Aktuelle Informationen zum Hackerangriff auf die GUTcert am 05.09.2026

Folgend eine Auswahl unserer bereits vorgenommenen Maßnahmen:

• Kompromittierte Benutzer-Accounts deaktiviert
• Jegliche VPN-Zertifikate ausgetauscht
• Automatische Systemüberwachungen sensibilisiert
• Kerberos KRBTGT-Konto zweimal zurückgesetzt
• Jegliche Admin-Zugangsdaten und SSH-Keys geändert
• Angegriffenes Initialsystem dekommissioniert
• Domain-CA-Zertifikat sowie weitere Zertifikate neu ausgestellt
• Mitarbeitende sensibilisiert

Wir sind in enger Abstimmung mit einem Team an Forensikern, um Maßnahmen zu definieren und priorisiert umzusetzen. Dazu gehören unter anderem Anpassungen unserer Berechtigungsrichtlinien, stärkere Systemtrennungen sowie eine grundsätzliche Orientierung am Zero Trust Konzept.

Möglicherweise betroffen sind sämtliche Informationen, die in den vom Datenabfluss betroffenen internen Projektablagen gespeichert waren:

z. B. Auditberichte, festgestellte Mängel (vor allem 27001/ITSK/KRITIS relevant), Nachweise gemäß FL076 (Gesellschaftsverträge bzw. allg. Nachweise zu Konzernverbindungen, Managementreviews, Netzstrukturpläne, SLAs oder ähnliches, Organigramme, Betriebsstättenliste), Zertifikate, die nicht auf der GUTcert-Website gelistet werden sollten.

Nach aktuellem Ermittlungsstand liegen keine Hinweise auf einen unbefugten Zugriff auf die Nextcloud-Plattform oder Nextcloud-Zugangsdaten vor.

Ob und in welchem Umfang Ihr Unternehmen betroffen ist, können wir zum aktuellen Zeitpunkt noch nicht eindeutig kommunizieren. Sollte sich herausstellen, dass konkrete Daten betroffen sind, informieren wir Sie unverzüglich.

Ein erheblicher Datenabfluss ist bestätigt.

Mitarbeitende der GUTcert sowie – abhängig von den konkret betroffenen Unterlagen – Ansprechpartner:innen, Beschäftigte, Systembeauftragte und Berater:innen unserer Kunden und Partner.

Gerade im Bereich ISMS offene Schwachstellen, welche gezielt (technisch) ausgenutzt werden können.  In allen Bereichen können die Informationen für Social Engineering und Spear-Phishing-Angriffe verwendet werden.

Für möglicherweise betroffene natürliche Personen bestehen insbesondere Risiken durch gezielte Phishing- und Social-Engineering-Angriffe sowie missbräuchliche Kontaktaufnahmen. Soweit Zugangsdaten oder andere Authentifizierungsinformationen Bestandteil des Datenabflusses waren, können darüber hinaus unbefugte Zugriffe auf damit verbundene Systeme oder Konten nicht ausgeschlossen werden.

Datenschutzrecht
GUTcert hat die zuständige Datenschutzaufsichtsbehörde bereits mit einer vorläufigen Meldung über den Vorfall informiert. Die datenschutzrechtliche Bewertung wird entsprechend dem fortschreitenden Erkenntnisstand aktualisiert.

Welche natürlichen Personen konkret von dem Datenabfluss betroffen sind und welches Risiko sich daraus jeweils ergibt, wird derzeit weiter untersucht.

Soweit GUTcert personenbezogene Daten im Einzelfall als Auftragsverarbeiter verarbeitet, gelten ergänzend die Informationspflichten gegenüber dem jeweiligen Verantwortlichen nach Art. 33 Abs. 2 DSGVO sowie die jeweiligen vertraglichen Regelungen.

Eine erste Information über den Sicherheitsvorfall und den damals bekannten möglichen Datenabfluss wurde am 14.09.2026 an unsere Kunden versandt. Die betroffenen Verarbeitungstätigkeiten und datenschutzrechtlichen Rollen werden derzeit weiter geprüft.

Soweit Verarbeitungstätigkeiten als Auftragsverarbeitung einzuordnen sind und eine Betroffenheit der hierbei verarbeiteten personenbezogenen Daten nicht ausgeschlossen werden kann, informieren wir die jeweiligen Verantwortlichen ergänzend und stellen ihnen fortlaufend die für ihre eigene Bewertung und etwaige Meldungen erforderlichen Erkenntnisse zur Verfügung.

Falls Ihr Unternehmen unter das BSIG / die NIS2-Regulierung fällt
Der bei GUTcert eingetretene Sicherheitsvorfall kann abhängig von Art und Umfang der konkret betroffenen Daten sowie deren Bedeutung für Ihre Systeme und Dienstleistungen einen eigenen Prüf- und gegebenenfalls Meldebedarf auslösen.

