallele liegt im organisatorischen Muster: bekannte oder erkennbare Schwächen, unzureichend geschützte administrative Zugänge und eine Infrastruktur, deren Reichweite die Schadenswirkung vervielfachte.

Der forensische Bericht zur Südwestfalen-IT beschreibt erfolgreiche VPN-Verbindungen mit mehreren Konten bereits vor dem eigentlichen Verschlüsselungsangriff. Als wahrscheinlicher Eintrittsweg gilt eine verwundbare Cisco-ASA-Umgebung; für den VPN-Zugang war keine Mehrfaktor-Authentisierung eingerichtet. Nach dem Eindringen konnten sich die Angreifer mit administrativen Rechten zu zentralen Systemen bewegen. Die genaue Herkunft der verwendeten Zugangsdaten ließ sich nicht abschließend klären. Begrenzte Log-Historien erschwerten zusätzlich die Rekonstruktion. 

Die Folgen waren außergewöhnlich: 72 Mitgliedskommunen waren betroffen, und die Südwestfalen-IT bezifferte die Dauer des Krisenmodus später auf fast 12 Monate. Zugleich gehört zur fairen Einordnung, dass verwertbare Backups vorhanden waren, Systeme frühzeitig isoliert wurden und der forensische Bericht keine Hinweise auf eine Datenexfiltration fand. Das macht den Vorfall nicht kleiner. Es zeigt vielmehr, dass einzelne funktionierende Kontrollen den Totalschaden begrenzen können, obwohl andere Grundlagen fehlen. 

Besonders aufschlussreich ist die Liste der nachträglich empfohlenen Maßnahmen: Netzwerksegmentierung, gehärtete Firewalls, starke Passwortrichtlinien, Mehrfaktor-Authentisierung für administrative und reguläre Konten, Endpoint Detection and Response, zentrales Logging, Schwachstellenmanagement, SIEM, Dark-Web-Monitoring, strategisches Identitätsmanagement und Red-Teaming. Das sind keine exotischen Zukunftstechnologien. Es ist das Einmaleins professioneller Informationssicherheit.

Der Mensch ist nicht das schwächste Glied – die Organisation macht ihn dazu

Die Formel vom "Menschen als schwächstem Glied" ist bequem, weil sie Verantwortung nach unten delegiert. Sie erklärt jedoch weder Windows XP im Produktionsnetz noch fehlende Mehrfaktor-Authentisierung, deaktivierte Host-Firewalls oder unzureichende Protokollierung. Solche Zustände entstehen nicht durch einen unaufmerksamen Klick. Sie entstehen durch Architekturentscheidungen, fehlende Budgets, unklare Verantwortlichkeiten, geduldete Ausnahmen und ein Management, das technische Defizite in der IT-Infrastruktur nicht als Risiko für die Kernprozesse bilanziert.

Ein Awareness-Programm, das ausschließlich Phishing-Simulationen zählt, kann dabei sogar Scheinsicherheit erzeugen. Die Quote geklickter Test-E-Mails wird zum sichtbaren KPI, während unsichtbare Systemrisiken weiterwachsen. Wissenschaftlich sinnvoller ist ein mehrstufiges Modell: individuelles Verhalten, sichere Arbeitsprozesse, technische Schutzmechanismen, organisatorische Lernfähigkeit und Governance. Erst das Zusammenspiel bestimmt die tatsächliche Widerstandsfähigkeit.

NIST stellt im Cybersecurity Framework 2.0 die Funktion "Govern" ausdrücklich in den Mittelpunkt. Cybersicherheit soll nicht als isolierte Aufgabe der IT, sondern als Bestandteil des unternehmensweiten Risikomanagements gesteuert werden. Die Framework-Ergebnisse sind gerade nicht als mechanische Checkliste gedacht, sondern als risikobasierte, an Kontext und Prioritäten angepasste Steuerung. Auch die CISA Cybersecurity Performance Goals nennen Mehrfaktor-Authentisierung, Schwachstellenmanagement, starke Passwortpraktiken und belastbare Backups als grundlegende Maßnahmen.

Data Analytics statt Sicherheitsfolklore

Moderne Cyberabwehr braucht keine magische künstliche Intelligenz. Sie braucht zunächst verlässliche Daten über den eigenen Zustand. Aus Asset-, Identitäts-, Schwachstellen-, Konfigurations- und Ereignisdaten lassen sich Frühwarnindikatoren ableiten, die das Management tatsächlich steuern kann: Anzahl produktiver End-of-Life-Systeme, kritische Schwachstellen außerhalb des Patch-SLA, Anteil privilegierter Konten ohne MFA, Systeme mit deaktivierter Host-Firewall, ungewöhnliche administrative Anmeldungen, im Untergrund aufgetauchte Zugangsdaten, Reichweite einzelner Administrationskonten, Wiederherstellungsquote aus Backups und maximaler Ausfallradius eines kompromittierten Netzsegments.

