Die größten Cyberangriffe in Belgien (2020–2026)

Kurz zusammengefasst: Die größten Cyberangriffe in Belgien seit 2020 betrafen ein Forschungsnetzwerk, zwei Städte, das Verteidigungsministerium, Krankenhäuser, eine Brauerei, einen Telekommunikationsanbieter und den nationalen Flughafen. Am teuersten war der Ransomware-Angriff auf die Stadt Antwerpen im Dezember 2022, dessen Kosten die Stadt selbst auf rund 70 Millionen Euro schätzte. Die Zahl der Vorfälle steigt weiter an: Das Centre for Cybersecurity Belgium (CCB) erhielt zwischen Januar und September 2026 588 Meldungen über Vorfälle – mehr als im gesamten Jahr 2025. Im Folgenden werden die zwölf am besten dokumentierten Fälle vorgestellt, ihre Gemeinsamkeiten aufgezeigt und erläutert, was sie für belgische Organisationen im Rahmen des NIS2-Gesetzes bedeuten.

Die größten Anschläge im Überblick

Zeitleiste: Die Angriffe, die die Cybersicherheit in Belgien geprägt haben

2021: Belnet, Lüttich und das Verteidigungsministerium

Am 4. Mai 2021 führte ein DDoS-Angriff zu einer Überlastung von Belnet, dem staatlich finanzierten Netzwerk, das belgische Universitäten, Forschungsinstitute und öffentliche Verwaltungen miteinander verbindet. Rund 200 Einrichtungen verloren ihre Internetverbindung. Ausschusssitzungen im föderalen Parlament wurden abgesagt, und auch die Website zur Terminvereinbarung für COVID-19-Impfungen fiel aus.

Einen Monat später gab die Stadt Lüttich bekannt, Opfer eines „groß angelegten, gezielten Cyberangriffs“ geworden zu sein. Belgische Medien machten die Ransomware-Gruppe „Ryuk“ dafür verantwortlich, was die Stadt jedoch nie bestätigte. Die Notfallwiederherstellung dauerte sechs Wochen, die vollständige Wiederherstellung sechs Monate, wie der Leiter der IT-Abteilung später gegenüber RTBF erklärte.

Am 16. Dezember 2021 nutzten Angreifer die Log4j-Sicherheitslücke aus, um in das Netzwerk des Verteidigungsministeriums einzudringen. Das Netzwerk war wochenlang vom Internet abgeschnitten. Ministerin Ludivine Dedonder bezifferte die direkten Kosten später auf 2,25 Millionen Euro. Der Angriff wird staatlich unterstützten Hackern aus China zugeschrieben.

2022: Vivalia und die Stadt Antwerpen

Mitte Mai 2022 verschlüsselte Ransomware die Systeme von Vivalia, einem Verbund aus sieben Krankenhäusern und sechs Pflegeheimen. Die Gruppe „LockBit“ bekannte sich zu dem Angriff und drohte damit, 400 GB an Patienten- und Mitarbeiterdaten zu veröffentlichen. Sieben Wochen später hatten die Krankenhäuser immer noch keinen Zugriff auf alle ihre Patientendaten.

Der Angriff, an den sich die Belgier am besten erinnern, ereignete sich in der Nacht vom 5. auf den 6. Dezember 2022. Die Ransomware-Gruppe „Play“ griff die IT-Umgebung der Stadt Antwerpen an, die von ihrer IKT-Organisation Digipolis betrieben wird, und erbeutete mehr als 500 GB an Daten. Nahezu alle städtischen Dienste fielen aus. Die Stadt gab an, kein Lösegeld gezahlt zu haben, und schätzte einen Monat später die Kosten und Einnahmeausfälle auf rund 70 Millionen Euro. Im Juni 2024 fällte die flämische Aufsichtsbehörde für personenbezogene Daten ein hartes Urteil, wie VRT NWS berichtete: fehlende Sicherheitsupdates, unzureichende Zwei-Faktor-Authentifizierung, ein kaum segmentiertes Netzwerk und so gut wie kein Notfallplan.

2023 und 2024: Limburg.net und Duvel Moortgat

Im Dezember 2023 drang die Medusa-Gruppe in das System von Limburg.net ein, dem Abfallentsorgungsunternehmen der limburgischen Gemeinden. Sie forderte 100.000 Euro. Limburg.net lehnte dies ab, woraufhin die Daten veröffentlicht wurden. Die abschließende Analyse von EY im Juni 2024 ergab 292.734 Betroffene, bei denen es sich überwiegend um Namen und Adressen mit Personenkennzahlen handelte.

In der ersten Märzwoche 2024 löste bei Duvel Moortgat ein Alarm aus, woraufhin die Server abgeschaltet wurden. Die Produktion in der Brauerei in Puurs-Sint-Amands kam zum Erliegen, bis die Abfüllung am 7. März wieder aufgenommen wurde. Die öffentliche Stellungnahme des Brauers fiel knapp aus: Es sei genügend Bier auf Lager für alle.

