«Völkerverständigung ist keine Schwäche»

Neue Führung und Gespräche mit Kushner: Hamas zwischen Politik und Widerstand

Einmal mehr muss ich um Unterstützung bitten!
Etwa soweit bringt es heute fast jeder, wenn er nicht schon über 70 Jahre alt ist. Aber die neue digitale Welt hat neben all ihren Vorteilen vor allem einen Nachteil: Es gibt kaum mehr Geheimnisse. Alle Daten dieser Welt sind zugänglich – vor allem auch von unberechtigter Seite ...

Die Vorgabe, die im eigenen Haus scheiterte

09. August 2026 Von: in Allgemein

(Red.) Eine Vorwarnung: Der hier folgende Text von Michael Hollister ist für jene geschrieben, die von der Cyber-Technik etwas verstehen. Lesen sollten ihn jene, die in der Verwaltung oder auch in Firmen für die Cyber-Sicherheit zuständig sind. Wir Anderen lernen daraus nur, dass Alles – Alles! – , was wir ins Handy oder in den PC tippen, von interessierten Stellen, eben auch unberechtigten, mitgelesen werden kann. – Siehe dazu auch mein persönliches PS. (cm)

Zwei Cyberangriffe binnen zwei Monaten treffen die EU-Kommission – ausgerechnet in dem Fenster, in dem sie ihre eigene Wehrhaftigkeit zertifiziert und einem Kontinent verbindliche Sicherheitsregeln vorschreibt. Ein Befund über die Lücke zwischen Regel und Realität.

Ein Werkzeug, dessen einzige Aufgabe darin besteht, Sicherheitslücken zu finden, wurde am 19. März 2026 selbst zur Lücke. Die Europäische Kommission betrieb an diesem Tag eine manipulierte Version des quelloffenen Schwachstellen-Scanners Trivy – eine Software, die Organisationen weltweit einsetzen, um Schwachstellen in ihren Systemen aufzuspüren, bevor Angreifer es tun. Über genau dieses Werkzeug verschafften sich die Angreifer Zugang zur Cloud-Infrastruktur der Kommission. Neun Tage später standen rund 340 Gigabyte Daten im Darknet: personenbezogene Daten, interne E-Mail-Korrespondenz, kryptografische Signaturschlüssel. Es war der zweite bestätigte Bruch der Kommission binnen zwei Monaten.

Der Vorfall selbst ist in der IT-Sicherheitsfachpresse gut dokumentiert. Das Bemerkenswerte liegt nicht im Einbruch, sondern im Kontext, in dem er geschah. Dreizehn Tage bevor der erste dieser beiden Angriffe begann, hatte das Aufsichtsgremium für die Cybersicherheit der EU-Institutionen seinen Jahresbericht vorgelegt und darin die eigene Wehrhaftigkeit als solide und im Plan beschrieben. Zehn Tage später schlug die Kommission ein Gesetzespaket vor, dessen Herzstück ausgerechnet der Schutz von Lieferketten war. Und als der Bruch öffentlich wurde, kommunizierte die Kommission darüber in einer Weise, die sie einem von ihr regulierten Unternehmen kaum durchgehen ließe.

Daraus ergibt sich die Frage, die dieser Text verfolgt: Was bedeutet es, wenn die Institution, die einem Kontinent verbindliche Cybersicherheitsregeln vorschreibt, diese im eigenen Haus verfehlt – und über das Versagen so spricht, wie es die Regulierten nicht dürften?

Der Einbruch: Wie ein Sicherheitswerkzeug zum Einfallstor wurde

Die technische Kette lässt sich anhand der Analyse von CERT-EU, dem Cybersicherheitsdienst der Unionsorgane, präzise nachzeichnen. Ausgangspunkt war nicht die Kommission, sondern die Software-Lieferkette von Trivy selbst. Bereits im Februar 2026 hatte sich eine als TeamPCP bezeichnete Tätergruppe über eine fehlkonfigurierte GitHub-Actions-Umgebung Zugang zum Entwicklungsprozess des Scanners verschafft. Nach einer ersten, unvollständigen Bereinigung behielt die Gruppe einen Restzugriff.

