Flächendeckende, passive Lagemessung der öffentlichen Infrastruktur von 2.086 österreichischen Gemeinden: Hosting, exponierte Dienste, Schwachstellen und kompromittierte Zugangsdaten im Darknet. Kein Scan, kein Verbindungsaufbau, kein Penetrationstest.
Ob Korneuburg 2024, Langenzersdorf im Februar 2026 oder Reichenau an der Rax im Sommer 2026: Österreichische Gemeinden werden regelmäßig Opfer von Ransomware.1, 6, 8 Diese Studie misst erstmals flächendeckend und ausschließlich passiv, wie groß die digitale Angriffsfläche aller Gemeinden ist.
(1) 984 Gemeinden (47,2 %) stehen mit dienstlichen Adressen in Combolisten, 882 (42,3 %) in Datenbanken geleakter Zugangsdaten; zusammen 272.809 Datensätze. (2) 958 Passwörter liegen im Klartext vor. 46,6 % davon erfüllen höchstens eines von fünf Komplexitätskriterien, nur 3,5 % gelten als stark. (3) Betroffen sind vor allem Kunden: 7.758 Einträge von Bürgerinnen und Bürgern, dazu 88 von Bediensteten und 395 von kompromittierten Endgeräten (Infostealer). (4) Mit 36,1 % steht der größte Teil der Gemeinde-Server in Österreich, 29,5 % in Irland (Microsoft) und 27,8 % in Deutschland; 23,5 % der Gemeinden bieten FTP im Klartext an, 7,9 % eine offen erreichbare Datenbank. (5) 240 Gemeinden (13,0 %) betreiben Software mit dokumentierten Schwachstellen, 75,7 % der 1.270 gefundenen CVEs sind älter als fünf Jahre.
Alle Ergebnisse stammen aus öffentlich zugänglichen Quellen: aus der passiven IP-Recherche und aus öffentlichen Darknet-Quellen, die wir im Rahmen unseres laufenden Monitorings auswerten. Es fand kein aktiver Penetrationstest statt, kein Scan, kein Verbindungsaufbau und kein Anmeldeversuch.
Analysiert wurden 2.086 österreichische Gemeinden aus allen neun Bundesländern; Österreich zählt laut Statistik Austria 2.092 Gemeinden.3 Es handelt sich um eine volle Analyse aller erfassten Gemeinden.
Auflösung der Gemeinde-Domains zu IP-Adressen, Zuordnung zum Betreiber des IP-Netzes und Geolokalisierung des Serverstandorts sowie Abgleich der öffentlich angezeigten Softwareversionen mit dokumentierten Schwachstellen (CVE).
Zwei Datenquellen: veröffentlichte Credential-Leaks, die nach dem Domain-Prinzip den Gemeinden zugeordnet werden (6.184 Datensätze), und Combolisten mit maschineller Bewertung der Passwortstärke (266.625 Datensätze).
Darknet-Werte beziehen sich auf alle 2.086 Gemeinden, Infrastrukturanteile auf die Gemeinden mit zuordenbarem Server. Einzelne Gemeinden werden nicht genannt, Passwörter nur als Muster beschrieben, veröffentlicht werden ausschließlich Aggregate.
Die Liste österreichischer Verwaltungen, die von Ransomware getroffen wurden, wird länger. Die bekannt gewordenen Fälle zeigen ein gleichbleibendes Muster: Verschlüsselung, Stillstand der Verwaltung, Lösegeldforderung, teils Veröffentlichung der Daten.
| Zeitpunkt | Verwaltung | Ereignis |
|---|---|---|
| Mai 2022 | Land Kärnten | Gruppe BlackCat; rund 100 von 3.700 Arbeitsplätzen infiziert, E-Mail-System ausgefallen; Forderung von 5 Mio. US-Dollar, nicht bezahlt.5 |
| Feb. 2024 | Stadtgemeinde Korneuburg | EDV vollständig verschlüsselt, Verwaltung stand still; Zuordnung zur Gruppe LockBit; Betrieb nach vier Tagen wiederhergestellt.6, 7 |
| 2025/26 | Krieglach, Maria Enzersdorf, Tulln | laut Medienberichten von Angriffen betroffen; Details nicht öffentlich.9 |
| Feb. 2026 | Marktgemeinde Langenzersdorf | internes Netzwerk ausgefallen, Parteienverkehr bis auf Weiteres eingestellt.8 |
| Juli 2026 | Marktgemeinde Reichenau an der Rax | Gruppe SafePay; Daten am 10.10.2026 im Darknet veröffentlicht.1 |
| Zeitpunkt | Ereignis |
|---|---|
| Ende Juli 2026 | Die Gemeinde bemerkt den Angriff.1 |
| 08.09.2026 | SafePay kündigt die Veröffentlichung an (Täterangabe).1 |
| 10.10.2026 | Veröffentlichung der Daten auf der Leak-Seite der Gruppe.1 |
| 24.10.2026 | Bürgermeister: kein Lösegeld bezahlt; Gesundheitsunterlagen stammten aus persönlichen Verzeichnissen einzelner Bediensteter.2 |
Laut Medienbericht enthält der Datensatz Geburtsdaten, Familienstand, Staatsbürgerschaft, Schulzeugnisse, Lebensläufe, AMS-Bewerbungen, Arztbriefe, Schülerlisten sowie Gehalts-, Steuer- und Sozialversicherungsunterlagen.1
Die dokumentierten Fälle zeigen, wovon Schaden und Wiederanlauf abhängen: nicht von der Größe der Gemeinde, sondern von Sicherungen, Netztrennung und der Frage, ob Angreifer überhaupt hineinkommen.
