Der Landkreis Wolfenbüttel ist am Montag Ziel eines Hackerangriffs geworden. Betroffen ist die Online-Terminvergabe eines externen Dienstleisters – möglicherweise wurden dabei Daten von Bürgern abgegriffen. Die digitale Terminbuchung bleibt vorerst deaktiviert.
Der Landkreis Wolfenbüttel ist am Montag Opfer eines Hackerangriffs geworden. Wie ein Sprecher dem NDR Niedersachsen bestätigte, wurde die Online-Terminvergabe eines externen Anbieters gehackt [1]. Dabei seien möglicherweise auch Daten von Anwohnern abgegriffen worden, die während des Angriffs online einen Termin gebucht haben. Um welche Daten es sich konkret handelt, ist bislang unklar [1].
Angriff auf den IT-Dienstleister
Der Vorfall richtete sich nicht gegen die Kernsysteme der Kreisverwaltung selbst, sondern gegen die technische Plattform eines Drittanbieters, über die Bürgerinnen und Bürger Termine bei der Kreisverwaltung buchen [2]. Die Verwaltung bestätigte, dass es im Rahmen des Vorfalls möglicherweise zu einem unbefugten Abgriff von Daten gekommen ist. Betroffen sein könnten demnach persönliche Informationen von Menschen, die das Online-Portal in der Vergangenheit genutzt haben [2].
Die Integrität der Datenbestände und der Schutz der Privatsphäre stehen für die Behörden nun an erster Stelle. Sobald eine Kompromittierung externer Systeme festgestellt wird, ist es in der öffentlichen Verwaltung üblich, die betroffenen Schnittstellen umgehend zu isolieren, um eine weitere Ausbreitung des Schadens oder den Abfluss zusätzlicher Datensätze zu verhindern [2].
Welche Bürgerservices betroffen sind
Die unmittelbare Folge ist die Deaktivierung der Online-Terminbuchung. Konkret sind Buchungen am 31. August sowie am darauffolgenden 1. September nicht möglich [2]. Auch am Dienstag werde die Online-Terminvergabe etwa bei der Kfz-Zulassungsstelle oder der Ausländerbehörde wegen des Vorfalls nicht möglich sein, heißt es [1].
Bürger, die für diese Tage Termine vereinbaren wollten oder bereits vereinbarte Termine digital verwalten müssen, stehen vor verschlossenen digitalen Türen. Ob weitere Fachbereiche der Verwaltung über die Terminvergabe hinaus betroffen sind, blieb zunächst offen. Die vorsorgliche Abschaltung betroffener Module gilt als Standardverfahren, um die Sicherheit der restlichen IT-Infrastruktur zu gewährleisten [2].
Lehren aus dem Supply-Chain-Angriff
Der Vorfall in Wolfenbüttel unterstreicht die wachsenden Risiken durch sogenannte Supply-Chain-Angriffe, bei denen nicht die Kernverwaltung selbst, sondern deren Partner und Dienstleister angegriffen werden [2]. Für kommunale Verwaltungen stellt dies eine besondere Herausforderung dar, da sie für die Abwicklung ihrer Prozesse oft auf spezialisierte Software-as-a-Service-Anbieter angewiesen sind [2].
IT-Sicherheitsexperten beobachten seit geraumer Zeit, dass Hacker vermehrt solche Dienstleister ins Visier nehmen, um über eine einzige Schwachstelle Zugriff auf die Daten mehrerer Auftraggeber zu erhalten [2]. Für die betroffenen Kommunen bedeutet dies eine Abhängigkeit von den Sicherheitsstandards ihrer Partner.
Der Fall reiht sich ein in eine Serie ähnlicher Vorfälle in Niedersachsen: Erst im Mai waren nach einem Cyberangriff auf einen IT-Dienstleister Daten von Zehntausenden Versicherten betroffen, kurz darauf wurden bei einem Angriff auf einen Dienstleister tausende Kinderfotos möglicherweise gestohlen [1]. Die wiederkehrende Angriffsfläche ist stets derselbe Schwachpunkt: die Zulieferer der öffentlichen Hand.
Ausblick
Die Dauer der Störung hängt maßgeblich von den Fortschritten bei der Untersuchung des Vorfalls und der Wiederherstellung sicherer Systemumgebungen durch den externen Dienstleister ab [2]. In solchen Fällen erfolgt eine Wiederinbetriebnahme meist erst nach einer umfassenden forensischen Prüfung und der Schließung der identifizierten Sicherheitslücken [2].
Die Kreisverwaltung Wolfenbüttel arbeitet an der Aufklärung des Vorfalls. Anwohner werden gebeten, sich auf der offiziellen Internetseite des Landkreises über alternative Wege der Kontaktaufnahme und den aktuellen Stand der Erreichbarkeit zu informieren [2]. Für die kommunale Verwaltungspraxis dürfte der Fall die Debatte darüber befeuern, wie stark sich Behörden auf die Sicherheitsstandards externer Dienstleister verlassen können – und welche vertraglichen und technischen Anforderungen an Zulieferer künftig gestellt werden müssen.