IT-Sicherheit · Analyse
Kein Lösegeld, trotzdem erbeutet: Der Angriff auf die Kita-Cloud in Otterbach-Otterberg
Am 18. September 2026 greifen Unbekannte eine Dateiaustausch-Cloud an, die die Verbandsgemeinde Otterbach-Otterberg im Landkreis Kaiserslautern ihren Kindertagesstätten zur Verfügung stellt. Die Plattform läuft auf Nextcloud, auf einem eigenständigen, angemieteten Server, der nach Angaben der Verwaltung technisch vollständig von der übrigen IT der Verbandsgemeinde getrennt ist. Ein Schadprogramm verschlüsselt die Dateien. Forensische Untersuchungen zeigen später, dass auch Dateien heruntergeladen wurden.
Bemerkenswert ist, wie der Angriff auffällt. Das Bundeskriminalamt informiert Polizei und Verwaltung, dass im Darknet eine Liste aller Kommunen aufgetaucht sei, die die betreffende Cloud verwendeten. Daraufhin wird der Angriff bemerkt. Als das System für die Untersuchung wieder hochgefahren wird, liegt ein Erpresserschreiben auf dem Server: Die Angreifer fordern Lösegeldverhandlungen und drohen mit der Veröffentlichung der erbeuteten Daten. Die Verbandsgemeinde lehnt Zahlung und Verhandlungen ab. Betroffene Einrichtungen und Personen werden informiert. Die Verwaltungs-IT selbst, so die Verbandsgemeinde, ist nicht betroffen.
Der Fall trifft genau den Punkt, an dem kommunale Digitalisierung und der Schutz von Kindern zusammenkommen. Eine Cloud, die den Alltag von Kitas erleichtern soll, wird zum Einfallstor. Der Server ist vom Rathausnetz getrennt – und trotzdem liegen darauf Daten, deren Diebstahl ein Erpresserschreiben wert ist. Genau das solltest du dir merken, wenn deine Organisation Fachabteilungen, Vereinen oder Einrichtungen eine „eigene, getrennte“ Cloud zur Verfügung stellt.
Eine Nextcloud für zwei Kitas – und eine Lücke, die das BKA zuerst sieht
Bürgermeister Harald Westrich (SPD) beschreibt die Plattform gegenüber der Rheinpfalz als eine Cloud auf Basis von Nextcloud: einen virtuellen Raum, in dem alle mit Zugang Dateien ablegen, teilen und herunterladen können. Solche Plattformen seien weit verbreitet und in der Regel die deutlich sicherere Alternative zu E-Mails. Die Verbandsgemeinde stellt sie den Kindertagesstätten zur Verfügung. Betrieben wurde sie auf einem eigenständigen, angemieteten Server, technisch vollständig getrennt von der IT der Verwaltung. Opfer wurden die Austauschplattformen der Kitas in den Ortsgemeinden Otterbach und Katzweiler, nicht die Verwaltung selbst.
Die technische Trennung hat nach der öffentlichen Darstellung gehalten. Verwaltungsdaten und andere Einrichtungen der Verbandsgemeinde waren nicht betroffen. Das ist ein Erfolg der Segmentierung. Es ist zugleich keine Entwarnung für die Daten, die auf dem Kita-Server selbst lagen. Genau dort hat die Forensik später einen Abfluss festgestellt. Eine „eigene Cloud für die Einrichtungen“, getrennt vom Rathaus, schützt das Rathaus. Sie schützt nicht automatisch die Daten der Einrichtungen.
Wie die Angreifer hineinkamen, beschreibt Westrich so: Ein Schadprogramm sei durch eine bis dahin vom Hersteller unbemerkte Sicherheitslücke eingeschleust worden und habe alle Dateien in der Cloud verschlüsselt, sodass auch die Eigentümer nicht mehr darauf zugreifen können. Das ist die Darstellung des Bürgermeisters, keine unabhängige forensische Publikation. Einen Produktnamen der Schadsoftware, eine CVE-Nummer oder eine bestätigte Tätergruppe veröffentlicht die Verbandsgemeinde nicht. Westrich sagt außerdem, die kriminellen Aktivitäten seien von einem englischen Server ausgegangen, Hinweise deuteten aber darauf hin, dass russische Angreifer dahintersteckten. Das bleibt seine Formulierung – „Hinweise deuteten“ – und wird hier nicht als feststehende Zuschreibung übernommen.