| Fall | Befund | Quelle |
|---|---|---|
| Land Kärnten 2022 | Rund 100 von 3.700 Arbeitsplätzen infiziert. Weil alle Daten auf Sicherungssystemen lagen, wurde das Lösegeld von 5 Mio. US-Dollar nicht bezahlt; Systeme gingen erst nach Prüfung in gesicherter Umgebung wieder ans Netz. | Salzburg24, 20225 |
| Korneuburg 2024 | Rund 90 PCs geprüft und teils neu aufgesetzt, Wiederanlauf nach vier Tagen. Verloren gingen fünf Arbeitstage, die E-Mails der letzten zehn Tage und Daten für den Jahresabschluss; Gehälter wurden per Erlagschein ausgezahlt. Gerettet hat ein externes Band-Backup. | KOMMUNAL, 20246 |
| Reichenau 2026 | Zwischen Bemerken des Angriffs und Veröffentlichung lagen rund zehn Wochen. Betroffen sind Melde-, Schul- und Personaldaten von mehreren tausend Personen. | eXXpress, 20261 |
Die Lehre aus Korneuburg. Ein vom Netz getrenntes Backup entschied über Tage statt Wochen Stillstand. Es verhindert aber nicht, dass Daten abfließen und veröffentlicht werden.
Was die Messung ergänzt. Die Fälle zeigen die Folgen, diese Studie den Ausgangspunkt: Zugangsdaten und offene Dienste, über die Angreifer ohne besonderen Aufwand eindringen können.
Für alle 2.086 Gemeinden wurden IP-Adresse, Betreiber des IP-Netzes und Serverstandort ermittelt; 1.846 Domains ließen sich zu IP-Adressen auflösen.
Größter Einzelbetreiber ist Microsoft mit 29,7 %. Dahinter folgt mit der eww ag (12,6 %) ein österreichischer Anbieter, danach Amazon (10,2 %) und Hetzner (5,1 %). Die Spitze der Betreuung ist stark konzentriert.
Knapp jede dritte Gemeinde hängt mit ihren Diensten an einem einzigen US-Konzern. Ein erheblicher Teil liegt auf wenigen geteilten Azure-Adressen, über die Dienstleister viele Gemeinde-Websites gemeinsam betreiben.
Blau: österreichischer Anbieter, Grau: ausländischer Anbieter. Anteile an den Gemeinden mit zuordenbarem Betreiber.
Serverstandort nach Geolokalisierung der IP-Adresse, Anteil der Gemeinden mit zuordenbarem Standort. Quelle: passive IP-Recherche risikomonitor.com.
Mit 36,1 % steht der größte Teil der Gemeinde-Server in Österreich, knapp zwei Drittel aber im Ausland, vor allem in Irland (29,5 %) und Deutschland (27,8 %). Die Datenhaltung in Irland ist datenschutzrechtlich kein Drittlandtransfer, da Irland EU-Mitglied ist.
Sie ist aber eine Frage der digitalen Souveränität: Die irischen Server sind fast durchweg Microsoft Azure, ein US-Konzern; ein weiteres gutes Viertel der Gemeinden liegt bei deutschen Anbietern.
68 Gemeinden (3,3 %) betreiben mindestens einen Dienst auf einer IP außerhalb der EU. Ein Teil davon sind Content-Delivery-Netze, deren Ursprungsserver weiter in der EU liegen kann. Bei 25 Gemeinden (1,2 %) liegt echtes Hosting außerhalb der EU vor, also kein reiner CDN-Anbieter.