Am 19. März 2026 nutzte TeamPCP diesen Restzugriff, um eine trojanisierte Trivy-Version zu veröffentlichen. Der Hersteller Aqua Security und die Sicherheitsforscher von Wiz und Microsoft rekonstruierten den Ablauf übereinstimmend: eine manipulierte Binärdatei in der Version 0.69.4, dazu 76 von 77 Versions-Markierungen der zugehörigen GitHub-Action mit Schadcode überschrieben, sämtliche sieben Markierungen einer zweiten Hilfskomponente ersetzt. Wer den Scanner in diesem Zeitfenster bezog, installierte einen Credential-Stealer – Schadsoftware, die Umgebungsvariablen, Cloud-Zugangsdaten, SSH-Schlüssel und Geheimnisse aus Entwicklungs-Pipelines abgreift. Der Vorfall erhielt später die Kennung CVE-2026-33634, wurde als kritisch eingestuft und von der US-Behörde CISA in den Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Die Kommission gehörte zu den Organisationen, die im kritischen Fenster eine kompromittierte Version einsetzten. Über den manipulierten Scanner erlangten die Angreifer einen AWS-Zugangsschlüssel, der Kontrolle über weitere AWS-Konten der Kommission verschaffte. Anschließend, so CERT-EU, setzten sie das Werkzeug TruffleHog ein, um über den Security Token Service von Amazon weitere Zugangsdaten aufzuspüren und zu validieren. Sie legten einen neuen Zugangsschlüssel an, den sie einem bestehenden Nutzer zuordneten – ein Manöver, um Entdeckung zu vermeiden – und begannen, das Umfeld auszukundschaften.

Was abfloss

Erst am 24. März 2026 schlug das Cybersecurity Operations Centre der Kommission Alarm: ungewöhnlicher API-Verkehr, Hinweise auf ein kompromittiertes Konto, ein Anstieg des Netzwerkverkehrs. Zwischen dem Erstzugriff und der Entdeckung lagen fünf Tage. Am 25. März wurde CERT-EU informiert – gemäß Artikel 21 der Cybersicherheitsverordnung 2023/2841, die Unionsorgane verpflichtet, erhebliche Vorfälle ohne unangemessene Verzögerung zu melden. Am 27. März machte die Kommission den Vorfall öffentlich. Am 28. März stellte die Erpressergruppe ShinyHunters die erbeuteten Daten auf ihre Darknet-Leak-Seite.

Der Umfang, den CERT-EU bestätigte: rund 91,7 Gigabyte komprimierte Daten, entpackt etwa 340 Gigabyte. Betroffen waren die Websites von bis zu 71 Kunden des Europa-Webhosting-Diensts – 42 interne Stellen der Kommission und mindestens 29 weitere Unionseinrichtungen. Der Datensatz enthielt personenbezogene Daten: Namen, Nutzernamen, E-Mail-Adressen. Er enthielt DKIM-Signaturschlüssel – jene kryptografischen Schlüssel, mit denen sich E-Mails als authentisch von einer Domain stammend ausweisen. Er enthielt 51.992 Dateien zu ausgehender E-Mail-Kommunikation, zusammen 2,22 Gigabyte. Die Mehrheit davon, so CERT-EU, seien automatisierte Benachrichtigungen mit geringem Inhalt; einige jedoch – sogenannte Bounce-Back-Nachrichten –könnten von Nutzern eingereichte Originalinhalte enthalten und damit personenbezogene Daten preisgeben.

Die DKIM-Schlüssel wiegen dabei schwerer, als es zunächst klingt. Mit ihnen lassen sich E-Mails fälschen, die die Authentifizierungsprüfungen von Kommissions-Domains bestehen – ein präzises Werkzeug für gezielte Phishing-Angriffe, etwa auf Mitgliedstaaten, die auf Post von europa.eu-Adressen vertrauen.

Wer hinter der Veröffentlichung steht, ist keine unbekannte Größe. ShinyHunters trat in den vergangenen Jahren als Erpressergruppe hinter zahlreichen großen Datenlecks auf; zu den mutmaßlichen Opfern zählen Ticketmaster, AT&T und Dutzende weitere Unternehmen, zuletzt eine Serie von Angriffen auf Salesforce-Zugänge namhafter Konzerne. Auf ihrer Leak-Seite beschrieb die Gruppe die Beute als über 350 Gigabyte umfassend, darunter Sicherungskopien von Mailservern, Datenbanken, vertrauliche Dokumente und Verträge; als Beleg stellte sie ein Archiv von mehr als 90 Gigabyte online. Sicherheitsforscher, die den Datensatz sichteten, berichteten über die von CERT-EU bestätigten Kategorien hinaus von Inhalten der Kollaborationsplattform NextCloud sowie von internen Administrations-Adressen – Angaben, die die Kommission selbst nicht bestätigte. Was die offizielle Bestätigung angeht, blieb CERT-EU bei den 71 Hosting-Kunden und nannte die 29 weiteren Unionseinrichtungen nicht namentlich; einzelne Sekundärberichte führten mögliche Betroffene auf, ohne dass diese Zuordnung durch den Notfalldienst gedeckt wäre.

