LuxHawk.lu (+352) 27 52 67 45

← Zurück zu Wissen

Ransomware beim Hausverwalter und das Datenleck der Miteigentümer

Gebäude und Miteigentum 11 min Autor : Arnaud Colin Aktualisiert : 19/09/2026

Zusammenfassung

Wenn der Verwalter einer Eigentümergemeinschaft verschlüsselt wird, verliert diese wochenlang ihren E-Mail-Verkehr, die Rückerstattung ihrer Kautionen und ihre Akten, und die Daten ihrer Miteigentümer sind von Veröffentlichung bedroht und werden mitunter veröffentlicht, wenn das Lösegeld verweigert wird. DBS Group, Oralia, Encevo und Vivalia zeigen, was die Wiederaufnahme ermöglicht: getestete Offline-Sicherungen, getrennte Netze und eine vorbereitete Kommunikation. Ein Datenleck braucht keinen Hacker: SERGIC wurde wegen einer Schwachstelle in der Webadresse mit 400 000 € sanktioniert, und ein luxemburgischer Verwalter von der CNPD mit 1 500 € wegen eines Sammelversands.

Ein Hausverwalter (Syndic) oder ein Immobilienverwalter hält für jeden seiner Auftraggeber genau das, was ein Angreifer sucht: Ausweisdokumente, Bankverbindungen, Mietverträge, Versammlungsprotokolle, Kontostände. Wird seine IT von einer Ransomware verschlüsselt, bleibt das Gebäude stehen, doch seine Verwaltung kommt zum Stillstand: E-Mail-Verkehr unterbrochen, Mietkautionen nicht zurückerstattet, Akten neu aufzubauen. Gelangen diese Daten nach außen, tragen die Miteigentümer und die Mieter die Folgen. Was wird aus einer Eigentümergemeinschaft, wenn ihr Verwalter verschlüsselt wird oder ihre Daten abfließen, und wer zahlt? Sechs dokumentierte Fälle aus der Schweiz, Frankreich, Belgien und Luxemburg erlauben eine Antwort, ohne zu extrapolieren.

DBS Group, Westschweiz, 2021: die verschlüsselte Immobilienverwaltung, die die Zahlung verweigert

Am Morgen des 2. Dezember 2021 öffnet ein Mitarbeiter der DBS Group, einer Tochtergesellschaft von Foncia, die zwölf Marken von Immobilienverwaltungen in der Westschweiz vereint, darunter Domicim und Brolliet, einen infizierten Anhang und meldet dies sofort. Die Meldung hält nichts auf: Die Server werden verschlüsselt und Daten abgezogen, laut RTS und ICTjournal. Die Gruppe zählt rund vierzig Agenturen und mehr als 700 Mitarbeitende, bei einem IT-Team von etwa fünfzehn Personen.

Der E-Mail-Verkehr ist unterbrochen, die Verwaltungen laufen auf Sparflamme, Angestellte stehen ohne Arbeit da, und mindestens eine Mietkaution eines ausziehenden Mieters konnte nicht zurückerstattet werden. Die Geschäftsleitung lehnt eine Zahlung ab, auf Empfehlung der Polizei, die daran erinnert, dass eine Zahlung die Kooperation der Täter in keiner Weise garantiert; im Kanton Waadt wird eine Strafanzeige vorbereitet. Am Abend des Montags, 13. Dezember, veröffentlichen die Angreifer rund 750 MB, präsentiert als Stichprobe von 5 %: Mietverträge, Verträge, Kostenvoranschläge, Einzahlungsscheine mit Bankverbindungen, Mietkautionen, interne E-Mails, Pläne und Tabellen, mit Namen, Adressen, Unterschriften, Mietbeträgen und teilweise Kfz-Kennzeichen, aus allen Westschweizer Kantonen (RTS Genf). Die Lähmung war bis Mitte Januar 2022 angekündigt; in der Zwischenzeit wurden die Kunden an das Telefon verwiesen.

Oralia und Happy-Immo, Frankreich, 2022-2023: der große Konzern und die kleine Agentur

Am Mittwoch, dem 20. April 2022, entdeckt Oralia, Immobilienverwalter und Tochtergesellschaft von Nexity, einen Angriff auf sein Netzwerk und warnt seine Kunden noch am selben Tag, per E-Mail seiner Generaldirektorin, mit einer einfachen Anweisung: „keine Daten per E-Mail übermitteln“ (LeMagIT). Der E-Mail-Verkehr wird am 22. April wiederhergestellt. Zwischen dem 24. und dem 27. April bekennt sich die Gruppe Black Basta, die laut dem Hinweis AA24-131A der CISA im selben Monat aufgetaucht ist, zu dem Angriff und stellt rund sechzig Gigabyte online, 63 GB laut ZATAZ: Kopien von Personalausweisen, Krankenversicherungskarten (Carte Vitale), interne Dokumente und eine Übersicht des Informationssystems. Das Einfallstor wurde nicht öffentlich gemacht.

