Zum Wochenabschluss noch ein kleiner Abriss einiger Cybervorfälle. So haben Accenture und die Stadtwerke Kamen Cybervorfälle erlitten und teilweise bestätigt. Und bei Lidl kam es zu einem Datenabfluss von Kundendaten. Diese und weitere Sicherheitsvorfälle in einem Sammelbeitrag zusammen getragen.
Cyberangriff auf Gemeinschaftsstadtwerke Kamen
Bereits zum 2. Juli 2026 berichtete der WDR von einem Cyberangriff auf die Gemeinschaftsstadtwerke Kamen (ein Leser hat mich im Nachgang informiert). Die Kurzfassung: Die Verwaltung der Gemeinschaftsstadtwerke (GSW) Kamen, Bönen, Bergkamen wurden am Abend des 28. Juni 2026 Opfer eines Cyberangriffs. Da die IT-Systeme vorsorglich vom Netz getrennt wurden, ging danach nichts mehr. Die Energie- und Wasserversorgung war laut Unternehmensangaben zu jeder Zeit gesichert. Die GSW informiert auf dieser Seite über den Angriff, ist nun aber wohl wieder arbeitsfähig.
Accenture bestätigt Cybervorfall
Accenture, Dienstleister im Bereich der Unternehmens- und Strategieberatung sowie Technologie und Outsourcing, musste diese Woche einen Cybervorfall in ihren internen IT-Systemen bestätigen. Mir war die Tage auf X die Information untergekommen, dass Accenture, nachdem ein Angreifer 35 GB angeblich gestohlenen Quellcode und Cloud-Geheimnisse zum Verkauf angeboten hatte, einen Sicherheitsvorfall bestätigt habe. Bleeping Computer hat dieses Thema die Woche in diesem Artikel aufgegriffen.
Angriff auf Lidl-Shop
Der Discounter Lidl hat einen Datenschutzvorfall erlitten, bei dem Dritte auf Kundendaten zugreifen konnten. Kunden wurden inzwischen benachrichtigt, ein Blog-Leser hat mich diesbezüglich informiert, weil er von Lidl Polen über den Vorfall informiert wurde. In der vom Leser übersetzten Nachricht hieß es:
wir kontaktieren Sie, weil Sie Kunde des Lidl-Onlineshops sind. Wir möchten Sie über einen IT-Sicherheitsvorfall informieren, der sich bei einem unserer IT-Dienstleister ereignet hat und einen Teil Ihrer bei Lidl gespeicherten Daten betrifft.
Zu Beginn dieser Woche wurden Lidl über den Vorfall informiert. Unbekannten Tätern ist es laut Mitteilung "trotz hoher IT-Sicherheitsstandards" gelungen, für kurze Zeit auf eine separat gespeicherte Datei mit Kundendaten zuzugreifen und einen Teil dieser Daten zu entwenden. Das eigentliche System des Onlineshops war von diesem Vorfall nicht betroffen. Die Angreifer entwendeten Daten umfassen folgende Informationen zu Kunden des Lidl-Onlineshops:
Vor- und Nachname
Telefonnummer
E-Mail-Adresse
Geburtsdatum
Kundennummer
Nach aktuellem Stand schließt Lidl vollständig aus, dass Passwörter, Rechnungs- oder Lieferadressen, Bankdaten oder andere Zahlungsinformationen von dem Vorfall betroffen sind. Kundenkonten wurden nicht kompromittiert. Der für Lidl tätige IT-Dienstleister hat umgehend reagiert und alle erforderlichen Maßnahmen eingeleitet, um die vollständige Sicherheit der betroffenen IT-Systeme wiederherzustellen, heißt es.
Außerdem wurde Strafanzeige erstattet und umgehend ein Team von IT-Forensik-Experten mit der Untersuchung des Vorfalls beauftragt. Darüber hinaus hat Lidl die zuständige Datenschutzaufsichtsbehörde informiert. Obwohl Lidl derzeit keine konkreten Hinweise auf einen Missbrauch der Daten vorliegen, warnt man vorsorglich vor möglichen Phishing-Versuchen oder einem möglichen Identitätsmissbrauch. heise hat in diesem Beitrag ebenfalls über den Vorfall berichtet.
Hoymiles Wechselrichter abschaltbar
Der chinesische Anbieter Hoymiles hält angeblich 20% des Markts an Wechselrichtern für Solaranlagen. Sicherheitsforscher Benedikt Heinz alias Hunz hat zusammen mit dem Chaos Computer Club (CCC) weitreichende Sicherheitslücken aufgedeckt. Wie der CCC hier schreibt, lassen sich die Wechselrichter mit Bauteilen aus der Grabbelkiste per Funk abschalten. Damit können PV-Anlagen in ganzen Nachbarschaften "im Vorbeifahren" abgeschaltet oder dauerhaft physisch zerstört werden.
