IT-Sicherheit · Analyse
1,4 Terabyte aus dem Rathaus: Der Ransomware-Angriff auf die Stadt Eichstätt
Am Montag, dem 12. Oktober 2026, schließt die Stadtverwaltung Eichstätt ihr Rathaus. Die EDV-Systeme sind im Großteil der Verwaltung präventiv außer Betrieb, E-Mail ist nicht erreichbar, vereinbarte Termine entfallen. Die Stadt erklärt öffentlich, sie sei Opfer eines kriminellen Cyberangriffs geworden. Seit dem Morgen arbeitet sie mit der Polizei und dem Landeskriminalamt zusammen. Ob und welche Daten abgeflossen sind, sei Teil der Ermittlungen.
Drei Wochen später, am 3. November, liegt eine klare Größenordnung vor. Die Täter haben nach Auswertung der Stadt rund 1,4 Terabyte kopiert – gut ein Viertel des gesamten städtischen Datensatzes von etwa 5 Terabyte. Bei rund 1 Terabyte lassen sich die Inhalte anhand der Dateinamen eingrenzen. Bei weiteren gut 400 Gigabyte haben die Angreifer ihre Spuren so gelöscht, dass der Inhalt unbekannt bleibt. Die Stadt geht mittlerweile davon aus, dass auch personenbezogene Daten gestohlen wurden, und lädt für den 11. November zu einer digitalen Bürgerinformationsveranstaltung ein.
Der Fall ist ein Lehrstück für jede Kommune und jedes Unternehmen, das sich auf eine Software und auf Zwei-Faktor-Authentifizierung verlässt. Die Stadt sagt: Der Einbruch führte mit überwiegender Wahrscheinlichkeit über eine Schwachstelle einer eingesetzten Software – obwohl das Rathaus dort mit einer Zwei-Faktor-Authentifizierung gearbeitet hat. Ein politisches Motiv erkennt sie nicht. Die Angreifer blieben mehrere Tage im System, verschlüsselten Server und kopierten Daten auf Server im Ausland. Genau das solltest du dir merken, wenn ein Dienstleister oder eine Fachanwendung der entscheidende Zugang zu deiner Verwaltung ist.
Der Weg in das Rathaus
Der Ablauf verdichtet sich über mehrere amtliche Meldungen. Der BR berichtet am 13. Oktober, der Angriff sei wohl am Wochenende erfolgt und am Montagmorgen aufgefallen, als Beschäftigte IT-Probleme gemeldet hätten. Die EDV-Abteilung habe den Angriff von außen bemerkt und die lokalen Server vorsorglich vom Netz genommen. Die Zentralstelle Cybercrime Bayern und das LKA hätten die Ermittlungen übernommen. Nach damaligem Stand der Stadt habe die Datensicherung funktioniert, die Daten könnten wiederhergestellt werden. Eine Lösegeldforderung habe zu diesem Zeitpunkt nicht vorgelegen.
Am 22. Oktober präzisiert das Rathaus den technischen Hergang. Der Angriff habe in der Nacht vom 8. auf den 9. Oktober begonnen. Es handele sich um Ransomware: Die Täter hätten Server verschlüsselt und der Stadt nach Abschluss des Angriffs mitgeteilt, dass sie eingebrochen seien. Eine explizite Lösegeldforderung habe die Stadt nicht erreicht. Zugleich beschreibt sie einen Fall doppelter Erpressung: Vor der Verschlüsselung sei der Großteil der Daten auf einen Server im Ausland kopiert worden. Ob die Täter die Kopie öffnen oder lesen könnten, sei zu diesem Zeitpunkt aus technischen Gründen noch unklar, ebenso, ob personenbezogene Daten enthalten seien.
Entscheidend ist der Einfallsweg, den die Stadt „mit überwiegender Wahrscheinlichkeit“ benennt: eine Schwachstelle im Zusammenhang mit einer eingesetzten Software, obwohl dort eine Zwei-Faktor-Authentifizierung in Betrieb war. Einen Hinweis auf Phishing, etwa das Anklicken eines gefährlichen Links durch Beschäftigte, sieht das Rathaus nach aktuellem Kenntnisstand nicht. Ein spezifisches politisches Motiv sei nicht erkennbar; die Stadt sei als Kundin mutmaßlich völlig zufällig ins Visier international verfolgter Krimineller geraten. Die Zugänge zu der betroffenen Software sind gekappt, der Anbieter wird nicht weiter genutzt. Den Namen der Software und des Anbieters veröffentlicht die Stadt nicht.
