ANALYSEN
F5, Quellcode von einem staatlichen Akteur gestohlen: das wartende systemische Risiko
Am 15. Oktober 2025 gab F5 bekannt, dass ein staatlicher Akteur Teile des BIG-IP-Quellcodes und Informationen über unveröffentlichte Schwachstellen gestohlen hatte, und die CISA erließ eine Notfallanweisung. Die Analyse: der Diebstahl, der Schäden vorbereitet, Ausschlüsse für staatliche Akteure, Schaden beim Anbieter und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Oktober 2025 · von cybercoverinsurance
Am 15. Oktober 2025 gab F5, einer der wichtigsten Hersteller von Geräten für Verkehrssteuerung und Sicherheit in Unternehmensnetzen, bekannt, dass ein staatlicher Akteur langen Zugang zu seinen Systemen hatte und Teile des BIG-IP-Quellcodes sowie Informationen über noch nicht veröffentlichte Schwachstellen gestohlen hatte. Am selben Tag erließ die CISA eine Notfallanweisung an die Bundesbehörden. F5 hatte das Eindringen am 9. August entdeckt und die Meldung auf Bitten des Justizministeriums verschoben.
Für Cyber-Risikoträger ist der Fall ein wartendes systemisches Risiko: Er hat keine bekannten Schäden verursacht, aber einem staatlichen Akteur Code und Schwachstellen von Produkten in die Hände gegeben, die am Rand Tausender Netze installiert sind. Er berührt drei Themen: Kumul bei einem Sicherheitsanbieter, Ausschlüsse für staatliche Akteure und den Schaden beim Anbieter selbst.
Was bekannt ist
Das Eindringen. Laut dem Formular 8-K von F5 erfuhr das Unternehmen am 9. August 2025 von dem Vorfall. Der Täter wird als hochentwickelter staatlicher Akteur mit langfristigem, dauerhaftem Zugang beschrieben. Bloomberg berichtete von mindestens zwölf Monaten Zugang und brachte das Eindringen mit der Schadsoftware BRICKSTORM in Verbindung, die einer Gruppe mit China-Bezug zugeschrieben wird. Zum gestohlenen Material gehörten Teile des BIG-IP-Quellcodes, Informationen über Schwachstellen, die F5 gerade behob, und Konfigurationsdaten eines kleinen Prozentsatzes der Kunden. F5 erklärte, keine Ausnutzung der Schwachstellen festgestellt zu haben (The Hacker News).
Die Anweisung. Die Notfallanweisung ED 26-01 der CISA verpflichtete zivile Bundesbehörden, BIG-IP-Produkte zu inventarisieren, zu prüfen, ob Verwaltungsschnittstellen aus dem Internet erreichbar sind, Updates bis zum 22. Oktober einzuspielen und das Inventar bis zum 29. Oktober zu melden. Die CISA sprach von einer "unmittelbaren Bedrohung" für Bundesnetze. F5 tauschte Zugangsdaten, Zertifikate und Signaturschlüssel aus, unterstützt von Mandiant und CrowdStrike (The Hacker News).
Die Folgen für den Anbieter. Am 27. Oktober stellte F5 für das Geschäftsjahr 2026 ein Umsatzwachstum von 0 bis 4% in Aussicht, nach 10% im Vorjahr und einem vor dem Vorfall erwarteten mittleren einstelligen Wachstum. Das Unternehmen erwartet langsamere Verkaufszyklen, während Kunden ihre Umgebungen prüfen und absichern, vor allem im ersten Halbjahr. Die Aktie fiel nach den Zahlen um mehr als 6% (SiliconANGLE).
Was nicht bekannt ist. Wie viele BIG-IP-Geräte mit erreichbaren Verwaltungsschnittstellen im Internet stehen, von welchen Kunden Konfigurationsdaten abgeflossen sind und ob die gestohlenen Informationen in späteren Angriffen genutzt wurden, ist nicht öffentlich.
