Ransomware-Angriff auf die Uffizien: Italiens Kulturerbe im Visier der Cyberkriminalitaet

In der Nacht von Samstag, dem 1. Februar, auf Sonntag, den 2. Februar 2026, geriet eines der bedeutendsten Museen der Welt ins Visier der organisierten Cyberkriminalitaet. Die Gallerie degli Uffizi in Florenz wurden von einem Ransomware-Angriff getroffen, der die Verwaltungsserver der Institution kompromittierte und die internen Funktionen des Museums fuer mehrere Tage lahmlegte. Der Angriff fiel zeitlich mit einer aehnlichen Cyberattacke auf die Universitaet La Sapienza in Rom zusammen, in einer Phase erhoehter Anspannung im Zusammenhang mit den Olympischen Winterspielen Mailand-Cortina 2026. Der Vorfall stellt ein Alarmsignal fuer den gesamten italienischen Kultursektor dar, der von Cybersicherheitsanalysten traditionell als zweitrangiges Ziel betrachtet wird.

Chronologie des Angriffs

Das Eindringen erfolgte waehrend der Nachtstunden des Wochenendes — ein Zeitfenster, das von den Angreifern strategisch gewaehlt wurde, um die reduzierte IT-Ueberwachung an arbeitsfreien Tagen auszunutzen. Der Verwaltungsserver der Galerie war das primaere Ziel: Der Virus traf die Systeme fuer interne Verwaltungsaktivitaeten, darunter Mitarbeiter-E-Mail, Personalwesen, Beschaffung und interne Kommunikation. Die institutionelle Website, das Ticketingsystem, die Ueberwachungskameras und die Software fuer das Besuchermanagement funktionierten weiterhin regulaer, sodass das Museum ohne Unterbrechung fuer das Publikum geoeffnet bleiben konnte.

Direktor Simone Verde erstattete umgehend Anzeige bei der Polizia Postale und aktivierte die Eindaemmungs- und Wiederherstellungsverfahren. Das Personal wurde angewiesen, die Computer nicht einzuschalten, bis eine Freigabe der IT-Abteilung vorlag, keine Remote-Verbindungen zu den Museumssystemen herzustellen und umgehend die Passwoerter der E-Mail-Konten zu aendern. Ein spezialisiertes Unternehmen wurde mit der vollstaendigen Bereinigung aller Geraete beauftragt. Bis Mittwoch, den 5. Februar, waren die Systeme laut La Nazione dank der Aktivierung der Backups vollstaendig wiederhergestellt.

Zuordnung: die Medusa-Gruppe

Nach journalistischen Rekonstruktionen, insbesondere von Eco Vicentino und Cybersecurity360, wurde der Angriff von der kriminellen Gruppe Medusa beansprucht, einem der weltweit aktivsten Ransomware-as-a-Service (RaaS)-Kollektive. Medusa ist seit Juni 2021 aktiv und zeichnet sich durch die Verwendung eines doppelten Erpressungsmodells aus: Die Daten der Opfer werden verschluesselt und gleichzeitig exfiltriert, mit der Drohung der Veroeffentlichung auf einer dedizierten Leak-Website bei Nichtzahlung des Loesegeldes. Hinweise deuten darauf hin, dass die Gruppe von Russland oder einem verbuendeten Staat aus operiert, da sie systematisch vermeidet, Organisationen innerhalb der Russischen Foederation und der Laender der Gemeinschaft Unabhaengiger Staaten (GUS) anzugreifen.

Auswirkungen und Schadensanalyse

Erste Ueberpruefungen, die von den Technikern der Uffizien in Zusammenarbeit mit der Polizia Postale und mit Unterstuetzung der Nationalen Agentur fuer Cybersicherheit (ACN) durchgefuehrt wurden, ergaben keine Hinweise auf Datenverluste oder kritische irreversible Schaeden an der Museumsinfrastruktur. Der operative Einfluss war jedoch erheblich: Die Verwaltungsdienste blieben mehrere Tage blockiert, mit Auswirkungen auf Personalwesen, Buchhaltung, Beschaffung und interne Planung. Die Tatsache, dass die Ticketing-, Videoueberwachungs- und Besucherservicesysteme in separaten Netzwerken betrieben wurden, verhinderte weit schlimmere Konsequenzen und zeigt, wie selbst eine partielle Netzwerksegmentierung den Wirkungsradius eines Angriffs begrenzen kann.

Der besorgniserregendste Aspekt bleibt die moegliche Exfiltration von Verwaltungsdaten. Obwohl keine Datenlecks bestaetigt wurden, sieht das Operationsmodell von Medusa die Entnahme von Daten vor der Verschluesselung vor: Interne Dokumente, Personaldaten, Lieferantenvertraege und institutionelle Korrespondenz koennten von den Angreifern erlangt worden sein. Zum Zeitpunkt der Erstellung dieses Artikels sind keine Daten der Gallerie degli Uffizi auf der Leak-Website von Medusa veroeffentlicht, das Risiko kann jedoch nicht ausgeschlossen werden.

