Cyberangriff auf das Rathaus Wriezen: Ransomware legt Stadtverwaltung teilweise lahm
Die Stadtverwaltung Wriezen im Landkreis Märkisch-Oderland wurde Ziel eines Ransomware-Angriffs. IT-Systeme wurden vorsorglich vom Netz genommen, Telefonie und E-Mail arbeiten nur eingeschränkt.
Ransomware bei einer Kommune mit rund 7.000 Einwohnern
Die Stadtverwaltung Wriezen im Landkreis Märkisch-Oderland ist von einem Ransomware-Angriff betroffen. Der Vorfall wurde am Mittwoch, dem 17. Juni 2026, entdeckt. Um eine Ausbreitung zu verhindern, nahm die Verwaltung betroffene IT-Systeme vorsorglich vom Netz.
Seitdem arbeitet das Rathaus nur eingeschränkt. Telefonische und elektronische Kommunikation sind teilweise ausgefallen, Bürger müssen mit längeren Bearbeitungszeiten rechnen. IT-Sicherheitsexperten untersuchen aktuell, wie die Angreifer in das Verwaltungsnetz eindringen konnten und welche Systeme betroffen sind.
Ob Daten gestohlen wurden, ist bislang nicht öffentlich bestätigt. Genau diese Frage ist jedoch entscheidend: Moderne Ransomware-Gruppen verschlüsseln Daten häufig nicht nur, sondern kopieren sie vor der Verschlüsselung auf eigene Server (Double Extortion).
Zahlen, Daten und Fakten zu Wriezen
Die amtliche Bevölkerungszahl von Wriezen lag zum 31. Dezember 2025 bei rund 7.024 Menschen. Damit handelt es sich nicht um eine Großstadtverwaltung, sondern um eine vergleichsweise kleine Kommune. Gerade solche Städte verfügen häufig über begrenzte IT-Personal- und Sicherheitsbudgets, müssen aber dennoch hochsensible Daten und zahlreiche kommunale Fachverfahren schützen. (Quelle: Statistik Berlin-Brandenburg)
Was in Wriezen passiert ist
Nach Angaben der Stadtverwaltung wurde der Cyberangriff am Freitagmorgen festgestellt. Die Stadt übergab den Vorfall unmittelbar an IT-Sicherheitsexperten. Betroffene Systeme wurden vorsorglich vom Netzwerk getrennt – bei einem Ransomware-Verdacht die richtige Reaktion, weil sich Schadsoftware innerhalb kurzer Zeit über Benutzerkonten, Netzlaufwerke, Server und zentrale Verwaltungsdienste ausbreiten kann.
Die Abschaltung hat jedoch unmittelbare Konsequenzen:
- ▸E-Mails können nicht zuverlässig versendet oder empfangen werden.
- ▸Telefonanlagen oder digitale Telefonverzeichnisse können ausfallen.
- ▸Mitarbeiter haben möglicherweise keinen Zugriff auf Fachverfahren.
- ▸Dokumente und digitale Akten stehen nicht zur Verfügung.
- ▸Anträge können nicht oder nur manuell bearbeitet werden.
- ▸Zahlungen, Bescheide und Verwaltungsentscheidungen können sich verzögern.
- ▸Bürgerdaten müssen gegebenenfalls vorübergehend auf Papier verarbeitet werden.
Die Stadt teilte mit, dass dringende Anliegen weiterhin persönlich im Rathaus vorgebracht werden können. Mittlerweile wurde außerdem eine zentrale Telefonnummer wieder erreichbar gemacht: 033456 49 149. (Quelle: Moz)
Infografik: Zahlen, Daten & Fakten zum Cyberangriff auf das Rathaus Wriezen inkl. empfohlenem Investitionsrahmen für kommunale Cybersicherheit.
Warum der Angriff deutlich mehr als ein gewöhnlicher IT-Ausfall ist
Ein defekter Server lässt sich austauschen. Ein kompromittiertes Verwaltungsnetz muss dagegen vollständig als potenziell unsicher betrachtet werden. Nach einem Ransomware-Angriff reicht es nicht aus, einzelne Computer neu zu starten oder verschlüsselte Dateien aus einem Backup zurückzuspielen. Die Verantwortlichen müssen zunächst feststellen:
- ?Über welchen Zugang erfolgte der Angriff?