Zur Attribution ist Genauigkeit geboten, weil sie oft verkürzt wird. CERT-EU ordnet den Erstzugriff mit hoher Konfidenz dem Trivy-Lieferkettenangriff zu, der öffentlich TeamPCP zugeschrieben wird. Die Veröffentlichung der Daten übernahm ShinyHunters. Ob TeamPCP den Zugang an ShinyHunters weiterreichte oder ShinyHunters nur den Erpressungsteil betrieb, ist nicht abschließend geklärt. Es handelt sich also um eine Arbeitsteilung zwischen zwei Akteuren – der eine für den Einbruch, der andere für die Erpressung –, nicht um einen einzelnen Täter. Was CERT-EU ausdrücklich nicht feststellte: eine seitliche Ausbreitung über den initialen Zugriff hinaus. Die Kommission entzog dem kompromittierten Konto die Rechte, deaktivierte die betroffenen Schlüssel. Die europa.eu-Websites und -Dienste blieben verfügbar, die internen Systeme nach Darstellung von CERT-EU unberührt. Auch Amazon erklärte, seine Plattform habe keinen Sicherheitsvorfall erlitten – was zutrifft: Im Modell der geteilten Verantwortung sichert der Anbieter die Infrastruktur, die Verwaltung der Konten und Zugangsdaten bleibt Sache des Kunden.

Der erste Bruch und das Muster dahinter

Der März-Vorfall war nicht der erste. Am 30. Januar 2026 hatte die Kommission Spuren eines Angriffs auf ihre zentrale Infrastruktur zur Verwaltung mobiler Endgeräte entdeckt – das sogenannte Mobile Device Management, mit dem große Organisationen Diensthandys und Tablets zentral steuern. Betroffen waren möglicherweise Namen und Telefonnummern von Mitarbeitern; die Geräte selbst wurden nach Angaben der Kommission nicht kompromittiert. CERT-EU dämmte den Vorfall binnen neun Stunden ein. Öffentlich gemacht wurde er am 06. Februar 2026.

Den Angriffsvektor bestätigte die Kommission nicht. Die zeitliche Nähe zu zwei kritischen Schwachstellen in der Software Ivanti Endpoint Manager Mobile – von Ivanti am 29. Januar 2026 gemeldet und unter den Kennungen CVE-2026-1281 und CVE-2026-1340 geführt – legt einen Zusammenhang nahe. Diese Lücken erlaubten es Angreifern, ohne Anmeldedaten Code aus der Ferne auszuführen. Der Vorfall reihte sich in eine breitere Welle von Angriffen auf diese Software ein, die im Frühjahr 2026 Behörden in Europa und den Vereinigten Staaten traf.

Zwei Brüche in zwei Monaten – mehr als ein Muster lässt sich daraus zunächst nicht ableiten, und ein direkter Kausalzusammenhang zwischen beiden ist nicht belegt. Doch der März-Angriff war Teil von etwas Größerem. Die Kompromittierung von Trivy war nur die erste Welle einer Kampagne, die TeamPCP zwischen dem 19. und 24. März 2026 gegen die quelloffene Sicherheits-Infrastruktur führte. Nach Trivy traf es den Infrastruktur-Scanner Checkmarx KICS, dann die Bibliothek LiteLLM über deren Veröffentlichungs-Pipeline, schließlich das npm-Ökosystem über einen sich selbst verbreitenden Schadcode, den Forscher „CanisterWorm“ tauften. Zugangsdaten, die im Trivy-Angriff erbeutet wurden, dienten fünf Tage später dazu, die nächste Komponente zu kompromittieren. Die Sicherheitsfirma Palo Alto Networks beschrieb das Vorgehen als systematische Kampagne gegen die quelloffene Sicherheits-Infrastruktur; das auf Bedrohungsanalyse spezialisierte Unternehmen Mandiant quantifizierte die Reichweite auf mehr als tausend betroffene Cloud-Umgebungen. Die eingesetzte Schadsoftware war eigens darauf ausgelegt, innerhalb von Entwicklungs-Pipelines zu operieren und erbeutete Geheimnisse über mehrere Kanäle abzuleiten – über nachgeahmte Domains, GitHub-Repositorien und getarnte Netzwerktunnel. TeamPCP selbst wird unter mehreren Bezeichnungen geführt und gilt als auf cloud-native Infrastruktur spezialisierter Akteur; eine Zuordnung zu einem Staat lässt sich aus den vorliegenden Analysen nicht ableiten.

