Eine Angriffswelle mit System
Im Mai 2026 sorgt eine der bisher weitreichendsten Ransomware-Kampagnen für Alarm in der IT-Sicherheitsbranche. Die Hackergruppe ShinyHunters hat innerhalb weniger Wochen Unternehmen wie Vimeo, Udemy und den Medizintechnik-Riesen Medtronic kompromittiert. Doch der eigentliche Angriffspunkt waren nicht die Unternehmen selbst — sondern deren Dienstleister und Cloud-Infrastrukturen.
Für den deutschen Mittelstand ist das ein Weckruf. Denn wer seine IT-Sicherheit nur bis zur eigenen Firewall denkt, hat ein fundamentales Problem.
So funktioniert der Angriff
ShinyHunters nutzt eine Taktik, die seit Jahren an Bedeutung gewinnt: Supply-Chain-Angriffe. Statt ein Unternehmen direkt anzugreifen, kompromittieren die Angreifer einen externen Dienstleister — etwa einen Cloud-Provider, einen SaaS-Anbieter oder einen IT-Servicepartner.
Im aktuellen Fall verschafften sich die Angreifer Zugang zu Snowflake- und BigQuery-Umgebungen über kompromittierte Drittanbieter. Von dort extrahierten sie Kundendaten, technische Metadaten und in einigen Fällen auch personenbezogene Informationen. Europol warnt bereits vor einer Eskalation der Kampagne in Europa.
Das Perfide daran: Die betroffenen Unternehmen hatten ihre eigenen Systeme möglicherweise gut abgesichert. Der Einbruch erfolgte trotzdem — über die Hintertür eines Partners.
Warum KMU besonders gefährdet sind
Große Konzerne haben oft dedizierte Teams für Vendor Risk Management. Sie prüfen die Sicherheitsstandards ihrer Dienstleister, fordern Zertifizierungen und führen Audits durch. Kleine und mittlere Unternehmen im DACH-Raum tun das selten.
Die Realität sieht so aus:
- IT-Dienstleister werden nach Preis ausgewählt, nicht nach Sicherheitsniveau
- Cloud-Dienste werden ohne Prüfung der Auftragsverarbeitung eingesetzt
- Zugangsdaten zu Drittanbieter-Plattformen werden selten rotiert
- Multi-Faktor-Authentifizierung (MFA) fehlt bei vielen externen Zugängen
Das macht KMU zu attraktiven Zielen — nicht direkt, sondern als Kollateralschaden in einer Lieferkette, die an irgendeiner Stelle versagt.
Gleichzeitig: Exchange-Server weiterhin unter Beschuss
Parallel zur ShinyHunters-Kampagne zeigt die aktive Ausnutzung der Schwachstelle CVE-2026-42897 in Microsoft Exchange Server, dass auch klassische On-Premise-Infrastruktur nicht sicher ist. Die von Microsoft als kritisch eingestufte Spoofing-Schwachstelle betrifft Exchange Server 2016, 2019 und die Subscription Edition.
Wer seinen Exchange-Server noch nicht gepatcht hat, sollte das sofort nachholen. Die durchschnittliche Zeit zwischen Veröffentlichung einer Schwachstelle und deren Ausnutzung ist 2026 auf unter zehn Stunden gesunken — Abwarten ist keine Option mehr.
Was Unternehmen jetzt tun sollten
Die aktuelle Bedrohungslage erfordert konkrete Maßnahmen:
- Dienstleister-Sicherheit prüfen: Welche externen Partner haben Zugang zu Ihren Daten? Welche Sicherheitsstandards gelten dort?
- MFA überall aktivieren: Besonders bei Cloud-Diensten, SaaS-Plattformen und Remote-Zugängen.
- Patch-Management beschleunigen: Kritische Updates müssen innerhalb von Stunden eingespielt werden, nicht Wochen.
- Incident-Response-Plan erstellen: Was passiert, wenn ein Dienstleister kompromittiert wird? Wer wird informiert? Wie werden Zugänge gesperrt?
- Regelmäßige Credential-Checks: Prüfen Sie, ob Zugangsdaten Ihres Unternehmens bereits in Datenlecks aufgetaucht sind.
Fazit: Sicherheit endet nicht an der eigenen Tür
Die ShinyHunters-Kampagne zeigt deutlich: IT-Sicherheit ist eine Kette — und sie bricht am schwächsten Glied. Für Unternehmen im DACH-Raum bedeutet das, ihre Sicherheitsstrategie über die eigenen Systemgrenzen hinaus zu denken.
Wer wissen will, ob sein Unternehmen bereits von Datenlecks betroffen ist oder wie die eigene Lieferkette abgesichert werden kann, findet bei AntiLeaks die passende Unterstützung — von der Credential-Leak-Analyse bis zur strategischen Sicherheitsberatung.