2025: die wallonische Verwaltung, Orange Belgium und der Flughafen Brüssel

Im April 2025 drangen Unbekannte in die IT-Systeme des „Service public de Wallonie“, der Verwaltung der Region Wallonien, ein. Am 17. April beschloss diese gemeinsam mit dem CCB, alle Internetverbindungen zu unterbrechen. Die Störung war so schwerwiegend, dass durch einen Erlass vom 15. Mai 2025 die gesetzlichen Fristen in der wallonischen Gesetzgebung um 60 Tage verlängert wurden.

Ende Juli 2025 stellte Orange Belgium fest, dass sich ein Unbefugter Zugang zu einem System verschafft hatte, in dem Daten von 850.000 Kundenkonten gespeichert waren: Namen, Telefonnummern, SIM-Kartennummern, PUK-Codes und Tarifpläne. Das Unternehmen gab den Vorfall am 20. August bekannt.

Am Abend des 19. September 2025 führte ein Angriff auf Collins Aerospace zum Ausfall der Check-in- und Boarding-Software am Brüsseler Flughafen. Der Flughafen forderte die Fluggesellschaften auf, etwa die Hälfte der für den folgenden Montag geplanten 276 Abflüge zu streichen. Die EU-Agentur für Cybersicherheit ENISA bestätigte, dass Ransomware die Ursache war.

2026: AZ Monica und ein Portal, das 270 Türen öffnete

Am 13. Januar 2026 schaltete das Antwerpener Krankenhaus AZ Monica nach einem Cyberangriff alle Server an seinen beiden Standorten ab. Operationen wurden abgesagt, etwa 70 Patienten wurden nach Hause geschickt und sieben in andere Krankenhäuser verlegt. Die elektronische Patientenakte war drei Wochen später wieder verfügbar.

Im Juni 2026 warnte das belgische Sicherheitsunternehmen Secutec vor einer seit Februar andauernden Angriffskampagne. Angreifer hatten sich mittels Brute-Force-Angriffen Zugang zu Konten auf dem Partnerportal von Fortinet verschafft und Firewall-Zugangsdaten von IT-Dienstleistern gestohlen. Mindestens 270 belgische Organisationen waren davon betroffen. Dieses Muster ist nicht auf Belgien beschränkt, wie unsere Übersichten über die größten Angriffe in den Niederlanden, Frankreich und Deutschland zeigen.

Was die belgischen Fälle gemeinsam haben

• Öffentliche Dienste und das Gesundheitswesen sind am stärksten betroffen. Zwei Städte, eine Regionalverwaltung, ein Ministerium und zwei Krankenhausverbünde: Der Schaden für sie bemisst sich in Wochen Ausfallzeit, nicht in Lösegeld.
• Ransomware ist weit verbreitet, und damit einher geht Datendiebstahl. Bei Vivalia, in Antwerpen und bei Limburg.net nutzten die Angreifer gestohlene Daten als Druckmittel. Das CCB zählte in den ersten neun Monaten des Jahres 2026 80 Ransomware-Angriffe.
• Der Weg ins System ist selten ein genialer Hack. Wenn der Einstiegspunkt bekannt ist, handelt es sich um eine nicht gepatchte Sicherheitslücke (Defence), gestohlene Anmeldedaten (die Fortinet-Kampagne) oder fehlende grundlegende Sicherheitsmaßnahmen wie die Zwei-Faktor-Authentifizierung (Antwerpen). Die Zahl der Meldungen über kompromittierte Konten an das CCB stieg von 72 im Jahr 2024 auf 144 im Jahr 2025 und auf 156 in den ersten neun Monaten des Jahres 2026.
• Lieferanten ziehen einen in ihren Sog. Der Flughafen Brüssel wurde nicht selbst angegriffen, sondern sein Softwareanbieter. Im Jahr 2026 machte ein Anbieterportal Hunderte belgischer Netzwerke angreifbar.

Was die CCB und Safeonweb tun

Das Centre for Cybersecurity Belgium (CCB) ist die nationale Behörde für Cybersicherheit und leitet das nationale Incident-Response-Team. Es nimmt Vorfallmeldungen entgegen, überwacht die Einhaltung des NIS2-Gesetzes und veröffentlicht „CyberFundamentals“, ein Rahmenwerk für Sicherheitsmaßnahmen, das in verschiedene Stufen unterteilt ist. Unternehmen finden die entsprechenden Tools sowie die NIS2-Registrierung auf Safeonweb@Work.

Safeonweb ist die öffentliche Plattform. Jeder kann eine verdächtige Nachricht an [email protected] weiterleiten. Im Jahr 2025 gingen beim CCB durchschnittlich 27.000 solcher Meldungen pro Tag ein, bis März 2026 waren es bereits mehr als 42.000. Miguel De Bruycker vom CCB erklärte gegenüber VRT NWS, dass Kriminelle dank KI mittlerweile im Handumdrehen sehr glaubwürdige Nachrichten erstellen können.

