Ist i-Kfz nicht verfügbar, hat der Kreis abgeschaltet oder das KBA gesperrt

Wer sein Auto online anmelden will und i-Kfz nicht verfügbar ist, hat es zuerst mit seiner eigenen Zulassungsbehörde zu tun. Ein bundesweites Portal für i-Kfz, die internetbasierte Fahrzeugzulassung, gibt es nicht: Jede Zulassungsbehörde hat ihr eigenes. Abschalten kann es die Behörde mit ihrem Rechenzentrum, etwa wenn eine Sicherheitslücke bekannt wird. Sperren kann es das Kraftfahrt-Bundesamt (KBA), wenn das Portal dessen Sicherheitsregeln verletzt oder geknackt wurde. Wie lange ein Portal ausfällt, schreibt keine Regel vor. Solange es ausfällt, bleibt die Zulassungsstelle vor Ort; eine andere Zulassungsbehörde darf den Antrag nur mit Zustimmung der eigenen bearbeiten.

Das KBA stellt die Leitung, das Portal gehört der Behörde#

Die Fahrzeug-Zulassungsverordnung schreibt vor, dass der Online-Antrag „über das von der Zulassungsbehörde hierfür eingerichtete informationstechnische System (Portal)“ läuft. Von dort gehen die Daten über ein Verfahren, das das KBA eingerichtet hat, an die Fachverfahren der Zulassungsbehörde (§ 19 Abs. 1 FZV gesetze-im-internet.de ↗). Welche Sicherheitsstandards die Portale erfüllen müssen, legt das KBA fest (§ 18 Abs. 3 FZV gesetze-im-internet.de ↗). Das Bundesministerium für Verkehr schreibt auf seiner Seite zu i-Kfz¹, die Umsetzung obliege „den Bundesländern und Kommunalverwaltungen. Diese stellen entsprechende i-Kfz-Portale zur Verfügung“. Als Ziel nennt das Ministerium, „bis zum Ende der Legislaturperiode ein zentrales i-Kfz-Portal für Standardvorgänge beim Kraftfahrt-Bundesamt zu etablieren“.

Die i-Kfz-App ist etwas anderes: Sie ist der digitale Fahrzeugschein, entwickelt vom KBA und der Bundesdruckerei, und kein Zulassungsportal.

Was bleibt, wenn i-Kfz nicht verfügbar ist#

Die Zulassungsstelle vor Ort. Bei den Abschaltungen in Nordrhein-Westfalen Ende Oktober 2026 betraf der Ausfall laut WDR offenbar nur das Online-Angebot, nicht die Dienste vor Ort. Autohäuser, Versicherungen und Zulassungsdienste mit mehr als 500 Vorgängen im Jahr haben einen eigenen Weg über das KBA, die Großkundenschnittstelle. „Ist im Ausnahmefall das i-Kfz-Portal nicht erreichbar, werden die Anträge zur teilautomatisierten Bearbeitung an die zuständige Zulassungsbehörde gesendet“, schreibt das Verkehrsministerium². Privatleute haben diesen Weg nicht selbst, ein Autohaus oder Zulassungsdienst kann ihn für sie nutzen. Ob die Anträge in Nordrhein-Westfalen auf diesem Weg durchkamen, ist nicht bekannt.

Darf ich mein Auto im Nachbarkreis online zulassen?#

Nicht ohne Weiteres. Zuständig ist „die Behörde des Wohnorts des Antragstellers“. Eine andere Zulassungsbehörde darf den Antrag nur „mit Zustimmung der örtlich zuständigen Verwaltungsbehörde“ bearbeiten (§ 75 Abs. 2 und 4 FZV gesetze-im-internet.de ↗). Ob die Kreise diese Zustimmung erteilen, solange ihr Portal abgeschaltet ist, hat keiner von ihnen veröffentlicht.

