IT-Sicherheit · Analyse
Das Licht blieb an: Der Cyberangriff auf die Stadtwerke Landsberg
In der Nacht zum 1. September 2026 werden die Stadtwerke Landsberg KU Opfer eines kriminellen Cyberangriffs. Zentrale IT-Systeme des Kommunalunternehmens werden verschlüsselt. Die Verantwortlichen kappen nach eigenen Angaben alle Internetverbindungen, fahren Systeme herunter und aktivieren den Krisenstab. Externe Cyber-Security-Spezialisten werden hinzugezogen, die zuständigen Behörden fristgerecht informiert, Strafanzeige erstattet.
Das Entscheidende steht in der Mitteilung gleich am Anfang: Der Betrieb des Stromnetzes, der Wasserversorgung, der Kläranlage, der Fernwärme, des Glasfasernetzes, der Ladeinfrastruktur, des Inselbads und der Parkgaragen sei von dem Angriff nicht betroffen. Getroffen hat es die Verwaltungs- und Büro-IT. Mitarbeitende sind telefonisch und per Mail nur eingeschränkt erreichbar. Vertragsabschlüsse und bestehende Anliegen bleiben möglich, die Bearbeitung kann länger dauern.
Sechs Tage später, am 7. September, informieren die Stadtwerke ihre Kundinnen und Kunden vorsorglich nach Artikel 34 der Datenschutz-Grundverordnung. Ob und in welchem Umfang auf personenbezogene Daten zugegriffen wurde und ob diese abgeflossen sind, könne noch nicht abschließend beurteilt werden – ausschließen könne man es jedoch nicht. Der Fall ist ein Lehrstück über die Trennung von Unternehmens-IT und Betriebstechnik: Das Licht bleibt an, die offene Frage betrifft die Kundendaten. Genau das solltest du dir merken, wenn in deinem Unternehmen Büronetz und Anlage denselben Weg nach außen teilen.
Die Versorgung lief weiter – die Verwaltung nicht
Die frühe öffentliche Lage stützt sich auf eine Unternehmensmitteilung, über die der Kreisbote und die Augsburger Allgemeine am 3. September berichten. Darin ist bereits die Trennung klar: Die technische Versorgung bleibt, die Erreichbarkeit der Verwaltung bricht ein. Eine Telefon-Notleitung wird unter der allgemeinen Nummer gelegt. Für viele Prozesse werden vorbereitete Behelfslösungen aktiviert, damit die Beschäftigten möglichst schnell wieder arbeiten können. Externe Spezialisten sollen das Ausmaß analysieren und beim Neuaufsetzen helfen. IT-Forensiker untersuchen den Hergang. Parallel prüft das Unternehmen nach dem Kreisbote seine Netzwerke und Systeme engmaschig als proaktive Sicherheitsmaßnahme.
Diese Reihenfolge – kappen, herunterfahren, Krisenstab, Behelf, Neuaufbau – beschreibt das Unternehmen als Anwendung bestehender Notfallpläne, nicht als Improvisation. In der Mitteilung vom 7. September heißt es, der Krisenstab arbeite nahezu rund um die Uhr und man liege beim Wiederaufbau im Zeitplan. Eine zweite, kürzere Hinweisseite betont, Vertragsabschlüsse seien weiterhin möglich, bestehende Anliegen könnten wie gewohnt gerichtet werden, die Bearbeitung könne wegen der eingeschränkten Systemverfügbarkeit länger dauern.
„Das Wichtigste vorab: Der Betrieb des Stromnetzes, der Wasserversorgung, der Kläranlage, der Fernwärme, des Glasfasernetzes, der Ladeinfrastruktur, des Inselbads und der Parkgaragen sind von dem Angriff nicht betroffen.“
Dieser Satz ist die zentrale technische Einordnung des Unternehmens selbst. Er bedeutet nicht, dass der Angriff folgenlos blieb. Er bedeutet, dass die betriebliche Technik – Strom, Wasser, Wärme, Netz – von der getroffenen zentralen IT getrennt genug war, um weiterzulaufen. Wie diese Trennung im Einzelnen aufgebaut ist, legen die Stadtwerke öffentlich nicht dar. Den Einfallsweg nennen sie ebenfalls nicht; die Forensik untersuche den Hergang.
Ein Wort in der späteren Pressemitteilung solltest du nicht überlesen: „gezielt“. Das Unternehmen spricht von einem „gezielten, kriminellen Cyber-Angriff“. Was damit gemeint ist – eine bewusste Auswahl des Versorgers oder lediglich ein gegen dieses Unternehmen gerichteter, erfolgreicher Angriff – führen die ausgewerteten Quellen nicht näher aus.
