IT-Sicherheit · Analyse
Das gesamte IT-System außer Funktion: Der Ransomware-Angriff auf die Brandenburgischen Gedenkstätten
Am 5. August 2026 stellt die Stiftung Brandenburgische Gedenkstätten fest, dass Angreifer in ihre internen IT-Systeme eingedrungen sind und Teile der Systeme und Daten verschlüsselt haben. Betroffen sind die Gedenkstätten an allen sieben Standorten und die Geschäftsstelle. Der Besuch der Orte selbst bleibt ohne Einschränkungen möglich. Telefonanschlüsse und die bekannten Mailadressen fallen aus.
Am 11. August macht die Stiftung den Vorfall öffentlich und spricht von einem Ransomware-Angriff. Stiftungsdirektor Axel Drecoll sagt, durch den schwerwiegenden Angriff professioneller IT-Krimineller sei das gesamte IT-System derzeit außer Funktion. Eine Woche später, am 18. August, zeichnet ein Sprecher gegenüber der Deutschen Presse-Agentur ein längeres Bild: Es werde ein längerer Prozess, bis die vollständige Arbeitsfähigkeit wiederhergestellt sei. Die Attacke sei finanziell motiviert gewesen, die Täter hätten Schwachstellen in der Firewall ausgenutzt. Die Stiftung habe sofort die Polizei eingeschaltet und kein Geld gezahlt. Daten seien abgeflossen, das Ausmaß sei noch unklar.
Der Fall ist ein Lehrstück für Organisationen, deren Auftrag in der Präsenz vor Ort liegt und deren Verwaltung vollständig digital hängt. Die Gedenkstätten bleiben offen, während Buchungen pädagogischer Programme, Anfragen und die alltägliche Verwaltung neu aufgesetzt werden müssen. Gleichzeitig können Verwaltungsdaten, Angaben zu Geschäftspartnern und Besuchern sowie Vereinbarungen in fremde Hände geraten sein. Genau das solltest du dir merken, wenn in deiner Organisation der öffentliche Betrieb und die interne IT zwei verschiedene Dinge sind – und wenn ein Zahlungsverzicht den Wiederaufbau nicht verkürzt, sondern ehrlicher macht.
Von der Entdeckung zum Neuaufsetzen
Die Stiftung beschreibt die Sofortmaßnahmen klar. Unmittelbar nach der Feststellung wurden betroffene Systeme offline genommen, also alle Internet- und Netzwerkverbindungen getrennt. Ein externer, vom BSI empfohlener Dienstleister unterstützt bei der Bewältigung und bei einer forensischen Analyse. Die Meldung an die zuständige Datenschutzbehörde erfolgte nach Angabe der Stiftung fristgerecht. Anzeige wurde erstattet, die Zentrale Ansprechstelle Cybercrime des Landeskriminalamts Brandenburg einbezogen.
Der Wiederaufbau ist bewusst kein Zurückspielen in denselben Zustand. Die IT-Systeme werden durch die eigene IT-Abteilung komplett neu aufgesetzt und installiert, damit sich Angreifer nicht erneut Zugriff verschaffen können. Bis dahin gelte: Sicherheit vor Schnelligkeit. In der Mitteilung vom 11. August rechnete die Stiftung noch mit einigen Tagen, bis die Systeme wieder zur Verfügung stünden, und mit einem Betrieb über Ausweichprozesse. Diese Frist hält die spätere Sprecheraussage nicht: Am 18. August ist von einem längeren Prozess bis zur vollständigen Arbeitsfähigkeit und von einem aufzubauenden Notbetrieb die Rede. Cyberexperten untersuchten weiterhin den Zustand der internen Systeme.
„Durch den schwerwiegenden Angriff professioneller IT-Krimineller ist unser gesamtes IT-System derzeit außer Funktion.“
Zur Absicherung schreibt die Stiftung am 11. August, alle IT-Systeme seien durch verschiedene Sicherheitsmaßnahmen geschützt gewesen; eine hundertprozentige Sicherheit gebe es trotzdem nicht. Das Einfallstor solle die Forensik feststellen. Sieben Tage später benennt der Sprecher gegenüber der dpa Schwachstellen in der Firewall und eine finanzielle Motivation. Das ergänzt die erste Mitteilung, es widerspricht ihr nicht: Am 11. August war der Weg noch Gegenstand der Untersuchung, am 18. August liegt eine Sprecherangabe dazu vor. Weitere technische Einzelheiten – welches Produkt, welcher Patch-Stand – sind öffentlich nicht genannt.
Die Stiftung beantwortet die Frage, ob sie erpresst werde, mit der üblichen Täterlogik: Nach dem unberechtigten Zugriff und der Verschlüsselung bleibt eine Textdatei mit der Aufforderung, Kontakt aufzunehmen. Wer das tut, wird in der Regel zu einer Zahlung aufgefordert. Dass die Stiftung diesen Weg nicht gegangen ist, sagt der Sprecher am 18. August ausdrücklich. Der Wiederaufbau muss deshalb aus eigenen Sicherungen und aus einem Neuaufsetzen kommen, nicht aus einem Schlüssel der Täter.
