Ein Klick, eine gescheiterte Erpressung und plötzlich steht der Immobilienmarkt eines ganzen EU-Landes still. Wie das Sicherheitsmedium Cybernews berichtet, drang ein Angreifer mit gültigen Zugangsdaten in die Systeme der rumänischen Katasterbehörde ANCPI (Agenția Națională de Cadastru și Publicitate Imobiliară) ein. Sein Plan: Die Behörde mit den erbeuteten Daten erpressen. Als ANCPI nicht zahlte, zog er die Reißleine und löschte, was er zuvor kopiert hatte. Interne Dokumente, Zugangsdaten von Mitarbeitenden und, am schwerwiegendsten: die komplette Grundbuchdatenbank des Landes.
170.000 Wohnimmobilien
Seit dem 14. Juli sind die Dienste der ANCPI rumänischen Medienberichten zufolge nicht mehr verfügbar. Für Notari:nnen bedeutet das: Sie können keine neuen Transaktionen mehr eintragen. Bürgerinnen erhalten weder Eigentumsnachweise noch Grundbuchauszüge. In der Praxis heißt das, dass sich Verkäufe nicht mehr beglaubigen und Hypotheken nicht mehr eintragen lassen. Der Markt ist faktisch eingefroren.
Wie unmittelbar das den Berufsalltag trifft, zeigt die Klage einer betroffenen Notarin: "Ich bin Notarin. Seit Dienstag kann ich keine Grundbuchauszüge mehr ausstellen, keine Verkäufe mehr beglaubigen und keine Hypotheken mehr eintragen."
Besonders unglücklich ist der Zeitpunkt des Ausfalls. In Rumänien galt beim Vorfall noch ein reduzierter Mehrwertsteuersatz von 9 Prozent auf den Kauf neuer Wohnungen. Mit dem 1. August stieg dieser Satz auf 21 Prozent. Zahlreiche Käufe waren entsprechend so terminiert, dass sie noch vor diesem Stichtag abgeschlossen werden sollten, nun aber blockiert der Systemausfall genau jene Beurkundungen, die dafür nötig wären. Zum Vergleich, wie viel in dem Land grundsätzlich auf dem Spiel steht: Jährlich wechseln in Rumänien zwischen 150.000 und 170.000 Wohnimmobilien den Besitzer.
Technisch nicht anspruchsvoll
Die ANCPI selbst sprach zunächst nur von technischen Problemen, ehe sie den Cyberangriff einräumte und ihn seither als "Cybersicherheitsvorfall" bezeichnet.
Der Vorfall wirft zugleich ein Schlaglicht auf jahrelange Versäumnisse bei der IT-Sicherheit der Behörde. Laut "Cybernews" investierte die ANCPI in den vergangenen 20 Jahren rund 135 Millionen Euro in ihre Digitalisierung, davon jedoch nur etwa 0,2 Prozent, umgerechnet rund 305.000 Euro, in Cybersicherheit. Die nationale Cybersicherheitsbehörde DNSC gibt an, die ANCPI bereits zuvor auf Schwachstellen hingewiesen zu haben, wobei DNSC-Direktor Dan Cîmpean einräumte, der Angriff sei technisch nicht besonders anspruchsvoll gewesen und hätte verhindert werden können.
Spur führt zu bekanntem Darknet-Account
Hinter dem Angriff soll laut Berichten zufolge ein Darknet-Account mit dem Namen "ByteToBreach" stehen, der bereits Anfang des Jahres ein schwedisches E-Government-Portal attackiert haben soll. Das Sicherheitsunternehmen KELA verortet den Account bei einer in Oran, Algerien, ansässigen Person und beschreibt diese als "technisch versierten Cyberkriminellen, der sensible Daten von Fluggesellschaften, Banken und Regierungen weiterverkaufe". Die Daten werden dem Bericht zufolge im Darknet angeboten. Eine unabhängige Bestätigung dieser Zuordnung steht bislang aus. Cybernews zufolge soll ByteToBreach zudem für Angriffe auf Behördenregister in der Slowakei, der Ukraine, Polen und Litauen verantwortlich sein.
Die rumänischen Beamten hätten es unterdessen geschafft, zumindest die Website der ANCPI wiederherzustellen bzw mit Offline-Kopien von Grund auf neu aufzubauen.
