Vodafone gehackt? Lapsus$ veröffentlicht angebliche Infrastruktur, Quellcode & interne Dokumente
Update 01.06.2026: Vodafone hat den Vorfall gegenüber heise online bestätigt. Lapsus$ hat nach abgelaufener Erpressungsfrist rund 7,1 GB internen Quellcode veröffentlicht – Vodafone hatte das Lösegeld verweigert.
Auf einen Blick
Die Cybercrime-Gruppe Lapsus$ hat Vodafone erfolgreich angegriffen. Vodafone bestätigt gegenüber heise online den Abfluss von rund 7,1 GB internem Quellcode, der nach Ablauf der Erpressungsfrist im Darknet veröffentlicht wurde. Damit ist der Vorfall über die reine Leak-Site-Listung hinaus verifiziert. Die geleakten technischen Dokumentationen sind weit gefährlicher als ein klassischer Kundendaten-Abfluss – sie sind die Blaupause für jeden Folgeangriff. Empfehlung: Threat-Intel-Monitoring, Git-Token-Rotation, phishing-resistente MFA, EDR/XDR mit Identity-Telemetrie, Insider-Risikomanagement.
Was tatsächlich geleakt wurde
Nach Vodafones Bestätigung gegenüber heise umfasst der Dump rund 7,1 GB internen Quellcode sowie technische Unternehmensdaten aus internen Vodafone-Systemen. Konkret betroffen sind:
Infrastruktur & Architektur
Komplette interne Netzwerk- und Systemtopologien
Quellcode
Quellcode mehrerer interner Projekte
GitHub-Repositories
Repos, Branches, Entwicklungs- und CI/CD-Strukturen
Netzwerkdiagramme
Segmentierung, VPN, Firewalls, Sicherheitszonen
Technische Dokumentationen
Interne Wikis, Runbooks, Konfigurationen
Betriebsinformationen
Interne Prozesse, Tooling, Admin-Strukturen
Opfer-Wall: Wer auf Lapsus$ gelistet ist
Auszug aus der öffentlichen Leak-Plattform · 20 Einträge
Vodafone
Komplette Infrastruktur, Quellcode, GitHub-Tree & interne Netzwerkpläne
Axcera Trading
Handelsalgorithmen, Kundenportfolios, KYC-Daten & Finanzprotokolle
Checkmarx
Quellcode, Mitarbeiterdatenbank, API-Keys, MongoDB/MySQL-Zugänge
Axcera.io
Quellcode + Infrastruktur-Konfigurationen
AstraZeneca Corp
Quellcode, Mitarbeiterdatenbank, API-Keys, MongoDB/MySQL-Zugänge
VirtaHealth
Gesundheits- und Forschungsdaten
Eiffage
Französischer börsennotierter Baukonzern (gegr. 1993)
OSAC Aero
Spanisches Luftfahrt-Engineering-Unternehmen
Salesfloor
Mobile Sales-Plattform für Einzelhandel
Adidas
Deutscher Multinational-Konzern für Sportbekleidung
Loozap
Online-Marktplatz für Kauf und Verkauf
Lacoste
Französisches High-End Modeunternehmen (gegr. 1933)
DreamUp
US-Anbieter für weltraumbasierte Bildungsangebote
Université de Lille
Renommierte öffentliche Universität in Lille
FR Landwirtschaftsministerium
Französisches Ministerium für Landwirtschaft
Eni Energy
Italienischer multinationaler Öl- und Gaskonzern (Rom)
Samsung Electronics
Großangriff 2022: rund 190 GB interner Daten und Source-Code
Nvidia
Großangriff 2022: rund 1 TB Daten, GPU-Treiber-Code und Mitarbeiterdaten
Impresa
Portugiesische Mediengruppe (SIC, Expresso) – Angriff 2022
Brasilianisches Gesundheitsministerium
Angriff 2021 mit weitreichenden Auswirkungen auf nationale COVID-Daten
Quelle: aggregierte Threat-Intel aus öffentlicher Lapsus$-Leak-Seite. Listung auf einer Leak-Plattform bedeutet nicht automatisch einen bestätigten erfolgreichen Cyberangriff.
Lapsus$ – Spezialist für Angriffe auf Großkonzerne
Lapsus$ zählt zu den bekanntesten Cybercrime-Gruppen der vergangenen Jahre und greift gezielt internationale Konzerne an. Im Gegensatz zu klassischen Ransomware-Banden setzt die Gruppe konsequent auf den Diebstahl sensibler Unternehmensdaten, Quellcode-Repositories und interne Dokumentationen. Zum Einsatz kommen oft Social Engineering, kompromittierte Zugangsdaten, SIM-Swapping, MFA-Fatigue und gezielte Angriffe auf externe Dienstleister.
In der Vergangenheit wurden der Gruppe unter anderem Datenveröffentlichungen im Zusammenhang mit folgenden Unternehmen zugeschrieben:
Mit der Bestätigung reiht sich Vodafone in eine Reihe einiger der größten Technologie-, Software- und Konsumgüter-Konzerne der Welt ein, die zuvor im Fokus der Gruppe standen.
Exklusiv-Interview mit Lapsus$
11 Fragen · Originalquelle: öffentliches Interview April 2026 · deutsche Übersetzung durch Wasacon
Das folgende Interview wurde im April 2026 öffentlich publiziert. Wasacon dokumentiert es als journalistische Einordnung – ohne jede Sympathiebekundung für die Täter. Die Aussagen geben einen seltenen Einblick in die Selbstdarstellung, Taktiken und Allianzen einer der einflussreichsten Cybercrime-Gruppen der vergangenen Jahre. Die ursprüngliche englische Originalfrage steht jeweils als Referenz darunter.