Betroffen sind ausschließlich die Schweiz (16 Gemeinden) und die USA (9). Für die Schweiz besteht ein Angemessenheitsbeschluss der EU, der Datentransfer ist dort datenschutzrechtlich abgedeckt.
Die neun Gemeinden mit US-Hosting nutzen durchwegs Website-Baukästen und Entwicklerplattformen (etwa Wix, Weebly, GitHub oder Squarespace). Hosting in Hochrisiko-Staaten wie Russland oder der Ukraine tritt bei den Gemeinde-Domains nicht auf.
Rot: Hosting in Ländern ohne EU-Angemessenheitsbeschluss (USA). Grau: mit Angemessenheitsbeschluss (Schweiz). Grundlage: Geolokalisierung aller IP-Adressen je Gemeinde-Domain, CDN-Anbieter (Cloudflare, Amazon, Google, Microsoft) ausgenommen.
Jeder offen erreichbare Dienst vergrößert die Angriffsfläche und wird bei veralteter Software oder Fehlkonfiguration zum Einfallstor.
23,5 % der Gemeinden bieten auf mindestens einem ihrer Server FTP an, das Benutzernamen und Passwörter unverschlüsselt überträgt. Rund jede achte holt E-Mails über POP3 oder IMAP ohne Verschlüsselung ab.
7,9 % der Gemeinden haben eine MySQL-Datenbank direkt aus dem Internet erreichbar, was in aller Regel als kritische Fehlkonfiguration gilt.
Anteil der 1.846 aufgelösten Gemeinden, deren Server den Dienst offen anbieten. Rot: Klartext oder Datenbank.
Zwei DNS-Einträge entscheiden darüber, ob sich Angreifer als eine Gemeinde ausgeben können: SPF legt fest, welche Server im Namen der Domain senden dürfen, DMARC sagt, was mit gefälschten Mails geschehen soll. Beide fehlen bei vielen Gemeinden.
SPF und DMARC je Gemeinde-Domain. Blau: vorhanden, Rot: fehlt. Grundlage: DNS-Abfrage aller Gemeinde-Domains.
Ohne DMARC bleibt ein gültiger SPF-Eintrag weitgehend wirkungslos, weil niemand die Einhaltung erzwingt. Fehlen beide, kann praktisch jeder E-Mails im Namen der Gemeinde versenden, der klassische Weg für Phishing gegen Bürger und für den Rechnungsbetrug (CEO-Fraud) innerhalb der Verwaltung. Die vertiefte Auswertung enthält die Risikomonitor Studie 06 „E-Mail Security Austria 2026".18
Das eingesetzte Content-Management-System (CMS) entscheidet mit über die Angriffsfläche: Jedes CMS bringt eigene Schwachstellen, Erweiterungen und einen eigenen Update-Rhythmus mit. Für die erreichbaren Gemeinde-Websites wurde das CMS passiv aus Kopfzeilen und Generator-Angaben erkannt.
Erkannte CMS je Website, absolute Zahl. Bei 1.475 Sites war kein CMS eindeutig erkennbar (statische Seiten, Baukästen oder verdeckt).
WordPress (212) und TYPO3 (153) dominieren, zusammen 61,0 % der erkannten Systeme. Beide sind beliebte Angriffsziele, vor allem über veraltete Plugins und Erweiterungen.
Mit RiskKommunal (123) steht ein auf Gemeinden zugeschnittenes System an dritter Stelle. Joomla (51) und der Baukasten Jimdo (40) folgen.
Viele dieser Systeme laufen auf PHP. Zeigt ein Server seine PHP-Version offen, lässt sich der Patch-Stand ablesen. 1.505 der 1.632 erreichbaren Server (92,2 %) verbergen die Version, was Angreifer nicht hindert, aber die Messung zur Untergrenze macht.
Verteilung über alle erreichbaren Server. EOL bezeichnet PHP-Zweige ohne offizielle Sicherheitsupdates (etwa 7.4 und älter). Rot: betroffen.
Von den 127 Servern mit sichtbarer Version laufen 34 auf einem End-of-Life-Zweig ohne Sicherheitsupdates. Dort genügt kein Minor-Update, nötig ist ein Wechsel des PHP-Zweigs.
Aus den öffentlich einsehbaren Diensten auf den Servern der Gemeinden und ihrer Subdomains lassen sich die eingesetzten Technologien ablesen. Bei den Webservern dominieren Apache und nginx, auffällig ist die Breite an direkt erkennbaren Datenbanken und Dateidiensten (rot).
