Cyber Security Briefing

Ledger-Krypto-Wallets mit Spionage-Chips im MediaMarkt-Sortiment, die Systeme der polnischer Antikorruptionsbehörde wurde von einem israelischen Softwarehersteller kontrolliert, ein Kölner Angestellter fiel auf CEO-Fraud herein und muss nun Millionen zurückzahlen, während bei einem Angriff auf dänisches Bevölkerungsregister kompromittierte Accounts „123456“ als Passwort hatten. In Frankreich tauten Smart-Fridges diverser Supermarktketten nach einem Angriff ab.

Massiver Supply Chain-Angriff auf Ledger: Manipulierte Krypto-Wallets auch in Deutschland verkauft.

Anfang Oktober meldete der Hardware-Wallet-Hersteller Ledger einen weitreichenden Supply Chain-Angriff. Unbekannte Täter hatten dessen Geräte vor dem Verkauf an den Einzelhandel und Endkunden mit Spionage-Implantaten versehen, um Kryptowährungen zu entwenden. Der Gesamtschaden wird aktuell auf 86 bis 93 Mio. USD geschätzt.

Die Angreifer platzierten eine winzige zusätzliche Platine mit einem LTE-Modul und einer eSIM im Inneren der Wallets. Dieses Implantat zeichnete die bei der Einrichtung des Geräts angezeigte Seed-Phrase auf und übermittelte sie an die Täter, die damit die Wallets der Nutzer ausräumten. Forscher identifizierten mindestens zwei Varianten: Eine ersetzte die Originalbatterie durch eine kleinere, um Platz zu schaffen, während eine andere Version mit der Schaumstoffpolsterung unter dem Display versteckt wurde. Das einzige sichtbare Indiz war ein zusätzliches Antennenkabel.

Zunächst schien das Problem auf Geräte beschränkt zu sein, die über den südostasiatischen Händler CryptoBilis vertrieben wurden. Ledger forderte den malaysischen Händler am 9. Oktober 2026 auf, den Verkauf einzustellen. Am 11./12. Oktober 2026 meldete jedoch ein Nutzer aus Deutschland, seinerseits manipulierte Geräte mit Implantaten bei der Elektronikmarktkette MediaMarkt erworben zu haben.

Ledger riet potentiell betroffenen Kunden, die Geräte nicht in Betrieb zu nehmen oder bereits gespeicherte Vermögenswerte auf neue, sichere Wallets zu transferieren. Das Unternehmen wies darauf hin, dass seine eigene Echtheitsprüfung Hardware-Implantate nicht erkennen kann, solange das originale Sicherheitselement des Geräts noch intakt ist.

Israelischer Softwarehersteller behält jahrelang alleinig Admin-Zugriffe auf Systeme von polnischer Spionage-Behörde.

Untersuchungen des polnischen Inlandsgeheimdienstes ergaben, dass die israelische NSO Group wesentliche Teile des Pegasus-Überwachungssystems kontrollierte, das unter der früheren nationalkonservativen des Landes betrieben wurde. Der polnischen Antikorruptionsbehörde CBA fehlten nach Angaben der Staatsanwaltschaft die Passwörter für bestimmte Zugänge mit Admin-Rechten. So stand der Serverbereich, der für das heimliche Eindringen in Mobiltelefone zuständig war, unter Kontrolle des israelischen Herstellers.

Die mit Pegasus gewonnenen Daten wurden über ein Servernetzwerk geleitet, das sich teilweise auch außerhalb Polens befand. Technisch war es dem Hersteller außerdem möglich, auf Materialien aus aktiv laufenden Überwachungen zuzugreifen. Betroffen waren personenbezogene Daten polnischer Bürger und Regierungsgegner, darunter Nachrichten, Standortdaten und heimlich über Mikrofon und Kamera aufgezeichnete Inhalte.

Supply Chain-Attacke auf Kühlschrankhersteller: Supermärkte in Frankreich tauen ab.

