Der Fall Equalize: Anatomie des groessten Datenbankdiebstahls in der italienischen Geschichte — 800.000 Opfer, 52.811 unbefugte SDI-Zugriffe und was NIS2 geaendert haette

Am 9. April 2026 schloss die Mailaender Staatsanwaltschaft unter Marcello Viola den zweiten grossen Strang der Equalize-Ermittlungen, mit 81 neuen Verdaechtigen und einem Antrag auf Hauptverfahren gegen Enrico Pazzali, ehemaliger Praesident der Fondazione Fiera Milano und Inhaber der Ermittlungsagentur im Zentrum dessen, was heute als der schwerwiegendste Kompromiss oeffentlicher Datenbanken in der Geschichte der italienischen Republik gilt. Unter den neuen Verdaechtigen: Leonardo Maria Del Vecchio (Sohn des Luxottica-Gruenders), Fulvio Pravadelli, Stefano Speroni (Leiter der ENI-Rechtsabteilung), General Cosimo Di Gesù der Guardia di Finanza und Giacomo Tortu. Unter den 650 bestaetigten Opfern befinden sich Paolo Scaroni, Bobo Vieri, Selvaggia Lucarelli, Fabrizio Corona — und laut Staatsanwaelten auch Premierministerin Giorgia Meloni.

Aber der wahre Skandal sind nicht die Namen. Es ist das "Wie". Ueber fuenf Jahre — von 2019 bis Maerz 2024 — hatte eine strukturierte kriminelle Organisation kontinuierlichen, ungestoerten und vollstaendigen Zugriff auf die sensibelsten Datenbanken des italienischen Staates: SDI (Innenministerium-Ermittlungssystem), Serpico (Steuerbehoerde), ANPR (Nationales Einwohnerregister) und Banca d'Italia-Archive. Sie fuehrten 52.811 unbefugte SDI-Zugriffe und 108.805 Verletzungen gerichtlicher und administrativer Archive durch. Sie erstellten Profile von 800.000 italienischen Buergern. Sie generierten ueber 3,1 Millionen Euro illegale Gewinne. Und sie taten es aus einem bescheidenen Raum hinter dem Mailaender Dom, mit einer Mischung aus Malware, Insider-Komplizenschaft und systematischer Ausnutzung organisatorischer Schwachstellen, die die NIS2-Richtlinie — bei vollstaendiger Inkraftsetzung und Anwendung — haette unmoeglich machen sollen.

Equalize Srl: Eine Business-Intelligence-Firma mit unbegrenztem Zugriff

Equalize Srl war eine Mailaender Business-Intelligence-Firma, die sich als Anbieter legaler Due-Diligence-Dienste vermarktete. In Wirklichkeit, laut den Mailaender Staatsanwaelten, eine strukturierte kriminelle Organisation mit einer "Dossier-Zentrale", die auf Kundenanfrage und gegen Bezahlung vollstaendige Informationsprofile zu jedem italienischen Buerger erstellen konnte, direkt aus den vertraulichsten Datenbanken des Staates schoepfend.

An der Spitze stand Carmine Gallo, ehemaliger leitender Polizeibeamter — ein "Supercop" mit jahrzehntelanger Erfahrung. Darueber Enrico Pazzali, fuehrende Figur des Mailaender Establishments. Darunter: Nunzio Samuele Calamucci, 44, IT-Berater mit Hacking-Hintergrund, der Mann, der die Daten-Exfiltrations-Infrastruktur baute und die Remote Access Trojans in den Innenministerium-Servern installierte.

Die vier gepluenderten Datenbanken

SDI (Sistema d'Indagine), 1981 etabliert, ist das zentrale Archiv aller italienischen Polizeikraefte: Strafregister, Gefaehrdungsberichte, Haftbefehle, vertrauliche Aufklaerung, Pass- und Waffendaten. Serpico ist die Datenbank der Steuerbehoerde, die Steuererklaerungen, Bankkonten, Finanztransaktionen integriert. ANPR ist das zentralisierte Register aller italienischen Einwohner. Und die Banca d'Italia-Archive enthalten Bankaufsichtsdaten und Geldwaeschemeldungen.

• SDI (Innenministerium): 52.811 dokumentierte unbefugte Zugriffe
• Serpico (Steuerbehoerde): Steueranfragen — Einkommen, Konten, Finanztransaktionen
• ANPR (Nationalregister): Einwohnerdaten — buergerliche Identitaet
• Banca d'Italia: Bankaufsicht, Geldwaeschemeldungen, Finanzielle Engagements
• Gerichts- und Verwaltungsarchive: 108.805 zusaetzliche dokumentierte Verletzungen

Angriffsarchitektur: RAT, Insider und zentralisierte Aggregation

Equalizes Betriebsmodell war ein ausgeklueltes Hybrid aus drei Vektoren: technische Malware, Insider-Komplizenschaft und Engineering einer Aggregationsplattform.

Vektor 1: Der Remote Access Trojan

Der erste Vektor war die Installation eines Remote Access Trojan (RAT) in den Innenministerium-Servern, die SDI hosten. Der RAT wurde verwendet, um ganze Datensatzbloecke aus SDI herunterzuladen, ohne die Zugriffslogs zu generieren, die normalerweise von einer autorisierten Polizeianfrage erzeugt wuerden. Waehrend ein Beamter, der SDI konsultiert, Spuren in zentralen Logs hinterlaesst (wer, wann, warum, was), kann ein auf Systemebene operierender RAT dieses Audit-System vollstaendig umgehen.

