Vorfall-Lagebild: Stadt Wien: 26.000 interne Dokumente abgeflossen

Von Max Gilg · 02.10.2026 · 9 Min. Lesezeit

Vorfall-Lagebild · Aktualisierung · Stand 03.10.2026 12:28 – Prozent bei Einschätzungen = geschätzte Wahrscheinlichkeit.

Wissensstand: Wissen 45 % · wahrscheinlich 18 % · nicht bekannt 36 % – Anteil an 55 Aussagen: 25 mit Quelle belegt, 10 Einschätzungen, 20 offene Punkte

Zwischen 03. und 11.09.2026 hatte ein Angreifer über einen Webzugang Zugriff auf Teile einer internen Dokumentationsplattform des Magistrats der Stadt Wien und kopierte laut Stadt rund 26.000 Dokumente (ca. 9 GB). Darunter sind technische und Projektdokumentationen, Geschäfts- und Infrastrukturinformationen sowie personenbezogene Daten von 5.824 Personen. Entdeckt wurde der Fall, weil CERT.at am 09.09. in einem Online-Forum ein Kaufangebot für die Schwachstelle fand. Die Lücke ist geschlossen, laut Stadt hatte der Angreifer keine Kontrolle über IT-Systeme oder Benutzerkonten. Täter, Produkt und eine mögliche Weitergabe der Daten sind weiter offen.

1. Was ist passiert, und warum?

• Wissen: Ein Angreifer hatte zwischen 03. und 11.09.2026 über einen Webzugang Zugriff auf Teile einer internen Dokumentationsplattform des Magistrats und kopierte unbefugt interne Informationen, vor allem Testdaten, Schulungsunterlagen und Projektdokumentationen (bestätigt). – Quelle
• Wissen: CERT.at informierte die Stadt am 09.09.2026 über ein Angebot in einem Online-Forum, in dem eine Schwachstelle in einem technischen System der Stadt zum Kauf angeboten wurde (bestätigt). – Quelle
• Wissen: WienCERT und MA 01 – Wien Digital analysierten den Vorfall. Die Schwachstelle wurde gemeinsam mit der Direktion Staatsschutz und Nachrichtendienst (DSN) identifiziert und geschlossen (bestätigt). – Quelle
• Wissen: Auch heise berichtet, dass die Schwachstelle gemeinsam mit der DSN geschlossen wurde (berichtet). – Quelle
• Wissen: Laut CIO Klemens Himpele hatte der Angreifer zu keinem Zeitpunkt Kontrolle über IT-Systeme oder Benutzerkonten der Stadt (bestätigt). – Quelle
• Wissen: Laut ORF schließt die Stadt Phishing aus (berichtet). – Quelle
• Nicht bekannt: Welches Produkt bzw. welche Software die Dokumentationsplattform ist (öffentlich nicht genannt)
• Nicht bekannt: Welche Art von Schwachstelle es war (Konfigurationsfehler, fehlende Authentifizierung, bekannte CVE oder Zero-Day)
• Nicht bekannt: Wer der Angreifer ist und ob der Anbieter im Forum dieselbe Person ist
• Nicht bekannt: Ob die Schwachstelle verkauft wurde und mehrere Akteure zugegriffen haben
• Nicht bekannt: Wie viel Zeit zwischen dem Hinweis vom 09.09. und der Schließung der Lücke für die Analyse nötig war
• Nicht bekannt: Ob, wie laut ORF vermutet, eine spezialisierte Scan-KI die Lücke gefunden hat, und worauf diese Vermutung beruht
• Einschätzung: Ausgenutzt wurde eine Schwachstelle in einer aus dem Internet erreichbaren Webanwendung, nicht gestohlene Zugangsdaten. (75 %) – Die Stadt spricht von Webzugang und Schwachstelle, schließt Phishing aus und sagt, Benutzerkonten waren nicht unter Kontrolle des Angreifers. Ob konkret Zugriffskontrolle oder Authentifizierung versagt hat, ist nicht belegt.
• Einschätzung: Täter oder Anbieter ist finanziell motiviert (Initial Access Broker oder Datenhändler), kein staatlicher Akteur. (55 %) – Ein Kaufangebot in einem Forum ist typisch für kriminellen Handel; ein staatlicher Akteur würde Zugänge kaum öffentlich anbieten. Die Einbindung der DSN ist bei Behördenvorfällen in Österreich üblich und kein Gegenbeleg. Die Täterschaft ist offiziell offen.

2. Was ist die Auswirkung?

• Wissen: Rund 26.000 Dokumente und Seiten (ca. 9 GB) wurden kopiert: Testdaten, Schulungsunterlagen, Projekt- und technische Dokumentationen, personenbezogene Daten, teils möglicherweise besondere Kategorien nach DSGVO, sowie Geschäfts- und Infrastrukturinformationen (bestätigt). – Quelle
• Wissen: Betroffen sind 5.824 Personen: 2.885 Bürgerinnen und Bürger, 2.083 Beschäftigte und 856 Auftragnehmer (bestätigt; widersprüchlich: Stadt 856 / heise 865 – die Summe passt nur mit 856). – Quelle
• Wissen: Meist geht es um Namen und E-Mail-Adressen, teils auch um sensiblere Daten wie Krankenstandstage oder IBAN (berichtet). – Quelle
• Wissen: Bisher gibt es keine Hinweise auf eine Veröffentlichung und keine Erpressung (berichtet). – Quelle
• Wissen: Auch die Salzburger Nachrichten berichten, dass es bisher keine Veröffentlichung und keine Erpressung gibt (berichtet). – Quelle
• Nicht bekannt: Was genau in den Geschäfts- und Infrastrukturinformationen steht (z. B. ob Netzpläne oder Versorgungsanlagen)
• Nicht bekannt: Ob die Daten weitergegeben oder verkauft wurden
• Nicht bekannt: Wie viele Personen besondere Datenkategorien (z. B. Gesundheit) betreffen
• Einschätzung: Für die Betroffenen sind gezieltes Phishing und Betrugsversuche mit Bezug auf die Stadt Wien das größte kurzfristige Risiko. (65 %) – Namen, E-Mail-Adressen und teils IBAN reichen für glaubwürdige Betrugsmails; abgeflossene Daten tauchen erfahrungsgemäß häufig später im Handel auf.
• Einschätzung: Das größere langfristige Risiko liegt in den technischen und Projektdokumentationen, weil sie späteren Angreifern als Landkarte dienen können. (50 %) – Infrastrukturinformationen sind ausdrücklich betroffen, ihr Inhalt und Detailgrad aber nicht bekannt. Test- und Schulungsdaten sind oft weniger kritisch.

3. Wie lange dauert es digital (Wiederherstellung IT)?

• Wissen: Laut CIO Himpele hatte der Angreifer zu keinem Zeitpunkt Kontrolle über IT-Systeme oder Benutzerkonten; die Lücke ist geschlossen (bestätigt). – Quelle
• Wissen: Es gab keine Verschlüsselung und keine Erpressung; die Lücke ermöglichte nur Zugriff auf bestimmte Inhalte der Plattform (berichtet). – Quelle
• Wissen: Keine Hinweise auf Erpressung; von Systemausfällen ist nicht die Rede (berichtet). – Quelle
• Wissen: Die Betroffenen werden innerhalb einer Woche ab der Aussendung vom 30.09.2026 direkt informiert (bestätigt). – Quelle
• Wissen: Auch MeinBezirk berichtet von der direkten Information der Betroffenen innerhalb einer Woche (berichtet). – Quelle
• Nicht bekannt: Ob die Forensik abgeschlossen ist
• Nicht bekannt: Ob weitere, ähnlich aufgebaute Webzugänge der Stadt geprüft wurden
• Nicht bekannt: Ob die Plattform weiter aus dem Internet erreichbar ist oder dauerhaft getrennt bzw. umgebaut wird
• Einschätzung: Ein Wiederaufbau der IT ist nicht nötig. Über Wochen fällt Arbeit für Forensik, Härtung und die Information der Betroffenen an. (75 %) – Reiner Datenabfluss ohne Verschlüsselung und ohne Systemübernahme; der Aufwand liegt bei Aufklärung, Datenschutz, Kommunikation und Nachbesserung.

