Datenleck bei der Stadt Wien: Gilt NIS2 für Kommunen in Deutschland?

Verfasst von der NIS2Compass Redaktion · Stand: Oktober 2026 (Stand der Berichterstattung: 11.10.2026)

Zwischen dem 3. und 11. September 2026 kopierten Unbekannte rund 26.000 Dokumente aus einer internen Plattform der Stadt Wien, 5.824 Personen sind betroffen. In Deutschland fiele eine kommunale Kernverwaltung nicht unter das BSIG. Nach der Einordnung von NIS2Compass können aber kommunale Eigenbetriebe wie Stadtwerke und die IT-Dienstleister einer Stadt NIS2-pflichtig sein.

Was ist bei der Stadt Wien passiert?

Am 9. September 2026 wies CERT.at die Stadt Wien darauf hin, dass in einem Onlineforum eine Schwachstelle in einem ihrer technischen Systeme zum Kauf stand. Über einen Webzugang hatte ein Angreifer vom 3. bis 11. September Zugriff auf Teile einer internen Dokumentationsplattform des Magistrats. WienCERT und Wien Digital identifizierten die Lücke gemeinsam mit der Direktion Staatsschutz und Nachrichtendienst (DSN) und schlossen sie (Stadt Wien).

Kopiert wurden rund 26.000 Dokumente und Seiten, etwa 9 GB, vor allem Testdaten, Schulungsunterlagen und Projektdokumentationen. Darin stecken technische Dokumentationen, Geschäfts- und Infrastrukturinformationen sowie personenbezogene Daten, in einzelnen Bereichen möglicherweise besondere Kategorien nach DSGVO. Betroffen sind 2.885 Bürgerinnen und Bürger, 2.083 Mitarbeiterinnen und Mitarbeiter und 856 Auftragnehmerinnen und Auftragnehmer. Laut ORF Wien geht es meist um Namen oder E-Mail-Adressen, in Einzelfällen möglicherweise um Krankenstandstage oder IBAN.

CIO Klemens Himpele sagt: „Der Angreifer hatte zu keinem Zeitpunkt Kontrolle über IT-Systeme oder Benutzerkonten der Stadt Wien.“ Hinweise auf eine Veröffentlichung der Daten gibt es laut Stadt nicht, bis zum 11. Oktober wurde auch keine berichtet.

Am 10. September meldete die Stadt den Vorfall freiwillig nach dem österreichischen NIS-Gesetz, am 15. September folgte die Meldung an die Datenschutzbehörde. Die Schwachstelle stand also zum Verkauf, bevor die Stadt selbst davon wusste.

Gilt NIS2 in Deutschland für Kommunen?

Für die Kernverwaltung grundsätzlich nicht. Das BSI stellt klar: „Die kommunale Kernverwaltung fällt grundsätzlich nicht in den Anwendungsbereich des BSIG“. Im Beschluss 2023/39 hat der IT-Planungsrat entschieden, von der Option der NIS2-Richtlinie für die lokale Verwaltung keinen Gebrauch zu machen; ob Länder ihre Kommunen einbeziehen, entscheiden sie in eigener Verantwortung.

Welche kommunalen Einheiten können doch betroffen sein?

Laut BSI können rechtlich unselbstständige Organisationseinheiten, oft als Regie- oder Eigenbetriebe geführt, unter das BSIG fallen. Voraussetzung ist, dass sie Waren oder Dienstleistungen entgeltlich anbieten und einer Einrichtungsart aus Anlage 1 oder 2 BSIG zuzuordnen sind. Als Beispiel nennt das BSI die Abfallentsorgung gegen Gebühren.

Für die Schwellenwerte zählen ausschließlich die Kennzahlen der konkreten Einheit, nicht die der gesamten Verwaltung. Rechtlich selbstständige Tochterunternehmen eines Eigenbetriebs werden eigenständig geprüft. Naheliegende Fälle sind die Energie- und Wasserversorgung, die in vielen Städten Stadtwerke übernehmen.

Was gilt für die Bundesverwaltung?

Für Bundesbehörden gelten nach § 29 Abs. 2 BSIG die Regelungen für besonders wichtige Einrichtungen. Ausgenommen sind unter anderem die §§ 38 und 65, also auch die Bußgeldvorschrift.

Ob Ihr Unternehmen unter das BSIG fällt, zeigt die Betroffenheitsprüfung von NIS2Compass.

Was bedeutet der Fall für Dienstleister von Kommunen?

Unter den 5.824 Betroffenen sind laut Stadt Wien 856 Auftragnehmerinnen und Auftragnehmer. Lieferkettensicherheit wirkt damit in beide Richtungen. Üblicherweise prüft der Kunde seine Lieferanten, in Wien lagen dagegen die Daten der Dienstleister beim Kunden, und dessen Sicherheitslücke traf auch sie.

