Ein Hacker ist tief in die IT der ungarischen Staatskasse eingedrungen und soll sich dort weitreichende Administratorrechte verschafft haben. Sein Einfallstor war offenbar eine Sicherheitslücke in Oracle WebLogic, für die bereits seit Oktober 2017 ein Patch bereitstand. Während unzählige europäische Behörden mit solchen Altlasten kämpfen, sollen Ausweise, Führerscheine, Behördenzugänge und immer mehr Identitätsnachweise künftig über die europäische Digitale ID laufen.
Der Angriff traf die ungarische Staatskasse Magyar Államkincstár, genauer den für Landwirtschaft und ländliche Entwicklung zuständigen Bereich. Anfang August bestätigte die Behörde, dass Teile ihres IT-Netzes kompromittiert worden waren. Mehrere Server wurden nach Entdeckung des Angriffs vom Netz genommen, Dateien auf Rechnern von Mitarbeitern verschlüsselt und einzelne Dienste eingeschränkt. Nach Darstellung der Staatskasse seien Kundendaten nicht betroffen gewesen und auch keine Daten verloren gegangen. Die vom Angreifer veröffentlichten Bildschirmaufnahmen lassen allerdings erkennen, wie weit er zu diesem Zeitpunkt bereits gekommen war.
Der Einstieg gelang offenbar über einen öffentlich erreichbaren Oracle-WebLogic-Server. Die dafür ausgenutzte Schwachstelle war alles andere als neu. Oracle hatte bereits im Oktober 2017 einen entsprechenden Sicherheitspatch veröffentlicht. Fast neun Jahre später war die Lücke in der ungarischen Behörden-IT offenbar immer noch offen. Von Telex befragte IT-Sicherheitsexperten bewerteten das Ausmaß des Zugriffs mit zehn von zehn Punkten. ByteToBreach soll sich Administratorrechte in praktisch allen kritischen Systemen des betroffenen Bereichs verschafft haben. Dazu gehörten der Windows-Domaincontroller, Benutzerkonten, eine Datenbank mit Zugangsdaten sowie die Virtualisierungsumgebung der Behörde. Dort liefen 116 virtuelle Maschinen mit insgesamt rund 229 Terabyte an Daten.
Besonders peinlich: Auf einem der Systeme soll ein Administratorpasswort unverschlüsselt in einer Datei gelegen haben. Mit diesem Zugang konnte der Hacker offenbar auch auf Speichersysteme und Backups zugreifen. Eine jahrelang bekannte Sicherheitslücke, Klartextpasswort, weitreichende Administratorrechte – viel mehr Einladung braucht ein Angreifer kaum. ByteToBreach verschlüsselte diesmal nach bisherigem Stand lediglich Rechner einiger Mitarbeiter und bot erbeutete Daten später in einem Hackerforum zum Verkauf an. Eine umfassende Löschaktion wie wenige Wochen zuvor in Rumänien blieb Ungarn damit offenbar erspart. Der Angreifer hätte angesichts seiner Rechte jedoch deutlich größeren Schaden anrichten können.
Kein Geheimdienst, sondern ein Erpresser
ByteToBreach ist nach bisherigen Erkenntnissen vor allem finanziell motiviert. Das Cybersecurity-Unternehmen KELA verfolgt seine Aktivitäten seit 2025 und bringt ihn mit Angriffen auf Regierungsstellen, Banken, Fluggesellschaften, Universitäten und andere Organisationen in Verbindung. Hinweise führen nach Oran in Algerien, wobei eine endgültige Identifizierung des Täters bislang nicht öffentlich belegt ist. Für seine Angriffe verwendet er unter anderem eine eigene Ransomware namens ByteToCrypt. Das auf Cyberbedrohungen, Malwareanalyse und digitale Forensik spezialisierte Unternehmen TLPBLACK beschreibt deren Verschlüsselung als technisch eher fragil.
Ein hochentwickeltes Cyberwaffen-Arsenal war für den Angriff auf die ungarische Staatskasse offenbar auch gar nicht nötig. Bekannte Schwachstellen und schlampig verwaltete Zugangsdaten erledigten einen beträchtlichen Teil der Arbeit. Von ungarischer Seite war zunächst von russischen Servern die Rede, über die der Angriff gelaufen sei. Einen russischen Urheber begründet das freilich noch nicht. ByteToBreach bekannte sich später selbst zu dem Angriff und erklärte, aus finanziellen Gründen gehandelt zu haben. Der spektakuläre „Cyberangriff aus Russland“ schrumpft damit zunächst auf einen gewöhnlichen Kriminellen zusammen.
Rumäniens digitales Grundbuch hatte er bereits erwischt
Der Name ByteToBreach war den europäischen Behörden da längst bekannt. Am 14. Juli war die rumänische Kataster- und Grundbuchbehörde ANCPI Ziel eines schweren Cyberangriffs geworden. Das landesweite e-Terra-System fiel aus, Notare konnten keine Grundbuchauszüge abrufen, Grundstücksgeschäfte stockten und neue Hypotheken konnten zeitweise nicht eingetragen werden. Rund eine Woche lang kämpfte die Behörde mit den Folgen. Über den genauen Umfang der zerstörten Daten gibt es unterschiedliche Angaben. ByteToBreach behauptete, Datenbanken und Backups gelöscht zu haben, nachdem eine Erpressung gescheitert war.
