HardwareproblemLuxtrust-Authentifizierung seit 14.30 Uhr am Mittwoch wieder teilweise verfügbar

Der Dienstleister Luxtrust kämpft seit Dienstag, 15.20 Uhr, mit einer „technischen Störung“. Seither sind mehrere Dienste, darunter die Authentifizierung, nicht verfügbar. Die Ursache des Problems sei inzwischen identifiziert worden: „Es handelt sich um einen rein materiellen Vorfall. Genauer gesagt um einen Hardwareausfall, der unsere Speichersysteme beeinträchtigt“, wie das Unternehmen auf Tageblatt-Nachfrage hin mitteilt. Demnach könne ein Cyberangriff ausgeschlossen werden: „Es handelt sich weder um ein Eindringen noch um einen Angriff oder einen Sicherheitsfehler“. Luxtrust versichert zudem, dass die Störung „keinerlei Auswirkungen“ auf die Integrität der Systeme, die Kundendaten oder die Sicherheit der Transaktionen habe.

Die Wiederherstellungsarbeiten seien bereits seit Dienstag im Gange und seien auch über Nacht fortgesetzt worden, meldete Luxtrust in einem ersten Presseschreiben am Mittwoch gegen 10 Uhr – also rund 18 Stunden nach dem Auftreten der Störung. Eine Rückkehr zum Normalbetrieb werde „frühestens im Laufe des Tages“ erwartet.

Die lange Wiederherstellungszeit erklärt das Unternehmen gegenüber dem Tageblatt einerseits damit, dass die zunächst durchgeführten technischen Untersuchungen und Wiederherstellungsversuche, erfolglos waren. Andererseits nehme die Wiederherstellung aufgrund der Größe und Komplexität der betroffenen Datenbanken viel Zeit in Anspruch. Die Wiederherstellung einer einzigen Datenbank könne beispielsweise bis zu zehn Stunden dauern.

Luxtrust kündigte außerdem an, im Anschluss an die Behebung der Störung eine Analyse durchzuführen und anschließend darüber zu berichten.

In Luxemburg erfordern mittlerweile zahlreiche alltägliche Vorgänge eine Authentifizierung über Luxtrust. Dazu zählen unter anderem der Zugang zum Online-Banking, die Durchführung von Online-Transaktionen sowie verschiedene Verwaltungsprozeduren über Guichet.lu. Auch das Lehrpersonal wartet derzeit ungeduldig auf die Wiederherstellung der Dienste, da es für den Zugriff auf unterschiedliche Dokumente auf Luxtrust angewiesen ist – aktuell insbesondere, um zum Trimesterende die Schulnoten einzutragen.

Demnach sind zahlreiche Dienste im Großherzogtum an Luxtrust gekoppelt und seit Dienstagnachmittag weitgehend zum Erliegen gekommen. In diesem Zusammenhang haben bereits mehrere Abgeordnete dringende parlamentarische Anfragen eingereicht. 

In ihren Anfragen erkundigen sich die Parlamentarier jedoch nicht nur nach den Ursachen der Störung, dem Zeitpunkt einer vollständigen Behebung und möglichen Maßnahmen zur Vermeidung ähnlicher Pannen in Zukunft. Diane Adehm (CSV) etwa wollte wissen, welchen finanziellen Impakt der Ausfall hatte und ob für derartige Situationen Notfalllösungen vorgesehen sind. Der LSAP-Abgeordnete Ben Polidori wiederum fragt, weshalb sich die Wiederherstellungsarbeiten so lange hinziehen, obwohl die Ursache des Problems nach Angaben von Luxtrust bekannt sein soll. Zudem wirft er die Frage auf, ob der Vorfall nicht Anlass sei, den derzeitigen „Monopolstatus“ von Luxtrust zu hinterfragen.

Die Grünen reichten gleich zwei dringende parlamentarische Anfragen ein – eine von Joëlle Welfring und eine von Djuna Bernard. Erstere interessiert sich insbesondere für die möglichen Auswirkungen auf die öffentlichen Dienste, etwa in den Bereichen Zahlungen, Steuern, Sozialversicherung, Gesundheit, Justiz und kommunale Dienstleistungen. Darüber hinaus fragt sie, ob gesetzliche Fristen, die vom Luxtrust-Ausfall betroffen sind, angepasst werden sollen. Auch Welfring hinterfragt die Monopolstellung des Dienstes und will wissen, ob Risikoanalysen zu möglichen strukturellen Schwächen in der Architektur von Luxtrust durchgeführt wurden.

Bernard erkundigt sich nach den Auswirkungen der Panne auf den Bildungsbereich. Sie möchte wissen, ob das Bildungsministerium Empfehlungen herausgegeben habe, um im Falle eines Ausfalls bei Luxtrust die „pädagogische Kontinuität“ weiterhin zu gewährleisten – insbesondere mit Blick auf den zwingend erforderlichen Zugang zu digitalen Werkzeugen während des Unterrichts [Anm. d. Red.: sofern es diesen überhaupt gibt]. Bildungsminister Claude Meisch (DP) verwies auf ein alternatives starkes Authentifizierungssystem namens eduKey. Sämtliche Mitarbeiter des Bildungsministeriums sowie das Lehrpersonal seien am Montagmorgen, um 7.20 Uhr, über die Lage informiert worden. Zudem arbeite das Centre de gestion de l´éducation (CGIE) derzeit einer Vereinfachung des Zugangs- und Registrierungsprozesses für die eduKey-Anwendung. Die Anpassungen sollen bereits „in Kürze“ verfügbar sein, meint Meisch.

Auch der Piratenabgeordnete Sven Clement reichte eine dringende parlamentarische Anfrage zu Luxtrust ein. Dabei beschäftigt ihn das Thema nicht zum ersten Mal: Bereits im Januar 2025 hinterfragte er die Monopolstellung des Dienstes nach einem technischen Ausfall. Damals wurde eine Störung durch einen Softwarefehler provoziert.

Digitalisierungsministerin Stéphanie Obertin antwortete Clement damals: „Derzeit ist nicht vorgesehen, andere Dienstleister zu suchen. Auch wenn man es so sehen kann, dass es eine gewisse Abhängigkeit von Luxtrust gibt, sei darauf hingewiesen, dass die gesamte Infrastruktur von Luxtrust in Luxemburg ist, wo das ILNAS [Anm. d. Red.: Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services] diese überwachen kann“.

Mit der Jahreswende standen große Veränderungen bei Luxtrust an: Nach rund 16 Jahren Dienstzeit ging der alte Luxtrust-Token – in physischer Form – am 31. Dezember 2024 in Rente. Luxtrust-CEO Fabrice Aresu kündigte im Mai 2024 das Ende der „Ära des Tokens“ an. „Mit der zunehmenden Bedrohung durch Online-Angriffe ist seine Verwendung jedoch nicht mehr den heutigen technischen Herausforderungen angemessen“.

Es ist gar nicht mal so lange her, da befand sich Luxemburg in einer ähnlichen Lage: Ende Juli 2025 legte eine gezielte und technisch hochentwickelte Cyberattacke Internet- und Telefondienste der Post während vier Stunden lahm. Hacker nutzten eine Schwachstelle in einem standardisierten Software-Bestandteil aus, um so nicht nur Privatkunden und Unternehmen, sondern auch kritische Infrastrukturen anzugreifen. Anfangs hatte die Post die Möglichkeit einer Cyberattacke noch verneint.

Luxtrust betonte gegenüber dem Tageblatt, dass es keinerlei Zusammenhänge zwischen den beiden Vorfällen gebe – „weder in technischer noch in organisatorischer Hinsicht“.