No Sécherheetsincident zu Déifferdeng bleift méiglechen Dateklau ongekläert

Wien tëscht dem 9. an dem 12. Abrëll 2026 e Formulaire iwwer de Site vun der Stad Déifferdeng geschéckt huet, sollt dat nach eng Kéier maachen. D’Iwwermëttlung kéint net geklappt hunn. Dat war déi direkt Konsequenz vun engem Sécherheetsincident, bei deem awer eng méi schwéier Fro bis haut net ëffentlech beäntwert ass: Wat ass mat de schonn agereechten Donnéeë geschitt?

D’Stad huet eng héich Warscheinlechkeet gesinn, datt perséinlech Informatiounen aus Webformulairë kompromettéiert goufen. Dobäi goung et net nëmmen ëm Nimm oder E-Mail-Adressen, mee och ëm Dokumenter, déi fir Identitéitsklau, Bedruch oder geziilte Phishing-Versich mëssbraucht kéinte ginn.

Gläichzäiteg gëtt et bis elo kee publizéierte forensesche Rapport, deen noweist, ob Fichieren nëmmen zougänglech waren, tatsächlech opgemaach oder kopéiert goufen oder d’Systemer vun der Gemeng verlooss hunn. Dëse wesentlechen Ënnerscheed bleift domat op.

Eng Sécherheetslück mat sensibelem Contenu

Laut der ëffentlecher Matdeelung vun der Stad war hire Site tëscht dem 10. an dem 13. Abrëll 2026 vun engem Sécherheetsincident betraff. D’Internetsäit gouf zäitweis offline geholl, wärend d’Ursaach, d’Aart an den Ëmfang vum Virfall ënnersicht goufen. Eng Sécherheetslück an der Software gouf fonnt a behuewen; duerno waren de Site an d’Onlineservicer nees disponibel.

„Mir hunn de Site e Freideg virsiichtshalber offline geholl, well eng Sécherheetslück identifizéiert gi war.“ — Anja Bodenröder, Spriecherin vun der Stad Déifferdeng

D’Donnéeën, déi iwwer d’Formulairë konnten agereecht ginn, decken e breede Beräich vum private Liewen of. Als potenziell betraff huet d’Stad ënner anerem dës Kategorie genannt:

• Identitéitsdokumenter a Sozialversécherungskaarten;
• Aarbechtsattester an Aarbechtskontrakter;
• Bankdetailer an IBANen;
• Impfnachweiser an aner Gesondheetsdaten;
• Diplomer an aner Schouldokumenter;
• Geriichtsdokumenter an Openthaltsbescheinegungen.

Grad d’Kombinatioun vun esou Informatioune mécht de Virfall sensibel. En Identitéitsdokument zesumme mat enger Adress, engem IBAN oder Informatiounen iwwer eng Aarbechtsplaz kann engem Bedruchsversuch méi Kredibilitéit ginn. Bei medezineschen oder juristeschen Dokumenter léisst sech de Risiko och net einfach mat engem neie Passwuert aus der Welt schafen.

Verdacht op Zougrëff ass nach kee Beweis fir Déifstall

D’Formuléierung vun der Gemeng ass wichteg: Si schwätzt vun enger héijer Warscheinlechkeet, datt Donnéeë kompromettéiert goufen, net vun engem noweislechen Ofzuch vun de Fichieren. Den 29. Abrëll huet e Gemengeservice laut engem Rapport vum Tageblatt erkläert, et géif kee Beweis dofir ginn, datt Donnéeën tatsächlech matgeholl gi wieren.

Déi zwou Aussoe widdersprieche sech net onbedéngt. En onerlaabten Zougrëff ka festgestallt ginn, ouni datt sech dono nach sécher noweise léisst, ob Dokumenter erofgelueden oder iwwer en anere Wee aus dem System transferéiert goufen. Ouni ëffentleche forensesche Rapport bleift onbekannt, ob Logdateien d’Opmaachen, d’Kopéieren oder d’Ofzéie vu Fichiere gewisen hunn.

De Gemengesekretär Henri Krecké huet d’Situatioun esou zesummegefaasst: „Beim Dateschutz an der Sécherheet vun Internetsäite si mir méi wäit wéi aner Gemengen. Mee e ‘Risiko null’ gëtt et net.“ Wien hannert dem Incident stoung, ass ëffentlech net gekläert ginn.

D’CNPD war informéiert, den Zäitpunkt bleift onbekannt

Laut Tageblatt gouf d’Commission nationale pour la protection des données iwwer de Virfall informéiert. De geneeën Datum vun där Meldung ass awer net ëffentlech matgedeelt ginn. Doduerch kann op Basis vun de publizéierten Informatiounen net festgestallt ginn, wéi vill Zäit tëscht dem Bewosstgi vum Incident an der Notifikatioun vun der CNPD vergaangen ass.

Dat ass am Kader vum GDPR relevant. Wann eng Verletzung vu perséinlechen Donnéeë warscheinlech e Risiko fir d’Rechter an d’Fräiheete vu Persoune mat sech bréngt, muss déi zoustänneg Opsiichtsautoritéit am Allgemenge bannent 72 Stonnen nom Bewosstgi informéiert ginn. Bei engem héije Risiko mussen och déi betraffe Persounen informéiert ginn.

D’Gemeng huet Benotzer kontaktéiert. Ëffentlech ass awer net dokumentéiert ginn, wéi vill Persounen erreecht goufen, wéini déi eenzel Warnunge verschéckt goufen oder no wéi enge Kritäre bestëmmt gouf, wien als betraff gëllt.

De publizéierte Support limitéiert sech op Warnungen

D’Stad huet de Leit geroden, hir Konten op ongewéinlech Aktivitéiten ze kontrolléieren, bei verdächtege Messagen opmierksam ze bleiwen a keng Linken oder Annexë vun onbekannten Expediteuren opzemaachen. Si huet ausdrécklech virun Identitéitsklau, Bedruch a Phishing gewarnt.

Fir Froen zum Dateschutz gouf d’Adress dpo@differdange.lu genannt; technesch Froe kënnen un incidentsite@differdange.lu geriicht ginn. Persounen, déi tëscht dem 9. an dem 12. Abrëll e Formulaire agereecht haten, goufen opgefuerdert, en nach eng Kéier ze schécken, well déi éischt Iwwermëttlung méiglecherweis feelgeschloen ass.

An hirer ëffentlecher Matdeelung huet d’Gemeng weder eng Iwwerwaachung vu méiglechem Identitéitsmëssbrauch nach d’Bezuele vun neien Dokumenter, eng finanziell Entschiedegung oder e spezifeschen Hëllefsprogramm fir Betraffener ugekënnegt. Dat schléisst individuell Hëllef net aus, mee et markéiert d’Grenz vun deem, wat ëffentlech annoncéiert gouf. Bestätegt ass d’Sécherheetslück; net gekläert ass, wéi vill sensibel Informatiounen der Kontroll vun der Stad entzu goufen.