ANALYSEN
EU-Kommission, Daten von 30 EU-Stellen: das Open-Source-Werkzeug, das die Cloud öffnet
Am 2. April 2026 schrieb CERT-EU TeamPCP den Datendiebstahl aus der Cloud der Europäischen Kommission zu, in die die Angreifer mit einem über eine kompromittierte Version des Open-Source-Werkzeugs Trivy gestohlenen Schlüssel eindrangen: mindestens 30 EU-Stellen betroffen. Die Analyse: das Sicherheitswerkzeug als Einfallstor, die gemeinsame Infrastruktur und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats April 2026 · von cybercoverinsurance
Am 2. April 2026 schrieb CERT-EU, das Team für Vorfallreaktion der EU-Institutionen, der Gruppe TeamPCP den Diebstahl von rund 90 GB komprimierter Daten aus der Cloud-Infrastruktur der Europäischen Kommission zu, die die Europa.eu-Websites beherbergt. Der Zugangsschlüssel war über eine kompromittierte Version von Trivy gestohlen worden, einem Open-Source-Sicherheitswerkzeug, das die Kommission heruntergeladen hatte. Die Daten, die die Kommission und mindestens 29 weitere EU-Stellen betreffen, wurden von der Gruppe ShinyHunters veröffentlicht.
Für Cyber-Risikoträger zeigt der Fall, wie die Lieferkette von Open-Source-Software einen Angriff in gut geschützte Organisationen trägt. Das kompromittierte Werkzeug war eine Sicherheitskontrolle, und der gestohlene Schlüssel öffnete eine Infrastruktur, die Dutzende Stellen teilen.
Was bekannt ist
Der Einfallsweg. Laut CERT-EU lud die Kommission versehentlich eine kompromittierte Kopie von Trivy herunter, einem Open-Source-Schwachstellenscanner. Die Kopie ermöglichte es den Angreifern, einen API-Schlüssel für ein Amazon-Web-Services-Konto der Kommission zu stehlen und am 19. März in das Konto einzudringen. Die Gruppe TeamPCP führt laut Unit 42 von Palo Alto Networks seit Monaten eine systematische Kampagne gegen Open-Source-Sicherheitsprojekte (TechCrunch).
Was sie taten. Mit dem Schlüssel, der Verwaltungsrechte über andere Konten hatte, suchten die Angreifer mit einem automatischen Werkzeug nach weiteren Geheimnissen, hängten einem bestehenden Nutzer einen neuen Schlüssel an, um unentdeckt zu bleiben, und leiteten Daten ab. Die Kommission bestätigte den Angriff am 27. März öffentlich. Am 28. März veröffentlichte ShinyHunters ein 90-GB-Archiv, unkomprimiert rund 340 GB, mit Namen, E-Mail-Adressen, Benutzernamen und E-Mail-Inhalten. Laut CERT-EU wurde keine Website abgeschaltet oder verändert, und es gab keine Bewegung zu anderen Konten der Kommission (BleepingComputer).
Die betroffenen Stellen. Die getroffene Infrastruktur beherbergt die Websites der EU-Institutionen und -Agenturen. Potenziell betroffen sind Dutzende interne Kunden der Kommission und mindestens 29 weitere EU-Stellen. Rund 52.000 Dateien enthalten versandte E-Mails: Laut CERT-EU handelt es sich überwiegend um automatische Nachrichten, doch mit Fehler zurückgekommene Mails können von Nutzern eingegebene Daten enthalten (TechCrunch).
Zwei Gruppen. CERT-EU schrieb das Eindringen TeamPCP und die Veröffentlichung ShinyHunters zu. Ein Mitglied von ShinyHunters sagte TechCrunch, die Gruppe habe einen Teil der Daten entwendet, die TeamPCP bei früheren Angriffen gestohlen hatte (TechCrunch).
Was nicht bekannt ist. Die Zahl der Personen mit offengelegten Daten, die Kosten für die Kommission und die anderen Stellen sowie die vollständige Liste der betroffenen Stellen wurden nicht veröffentlicht. Die Daten des ersten Eindringens weichen zwischen den Quellen ab.
Das Sicherheitswerkzeug als Einfallstor
Die Kontrolle, die die Tür öffnet. Trivy dient dazu, Schwachstellen in Software zu finden. Eine kompromittierte Version davon gab den Angreifern die Cloud-Schlüssel. Es ist dasselbe Muster wie bei tj-actions 2025: Das Werkzeug in der Entwicklungspipeline hat Zugriff auf die sensibelsten Geheimnisse.
Cloud-Schlüssel sind mehr wert als Daten. Der gestohlene Schlüssel hatte Verwaltungsrechte über andere Konten (BleepingComputer). Für Risikoträger lautet die Frage nicht nur, ob der Versicherte Open-Source-Software nutzt, sondern welche Rechte die Zugangsdaten haben, die diese Software erreichen kann.
Eine Kampagne, kein Einzelfall. TeamPCP griff nacheinander mehrere Open-Source-Projekte an (TechCrunch). Versicherte, die dieselben Werkzeuge nutzen, sind derselben Kampagne ausgesetzt, auch wenn keiner von ihnen das gewählte Ziel ist.
Die gemeinsame Infrastruktur
Ein Konto, Dutzende Stellen. Die getroffene Infrastruktur beherbergt die Websites vieler Institutionen und Agenturen (TechCrunch). Wie bei den Londoner Bezirken im November 2025 bindet ein gemeinsamer Dienst mehrere Stellen an denselben Vorfall. Die Zahl der Versicherten sagt nicht, wie viele unterschiedliche Infrastrukturen es gibt.
Der Schaden liegt in der Meldung, nicht in der Unterbrechung. Keine Website wurde abgeschaltet (BleepingComputer). Die Kosten für die betroffenen Stellen bestehen vor allem aus Datenanalyse, Meldung an Behörden und Betroffene und Bearbeitung von Anfragen. Für ein Portfolio öffentlicher Stellen oder Kunden eines gemeinsamen Cloud-Anbieters ist das ein Schaden mit breit gestreuter Haftung.
Zwei Gruppen, zwei Risiken. Wer stiehlt und wer veröffentlicht, sind nicht dieselben (TechCrunch). Von einer Gruppe gestohlene Daten können bei einer anderen landen, die sie zur Erpressung nutzt oder veröffentlicht. Eine Vereinbarung mit der ersten, falls es sie gäbe, würde nichts über die zweite garantieren.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererMittel
Eine kompromittierte Version eines Open-Source-Sicherheitswerkzeugs verschaffte Zugang zur Cloud der Europäischen Kommission, mit Diebstahl und Veröffentlichung von Daten zu Dutzenden EU-Stellen.
Auf Portfolioebene legt der Fall nahe, Kampagnen gegen Open-Source-Werkzeuge für Entwicklung und Sicherheit als Kumulereignis zu behandeln: Ein einziges kompromittiertes Werkzeug kann im selben Zeitraum viele Versicherte erreichen, mit Diebstählen von Zugangsdaten, die erst Wochen später auftauchen.