Welche Daten in Frage kommen – und was für Besucher und Partner folgt
Am 11. August lässt die Stiftung forensisch untersuchen, ob Daten abgeflossen sind, geht aber „auf Grund des üblichen Vorgehens der Angreifer“ davon aus, dass Daten heruntergeladen wurden. Möglich betroffen seien insbesondere interne Verwaltungsdaten, Unternehmens- und Ansprechpartnerdaten von Geschäftspartnern und Besuchern sowie Vereinbarungen und Dokumente im Rahmen der Zusammenarbeit mit Geschäftspartnern. Eine Zahl, einen Zeitraum oder eine festgestellte Veröffentlichung nennt sie nicht.
Am 18. August wird aus dieser Annahme eine Sprecheraussage: Es seien Daten abgeflossen, unklar sei das Ausmaß. Das ist präziser als die erste Formulierung und bleibt unvollständig. Welche der genannten Kategorien tatsächlich betroffen sind, wie viele Personen, ob Besucherverzeichnisse oder nur Verwaltungsakten – das ist öffentlich nicht aufgeschlüsselt. Eine spätere, über den 18. August hinausgehende öffentliche Zwischenbilanz der Stiftung ist bei dieser Recherche nicht auffindbar.
Für Gäste und Partner folgt daraus vor allem ein Missbrauchsrisiko, das die Stiftung selbst beschreibt. Nach solchen Angriffen könne es vermehrt zu Phishing- oder Spam-Mails kommen, insbesondere mit der Stiftung als vermeintlichem Absender. Die Täter könnten Daten auch für Rechnungsbetrug nutzen, etwa mit der Aufforderung, an geänderte Kontoverbindungen zu überweisen, auch wenn an vorherige Korrespondenz angeknüpft wird. Die Stiftung bittet, verdächtige Mails und ungewöhnliche Handlungsaufforderungen genau zu prüfen und keine vertraulichen Informationen preiszugeben, wenn die Kontaktaufnahme nicht sicher einer bekannten Person zuzuordnen ist. Hinweise auf Missbrauch sollen an die vorübergehende Erreichbarkeit gemeldet werden.
Der Besuch vor Ort bleibt davon getrennt. Die Gedenkstätten sind nach wiederholter Angabe der Stiftung ohne Einschränkungen zugänglich. Was ausfällt, ist die digitale Verwaltung: Anfragen, besonders Buchungen pädagogischer Programme, verzögern sich, weil die nötigen Daten und Systeme nicht zur Verfügung stehen. Für eine Stiftung, deren Arbeit zu einem erheblichen Teil aus Bildungsprogrammen an historischen Orten besteht, ist das ein schwerer, aber anderer Schaden als eine Schließung der Gelände.
Zeitstrahl des Ablaufs
5. August 2026:
Die Stiftung stellt den Angriff fest. Sofortmaßnahmen nach ihrer späteren Darstellung: Systeme vom Netz, externer Dienstleister, Meldung an die Datenschutzaufsicht, Strafanzeige. Quelle: Stiftung, 11.8.2026.11. August 2026:
Öffentliche Mitteilung. Ransomware, alle sieben Standorte und die Geschäftsstelle betroffen, Besuch weiter möglich, Annahme eines Datenabflusses bei laufender Forensik, Beschreibung möglicher Datenarten, Neuaufsetzen der IT, voraussichtlich „einige Tage“. Direktor Drecoll spricht von einem schwerwiegenden Angriff und einem derzeit außer Funktion befindlichen gesamten IT-System. Quellen: Stiftung; heise / dpa, 11.8.2026, 18:43 Uhr; rbb24.18. August 2026:
Ein Sprecher sagt der dpa, der Wiederaufbau werde ein längerer Prozess, ein Notbetrieb werde aufgebaut. Die Attacke sei finanziell motiviert, Schwachstellen in der Firewall seien ausgenutzt worden, die Polizei sei sofort eingeschaltet, kein Geld gezahlt worden. Daten seien abgeflossen, das Ausmaß noch unklar. Quellen: Die Zeit / dpa; Tagesspiegel / dpa, 18.8.2026, 12:30 Uhr.12. November 2026:
Eine spätere öffentliche Bilanz der Stiftung zu abgeschlossener Forensik, Zahl der betroffenen Personen oder vollständig wiederhergestellter Arbeitsfähigkeit liegt bei dieser Recherche nicht vor.
Was heißt das für dein Unternehmen?
Der Angriff trifft eine öffentlich getragene Stiftung mit historischen Gedenkorten, das Muster gilt für viele Organisationen mit einem Betrieb vor Ort und einer vollständig abhängigen Verwaltung.
