Von Azure-Tenants: Hacker will Millionen von Mitarbeiterdaten erbeutet haben

Was geschehen ist – die Kernmeldung ausführlich

Ein Cyberkrimineller, der sich in einschlägigen Hackerforen unter dem Pseudonym „TheHatman“ präsentiert, hat für erhebliches Aufsehen in der IT-Sicherheitswelt gesorgt. Der Akteur behauptet, im Besitz von mehr als drei Millionen Datensätzen zu sein, die von Mitarbeitern weltweit agierender Großkonzerne stammen. Die Daten sollen durch kompromittierte Zugangsdaten für Azure-Tenants erlangt worden sein. Bei den betroffenen Unternehmen handelt es sich um namhafte Firmen, darunter der Fast-Food-Gigant McDonald's, der Telekommunikationskonzern Vodafone sowie der IT-Dienstleister Tata Consultancy Services. Die Meldung über den angeblichen Abfluss dieser sensiblen Informationen verbreitete sich am 18. August 2026, nachdem Sicherheitsforscher von Hudson Rock auf die Aktivitäten des Hackers aufmerksam wurden. Die Brisanz des Vorfalls liegt in der schieren Menge der betroffenen Datensätze und der Tatsache, dass es sich um interne Mitarbeiterinformationen handelt, die im Darknet zum Kauf angeboten werden. Der Hacker gibt an, den Zugriff über legitime, wenn auch kompromittierte Anmeldedaten für die Cloud-Umgebungen der jeweiligen Firmen erhalten zu haben, was die Sicherheitsarchitektur der betroffenen Unternehmen in ein kritisches Licht rückt.

Die Einzelheiten – Zahlen, Namen und Fakten

Die von Hudson Rock durchgeführte Analyse der bereitgestellten Beispieldatensätze deutet darauf hin, dass die angebotenen Informationen authentisch sein könnten. Die Datensätze sind äußerst detailliert und umfassen eine Vielzahl an persönlichen Informationen. Dazu gehören vollständige Namen, private sowie geschäftliche E-Mail-Adressen, Telefonnummern und physische Postadressen. Zudem enthalten die Datensätze interne Informationen wie Mitarbeiternummern, Angaben zur jeweiligen Position innerhalb des Unternehmens sowie die Namen der direkten Vorgesetzten. In einigen Fällen sollen sogar Informationen zu Dienst- und Administrator-Accounts enthalten sein. Die Verteilung der Datensätze auf die Unternehmen ist laut der Untersuchung von Hudson Rock wie folgt: McDonald's führt die Liste mit rund 1,7 Millionen Datensätzen an. Es folgen Tata Consultancy Services (TCS) mit 800.000 Datensätzen, Vodafone mit 425.000, HCL Technologies mit 250.000 und die Intercontinental Hotels Group (IHG) mit 185.000 Datensätzen. Weitere betroffene Unternehmen sind Kyndryl mit 170.000, Gap Inc. mit 80.000, Hexaware Technologies mit 20.000 und Wyndham Hotels mit 9.000 Datensätzen. Diese Zahlen verdeutlichen das enorme Ausmaß des potenziellen Datenlecks.

Hintergrund – Vorgeschichte und bisheriger Verlauf

Der Vorfall wirft grundlegende Fragen zur Sicherheit von Cloud-Infrastrukturen auf. Die Sicherheitsforscher von Hudson Rock vermuten, dass der Zugriff nicht durch eine systemweite Zero-Day-Sicherheitslücke direkt in Microsoft Azure ermöglicht wurde. Stattdessen gehen sie davon aus, dass die Kampagne auf einer gezielten Infektion mit Schadsoftware basiert. Konkret wird hierbei von sogenannten „Infostealern“ gesprochen. Diese Art von Malware ist darauf spezialisiert, Anmeldedaten von den Endgeräten der Nutzer abzugreifen, ohne dass diese es bemerken. Die Forscher konnten bei ihren Untersuchungen tatsächlich passende Azure-Anmeldedaten finden, die den Verdacht einer Malware-Infektion untermauern. Dass es sich nicht um eine Schwachstelle in Azure selbst handelt, schließen die Experten daraus, dass das Spektrum der betroffenen Organisationen sehr spezifisch ist. Wäre eine Sicherheitslücke in der Cloud-Plattform selbst die Ursache gewesen, hätte man vermutlich ein breiteres Spektrum an Unternehmen gesehen, das auch deutlich kleinere Firmen umfasst hätte. Die Strategie des Angreifers scheint also eher auf der Kompromittierung der Endpunkte der Mitarbeiter zu liegen, um von dort aus in die Cloud-Umgebungen der Konzerne einzudringen.