Der Auffindeweg verdient eine eigene Zeile. Nicht ein Alarm auf dem eigenen Server, sondern eine Information des Bundeskriminalamts über eine Darknet-Liste betroffener Kommunen macht den Angriff sichtbar. Das bedeutet: Dieselbe Software und dieselbe Lücke lagen offenbar bei mehr als einer Kommune offen. Der einzelne Server in Otterbach-Otterberg ist ein Fall, die Liste ist ein Muster. Für jede Verwaltung, die dieselbe Cloud-Lösung nutzt, ist genau diese Warnkette – Hersteller, BKA, kommunale IT – der Unterschied zwischen rechtzeitiger Isolierung und einem unbemerkten Abfluss.
Die Plattform sollte nach Westrichs Worten dem Austausch dienen und ausdrücklich nicht als Ablage verwendet werden. Die Dateien sollten deshalb auch noch an einem anderen Ort gespeichert sein; durch den Angriff habe man „zumindest keine Dateien verloren“. Das ist eine Aussage über Verfügbarkeit, nicht über Vertraulichkeit. Die Originale mögen noch da sein. Eine Kopie kann trotzdem bei den Angreifern liegen – und genau das hat die Forensik später bestätigt.
„Die Verbandsgemeinde Otterbach-Otterberg [wird] keine Lösegeldverhandlungen aufnehmen und keine Zahlungen an die Angreifer leisten.“
Vom ersten Kenntnisstand zur bestätigten Erbeutung
Die öffentliche Lage verändert sich innerhalb weniger Tage, und das gehört fest in den Bericht. Rockland meldet am 23. September, nach ersten Erkenntnissen seien die Daten zwar verschlüsselt, aber nicht abgezogen worden; zugleich könne nicht ausgeschlossen werden, dass personenbezogene Daten auf der Kita-Plattform betroffen seien. Die Verbandsgemeinde warnt vor Betrugsversuchen. Bürger spüren vorsorgliche Abschaltungen: Online-Mängelmelder und einige E-Mail-Adressen sind zeitweise nicht erreichbar.
Zwei Tage später, am 25. September, schreibt die Rheinpfalz: Während zunächst nicht klar gewesen sei, ob überhaupt Daten gestohlen wurden, hätten die forensischen Untersuchungen jetzt gezeigt, dass tatsächlich Dateien heruntergeladen wurden. Der Umfang werde weiter ermittelt, parallel kläre man mit den Einrichtungen, welche Dateien sich zum Zeitpunkt des Angriffs in der Cloud befanden. Die betroffenen Einrichtungen und Personen seien informiert. Genau so muss eine Verwaltung einen sich ändernden Kenntnisstand fortschreiben: erste Aussage, Forensik, Korrektur, Information der Betroffenen.
Das Erpresserschreiben wird erst sichtbar, als das heruntergefahrene System für die Untersuchung wieder hochgefahren wird. In dem Schreiben fordern die Angreifer Verhandlungen über ein Lösegeld und drohen mit der Veröffentlichung. Die Verbandsgemeinde gibt diese neuen Erkenntnisse sofort an die zuständigen Stellen weiter und entscheidet sich öffentlich gegen jede Zahlung. Eine Zahlung, so die Behörde, sei keine verlässliche Möglichkeit, die Veröffentlichung zu verhindern, und keine Garantie dafür, dass die kopierten Daten gelöscht würden. Westrich sagt, während Cyberangriffe mittlerweile täglich vorkämen, sei es für die Verbandsgemeinde das erste Mal, dass mit einem Erpresserschreiben gearbeitet wurde. „Der Vorfall zeigt deutlich, wie schwer es ist, sich gegen solche Angriffe abzusichern.“
Ende Oktober zieht die Verwaltung die Konsequenz, die über den unmittelbaren Vorfall hinausreicht. Der Büroleiter sagt dem SWR, die bisherige Kita-Plattform bleibe abgeschaltet. Stattdessen solle ein neues System mit neuer Technik und mehr Sicherheit installiert werden. Wann die Kitas es nutzen können, steht zu diesem Zeitpunkt nicht fest. Personen, deren Daten gestohlen wurden, sind gesondert informiert. Ein Abschlussgespräch mit der Polizei steht bevor. Der Landesdatenschutzbeauftragte Rheinland-Pfalz ist eingebunden. Die alte Cloud kommt nicht zurück.