Besonders wichtige und wichtige Einrichtungen sollten daher kurzfristig prüfen, ob die konkrete Betroffenheit die Voraussetzungen eines erheblichen Sicherheitsvorfalls im Sinne des BSIG erfüllt.

Insbesondere bei möglicherweise betroffenen Informationen aus den Bereichen Informationssicherheit, Netz- und Systemarchitektur, Schwachstellen, Notfallmanagement oder sonstigen sicherheitsrelevanten Nachweisen empfehlen wir eine unverzügliche Bewertung durch die für Informationssicherheit und Compliance zuständigen Stellen Ihres Unternehmens.

Ob eine gesetzliche Meldepflicht besteht, hängt von der regulatorischen Einordnung und den konkreten Auswirkungen im jeweiligen Unternehmen ab und kann von GUTcert nicht pauschal für einzelne Kunden beurteilt werden.

Für bestimmte Unternehmen des Finanzsektors gelten anstelle der Meldepflichten nach § 32 BSIG insbesondere die sektorspezifischen Vorgaben der DORA; daneben können weitere regulatorische Pflichten bestehen.

Falls Ihr Unternehmen Betreiber einer kritischen Anlage ist
Betreiber kritischer Anlagen sollten zusätzlich prüfen, ob die konkrete Betroffenheit Auswirkungen auf die kritische Anlage oder die Erbringung einer kritischen Dienstleistung hat oder haben könnte und welche zusätzlichen Angaben oder Meldepflichten sich insbesondere nach § 32 Abs. 3 BSIG sowie gegebenenfalls nach weiteren sektorspezifischen Vorschriften ergeben.

Auch diese Bewertung hängt von den konkreten Umständen beim jeweiligen Betreiber ab.

Die bei Entdeckung des Vorfalls identifizierten Angreiferzugänge wurden unterbrochen und die entsprechenden Zugangsdaten und Zertifikate ersetzt bzw. gesperrt.

Am 15.09.2026 wurde im Rahmen der fortlaufenden Untersuchung zusätzlich eine noch aktive E-Mail-Sitzung festgestellt und unmittelbar beendet.

Die forensische Untersuchung möglicher weiterer Persistenzmechanismen dauert an. Daher können wir zum jetzigen Zeitpunkt noch keine abschließende forensische Bestätigung geben, dass sämtliche während des Angriffs entstandenen Zugriffsmöglichkeiten vollständig rekonstruiert wurden.

Wir empfehlen insbesondere:

• erhöhte Wachsamkeit gegenüber E-Mails, Anhängen, Links und Zahlungsaufforderungen, die vermeintlich von GUTcert stammen
• bei ungewöhnlichen oder sicherheitsrelevanten Nachrichten eine Verifikation über einen unabhängigen Kommunikationsweg
• Prüfung, ob von GUTcert erhaltene oder mit GUTcert geteilte technische Informationen für Angriffe auf die eigene Infrastruktur missbraucht werden könnten
• gegebenenfalls vorsorgliche Änderung von Zugangsdaten oder Berechtigungen, sofern diese gegenüber GUTcert offengelegt wurden oder in übermittelten Unterlagen enthalten gewesen sein könnten
• eine interne Bewertung möglicher gesetzlicher, aufsichtsrechtlicher und vertraglicher Meldepflichten

Ein erheblicher Datenabfluss ist bestätigt. Welche konkreten Unternehmen und Datenbestände in welchem Umfang betroffen sind, wird weiterhin forensisch untersucht.

Aufgrund der gegenüber GUTcert ausgesprochenen Erpressung müssen wir damit rechnen, dass entwendete Daten veröffentlicht oder anderweitig missbräuchlich verwendet werden. Eine tatsächliche Veröffentlichung können wir derzeit weder bestätigen noch ausschließen.

• Der unbefugte Zugriff auf Teile unserer IT-Systeme begann nach aktuellem Ermittlungsstand am 05.09.2026.
• Der bestätigte Datenabfluss erfolgte nach aktuellem Ermittlungsstand im Zeitraum vom 06.09. bis 09.09.2026.
• Am 10.09. wurden die zunächst identifizierten Zugriffswege unterbrochen. Am 15.09. wurde zusätzlich eine noch aktive E-Mail-Sitzung festgestellt und beendet.
• Die weitere forensische Rekonstruktion des vollständigen Zeitraums und möglicher weiterer Zugriffsmöglichkeiten dauert an.

Wir können derzeit nicht vollständig ausschließen, dass Unterlagen im betroffenen Datenbestand Zugangsdaten, Zertifikate, Freigabelinks oder andere technische Berechtigungsinformationen enthielten.

Uns liegen derzeit keine belastbaren Erkenntnisse vor, dass solche Informationen bei einzelnen Kunden tatsächlich missbräuchlich verwendet wurden.