- ?Seit wann befanden sich die Angreifer im Netzwerk?
- ?Welche Benutzerkonten wurden übernommen?
- ?Wurden Administratorrechte erlangt?
- ?Welche Server und Endgeräte wurden verändert?
- ?Wurden Daten kopiert oder nur verschlüsselt?
- ?Sind die vorhandenen Backups sauber?
- ?Haben die Angreifer dauerhafte Hintertüren eingerichtet?
Solange diese Fragen nicht beantwortet sind, kann ein vorschneller Neustart der Verwaltung dazu führen, dass die Täter erneut Zugriff erhalten.
Welche Daten eine Stadtverwaltung wie Wriezen verarbeitet
Auch eine Stadt mit etwa 7.000 Einwohnern verfügt über eine erhebliche Menge sensibler Informationen. Das Rathaus verarbeitet nicht nur Namen und Anschriften, sondern je nach Zuständigkeit unter anderem:
Die öffentlich zugängliche Mitarbeiterstruktur zeigt, dass die kommunale IT mit zahlreichen Verwaltungsbereichen verbunden ist – von Finanzverwaltung und Kasse bis zu Standesamt, Bibliothek, Schulen und Kindertagesstätten. (Quelle: wriezen.de) Damit kann bereits ein einziges kompromittiertes Administratorkonto große Teile der Stadtverwaltung betreffen.
Wurden Daten aus Wriezen gestohlen?
Bislang gibt es keine öffentlich bestätigte Information darüber, dass Daten abgeflossen sind. Ebenso wenig wurde eine konkrete Ransomware-Gruppe genannt. Das bedeutet allerdings nicht automatisch, dass kein Datendiebstahl stattgefunden hat.
Bei modernen Angriffen gehen Cyberkriminelle häufig in mehreren Phasen vor:
- Eindringen über eine Sicherheitslücke oder gestohlene Zugangsdaten
- Ausspähen des Netzwerks
- Übernahme weiterer Benutzer- und Administratorkonten
- Kopieren sensibler Daten
- Manipulation oder Löschung von Backups
- Verschlüsselung der produktiven Systeme
- Erpressung mit Lösegeldforderung und Veröffentlichungsdrohung
Dieses Vorgehen wird als Double Extortion bezeichnet. Selbst wenn eine Kommune ihre Systeme aus Backups wiederherstellen kann, drohen die Täter mit der Veröffentlichung der zuvor kopierten Daten. Das BSI weist ausdrücklich darauf hin, dass bei Ransomware-Kampagnen neben der Verschlüsselung häufig auch Daten ausgeleitet werden. (Quelle: BSI)
Wie könnten die Angreifer eingedrungen sein?
Der konkrete Angriffsweg in Wriezen ist bislang nicht bekannt. Jede Behauptung über eine bestimmte Schwachstelle wäre spekulativ. Bei vergleichbaren Angriffen auf Kommunen treten jedoch regelmäßig dieselben Einfallstore auf:
Passwörter aus Phishing, Infostealern oder alten Datenlecks. Fehlt MFA, reicht ein gültiges Passwort.
VPN-Gateways und Firewalls stehen direkt im Internet; kritische Lücken werden teils innerhalb weniger Stunden ausgenutzt.
Kommunale Verwaltungen betreiben oft ältere Software wegen Fachanwendungs-Abhängigkeiten.
Vermeintliche Rechnungen, Bewerbungen oder Behördennachrichten reichen aus, um Zugangsdaten abzugreifen.
Kompromittierte Fernwartungskonten können mehrere Kunden gleichzeitig gefährden.
Arbeitsplätze, Server, Backups und Telefonie im gleichen Netz → freie Bahn für Angreifer.
Warum kleine Kommunen attraktive Ziele sind
Auf den ersten Blick erscheint eine Stadt mit rund 7.000 Einwohnern für internationale Cyberkriminelle wenig interessant. Tatsächlich sind kleinere Kommunen aus Sicht der Täter häufig attraktive Ziele: Sie verfügen über wertvolle Daten, können den Betrieb nicht dauerhaft einstellen und besitzen oft weniger Sicherheitsressourcen als Konzerne oder Bundesbehörden.
