In Ungarn hat ein Cyberangriff einen Teil der staatlichen Finanzverwaltung getroffen. Betroffen ist die ungarische Staatskasse (Magyar Államkincstár), genauer der Bereich Landwirtschaft und ländliche Entwicklung, der als Nationale Zahlstelle (Nemzeti Kifizető Ügynökség) die Auszahlung von EU- und nationalen Agrarförderungen abwickelt. Der Vorfall wurde am Sonntagabend, dem 2. August 2026, öffentlich. Er zeigt beispielhaft, wie eine seit Jahren offene Schwachstelle zum Totalschaden führen kann, und wie unterschiedlich offizielle Darstellung und Täterbehauptung ausfallen können.

Was passiert ist

Nach Angaben der Staatskasse trennten die IT-Fachleute die betroffenen Server unmittelbar nach der Entdeckung vom Netz, um eine weitere Ausbreitung zu verhindern. Auf den Rechnern mehrerer interner Mitarbeiter wurden Dateien verschlüsselt, was die Behörde selbst als Ransomware-Angriff einordnet. Nach bisherigem Stand sei kein Datenverlust eingetreten, und die von der Staatskasse verwalteten Kundendaten seien nicht betroffen. Wichtig für Bürger: Der Angriff traf nicht das System, das die Wertpapier- und Staatsanleihekonten führt, sondern das getrennte IT-Netz der Agrar-Zahlstelle.

Die Staatskasse geht nach ihren bisherigen technischen Erkenntnissen davon aus, dass der Angriff von russischen Servern ausging. Die vollständige Untersuchung läuft gemeinsam mit dem Nationalen Institut für Cybersicherheit (Nemzeti Kiberbiztonsági Intézet). Der Vorfall wurde außerdem der Datenschutzbehörde NAIH gemeldet. Während der Ermittlungen stehen einzelne elektronische Dienste im Bereich Landwirtschaft und ländliche Entwicklung nur eingeschränkt zur Verfügung.

Die Täterversion weicht deutlich ab

Kurz nach Bekanntwerden meldete sich ein Angreifer, der sich Bytetobreach nennt, über die Plattform Dark Web Informer zu Wort und reklamierte den Angriff für sich. Laut Berichten des ungarischen Portals Telex und des Wirtschaftsmagazins Portfolio veröffentlichte er mehrere Screenshots und technische Details. Demnach soll er eine fast zehn Jahre alte, ungepatchte Schwachstelle ausgenutzt haben, um volle Administratorrechte zu erlangen, und anschließend interne Daten mit Ransomware verschlüsselt haben. Der Täter behauptet zudem, Zugriff auf die VMware-vCenter-Umgebung erlangt zu haben, also auf die zentrale Verwaltung der virtualisierten Server. Die russische Spur wies er zurück und gab an, ausschließlich aus finanziellen Motiven gehandelt zu haben.

Von Telex befragte Sicherheitsexperten betonen, dass sich die tatsächliche Reichweite ohne Einblick in die internen Systeme nicht sicher bestimmen lässt. Sollten die vom Angreifer gezeigten Aufnahmen echt sein, ginge der Vorfall aber deutlich über die offiziell beschriebenen „einige verschlüsselte Mitarbeiterrechner“ hinaus. Das ungarische Portal Portfolio berichtet, der Angriff sei auf der Bewertungsskala für Cybersicherheit als höchste Stufe eingeordnet worden. Die Diskrepanz zwischen behördlicher Entwarnung und Täterbehauptung ist der eigentlich kritische Punkt dieses Falls.

Warum das relevant ist

Der Fall verbindet zwei Muster, die aktuell viele öffentliche Einrichtungen treffen. Erstens: Eine einzelne, lange bekannte und nicht geschlossene Schwachstelle reicht aus, um sich Administratorrechte zu verschaffen. Zweitens: Wer die Virtualisierungsebene wie vCenter kompromittiert, kontrolliert potenziell alle darauf laufenden Systeme auf einmal, nicht nur einzelne Rechner. Genau diese zentrale Verwaltungsschicht ist ein bevorzugtes Ziel von Ransomware-Gruppen, weil sich damit Verschlüsselung und Datenabfluss in großem Maßstab durchführen lassen.

Die Attribution zu „russischen Servern“ sagt außerdem wenig über die tatsächlichen Urheber aus. Angreifer nutzen routinemäßig Infrastruktur in Drittländern, und die IP-Herkunft eines Angriffs ist kein Beleg für eine staatliche Beteiligung. Die Staatskasse formuliert das selbst vorsichtig: Eine staatliche Verwicklung Russlands lasse sich derzeit weder bestätigen noch ausschließen.