Cyberangriff auf rumänisches Grundbuch legt Immobilienmarkt lahm

Hinter dem Angriff steht nach Angaben des israelischen Cybersecurity-Unternehmens KELA ein Akteur, der unter dem Pseudonym „ByteToBreach“ auftritt. KELA ordnet das Konto einer Person aus Oran in Algerien zu, beschrieben als technisch versierter Cyberkrimineller. Die Plattform Cybernews hatte zuvor über den Darknet-Account berichtet. Eine unabhängige Bestätigung der Täterschaft steht laut den vorliegenden Informationen noch aus.

Täter und Vorgeschichte

Nach einer gescheiterten Erpressung löschte der Angreifer offenbar zuvor erbeutete Daten, darunter interne Dokumente, Mitarbeiter-Zugangsdaten und die eigentliche Grundbuchdatenbank. Am 15. Juli tauchten Datensätze aus dem Grundbuch laut Public Record im Darknet zum Verkauf auf – unter dem Titel „[RO] Thy arss shall be spanked, Romania! [ANCPI]“.

Die ANCPI bestätigte inzwischen den Vorfall und bezeichnete ihn als „Cybersicherheitsvorfall“. Zunächst hatte die Behörde von technischen Problemen gesprochen. Direktor Dan Cîmpean räumte ein, dass der Angriff nicht besonders komplex gewesen sei und hätte verhindert werden können. Auf ein Lösegeldverlangen ging die Behörde nicht ein.

Wiederherstellung aus Backups

Erste Entwarnung kam bei der Datenwiederherstellung: Die ANCPI erklärte, sie verfüge über mehrere Standorte mit Offline-Backup-Kopien, aus denen das gesamte Agenturnetz neu aufgebaut werde. „Entgegen einigen in der Öffentlichkeit kursierenden Informationen verfügte die ANCPI zum Zeitpunkts des Vorfalls über mehrere Standorte zur Aufbewahrung von Backup-Kopien – eine Maßnahme, die Redundanz und die Möglichkeit der Datenwiederherstellung im Falle von Cybersecurity-Vorfällen gewährleistet“, hieß es in einer Pressemitteilung. Die rumänische Website der Behörde ist nach Behördenangaben bereits wiederhergestellt.

Besonders prekär wirkt der Zeitpunkt des Vorfalls: Viele Immobilienkäufe waren auf einen Abschluss vor dem 1. August terminiert, denn dann steigt der reduzierte Mehrwertsteuersatz für neu gebaute Wohnungen von derzeit 9 auf 21 Prozent. In Rumänien werden nach Branchenangaben jährlich zwischen 150.000 und 170.000 Wohnimmobilien verkauft.

Folgen für den Markt und Hinweise auf Versäumnisse

Zur Vorgeschichte: ByteToBreach soll bereits Behördenregister in der Slowakei, der Ukraine, Polen und Litauen angegriffen haben, wie Cybernews berichtet. Frühere Attacken richteten sich zudem gegen Organisationen in Kasachstan, Zypern, Chile, Usbekistan und den Vereinigten Staaten. Nach Darstellung von KELA vertreibt die Person sensible Daten von Fluggesellschaften, Banken und Regierungen. In diesem Jahr soll ByteToBreach auch ein schwedisches E-Government-Portal attackiert haben. KELA benennt den mutmaßlichen Hacker namentlich als Zakaria Mahdjoub.

Offenbar gelang der Zugriff über gültige Zugangsdaten. Die nationale Cybersicherheitsbehörde DNSC erklärte, sie habe die ANCPI zuvor auf Schwachstellen hingewiesen. Nach Berechnungen von Cybernews flossen in den vergangenen 20 Jahren rund 135 Millionen Euro in die Digitalisierung der ANCPI – davon nur etwa 0,2 Prozent, also rund 305.000 Euro, in Cybersicherheit.

Der Vorfall wirft ein Schlaglicht auf den Zustand kritischer digitaler Infrastruktur: Die Wiederherstellung des Online-Systems der ANCPI soll laut aktuellen Angaben am Mittwoch in die Cloud-Migration münden. Bis dahin bleibt der rumänische Immobilienmarkt faktisch blockiert.