Hackerangriff auf städtisches System in Mülheim: Der Vorfall ist bekannt – die entscheidenden Antworten fehlen
Am Rande der Ratssitzung wurde offenbar bekannt, dass ein städtisches System der Stadt Mülheim an der Ruhr Ziel eines Cyberangriffs wurde. Was gesichert ist – und was noch nicht.
Ein Cyberangriff, der offenbar nur nebenbei bekannt wurde
Während der Sitzung des Mülheimer Stadtrates am 16. Juli 2026 ist offenbar bekannt geworden, dass es einen Hackerangriff auf ein städtisches System gegeben hat. Der Vorfall soll dabei eher beiläufig zur Sprache gekommen sein. Öffentlich zugängliche Informationen sind bislang spärlich.
Der derzeit wichtigste Satz lautet deshalb nicht, was bereits bekannt ist, sondern was noch nicht bekannt ist: welches System betroffen war, wann der Angriff erfolgte, wie die Angreifer eingedrungen sein könnten und ob Daten eingesehen, kopiert, verändert oder verschlüsselt wurden.
Was bislang als bekannt gelten kann
Nach dem bisher veröffentlichten Bericht lassen sich nur wenige Punkte belastbar festhalten: Ein städtisches System soll Ziel eines Cyberangriffs gewesen sein. Öffentlich bekannt wurde der Vorfall offenbar im Zusammenhang mit der Ratssitzung vom 16. Juli 2026. Die bisherige Informationslage wird selbst in der Berichterstattung als spärlich beschrieben.
Nicht öffentlich bestätigt sind dagegen bislang:
- ▸das konkret betroffene System
- ▸der Zeitpunkt und die Dauer des Angriffs
- ▸der mögliche Zugangsweg
- ▸ein Datenabfluss
- ▸eine Verschlüsselung von Systemen
- ▸eine Lösegeldforderung
- ▸die Identität oder Herkunft der Täter
- ▸Einschränkungen für Bürger und Beschäftigte
- ▸die Einschaltung von Polizei, Landeskriminalamt, BSI oder Datenschutzaufsicht
Solange diese Informationen fehlen, wäre es unseriös, hinter dem Vorfall eine bestimmte Ransomware-Gruppe oder eine konkrete Angriffsmethode zu vermuten.
Warum ein „städtisches System" keine unbedeutende Anwendung sein muss
Die Formulierung klingt zunächst begrenzt. Tatsächlich betreiben moderne Kommunen jedoch eine Vielzahl miteinander verbundener Fachverfahren, Portale und Datenbanken.
arbeiten für die Stadt Mülheim.
mit Hauptwohnsitz (Stand 31.12.2025).
im Stadtgebiet gemeldet.
Fläche – eine der größeren Städte im Ruhrgebiet.
Zur kommunalen IT gehören beispielsweise Systeme für Einwohner- und Meldedaten, Personal und Gehaltsabrechnung, Sozialleistungen und Jobcenter, Steuern, Gebühren und Zahlungen, Ordnungswidrigkeiten, Ausländer- und Aufenthaltsangelegenheiten, Terminvereinbarungen und Online-Dienstleistungen, Ratsarbeit und politische Dokumente sowie E-Mail-Kommunikation und Dokumentenmanagement.
Die Stadt Mülheim verfügt über ein eigenes Amt für Digitalisierung und IT. Ein erfolgreicher Angriff auf zentrale Strukturen könnte theoretisch eine große Zahl von Beschäftigten, Bürgern und Verwaltungsprozessen berühren.
Die entscheidende Frage: Wurden Daten nur erreicht oder auch gestohlen?
Ein Cyberangriff ist nicht automatisch ein Datenleck. Angreifer können versuchen, ein System zu erreichen, ohne die Sicherheitsbarrieren zu überwinden. Sie können Zugriff auf einen einzelnen Account erhalten, ohne in weitere Systeme vorzudringen. Sie können aber auch über Tage oder Wochen unentdeckt im Netzwerk bleiben, Berechtigungen ausweiten und Daten kopieren.
Für die Bewertung des Mülheimer Vorfalls sind vier technische Ebenen relevant:
- Wurde lediglich ein Angriff registriert und abgewehrt?
- Konnte ein Angreifer tatsächlich auf das System zugreifen?
- Wurden weitere Benutzerkonten, Server oder Verwaltungsbereiche erreicht?
- Wurden personenbezogene oder vertrauliche Daten kopiert beziehungsweise manipuliert?
Sollten personenbezogene Daten betroffen sein, greifen die Vorgaben der Datenschutz-Grundverordnung. Eine meldepflichtige Datenschutzverletzung muss grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden. Nicht jeder Cyberangriff ist automatisch eine solche Datenschutzverletzung – entscheidend ist, ob personenbezogene Daten betroffen sind und welches Risiko daraus entsteht.