Die offene Datenfrage und die vorsorgliche Warnung
Am 3. September ist die Datenlage noch eine Prüfung: Ob ein Datenabfluss erfolgt ist, werde untersucht; sollten sich Erkenntnisse ergeben, würden die betreffenden Personen proaktiv informiert. Am 7. September verschiebt sich das zu einer vorsorglichen Betroffeneninformation nach Artikel 34 DSGVO. Die Stadtwerke können einen Zugriff und einen Abfluss „nicht ausschließen“ und listen Kategorien, die betroffen sein können: Name, Vorname, Anschrift, Telefonnummer, Handynummer, E-Mail-Adresse und Kontoverbindung.
Das ist keine festgestellte vollständige Kopie des Kundenbestands. Es ist die ehrliche Linie, nach der ein hohes Risiko nicht ausgeschlossen werden kann und die Betroffenen deshalb informiert werden. Genau so solltest du den Text lesen: als Vorsorge, nicht als abgeschlossene Opferliste.
Die praktischen Hinweise der Stadtwerke sind konkret. Kundinnen und Kunden sollen E-Mail-Anhänge und Links vorsichtig behandeln, eingehende Korrespondenz prüfen und im Zweifel unter der bekannten Nummer zurückrufen. Überweisungen sollen nur auf die bereits bekannten Bankverbindungen gehen – diese hätten sich nicht geändert. Kontoauszüge sollen auch auf Kleinstbeträge geprüft werden, weil Kriminelle vor größeren Abbuchungen oft testen. Passwörter, die mit den Stadtwerken geteilt wurden, sollen geändert werden, möglichst mit Zwei-Faktor-Authentifizierung. Und ein Satz, den jedes versorgende Unternehmen vorbereiten sollte: Die Stadtwerke werden niemals direkt Kontakt aufnehmen, um Kreditkarteninformationen, Zugangsdaten, Bankverbindungen oder Passwörter abzufragen.
Nach aktuellem Kenntnisstand zum 3. September gab es keine belastbaren Indizien dafür, dass Systeme von Kunden und Partnern selbst betroffen waren. Das ist eine Aussage über deren IT, nicht über die eigenen Kundendaten in den Systemen der Stadtwerke.
Eine Tätergruppe und eine Lösegeldforderung sind in den Mitteilungen der Stadtwerke nicht genannt. The Record hält am 8. September fest, das Unternehmen habe weder eine Gruppe identifiziert noch gesagt, ob eine Erpressungsforderung eingegangen sei. Der derimeter schreibt am 25. September, auch die lokale Berichterstattung nenne bis dahin keine. Die Verschlüsselung zentraler Systeme ist gleichwohl das bekannte Muster von Ransomware. Eine Zuschreibung an eine benannte Gruppe oder die Feststellung, es sei Lösegeld gefordert oder gezahlt worden, wäre auf Basis der ausgewerteten Quellen unbelegt.
Zeitstrahl des Ablaufs
Nacht zum 1. September 2026:
Nach Angaben der Stadtwerke Zeitpunkt des Angriffs; zentrale IT-Systeme werden verschlüsselt. Quellen: Stadtwerke; Kreisbote; Augsburger Allgemeine.Unmittelbar danach:
Internetverbindungen gekappt, Systeme heruntergefahren, Krisenstab, externe Spezialisten, Behelfslösungen, Information der Behörden, Strafanzeige. Quelle: Unternehmensmitteilung, wiedergegeben am 3.9.2026.2. oder 3. September 2026:
Öffentliche Berichterstattung über die erste Mitteilung. Der Kreisbote und die Augsburger Allgemeine berichten am 3. September, 9:48 bzw. 10:40 Uhr. Eine Pressemitteilung der Stadtwerke steht unter dem Titel „Wiederaufbau läuft“ mit einem PDF-Dokument, dessen Dateiname das Datum 2. September trägt (SWL_20260902_PM_Cyperangriff.pdf). Quellen: Kreisbote; Augsburger Allgemeine; Stadtwerke-Pressemitteilung.7. September 2026:
Ausführliche Information nach Art. 34 DSGVO: möglicher Zugriff auf Kundendaten nicht ausgeschlossen, Kategorien genannt, Hinweise zum Schutz vor Betrug, Wiederaufbau „im Zeitplan“. Quelle: Stadtwerke, 7.9.2026.8. September 2026:
The Record berichtet international über den Fall, einschließlich der offenen Frage nach Gruppe und Lösegeld. Quelle: The Record, 8.9.2026.25. September 2026:
Der derimeter fasst den Stand zusammen: Versorgung weiter gelaufen, Datenabfluss weiter offen, öffentlich keine bekannte Lösegeldforderung. Quelle: derimeter, 25.9.2026, 10:24 Uhr.
Eine jüngere offizielle Feststellung der Stadtwerke zum Datenabfluss oder zum Abschluss der Forensik wurde bei dieser Recherche nicht gefunden. Auf der Unternehmenswebsite stehen im Oktober und November 2026 Pressemitteilungen zu anderen Themen, nicht eine abschließende Lage zum Angriff. Die Hinweisseite, nach der Kundenservice und Vertragsabschlüsse möglich bleiben, war zum Stand dieser Recherche weiterhin erreichbar.
