IT-Sicherheit · Analyse
Rund 1.000 Systeme, drei Wochen: Der IT-Sicherheitsvorfall im Landkreis Oberspreewald-Lausitz
Am Dienstag, dem 20. Oktober 2026, um 19:22 Uhr erreicht den Landkreis Oberspreewald-Lausitz eine Information des Ministeriums des Innern und für Kommunales. Noch am selben Abend fährt die Kreisverwaltung als Vorsichtsmaßnahme alle technischen Systeme herunter – mit einer Ausnahme: das Telefonsystem bleibt stehen. Alle Standorte sind betroffen. Am Mittwochmorgen um 6:30 Uhr nimmt der Verwaltungsstab die Arbeit auf. E-Mail ist nicht mehr möglich, der Sprechtag am 22. Oktober entfällt an allen Verwaltungsstandorten, Beschäftigte sollen ihre Rechner nicht starten.
Drei Wochen später ist die Lage klarer, aber nicht abgeschlossen. Seit Montag, dem 9. November, ist die Kreisverwaltung nach eigenen Angaben wieder online, E-Mails können wieder empfangen und versendet werden, die technische Wiederanbindung an das Landesverwaltungsnetz ist vollzogen. Die Fahrzeugzulassungsbehörde ist ab dem 12. November wieder digital arbeitsfähig, die Fahrerlaubnisbehörde voraussichtlich ab dem 13. November. Das Landeskriminalamt Brandenburg ermittelt wegen des Anfangsverdachts der Datenveränderung. Einen konkreten Hinweis auf abgeflossene Daten gibt es nach Aussage einer LKA-Sprecherin gegenüber dem rbb derzeit nicht. Landrat Alexander Erbert (CDU) sagt dem rbb, der Landkreis sei mit einem blauen Auge davongekommen, weil schnell reagiert wurde.
Der Fall ist ein Lehrstück für jede Organisation, deren digitale Arbeitsfähigkeit an ein externes Netz, an Fachverfahren und an zentrale Register gekoppelt ist. Der Landkreis hat nicht gewartet, bis ein Schaden sichtbar war. Er hat auf einen Hinweis hin das Netz gekappt, rund 1.000 Systeme prüfen lassen und erst Geräte wieder eingeschaltet, die als „clean“ galten. Der Preis waren drei Wochen ohne E-Mail und ohne volle Fachanwendungen – und die Ungewissheit, ob Nachrichten aus dieser Zeit überhaupt angekommen sind. Genau das solltest du dir merken, wenn ein Hinweis bei dir eintrifft und der Weg zurück auch von der Freigabe Dritter abhängt.
Ein Hinweis – und das Netz geht aus
Der Landkreis beschreibt den Beginn zurückhaltend. Es gab einen IT-Sicherheitsvorfall. Die Information kam vom Innenministerium, nicht aus einer eigenen Entdeckung am Arbeitsplatz. Landrat Erbert erläuterte dem rbb am 21. Oktober, der Hinweis sei eher generell gehalten gewesen – und trotzdem eindeutig adressiert.
„Es gab einen Hinweis, der eher generell gehalten ist. Aber es ist aus diesem Hinweis tatsächlich hervorgegangen, dass gezielt Oberspreewald Lausitz benannt worden war als potenzielles Ziel.“
Erbert sagte damals auch, er gehe nicht davon aus, dass weitere Verwaltungen betroffen seien. Einen Abfluss von Daten könne er weder bestätigen noch dementieren. Eine Anzeige sei noch nicht erstattet, weil ein konkreter Hinweis auf eine Straftat fehle. Die Zentrale Ansprechstelle Cybercrime des LKA stand nach Angabe einer Sprecherin bereits mit der Kreisverwaltung in Kontakt.
Die Reaktion war trotzdem einschneidend: alle technischen Systeme außer dem Telefon, an allen Standorten, Rechner der Beschäftigten aus. Der Verwaltungsstab tagte fortlaufend, mit der Zentralen Ansprechstelle Cybercrime, mit Landesinstitutionen und externen IT-Sicherheitsdienstleistern, und mit der Prüfung aller rund 1.000 Systeme. Für die spätere Wiederanbindung nennt der Landkreis ausdrücklich das Kraftfahrt-Bundesamt und das Landesverwaltungsnetz. Wer ein ganzes Netz vorsorglich abschaltet, begrenzt eine mögliche Ausbreitung. Der Weg zurück ist dann aber kein Knopfdruck: Jedes System muss geprüft werden, und zentrale Fachverfahren hängen an Freigaben, die der Landkreis nicht allein erteilen kann.