Das ist der eigentliche strukturelle Befund dieser Episode: Die Werkzeuge, mit denen Organisationen sich verteidigen, bilden selbst eine Lieferkette – und diese Lieferkette ist eine weiche Flanke. Wer den Scanner vergiftet, muss nicht mehr jede einzelne Festung stürmen; er wartet, bis die Verteidiger sein Werkzeug selbst hereintragen.

Der Widerspruch im Timing

Genau an dieser Stelle wird die zeitliche Anordnung der Ereignisse zum Kern der Geschichte. Am 20. Januar 2026 – zehn Tage vor dem ersten Bruch, gut zwei Monate vor dem zweiten – schlug die Kommission ihr neues Cybersicherheitspaket vor. Es sieht eine Überarbeitung des Cybersecurity Act und gezielte Änderungen an der NIS2-Richtlinie vor. Sein erklärtes Herzstück: ein „vertrauenswürdiger Rahmen für die Sicherheit der IKT-Lieferkette“, der die Risiken aus Zulieferern verringern soll, auch aus Drittstaaten. Zusätzlich sollte das Budget der EU-Cybersicherheitsagentur ENISA um mehr als 75 Prozent steigen.

Die Kommission stellte also einen Rahmen zum Schutz vor Lieferkettenrisiken vor – und wurde rund zwei Monate später über genau diese Angriffsklasse kompromittiert. Das ist keine Wertung, sondern eine Chronologie. Ihre Wucht bezieht sie nicht aus Ironie, sondern aus dem, was ihr vorausging.

Eine Vorgabe mit Frist

Das Cybersicherheitspaket vom Januar 2026 war nicht der erste Anlauf. Bereits am 13. Dezember 2023 hatten Parlament und Rat die Verordnung 2023/2841 verabschiedet – Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau bei den Organen, Einrichtungen und Agenturen der Union. Sie trat am 07. Januar 2024 in Kraft und verpflichtet jede Unionseinrichtung, einschließlich der Kommission, auf konkrete Schritte mit festen Fristen: einen internen Rahmen für Risikomanagement, Governance und Kontrolle bis zum 08. April 2025, Reifegrad-Bewertungen der eigenen Cybersicherheit, Risikomanagement-Maßnahmen und schließlich einen Cybersicherheitsplan, dessen Ziel für Anfang 2026 gesetzt war. Zur Überwachung schuf die Verordnung ein Interinstitutionelles Cybersicherheits-Gremium, das bei anhaltender Nichteinhaltung Audits empfehlen oder Datenflüsse aussetzen kann.

Über die Fristen hinaus verlangt die Verordnung von jeder Einrichtung, einen lokalen Cybersicherheitsbeauftragten als zentrale Anlaufstelle zu benennen und die eigene Cybersicherheitsreife bis zum 08. Juli 2025 und danach mindestens alle zwei Jahre zu bewerten. Sie ist in Grundsätzen und Anspruchsniveau auf die NIS2-Richtlinie abgestimmt, die für Unternehmen und Betreiber kritischer Dienste gilt – die Union unterwirft ihre eigenen Organe also demselben Ambitionsniveau, das sie dem Rest des Kontinents vorschreibt.

Diese Verordnung entstand nicht im luftleeren Raum. Sie war die Antwort auf eine Warnung. Am 29. März 2022 hatte der Europäische Rechnungshof den Sonderbericht 05/2022 veröffentlicht, Titel: „Cybersicherheit der Organe, Einrichtungen und sonstigen Stellen der EU: Insgesamt kein den Bedrohungen angemessenes Vorsorgeniveau.“ Der Befund der Prüfer war unmissverständlich: Die Zahl erheblicher Cybersicherheitsvorfälle in EU-Einrichtungen hatte sich zwischen 2018 und 2021 mehr als verzehnfacht; das Vorsorgeniveau sei den Bedrohungen nicht angemessen; und weil die Einrichtungen stark vernetzt seien, könne eine Schwäche in einer einzelnen die anderen gefährden. Im Detail bemängelten die Prüfer, dass wesentliche Sicherheitskontrollen nicht durchgängig vorhanden seien, die Steuerung der IT-Sicherheit vielerorts nicht gut entwickelt sei, Risikobewertungen nicht das gesamte Umfeld abdeckten und eine Reihe von Einrichtungen deutlich weniger in Cybersicherheit investiere als vergleichbare Organisationen. Der Rechnungshof empfahl ausdrücklich die Einführung verbindlicher Regeln und mehr Mittel für CERT-EU.

