Anhalt-Bitterfeld und der erste Cyber-Katastrophenfall
Der Cyberangriff vom 6. Juli 2021 legte die Kreisverwaltung Anhalt-Bitterfeld zunächst komplett lahm. Mit Wirkung zum 9. Juli rief der Landkreis den ersten durch einen Cyberangriff verursachten Katastrophenfall Deutschlands aus. Dessen Ende am 31. Januar 2022 bedeutete noch keine vollständige Wiederherstellung der IT.
Das Wichtigste in Kürze
- Anhalt-Bitterfeld rief Deutschlands ersten durch einen Cyberangriff verursachten Katastrophenfall aus. Er galt mit Wirkung zum 9. Juli 2021 und sollte dem Landkreis umfassendere Reaktionsmöglichkeiten zur Eindämmung des Ausmaßes verschaffen.
- Der Wiederanlauf blieb lange unvollständig. Weder die Rückkehr einzelner Leistungen ab August 2021 noch das Ende des Katastrophenfalls am 31. Januar 2022 bedeuteten eine vollständige Wiederherstellung der IT.
- Der Landkreis baute Technik und Organisation neu auf. Nach eigenen Angaben wendete er dafür rund 2,5 Millionen Euro auf und schuf eine Stelle für einen Informationssicherheitsbeauftragten.
Ausgangslage in der Kreisverwaltung
Die Kreisverwaltung Anhalt-Bitterfeld hatte ihren Hauptsitz in Köthen und betrieb Außenstellen in Bitterfeld und Zerbst. Alle drei Standorte waren im Sommer 2021 Teil eines gemeinsamen Verwaltungsnetzes. Zu den Leistungen der Ämter gehören bürgerrelevante Fachverfahren wie die Kfz-Zulassung, deren Ausfall Bürger unmittelbar bemerken. In diese Struktur traf im Juli 2021 ein Angriff, der den Landkreis zum Präzedenzfall für die deutsche Verwaltung machte.
Was ist Double Extortion? Double Extortion, auf Deutsch doppelte Erpressung, ist eine Vorgehensweise von Ransomware-Gruppen, bei der Täter Daten vor der Verschlüsselung abziehen und mit deren Veröffentlichung drohen. Das Opfer steht damit unter zweifachem Druck, weil es den Zugriff auf seine Systeme zurückgewinnen und zugleich ein Datenleck verhindern will. Funktionierende Datensicherungen lösen deshalb nur einen Teil des Problems.
Angriff und Zeitachse
Am 6. Juli 2021 traf ein Cyberangriff die Kreisverwaltung und legte sie zunächst komplett lahm. Es handelte sich um einen Ransomwareangriff. Ransomware ist Schadsoftware, die Daten verschlüsselt, damit die Täter für deren Freigabe Lösegeld verlangen können. Die Verschlüsselung erfasste das Verwaltungsnetz am Hauptsitz Köthen ebenso wie in den Außenstellen Bitterfeld und Zerbst.
Zum Angriff bekannte sich die Tätergruppierung Grief. Sie setzte auf doppelte Erpressung, im Fachjargon Double Extortion, bei der zur Verschlüsselung die Drohung hinzukommt, erbeutete Daten zu veröffentlichen.
Mit Wirkung zum 9. Juli 2021 rief der Landkreis den Katastrophenfall aus. Am 31. Januar 2022 erklärte er ihn für beendet. Abgeschlossen war die Arbeit damit nicht, denn nach Stand vom Mai 2022 sollte sich der Wiederherstellungsprozess weiter fortsetzen.
Entscheidung für den Katastrophenfall
Die weitreichendste Entscheidung fiel kurz nach dem Angriff. Der Landkreis rief den Katastrophenfall aus, um umfassendere Reaktionsmöglichkeiten zur Abwehr beziehungsweise Eindämmung des Ausmaßes zu erhalten. Es war der erste durch einen Cyberangriff verursachte Katastrophenfall in Deutschland.
Parallel organisierten die Fachämter den Notbetrieb. Nach dem Angriff entstand ein Notnetz, also eine provisorische IT-Umgebung. Zum Sitzungsstand vom 29. Juli 2021 hatten die Fachämter eine Prioritätenliste bürgerrelevanter Fachverfahren für die Erweiterung dieses Notnetzes erstellt. Damit lag fest, in welcher Reihenfolge Leistungen für die Bürger zurückkehren sollten.
Die dritte Entscheidung betraf die Erpresser. Nach eigenen Angaben lehnte der Landkreis die Zahlung des geforderten Lösegelds ab.
