Hemmersbach gehackt? Qilin listet globalen IT-Dienstleister im Darknet

Hemmersbach mit Hauptsitz in Nürnberg gehört zu den weltweit größten unabhängigen IT-Service-Unternehmen. Zu den Kunden gehören internationale Konzerne, Hersteller sowie Unternehmen verschiedenster Branchen.

Leistungsportfolio

• Globaler IT-Vor-Ort-Service
• Workplace- und Endgeräte-Support
• Server- und Rechenzentrumsbetrieb
• Device Lifecycle Management
• Rollouts und Migrationen
• Hardware-Reparaturen
• Ersatzteillogistik
• IT-Projektmanagement
• Remote- und Onsite-Support

Damit besitzt Hemmersbach bei vielen Kunden tiefe Einblicke in deren IT-Landschaften.

Ein Angriff auf einen Maschinenbauer oder Online-Shop betrifft in erster Linie das jeweilige Unternehmen. Ein Angriff auf einen IT-Dienstleister kann dagegen wesentlich größere Auswirkungen haben – weil dort typischerweise verwaltet wird:

Sollten Angreifer tatsächlich Zugriff auf solche Informationen erhalten haben, könnte dies weit über Hemmersbach selbst hinausreichen.

Wichtig: Ob diese Daten tatsächlich entwendet wurden, ist nicht bestätigt. Falls die Behauptungen der Täter zutreffen, könnten – abhängig vom betroffenen Bereich – folgende Kategorien betroffen sein:

Ob administrative Informationen tatsächlich betroffen sind, ist derzeit vollkommen unbekannt.

Nein. Das wäre zum jetzigen Zeitpunkt unseriös zu behaupten. Allerdings befinden sich Kunden eines IT-Dienstleisters in einer Situation, die Sicherheitsforscher häufig als erhöhtes Risiko einstufen.

Der Grund: Angreifer handeln häufig gar nicht sofort. Sie analysieren gestohlene Daten teilweise über Wochen oder Monate. Aus Netzwerkplänen, Dokumentationen oder Zugangsinformationen lassen sich oftmals spätere Angriffe vorbereiten.

Deshalb beobachten Sicherheitsbehörden nach Angriffen auf Managed Service Provider oder IT-Dienstleister regelmäßig sogenannte Folgeangriffe auf deren Kunden.

Cyberkriminelle greifen immer häufiger Dienstleister an. Der Grund ist einfach: Statt ein Unternehmen erfolgreich anzugreifen, besteht die Chance, Informationen über Hunderte oder Tausende Kunden zu erhalten. Dieses Vorgehen heißt Supply-Chain-Angriff.

   ┌────────────┐
   │  Qilin     │  Ransomware-as-a-Service
   │  Affiliate │
   └─────┬──────┘
         │  1× erfolgreicher Angriff
         ▼
   ┌─────────────────────┐
   │  IT-Dienstleister   │  Admin-Zugänge · VPN · AD · Backups
   │  (z. B. Hemmersbach)│
   └─────┬───────────────┘
         │  Multiplikator-Effekt
         ▼
   ┌───┬───┬───┬───┬───┬───┬───┬───┬───┐
   │ K │ K │ K │ K │ K │ K │ K │ K │...│  n Kunden weltweit
   └───┴───┴───┴───┴───┴───┴───┴───┴───┘

Der Angreifer muss dabei nicht einmal direkte Administratorrechte bei Kunden besitzen. Bereits technische Dokumentationen, Ansprechpartner, Netzwerkübersichten oder Wartungsinformationen können für spätere Phishing-Kampagnen oder gezielte Angriffe äußerst wertvoll sein.

Qilin – auch unter dem Namen Agenda bekannt – zählt inzwischen zu den aktivsten Ransomware-Gruppen weltweit. Die Gruppe arbeitet nach dem Ransomware-as-a-Service-Modell (RaaS): Die eigentlichen Entwickler stellen ihre Schadsoftware anderen Kriminellen (Affiliates) zur Verfügung, die anschließend eigenständig Unternehmen angreifen.

Qilin setzt auf die sogenannte Double Extortion: Wird nicht gezahlt, drohen Daten-Veröffentlichung und parallele Systemverschlüsselung. Diese Kombination sorgt bei Unternehmen häufig für erheblichen Druck.

Auch ohne offizielle Bestätigung empfiehlt sich erhöhte Aufmerksamkeit. Vor allem IT-Abteilungen sollten in den kommenden Tagen ihre Protokolle aufmerksam beobachten.

• Welche administrativen Zugänge besitzt der Dienstleister?
• Existieren gemeinsame Servicekonten?
• Werden VPN-Zugänge genutzt – und wie sind sie abgesichert?
• Sind API-Schlüssel oder Tokens im Einsatz?
• Sind alle privilegierten Konten mit MFA geschützt?
• Gibt es ungewöhnliche Anmeldungen in den Logdateien?
• Müssen Passwörter vorsorglich geändert werden?
• Gibt es neue Informationen oder Empfehlungen von Hemmersbach?

• Notfall-Audit für Unternehmen, die externe IT-Dienstleister einsetzen
• MFA-Härtung für alle privilegierten Konten (Admins, Service, Vendoren)
• Netzwerk-Segmentierung & Zero-Trust-Zugriff für Drittparteien
• EDR/XDR-Rollout auf Endpoints und Servern
• Darknet-Monitoring inkl. Vendor-Risiko-Beobachtung
• Incident-Response-Plan (IRP) für Supply-Chain-Vorfälle
• Backup-Härtung (immutable, 3-2-1-1-0) – Schutz vor Lateral Movement
• DSGVO- und NIS-2-konforme Dokumentation & Lieferantenprüfung
• 24/7-Notfall-Hotline mit Reaktion innerhalb von 60 Minuten

Übersicht der Leistungen, die Wasacon Unternehmen mit Dritt-Dienstleistern im Kreis Heinsberg anbietet. Keine Kundenreferenzen.