Die Marktgemeinde Reichenau an der Rax in Niederösterreich ist Ende Juli Opfer eines Cyberangriffs geworden. Erst diese Woche wurde das tatsächliche Ausmaß bekannt: Die Ransomware-Gruppe SafePay hat rund 37 Gigabyte erbeuteter Verwaltungsdaten veröffentlicht, darunter Meldedaten von 4.171 Personen, Ausweisnummern, Gesundheitsunterlagen und Angaben zu 407 Minderjährigen. Die Gemeindeführung hatte bis Mittwoch angenommen, es gehe nur um Daten von Mitarbeiterinnen und Mitarbeitern.
Wenn die Verwaltung ihre Bürger nicht mehr schützen kann
Die Zahlen, die seit Mittwoch durch die österreichischen Medien gehen, stammen nicht von der Gemeinde, sondern von einem privaten Sicherheitsunternehmen. RisikoMonitor, spezialisiert auf Darknet-Überwachung, hat nach eigenen Angaben 96,4 Prozent des abgeflossenen Materials gesichert und ausgewertet 1 2. Die Ransomware-Gruppe SafePay soll demnach rund 37 Gigabyte an Daten erbeutet und im Internet veröffentlicht haben 2.
Kernstück des Leaks ist ein Auszug aus dem Zentralen Melderegister vom 11. Mai 2026. Er enthält Angaben zu 4.171 gemeldeten Personen – 2.396 mit Hauptwohnsitz und 1.775 mit Nebenwohnsitz in der Gemeinde. Erfasst sind Namen, Geburtsdaten und Geburtsorte, Wohnadressen, Familienstand und Staatsangehörigkeit; bei 397 Menschen auch Reisepass- oder Personalausweisnummern 1 2.
Hinzu kommen Informationen zum Religionsbekenntnis von 3.202 Personen sowie Daten von 407 Minderjährigen 1 2. Daneben seien Unterlagen aus der Lohnverrechnung, Personalakten, Bewerbungen und Bankverbindungen abgeflossen, außerdem Schüler- und Lehrerlisten der örtlichen Musikschule sowie Gesundheits-, Pflege- und Sozialunterlagen 1 3. Insgesamt identifizierte RisikoMonitor 8.498 verschiedene Namen mit einer Anschrift oder E-Mail-Adresse in dem Datenbestand 2.
Die Polizei bestätigt diese Zahlen bislang nicht. Cybercrime-Spezialisten der Landespolizeidirektion Niederösterreich hätten die Ermittlungen übernommen, sagte Chefinspektor Johann Baumschlager am Donnerstag auf APA-Anfrage; weitere Details zu Tätern oder Umfang nannte er zunächst nicht 3 6.
Wie die Täter vorgingen
SafePay ist seit August 2024 aktiv und zählt nach Einschätzung der US-Cybersicherheitsbehörde CISA zu den derzeit aktivsten Ransomware-Gruppen. In einer im Oktober veröffentlichten gemeinsamen Warnmeldung mit dem FBI, dem US Secret Service, der britischen National Crime Agency und dem Landeskriminalamt Rheinland-Pfalz beziffern die Behörden die Zahl der seit August 2024 angegriffenen Organisationen auf mindestens 600 4. Anders als viele vergleichbare Operationen arbeitet SafePay ohne Partnerstruktur und verfolgt konsequent doppelte Erpressung: erst Datenabfluss, dann Verschlüsselung, dann die Drohung mit Veröffentlichung 4.
Als Einfallstore nennt die Warnmeldung offengelegte Anmeldedaten, Brute-Force-Angriffe auf Passwörter, ausgenutzte VPN-Zugänge, durch Phishing erlangte Kontodaten sowie bekannte Schwachstellen in aus dem Internet erreichbaren Edge-Geräten 4. Wie die Angreifer in das Netzwerk der Gemeinde Reichenau gelangten, ist bislang nicht geklärt 2.
In Reichenau wurde nach Darstellung der Verwaltung allerdings nichts verschlüsselt. „Es wurden keine Daten verschlüsselt“, sagte Amtsleiter-Stellvertreter Philipp Stummer; der Betrieb des Gemeindeamts sei bis auf eine kurze Unterbrechung aufrechterhalten worden 2. Das unterscheidet den Fall von klassischen Ransomware-Attacken – und dürfte erklären, warum die Verwaltung den Vorfall intern als beherrschbar einstufte.
Der Angriff war im Juli. Das ganze Ausmaß zeigt sich erst jetzt.
Die Chronologie ist der eigentliche Kern des Falls. Entdeckt wurde der Angriff bereits Ende Juli. Die Gemeinde nahm die betroffenen Systeme vom Netz, setzte sämtliche Server neu auf, schaltete die Landespolizeidirektion ein und meldete den Vorfall der österreichischen Datenschutzbehörde 3 5. Schriftlich informiert wurden zunächst nur aktuelle und ehemalige Bedienstete sowie die politischen Organe. Zur Begründung hieß es, das Ausmaß des Datenabflusses sei technisch nicht feststellbar gewesen 5.
Am 8. September kündigte SafePay auf ihrer Leak-Seite im Tor-Netzwerk die Veröffentlichung der erbeuteten Gemeindedaten an, am 10. Oktober setzte sie die Drohung um 2 6. Seitdem sind die Datensätze öffentlich abrufbar.