Was heißt das für dein Unternehmen?
Der Angriff trifft ein kommunales Versorgungsunternehmen in Bayern, das Muster gilt für jeden Betrieb, in dem eine Verwaltungs-IT neben Anlagen läuft, die nicht ausfallen dürfen.
- 1.
Büro-IT und Betriebstechnik müssen getrennt sein, bevor jemand sie braucht.
In Landsberg blieben Strom, Wasser und Wärme an, während zentrale IT-Systeme verschlüsselt wurden. Diese Trennung ist keine Garantie, aber sie ist der Unterschied zwischen einem Verwaltungsausfall und einem Versorgungsausfall. In deinem Unternehmen solltest du wissen, welche Wege zwischen Office-Netz und Anlagen noch existieren – Fernwartung, gemeinsame Active-Directory-Domänen, gemeinsame Internetzugänge – und sie so eng machen, dass eine Verschlüsselung der Büro-IT die Anlage nicht mitnimmt. - 2.
Einen Notfallplan haben, den du kappen und herunterfahren kannst.
Die Stadtwerke beschreiben ihr Vorgehen als Anwendung bestehender Pläne: Internet weg, Systeme herunter, Krisenstab, externe Hilfe, vorbereitete Behelfe. Das setzt voraus, dass du diese Schritte geübt hast und dass ein Behelf – Papier, getrennte Leitung, manuelle Prozesse – tatsächlich trägt, nicht nur in einer Richtlinie steht. - 3.
Die Datenfrage nicht hinter der guten Nachricht von der laufenden Versorgung verstecken.
Die Stadtwerke stellen beides nebeneinander: Die Anlagen laufen, ein Datenabfluss ist nicht ausgeschlossen. Genau diese Doppelung gehört in deine Kommunikation. Eine stabile Versorgung entbindet nicht von Artikel 34, wenn Kundendaten in der getroffenen IT lagen. - 4.
Bankverbindungen und den eigenen Kontaktweg öffentlich festnageln.
Die Stadtwerke sagen klar, ihre bekannten Konten hätten sich nicht geändert, und sie würden niemals direkt nach Kreditkarten, Zugängen oder Passwörtern fragen. Veröffentliche das, bevor gefälschte Rechnungen mit echten Kundennamen eintreffen. Eine prüfbare Nummer, unter der man zurückrufen kann, gehört dazu. - 5.
Einen Abfluss als möglich behandeln, bis das Gegenteil feststeht.
Am 3. September war die Datenlage eine Untersuchung, am 7. September eine vorsorgliche Warnung. Plane die Information der Betroffenen auf dieser Linie. Kontoauszüge, Passwörter und eine erreichbare Datenschutzadresse sind dann keine Panikreaktion, sondern der vorgesehene Weg. - 6.
Wiederaufbau und Forensik gleichzeitig denken.
Die Stadtwerke setzen Systeme neu auf, lassen den Hergang untersuchen und prüfen Netze parallel. Ein zu früher Restore aus einer Sicherung, die mitkompromittiert sein könnte, wäre ein zweiter Vorfall. Unveränderbare, getrennte Kopien und eine Prüfung vor dem Wiedereinspielen gehören zum Plan.
Wenn du prüfen willst, wie gut in deinem Unternehmen die Trennung von Büro-IT und Anlagen, die Notfallpläne und die vorsorgliche Betroffeneninformation aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall Landsberg zeigt vor allem eines: Es reicht nicht, dass das Licht anbleibt – die Kundendaten in der Verwaltungs-IT sind ein eigenes Risiko.
Häufige Fragen
Quellen
- Stadtwerke Landsberg KU: Information über IT-Vorfall, Landsberg, 7.9.2026. Art.-34-Information, mögliche Datenkategorien, Sofortmaßnahmen, Hinweise an Kundinnen und Kunden.
- Stadtwerke Landsberg KU: Cyber-Angriff auf Stadtwerke Landsberg KU – Wiederaufbau läuft. Pressemitteilung, Formulierung „gezielter, krimineller Cyber-Angriff“, PDF mit Dateidatum 2.9.2026.
- Stadtwerke Landsberg KU: Cyberangriff auf unsere IT-Systeme – Kundenservice und Vertragsabschlüsse weiterhin möglich.
- Kreisbote: Erstmal offline: Cyber-Attacke trifft Stadtwerke Landsberg, 3.9.2026, 9:48 Uhr, Gabriel Gavran.
- Augsburger Allgemeine: Cyber-Kriminelle verschlüsseln IT-Systeme der Stadtwerke Landsberg, 3.9.2026, aktualisiert 10:40 Uhr, Christian Mühlhause.
- The Record: Cyberattack encrypts systems at Bavarian municipal utility, 8.9.2026, Alexander Martin.
- derimeter: Cyberangriff auf Stadtwerke Landsberg: IT verschlüsselt, Strom läuft weiter, 25.9.2026, 10:24 Uhr.
