Rumäniens Cyber-GAU entlarvt die Illusion digitaler Sicherheit 

Eigentum gilt als solide. Es steht im Grundbuch, ist notariell beurkundet, beleihbar und vererbbar. Doch in einer digitalisierten Verwaltung ist Eigentum auch etwas überraschend Flüchtiges: eine Folge von Datensätzen, Zugriffsrechten, Schnittstellen, Sicherungskopien und Wiederanlaufplänen. Solange diese Infrastruktur funktioniert, wirkt sie unsichtbar. Fällt sie aus, wird aus dem Rechtsstaat sehr schnell ein Wartestatus.

Genau das geschah Mitte Juli 2026 in Rumänien. Die nationale Kataster- und Grundbuchbehörde ANCPI bestätigte einen Cyberangriff auf ihre zentrale IT-Infrastruktur. Die landesweite Anwendung e-Terra, E-Mail-Systeme und weitere Dienste wurden abgeschaltet. Notare, Rechtsanwälte, Vermessungsfachleute, Banken und Bürger konnten Grundbuchauszüge nicht mehr abrufen, Anträge nicht bearbeiten und Immobilientransaktionen nicht registrieren. Ein technischer Vorfall verwandelte sich in eine volkswirtschaftliche Blockade. 

Die Schlagzeile ist spektakulär – die Faktenlage komplizierter

Die zugespitzte Nachricht lautet: Ein Cyberkrimineller habe die gesamte rumänische Grundbuchdatenbank gelöscht, nachdem eine Erpressung gescheitert sei. Sicherheitsmedien berufen sich dabei auf Quellen aus dem Umfeld der Untersuchung: Der Angreifer sei mit gültigen Zugangsdaten eingedrungen, habe interne Systeme kartiert, Daten exfiltriert und anschließend Systeme sowie Sicherungen gelöscht. Zugleich wurden angeblich gestohlene Zugangsdaten, interne Dokumente und Quellcode zum Verkauf angeboten. 

Die offizielle Darstellung ist vorsichtiger. ANCPI erklärte, die technischen und rechtlichen Kerndaten – also die Informationen über Grundstücksgrenzen, Eigentumsrechte und Belastungen – seien nicht kompromittiert. Zudem habe der Angreifer nicht sämtliche Sicherungskopien löschen können; Backups würden an mehreren Standorten vorgehalten. Die Infrastruktur werde neu installiert, konsolidiert und schrittweise in die rumänische Government Cloud migriert. 

Beides kann teilweise gleichzeitig wahr sein: Ein Angreifer kann Produktivsysteme zerstören, Quellcode und Zugangsdaten entwenden und den Betrieb über Tage lahmlegen, ohne dass die juristisch maßgeblichen Primärdaten endgültig verloren sind. Deshalb ist Präzision bei der Analyse wichtiger als die dramatischste Überschrift. Sicher ist: Der Staat verlor vorübergehend die Fähigkeit, Eigentumsrechte digital zu verarbeiten. Unsicher ist, wie vollständig die Löschung war, welche Datensätze exfiltriert wurden und wie belastbar die Wiederherstellung tatsächlich ist.

Der Angriff war womöglich banal. Die Wirkung war systemisch

Besonders unangenehm ist eine Aussage des Leiters der rumänischen Cybersicherheitsbehörde DNSC: Der Angriff sei nicht besonders komplex gewesen. Nach vorliegenden Berichten wurden bekannte, bereits kommunizierte Schwachstellen und zuvor abgeflossene Zugangsdaten genutzt. Der mutmaßliche Täter behauptete selbst, eine seit 2021 bekannte Lücke ausgenutzt zu haben. Diese Angaben sind noch nicht forensisch abschließend belegt; sie passen aber zu einem etablierten Muster: Angreifer müssen nicht genial sein, wenn Organisationen langsam patchen, Zugänge unzureichend absichern und interne Bewegungen nicht rechtzeitig erkennen. 

Das ist der eigentliche Skandal. Nicht, dass ein System verwundbar war – jedes System ist verwundbar. Sondern dass eine begrenzte technische Schwäche offenbar bis in eine nationale Kernfunktion durchschlagen konnte. Das Risiko lag nicht allein im einzelnen Server. Es lag in der Kopplung: Identitätssysteme, Quellcode-Repositories, Datenbanken, Backups, Notariatszugänge, E-Mail und Wiederanlaufprozesse waren Teil eines gemeinsamen Wirkungsnetzes.

