Cybervorfälle sind längst Alltag – aber manche Fälle zeigen besonders eindrucksvoll, wie groß die Diskrepanz zwischen offizieller Darstellung und tatsächlichen Ereignissen sein kann.
Ein großes deutsches Handelsunternehmen aus dem Premiumsegment (Name? Geschenkt.) hat uns kürzlich ein Paradebeispiel geliefert: Eine Mischung aus dramatischer Unternehmensmitteilung, minimalistischen Betroffeneninformationen und einer Hacker-„Gegendarstellung“, die in puncto Detailtiefe wohl fast schon literarische Qualitäten hat.
Das Ergebnis: Ein Fall, der viel über Unternehmenskommunikation, Datenlecks und Informationssicherheit verrät – und noch mehr darüber, was man hätte besser machen können.
Der Cybervorfall: Die offizielle Darstellung eines deutschen Handelsunternehmens
Die Unternehmensmeldung folgt einem inzwischen vertrauten Muster:
- Wir wurden Opfer eines Cyberangriffs.
- Wir haben sofort alle erforderlichen Maßnahmen ergriffen.
- Es kam zu keiner Verschlüsselung.
- Einige personenbezogene Daten könnten betroffen sein.
- Wir arbeiten eng mit den Behörden zusammen.
- Unsere Systeme sind sicher.
Das liest sich wie ein Textbaustein, der schon lange in der Schublade lag: professionell formuliert, möglichst beruhigend und mit dem subtilen Subtext „Alles halb so wild“ bzw. wie die berühmte Szene aus Die nackte Kanone, in der vor einer explodierenden Kulisse beruhigt wird: “Bitte gehen Sie weiter. Es gibt nicht das Geringste zu sehen, Leute.” (Link zu Youtube)
Der Tonfall erinnert an jemanden, der bei einem brennenden Toaster erklärt: „Es knistert nur ein bisschen, wir haben’s im Griff.“
Information an Betroffene: DSGVO-Pflicht erfüllt – Transparenz eventuell eher nicht
Wer als Kund:in eine solche Nachricht erhält, erfährt:
- dass „potenziell“ Daten betroffen sein könnten,
- welche Daten das sind, bleibt unklar,
- warum es passiert ist, bleibt unklar,
- wann es passiert ist, bleibt unklar.
Also alles wie immer, wenn man versucht, DSGVO-Pflichten zu erfüllen, ohne wirklich viel zu sagen.
Eine Botschaft kommt zuverlässig an: „Hier ist etwas passiert, aber wir möchten ungern ins Detail gehen.“
Was die Hacker behaupten: Datenleck, langer Zugang, mehrere Terabyte
Dann äußern sich plötzlich die Angreifer. Und sie tun das selten leise.
In diesem Fall melden sie sich mit einer „Gegendarstellung“ im Darknet, die inhaltlich deutlich ungemütlicher klingt:
- Sie hätten monatelang unbemerkten Zugang gehabt.
- Sie hätten mehrere Terabyte Daten exfiltriert.
- Es habe gar keinen klassischen Angriff gebraucht – angeblich hätten viele Systeme seit Jahren keine Updates erhalten.
Die Art, wie Angreifer kommunizieren, folgt einem einfachen ökonomischen Prinzip: Je peinlicher für das Unternehmen, desto glaubwürdiger für den Markt.
Ob alles stimmt? Unklar. Aber die Diskrepanz ist so groß, dass beide Versionen unmöglich gleichzeitig wahr sein können.
Warum die Wahrheit zwischen den Versionen problematisch ist
Hier liegt der eigentliche Kern des Problems: Die Lücke zwischen offizieller Unternehmensmitteilung und dem Hacker-Statement ist das eigentliche Risiko – nicht der Angriff selbst.
Denn aus Sicht von Datenschutz und Informationssicherheit bedeuten solche Widersprüche:
- mangelnde Transparenz,
- unklare Faktenlage,
- ggf. fehlendes Monitoring,
- unzureichende Incident-Response-Prozesse.
Oder, wie man es weniger höflich formulieren könnte: „Nicht jeder Angriff ist wirklich ein Angriff. Manchmal ist es nur ein Login – aber der tut dann richtig weh.“
Empfehlungen für Unternehmen und Behörden: So kommuniziert man einen Cyberangriff besser
Auch Normen wie BSI IT-Grundschutz 200–4 Business Continuity Management (kostenloser Download beim BSI) adressieren den Umgang mit interner und externer Kommunikation im Not- und Krisenfall.
Ehrlichkeit schlägt Beruhigungslyrik
Betroffene erkennen Phrasen. Sie erkennen aber auch klare, konkrete Fakten. Wer sauber kommuniziert, behält das Vertrauen — wer verschleiert, verliert es. Im Zweifel schlecht für die mühsam und teuer aufgebaute Marke. Ok, als Kommunalverwaltung eher egal. Kein Bürger zieht deswegen in eine andere Gemeinde – leider. Aber damit wohlfühlen? Muss man können.
Incident-Response-Dokumentation ist kein Feigenblatt
Betroffene Organisationen, aber auch Ermittlungsbehörden brauchen nachvollziehbare Antworten auf Fragen wie:
- Wann begann der Vorfall?
