Seit dem 14. Juli 2026 konnte in Rumänien niemand mehr ein Grundstück überschreiben, weil die zentrale Kataster-Anwendung samt Behörden-Postfächern ausgefallen ist. Der Cyberangriff auf die Agentur ANCPI hat nach Darstellung von Branchenmedien nicht nur die Fachanwendung erwischt, sondern auch die Sicherungskopien.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Der Cyberangriff auf ein Grundbuch trifft eine Datenbank, die es in dieser Form nur einmal gibt, und genau deshalb lohnt der Blick auf die Architektur dahinter. Die Agentur selbst hat erklärt, die verwalteten Daten seien sicher und nicht kompromittiert worden.[1] Die spannendere Frage ist trotzdem, warum ein einzelner Angreifer überhaupt an die Sicherungen herangekommen ist.
Das Wichtigste in Kürze
- Rumäniens Kataster- und Grundbuchsystem e-Terra ist seit dem 14. Juli 2026 ausgefallen, der Immobilienverkehr stand still.
- Der Zugang lief nach Darstellung von Branchenmedien über gültige Zugangsdaten, nicht über eine Softwarelücke.
- Die Slowakei hat im Januar 2025 einen fast identischen Fall erlebt, die Wiederherstellung hat dort Monate gedauert.
- Für deutsche Betreiber zählt seit Dezember 2025 das NIS-2-Umsetzungsgesetz, und dort steht Backup-Management ausdrücklich im Pflichtenkatalog.
Wie kommt ein Angreifer an ein ganzes Kataster?
Gültige Zugangsdaten waren nach Darstellung von Branchenmedien der Ausgangspunkt: Der Angreifer hat sich regulär angemeldet, die internen Systeme kartiert und erst danach gelöscht. Rumänische Medien berichten, dass kurz darauf Mitarbeiterzugänge und interne Netzdokumentation im kriminellen Untergrund zum Verkauf gestanden haben.
Kein Exploit nötig: Ein solcher Ablauf hinterlässt kaum Spuren, weil jede einzelne Aktion aus Sicht der Protokollierung legitim aussieht. Genau hier setzen Werkzeuge für privilegierte Zugriffe an, die administrative Sitzungen aufzeichnen und einzeln freigeben, statt Dauerrechte zu vergeben.
Dass der Löschung ein gescheiterter Erpressungsversuch vorausgegangen sein soll, passt ins Muster: Die Gruppe UnSafe hat im Juli nach demselben Drehbuch gearbeitet, erst stehlen, dann drohen, dann zerstören.
Warum ist ein erreichbares Backup kein Backup?
Erreichbarkeit ist das Problem. Eine Sicherung, die im selben Verzeichnisdienst hängt und mit denselben Administratorrechten löschbar ist, teilt das Schicksal der Produktivdaten. Technisch hilft nur Unveränderlichkeit: Speichersysteme mit zeitgesperrten Snapshots lassen eine Sicherung für eine definierte Frist weder überschreiben noch löschen, auch nicht durch den Administrator selbst.
Papier als Rückfallebene: In Rumänien liegt die rechtliche Wahrheit weiter beim Papierregister, und Notare wie Eigentümer halten Urkunden in der Hand. Ausgerechnet die unvollständige Digitalisierung begrenzt hier den Schaden, ein Trost, der bei einer vollständig digitalen Akte entfällt.
Melden Sie sich mit dem stärksten Administratorkonto Ihres Hauses an und versuchen Sie, eine Sicherung zu löschen. Gelingt das, hätte es auch ein Angreifer mit genau diesen Zugangsdaten geschafft. Erst eine Kopie, die niemand im laufenden Betrieb löschen oder überschreiben kann, überlebt einen solchen Vorfall.
Ein Backup, das der Angreifer mit denselben Zugangsdaten erreicht wie die Produktivdaten, ist eine Kopie, keine Sicherung. Den Unterschied bemerkt man erst an dem Tag, an dem beides fehlt.
— Markus Seyfferth, Chefredakteur Dr. Web
Ist das ein Einzelfall?
Zweiter Fall in 18 Monaten: Im Januar 2025 hat ein Ransomware-Angriff das slowakische Immobilienregister getroffen und den gesamten Grundstücksverkehr des Landes gestoppt.[2] Auch dort haben unklare Sicherungsstände die Wiederherstellung über Monate gezogen. Zwei nationale Grundbücher in anderthalb Jahren ergeben ein Angriffsmuster, kein Unglück.
Register sind attraktiv, weil sie eine ganze Volkswirtschaft anhalten können. Dieselbe Logik hat sich bei der Sabotage an der Bahninfrastruktur gezeigt und beim Zugfunk-Ausfall, bei dem die Redundanz versagt hat.
Was bedeutet das für deutsche Betreiber?
Föderale Streuung schützt teilweise. Deutschland führt das Grundbuch bei den Amtsgerichten, und die Länder betreiben bis heute unterschiedliche Fachverfahren. Ein einzelner Angreifer legt damit schwerer die gesamte Republik lahm, dafür existiert 16 Mal die Chance, dass eine Sicherungsarchitektur schwächelt.
NIS 2 macht daraus Pflicht: Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 und nennt Backup-Management und Krisenmanagement ausdrücklich als Mindestmaßnahme, mit der öffentlichen Verwaltung als eigenem Sektor.[3] Wie konkret das in der Praxis wird, hat sich zuletzt an der Produktionshalle als Haftungsfalle gezeigt, und dass ein Vorfall zusätzlich kapitalmarktrechtlich zählt, hat die BaFin-Geldbuße gegen TeamViewer deutlich gemacht.
Auf den Tisch gehört diese Woche eine unveränderliche, zeitgesperrte Kopie der wichtigsten Datenbanken. Dazu kommen getrennte Anmeldedaten für Backup-Infrastruktur und Produktivnetz, ein Wiederanlauf-Test, der ohne den Produktiv-Verzeichnisdienst auskommt, und eine schriftlich festgehaltene Zielzeit, bis wann welches Register wieder laufen muss. Ergänzend lohnt der Blick auf die Deckung, denn der Markt für Cyberversicherungen wächst schneller als der Schutz im Mittelstand.
Quellen
[1] ANCPI: „Actualizare privind incidentul de securitate cibernetică“
[2] Kinstellar: „Ransomware attack on Slovakia’s Real Estate Register“
[3] BSI: „Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft“
Mehr Newshunger?
- NIS2: Die Produktionshalle wird zur Haftungsfalle
- Cyberangriff ist Insiderinformation: BaFin verhängt 240.000 Euro Geldbuße gegen TeamViewer
- Erst zwei Opfer, dann die Deutsche Bank: Was hinter der Erpressergruppe UnSafe steckt
- Vom Schutzschild zum Einfallstor: Angreifer kapern Fortinets FortiSandbox
- Cyberversicherung: Der Markt boomt, der Mittelstand bleibt ungeschützt
