Unna, 1. September 2026 – Die Kommunix GmbH untersucht derzeit
einen Informationssicherheitsvorfall auf der von ihr betriebenen
Hosting-Infrastruktur für den Online-Terminreservierungsdienst TEVIS-Online
unter www.termine-reservieren.de. Der betroffene Server wurde nach
Bekanntwerden des Vorfalls am 31. August vorsorglich vollständig außer
Betrieb genommen.

Die Wiederherstellung auf einer neu aufgesetzten Infrastruktur läuft. Im
Laufe des heutigen Tages sollen die einzelnen Kundeninstanzen schrittweise
wieder zur Verfügung gestellt werden.

Nach dem derzeitigen Stand der forensischen Analyse haben wir sehr konkrete
Hinweise auf den wahrscheinlichen Angriffsweg und wissen, wie dieser
technisch abgesichert werden kann. Details hierzu veröffentlichen wir zum
jetzigen Zeitpunkt bewusst noch nicht. Wir möchten zunächst sowohl unsere
eigene Infrastruktur als auch die von Kunden selbst betriebenen
TEVIS-Online-Systeme absichern, bevor Informationen veröffentlicht werden,
die für weitere Angriffe genutzt werden könnten.

Alle uns bekannten Betreiber selbst gehosteter TEVIS-Online-Instanzen werden
deshalb im Laufe des Vormittags des 1. September proaktiv von uns kontaktiert
und erhalten konkrete Empfehlungen zur Absicherung ihrer Systeme.

Bislang kein nachgewiesener Abfluss personenbezogener Daten

Ein Abfluss personenbezogener Daten ist bislang
nicht nachgewiesen. Nach dem derzeitigen Stand unserer
Untersuchungen gehen wir davon aus, dass es dem Angreifer wahrscheinlich
nicht gelungen ist, relevante Mengen personenbezogener Daten zu erlangen.
Vollständig ausschließen können wir einen Zugriff zum jetzigen Zeitpunkt
jedoch noch nicht.

Die bisherige forensische Analyse grenzt relevante Aktivitäten des
Angreifers insbesondere auf zwei Kundeninstanzen ein. Für
die übrigen Instanzen liegen uns derzeit keine Hinweise auf eine
entsprechende Betroffenheit vor.

Mit den beiden betreffenden Kunden stehen wir deshalb unmittelbar in
persönlichem Kontakt. Gemeinsam mit ihnen werden wir die dort vorhandenen
Informationen auswerten, um eine mögliche Betroffenheit weiter einzugrenzen.

Sollte es tatsächlich zu einem Zugriff auf personenbezogene Daten gekommen
sein, gehen wir nach aktuellem Erkenntnisstand davon aus, dass sich eine
mögliche Betroffenheit auf diese beiden Instanzen konzentriert.

Architektur begrenzt die auf dem Hosting-System vorhandenen Daten

TEVIS-Online ist bewusst so konzipiert, dass personenbezogene Daten aus
einer Terminreservierung nur vorübergehend auf der öffentlich erreichbaren
Internet-Infrastruktur gespeichert werden.

Die eigentliche Verarbeitung und dauerhafte Speicherung erfolgt im
TEVIS-Backend der jeweiligen Behörde beziehungsweise des betreibenden
Rechenzentrums. Dieses Backend wird vom Kunden selbst betrieben. Kommunix
hat als Hersteller und Hosting-Anbieter keinen Zugriff auf die dort
dauerhaft gespeicherten Daten.

TEVIS-Online ist damit bewusst keine zentralisierte
SaaS-Datenhaltung. Kommunix ist Hersteller sowohl des
TEVIS-Backends als auch des Online-Produkts. Das Backend wird jedoch
grundsätzlich von den jeweiligen Kunden beziehungsweise deren beauftragten
Rechenzentren betrieben und nicht von Kommunix. Das Hosting des
Online-Produkts bietet Kommunix als optionale Dienstleistung an.

Auf der öffentlich erreichbaren Hosting-Infrastruktur befinden sich
grundsätzlich nur diejenigen Reservierungsdaten, die noch nicht an das
jeweilige Backend übertragen wurden.

Sobald das TEVIS-Backend eine Reservierung übernommen hat, werden die dafür
zwischengespeicherten Daten auf TEVIS-Online nicht mehr benötigt. Je nach
eingesetzter Synchronisation und kundenseitiger Konfiguration beträgt
dieser Zeitraum lediglich Millisekunden bis wenige Minuten. Nur wenn das
jeweilige Backend vorübergehend nicht erreichbar ist, müssen die Daten
entsprechend länger zwischengespeichert werden.