David gegen Goliath – mit vertauschten Rollen

In Abb. 01 ist die nationale und europäische Cybersicherheitsarchitektur dargestellt. Ein Blick auf die vielen Kästchen suggeriert das Bild eines Staates als Goliath: Ministerien, Behörden, Gesetze, Haushalte, Beschaffungsstellen und Aufsicht. Im digitalen Gefecht wirkt er jedoch oft wie David – nur ohne Schleuder, dafür mit Vergabeverfahren. Auf der anderen Seite stehen arbeitsteilig organisierte Cybercrime-Ökosysteme: Initial-Access-Broker verkaufen Zugänge, Malware-Entwickler liefern Werkzeuge, Datenhändler monetarisieren Beute, Ransomware-Gruppen betreiben Affiliate-Modelle, Geldwäscher verschieben Erlöse. Staatliche und staatsnahe Akteure ergänzen dieses Spektrum um erhebliche personelle, technische und nachrichtendienstliche Ressourcen.

Der rumänische Vorfall wird bislang eher einem finanziell motivierten Einzeltäter oder Initial-Access-Broker zugerechnet, nicht einem staatlich gesteuerten Akteur. Die strategische Asymmetrie bleibt dennoch bestehen: Der Angreifer wählt Zeitpunkt, Ziel und Methode. Die Behörde muss jeden Tag sämtliche kritischen Funktionen schützen – unter Haushaltsrecht, Personalengpässen, Altlasten, politischen Wechseln und öffentlicher Rechenschaftspflicht.

In Deutschland und anderen föderal organisierten Ländern kommt eine zusätzliche Schwierigkeit hinzu: Zuständigkeiten, Haushalte, Standards und Betriebsmodelle verteilen sich über Bund, Länder, Kommunen, Zweckverbände und Dienstleister. Föderalismus kann Redundanz schaffen. Ohne gemeinsame Architektur und Lagebilder schafft er vor allem Angriffsfläche, Schnittstellen und Verantwortungsdiffusion.

Wie groß diese Koordinationslast in Deutschland ist, zeigt die staatliche Cybersicherheitsarchitektur mit den vielen Kästchen in Abb. 01. Das Schaubild macht sichtbar, wie viele Schnittstellen, Übergaben und potenzielle Zuständigkeitslücken beherrscht werden müssen. Wer Resilienz nur innerhalb einzelner Kästchen prüft, übersieht das Risiko zwischen den Kästchen.

 
Abb. 01: Deutschlands staatliche Cybersicherheitsarchitektur – Akteure und institutionelle Verflechtungen von der internationalen bis zur kommunalen Ebene

Die öffentliche Hand ist Ziel Nummer eins 

Der Fall ist kein osteuropäischer Sonderweg. ENISA bezeichnet die öffentliche Verwaltung als den am häufigsten angegriffenen Sektor in der EU. Im ausgewerteten Zeitraum entfielen 38,2 Prozent der identifizierten Vorfälle auf diesen Bereich. Zugleich ordnet ENISA die Cyberreife öffentlicher Verwaltungen weiterhin nur als moderat ein und sieht den Sektor in einer "Risikozone". Besonders kritisch: Rund ein Drittel der untersuchten Verwaltungen verfügt nach ENISA über keinen strukturierten Ansatz, Cybersicherheitskompetenz auf Entscheiderebene sicherzustellen; etwa die Hälfte bietet dem Management keine entsprechende Schulung. Patch-Zyklen von mehr als drei Monaten und unregelmäßige Sicherheitsprüfungen bleiben Schwachpunkte. 

Diese Zahlen beschreiben ein Governance-Problem. Die öffentliche Hand verwaltet hochsensible Daten und unverzichtbare Dienstleistungen, konkurriert aber mit der Privatwirtschaft um knappe Fachkräfte und arbeitet mit langen Investitionszyklen. Gerade deshalb muss sie Risiken besser priorisieren als Organisationen mit größeren Budgets – nicht schlechter.

