Von Azure-Tenants: Hacker will Millionen von Datensätzen erbeutet haben

Ein massiver Datenabfluss erschüttert die Unternehmenswelt

In der digitalen Unterwelt ist ein neuer Vorfall bekannt geworden, der die Sicherheit von Cloud-Infrastrukturen in den Fokus rückt. Ein Akteur, der unter dem Pseudonym „TheHatman“ in einschlägigen Hackerforen agiert, behauptet, Zugriff auf sensible Informationen von weltweit operierenden Großkonzernen erlangt zu haben. Die Dimension des Vorfalls ist beträchtlich, da nach Angaben des Angreifers Millionen von Datensätzen betroffen sind, die nun zum Verkauf stehen. Im Zentrum der mutmaßlichen Attacke stehen die sogenannten Azure-Tenants, also die logisch getrennten Umgebungen innerhalb der Microsoft-Cloud-Plattform, die von den betroffenen Firmen genutzt werden. Der Vorfall wurde am 18. August 2026 publik und hat seither für erhebliche Aufmerksamkeit in der IT-Sicherheitsbranche gesorgt. Die Behauptung, dass es sich um Mitarbeiterdaten handelt, verleiht der Angelegenheit eine besondere Brisanz, da hierdurch nicht nur die Unternehmen selbst, sondern auch eine Vielzahl von Beschäftigten potenziellen Risiken durch Identitätsdiebstahl oder gezielte Phishing-Angriffe ausgesetzt sein könnten. Die Art und Weise, wie diese Daten im Darknet präsentiert werden, deutet auf ein organisiertes Vorgehen hin, das darauf abzielt, aus den erbeuteten Informationen finanzielles Kapital zu schlagen.

Details zu den betroffenen Datensätzen und den betroffenen Unternehmen

Die Sicherheitsforscher von Hudson Rock haben sich intensiv mit den Behauptungen von TheHatman auseinandergesetzt und eine detaillierte Auswertung der vorliegenden Informationen vorgenommen. Laut ihren Erkenntnissen umfasst der Datensatz insgesamt mehr als drei Millionen Einträge. Die Analyse der bereitgestellten Stichproben durch die Experten legt nahe, dass die Informationen authentisch sind. Zu den betroffenen Unternehmen gehören namhafte Akteure aus verschiedenen Branchen. McDonald's führt die Liste mit rund 1,7 Millionen Datensätzen an, gefolgt von Tata Consultancy Services (TCS) mit 800.000 Einträgen. Auch der Telekommunikationsriese Vodafone ist mit 425.000 Datensätzen betroffen. Weitere Unternehmen auf der Liste sind HCL Technologies (250.000), die Intercontinental Hotels Group (IHG) mit 185.000, Kyndryl (170.000), Gap Inc. (80.000), Hexaware Technologies (20.000) sowie Wyndham Hotels (9.000). Die Datensätze enthalten laut Hudson Rock eine Vielzahl sensibler Informationen, darunter vollständige Namen, E-Mail-Adressen, Telefonnummern, physische Postanschriften, interne Mitarbeiternummern sowie Angaben zur jeweiligen beruflichen Position und den Vorgesetzten. In einigen Fällen sollen sogar administrative Zugangsdaten oder Dienst-Accounts kompromittiert worden sein, was das Gefahrenpotenzial für die betroffenen IT-Infrastrukturen massiv erhöht.

Hintergrund und Ursprung der Sicherheitslücke

Die Frage, wie es zu einem derart weitreichenden Zugriff kommen konnte, steht im Zentrum der Untersuchungen. Der Angreifer selbst gibt an, durch kompromittierte Zugangsdaten in die Azure-Umgebungen eingedrungen zu sein. Die Experten von Hudson Rock gehen nach ihrer Analyse davon aus, dass hier keine systemweite Zero-Day-Sicherheitslücke innerhalb der Microsoft-Azure-Plattform vorliegt. Vielmehr deuten die Indizien darauf hin, dass eine gezielte Infektion mit sogenannter Infostealer-Malware die Ursache für den Abfluss der Anmeldedaten ist. Diese Schadsoftware ist darauf spezialisiert, Anmeldeinformationen, die lokal auf den Rechnern von Mitarbeitern gespeichert sind, abzugreifen und an die Angreifer zu übermitteln. Die Forscher begründen ihre Einschätzung damit, dass das Spektrum der betroffenen Organisationen zu spezifisch ist. Wäre eine grundlegende Sicherheitslücke in Azure ausgenutzt worden, hätte man eine wesentlich breitere Streuung der Opfer erwartet, die auch kleinere Unternehmen und Organisationen umfasst hätte. Die aktuelle Kampagne scheint stattdessen auf gezielten Angriffen gegen die Endgeräte von Mitarbeitern zu basieren, deren Zugangsdaten anschließend zur Übernahme der Cloud-Tenants genutzt wurden.