Die Zertifikatslandschaft zeigt, wie Gemeinden ihre Schlüssel verwalten. Zwei Befunde fallen auf: der breite Einsatz von Wildcard-Zertifikaten und eine erhebliche Zahl selbstsignierter Zertifikate.
259 Gemeinden (12,4 %) setzen mindestens ein Wildcard-Zertifikat ein, das für eine ganze Domain samt aller Subdomains gilt. Ein Wildcard-Zertifikat bedeutet, dass ein einziger privater Schlüssel alle Dienste einer Domain absichert. Wird er kompromittiert, sind alle Subdomains betroffen.
Der verbreitete Einsatz deutet darauf hin, dass die Schlüsselverwaltung in der Regel extern beim Dienstleister liegt und zentral über ein Zertifikat gelöst wird, nicht je Dienst getrennt.
Jeder Server, auf den eine Gemeinde auflöst, wurde mit dokumentierten Schwachstellen (CVE) abgeglichen. 13,0 % der Gemeinden betreiben Software mit mindestens einer solchen Lücke. Die Schwere ist dabei hoch: von den 240 betroffenen Gemeinden haben 227 (94,6 %) mindestens eine hochkritische Lücke (CVSS ≥ 7), bei 169 davon sogar kritisch (CVSS ≥ 9).
Eindeutige CVEs nach Erscheinungsjahr, gestapelt nach Schwere. Rot: hochkritisch (CVSS ≥ 7), Orange: darunter (CVSS < 7). Zahl im roten Feld: hochkritische, Zahl oben: gesamt. CVSS laut NVD. Insgesamt 575 der 1.270 CVEs sind hochkritisch.
Rund 100 Gemeinden teilen über ihren Hoster einen identischen Satz alter Lücken aus den Jahren 2007 bis 2013, ein Hinweis auf Systeme ohne grundlegende Updates seit über einem Jahrzehnt. Auf mehreren Gemeinde-Websites laufen zudem jQuery-Versionen mit bekannten Cross-Site-Scripting-Lücken, die vor allem die Besucher gefährden.
Das Veröffentlichungsjahr der gefundenen Schwachstellen zeigt, wie lange Systeme ohne Updates weiterlaufen. Fast neun von zehn Lücken sind älter als ein Jahr, drei Viertel älter als fünf Jahre.
Anteil der 1.270 eindeutigen CVEs, deren Veröffentlichung mindestens x Jahre zurückliegt, Stand 2026.
| CVE | Software | CVSS | Einstufung | Beschreibung |
|---|---|---|---|---|
| CVE-2007-2768 | OpenSSH | 4,3 (v2) | MITTEL | Bei OpenSSH mit OPIE über PAM lässt sich aus dem Antwortverhalten ableiten, ob ein Benutzerkonto existiert. Das Aufzählen gültiger Konten ist ein typischer erster Schritt gezielter Angriffe.10 |
| CVE-2021-36368 | OpenSSH | 3,7 | NIEDRIG | Bei Agent-Forwarding kann ein manipulierter Server verschleiern, wofür eine FIDO-Bestätigung tatsächlich gilt. Laut Hersteller keine Umgehung der Anmeldung.11 |
| CVE-2018-1302 | Apache httpd | 5,9 | MITTEL | Beim Abbau eines HTTP/2-Streams kann ein Nullzeiger in bereits freigegebenen Speicher geschrieben werden; Folge kann ein Ausfall des Dienstes sein.12 |
| CVE-2021-41617 | OpenSSH | 7,0 | HOCH | Rechteausweitung in sshd: Hilfsprogramme für AuthorizedKeysCommand und AuthorizedPrincipalsCommand laufen unter bestimmten Konfigurationen mit erweiterten Gruppenrechten.13 |
| CVE-2024-24795 | Apache httpd | 6,3 | MITTEL | HTTP Response Splitting in mehreren Modulen: Wer Antwort-Header einer Anwendung beeinflussen kann, löst eine HTTP-Desynchronisation aus. Behoben ab Version 2.4.59.14 |
Tab. 3: Relevanteste Schwachstellen nach Häufigkeit und Gewichtung. CVSS v3.1 laut NVD, bei CVE-2007-2768 nur v2 verfügbar, bei CVE-2024-24795 Bewertung durch CISA-ADP; an den Originalquellen geprüft am 28.10.2026.
Aus öffentlichen Darknet-Quellen ordnet unsere Analyse 273.587 Datensätze österreichischen Gemeinde-Domains zu. Die beiden Quellen überschneiden sich: 884 Gemeinden stehen in Leak-Datenbanken, 986 in Combolisten, in mindestens einer der beiden 1.084.