Während die "böse Seite" automatisiert, dokumentiert due "gute Seite"

Europol beschreibt ein Cybercrime-Ökosystem, das künstliche Intelligenz und Automatisierung nutzt, um Geschwindigkeit, Reichweite und Effizienz zu erhöhen. Ransomware-Gruppen, Betrugsnetzwerke und andere kriminelle Akteure verwenden generative AI und Bots für Aufklärung, Social Engineering, Malware-Entwicklung und operative Skalierung. ENISA warnt, dass der Nutzen von AI bislang schneller bei Angreifern als bei Verteidigern ankommt. Die Zeit zwischen Bekanntwerden einer Schwachstelle und ihrer Ausnutzung schrumpft von Monaten auf Stunden oder Minuten. 

Für den konkreten Angriff auf ANCPI gibt es bislang keinen belastbaren Nachweis, dass AI eingesetzt wurde. Diese Einschränkung ist wichtig. Die strategische Pointe bleibt: Selbst wenn dieser Einbruch mit klassischen Mitteln gelang, treffen Behörden zunehmend auf Gegner, die Aufklärung, Schwachstellensuche, Phishing, Codeanalyse und Angriffsvorbereitung maschinell beschleunigen. Ein jährlicher Auditzyklus konkurriert dann mit einem Angreifer, der seine Zielsuche im Minutentakt aktualisiert. 

Asset-Listen denken nicht in Kettenreaktionen

Informationssicherheit beginnt zu Recht mit Assets: Welche Systeme, Daten, Prozesse und Dienstleister existieren? Wer seine Systeme nicht kennt, kann sie nicht schützen.

Doch eine inventarisierte Datenbank ist noch kein verstandenes Risiko. Asset-basierte Ansätze neigen in der Praxis dazu, Objekte einzeln zu betrachten: Server A hat Schutzbedarf hoch, Anwendung B ist kritisch, Backup C wird täglich erzeugt. Der reale Angriff verläuft dagegen über Beziehungen: Ein kompromittiertes Konto öffnet den VPN-Zugang; dieser erreicht ein Administrationssystem; dort liegen Secrets für die Datenbank; dieselbe Identitätsdomäne autorisiert das Backup; der Angreifer löscht erst die Wiederherstellungsfähigkeit und dann die Produktion. Das Risiko steckt in der Angriffskette, nicht im Etikett des Assets. Assetbasierte Ansätz führen in der Praxis dazu, dass man den Wald vor lauter Bäumen nicht mehr erkennt.

Cyberrisiken müssen in ein ganzheitliches und wirksames Risk Management eingebettet werden. Eine Behörde, die den Kampf ernst nimmt, braucht ein entscheidungsfähiges Modell des eigenen Systems. Dazu gehören mindestens sechs Perspektiven:

• Szenarioanalyse statt Gefährdungssammlung. Nicht "Ransomware" als abstraktes Risiko bewerten, sondern konkrete Szenarien modellieren: Manipulation von Eigentumsdaten, Ausfall des Notariatszugangs, Lieferkettenkompromittierung, Bürgerservice nicht verfügbar etc.
• Angriffspfade und Abhängigkeiten. Graphmodelle zeigen, welche Identitäten, Systeme und Dienstleister als zentrale Knoten wirken. Sie machen sichtbar, wo ein einzelner Fehler mehrere kritische Leistungen gleichzeitig trifft.
• Quantifizierung unter Unsicherheit. Bayes-Netze, Stochastische Simulationen, Ereignisbäume und Verlustverteilungen ersetzen die Scheingenauigkeit qualitativer Risikomatrizen (siehe BSI 200-3). NIST nennt Bayesianische Verfahren, Stochastik und Zeitreihenanalyse ausdrücklich als Methoden für Informationssicherheitsmessung und Risikomodellierung. 
• Kontinuierliche Datenanalyse. Patch-Latenzen, exponierte Dienste, anomale Anmeldungen, Rechteausweitungen, fehlgeschlagene Restore-Tests, Backup-Abweichungen und ungewöhnliche Datenbankbefehle müssen als Zeitreihen und Verhaltensmuster überwacht werden – nicht als jährliche Momentaufnahme.
• Threat-informed Testing. Kontrollen werden gegen reale Angreifertechniken getestet: Purple Teaming, Breach-and-Attack-Simulation, Tabletop-Übungen, Red-Team-Szenarien und regelmäßige Wiederanlaufproben. Die Frage lautet nicht, ob eine Kontrolle dokumentiert ist, sondern ob sie den relevanten Angriff stoppt oder früh sichtbar macht.
• Risikobasierte Ressourcenallokation. Budgets gehören dorthin, wo sie Systemrisiken am stärksten senken: privilegierte Identitäten, Segmentierung, unveränderliche und offline getestete Backups, zentrale Protokollierung, Reaktionsfähigkeit, Quellcode- und Secret-Schutz sowie Ersatzverfahren für kritische Verwaltungsleistungen. Auf der Methodenseite helfen bei der Priorisierung stochastische Simulationen und Sensitivitätsanalysen.