Die Kommunikation ging sofort hinaus, über einen Kanal, der nicht die kompromittierte Mailbox war, mit dem Verbot, während der Krise Daten per E-Mail zu versenden. Und die Server von Oralia waren von denen von Nexity isoliert: Eine Ausbreitung auf die Muttergesellschaft musste nicht befürchtet werden. Das Kundenportal blieb mehrere Tage unerreichbar, und die Personen, deren Dokumente veröffentlicht wurden, bleiben gezieltem Phishing ausgesetzt.

Eine weitaus kleinere Agentur erlebte knapp ein Jahr später das Gleiche. Am 10. März 2023 um 5.36 Uhr dringt eine Ransomware über einen mit dem Server verbundenen Rechner bei Happy-Immo ein; 450 Kundenakten werden gelöscht. Das Lösegeld von 100.000 €, später auf 10.000 € gesenkt, wird nicht gezahlt. Die Agentur verbringt eine Woche ohne Geschäftstätigkeit, mobilisiert ihre 85 Mitarbeitenden, erstattet Anzeige und meldet den Vorfall der CNIL und der ANSSI; zum Zeitpunkt der Reportage von France 3 Hauts-de-France am 16. März 2023 waren rund hundert Akten von Hand wiederhergestellt.

Encevo, Creos und Enovos, Luxemburg, 2022: die Portale betroffen, die Versorgung verschont

In der Nacht vom 22. auf den 23. Juli 2022 werden die luxemburgischen Einheiten der Encevo-Gruppe, Strom- und Gasversorger, darunter Creos und Enovos, Opfer eines Cyberangriffs. Die Pressemitteilung vom 25. Juli, wiedergegeben auf der eigens eingerichteten Seite von Encevo, kündigt gestörte Kundenportale, einen Krisenstab und eine wesentliche Präzisierung an: Die Strom- und Gasversorgung ist nicht betroffen, und der Störungsdienst bleibt gewährleistet. Am 28. Juli bestätigt die Gruppe, dass eine gewisse Menge an Daten abgeflossen ist (BleepingComputer). Am Samstag, dem 30. Juli, nimmt die Gruppe ALPHV/BlackCat Creos auf ihre Erpressungsseite auf und droht mit der Veröffentlichung von 180.000 Dateien, das heißt 150 GB: Verträge, Vereinbarungen, Pässe, Rechnungen, E-Mails (Le Quotidien, Paperjam). Diese Volumen entsprechen den Angaben der Angreifer; weder die Höhe des Lösegelds noch der Angriffsvektor wurden bekannt gegeben.

Creos zählte damals laut Le Quotidien rund 300.000 Stromkunden und 49.000 Gaskunden. Die Reaktion folgte einer klaren Reihenfolge: Anzeige bei der großherzoglichen Polizei, Meldung an die CNPD, das ILR und die zuständigen Ministerien, Analyse der abgeflossenen Daten, um die betroffenen Personen zu informieren, und der Rat an die Kunden, ihre Zugangsdaten zu ändern, auch anderswo, falls sie dasselbe Passwort wiederverwendeten. Die Pressemitteilung unterscheidet selbst zwischen dem Informationssystem und den Portalen, die betroffen waren, und dem physischen Betrieb, der verschont blieb: Nichts deutet darauf hin, dass Zähler erreicht wurden.

