Zwei Wochen lang standen die Server, die die Sozialversicherungsdaten von Millionen Italienern verwalten, unter der Kontrolle einer Hackergruppe mit Verbindungen nach China. Keine Ransomware, keine Lösegeldforderung: nur stilles und systematisches Sammeln von Informationen. Das Ziel von Salt Typhoon — so der Name der Gruppe — ist nicht das Geld. Es ist, alles über alle zu wissen. Die Nachricht kam in den allerersten Maitagen 2026 an die Öffentlichkeit und betrifft Sistemi Informativi, ein IBM-Tochterunternehmen, das die digitale Infrastruktur von INPS, INAIL, Ministerien und Teilen des nationalen Gesundheitssystems verwaltet.

Wenn du einen eingezahlten Beitrag, einen Sozialversicherungsvorgang oder einen registrierten Arbeitsunfall hast — deine Daten waren dort.

Was passiert ist: zwei unsichtbare Wochen

Salt Typhoon wird als APT (Advanced Persistent Threat) eingestuft: Die Gruppe dringt nicht ein, schlägt zu und verschwindet. Sie dringt ein, versteckt sich, bleibt. Über Wochen, manchmal Monate. Das Ziel ist nicht, Daten zu zerstören oder Lösegeld zu fordern, sondern sie still abfließen zu lassen — sie zu kopieren, irgendwohin zu schicken und spurlos zu verschwinden, ohne offensichtliche Spuren zu hinterlassen.

In diesem Fall sollen die Angreifer etwa zwei Wochen lang aktiv gewesen sein, bevor die internen Techniker, unterstützt von der Agenzia per la Cybersicurezza Nazionale (ACN), den Einbruch bemerkten. Wie sind sie hineingekommen? Nach den ersten Rekonstruktionen über einen kompromittierten API-Schlüssel, der mit einem Cloud-System verbunden war. Kein raffinierter Angriff im Hollywood-Stil: eine angelehnte Tür in der IT-Architektur eines Dienstleisters, der Staatsdaten verwaltet.

Sistemi Informativi arbeitet mit INPS, INAIL, der nationalen Cloud der öffentlichen Verwaltung, den digitalen PNRR-Projekten und dem Gesundheitssystem. Es ist praktisch das informatische Herz der italienischen öffentlichen Verwaltung. Und zwei Wochen lang hat jemand darin gewohnt.

Was du konkret riskierst

Die Frage, die sich alle stellen, lautet: Wurden meine Daten gestohlen? Die ehrliche Antwort ist im Moment, dass es niemand mit Sicherheit weiß. Die ACN hat erklärt, sie arbeite daran, “den Ursprung und die möglichen Auswirkungen des Angriffs” zu bestimmen. Die Systeme wurden stabilisiert und die Dienste wiederhergestellt. Doch niemand kann genau sagen, welche Daten abgeflossen sind.

Was wir wissen, ist die Art der Daten, auf die diese Systeme Zugriff hatten:

  • INPS-Daten: eingezahlte Beiträge, Beschäftigungsstatus, Einkommenssituation, Vertragshistorie, Informationen zu Renten und sozialen Auffangnetzen.
  • INAIL-Daten: Arbeitsunfälle, Berufskrankheiten, medizinische und versicherungsbezogene Informationen.
  • Ministeriums- und Gesundheitsdaten: je nachdem, welche Knotenpunkte tatsächlich kompromittiert wurden.

Salt Typhoon handelt nicht für den Schwarzmarkt der Daten. Die Gruppe handelt für den chinesischen Staat, mit geopolitischen Zielen: Profilerstellung von öffentlichen Amtsträgern, Beschäftigten in sensiblen Bereichen, Personen mit institutionellen Rollen. Doch in einem System, in dem die Daten von 60 Millionen Italienern in einer einzigen Infrastruktur zusammengeführt sind, werden auch “normale Bürger” potenziell interessant — als indirekte Vektoren.

Das systemische Problem: deine Daten gehören nicht dir

Dieser Angriff wirft eine Frage auf, die weit über Salt Typhoon hinausgeht: Das Modell, mit dem die italienische öffentliche Verwaltung die Daten der Bürger verwaltet, ist von Natur aus verwundbar. Alles in einer einzigen Infrastruktur zu zentralisieren, die einem privaten Anbieter (in diesem Fall IBM) anvertraut wird, schafft ein riesiges Ziel. Ein einzelner Ausfallpunkt (Single Point of Failure), der, wenn er kompromittiert wird, Millionen Menschen gleichzeitig exponiert.

Du hast nicht gewählt, deine Sozialversicherungsdaten Sistemi Informativi anzuvertrauen. Du hast nichts unterschrieben. Und doch waren deine Daten dort, und jetzt könnten sie in unbekannten Händen sein.

Das ist das Paradox der fehlenden digitalen Souveränität: Der Staat sammelt deine Daten aufgrund gesetzlicher Verpflichtungen, delegiert sie an private Akteure, und wenn diese kompromittiert werden — bist du nicht Verfahrensbeteiligter. Du bist einfach die betroffene Person, die vielleicht eine verspätete Benachrichtigung erhält.

Was du tun kannst (auch wenn du dich davor nicht “schützen” kannst)

Ehrlich zu sein ist wichtig: Es gibt nichts, was du tun kannst, um INPS daran zu hindern, deine Beitragsdaten aufzubewahren. Sie sind gesetzlich vorgeschrieben. Aber es gibt einige konkrete Maßnahmen, die sinnvoll sind:

Überwache deine digitale Identität. Nutze Dienste wie HaveIBeenPwned, um zu prüfen, ob deine E-Mail-Adressen in früheren Lecks aufgetaucht sind. Das löst diesen Fall nicht, aber es gibt dir einen allgemeinen Überblick über deine Exposition.

Aktiviere die Zwei-Faktor-Authentifizierung überall. Wenn deine Daten gestohlen wurden und jemand versucht, sie zu nutzen, um auf deine Konten zuzugreifen, ist die 2FA deine letzte Verteidigungslinie.

Sei skeptisch gegenüber unerwarteten Mitteilungen. Nach einem Leck dieses Ausmaßes nehmen die Versuche gezielten Phishings (Spear Phishing) zu: E-Mails oder SMS, die echte Informationen über dich verwenden, um glaubwürdig zu wirken. Klicke nicht auf Links in Mitteilungen, die du nicht angefordert hast.

Trenne deine digitale Identität, wo du kannst. Nutze E-Mail-Aliase für Online-Dienste, verwende nicht dieselben Zugangsdaten mehrfach, ziehe einen Passwortmanager wie Vaultwarden in Betracht (darüber sprechen wir in unserer Self-Hosting-Serie).

Fazit

Der Salt-Typhoon-Angriff auf Sistemi Informativi IBM ist kein Einzelfall: Er ist ein Signal dafür, wie strukturell fragil die Cybersecurity der italienischen öffentlichen Verwaltung ist und wie die Daten der Bürger Risiken ausgesetzt sind, deren Akzeptanz niemand je von ihnen verlangt hat. Du kannst nicht aus dem Sozialversicherungssystem aussteigen. Aber du kannst damit beginnen, um dich herum eine digitale Hygiene aufzubauen, die den Schaden begrenzt, wenn — nicht falls — das nächste Leck kommt.

Quellen: