Wien (OTS) – Datensicherheit hat für die Stadt Wien einen hohen Wert.
Das umfasst
zahlreiche Maßnahmen wie die Sensibilisierung und Schulung der
Mitarbeiter*innen, einen verantwortungsvollen Umgang mit Daten, klare
Sicherheitsvorgaben, regelmäßige Überprüfungen sowie technische und
organisatorische Schutzmaßnahmen. Der hohe Stellenwert heißt aber
auch, dass im Falle eines Datenlecks alle entsprechenden Aktivitäten
umgehend getätigt und die betroffenen Bürger*innen und Stellen
informiert werden.

Auslöser der aktuellen Untersuchung war ein Hinweis des
österreichischen Computer Emergency Response Teams (CERT.at) am 9.
September 2026 auf ein Angebot in einem Onlineforum zum Kauf einer
Schwachstelle in einem technischen System der Stadt Wien. Unmittelbar
nach Eingang der Meldung wurden durch das WienCERT und Expert*innen
der MA 01 – Wien Digital umfassende technische Analysen eingeleitet.

In enger Zusammenarbeit mit der Direktion Staatsschutz und
Nachrichtendienst (DSN) konnte die Sicherheitslücke identifiziert und
geschlossen werden. Es wurde festgestellt, dass ein Angreifer
zwischen 3. September und 11. September 2026 über einen Webzugang auf
Teile einer internen Dokumentationsplattform des Magistrats Zugriff
hatte und dort gespeicherte magistratsinterne Informationen (
insbesondere Testdaten, Schulungsunterlagen, Projektdokumentationen)
widerrechtlich kopierte.

Wiens CIO Klemens Himpele stellte dazu klar: „Der Angreifer hatte
zu keinem Zeitpunkt Kontrolle über IT-Systeme oder Benutzerkonten der
Stadt Wien. Das heißt, die nunmehr bereinigte Schwachstelle
ermöglichte ausschließlich den Zugriff auf bestimmte Inhalte dieser
Dokumentationsplattform. Allen ermittelnden Stellen liegen aktuell
keine Hinweise auf eine Veröffentlichung der Daten vor.“

Die Stadt Wien hat bereits am 10. September 2026 eine freiwillige
Vorfallsmeldung gemäß NIS-Gesetz abgegeben. Am 15. September 2026
erfolgte zusätzlich die gesetzlich vorgesehene Meldung an die
Datenschutzbehörde. Parallel dazu wurden umfangreiche Analysen
gestartet, um die betroffenen Daten und Personen zu identifizieren.

Die Auswertungen zeigen, dass die kopierten Inhalte sowohl
technische Dokumentationen als auch personenbezogene Daten umfassen.
In einzelnen Bereichen können auch besondere Kategorien
personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (
DSGVO) betroffen sein. Darüber hinaus wurden Geschäfts- und
Infrastrukturinformationen widerrechtlich kopiert, insgesamt rund
26.000 Dokumente und Seiten mit einem Datenvolumen von etwa neun
Gigabyte.

„Der Schutz der Daten von Bürgerinnen und Bürgern sowie unserer
Mitarbeiter*innen hat höchste Priorität. Die Stadt Wien hat
unmittelbar nach Bekanntwerden des Vorfalls alle erforderlichen
Maßnahmen gesetzt, um den Zugriffsweg zu schließen, den Sachverhalt
aufzuklären und betroffene Personen zu informieren. Mein Dank geht
auch an die ermittelnden Behörden für die reibungslose und
ausgezeichnete Zusammenarbeit“, betonte CIO Himpele. Abschließend
wies Himpele darauf hin, dass die Untersuchungen andauern. Die 2.885
betroffenen Bürger*innen, die 2.083 betroffenen Mitarbeiter*innen der
Stadt und die 856 Auftragnehmer*innen des Magistrats werden binnen
einer Woche direkt verständigt.