Drei Wochen ohne E-Mail – und ohne Fehlermeldung
Für Bürgerinnen, Unternehmen und Bewerber war der sichtbarste Schaden kein bekannter Datenabfluss, sondern ein Kommunikationsloch. Seit dem Abend des 20. Oktober war kein E-Mail-Verkehr möglich, weder ein- noch ausgehend. Der Landkreis weist wiederholt auf einen Punkt hin, der leicht untergeht: In der Regel erhält der Absender keine Fehlermeldung, wenn eine Mail nicht zugestellt werden kann. Wer zwischen dem 20. Oktober und einschließlich 9. November eine Nachricht geschickt und keine Rückmeldung bekommen hat, soll sie vorsorglich erneut senden, besonders bei Fristsachen. Gesetzliche oder behördliche Fristen verlängern sich nicht automatisch; eine Ausnahme gilt für Fahrtkostenabrechnungen der Schülerbeförderung bis zum 30. November 2026.
Rechnungen durften über Wochen nur per Post an den zentralen Rechnungseingang in Senftenberg gehen, Anträge auf dem Postweg oder persönlich. Die Verwaltung blieb in mehreren Wochen geöffnet, nahm Anliegen nach Möglichkeit analog entgegen und bat, vorher telefonisch zu klären, ob das konkret möglich ist. Das Kreistagsinformationssystem ließ sich ab dem 21. Oktober nicht mehr pflegen; neue Tagesordnungen lagen übergangsweise auf der Website. Seit dem 10. November ist die Pflege wieder möglich.
Zugleich hält der Landkreis fest, was weiterlief: Zahlläufe an Leistungsempfänger, die telefonische Erreichbarkeit, und ab dem 28. Oktober Amtshilfe der Nachbarkreise Elbe-Elster, Spree-Neiße, Dahme-Spreewald und der Stadt Cottbus bei ausgewählten Kfz-Leistungen – mit der Einschränkung, dass nicht jede Leistung übertragen werden konnte. Die digitale Arbeitsfähigkeit im Kfz-Bereich selbst kehrte erst zurück, nachdem das Kraftfahrt-Bundesamt den Datenaustausch am 11. November „nach interner Prüfung“ freigegeben hatte.
Am 6. November vermeldet der Landkreis einen technischen Meilenstein: Die Prüfung aller rund 1.000 Systeme sei abgeschlossen, der Abschlussbericht eines externen Dienstleisters werde die Grundlage für den Antrag auf Wiederanbindung an das Landesverwaltungsnetz. In derselben Woche liefen als „clean“ geprüfte Geräte bereits ohne Internet, sodass Fachbereiche eingeschränkt auf Software, Daten und Anträge zugreifen konnten. Die volle digitale Arbeitsfähigkeit, so der Landkreis, werde erst mit der Wiederanbindung an das Landesverwaltungsnetz und das Internet erreicht.
Diese Wiederanbindung erfolgt am 9. November, E-Mail funktioniert wieder. Einzelne Fachanwendungen bleiben eingeschränkt, ausdrücklich genannt wird die Ausländer- und Einbürgerungsbehörde. Zwei Tage später gibt das Kraftfahrt-Bundesamt den Datenaustausch frei. Am 12. November ist die Zulassungsbehörde wieder digital arbeitsfähig, die Fahrerlaubnisbehörde soll es am 13. November sein. Das Online-Verfahren i-Kfz bleibt eine Einschränkung.
Ob der Vorfall ein erfolgreicher Angriff, ein Versuch oder eine rechtzeitig unterbrochene Kompromittierung war, beantwortet der Landkreis öffentlich weiterhin vorsichtig. Das LKA ermittelt. Die Lausitzer Rundschau schreibt von einem unberechtigten Zugriff, den das LKA bestätigt habe; der rbb zitiert die LKA-Sprecherin mit dem Anfangsverdacht der Datenveränderung und fehlenden konkreten Hinweisen auf Datenabfluss. Beides ersetzt keine abgeschlossene öffentliche Darstellung zum Einfallsweg und zum Datenbestand.