Cyberkriminelle müssen ihre Opfer heute nicht mehr manuell auswählen. Automatisierte Systeme durchsuchen das Internet fortlaufend nach ungepatchten Firewalls, offenen Fernwartungsdiensten, unsicheren VPN-Zugängen, veröffentlichten Passwörtern, schlecht geschützten Cloud-Konten und veralteten Webanwendungen. Der Angriff kann daher opportunistisch erfolgt sein – die Täter müssen Wriezen vorher nicht einmal gekannt haben.
Wriezen ist stärker digitalisiert, als es die Stadtgröße vermuten lässt
Die Stadt bietet über ein externes kommunales Serviceportal bereits digitale Verwaltungsleistungen an. Bürger können dort Informationen abrufen, Formulare verwenden und teilweise Dienstleistungen online beantragen. (Quelle: Kommune365) Zusätzlich betreibt die Verwaltung eine öffentlich zugängliche Mitarbeiterübersicht, ein Geoportal, elektronische Kommunikation und zahlreiche kommunale Fachverfahren.
Digitalisierung erleichtert Verwaltungsabläufe – vergrößert aber gleichzeitig die technische Angriffsfläche. Jede Schnittstelle, jedes Benutzerkonto und jeder angebundene Dienst muss abgesichert, protokolliert und regelmäßig überprüft werden.
Wie viele Beschäftigte könnten betroffen sein?
Eine eindeutig bestätigte Gesamtzahl aller Beschäftigten der Stadt Wriezen ist öffentlich nicht ersichtlich. Die Mitarbeiterübersicht nennt jedoch mehrere Dutzend Personen und Funktionen innerhalb der Kernverwaltung sowie Beschäftigte in Schulen, Bibliothek und weiteren kommunalen Einrichtungen. Allein die veröffentlichte Verwaltungsstruktur umfasst:
Realistisch ist daher, dass der Vorfall nicht nur einzelne Computer, sondern einen erheblichen Teil der kommunalen Arbeitsplätze und Abläufe betrifft. Eine genaue Zahl kann erst die Stadt selbst nennen.
Welche unmittelbaren Folgen für Bürger möglich sind
Für die Bevölkerung bedeutet ein solcher Angriff zunächst vor allem Verzögerungen. Besonders betroffen können Leistungen sein, die Zugriff auf zentrale Fachverfahren benötigen:
- ▸An- und Ummeldungen
- ▸Meldebescheinigungen
- ▸Personalausweis- und Passangelegenheiten
- ▸Gewerbeanmeldungen
- ▸Geburts-, Ehe- oder Sterbeurkunden
- ▸Grundsteuerangelegenheiten
- ▸Kommunale Forderungen und Zahlungen
- ▸Bau- und Grundstücksangelegenheiten
- ▸Kita- und Schulverwaltung
- ▸Bearbeitung von Rechnungen
- ▸Ausstellung von Bescheiden
Auch nach der technischen Wiederherstellung kann es Wochen dauern, bis aufgelaufene Vorgänge vollständig nachbearbeitet sind.
Wie lange kann die Wiederherstellung dauern?
Eine seriöse Prognose ist zum aktuellen Zeitpunkt nicht möglich. Die Dauer hängt davon ab, wie weit die Angreifer vorgedrungen sind und ob funktionierende, nicht kompromittierte Backups vorhanden sind. Bei begrenzten Angriffen sind wesentliche Dienste innerhalb weniger Tage verfügbar. Wurden zentrale Server, Identitätsdienste oder Backups kompromittiert, kann der Wiederaufbau mehrere Wochen oder Monate dauern.
Der Fall Hohen Neuendorf zeigte 2025, dass Einschränkungen einer kommunalen Verwaltung auch mehr als vier Wochen nach einem Cyberangriff fortbestehen können. (Quelle: Moz)
Wie viel hätte Wriezen in Cybersicherheit investieren müssen?