Was in den Dateien im Einzelnen stand, veröffentlichen die vorliegenden Berichte nicht – und das ist an dieser Stelle angemessen. Es geht um Kindertagesstätten. Der öffentliche Auftrag lautet, Betroffene zu informieren und den Umfang intern zu klären, nicht den Inhalt einer Kita-Cloud in die Zeitung zu legen. Für die Einordnung reicht, was feststeht: Es wurden Daten heruntergeladen, Personen wurden informiert, eine Veröffentlichung wurde angedroht, ein Lösegeld wurde verweigert.
Zeitstrahl des Ablaufs
18. September 2026:
Der Cyberangriff ereignet sich. Ein Schadprogramm verschlüsselt nach Darstellung des Bürgermeisters die Dateien in der Nextcloud der Kitas Otterbach und Katzweiler. Das BKA informiert Polizei und Verwaltung über eine Darknet-Liste betroffener Kommunen; der Angriff wird bemerkt, das System heruntergefahren. Quelle: Rheinpfalz, 25.9.2026.Kurz danach:
Weitere IT-Systeme werden vorsorglich abgeschaltet. Verwaltungsdaten sind nach Angaben der VG nicht betroffen. Eine erste öffentliche Einschätzung, wiedergegeben von Rockland am 23. September, spricht von Verschlüsselung ohne festgestellten Abfluss, lässt personenbezogene Daten aber offen.Untersuchung des wieder hochgefahrenen Servers:
Ein Erpresserschreiben wird gefunden. Die Forensik zeigt, dass Dateien heruntergeladen wurden. Betroffene Einrichtungen und Personen sowie Datenschutzaufsicht und Polizei werden informiert. Die VG lehnt Lösegeld ab. Quelle: Rheinpfalz, 25.9.2026.25. September 2026:
Die Rheinpfalz berichtet ausführlich mit den Angaben von Bürgermeister Westrich.27. und 29. Oktober 2026:
SWR und Rockland berichten, die alte Plattform bleibe dauerhaft aus, ein sichereres Ersatzsystem sei geplant, der Zeitpunkt noch offen. Ein Abschlussgespräch mit der Polizei stehe bevor.
Was heißt das für dein Unternehmen?
Der Angriff gilt einer kommunalen Kita-Cloud. Das Muster gilt für jede Organisation, die Fachabteilungen, Trägern, Vereinen oder Partnern eine „eigene“ Austauschplattform zur Verfügung stellt.
- 1.
Eine getrennte Cloud schützt dein Kernnetz – nicht die Daten in der Cloud.
Die Segmentierung hat in Otterbach-Otterberg nach der öffentlichen Darstellung gehalten: Die Verwaltungs-IT blieb außen vor. Die Kita-Daten auf dem getrennten Server wurden trotzdem verschlüsselt und kopiert. Plane beides: die Trennung zum Kernsystem und den Schutz der Fachplattform selbst, mit Aktualisierung, Zugangskontrolle und Überwachung. - 2.
Austauschplattformen sind keine sichere Ablage, werden aber oft so benutzt.
Westrich betont, die Cloud sollte nicht als Ablage dienen und die Dateien deshalb noch woanders liegen. Das rettet die Verfügbarkeit, nicht die Vertraulichkeit. In der Praxis liegen auf solchen Plattformen oft länger Dateien, als die Richtlinie vorsieht. Setze Aufbewahrungsfristen technisch durch, lösche abgelaufene Dateien automatisch und prüfe regelmäßig, was tatsächlich liegt – besonders wenn Kinder, Patientinnen oder Mandanten betroffen sein können. - 3.
Warnungen von Behörden und Herstellern müssen ankommen.
