Kathrin Walther

Fast genau zwei Jahre ist es her, da las Ronald Petrlic den Beitrag „Betrügerische Rechnungen: Gefälschte E-Mails der Stadt Nürnberg im Umlauf“ auf dem Online-Portal nordbayern.de. Darin warnte die Stadt vor gefälschten E-Mails, die in ihrem Namen verschickt wurden und in denen die Empfänger zur Zahlung offener Rechnungen aufgefordert wurden. E-Mail-Spoofing lautet die Bezeichnung in der Fachwelt.((ContentAd))Kann das sein?, dachte sich Petrlic, Professor für Informationssicherheit an der Technischen Hochschule Nürnberg Georg Simon Ohm. Wie ist der E-Mail-Server der Stadt konfiguriert? Sind ausreichend Schutzmaßnahmen eingerichtet? Der Wissenschaftler stellte schnell fest: Es war ein Leichtes für ihn, Mails im Namen der Stadt zu erstellen. Und wie sieht es in anderen Kommunen aus?((Platzhalter))Petrlic setzte die Stadt Nürnberg und auch das in Nürnberg ansässige Landesamt für Sicherheit in der Informationstechnik, kurz LSI, in Kenntnis. Und begann zu forschen. Aus seinem Impuls entstand eine Studie im deutschsprachigen Raum, die jetzt veröffentlicht wurde: Die Ohm-Hochschule analysierte gemeinsam mit Forschenden der Universität Fribourg, der Hochschule Luzern aus der Schweiz sowie der Technischen Hochschule Ingolstadt über 15.000 E-Mail-Server von Gemeinden und Städten in Deutschland, Österreich und der Schweiz. Die Ergebnisse sind auf zwei interaktiven Karten einsehbar (<a rel="noopener" href="https://secassure2026.mxmap-project.org/" target="_blank">https://secassure2026.mxmap-project.org/</a>), die Antworten auf diese Fragen abbilden: Nutzen Kommunen europäische E-Mail-Provider? Und wie schützen sie sich vor Angreifern im Netz?((Platzhalter))Die im ersten Moment widersprüchlichen Antworten für Nürnberg lauten: Was die digitale Souveränität, also Unabhängigkeit anbelangt - und damit auch den Schutz sensibler Daten - steht Nürnberg sehr gut da. Dafür aber schlecht im Hinblick auf die Cybersicherheit. Das Dilemma: Aus Datenschutzsicht sei es laut Petrlic sinnvoll, alles möglichst selbst zu verwalten, aus Sicherheitssicht seien große Provider mit mehr personellen Ressourcen besser. „Es gibt professionelle deutsche Mail-Provider wie GMX oder Posteo. Aber das kostet ganz klar Geld.“Tatsächlich betreibt die Stadt laut Auskunft der Pressestelle ihre E-Mail-Server „im eigenen städtischen Rechenzentrum“ - Betrieb, Administration der Infrastruktur sowie Schnittstelle für den Austausch von E-Mails mit anderen Anbietern inklusive. „Nürnberg ist damit in diesem Bereich sein eigener E-Mail-Provider“, schreibt die Stadt. Das ist die gute Nachricht.<h3>Professor Petrlic von der Ohm-Hochschule Nürnberg: Zum Schutz der Empfänger fehlen IT-Sicherheitsstandards wie SPF und DMARC </h3>Die aus Sicht des Forschungsprofessors schlechte lautet allerdings: Auch zwei Jahre nach dem veröffentlichten Betrugsversuch mittels E-Mail-Spoofing sei es noch immer kein Problem, Schad-Mails im Namen der Stadt Nürnberg zu verschicken. Er habe es selbst geprüft und der Presseabteilung seiner Hochschule vorgeführt: „Mit Hilfe von ChatGPT habe ich in wenigen Minuten eine Mail im Namen der Stadt Nürnberg erstellt“, sagt Petrlic. Mit der korrekten Bezeichnung des Mailservers: stadt.nuernberg.de.((Module))„Ich finde es sehr problematisch, dass sich seit zwei Jahren nichts geändert hat“, sagt der Informatiker. „Der Text ist dank KI fehlerfrei, die Adresse stimmt auch: Ich kann also als Bürger oder Bürgerin auf den ersten Blick nicht erkennen, ob es sich um eine legitime Nachricht der Stadt Nürnberg handelt oder um einen Angriff.“Dabei sei es nach Angaben von Professor Petrlic kein finanzieller Aufwand, Maßnahmen einzurichten, um Empfänger vor Betrug-Mails zu schützen. Es müssten nur Sicherheitsstandards wie SPF und DMARC eingesetzt werden. SPF steht für „Sender Policy Framework“, DMARC für „Domain-based Message Authentication, Reporting, and Conformance“. Bei beiden Methoden zur E-Mail-Authentifizierung werden Mail-Server und IP-Adressen im öffentlichen DMS (Domain Name System) eingetragen. Der Server, der eine Mail erhält, gleicht die IP des Absenders mit diesen Einträgen ab. Er identifiziert also unbekannte Mails, nimmt diese nicht an und benachrichtigt auch den vermeintlichen Absender.((Platzhalter))Die Stadt Nürnberg wehrt sich gegen die Vorwürfe. „Die pauschale Darstellung, grundlegende Schutzverfahren seien nicht eingerichtet, wird den tatsächlichen Gegebenheiten nicht gerecht“, heißt es darin. Die Schutzverfahren SPF und DMARC seien im Einsatz. Allerdings komme es auf die Konfiguration an. „Nach Auskunft unserer IT war bis November 2025 eine strengere DMARC-Regel eingerichtet. Nachdem es zu Zustellproblemen bei berechtigten Nachrichten gekommen war, wurde diese angepasst“, schreibt die Stadt. Die aktuelle Konfiguration werde man nun aber „auf weitere Optimierungsmöglichkeiten hin untersuchen, da der vorliegende Bericht hierzu Hinweise liefert“.Die Stadt macht außerdem darauf aufmerksam, dass das Forschungsteam für die Analyse nur auf öffentlich sichtbare Einstellungen zugegriffen habe. „Dies stellt keine umfassende Sicherheitsprüfung unserer E-Mail-Infrastruktur dar.“ Tatsächlich wurden für die Untersuchung öffentlich zugängliche Daten aus dem DNS verwendet.Ronald Petrlic widerspricht der Aussage der Stadt deutlich: „Ich hab gerade noch mal nachgesehen: Es gibt keinen DMARC-Eintrag“, schreibt er am 6. November. Sein Erklärungsansatz: Das Problem könnte mit der Größe der Stadt und damit der Anzahl der Behörden und Abteilungen zu tun haben. Die erstellten Karten zeigen, dass die kleineren Städte Erlangen und Fürth zumindest eine Schutzmaßnahme eingerichtet haben, noch kleinere Städte wie Neumarkt und Schnaittach sogar beide. Eventuell, so Petrlic, fehle in Nürnberg der Überblick über alle Server, Dienste und IP-Adressen.((ContentAd))Dagegen stimmt er der Stadt zu, dass die Studie keine Aussage über die allgemeine Sicherheit der Mail-Infrastruktur macht. „Wir sagen nichts dazu, ob es für Angreifer einfach oder schwer ist, dort einzudringen und Mails zu lesen.“ Im Blick der Forschung sei ausschließlich die Umsetzung der Spoofing-Maßnahmen gewesen, also ob Fremde im Namen der Stadt Nürnberg Mails versenden können. „Und da können wir ganz sicher sagen, dass sie hier blank sind.“