Ein wachsender Trend: Kultureinrichtungen unter Beschuss

Der Angriff auf die Uffizien ist kein Einzelfall. Europaeische Kultureinrichtungen sind zunehmend haeufig Ziele von Cyberkriminalitaet und staatlich gestuetzten Operationen geworden. Im Juli 2025 wurde das Museum national d'Histoire naturelle in Paris von einem Cyberangriff getroffen, der zur Absage einer Ausstellung zwang. Im Oktober 2024 erlitt die Art Gallery of Ontario in Kanada einen Cybersicherheitsvorfall, der interne Systeme kompromittierte. 2024 verlor die Opera di Santa Maria del Fiore in Florenz 1,785 Millionen Euro durch einen BEC-Betrug (Business Email Compromise), bei dem Kriminelle die E-Mail-Kommunikation mit einem Bauunternehmer abfingen und die Bankdaten fuer die Zahlung ersetzten. Selbst der Louvre in Paris offenbarte schwerwiegende Schwachstellen: Ein Audit von 2014 hatte festgestellt, dass die Passwoerter der Ueberwachungssysteme so banal wie "Louvre" und "Thales" waren — und dennoch ueber ein Jahrzehnt lang nicht geaendert worden waren.

Warum Museen verwundbar sind

Kultureinrichtungen weisen Merkmale auf, die sie besonders anfaellig fuer Cyberbedrohungen machen. Die IT-Budgets sind historisch niedrig im Vergleich zu anderen Sektoren: Der Louvre investierte beispielsweise 169 Millionen Euro in Anschaffungen gegenueber 87 Millionen in Sicherheit. Die beschleunigte Digitalisierung der Sammlungen und oeffentlichen Dienste hat die Angriffsflaeche enorm erweitert, ohne eine entsprechende Staerkung der Verteidigung. Das technische Personal ist oft begrenzt, die Cybersicherheitsausbildung ist mangelhaft, und Legacy-Systeme sind weit verbreitet. Darueber hinaus verwahren Museen und Archive sensible Daten — Informationen ueber Leihgaben, Versicherungen, Spender, Personal —, deren Wert fuer Kriminelle nicht unterschaetzt werden sollte. Die Wahrnehmung, "ausserhalb des Radars" der Angreifer zu sein, hat ein falsches Sicherheitsgefuehl genaehrt, das die juengsten Ereignisse endgueltig widerlegt haben.

Regulatorische Auswirkungen: NIS2 und der Kultursektor

Der Angriff auf die Uffizien wirft dringende Fragen zur Sicherheitslage italienischer Kultureinrichtungen im Kontext der NIS2-Richtlinie auf. Obwohl Museen und Galerien nicht direkt zu den von der Richtlinie aufgefuehrten "wesentlichen" oder "wichtigen" Einrichtungen zaehlen, legen ihre Abhaengigkeit von digitaler Infrastruktur und ihre Bedeutung fuer die nationale Identitaet nahe, dass vergleichbare Sicherheitsstandards freiwillig uebernommen werden sollten. Die ACN hat bereits die Plattform "Suite Museum Cloud" entwickelt, um italienischen Museen digitale Infrastruktur bereitzustellen, doch der Vorfall zeigt, dass technologischer Schutz durch Governance, Schulung und strukturierte Incident-Response-Verfahren begleitet werden muss.

Operative Empfehlungen fuer Kultureinrichtungen

1. 1.Eine rigorose Netzwerksegmentierung zwischen Verwaltungssystemen, Ticketing-/Besucherservicesystemen und Ueberwachungssystemen implementieren. Die Architektur der Uffizien, die die oeffentlich zugaenglichen Dienste isolierte, hat ihre Wirksamkeit bei der Eindaemmung der Angriffsauswirkungen bewiesen.
2. 2.Eine Zero-Trust-Architektur mit Multi-Faktor-Authentifizierung (MFA) fuer alle Zugriffspunkte einfuehren, insbesondere fuer E-Mail, VPN und Remote-Management-Systeme. Kompromittierte Zugangsdaten bleiben der haeufigste Eintrittspunkt fuer Ransomware-Gruppen.
3. 3.Offline- und unveraenderliche Backup-Systeme mit periodischen Wiederherstellungstests implementieren. Die Faehigkeit der Uffizien, die Systeme innerhalb weniger Tage wiederherzustellen, wurde durch funktionierende Backups ermoeglicht.
4. 4.Ein 24/7-SOC-Monitoring aktivieren, insbesondere an Wochenenden und Feiertagen, wenn Angreifer bevorzugt zuschlagen. Der Angriff auf die Uffizien erfolgte in der Nacht von Samstag auf Sonntag und nutzte die reduzierte IT-Ueberwachung aus.
5. 5.Security-Awareness-Trainingsprogramme fuer das gesamte Personal durchfuehren, mit Phishing-Simulationen und Verifizierungsverfahren fuer Zahlungen. Der BEC-Betrug an der Opera di Santa Maria del Fiore zeigt, dass der menschliche Faktor nach wie vor die kritischste Schwachstelle ist.
6. 6.Einen getesteten und aktualisierten Incident-Response-Plan mit klaren Verfahren fuer Eskalation, Kommunikation und Koordination mit den zustaendigen Behoerden (Polizia Postale, ACN, CSIRT Italia) erstellen.

Der Angriff auf die Gallerie degli Uffizi ist ein eindeutiges Signal: Keine Organisation ist vor Cyberkriminalitaet sicher, unabhaengig von ihrer Branche. Italienische Kultureinrichtungen hueten ein Erbe von unschaetzbarem Wert — nicht nur kuenstlerisch, sondern auch in Bezug auf Daten, institutionelle Beziehungen und internationalen Ruf. Dieses Erbe im digitalen Bereich zu schuetzen, ist keine Option mehr, sondern eine strategische Notwendigkeit. AEGIDA unterstuetzt Organisationen bei der Einfuehrung moderner Sicherheitsarchitekturen — von der Risikobewertung ueber die Implementierung von Zero-Trust-Modellen bis hin zur NIS2-Compliance und Personalschulung.