Cyberangriff aufs Grundbuch Rumäniens: Was seit dem 22. Juli wirklich passiert ist

Beim Cyberangriff auf das Grundbuch Rumäniens gibt es einen neuen Stand – und der fällt weniger apokalyptisch aus als zunächst befürchtet. Ein technischer Zwischenbericht grenzt den Schaden ein: Die zentrale Eigentumsdatenbank wurde offenbar nicht vollständig vernichtet.

Zerstört oder verschlüsselt wurden jedoch rund 100 virtuelle Server, dazu flossen umfangreiche Daten und Quellcode ab. Der Preis: Der Immobilienmarkt bleibt lahmgelegt. Die Dienste der Katasterbehörde ANCPI waren auch am 26. Juli noch offline. Die Regierung erwartet eine schrittweise Wiederaufnahme in dieser Woche – garantiert ist das nicht.

Was seit dem 22. Juli geschehen ist

Der wichtigste neue Baustein ist der technische Zwischenbericht vom 22. Juli. Er beschreibt einen Ransomware- und Double-Extortion-Angriff und ordnet ihn dem Akteur ByteToBreach zu.

Die zentrale Zahl: Von insgesamt 1.083 virtuellen Maschinen wurden rund 100 gelöscht. Betroffen waren zentrale Anwendungen wie e-Terra, ePayment und MyEterra. Das erklärt den langen Ausfall – auch ohne dass die eigentlichen Grundbuchdaten dauerhaft vernichtet wurden.

Premierminister Ilie Bolojan erklärte am 23. Juli, die Migration in die rumänische Regierungscloud sei nahezu abgeschlossen. Nach Prüfungen durch den Telekommunikationsdienst STS und das Cyberint-Zentrum solle der Zugriff auf die Datenbank in der Folgewoche wieder möglich werden.

Welche Maßnahmen jetzt ergriffen werden

Die technische Migration in die Regierungscloud war kein Wiederanlauftermin, sondern nur ein Zwischenschritt. Danach folgen Sicherheitsprüfung, Audit, Validierung der Daten und die Festlegung neuer Arbeitsabläufe.

Der Notarverband bat die ANCPI um eine Dringlichkeitssitzung und schlug ein provisorisches Notverfahren vor. Die Behörde lehnte die Notlösung am 22. Juli als verfrüht ab und konnte den Notaren noch keinen Wiederanlauftermin nennen.

Auch die Politik reagiert: Senat und Abgeordnetenkammer sollen zwischen dem 27. und 31. Juli in einer Sondersitzung über Hilfen für blockierte Immobilienkäufer beraten. Im Gespräch ist eine Verlängerung der reduzierten Mehrwertsteuer bis 31. August oder bis 1. Oktober 2026. Beschlossen war Anfang des 27. Juli noch nichts.

Der Schaden: Was zerstört und was gestohlen wurde

Erstmals lässt sich klar trennen: Die eigentlichen Eigentumsdaten scheinen intakt, sensible Nutzer- und Zugangsdaten aber nicht.

Nach Auswertung des Zwischenberichts wurden Quellcode, administrative Zugangsdaten und rund zwei Millionen Datensätze externer Nutzer entwendet. Zugleich gibt es keine Hinweise, dass die zentrale Oracle-Exadata-Datenbank kompromittiert wurde – Daten wurden regelmäßig in ein Rechenzentrum in Brașov repliziert.

Damit ist die pauschale Aussage, Rumäniens gesamtes Grundbuch sei endgültig gelöscht, nach aktuellem Stand nicht haltbar. Gesichert ist die Zerstörung großer Teile der Betriebsinfrastruktur, nicht der Totalverlust aller Eigentumsdaten.

[Bildunterschrift] Rund 100 von 1.083 virtuellen Servern wurden zerstört, zwei Millionen Nutzer-Datensätze abgezogen: Der Ausfall der Katasterbehörde ANCPI zieht sich über Wochen. (Symbolbild)

© via imago-images.de

Warum der Angriff so verheerend wirkte

Die Analysen zeigen schwere strukturelle Sicherheitsmängel. Genannt werden fehlender Virenschutz auf den Anwendungsservern, wiederverwendete Passwörter und unzureichende Protokollierung.

Die Cybersicherheitsfirma KELA dokumentierte zudem veraltete Windows-Systeme und problematische Gruppenrichtlinien in der internen Umgebung der ANCPI sowie mutmaßlich durch Infostealer-Malware erbeutete Zugangsdaten. KELA betont allerdings, nicht bestätigen zu können, ob diese Zugangsdaten beim Angriff tatsächlich gültig waren oder als erster Einstieg dienten.

Der DefCamp-Mitgründer Andrei Avădănei ordnet den Vorfall als technisch nicht außergewöhnlich, wegen der kritischen Infrastruktur aber besonders folgenreich ein. Der Tenor der Experten: Nicht überragende Hackerfähigkeiten, sondern schwache Basissicherheit und die Konzentration kritischer Funktionen ermöglichten den Schaden.

Lesen Sie mehr zum Thema