Cyber-Versicherung: die Ereignisse der Woche vom 17. bis 24. Oktober 2026

Fünf Cyber-Ereignisse der Woche vom 17. bis 24. Oktober 2026, vier davon mit Bezug zur Lieferkette: PHP2Shell, ConnectWise, LiteLLM und Railway, n0n und Capcom. Mit den Auswirkungen auf die Versicherung und den Fragen für die Vertragsverlängerung.

Woche vom 17. bis 24. Oktober 2026

Die Woche vom 17. bis 24. Oktober 2026 bestätigt, dass sich das Cyberrisiko immer stärker über die Lieferkette verbreitet. Vier der fünf ausgewählten Ereignisse beginnen nicht mit einem direkten Angriff auf das Opfer, sondern bei einem Dienstleister, einer Bibliothek oder einer Software, die Tausende Unternehmen nutzen. Für das Underwriting von Cyberrisiken reicht die Analyse des einzelnen Versicherungsnehmers nicht mehr aus: Entscheidend sind die gemeinsamen Abhängigkeiten im Portfolio.

Auf einen Blick

PHP2Shell: zwei kritische Schwachstellen in der PHP-Engine, wenige Stunden nach dem Patch massenhaft ausgenutzt.
ConnectWise Cloud Backup: eine kompromittierte Multi-Tenant-Anwendung öffnet den Zugang zu den Microsoft-365-Tenants der Kunden von MSPs. Microsoft schreibt den Angriff einem dem chinesischen Staat nahestehenden Akteur zu.
LiteLLM und Railway: die Lieferkette der künstlichen Intelligenz wird zum Kanal für den Diebstahl von Zugangsdaten.
n0n und die Schifffahrt: ein kompromittierter IT-Dienstleister bringt Ransomware in mehr als 40 Unternehmen in 18 Ländern.
Capcom: 11,7 Millionen Datensätze offengelegt, eine massenhafte Datenpanne mit geringer Schwere pro Datensatz.

Die Angriffe der Woche

1. PHP2Shell: eine Schwachstelle im Kern des Webs

Zwei Lücken in der PHP-Engine (CVE-2026-109618 und CVE-2026-109619) ermöglichen die Ausführung von Code aus der Ferne ohne Authentifizierung. Sie betreffen fast alle Versionen ab 5.4 und erlauben außerdem, den Speicher des Prozesses auszulesen, in dem sich Zugangsdaten und API-Schlüssel befinden können (SecurityWeek).

Die Offenlegung war für den 22. Oktober geplant, doch die Details gelangten bereits am 20. Oktober ins Netz. Die PHP Foundation zog die Patches um einen Tag vor, und die massenhafte Ausnutzung begann wenige Stunden später. Nach Angaben von AWS liefen einige Angriffe bereits vor der öffentlichen Offenlegung (Risky Bulletin).

Der Umfang ist enorm: PHP läuft auf rund 70 % der Websites, und fast die Hälfte davon nutzt Versionen ohne Support (Island). Mehrere Sicherheitsbehörden rieten, PHP-Server bis zur Aktualisierung abzuschalten. Der Vergleich mit Log4Shell aus dem Jahr 2021 liegt nahe (Dark Reading).

2. ConnectWise Cloud Backup: der MSP als Multiplikator

Ein Anwendungs-Zugangsdatum von ConnectWise Cloud Backup (früher SkyKick), einem von MSPs genutzten Backup-Dienst für Microsoft 365, wurde kompromittiert. Ab dem 15. Oktober nutzte der Angreifer es, um in die Tenants der Kunden einzudringen, und missbrauchte dabei das Vertrauen, das der Anwendung bereits eingeräumt war. Schätzungen gehen von mindestens 173 kompromittierten Tenants aus (Rescana).

ConnectWise setzte den Dienst am 17. Oktober aus, am Tag darauf auch SaaS Security und Cloud Management. Am 19. Oktober konnten die Kunden weder Backups erstellen noch Daten wiederherstellen (Help Net Security).

Am 21. Oktober schrieb Microsoft den Angriff Storm-0940 zu, einem dem chinesischen Staat nahestehenden Akteur. Die Gruppe nutzte ein Framework aus KI-Agenten, ARTEX, um Zugang zu mehr als 2.250 Tenants zu versuchen; in einigen Fällen erreichte sie privilegierte Zugriffe in weniger als drei Stunden (Microsoft).

