Litauen verliert 600,000 Eigentumsdaten

Grundbucheinträge, Handelsregisterunterlagen und Hypothekendaten liegen in Europa in staatlichen Datenbanken. Diese Register sind das rechtliche Fundament von Eigentum: Sie klären, wem ein Haus gehört, wer eine Gesellschaft führt und welche Sicherheiten auf Immobilien lasten. 2026 haben mindestens fünf EU-Mitgliedstaaten schwere Sicherheitsvorfälle in genau solchen Systemen erlebt. Eine der grundlegendsten digitalen Infrastrukturen Europas ist offenbar deutlich schlechter geschützt, als viele Bürger annehmen.

Der Schlüssel der Reinigungsfirma

Am 22. Mai bestätigte Litauens Generalstaatsanwaltschaft, dass Angreifer mehr als 600.000 Datensätze aus den Immobilien- und Unternehmensregistern des Landes illegal kopiert hatten. Betroffen waren Angaben zu Immobilieneigentum und Unterlagen juristischer Personen. Der Leiter des Registerzentrums trat noch am selben Tag zurück.

Besonders aufschlussreich ist der Zugangsweg. Litauische Ermittler stellten fest, dass unbefugte Anmeldungen aus dem Ausland kamen, aber über Systeme anderer staatlicher Institutionen liefen. Die Angreifer griffen das Register also nicht frontal an, sondern nutzten ein vertrautes Nachbarsystem und dessen Berechtigungen. Das ist, als würde man nicht das Türschloss knacken, sondern der Reinigungsfirma den Schlüssel stehlen.

Solche Daten haben unmittelbaren kriminellen Wert. Eigentumsangaben in Verbindung mit Namen erleichtern Identitätsbetrug, fingierte Hypothekenanträge oder die Gründung von Briefkastenfirmen zur Geldwäsche.

Fünf Länder, dieselbe Schwachstelle

Litauen ist der jüngste Fall, doch das Muster reicht quer durch Europa.

In Malta lud eine in Berlin ansässige Sicherheitsforscherin 1,3 Mio. Unternehmensdokumente aus dem Unternehmensregister herunter, weil eine API falsch konfiguriert war. Eine API ist die digitale Schnittstelle, über die Software Datenbanken abfragt. Ein Einbruch war nicht nötig: Die Schnittstelle berechnete schlicht 0,01 EUR pro Dokument und setzte keine wirksamen Zugriffslimits.

In Bulgarien forderte der Justizminister die Entlassung des Direktors der Registeragentur, nachdem eine Prüfung ergeben hatte, dass 60 Prozent der Stellen unbesetzt waren und es keinen Informationssicherheitsbeauftragten gab.

In Italien zerschlug die Staatsanwaltschaft Neapel ein Netzwerk, in dem zwei Polizisten über zwei Jahre hinweg rund 730.000 unbefugte Abfragen in staatlichen Datenbanken vorgenommen und Personendaten zu Festpreisen verkauft haben sollen: 25 EUR für eine Abfrage beim Innenministerium, 6 bis 11 EUR für Steuerdaten. Das System protokollierte jeden Zugriff, erkannte das Muster aber nicht. Gegen 85 Personen wurde ermittelt. Auch Frankreich war nach früheren Recherchen von To Brief von einer Serie von Angriffen auf Verwaltungssysteme betroffen, darunter Vorfälle mit mehr als 1,2 Mio. Bankkonten.

Allen fünf Fällen liegt dieselbe Schwäche zugrunde: Die Register hielten fest, wer sich anmeldete, bemerkten aber nicht, wann sich das Zugriffsverhalten ungewöhnlich veränderte.

Die Lücke zwischen Gesetz und Schloss

Die EU-Richtlinie NIS2, seit Oktober 2024 in Kraft, zählt die öffentliche Verwaltung zu den Sektoren mit besonders hohen Cybersicherheitsanforderungen. Nationale Register gelten als „wesentliche Einrichtungen“ und müssen Risikobewertungen vornehmen sowie Sicherheitsvorfälle binnen 24 Stunden melden.

Die Umsetzung bleibt weit hinter dem Regelwerk zurück. In Deutschland, das die Richtlinie erst im Dezember 2025 umgesetzt hat, waren nach früheren Recherchen von To Brief bis zur Frist im März 2026 nur rund 38 Prozent der betroffenen Organisationen bei der zuständigen Bundesbehörde registriert. Unklar ist weiterhin, ob alle Bundesländer ihre Grundbuchregister überhaupt gemeldet haben.

Litauen hatte NIS2 bereits umgesetzt, als seine Register kompromittiert wurden. Die Richtlinie verlangt Zugriffskontrollen, schreibt aber keine automatische Erkennung auffälliger Muster ausdrücklich vor. Praktisch heißt das: Wenn ein Nutzer, der normalerweise zehn Abfragen am Tag stellt, plötzlich zehntausend Datensätze abruft, müsste das System Alarm schlagen. Genau diese Fähigkeit fehlte den betroffenen Registern offenbar.

Estlands X-Road-Architektur zeigt, wie es besser gehen kann. Jede Abfrage zwischen staatlichen Systemen erhält dort eine manipulationssichere digitale Signatur; dadurch entsteht ein detailliertes Protokoll darüber, wer wann auf welche Daten zugegriffen hat. Massenhafte Datenabzüge lassen sich so schwerer verbergen. Vollständig verhindern kann aber auch X-Road den Missbrauch legitimer Zugangsdaten durch Insider nicht.

Diese Register speichern, wem ein Haus gehört, wer ein Unternehmen leitet und welche Hypothek auf einer Immobilie liegt. Sie erzeugen nicht die Bilder eines Ransomware-Angriffs auf ein Krankenhaus. Doch sie sind die rechtliche Infrastruktur europäischer Volkswirtschaften. Genau diese Infrastruktur verliert Daten, und Europas Regulierungsarchitektur hat mit der Größe des Problems noch nicht Schritt gehalten.