Das Kataster von Rumänien steht seit zwei Wochen still: gültige Zugangsdaten und Backups am falschen Ort

Am 14. Juli 2026 bemerkte die Nationale rumänische Agentur für Kataster und Immobilienwerbung, die ANCPI, einen unbefugten Zugriff auf ihre Systeme. Zwei Wochen später, während wir schreiben, ist die Plattform e-Terra immer noch außer Betrieb: In Rumänien können keine Käufe und Verkäufe registriert, keine Auszüge erhalten und keine Hypotheken eingetragen werden. Ein ganzer nationaler Immobilienmarkt befindet sich in einer Zwangspause, weil jemand mit gültigen Zugangsdaten eingedrungen ist.

Die Nachricht erreichte Italien in Katastrophenfilm-Manier, «der Hacker löscht das Kataster», doch der wirklich lehrreiche Teil ist nicht die spektakuläre Tat. Es ist all das, was zuvor geschah, und es ist Material, das jeder, der kritische Systeme verwaltet, aufmerksam lesen sollte.

Die Fakten, der Reihe nach

Am 14. Juli entdeckt die ANCPI die Intrusion. Die technische Analyse klassifiziert das Ereignis als Ransomware-Angriff: Die Angreifer haben einen Teil der Virtualisierungsinfrastruktur verschlüsselt und gelöscht, die die Anwendungen der Agentur beherbergte, wie von der Regierung mitgeteilt. Nicht einen einzelnen Server: die Schicht, auf der die Dienste liefen. e-Terra, die Plattform des Katasters und der Grundbücher, das Bezahlsystem ePay und die institutionelle Post fallen aus.

Am 15. Juli erscheint auf einem Kriminalforum ein Datenpaket zum Verkauf, das der ANCPI zugeschrieben wird. Ein Profil namens ByteToBreach beansprucht den Angriff für sich und behauptet, Verwaltungsdokumente, Zugangsdaten von Beamten, Bürgerdaten und den Quellcode von Regierungssystemen entwendet und dann alles zerstört zu haben, als das Lösegeld nicht gezahlt wurde. Das israelische Geheimdienstunternehmen KELA assoziiert dieses Profil mit einer Person, die in Oran, Algerien, lebt; die rumänischen Behörden haben die Identifizierung nicht bestätigt.

In den folgenden Tagen beginnt der Wiederaufbau: Die Infrastruktur wird neu installiert und die Anwendungen in die Regierungs-Cloud migriert, eine Operation, die vom Serviciul de Telecomunicații Speciale koordiniert wird. Am 27. Juli teilt die Regierung mit, dass noch kein fester Termin für den Neustart existiert.

Ein Widerspruch, den es aufzulösen gilt

In einem Punkt gehen die Versionen auseinander, und die internationale Presse hat die dramatischere verstärkt. Der Angreifer behauptet, das gesamte Kataster, einschließlich der Sicherheitskopien, gelöscht zu haben. Die rumänische Regierung und die ANCPI behaupten hingegen, dass die technischen und rechtlichen Datenbanken nicht kompromittiert wurden.

Die beiden Behauptungen sind weniger unvereinbar, als es scheint. Zerstört wurde die Anwendungsebene, d.h. die virtuellen Maschinen und Systeme, die die Daten abrufbar machen, während die Daten selbst in Kopien überlebt hätten, die für den Angreifer nicht erreichbar waren. Es ist der Unterschied zwischen dem Verlust des Archivs und dem Verlust der Archivschlüssel: Im zweiten Fall existieren die Dokumente noch, aber für zwei Wochen ist es, als ob sie nicht existierten. Für den Notar, der beurkunden muss, ist die Unterscheidung theoretisch.

Es lohnt sich, dies im Hinterkopf zu behalten, wenn man liest «sie haben das Kataster eines Landes gelöscht». Die am meisten anerkannte Rekonstruktion ist, dass eine in einer separaten Umgebung aufbewahrte Kopie, außerhalb der Reichweite der gestohlenen Zugangsdaten, den endgültigen Verlust verhindert hat. Nicht Glück: eine zuvor getroffene architektonische Entscheidung.

Wie er eindrang: kein technisches Meisterwerk

Hier kommt der unbequeme Teil. Dan Cîmpean, Direktor der rumänischen Nationalen Direktion für Cybersicherheit, erklärte, dass «es kein sehr komplexer Angriff war» und dass bekannte Schwachstellen und bereits zirkulierende Zugangsdaten ausgenutzt wurden, Probleme, die die Behörde der Agentur kurz zuvor gemeldet hatte.