Eine konkrete Sollsumme lässt sich ohne Kenntnis der IT-Landschaft nicht verbindlich nennen. Für eine Kommune dieser Größenordnung wäre jedoch ein dauerhaftes Cybersecurity-Budget erforderlich – kein einmaliges Projekt. Bei geschätzt 50 bis 100 IT-gestützten Arbeitsplätzen (inkl. Außenstellen und kommunaler Einrichtungen) verursacht eine belastbare Basisabsicherung ungefähr folgende jährliche Kosten:
| Sicherheitsbereich | Jährlicher Aufwand |
|---|---|
| Firewall, VPN & Wartung | 10.000 – 25.000 € |
| Endpoint Detection & Response (EDR) | 8.000 – 20.000 € |
| E-Mail-Sicherheit & Phishing-Schutz | 5.000 – 15.000 € |
| MFA & Identitätsschutz | 5.000 – 15.000 € |
| Netzwerksegmentierung & Wartung | 10.000 – 25.000 € |
| Unveränderliche & externe Backups | 15.000 – 35.000 € |
| Externes SOC (24/7-Überwachung) | 20.000 – 50.000 € |
| Schwachstellen-Scans & Pentests | 8.000 – 20.000 € |
| Mitarbeiterschulungen & Phishing-Tests | 3.000 – 10.000 € |
| Notfallübungen, Doku & Beratung | 5.000 – 15.000 € |
| Realistische Gesamtschätzung | 84.000 – 230.000 € p. a. |
Ein sinnvoller Zielkorridor liegt für Wriezen bei ungefähr 100.000 bis 180.000 € jährlich für IT-Sicherheit – zusätzlich zu normalen Kosten für Hardware, Software, Fachverfahren, Telefonie, Support und Digitalisierung.
Selbst 150.000 € jährlich entsprechen lediglich rund 1,75 € pro Einwohner und Monat. Werte sind redaktionelle Modellrechnungen, keine bestätigten Ausgaben der Stadt Wriezen.
Prävention ist günstiger als Wiederaufbau
Die Kosten eines schweren Cyberangriffs bestehen nicht nur aus neuen Servern oder externer IT-Unterstützung. Zusätzlich können entstehen: IT-Forensik, Krisenkommunikation, Rechtsberatung, Datenschutzprüfung, Wiederaufbau der Infrastruktur, Überstunden und externe Ersatzkräfte, neue Hardware und Lizenzen, Ausfall kommunaler Einnahmen, manuelle Ersatzverfahren, Nachbearbeitung liegengebliebener Vorgänge, mögliche Benachrichtigung Betroffener, langfristige Sicherheitsüberwachung und Vertrauensverlust.
Bereits ein mehrwöchiger Ausfall kann eine kleine Kommune einen sechsstelligen Betrag kosten. Bei umfangreicher Datenkompromittierung und komplettem Neuaufbau sind auch deutlich höhere Schäden denkbar. Ein jährliches Sicherheitsbudget von 100.000 bis 180.000 € wäre deshalb nicht überdimensioniert, sondern eine Form kommunaler Daseinsvorsorge.
Welche Maßnahmen eine Stadt wie Wriezen benötigt
Mindestens eine Sicherung technisch so schützen, dass weder Administratoren noch Angreifer sie nachträglich löschen oder verschlüsseln können. (BSI-Empfehlung: mehrere Kopien, offline, regelmäßig getestet.)
Für Administratoren, Fernzugänge, Cloud-Dienste, E-Mail-Konten und externe Dienstleisterzugänge zwingend erforderlich.
Arbeitsplätze, Server, Backups, Telefonie, Gebäudetechnik, Schulen und öffentliche Einrichtungen dürfen nicht unkontrolliert aufeinander zugreifen.
Protokolldaten aus Firewalls, Servern und Endgeräten zentral auswerten. Verdächtige Anmeldungen oder Massenänderungen an Dateien lösen 24/7 Alarm aus.
Internet-exponierte Systeme wie Firewalls und VPN-Gateways benötigen besonders kurze Reaktionszeiten – kritische Updates nicht erst im nächsten Wartungsfenster.
Getrennte Konten für Büroarbeit und Admin-Tätigkeit. Dauerhaft angemeldete Domänenadministratoren sind ein erhebliches Risiko.
Regelmäßige Penetrationstests müssen prüfen, ob öffentliche Systeme, Fernzugänge und interne Netze tatsächlich so sicher sind wie behauptet.
Telefonlisten, Zuständigkeiten, Versicherungsdaten, Kontakte zu Behörden und Wiederanlaufpläne müssen auch ohne funktionierende IT verfügbar sein. (BSI-Empfehlung)
Was die Stadt jetzt richtig gemacht hat
Die bisher bekannten Reaktionen entsprechen wichtigen Grundprinzipien eines professionellen Incident Response:
- ✓Der Vorfall wurde nicht verheimlicht.
