Wer nach dem Datenleck auf das ganze Bild wartet, informiert die Bürger nach der Zeitung

Wer in einer Gemeinde, einer Pfarre oder einem Verein einen Datenabfluss bemerkt, muss entscheiden, wann er wen informiert, meist lange bevor feststeht, welche Daten fehlen. Reichenau an der Rax im Bezirk Neunkirchen hat mit der Information der Bevölkerung gewartet, bis das Ausmaß feststeht – es steht bis heute nicht fest.

Kurz gefasst

• Reichenau an der Rax informierte nach dem Angriff im Juli nur rund 360 Personen, die Bevölkerung erst nach den Medienberichten vom 22. Oktober.
• Die Täter hatten die Veröffentlichung am 8. September angekündigt und am 10. Oktober umgesetzt, die Krone fragte Tage vor ihrem Bericht an.
• Das Schreiben der Gemeinde vom 22. Oktober enthält Warnhinweise, die von keiner Detailanalyse abhängen.
• Tulln und Langenzersdorf haben ihre Unsicherheit selbst mitgeteilt, Gemeinden sollten die Schwelle dafür vorab festlegen.

Rund 360 Personen erfuhren es im Sommer, die Bevölkerung im Oktober

Juli. Die Gemeinde erkannte den Angriff laut ihrem Schreiben vom 22. Oktober Ende Juli 2026 und band Polizei, Landespolizeidirektion und Datenschutzbehörde „umgehend“ ein. Die betroffenen Systeme nahm sie laut noe.ORF.at vom Netz und setzte alle Server neu auf. Verschlüsselt wurde laut Gemeinde nichts, der Amtsbetrieb lief weiter. Informiert wurden „jene Personen, die lt. Experten betroffen sein könnten“, laut Amtsleiter-Stellvertreter Philipp Stummer aktive und frühere Bedienstete sowie die politischen Organe. Bürgermeister Johann Döller sagte dem Standard, nach damaligem Wissen seien „360 Personen“ betroffen gewesen, man habe alle informiert.

September und Oktober. Laut Kronen Zeitung kündigte die Ransomware-Gruppe SafePay am 8. September auf ihrer Leakseite an, die Daten der Gemeinde zu veröffentlichen, und tat das am 10. Oktober. Ransomware ist Schadsoftware, mit der Kriminelle Daten verschlüsseln oder stehlen, um Geld zu erpressen. Eine Leakseite ist eine Seite im Darknet, einem nur mit spezieller Software erreichbaren Teil des Internets, auf der solche Gruppen erbeutete Daten ausstellen. Die Gemeinde schreibt, sie habe kein Lösegeld gezahlt und „alle Hinweise der Täter“ an die Behörden übergeben. Wann diese Hinweise kamen, sagt sie nicht. Döller betonte gegenüber dem Standard, er wisse „erst seit gestern Mittwoch“, also seit dem 21. Oktober, wie umfassend der Datenverlust sei.

22. Oktober. Um 5.30 Uhr erschien der Bericht der Krone. Die Zeitung hatte die Daten nach eigenen Angaben selbst eingesehen und zeigte anonymisierte Schulzeugnisse, AMS-Anträge und Arztbriefe. Den Bürgermeister hatte sie nach eigener Darstellung schon Tage davor um eine Stellungnahme gebeten. Um 6.28 Uhr folgte heute.at, bis Mittag bestätigte die Polizei der APA Ermittlungen. Die Gemeinde stellte im Lauf des Tages eine erste Information auf ihre Website und in die Gemeinde-App, um 18.10 Uhr ein ausführliches Update mit Fragen und Antworten.

Wie viel abgeflossen ist, beziffert bisher nur ein Sicherheitsanbieter

RisikoMonitor. Das auf die Beobachtung des Darknets spezialisierte Unternehmen hat laut Krone 96,4 Prozent der rund 37 Gigabyte gesichert und ausgewertet. Darin liege ein Auszug aus dem Melderegister vom Mai 2026 mit 4.171 Personen, 2.396 davon mit Hauptwohnsitz, bei 397 mit Pass- oder Ausweisnummer, 407 seien minderjährig. Die Gemeinde nennt auf ihrer Website für den 1. Jänner 2026 zum Vergleich 2.409 Menschen mit Haupt- und 1.783 mit Zweitwohnsitz. Dazu kämen laut RisikoMonitor das Wählerverzeichnis, Abgabenkonten mit Bankverbindungen, Personalakten sowie Pflege- und Sozialunterlagen.

