Cyber-Versicherung: die Ereignisse der Woche vom 24. bis 31. Oktober 2026

Sechs Cyber-Ereignisse der Woche vom 24. bis 31. Oktober 2026, vom Diebstahl von 6,3 Milliarden Dollar bei Binance über Amadeus, GMO Internet, PHP2Shell und UNM Health bis zu Sony Network Communications, verbunden durch die Abhängigkeit von gemeinsamen Dienstleistern und Plattformen. Mit den Auswirkungen auf die Versicherung und den Fragen für die Vertragsverlängerung.

Woche vom 24. bis 31. Oktober 2026

Aktualisiert am 1. November 2026: Das FBI hat den Diebstahl bei Binance TraderTraitor zugeschrieben, und Binance hat begonnen, die Auszahlungen wieder zu öffnen.

Die Woche vom 24. bis 31. Oktober 2026 hat einen klaren gemeinsamen Nenner: die Abhängigkeit von einem Dienstleister oder einer gemeinsam genutzten Plattform. Vier der sechs ausgewählten Ereignisse gehen von einem einzigen vorgelagerten Zugangspunkt aus (ein Buchungssystem, ein Cloud-Desktop-Dienst, eine weit verbreitete Web-Software), der sich auf viele Kunden überträgt. Das größte, der Diebstahl von 6,3 Milliarden Dollar bei Binance, zeigt, was passiert, wenn die Verwaltung der Systeme versagt, die Transaktionen signieren. Ein anderes, der Ransomware-Angriff auf ein großes Gesundheitssystem, zeigt, wie viel schwerer eine Betriebsunterbrechung wiegt als der Diebstahl von Daten. Für die Risikozeichnung lautet die Frage nicht nur, wer der Versicherte ist, sondern von welchen Dienstleistern er gemeinsam mit anderen Versicherten abhängt.

Kurz gefasst

Binance: Am 29. Oktober setzt die Börse die Auszahlungen aus, nach einem Diebstahl von schätzungsweise rund 6,3 Milliarden Dollar, dem größten in der Geschichte der Kryptowährungen; rund 3 Milliarden eingefroren.
Amadeus: ein unbefugter Zugriff vom 10. August 2023 bis zum 23. September 2026 auf das Buchungssystem, das viele Fluggesellschaften nutzen. JAL, ANA und Cathay Pacific haben Zehntausende betroffene Kunden gemeldet.
GMO Internet: Der Cloud-Desktop-Dienst Onamae.com wird nach einem Angriff mit einer Erpressungsforderung von 50 Millionen Dollar abgeschaltet; die Forderung wurde abgelehnt. Bis zu 26.739 Server möglicherweise betroffen.
PHP2Shell: Die beiden PHP-Schwachstellen werden am 26. Oktober in den CISA-Katalog ausgenutzter Schwachstellen aufgenommen, mit weltweit beobachteter Ausnutzung.
UNM Health: Ein Ransomware-Angriff zwingt ein Krankenhaussystem in New Mexico, Rettungswagen umzuleiten und Eingriffe auszusetzen.
Sony Network Communications: 2.585.481 Kundendatensätze der Internetanbieter So-net und plala offengelegt.

Die Angriffe der Woche

1. Binance: der größte Diebstahl in der Geschichte der Kryptowährungen

Am 29. Oktober 2026 setzte Binance Ein- und Auszahlungen nach einem Sicherheitsvorfall aus, der nach Angaben der Börse Vermögenswerte von rund 6,3 Milliarden Dollar betraf. Binance zufolge wurden rund 3 Milliarden mit Hilfe von Branchenpartnern auf den Blockchains eingefroren. Die Schätzungen Dritter gehen auseinander: Chainalysis nennt zum Zeitpunkt des Diebstahls rund 5,9 Milliarden, Elliptic 6,43 Milliarden (The Hacker News). Der bisherige Rekord war der Diebstahl von rund 1,5 Milliarden Dollar bei Bybit im Jahr 2025 (Cybersecurity Dive).

Laut TRM Labs erfolgten die Überweisungen auf zehn Blockchains, über rund 6,36 Milliarden, größtenteils innerhalb von etwa 20 Minuten; die ersten unbefugten Bewegungen datieren auf 20:05 UTC am 29. Oktober. Die Angreifer hatten sich mindestens 36 Stunden lang vorbereitet (CoinCentral).