Damit steht eine klare Kette im Raum: Warnung 2022, verbindliche Verordnung 2023, Brüche 2026. Und der Befund des Rechnungshofs zur Vernetzung liest sich im Rückblick wie eine Vorwegnahme: Über einen einzigen kompromittierten Hosting-Dienst gerieten Daten von 42 internen Stellen und mindestens 29 weiteren Unionseinrichtungen in fremde Hände – eine Schwäche an einer Stelle, die zahllose andere exponierte.

Selbstbefund gegen Realität

Zwischen die Warnung und den Bruch schiebt sich ein Dokument, das den Kontrast schärft. Am 07. Januar 2026 legte das Interinstitutionelle Cybersicherheits-Gremium seinen Jahresbericht für 2025 vor. In der öffentlichen Begleitkommunikation von CERT-EU wird das Jahr so beschrieben, dass die Unionseinrichtungen erhebliche Zeit und Mittel investiert hätten, um ihre internen Rahmenwerke an den Fristen der Verordnung zu konsolidieren und zu erproben – man sei, so die Formulierung des Vorjahresberichts, „auf Kurs“. Bereits der Bericht für 2024 hatte Lieferkettenangriffe ausdrücklich als besondere Bedrohung benannt.

Die zeitliche Anordnung ist damit präzise. Am 07. Januar 2026 legt das Aufsichtsgremium seinen Selbstbefund vor, wonach die Rahmenwerke stünden und im Plan seien. Dreizehn Tage später schlägt die Kommission ihr Lieferketten-Paket vor. Dreiundzwanzig Tage später wird ihr System zur Geräteverwaltung gebrochen. Gut zwei Monate später fällt sie über einen Lieferkettenangriff – über genau die Bedrohung, die der eigene Bericht des Gremiums als besonders herausgestellt hatte.

An dieser Stelle ist Sorgfalt geboten, damit aus einem Befund kein Vorwurf wird, den die Fakten nicht tragen. Das Gremium behauptet in seinem Bericht nicht, die Institutionen seien unangreifbar. Es beschreibt, dass Governance-Strukturen aufgebaut, Fristen adressiert, Bewertungen durchgeführt wurden. Ein vergifteter Scanner eines Drittanbieters ist nicht etwas, das ein Governance-Rahmen im Handumdrehen verhindert. Der Befund liegt daher nicht in einem Widerspruch zwischen Behauptung und Wahrheit, sondern in der Gegenüberstellung zweier Ebenen: der zertifizierten Bereitschaft auf dem Papier und dem operativen Ausgang wenige Wochen darauf. Welchen Schluss der Leser daraus zieht, bleibt ihm überlassen.

Die Kommunikation: Sprecher gegen Notfalldienst

Am aufschlussreichsten ist, wie die Kommission über den eigenen Bruch sprach. Kommissionssprecher Thomas Regnier bestätigte am 27. März 2026, man habe einen Cyberangriff entdeckt, der „einen Teil unserer Cloud-Infrastruktur“ betroffen habe; die internen Systeme seien nicht betroffen. Drei Tage später, vor Reportern, verengte er die Darstellung weiter. Die betroffenen Domains seien auf die öffentlichen europa.eu-Seiten begrenzt, die interne Infrastruktur „absolut nicht betroffen“. Zu den möglicherweise entwendeten Daten sagte er, es gehe um Daten, die „potenziell ohnehin bereits öffentlich“ seien.

Hier ist die entscheidende Unterscheidung zu treffen. Die Aussage, die internen Systeme seien nicht betroffen, deckt sich mit dem, was CERT-EU später feststellte: keine seitliche Ausbreitung, die europa.eu-Dienste intakt. In diesem Punkt widerspricht der Notfalldienst dem Sprecher nicht. Die zweite Aussage jedoch – Daten, die ohnehin schon öffentlich seien – steht im Widerspruch zu dem, was CERT-EU wenige Tage darauf bestätigte: personenbezogene Daten in großem Umfang, DKIM-Signaturschlüssel, fast 52.000 Dateien zu E-Mail-Kommunikation, darunter mögliche Nutzerinhalte. Signaturschlüssel und interne Korrespondenz sind keine Daten, die ohnehin öffentlich sind.

