Die Erpressungsgruppe Cl0p hat erneut zugeschlagen und drei prominente Organisationen im Visier: den Autoglas-Riesen Carglass, den Messtechnikspezialisten Fluke sowie den britischen National Health Service (NHS). Die Angriffe werfen ein grelles Licht auf Schwachstellen in der Supply Chain und die Bedrohung durch gezielte Ransomware-Kampagnen.
Cl0p – ein Porträt einer digitalen Bedrohung
Cl0p ist seit 2019 als aggressives Ransomware-Kollektiv bekannt – ursprünglich als Bestandteil des FASTCash-Netzwerks innerhalb der TA505-Bande identifiziert. Die Gruppierung nutzt eine doppelte Erpressungstaktik: Sie verschlüsselt nicht nur Daten, sondern droht auch mit deren Veröffentlichung auf Darknet-Seiten. Die jüngsten kompromittierten Ziele – Carglass, Fluke und der NHS – wurden auf der Leak-Seite der Gruppe bekannt gegeben, was auf eine erfolgreiche Exfiltration sensibler Daten hindeutet.
Die betroffenen Unternehmen im Überblick
Carglass
Der Autoglasspezialist Carglass gehört zur Belron-Gruppe und betreibt Filialen auf mehreren Kontinenten. Laut Cl0ps Leak-Seite sollen Systeme des Unternehmens kompromittiert worden sein, insbesondere im Backend-Bereich von Kundenservices und Buchungssystemen. Interne Chats, Vertragsinformationen und möglicherweise personenbezogene Kundendaten gelten als betroffen. Carglass hat auf Anfrage mehrerer Medien bisher keine Stellungnahme abgegeben – ein typischer Schritt, solange forensische Analysen noch laufen.
Fluke
Fluke Corporation, bekannt für elektrische Messtechnik, ist ein Tochterunternehmen von Fortive und beliefert unter anderem Infrastruktur- und industrielle Automatisierungsunternehmen weltweit. Cl0p behauptet, über 300 GB Daten entwendet zu haben, inklusive Schaltplänen, Entwicklungsunterlagen und interner Mails. Insbesondere beunruhigend: Einige Dateien sollen sicherheitsrelevante Firmware-Komponenten beinhalten.
NHS (National Health Service, UK)
Das britische Gesundheitswesen ist kein Neuling in Sachen Cyberangriffe – man erinnere sich an die WannaCry-Attacke 2017. Laut Cl0p war dieses Mal ein externer IT-Dienstleister betroffen, über den Cl0p Zugriff auf kritische NHS-Systeme erlangt haben will. Veröffentlicht wurden Auszüge aus E-Mail-Kommunikation, Dienstplänen und internen Richtlinien. NHS bestreitet derzeit jeglichen direkten Angriff auf ihre Kernsysteme, bestätigt jedoch laufende Überprüfungen ausgelagerter Infrastrukturen.
So dringt Cl0p in Systeme ein – bekanntes Muster, neue Schwächen
Die Gruppe nutzt immer wieder ähnliche Einstiegspunkte: Zero-Day-Schwachstellen, besonders in Drittanbietersoftware, etwa bei MOVEit Transfer-Lücken (CVE-2023-34362), die 2023 dutzende Unternehmen betrafen, darunter auch Shell, British Airways und das Bildungsministerium von Louisiana. Branchenspezifisch bevorzugt Cl0p externe File-Transfer-Dienste, Managed Service Provider und ungesicherte Remote Desktop Ports.
In einer Analyse von Mandiant stellte sich heraus, dass Cl0p häufig Living-off-the-Land-Techniken anwendet, also legitime Systemtools wie PowerShell für persistente Zugriffe nutzt. Die hohe Qualität der Verschlüsselung, gekoppelt mit organisiertem Leak-Marketing, macht die Gruppe besonders gefährlich.
Ökonomische Schäden durch Cl0p – ein weltweites Problem
Ransomware bleibt eine der teuersten Cyberbedrohungen: Laut IBM’s Cost of a Data Breach Report 2024 liegt der weltweite Durchschnittsschaden pro Angriff inzwischen bei 4,45 Millionen US-Dollar – ein Anstieg um 15% innerhalb von zwei Jahren.
