Am 14. Juli 2026 löschte ein Hacker die gesamte Grundbuchdatenbank Rumäniens. Nicht die Aufzeichnungen einer Stadt, nicht die Backups einer Region – das ganze Land. Von Bukarest bis Timișoara, alle Eigentumsurkunden, Grundbucheinträge und Hypotheken von 19 Millionen Menschen – kein Eintrag blieb übrig.
Am nächsten Tag wurden die gestohlenen Daten in einem Darknet-Forum zum Verkauf angeboten. Der Hacker, der sich ByteToBreach nennt, erklärte: Das Lösegeld wurde nicht gezahlt, also wurde alles gelöscht. Die Produktionsdatenbank wurde gelöscht, die Backup-Datenbank ebenfalls.
19 Tage später liegt der gesamte Immobilienhandel Rumäniens immer noch auf Eis. Notare können keine Eigentumsübertragungen beurkunden, Banken können keine Hypotheken bestätigen, normale Bürger können nicht einmal eine Bescheinigung ausstellen, dass „dieses Haus mir gehört”. Und am 1. August steigt die Mehrwertsteuer auf Neubauten von 9 % auf 21 % – unzählige Familien, die vor dem Stichtag noch ihre Immobilie kaufen und umschreiben lassen wollten, sehen ihre Pläne durch einen einzigen Tastendruck zunichte gemacht.
Das ist kein Drehbuch. Das ist eine nationale Katastrophe, real geschehen im Juli 2026.
Wie ist das passiert? – Keine Hightech
Man sollte meinen, die zentrale Datenbank eines Landes wäre doch wohl uneinnehmbar geschützt, oder?
Nein.
Dan Cimpean, Direktor des rumänischen Cybersicherheitsamts, sagte der Presse einen denkwürdigen Satz: “Das war kein besonders komplexer Angriff.”
Wie kam ByteToBreach hinein? Mit gestohlenen Zugangsdaten. Keine Zero-Day-Exploits, keine Spionagesatelliten, kein physisches Eindringen. Einfach ein gültiger Benutzername und ein gültiges Passwort – vielleicht Monate zuvor durch eine Phishing-Mail oder einen Infostealer-Trojaner vom Computer eines Mitarbeiters abgegriffen.
Drinnen angekommen, tat ByteToBreach nichts anderes, als jeder Systemadministrator tun würde:
- Erkundung – sich im Netzwerk umsehen, welche Server es gibt, wo die Datenbanken liegen, wie die Backups konfiguriert sind
- Datendiebstahl – Mitarbeiter-Zugangsdaten, interne Dokumente, Quellcode, Bürgerdatenbanken packen und mitnehmen
- Lösegeldforderung – “Zahlt nicht, werden die Daten verkauft und gelöscht”
- Vollzug – ANCPI (Rumäniens nationale Kataster- und Grundbuchbehörde) verweigert die Zahlung, der Hacker löscht, was zu löschen ist
Das Sicherheitsunternehmen KELA hat die wahre Identität des Hackers zurückverfolgt und öffentlich als Zakaria Mahdjoub aus Oran, Algerien, identifiziert. Derselbe ByteToBreach hat in diesem Jahr bereits das schwedische E-Government-Portal geknackt und im vergangenen Jahr Regierungsbehörden und Großunternehmen in der Ukraine, Kasachstan, Zypern und den USA angegriffen.
Er hatte es nicht speziell auf Rumänien abgesehen. Sein Ziel war ein größeres: die Anfälligkeit nationaler kritischer Infrastruktur.
Warum ist die Wiederherstellung so schwierig?
Man könnte denken: Daten weg, einfach aus dem Backup wiederherstellen, oder?
Genau hier liegt das Problem. ByteToBreach löschte nicht nur die Produktionsdatenbank. Er löschte auch die Backups.
Die zuvor von der rumänischen ANCPI erstellten Backups nutzten dasselbe Berechtigungssystem wie die Produktionssysteme. Der Hacker marschierte mit denselben gestohlenen Admin-Zugangsdaten direkt zum Backup-Server und formatierte ihn kurzerhand.
Das bedeutet:
- Das gesamte System ist lahmgelegt – Mailserver, Website, das landesweite Katasterportal e-Terra – alles offline
- Daten sind gelöscht – Onlinedaten und synchronisierte Backups verschwunden
- Netzwerk muss von Grund auf neu aufgebaut werden – ANCPI gab offiziell bekannt, dass das gesamte IT-Netzwerk von null aufgebaut werden muss
Direktor Cimpean enthüllte zudem, dass der Hacker bekannte Softwareschwachstellen und zuvor geleakte Zugangsdaten ausgenutzt hatte – die rumänischen Behörden hatten kurz zuvor eine Sicherheitswarnung herausgegeben und zur Patches aufgerufen, aber es war offenbar zu spät.
Der eine Backup, der überlebte
Zum Glück gibt es noch eine Wendung.
ANCPI besitzt ein Offline-Backup – einen physisch isolierten, vom Netz getrennten Kalt-Speicher. Wahrscheinlich hatte ein Techniker vor einem halben Jahr in einer Projektsitzung mit Nachdruck dafür gekämpft, dass es erhalten bleibt. Damals mag es vielleicht noch jemand für „überflüssig” gehalten haben.
Dieses Backup ist die einzige Rettung für 19 Millionen Rumänen, deren Eigentumsrechte digital verbrieft sind.
