ANALYSEN
Cleo, das zweite MOVEit: eine Dateiübertragungssoftware und Hunderte Datenschutzverletzungen
Im Dezember 2024 nutzte Clop zwei Schwachstellen in den Dateiübertragungsprodukten von Cleo massenhaft aus, mit Hunderten beanspruchten Opfern und Bestätigungen wie Hertz und Chicago Public Schools. Die Analyse: Datendiebstahl, unzureichende Patches, Kumul und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Dezember 2024 · von cybercoverinsurance
Im Dezember 2024 wurden zwei Schwachstellen in den Dateiübertragungsprodukten von Cleo massenhaft ausgenutzt. Die Gruppe Clop bekannte sich zu den Angriffen, kündigte Ende des Monats Dutzende Opfer an und listete in den folgenden Monaten Hunderte auf. Zu den Unternehmen, die später einen Datendiebstahl bestätigten, gehören Hertz mit rund einer Million benachrichtigter Personen und die öffentlichen Schulen von Chicago mit rund 700.000.
Der Fall wiederholt fast wörtlich MOVEit, die Kampagne derselben Gruppe aus dem Jahr 2023. Eine einzelne Software, in vielen Unternehmen vorhanden, ohne für eines davon zentral zu sein, wird zum Einfallstor für Datendiebstahl in großem Stil. Für Cyber-Risikoträger ist Cleo das zweite Beispiel eines Kumulszenarios, das sich inzwischen wiederholt: viele ähnliche Schäden im selben Zeitraum aus einer einzigen technischen Ursache.
Was bekannt ist
Die Schwachstellen. Die erste, CVE-2024-50623, betrifft Cleo Harmony, VLTrader und LexiCom. Sie war im Oktober 2024 bekannt gemacht worden und erlaubt das uneingeschränkte Hoch- und Herunterladen von Dateien. Am 13. Dezember nahm die CISA sie in ihren Katalog ausgenutzter Schwachstellen auf und verwies auf ihre Nutzung bei Ransomware-Angriffen. Huntress stellte fest, dass die Korrektur vom Oktober nicht ausreichte. Daraus ergab sich eine zweite Lücke, CVE-2024-55956, die einem nicht authentifizierten Nutzer das Ausführen von Befehlen erlaubt. Die Ausnutzung beider begann spätestens am 3. Dezember. Am 15. Dezember zählte Shadowserver 930 noch verwundbare Server, rund 720 davon in den USA (Cybersecurity Dive).
Das Bekenntnis. Am 9. Dezember meldete Huntress mindestens 10 Unternehmen mit kompromittierten Cleo-Servern. Clop erklärte danach, hinter den Angriffen zu stehen und die Software auch nach der Korrektur vom Oktober weiter ausgenutzt zu haben. Die Gruppe sagte, die genaue Zahl der Opfer nicht zu kennen, sprach aber von «ziemlich vielen» (SC Media). Im Dezember veröffentlichte sie verschleiert die Namen von 66 mutmaßlichen Opfern, die am 14. und 15. Januar 2025 offengelegt wurden. Rund 20% der gelisteten Opfer gehören zu Supply Chain und Logistik, gegenüber 2,8% bei Ransomware insgesamt, und rund 80% sind nordamerikanisch (ZeroFox).
Die Bestätigungen. Im April 2025 teilte Hertz mit, dass Kundendaten von einem Akteur entwendet wurden, der die Cleo-Schwachstellen im Oktober und Dezember 2024 ausgenutzt hatte. Zu den Daten gehören Namen, Kontaktdaten, Geburtsdaten, Zahlungskarten und Führerscheine. Hertz erklärte, es gebe keine Belege für Auswirkungen auf das eigene Netz (ITPro). Hertz benachrichtigte 1.000.175 Personen. Weitere Bestätigungen im Zusammenhang mit Cleo: Chicago Public Schools (700.000 Personen), Western Alliance Bank (22.000), Champion Home Builders und WK Kellogg. Bis dahin hatte Clop mehr als 350 Opfer auf seiner Veröffentlichungsseite gelistet (Comparitech).
Der Präzedenzfall. Die MOVEit-Kampagne von 2023, ebenfalls von Clop, traf fast 2.800 Organisationen (SC Media).
Was nicht bekannt ist. Die Gesamtzahl der Unternehmen, denen tatsächlich Daten entwendet wurden, wie viele zahlten und die Gesamtkosten der Kampagne sind nicht öffentlich. Nicht alle Behauptungen von Clop sind überprüft.
