IT-Sicherheit · Analyse
Die Gemeinden liefen weiter: Der Cyberangriff auf den Evangelischen Regionalverband
Am 27. Oktober 2026 wird der Evangelische Regionalverband Frankfurt und Offenbach Opfer eines Cyberangriffs auf einen Teil seiner IT-Infrastruktur. Der Verband schaltet aus Sicherheitsgründen IT ab. Kirchliche und soziale Angebote des Regionalverbands, der Diakonie und der Kirchengemeinden laufen weiter. Die IT der evangelischen Kirchengemeinden in Frankfurt und Offenbach ist nach ausdrücklicher Angabe des ERV nicht betroffen. Bei der Aufklärung arbeitet der Verband mit externen Sicherheitsexperten und der Polizei zusammen.
Einen Tag später, am 28. Oktober, veröffentlicht die Diakonie Frankfurt und Offenbach eine erste Darstellung auf ihrer Website. In der später aktualisierten Fassung heißt es, der ERV und seine Einrichtungen seien derzeit weitgehend per E-Mail und einige Einrichtungen auch telefonisch nicht erreichbar. Bis zu diesem Zeitpunkt gebe es keine Erkenntnisse über einen Datenabfluss. Die vorhandenen Backups würden geprüft, die Wiederherstellung vorbereitet; die Arbeiten konzentrierten sich zunächst auf kritische Geschäftsprozesse. Wann alle Systeme wieder vollständig zur Verfügung stehen, sei nicht absehbar.
Am 4. November aktualisiert das Magazin Evangelisches Frankfurt und Offenbach (efo) den Stand mit nahezu demselben Wortlaut: Ein Teil der IT ist ausgeschaltet, Erkenntnisse über einen Datenabfluss gibt es weiterhin nicht, die Angebote laufen, die Wiederherstellung kritischer Prozesse steht im Vordergrund, ein Termin für die vollständige Arbeitsfähigkeit fehlt. Der Fall ist ein Lehrstück für Verbünde, die eine zentrale Regional-IT und viele rechtlich oder organisatorisch getrennte Einrichtungen betreiben. Hier hat die Trennung der Gemeindenetze den Betrieb vor Ort gerettet, während die zentrale IT des Verbands ausfällt. Genau das solltest du dir merken, wenn deine Kitas, Beratungsstellen oder Mitgliedsorganisationen dasselbe Rechenzentrum, dieselbe E-Mail oder dieselbe Dateiablage nutzen wie die Zentrale – oder bewusst nicht.
Getrennt von den Gemeinden – und trotzdem getroffen
Der entscheidende Satz in den Mitteilungen des ERV ist nicht der über den Angriff selbst, sondern der über das, was stehen blieb.
„Die IT-Infrastruktur der evangelischen Kirchengemeinden in Frankfurt und Offenbach ist von dem Angriff nicht betroffen.“
Das ist mehr als eine Beruhigung für Gemeindebüros. Es ist eine Aussage über Architektur. Der Regionalverband betreibt eigene IT für seine Aufgaben und Einrichtungen. Die Kirchengemeinden hängen nach dieser Darstellung nicht an derselben Infrastruktur, die angegriffen und abgeschaltet wurde. Deshalb können kirchliche und soziale Angebote weiterlaufen, während ein Teil der Verbands-IT ausgeschaltet bleibt. In vielen Wohlfahrts- und Kirchenverbünden ist das keine Selbstverständlichkeit: Zentrale E-Mail, zentrale Dateiserver und zentrale Fachverfahren verbinden Verwaltung, Kitas und Beratungsstellen oft enger, als es das Organigramm suggeriert.
Was der ERV öffentlich nicht sagt, ist der Einfallsweg. Es gibt keine offizielle Tätergruppe, keine genannte Schwachstelle, keine Zahl zu betroffenen Systemen oder Datensätzen. Die Wiederherstellung beginnt bei den Backups und bei den kritischen Prozessen. Das ist die richtige Reihenfolge – und sie setzt voraus, dass die Datensicherungen selbst nicht mitverschlüsselt oder mitkompromittiert sind. Der Verband schreibt, die vorhandenen Backups würden geprüft. Das Verb „prüfen“ ist hier wichtig: Ein Backup, das man nicht testet, ist im Ernstfall nur eine Hoffnung.
Die mittelbar wiedergegebene FAZ-Aussage zu verschlüsselten Serverdateien würde, wenn sie den Vorgang zutreffend beschreibt, das Bild eines Ransomware-Angriffs stützen. Der ERV hat das in den vorliegenden eigenen Texten so nicht formuliert. Für die praktische Lage ändert das zunächst wenig: IT ist aus Sicherheitsgründen abgeschaltet, E-Mail ist weitgehend weg, die Wiederherstellung dauert, und niemand sollte in dieser Lage auf eine unaufgeforderte Mail mit Zahlungs- oder Anmeldeaufforderung reagieren, die vorgeblich vom Verband kommt.
