Wer zwischen Dienstag, 6. Oktober 2026, 16.46 Uhr, und Mittwoch, 7. Oktober, 15.30 Uhr, die Internetseiten der Stadt Dülmen aufgerufen und dabei eine Sicherheitsabfrage ausgeführt hat, sollte sein Gerät überprüfen. Unbekannte hatten die Seiten www.duelmen.de, www.duelmen-marketing.de und www.duelmener-winter.de gehackt und gefälschte „Captchas“ eingebaut. Wer den Anweisungen darin folgte und eine bestimmte Tastenkombination eingab, konnte sich nach Angaben der Stadt Schadsoftware auf den Rechner oder das Handy holen.
Das sollten Betroffene jetzt tun
Die Stadt empfiehlt allen, die in diesem Zeitraum eine solche Abfrage ausgeführt haben:
- das Gerät mit aktueller Sicherheitssoftware gründlich prüfen
- auf ungewöhnliches Verhalten des Geräts achten
- bei eingehenden E-Mails besonders vorsichtig sein, etwa bei unbekannten Absendern, falschen Anreden, seltsamen Links und Anhängen
- generell keine Sicherheitsabfragen ausführen, die dazu auffordern, eine Tastenkombination einzugeben
Nur das Erscheinen des Fensters war nach bisherigen Erkenntnissen ungefährlich. Wie viele Nutzer die Abfrage zu sehen bekamen, ist nicht bekannt.
Echte Captchas verlangen keine Tastenkombination
Ein Captcha ist ein kurzer Test, mit dem eine Internetseite prüft, ob ein Mensch oder ein Programm sie bedient, etwa durch Ankreuzen eines Kästchens oder Erkennen von Bildern. Die Seiten der Stadt Dülmen nutzen solche Abfragen nach eigenen Angaben gar nicht. Die Masche, Nutzer über eine gefälschte Abfrage zu Tastenbefehlen zu bewegen, ist seit einiger Zeit verbreitet: Seriöse Seiten fordern nie dazu auf, Tastenkombinationen einzugeben oder etwas in ein Systemfenster einzufügen.
Einfallstor war ein Kontaktformular
Der Angriff kam laut Stadt von einer in Tschechien registrierten Domain und gelang nach ersten Erkenntnissen über ein Kontaktformular. Der Schadcode ist entfernt, das betroffene Formular ausgetauscht, und alle Seiten wurden auf ähnliche Schwachstellen geprüft. Daten sind nach bisherigem Stand nicht abgeflossen. Die betroffenen Server betreut ein externer Dienstleister, sie sind nicht mit der städtischen IT verbunden. Die Stadt will Strafanzeige erstatten.