Diese Architektur begrenzt damit auch die Menge personenbezogener
Informationen, die bei einem erfolgreichen Angriff auf die öffentlich
erreichbare Infrastruktur überhaupt zugänglich sein könnte. Dieser
Sicherheitsaspekt kommt uns im aktuellen Vorfall ausdrücklich zugute.

Die Architektur hat zugleich eine praktische Konsequenz für die weitere
Untersuchung: Ob einzelne Reservierungen beziehungsweise Bürgerinnen und
Bürger möglicherweise betroffen waren, kann teilweise nur anhand des
jeweiligen TEVIS-Backends festgestellt werden. Diese Daten befinden sich
beim Kunden und stehen Kommunix auf dem Hosting-System nicht zur Verfügung.

Wir stellen unseren Kunden deshalb auf unserer Informationsseite einen
Leitfaden zur Verfügung, mit dem sie die im möglicherweise relevanten
Zeitraum verarbeiteten Datensätze auf ihrem eigenen TEVIS-System
identifizieren können. Bei Fragen oder Unterstützungsbedarf steht unser
Support zur Verfügung.

Bei den beiden Kundeninstanzen, auf denen unsere forensische Analyse
konkrete relevante Aktivitäten des Angreifers erkennen lässt, gehen wir
darüber hinaus proaktiv auf die Betreiber zu und führen die weitere
Untersuchung gemeinsam mit ihnen durch.

Dass ein Teil dieser Prüfung auf den Systemen der Kunden erfolgen muss, ist
keine Verlagerung der Aufarbeitung, sondern eine unmittelbare Folge der
bewussten Trennung der Datenhaltung zwischen öffentlich erreichbarem
Online-Dienst und dem jeweiligen Backend der Behörde.

Angreifer war mehrere Tage unentdeckt aktiv

Die ersten inzwischen identifizierten Aktivitäten des Angreifers reichen
bis zum 26. August 2026 zurück. Der Vorfall wurde am
31. August 2026 erkannt.

Damit konnte sich der Angreifer über mehrere Tage sporadisch auf dem System
bewegen, ohne dass dies erkannt wurde. Diese Erkennungszeit ist für uns
nicht zufriedenstellend und wird Bestandteil unserer technischen
Nachbereitung des Vorfalls sein.

Nach dem bisherigen Stand der Analyse waren die Aktivitäten in diesem
Zeitraum allerdings nicht kontinuierlich. Einen größeren Schaden oder einen
belegten umfangreichen Datenabfluss konnten wir bislang nicht feststellen.

Nach der Erkennung haben wir uns bewusst für die sicherere Variante
entschieden: Der komplette betroffene Server wurde abgeschaltet und wird
nicht lediglich bereinigt. Wir behandeln das System auf Betriebssystemebene
als kompromittiert und bauen die benötigten Dienste auf einer neuen
Infrastruktur wieder auf.

VISITVIS-Online vorsorglich ebenfalls abgeschaltet

Auch VISITVIS-Online ist derzeit nicht verfügbar. Der Dienst wurde
historisch auf derselben Server-Infrastruktur betrieben und deshalb
gemeinsam mit TEVIS-Online vorsorglich abgeschaltet.

Die untersuchte Schwachstelle liegt jedoch im Umfeld von
TEVIS-Online. Für VISITVIS-Online gibt es derzeit keine
Hinweise auf einen entsprechenden Angriff. Darüber hinaus werden die dort
zwischengespeicherten Daten aus Verpflichtungserklärungen zusätzlich
anwendungsseitig verschlüsselt gespeichert.

Weitere Untersuchung und transparente Aufarbeitung

Unsere forensische Untersuchung läuft weiter. Bei den beiden
Kundeninstanzen, für die konkrete relevante Aktivitäten festgestellt
wurden, werden wir gemeinsam mit den jeweiligen Betreibern insbesondere
prüfen, ob es Hinweise darauf gibt, dass personenbezogene Daten tatsächlich
eingesehen oder übertragen wurden.

Allen übrigen Kunden stellen wir die notwendigen Informationen für eine
eigene Prüfung zur Verfügung und unterstützen sie bei Bedarf über unseren
Support.

Ob sich daraus Melde- oder Informationspflichten ergeben, wird auf Basis
dieser Erkenntnisse gemeinsam mit den betroffenen Stellen bewertet.

Unsere Kunden informieren wir während der laufenden Arbeiten fortlaufend
über eine gesonderte Informationsseite. Nach Abschluss der Untersuchungen
werden wir die wesentlichen Erkenntnisse und die daraus abgeleiteten
Maßnahmen in einem Abschlussbericht veröffentlichen.

Für Presseanfragen steht die Kommunix GmbH unter
info@kommunix.de zur Verfügung.