Der Cyberangriff auf Rumäniens Katasterbehörde ANCPI zieht immer weitere Kreise – und einige Tage nach dem ersten Bekanntwerden zeichnet sich ein deutlich klareres, aber auch alarmierenderes Bild ab. Was zunächst als „technisches Problem“ heruntergespielt wurde, entpuppt sich als schwerer Angriff auf eine zentrale staatliche Infrastruktur, über die in Rumänien fast alle Immobiliengeschäfte laufen.
Seit dem 14. Juli 2026 sind Apps und Webseiten der Behörde offline: Notare können keine neuen Verträge beurkunden, Bürger weder Eigentumsnachweise noch Grundbuchauszüge abrufen. Der Hacker – online bekannt als „ByteToBreach“ – behauptet, nach einem gescheiterten Erpressungsversuch die komplette Datenbank samt Backups gelöscht zu haben. Die Behörde widerspricht dieser Darstellung inzwischen deutlich.
Rumänien: Hackerangriff legt Immobiliengeschäfte lahm
Neu sind jetzt vor allem die Details, wie es überhaupt so weit kommen konnte – und sie sind erschreckend. Eine Analyse offenbart gravierende Sicherheitslücken: veraltete Betriebssysteme, das Passwort „passw0rd“ und ausdrücklich abgeschaltete Firewalls. Klar ist außerdem: Der Angriff traf das System zum denkbar schlechtesten Zeitpunkt – kurz vor einer massiven Steuererhöhung, die den Markt ohnehin unter Druck setzt.
Was genau passiert ist
Der Angreifer verschaffte sich laut Branchenmedien mit gültigen Zugangsdaten Zutritt zum Netzwerk der Nationalen Agentur für Grundkataster und Immobilienverlautbarung (ANCPI). Er erkundete die internen Systeme und löschte nach eigenen Angaben alles, nachdem die Erpressung der Behörde gescheitert war.
Der Vorfall wurde öffentlich, als der Hacker mit dem Löschen begann. Einen Tag später tauchten erste gestohlene Daten in einem einschlägigen Internetforum zum Verkauf auf: Zugangsdaten von Mitarbeitern, interne Dokumente und Details zum IT-Netzwerk.
Zunächst sprach die Behörde nur von technischen Problemen, räumte dann aber den Cyberangriff ein.
„passw0rd“ und Windows XP: Die erschreckenden Sicherheitslücken
Wie ein Angriff so verheerend wirken konnte, zeigt eine Analyse der israelischen Cybersicherheitsfirma Kela. Demnach nutzte die ANCPI teils veraltete, längst nicht mehr unterstützte Betriebssysteme – darunter Windows XP, Windows 7 und Windows Server 2003.
Kela fand zudem extrem schwache Passwörter wie „passw0rd“ und Gruppenrichtlinien mit Namen wie „DISABLE WINDOWS FIREWALL“ – also die ausdrückliche Anweisung, die Windows-Firewall abzuschalten. Administrative Zugangsdaten waren zuvor durch sogenannte Infostealer-Malware abgefangen worden.
Auch die nationale Cybersicherheitsbehörde DNSC macht keinen Hehl daraus. Direktor Dan Cîmpean erklärte: „Es war kein sehr komplexer Angriff. Es wurden bekannte Schwachstellen ausgenutzt … plus verlorene Anmeldedaten, die dann im Netz gepostet wurden. Ja, er hätte verhindert werden können.“
Veraltete Betriebssysteme und schwache Passwörter: Laut Sicherheitsforschern hätte der Angriff auf Rumäniens Katasterbehörde verhindert werden können.
© Birgit Zimmermann
Warum der Zeitpunkt so brisant ist
Der Ausfall trifft den rumänischen Immobilienmarkt in einer ohnehin angespannten Phase. Zum 1. August 2026 soll die Mehrwertsteuer für den Kauf neuer Wohnungen drastisch von neun auf 21 Prozent steigen.
Viele Käufer und Bauträger versuchten deshalb, ihre Geschäfte vor der Frist abzuschließen. Durch den Systemausfall sind diese Transaktionen nun blockiert.
Die Notarin Ana Stan schilderte die Lage: „Ich bin Notarin. Seit Dienstag kann ich keinen Grundbuchauszug ausstellen, keinen Verkauf beurkunden und keine Hypothek eintragen.“
Wie groß die Abhängigkeit ist, zeigen Zahlen der Behörde: Allein im Juni 2026 wurden landesweit 51.808 Immobilien verkauft und 32.663 Hypotheken registriert.
