Die Stadt Wien ist Opfer eines gezielten Cyberangriffs geworden. Wie der Wiener Chief Information Officer (CIO) Klemens Himpele offiziell bestätigte, verschafften sich Unbekannte unbefugten Zugriff auf eine interne Dokumentationsplattform der Stadtverwaltung. Dabei wurden rund 26.000 Dokumente mit einem Gesamtvolumen von etwa 9 Gigabyte kopiert.
Nach derzeitigem Ermittlungsstand handelte es sich nicht um eine klassische Phishing-Kampagne. Die Angreifer nutzten stattdessen eine technische Schwachstelle aus. Der Zugang zu dieser Sicherheitslücke war zuvor in einem Onlineforum zum Kauf angeboten worden. Die IT-Verantwortlichen vermuten, dass die Täter eine spezialisierte Scan-KI eingesetzt haben, um die dokumentierte Lücke gezielt im System der Stadt aufzuspüren und für den Data Breach auszunutzen.
Entwendet wurden primär Projekt- und Schulungsunterlagen, die auf der Plattform hinterlegt waren. Es wird betont, dass die Angreifer keinen direkten Zugriff auf die zentrale IT-Infrastruktur der Stadt erlangen konnten; auch eine Übernahme von Systemkontrollen oder Benutzerkonten habe zu keinem Zeitpunkt stattgefunden. Dennoch sind von dem Datenabfluss personenbezogene Daten von fast 6.000 Leuten betroffen, nämlich
• Ca. 2.900 Bürgerinnen und Bürger
• Ca. 2.000 Magistratsbedienstete
• Mehr als 800 Auftragnehmer
In den meisten Fällen beschränkt sich das Datenleck auf Namen und E-Mail-Adressen. Bei einem Teil der Datensätze wurden jedoch auch sensiblere Informationen wie IBAN-Nummern oder Aufzeichnungen zu Krankenstandstagen dupliziert.
Das österreichische Computer Emergency Response Team (Cert.at) hatte die Stadt Wien bereits am 9. September über den Vorfall alarmiert. In enger Zusammenarbeit mit der Direktion Staatsschutz und Nachrichtendienst (DSN) konnte die Sicherheitslücke mittlerweile vollständig identifiziert und geschlossen werden. Eine Erpressung der Stadt (z. B. durch Ransomware) liege nicht vor, und es gebe bislang keine Hinweise darauf, dass die kopierten Daten im Darknet oder an anderer Stelle veröffentlicht worden seien. Der Vorfall sei ordnungsgemäss an die Datenschutzbehörde gemeldet worden, und die Benachrichtigung der betroffenen Personen laufe an, heisst es.