Warum fällt i-Kfz in mehreren Kreisen gleichzeitig aus?#

Viele Kreise und Städte lassen ihre Online-Dienste vom selben kommunalen Rechenzentrum betreiben. Nimmt das Rechenzentrum seine Server vom Netz, fällt i-Kfz in allen diesen Kommunen zugleich aus. So geschah es Ende Oktober 2026 in Nordrhein-Westfalen. Der WDR zählte am 3. November zwölf Kreise und Städte, deren Online-Zulassung abgeschaltet war, und neun, in denen „alles wie gewohnt funktioniert“. „Konkrete Informationen zu den Hintergründen“ lägen nicht vor.

Die Gründe hatten mehrere Kreise da schon selbst veröffentlicht. Der Kreis Mettmann schrieb auf seiner Startseite, wegen der Sicherheitslücke „Broccoli2Shell“ habe „unser Rechenzentrum vorsorglich einige Online-Dienste vom Netz genommen“. Betroffen seien das i-Kfz-Portal „sowie einzelne Services im Schul- und Geobereich“ (Pressemitteilung vom 30. Oktober 2026³). Der Kreis Wesel nannte das Rechenzentrum beim Namen: Das Kommunale Rechenzentrum Niederrhein (KRZN) habe „vorsorglich mehrere Webseiten vom Netz genommen“. Betroffen seien auch das Straßenverkehrsamt und das Vermessungs- und Katasteramt (Pressemitteilung vom 30. Oktober 2026⁴).

Von den 12 Kommunen, die der WDR als betroffen führt, hängen 10 an drei kommunalen Rechenzentren: vier am KRZN⁵ (drei als Mitglied, Borken mit seinem Portal), vier an der Südwestfalen-IT bra.nrw.de ↗, zwei an der ITK Rheinland⁶. Von den neun Kommunen ohne Störung ist laut den Mitgliederlisten keine Mitglied in einem dieser drei.

Die Mitgliedschaft zeigt nicht, dass das i-Kfz-Portal einer Kommune dort läuft. Belegt ist das nur beim KRZN: Borken verlinkt sein Portal unter einer Adresse des KRZN, Wesel nennt das KRZN als das Rechenzentrum, das abgeschaltet hat. Auch die Listen des WDR sind unvollständig, er schreibt selbst „bisher offenbar“ und „unter anderem“. Bottrop und der Kreis Kleve (beide KRZN) und der Hochsauerlandkreis (Südwestfalen-IT) stehen in keiner Liste und zeigten auf ihren Startseiten am 3. November keinen Hinweis. Auch bei Olpe und Krefeld, die der WDR als betroffen führt, fehlte er.

Erster Fall: Die Behörde schaltet ab, wenn eine Lücke bekannt wird#

Wird eine Lücke in weit verbreiteter Software bekannt, nimmt das Rechenzentrum vom Netz, was sie enthalten könnte, bis die Updates eingespielt sind. „Broccoli2Shell“ ist eine Lücke in Brotli, einem Programmbaustein von Google, der Daten zusammenpackt und wieder auspackt. Sie steckt in den Versionen 1.0.3 bis 1.2.0 und erlaubt im schlimmsten Fall, fremden Code auf dem Server auszuführen (CVE-2026-111497⁷). Google veröffentlichte die korrigierten Versionen am 21. Oktober 2026. Am 27. Oktober nahm die US-Cybersicherheitsbehörde CISA die Lücke in ihre Liste der ausgenutzten Schwachstellen auf.

Gefährdet ist laut der Infoseite broccoli2shell.com⁸ Software, die Brotli-Daten auspackt, die „jemand anderes kontrolliert“ (eigene Übersetzung). In welchem Teil ihrer Technik Brotli steckt, hat keiner der Kreise gesagt.

