Landesbibliothek Coburg im Darknet aufgetaucht – Warum es diesmal eine öffentliche Kulturinstitution trifft

Was ist passiert?

Auf der Darknet-Leak-Seite von The Gentlemen wurde ein neuer Eintrag zur Landesbibliothek Coburg veröffentlicht. Die Beobachtungsplattform Ransomware.live indexierte den Eintrag am 16. Juli 2026; in der automatisierten Erfassung wird die Einrichtung schlicht als „regionale staatliche wissenschaftliche Bibliothek in Bayern" beschrieben.

Konkrete Angaben zum Umfang der angeblich erbeuteten Daten, Datenproben oder ein Countdown lassen sich zum jetzigen Zeitpunkt nicht unabhängig verifizieren – ebenso wenig, ob überhaupt Daten entwendet wurden oder lediglich mit einer Veröffentlichung gedroht wird.

Wichtig zur Einordnung des Datums: Das auf der Leak-Seite angegebene Datum markiert die Veröffentlichung, nicht zwingend den Angriff selbst. Bei The Gentlemen liegen zwischen mutmaßlicher Kompromittierung und Listung im Schnitt rund 51 Tage – ein etwaiger Angriff könnte also bereits Wochen zurückliegen und im Mai oder Juni 2026 erfolgt sein.

Die Landesbibliothek Coburg ist eine regionale staatliche wissenschaftliche Bibliothek mit Sitz im Schloss Ehrenburg mitten in Coburg (Oberfranken). Ihre Wurzeln reichen bis in die Jahre 1543–1547 zurück, als Herzog Johann Ernst das Schloss zu seiner Residenz ausbaute und von Beginn an Bücher einbeziehen ließ. Über die Jahrhunderte wuchs die Sammlung mit der ernestinischen Herzogslinie – ein bildungsnahes Fürstenhaus, das Bücher innerhalb der Familie vererbte und mehrte.

Zu den historischen Beständen zählt unter anderem die Bibliotheca Casimiriana, die auf das 1605 gegründete Gymnasium Casimirianum zurückgeht, dazu die Hof- und Staatsbibliothek Sachsen-Coburgs, die herzogliche Privatbibliothek und Dutzende weiterer Sondersammlungen.

Verwaltet wird die Bibliothek seit dem 1. Januar 1973 vom Freistaat Bayern; seit 1999 ist sie der Bayerischen Staatsbibliothek in München unterstellt, 2008 wurden die Haushaltstitel zusammengeführt. Damit ist sie kein isolierter Einzelbetrieb, sondern Teil des bayerischen staatlichen Bibliothekswesens.

Hinweis: Bestandszahlen werden je nach Zählweise und Stichtag leicht unterschiedlich angegeben. Für die Risikobewertung eines Cybervorfalls sind ohnehin weniger die physischen Bestände entscheidend als die IT-Systeme dahinter: Bibliotheksmanagementsystem, Nutzerverwaltung, Digitalisate und Verwaltungsdaten.

Warum trifft es ausgerechnet eine Bibliothek?

Auf den ersten Blick wirkt eine öffentliche Bibliothek wie ein untypisches Ransomware-Ziel: kein Millionenumsatz, kein margenstarkes Produkt, keine offensichtliche Zahlungsfähigkeit. Genau diese Intuition führt in die Irre – und erklärt, warum Kultur- und Bildungseinrichtungen weltweit zunehmend im Visier stehen.

Erstens arbeiten moderne Ransomware-Gruppen wie The Gentlemen im Ransomware-as-a-Service-Modell mit Dutzenden unabhängigen Partnern (Affiliates), die massenhaft und oft opportunistisch angreifen. Ausgewählt wird nicht nach Zahlungskraft, sondern danach, wer sich erfolgreich kompromittieren lässt.

Zweitens verfügt eine Bibliothek über genau die Art von Daten, die sich zur Erpressung eignen: personenbezogene Daten Tausender Nutzerinnen und Nutzer – von Namen und Anschriften über Geburtsdaten bis zu Ausweis- und Zahlungsdaten.

Drittens ist eine öffentliche Einrichtung besonders anfällig für die Druckmechanik hinter Ransomware: Ein Ausfall der Ausleih- und Katalogsysteme ist sofort sichtbar, betrifft eine breite Öffentlichkeit und erzeugt mediale wie politische Aufmerksamkeit. Der monatelange Ausfall der British Library nach dem Angriff Ende 2023 hat das eindrücklich gezeigt.

Viertens ist eine staatliche Bibliothek Teil der öffentlichen Verwaltung – ein Bereich, der in Deutschland seit Jahren zu den am stärksten von Ransomware betroffenen zählt.