Die Angreifer seien mehrere Tage im System geblieben. Genau deshalb hat die Stadt ihre täglichen Sicherungskopien – auf mehreren Servern in Rechenzentren in Deutschland – umfassend auf Integrität und mögliche Kompromittierung prüfen lassen. Nach den bisherigen Untersuchungsergebnissen stehen geeignete Kopien für den kontrollierten Wiederaufbau zur Verfügung. Das Wiederhochfahren sei mit dem Landesamt für Sicherheit in der Informationstechnik und einer beauftragten Firma abgestimmt.
„Die Stadt Eichstätt hat in den vergangenen Jahren IT-Sicherheit hohen Stellenwert eingeräumt. Wir haben viel Arbeit und Geld investiert, um auch kurzfristig auf die sich schnell verändernde Bedrohungslage zu reagieren. Leider kann es keine absolute Sicherheit geben, wenn der Gegner international agierende Hackergruppen mit großer krimineller Energie und enormen Ressourcen sind, die uns angreifen.“
Was 1,4 Terabyte im Einzelnen bedeuten
Die Meldung vom 3. November ändert die Datenlage von einer offenen Befürchtung zu einer begründeten Annahme. Die Täter haben die Beute nach Darstellung der Stadt in zwei Ordner gelegt und jeweils auf andere Server kopiert: gut 1 Terabyte und gut 400 Gigabyte. Beim größeren Paket kennt die Stadt anhand der Dateinamen, was vorliegt, ohne auf den Inhalt der Dateien selbst zugreifen zu können. Mit überwiegender Wahrscheinlichkeit handelt es sich um die Kopie eines unstrukturierten Arbeitsverzeichnisses. Vollständige oder strukturierte Einwohnermelde- oder Finanzdatenbanken seien davon nicht betroffen, in Einzelfällen aber personenbezogene Daten möglich.
Beim kleineren Paket seien die Spuren so gut gelöscht, dass nicht nachvollzogen werden könne, was in dem Ordner war. Deshalb müsse davon ausgegangen werden, dass personenbezogene Daten betroffen sein können – möglicherweise sogar aus Datenbankstrukturen. Eine Überschneidung beider Pakete sei nicht auszuschließen. Zusammen entspricht das nach der aktuellsten Auswertung gut einem Viertel des gesamten Datensatzes. Wichtig ist der Satz der Stadt, den Tätern sei es gelungen, Daten so zu kopieren, „dass sie potenziell les- und nutzbar sein können“. Die Unsicherheit vom 22. Oktober, ob die Kopie überhaupt zu öffnen sei, ist damit für die öffentliche Lagebewertung weitgehend vom Tisch.
Was betroffen sein kann, listet die Stadt nach Personengruppen, nicht als nachgewiesene komplette Register. Im schlimmsten Fall können Stammdaten von Menschen betroffen sein, die sich beworben oder bei der Stadt oder von ihr verwalteten Stiftungen gearbeitet haben, Förderanträge gestellt, sich um Grundstücke oder Wohnungen beworben oder Bauanträge eingereicht haben. Ausweis- und Meldedaten schließt sie für das unbekannte Paket nicht aus, darunter Namen, Nationalität, Geburtsdatum und -ort, Meldeadresse, Größe, Augenfarbe, Ausweisnummern, Passbilder und Unterschriften als Bilddatei; Ausweiskopien oder Bilddateien der Ausweise seien nicht gestohlen worden, vollständige strukturierte Fingerabdrucksätze lägen bei der Stadt nicht. Finanz- und Steuerdaten können betroffen sein, etwa IBAN auf SEPA-Mandaten und Lohnkonten, Grund-, Hunde- oder Zweitwohnsitzsteuer, Unternehmenssteuerunterlagen, Pfändungen und Mahnungen. Dazu kommen mögliche Daten aus der Rentenberatung, aus der Volkshochschule und aus Sitzungs- und Vergabeunterlagen, einschließlich nichtöffentlicher Protokolle und Angebotssummen. Aus den Bereichen Obdachlosenwesen, Wohnberechtigung, Bedürftige und Asyl können Daten betroffen sein; als kreisangehörige Stadt führt Eichstätt keine Jugendhilfe, Sozialkassen oder Jobcenter.