Ein Randsystem, ein zentraler Schaden
Dateiübertragung ist kein kritisches System, berührt aber kritische Daten. Cleo dient wie MOVEit dem Austausch von Dateien mit Kunden, Lieferanten und Partnern. Es ist nicht der Kern des Unternehmens und hat oft keinen hochrangigen Verantwortlichen. Doch in den übertragenen Dateien stecken Stammdaten, Bestellungen, Zahlungsdaten und Personalunterlagen.
Der Schaden ist der Diebstahl, nicht der Stillstand. Clop hat die Systeme der Opfer nicht blockiert. Die Gruppe kopierte Daten und verlangte eine Zahlung, um sie nicht zu veröffentlichen. Für die Police ist der typische Schaden keine Betriebsunterbrechung, sondern eine Datenschutzverletzung: Forensik, Benachrichtigungen, Betreuung der Betroffenen, Rechtskosten und mögliche Ansprüche Dritter.
Die Daten liegen nicht im System des Versicherten, aber der Versicherte haftet. Hertz erklärte, das eigene Netz sei nicht betroffen gewesen. Die Daten wurden aus einem Dateiübertragungssystem entwendet. Für Risikoträger zählt: Personenbezogene Daten gehören dem Versicherten auch dann, wenn sie über Software Dritter laufen, und die Haftung gegenüber den Betroffenen bleibt bei ihm.
Korrekturen, die nicht korrigieren
Der Patch vom Oktober reichte nicht. CVE-2024-50623 war im Oktober korrigiert worden. Huntress zeigte, dass die Korrektur umgangen werden konnte, und die Ausnutzung ging bis zu einer zweiten Korrektur im Dezember weiter (Cybersecurity Dive). Ein Unternehmen, das sofort aktualisiert hatte, konnte trotzdem exponiert sein.
Der Fragebogen fragt, ob gepatcht wird, nicht was exponiert bleibt. Fragen zum Patch-Management messen Disziplin. Sie sagen nicht, welche Anwendungen aus dem Internet erreichbar sind. Bei Dateiübertragungssoftware lautet die nützliche Frage, ob der Server öffentlich ist und ob er es sein muss. Rapid7 empfahl genau das: Cleo-Produkte aus dem öffentlichen Internet zu nehmen (SC Media).
Die Expositionsdauer zählt mehr als die Patch-Dauer. Zwischen dem 3. und dem 15. Dezember blieben Hunderte Server verwundbar. Für Risikoträger entscheidet das Datum des Ausnutzungsbeginns, welche Policen betroffen sind und welche Versicherungsperiode greift.
Kumul: Das Muster wiederholt sich
Zwei Kampagnen derselben Gruppe in weniger als zwei Jahren. MOVEit 2023, Cleo 2024. Das Muster ist dasselbe: eine unbekannte Schwachstelle in Dateiübertragungssoftware, binnen Tagen breit ausgenutzt, gefolgt von Monaten mit Bekenntnissen und Benachrichtigungen. Ein solches Ereignis ist keine Ausnahme mehr, sondern ein Schadenszenario, das modelliert werden muss.
Der Schadennachlauf ist lang. Die Opfer wurden schrittweise bekannt: verschleierte Namen im Dezember, sichtbare Namen im Januar, veröffentlichte Daten ab Januar, offizielle Bestätigungen bis April 2025 und darüber hinaus. Ein betroffenes Portfolio sieht Schadenmeldungen über Monate eintreffen, nicht alle auf einmal. Eine im Januar gebildete Reserve wäre unvollständig gewesen.
Der Kumul konzentriert sich nach Branche. Nach ZeroFox waren Logistik und Supply Chain unter den Opfern weit stärker vertreten als üblich. Eine in einer Branche verbreitete Software erzeugt einen Branchenkumul: Ein Versicherer mit vielen Logistikunternehmen im Bestand war stärker exponiert als ein diversifizierter.
Klauseln zum Einzelereignis werden entscheidend. Mehrere Schäden aus derselben Schwachstelle können für Rückversicherung oder Selbstbehaltsaggregation ein einziges Ereignis sein. Bedingungswerke, die «Ereignis» und «gemeinsame Ursache» definieren, bestimmen, wie schwer die Kampagne in der Bilanz eines Versicherers wiegt.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Eine einzige Dateiübertragungssoftware führte binnen Monaten zu Hunderten Datenschutzverletzungen und wiederholte das Muster von MOVEit.
Auf Portfolioebene ist es nützlich zu wissen, wie viele Versicherte dieselbe Dateiübertragungssoftware nutzen und wie viele sie im Internet exponieren. Die Daten lassen sich mit einer Frage im Fragebogen oder einem externen Scan erheben. Nach MOVEit und Cleo ist ein «MFT»-Szenario mit Hunderten Datenschutzschäden im selben Quartal eine vernünftige Grundlage, um Limits und Rückversicherung zu testen.