Der Diebstahl, der Schäden vorbereitet
Gestohlener Code ist ein Zeitvorsprung. Mit dem Quellcode und der Liste noch zu behebender Schwachstellen kann ein Angreifer nach Fehlern suchen, bevor sie geschlossen werden. Wie Unit 42 anmerkte, braucht das Finden ausnutzbarer Fehler Zeit (The Hacker News). Der Schaden kommt, wenn überhaupt, später, und bei vielen Versicherten zugleich.
Die Produkte stehen am Netzrand. BIG-IP-Geräte steuern den Verkehr zu Anwendungen und Diensten, oft mit Internetzugang. Eine auf diesen Geräten ausgenutzte Schwachstelle öffnet den Zugang zum internen Netz. Es ist derselbe Produkttyp, der in der Vergangenheit Wellen massenhafter Ausnutzung ausgelöst hat.
Eine offene Verwaltungsschnittstelle ist der Risikofaktor. Die Anweisung verlangte von den Behörden zuerst zu prüfen, ob Verwaltungsschnittstellen aus dem Internet erreichbar sind (The Hacker News). Das ist eine einfache Frage an Versicherte und ein Wert, den ein externer Scan bestätigen kann.
Der staatliche Akteur und die Ausschlüsse
Ein Spionagediebstahl, keine Kriegshandlung. Der Codediebstahl durch eine staatsnahe Gruppe ist Cyberspionage. Die in den letzten Jahren eingeführten Ausschlüsse für staatliche Handlungen zielen in der Regel auf Angriffe, die das Funktionieren oder die Sicherheit eines Staates beeinträchtigen. Der Diebstahl bei F5 fällt kaum darunter.
Eine spätere Ausnutzung ist eine andere Sache. Würde ein staatlicher Akteur die Schwachstellen später für Angriffe auf kritische Infrastrukturen nutzen, könnten dieselben Ausschlüsse für die betroffenen Versicherten greifen. Derselbe Ursprung kann je nach Ziel und Wirkung zu einem bezahlten Schaden im einen Fall und zu einem ausgeschlossenen im anderen führen.
Die Zuschreibung kam aus der Presse. F5 sprach von einem staatlichen Akteur, ohne ihn zu benennen. Die Verbindung zu China stammt von Bloomberg (The Hacker News). Für Bedingungen, die eine offizielle Zuschreibung verlangen, zählt der Abstand zwischen den Angaben des Unternehmens und der Presse.
Der Schaden beim Anbieter
Der erste Schaden ist kommerziell. F5 meldete keine wesentlichen direkten Kosten, senkte aber seine Wachstumsprognose (SiliconANGLE). Für einen Sicherheitsanbieter wird verlorenes Vertrauen zu verschobenen Verkäufen. Das ist ein realer Schaden, den Cyberpolicen meist nicht decken: Der Verlust künftiger Einnahmen durch Reputationsschaden ist nur begrenzt und eng definiert gedeckt.
Die Haftung gegenüber Kunden bleibt offen. Kunden, deren Konfigurationsdaten abgeflossen sind oder die künftig über dank des gestohlenen Codes gefundene Schwachstellen getroffen werden, könnten sich an F5 wenden. Für Versicherer eines Sicherheitsanbieters ist die Berufshaftpflicht gegenüber Kunden die am stärksten exponierte Sparte.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Ein staatlicher Akteur stahl Quellcode und unveröffentlichte Schwachstellen eines Produkts, das am Rand Tausender Netze installiert ist, und schuf damit das Risiko künftiger Ausnutzung bei vielen Versicherten zugleich.
Auf Portfolioebene legt der Fall F5 nahe zu wissen, wie viele Versicherte dieselben Netzgeräte mit Internetzugang nutzen. Eine massenhaft ausgenutzte Schwachstelle in diesen Produkten ist ein Kumulszenario, das nicht von einem bereits eingetretenen Ereignis abhängt, sondern von einer bereits getroffenen Vorbereitung.