Vivalia, Provinz Luxemburg, 2022: ein ganzes Gebäude kehrt zum Papier zurück

Dieser Fall betrifft keinen Verwalter, zeigt aber, was eine Ransomware einem ganzen Gebäude antut, ohne seine technischen Anlagen zu berühren. In der Nacht von Freitag, dem 13., auf Samstag, den 14. Mai 2022, kurz vor 3.30 Uhr, wird eine Ransomware im Netzwerk von Vivalia entdeckt, einer Gruppe von Pflegeeinrichtungen der Provinz Luxemburg in Belgien, wenige Kilometer von der großherzoglichen Grenze entfernt: sechs Krankenhausstandorte, eine Poliklinik, vier Alten- und Pflegeheime, ein psychiatrisches Pflegeheim und drei Kinderkrippen, für 47 angeschlossene Gemeinden, laut der von der belgischen Presse am 14. Mai wiedergegebenen Mitteilung. Rund 200 Server und 1.500 Computer sind betroffen; Sprechstunden, nicht dringende Operationen und bildgebende Untersuchungen werden abgesagt, und die Patientenakten werden von Hand geführt. Am 18. Mai bekennt sich die Gruppe LockBit zu dem Angriff und setzt ein Ultimatum auf den 26. Mai; an diesem Tag wird die Veröffentlichungsdrohung zurückgezogen, ohne dass eine Veröffentlichung bekannt wäre und ohne dass je eine Zahlung bestätigt wurde. Die Wiederaufnahme an vier Standorten erfolgt erst am 28. Juni, rund sechs Wochen später (CERT Santé).

Der Fall wurde von der belgischen Bundesstaatsanwaltschaft übernommen. Teams des CERT.be kamen vor Ort; die Anweisung, nicht zu zahlen, wurde in Erinnerung gerufen, und in den vorrangigen Abteilungen wurden Rechner ohne externe Verbindung neu aufgestellt. Ende Juni 2022 wurde ein Defizit von rund 9,7 Millionen Euro berichtet, eine Zahl, die nicht mit den Jahresabschlüssen abgeglichen werden konnte. Für eine Wohnanlage ist der Zeitfaktor das Entscheidende: sechs Wochen Notbetrieb.

SERGIC und ein luxemburgischer Verwalter: das Datenleck ohne Hacker

Die beiden letzten Fälle haben keinen Angreifer: Ein Datenleck braucht keine Ransomware, und im Fall von SERGIC musste die CNIL nicht nachweisen, dass ein Dritter die Daten eingesehen hatte, um zu sanktionieren; die Zugänglichkeit und die Langsamkeit der Behebung genügten.

Im März 2018 wird SERGIC, einem französischen Immobilienverwalter, der auch als Verwalter von Eigentümergemeinschaften tätig ist, eine Schwachstelle gemeldet: Die von Mietbewerbern auf seiner Website hochgeladenen Unterlagen sind durch Ändern einer Nummer in der Adresse des Dokuments zugänglich, ohne jede Authentifizierung. Eine Beschwerde geht am 12. August 2018 bei der CNIL ein; bei den Kontrollen vom 7. und 13. September lädt die Delegation 9.446 Dokumente herunter und stellt fest, dass 290.870 Dateien zugänglich sind: Personalausweise, Carte-Vitale-Karten, Steuerbescheide, Sterbe- und Heiratsurkunden, Scheidungsurteile, Kontoauszüge. Die Korrektur wird erst am 17. September 2018 wirksam, sechs Monate nach der Meldung. Mit ihrem Beschluss SAN-2019-005 vom 28. Mai 2019 verhängt die CNIL eine Geldbuße von 400.000 € und deren Veröffentlichung: Verstoß gegen Artikel 32 DSGVO, wobei die Authentifizierung als elementare Maßnahme eingestuft wird, und gegen Artikel 5 Absatz 1 Buchstabe e, da die Akten der nicht berücksichtigten Bewerber unbegrenzt aufbewahrt wurden, obwohl sie nach der Wohnungsvergabe nicht länger als drei Monate in der aktiven Datenbank verbleiben dürfen. Der Conseil d’État hat die Klage am 4. November 2020 abgewiesen: Die CNIL darf eine Schwachstelle online ohne Vorankündigung feststellen und ohne vorherige Verwarnung sanktionieren. Die DSGVO gilt in Luxemburg in gleicher Weise.

In Luxemburg selbst betrifft der Beschluss Nr. 18FR/2022 der CNPD vom 13. Dezember 2022 einen Verwalter. Am 11. Februar 2019 richtet dieser an sechs Empfänger eine Zahlungserinnerung mit zwei Schreiben im Anhang, die die individuellen Kontostände von 2018 und 2019 sowie die Privatadresse zweier Miteigentümer wiedergeben: Namen, monatliche Buchungen und Sollsalden, gelesen von ihren Nachbarn. Die beiden Miteigentümer beantragen bereits am 13. Februar Auskunft über ihre Daten; sie erhalten am 16. April lediglich eine lückenhafte Informationsnotiz. Der Verwalter berief sich auf die großherzogliche Verordnung vom 13. Juni 1975; die CNPD stellt Verstöße gegen die Artikel 5 Absatz 1 Buchstabe a und 6 Absatz 1 DSGVO (Rechtmäßigkeit der Verbreitung) sowie 12 Absätze 3 und 4 und 15 Absatz 1 Buchstaben b und c (Auskunftsrecht) fest, die als nicht vorsätzlich eingestuft werden. Die Geldbuße beträgt 1.500 €, ohne Abhilfemaßnahme, da der Verwalter kein Mandat mehr hat; er hatte nach dem 29. Juli 2020 aufgehört, der Behörde zu antworten. Das Verfahren dauerte fast vier Jahre, und die Entscheidung ist, anonymisiert, öffentlich.