Sofern Ihr Unternehmen derartige Informationen mit GUTcert geteilt hat, empfehlen wir eine vorsorgliche Prüfung und gegebenenfalls Erneuerung der betreffenden Berechtigungen.

Ja. Am 15.09.2026 wurde mindestens eine noch aktive unbefugte E-Mail-Sitzung festgestellt und beendet.

Da der genaue Beginn dieses Zugriffs derzeit nicht abschließend rekonstruiert werden kann, sollten sicherheitsrelevante oder ungewöhnliche Nachrichten, die im Zeitraum vom 05.09. bis 15.09.2026 von GUTcert-Konten versandt wurden, im Zweifel über einen unabhängigen Kommunikationsweg verifiziert werden.

Wir arbeiten derzeit gemeinsam mit unserem externen IT-Forensik-Team daran, unsere Kommunikationswege fortlaufend zu überprüfen und abzusichern.

Soweit für besonders sensible Informationen ein gesonderter Kommunikationsweg erforderlich ist, stimmen wir diesen individuell mit Ihnen ab.

Bitte übermitteln Sie derzeit keine neuen Zugangsdaten oder sonstige hochsensible Informationen per unverschlüsselter E-Mail.

Ja. Sobald belastbare Erkenntnisse zur konkreten Betroffenheit einzelner Kunden oder Datenbestände vorliegen, informieren wir die betroffenen Unternehmen unverzüglich.

Unabhängig davon werden wir wesentliche neue Erkenntnisse zum Vorfall in geeigneter Form kommunizieren.

Für die betroffenen Systeme bestanden technische und organisatorische Schutzmaßnahmen, unter anderem rollen- und berechtigungsbasierte Zugriffsbeschränkungen sowie Netzwerk- und Systemsicherheitsmaßnahmen.

Welche Schutzmechanismen im konkreten Angriff überwunden wurden und welche Maßnahmen angepasst oder erweitert werden müssen, ist Bestandteil der laufenden forensischen Untersuchung.Wir möchten der abschließenden technischen Bewertung nicht vorgreifen und werden hierzu weitere belastbare Erkenntnisse kommunizieren.

Nein. Zum Zeitpunkt des Vorfalls war für den Zugang zu Nextcloud keine Multi-Faktor-Authentifizierung verpflichtend aktiviert.

Nach aktuellem Ermittlungsstand liegen keine Hinweise darauf vor, dass die Nextcloud-Plattform oder Nextcloud-Zugangsdaten Bestandteil des Angriffs waren.

Unabhängig davon überprüfen und verstärken wir derzeit auch die Authentifizierungs- und Zugriffsschutzmaßnahmen dieses Systems.

Gab es lokale Synchronisationen oder Kopien der Nextcloud-Daten auf betroffenen Systemen?
Eine allgemeine Spiegelung oder Synchronisation der Nextcloud-Daten auf die vom bestätigten Datenabfluss betroffenen Dateisysteme erfolgte nach aktuellem Kenntnisstand nicht.

Regelmäßige Backups der Nextcloud werden getrennt hiervon vorgehalten.

Nach aktuellem Ermittlungsstand liegen keine Hinweise auf einen unbefugten Zugriff auf unsere Nextcloud-Plattform selbst vor. Die Prüfung wird im Rahmen der laufenden Forensik fortgeführt.

Die datenschutzrechtliche Rolle ist abhängig von der jeweiligen Verarbeitungstätigkeit und kann nicht pauschal für sämtliche im Rahmen einer Zertifizierung oder Prüfung übermittelten personenbezogenen Daten beantwortet werden.

GUTcert prüft derzeit die betroffenen Verarbeitungstätigkeiten und die jeweiligen vertraglichen Grundlagen.

Soweit GUTcert Zwecke und wesentliche Mittel einer Verarbeitung selbst bestimmt, erfolgt die Verarbeitung in eigener datenschutzrechtlicher Verantwortlichkeit. Soweit personenbezogene Daten ausschließlich im Auftrag und auf dokumentierte Weisung eines Kunden verarbeitet werden, prüfen wir die Einordnung als Auftragsverarbeitung gemäß Art. 28 DSGVO und die jeweils bestehenden vertraglichen Regelungen.

Betroffene Vertragspartner erhalten die für ihre datenschutzrechtliche Bewertung erforderlichen Informationen.

Die GUTcert hat einen externen, spezialisierten IT-Forensik-Dienstleister mit der Untersuchung des Vorfalls beauftragt.

Die forensische Untersuchung läuft weiterhin. Ein abschließender Bericht liegt derzeit nicht vor.
Wir werden unseren Kunden die für die Bewertung ihrer konkreten Betroffenheit relevanten und belastbar verifizierten Erkenntnisse zur Verfügung stellen.

Eine Weitergabe vollständiger interner Forensikberichte ist derzeit nicht vorgesehen, da diese unter anderem sicherheitskritische Informationen, personenbezogene Daten und Informationen zu weiteren betroffenen Dritten enthalten können.