Die Ursache wurde nicht veröffentlicht. Erste Untersuchungen von Binance deuteten auf den kompromittierten Laptop eines DevOps-Ingenieurs hin, der Zugang zu einem Service-Container verschafft haben soll, von dem aus unbefugte Auszahlungstransaktionen gesendet wurden. Co-CEO Richard Teng sagte später, der Angriff sei komplexer gewesen, und Binance habe weitere Einbruchspunkte gefunden; es gibt keine Hinweise auf ein Abfließen privater Wallet-Schlüssel (The Hacker News). Binance erklärt, dass die Cold Wallets, in denen der Großteil der Kundengelder liegt, nicht berührt wurden (Boston Globe).

TRM Labs und Chainalysis schreiben den Angriff mit hoher Zuversicht TraderTraitor zu, einer mit Nordkorea verbundenen Einheit, die bereits für den Bybit-Diebstahl genannt wurde; Elliptic mahnt wegen Unterschieden im Zeitablauf und bei den Geldwäschemethoden zur Vorsicht. Binance sagt lediglich, dass es mit den Strafverfolgungsbehörden zusammenarbeitet. Am 1. November 2026 hat das FBI den Diebstahl offiziell TraderTraitor zugeschrieben und gemeinsam mit dem Secret Service und der IRS Criminal Investigation die Wallet-Adressen veröffentlicht, über die die Gelder bewegt wurden, die überwiegend in Ethereum umgewandelt wurden (The Hacker News). Binance hat mehr als 6,34 Milliarden Dollar aus Eigenmitteln zurückgestellt, um die Verluste der Nutzer zu decken. Am 1. November hat es die erste Phase der Wiedereröffnung der Auszahlungen gestartet und will sie schrittweise abschließen, sobald die Sicherheitsprüfungen beendet sind (dieselbe Quelle).

2. Amadeus: drei Jahre Zugriff auf ein Buchungssystem

Japan Airlines teilte mit, dass die Daten von rund 92.000 Kunden durch einen unbefugten Zugriff auf das Passagierverwaltungssystem von Amadeus offengelegt wurden, das für Buchungen, Ticketausstellung und Check-in genutzt wird. Bei rund 90.000 Personen sind Buchungscode, Name, Flugdatum, Strecke und Klasse betroffen. Bei rund 2.000 zusätzlich E-Mail, Telefonnummer, Passnummer, Staatsangehörigkeit, Vielfliegernummer sowie Ticket- und Sitznummern (BleepingComputer).

Der unbefugte Zugriff umfasst den Zeitraum vom 10. August 2023 bis zum 23. September 2026. Amadeus informierte JAL am 23. Oktober 2026. Am 1. Oktober 2026 hatte Amadeus einen Hinweis zu einer Schwachstelle in der Umgebung zur Anzeige von Buchungen veröffentlicht; BleepingComputer merkt an, dass die Lücke offenbar anschließend ausgenutzt wurde. Weder der Artikel noch Amadeus nennen einen Verantwortlichen.

All Nippon Airways meldete rund 37.800 betroffene Kunden, bei 1.700 davon mit Pass und Staatsangehörigkeit. Asiana Airlines und Korean Air bestätigten, betroffen zu sein (ID Tech). JAL schließt die Offenlegung von Kreditkarten und Passwörtern aus und erklärt, keine Hinweise auf Missbrauch zu haben.

Am 31. Oktober 2026 meldete Cathay Pacific rund 53.000 betroffene Buchungen, die zwischen August 2023 und September 2026 angelegt wurden. Amadeus informierte die Gesellschaft am 28. Oktober und erklärte, dass eine unbefugte Partei die Zugangsdaten eines Systemkontos genutzt habe, um auf Buchungsdaten zuzugreifen; Amadeus setzte das Passwort zurück und verstärkte die Überwachung (Aviation A2Z).

