Stadt Wien entdeckt Einbruch in Online-Speicher

Der Magistrat der Stadt Wien meldet, „dass ein Angreifer zwischen 3. September und 11. September 2026 über einen Webzugang auf Teile einer internen Dokumentationsplattform des Magistrats Zugriff hatte und dort gespeicherte magistratsinterne Informationen (insbesondere Testdaten, Schulungsunterlagen, Projektdokumentationen) widerrechtlich kopiert” hat. Insgesamt wurden rund 26.000 Dokumente mit einem Gesamtvolumen von etwa neun Gigabyte widerrechtlich heruntergeladen.

Davon sind auch personenbezogene Daten erfasst, auch solche in rechtlich besonders geschützten, sensiblen Kategorien. Betroffen sind den Angaben zu Folge 2.885 Bürger, 2.083 Mitarbeiter sowie 865 Auftragnehmer des Magistrats. Sie alle sollen binnen Wochenfrist direkt verständigt werden.

Schwachstelle zum Kauf angeboten

Aufgeflogen ist die Sache, weil dem österreichischen Computer Emergency Response Team (CERT.at) ein Angebot in einem Onlineforum aufgefallen ist. Dort wurde eine Schwachstelle in einem Webzugang zur Dokumentationsplattform der Stadt Wien zum Kauf feilgeboten. Das CERT informierte den Magistrat am 9. September, der sein internes WienCERT und die IT-Abteilung aktivierte. CERT.at wird von der österreichischen Domainregistry nic.at getragen.

„In enger Zusammenarbeit” mit dem österreichischen Geheimdienste DSN (Direktion Staatsschutz und Nachrichtendienst) wurde die Sicherheitslücke identifiziert und laut den Angaben geschlossen. Wien ist Hauptstadt und zugleich eines der neun Bundesländer der Republik Österreich.

„Der Angreifer hatte zu keinem Zeitpunkt Kontrolle über IT-Systeme oder Benutzerkonten der Stadt Wien”, versichert Klemens Himpele, Chief Information Officer der Bundeshauptstadt. „Das heißt, die nunmehr bereinigte Schwachstelle ermöglichte ausschließlich den Zugriff auf bestimmte Inhalte dieser Dokumentationsplattform. Allen ermittelnden Stellen liegen aktuell keine Hinweise auf eine Veröffentlichung der Daten vor.“ Die Meldungen gemäß NIS-Gesetz und an die Datenschutzbehörde seien am 10. respektive 15.  September erfolgt. Das schärfere NIS2-Gesetz tritt in Österreich am Donnerstag in Kraft.

„Mein Dank geht auch an die ermittelnden Behörden für die reibungslose und ausgezeichnete Zusammenarbeit“, fügt Himpele hinzu. Die in Wien oppositionelle Volkspartei fordert Evaluierung und, wo notwendig, Verstärkung der Sicherheitsmaßnahmen.