Ergebnis und Kosten des Wiederanlaufs
Ein Beispiel für den schrittweisen Wiederanlauf ist die Kfz-Zulassung. Seit dem 3. August 2021 war sie wieder möglich, zunächst ausschließlich am Verwaltungsstandort Köthen und nach telefonischer Terminbuchung. Die Wiederaufnahme einzelner Leistungen bedeutete ebenso wenig eine vollständige Wiederherstellung der IT wie das spätere Ende des Katastrophenfalls.
Nach eigenen Angaben wendete der Landkreis infolge des Angriffs rund 2,5 Millionen Euro auf, so der Stand vom März 2024. Das Geld floss in Infrastrukturaufbau, Datenrettung, neue Server, Speichermedien, Laptops und Software.
Im September 2022 beschrieb Pressesprecher Udo Pawelczyk Veränderungen in Organisation und Technik. Nach seinen Angaben hatte die Kreisverwaltung den Fachbereich Informationstechnik und Digitalisierung direkt dem Landrat unterstellt und eine Stelle für einen Informationssicherheitsbeauftragten geschaffen. Zugleich arbeitete sie an der Einführung einer „Zwei-Phasen-Authentifizierung“, also einer Anmeldung mit zwei unabhängigen Nachweisen. Externe Geräte ließ sie keine mehr zu.
Lehren für CISOs im DACH-Raum
Aus dem öffentlich dokumentierten Verlauf ergeben sich für Sicherheitsverantwortliche in Verwaltungen und Unternehmen fünf Folgerungen.
- Wiederanlauf und Wiederherstellung getrennt ausweisen. In Anhalt-Bitterfeld waren einzelne Leistungen ab August 2021 wieder verfügbar, während sich der Wiederherstellungsprozess laut BKA nach Stand vom Mai 2022 weiter fortsetzen sollte. Lageberichte an Leitung und Aufsicht werden belastbarer, wenn sie beide Zustände getrennt führen.
- Reihenfolge der Fachverfahren vorab festlegen. Die Prioritätenliste für das Notnetz entstand im Landkreis nach dem Angriff. Eine abgestimmte Rangfolge kritischer Verfahren im Notfallplan nimmt diese Arbeit aus der akuten Krise heraus.
- Eskalationsstufen rechtlich klären. Der Landkreis nutzte den Katastrophenfall, um umfassendere Reaktionsmöglichkeiten zu erhalten. Behörden können vorab mit dem Katastrophenschutz klären, wann dieses Instrument in Betracht kommt; Unternehmen entspricht dem ein Krisenstab mit klar definierten Befugnissen.
- Lösegeldfrage vor dem Ernstfall entscheiden. Der Landkreis lehnte die Zahlung nach eigenen Angaben ab. Bei doppelter Erpressung umfasst diese Abwägung neben dem Zugang zu den Daten auch die angedrohte Veröffentlichung, was eine Leitung in Ruhe besser durchdenken kann als unter Zeitdruck.
- Sicherheitsverantwortung an der Spitze verankern. Die direkte Anbindung der IT an den Landrat und die neue Stelle des Informationssicherheitsbeauftragten beschrieb die Verwaltung im September 2022. Eine solche Berichtslinie lässt sich auch ohne vorherigen Vorfall einrichten.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Welche Schwachstelle nutzten die Angreifer in Anhalt-Bitterfeld?
Nach Angaben des DGUV-Magazins topeins war die beim Angriff ausgenutzte Schwachstelle im September 2022 weiterhin ungeklärt. Der Einstiegsweg der Täter gehörte damit zu diesem Zeitpunkt nicht zum gesicherten Wissen über den Fall.
In welcher Währung forderte Grief das Lösegeld?
Die Tätergruppierung Grief forderte das Lösegeld in der Kryptowährung Monero. Der Landkreis lehnte die Zahlung nach eigenen Angaben ab.
Welche Schutzmaßnahmen gegen Schadsoftware empfahl die DGUV?
Zu den Empfehlungen der DGUV für Verwaltungen und Unternehmen zählten im September 2022 unter anderem zeitnahe Updates, Sicherungskopien und Benutzerkonten mit eingeschränkten Rechten. Hinzu kamen regelmäßige Sicherheitsschulungen, die ausdrücklich auch die Führungskräfte einschließen.
Lesetipps der Redaktion
LesetippLinux-Kernel-Lücke: Ubuntu liefert noch keinen PatchLesetippCisco-VPN wird angegriffen: Wer jetzt patchen mussLesetippKI-Agenten brauchen begrenzte Vollmachten
Bildquelle: KI-generiert (November 2026)
Mehr aus dem MBF Media Netzwerk
cloudmagazinCloud-Souveränität könnte 115 Milliarden Euro kosten
MyBusinessFutureKI-Assistenten bringen seltener Zielkunden als die Suche
Digital ChiefsSchwarz setzt auf Cohere: Was Aleph-Alpha-Kunden tun