Kurzprofil The Gentlemen

Die Kommunikation läuft überwiegend über den verschlüsselten Messenger TOX; die Schadsoftware unterstützt Windows, Linux, BSD, NAS-Systeme und VMware-ESXi-Umgebungen und setzt auf moderne hybride Verschlüsselung. Als Einfallstore dienen vor allem exponierte Randgeräte (Firewalls, VPNs), gestohlene oder erratene Zugangsdaten sowie ungepatchte Schwachstellen – konkret ausgenutzt wurden unter anderem CVE-2024-55591 (FortiGate), CVE-2025-32433 (Erlang/OTP-SSH) und CVE-2025-33073 (Windows-SMB). Mit „GentleKiller" hat die Gruppe ein eigenes Framework entwickelt, das gezielt EDR-Schutz ausschaltet – teils über Bring Your Own Vulnerable Driver (BYOVD).

Randnotiz: Im Laufe des Jahres 2026 wurde The Gentlemen selbst Ziel eines Datenlecks – interne Informationen der Operation gelangten an die Öffentlichkeit. Für Betroffene ändert das wenig, illustriert aber, dass auch die Angreiferseite kein monolithischer, perfekt abgesicherter Apparat ist.

Warum veröffentlichen Ransomware-Gruppen ihre Opfer?

Moderne Erpressungsgruppen setzen häufig auf Double Extortion. Dabei werden zunächst Daten kopiert und anschließend die Verschlüsselung der Systeme angedroht oder durchgeführt. Zahlt eine Organisation nicht, veröffentlichen die Täter einen Eintrag auf ihrer Leak-Seite und drohen mit der Veröffentlichung der angeblich gestohlenen Daten.

Ein Eintrag ohne Datenbeweise kann verschiedene Bedeutungen haben: frühes Druckmittel in laufenden Verhandlungen, Ankündigung späterer Veröffentlichungen – oder eine unbelegte Behauptung. Nicht jede Listung mündet in einem tatsächlichen Datenleck.

Bei öffentlichen Einrichtungen kommt eine Besonderheit hinzu: Behörden zahlen in aller Regel keine Lösegelder – so die klare Empfehlung von BSI und Strafverfolgungsbehörden. Angreifer wissen das. Die Veröffentlichung dient hier daher seltener der Aushandlung einer Zahlung als der Bloßstellung, dem Reputationsdruck – und im schlimmsten Fall der Weiterverwertung erbeuteter Daten für Folgeangriffe.

Welche Daten könnten betroffen sein?

Sollte es zu einem erfolgreichen Angriff mit Datenabfluss gekommen sein, wären – abhängig vom tatsächlichen Zugriff der Täter – vor allem folgende Kategorien relevant:

Ob und in welchem Umfang solche Daten tatsächlich betroffen sind, ist derzeit nicht bestätigt.

Öffentlicher Sektor und Kultur im Fadenkreuz

Der Vorfall passt in ein Muster, das sich seit Monaten beobachten lässt. Ransomware-Gruppen wählen ihre Opfer nach Angreifbarkeit, nicht nach Umsatz. Weil RaaS-Modelle wie The Gentlemen von Dutzenden Affiliates massenhaft betrieben werden, geraten Schulen, Kommunen, Kliniken, Hochschulen und eben auch Bibliotheken und Archive genauso ins Visier wie Industriekonzerne.

Der öffentliche und kulturelle Sektor ist aus mehreren Gründen exponiert: gewachsene, teils veraltete IT-Landschaften; enge Budgets, in denen Sicherheit lange nachrangig war; ein gesetzlicher Auftrag zur breiten, offenen Zugänglichkeit; und eine hohe öffentliche Sichtbarkeit, die jeden Ausfall sofort spürbar macht.

Quellen & Einordnung

Eintrag auf der Leak-Seite von The Gentlemen, indexiert durch Ransomware.live (Stand: 16. Juli 2026); Angaben zur Landesbibliothek Coburg laut landesbibliothek-coburg.de, BayernPortal, Literaturportal Bayern, bavarikon und Wikipedia; Gruppenprofil The Gentlemen / Storm-2697 laut Unit 42 (Palo Alto Networks), Microsoft, SoCRadar, Huntress, Cybereason, Securelist (Kaspersky), The DFIR Report, FortiGuard Labs sowie Berichterstattung von The Hacker News, Dark Reading und BankInfoSecurity; Lagezahlen laut Bitkom „Wirtschaftsschutz 2025". Opferzahlen und Kennzahlen können je nach auswertender Quelle und Stichtag abweichen; maßgeblich sind die jeweils aktuellen Erfassungen.