4. Ist in der Anlage etwas kaputt, das lange dauert?

• Wissen: Betroffen war eine Dokumentationsplattform; laut Stadt ermöglichte die Lücke nur Zugriff auf bestimmte Inhalte dieser Plattform, nicht auf IT-Systeme oder Konten (bestätigt). – Quelle
• Wissen: Auch heise berichtet, dass nur auf bestimmte Inhalte zugegriffen wurde (berichtet). – Quelle
• Nicht bekannt: Ob die abgeflossenen Infrastrukturinformationen Leittechnik, Fernwirktechnik oder Versorgungsanlagen beschreiben
• Nicht bekannt: Ob es eine ausdrückliche Aussage der Stadt zu OT-Systemen gibt (bisher nicht gefunden)
• Einschätzung: Physische Anlagen oder OT sind nicht beeinträchtigt. (85 %) – Datenabfluss aus einer Dokumentationsplattform ohne Kontrolle über Systeme; keine Ausfälle in der Versorgung gemeldet.
• Einschätzung: Die Gefahr ist vor allem indirekt: Abgeflossene technische Doku kann spätere gezielte Angriffe erleichtern. (45 %) – Infrastrukturinformationen sind bestätigt, ihr Detailgrad nicht. Projektdokumentationen enthalten oft Netzpläne, Systemnamen oder Ansprechpartner; ob das hier zutrifft, ist unbekannt.

5. Wie viele solcher Ziele gibt es?

• Wissen: Laut IBM X-Force Threat Intelligence Index 2026 nimmt die Ausnutzung öffentlich erreichbarer Anwendungen deutlich zu; ein großer Teil der offengelegten Schwachstellen ließ sich ohne Authentifizierung ausnutzen (berichtet). – Quelle
• Wissen: In Europa war die Ausnutzung öffentlich erreichbarer Anwendungen laut einem Bericht über den IBM-Index die häufigste Ursache von Angriffen (berichtet, Sekundärquelle). – Quelle
• Wissen: CISA, FBI und MS-ISAC warnten 2023 bei der Confluence-Lücke CVE-2023-22515 vor breiter Ausnutzung ungepatchter, aus dem Internet erreichbarer Instanzen. Dokumentationsplattformen sind also ein bekanntes Ziel (kein Beleg, dass Wien Confluence nutzt). – Quelle
• Nicht bekannt: Wie viele Kommunen und Behörden in DACH vergleichbare Dokumentations- oder Wiki-Plattformen aus dem Internet erreichbar betreiben
• Nicht bekannt: Ob die konkrete Schwachstelle auch andere Organisationen betrifft
• Einschätzung: Viele Verwaltungen, Stadtwerke und Unternehmen betreiben Wikis, Ticket- oder Dokumentationsplattformen mit Webzugang für Mitarbeitende und Dienstleister; die Zahl möglicher Ziele ist entsprechend groß, lässt sich aber nicht beziffern. (70 %) – Übliche Arbeitsweise mit externen Auftragnehmern (auch hier sind Auftragnehmer in den Daten); der IBM-Bericht deutet darauf hin, dass diese Angriffsfläche wächst.
• Einschätzung: Automatisierte, auch KI-gestützte Scans senken den Aufwand, solche Zugänge massenhaft zu finden. (65 %) – Allgemeiner Trend in Threat-Intelligence-Berichten (u. a. IBM); im Fall der Stadt Wien ist der KI-Einsatz nur vermutet.

6. Kann das wieder passieren?

• Wissen: Die konkrete Lücke wurde gemeinsam mit der DSN geschlossen (bestätigt). – Quelle
• Wissen: Mit dem NISG 2026 werden Cybersecurity-Mindeststandards für zahlreiche Einrichtungen aus mehreren Sektoren verpflichtend (berichtet; Beleg ist eine Beratungsseite, keine Primärquelle). – Quelle
• Wissen: Die Opposition fordert eine Evaluierung und gegebenenfalls Verstärkung der Sicherheitsmaßnahmen (berichtet). – Quelle
• Wissen: IBM nennt KI-gestützte Schwachstellensuche und fehlende Authentifizierung als Treiber für die Zunahme solcher Angriffe (berichtet). – Quelle
• Nicht bekannt: Wie die Schwachstelle entstanden ist und ob sie früher hätte erkannt werden können
• Nicht bekannt: Welche Maßnahmen die Stadt über das Schließen der Lücke hinaus umsetzt
• Nicht bekannt: Ob ähnliche Webzugänge der Stadt geprüft wurden
• Nicht bekannt: Ob die Schwachstelle in anderen Systemen ebenfalls besteht
• Einschätzung: Ähnliche Vorfälle bei Verwaltungen und Versorgern werden weiter auftreten und eher zunehmen, solange interne Plattformen direkt aus dem Internet erreichbar sind und Scannen durch KI billiger wird. (70 %) – Öffentlich erreichbare Anwendungen gehören zu den häufigsten Einstiegswegen; Vermutung der Stadt und IBM-Daten deuten in diese Richtung, belegen den KI-Einsatz bei der Stadt Wien aber nicht.