// disclaimer: zitate werden ausschliesslich zu dokumentations- und einordnungszwecken wiedergegeben. wasacon erkennt keine forderungen der gruppe an und ruft nicht zur kooperation auf.
Warum technische Daten für Angreifer besonders wertvoll sind
Während viele bei Datenlecks zunächst an Kundendaten und Passwörter denken, sind technische Unternehmensdaten oft noch wertvoller – weil sie die Grundlage für die nächsten Angriffe liefern.
Vorbereitung weiterer Angriffe
Technische Dokumentationen erleichtern Angreifern die präzise Planung künftiger Cyberoperationen erheblich.
Lieferketten-Risiko
Informationen über interne Systeme enthalten Hinweise auf Dienstleister, Partner und externe Schnittstellen.
Social Engineering
Mitarbeiter, Administratoren und Entwickler werden mit Insider-Wissen deutlich gezielter angesprochen.
Schwachstellen-Analyse
Quellcode und Systemarchitekturen ermöglichen das schnelle Identifizieren weiterer Sicherheitslücken.
Telekommunikation – seit Jahren Top-Ziel
Telekommunikationsunternehmen gehören seit Jahren zu den bevorzugten Zielen von Cyberkriminellen. Sie speichern Millionen sensibler Kundendatensätze, betreiben kritische Kommunikationsinfrastruktur, sind eng mit Behörden und Großkunden vernetzt und gewähren Zugang zu Mobilfunk- und Netzwerkdiensten.
Neben klassischen Ransomware-Gruppen interessieren sich zunehmend auch staatliche APT-Akteure für Telekommunikationsdaten. Infrastrukturinformationen können sowohl für Spionage als auch für die Vorbereitung späterer Cyberoperationen genutzt werden.
Sofortmaßnahmen für Unternehmen
Threat-Intel-Monitoring
Eigenen Markennamen, Domains und Mitarbeiter-Domains auf Leak-Seiten und Foren beobachten – 24/7, automatisiert.
Git-Token & CI/CD härten
Personal Access Tokens und Workflow-Secrets rotieren, Branch-Protection und signed commits erzwingen, OIDC statt langlebiger Secrets.
Insider-Risiko ernst nehmen
Privileged Access Management, Just-in-Time-Admin, Vier-Augen-Prinzip für kritische Aktionen, Offboarding-Hygiene.
Anti-Vishing-Programm
Helpdesk-Verifikation per zweitem Kanal, MFA-Bypass-Versuche durch Schulungen und phishing-resistente MFA (FIDO2/Passkeys) verhindern.
EDR/XDR scharfschalten
Endpoint- und Identity-Telemetrie korrelieren, anomale Token-Nutzung und ungewöhnliche Repo-Klone alarmieren.
Network Segmentation
Dev-, Test- und Produktiv-Umgebungen sauber trennen, Cloud-Identitäten getrennt führen, Zero Trust statt Perimeter.
Wasacon-Einschätzung
Mit dem bestätigten Quellcode-Abfluss bei Vodafone zeigt sich, wie sich die Bedrohungslage 2026 verschoben hat. Moderne Angriffe zielen längst nicht mehr nur auf Kundendaten – im Fokus stehen Entwicklerzugänge, Quellcode, Cloud-Identitäten, Netzwerkdokumentationen und Administrationssysteme.
Lapsus$ steht exemplarisch für eine Generation von Angreifern, die nicht mehr „nur" verschlüsselt, sondern Insider rekrutiert, Helpdesks anruft und Token erbeutet. Wer 2026 noch glaubt, mit Firewall und Antivirus auszukommen, verkennt das Niveau. Schutz heißt heute: Identity-First Security, Just-in-Time-Admin, phishing-resistente MFA, Threat-Intel-Monitoring und 24/7-Reaktion.
Die wertvollsten Daten eines Unternehmens stehen nicht in der CRM-Datenbank – sondern in seinem GitHub-Repository und im Netzwerkdiagramm.
Häufige Fragen
Wer überwacht Ihre Quellcode-, Identitäts- und Insider-Risiken?
Wasacon prüft Threat-Intel-Monitoring, Git/CI-Härtung, phishing-resistente MFA, EDR/XDR-Coverage und Insider-Risikomanagement – inklusive 24/7-Reaktion auf verdächtige Identitäts- und Token-Aktivitäten.
Leak-Sites, Supply-Chain & Insider-Risiken weiterdenken
Mehr Hintergrund zu Ransomware-Operationen, Quellcode-Leaks und Supply-Chain-Angriffen:
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Transparenzhinweis
Dieser Artikel basiert auf öffentlich zugänglichen Informationen sowie auf Angaben einer Darknet-Leak-Seite. Die dort veröffentlichten Behauptungen konnten zum Zeitpunkt der Veröffentlichung nicht unabhängig verifiziert werden. Die Erwähnung eines Unternehmens bedeutet nicht automatisch, dass ein erfolgreicher Cyberangriff oder Datenabfluss stattgefunden hat.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Rechtlicher Hinweis: wasacon.com erwirbt, exfiltriert, lädt herunter, besitzt, hostet, greift auf, konsultiert, verbreitet oder veröffentlicht keine unrechtmäßig erlangten Daten. Diese Plattform indexiert ausschließlich öffentlich sichtbare Informationen, die von Ransomware-Betreibern und offenen Webquellen veröffentlicht wurden, ohne auf die zugrunde liegenden gestohlenen Inhalte zuzugreifen oder diese zu erlangen. Der Dienst wird zur Unterstützung des öffentlichen Bewusstseins, der legitimen Forschung und der Cyber-Resilienz bereitgestellt. Über diese Website werden keine gestohlenen persönlichen oder vertraulichen Daten gesammelt oder verbreitet.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