Ebenso wichtig ist, was nach bisherigem Stand nicht kopiert werden konnte: Standesamtsdaten (Sterbe- oder Eheurkunden, Geburtenregister), die amtliche Schulverwaltung, personenbezogene Kitadaten und Kitaplatzanmeldungen. Daten der Schülerbeförderung können betroffen sein. Die Stadtwerke waren nach Angaben der Stadt zu keinem Zeitpunkt Ziel; zentrale Spartenpläne liegen dort. Projektbezogene Übersichten bei der Stadt als Fachbehörde können gleichwohl betroffen sein.
Besonders betroffene Gruppen oder Einzelpersonen will die Stadt persönlich informieren. Sie warnt vor Betrugsversuchen, die durch echte Aktenzeichen oder Flurstücknummern glaubwürdig wirken können, und verweist auf die zentrale Adresse [email protected] sowie auf eichstaett.de/cyberangriff.
Zeitstrahl des Ablaufs
Nacht vom 8. auf den 9. Oktober 2026:
Nach Angaben der Stadt Beginn des Ransomware-Angriffs. Quelle: Stadt Eichstätt, 22.10.2026.Montag, 12. Oktober 2026, Morgen:
Bekanntwerden im Rathaus. Der BR berichtet, Beschäftigte hätten IT-Probleme gemeldet, die EDV-Abteilung den Angriff erkannt und Server vom Netz genommen. Am Nachmittag erklärt die Stadt den Vorfall öffentlich, schließt das Rathaus für Behördengänge und richtet eine Notfallnummer ein. Stadtwerke nicht betroffen. Quelle: Erste Mitteilung der Stadt, 12.10.2026, 15:40 Uhr; BR24, 13.10.2026, 19:06 Uhr.13. Oktober 2026:
Die Stadt teilt nach BR-Bericht mit, ein Großteil der Daten der Stadtverwaltung sei wohl abgeflossen, die Datensicherung habe funktioniert. ZCB und LKA ermitteln, von Ransomware wird ausgegangen, eine Lösegeldforderung liege bis dahin nicht vor. Quelle: BR24.22. Oktober 2026:
Ausführliche Einordnung: kein gezielter politischer Angriff, Softwarelücke trotz Zwei-Faktor-Authentifizierung, doppelte Erpressung, keine explizite Lösegeldforderung, Trennung vom Software-Anbieter, geprüfte Backups, Stellungnahme von Oberbürgermeister Josef Grienberger. Quelle: Stadt Eichstätt, 22.10.2026, 19:01 Uhr.31. Oktober 2026:
Auf einer Leak-Seite erscheint ein Eintrag zu Eichstätt, der der Gruppe The Gentlemen zugeordnet wird und rund 1,5 Terabyte behauptet. Das ist ein unbestätigter Anspruch aus dem Darknet, keine Aussage der Stadt. Die später von der Stadt genannte Menge von 1,4 Terabyte liegt in einer ähnlichen Größenordnung, ist aber eine eigene, forensisch gestützte Angabe.3. November 2026:
Die Stadt geht davon aus, dass auch personenbezogene Daten gestohlen wurden, beziffert 1,4 Terabyte in zwei Paketen, beschreibt mögliche Datenarten und kündigt eine Bürgerinformationsveranstaltung an. Quelle: Stadt Eichstätt, 3.11.2026, 19:31 Uhr.11. November 2026, 20 Uhr:
Digitale Bürgerinformationsveranstaltung per Webex. Die Stadt stellt die Präsentation auf ihrer Übersichtsseite zum Cyberangriff zum Download bereit. Eine unabhängige, detaillierte öffentliche Nachschrift der Veranstaltung liegt dieser Recherche nicht vor.
Was heißt das für dein Unternehmen?
Der Angriff trifft eine kreisangehörige Stadt in Bayern, das Muster gilt für jede Organisation mit Fachsoftware, Mandantenportalen und zentralen Dateiablagen.
- 1.
Zwei-Faktor-Authentifizierung ist nötig – und reicht nicht, wenn die Software selbst die Lücke ist.
Die Stadt betont, sie habe bei der betroffenen Anwendung mit MFA gearbeitet. Der Einbruch kam nach ihrer Darstellung trotzdem über eine Schwachstelle dieser Software. In deinem Unternehmen musst du Dienstleister und Fachanwendungen nicht nur an das zentrale Login hängen, sondern auch wissen, wie schnell ein Anbieter eine Lücke schließt, ob du den Zugang selbst kappen kannst und was passiert, wenn du den Vertrag beendest. - 2.
Den Anbieter wechseln können, bevor du es musst.