Gemeinden je Quelle und in mindestens einer der beiden, N = 2.086. Die Summe der Einzelquellen ist größer als 1.084, weil viele Gemeinden in beiden stehen.
Die Datensätze stammen überwiegend nicht aus Angriffen auf Gemeinden selbst, sondern aus Datenpannen kommerzieller Plattformen, auf denen Bedienstete dienstliche Adressen registriert hatten: soziale Netzwerke, Webshops, Reise- und Buchungsplattformen, Softwareanbieter. Wo dort dasselbe Passwort genutzt wurde wie im Dienst, ist der Zugang zur Gemeinde unmittelbar gefährdet.
| Stufe | Einträge je Gemeinde | Gemeinden | Anteil an 882 | Anteil an 2.086 |
|---|---|---|---|---|
| leicht | 1 bis 5 | 727 | 82,4 % | 34,9 % |
| mittel | 6 bis 20 | 127 | 14,4 % | 6,1 % |
| stark | mehr als 20 | 28 | 3,2 % | 1,3 % |
| betroffen gesamt | 882 | 100,0 % | 42,3 % |
Tab. 4: Betroffenheitsstufen nach Anzahl der Leak-Einträge je Gemeinde. Spitzenwert: 1.185 Einträge bei einer Großstadt.
Die Verteilung ist stark konzentriert: 28 Gemeinden mit mehr als 20 Einträgen stehen 727 Gemeinden mit höchstens fünf Einträgen gegenüber.
Die Betroffenheit ist regional sehr ungleich verteilt. Die Quote reicht von 10,6 % in Kärnten bis 80,0 % in Vorarlberg. Ein Muster nach Stadt und Land ist nicht erkennbar, was für die Rolle der jeweiligen IT-Dienstleister spricht.
Absteigend nach Anteil betroffener Gemeinden: Wien 100,0 %, Vorarlberg 80,0 %, Salzburg 73,9 %, Tirol 71,8 %, Niederösterreich 60,0 %, Oberösterreich 45,9 %, Steiermark 43,9 %, Burgenland 22,8 % und Kärnten 10,6 %.
Die Leak-Daten sind nach Betroffenengruppe klassifiziert. Den größten Block stellen die Kunden, also Bürgerinnen und Bürger, deren Daten über die Gemeinde abgeflossen sind, gefolgt von Dritten und dem Personal der Gemeinden.
Kunden. Mit 7.758 Einträgen sind Bürgerinnen und Bürger die größte Gruppe. Diese Daten gelangen über Portale und Verfahren der Gemeinde ins Netz. Welche Dimension ein einzelner Vorfall erreicht, zeigt Reichenau mit 4.171 Personen aus dem Melderegister.1
Personal. 88 Einträge betreffen Bedienstete direkt, teils mit vollem Namen.
Endgeräte. 395 Einträge tragen eine letzte bekannte IP-Adresse, ein Indiz für Infostealer. Ob das Gerät einem Bediensteten oder einer Bürgerin gehört, ist aus den Daten nicht eindeutig zuordenbar.
Der wichtigste Weg, auf dem Zugangsdaten heute abfließen, ist nicht der Einbruch in einen Server, sondern das infizierte Endgerät. Infostealer sind Schadprogramme, die Passwörter, Sitzungs-Cookies und gespeicherte Zugangsdaten direkt vom Rechner der Betroffenen auslesen und in Sammellogs bündeln.
In dieser Studie tragen 395 Leak-Einträge mit Gemeindebezug eine zuletzt bekannte IP-Adresse, das typische Merkmal eines Infostealer-Logs. Jeder solche Eintrag steht für ein befallenes Gerät, nicht nur für eine Panne bei einem Dritten.
International ist dieser Vektor führend: Laut Verizon Data Breach Investigations Report 2026 sind kompromittierte Zugangsdaten an 39 % aller Sicherheitsvorfälle beteiligt; 54 % der Geräte in den Logs von Zugangs-Händlern trugen mindestens einen Infostealer, und die Hälfte der Ransomware-Opfer hatte binnen 95 Tagen vor dem Angriff ein Zugangsdaten- oder Infostealer-Ereignis.20
Was das für Gemeinden heißt. Ein befallenes Endgerät eines Bediensteten übergibt alle dort gespeicherten Zugänge auf einmal: E-Mail, Verwaltungssoftware, VPN. Schutz entsteht nicht am Server, sondern am Gerät: aktuelle Endpunktsicherung, keine im Browser gespeicherten Dienstpasswörter und durchgängige Mehrfaktor-Authentifizierung.
958 Klartext-Passwörter dienstlicher Adressen und 266.625 bewertete Combolisten-Einträge zeigen die Passwortpraxis im Gemeindeumfeld.
