IT-Sicherheit · Analyse
640 Gigabyte aus den Projektablagen: Der Cyberangriff auf die GUTcert
Am 5. September 2026 verschaffen sich Unbekannte unbefugten Zugriff auf Teile der IT-Systeme der Berliner Zertifizierungsgesellschaft GUTcert. Vom 6. bis zum 9. September werden nach Angaben des Unternehmens rund 640 Gigabyte Daten entwendet. Entdeckt wird der Angriff erst in der Nacht vom 9. auf den 10. September, bei einer Routinetätigkeit spät abends. Am 10. September unterbricht GUTcert die bis dahin identifizierten Angreiferzugänge.
Am 11. September meldet das Unternehmen den Vorfall der Berliner Beauftragten für Datenschutz und Informationsfreiheit sowie dem Landeskriminalamt und informiert zusätzlich das Bundesamt für Sicherheit in der Informationstechnik. Es folgt eine Kette von Erpressungsversuchen, der erste am 12. September. GUTcert erklärt öffentlich, den Forderungen der Angreifer nicht nachzukommen. Am 20. September schreiben die Angreifer Kunden, Auditorinnen und Auditoren sowie Beschäftigte direkt an – mit Download-Links zu den gestohlenen Daten.
Der Fall ist ein Lehrstück über die Lieferkette der Compliance. In den betroffenen Projektablagen können nach der offiziellen FAQ der GUTcert unter anderem Auditberichte liegen, festgestellte Mängel – vor allem zu ISO/IEC 27001, ITSK und KRITIS –, Netzstrukturpläne und Betriebsstättenlisten. Der Darmstädter Versorger ENTEGA bestätigt, als Kundin indirekt betroffen zu sein, und meldet den Sachverhalt als KRITIS-Betreiber selbst an das BSI. Genau das solltest du dir merken, wenn du Nachweise für eine Zertifizierung aus der Hand gibst.
Fünf Tage unbemerkt – und dann die Erpressung
Die öffentliche Zeitleiste der GUTcert ist ungewöhnlich detailliert und chronologisch rückwärts auf einer eigenen Seite dokumentiert. Der Zugriff beginnt am 5. September. Der bestätigte Datenabfluss liegt in den vier folgenden Tagen. Entdeckt wird er nicht durch eine Alarmierung in Echtzeit, sondern im Rahmen einer Routinetätigkeit spät abends. Die zunächst identifizierten Zugänge werden am 10. September unterbrochen. Am 15. September stellt das Unternehmen zusätzlich eine noch aktive unbefugte E-Mail-Sitzung fest und beendet sie. Nach aktuellem Ermittlungsstand liegen keine Hinweise darauf vor, dass über diese Sitzung zugleich ein fortbestehender Zugriff auf die Dateisysteme bestand. Weil der genaue Beginn dieses E-Mail-Zugriffs nicht abschließend rekonstruiert werden könne, bittet GUTcert, sicherheitsrelevante Nachrichten, die zwischen dem 5. und dem 15. September von GUTcert-Konten versandt wurden, im Zweifel über einen unabhängigen Weg zu prüfen.
Die Sofortmaßnahmen, die das Unternehmen öffentlich auflistet, zeigen, wie weit der Angriff in die interne IT gereicht haben kann: kompromittierte Benutzerkonten deaktiviert, sämtliche VPN-Zertifikate ausgetauscht, das Kerberos-KRBTGT-Konto zweimal zurückgesetzt, Admin-Zugangsdaten und SSH-Schlüssel geändert, das angegriffene Initialsystem außer Betrieb genommen, das Domain-CA-Zertifikat und weitere Zertifikate neu ausgestellt. Ein externes Forensik-Team ist beauftragt. In einem Zwischenbericht sei der GUTcert bestätigt worden, dass derzeit keine Anzeichen für einen aktiven Sicherheitsvorfall und keine laufenden verdächtigen Aktivitäten im eigenen Netz zu sehen seien. Eine abschließende forensische Bestätigung, dass keine weiteren Persistenzmechanismen existieren, gibt das Unternehmen zum Stand der Seite ausdrücklich noch nicht.
