Cyberangriff auf Eichstätt: Was Unternehmen und Kommunen jetzt lernen müssen

Stand: 4. November 2026

Ein Ransomware-Angriff auf die Stadt Eichstätt zeigt, wie schnell digitale Verwaltungsprozesse stillstehen können. Besonders brisant: Als wahrscheinliches Einfallstor gilt eine Schwachstelle im Umfeld einer eingesetzten Software – obwohl Zwei-Faktor-Authentifizierung genutzt wurde. Was ist bekannt, und welche Konsequenzen ergeben sich für die IT-Sicherheit?

Was in Eichstätt passiert ist

Nach Angaben der Stadt begann der Angriff in der Nacht vom 8. auf den 9. Oktober 2026. Die Verwaltung nahm ihre Server vorsorglich vom Netz; zeitweise waren unter anderem E-Mail, Telefonie und Verwaltungsdienste nicht verfügbar. Die Ermittlungen und die technische Wiederherstellung wurden von Sicherheitsbehörden und externen Fachleuten begleitet.

Am 22. Oktober erklärte die Stadt, dass es sich um einen Ransomware-Angriff mit sogenannter „Double Extortion“ handelte: Systeme wurden verschlüsselt und Daten zuvor kopiert. Eine ausdrückliche Lösegeldforderung habe die Stadt zu diesem Zeitpunkt nicht erreicht. Hinweise auf einen Phishing-Klick als Ursache lagen nach damaligem Kenntnisstand nicht vor.

Die Stadt präzisierte am 3. November, dass Täter rund 1,4 Terabyte Daten kopiert hätten. Bei ungefähr einem Terabyte lassen sich mögliche Inhalte anhand von Dateinamen eingrenzen; bei etwa 400 Gigabyte ist der Inhalt unklar. Auch personenbezogene Daten könnten betroffen sein. Diese Unsicherheit ist wichtig: Aus einem möglichen Datenabfluss darf nicht ohne Weiteres auf die Veröffentlichung oder den Missbrauch bestimmter Datensätze geschlossen werden.

Warum Zwei-Faktor-Authentifizierung allein nicht genügt

Multi-Faktor-Authentifizierung (MFA) erschwert den Missbrauch gestohlener Zugangsdaten erheblich. Sie verhindert aber nicht jede Form eines Angriffs. Werden Sicherheitslücken in Software, Schnittstellen oder vorgelagerten Systemen ausgenutzt, können Angreifer unter Umständen andere Wege in die Infrastruktur finden. Laut Stadt Eichstätt war nach bisherigem Ermittlungsstand eine Schwachstelle im Zusammenhang mit einer eingesetzten Software der wahrscheinliche Einstiegspunkt – trotz Zwei-Faktor-Authentifizierung.

Die zentrale Lehre lautet deshalb: IT-Sicherheit muss aus mehreren ineinandergreifenden Schutzschichten bestehen. Kein einzelnes Produkt, keine Anmeldung und kein Backup bietet vollständigen Schutz.

Fünf Maßnahmen, die jetzt Priorität haben

1. Software und Dienstleister prüfen

Inventarisieren Sie eingesetzte Anwendungen, externe Zugänge und Dienstleister. Bewerten Sie Sicherheitsupdates, bekannte Schwachstellen und Verantwortlichkeiten – besonders bei öffentlich erreichbaren Diensten.

2. Zugriffe konsequent begrenzen

Nutzen Sie MFA, rollenbasierte Berechtigungen, getrennte Administrationskonten und möglichst geringe Zugriffsrechte. Überprüfen Sie auch technische Konten und Schnittstellen.

3. Backups nicht nur erstellen, sondern testen

Halten Sie voneinander getrennte, möglichst unveränderbare Sicherungen vor. Testen Sie regelmäßig, ob sich kritische Systeme tatsächlich in der benötigten Zeit wiederherstellen lassen.

4. Angriffe schneller erkennen

Zentralisierte Protokollierung, Endpunktschutz und ein geregelter Alarmierungsprozess helfen, verdächtige Aktivitäten früh zu erkennen. Definieren Sie, wer außerhalb der Geschäftszeiten reagiert.

5. Den Ernstfall organisatorisch vorbereiten

Ein Incident-Response-Plan sollte Notfallkontakte, Entscheidungswege, Ersatzkommunikation, externe Forensik und datenschutzrechtliche Prüfungen enthalten. Üben Sie den Ablauf mit Geschäftsführung und Fachabteilungen.

Datenabfluss: Das Risiko endet nicht mit der Wiederherstellung

Selbst wenn IT-Systeme aus sauberen Sicherungen wieder anlaufen, können kopierte Daten weiterhin ein Risiko darstellen. Denkbar sind täuschend echte Rechnungen, gezielte Phishing-Nachrichten oder Identitätsmissbrauch. Betroffene sollten unerwartete Zahlungsaufforderungen über einen unabhängig bekannten Kontaktweg prüfen, keine Zugangsdaten auf Zuruf preisgeben und Kontoaktivitäten aufmerksam beobachten.

Die Stadt Eichstätt hat den Datenschutzvorfall nach eigenen Angaben der zuständigen Aufsichtsbehörde gemeldet und informiert über möglicherweise betroffene Personengruppen. Für Bürgerinnen und Bürger stellt sie laufende Hinweise auf ihrer offiziellen Informationsseite bereit.

Was das für kleine und mittlere Unternehmen bedeutet

Der Fall ist kein reines Verwaltungsthema. Auch ein mittelständischer Betrieb kann durch den Ausfall von Warenwirtschaft, E-Mail, Buchhaltung oder Telefonie handlungsunfähig werden. Wer seine Sicherheitsstrategie nur auf Virenschutz und Passwörter stützt, übersieht Abhängigkeiten von Softwarelieferanten, Berechtigungen und Wiederanlaufprozessen.

Ein sinnvoller Start ist eine kompakte Bestandsaufnahme:

• Welche drei IT-Systeme müssen unbedingt funktionieren?
• Wie lange darf jedes davon ausfallen?
• Wer hat Administratorzugriff?
• Wann wurde die letzte Wiederherstellung getestet?

Aus diesen Antworten entsteht ein realistischer Maßnahmenplan – auch ohne Großkonzernbudget.

Fazit: Cyberresilienz statt Sicherheitsversprechen

Der Cyberangriff auf Eichstätt verdeutlicht: Entscheidend ist nicht nur, einen Einbruch zu verhindern, sondern auch dessen Auswirkungen zu begrenzen, Datenabflüsse zu erkennen und den Betrieb geordnet wiederherzustellen. MFA bleibt wichtig – wirksam wird sie erst als Teil eines durchdachten Gesamtkonzepts aus Patchmanagement, Zugriffsschutz, Überwachung, Backups und Notfallplanung.

ITNATOR-Tipp: Prüfen Sie noch in diesem Monat Ihre extern erreichbaren Anwendungen, die Wiederherstellbarkeit Ihrer Backups und die Erreichbarkeit Ihres IT-Notfallteams.