Die von Cl0p verursachten Schäden sind besonders hoch, da die Gruppe bevorzugt Großunternehmen angreift. Ein Beispiel: Der Angriff auf den MOVEit-Filetransfer-Dienst im Sommer 2023 betraf über 2.000 Organisationen und kompromittierte mehr als 60 Millionen persönliche Datensätze (Quelle: Emsisoft, Ransomware Report 2024).
Konkrete Schwachstellen bei Carglass, Fluke und NHS
Eine gemeinsame Analyse mehrerer Sicherheitsexperten verweist bei den betroffenen Organisationen auf wiederkehrende strukturelle Probleme:
- Veraltete Software-Komponenten: In mehreren Instanzen waren ungeschützte Dienste online erreichbar (NHS über Drittanbieter, Fluke mit unsicheren APIs).
- Schwache Zugangskontrollen: Cl0p verschafft sich oft über kompromittierte Zugangsdaten oder nicht implementierte MFA-Zugänge Zugriff – ein mutmaßlicher Angriffsvektor im Fall Carglass.
- Mangelnde Sichtbarkeit von Supply Chains: Externe Dienstleister sind häufig das Einfallstor – ein altbekanntes Problem, besonders kritisch im Gesundheitssektor.
Die Analyse unterstreicht: Auch global aufgestellte Organisationen vernachlässigen grundlegende Cyberhygiene, was Cl0p systematisch auszunutzen weiß.
Mögliche Auswirkungen auf Verbraucher und Geschäftspartner
Was bedeutet der Datendiebstahl konkret? Bei Carglass könnten Kundendaten wie Namen, Telefonnummern, Kfz-Daten und Standortinformationen im Darknet landen. Bei NHS sind es medizinisch-administrative Angaben einzelner Einheiten. Bei Fluke hingegen könnten vertrauliche Konstruktionspläne und -daten zu Produkten in die Hände von Wettbewerbern oder staatlich unterstützten Akteuren gelangen.
Die Folgen reichen von gezielten Phishing-Angriffen gegen Kunden bis hin zu Industriespionage. Auch Reputationsverluste, mögliche Vertragsstrafen und regulatorische Sanktionen (etwa DSGVO-Bußgelder in Europa) sind denkbar.
Wie Unternehmen sich gegen Cl0p schützen können
Cl0p ist kein isolierter Akteur – ihre Vorgehensweisen ähneln denen anderer Gruppen wie BlackCat, LockBit oder RansomHouse. Die Gegenmaßnahmen sind deshalb übertragbar. Unternehmen sollten:
- Zero-Trust-Strategien implementieren: Kein Nutzer oder System erhält mehr Rechte als nötig. Policies für Netzwerksegmentierung und Microsegmentation reduzieren Angriffsflächen.
- Externe Softwaredienste regelmäßig auditieren: Besonders File-Sharing-, Logistik- und Wartungstools müssen geprüft und abgesichert werden.
- Schwachstellenmanagement automatisieren: Tools wie Tenable oder Rapid7 ermöglichen frühzeitige Erkennung verwundbarer Komponenten.
Ausblick: Wie geht es weiter – und was kann die Community tun?
Ransomware-Kollektive wie Cl0p haben sich professionalisiert. Sie agieren organisiert, mit Entwicklerteams, Kundenbetreuungstools, Ticketingsystemen und PR-Strategen. Gemeinsames Lernen in der Security-Branche, stärkere Meldepflichten und öffentlich-private Kooperationen sind der Schlüssel zur Verteidigung.
Deshalb unser Appell: Wenn Sie in einem IT-Team arbeiten – tauschen Sie sich regelmäßig mit Kollegen aus, teilen Sie Indicators of Compromise (IOCs) mit Meldestellen wie CERTs oder dem BSI und lassen Sie Sicherheitsfehler nicht zu einem PR-Desaster werden.
Wie hat Ihr Unternehmen Ransomware in den letzten 12 Monaten erlebt? Schreiben Sie uns Ihren Erfahrungsbericht und diskutieren Sie mit anderen in den Kommentaren.
