Ein aktueller Cyberangriff auf das rumänische Grundbuch zeigt, wie schnell ein IT-Sicherheitsvorfall reale wirtschaftliche Folgen haben kann. Medienberichten zufolge verschaffte sich ein Angreifer mit gültigen, zuvor abgegriffenen Berechtigungen Zugang zu den Systemen der Kataster- und Grundbuchbehörde ANCPI, bot Daten an und löschte nach einem gescheiterten Erpressungsversuch zentrale Datenbestände, was dazu führte, dass keine Grundstückstransaktionen mehr durchgeführt werden konnten.
Bemerkenswert war weniger das „Wie“ als das „Warum“. Laut Berichten von Sicherheitsforschern waren es vermeidbare Versäumnisse, wie veraltete Betriebssysteme, triviale Passwörter, deaktivierte Firewalls und ein zu geringes IT-Security-Budget von nur rund 0,2% des IT-Budgets in den letzten 20 Jahren). Nur separat gelagerte Offline-Backups verhinderten den Totalverlust.
Der Fall zeigt eindeutig, dass Cyberangriffe nicht nur ein IT-Problem sind. Sie können Geschäftsprozesse lahmlegen.
Warum jetzt Handlungsbedarf besteht
In Österreich setzt das NISG 2026 die europäische NIS-2-Richtlinie um. Ab 1. Oktober 2026 gelten für betroffene Unternehmen in kritischen und wichtigen Sektoren wie Energie, Finanzwesen oder Lebensmittelindustrie sowie deren Lieferkette neue verbindliche Sicherheitspflichten.
Das NISG setzt keine Spitzentechnologie voraus, sondern dem Risiko angemessene Maßnahmen, wie sie im rumänischen Fall verabsäumt wurden. In der Regel wird man dazu ein Risk Management Framework bzw. Cybersecurity Framework implementieren. Etablierte Frameworks wie das NIST CSF 2.0 folgen dabei demselben risikobasierten Grundgedanken wie das NISG 2026 und eignen sich daher gut als Umsetzungs- und Nachweisraster:
- Identify: Asset- und Datenregister, Kritikalitätsbewertungen
- Protect: Maßnahmen risikobasiert, nicht flächendeckend gleich
- Detect/Respond: Maßnahmen zur Identifikation von Vorfällen
- Recover/Govern: Restore-Tests mit Ergebnisprotokoll für die Leitungsorgane
Von der Kritikalität zur konkreten Maßnahme
Datenbanken mit essenziellen Daten sind nach diesem Ansatz die „Kronjuwelen“ eines Unternehmens und entsprechend zu schützen. In die Risikobewertung ist dabei das Szenario eines geleakten Accounts durch Social Engineering oder Phishing einzurechnen. Aus dem Risiko heraus sind dann konkrete Maßnahmen abzuleiten, wie etwa:
- Passwort-Policy und Multi-Faktor-Authentifizierung als Basisschutz gegen kompromittierte Zugangsdaten
- Rollenbasierte Berechtigungskonzepte, damit ein einzelnes kompromittiertes Konto nicht über das Schicksal zentraler Datenbanken, Backups und Administrationssysteme entscheidet
- Automatisierte Anomalieerkennung, die ungewöhnliche Aktivitäten wie massenhafte Datenabfragen, das Löschen großer Datenbestände, Zugriffe auf Backup-Umgebungen blockiert oder sofort meldet
Wer diese Punkte nicht berücksichtigt und dokumentiert, riskiert neben dem Chaos eines erfolgreichen Angriffs zusätzlich einen Verstoß gegen die Pflichten des NISG 2026.
Diese Pflichten sind ausdrücklich Managementaufgaben. Die Leitungsorgane müssen die Umsetzung überwachen, ausreichend Budget freigeben und das Risiko qualifizieren können. Andernfalls droht ihre persönliche Haftung. Bei Verstößen gegen diese Pflichten kommen Geldbußen bis zu EUR 10 Mio. oder 2% des weltweiten Jahresumsatzes hinzu.
Was konkret zu tun ist
Unternehmen müssen ihre Risiken qualifizieren können. Die Grundlagen dafür sind jetzt zu schaffen:
- Rechtslage prüfen: NISG-2026-Betroffenheit, vertragliche Informationspflichten gegenüber Kunden und Geschäftspartnern
- Identify & Risk Assessment: Alle Assets erfassen und das Risiko bewerten.
- Schulung der Leitungsorgane: Ohne das nötige Grundverständnis lässt sich ein Cyberrisiko weder qualifizieren noch überwachen. Das NISG sieht die Schulungspflicht daher ausdrücklich vor.
- Incident Response: Klare Zuständigkeiten, Meldeketten, externe Ansprechpartner, vorbereitete Kommunikation mit Behörden, Kunden und Dienstleistern – abgestimmt auf die Frühwarnung binnen 24 Stunden und die ausführliche Meldung binnen 72 Stunden
Der Angriff auf das rumänische Grundbuch zeigt: Der größte Schaden entsteht selten durch den Datenabfluss selbst, sondern durch dessen Folgen für den laufenden Betrieb – und die Ursachen sind meist banal, nicht hochtechnisch.
Der beste Zeitpunkt, Cybersecurity rechtlich und organisatorisch zu verankern, war vor Jahren – der Zweitbeste ist jetzt.
Wir unterstützen Ihr Unternehmen gerne bei der Prüfung der NISG-2026-Betroffenheit, der Umsetzung der Maßnahmen nach dem NISG 2026 sowie mit Schulungen zu diesem Thema.
