Ransomware legt LVM-Systeme lahm

Digitale Forstverwaltung klingt nach Nische, ist in Lettland aber Alltagsinfrastruktur: Jagdgenehmigungen, Kartenmaterial, Holzdaten und Schnittstellen für Partner laufen über Systeme von Latvijas valsts meži (LVM), dem staatlichen Forstunternehmen. Am 22. Juni traf ein Cyberangriff das Unternehmen während des Jāņi-Mittsommerfests, also zu einem Zeitpunkt, an dem viele Behörden und Betriebe dünner besetzt sind. Nach Angaben von LTV fiel rund die Hälfte der IT-Systeme aus (LTV).

LVM nahm öffentliche Dienste vorsorglich vom Netz, darunter digitale Karten, die Jagd-App Mednis und Datenaustauschsysteme für Partner. Das Unternehmen begann mit der Wiederherstellung aus Sicherungen und erklärte, mit den Angreifern nicht zu kooperieren. Lettlands Cyberabwehrteam CERT.LV bestätigte, gestohlenes Material sei online veröffentlicht worden; welche Daten tatsächlich abgeflossen seien, werde noch untersucht. Die Einschätzung der Ermittler lautet bisher: Es handele sich um einen kommerziell motivierten Erpressungsangriff, nicht um eine staatlich gesteuerte Operation (LTV). Damit hat wohl eine kriminelle Gruppe aus Gewinninteresse Dienste lahmgelegt, auf die Bürger und Unternehmen im Alltag angewiesen sind.

Alte Leitungen hinter neuen Wänden

Große öffentliche Organisationen wirken nach außen oft modern: Webportale, mobile Anwendungen, interaktive Karten. Dahinter stehen aber häufig gewachsene IT-Landschaften, in denen alte Anmeldesysteme, schlecht dokumentierte Schnittstellen und externe Fernzugänge neben neuer Software weiterlaufen. Für Bürger ist diese technische Schichtung unsichtbar. Für Angreifer ist sie der erste Suchraum.

Ransomware-Gruppen dringen typischerweise über gestohlene Passwörter oder ungepatchte Systeme ein. Danach versuchen sie, aus einem begrenzten Zugang schrittweise Administratorrechte zu gewinnen und sich durch weitere Systeme zu bewegen, bis sie zentrale Kontrolle erlangen. Wenn die Erpressernachricht erscheint, kann der Eindringling bereits seit Wochen im Netz gewesen sein (CISA). LTV berichtete, Sondierungen der LVM-Sicherheitssysteme hätten schon vor dem sichtbaren Angriffstag begonnen (LTV).

Öffentliche Betreiber sind dabei besonders verwundbar, weil Ausfälle politisch und praktisch schwer hinnehmbar sind, während Modernisierungen über lange Haushalts- und Beschaffungszyklen laufen. Alte und neue Technik müssen also oft jahrelang gemeinsam betrieben werden (CISA, CrowdStrike). Genau an diesen Übergängen zwischen Altbestand und moderner Oberfläche brechen Sicherheitskonzepte häufig.

Das Muster nebenan

Der lettische Fall passt in ein größeres regionales Bild. In Litauen untersuchen Behörden den Diebstahl von mehr als 600.000 Auszügen aus dem Immobilienregister, darunter persönliche Identifikationsnummern, beim staatlichen Registerbetreiber Registrų centras (LRT). Der Zugang soll über gestohlene Mitarbeiterkonten erfolgt sein; erste unzulässige Logins datieren demnach auf Anfang 2026. Öffentlich bekannt wurde der Vorgang erst Monate später (TV3). Rund 1.000 Menschen bereiteten Klagen gegen den Staat vor (Verslo žinios).

Technisch unterscheiden sich die Fälle, politisch zeigen sie dieselbe Schwachstelle: zivile Digitalsysteme, die den Alltag organisieren, sind nicht immer so geschützt, wie ihre Bedeutung es verlangt. Wohin das führen kann, hat Deutschland 2021 erlebt. Der Landkreis Anhalt-Bitterfeld stellte den Katastrophenfall fest, nachdem Ransomware Verwaltungsdienste über Wochen beeinträchtigt hatte (Landkreis Anhalt-Bitterfeld).

Neue Regeln treffen auf einen echten Ausfall

Die EU-Richtlinie NIS2 soll Cybersicherheit zur Leitungsverantwortung machen. Betreiber wesentlicher Dienste müssen innerhalb von 24 Stunden nach Entdeckung eines Vorfalls eine Frühwarnung abgeben, binnen 72 Stunden eine ausführlichere Meldung nachreichen und innerhalb eines Monats einen Abschlussbericht vorlegen (EUR-Lex). Die Führungsebene trägt persönlich Verantwortung für das Management von Cyberrisiken (European Commission).

Lettland setzte NIS2 mit Wirkung ab September 2024 in nationales Recht um; Mindestanforderungen an die Cybersicherheit treten im Juli 2025 in Kraft (Business.gov.lv). Nach dem Angriff auf LVM unterzeichnete Lettlands amtierender Ministerpräsident fünf Beschlüsse, mit denen Ministerien über die Sicherheit staatlicher Systeme und den Informationsfluss bei Vorfällen berichten müssen (Kulbergs). Er verband den Vorfall mit überfälligen Cybersicherheitsvorschriften und räumte damit ein, dass Regeln allein wenig nützen, wenn Zuständigkeiten und Abläufe im Ernstfall nicht funktionieren.

Der Test ist nun praktisch, und er reicht weit über Lettland hinaus. Wie lange dauert die Wiederherstellung bei LVM? Erfahren Bürger, ob persönliche Daten betroffen sind? Waren die Sicherungskopien tatsächlich getestet, bevor sie gebraucht wurden? Kann ein Minister benennen, wer in seiner Zuständigkeitskette das Cyberrisiko für jedes öffentliche System trägt? Diese Fragen stellen sich jedem öffentlichen Betreiber in Europa. NIS2 sorgt dafür, dass sie nicht länger unbeantwortet bleiben können.