Widerspruch. Als Größenordnung taugen diese Angaben, als Bestandsaufnahme nicht – sie stammen von einem Anbieter, der solche Analysen verkauft, und sind nicht unabhängig geprüft. Die Reichenauer Amtsleitung verneinte gegenüber dem Standard, dass das Melderegister betroffen sei. Die Forensik, also die technische Spurensicherung nach dem Angriff, zeige laut Gemeinde, aus welchen Bereichen Daten abgeflossen sind, nicht aber, welche Daten einzelner Personen. RisikoMonitor-Geschäftsführer Manuel Löw-Beer hält das laut Krone für nicht nachvollziehbar, weil inzwischen jeder die Daten herunterladen könne, „gegliedert nach den Ablagen, mit denen die Verwaltung täglich arbeitet“.

Die Gemeinde wollte niemanden mit Vermutungen verunsichern

Begründung. So beantwortet das Schreiben vom 22. Oktober die Frage, warum die Bürger nicht früher informiert wurden. „Wir wollten niemanden mit Vermutungen verunsichern. Dies passierte in Abstimmung mit den Experten und den Behörden.“ Den Vorwurf, den Angriff verheimlicht zu haben, weist die Gemeinde zurück, sie habe sich „bewusst entschieden, nur zu kommunizieren, was gesichert ist“.

Zeitpunkt. Die Abwägung ist nachvollziehbar – sie trägt, solange die Täter schweigen. Eine Entwarnung, die später zurückgenommen werden muss, kostet mehr Vertrauen als offen ausgesprochene Unsicherheit, das hat der Angriff auf das Berliner Landesnetz gezeigt. Mit der Ankündigung auf der Leakseite am 8. September entschied aber nicht mehr die Gemeinde allein, wann der Fall öffentlich wird. Zwischen der Veröffentlichung am 10. Oktober und dem ersten Bericht lagen zwölf Tage, die Anfrage der Krone kam Tage vor dem Bericht. Spätestens diese Anfrage wäre ein Anlass gewesen, die Bevölkerung selbst zu informieren.

Tulln und Langenzersdorf. Zwei andere Gemeinden in Niederösterreich haben unter ähnlicher Unsicherheit informiert. Nach dem Angriff im Februar 2025 stellte Tulln laut KOMMUNAL laufend Updates auf die eigene Website und sagte den Medien, wo sie zu finden sind. „Wir hatten lange Zeit keine gesicherten Informationen, weil alles zuerst von der IT geprüft werden musste“, sagte Stadtamtsdirektor Viktor Geyrhofer dem Magazin. Langenzersdorf meldete den Angriff vom 27. Februar 2026 noch am selben Tag auf der Gemeinde-Website und schrieb im Bericht vom 24. März, ein Datenabfluss könne „nie vollständig ausgeschlossen werden“. In beiden Orten fielen die Systeme allerdings sichtbar aus, der Anlass, sich zu melden, lag offen. In Reichenau lief der Amtsbetrieb weiter.

Empfehlungen. Thomas Lohninger von der Datenschutzorganisation epicenter.works erinnerte im Standard daran, dass die Datenschutz-Grundverordnung „unverzügliche“ Information verlange. Philipp Blauensteiner aus der NIS-Abteilung des Innenministeriums riet Gemeinden im April im Magazin KOMMUNAL, vorab festzulegen, wie sie die Bevölkerung erreichen, wenn E-Mail und Website ausfallen. „Das Schlimmste, was man machen kann: versuchen, den Vorfall zu ignorieren“, sagte er dort über Cyberangriffe auf Gemeinden im Allgemeinen.

Das Schreiben vom 22. Oktober hätte schon im August gepasst

Eingeständnis. Das Schreiben beginnt mit dem Satz „Wir wissen, dass Sie das verunsichert, und wir verstehen auch den Ärger darüber, dass Sie erst jetzt davon erfahren.“ Danach folgt es den Fragen, die Betroffene stellen, von „Was ist passiert?“ bis „Wohin kann ich mich wenden?“.

Hinweise. Die stärksten Stellen brauchen kein vollständiges Lagebild.