Belastbares Wiederherstellungskonzept als nachzuweisende Fähigkeit

Nach fast jedem Ransomware-Vorfall folgt derselbe Satz: "Backups waren vorhanden." Das ist ungefähr so aussagekräftig wie die Mitteilung, in einem Krankenhaus seien Feuerlöscher vorhanden. Entscheidend ist, ob sie erreichbar, funktionsfähig und für das konkrete Schadensbild geeignet sind.

Ein belastbares Wiederherstellungskonzept trennt Produktivzugänge von Sicherungszugängen, verwendet unveränderliche oder offline gehaltene Kopien, schützt Verwaltungsoberflächen mit phishing-resistenter Mehrfaktor-Authentifizierung, überprüft Datenintegrität und übt die vollständige Wiederherstellung in isolierten Umgebungen. Gemessen werden müssen Recovery Time Objective, Recovery Point Objective und vor allem die tatsächlich erreichten Werte aus Tests. Wer nur den Backup-Job grün sieht, misst Aktivität. Wer einen nationalen Dienst sauber neu aufbauen kann, misst Resilienz.

Die "gute Seite" muss schneller lernen als der Angreifer

Die böse Seite hat einen unfairen Vorteil: Sie muss nur eine Lücke finden. Die gute Seite hat jedoch einen strukturellen Vorteil, den sie zu selten nutzt: Sie besitzt die Betriebsdaten, kennt ihre Prozesse, kann organisationsübergreifend lernen und darf gemeinsame Plattformen, Lagebilder und Standards schaffen. Data Analytics und AI sind deshalb nicht nur Spielzeug für Angreifer. Sie können Logdaten korrelieren, Anomalien priorisieren, Schwachstellen nach tatsächlicher Ausnutzbarkeit bewerten, Angriffspfade berechnen, Phishing-Muster erkennen und die knappen Ressourcen auf die wirksamsten Maßnahmen lenken.

Aber Technik allein löst das Problem nicht. Eine AI, die zehntausend Warnungen erzeugt, führt zum gleichen Problem, dass wir den Wald vor lauter Bäumen nicht mehr sehen. Ein Risikomodell mit schlechten Daten produziert mathematisch dekorierte Irrtümer. Automatisierung braucht klare Verantwortlichkeiten, Datenqualität, kompetente Führung, gemeinsame Taxonomien und die Bereitschaft, schlechte Nachrichten nach oben zu melden. Die wichtigste Cybermetrik ist vielleicht nicht die Zahl geschlossener Tickets, sondern die Zeit, die eine Organisation benötigt, um eine unangenehme Wahrheit in eine wirksame Entscheidung zu übersetzen.

Ausblick: Wie viel Scheinsicherheit können wir uns noch leisten?

Rumäniens Grundbuchsystem wird wieder anlaufen. Daten werden geprüft, Anwendungen migriert, Passwörter zurückgesetzt, Berichte geschrieben und Zuständigkeiten diskutiert. Vielleicht wird die forensische Aufarbeitung zeigen, dass die Schlagzeile von der "gesamten gelöschten Datenbank" überzogen war. Das wäre beruhigend – aber keine Entwarnung. Ein Staat, der Eigentum über Tage nicht verarbeiten kann, hat bereits einen erheblichen Resilienzverlust erlitten.

Die provokante Frage lautet daher: Warum wird Informationssicherheit noch immer so häufig als nachweisbare Ordnung von Assets organisiert, obwohl Angreifer in dynamischen Ketten, Geschwindigkeiten und Wirkungen denken? Solange eine Behörde nachweisen kann, dass sie ihre Checkliste abgearbeitet hat, aber nicht nachweisen muss, dass sie einen kompromittierten Administrator, die Löschung der Produktivdaten und den Ausfall zentraler Dienstleister realistisch überlebt, produzieren wir keine Sicherheit. Wir produzieren Aktenzeichen mit Beruhigungswirkung.