3. GMO Internet: ein Cloud-Desktop-Dienst eingestellt

GMO Internet, ein großer japanischer Anbieter, stellte am 20. Oktober 2026 fest, dass Dritte Schadprogramme auf den Servern einiger Kunden des Dienstes Onamae.com Desktop Cloud installiert hatten, der insbesondere für den Devisenhandel genutzt wird. Am 21. Oktober traf eine Erpressungs-E-Mail über 50 Millionen Dollar ein, und die Abschaltung von Servern begann. GMO lehnte eine Zahlung ab. Am 24. Oktober bestätigte das Unternehmen, dass Kundeninformationen entwendet worden waren, und am 27. Oktober, dass die Angreifer Daten veröffentlicht hatten, die offenbar Kunden betreffen; GMO warnte, dass sie falsche Informationen enthalten könnten (Webhosting Today).

Bis zu 26.739 Server sind möglicherweise betroffen; das ist eine Schätzung der Server, die angegriffen worden sein könnten, keine Zahl bestätigter Einbrüche. Einige Kunden meldeten Handelsgeschäfte, die sie nicht erkannten. GMO wird die Plattform in ihrer jetzigen Form nicht wieder starten. Das Unternehmen bietet sechs Monate lang eine kostenlose Ersatzumgebung, eine Entschädigung von 5.000 Yen pro Kunde und die Erstattung bestätigter Verluste, nach etwaigen Erstattungen durch die Handelsgesellschaften. Außerdem hat es eine Belohnung von bis zu 1 Million Dollar für Hinweise ausgesetzt, die den Ermittlern helfen (derselbe Artikel).

Laut The Register räumte CEO Masatoshi Kumagai ein, dass die Reaktion auf frühere interne Meldungen nicht gründlich und schnell genug war, und brachte einen Angriff auf rund 20 japanische Unternehmen mit dem Einsatz von ARTEX in Verbindung, einem autonomen, KI-gestützten Penetration-Testing-Werkzeug (The Register). Das ist eine Aussage des Managers, keine unabhängige Überprüfung.

4. PHP2Shell: von der Schwachstelle zur bestätigten Ausnutzung

Die beiden Lücken in der PHP-Engine (CVE-2026-109618 und CVE-2026-109619), die bereits vergangene Woche behandelt wurden, sind einen Schritt weiter. Am 26. Oktober 2026 nahm die CISA sie in ihren Katalog bekannter und ausgenutzter Schwachstellen auf, mit Frist bis zum 29. Oktober für die zivilen US-Bundesbehörden. PHP hatte die Korrekturen am 21. Oktober veröffentlicht, in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 (The Next Web).

Am 24. Oktober zeichnete ein Forscher in drei Honeypots 35 vom Apache-Server gestartete Shell-Befehle von zwei IP-Adressen auf, passend zum ersten CVE. Das Labor der Technischen Universität Delft zählte seit dem 21. Oktober 68.499 Ausnutzungsanfragen von 652 IP-Adressen in 73 Ländern, davon 174 mit Code oder Dropper. Dieselbe Quelle berichtet, dass Sophos einen Bericht über erfolgreiche Angriffe auf eigene Kunden korrigiert und Unit 42 von Palo Alto Networks eine Einschätzung zu einem Angriff auf eine europäische Regierungsstelle zurückgezogen hat: Zuschreibungen sind daher mit Vorsicht zu behandeln.

5. UNM Health: die Betriebsunterbrechung eines Universitätsklinikums

Am 26. Oktober 2026 erlitt die University of New Mexico Health einen Ausfall ihrer IT-Systeme. UNM Health schränkte Neuaufnahmen ein, leitete Rettungswagen in andere Krankenhäuser um und setzte ambulante Eingriffe und Termine aus; der Unterricht an den vier Fakultäten für Gesundheitswissenschaften fiel aus (BleepingComputer).

Die Universität hat die Art des Angriffs nicht angegeben. Die Gruppe Byod, neu und mit sechs Opfern auf ihrer Website, beanspruchte den Angriff für sich und erklärte, Zugriff auf rund 36.000 Systeme sowie auf Daten von Patienten, Studierenden und Beschäftigten zu haben. Das sind Behauptungen der Gruppe, nicht überprüft. UNM Health erklärt, der Vorfall sei nicht in die zentralen Systeme und Server eingedrungen, habe aber einige Nutzergeräte betroffen. Zum Datum des Artikels, dem 27. Oktober, waren die kritischen Systeme wieder online, die Krankenhäuser voll geöffnet und die Kliniken wieder in Betrieb.