• „Die Gemeinde fragt niemals telefonisch, per E-Mail oder SMS nach Passwörtern, Bankdaten, Ausweisnummern oder Zahlungen.“
• Wer „erstaunlich viel“ über jemanden weiß, ist dadurch nicht glaubwürdiger, das sei „ein typischer Betrugstrick“.
• Niemand soll selbst im Darknet nach den Daten suchen oder Dateien herunterladen.
• Geänderte Bankverbindungen nie ungeprüft übernehmen, Kontoauszüge in den nächsten Monaten prüfen.

Keiner dieser Hinweise hängt davon ab, welche Dateien betroffen sind.

Lücken. Einen Termin für die nächste Information nennt das Schreiben nicht, es heißt nur „sobald die endgültige Auswertung vorliegt“. Als Kontakt steht eine E-Mail-Adresse der Amtsleitung, an einem Tag, an dem laut Standard auch die Telefonanlage des Gemeindeamts stundenlang ausfiel. Einen Zusammenhang mit dem Angriff vermutete Döller nicht. Auf die selbst gestellte Frage „Warum sagen Sie es nicht öffentlich?“ antwortet die Gemeinde in einem öffentlichen Schreiben mit „Weil es um persönliche Daten geht.“ Gemeint ist vermutlich, dass sie nicht sagt, wessen Daten betroffen sind. Ohne diesen Nachsatz liest sich die Antwort wie ein Widerspruch.

Die Datenschutz-Grundverordnung sieht die öffentliche Bekanntmachung vor

Artikel 34. Hat ein Datenabfluss voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, muss der Verantwortliche sie nach Artikel 34 der Datenschutz-Grundverordnung (DSGVO) unverzüglich benachrichtigen. Wäre es unverhältnismäßig aufwendig, jede Person einzeln zu informieren, sieht die Verordnung eine öffentliche Bekanntmachung oder eine vergleichbar wirksame Maßnahme vor.

Einordnung. Ob diese Pflicht in Reichenau griff, bewertet dieser Beitrag nicht, das Verfahren der Datenschutzbehörde ist laut Gemeinde eingestellt. Für die Kommunikation zählt, dass die Verordnung selbst den Weg über die Öffentlichkeit kennt, gerade wenn die einzelnen Betroffenen nicht feststehen. Die Grünen fordern laut Aussendung vom 22. Oktober eine gesetzliche Regelung, Betroffene nach einem Datenleck „aktiv und verständlich“ zu informieren.

Fünf Punkte gehören in den Plan, bevor Daten abfließen

Wer sie vorher klärt, muss im Ernstfall nicht zwischen Schweigen und Vermutung wählen.

• Ablagen – welche Ordner Daten von Kindern sowie Gesundheits-, Ausweis- und Bankdaten enthalten, damit nach einem Angriff klar ist, welche Bereiche heikel sind
• Schwelle – ab wann die Bevölkerung informiert wird, auch wenn noch nicht feststeht, wer im Einzelnen betroffen ist
• Zwischeninformation – ein vorbereiteter Text mit dem, was feststeht, was geprüft wird, worauf Betroffene achten sollen und wann die nächste Information kommt
• Erreichbarkeit – eine Telefonnummer mit Sprechzeiten neben der E-Mail-Adresse, dazu Website, Gemeinde-App, Aushang und Gemeindezeitung
• Auslöser – eine Ankündigung der Täter oder eine Anfrage von Medien gilt als spätester Zeitpunkt für die öffentliche Information

Wie die Stadt Wien nach einem Datenabfluss ausführlich, aber spät informierte, beschreibt der Beitrag zum Datenleck der Stadt Wien.

Das erste Wort hatte ein Sicherheitsanbieter

Reichenau an der Rax hat am 22. Oktober ein Schreiben veröffentlicht, das die wichtigsten Fragen der Bevölkerung beantwortet und den Ärger offen anspricht. Am Morgen desselben Tages stand in der Zeitung bereits der Satz von RisikoMonitor-Geschäftsführer Löw-Beer, „Die Bürger wissen nichts davon.“ Gegen diesen Satz schreibt die Gemeinde seither an.

Peak Consulting (Norbert Oberndorfer, Bergland, Niederösterreich) legt mit Gemeinden, Pfarren und Vereinen vor dem Ernstfall fest, ab wann sie nach einem Datenabfluss informieren, und bereitet Zwischeninformation, Musterschreiben und Sprachregelung vor. Ein Erstgespräch lässt sich direkt über die Website anfragen.