Rot: kurz (bis 6 Zeichen) bzw. schwach (0 bis 1 Kriterium, Stufe 1 bis 3); Grau: mittel; Blau: lang (ab 12 Zeichen) bzw. stark (4 bis 5 Kriterien, Stufe 7 bis 10). Kriterien: Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen, Länge ab 12 Zeichen.
Ein Drittel der Klartext-Passwörter hat höchstens sechs Zeichen, nur 85 (8,9 %) haben zwölf oder mehr. Fast jedes zweite erfüllt höchstens eines der fünf Kriterien.
Die Combolisten bestätigen das Bild auf breiter Basis: 108.109 Einträge (40,5 %) sind schwach, 96.069 (36,0 %) stark.
Die Combolisten-Einträge tragen eine maschinelle Stärkebewertung von 1 bis 10. 40,5 % liegen in den Stufen 1 bis 3, allein Stufe 3 umfasst 73.253 Einträge.
Verteilung der 266.625 bewerteten Combolisten-Passwörter nach Stärkestufe. Rot: schwach, Grau: mittel, Blau: stark.
Die lesbaren Passwörter stammen erkennbar aus dem privaten Umfeld und werden in den dienstlichen Bereich übertragen. Schwerer als die Schwäche einzelner Passwörter wiegt dabei die Mehrfachnutzung: rund jedes achte lesbare Passwort (12,4 %) ist identisch mit dem mindestens eines weiteren Gemeindekontos. Ein einziger Treffer öffnet dann gleich mehrere Konten.
Statt einer abstrakten Punktzahl wird jede Gemeinde einer Risiko-Stufe zugeordnet, nach dem schwerwiegendsten Fund. Grün ist ausschließlich, wer gar keinen Fund hat. Jede Exposition eskaliert die Stufe: nur offene Dienste oder unsichere Zertifikate (gelb), geleakte Zugangsdaten in Leak-Datenbanken oder Combolisten (orange), ein durch Infostealer kompromittiertes Endgerät (rot) und schließlich mindestens eine hochkritische Schwachstelle mit CVSS ≥ 7 (dunkelrot).
Blockbreite proportional zum Anteil der Gemeinden je Stufe. Zuordnung nach dem jeweils schwerwiegendsten Fund.
| Indikator | Durchschnitt | Maximaler Einzelwert |
|---|---|---|
| Credential-Einträge im Darknet | 7,0 je betroffener Gemeinde | 1.185 (Großstadt) |
| Klartext-Passwörter | 1,1 je betroffener Gemeinde | 94 (eine Gemeinde) |
| Risiko-Ampel | 68,4 % nicht grün | 10,9 % dunkelrot |
| exponierte Dienste | 3,3 der zwölf erfassten Dienste | 28 offene Ports |
| CVE-Nennungen | bei 13,0 % der Gemeinden | 34.120 Fundstellen gesamt |
| Passwortlänge (Klartext) | 8,2 Zeichen | 325 Passwörter mit höchstens 6 Zeichen |
Tab. 5: Durchschnittsprofil. Quelle: passive IP-Recherche und Darknet-Monitoring risikomonitor.com.
884 Gemeinden stehen in Leak-Datenbanken, 986 in Combolisten, 1.084 in mindestens einer der beiden. Betroffen sind vor allem Bürgerinnen und Bürger als Kunden sowie das Personal der Gemeinden.
13,0 % der Gemeinden betreiben Software mit öffentlich dokumentierten Lücken, 23,5 % bieten FTP im Klartext an, 7,9 % eine offen erreichbare Datenbank.
Die Gemeinde trägt die Verantwortung für die Sicherheit ihrer Daten. Dienstleister haften daneben aus Vertrag und, wo erfasst, aus eigenen NIS-2-Pflichten.
Als Verantwortliche im Sinne der DSGVO muss die Gemeinde nach Art. 32 dem Risiko angemessene technische und organisatorische Maßnahmen treffen. Diese Pflicht ist nicht delegierbar; IT-Dienstleister sind regelmäßig Auftragsverarbeiter nach Art. 28.15
Betroffene können nach Art. 82 DSGVO Ersatz materieller und immaterieller Schäden verlangen.15 Wer bekannte Risiken wie geleakte Passwörter nicht behebt, hat es im Streitfall schwer, angemessene Sorgfalt nachzuweisen.