Betroffen sind die weit verbreiteten Hoymiles-Wechselrichter der HM-, HMS- und HMT-Serien. Der Datenaustausch mit dem Wechselrichter per WiFi erfolgt unverschlüsselt über die Frequenzbänder 868 MHz und 2,4 GHz. Bisher ging man davon aus, dass für einen Zugriff auf die Seriennummer des Wechselrichters bekannt sein musste. Ein bisher unbekannter Befehl aktiviert aber einen Broadcasting-Modus, so dass der Wechselrichter die Seriennummer liefert. heise hat den Sachverhalt in diesem Beitrag etwas detaillierter aufbereitet.
Der Hersteller reagierte auf Hinweise des Entdeckers auf die Sicherheitslücken irritiert bis gar nicht. Die Aufsichtsbehörden winken mit der Begründung ab, die potentiell von einer Ausnutzung der Schwachstellen ausgelösten Einbrüche von Gigawatt Leistung könnten von den Netzbetreibern aufgefangen werden. Gelackmeiert sind die Käufer von Solarkraftwerken, die einen Hoymiles Wechselrichter verbaut haben.
Weitere Sicherheitsmeldungen
Die Woche wurde mit Jadepuffer der erste Ransomware-Angriff dokumentiert, der laut Sicherheitsforschern von Sysdig vollständig KI-gestützt durchgeführt worden sein soll. heise hat einige Details zu diesem Thema in diesem Beitrag aufgegriffen.
Das Microsoft Threat Intelligence -Team hat im Oktober 2025 einen GigaWiper entdeckt und hier dokumentiert. GigaWiper zeichnet sich insbesondere durch seinen Aufbau aus. Es handelt sich nicht um ein einzelnes, speziell entwickeltes Tool, sondern um eine Zusammenführung verschiedener Malware-Familien, die als bedarfsgesteuerte Backdoor-Befehle in GigaWiper integriert wurden und den Angreifern die Flexibilität geben, ihre Art der Zerstörung selbst zu wählen:
- Ein eigenständiger Wiper, der auf der Ebene der physischen Festplatte arbeitet, den Rohdateninhalt der Festplatte überschreibt und Partitionsmetadaten entfernt.
- Ein zerstörerischer Befehl, der von der Crucio-Ransomware abgeleitet ist und Dateien mit zufällig generierten Schlüsseln verschlüsselt, die niemals gespeichert werden, wodurch eine Entschlüsselung unmöglich wird.
- Ein Löschbefehl, der die Logik von FlockWiper nachbildet – einer ursprünglich in C geschriebenen Malware, die in Golang neu implementiert wurde und zusätzlich ein mehrstufiges sicheres Löschen bietet.
Die Zusammenführung mehrerer zerstörerischer Funktionen in einer modularen Backdoor spiegelt laut Microsoft einen bemerkenswerten Wandel bei Wiper-Malware wider. GigaWiper gehört zu einem Typ Malware, das typischerweise ausschließlich auf Zerstörung ausgelegt ist und nicht auf Erpressung, und reale Konsequenzen nach sich zieht.
Dann wurde kürzlich bekannt, dass der "Attested TLS"-Mechanismus, der zentrale Vertrauensmechanismus des Confidential Computing, mit dem Geräte per Handshake nachweisen sollen, wer sie sind, schlicht kaputt ist. Das Ganze ist in einem Dokument Identity Crisis in Confidential Computing beschrieben, The Register hat es kürzlich in diesem Artikel aufbereitet.
Ubiquiti warnt vor einer neuen UniFi-OS-Sicherheitslücke mit höchster Schweregradstufe. Die Kollegen von Bleeping Computer haben das hier aufgegriffen und einige Details offen gelegt.
Progress warnt in obiger Mitteilung vor seiner ShareFile-Anwendung und spricht Empfehlungen aus, den Storage Zone Controller temporär offline zu nehmen.
MVP: 2013 – 2016
Gegen Wiper hilft nur eins: Ein regelmäßiges Backup der Daten auf ein Offlinemedium.
Accenture liest man nicht zum ersten Mal, da war doch schon mal was mit Lockbit 2021….
Ironie am Rande, man kann bei Accenture eine Cyber Security Schulung buchen:
https://www.accenture.com/de-de/services/cybersecurity
"Minimieren Sie die Risiken von morgen, indem Sie heute die Cybersicherheit verbessern. Integrieren Sie Cybersicherheit in Ihre Strategie und Ihr Ökosystem, um Werte zu schützen, Bedrohungen vorzubeugen und Vertrauen aufzubauen."
Hätten se mal selber eine für sich gebucht…
Genau solche Kommentare braucht es nun wirklich nicht und sind auch in keinster Weise hilfreich.
Doch, es zeigt das Accenture aus dem ersten Vorfall anscheinend selber nichts gelernt hat und sich lieber darauf konzentriert Schulungen zu Themen anzubieten, die sie selber nicht beherrschen, anstatt ihre Kundendaten zu schützen.
