Die größten Cyberangriffe in Italien (2020–2026)

Kurz gesagt: Italien ist eines der am häufigsten angegriffenen Länder in Europa. Allein im ersten Halbjahr 2026 waren italienische Organisationen von 148 bestätigten Ransomware-Angriffen betroffen, wobei die Fertigungsindustrie am stärksten ins Visier genommen wurde und die Gruppen Qilin und LockBit jeweils mehr als 20 italienische Opfer für sich verbuchen konnten. Die folgenden Angriffe haben die Sichtweise italienischer Unternehmen und öffentlicher Einrichtungen auf das Thema Sicherheit grundlegend verändert: ein wochenlang lahmgelegtes regionales Gesundheitssystem, ein Labornetzwerk mit 380 Standorten, das außer Betrieb gesetzt wurde, sowie ein Ausfall eines Cloud-Anbieters, durch den 1.300 Gemeinden offline gingen. Die meisten dieser Angriffe begannen mit einem einzigen Mitarbeiter und einer einzigen E-Mail.

Zeitleiste: Die Angriffe, die die italienische Cybersicherheit geprägt haben

2020 – Enel, Campari und Luxottica: Ransomware erobert die italienische Industrie

Im Jahr 2020 wurden drei der bekanntesten italienischen Unternehmen innerhalb weniger Monate Opfer von Cyberangriffen. Der Energieriese Enel wurde zweimal angegriffen (von „Snake“ im Juni und von „Netwalker“ im Oktober, wobei Berichten zufolge ein Lösegeld in Höhe von 14 Millionen Euro gefordert und der Diebstahl von 5 TB Daten gemeldet wurde). Campari wurde im November von Ragnar Locker angegriffen, wobei eine Forderung von 15 Millionen US-Dollar gestellt wurde und die IT-Systeme wochenlang lahmgelegt waren. Luxottica erlitt im September einen Angriff, der die Produktion in Agordo und Sedico tagelang zum Erliegen brachte. Die Lehre, die die italienische Industrie daraus zog: Ransomware war angekommen, und sie zielte auf die Fabriken ab, nicht nur auf die Büros.

2020 – Leonardo: Der Insider

Nicht jeder Angriff kommt von außen. Beim Rüstungskonzern Leonardo installierte ein IT-Mitarbeiter über einen Zeitraum von zwei Jahren Malware auf 94 Arbeitsplätzen und entwendete rund 10 GB an Daten, darunter Informationen zu militärischen Projekten, bevor er im Dezember 2020 festgenommen wurde. Dies ist nach wie vor Italiens am häufigsten angeführtes Beispiel dafür, warum Zugriffskontrolle und Überwachung auch bei vertrauenswürdigen Mitarbeitern wichtig sind.

2021 – Region Latium: Das Gesundheitswesen einer Region steht still

Am 1. August 2021 führte ein Ransomware-Angriff auf die IT-Systeme der Region Latium dazu, dass das Portal zur Terminvereinbarung für COVID-19-Impfungen sowie Dutzende regionaler Dienste wochenlang außer Betrieb waren. Einstiegspunkt war Berichten zufolge der kompromittierte Laptop eines Mitarbeiters im Homeoffice, über den die Angreifer Zugang zum Rechenzentrum erhielten. Roms Impfkampagne musste auf manuelle Abläufe zurückgreifen. Es war das erste Mal, dass ein Angriff in Italien tagelang die nationalen Nachrichten beherrschte, und er gab den Anstoß zur Gründung der nationalen Cybersicherheitsbehörde ACN, die noch im selben Monat ins Leben gerufen wurde.

2022 – Stadt Palermo, Trenitalia und die Welle im öffentlichen Sektor

Im Juni 2022 wurde die Stadtverwaltung von Palermo von der Vice Society angegriffen: Städtische Dienste – vom Einwohnermeldeamt über Verkehrskameras bis hin zu Online-Zahlungen – waren wochenlang nicht erreichbar, und die Gruppe veröffentlichte gestohlene Dokumente. Im März 2022 erlitt Ferrovie dello Stato / Trenitalia einen Ransomware-Angriff durch „Hive“, der den Fahrkartenverkauf lahmlegte. Bei lokalen Gesundheitsbehörden (unter anderem beider ASL Napoli 3 Sud im Januar 2022) wurden Patientendaten verschlüsselt. 2022 war das Jahr, in dem italienische Behörden erkannten, dass sie zur Zielscheibe geworden waren.

2023 – Ferrari, ACEA und der Trend zur Erpressung ohne Verschlüsselung

Im März 2023 gab Ferrari bekannt, dass Angreifer an Kundendaten gelangt waren und Lösegeld forderten; das Unternehmen weigerte sich zu zahlen und informierte die Kunden direkt. Im Februar 2023 wurde der römische Versorgungsbetrieb ACEA von Black Basta angegriffen, wodurch interne Systeme lahmgelegt wurden (die Strom- und Wasserversorgung waren davon nicht betroffen). Beide Fälle zeigten den Trend hin zu Datendiebstahl und Erpressung, bei dem Angreifer nichts mehr verschlüsseln müssen, um Druck auszuüben.