Aufschlussreich ist auch, was in der Darstellung mitschwang. In ihrer längeren schriftlichen Mitteilung räumte die Kommission ein, es seien Daten entwendet worden – eine Formulierung, die im Kontrast zur beruhigenden Zusammenfassung stand und erst durch die spätere CERT-EU-Analyse ihr Gewicht erhielt. Sicherheitsforscher ordneten den Vorfall früh politisch ein: Ein öffentlich gewordener Bruch dieser Größenordnung lasse sich nutzen, um die Kommission als unsichere Institution erscheinen zu lassen – mit besonderer Fallhöhe, weil sie als Vorreiterin bei der Setzung von Sicherheitsregeln gilt. Diese Einordnung ist eine Deutung, kein Befund; sie zeigt aber, warum die Kommunikation über den eigenen Bruch für eine Regelgeberin heikler ist als für ein gewöhnliches Opfer.

Das Fachmedium The Register nannte die Reaktion der Kommission „bemerkenswert karg“ für eine Institution, die sonst Transparenz bei Sicherheitsvorfällen einfordert. Und genau darin liegt die Asymmetrie, die diesen Vorfall über das Technische hinaushebt. Die Kommission verpflichtet mit der NIS2-Richtlinie und der Verordnung 2023/2841 Unternehmen und Einrichtungen zur zügigen, vollständigen Meldung erheblicher Vorfälle. Über den eigenen Bruch kommunizierte sie zunächst knapp, benannte weder Datenarten noch Umfang präzise und relativierte die Sensibilität des Abgeflossenen – bis der eigene Notfalldienst die Zahlen lieferte.

Diese Asymmetrie ist das Bindeglied zu einem größeren Muster, das in der Serie Der gläserne Bürger nachgezeichnet wird: Der Staat wird für den Bürger immer lesbarer, während er sich selbst der Einsicht entzieht. Teil 1 – „Fünf Schichten, ein Profil – Wie die EU den gläsernen Bürger baut“.

Der Cyberbruch der Kommission ist das Spiegelbild dieser Bewegung. Die Institution, die Transparenz verordnet, übte sie im eigenen Fall zurückhaltend.

Die Gegenrechnung

An diesem Punkt gebietet es die Redlichkeit, die Gegenargumente ernst zu nehmen – nicht als Feigenblatt, sondern weil sie stark sind.

Erstens: Trivy einzusetzen war keine Fahrlässigkeit. Der Scanner ist ein etabliertes, weithin genutztes Werkzeug eines seriösen Herstellers. Millionen von Entwicklungs-Pipelines verwenden ihn. Eine Organisation, die ihn einsetzt, tut das Richtige – sie sucht aktiv nach Schwachstellen. Dass ausgerechnet dieses Werkzeug vergiftet wurde, ist kein Versäumnis der Kommission, sondern die Natur eines Lieferkettenangriffs.

Zweitens: Solche Angriffe treffen jeden. Die Trivy-Kampagne kompromittierte über hundert weitere Umgebungen; das Bundesamt für Sicherheit in der Informationstechnik warnte am 26. März 2026 vor Kompromittierungen auch in Deutschland. Die EU-Kommission ist in dieser Hinsicht kein Sonderfall, sondern eines von vielen Opfern einer Angriffsklasse, gegen die kein Ziel vollständig gefeit ist.

Drittens: Vieles funktionierte. Die Meldepflicht nach Artikel 21 wurde eingehalten, CERT-EU eingeschaltet, das kompromittierte Konto rasch gesperrt, eine seitliche Ausbreitung nach bisherigem Stand verhindert. Ein Schutzdispositiv, das an einer einzelnen Stelle versagt, ist nicht dasselbe wie eines, das gar nicht greift. In den fünf Tagen zwischen Erstzugriff und Entdeckung lief allerdings genau jene Exfiltration, deren Ausmaß erst der Leak im Darknet offenlegte – die Eindämmung war schnell, sie kam nur zu spät, um den Abfluss zu verhindern.

Und genau hier dreht sich das Argument. Weil der technische Ausgangsfehler universell ist – weil jeder über einen vergifteten Scanner fallen kann –, liegt der eigentliche Befund nicht im Reinfallen. Er liegt in der Diskrepanz zwischen der regulatorischen Haltung nach außen und der operativen Realität nach innen: fünf Tage bis zur Entdeckung; langlebige AWS-Zugangsdaten in Reichweite eines Scan-Werkzeugs; und eine Kommunikation, die den Bruch relativierte, statt ihn so offenzulegen, wie es die eigene Verordnung von anderen verlangt. Nicht das Opfer-Sein ist der Befund, sondern die Lücke zwischen Anspruch und Betrieb.