- 1.
Lösegeld nicht zahlen heißt: den Wiederaufbau vorher planen.
Die Stiftung hat nach Sprecherangabe kein Geld gezahlt und setzt die IT neu auf. Das ist die richtige Linie, und sie braucht Zeit. In deinem Unternehmen müssen unveränderbare, getrennte Sicherungen, eine Reihenfolge für das Neuaufsetzen und eine ehrliche Kommunikation über die Dauer stehen, bevor jemand eine Textdatei der Täter öffnet. „Einige Tage“ als erste Schätzung sollte ein Plan überdauern, der auch mit Wochen rechnet. - 2.
Die Firewall ist kein Randthema.
Der Sprecher benennt Schwachstellen in der Firewall als ausgenutzten Weg. Perimeter, VPN, administrative Zugänge und rechtzeitige Updates gehören zur Grundhygiene, nicht zur Kür. Ein externer, vorher ausgewählter Dienstleister – die Stiftung verweist auf eine BSI-Empfehlung – verkürzt die Zeit bis zur Analyse. - 3.
Öffentlicher Betrieb und Verwaltungs-IT getrennt denken.
Dass die Gedenkstätten offen bleiben, ist ein Erfolg der betrieblichen Kontinuität. Dass Telefon, Mail und Buchungen ausfallen, zeigt die andere Seite. Plane beides: Wie läuft der Kernauftrag ohne die übliche IT? Und wie erreichst du Partner und Besucher, wenn genau die bekannten Adressen tot sind? Eine vorbereitete Ausweichadresse gehört in den Notfallplan. - 4.
Ransomware als Datendiebstahl behandeln, nicht nur als Verschlüsselung.
Die Stiftung ist schon am ersten Tag von einem Abfluss ausgegangen, weil das bei solchen Angriffen üblich ist. Am 18. August bestätigt der Sprecher den Abfluss. In deinem Unternehmen solltest du die Betroffenen- und Partnerinformation auf dieser Annahme aufbauen, nicht auf der Hoffnung, nur Dateien seien unlesbar geworden. - 5.
Mit Rechnungsbetrug und falschen Absendern rechnen.
Namen von Partnern, Besuchern und laufende Vereinbarungen reichen, um eine falsche Rechnung oder eine Mail „im Namen der Stiftung“ glaubwürdig zu machen. Sag vorher, über welche Konten ihr Geld entgegennehmt und dass sich geänderte Bankverbindungen nicht in einer einzelnen Mail ändern. Die Stiftung warnt genau davor. - 6.
Motivation nicht mit Bedeutung verwechseln.
Der Sprecher beschreibt eine finanziell motivierte Tat, kein erkennbares ideologisches Motiv. Das ändert nichts daran, wen der Angriff trifft und welche Daten betroffen sein können. In deiner Risikobewertung zählt, was ein Angreifer bei dir findet, nicht, ob er dich persönlich als Ziel ausgesucht hat.
Wenn du prüfen willst, wie gut in deinem Unternehmen Firewall, Backup, Neuaufsetzen und die Kommunikation ohne die gewohnte IT aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall der Brandenburgischen Gedenkstätten zeigt vor allem eines: Ein Angriff kann die Türen eines Ortes offen lassen und trotzdem die gesamte Verwaltung treffen – und der Verzicht auf Lösegeld ist nur der Anfang der Arbeit.
Häufige Fragen
Quellen
- Stiftung Brandenburgische Gedenkstätten: Die Stiftung wurde Opfer eines Ransomware-Angriffs, 11.8.2026. Offizielle Darstellung zu Feststellung, Sofortmaßnahmen, möglichen Daten und Besuch.
- heise online / dpa: Brandenburg: Cyberangriff legt IT-System der Gedenkstätten lahm, 11.8.2026, 18:43 Uhr. Zitate von Stiftungsdirektor Axel Drecoll.
- rbb24: „Schwerwiegender Angriff“: Cyber-Attacke legt IT der Gedenkstätten-Stiftung lahm, 11.8.2026.
- Die Zeit / dpa: Kriminalität im Netz: Gedenkstätten arbeiten nach Cyberangriff an Notbetrieb, 18.8.2026, 12:29 Uhr. Sprecher zu längerem Wiederaufbau, Firewall, nicht gezahltem Lösegeld und Datenabfluss.
- Tagesspiegel / dpa: Polizei eingeschaltet, kein Geld gezahlt: Brandenburger Gedenkstätten arbeiten nach Cyberangriff an Notbetrieb, 18.8.2026, 12:30 Uhr. Inhaltsgleiche dpa-Fassung.
- Süddeutsche Zeitung / dpa: Gedenkstätten arbeiten nach Cyberangriff an Notbetrieb, 18.8.2026.