3. LiteLLM und Railway: die Lieferkette der künstlichen Intelligenz

Am 21. Oktober wurde die Release-Pipeline von LiteLLM kompromittiert, einer Python-Bibliothek, die Anwendungen mit verschiedenen Sprachmodellen verbindet. Die auf PyPI und Docker veröffentlichte Version 1.107.0 enthielt Malware, die Zugangsdaten stiehlt (LiteLLM). Sie war etwa zwei Stunden verfügbar, bei einem Paket mit rund 23 Millionen Downloads pro Woche; es ist der zweite Vorfall dieser Art bei LiteLLM im Jahr 2026 (Datadog).

Am Tag darauf teilte die Cloud-Plattform Railway mit, dass Angreifer auf die verschlüsselten Umgebungsvariablen einiger Kunden zugegriffen und einen Teil davon entschlüsselt hatten. Sie forderte alle Nutzer auf, API-Schlüssel und Cloud-Zugangsdaten zu rotieren. Nach Angaben von Railway gehört der Angriff zu einer breiteren Kampagne gegen Anbieter von KI-Diensten (TechCrunch).

4. n0n: Ransomware über einen Dienstleister der Schifffahrt

Die Ransomware-Gruppe n0n gelangte aus dem Netz eines IT-Dienstleisters der Schifffahrt zu mehr als 40 Hafenbehörden, Reedereien und Logistikunternehmen in 18 Ländern. Die Hinweise deuten auf das südkoreanische Unternehmen CyberLogitec, zu dessen Kunden die Hälfte der Opfer zählt. Die auf der Website der Gruppe veröffentlichten Lösegeldforderungen belaufen sich insgesamt auf 1,2 Milliarden Dollar (Risky Bulletin).

Die Zahlungsfrist lief am 19. Oktober ab, und die meisten Opfer zahlten nicht, sodass ihre Daten veröffentlicht wurden. Es ist einer der schwersten Angriffe auf die Schifffahrt seit NotPetya.

5. Capcom: die massenhafte Datenpanne

Capcom stellte am 19. Oktober einen unbefugten Zugriff auf die Daten der CAPCOM-ID-Konten fest. Offengelegt sind 11.774.247 Datensätze mit E-Mail-Adresse und technischen Kontodaten; Zahlungsdaten sind nach bisherigem Stand nicht betroffen (Help Net Security). Das Hauptrisiko für die Betroffenen ist gezieltes Phishing.

Weitere bemerkenswerte Ereignisse

Quest Diagnostics (Gesundheitswesen): Verletzung der Anwendung für Aufträge und Befunde, der SEC gemeldet
Iwai Cosmo Securities (Finanzen): Zugriff auf das Online-Handelssystem, unbefugte Aufträge auf mindestens 7 Konten
Onamae Desktop Cloud (Cloud / VPS): Malware auf mehr als 26.700 virtuellen Servern installiert
Richmond Public Schools (Bildung): Ransomware in allen 53 Schulen des Bezirks
ETS / Kalifornien (Bildung): Daten von Millionen Schülern von einem SFTP-Server des Dienstleisters gestohlen

Auswirkungen auf die Versicherung

Die fünf Ereignisse betreffen unterschiedliche Deckungen, doch drei haben eines gemeinsam: Sie können korrelierte Schäden bei vielen Versicherungsnehmern desselben Portfolios auslösen.

PHP2Shell. Möglicherweise ausgelöste Deckungen: Incident Response, Datenschutzverletzung, Betriebsunterbrechung, gegebenenfalls freiwillige Abschaltung von Systemen. Kumulpotenzial: hoch, dieselbe Schwachstelle in einem großen Teil des Webs. Vertragliche Frage: Definition des einheitlichen Ereignisses und Zusammenfassung von Schäden.
ConnectWise. Möglicherweise ausgelöste Deckungen: abhängige Betriebsunterbrechung, Datenwiederherstellung, Datenschutzverletzung; Tech E&O für MSPs und den Dienstleister. Kumulpotenzial: hoch, eine Anwendung, Hunderte Tenants. Vertragliche Frage: staatliche Zurechnung und State-backed-Ausschluss.
LiteLLM / Railway. Möglicherweise ausgelöste Deckungen: Datenschutzverletzung, Diebstahl von Zugangsdaten, spät erkannte Schäden; Tech E&O für die Dienstleister. Kumulpotenzial: mittel bis hoch, konzentriert auf Technologie- und KI-Unternehmen. Vertragliche Frage: Zeitpunkt der Entdeckung und Versicherungsperiode.
n0n Schifffahrt. Möglicherweise ausgelöste Deckungen: Cyber-Erpressung, abhängige Betriebsunterbrechung, Datenschutzverletzung. Kumulpotenzial: mittel bis hoch, mehr als 40 Opfer in derselben Branche. Vertragliche Frage: Abstimmung zwischen Cyber-Police und Transportversicherung.
Capcom. Möglicherweise ausgelöste Deckungen: Benachrichtigung, Krisenmanagement, Datenschutzhaftpflicht. Kumulpotenzial: gering, Einzelereignis. Vertragliche Frage: Kosten pro Datensatz und anwendbarer Rechtsrahmen.