Grafik: Bedrohungslage 2025 & Kennzahlen der Stadt Mülheim an der Ruhr (Quellen: Bundesregierung, Bitkom, Stadt Mülheim).
Deutschland verzeichnete 2025 mehr als 36.000 DDoS-Angriffe
Der Mülheimer Vorfall trifft auf eine bundesweit angespannte Bedrohungslage. Behörden, Verwaltungen sowie Verkehrs- und Logistikunternehmen sind besonders häufig betroffen.
Diese Zahlen zeigen: Angriffe auf Verwaltungen sind keine seltenen Ausnahmeereignisse mehr. Bei DDoS-Angriffen müssen interne Daten nicht zwangsläufig kompromittiert werden – Bürgerportale können jedoch zeitweise nicht erreichbar sein.
Was im schlimmsten Fall passieren kann
Wie groß die Folgen eines erfolgreichen Angriffs auf eine Verwaltung werden können, zeigt der Landkreis Anhalt-Bitterfeld. Der Landkreis mit damals rund 160.000 Einwohnern wurde im Juli 2021 von Ransomware getroffen. Die Täter verschlüsselten Teile der Verwaltungs-IT, entwendeten nach damaligen Angaben rund 62 Megabyte personenbezogene Daten und verlangten umgerechnet etwa 500.000 Euro Lösegeld.
Die Verwaltung war nach Darstellung des damaligen Landrats digital nahezu vollständig arbeitsunfähig. Unter anderem konnten Sozialhilfe, BAföG, Eltern- und Kindergeld zeitweise nicht ausgezahlt werden. Der Landkreis rief den ersten Cyber-Katastrophenfall Deutschlands aus – und dieser dauerte mehr als ein halbes Jahr.
Mülheim ist mit 173.761 Einwohnern sogar etwas größer. Der Vergleich bedeutet nicht, dass in Mülheim eine ähnlich schwere Lage besteht. Er zeigt jedoch, warum die genaue Benennung des betroffenen Systems so wichtig ist.
Bekennerlage: Bis heute wurde keine Hackergruppe genannt
Zum Redaktionsstand ist keine Ransomware- oder Tätergruppe öffentlich mit dem Vorfall in Verbindung gebracht worden – weder von der Stadt selbst noch über eine Darknet-Leak-Seite oder ein Bekennerschreiben. Erfahrungsgemäß taucht so etwas – wenn es Ransomware war – oft erst Tage bis Wochen später auf einer der einschlägigen Leak-Plattformen auf. Wir werden das in den nächsten Wochen beobachten und diesen Beitrag aktualisieren, sobald sich belastbare Hinweise ergeben. Möglich ist aber auch, dass eine Gruppenzuordnung nie öffentlich sichtbar wird.
„Es wäre für die gesamte Sicherheits-Community ein enormer Gewinn, wenn Betroffene endlich transparent Tacheles reden würden – anstatt zu vertuschen, zu verschleiern oder Vorfälle unter den Tisch zu kehren. Jede offen kommunizierte Attacke hilft anderen Organisationen, sich vorzubereiten. Jedes Schweigen hilft nur den Angreifern. Das gilt für Behörden, Konzerne, Mittelstand und Vereine gleichermaßen."
Dieser Appell richtet sich ausdrücklich nicht speziell an die Stadt Mülheim, sondern ist als grundsätzliche Haltung an alle Organisationen da draußen zu verstehen, die versuchen, einen Hack unter der Decke zu halten.
Mülheim demonstrierte selbst, wie schnell ein Angriff gelingen kann
Dass Cyberangriffe nicht nur ein theoretisches Risiko darstellen, hatte die Stadt Mülheim bereits im August 2024 bei einer Sicherheitsveranstaltung deutlich gemacht. Vor mehr als 60 Teilnehmern wurde ein Angriff auf ein kleines Logistikunternehmen simuliert. Das Unternehmen war in der Vorführung innerhalb von weniger als 30 Minuten kompromittiert.
Die beteiligten Experten warnten damals, kein Unternehmen sei für Angreifer zu klein oder zu unbedeutend. Empfohlen wurden insbesondere Mitarbeiterschulungen, ein vorbereitetes Krisenkonzept, mehrstufige Datensicherungen und eine externe Backup-Kopie. Diese Empfehlungen gelten für eine Stadtverwaltung mindestens genauso.
Wie viel muss eine Stadt in Cybersicherheit investieren?
Ohne Kenntnis des Mülheimer IT-Budgets, der eingesetzten Systeme und der bisherigen Sicherheitsmaßnahmen lässt sich keine seriöse konkrete Summe nennen. Ein Vergleich aus der Wirtschaft liefert jedoch eine Größenordnung: Deutsche Unternehmen investierten 2025 durchschnittlich 18 % ihres IT-Budgets in IT-Sicherheit; 2022 waren es erst 9 %. 41 % der Unternehmen verwenden sogar mindestens 20 % ihres gesamten IT-Budgets für Sicherheitsmaßnahmen (Bitkom).