Eichstätt hat alle Zugänge zu der Software gekappt und arbeitet nicht mehr mit dem Anbieter zusammen. Das geht nur, wenn Daten herauslösbar sind und ein Ausweichweg existiert. Klare Vertrags- und Exit-Klauseln, dokumentierte Schnittstellen und ein zweiter Weg für den Notfall gehören dazu, nicht erst nach dem Angriff. - 3.
Mehrere Tage Verweildauer bedeuten: Backups sind selbst ein Tatort.
Die Angreifer blieben nach Angaben der Stadt mehrere Tage im System. Tägliche Kopien in deutschen Rechenzentren hätten allein nicht gereicht, wenn sie mitkompromittiert gewesen wären. Die Stadt hat die Sicherungen auf Integrität prüfen lassen, bevor sie sie wiedereinspielte. Unveränderbare, getrennte Kopien und eine Prüfung vor dem Restore sollten bei dir Standard sein. - 4.
Eine Datenkopie muss als lesbar gelten, bis das Gegenteil feststeht.
Am 22. Oktober war noch unklar, ob die Täter die Dateien öffnen können. Am 3. November geht die Stadt von einer potenziell nutzbaren Kopie und von personenbezogenen Daten aus. Plane die Betroffeneninformation auf dieser pessimistischen Linie, nicht auf der Hoffnung, die Beute sei unlesbar. - 5.
Sag auch, was nicht betroffen ist – und unterscheide strukturierte Register von Arbeitsverzeichnissen.
Die Stadt trennt klar: Standesamt, Schulverwaltung und Kitas auf der einen Seite, ein unstrukturiertes Arbeitsverzeichnis und ein unbekanntes zweites Paket auf der anderen. Diese Unterscheidung schützt vor Panik und vor falscher Entwarnung. In deinem Unternehmen solltest du vorab wissen, welche Systeme echte Register sind und welche „nur“ Dateiablagen – und beides im Vorfall getrennt kommunizieren. - 6.
Betrug mit echten Aktenzeichen einplanen.
Die Stadt warnt, die Täter könnten Schreiben mit Bezug zu echten Vorgängen täuschend echt aussehen lassen. Veröffentliche, wie ihr jemals Kontakt aufnehmt, eine prüfbare Zahlungsinformation und eine Adresse für Rückfragen. Eichstätt tut das auf einer eigenen Übersichtsseite und mit einer Bürgerveranstaltung.
Wenn du prüfen willst, wie gut in deinem Unternehmen Fachsoftware, MFA, Backup-Integrität und die Kommunikation nach einem Datendiebstahl aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall Eichstätt zeigt vor allem eines: Ein Angriff muss nicht gezielt auf dich gemünzt sein, um ein Viertel deiner Daten und das Vertrauen deiner Bürgerinnen und Bürger zu treffen.
Häufige Fragen
Quellen
- Stadt Eichstätt: Cyber-Attacke: Stadtverwaltung Eichstätt geschlossen und nur eingeschränkt erreichbar, 12.10.2026, 15:40 Uhr.
- BR24: Hackerangriff auf Eichstätt: Große Datenmengen abgeflossen, 13.10.2026, 19:06 Uhr. Angaben zu Entdeckung am Montagmorgen, ZCB und LKA, Datensicherung und früher Ransomware-Einschätzung.
- Stadt Eichstätt: Cyber-Attacke auf Stadtverwaltung war kein gezielter Angriff, 22.10.2026, 19:01 Uhr. Einfallsweg, Ransomware, doppelte Erpressung, Backup-Prüfung, Zitat von Oberbürgermeister Josef Grienberger.
- Stadt Eichstätt: Cyber-Attacke: Hacker/-innen erbeuteten mutmaßlich auch personenbezogene Daten, 3.11.2026, 19:31 Uhr. 1,4 Terabyte, zwei Datenpakete, mögliche und nicht betroffene Datenarten, Art.-33-Meldung, Bürgerveranstaltung.
- Stadt Eichstätt: Cyberangriff auf die Stadtverwaltung Eichstätt. Zentrale Übersichtsseite, einschließlich Hinweis auf die Bürgerinformationsveranstaltung vom 11. November 2026 und die Präsentation.
- Stadt Eichstätt: Bürgerinfo-Veranstaltung zu Cyberangriff am Mittwoch, 10.11.2026, 10:10 Uhr.
- Donaukurier: Berichterstattung zum Angriff und zur späteren Bezifferung des Datenabflusses, unter anderem Nach Hackerangriff auf Eichstätter Rathaus: Stadt beziffert Ausmaß des Datenklaus.
