ANALYSEN
eScan, das Virenschutz-Update mit Schadsoftware: der vertrauenswürdige Kanal als Risiko
Am 20. Januar 2026 verteilte ein Update-Server des Virenschutzes eScan zwei Stunden lang ein Schadprogramm, das Updates blockierte und weiteren Code herunterlud, und traf Hunderte Rechner in Südasien. Die Analyse: der vertrauenswürdige Kanal, Kumul bei einem Sicherheitsanbieter, wer zahlt und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Januar 2026 · von cybercoverinsurance
Am 20. Januar 2026 verteilte ein regionaler Update-Server von eScan, dem Virenschutz des indischen Unternehmens MicroWorld Technologies, rund zwei Stunden lang eine schädliche Datei an die Rechner von Kunden. Die Datei blockierte weitere Updates des Virenschutzes, installierte sich dauerhaft und lud weitere Programme herunter. Das Sicherheitsunternehmen Morphisec entdeckte sie am selben Tag, Kaspersky zählte Hunderte betroffene Rechner, vor allem in Indien, Bangladesch, Sri Lanka und auf den Philippinen.
Für Cyber-Risikoträger betrifft der Fall den vertrauenswürdigsten Kanal eines Unternehmens: das automatische Update der Sicherheitssoftware. Wird dieser Kanal kompromittiert, wird die Kontrolle, die schützen soll, zum Einfallstor, und zwar für viele Kunden gleichzeitig.
Was bekannt ist
Der Angriff. Laut eScan verschaffte sich jemand unbefugten Zugang zur Konfiguration eines regionalen Update-Servers, und am 20. Januar lag rund zwei Stunden lang eine falsche Datei im Verteilungspfad. Das Unternehmen isolierte die Server, nahm seine Update-Infrastruktur mehr als acht Stunden vom Netz und veröffentlichte am 22. Januar einen Hinweis (SecurityWeek).
Was die Datei tat. Das Schadprogramm ersetzte eine legitime Datei des Virenschutzes, mit gefälschter digitaler Signatur. Es änderte die HOSTS-Datei, um neue Updates zu verhindern, legte geplante Aufgaben an, um aktiv zu bleiben, und kontaktierte einen externen Server, um weiteren Code herunterzuladen. Es prüfte, ob Analyse- oder Sicherheitswerkzeuge auf dem Rechner vorhanden waren, und brach in diesem Fall ab. Außerdem schrieb es ein falsches Update-Datum, damit das Produkt aktuell erschien. Kaspersky stellte Infektionsversuche auf Hunderten Rechnern von Privatpersonen und Organisationen fest (The Hacker News).
Die Bereinigung. Eine automatische Entfernung war nicht möglich, weil die Datei Updates blockierte. Betroffene Kunden mussten sich an eScan wenden, um ein Bereinigungswerkzeug zu erhalten (SecurityWeek).
Zwei Darstellungen. eScan sprach von einer "vorübergehenden Störung des Update-Dienstes" und einem "beschädigten" Update, wies die Bezeichnung Lieferkettenangriff zurück und erklärte, keine Hinweise auf Datendiebstahl gefunden zu haben. Morphisec und Kaspersky beschreiben dagegen eine gezielte, mehrstufige Infektionskette (The Hacker News, SecurityWeek).
Was nicht bekannt ist. Wie die Angreifer in den Server gelangten, wer sie sind, wie viele Kunden betroffen waren und was das Endziel war, ist nicht öffentlich. eScan erklärte, nur ein kleiner Teil der Kunden sei betroffen, ohne Zahlen zu nennen.
Der vertrauenswürdige Kanal als Einfallstor
Das automatische Update ist ein Privileg. Sicherheitssoftware hat die höchsten Rechte auf dem Rechner und erhält Updates, ohne dass jemand sie prüft. Wer den Update-Kanal kontrolliert, kontrolliert für einige Stunden alle Rechner, die ihn empfangen.
Die Kontrolle, die sich selbst abschaltet. Die schädliche Datei blockierte Updates des Virenschutzes und täuschte ein erfolgreiches Update vor (The Hacker News). Für den Versicherten erschien der Virenschutz aktiv und aktuell. Eine positive Antwort im Fragebogen sagt nicht, ob die Kontrolle tatsächlich funktioniert.
Zwei Stunden genügen. Das Verteilungsfenster betrug rund zwei Stunden (SecurityWeek). Kein interner Prüfprozess beim Versicherten hätte ein vom Anbieter signiertes Update in so kurzer Zeit stoppen können. Die Abwehr liegt in der Erkennung auffälligen Verhaltens nach der Installation.
Kumul bei einem Sicherheitsanbieter
Ein Anbieter, viele Versicherte. Ein unter kleinen und mittleren Unternehmen eines Landes verbreiteter Virenschutz schafft eine gemeinsame Abhängigkeit. Der Fall eScan blieb begrenzt, aber derselbe Mechanismus bei einem Anbieter mit mehr Kunden würde viele Schäden gleichzeitig auslösen.
Die Geografie des Portfolios. Die betroffenen Rechner konzentrierten sich auf Südasien (The Hacker News). Wer Unternehmen einer Region versichert, sollte den auf dem lokalen Markt dominierenden Sicherheitsanbieter als Kumuldatum erfassen, wie den Cloud- oder Unternehmenssoftware-Anbieter.
Der Präzedenzfall CrowdStrike, umgekehrt. Im Juli 2024 legte ein fehlerhaftes Update von CrowdStrike Millionen Rechner lahm, ganz ohne Angriff. eScan zeigt die böswillige Variante desselben Risikos: den Update-Kanal als einzelnen Punkt, der alle Kunden treffen kann.
Wer zahlt
Der betroffene Kunde hat einen Schaden. Für den Kunden ist die Infektion in jeder Hinsicht ein Cyberangriff: Kosten für Reaktion, Bereinigung und Überprüfung. Die Cyberpolice des Versicherten leistet in der Regel, ohne zu unterscheiden, ob der Angriff per E-Mail oder über den Anbieter kam.
Der Regress beim Anbieter ist unsicher. eScan bestreitet die Art des Angriffs, und seine Vertragsbedingungen begrenzen in der Regel die Haftung gegenüber Kunden. Für den Versicherer, der den Schaden zahlt, ist ein Regress beim Sicherheitsanbieter schwierig, vor allem wenn dieser in einem anderen Land sitzt.
Die Kommunikation des Anbieters zählt. Der Abstand zwischen der Darstellung von eScan und der der Forscher erschwert es Kunden einzuschätzen, was auf ihren Rechnern geschehen ist. Ein Anbieter, der verharmlost, kann die Reaktion der Kunden verzögern und den Schaden verlängern.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererMittel
Ein Update-Server eines Virenschutzes verteilte zwei Stunden lang ein Schadprogramm, das Updates blockierte und weiteren Code herunterlud, und traf Hunderte Rechner in Südasien.
Auf Portfolioebene legt der Fall eScan nahe, den wichtigsten Sicherheitsanbieter der Versicherten zu erfassen, vor allem bei kleinen Unternehmen und auf Märkten, auf denen wenige lokale Produkte dominieren. Ein Szenario eines schädlichen Updates, verteilt von einem verbreiteten Anbieter, ist ein nützlicher Kumultest, mit kurzem Verteilungsfenster, aber potenziell hoher Schadenzahl.