Zeitstrahl des Ablaufs
Dienstag, 20. Oktober 2026, 19:22 Uhr:
Der Landkreis erhält die Information über den Vorfall vom Ministerium des Innern und für Kommunales. Am Abend werden alle technischen Systeme außer dem Telefonsystem heruntergefahren. Quelle: Landkreis OSL.Mittwoch, 21. Oktober 2026, 6:30 Uhr:
Der Verwaltungsstab nimmt die Arbeit auf und tagt fortlaufend. Beschäftigte sollen Rechner nicht starten. Kein E-Mail-Verkehr, eingeschränkte Arbeitsfähigkeit, telefonische Erreichbarkeit bleibt. Quelle: Landkreis OSL; rbb, 21.10.2026.Donnerstag, 22. Oktober 2026:
Der Sprechtag entfällt vollständig an allen Verwaltungsstandorten. Quelle: Landkreis OSL, Stand 21.10.2026, 9:00 Uhr.Montag, 26. Oktober 2026:
Interne Systeme werden weiter geprüft. Datenabfluss weder bestätigt noch verneint. Verwaltung in dieser Woche regulär geöffnet, Beschäftigte können weiterhin nicht digital arbeiten. Quelle: Landkreis OSL, Stand 26.10.2026, 8 Uhr.Mittwoch, 28. Oktober 2026:
Bis auf Widerruf übernehmen die Landkreise Elbe-Elster, Spree-Neiße, Dahme-Spreewald und die Stadt Cottbus einzelne Zulassungs- und Fahrerlaubnisleistungen. Quelle: Landkreis OSL, Stand 6.11. und 9.11.2026.2. bis 6. November 2026:
Als „clean“ gescannte Hardware wird in einem geprüften Netz ohne Internet wieder in Betrieb genommen. Am 6. November, 9 Uhr, gilt die Prüfung aller rund 1.000 Systeme als abgeschlossen. Quelle: Landkreis OSL, Stand 6.11.2026, 9 Uhr.Montag, 9. November 2026:
Wiederanbindung an das Landesverwaltungsnetz abgeschlossen. E-Mail wieder möglich. Kreisverwaltung wieder online und in der Woche regulär geöffnet. E-Mails der vorangegangenen drei Wochen gelten als nicht sicher zugestellt. Quelle: Landkreis OSL, Stand 9.11.2026, 15 Uhr, und 11.11.2026, 17 Uhr.Dienstag, 10. November 2026:
Pflege des Kreistagsinformationssystems wieder möglich. Quelle: Landkreis OSL, Stand 11.11.2026, 17 Uhr.Mittwoch, 11. November 2026:
Das Kraftfahrt-Bundesamt gibt den Datenaustausch nach interner Prüfung frei. Quelle: Landkreis OSL, Stand 11.11.2026, 17 Uhr.Donnerstag, 12. November 2026:
Fahrzeugzulassungsbehörde wieder digital arbeitsfähig. Das LKA ermittelt wegen Anfangsverdachts der Datenveränderung; nach rbb-Angaben keine konkreten Hinweise auf Datenabfluss. Landrat Erbert spricht von einem blauen Auge dank schneller Reaktion. Quellen: Landkreis OSL; rbb, 12.11.2026; Lausitzer Rundschau, 12.11.2026.Freitag, 13. November 2026:
Fahrerlaubnisbehörde nach Planung des Landkreises und Angabe des Landrats voraussichtlich wieder komplett digital arbeitsfähig.
Was heißt das für dein Unternehmen?
Der Fall OSL handelt von Vorsicht – und von Abhängigkeiten. Der Landkreis hat früh abgeschaltet und lange gebraucht, um wieder anzukommen. Beides gehört zusammen.
- 1.
Einen Hinweis ernst nehmen, bevor der Schaden sichtbar ist.
Die Information kam vom Innenministerium, nicht aus einem bereits liegenden System. Trotzdem wurde das Netz gekappt. In deinem Unternehmen braucht es festgelegte Schwellen: Welcher Hinweis – intern, vom Dienstleister, von einer Behörde – führt dazu, dass du Systeme isolierst, ohne erst die Forensik abzuwarten? - 2.
Das Herunterfahren planen, nicht nur das Sichern.
Alle Systeme außer dem Telefon abzuschalten hilft nur, wenn du vorher weißt, was weiterlaufen muss: Zahlungen, eine Hotline, analoge Antragsannahme. In OSL haben genau diese Entscheidungen den Unterschied gemacht zwischen einem totalen Stillstand und einer eingeschränkt handlungsfähigen Verwaltung. - 3.