6. Sony Network Communications: das massenhafte Datenleck

Sony Network Communications, eine Tochter der Sony Group, die in Japan als Internetanbieter tätig ist, teilte mit, dass eine unbefugte Person auf die Mitgliederdatenbank von So-net zugegriffen hat. Betroffen sind 2.585.481 Datensätze: 2.141.986 von So-net und 443.495 des Dienstes plala, der Docomo-Hikari-Kunden von NTT Docomo betrifft. Zusätzlich wurden 54.401 E-Mail-Adressen verschiedener Dienste zusammen mit den Kontopasswörtern offengelegt (BleepingComputer).

Die Daten umfassen Name, Telefonnummer, E-Mail, Benutzer-ID, Geburtsdatum, Geschlecht und Verbindungskennungen; Bank- oder Kartendaten sind nicht betroffen. Der Einbruch erfolgte am 19. Oktober und wurde etwa vier Tage später entdeckt; Sony gab ihn am 27. Oktober bekannt und meldete ihn der japanischen Kommission für den Schutz personenbezogener Daten. Der Artikel nennt weder Täter noch Methode, und bis zum 27. Oktober war kein Missbrauch bestätigt.

Weitere erwähnenswerte Ereignisse

Universität Kopenhagen (Bildung): Zugriff auf eine Testumgebung, mit Daten von rund 525.000 Personen (Name, nationale Identifikationsnummer CPR, Telefon, E-Mail) und, laut einer Aktualisierung, den physischen Zugangscodes von rund 20.000 Beschäftigten und Studierenden. Der dänischen Datenschutzbehörde gemeldet.
ENGIE (Energie): Eine von Vertriebspartnern genutzte Marketingplattform wurde kompromittiert; Kontakt- und Vertragsdaten von Kunden in Frankreich offengelegt, Anzahl nicht mitgeteilt. ENGIE erklärt, seine internen Systeme seien nicht betroffen.
Quest Diagnostics (Gesundheitswesen): unbefugter Zugriff auf Quanum, eine Plattform für Laboraufträge und Abrechnung, mit entwendeten Patientendaten. Umfang und Täter sind unbekannt; das Unternehmen reichte eine Mitteilung bei der SEC ein (Beinsure).

Auswirkungen auf die Versicherung

Das gemeinsame Bild ist die Konzentration: Der Schaden entsteht nicht beim Versicherten, sondern in einer gemeinsam genutzten Infrastruktur. Für jedes Ereignis lässt sich die mögliche Auswirkung auf die Policen so lesen.

Binance. Möglicherweise ausgelöste Deckungen: Diebstahl digitaler Vermögenswerte, Erpressung und Betriebsunterbrechung, sofern vorgesehen. Kumulpotenzial: mittel bis hoch, für Gegenparteien und mit der Börse verbundene Dienste (eingefrorene Stablecoins, Protokolle der dezentralen Finanzwelt, die Einlagen und Kredite ausgesetzt haben). Vertraglicher Knackpunkt: Viele Cyber-Policen begrenzen oder schließen digitale Vermögenswerte und Kryptodiebstahl aus; entscheidend sind die Definition des versicherten Guts, die Verwahrung und das Sublimit. Die staatliche Zuschreibung, die nun das FBI vorgenommen hat, bringt die Ausschlüsse für Kriegshandlungen oder staatliche Operationen ins Spiel.
Amadeus. Möglicherweise ausgelöste Deckungen: Haftung für Datenschutzverletzungen, Benachrichtigungs- und Incident-Response-Kosten, Bußgelder, soweit versicherbar. Kumulpotenzial: hoch, weil dasselbe System mehrere Fluggesellschaften in mehreren Ländern bedient. Vertraglicher Knackpunkt: die Dauer des Zugriffs (seit 2023) und das Entdeckungsdatum im Verhältnis zur Rückwärtsdeckung und zur Nachmeldefrist.
GMO Internet. Möglicherweise ausgelöste Deckungen: Erpressung, Betriebsunterbrechung, Wiederherstellung der Systeme, Haftung gegenüber Kunden. Kumulpotenzial: hoch unter den Kunden des Dienstes. Vertraglicher Knackpunkt: finanzielle Verluste aus unbefugtem Handel, die viele Policen ausschließen oder begrenzen, und die Unterscheidung zwischen Schaden des Kunden und Schaden des Dienstleisters.
PHP2Shell. Möglicherweise ausgelöste Deckungen: alle eines IT-Sicherheitsvorfalls, von der Wiederherstellung bis zur Haftung. Kumulpotenzial: sehr hoch, weil die Software extrem verbreitet ist und dieselbe Lücke verschiedene Versicherte trifft. Vertraglicher Knackpunkt: Verzögerungen beim Einspielen von Korrekturen und die Bedingungen zum Schwachstellenmanagement.
UNM Health. Möglicherweise ausgelöste Deckungen: Betriebsunterbrechung, Wiederherstellung, Erpressung, Haftung für Gesundheitsdaten. Kumulpotenzial: gering als Einzelereignis, aber hoch in der Schwere. Vertraglicher Knackpunkt: Sublimits und Wartezeiten der Betriebsunterbrechung sowie die Kosten nicht erbrachter Gesundheitsleistungen.
Sony Network Communications. Möglicherweise ausgelöste Deckungen: Haftung für Datenschutzverletzungen, Benachrichtigungen, Kreditüberwachung. Kumulpotenzial: mittel. Vertraglicher Knackpunkt: das Vorhandensein von Passwörtern unter den offengelegten Daten, wodurch sich der Schaden auf andere Dienste der Kunden ausweiten kann.