Der analytische Mehrwert entsteht durch Verknüpfung. Ein altes System ist ein Risiko. Ein altes System mit Internetzugang ist ein höheres Risiko. Ein altes System mit administrativem Dienstkonto, deaktivierter Firewall, fehlender Telemetrie und Zugriff auf ein zentrales Register ist kein Eintrag in einer Asset-Liste mehr, sondern ein prioritäres Angriffsszenario. Attack-Path-Analysen in Active Directory, Graphmodelle, Anomalieerkennung und Exposure-Management können solche Ketten sichtbar machen, bevor ein Angreifer sie praktisch demonstriert.

Der aktuelle Verizon Data Breach Investigations Report zeigt erneut die Bedeutung grundlegender Angriffswege: Die Ausnutzung von Schwachstellen erreichte 2026 einen besonders hohen Anteil an den untersuchten Sicherheitsverletzungen. Zugleich verweist Verizon darauf, dass die Angriffsgeschwindigkeit durch Automatisierung und AI zunimmt, während robuste Risikosteuerung und grundlegende Sicherheitsprinzipien weiterhin die wirksamste Verteidigung bilden. Die Lektion ist ernüchternd: Die Angreifer automatisieren das Suchen. Die Verteidiger dürfen das Priorisieren nicht weiter mit Checklistem, Excel-Listen und Jahresaudits verwechseln. 

Die Illusion der absolvierten Schulung

In vielen Behörden gilt Awareness bereits als erledigt, wenn Beschäftigte einmal jährlich ein E-Learning absolvieren, einen kurzen Wissenstest bestehen und anschließend eine Richtlinie bestätigen. Dieses Modell erzeugt vor allem Nachweise für Prüfungen und Audits. Es misst Teilnahme, aber kaum tatsächliche Wirkung. Ein bestandenes Multiple-Choice-Modul beantwortet nicht, ob Beschäftigte eine ungewöhnliche Anmeldeaufforderung erkennen, ob ein Administrator eine riskante Gruppenrichtlinie hinterfragt oder ob eine Führungskraft die Abschaltung einer Firewall trotz operativen Zeitdrucks verhindert.

Awareness darf deshalb nicht als jährliches Schulungsereignis verstanden werden. Sie muss Teil der täglichen Arbeits- und Entscheidungsprozesse sein. Sicherheitsbewusstsein zeigt sich nicht darin, dass eine Richtlinie gelesen wurde, sondern darin, dass Beschäftigte in einer konkreten Situation richtig handeln: verdächtige Vorgänge melden, Sicherheitsmechanismen nicht umgehen, administrative Zugänge besonders schützen und technische Ausnahmen nicht dauerhaft normalisieren.

Gerade in Behördenstrukturen werden kurzfristige Notlösungen häufig zu kritischen Risiken. Eine Firewall wird für eine Anwendung deaktiviert, ein veraltetes Betriebssystem bleibt wegen fehlender Kompatibilität im Einsatz oder mehrere Personen nutzen dasselbe Administrationskonto. Was zunächst pragmatisch erscheint, kann später zum Ausgangspunkt eines schwerwiegenden Schadensereignisses werden. Awareness muss daher auch vermitteln, dass technische Bequemlichkeit und fachlicher Zeitdruck keine ausreichende Begründung für die dauerhafte Akzeptanz kritischer Schwachstellen sind.

Beschäftigte müssen Phishing, manipulierte Anhänge, ungewöhnliche Anmeldeaufforderungen und mögliche Datenabflüsse erkennen. Administratoren benötigen vertiefte Kenntnisse zu sicherer Konfiguration, Mehrfaktor-Authentisierung, Protokollierung, Segmentierung und privilegierten Berechtigungen. Fachbereiche müssen verstehen, dass Verfügbarkeit ohne belastbare Sicherheitsarchitektur nur geliehene Zeit ist. Ein Verfahren, das nur deshalb weiterläuft, weil notwendige Updates nicht eingespielt werden können, ist nicht stabil, sondern strukturell verwundbar.

Risiken müssen in die Sprache der Entscheider übersetzt werden

Die entscheidende Aufgabe liegt jedoch bei den Führungskräften und der Behördenleitung. IT-Risiken müssen konsequent in die Sprache der Entscheider übersetzt werden. Begriffe wie Vertraulichkeit, Integrität und Verfügbarkeit sind für Fachleute notwendig, reichen für Managemententscheidungen aber nicht aus. Entscheider müssen erkennen können, welche konkreten Auswirkungen ein IT-Risikoszenario auf die Organisation hat.