Seit 1. Oktober 2026 gelten Registrierungs- und Meldepflichten.4 Gemeinden sind häufig ausgenommen, aber nicht immer: Entscheidend ist, wer Trinkwasser, Abwasser oder Abfallentsorgung tatsächlich betreibt, und die Größe der gesamten Organisation einschließlich ihrer Betriebe.4 Als Größenschwellen nennt KOMMUNAL 50 Mitarbeitende bzw. zehn Millionen Euro Umsatz.9
Die NIS-2-Richtlinie verlangt von erfassten Einrichtungen ein Risikomanagement, das die Behandlung von Schwachstellen ausdrücklich umfasst (Art. 21).16
Neben der DSGVO prägen 2026 zwei neue österreichische Gesetze und ein anerkannter Standard den Rahmen für kommunale IT-Sicherheit.
Das Resilienzgesetz für kritische Einrichtungen (RKEG) setzt die EU-Richtlinie zur Resilienz kritischer Einrichtungen um und gilt seit 1. März 2026.21 Es erfasst elf Sektoren, darunter Trinkwasser, Abwasser, digitale Infrastruktur und öffentliche Verwaltung. Ob eine Einrichtung kritisch ist, stellt das Innenministerium per Bescheid fest. Pflichten sind unter anderem eine Risikoanalyse binnen neun Monaten, ein Resilienzplan binnen zehn Monaten und die Meldung erheblicher Vorfälle binnen 24 Stunden; die Strafen reichen bis 500.000 Euro.21
Die IKT-Nutzungsverordnung regelt seit 2009 die Nutzung der staatlichen IKT-Infrastruktur durch Bedienstete, etwa zu Internet, E-Mail sowie Datenspeicherung und Datensicherung.23 Für Gemeinden ist sie kein unmittelbar bindendes Recht, aber ein brauchbares Muster für eigene Nutzungs- und Sicherheitsrichtlinien.
Während das NISG 2026 vor allem die digitale Sicherheit adressiert, deckt das RKEG auch die physische und organisatorische Widerstandsfähigkeit ab. Viele Stellen erfüllen beide Regime.21
Als praktischen Maßstab gibt es das Österreichische Informationssicherheitshandbuch von Bundeskanzleramt und A-SIT, das Gegenstück zum deutschen BSI-IT-Grundschutz.22 Es ist nicht verpflichtend, bietet aber einen anerkannten Maßnahmenkatalog, an dem sich eine Gemeinde ausrichten kann.
| Pflicht | Gemeinde | IT-Dienstleister | Bedienstete |
|---|---|---|---|
| Sicherheit der Verarbeitung (Art. 32 DSGVO) | ja, als Verantwortliche, nicht delegierbar | als Auftragsverarbeiter (Art. 28) | nein |
| NISG 2026: Registrierung, Meldung, Risikomanagement | wenn erfasst, etwa als Betreiber von Wasser, Abwasser, Abfall | wenn selbst erfasst | nein |
| Systeme patchen, Klartextdienste abschalten | Auftrag und Kontrolle | Umsetzung im Betrieb | nein |
| Mehrfaktor-Authentifizierung | Vorgabe und Durchsetzung | technische Bereitstellung | Nutzung |
| Keine dienstliche Nutzung privater Passwörter | Richtlinie und Schulung | technische Mindeststandards | ja |
| Haftung gegenüber Betroffenen (Art. 82 DSGVO) | ja | anteilig möglich | nein |
| Priorität | Maßnahme | Wirkung | Bezug |
|---|---|---|---|
| SOFORT | Kompromittierte Passwörter zurücksetzen, Domains laufend überwachen | verhindert Anmeldungen mit geleakten Zugangsdaten | 984 Gemeinden |
| SOFORT | FTP sowie POP3 und IMAP ohne TLS abschalten oder umstellen | schließt die verbreitetsten Klartextdienste | bis 14,5 % |
| KURZFRISTIG | Mehrfaktor-Authentifizierung für E-Mail, VPN, Verwaltungsportale | macht geleakte Passwörter weitgehend wirkungslos | 422 gemeinde@ |
| KURZFRISTIG | Infostealer-Verdacht auf Endgeräten prüfen | entfernt aktive Schadsoftware | 387 Einträge |
| KURZFRISTIG | OpenSSH und Apache httpd aktualisieren | schließt die fünf relevantesten CVEs | 13,0 % |
| MITTELFRISTIG | SPF, DKIM und DMARC für alle Gemeinde-Domains | verhindert E-Mail-Spoofing im Namen der Gemeinde | Studie 06 |
| MITTELFRISTIG | Datenbank-Ports per Firewall vom Internet trennen | entfernt das kritischste direkte Expositionsrisiko | 1,8 % |
| MITTELFRISTIG | Getrenntes Backup und Wiederanlaufplan | begrenzt Stillstand nach einem Angriff | Korneuburg |
Tab. 6: Maßnahmenplan. Bezug: Befund dieser Studie bzw. Fallbeispiel, auf das sich die Maßnahme stützt.