Der rumänische Sonderfernmeldedienst (STS) unterstützt ANCPI dabei, diese einzigen Daten in die staatliche Cloud-Plattform zu migrieren. Der schrittweise Wiederherstellungsbetrieb soll um den 22. Juli herum beginnen. Aber wohlgemerkt: Das ist nur „Beginn der Wiederherstellung”, nicht „alles wieder normal”. Von einem luftdicht isolierten Kalt-Backup ein komplettes nationales Online-Katastersystem neu aufzubauen – der Arbeitsaufwand bemisst sich eher in Wochen als in Tagen.
Als Sicherheitsingenieur im Bereich kritische Infrastruktur kann ich aus technischer Sicht sagen: Ein physisch isoliertes Offline-Backup ist der wichtigste Faktor im gesamten Wiederherstellungsplan. Ohne es wäre diese Krise nicht nur „ein paar Wochen Unannehmlichkeit” – das gesamte Grundbuchsystem des Landes stünde vor einer Legitimitätskrise: Wem gehört Ihr Haus, und wer kann es beweisen?
Die Verletzlichkeit der Digitalisierung vs. die Verlässlichkeit physischer Backups
Hier liegt der wichtigste Denkanstoß dieser Geschichte.
Rumänien hat sein gesamtes Katasterwesen vollständig digitalisiert. Das ist an sich gut – mit einem Knopfdruck Grundstücke suchen, Eigentumsübertragungen durchführen, Hypotheken eintragen – effizient, benutzerfreundlich. Doch dieses digitale System birgt ein tief verstecktes Risiko: Sobald die Netzwerkverwaltungsrechte kompromittiert sind, schlägt die digitale Bequemlichkeit sofort zurück – das Löschen von Daten ist zehntausendmal einfacher als ihre Wiederherstellung.
Gelöschte Tabellendaten hinterlassen keine physischen Spuren. Es gibt kein Papier-„Urbuch” zum Nachschlagen. In der digitalen Welt bedeutet „löschen” wirklich weg.
Das ist der Kernkonflikt, den dieser Artikel vermitteln will:
Digitalisierung maximiert Effizienz, aber der Preis der Effizienz ist Verletzlichkeit. Physische Backups sind umständlich, aber sie fürchten keine Hacker. Die Abwägung zwischen beiden ist zuerst eine Frage der Governance, dann der Technologie.
Der Fall Rumänien hat gezeigt: Synchronisierte Backups (Backups im selben Netzwerk wie die Produktionssysteme) sind bei gestohlenen administrativen Zugriffsrechten wertlos. Nur physische Isolation – vollständig vom Netz getrennt, einmal beschreibbar, selbst vom Administrator nicht änderbar – ist die wahre letzte Verteidigungslinie.
In der Sicherheitsbranche gibt es eine vielfach bestätigte Regel namens 3-2-1-1-0: Daten in 3 Kopien, auf 2 verschiedenen Medien, 1 Kopie an einem anderen Standort, 1 Kopie offline (air-gapped), 0 Kopien ungeprüft. Das Lebensrettende in diesem Fall war das „offline”.
Rumänien ist nicht der Erste und wird nicht der Letzte sein
In den letzten drei Jahren wurden die Katasterbehörden Polens, der Slowakei, Griechenlands, Marokkos, Russlands und der Ukraine alle von Hackern angegriffen. Warum Katasterdatenbanken? Die Logik ist einfach: Sie sind das Eigentumsverzeichnis eines Landes. Löscht man sie, kommt der gesamte gesellschaftliche Transaktionsverkehr zum Erliegen – das ist ungleich wirksamer, als eine Website lahmzulegen.
ByteToBreach und seinesgleichen werden in der Sicherheitsbranche als „Initial Access Broker” bezeichnet – sie sind nicht unbedingt die technisch brillantesten Hacker, aber sie sind gut darin, den schwächsten Einstiegspunkt zu finden: ein vergessener VPN-Zugang eines Mitarbeiters, ein Server ohne Patches, ein vor drei Jahren geleaktes Passwort. Einmal drinnen, ist das gesamte „digitale Gebäude” ungeschützt.
Was uns dieser Fall lehrt:
Jede Organisation, die auf digitale Systeme angewiesen ist, sollte sich mindestens drei Fragen stellen:
- Wenn heute alle Daten gelöscht würden, wie schnell könnten wir wiederherstellen?
- Nutzen das Backup-System und das Produktionssystem dieselben Admin-Zugänge?
- Gibt es ein physisches, luftdicht isoliertes Kalt-Backup, das nicht von den Netzwerkberechtigungen erreicht werden kann?
Wenn Sie bei diesen drei Fragen zögern, ist der Abstand zwischen Ihnen und der rumänischen ANCPI möglicherweise kleiner, als Sie denken.
Quellen:
- Risky Bulletin: Hacker wipes Romania’s entire land registry database — Catalin Cimpanu, Risky.Biz
- Romania races to restore land registry after cyberattack disrupts property market — Daryna Antoniuk, The Record from Recorded Future News
- Romania’s Land Registry Was Wiped. One Backup Saved It — ByteBot, byteiota
- Romania ANCPI Land Registry Wiped in Credential-Based Cyberattack — Rescana
- Hacker deletes Romanian land registry database — Cybernews
- KELA threat intelligence profile: ByteToBreach / Zakaria Mahdjoub
Illustration: Eine zerstörte Datenbank, eine einzelne leuchtende Backup-Festplatte. Bildquelle: byteiota
Rumänische Altstadt Sighișoara. Das digitale System des landesweiten Immobilienhandels befindet sich im nahezu vollständigen Stillstand. Bildquelle: Vera Izrailit / Flickr via The Record