Die Beteiligten – Wer ist betroffen und wer äußert sich

Die Liste der betroffenen Unternehmen ist lang und umfasst einige der größten Arbeitgeber weltweit. Neben McDonald's, Tata Consultancy Services, Vodafone, HCL Technologies, der Intercontinental Hotels Group, Kyndryl, Gap Inc., Hexaware Technologies und Wyndham Hotels stehen auch die Sicherheitsforscher von Hudson Rock im Zentrum der Aufmerksamkeit, da sie die Analyse der Daten vorgenommen haben. Der Hacker „TheHatman“ agiert als zentrale Figur, die die Daten im Darknet anbietet. Interessanterweise haben einige der betroffenen Unternehmen bereits auf die Berichte reagiert. Laut Informationen von Bleeping Computer haben sowohl Tata Consultancy Services als auch Gap Inc. erklärt, dass sie bei ihren eigenen internen Untersuchungen keine Hinweise auf eine aktuelle Kompromittierung ihrer Systeme feststellen konnten. Die Unternehmen wiesen zudem darauf hin, dass die von dem Hacker angebotenen Daten bereits mehrere Jahre alt seien. Diese Stellungnahmen der betroffenen Konzerne bilden einen wichtigen Kontrast zu den Behauptungen des Hackers und geben Anlass zur weiteren Differenzierung bei der Bewertung der Bedrohungslage.

Einordnung – Was das bedeutet

Einzuordnen ist der Vorfall als eine ernste Warnung vor den Gefahren durch Infostealer-Malware. Die Tatsache, dass die Daten laut den betroffenen Unternehmen bereits mehrere Jahre alt sein sollen, mindert die unmittelbare Gefahr für die betroffenen Personen zwar ein Stück weit, macht den Vorfall aber nicht weniger problematisch. Den Berichten zufolge könnte das Alter der Daten ein Hinweis darauf sein, dass diese Informationen bereits in der Vergangenheit bei anderen Vorfällen abgeflossen sind und nun im Darknet neu aggregiert und zum Verkauf angeboten werden. Es ist jedoch auch möglich, dass die Daten trotz ihres Alters eine hohe Relevanz besitzen, etwa für gezielte Phishing-Angriffe oder Social-Engineering-Kampagnen. Die Authentizität der Daten, wie sie von Hudson Rock eingeschätzt wird, lässt darauf schließen, dass die Informationen tatsächlich aus den internen Systemen der Unternehmen stammen. Die Strategie, solche Daten zu bündeln und als „Azure-Tenant-Daten“ zu vermarkten, könnte ein Versuch des Hackers sein, die Aufmerksamkeit potenzieller Käufer durch die Nennung bekannter Cloud-Plattformen zu erhöhen.

Offene Fragen – Was der Quelltext nicht beantwortet

Trotz der detaillierten Analyse durch Hudson Rock bleiben wesentliche Fragen unbeantwortet. Zunächst ist völlig unklar, wie der Hacker „TheHatman“ tatsächlich an die Anmeldedaten gelangt ist. Die Theorie der Infostealer-Malware ist zwar plausibel und durch Funde gestützt, aber eine direkte Bestätigung für den konkreten Infektionsweg bei jedem einzelnen Unternehmen fehlt. Auch die Frage, warum die Daten gerade jetzt im Darknet auftauchen, obwohl sie laut einigen Unternehmen bereits Jahre alt sein sollen, bleibt offen. Es gibt keinen Hinweis darauf, ob es sich um einen neuen Abfluss handelt oder um eine Neuverwertung alter Bestände. Zudem bleibt unklar, ob die betroffenen Unternehmen, die sich bisher nicht geäußert haben, ebenfalls Untersuchungen eingeleitet haben oder ob sie von dem Vorfall bereits wussten. Die genaue Motivation des Hackers – abgesehen vom offensichtlichen finanziellen Interesse am Verkauf der Daten – wird ebenfalls nicht thematisiert. Es bleibt zudem unklar, welche konkreten Sicherheitsmaßnahmen die Unternehmen nach Bekanntwerden der Vorwürfe ergriffen haben oder ob die Azure-Zugänge mittlerweile gesichert wurden.

Wie es weitergeht – Ausstehende Schritte

Die betroffenen Unternehmen befinden sich in der Pflicht, die Integrität ihrer Systeme kontinuierlich zu überprüfen. Da sowohl Tata als auch Gap Inc. bereits Untersuchungen angestellt haben, ist davon auszugehen, dass auch die anderen genannten Konzerne ihre Sicherheitsvorkehrungen prüfen oder bereits verschärft haben. Die Sicherheitsforscher von Hudson Rock werden vermutlich weiterhin die Aktivitäten im Darknet beobachten, um festzustellen, ob weitere Daten auftauchen oder ob die Kampagne des Hackers „TheHatman“ weitere Kreise zieht. Für die betroffenen Mitarbeiter der genannten Unternehmen bleibt die Situation unsicher, da die Verbreitung ihrer persönlichen Daten im Darknet das Risiko für Identitätsdiebstahl oder gezielte Betrugsversuche dauerhaft erhöht. Ob es zu einer offiziellen Untersuchung durch Behörden kommt oder ob Microsoft als Betreiber der Azure-Plattform in die Aufklärung stärker involviert wird, bleibt abzuwarten. Es gibt im aktuellen Quelltext keine konkreten Termine für weitere Veröffentlichungen oder behördliche Maßnahmen, sodass die Situation vorerst in der Phase der Analyse und der internen Aufarbeitung durch die betroffenen Unternehmen verharrt.