Scroll to top
    Zurück zum Blog
    Cyberangriff bestätigt
    IT-Sicherheit
    Kulturbetrieb
    Gießen · Hessen
    LKA Hessen ermittelt

    Cyberangriff auf das Stadttheater Gießen – Vorstellungen laufen weiter

    Am 18. Juni 2026 wurde das Stadttheater Gießen Ziel eines Cyberangriffs. E-Mail, Telefonanlage und interne Server sind ausgefallen – Vorstellungen, Website und Ticketverkauf laufen aber weiter. Das Landeskriminalamt Hessen hat die Ermittlungen übernommen.

    18.06.2026 9 min Lesezeit Kommunikation lahmgelegt
    Darknet-Listing TheGentlemen
    Countdown bis zur angedrohten Veröffentlichung der Stadttheater Gießen-Daten
    Nach Ablauf droht die Gruppe mit der Freigabe der erbeuteten Daten.
    4427
    Std
    :
    00
    Min
    :
    00
    Sek
    Live-Countdown
    Cyberangriff auf das Stadttheater Gießen am 18. Juni 2026 – Vorstellungsbetrieb läuft weiter, LKA Hessen ermittelt
    Teilen
    WhatsApp
    Telegram
    Facebook

    Das Wichtigste im Überblick

    • Cyberangriff am 18. Juni 2026 – interne Kommunikation vollständig gestört.
    • E-Mail, Telefonanlage und interne Server ausgefallen.
    • Vorstellungen finden weiterhin statt – Website und Ticketsystem funktionieren.
    • Das Landeskriminalamt Hessen ermittelt; externe IT-Forensiker unterstützen die Wiederherstellung.
    • Das Theater spricht von einer „hochprofessionellen, global agierenden Hackergruppe".
    • Ein Datenabfluss ist bislang nicht bestätigt.

    Was genau ist passiert?

    Nach bisherigen Informationen bemerkte das Stadttheater den Angriff am 18. Juni 2026. Anschließend mussten nahezu sämtliche internen Kommunikationswege abgeschaltet werden. Die Folgen waren erheblich:

    E-Mail-System
    Telefonanlage / VoIP
    Interne Server
    Digitale Organisation & Abläufe

    Laut Intendantin mussten plötzlich wieder Probenpläne handschriftlich geschrieben, Telefonketten organisiert und viele organisatorische Abläufe analog gestemmt werden.

    Was funktioniert weiterhin?

    Positiv ist, dass mehrere öffentlich sichtbare Systeme offenbar getrennt betrieben wurden. Nach aktuellem Stand funktionieren weiterhin:

    Website
    Online-Ticketverkauf
    Kasse
    Vorstellungen
    Spielbetrieb

    Das deutet darauf hin, dass zumindest Teile der öffentlich erreichbaren Infrastruktur technisch sauber vom internen Verwaltungsnetz getrennt waren.

    Welche Systeme könnten betroffen sein?

    Wichtig: Die folgenden Punkte sind allgemeine Einschätzungen auf Basis vergleichbarer Vorfälle und wurden bislang nicht vom Stadttheater bestätigt.

    Kommunikationsserver

    Exchange, Microsoft 365, Mailserver, Kalender, Kontakte.

    Active Directory

    Benutzerkonten, Gruppenrichtlinien, Passwörter, Rechteverwaltung.

    Dateiserver

    Verträge, Spielpläne, Personalunterlagen, Bühnen- & Produktionsunterlagen, Rechnungen.

    Telefonanlage / VoIP

    Da die Telefonie ausgefallen ist, könnte auch die VoIP-Infrastruktur betroffen gewesen sein.

    Personalverwaltung

    Bewerbungen, Gehaltsdaten, Personalakten, Krankmeldungen, Arbeitszeiten.

    Buchhaltung

    Rechnungen, Zahlungsinformationen, Lieferanten, Steuerunterlagen.