Der menschliche Faktor: Wo ein Angriff wirklich beginnt

Belgische Opfer geben selten bekannt, wie sich die Angreifer Zugang verschafft haben, daher kann niemand mit Sicherheit behaupten, dass jeder der oben genannten Fälle mit einer Phishing-E-Mail begann. Die Zahlen zeigen jedoch deutlich, wo der Druck liegt: Zehntausende Phishing-Nachrichten pro Tag, doppelt so viele kompromittierte Konten wie vor zwei Jahren und gestohlene Anmeldedaten als Kernstück der größten Kampagne des Jahres 2026.

Keine Firewall deckt diesen Bereich ab. Ein Mitarbeiter, der eine gefälschte Anmeldeseite oder einen Anruf vom „Helpdesk“ erkennt, verhindert einen Angriff, bevor er zu einem Vorfall wird. Unsere Übersicht über die verschiedenen Arten von Phishing-Angriffen zeigt, wie solche Nachrichten heutzutage aussehen. Guardey trainiert diesen Reflex mit einer spielerischen Herausforderung von etwa drei Minuten pro Woche, die auch Phishing-Simulationen umfasst.

Was dies für belgische KMU im Rahmen des NIS2-Gesetzes bedeutet

Belgien hat die NIS2-Richtlinie fristgerecht umgesetzt. Das Gesetz vom 26. April 2024 gilt seit dem 18. Oktober 2024, wobei die CCB als Aufsichtsbehörde fungiert. Mittlere und große Organisationen in den aufgeführten Sektoren müssen sich registrieren lassen, schwerwiegende Vorfälle innerhalb von 24 bzw. 72 Stunden melden und Risikomanagementmaßnahmen ergreifen, zu denen auch Schulungen zur Cybersicherheit gehören. Die Geschäftsleitung muss selbst an den Schulungen teilnehmen und trägt die Verantwortung. Die Bußgelder betragen bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes. Unser NIS2-Leitfaden erläutert den Geltungsbereich, die Pflichten und die Fristen.

Vier Erkenntnisse, die jedes belgische KMU in diesem Quartal umsetzen kann:

1. Aktivieren Sie die Multi-Faktor-Authentifizierung und installieren Sie Patches umgehend. In Antwerpen wurde eine schwache Zwei-Faktor-Authentifizierung festgestellt; ein nicht gepatchtes System ermöglichte den Zugriff auf das Verteidigungsministerium.
2. Stellen Sie Ihren Lieferanten die „Brüsseler Flughafen“-Frage. Wer verwahrt Ihre Zugangsdaten und wichtige Software, und was tun Sie, wenn diese ausfallen?
3. Üben Sie die Wiederherstellung. Duvel konnte bereits nach wenigen Tagen wieder mit der Abfüllung beginnen, Lüttich benötigte sechs Monate. Lesen Sie auch, wie Sie Ransomware vorbeugen können.
4. Schulen Sie Ihre Mitarbeiter jede Woche, nicht nur einmal im Jahr. Kurze, regelmäßige Schulungen und Simulationen sorgen für anhaltende Aufmerksamkeit und liefern Ihnen die Nachweise, die ein Auditor verlangt.

Häufig gestellte Fragen

Was war der größte Cyberangriff in Belgien?

Was die Kosten angeht, so war der Ransomware-Angriff auf die Stadt Antwerpen im Dezember 2022 der teuerste – die Stadt schätzt diese auf rund 70 Millionen Euro. Was die Anzahl der Betroffenen angeht, war der Hackerangriff auf Orange Belgium im Jahr 2025 mit 850.000 betroffenen Kundenkonten der größte. Was die Reichweite angeht, war der DDoS-Angriff auf Belnet im Mai 2021 der umfangreichste, bei dem rund 200 Einrichtungen gleichzeitig vom Netz genommen wurden.

Wie viele Cyberangriffe gibt es jedes Jahr in Belgien?

Das CCB erhielt im Jahr 2024 372 Meldungen über Vorfälle, im Jahr 2025 waren es 556 und in den ersten neun Monaten des Jahres 2026 588. Dabei handelt es sich lediglich um die Vorfälle, die von den Organisationen gemeldet wurden.

Wo kann man in Belgien einen Cyberangriff melden?

Organisationen, die unter das NIS2-Gesetz fallen, müssen dem CCB einen schwerwiegenden Vorfall melden und innerhalb von 24 Stunden eine Frühwarnung absetzen. Verdächtige Nachrichten können an [email protected] weitergeleitet werden.

Gilt das belgische NIS2-Gesetz auch für KMU?

Sie gilt für Organisationen in den aufgeführten Branchen mit mindestens 50 Vollzeitbeschäftigten oder mit einem Umsatz und einer Bilanzsumme von über 10 Millionen Euro. Die Einzelheiten finden Sie in unserem NIS2-Leitfaden.