Dieser Angriff wird sichtbar, weil das BKA über eine Darknet-Liste informiert. Das setzt voraus, dass jemand in der Verwaltung diese Information entgegennimmt und handelt. Lege fest, wer Meldungen des BKA, des BSI und der Hersteller liest, auch am Wochenende, und wie schnell ein betroffenes System isoliert wird. Dieselbe Lücke kann viele Kommunen gleichzeitig treffen. - 4.
Eine unbemerkte Herstellerlücke ist kein Argument gegen Patch-Pflichten.
Westrich spricht von einer Lücke, die der Hersteller bis dahin nicht bemerkt habe. Genau deshalb brauchst du zusätzlich zur Patch-Routine eine harte Absicherung nach außen: eingeschränkte Erreichbarkeit, Multi-Faktor-Authentifizierung, Protokollierung, die Möglichkeit, die Instanz sofort vom Netz zu nehmen. Eine internetoffene Nextcloud ohne diese Schicht ist ein lohnendes Ziel, egal wie gut die Absicht war, E-Mail zu ersetzen. - 5.
Den Kenntnisstand fortschreiben, statt die erste Entwarnung stehen zu lassen.
Am 23. September heißt es noch, die Daten seien nach ersten Erkenntnissen nicht abgezogen. Am 25. September steht fest, dass Dateien heruntergeladen wurden. Das ist keine Blamage, das ist Forensik. Bereite intern vor, dass eine erste Lage falsch sein kann, und sag das auch öffentlich. Betroffene verdienen die korrigierte Fassung genauso schnell wie die erste. - 6.
Kein Lösegeld – und trotzdem einen Plan für die Veröffentlichung.
Die Verbandsgemeinde sagt klar, sie werde nicht zahlen, weil Zahlung weder Veröffentlichung noch Löschung verlässlich verhindert. Diese Linie solltest du vor dem Vorfall beschlossen und rechtlich abgestimmt haben. Gleichzeitig brauchst du den Plan für den Fall, dass die Daten trotzdem erscheinen: Information der Betroffenen, Warnung vor Betrug, eine erreichbare Stelle für Rückfragen. Die VG hat beides verbunden: keine Zahlung, aber Information der Personen, deren Daten gestohlen wurden.
Wenn du prüfen willst, wie gut in deinem Unternehmen Fach-Clouds, Segmentierung, Patch- und Meldewege und die Entscheidung gegen Lösegeld aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall Otterbach-Otterberg zeigt vor allem eines: Eine getrennte Kita-Cloud schützt das Rathaus. Die Daten der Kinder und ihrer Familien musst du auf der Plattform selbst schützen.
Häufige Fragen
Quellen
- Die Rheinpfalz (Leandra Philipp): Nach Cyberangriff auf Kita-Plattform: Erpresser fordern Lösegeld, 25.9.2026, 13:59 Uhr. Datum 18. September, Nextcloud, Kitas Otterbach und Katzweiler, BKA-Hinweis, Forensik zum Datenabfluss, Erpresserschreiben, Lösegeld-Ablehnung, Angaben von Bürgermeister Harald Westrich.
- Rockland: Kreis Kaiserslautern: Cyberangriff auf Kita-Plattform, 23.9.2026, 05:30 Uhr. Früher Kenntnisstand (Verschlüsselung, Abfluss zunächst nicht festgestellt), vorsorgliche Abschaltungen, Warnung vor Betrug.
- SWR Aktuell (Sebastian Stollhof, Jürgen Rademacher): Cyberangriff im Kreis Kaiserslautern: Verbandsgemeinde will sich besser schützen, 27.10.2026, 10:01 Uhr, erstmals 21.9.2026. Dauerhafte Abschaltung, geplantes Ersatzsystem, Information der Betroffenen, Datenschutzaufsicht und Polizei.
- tagesschau.de: Cyberangriff im Kreis Kaiserslautern: Verbandsgemeinde will sich besser schützen, 27.10.2026, 10:01 Uhr. Übernahme des SWR-Berichts.
- Rockland: Nach Cyberangriff bekommen Kitas sicherere Plattform, 29.10.2026, 05:30 Uhr.