Am 12. September erreicht GUTcert der erste Erpressungsversuch. Das Unternehmen sagt, es habe bis heute nicht geantwortet und werde auch nicht antworten. Die Versuche wiederholen sich, teilweise von externen E-Mail-Konten. Am 20. September eskaliert das Muster: Die Nachricht geht an viele Kunden, Ansprechpartner, Auditorinnen und Auditoren und Beschäftigte und enthält Download-Links, „hinter denen sich illegal kopierte und von der GUTcert gestohlenen Daten verbergen“. Weitere Mails im Oktober wiederholen Zahlungsforderungen und kündigen zusätzliche Veröffentlichungen an. GUTcert bittet Empfänger, solche Nachrichten nicht zu beantworten, sie dem Unternehmen zuzuleiten und von ihrem Konto zu löschen.
„Wir werden den Forderungen der Angreifer nicht nachkommen.“
Diese Entscheidung steht über der gesamten öffentlichen Kommunikation. Sie beantwortet nicht die Frage, was aus den bereits verschickten Download-Links geworden ist. Eine tatsächliche Veröffentlichung kann GUTcert weder bestätigen noch ausschließen.
Welche Unterlagen in Frage kommen – und warum das für KRITIS wiegt
GUTcert beschreibt die mögliche Beute als den Inhalt der vom Abfluss betroffenen internen Projektablagen, nicht als eine abgeschlossene Liste einzelner Kundendossiers. In der FAQ nennt das Unternehmen ausdrücklich Auditberichte und festgestellte Mängel, „vor allem 27001/ITSK/KRITIS relevant“, außerdem Nachweise gemäß FL076: Gesellschaftsverträge und Konzernverbindungen, Managementreviews, Netzstrukturpläne, SLAs, Organigramme und Betriebsstättenlisten. Dazu kommen Zertifikate, die nicht auf der Website stehen sollten. Kontaktdaten können in Einzelfällen betroffen sein. Ob ein bestimmtes Unternehmen betroffen ist, könne man „zum aktuellen Zeitpunkt noch nicht eindeutig kommunizieren“; sobald konkrete Daten betroffen seien, werde man unverzüglich informieren.
Zwei Sätze aus derselben FAQ solltest du nicht überlesen. Erstens: „Gerade im Bereich ISMS offene Schwachstellen, welche gezielt (technisch) ausgenutzt werden können.“ Zweitens: Das Unternehmen kann nicht vollständig ausschließen, dass Unterlagen Zugangsdaten, Zertifikate, Freigabelinks oder andere technische Berechtigungen enthielten. Beides macht aus einem Datendiebstahl beim Prüfer ein mögliches Folgeproblem beim Geprüften.
Die GUTcert selbst führt auf ihrer Website unter Informationssicherheit unter anderem ISO/IEC 27001, ITSK, KRITIS, TISAX und die DiGA-Zertifizierung. Fachbeiträge ordnen das in den gesetzlich vorgeschriebenen IT-Sicherheitskatalog nach dem Energiewirtschaftsgesetz ein: Netzbetreiber müssen sich zertifizieren lassen und reichen dafür genau die Unterlagen ein, die ein Angreifer zur Vorbereitung brauchen kann. So schreiben es HiSolutions und der IT-Administrator. Das ist eine Einordnung der Fachpresse, keine wörtliche Aussage der GUTcert zur gesetzlichen Pflicht ihrer Kunden.