Der Dienstleister ist der Kumulpunkt. Amadeus (nun auch mit Cathay Pacific), GMO und PHP2Shell zeigen, dass das Risiko eher in gemeinsamen Abhängigkeiten als beim einzelnen Versicherten liegt. Nötig sind Abhängigkeitskarten für das Portfolio, nicht nur Fragebögen pro Kunde.

Die Dauer des Einbruchs verändert die Bewertung des Schadens. Ein Zugriff, der Jahre dauert, wie der für Amadeus beschriebene, macht Rückwärtsdeckung, Entdeckungs- und Meldedatum zentral. Dieselbe Vorsicht gilt für Behauptungen krimineller Gruppen, die oft nicht überprüfbar sind: Für die Bewertung zählt die vom Versicherten und vom Dienstleister festgestellte Tatsache.

Die staatliche Zuschreibung wirkt sich auf die Bedingungen aus. Bei Binance wurde die zunächst von Analysten genannte Zuschreibung an Nordkorea am 1. November 2026, drei Tage nach dem Diebstahl, vom FBI bestätigt. Klauseln zu Kriegshandlungen und staatlichen Operationen hängen davon ab, wie die Bedingungen die Zuschreibung definieren und wer sie feststellen kann.

Die Unterbrechung wiegt schwerer als der Datendiebstahl. Für ein Krankenhaus ist der Hauptschaden die Unfähigkeit zu arbeiten. Die Bedingungen zur Betriebsunterbrechung, auch durch Dienstleister, verdienen mehr Aufmerksamkeit als jene zum reinen Datenleck.

Was in die Vertragsverlängerung gehört

Sind digitale Vermögenswerte und Kryptowährungen gedeckt, mit welchem Sublimit, und wie sind Verwahrung und Wallets definiert?
Welche kritischen Dienstleister (Buchung, Cloud-Desktop, Hosting, MSP) tragen das Geschäft des Versicherten, und deckt die Police eine durch einen Dienstleister verursachte Unterbrechung?
Gibt es Sublimits für Betriebsunterbrechung durch Dienstleister, und wie lang sind die Wartezeiten?
Wie werden finanzielle Verluste durch unbefugte Nutzung von Zugangsdaten oder Handelskonten behandelt?
Wie sehen Rückwärtsdeckung und Nachmeldefrist aus, wenn unbefugte Zugriffe erst nach Jahren entdeckt werden?
Gibt es einen dokumentierten Prozess, um Korrekturen für ausgenutzte Schwachstellen (zum Beispiel aus dem CISA-Katalog) einzuspielen, und in welchen Fristen?
Wie sind Benachrichtigungs- und Incident-Response-Kosten gedeckt, wenn die offengelegten Daten Personen in mehreren Ländern betreffen?

Auf Portfolioebene lohnt es sich, die Exponierung gegenüber wenigen wiederkehrenden Plattformen zu erfassen (Buchungssysteme, Hosting und Cloud-Desktop, sehr verbreitete Sprachen und Software) und ein Szenario zu simulieren, in dem ein einziger Dienstleister viele Versicherte im selben Zeitraum betrifft.