Was „keine Erkenntnisse über einen Datenabfluss“ heißt – und was nicht
Bis zum 4. November, also mehr als eine Woche nach dem Angriff, gibt der ERV an, es gebe keine Erkenntnisse über einen Datenabfluss. In der öffentlichen Kommunikation ist das ein wichtiger Satz, weil er die naheliegende Sorge von Beschäftigten, Klientinnen und Kita-Eltern aufnimmt. Er ist gleichzeitig kein Freispruch. „Keine Erkenntnisse“ kann bedeuten, dass die Forensik keinen Abfluss gefunden hat – oder dass sie so weit noch nicht ist. Der Verband verspricht, zu neuen Erkenntnissen zu informieren, und bittet zunächst, von kurzfristigen weiteren Rückfragen abzusehen.
Für eine Organisation, die soziale und kirchliche Angebote trägt, ist die Datenfrage besonders empfindlich. In solchen Häusern liegen oft Angaben zu betreuten Kindern, zu Beratungsgesprächen, zu Beschäftigten und zu Ehrenamtlichen. Ob solche Daten hier überhaupt auf den betroffenen Systemen lagen, sagt der ERV öffentlich nicht. Solange das offen ist, gilt die Pflicht, die Untersuchung zu Ende zu führen und Betroffene zu benachrichtigen, falls sich ein Risiko zeigt. Eine voreilige Entwarnung wäre ebenso falsch wie eine unbelegte Behauptung, es seien Gesundheits- oder Sozialdaten gestohlen worden.
Die parallele Botschaft – die Angebote laufen weiter – ist trotzdem glaubwürdig, weil sie an die Trennung der Gemeindenetze anschließt. Ein Verband kann den Betrieb vor Ort aufrechterhalten und trotzdem in der zentralen Verwaltung, der Dienstplanung oder der E-Mail für längere Zeit eingeschränkt sein. Beides gleichzeitig zu kommunizieren, ohne das eine als Beweis für das andere zu verkaufen, ist genau die Linie, die der ERV hier versucht.
Zeitstrahl des Ablaufs
Dienstag, 27. Oktober 2026:
Der ERV wird nach eigenen Angaben Opfer eines Cyberangriffs auf einen Teil seiner IT-Infrastruktur. IT wird aus Sicherheitsgründen abgeschaltet. Die IT der Kirchengemeinden gilt als nicht betroffen, die Angebote laufen weiter. Quelle: ERV, wiedergegeben von der Diakonie und dem efo-Magazin.Mittwoch, 28. Oktober 2026:
Die Diakonie Frankfurt und Offenbach veröffentlicht eine Mitteilung zum Vorfall. Zusammenarbeit mit externen Sicherheitsexperten und der Polizei, Ausmaß wird geprüft, vollständige Wiederherstellung nicht absehbar. In der später auf derselben Seite stehenden Fassung: weitgehend keine E-Mail-Erreichbarkeit, teilweise auch telefonisch nicht; keine Erkenntnisse über einen Datenabfluss; Backups werden geprüft, kritische Prozesse zuerst. Quelle: Diakonie Frankfurt und Offenbach.Mittwoch, 4. November 2026:
Das efo-Magazin veröffentlicht einen aktualisierten Stand: Teil der IT weiterhin ausgeschaltet, weiterhin keine Erkenntnisse über einen Datenabfluss, Wiederherstellung kritischer Prozesse in Vorbereitung, vollständige Verfügbarkeit weiterhin nicht absehbar. Quelle: efo-Magazin, 4.11.2026, Autor Lukas Fortkord.5. November 2026:
CYROS fasst den Fall zusammen und verweist auf die FAZ-Aussage zu verschlüsselten Serverdateien. Das bleibt eine mittelbare Wiedergabe, keine eigene Bestätigung des ERV in den vorliegenden Originaltexten. Quelle: CYROS.Stand 12. November 2026:
Eine spätere offizielle Lage des ERV über den 4. November hinaus liegt bei dieser Recherche nicht vor. Ob die kritischen Prozesse inzwischen wiederlaufen, ist öffentlich nicht belegt.
Was heißt das für dein Unternehmen?
Der Fall des ERV ist ein Fall über Verbünde. Eine Zentrale kann getroffen werden, ohne dass jede Einrichtung fällt – wenn die Netze wirklich getrennt sind. Und ein weiterlaufendes Angebot vor Ort sagt nichts darüber, ob zentrale Daten sicher sind.
- 1.
Mitgliedsorganisationen und Zentrale technisch trennen.