Die rumänische Behörde widersprach später und erklärte, die technischen und rechtlichen Kerndatenbanken seien nicht zerstört worden. Dass zentrale Systeme ausfielen und wichtige Anwendungen nicht verfügbar waren, steht hingegen außer Frage. Die von KELA ausgewerteten Informationen über die interne IT der Behörde waren ebenfalls interessant. Dort tauchten Windows XP, Windows 7 und Windows Server 2003 auf. Auch Gruppenrichtlinien mit Bezeichnungen wie „DISABLE WINDOWS FIREWALL“ fanden sich in den veröffentlichten Daten. Windows XP in einer staatlichen Grundbuchbehörde im Jahr 2026 – da muss man sich über erfolgreiche Hackerangriffe ebenfalls nicht wundern.
Der Ausfall hatte unmittelbare Folgen weit über die Behörde hinaus. Rumäniens Immobilienmarkt hängt nämlich an diesen Registern. Fallen sie aus, können Notare keine Eigentumsverhältnisse überprüfen und Banken keine neuen Hypotheken sauber abwickeln. Ein paar kompromittierte Server konnten damit Grundstückskäufe und -verkäufe in einem ganzen Land verhindern.
Frankreich: Daten von 1,2 Millionen Bankkonten erbeutet
Auch Frankreich lieferte dieses Jahr ein passendes Beispiel. Im Februar wurde bekannt, dass Angreifer Zugriff auf FICOBA erhalten hatten, das nationale Register der französischen Bankkonten. Verwendet wurden die Zugangsdaten eines Behördenmitarbeiters, der für entsprechende Abfragen berechtigt war. Betroffen waren Informationen zu rund 1,2 Millionen Bankkonten. Dazu gehörten unter anderem Kontonummern beziehungsweise IBANs, Namen, Adressen und teilweise Steueridentifikationsnummern. Kontostände und Transaktionen waren laut Behörden nicht einsehbar. Für solche Angriffe muss niemand Millionen Bürger einzeln hacken. Ein einziger privilegierter Behördenzugang kann reichen.
Erst am 4. August meldete zudem die Schweizer Bundesverwaltung einen Angriff auf SharePoint-Systeme des Bundesamtes für Informatik und Telekommunikation. Rund 200 Benutzer- und technische Konten wurden kompromittiert. Dort lag der Fall anders als in Ungarn: Die ausgenutzten Schwachstellen waren erst kurz zuvor bekannt geworden, und die zuständige Behörde war bereits mit dem Einspielen der Updates beschäftigt. Gerade deshalb fällt Ungarns fast neun Jahre alte offene WebLogic-Lücke noch stärker auf.
Brüssel fordert währenddessen die Digitale ID
Parallel dazu läuft der Aufbau der European Digital Identity Wallet weiter. Bis Ende 2026 sollen die EU-Mitgliedstaaten mindestens eine zertifizierte digitale Wallet bereitstellen. Bürger sollen sich damit gegenüber Behörden und Unternehmen ausweisen, Dokumente speichern, persönliche Eigenschaften nachweisen und rechtsverbindliche elektronische Signaturen leisten können. Personalausweis, Führerschein, Bildungsnachweise, Altersnachweise und weitere digitale Dokumente sollen darüber verwendet werden können. Je mehr Dienste angeschlossen werden, desto wichtiger werden die staatlichen Register, Aussteller, Zertifikate und Authentifizierungssysteme dahinter.
Report24 hat bereits mehrfach (unter anderem hier) über die EUDI-Wallet und die möglichen Folgen berichtet. Im Februar wurde in Deutschland sogar diskutiert, Alterskontrollen für soziale Medien über die Digitale ID der Eltern abzuwickeln. Der Anwendungsbereich wächst damit weit über einen digitalen Personalausweis hinaus. Die Europäische Cybersicherheitsagentur ENISA arbeitete in diesem Jahr noch am Zertifizierungsrahmen für die Wallets. Ende März wurde ein Entwurf veröffentlicht, im April lief die öffentliche Konsultation. Gleichzeitig steht der politische Zeitplan: Bis Ende 2026 sollen die Mitgliedstaaten ihre Wallets bereitstellen. Wenn das mal keine Husch-Pfusch-Aktion wird…
Je digitaler der Staat, desto teurer wird sein Versagen
Die vergangenen Wochen zeigen ziemlich anschaulich, was bei einem erfolgreichen Angriff auf staatliche Systeme passieren kann. In Rumänien stockte der Immobilienverkehr, weil das digitale Grundbuch ausfiel. In Frankreich gelangte ein Angreifer über einen privilegierten Behördenzugang an Daten zu 1,2 Millionen Bankkonten. In Ungarn reichte eine seit 2017 bekannte Schwachstelle, um sich bis zu Domaincontrollern, Benutzerkonten, virtuellen Maschinen, Speichersystemen und Backups vorzuarbeiten.
Genau diese Verwaltungen bauen nun immer größere digitale Ökosysteme auf. Immer mehr Register werden miteinander verbunden, immer mehr Vorgänge laufen ausschließlich elektronisch und immer mehr Berechtigungen hängen an digitalen Identitäten. Das funktioniert hervorragend – bis jemand mit Administratorrechten auftaucht oder irgendein Server seit neun Jahren auf seinen Patch wartet. Kryptografie, Zertifizierungen und Sicherheitsstandards können viel leisten. Gegen Behörden, die bekannte kritische Sicherheitsupdates fast ein Jahrzehnt liegenlassen oder Administratorpasswörter im Klartext speichern, hat allerdings noch niemand den passenden Algorithmus erfunden. Für den Oracle-Patch reichten neun Jahre offenbar nicht. Für die Digitale ID soll Europa bis Ende 2026 jedoch bereit sein.