    Backups

    Besonders kritisch, falls Sicherungen verschlüsselt oder gelöscht wurden – derzeit nicht bestätigt.

    Warum ist das für Besucher zunächst kaum sichtbar?

    Viele Einrichtungen betreiben heute eine klare Trennung zwischen öffentlichen Webservern, Ticketsystemen und internen Netzwerken. Dadurch können Besucher weiterhin Tickets kaufen, während Mitarbeiter intern handlungsunfähig sind.

         ┌──────────────────────────┐        ┌─────────────────────────────┐
     │  Öffentlich  (DMZ)       │        │  Internes Verwaltungsnetz   │
     │  · Website                │        │  · E-Mail / Exchange         │
     │  · Online-Ticketing       │  ╳     │  · Telefonanlage / VoIP      │
     │  · Kasse                  │  ╳     │  · Dateiserver / AD          │
     │  ✓ läuft weiter           │        │  ✗ ausgefallen               │
     └──────────────────────────┘        └─────────────────────────────┘
                                  Segmentierung

    Genau dieser Fall scheint hier zumindest teilweise eingetreten zu sein – ein wichtiges Argument für saubere Netz-Segmentierung in jeder Einrichtung mit Publikumsverkehr.

    Wer könnte betroffen sein?

    Auch hierzu gibt es derzeit keine offizielle Aussage. Je nach Ausmaß könnten betroffen sein:

    Mitarbeiter
    Schauspieler
    Musiker
    Gastkünstler
    Lieferanten
    Dienstleister
    Bewerber
    Geschäftspartner

    Ob personenbezogene Daten abgeflossen sind, ist bislang nicht bekannt.

    Was bedeutet das für Besucher?

    Aktuell gibt es keine Hinweise auf eine unmittelbare Betroffenheit von Ticketkäufern. Bei ähnlichen Vorfällen empfiehlt sich trotzdem grundsätzliche Aufmerksamkeit:

    • Ungewöhnliche E-Mails kritisch prüfen – Absender, Links und Anhänge verifizieren.
    • Keine verdächtigen Zahlungsaufforderungen akzeptieren – im Zweifel direkt im Theater nachfragen.
    • Bei Rückfragen ausschließlich offizielle, bekannte Kontaktwege nutzen – nicht aus E-Mails übernehmen.

    Warum Kulturinstitutionen zunehmend ins Visier geraten

    Cyberkriminelle greifen längst nicht mehr nur Industrieunternehmen an. Auch Theater, Museen, Universitäten, Krankenhäuser und öffentliche Einrichtungen verfügen über:

    Wertvolle personenbezogene Daten (Mitarbeiter, Künstler, Abonnenten, Bewerber).
    Finanz- und Buchhaltungssysteme mit Zahlungsverkehr.
    Personalinformationen, Verträge und Honorardaten.
    Häufig komplex gewachsene, heterogene IT-Landschaften.
    Begrenzte IT-Budgets und wenig dediziertes Sicherheitspersonal.

    Genau diese Kombination macht solche Einrichtungen zu attraktiven Zielen.

    Update: Ransomware-Gruppe TheGentlemen bekennt sich

    Nach dem Vorfall hat sich mit hoher Wahrscheinlichkeit die Cybercrime-Gruppe TheGentlemen zu dem Angriff auf das Stadttheater Gießen bekannt. Auf ihrer Leak-Seite im Darknet listet die Gruppe das Theater als Opfer und hat einen Countdown-Timer gestartet: Läuft dieser ab, sollen die angeblich erbeuteten Daten veröffentlicht werden – ein klassisches Double-Extortion-Schema, mit dem Opfer zur Zahlung eines Lösegelds gezwungen werden sollen.