In der Nacht vom 12. auf den 13. Oktober wurden in Frankreich die Kühlanlagen hunderter Supermarktfilialen durch einen Hackerangriff manipuliert. Betroffen waren unter anderem die Ketten Intermarché, Netto, Coopérative U, Carrefour und Monoprix. Die Gruppe Les Mousquetaires (Intermarché und Netto) sprach von rund 150 betroffenen Filialen; Medien berichteten von mehreren hundert Geschäften verschiedener Supermarkt-Betreiber.

Die Angreifer manipulierten die Abtauprogramme der vernetzten Steuergeräte des dänischen Herstellers Danfoss, sodass die Temperaturen in den Kühl- und Gefriereinheiten auf bis zu 50°C anstiegen. Dies führte zum Verderben beachtlicher Mengen an Frisch- und Tiefkühlware. Teils löste die Attacke sogar Brände aus. Der Gesamtschaden beläuft sich vermutlich auf mehrere Millionen EUR.

Danfoss erklärte, dass die betroffenen Anlagen mit veralteter Firmware betrieben wurden. Neuere Software-Updates hätten die ausgenutzten Schwachstellen bereits geschlossen.

Wer hinter dem Angriff steckt und welches Motiv die Täter hatten, ist bislang ungeklärt. Die Cyberabteilung der Pariser Staatsanwaltschaft hat Ermittlungen aufgenommen. Auch die französische Cybersicherheitsbehörde ist eingeschaltet.

Angriff auf dänisches Melderegister: Kompromittierte Accounts hatten „123456“ als Passwort.

Am 5. Oktober gab Dänemarks Digitalministerin einen Sicherheitsvorfall beim nationalen Melderegister bekannt. Unbekannte Täter verschafften sich über ein Drittunternehmen, das legalen Zugriff auf das Register hatte, Zugang zur Datenbank. Mindestens drei der kompromittierten Konten – einer davon mit Admin-Rechten – waren mit dem Passwort „123456“ ‚geschützt‘.

Bei der Attacke wurden die Daten von 8,8 Mio. Menschen kompromittiert, darunter Namen, Adressen und persönliche Identifikationsnummern für Bankgeschäfte, Gesundheitsversorgung und Steuern. Das Register enthält auch Informationen von Personen, die verstorben sind oder im Ausland leben. Aufgrund der Sensibilität der Daten besteht ein hohes Risiko für Identitätsdiebstahl.

CEO-Fraud: Mitarbeiter muss über 50 Mio. EUR Schaden erstatten.

Im Juli und August 2024 veranlasste der Head of Global Treasury eines Kölner Herstellers für Industrieruß im Rahmen eines CEO-Fraud-Angriffs mehrere Überweisungen in Millionenhöhe an vermutlich betrügerische Empfänger im Ausland. Er führte 59 Überweisungen in Euro und US-Dollar aus, deren Schaden sich insgesamt auf über 50 Mio. EUR beläuft.

Der Mitarbeiter war durch gefälschte WhatsApp-Chats manipuliert worden. Man erzählte ihm, sein Vorgesetzter plane die Gründung einer neuen asiatischen Gesellschaft in Asien, deren Finanzvorstand er werden solle.

Dem Mitarbeiter zufolge wurde er am 11. Juli telefonisch kontaktiert, wobei die angezeigte Rufnummer seinen Angaben nach die seines Vorgesetzten war. Daraufhin kommunizierte er zunächst über seine private E-Mail und dann WhatsApp mit den Betrügern. Selbst, als die Polizei am 9. August eine Kollegin wegen verdächtiger Überweisungen im Zusammenhang mit Betrugsverdacht kontaktierte, hielt er die Zahlungsvorgänge weiterhin geheim. Am 10. August informierte die Polizei den Geschäftsführer an dessen Wohnadresse über die Zahlungen und den Betrugsverdacht.

Am 31. Juli 2026 verurteilte das Landesarbeitsgericht Köln den Head of Global Treasury zur vollständigen Rückerstattung des Schadens. Die vom Arbeitgeber finanzierte D&O-Versicherung schließt eine Haftungserleichterung nach den Grundsätzen der eingeschränkten Arbeitnehmerhaftung aus, weil es um grobe Fahrlässigkeit ging und das Existenzvernichtungsrisiko versichert war. Eine Revision beim Bundesarbeitsgericht wurde zugelassen.