Weiter gehen Berichte, die Betriebsstättenlisten mit konkreten Standorten von Umspannwerken, Ortsnetzstationen und Gasdruckregelanlagen sowie Angaben zur IT- und OT-Infrastruktur in Verbindung bringen. Diese Präzisierung stammt in der öffentlichen Berichterstattung aus der Darstellung eines Blog-Lesers gegenüber Borns IT- und Windows-Blog, der sich auf eine Kundeninformation der GUTcert beruft; der IT-Administrator gibt sie mit dem Wort „sollen“ wieder. In der öffentlichen FAQ der GUTcert stehen „Netzstrukturpläne“ und „Betriebsstättenliste“, nicht diese Einzelbeispiele. Die genauere inhaltliche Füllung bleibt damit ein Bericht über eine Kundeninformation, keine von der GUTcert auf der Website ausformulierte Bestätigung.
Was das Unternehmen öffentlich nicht als betroffen beschreibt, ist die Nextcloud. MFA war dort zum Zeitpunkt des Vorfalls nicht verpflichtend aktiviert – das sagt die GUTcert selbst –, nach aktuellem Stand gibt es aber keine Hinweise, dass die Plattform oder ihre Zugangsdaten Teil des Angriffs waren. Regelmäßige Backups der Nextcloud würden getrennt vorgehalten.
Ein Kunde geht an die Öffentlichkeit: ENTEGA
Am 24. September 2026 veröffentlicht die ENTEGA AG in Darmstadt eine eigene Pressemitteilung. Das Unternehmen sei als Kundin über den Angriff und den Datenabfluss informiert worden. Die Netztochter e-netz Südhessen und die ENTEGA AG in der Betriebsführung für das Müllheizkraftwerk Darmstadt hatten GUTcert mit Zertifizierungen beauftragt. Einige dieser Zertifizierungen seien gesetzlich vorgeschrieben. Weil Unterlagen übermittelt werden mussten, könne nicht ausgeschlossen werden, dass auch Unterlagen des Konzerns betroffen seien.
ENTEGA zieht eine klare Grenze: Die Versorgungssicherheit im Netzgebiet der e-netz Südhessen war nach ihren Angaben zu keinem Zeitpunkt beeinträchtigt. Die IT-Systeme des Konzerns seien von dem Angriff auf den Dienstleister nicht betroffen. Kundendaten des Konzerns würden im Rahmen solcher Zertifizierungen nicht weitergegeben und seien daher nicht betroffen. Betroffen seien nach den bislang von GUTcert übermittelten Informationen Unterlagen, die im Rahmen der Zertifizierung eingereicht wurden, Dokumentationen des Zertifizierers sowie Namen und Kontaktdaten von Mitarbeitenden, die an den Zertifizierungen mitgewirkt haben. ENTEGA hat den Sachverhalt als KRITIS-Betreiber an das BSI gemeldet, lässt mögliche Veröffentlichungsorte überwachen und hat die eigenen Beschäftigten insbesondere mit Blick auf gezieltes Phishing sensibilisiert.
Diese Stellungnahme ist aus zwei Gründen wichtig. Erstens ist ENTEGA der bisher sichtbarste namentlich genannte Kunde; eine vollständige öffentliche Kundenliste legt die GUTcert nicht vor. Zweitens ersetzt die Meldung der GUTcert an das BSI nach deren eigener FAQ keine eigenen Meldepflichten der Kunden. Besonders wichtige und wichtige Einrichtungen sowie Betreiber kritischer Anlagen sollen prüfen, ob die konkrete Betroffenheit einen erheblichen Sicherheitsvorfall im Sinne des BSIG erfüllen kann. Genau das hat ENTEGA getan.
Die DAkkS hat nach Angaben der GUTcert eine bereits geplante Geschäftsstellenbegutachtung vom 21. bis 25. September um Fragen zur Arbeitsfähigkeit und zur Sicherheit von Kundendaten erweitert. Im Ergebnis sei festgestellt worden, dass die Arbeitsfähigkeit nicht eingeschränkt ist und dass die umgesetzten sowie begonnenen Maßnahmen zur Sicherheit von Kundendaten akzeptiert wurden; weitere Sofortmaßnahmen seien nicht gefordert worden. Parallel schreibt die GUTcert, sie arbeite an der Einführung eines Informationssicherheitsmanagementsystems nach ISO/IEC 27001.