    TheGentlemen ist in den vergangenen Monaten mehrfach durch Angriffe auf mittelständische Unternehmen und öffentliche Einrichtungen in Europa aufgefallen. Ob die Behauptung der Gruppe tatsächlich einen erfolgreichen Datenabfluss bedeutet oder ob es sich um Bluff-Erpressung handelt, ist derzeit weder vom Theater noch vom LKA Hessen bestätigt.

    Der oben im Hero-Bereich sichtbare Live-Countdown zählt die verbleibende Zeit bis zum von TheGentlemen gesetzten Ultimatum. Läuft der Timer ab, wechselt die Anzeige automatisch auf „höchstwahrscheinlich veröffentlicht".

    Ermittlungen laufen

    Das Theater arbeitet gemeinsam mit externen IT-Spezialisten an der Wiederherstellung der Systeme. Parallel hat das Landeskriminalamt Hessen die Ermittlungen aufgenommen. Welche Angriffsmethode genutzt wurde und ob Daten entwendet wurden, ist derzeit nicht öffentlich bekannt.

    Einschätzung & Fazit

    Der Vorfall zeigt eindrucksvoll, dass Cyberangriffe heute nahezu jede Organisation treffen können – unabhängig von Branche oder Größe. Besonders bemerkenswert ist, dass das Stadttheater Gießen den Spielbetrieb trotz massiver IT-Ausfälle aufrechterhalten konnte. Gleichzeitig verdeutlicht der Angriff, wie abhängig moderne Einrichtungen von funktionierenden Kommunikations- und IT-Systemen geworden sind.

    Ob es sich um einen klassischen Ransomware-Angriff, einen gezielten Netzwerkeinbruch oder eine andere Form der Cyberattacke handelt, bleibt offen. Ebenso gibt es bislang keine öffentliche Bestätigung, dass Daten entwendet oder veröffentlicht wurden. Während Besucher den Vorfall kaum bemerken, kämpfen die Mitarbeitenden intern mit erheblichen Einschränkungen. Die kommenden Wochen werden zeigen, wie groß das tatsächliche Ausmaß ist – bis dahin gilt: Spekulationen vermeiden und die Ergebnisse der laufenden Ermittlungen abwarten.

    Was Wasacon für Kultur- und öffentliche Einrichtungen im Kreis Heinsberg leistet

    • Notfall-Audit nach IT-Vorfällen – binnen 24 h vor Ort oder remote
    • Strikte Netzwerk-Segmentierung (interne Systeme ↔ öffentliche Webserver/Ticketing)
    • MFA-Härtung für alle privilegierten Konten (Admins, Telefonie, M365)
    • EDR/XDR-Rollout auf Endpoints, Servern und Domain-Controllern
    • Backup-Härtung (immutable, 3-2-1-1-0) – Schutz vor Ransomware-Lateral-Movement
    • Incident-Response-Plan (IRP) für Kultur- und öffentliche Einrichtungen
    • DSGVO- und NIS-2-konforme Dokumentation & Meldewege
    • 24/7-Notfall-Hotline mit Reaktion innerhalb von 60 Minuten

    Übersicht der Leistungen, die Wasacon Kultur- und öffentlichen Einrichtungen im Kreis Heinsberg anbietet. Keine Kundenreferenzen.

    Häufige Fragen zum Cyberangriff auf das Stadttheater Gießen

    Am 18. Juni 2026 wurde das Stadttheater Gießen Ziel eines Cyberangriffs. Interne IT- und Kommunikationssysteme – darunter E-Mail und Telefonanlage – fielen aus. Der Vorstellungsbetrieb sowie Website und Ticketverkauf laufen laut Theater weiter.

    Aktuell gibt es laut Theater keine Hinweise darauf, dass Besucher oder Ticketkäufer unmittelbar betroffen sind. Website, Online-Ticketverkauf und Kasse funktionieren weiter. Trotzdem sollten ungewöhnliche E-Mails oder Zahlungsaufforderungen kritisch geprüft werden.

