Der Cyberangriff auf Eichstätt hat die Stadtverwaltung weitgehend lahmgelegt. Nach Angaben der Stadt ist „wohl ein Großteil der Daten der Stadtverwaltung“ abgeflossen, vorsorglich wurden alle Server des Rathauses abgeschaltet. Eine CVE-Nummer und ein CVSS-Score gibt es in diesem Fall nicht: Betroffen ist keine einzelne Produktschwachstelle, sondern eine komplette kommunale IT-Landschaft. Für Admins in Verwaltungen und kritischen Einrichtungen ist der Fall vor allem deshalb relevant, weil er zeigt, wie schnell ein einzelner Vorfall sämtliche Dienstleistungen einer Kommune zum Erliegen bringt — und wie widersprüchlich die offizielle Informationslage in den ersten Tagen bleibt.
Cyberangriff auf Eichstätt: Der belegte Ablauf
Das Bekanntwerden datiert die detaillierteste Chronologie des Falls auf den 12. Oktober 2026. Große Teile der IT wurden demnach vorsorglich abgeschaltet, Rathaus und Außenstellen blieben bis auf Weiteres geschlossen. E-Mails waren nicht erreichbar, Termine entfielen, für dringende Anliegen richtete die Stadt einen Notfallkontakt ein. Stadtsprecherin Sophie Fries sagte, alle Server seien vorsorglich vom Netz genommen worden; dadurch waren alle Dienste der Stadtverwaltung lahmgelegt. Für den 14. Oktober 2026 ist der Start eines Notbetriebs verzeichnet.
Widersprüchliche Angaben zum Datenabfluss
Kern des Falls ist ein Widerspruch, der sich durch die Meldungen zieht. Auf der einen Seite steht die Formulierung der Stadt selbst, ein Großteil der Daten der Stadtverwaltung sei abgeflossen — mitgeteilt am Dienstagabend. Auf der anderen Seite die Einschätzung, es sei „noch unklar“, ob und welche Daten abgeflossen seien. Beides ist keine forensisch bestätigte Quantifizierung: Die Stadt formuliert mit „wohl“, und die Ausgangsmeldung greift diese Vorsicht auf, wenn sie schreibt, die Verwaltung befürchte einen Zugriff auf den Großteil ihrer Daten.
Dass während des Angriffs Daten kopiert wurden, ist technisch plausibel: In vielen Fällen exfiltrieren Täter zuerst Daten und verschlüsseln erst danach. Ein in sozialen Medien verbreitetes Zitat, wonach Daten „über das Wochenende“ kopiert worden seien, ist dagegen kein eigenständiger Beleg und sollte nicht als gesicherte Information weitergegeben werden. Ob personenbezogene Daten, Melde- oder Sozialdaten betroffen sind, lässt sich mit den vorliegenden Angaben nicht sagen — für Betroffene ist genau das die entscheidende Frage.
Ransomware: Ermittlerannahme, keine Bestätigung
Nach Darstellung der Ermittlungen handelt es sich um einen Ransomware-Angriff, also um verschlüsselte Daten und eine Lösegeldforderung für deren Entschlüsselung. Belastbare Belege für eine bestätigte Verschlüsselung, eine konkrete Geldforderung, eine Summe oder eine identifizierte Tätergruppierung finden sich in den vorliegenden Meldungen nicht. Formulierungen wie „vermuten“ oder „gehen davon aus“ markieren eine Ermittlungshypothese, kein Ergebnis. Datenabfluss und Verschlüsselung schließen sich ohnehin nicht aus — das Muster, erst zu stehlen und dann zu verschlüsseln, ist seit Jahren üblich.
Auch bei den beteiligten Stellen bleibt die Lage unscharf. An den Ermittlungen ist die Zentralstelle Cybercrime Bayern (ZCB) beteiligt; eine zweite genannte Behörde lässt sich aus der zugänglichen Fassung der Meldung nicht sicher benennen. Solange die Forensik keine Ergebnisse vorlegt, sollten weder Umfang noch Urheber als gesichert gelten.
Notbetrieb, geschlossene Türen und gefälschte Rechnungen
Zusammen mit dem Notbetrieb ab dem 14. Oktober warnt die Stadt vor gefälschten Rechnungen. Das ist ein wiederkehrendes Begleitmuster: Wenn Fachverfahren, Postfächer und interne Prüfprozesse ausfallen, fehlt die Stelle, an der sich eine Zahlungsaufforderung verifizieren lässt. Empfänger haben dann nur die Wahl zwischen Zahlen und Aussitzen. Wer eine Rechnung im Namen der Stadtverwaltung erhält, sollte sie deshalb nicht über die darin angegebene Nummer oder Adresse prüfen, sondern ausschließlich über die offiziellen, unabhängig recherchierten Kontaktdaten der Kommune.
Einordnung: Warum Kommunen ein attraktives Ziel bleiben
Nicht nur Eichstätt, sondern kommunale Verwaltungen insgesamt stehen unter Druck. Zu den strukturellen Problemen zählen gewachsene IT-Landschaften, viele fachspezifische Verfahren und knappe Personaldecken im laufenden Betrieb. Sicherheitsarbeit konkurriert dort mit dem Tagesgeschäft — bis ein Vorfall die Prioritäten verschiebt.
Ein Vergleichsfall, ausdrücklich nicht mit Eichstätt zu verwechseln: Der Ransomware-Angriff auf die Südwestfalen IT traf im Jahr 2023 mehr als 70 Kommunen über einen gemeinsamen Dienstleister und legte deren Dienste teils über Wochen still. Das verweist auf eine strukturelle Schwäche: Zentralisierte, standardisierte kommunale IT ist effizient, aber häufig nicht ausreichend segmentiert. Ein einziger Einstiegspunkt kann dann eine ganze Verbundlandschaft erreichen.
Fazit: Was jetzt zu tun ist
Für Betroffene gilt in den kommenden Wochen erhöhte Wachsamkeit: Zahlungsaufforderungen im Namen der Stadt gehören auf den Prüfstand, ebenso unerwartete E-Mails, die sich auf den Vorfall beziehen. Für Admins in Verwaltungen ist der Fall ein Anlass, die eigene Notfallplanung zu prüfen — vom getesteten Offline-Backup über Netzsegmentierung und Mehrfaktor-Authentifizierung bis zu klaren Kommunikationswegen, die auch dann funktionieren, wenn E-Mail und Fachverfahren ausgefallen sind. Eine Lösegeldforderung ist keine verlässliche Rückversicherung; ob und in welchem Umfang Eichstätt Daten verloren hat, wird sich erst nach Abschluss der Forensik seriös beantworten lassen.