In einem Unternehmen ist daher zu fragen: Welcher Umsatz fällt aus, wenn zentrale Systeme für mehrere Tage nicht verfügbar sind? Wie verändert sich das Betriebsergebnis durch Produktionsstillstände, Vertragsstrafen, Wiederherstellungskosten oder verlorene Kunden? Welche Liquiditätsbelastung entsteht, wenn Rechnungen nicht gestellt, Zahlungen nicht verarbeitet oder Lieferungen nicht abgewickelt werden können? Wie hoch sind mögliche Folgeschäden durch Datenverlust, Manipulation oder Betriebsunterbrechung?

In einer Behörde stehen andere, aber ebenso konkrete Wirkungen im Vordergrund: Welche gesetzlichen oder hoheitlichen Aufgaben können nicht mehr erfüllt werden? Wie viele Bürger, Unternehmen oder Kommunen sind betroffen? Können Leistungen ausgezahlt, Register geführt, Genehmigungen erteilt oder Gefahrenabwehrmaßnahmen koordiniert werden? Welche rechtlichen, politischen und gesellschaftlichen Folgen entstehen, wenn staatliche Entscheidungen nicht getroffen oder nicht nachvollziehbar dokumentiert werden können?

Erst durch diese Übersetzung wird aus einem abstrakten IT-Problem ein entscheidungsrelevantes Risikoszenario. Ein nicht mehr unterstütztes Betriebssystem ist dann nicht lediglich "End of Life", sondern möglicherweise die Ursache für einen mehrwöchigen Ausfall, erhebliche Wiederherstellungskosten und den Verlust staatlicher Handlungsfähigkeit. Eine deaktivierte Firewall ist keine bloße Konfigurationsabweichung, sondern erhöht die Wahrscheinlichkeit, dass Angreifer ungehindert auf zentrale Systeme zugreifen. Ein schwaches Passwort ist nicht nur ein Regelverstoß, sondern kann zur Kompromittierung privilegierter Konten und damit zum Ausfall ganzer Fachverfahren führen.

Die Behördenleitung muss solche Risiken nicht nur zur Kenntnis nehmen, sondern nachvollziehbar entscheiden: vermeiden, vermindern, übertragen oder transparent akzeptieren. Eine Risikoakzeptanz darf nicht stillschweigend durch Unterlassen entstehen. Sie benötigt eine Bewertung der möglichen Auswirkungen, der betroffenen Aufgaben, der vorhandenen Schutzmaßnahmen, der verbleibenden Risiken und des Zeitplans für die Behebung.

Awareness ist damit kein Schulungsprodukt, sondern eine Managementaufgabe. Sie verbindet Wissen, Verhalten, technische Kontrollen und Entscheidungsfähigkeit. Vor allem aber sorgt sie dafür, dass IT-Risiken nicht in abstrakten Fachbegriffen stecken bleiben, sondern als konkrete Auswirkungen auf Umsatz, Ergebnis, Liquidität oder staatliche Aufgabenerfüllung verstanden werden. Erst dann können Entscheider Risiken tatsächlich priorisieren und verantwortbare Entscheidungen treffen.

Die provokante Schlussfrage

Der Leiter der rumänischen Cybersicherheitsbehörde DNSC erklärte öffentlich, der Angriff sei nicht besonders komplex gewesen und habe bekannte beziehungsweise zuvor gemeldete Schwachstellen ausgenutzt. Genau darin liegt die politische Sprengkraft. Wenn ein Angriff auf hochkritische Register nicht auf eine unbekannte Wunderlücke, sondern auf bekannte Schwächen und verlorene Zugangsdaten zurückgeht, versagt nicht nur Technik. Dann versagt die Übersetzung von Erkenntnis in Entscheidung. 

ANCPI und Südwestfalen-IT erzählen dieselbe unbequeme Geschichte. Staatliche Digitalisierung wird gern in Portalen, Apps und neuen Fachverfahren gemessen. Resilienz entsteht jedoch an weniger fotogenen Stellen: beim Abschalten veralteter Systeme, beim Erzwingen von MFA, beim Testen einer Wiederherstellung, beim Begrenzen administrativer Rechte und beim Nein zu einer bequemen, aber gefährlichen Ausnahme.

Der Skandal ist deshalb nicht, dass ein Angreifer eine Tür gefunden hat. Der Skandal wäre, wenn die Organisation die Tür über Jahre mit einem alten Schloss betrieb, die Alarmanlage per Richtlinie abschaltete und den Schlüssel möglicherweise "passw0rd" nannte. Wer danach von einem überraschenden Cyberangriff spricht, beschreibt nicht das Ereignis. Er beschreibt die eigene Awareness-Lücke.