Die Zurechnung allein reicht für einen Ausschluss nicht. Der Fall ConnectWise eröffnet erneut die Frage der Angriffe, die einem Staat zugerechnet werden. Seit dem 31. März 2023 verlangt Lloyd's in eigenständigen Cyber-Policen einen Ausschluss für staatlich gestützte Angriffe, zusätzlich zum Kriegsausschluss (Lloyd's, Market Bulletin Y5381). Das Bulletin knüpft den Ausschluss jedoch an eine Wirkungsschwelle: Der Angriff muss die Funktionsfähigkeit oder Sicherheit eines Staates erheblich beeinträchtigen (Simmons & Simmons). Eine Spionage- und Datendiebstahlsoperation wie die von Storm-0940 erreicht diese Schwelle kaum. Das Ergebnis hängt von der verwendeten LMA-Klausel und dem im Bedingungswerk vorgesehenen Zurechnungsmechanismus ab.

Der Dienstleister als Kumulpunkt. ConnectWise, CyberLogitec und LiteLLM zeigen dasselbe Muster: ein einziger kompromittierter Dienstleister, viele Opfer weiter unten in der Kette. Für die Deckung der abhängigen Betriebsunterbrechung zählt, wie die Police den Dienstleister definiert (IT oder Nicht-IT, namentlich genannt oder allgemein) und welche Sublimits gelten.

Die vorsorgliche Abschaltung. Bei PHP2Shell empfahlen mehrere Behörden, nicht aktualisierte Server abzuschalten. Das ist der typische Fall, in dem zu prüfen ist, ob die Police eine freiwillige Unterbrechung deckt, die zur Eindämmung eines Risikos beschlossen wird, auch ohne tatsächliche Kompromittierung.

Was in die Vertragsverlängerung gehört

Die Ereignisse der Woche legen einige konkrete Fragen für Risikofragebögen und Underwriting-Gespräche nahe:

Umgang mit kritischen Patches. Wie schnell spielt der Versicherungsnehmer einen kritischen Patch auf Systeme ein, die aus dem Internet erreichbar sind? Gibt es ein Inventar der eingesetzten PHP-Versionen, einschließlich derer ohne Support?
Drittanwendungen mit Berechtigungen. Welche externen Anwendungen haben Zugriff auf den Microsoft-365- oder Google-Workspace-Tenant, und mit welchen Rechten? Werden OAuth-Freigaben regelmäßig überprüft?
Abhängigkeit vom MSP. Überträgt der Versicherungsnehmer IT-Betrieb oder Backups an einen MSP? Ist das Backup unabhängig vom Dienstleister und wird die Wiederherstellung getestet?
Sicherheit der Software-Pipeline. Für Technologieunternehmen: Sind die Versionen der Abhängigkeiten festgelegt? Sind die Zugangsdaten für Releases geschützt und werden sie rotiert?
Verwaltung von Geheimnissen. Werden API-Schlüssel und Cloud-Zugangsdaten in einem eigenen System gespeichert und lassen sie sich nach einem Vorfall schnell rotieren?
Kritische Branchendienstleister. Für Branchen wie Schifffahrt oder Logistik: Welche gemeinsam genutzten IT-Plattformen verwendet der Versicherungsnehmer, und wie viele andere Versicherungsnehmer im Portfolio hängen von denselben ab?

Auf Portfolioebene lohnt es sich, das Exposure gegenüber ConnectWise, LiteLLM und den wichtigsten IT-Dienstleistern der Schifffahrt zu erfassen. Das sind die ersten Indikatoren, um einen möglichen Kumul abzuschätzen, bevor die Schäden eintreffen.