Dass die Gemeindenetze nach Angabe des ERV nicht betroffen sind, ist die wichtigste technische Botschaft des Falls. Prüfe, ob deine Filialen, Kitas, Praxen oder Mitgliedsunternehmen wirklich eigene Anmeldungen, eigene Dateiablagen und eine eigene E-Mail haben – oder nur organisatorisch getrennt wirken, während sie auf demselben Server stehen. - 2.
Backups prüfen, bevor du sie brauchst – und noch einmal im Ernstfall.
Der ERV prüft vorhandene Sicherungen, bevor er wiederherstellt. Das ist der richtige Schritt. In deinem Unternehmen müssen Offsite- und unveränderbare Kopien existieren, und jemand muss geübt haben, sie zurückzuspielen. Ein Backup, das zum Angriffszeitpunkt erreichbar und überschreibbar war, kann Teil des Schadens sein. - 3.
Kritische Prozesse zuerst wiederherstellen, und sie vorher benennen.
„Kritische Geschäftsprozesse zuerst“ funktioniert nur, wenn diese Liste vor dem Angriff steht: welche Zahlungen, welche Dienstpläne, welche Meldewege, welche Fachanwendungen. In einem Sozial- oder Kirchenverband gehören dazu oft genau die Systeme, ohne die Betreuung und Beratung nicht organisiert werden können. - 4.
Erreichbarkeit nicht an die getroffene E-Mail binden.
Wenn die zentrale Mail ausfällt, braucht es bekannte Telefonnummern, eine Website, die aktuell bleibt, und die klare Ansage, dass unaufgeforderte Mails in dieser Lage besonders verdächtig sind. Die Diakonie-Mitteilung zeigt außerdem, dass sich die telefonische Erreichbarkeit im Verlauf ändern kann. Kommuniziere den jeweils geltenden Kanal, nicht einen einmal geschriebenen Satz. - 5.
„Keine Erkenntnisse über einen Datenabfluss“ nicht als Entwarnung verkaufen.
Das ist ein Zwischenstand. Halte ihn so, und kündige an, wann die nächste Bewertung kommt. Für besonders schutzbedürftige Daten – Kinder, Beratung, Gesundheit – gilt: Die Untersuchung muss zu einem klaren Ja oder Nein führen, nicht in der Formel stehen bleiben. - 6.
Polizei und externe Hilfe früh holen, die eigene Sprache trotzdem präzise halten.
Der ERV hat beides eingeschaltet und spricht öffentlich von einem Cyberangriff, ohne in den vorliegenden Texten schon Täter oder Lösegeld zu benennen. Das ist besser, als Spekulation in die eigene Mitteilung zu schreiben. Aussagen Dritter, etwa zu einer Verschlüsselung, gehören klar gekennzeichnet, bis du sie selbst bestätigt hast.
Wenn du prüfen willst, wie gut deine Zentrale von den Einrichtungen getrennt ist und ob deine Backups eine Wiederherstellung kritischer Prozesse wirklich tragen, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall des Evangelischen Regionalverbands zeigt vor allem eines: Getrennte Netze können den Betrieb vor Ort retten. Sie ersetzen nicht die Frage, was in der getroffenen Zentrale lag und wie lange die Wiederherstellung dauert.
Häufige Fragen
Quellen
- Diakonie Frankfurt und Offenbach: Evangelischer Regionalverband Frankfurt und Offenbach von Cyberangriff betroffen, 28.10.2026, aktualisierte Fassung mit Angaben zu E-Mail, Datenabfluss, Backups und kritischen Prozessen. Anschrift des ERV dort: Kurt-Schumacher-Straße 31, 60311 Frankfurt am Main.
- Evangelisches Frankfurt und Offenbach (efo), Lukas Fortkord: Evangelischer Regionalverband Frankfurt und Offenbach von Cyberangriff betroffen – aktueller Stand, 4.11.2026.
- CYROS: Evangelischer Regionalverband Frankfurt und Offenbach: Cyberangriff legt IT lahm, 5.11.2026. Zusammenfassung und Hinweis auf eine FAZ-Sprecheraussage zu verschlüsselten Serverdateien.
- security-incidents.de: Ransomware-Angriff: Evangelischer Regionalverband Frankfurt und Offenbach. Kurzeintrag, ebenfalls mit Hinweis auf Verschlüsselung und eine E-Mail vor dem Angriff; die Überschrift „Ransomware“ geht über die eigene Wortwahl des ERV hinaus.
- KonBriefing: Eintrag zum 27. Oktober 2026, Evangelischer Regionalverband Frankfurt und Offenbach, mit Verweis auf das efo-Magazin.
- Offizielle Seiten des ERV und der Diakonie Frankfurt und Offenbach als Ausgangspunkt für den jeweils aktuellen Erreichbarkeitsweg.