- Wie lange lief er?
- Welche Daten und Systeme waren betroffen?
- Wie konnte es zu dem Vorfall kommen?
- Welche TOMs haben versagt – und warum?
Ohne echte Dokumentation gibt es keine echte Krisenbewältigung. Denn ein nicht unwesentlicher Teil der Arbeit beginnt erst nach der eigentlichen Krisenbewältigung. Nämlich die Vorsorge, damit sich so etwas hoffentlich nicht wiederholt.
Angreifer greifen selten an – sie loggen sich ein
Die meisten „Cyberangriffe“ sind keine filmreife Hollywood-Szenen mit Hoodie und Matrix-Hintergrund. Es sind schlichte Schwächen:
- fehlende oder unzureichende MFA,
- schwache Passwörter,
- veraltete Systeme,
- unzureichendes Monitoring,
- fehlendes Privileged Access Management.
Wer glaubt, nur „hochprofessionelle Angriffe“ seien gefährlich, irrt. Gefährlich sind fehlende Basics.
Transparenz gegenüber Betroffenen sollte normal sein
Kund:innen, Bürger:innen oder Mitarbeitende wollen wissen:
- Bin ich konkret betroffen?
- Welche Daten?
- Was muss ich tun?
Je klarer diese Fragen beantwortet werden, desto geringer ist der Reputations- und Haftungsschaden.
TOMs müssen leben – nicht nur existieren
Pen-Tests (waren es überhaupt welche, oder nur Schwachstellen-Scans?), Schulungen, Policy-Dokumente, Passwortvorgaben – alles wertlos, wenn es nicht regelmäßig auf Wirksamkeit geprüft und angepasst wird. Ein Sicherheitskonzept von gestern schützt nicht vor Angriffen von heute.
Fazit: Niemand ist sicher vor einem Datenleck – aber Professionalität macht den Unterschied
Cybervorfälle passieren. Überall. Unternehmen und Behörden sind nicht unfehlbar – aber sie sind verantwortlich für den Umgang damit.
Und gerade deshalb gibt es zwei Arten von Reaktionen:
- „Wir sagen das Nötigste und hoffen, dass es reicht.“
- „Wir sagen die Wahrheit – professionell und transparent.“
Variante 2 wirkt glaubwürdig, reif, verantwortungsbewusst – und schafft Vertrauen.
Variante 1 wirkt wie der Versuch, den Deckel auf einen Topf zu drücken, während der Inhalt längst überkocht.
Und eine kleine Nebenbemerkung: Angreifer schweigen nicht. Selten bzw. nie, wenn sie sich in Ihrer Hacker-Ehre getroffen fühlen. Spätestens sie erzählen die andere Version des Vorfalls.
Quelle: https://www.borncity.com/blog/2025/10/21/cyber-vorfall-bei-christ-group-juweliere-angreifer-melden-sich/
Transparenzhinweis / Einordnung zur Quelle
Dieser Beitrag basiert auf einer Auswertung öffentlich verfügbarer Fachquellen sowie ausgewählter Fachblogs und IT-Sicherheitsportale. Die beispielhaft beschriebenen Kommunikationsmuster und Aussagen der Angreiferseite entstammen unter anderem gut dokumentierten Sekundärquellen, darunter [die Aufarbeitung im BornCity-Blog (https://www.borncity.com/blog/2025/10/21/cyber-vorfall-bei-christ-group-juweliere-angreifer-melden-sich/)]. Die vollständige Originalquelle (Gegendarstellung im Darknet) ist öffentlich nicht frei zugänglich; die wesentlichen Kernaussagen wurden aber dort recherchiert und in Fachportalen journalistisch aufbereitet.
Alle Beispiele und Zitate im Beitrag stehen stellvertretend für typische Abläufe und Kommunikationsmuster, wie sie im Herbst 2025 tatsächlich beobachtet werden konnten. Die bewusste Anonymisierung des betroffenen Unternehmens dient der Versachlichung. Ziel ist es, auf strukturelle Herausforderungen und Best Practices im Umgang mit Cybervorfällen und Datenschutzverletzungen hinzuweisen.
Anmerkung zum Stil
Der kritische, teils ironische Schreibstil dieses Beitrags ist gezielt gewählt, um die Lücke zwischen Selbst- und Fremdbild in der Cyber-Krisenkommunikation pointiert sichtbar zu machen. Die Absicht ist nicht, einzelne Organisationen bloßzustellen, sondern konkrete Verbesserungsansätze im Umgang mit Cybervorfällen deutlich herauszuarbeiten. Wer sich in den beschriebenen Mustern wiederfindet: Willkommen im Club.
Cyberangriffe dieser Art gehören 2025 leider zum Alltag in Deutschland
Wer sich in Bezug auf Notfall- und Business Continuity Management besser aufstellen will, dem legen wir unsere Kurse zum Zertifizierten BCM Praktiker (IT-Grundschutz) an der a.s.k. Akademie gerne ans Herz. Sie benötigen pragmatische Unterstützung bei Einführung und Betrieb eines BCM? Dann sprechen Sie uns doch einfach an.
Hahn IT Services, Schwaig
No responses yet