Machtlogik: Warum sich das wiederholt

Wer die Interessen und strukturellen Zwänge betrachtet, erkennt, warum dieser Typ von Vorfall kein Ausrutscher ist, sondern eine Wiederholungsstruktur.

Zum Ersten die technische Ökonomie des Angriffs. Die Sicherheits-Toolchain ist ein Single Point of Failure mit enormer Hebelwirkung. Ein einziger kompromittierter Scanner erreicht Tausende von Umgebungen, ohne dass der Angreifer jede einzeln kompromittieren müsste. Die Verteidiger tragen das Werkzeug selbst herein. Sicherheitswerkzeuge sind dafür ein ideales Ziel, weil sie von Natur aus privilegiert laufen: Ein Scanner braucht Zugriff auf Entwicklungs-Pipelines, auf Zugangsdaten und auf Cloud-Konten, um seine Arbeit überhaupt tun zu können. Wer ihn übernimmt, erbt diesen Zugriff. Im Fall der Kommission kam hinzu, dass ein einmal erbeuteter Schlüssel Kontrolle über weitere Konten eröffnete – ein Hinweis darauf, dass weitreichende Zugangsdaten in Reichweite eines automatisiert laufenden Werkzeugs lagen. Nicht der Einsatz des Scanners war das Problem, sondern die Frage, was er im Ernstfall alles berühren konnte. Solange Organisationen – auch staatliche – auf veränderliche Versionsmarkierungen statt auf unveränderliche kryptografische Prüfsummen vertrauen, bleibt dieser Hebel bestehen. Die Abhilfe ist bekannt und banal: das Festnageln von Komponenten auf feste Prüfsummen. Dass sie nicht flächendeckend praktiziert wird, ist der Grund, warum die Angriffsklasse funktioniert.

Zum Zweiten die institutionelle Ökonomie. Ein Regelwerk erzeugt messbare Artefakte – verabschiedete Verordnungen, aufgestellte Gremien, abgehakte Fristen, Jahresberichte, die Fortschritt zertifizieren. Adversariale Härtung erzeugt keine solchen Artefakte; sie erweist sich nur im Ernstfall, und der lässt sich nicht planen. Der Anreiz, den sichtbaren Regel-Output und die Selbstzertifizierung zu optimieren, ist strukturell stärker als der Anreiz, die unsichtbare operative Widerstandsfähigkeit zu optimieren. Genau diese Schieflage produziert die Lücke zwischen dem „auf Kurs“ des Jahresberichts und dem Bruch wenige Wochen später.

Zum Dritten die Transparenz-Ökonomie. Für eine Institution, die zugleich Regelgeber und Betroffene ist, kollidieren zwei Interessen: das regulatorische Interesse an vollständiger Offenlegung und das eigene Interesse an Schadensbegrenzung. Im eigenen Fall gewann, zumindest anfänglich, das zweite. Das ist menschlich verständlich – und genau deshalb strukturell verlässlich. Wer Regel und Anwendung in einer Hand hält, gerät in die Versuchung, für sich milder zu urteilen als für andere. 

Szenarien

Aus dieser Struktur ergeben sich mehrere Entwicklungslinien.

Im ersten Szenario befeuert der Bruch genau die Zentralisierung, die er blamiert hat. Das Cybersicherheitspaket vom Januar 2026 setzt auf Verbote für Hochrisiko-Zulieferer, auf harmonisierte Anforderungen, auf gemeinsame Infrastruktur. Ein spektakulärer Bruch liefert das Argument, diese Zentralisierung zu beschleunigen – mehr gemeinsame Cloud, mehr zentrale Kontrolle, mehr Befugnisse für die Aufsicht. Die Blamage über mangelnde Wehrhaftigkeit wird zum Treibstoff für mehr Zuständigkeit. Ob mehr Zentralisierung die Angriffsfläche verkleinert oder vergrößert, ist dabei die offene Frage, die in der Debatte kaum gestellt wird.

Im zweiten Szenario bleibt die Lücke zwischen Haltung und Betrieb bestehen. Die Governance-Rahmen werden weiter ausgebaut, die Jahresberichte melden weiter Fortschritt, und der nächste Lieferkettenangriff ist keine Frage des Ob, sondern des Wann. Die TeamPCP-Kampagne hat gezeigt, dass die Sicherheits-Toolchain ein ergiebiges Ziel ist; sie wird nicht das letzte ihrer Art gewesen sein.