Die Akteure und ihre Reaktionen auf den Vorfall

Auf der einen Seite steht der Akteur „TheHatman“, der im Darknet als Verkäufer der Daten auftritt und behauptet, die Kontrolle über die Zugänge erlangt zu haben. Auf der anderen Seite stehen die Sicherheitsforscher von Hudson Rock, die den Vorfall untersuchen und die Öffentlichkeit sowie die betroffenen Firmen über das Ausmaß informieren. Die betroffenen Konzerne reagieren unterschiedlich auf die Anschuldigungen. Während einige Unternehmen schweigen, haben sich Tata und Gap Inc. gegenüber dem Medium Bleeping Computer geäußert. Beide Firmen erklärten, dass ihre eigenen Untersuchungen bisher keine Hinweise auf eine aktuelle Kompromittierung ihrer Systeme ergeben hätten. Ein interessanter Aspekt in diesen Stellungnahmen ist der Hinweis, dass es sich bei den angebotenen Daten um Informationen handeln könnte, die bereits mehrere Jahre alt sind. Diese Einschätzung der Unternehmen deckt sich teilweise mit der Annahme der Sicherheitsforscher, dass die Daten zwar echt sind, aber möglicherweise aus älteren Vorfällen oder einer langfristigen Ansammlung von gestohlenen Informationen stammen könnten. Dennoch bleibt die Situation für die betroffenen Mitarbeiter und die IT-Abteilungen der Konzerne angespannt, da die Veröffentlichung solcher Daten immer ein Sicherheitsrisiko darstellt.

Einordnung der Bedrohungslage für Cloud-Infrastrukturen

Einzuordnen ist dieser Vorfall als ein deutliches Warnsignal für die Sicherheit in modernen Cloud-Umgebungen. Den Berichten zufolge zeigt sich hier, dass die Schwachstelle oft nicht in der Cloud-Plattform selbst liegt, sondern an den Endpunkten der Nutzer. Die Verwendung von Infostealer-Malware ist eine bewährte Methode von Cyberkriminellen, um die Sicherheitsbarrieren von Unternehmen zu umgehen. Sobald ein Angreifer im Besitz gültiger Anmeldedaten ist, kann er sich oft problemlos als legitimer Nutzer oder Administrator im Azure-Tenant bewegen. Die Tatsache, dass hierbei auch Admin-Accounts betroffen sein könnten, ist besonders kritisch zu bewerten, da dies den Angreifern weitreichende Möglichkeiten zur Manipulation oder zum weiteren Datendiebstahl eröffnet. Dass die Daten laut den Unternehmen bereits älter sein könnten, mindert das Risiko für die betroffenen Personen zwar in Bezug auf aktuelle Passwörter, entwertet die Daten jedoch nicht vollständig. Historische Mitarbeiterdaten können für Social-Engineering-Angriffe oder gezielte Phishing-Kampagnen weiterhin sehr wertvoll sein. Die Branche muss daher verstärkt in den Schutz der Endgeräte und in moderne Authentifizierungsmethoden wie Multi-Faktor-Authentifizierung investieren, um solche Szenarien in Zukunft zu verhindern.

Offene Fragen und verbleibende Unsicherheiten

Trotz der intensiven Analyse durch die Sicherheitsforscher bleiben zahlreiche Fragen ungeklärt, die für ein vollständiges Verständnis des Vorfalls von Bedeutung wären. Zunächst ist völlig unklar, wie genau der Angreifer „TheHatman“ an die ursprünglichen Anmeldedaten gelangt ist. Die Theorie der Infostealer-Malware ist zwar plausibel, doch der konkrete Infektionsweg bleibt im Dunkeln. Ebenso offen ist die Frage, warum diese Datenmengen ausgerechnet jetzt im Darknet zum Verkauf angeboten werden, wenn es sich – wie einige Unternehmen vermuten – um ältere Datensätze handelt. Es stellt sich die Frage, ob die Daten über einen längeren Zeitraum gesammelt wurden oder ob sie aus einem bisher unbekannten, zentralen Datenleck stammen, das nun erst durch den Verkauf bekannt wird. Auch die genaue Authentizität jedes einzelnen Datensatzes lässt sich ohne Zugriff auf die internen Systeme der betroffenen Konzerne nur schwer verifizieren. Die Diskrepanz zwischen der Behauptung des Hackers und der Einschätzung der Unternehmen bezüglich der Aktualität der Daten bleibt ein zentraler Punkt, der bisher nicht abschließend geklärt werden konnte. Es fehlen zudem Informationen darüber, welche konkreten Schutzmaßnahmen die betroffenen Unternehmen nach Bekanntwerden der Vorwürfe eingeleitet haben.

Ausblick auf die weitere Entwicklung der Lage

Wie es in dieser Angelegenheit weitergeht, hängt maßgeblich von den weiteren Ermittlungen der betroffenen Unternehmen und der Sicherheitsbehörden ab. Bisher haben die betroffenen Konzerne lediglich mitgeteilt, dass sie keine Hinweise auf eine aktuelle Kompromittierung ihrer Systeme gefunden haben. Es ist zu erwarten, dass die IT-Sicherheitsabteilungen der betroffenen Firmen ihre Überwachungsmaßnahmen in den Azure-Tenants weiter verschärfen und möglicherweise eine erweiterte Prüfung der Zugriffsrechte vornehmen werden. Da die Daten nun im Darknet kursieren, ist zudem davon auszugehen, dass die betroffenen Mitarbeiter in den kommenden Monaten vermehrt mit Phishing-Versuchen oder anderen Betrugsmaschen konfrontiert werden könnten, was eine erhöhte Wachsamkeit der Belegschaft erfordert. Ob es zu einer offiziellen Strafverfolgung gegen den Akteur hinter dem Pseudonym „TheHatman“ kommt, bleibt abzuwarten, da die Identifizierung von Tätern im Darknet erfahrungsgemäß äußerst komplex ist. Die IT-Welt wird das weitere Vorgehen der betroffenen Konzerne sowie mögliche Stellungnahmen von Microsoft zur Sicherheit ihrer Azure-Tenants in diesem Kontext genau beobachten, um daraus Lehren für die Absicherung von Cloud-Diensten zu ziehen.