De grootste cyberaanvallen in Duitsland

Duitse bedrijven en overheidsinstanties behoren tot de meest aangevallen in Europa. Het Bundeskriminalamt registreerde in 2025 333.922 gevallen van cybercriminaliteit, met een geschatte schade van 202,4 miljard euro. In datzelfde jaar werden 1.041 ransomware-aanvallen gemeld, en stond Duitsland wereldwijd op de derde plaats wat betreft bevestigde ransomware-incidenten.

Achter die cijfers gaan concrete gevallen schuil: een gemeentelijke IT-dienstverlener die 72 gemeenten offline haalde, een gigant in auto-onderdelen die 40 terabyte aan gegevens kwijtraakte, een universitair ziekenhuis dat patiënten moest weigeren. In dit artikel worden zes gedocumenteerde aanvallen besproken, wat ze hebben gekost en wat ze bijna allemaal gemeen hebben.

De grootste cyberaanvallen in Duitsland

1. Südwestfalen IT (2023): 72 gemeenten zonder internet

Op 30 oktober 2023 werd de gemeentelijke IT-dienstverlener Südwestfalen IT getroffen door ransomware die wordt toegeschreven aan de Akira-groep. Het datacentrum verbrak de verbindingen met de gemeenten die het bediende, waardoor 72 aangesloten steden en districten in één klap offline gingen. Burgers konden geen voertuigen registreren, geen documenten aanvragen en geen gebruik maken van gemeentelijke diensten.

Ongeveer 170 mensen werkten aan het herstel, wat zo’n 43.000 werkuren kostte, en het duurde tot in de herfst van het jaar erna voordat de diensten weer volledig waren hersteld. Het is nog steeds het grootste en meest complexe incident in zijn soort in Duitsland.

2. Continental (2022): 40 terabyte gestolen

In de zomer van 2022 drong de LockBit-groep door in de netwerken van autoleverancier Continental en bleef daar zo’n maand lang onopgemerkt. Ze stalen zo’n 40 terabyte aan gegevens: begrotingen, investerings- en strategische plannen, personeelsdossiers en vertrouwelijke communicatie van leidinggevenden en de raad van commissarissen. Ook gegevens van klanten, waaronder Volkswagen, zaten bij de buit.

De aanvallers hebben een bestand gepubliceerd met daarin de opslaglocaties van 55 miljoen bestanden. Continental heeft tienduizenden getroffen mensen aangeschreven en publiekelijk opgeroepen om geen losgeld te betalen.

3. Universitair Ziekenhuis Düsseldorf (2020): een ziekenhuis dat iemand weigerde

Door een ransomware-aanval op het universitair ziekenhuis in Düsseldorf moest het ziekenhuis zich terugtrekken uit de spoedeisende hulp. De systemen waren versleuteld en patiënten moesten naar andere ziekenhuizen worden doorgestuurd. De zaak trok internationale aandacht als een van de meest schrijnende voorbeelden van wat er gebeurt als cruciale zorginfrastructuur uitvalt. Duitse veiligheidsdiensten schreven deze aanval, samen met andere incidenten, toe aan de groep die bekendstaat als Double Spider.

4. Landkreis Anhalt-Bitterfeld (2021): de eerste verklaring van een cyberramp

Na een ransomware-aanval riep het district Anhalt-Bitterfeld de ‘Katastrophenfall’ uit, oftewel een officiële rampensituatie. Het was de eerste keer dat een Duitse overheid die stap zette vanwege een cyberaanval. De uitbetaling van uitkeringen en de dienstverlening aan burgers lagen wekenlang stil, en het district had maanden nodig om weer normaal te kunnen functioneren.

5. Funke Mediengruppe (2020): een uitgeverij zonder redactie

Een van de grootste mediagroepen van Duitsland werd getroffen door ransomware die zich verspreidde over de redactie- en productiesystemen. Kranten verschenen in noodedities. Net als in het geval van Düsseldorf en Anhalt-Bitterfeld wezen de Duitse autoriteiten naar de Double Spider-groep.

6. Het patroon achter de krantenkoppen (2025)

Afzonderlijke gevallen halen het nieuws, maar de trend is belangrijker. In 2025 was de productiesector verantwoordelijk voor 23 procent van alle Duitse datalekken, gevolgd door juridische en adviesdiensten met 14 procent en de bouw en engineering met 11 procent. Volgens Google Threat Intelligence was de SafePay-groep dat jaar verantwoordelijk voor ongeveer een kwart van de gepubliceerde Duitse datalekken. De doelwitten zijn niet langer alleen de bekende namen.

Wat deze gevallen gemeen hebben

Als je de rapporten naast elkaar leest, zie je een patroon ontstaan. Dit waren geen exotische zero-day-aanvallen op goed beveiligde systemen. Keer op keer wisten de aanvallers binnen te komen via een gewone achterdeur: gestolen inloggegevens, een overtuigende e-mail, een medewerker die handelde zonder eerst vragen te stellen.

De zaak rond Continental is leerzaam. De aanvallers zaten al zo’n maand in het netwerk voordat iemand het doorhad. Dat is geen falen van de firewalls, maar een falen van de detectie en van de signalen die daaraan voorafgaan. Iemand, ergens, zag iets dat niet klopte.

Daarom blijven het BSI en het BKA steeds weer op dezelfde zwakke plek wijzen. Technische maatregelen houden bekende bedreigingen tegen. Ze zorgen er niet voor dat een medewerker geen bijlage opent die eruitziet als een factuur, geen USB-stick aansluit die hij op de parkeerplaats heeft gevonden, of geen inlogverzoek goedkeurt na een telefoontje van iemand die zich voordoet als IT-ondersteuning. Die laatste methode is gebruikt bij enkele van de grootste Europese datalekken van de afgelopen jaren, en phishing werkt volgens precies hetzelfde principe: nieuwsgierigheid, niet een technische fout.

Hoe je je organisatie kunt beschermen

Back-ups, patches en netwerksegmentatie vormen de basis, en alle bovengenoemde organisaties beschikten in enige vorm over deze maatregelen. Wat het verschil maakt tussen de bedrijven die een aanval hebben opgevangen en de bedrijven die de krantenkoppen haalden, is meestal hoe snel iemand doorhad wat er aan de hand was.

Die herkenning kun je aanleren. In de praktijk zijn er drie dingen die het verschil maken:

• Regelmatige, korte trainingen in plaats van één sessie per jaar. Je raakt het bewustzijn kwijt. Bij een jaarlijkse sessie leer je dingen die je in maart alweer vergeten bent; door wekelijkse herhaling bouw je een reflex op.
• Realistische phishing-simulaties. Lezen over phishing is niet hetzelfde als er zelf een te ontvangen. Simulaties laten je zien welke afdelingen ondersteuning nodig hebben, voordat een aanvaller daar zelf achter komt.
• Een cultuur waarin het normaal is om dingen te melden. De medewerker die erop reageert en het binnen vijf minuten zegt, is meer waard dan degene die vijf dagen lang niets zegt.

Voor organisaties die onder NIS2 vallen, is dit niet langer optioneel. In de richtlijn wordt bewustwordingstraining expliciet genoemd, en in onze NIS2-gids leggen we uit wat dat in de praktijk betekent.