Gelöscht oder nicht? Ein offener Widerspruch
Beim wichtigsten Punkt gehen die Darstellungen auseinander. Der Hacker brüstete sich damit, sämtliche Daten und Backups vernichtet zu haben. Die ANCPI erklärte dagegen am 20. Juli, ihre zentralen Kataster- und Eigentumsdaten seien nicht dauerhaft kompromittiert oder gelöscht worden – es existierten mehrere Sicherungskopien.
Die Behörde migriert ihre Anwendungen derzeit in die rumänische Regierungscloud. Dieser Prozess soll bis zum heutigen 22. Juli abgeschlossen sein, danach sollen die Systeme schrittweise wieder anlaufen.
Auch die DNSC betonte, es gebe bislang keine Beweise für den Diebstahl von Grundbuchzertifikaten oder persönlichen Eigentümerdaten.
Der Täter: Entschuldigung und Zynismus zugleich
Die gestohlenen Daten wurden von einem Account namens „ByteToBreach“ veröffentlicht – einem bekannten Hacker, der laut Kela in diesem Jahr auch Schwedens E-Government-Portal angegriffen haben soll. KELA vermutet dahinter Zakaria Mahdjoub aus Oran in Algerien.
Im Interview mit Euronews România entschuldigte sich der mutmaßliche Täter: „Es tut mir leid für die Probleme, die ich den Bürgern und dem IT-Team verursacht habe.“ Der Angriff sei rein finanziell motiviert gewesen. Ob Bürger um ihre Daten fürchten müssten? Seine Antwort blieb zynisch: „Ich verkaufe diese Daten nicht einfach an jeden.“
Die Lehre aus dem Hackerangriff
Der Cyberangriff auf das Grundbuch Rumäniens zeigt, wie verwundbar zentrale staatliche Infrastruktur ist, wenn Basissicherheit fehlt: veraltete Systeme, das Passwort „passw0rd“, abgeschaltete Firewalls.
Laut Behörde sind die Kern-Datenbanken durch Offline-Backups gesichert. Der Immobilienmarkt steht aber seit Tagen still – ausgerechnet vor einer massiven Steuererhöhung. Ob und wann alle Dienste zuverlässig zurückkehren, muss sich noch zeigen.
Die wichtigsten Fragen
Was ist bei dem Cyberangriff auf Rumäniens Grundbuch passiert?
Ein Hacker verschaffte sich mit gültigen Zugangsdaten Zugang zur Katasterbehörde ANCPI und behauptet, nach einer gescheiterten Erpressung die Datenbank samt Backups gelöscht zu haben. Seit dem 14. Juli 2026 sind die Dienste offline.
Sind die Grundbuchdaten der Bürger endgültig verloren?
Nach eigener Darstellung der ANCPI nicht: Die Behörde erklärte am 20. Juli, dass zentrale Kataster- und Eigentumsdaten nicht dauerhaft gelöscht wurden und mehrere Sicherungskopien existieren. Der Hacker behauptet das Gegenteil – hier stehen sich die Aussagen widersprüchlich gegenüber.
Warum konnte der Angriff so großen Schaden anrichten?
Laut Sicherheitsfirma KELA nutzte die Behörde veraltete Betriebssysteme wie Windows XP, schwache Passwörter wie „passw0rd“ und teils deaktivierte Firewalls. Die nationale Cybersicherheitsbehörde DNSC nannte den Angriff „nicht sehr komplex“ und vermeidbar.
Welche Folgen hat der Ausfall für den Immobilienmarkt?
Notare können keine Verträge beurkunden, keine Hypotheken eintragen und keine Grundbuchauszüge ausstellen. Besonders brisant: Zum 1. August 2026 steigt die Mehrwertsteuer auf neue Wohnungen von 9 auf 21 Prozent – viele Geschäfte, die vorher abgeschlossen werden sollten, sind blockiert.
Wer steckt hinter dem Angriff?
Die Daten wurden von einem Account namens „ByteToBreach“ veröffentlicht. Die Cybersicherheitsfirma KELA vermutet dahinter Zakaria Mahdjoub aus Oran in Algerien. Der mutmaßliche Täter selbst gibt ein finanzielles Motiv an und entschuldigte sich in einem Interview.
Ihre Meinung ist uns wichtig. Senden Sie uns Ihr Feedback zu diesem Artikel an: [email protected]