Ronald Petrlic, Professor für IT-Sicherheit Ohm-HS

Technische Hochschule Nürnberg Georg Simon Ohm

Bildung

Mehr News für Sie

Fake-Mail, erstellt von Ohm-Professor

Studie Ohm-Hochschule kommunale Mail-Server

2026-11-05_13-47_collage

Doppelt ausgezeichnet: Zwei Professorinnen der Hochschule Ansbach „Deutschlands Beste“

https://images.nordbayern.de/image/contentid/policy:1.15343496:1794052781/Ronald_Petrlic_Professor_fuer_ITSicherheit_OhmHS.jpg?f=16:9&h=320&m=FIT&w=600&$p$f$h$m$w=42a7e08

https://www.nn.de/nuernberg/it-sicherheitslucke-habe-im-namen-der-stadt-nurnberg-in-kurzer-zeit-eine-mail-erstellt-1.15343495

Nürnberg - Wie sicher können Bürger sein, dass eine E-Mail mit der Endung @stadt.nuernberg.de wirklich von der Stadt Nürnberg verschickt wurde und nicht von Betrügern? Laut einem Forschungsergebnis der Ohm-Hochschule: gar nicht. Die Stadt widerspricht.

IT-Sicherheitslücke? „Habe im Namen der Stadt Nürnberg in kurzer Zeit eine Mail erstellt“