Vektor 2: Insider Threat

Der zweite Vektor war strukturierte Insider-Bedrohung. Mehrere Datenbankzugriffe wurden direkt von Polizeipersonal mit legitimen Anmeldeinformationen durchgefuehrt, um Informationen zu extrahieren, die dann gegen Bezahlung an Equalize weitergegeben wurden. Technisch gibt es keine "Intrusion": Anmeldeinformationen sind gueltig, Zugriff ist autorisiert. Was fehlt, ist die "Need-to-know" und Legitimitaet des Zwecks.

Vektor 3: Calamuccis Aggregationsplattform

Der dritte Vektor war Calamuccis Erstellung einer Software-Aggregationsplattform, die die integrierte Abfrage von Daten aus SDI, Serpico, ANPR und Banca d'Italia ermoeglichte. Calamucci baute ein "privates SDI" — eine zentralisierte Suchschnittstelle, die bei einem Namen oder einer Steuernummer ein vollstaendiges Dossier zurueckgab.

Warum fuenf Jahre unentdeckt?

Wie konnten 52.811 unbefugte SDI-Zugriffe fuenf Jahre lang unentdeckt bleiben? Technisch umging der RAT die anwendungsbasierte Protokollierung. Organisatorisch wurden vorhandene Logs nicht mit User and Entity Behavior Analytics (UEBA) analysiert. Kulturell wurde die Idee, dass die Bedrohung von innen kommen koennte, marginalisiert. Und die verschiedenen kompromittierten Datenbanken gehoeren verschiedenen Verwaltungen, die ihre Zugriffsprotokolle nicht teilen.

NIS2: Was die neue Richtlinie geaendert haette

Die NIS2-Richtlinie (2022/2555), in Italien durch Gesetzesdekret 138/2024 umgesetzt, trat in Kraft, als der Fall Equalize oeffentlich explodierte. Zum ersten Mal in der italienischen Geschichte unterliegen auch zentrale und regionale oeffentliche Verwaltungen — einschliesslich Innenministerium, Steuerbehoerde und Banca d'Italia (fuer nicht ausgeschlossene Komponenten) — verbindlichen Cybersecurity-Verpflichtungen.

Was haette NIS2 gefordert, wenn vor 2019 vollstaendig angewendet? Mindestens fuenf Dinge: systematisches Risikomanagement mit expliziter Identifikation von Insider-Bedrohungen, Sicherheit der Lieferkette, kontinuierliche Ueberwachung mit UEBA, Vorfallmeldung an ACN innerhalb von 24 Stunden, und direkte Verantwortung der Leitungsorgane. Jede einzelne dieser Massnahmen haette Equalize potenziell stoppen koennen.

Grenzen von NIS2 im Fall Equalize

Es waere falsch, NIS2 als endgueltige Loesung darzustellen. NIS2 sieht ausdrueckliche Ausschluesse fuer Einrichtungen vor, die in der nationalen Sicherheit, oeffentlichen Ordnung, Verteidigung, Justiz, Parlament und Zentralbanken taetig sind — paradoxerweise koennten gerade die sensibelsten Systeme am wenigsten abgedeckt sein. Ausserdem loest NIS2 nicht das Problem institutioneller Insider-Komplizenschaft.

Operative Lehren fuer italienische Unternehmen

1. 1.Insider-Bedrohung als gleichwertiges Risiko zur externen Bedrohung behandeln.
2. 2.User and Entity Behavior Analytics (UEBA) auf Systemen mit sensiblen Daten implementieren.
3. 3.Prinzip der minimalen Privilegien und Need-to-know rigoros anwenden.
4. 4.Unabhaengige jaehrliche Audits kritischer Datenbanken durch externe Pruefer.
5. 5.IT-Lieferketten-Ueberwachung fuer alle Berater und Lieferanten mit Zugriff auf kritische Systeme.
6. 6.Segregation sensibler Systeme mit dedizierten Jump Boxes, MFA und Sitzungsaufzeichnung.
7. 7.Sicherheitskultur an der Spitze als Gelegenheit, Sicherheit in strategische Entscheidungen einzubringen.
8. 8.Kooperation mit ACN und CSIRT Italia: operative Kanaele etablieren, bevor ein Notfall sie erfordert.

Fazit: Ein Weckruf, den wir uns nicht leisten koennen zu ignorieren

Der Fall Equalize ist die brutale Fotografie all dessen, was in der institutionellen Cybersicherheit Italiens nicht funktioniert: unterschaetzte Insider-Bedrohung, unkontrollierte IT-Lieferanten, nicht analysierte Logs, organisatorische Fragmentierung, fehlende Sicherheitskultur an der Spitze. Jede einzelne dieser Schwachstellen ist loesbar. Keine erfordert exotische Technologie. Alle erfordern politischen Willen, ernsthafte Investitionen und eine radikale Ueberarbeitung der Art und Weise, wie der Staat seine Informationssicherheit denkt. NIS2 bietet einen Rahmen — aber es ist nur dann eine Chance, wenn es substantiell und nicht buerokratisch umgesetzt wird.