Zeitstrahl des Ablaufs
5. September 2026:
Unbekannte verschaffen sich unbefugten Zugriff auf Teile der IT-Systeme. Quelle: GUTcert.6. bis 9. September 2026:
Nach aktuellem Ermittlungsstand Abfluss von rund 640 Gigabyte. Quelle: GUTcert.Nacht vom 9. auf den 10. September 2026:
Entdeckung bei einer Routinetätigkeit spät abends. Am 10. September werden die identifizierten Zugänge unterbrochen. Quelle: GUTcert.11. September 2026:
Meldung an die Berliner Datenschutzbeauftragte und das LKA, zusätzlich Information an das BSI. Quelle: GUTcert.12. September 2026:
Erster Erpressungsversuch, unbeantwortet. Quelle: GUTcert.14. September 2026:
Information der Beschäftigten und erste Information an Kunden. Quelle: GUTcert; IT-Administrator, 21.9.2026.15. September 2026:
Meldungen an weitere Institutionen, unter anderem die DAkkS. Eine noch aktive unbefugte E-Mail-Sitzung wird festgestellt und beendet. Zweiter Erpressungsversuch. Quelle: GUTcert.16. und 17. September 2026:
Weitere Erpressungsversuche. Am 17. September geht die öffentliche Zielseite zum Vorfall online. Quelle: GUTcert.20. September 2026:
Fünfter und sechster Erpressungsversuch, mit Download-Links zu gestohlenen Daten, an viele Kunden, Auditorinnen und Auditoren und Beschäftigte. Borncity berichtet an diesem Tag öffentlich. Quellen: GUTcert; Borncity.24. September 2026:
ENTEGA veröffentlicht ihre Pressemitteilung und bestätigt die eigene BSI-Meldung. Quelle: ENTEGA.21. bis 25. September 2026:
Erweiterte DAkkS-Begutachtung; Arbeitsfähigkeit nicht eingeschränkt, Maßnahmen akzeptiert. Quelle: GUTcert-FAQ.5. bis 7. Oktober 2026:
Weitere Erpressungsmails an zahlreiche Kunden und Ansprechpartner, mit wiederholten Zahlungsforderungen und angekündigten Veröffentlichungen. Quelle: GUTcert, Einträge vom 5., 6. und 7.10.2026.9. Oktober 2026, 14:56 Uhr:
Letzter auf der Unternehmensseite ausgewiesener Aktualisierungsstand dieser Recherche. Quelle: GUTcert.
Die zuletzt ausgewertete öffentliche Darstellung der GUTcert stammt vom 9. Oktober 2026. Eine spätere offizielle Fortschreibung, die eine Veröffentlichung bestätigt oder ausschließt oder einzelne weitere Kunden namentlich nennt, wurde bei dieser Recherche nicht gefunden. HiSolutions greift den Fall am 18. Oktober zusammen.
Was heißt das für dein Unternehmen?
Der Angriff trifft einen Zertifizierer, das Muster gilt für jede Organisation, die Auditnachweise, Netzpläne oder Schwachstellenlisten bei einem Prüfer hinterlegt.
- 1.
Der Prüfer gehört in dein Lieferantenrisiko, nicht nur dein IT-Dienstleister.
Wer dich zertifiziert, hält oft genau die Unterlagen, die du intern als besonders schützenswert behandelst. Nimm Zertifizierungsstellen in dasselbe Risikoregister wie Cloud- und IT-Anbieter: welche Dokumente liegen dort, wie lange, mit welcher Verschlüsselung, mit welchem Löschdatum. - 2.
Eingereichte Nachweise bis zur Klärung als kompromittiert behandeln.