Was sich seit der Erstmeldung geändert hat

Früherer Stand: Aktualisierung (02.10.2026 23:06)

Wissen 44 % · nicht bekannt 38 %

Zwischen 03. und 11.09.2026 hatte ein Angreifer über einen Webzugang Zugriff auf Teile einer internen Dokumentationsplattform des Magistrats der Stadt Wien. Er kopierte rund 26.000 Dokumente bzw. Seiten (ca. 9 GB), darunter personenbezogene Daten von 5.824 Personen sowie technische Dokumentation, Geschäfts- und Infrastrukturinformationen. Aufgefallen ist der Vorfall, weil CERT.at in einem Online-Forum ein Verkaufsangebot für die Schwachstelle entdeckte und den Magistrat am 09.09. informierte. Laut Stadt gab es keine Kontrolle über IT-Systeme oder Benutzerkonten, keine Erpressung und bisher keine Veröffentlichung. Plattform, Täter und Art der Lücke sind öffentlich nicht bekannt.

Früherer Stand: Erstmeldung (02.10.2026 22:46)

Wissen 43 % · nicht bekannt 38 %

Laut Stadt Wien hatte ein Angreifer vom 03. bis 11.09.2026 über einen Webzugang Zugriff auf Teile einer internen Dokumentationsplattform des Magistrats und kopierte rund 26.000 Dokumente (ca. 9 GB) mit Daten von 5.824 Personen sowie Geschäfts- und Infrastrukturinformationen. Aufgefallen ist der Fall, weil CERT.at in einem Online-Forum ein Verkaufsangebot zu dieser Schwachstelle entdeckte und die Stadt am 09.09. informierte. Laut Stadt gab es keine Kontrolle über IT-Systeme oder Benutzerkonten, die Lücke ist geschlossen, und bisher gibt es weder eine Veröffentlichung noch eine Erpressung.

Vergleichsfälle

• Confluence-Schwachstelle CVE-2023-22515 (breite Ausnutzung aus dem Internet erreichbarer Instanzen) (2023): Aus dem Internet erreichbare Dokumentationsplattformen sind ein bevorzugtes Ziel und müssen schnell gepatcht oder abgeschottet werden. – Quelle

Quellen

• https://presse.wien.gv.at/presse/2026/09/30/wien-datensicherheit-hat-hohen-stellenwert-sicherheitsluecke-umgehend-geschlossen
• https://www.heise.de/news/Stadt-Wien-entdeckt-Einbruch-in-Online-Speicher-11471899.html
• https://wien.orf.at/stories/3373234/
• https://www.sn.at/panorama/oesterreich/sensible-daten-erbeutet-was-ueber-den-cyberangriff-auf-die-stadt-wien-bekannt-ist-art-675685
• https://www.vienna.at/cyberattack-on-city-of-vienna-data-of-6000-people-stolen/10505495
• https://www.meinbezirk.at/wien/c-lokales/stadt-wien-wurde-opfer-eines-cyberangriffs_a8926158
• https://www.ibm.com/reports/threat-intelligence
• https://www.intelligentciso.com/2026/02/25/ibm-2026-x-force-threat-index-ai-driven-attacks-are-escalating-as-basic-security-gaps-leave-enterprises-exposed/
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-289a
• https://www.ey.com/de_at/insights/cybersecurity/nis2-oesterreich-nisg
• https://www.gmx.at/magazine/politik/angriff-it-system-stadt-wien-42782914

Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder.

Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene.

Korrigiert am 12.10.2026: Titel und Formulierungen präzisiert.

← Alle Artikel