Dezember 2023 – Westpole: ein Anbieter, 1.300 öffentliche Einrichtungen

Der Angriff mit den weitreichendsten Auswirkungen auf den Alltag in Italien richtete sich nicht gegen eine bekannte Marke. Am 8. Dezember 2023 griff LockBit den Cloud-Anbieter Westpole an, der Dienste für PA Digitale hostet, einen Dienstleister für rund 1.300 Gemeinden, Provinzen und andere öffentliche Einrichtungen. Lohnabrechnungs-, Buchhaltungs-, Protokoll- und Registrierungssysteme waren wochenlang nicht verfügbar, in einigen Fällen sogar bis in den Januar hinein. Dies ist Italiens deutlichste Lektion in Sachen Lieferkette: Ihre Sicherheit ist nur so gut wie die Ihres Lieferanten.

April 2024 – Synlab Italia: 380 Labore geschlossen

Am 18. April 2024 legte Synlab Italia, das 380 Labore und medizinische Zentren betreibt, in denen jährlich mehr als 35 Millionen Analysen durchgeführt werden, nach einem Ransomware-Angriff durch Black Basta seine gesamte italienische IT-Infrastruktur lahm. Probenahmestellen und Labore stellten ihren Betrieb ein. Synlab weigerte sich zu zahlen; am 13. Mai veröffentlichte die Gruppe rund 1,5 TB an Daten, darunter medizinische Testergebnisse. Eine Analyse der Angriffskette deutet auf eine Erstinfektion durch eine bösartige E-Mail (QBot) hin, die Wochen vor dem Einsatz der Ransomware erfolgte. Der Fall gilt in Italien mittlerweile als Paradebeispiel dafür, was ein einziger Klick in einer Einrichtung des Gesundheitswesens kosten kann.

2024 – InfoCert und der Datenbroker-Skandal

Im Dezember 2024 meldete der Anbieter digitaler Identitäten InfoCert einen Datenverstoß bei einem Drittanbieter, bei dem Daten von 5,5 Millionen Kunden offengelegt wurden. Bereits im Herbst hatte die „Equalize“-Untersuchung ein privates Geheimdienstnetzwerk aufgedeckt, das – angeblich mit Hilfe von Insidern – illegal auf staatliche Datenbanken mit Informationen zu Zehntausenden von Menschen zugegriffen hatte. Beide Fälle machten 2024 zu dem Jahr, in dem die Italiener begannen, sich zu fragen, wo ihre Daten eigentlich gespeichert sind.

2025–2026 – Qilin, LockBit 5.0 und die Welle im Fertigungssektor

Die Ransomware-Angriffe auf Italien ließen nicht nach. Tracker zählten in der ersten Hälfte des Jahres 2026 148 bestätigte Angriffe – ein sprunghafter Anstieg von 16 Angriffen im Juli auf 48 im August 2026 –, wobei das verarbeitende Gewerbe am stärksten betroffen war, gefolgt vom Gesundheitswesen und dem Dienstleistungssektor. Zu den namentlich genannten Fällen aus dem Jahr 2026 zählen ein Wasserversorger (Alto Calore Servizi) und eine Krankenhausgruppe in Triest, die von Erpressergruppen ins Visier genommen wurden. Intel 471 beschreibt das aktuelle Muster in Italien wie folgt: Broker für Erstzugänge verkaufen VPN- und E-Mail-Zugänge, woraufhin Ransomware zum Einsatz kommt, wobei Vishing (Voice-Phishing) zunehmend genutzt wird, um Mitarbeiter dazu zu bringen, ihre Zugangsdaten preiszugeben.

Die größten Anschläge im Überblick

Was die italienischen Fälle gemeinsam haben

• Der Einstiegspunkt ist eine Person oder ein Lieferant, nicht eine Zero-Day-Schwachstelle. Bei Lazio begann alles auf dem Laptop eines Mitarbeiters, bei Synlab angeblich mit einer E-Mail, bei Westpole und InfoCert über einen Lieferanten und bei Leonardo durch einen Insider. Firewalls waren nicht die Schwachstelle.
• Das Gesundheitswesen und öffentliche Einrichtungen zahlen den höchsten Preis. Nicht in Form von Lösegeld, sondern in Form von wochenlangen Ausfällen und durch die Veröffentlichung medizinischer und personenbezogener Daten auf Leak-Seiten.
• Nicht zu zahlen funktioniert – sofern man sich die Ausfallzeit leisten kann. Synlab und Ferrari lehnten dies ab; beide erholten sich wieder. Beide verfügten zudem über Backups und einen Kommunikationsplan.
• Vishing ist das neue Phishing. Die Berichte aus dem Jahr 2026 heben Telefonanrufe an Mitarbeiter als den am schnellsten wachsenden Einfallweg in italienische Unternehmen hervor, weshalb Schulungen nun auch den Telefonverkehr und nicht nur den E-Mail-Eingang abdecken müssen.