Die GUTcert kann die konkrete Betroffenheit einzelner Kunden noch nicht abschließend zuordnen und sagt zu, Betroffene unverzüglich zu informieren. Bis das belastbar vorliegt, ist die vorsichtige Linie: alles, was ihr für 27001, ITSK, KRITIS oder vergleichbare Audits übermittelt habt, als potenziell abgeflossen betrachten und intern bewerten. - 3.
Die Meldung des Dienstleisters ersetzt deine eigene nicht.
Die GUTcert hat Aufsicht, LKA und BSI informiert. Ihre FAQ sagt ausdrücklich, dass Kunden unter BSIG, NIS-2 oder sektorspezifischen Regeln selbst prüfen müssen, ob ein erheblicher Sicherheitsvorfall vorliegt. ENTEGA hat das als KRITIS-Betreiber so gehandhabt. Dokumentiere diese Prüfung, auch wenn am Ende keine eigene Meldung nötig ist. - 4.
Mit Spear-Phishing rechnen, das echte Auditinhalte kennt.
Die Angreifer haben Kunden bereits direkt angeschrieben und Links zu gestohlenen Daten verschickt. Eine Mail, die eine echte Feststellung, einen echten Auditorennamen oder ein echtes Aktenzeichen kennt, wirkt glaubwürdig. Veröffentliche, wie ihr jemals Kontakt aufnehmt, und prüft unerwartete Nachrichten über einen zweiten Weg. - 5.
Freigabelinks und in Unterlagen enthaltene Zugänge rotieren.
Die GUTcert schließt nicht aus, dass Zugangsdaten, Zertifikate oder Freigabelinks in den abgeflossenen Dateien lagen, und empfiehlt eine vorsorgliche Erneuerung. In deinem Unternehmen gilt das für jeden Share, den ihr einem Auditor geöffnet habt, und für jedes Kennwort, das in einem Nachweisdokument stand. - 6.
Vertraglich festlegen, wo Audit-Artefakte enden.
Nach einem abgeschlossenen Audit müssen Unterlagen nicht dauerhaft beim Prüfer liegen. Rückgabe- oder Löschfristen, eine Remote-Sichtung ohne lokale Kopie und die Pflicht, Vorfälle ohne Umweg zu melden, gehören in den Vertrag – bevor du die nächsten Netzpläne hochlädst.
Wenn du prüfen willst, wie gut in deinem Unternehmen die Lieferkette der Zertifizierer, die Kontrolle über ausgehändigte Nachweise und die Meldewege nach einem Vorfall beim Dienstleister aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall der GUTcert zeigt vor allem eines: Die Unterlagen, mit denen du deine Sicherheit belegst, sind selbst ein Angriffsziel.
Häufige Fragen
Quellen
- GUTcert GmbH: Aktuelle Informationen zum Hackerangriff, aktualisiert 9.10.2026, 14:56 Uhr. Ablauf, FAQ zu Datenkategorien, Maßnahmen, Meldepflichten und Erpressung.
- ENTEGA AG: Pressemitteilung zum Cyberangriff auf die GUTcert GmbH, 24.9.2026.
- Borns IT- und Windows-Blog: Hackerangriff auf die GUTcert; Kundendaten abgeflossen – ein KRITIS-Problem?, 20.9.2026, Günter Born.
- IT-Administrator: Datenleck bei GUTcert: Sorge um Energienetz-Geheimnisse, 21.9.2026, 12:30 Uhr, Daniel Richey.
- HiSolutions Research: Angreifer erbeuten beim Zertifizierer GUTcert Auditunterlagen von KRITIS-Betreibern, 18.10.2026, Holger von Rhein.
- GUTcert GmbH: öffentliche Leistungsübersicht auf gut-cert.de (unter anderem ISO/IEC 27001, ITSK, KRITIS). Angaben zum Leistungsportfolio, nicht zum Vorfall selbst.