    Das Landeskriminalamt Hessen hat die Ermittlungen übernommen. Zusätzlich unterstützen externe IT-Forensiker die Analyse und Wiederherstellung der Systeme.

    Ob es sich um einen klassischen Ransomware-Angriff, einen gezielten Netzwerkeinbruch oder eine andere Form der Cyberattacke handelt, ist derzeit nicht öffentlich bekannt. Auch ein Datenabfluss ist bislang nicht bestätigt.

    Das deutet auf eine saubere Trennung zwischen internem Verwaltungsnetz und öffentlich erreichbarer Infrastruktur (Website, Ticketsystem) hin. Genau diese Netz-Segmentierung ist heute Standard im IT-Sicherheitskonzept jeder Einrichtung mit Publikumsverkehr.

    Backup-Strategie (immutable, getrennt), MFA auf allen Admin- und M365-Konten, Netz-Segmentierung zwischen Verwaltung und Publikum, EDR/XDR auf Servern und Endpoints, Incident-Response-Plan mit Telefon-Notfallliste auf Papier sowie regelmäßige Awareness-Schulungen.

    Vor dem nächsten Vorhang: IT-Notfallplan testen

    Wasacon härtet Netz-Segmentierung, MFA, Backups und EDR/XDR für Kultur- und öffentliche Einrichtungen – BSI-konform, regional erreichbar und schriftlich dokumentiert.

    Sicherheitsanalyse starten EDR / XDR Cyber Security

    Mehr zu Cyberangriffen auf öffentliche & kommunale Einrichtungen

    Weitere aktuelle Analysen zu Angriffen auf Kommunen, Behörden und kritische Infrastruktur:

    Diskussion

    0 Beiträge

    Lade Kommentare …
    Neuer Kommentar
    0/2000

    E-Mail wird nur zur Verifizierung verwendet, nicht veröffentlicht. Beiträge werden manuell geprüft.

    IT-Budget Quick-Check

    Wie viel sollte Ihr Unternehmen jährlich in IT investieren?

    Risiko-Level: Mittel · Multiplikator: 1.2×

    Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.

    Das könnte Sie auch interessieren

    Dringend: Kritische Apache-Lücke CVE-2026-119618 – HTTP/2 jetzt abschalten
    IT-Sicherheit

    Dringend: Kritische Apache-Lücke CVE-2026-119618 – HTTP/2 jetzt abschalten

    Kritische Apache-Lücke CVE-2026-119618 in HTTP/2 (Versionen 2.4.55–2.4.70, mögliches RCE). Sofortmaßnahme, Patch-Stand und was Ubuntu-Server jetzt tun sollten.

    12.11.20264 min
    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe
    IT-Sicherheit

    Sämtliche Dateien: Der Cloud-Vorfall der CDU Itzehoe

    Am 13. Oktober 2026 informiert die CDU Itzehoe über einen Sicherheitsvorfall in ihrer Managed Nextcloud. Angreifer konnten nach bisherigen Angaben sämtliche gespeicherten Dateien herunterladen – Kontakte, Mitgliedsdaten, interne Dokumente, möglicherweise Beitrags- und Bankdaten. Was der Fall für gemanagte Clouds heißt.

    12.11.202613 min
    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen
    IT-Sicherheit

    Vom Netz und neu aufgesetzt: Der Angriff auf den Mailserver der Hamburger Grünen

    Am 1. Oktober 2026 entdecken die Hamburger Grünen bei einer Routineprüfung einen automatisierten Angriff auf ihren Mailserver. Mitgliedsdatenbank und Dateiserver bleiben unberührt, Hinweise auf einen Datenabfluss gibt es zunächst nicht. Was der Fall für geteilte IT in Parteien und Unternehmen heißt.

    12.11.202613 min

    Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.

    Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?

    Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.

    Jetzt kostenlosen Check anfordern

    Bekannt aus

    Wasa Consult, Data Recovery Service, Heinsberg, Nordrhein-Westfalen