Die unabhängigen technischen Analysen stimmen überein: Der initiale Zugang erfolgte mit gültigen Zugangsdaten, nicht durch das Überwinden einer Perimeter-Verteidigung. Wer mit einem legitimen Benutzerkonto eindringt, löst kaum etwas aus, da es keinen Exploit zu erkennen und keine Protokollanomalie gibt. Es gibt einen Benutzer, der Dinge tut, die dieser Benutzer tun kann. Dann interne Aufklärung, Systemkartierung, Identifizierung kritischer Infrastrukturen und erst am Ende die zerstörerische Handlung.

ByteToBreach wird als Initial Access Broker beschrieben: kein staatlicher Akteur mit geopolitischen Zielen, sondern ein Krimineller, der schlecht geschützte Systeme sucht, um damit Geld zu verdienen. Ihm werden ähnliche Operationen gegen Ziele in Schweden, der Slowakei, der Ukraine, Polen und Litauen zugeschrieben. Er hat Rumänien nicht aus politischen Gründen gewählt, er hat es gewählt, weil es bequem war.

Der Kernpunkt: die Backups befanden sich innerhalb des Perimeters des Angreifers

Wenn es eine Lehre gibt, die man mitnehmen kann, dann ist es diese. Sicherheitskopien existierten. Sie dienten nicht dazu, die Blockade zu verhindern, weil sie demselben Identitäts- und Berechtigungssystem wie die Produktionsumgebung unterlagen. Der Angreifer gelangte mit den bereits vorhandenen Administratorzugangsdaten zu den Backup-Servern, genau wie er zu den Anwendungsservern gelangt war.

Das ist der Punkt, den fast alle falsch machen, und es muss unmissverständlich gesagt werden: Die Unveränderlichkeit eines Backups ist nutzlos, wenn das System, das sie erzwingt, dem gehorcht, der bereits die Schlüssel hat. Ein manipulationssicheres Archiv, das aber mit denselben Zugangsdaten wie die Produktion verwaltet werden kann, wird mit zwei Befehlen deaktiviert oder gelöscht. Der Schutz liegt nicht in der Medientechnologie, sondern in der Trennung: Eine Kopie muss in einem anderen Vertrauensbereich leben, mit anderen Zugangsdaten, die der Angreifer nicht erhält, indem er die Produktion kompromittiert. In Rumänien rettete alles eine einzige isolierte Kopie, in einem vom Produktionskonto getrennten Konto.

Es gibt eine weniger intuitive Schlussfolgerung. Wer eindringt, bleibt tagelang im Stillen, bevor er zuschlägt, daher kann auch die neueste Kopie bereits kontaminiert sein. Ein Plan, der vorsieht, «vom letzten Backup neu zu starten», ohne zu wissen, wann die Intrusion begann, riskiert, das Problem zusammen mit den Daten neu zu installieren.

Dreihundertfünftausend Euro von einhundertfünfunddreißig Millionen

Die Zahl, die das Geschehene mehr als jede andere erklärt, ist buchhalterischer Natur. In den letzten zwanzig Jahren hat die ANCPI etwa 135 Millionen Euro in die Digitalisierung und etwa 305.000 Euro in die Informationssicherheit investiert: 0,2%.

Dies ist kein Tippfehler und eine Proportion, die oft anzutreffen ist, auch außerhalb der öffentlichen Verwaltung und auch in Italien. Man digitalisiert einen Prozess, weil er messbare Effizienz erzeugt; man sichert ihn ab, damit nichts passiert, was man nicht quantifizieren kann. Der erste Ausgabenposten hat einen internen Sponsor, der zweite nicht. Bis es passiert: und dann kommt die Rechnung auf einmal, und die IT-Budget zahlt sie nicht.

Die Rechnung zahlen die Bürger

Der Schaden traf diejenigen, die nichts damit zu tun hatten. In Rumänien werden jährlich etwa 170.000 Immobilientransaktionen registriert: zwei Wochen Stillstand bedeuten Tausende von Familien mit ausgesetzten Kaufverträgen, blockierte Hypotheken in Bearbeitung, Bauunternehmen mit eingefrorenen Einnahmen.

Ein Steuerschluss machte den Zeitpunkt grausam: Ab dem 1. August 2026 steigt die Mehrwertsteuer auf neue Häuser von 9% auf 21%. Wer einen Vorvertrag unter Berücksichtigung des reduzierten Steuersatzes unterzeichnet hatte, musste bis zum 31. Juli abschließen, konnte dies aber nicht, weil das dafür benötigte System abgeschaltet war. Für eine Wohnung liegt die geschätzte Differenz zwischen 10.000 und 14.000 Euro. Ministerpräsident Ilie Bolojan sprach sich für eine Verlängerung aus, die die Dauer des Ausfalls der Plattform abdeckt, und das Parlament hat die Ausweitung des reduzierten Steuersatzes eingeleitet.