Gemeinden können sich registrieren und erhalten sehr günstig einen vollen Cybersecurity-Check: genau das, was Angreifer über die eigene Gemeinde bereits wissen, als Grundlage zum Nachbessern.
Zur Registrierung: gemeinde.risikomonitor.comFragen? Manuel Löw-Beer · [email protected]
| Darknet (N = 2.086) | Wert |
|---|---|
| Gemeinden in Leak-Datenbanken | 882 (42,3 %) |
| Gemeinden in Combolisten | 984 (47,2 %) |
| Datensätze gesamt | 272.809 |
| davon Leak-Datensätze | 6.184 |
| davon Combolisten | 266.625 |
| Kunden betroffen | 7.758 |
| Dritte betroffen | 1.901 |
| Personal betroffen | 88 |
| Endgeräte (Infostealer-Indiz) | 395 |
| Klartext-Passwörter | 958 |
| davon schwach | 446 (46,6 %) |
| davon stark | 34 (3,5 %) |
| Combolisten schwach (Stufe 1 bis 3) | 108.109 (40,5 %) |
| Combolisten stark (Stufe 7 bis 10) | 96.069 (36,0 %) |
| Infrastruktur | Wert |
|---|---|
| Server in Österreich | 36,1 % |
| Server in Irland (Microsoft) | 29,5 % |
| Server im Ausland gesamt | 63,9 % |
| Server in Deutschland | 27,8 % |
| FTP offen | 23,5 % |
| POP3 / IMAP ohne TLS | 12,8 % / 12,6 % |
| MySQL offen | 7,9 % |
| Wildcard-Zertifikate | 12,4 % |
| Gemeinden mit CVEs | 13,0 % |
| eindeutige CVEs | 1.270 |
| Subdomains gesamt | 7.796 |
| eindeutige IP-Adressen | 1.380 |
Alle Werte Oktober 2026. Quelle: passive IP-Recherche und Darknet-Monitoring risikomonitor.com.
Alle Zahlen zu Infrastruktur, Schwachstellen und Zugangsdaten stammen aus unserer passiven Analyse öffentlich zugänglicher Daten und aus öffentlichen Darknet-Quellen, Datenstand Oktober 2026. Es fand kein aktiver Penetrationstest statt, kein Scan, kein Verbindungsaufbau und kein Anmeldeversuch.
Angaben zu Angriffsfällen, Schwachstellen und Rechtslage wurden am 28.10.2026 an den Originalquellen geprüft. Angaben der Angreifer sind als Täterangabe gekennzeichnet, eigene Schätzungen als solche ausgewiesen.
Einzelne Gemeinden der Erhebung werden nicht genannt, Passwörter nur als Muster beschrieben. Gemeindedaten werden intern verschlüsselt gespeichert und nicht an Dritte weitergegeben; Grundlage sind Dienstleistungsverträge bzw. berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO.
| Feld | Wert |
|---|---|
| Herausgeber | risikomonitor.com gmbh |
| Sitz | Lassallestraße 7b, 1020 Wien, Österreich |
| Firmenbuch | FN 578509 z, LG Wiener Neustadt |
| Kontakt | [email protected] |
| Erhebung und Analyse | risikomonitor.com gmbh |
| Autor | M. Löw-Beer |
| Studienreihe | Risikomonitor Studie 10 |
| Datenstand | Oktober 2026 |
| Version | 1.0 |
Die Studie wird von der risikomonitor.com gmbh veröffentlicht. Erhebung, Datenhaltung und Auswertung liegen bei der risikomonitor.com gmbh. Gemeinden können die Befunde zu ihrer eigenen Gemeinde über gemeinde.risikomonitor.com anfordern.
Die Inhalte wurden sorgfältig recherchiert und aufbereitet. Fehler können trotz Qualitätssicherung nicht vollständig ausgeschlossen werden. Eine Haftung für Richtigkeit, Vollständigkeit oder Aktualität sowie für Schäden aus der Nutzung ist ausgeschlossen, soweit gesetzlich zulässig.
Wiedergabe und Verbreitung sind unter Quellenangabe („risikomonitor.com gmbh, Kommunale IT-Sicherheit in Österreich 2026") gestattet; bei Auszügen oder Bearbeitungen ist ein Hinweis anzubringen. Aggregierte Daten stehen unter CC-BY-4.0.
Manuel Löw-Beer, MBA MPA, Founder & CEO · [email protected]