Durch Cyberangriffe entstanden deutschen Unternehmen 2025 nach Bitkom-Berechnungen Schäden von rund 202,4 Milliarden Euro – 70 % des gesamten erfassten Schadens durch Datendiebstahl, Sabotage und Wirtschaftsspionage.
Für Kommunen müsste ein Sicherheitsbudget mindestens abdecken:
- ✓laufende Aktualisierung und Absicherung aller Systeme
- ✓Mehrfaktor-Authentifizierung für kritische Zugänge
- ✓zentrale Protokollierung und Angriffserkennung
- ✓Segmentierung des Verwaltungsnetzwerks
- ✓regelmäßige Schwachstellenanalysen und Penetrationstests
- ✓offline oder technisch getrennte Backups
- ✓Wiederanlaufübungen für zentrale Fachverfahren
- ✓Schulungen und Phishing-Simulationen
- ✓externe Incident-Response-Unterstützung
- ✓Notfallkommunikation ohne Zugriff auf die normale IT
Diese Werte sind Branchenrichtwerte und keine verbindlichen kommunalen Standards. Entscheidend ist nicht nur, einen Angriff zu verhindern – eine Kommune muss auch darauf vorbereitet sein, trotz eines erfolgreichen Angriffs weiterarbeiten zu können.
Diese Fragen sollte die Stadt jetzt beantworten
Transparenz bedeutet nicht, technische Details zu veröffentlichen, die weitere Angriffe erleichtern könnten. Eine Stadt kann die Bevölkerung informieren, ohne Schwachstellen oder laufende Ermittlungen offenzulegen. Mindestens folgende Fragen sollten beantwortet werden:
- ?Welcher Verwaltungsbereich und welche Art von System sind betroffen?
- ?Wann wurde der Angriff entdeckt und über welchen Zeitraum könnte ein Zugriff bestanden haben?
- ?Wurde der Angriff abgewehrt oder konnten Täter in das System eindringen?
- ?Gibt es Hinweise darauf, dass personenbezogene Daten eingesehen oder kopiert wurden?
- ?Sind Bürgerdienste, interne Abläufe oder Zahlungen eingeschränkt?
- ?Wurden Polizei, Datenschutzaufsicht oder weitere Sicherheitsbehörden eingeschaltet?
- ?Wie und in welchen Abständen informiert die Stadt über neue Erkenntnisse?
Häufige Fragen
Fazit: Nicht die Schwere des Angriffs ist die Nachricht, sondern der Mangel an Informationen
Bislang gibt es keinen öffentlich belegten Hinweis darauf, dass die gesamte Mülheimer Stadtverwaltung lahmgelegt, Lösegeld verlangt oder große Mengen an Bürgerdaten gestohlen wurden. Es gibt aber offenbar einen Cyberangriff auf ein städtisches System – und zu wenige Informationen darüber, was tatsächlich passiert ist.
Bei einer Verwaltung mit rund 3.200 Beschäftigten und Verantwortung für 173.761 Einwohner ist das keine interne technische Randnotiz. Die Stadt sollte deshalb schnell, sachlich und fortlaufend informieren: Sind die Daten sicher? Funktionieren die Verwaltungsleistungen? Ist der Angriff beendet – oder laufen die Untersuchungen noch? Solange diese Fragen offenbleiben, ist der Vorfall in Mülheim noch nicht abgeschlossen.
Symbolische Lage-Visualisierung – kein Realtime-Radar. Die Angriffs-Pings sind eine grafische Darstellung, keine echten Sensordaten.
Quellen & Einordnung
Ausgangsbericht: Westdeutsche Allgemeine Zeitung (WAZ) zur Ratssitzung Mülheim vom 16.07.2026. Kennzahlen zur Stadt Mülheim an der Ruhr laut muelheim-ruhr.de (Stand 31.12.2025). Bedrohungslage 2025: Bundesregierung / BSI-Lagebericht, Bitkom-Studie „Wirtschaftsschutz 2025". Vergleichsfall Landkreis Anhalt-Bitterfeld 2021: Berichterstattung u. a. kommunal.de. Rechtlicher Rahmen: DSGVO Art. 33 (Meldepflicht 72 Stunden), EUR-Lex. Angaben zur Sicherheitsveranstaltung Mülheim 08/2024: muelheim-ruhr.de. Stand der Recherche: 17. Juli 2026. Zahlen können je nach auswertender Quelle abweichen; maßgeblich sind die offiziellen Verlautbarungen.
Weitere Angriffe auf Kommunen & öffentlichen Sektor
Der Vorfall in Mülheim reiht sich in ein Muster: Verwaltungen und öffentliche Einrichtungen zählen zu den meistattackierten Zielen.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
