Kommunale IT-Sicherheit: 984 Gemeinden in Combolisten

Meldewesen, Bauverfahren, Kindergartenanmeldungen und Gehaltsabrechnungen: Österreichische Gemeinden verwalten Informationen, die für Bürgerinnen und Bürger besonders sensibel sind. Wie viel ihrer digitalen Angriffsfläche bereits öffentlich sichtbar ist, untersucht die neue RisikoMonitor-Studie „Kommunale IT-Sicherheit in Österreich 2026“. Sie analysiert 2.086 Gemeinden aus allen neun Bundesländern. Datenstand ist Oktober 2026.

Zugangsdaten sind der zentrale Befund

984 Gemeinden (47,2 Prozent) erscheinen laut Studie mit dienstlichen Adressen in Combolisten – Sammlungen aus E-Mail-Adressen und Passwörtern. In Datenbanken geleakter Zugangsdaten findet die Auswertung 882 Gemeinden (42,3 Prozent). Insgesamt berichtet die Studie 272.809 Datensätze mit Gemeindebezug aus diesen beiden Quellen.

Diese Zahlen dürfen nicht als Zahl gehackter Gemeinden oder unterschiedlicher betroffener Personen gelesen werden. Ein dienstlicher Zugang kann auch durch das Datenleck eines externen Dienstes bekannt geworden sein. Historische Einträge belegen außerdem nicht, dass ein Passwort heute noch gültig ist.

Klartext-Passwörter und kompromittierte Endgeräte

Die Untersuchung weist 958 lesbare Passwörter aus. Davon erfüllen 46,6 Prozent höchstens eines der fünf untersuchten Komplexitätskriterien; 3,5 Prozent gelten in dieser Bewertung als stark. Die getrennte Combolisten-Auswertung hat eine andere Bezugsgröße und darf damit nicht vermischt werden.

Hinzu kommen 395 Einträge von kompromittierten Endgeräten (Infostealer). Solche Schadprogramme können Zugangsdaten direkt vom Gerät entwenden. Komplexe Passwörter allein reichen dagegen nicht aus: Kontoschutz, Mehrfaktor-Authentifizierung und die Prüfung betroffener Geräte müssen zusammenwirken.

Öffentlich erreichbare Dienste und alte Software

Von den 1.846 Gemeinden mit aufgelöster Infrastruktur bieten laut Studie 23,5 Prozent FTP im Klartext und 7,9 Prozent eine offen erreichbare Datenbank an. Bei 240 Gemeinden (13,0 Prozent) ordnet die passive Recherche sichtbare Software dokumentierten Schwachstellen zu. 75,7 Prozent der 1.270 gefundenen CVEs sind älter als fünf Jahre.

Eine Zuordnung anhand öffentlich sichtbarer Softwareversionen ist ein Prüfhinweis, kein Nachweis einer erfolgreichen Ausnutzung. Konfiguration, nachträgliche Sicherheitskorrekturen und tatsächlich erreichbare Funktionen müssen im Einzelfall bewertet werden.

Was die Studie misst – und was nicht

Die Analyse verbindet öffentlich zugängliche Infrastrukturdaten mit öffentlichen Darknet-Quellen. Es fand kein aktiver Penetrationstest statt: keine Anmeldung, kein Exploit und kein aktiver Systemtest. Einzelne Gemeinden und konkrete Passwörter werden nicht veröffentlicht; die Studie zeigt ausschließlich zusammengefasste Ergebnisse.

Welche Maßnahmen jetzt Priorität haben

Für Gemeinden sind vor allem vier Schritte relevant: bekannte Zugangsdaten bewerten und gegebenenfalls zurücksetzen, Mehrfaktor-Authentifizierung einsetzen, unnötig exponierte Dienste schließen und Softwareaktualisierungen mit den betreuenden IT-Dienstleistern verbindlich nachverfolgen. Funde sollten immer nach Quelle, Alter und Datentyp eingeordnet werden.

Gemeindestudie und Medienbericht

Weitere Informationen zur Gemeindestudie finden Sie auf gemeinde.risikomonitor.com. Die Kronen Zeitung berichtet am 30. Oktober 2026 unter dem Titel „Löchriges“ Rathaus: Wie sicher sind Gemeinden? über das Thema. Das Gespräch mit Manuel Löw-Beer ist oben als Video eingebunden.

Die vollständige Studie als PDF erhalten Sie direkt unter diesem Artikel oder im Bereich Publikationen – nach Angabe Ihrer vollständigen Kontaktdaten und Bestätigung Ihrer E-Mail-Adresse mit einem Code.

Quelle und Einordnung: RisikoMonitor, „Kommunale IT-Sicherheit in Österreich 2026“, Datenstand Oktober 2026, 38 Seiten. Die Kennzahlen sind Ergebnisse der bereitgestellten Studie; historische Leak-Funde und passive Software-Zuordnungen sind keine unabhängig bestätigten aktuellen Angriffe. Titelbild: KI-generiertes Symbolbild, keine konkrete Gemeinde.