Cyberangriff legt Rumäniens Grundbuch lahm

Ein Cyberangriff auf die rumänische Kataster- und Grundbuchbehörde ANCPI hat zentrale Verwaltungsdienste außer Betrieb gesetzt und Immobiliengeschäfte im ganzen Land erheblich beeinträchtigt. Berichte über eine vollständige Löschung der nationalen Grundbuchdatenbank sind bislang jedoch nicht unabhängig bestätigt.

Seit dem 14. Juli 2026 sind wesentliche IT-Systeme der rumänischen Nationalen Agentur für Kataster und Immobilienpublizität, kurz ANCPI, nicht regulär verfügbar. Betroffen sind unter anderem die Grundbuchanwendung e-Terra, E-Mail-Dienste und weitere digitale Fachverfahren. Die Behörde spricht vom schwerwiegendsten technischen Ausfall ihrer Geschichte.

Der Ausfall hat direkte Folgen für den Immobilienmarkt. Notare und andere autorisierte Stellen benötigen e-Terra, um Grundbuchinformationen abzurufen und Eigentumsänderungen zu bearbeiten. Ohne Zugriff auf die Plattform können zahlreiche Grundstücks- und Immobilientransaktionen nicht wie vorgesehen abgeschlossen werden.

Vollständige Datenlöschung nicht bestätigt

Mehrere Medien berichten, ein unter dem Namen ByteToBreach auftretender Angreifer habe nach einem gescheiterten Erpressungsversuch Datenbanken und Sicherungskopien gelöscht. Der mutmaßliche Täter behauptete außerdem, Daten aus den Systemen der Behörde entwendet und zum Verkauf angeboten zu haben.

Eine unabhängige technische Bestätigung für die vollständige Löschung der nationalen Grundbuchdatenbank liegt bislang nicht vor. Auch die Behauptungen des Angreifers zu Umfang und Inhalt eines möglichen Datenabflusses sind nicht abschließend verifiziert. Ein Cybersecurity-Bericht von Help Net Security stuft die Angaben deshalb ausdrücklich als noch unbestätigt ein.

ANCPI widerspricht der Darstellung eines vollständigen Verlusts der Grundbuchinformationen. Nach Angaben der Behörde wurden die technischen und juristischen Kerndatenbanken bei den bisherigen Prüfungen nicht beschädigt. Zudem seien Sicherungskopien an mehreren Standorten vorhanden. Diese sollen verhindern, dass der Angriff zu einem dauerhaften Verlust der Eigentums- und Katasterinformationen führt.

Damit muss zwischen drei möglichen Auswirkungen unterschieden werden: der Nichtverfügbarkeit der produktiven Systeme, einer möglichen Löschung einzelner Systeme oder Datenkopien und einem dauerhaften Verlust der rechtlich maßgeblichen Grundbuchdaten. Bestätigt ist derzeit vor allem der massive Betriebsausfall. Eine vollständige Vernichtung der Kernbestände ist dagegen nicht belegt.

Wiederaufbau in der Government Cloud

ANCPI lässt seine Anwendungen derzeit in die rumänische Government Cloud migrieren. Der technische Umzug wird vom staatlichen Telekommunikationsdienst STS koordiniert und soll nach Angaben der Behörde am 22. Juli abgeschlossen werden.

Anschließend sollen die Anwendungen und Daten einer Sicherheitsprüfung unterzogen werden. Erst auf Grundlage dieses Berichts will ANCPI einen Termin für die Wiederaufnahme der Dienste nennen. Die Systeme sollen schrittweise und nach operativer Priorität wieder freigegeben werden.

Die Migration in eine neue Umgebung ist damit noch nicht mit einer Wiederherstellung des Normalbetriebs gleichzusetzen. Vor der Freigabe müssen Systeme neu installiert, abgesichert und auf mögliche Manipulationen geprüft werden. Auch die Integrität wiederhergestellter Daten und Sicherungskopien muss gewährleistet sein.

Cybersicherheitsbehörde spricht von vermeidbarem Angriff

Besonders kritisch ist die Einschätzung des rumänischen Nationalen Direktorats für Cybersicherheit, DNSC. Dessen Leiter Dan Cîmpean erklärte gegenüber dem Nachrichtenportal G4Media, der Angriff sei technisch nicht besonders komplex gewesen und hätte verhindert werden können.

Nach seiner Darstellung nutzten die Angreifer Schwachstellen aus, auf die das DNSC die Behörde erst kurz zuvor hingewiesen hatte. Hinweise auf den Diebstahl personenbezogener Daten von Bürgern oder digitaler Grundbuchauszüge habe die Cybersicherheitsbehörde zu diesem Zeitpunkt nicht gefunden.

Offen bleibt, wann die Schwachstellen gemeldet wurden, welche Systeme betroffen waren und ob ausreichende Fristen für ihre Beseitigung bestanden. Ein öffentlich zugänglicher forensischer Abschlussbericht liegt bislang nicht vor. Auch der genaue initiale Zugangsweg der Angreifer ist nicht abschließend geklärt.

Was IT-Entscheider aus dem Vorfall lernen sollten

Der Angriff zeigt, dass die Sicherheit einer kritischen Plattform nicht allein am Erhalt ihrer Daten gemessen werden kann. Selbst wenn die Kernregister und Backups intakt bleiben, kann die mehrtägige Nichtverfügbarkeit eines zentralen Fachverfahrens erhebliche wirtschaftliche Folgen verursachen.

Für Unternehmen und Behörden sind daraus mehrere Konsequenzen abzuleiten. Backups müssen technisch und organisatorisch vom Produktivbetrieb getrennt, unveränderbar gespeichert und regelmäßig durch vollständige Wiederherstellungstests geprüft werden. Eine vorhandene Sicherung ist erst dann belastbar, wenn auch die notwendige Infrastruktur, Dokumentation und personelle Kapazität für einen zeitnahen Wiederanlauf vorhanden sind.

Ebenso wichtig ist ein konsequentes Schwachstellenmanagement. Sicherheitsmeldungen müssen nach Kritikalität priorisiert, mit verbindlichen Fristen versehen und bei ausbleibender Behebung bis zur Leitungsebene eskaliert werden. Besonders bei zentralen Plattformen reicht es nicht, bekannte Lücken lediglich zu dokumentieren.

Der Vorfall verdeutlicht zudem die Risiken digitaler Konzentration. Je mehr Behörden, Unternehmen und Partner von einem einzigen Fachverfahren abhängig sind, desto größer wird der wirtschaftliche Schaden eines Ausfalls. Notfallprozesse müssen deshalb nicht nur die interne IT berücksichtigen, sondern auch externe Nutzer, Schnittstellen und komplette Geschäftsabläufe.

Fazit

Rumäniens Grundbuchsystem ist nach einem Cyberangriff weiterhin erheblich beeinträchtigt. Dass dabei die gesamte nationale Grundbuchdatenbank dauerhaft gelöscht wurde, ist nach dem derzeitigen Stand nicht belegt. Die Behörde erklärt vielmehr, dass ihre technischen und juristischen Kerndatenbanken intakt und durch Sicherungen an mehreren Standorten geschützt seien.

Für IT-Entscheider ist der Vorfall dennoch ein deutliches Warnsignal: Kritische Daten allein zu sichern genügt nicht. Entscheidend ist, ob sich zentrale Dienste nach einem Angriff kontrolliert, nachweisbar und innerhalb einer vertretbaren Zeit wieder in Betrieb nehmen lassen.