Ein groß angelegter DDoS-Angriff hat seit Montag zentrale digitale Verwaltungsdienste in Norwegen gestört. Getroffen wurde die Infrastruktur der Digitalisierungsagentur Digdir und ihres IT-Dienstleisters Vivicta. Eine pro-russische Hackergruppe hat die Attacke für sich reklamiert und stellt sie in einen politischen Zusammenhang. Der Fall ist ein weiteres Beispiel für die anhaltende Welle politisch motivierter DDoS-Angriffe gegen europäische Behörden.

Was ist passiert

Der Angriff begann am Montag, dem 24. August 2026, um 3:38 Uhr MESZ und richtete sich gegen die norwegische Digitalisierungsagentur „Digitaliseringsdirektoratet“, kurz Digdir, sowie deren Betriebsdienstleister Vivicta. Digdir betreibt die gemeinsame digitale Infrastruktur des norwegischen Staates, darunter Anmeldeverfahren für öffentliche Dienste, elektronische Ausweise, den Zugang zu öffentlichen Dokumenten und den Datenaustausch zwischen Behörden und Unternehmen.

Es handelte sich um einen Distributed-Denial-of-Service-Angriff (DDoS). Dabei überfluten die Angreifer die Zielsysteme mit einer Flut von Anfragen, bis diese für reguläre Nutzer nicht mehr erreichbar sind. Sensible Daten werden dabei nicht abgegriffen, das Ziel ist die reine Verfügbarkeitsstörung.

Nach Angaben von Digdir dauerte der Angriff mehr als 30 Stunden bei wechselnder Intensität und zog sich über drei Tage. Betroffen waren zehn digitale Dienste, die für die Identitätsprüfung von Personen, die Anmeldung an öffentlichen Diensten, den Austausch von Daten und Dokumenten sowie den Zugriff auf öffentliche Register genutzt werden. Nutzer bekamen Verbindungsabbrüche, langsame Serverreaktionen und ungewöhnlich lange Anmeldezeiten zu spüren.

Im Zentrum stand ID-porten, ein zentraler Login-Dienst, der als Zugangstor zu Tausenden norwegischen Behördendiensten dient und den Zugang unter anderem über BankID und MinID ermöglicht. Der Dienst hat nach Behördenangaben mehr als 4,5 Millionen Nutzer. Weil mehrere Gesundheitsdienste ID-porten zur Authentifizierung nutzen, geriet auch ein Teil der Gesundheitsinfrastruktur unter Druck. Behörden warnten vor möglichen Problemen beim Zugriff auf Online-Apotheken und das elektronische Rezeptsystem. Ebenfalls betroffen war der Signaturdienst eSignering.

Kein Datenabfluss

Digdir-Direktor Frode Danielsen erklärte, es gebe keine Anzeichen für eine Sicherheitsverletzung oder einen Abfluss personenbezogener Daten. Das ist die typische Einordnung bei DDoS-Angriffen: Sie gelten als weniger schwerwiegend als Angriffe, bei denen Daten gestohlen oder Systeme verschlüsselt werden, weil sie die Verfügbarkeit stören, aber nicht die Vertraulichkeit oder Integrität der Daten. Die norwegische Sicherheitsbehörde NSM und die Datenschutzbehörde Datatilsynet wurden informiert.

Bemerkenswert ist die Größenordnung. Digdir-Sprecher Are Kvistad bezeichnete den Vorfall als den bislang größten Angriff auf Digdir-Lösungen und beschrieb ihn als zwei- bis dreimal so groß wie die vorherige Attacke. Es war bereits der dritte DDoS-Angriff auf Digdir seit Juni, nach Vorfällen im Juni und am 3. August. Die Häufung zeigt, dass es sich nicht um einen Einzelfall, sondern um eine anhaltende Kampagne gegen die norwegische Verwaltung handelt.

Zuordnung

Am Mittwoch meldete sich die pro-russische Hackergruppe Server Killers über Telegram und beanspruchte den Angriff für sich. Die Gruppe erklärte, sie habe Norwegen den Cyberkrieg erklärt, nachdem das Land am 23. August seine Sicherheitszusammenarbeit mit der Ukraine erneuert hatte. Zuvor hatte der norwegische Ministerpräsident Jonas Gahr Støre bei einem Besuch in Kiew angekündigt, dass Norwegen der Ukraine im kommenden Jahr erneut 85 Milliarden norwegische Kronen (rund 9,2 Milliarden US-Dollar) bereitstellen werde.

Eine offizielle Zuordnung durch norwegische Behörden gibt es bislang nicht. Bekennerschreiben solcher Gruppen sind mit Vorsicht zu bewerten, da sie sich gerne mit Angriffen schmücken. Der zeitliche Zusammenhang mit der Ukraine-Zusage passt jedoch in ein bekanntes Muster. Seit dem russischen Überfall auf die Ukraine im Februar 2022 nehmen pro-russische Gruppen gezielt Länder ins Visier, die die Ukraine unterstützen. Ziel dieser Angriffe ist es, die Unterstützung für die Ukraine zu untergraben, Verunsicherung zu stiften und Ermittlungsressourcen zu binden.

Diese Welle betrifft auch den deutschsprachigen Raum. Gruppen wie NoName057(16) greifen regelmäßig Websites deutscher und österreichischer Behörden, Verbände und Unternehmen mit DDoS an, häufig als Reaktion auf politische Entscheidungen zur Ukraine-Hilfe. Der Angriff auf Digdir ist damit kein rein norwegisches Thema, sondern ein Muster, mit dem auch Organisationen hierzulande rechnen müssen.