Accenture ist jetzt nicht irgendeine kleine Klitsche, da rufen große Firmen Schulungen und Beratungen ab, daher ist das Thema eines zweiten Vorfalles alles andere als Lustig.
Das Thema Ransomware, lässt sich auch nicht so einfach besiegen. Weder mit absoluter Kontrolle, noch durch Verbote, noch durch Updates.
Der Gegner ist ja keine Software, sondern ein Mensch. Und Menschen sind halt erfinderisch.
Die Erwartungshaltung, dass eine Firma wenn sie alles "richtig"[tm] macht, keine Probleme haben wird. ist nicht realistisch.
Das einzig wirksame Mittel gegen Ransomware bzw. deren Auswirkungen ist ein regelmäßiges Backup (Bei Firmen idealerweise mindestens täglich) auf ein Offlinemedium.
Das Backup schützt aber maximal vor dem Verlust der Daten, aber nicht vor der Veröffentlichung der abgezogenen Daten. Darüber hinaus, kann ein Backup auch nicht einfach blind zurückgespielt werden, denn auch in diesem können die Angreifer sich schon befinden.
In meinen Augen ist ein System nach einem Ransomware Befall immer komplett neu aufzusetzen und nur Rohdaten aus dem Backup wiederherzustellen, aber nicht ganze Systeme. Es steht also auch mit Backup sehr viel Arbeit nach so einen Befall an, und je komplexer die Umgebung, desto umfangreicher wieder alles zum laufen zu bringen.
Ransomware zieht i.d.R. keine Daten ab, sondern verschlüsselt nur Daten.
Die Sichtweise ist etwas überholt, Ransomware Gruppen verschlüsseln schon länger nicht Blind, sondern bewegen sich durch das Netzwerk, gehen in Datenbanken, ziehen Daten ab, deaktivieren in Windows die Dateiversionsverlauf, erweitern Rechte über Schwachstellen, löschen Backups die im Netzwerk abgelegt sind usw.
Die Drohung Daten zu veröffentlichen ist mittlerweile Standard, so erhöht man auch denen gegenüber den Druck zu Zahlen, die ein Offline Backup haben.
Das war "früher" alles noch einfacher da hatte man Installationsmedien die nicht verseucht werden konnten also Disketten mit Schreibschutzschieber, CDs oder DVDs. Wie soll man heute sicherstellen dass die Programmdateien nicht verseucht sind?
Accenture sollte eine Beratungsfirma holen um die internen Prozesse zu verbessern
Wer den Schaden hat, braucht für den Spott nicht zu sorgen.
Die meisten denken: Man muss ja nicht schneller als der Bär laufen, der einen verfolgt. Sondern man muss nur schneller laufen als der andere, den der Bär auch verfolgt. Nur was, wenn alle langsamen bereits verspeist wurden?
Obacht!
In den USA gibt es bezüglich Bären folgenden Spruch:
"If it's brown lay down, if it's black fight back, if it's white goodnight."
Bei einem Braunbären sollte man sich hinlegen oder hinhocken.
Dass diese Taktik funktioniert wurde schon mehrmals filmisch belegt.
Dann kommt der Bär, schnüffelt und brüllt, macht aber normalerweise nichts wirklich gefährliches, sofern man den Bären nicht angreift und ruhig bleibt.
Falls er zu dicht kommt und aggressiv ist, kann man ihm auch konzentriertes Pfeffersprach in die Nase spritzen, das mag er nicht und verpisst sich.
Weglaufen darf man auf gar keinen Fall, sonst setzt der Jagdinstinkt ein und so ein Bär ist beim Laufen so schnell wie ein Jagdhund, da hat ein Mensch gar keine Chance.
Bei einem Schwarzbären kann man auch boxen, treten oder mit einem Knüppel schlagen, dann haut der Schwarzbär ganz schnell ab.
Man darf allerdings nicht versuchen, einen Bären im Ringkampf zu besiegen, denn dann gewinnt der Bär immer.
Bei einem Eisbären hingegen, hast du verloren.
Da hilft weder weglaufen, kämpfen oder hinlegen, denn du bist höchstwahrscheinlich die einzig essbare Beute weit und breit.
In so einem Fall braucht man ein großkalibriges Gewehr oder ein schnelles Fahrzeug.
Der Trend geht zum Zweit- und Drittbefall. Vor allem für Organisationen und Verantwortliche, die nichts lernen wollen oder es können. Besonders verwerflich bei Acenture: Das Geschachere und das Verheimlichen. Zugegeben wird nur das, was sich nicht mehr abstreiten lässt.
Gute Unternehmenskommunikation sieht anders aus.
Rein aus Versicherungstechnischersicht, darf ein Unternehmen nicht offen über Versäumnisse reden. Denn es gilt die Schadensminderungspflicht.