Bürgermeister Hannes Döller (ÖVP) erfuhr das Ausmaß nach eigenen Angaben aus der Zeitung. „Das habe ich heute aus der Zeitung erfahren. Wir sind davon ausgegangen, dass es Daten von Gemeindemitarbeitern betrifft“, sagte er am Donnerstag gegenüber noe.ORF.at. Die betroffenen Bediensteten seien im Juli sofort verständigt worden – „damit war es für uns eigentlich soweit erledigt“ 3.
Die Gemeinde beschwichtigt – und erntet Widerspruch
Döller verweist darauf, dass bislang niemand an die Gemeinde herangetreten sei, der einen konkreten Schaden geltend gemacht habe. Ein Verfahren der Datenschutzbehörde sei zwischenzeitlich eingestellt worden 6 5. Man habe auf Anraten der Experten keinen Kontakt zur Tätergruppe gesucht und kein Lösegeld gezahlt; auch die Täter hätten sich seither nicht mehr gemeldet 5.
RisikoMonitor-Geschäftsführer Manuel Löw-Beer hält diese Darstellung für irreführend. Bedienstete und Mandatare seien über die Causa informiert worden, „nicht aber die Eltern von 407 Minderjährigen und die Menschen, deren Gesundheits- und Pflegedaten veröffentlicht sind“. Es überrasche deshalb kaum, dass es bislang keine Schadensmeldungen gebe: „Die Bürger wissen nichts davon“ 2.
Die Gemeinde hat am Donnerstag ein weiteres spezialisiertes Cybersicherheitsunternehmen beauftragt, das feststellen soll, welche Daten einzelner Personen betroffen sind 5. Ob eigene Daten im Umlauf sind, können Bürgerinnen und Bürger derzeit nicht selbst einsehen; die Aufarbeitung laufe noch, sagte Döller 3.
Was Betroffene jetzt beachten sollten
Die Gemeinde ersucht die Bevölkerung, in den kommenden Wochen und Monaten bei unerwarteten E-Mails, SMS oder Telefonanrufen besonders vorsichtig zu sein, insbesondere wenn darin auf persönliche Daten Bezug genommen oder weitere Angaben verlangt werden. Verdächtige Anhänge sollten nicht geöffnet, Links aus unbekannten Quellen nicht angeklickt werden 3 5.
IT-Sicherheitsexperten raten zusätzlich, Zahlungsaufforderungen – vor allem mit neuen oder geänderten Bankverbindungen – nicht ungeprüft zu begleichen und im Zweifel beim Gemeindeamt über eine selbst recherchierte Telefonnummer nachzufragen. Wer Ausweisdaten bei der Gemeinde hinterlegt hat, sollte Kontoauszüge und Vertragsunterlagen genauer kontrollieren; Eltern sollten ihre Kinder darauf vorbereiten, dass Fremde Namen, Adressen oder Informationen über ihre Schule kennen könnten 2.
Der eigentliche Risikofaktor ist die Kombination der Daten. Wer weiß, wo jemand wohnt, wann die Person geboren wurde und welche Gebühren bei der Gemeinde offen sind, kann sich am Telefon glaubwürdig als Behördenmitarbeiter ausgeben 2. Und anders als ein Passwort oder eine Kontonummer lassen sich veröffentlichte Gesundheits- oder Pflegedaten nicht einfach austauschen 2.
Ein strukturelles Problem, kein Einzelfall
Johannes Pressl, Präsident des Österreichischen Gemeindebundes, sieht die Ursache nicht allein in Reichenau. Gemeinden seien nicht immer am letzten Stand, was ihre Cybersicherheit betreffe. „Man hat einen IT-Dienstleister, bei dem kauft man meistens auch Sicherheitsprogramme“, sagte er dem „Kurier“. „Wie man sieht, ist es dringender denn je, dass wir hier einheitliche Standards bekommen.“ Die dafür geschaffene Gemeindedatenplattform stehe allerdings erst am Anfang; es werde „noch drei Jahre brauchen, um die Komplexität zu erfassen“ 6.
Der Digitalisierungssprecher der Grünen, Süleyman Zorba, verweist auf die strukturelle Schieflage: Gemeinden verwalteten eine Fülle sensibler Daten, verfügten aber meist über keine eigene IT-Sicherheitsabteilung und seien auf externe Dienstleister angewiesen. „Reichenau an der Rax wird nicht die letzte Gemeinde sein, die getroffen wird. Kriminelle suchen sich gezielt die schwächsten Stellen, und das sind oft jene, die mit den kleinsten Budgets die größte Verantwortung tragen“ 7. Zorba fordert eine bundesweite Informationsoffensive, kostenlose Beratung und Schulungen für Gemeindebedienstete, von Bund und Ländern finanzierte Notfallpläne sowie eine klar geregelte Pflicht, Betroffene nach einem Datenleck aktiv und verständlich zu informieren 7.
Ausblick
Damit rückt die datenschutzrechtliche Kernfrage in den Mittelpunkt: Werden die 4.171 gemeldeten Personen und die weiteren im Datenbestand erfassten Menschen nachträglich informiert? Art. 34 der Datenschutz-Grundverordnung verlangt die Benachrichtigung Betroffener ohne unangemessene Verzögerung, wenn der Vorfall voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. Die Gemeinde hat angekündigt, die Betroffenen „in Kenntnis zu setzen“ 6. Wie, wann und in welcher Form, ist bislang offen.
Für Reichenau bleibt ein Datenbestand im Netz, der sich nicht zurückholen lässt. Und ein Muster, das sich wiederholen dürfte: Ein Angriff wird technisch binnen Stunden erkannt, kommunikativ und rechtlich aber erst Monate später eingeordnet – zu einem Zeitpunkt, an dem die Daten längst öffentlich sind.