Ist ein IT-Dienstleister selbst NIS2-pflichtig, verlangt § 30 Abs. 2 Nr. 4 BSIG Maßnahmen zur „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Die Vorschrift zielt auf die eigenen Anbieter. Trotzdem sollten Sie wissen, welche Daten Ihrer Mitarbeitenden in Portalen und Projektunterlagen Ihrer Auftraggeber liegen. Die Branchenseite für IT-Dienstleister fasst die Pflichten zusammen.

Den umgekehrten Fall, einen Vorfall beim Dienstleister selbst, behandelt der Beitrag dazu, wer meldet, wenn beim Dienstleister etwas passiert.

Welche Maßnahmen nach § 30 BSIG setzen an einem solchen Vorfall an?

Ein Vorfall wie in Wien berührt vor allem drei Pflichtbereiche aus § 30 Abs. 2 BSIG: Schwachstellenmanagement, Zugriffskontrolle mit Multi-Faktor-Authentifizierung und die Risikoanalyse für Test- und Dokumentationssysteme. Alle drei gelten für jede NIS2-pflichtige Einrichtung, also auch für kommunale Eigenbetriebe, Stadtwerke und IT-Dienstleister, die interne Plattformen mit Webzugang betreiben.

• Schwachstellenmanagement (§ 30 Abs. 2 Nr. 5): Die Vorschrift umfasst ausdrücklich „Management und Offenlegung von Schwachstellen“. Hinweise von außen, etwa von einem CERT, brauchen deshalb einen festen Eingangskanal und einen Bewertungsprozess.
• Zugriffskontrolle (Nr. 9) und Multi-Faktor-Authentifizierung (Nr. 10): Nr. 10 verlangt die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“. Das betrifft auch Webzugänge zu internen Dokumentationsplattformen.
• Datenhaltung in Test- und Dokumentationssystemen (Nr. 1): Testdaten und Schulungsunterlagen mit echten Personendaten vergrößern den Schaden. Solche Systeme gehören in die Risikoanalyse nach Nr. 1.

Angenommen, ein NIS2-pflichtiger Eigenbetrieb oder Dienstleister wäre betroffen und hätte diese Pflichten verletzt: Dann käme § 65 BSIG ins Spiel. Der Rahmen läge bei bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen. Bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. € wären alternativ bis zu 2 % bzw. 1,4 % des Gesamtumsatzes möglich. Die Systematik erläutert der Beitrag zu den Bußgeldstufen nach § 65 BSIG, eine Schätzung liefert der Bußgeldrechner.

Welche Meldepflichten hätte ein solcher Vorfall in Deutschland ausgelöst?

Bei einer NIS2-pflichtigen Einrichtung hätte ein erheblicher Sicherheitsvorfall die gestufte Meldepflicht nach § 32 BSIG ausgelöst: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach. Da personenbezogene Daten betroffen waren, käme parallel die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO hinzu.

Die Fristen aus § 32 BSIG laufen für die 24- und 72-Stunden-Meldung ab Kenntnis des Vorfalls. Die Abschlussmeldung ist einen Monat nach der 72-Stunden-Meldung fällig, dauert der Vorfall dann noch an, zunächst eine Fortschrittsmeldung. Ob ein Vorfall die Schwelle überschreitet, erläutert der Beitrag zum erheblichen Sicherheitsvorfall.

Nach Art. 33 DSGVO ist die Aufsichtsbehörde möglichst binnen 72 Stunden nach Bekanntwerden zu informieren. Wie beide Meldewege zusammenspielen, zeigt NIS2-Meldepflichten: wann, was, an wen. Auch der Rhysida-Leak in Berlin im August 2026 betraf eine Verwaltung.

In Wien kam der entscheidende Hinweis von außen, über CERT.at. Für NIS2-pflichtige Eigenbetriebe, Stadtwerke und IT-Dienstleister folgt daraus eine konkrete Prüffrage: Kommt ein solcher Hinweis bei Ihnen an, und wer bearbeitet ihn?

Quellen:

• Stadt Wien, Rathauskorrespondenz, 30.09.2026: Wien: Datensicherheit hat hohen Stellenwert - Sicherheitslücke umgehend geschlossen
• ORF Wien, 30.09.2026: Cyberangriff auf Stadt Wien
• BSI: NIS-2 für die Landes- und Kommunalverwaltung
• § 29 BSIG (Einrichtungen der Bundesverwaltung), gesetze-im-internet.de
• § 30 BSIG (Risikomanagementmaßnahmen), gesetze-im-internet.de
• § 32 BSIG (Meldepflichten), gesetze-im-internet.de
• § 65 BSIG (Bußgeldvorschriften), gesetze-im-internet.de
• Verordnung (EU) 2016/679 (DSGVO), EUR-Lex