- ✓IT-Sicherheitsexperten wurden eingeschaltet.
- ✓Betroffene Systeme wurden vom Netz getrennt.
- ✓Zuständige Behörden wurden informiert.
- ✓Bürger wurden auf Einschränkungen hingewiesen.
- ✓Eine alternative telefonische Erreichbarkeit wurde eingerichtet.
- ✓Dringende Anliegen können weiterhin persönlich vorgebracht werden.
Besonders die schnelle Trennung kompromittierter Systeme kann verhindern, dass sich Ransomware auf weitere Server, Außenstellen oder Backups ausbreitet.
Welche Fragen noch unbeantwortet sind
- ?Welche Ransomware-Gruppe steckt hinter dem Angriff?
- ?Wann erfolgte der erste unbefugte Zugriff?
- ?Welcher technische Zugang wurde verwendet?
- ?Welche Server und Fachverfahren sind betroffen?
- ?Wurden personenbezogene Daten kopiert?
- ?Sind Daten von Beschäftigten betroffen?
- ?Sind Kita-, Schul- oder Meldedaten betroffen?
- ?Wurden Backups manipuliert?
- ?Liegt eine Lösegeldforderung vor?
- ?Wurde der Vorfall der Datenschutzaufsicht gemeldet?
- ?Müssen betroffene Personen informiert werden?
- ?Wie lange wird der eingeschränkte Betrieb dauern?
- ?Sind externe IT-Dienstleister oder weitere Kommunen betroffen?
Solange diese Punkte ungeklärt sind, sollte nicht von einem reinen Verschlüsselungsvorfall ausgegangen werden.
Fazit: Der Angriff auf Wriezen ist ein Angriff auf kommunale Handlungsfähigkeit
Der Ransomware-Angriff auf die Stadtverwaltung Wriezen zeigt, dass Cyberkriminelle nicht nur Konzerne, Kliniken oder Großstädte angreifen. Eine Verwaltung mit rund 7.000 Einwohnern verarbeitet hochsensible Informationen, betreibt zahlreiche Fachverfahren und muss auch in einer Krise handlungsfähig bleiben. Fällt ihre IT aus, betrifft das unmittelbar Bürger, Unternehmen, Beschäftigte, Schulen, Kitas und kommunale Einrichtungen.
Ob beim Angriff Daten gestohlen wurden, ist noch offen. Ebenso unbekannt sind Tätergruppe, Angriffsmethode und mögliche Lösegeldforderung. Die vorsorgliche Abschaltung der Systeme war dennoch richtig.
Der entscheidende Punkt liegt vor dem Angriff: Kommunale Cybersicherheit darf nicht als freiwilliges IT-Zusatzprojekt betrachtet werden. Sie gehört zur kritischen Grundversorgung einer Stadt. Für eine Kommune der Größenordnung Wriezens wäre ein dauerhaftes Sicherheitsbudget im niedrigen bis mittleren sechsstelligen Bereich plausibel – verglichen mit den Kosten eines wochenlangen Stillstands eine wirtschaftlich vertretbare Investition.
FAQ zum Cyberangriff auf Wriezen
Symbolische Lage-Visualisierung – kein Realtime-Radar. Die Angriffs-Pings sind eine grafische Darstellung, keine echten Sensordaten.
Quellen & Einordnung
Mitteilungen der Stadtverwaltung Wriezen (wriezen.de) inkl. Mitarbeiter- und Zuständigkeitsübersicht, Kommune365-Serviceportal, Berichterstattung Märkische Oderzeitung (moz.de) zum Vorfall in Wriezen sowie zum Vergleichsfall Hohen Neuendorf 2025, Statistik Berlin-Brandenburg zur amtlichen Einwohnerzahl (Stand 31.12.2025), BSI-Empfehlungen zu Backups, Notfallplänen und Ransomware-Doppelerpressung. Stand der Recherche: 18. Juli 2026. Zahlen können je nach auswertender Quelle abweichen; maßgeblich sind die offiziellen Verlautbarungen der Stadt Wriezen.
Weitere Angriffe auf Kommunen & öffentlichen Sektor
Der Vorfall in Wriezen reiht sich in ein bedrückendes Muster: Verwaltungen und öffentliche Einrichtungen zählen zu den meistattackierten Zielen.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