Was dies für italienische KMU im Rahmen von NIS2 bedeutet

Italien hat NIS2 frühzeitig durch das seit Oktober 2024 geltende Gesetzesdekret 138/2024 umgesetzt, wobei die ACN als Aufsichtsbehörde fungiert. Mittlere und große Unternehmen in 18 Branchen (sowie kleinere, von der ACN benannte Unternehmen) müssen sich registrieren lassen, Vorfälle innerhalb von 24 bzw. 72 Stunden melden und die Mindestmaßnahmen gemäß Artikel 21 umsetzen, zu denen ausdrücklich Schulungen zur Cybersicherheit für Mitarbeiter und Führungskräfte gehören. Jeder der oben genannten Fälle lässt sich einer dieser Maßnahmen zuordnen: Lieferantensicherheit (Westpole, InfoCert), Zugangskontrolle (Leonardo, Latium), Schulungen und Widerstandsfähigkeit gegen Phishing (Synlab, die Vishing-Welle von 2026). Eine praktische Aufschlüsselung finden Sie in unserem NIS2-Leitfaden 2026 und in den Informationen dazu, was NIS2 für Führungskräfte bedeutet.

Fünf Lehren für jedes Unternehmen – ob in Italien oder anderswo

1. Schulen Sie die Mitarbeiter, die auf Links klicken. Kontinuierliche, kurze Schulungen sind besser als ein jährliches Modul; die Angriffe des Jahres 2026 beginnen mit E-Mails und Telefonanrufen an normale Mitarbeiter. Die Sicherheitsschulungen von Guardey sind genau auf diesen Rhythmus zugeschnitten – auch auf Italienisch.
2. Testen Sie mit Simulationen, einschließlich Sprachausgabe. Monatliche Phishing-Simulationen zeigen, wer noch vor dem Angreifer auf den Link klicken würde.
3. Stellen Sie Ihren Lieferanten die „Westpole“-Frage: Wer betreibt Ihre Lohnabrechnung, Ihr Benutzerverzeichnis und Ihren Identitätsanbieter, und was passiert mit Ihnen, wenn diese ausfallen?
4. Setzen Sie MFA für VPN und E-Mail durch. Die Access-Broker, die 2026 in Italien tätig sind, verkaufen Zugangsdaten; MFA macht die meisten davon wertlos.
5. Entscheiden Sie jetzt, ob Sie zahlen würden. Synlab und Ferrari hatten sich bereits vor dem Angriff entschieden. Dank Backups, eines Notfallplans und eines Kommunikationsplans ist „Nein“ eine realistische Antwort.

Häufig gestellte Fragen

Was war der größte Cyberangriff in Italien?

Was die Auswirkungen auf den Alltag betrifft, so war es der Angriff auf Westpole im Dezember 2023, durch den rund 1.300 öffentliche Einrichtungen wochenlang ohne ihre Kernsysteme auskommen mussten. Was die Sensibilität der Daten betrifft, war es der Angriff auf Synlab Italia im Jahr 2024, bei dem 1,5 TB an Daten, darunter medizinische Befunde, offengelegt wurden. Was die symbolische Bedeutung betrifft, war es der Angriff auf die Region Latium im Jahr 2021, der zur Gründung von ACN führte.

Wie viele Cyberangriffe verzeichnet Italien pro Jahr?

Sicherheitsdienste zählten allein im ersten Halbjahr 2026 148 bestätigte Ransomware-Angriffe; europäischen Berichten zufolge liegt Italien bei der Zahl der Ransomware-Opfer an vierter Stelle in Europa, hinter Deutschland, Großbritannien und Frankreich. Phishing und Business-E-Mail-Compromise kommen weitaus häufiger vor, werden jedoch selten öffentlich gemeldet.

Welche Branchen sind in Italien am stärksten betroffen?

An erster Stelle steht das verarbeitende Gewerbe (Italiens Industriestandort ist geprägt von zahlreichen mittelständischen Unternehmen), gefolgt vom Gesundheitswesen, der öffentlichen Verwaltung und den freiberuflichen Dienstleistungen.

Gilt NIS2 für mein Unternehmen in Italien?

Wenn Sie ein mittleres oder großes Unternehmen (50+ Mitarbeiter oder 10 Millionen Euro Umsatz) in einem der 18 NIS2-Sektoren sind, dann ja, und Sie sollten bereits bei ACN registriert sein. Die Liste der Sektoren finden Sie in unserem NIS2-Leitfaden.