Im dritten, weniger wahrscheinlichen Szenario zieht die EU operative statt regulatorische Konsequenzen: verbindliches Festnageln von Komponenten auf Prüfsummen, adversariale Tests statt Selbstbewertung, kürzere Entdeckungszeiten als Prüfkriterium. Dieser Weg erzeugt weniger sichtbare Artefakte und mehr tatsächliche Widerstandsfähigkeit – und ist gerade deshalb der unwahrscheinlichere.

Schlussfolgerung

Zwischen dem 30. Januar und dem 28. März 2026 hat die Europäische Kommission zweimal erlebt, was sie einem Kontinent zu verhindern verspricht. Der zweite dieser Brüche geschah über ein Werkzeug, dessen Zweck das Aufspüren von Schwachstellen ist, in dem Fenster, in dem das eigene Aufsichtsgremium die Wehrhaftigkeit der Union zertifizierte und die Kommission den Schutz von Lieferketten zum Gesetzesvorhaben erhob.

Der Befund ist nicht, dass die EU inkompetenter wäre als andere – sie ist es nicht, und die Angriffsklasse trifft jeden. Der Befund ist die Lücke: zwischen der Warnung von 2022 und dem Bruch von 2026, zwischen dem zertifizierten „auf Kurs“ und den fünf Tagen bis zur Entdeckung, zwischen der Transparenz, die verordnet wird, und der Zurückhaltung, mit der über den eigenen Fall gesprochen wurde. Der Staat, der den Bürger gläsern macht, konnte sich vor einem vergifteten Scanner nicht undurchsichtig halten – und redete über das Leck so, wie er es den Regulierten nie erlaubte.

Michael Hollister war sechs Jahre Bundeswehrsoldat (SFOR, KFOR) und blickt hinter die Kulissen militärischer Strategien. Nach 14 Jahren im IT-Security-Bereich analysiert er primärquellenbasiert europäische Militarisierung, westliche Interventionspolitik und geopolitische Machtverschiebungen. Ein Schwerpunkt seiner Arbeit liegt auf dem asiatischen Raum, insbesondere Südostasien, wo er strategische Abhängigkeiten, Einflusszonen und Sicherheitsarchitekturen untersucht. Hollister verbindet operative Innensicht mit kompromissloser Systemkritik – jenseits des Meinungsjournalismus. Seine Arbeiten erscheinen zweisprachig auf www.michael-hollister.com sowie in kritischen Medien im deutsch- und englischsprachigen Raum.

Kleines PS von Christian Müller:
«Tempora mutantur, nos et mutamur in illis», «Die Zeiten ändern sich, und mit ihnen ändern auch wir uns». Als ich Anfang der 1990er Jahre notfallmäßig die Leitung des Ringier-Medienkonzerns in Tschechien übernehmen musste – ich war von einem Tag auf den anderen für zwei Tageszeitungen, etwa zehn Magazine und eine Druckerei mit zusammen über tausend Mitarbeitenden verantwortlich –, da habe ich auch das Büro meines Vorgängers, der wegen Betrügereien entlassen werden musste, beziehen müssen. Was waren da diese kleinen Knöpfe an allen Fensterscheiben und die feinen Kabel dazu? Ein herbeigerufener Spezialist zeigte es mir: Unter meinem Arbeitspult gab es einen von oben unsichtbaren Schalter. Betätigte man ihn, begannen alle Fensterscheiben leicht zu vibrieren! Der Spezialist klärte mich auf: Diese Einrichtung war dazu da, die Fensterscheiben zum Vibrieren zu bringen, und diese Vibration hatte den Zweck, das Abhören der im Innern des Büros geführten Gespräche von außen zu verunmöglichen! – Was ist davon geblieben? Es gibt auch heute Gespräche und vor allem auch elektronisch geführte Kommunikation, die geheim bleiben sollten. Aber eine sichere Abwehr dagegen ist offensichtlich noch nicht erfunden. Vibrierende Fensterscheiben genügen nicht mehr … (cm)

Quellenverzeichnis

Primär- und Behördenquellen (EU/national)

Technische Primärquellen (Hersteller, CVE)

Fachpresse (Vorfall, Attribution, Reaktion der Kommission)

Globalbridge unterstützen
Weitere Artikel von: Empfehlen via E-Mail Empfehlen via Whatsapp Gratis-Newsletter abonnieren