Den Weg zurück als eigenen Prozess behandeln.
Rund 1.000 Systeme zu scannen, nur „clean“ geprüfte Geräte wieder zu starten, erst ohne Internet und dann mit Wiederanbindung: Das dauert, und es soll dauern. Lege fest, wer den Abschlussbericht schreibt, welche Belege eine Freigabe braucht und in welcher Reihenfolge Fachverfahren zurückkommen. Ein ungeprüftes „alles wieder an“ macht den vorsorglichen Schnitt zunichte. - 4.
Externe Abhängigkeiten vorher kennen.
Die Zulassungsbehörde war erst wieder digital, als das Kraftfahrt-Bundesamt den Datenaustausch freigegeben hatte. Die volle Arbeitsfähigkeit hing am Landesverwaltungsnetz. Schreib auf, welche deiner kritischen Prozesse eine Freigabe oder ein Register außerhalb deines Hauses brauchen – und sprich den Weg dorthin ab, bevor du ihn brauchst. - 5.
Kommunikation ohne E-Mail und ohne Fehlermeldung üben.
In OSL gingen Mails über drei Wochen ins Leere, oft ohne Unzustellbarkeitsmeldung. Sage Kundinnen und Partnern rechtzeitig, welcher Kanal gilt, welche Fristen unberührt bleiben und dass eine ausbleibende Antwort kein Einverständnis ist. Eine Website mit Tagesstand und die Bitte, Nachrichten erneut zu senden, gehören zur Incident Response. - 6.
Amtshilfe und Analogbetrieb als echte Kapazität vorhalten.
Nachbarlandkreise haben ausgewählte Leistungen übernommen, Anliegen wurden analog entgegengenommen, Zahlungen liefen weiter. Das funktioniert nur, wenn Vereinbarungen und Papierprozesse nicht erst in der Krise erfunden werden. Prüfe, wer dich in einem wochenlangen Ausfall tragen kann – und was diese Partner ausdrücklich nicht übernehmen.
Wenn du prüfen willst, wie schnell deine Organisation auf einen begründeten Hinweis reagiert und wie kontrolliert sie danach wieder anfährt, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall OSL zeigt: Wer früh abschaltet, kann mit einem blauen Auge davonkommen – aber nur, wenn der Weg zurück, die Kommunikation und die Abhängigkeiten von Dritten vorher durchdacht sind.
Häufige Fragen
Quellen
- Landkreis Oberspreewald-Lausitz: IT-Sicherheitsvorfall im Landkreis OSL. Offizielles FAQ und Verlauf, Stände unter anderem 21.10., 26.10., 5.11., 6.11., 9.11. und 11.11.2026. Angaben zu Beginn, Abschaltung, rund 1.000 Systemen, Wiederanlauf, E-Mail, KBA, Landesverwaltungsnetz und Amtshilfe.
- rbb24: IT-Vorfall legt Kreisverwaltung Oberspreewald-Lausitz lahm, 21.10.2026. Landrat Erbert zum Hinweis des Innenministeriums, zur offenen Frage eines Cyberangriffs und zum damals noch fehlenden Straftatverdacht; LKA bereits im Kontakt.
- rbb24: War es ein Hackerangriff? LKA ermittelt nach IT-Vorfall in Oberspreewald-Lausitz, 12.11.2026. LKA-Sprecherin Lea Enzenroß zum Anfangsverdacht der Datenveränderung und zum fehlenden konkreten Hinweis auf Datenabfluss; Landrat Erbert zur Wiederinbetriebnahme und zum „blauen Auge“.
- Lausitzer Rundschau: IT-Angriff auf OSL: Forensiker machen brisanten Fund, LKA ermittelt wegen Straftat, 12.11.2026, 4:00 Uhr. Öffentlich sichtbarer Vorspann: Das LKA bestätige einen unberechtigten Zugriff auf Computersysteme der Kreisverwaltung. Der übrige Artikel liegt hinter einer Bezahlschranke und wurde für diese Recherche nicht vollständig ausgewertet.
- Lausitzer Rundschau: IT-Notfall in OSL: Sind sensible Bürgerdaten in Gefahr?. Frühe lokale Berichterstattung zum Herunterfahren der Systeme.
- Landkreis Oberspreewald-Lausitz: www.osl-online.de und die Seite rundumsauto für aktuelle Hinweise zum Kfz-Bereich.