Es lohnt sich, bei diesem Absatz innezuhalten, denn er ist das Herzstück der Angelegenheit: Ein Cybervorfall hat ein Parlament gezwungen, eine Steuernorm zu ändern. Es ist der deutlichste Beweis dafür, dass die Verfügbarkeit eines Systems keine technische Frage ist, sondern eine Frage der ausübbaren Rechte.

Was das mit den Lesern hier zu tun hat

Viel mehr als es scheint. Eine Katasterbehörde ist, in NIS2-Sprache, eine Einrichtung der öffentlichen Verwaltung, die wesentliche Dienste erbringt, doch die Mechanismen, die sie zum Fall brachten, haben nichts spezifisch Öffentliches oder spezifisch Rumänisches an sich. Wiederverwendete gültige Zugangsdaten, erhaltene und nicht behobene Warnungen, Backups, die mit denselben Benutzerkonten wie die Produktion verwaltet werden: Das sind drei Situationen, die in Privatunternehmen jeder Größe identisch anzutreffen sind.

Auf normativer Ebene berührt die Angelegenheit mindestens drei Aspekte. Die NIS2 fordert verhältnismäßige Risikomanagementmaßnahmen und verlangt, dass die Leitungsorgane diese genehmigen und dafür Rechenschaft ablegen: Eine von der Behörde erhaltene, aber unbeachtete Warnung ist genau die Art von Unterlassung, an der diese Verantwortung gemessen wird. Die DSGVO kommt ins Spiel, weil die Datenverfügbarkeit ein Sicherheitsziel von Art. 32 gleichwertig mit der Vertraulichkeit ist, daher ist ein zwei Wochen lang unerreichbares System ein Datenschutzproblem, selbst wenn niemand etwas gestohlen hat. Und die betriebliche Kontinuität, ISO 22301 oder einfach ein schriftlicher und erprobter Plan, ist das, was einen dreitägigen Stillstand von einem dreiwöchigen Stillstand unterscheidet.

Was die DSGVO betrifft, zur Vollständigkeit: Die rumänische Cybersicherheitsbehörde hat erklärt, keine Beweise dafür gefunden zu haben, dass personenbezogene Daten oder Katasterzertifikate entwendet wurden, bestätigt aber die Exfiltration von Benutzerzugangsdaten und Anwendungssquellcode. Der Angreifer behauptet das Gegenteil. Solange die forensische Analyse nicht abgeschlossen ist, existieren die beiden Versionen nebeneinander, und das ist ein weiterer Grund, den Fall nicht als «keine personenbezogenen Daten betroffen» abzulegen.

Fünf Fragen, die man sich am Montagmorgen stellen sollte

1. Wenn ein Systemadministrator heute kompromittiert würde, welche Sicherheitskopien würden überleben? Wenn die Antwort lautet «keine, sie sind alle in derselben Domäne», dann existiert das Backup, aber es schützt nicht.
2. Wann wurde eine Wiederherstellung wirklich getestet? Nicht überprüft: durchgeführt, mit einer Stoppuhr, um zu messen, wie viele Stunden es dauert, um wieder betriebsbereit zu sein.
3. Wurden die in den letzten zwölf Monaten erhaltenen Sicherheitsmeldungen geschlossen? Die der Behörde, des Anbieters, des Penetrationstests. Mit Datum und Verantwortlichem daneben.
4. Umfasst die Multi-Faktor-Authentifizierung alle administrativen Zugriffe, einschließlich derer von Anbietern und der «Servicezugriffe», die niemand jemals nutzt?
5. Wie lange darf der Prozess, der den Umsatz generiert, stillstehen? Wenn es keine mit der Geschäftsleitung geteilte Zahl gibt, existiert kein Kontinuitätsplan, sondern nur eine Hoffnung.

Rumänien ist glimpflich davongekommen, weil eine Kopie an einem Ort lag, den der Angreifer nicht erreichen konnte. Das ist das Einzige, was in der ganzen Angelegenheit funktioniert hat, und es hat unendlich viel weniger gekostet als die 135 Millionen, die für die Digitalisierung des Rests ausgegeben wurden.

Quellen

Neben den Links im Text: Balkan Insight, bne IntelliNews, extrasul.ro.