„Wenn Wohngeld nicht ausgezahlt werden kann, ist Cybersecurity keine IT-Frage mehr.“
Cyber-Risk Wochenbrief – 24. August 2026
Beobachtungszeitraum: 18.–24. August 2026. Drei Entwicklungen haben unmittelbaren Praxiswert.
1. Berliner Cyberangriff blockiert zeitweise Wohngeld
Bestätigte Fakten: Der Angriff wurde am 14. August entdeckt und am 17. August öffentlich bekannt. Zwei Senatsverwaltungen wurden vorsorglich vom Berliner Landesnetz getrennt. Dadurch waren unter anderem Wohngeldanträge und zeitweise Auszahlungen an mehr als 50.000 Haushalte sowie Leistungen für Kinder und Jugendliche betroffen. Nach Angaben des Senats lagen am 19. August keine Erkenntnisse über den Abfluss sensibler Daten vor.
Seit 23. August sind die Verwaltungen wieder angeschlossen und grundsätzlich arbeitsfähig; vereinzelte Verzögerungen bleiben möglich. Die IT-Systeme werden verstärkt überwacht. Lageinformation vom 19. August, Wiederanlauf vom 23. August
Einordnung: Der wesentliche Schaden lag nicht primär im Datenverlust, sondern in der Unterbrechung gesetzlicher Leistungen. Ein Cybervorfall wird damit unmittelbar zum sozialen und politischen Krisenfall.
Makler- und Kundenfolgen:
- Kommunale Notfallpläne müssen priorisieren, welche Zahlungen und Bürgerleistungen auch ohne Fachverfahren fortgeführt werden müssen.
- Cyberdeckungen öffentlicher Einrichtungen sollten Mehrkosten, Forensik, Wiederherstellung, Krisenkommunikation und externe Ersatzverfahren abbilden – nicht nur klassischen Ertragsausfall.
- Zu prüfen sind Abhängigkeiten zwischen Landes-, Gemeinde- und Bezirksverfahren: Ein technisch nicht selbst betroffener Rechtsträger kann dennoch handlungsunfähig werden.
- Für die D&O- beziehungsweise Organhaftung zählt, ob bekannte Abhängigkeiten, Wiederanlaufziele und Notverfahren dokumentiert beaufsichtigt wurden.
2. AK-Angriff weitet sich auf Salzburger Mitgliederdaten aus
Bestätigte Fakten: Der Angriff auf die AK Oberösterreich ereignete sich am 10. August. Die AK veröffentlichte am 16. August, dass Täter auf Teile ihrer Systeme und auf Daten zugegriffen hatten; wegen gezielter Spurenverwischung ließ sich das genaue Ausmaß zunächst nicht bestimmen. Mitglieder werden gemäß Art. 34 DSGVO postalisch informiert.
Am 17. August stellte sich heraus, dass auch Daten Salzburger Mitglieder betroffen sein könnten. Hintergrund ist ein gemeinsames Mitgliederverwaltungssystem, in dem die AK Oberösterreich bestimmte Verarbeitungen für Salzburg übernimmt. Die AK Salzburg veröffentlichte dies am 18. August. AK Oberösterreich, Veröffentlichung vom 16. August, AK Salzburg, Veröffentlichung vom 18. August
Einordnung: Das ist ein österreichisches Musterbeispiel für ein Risiko, das zwischen klassischem Dienstleistervorfall und gemeinsamer Infrastruktur liegt. Eine organisatorische Effizienzlösung erweitert gleichzeitig den möglichen Schadenradius.
Makler- und Kundenfolgen:
- Bei Firmen und Körperschaften müssen nicht nur externe Cloudanbieter, sondern auch gemeinsam betriebene Fachverfahren und Datenbestände erfasst werden.
- Cyberversicherungen auf Deckung für Datenschutzbenachrichtigung, Callcenter, Identitätsmissbrauch, Phishing-Folgeschäden und externe Forensik prüfen.
- Entscheidend sind Kosten und Zuständigkeiten, wenn ein Systembetreiber Daten mehrerer Rechtsträger verarbeitet.
- Organhaftungsrelevant wird, ob Datenflüsse, Verantwortlichkeiten, Kontrollrechte und Eskalationswege vor dem Vorfall transparent dokumentiert waren.
3. Aktive Bedrohung für Siemens-S7-Steuerungen
Bestätigte Fakten: CISA, NSA, FBI, US-Energiebehörde und EPA veröffentlichten am 19. August eine gemeinsame Warnung vor aktiver Angriffsvorbereitung gegen internetoffene oder unzureichend segmentierte Siemens-S7-Steuerungen.
Betroffen sind die Reihen S7-200, S7-300, S7-400, S7-1200 und S7-1500 einschließlich sicherheitsgerichteter F-Modelle. Angreifer verwenden KI-generierte Skripte und frei verfügbare Bibliotheken, um Steuerungen zu finden, auszulesen und möglicherweise Steuerungslogik zu verändern. Die bislang beschriebenen Aktivitäten richten sich gegen US-Anlagen; Angriffe auf österreichische oder deutsche Systeme bestätigt die Warnung nicht. Gemeinsames Advisory AA26-231A vom 19. August
Einordnung: Wegen der Verbreitung dieser Steuerungen ist die Angriffsmethode auch für Industrie, Energie-, Wasser- und Kommunalbetriebe in Österreich und Deutschland relevant. KI senkt hier nicht nur die Kosten für Phishing, sondern auch für die Entwicklung industrieller Angriffswerkzeuge.
Makler- und Kundenfolgen:
- Kunden sollten sofort S7-Bestände, Firmwarestände, Internet-Erreichbarkeit, Port 102 und Fernzugänge von Integratoren prüfen.
- Cyberpolicen auf OT-Einschluss, Sachschäden, Betriebsunterbrechung ohne IT-Verschlüsselung sowie Ausschlüsse für Maschinen- und Personenschäden kontrollieren.
- Sach-, Maschinenbruch-, Betriebsunterbrechungs- und Cyberversicherung müssen gemeinsam betrachtet werden; gerade bei manipulierten Steuerungen drohen Deckungslücken an den Spartengrenzen.
- Für NIS2-Unternehmen ist die dokumentierte Reaktion auf eine konkrete Hersteller- und Behördenwarnung Teil einer verteidigungsfähigen Managementaufsicht.