Der Betrag ist gering; was für einen Verwalter wiegt, ist, dass alle Miteigentümer die E-Mail erhalten haben. Der Kontostand eines Miteigentümers ist ein personenbezogenes Datum: Die Zahlungserinnerung geht allein an den Schuldner, und ein Auskunftsersuchen erhält seine Antwort innerhalb eines Monats.

Was ein Gebäude oder eine Eigentümergemeinschaft in Luxemburg daraus lernt

Die Maßnahmen, die diese sechs Fälle nahelegen, gehören zur Governance der Eigentümergemeinschaft mehr als zur IT.

  • Die Wahl des Verwalters ist eine Governance-Entscheidung. Das Gebäude erbt die Schwachstellen seines Dienstleisters, wie die Kunden von Creos die ihres Versorgers. Fragen Sie den Verwalter vor der Unterzeichnung oder Verlängerung eines Mandats, wo die Daten der Eigentümergemeinschaft gehostet werden, wer sie sichert und, falls er zu einem Konzern gehört, ob seine Server von denen des Konzerns isoliert sind, wie die von Oralia von Nexity isoliert waren.
  • Die getestete Offline-Sicherung ist das, was die Wiederaufnahme ermöglicht. Bei DBS Group hat die sofortige Meldung die Verschlüsselung nicht verhindert; bei Happy-Immo mussten die 450 gelöschten Akten von Hand wiederhergestellt werden, und sechs Tage später waren es erst rund hundert. Die nützliche Frage lautet nicht „Haben Sie Sicherungen?“, sondern „Wann haben Sie zuletzt eine Wiederherstellung durchgeführt?“.
  • Büro-IT und Betrieb trennen. Die Pressemitteilung von Encevo unterscheidet die betroffenen Portale von der verschonten Energieversorgung. Dasselbe Prinzip gilt zwischen dem Rechner des Verwalters und der Gebäudetechnik: Heizung, Türen, Kameras.
  • Nur das Notwendige aufbewahren. Pässe bei Encevo, Personalausweise bei Oralia, Akten nicht berücksichtigter Bewerber bei SERGIC: Was nicht aufbewahrt wird, kann nicht abfließen, und die unbegrenzte Aufbewahrung ist für sich genommen ein sanktionierter Verstoß.
  • Der Sammelversand verpflichtet die ganze Wohnanlage. Die Zahlungserinnerung geht allein an den Schuldner; was für die Buchhaltung gilt, gilt für Einladungen und Protokolle, und das Ende des Mandats löscht die Verantwortung nicht.
  • Eine Schwachstellenmeldung löst eine terminierte Korrektur aus. Bei SERGIC haben sechs Monate zwischen Meldung und Korrektur in der Sanktion gewogen. Fragen Sie den Anbieter des Miteigentümer-Extranets, ob ein Dokument durch Ändern einer Nummer in der Adresse erreicht werden kann.
  • Kommunikation und Haltung zum Lösegeld vorbereiten. Oralia hat seine Kunden noch am selben Tag gewarnt, außerhalb der kompromittierten Mailbox. Ein Verwalter muss wissen, über welchen Kanal er seine Miteigentümer erreicht, wenn sein E-Mail-Verkehr ausfällt, und im Voraus entscheiden, ob er zahlen wird; die Polizei hat im Schweizer Fall davon abgeraten, und dieselbe Anweisung wurde im belgischen Fall in Erinnerung gerufen.
  • Schnell melden, dann die Miteigentümer vor den Betrügern warnen. Die DSGVO lässt 72 Stunden für die Meldung an die Behörde (Artikel 33) und verlangt, die betroffenen Personen unverzüglich zu benachrichtigen (Artikel 34). Die nach DBS Group und Oralia veröffentlichten Daten sind das, was für einen Überweisungsbetrug nötig ist: Nach einem Datenleck müssen die Auftraggeber wissen, dass jede Änderung der Bankverbindung über einen anderen Kanal überprüft wird, und ihre Zugangsdaten ändern, wie Encevo es seinen Kunden geraten hat.

Quellen