Das kann bei jeder großen Lücke wieder geschehen, im Oktober 2026 in Nordrhein-Westfalen zweimal binnen zwei Wochen. Der Märkische Kreis hatte zuvor schon viele Online-Dienste vom Netz genommen, wegen einer Lücke in PHP⁹, die am selben 21. Oktober öffentlich wurde. Am 23. Oktober meldete er, nach Sicherheitsupdates und „umfangreichen Prüfungen“ seien alle Online-Dienste wieder verfügbar¹⁰. Ob er wegen Broccoli2Shell erneut abgeschaltet hat, wie der WDR ihn führt, steht auf seiner Seite nicht.

„Vorsorglich“ heißt: Kein Kreis hat einen Einbruch gemeldet, ausgeschlossen hat ihn aber auch keiner. Das Portal muss die Antragsdaten sofort nach der Übermittlung löschen, bei einem Abbruch spätestens nach 30 Minuten (§ 19 FZV). Wesel kündigt an, die Systeme vor dem Wiederanschalten „umfassend“ zu überprüfen. Ein Ergebnis war bis zum 3. November nirgends zu finden.

Wie lange bleibt das Portal abgeschaltet?#

Das entscheidet die Behörde. Die Mindestsicherheitsanforderungen des KBA für i-Kfz verlangen, dass Sicherheitsupdates „fortlaufend gepflegt werden“ (MSA-i-Kfz, S. 24, A-6.1-6 bundesanzeiger.de ↗). Jeder Betreiber braucht ein Konzept, wie er auf gemeldete Schwachstellen reagiert, und darin „müssen die Verantwortlichkeiten und der zeitliche Rahmen für die Durchführung von diesbezüglichen Maßnahmen deutlich definiert werden“. Eine Frist für Sicherheitsupdates nennen die Regeln nicht.

Nach der PHP-Lücke war der Märkische Kreis zwei Tage später wieder online. Nach einem gelungenen Angriff dauert es länger. Die Südwestfalen-IT wurde in der Nacht zum 30. Oktober 2023 Opfer eines Erpressungsangriffs. Drei Monate später plante sie, „die ersten wesentlichen Fachverfahren bis Ende Q1 2024 in den Normalbetrieb“ zu bringen (Pressemitteilung vom 25. Januar 2024 kuerten.de ↗). Ein Datum nennt keiner der Kreise.

Zweiter Fall: Das KBA sperrt die Zugangsdaten#

Das KBA lässt ein Portal nur zu, wenn ein unabhängiger Prüfer bestätigt, dass es die Mindestanforderungen erfüllt. Bei großen Mängeln kann das KBA die Zulassung des Portals aussetzen, etwa bei einem Verstoß gegen die Anforderungen oder einem schweren Sicherheitsvorfall („zum Beispiel Teile des i-Kfz-Portals wurden kompromittiert“). Dann sperrt das KBA die Zugangsdaten, und das Portal kommt nicht mehr an die Technik des KBA, über die die Anträge laufen (S. 35 f. bundesanzeiger.de ↗).

Im Januar 2024 deaktivierte das KBA so den Zugang von Behörden, die die Mindestanforderungen nicht erfüllten oder nicht nachgewiesen hatten. Der kommunale IT-Dienstleister AKDB erwartete vorab, „rund die Hälfte aller Kfz-Zulassungsstellen mit i-Kfz 4-Diensten“ werde betroffen sein akdb.de ↗. Danach schrieb er, gestützt auf den Behörden Spiegel, das KBA habe bei rund jeder zehnten akdb.de ↗ Stadt- oder Kreisverwaltung den Zugang deaktiviert. Eine Zahl des KBA selbst war nicht zu finden.

Zu Broccoli2Shell war keine Äußerung des KBA zu finden; die Suche nach „Brotli“ auf kba.de ergab am 3. November keinen Treffer. Das belegt nicht, dass das Amt untätig war: Es hat für die Beteiligten einen geschützten Bereich, in dem laut BSI bsi.bund.de ↗ auch das Sicherheitsprofil für i-Kfz liegt.

Stand: 3. November 2026