Unschöne Nachricht für Kunden, die sich über die GUTcert einer Zertifizierung unterzogen haben. Der Anbieter ist Opfer eines Hackerangriffs geworden, bei dem auch Kundendaten abgeflossen sind. Betroffene scheinen vom Unternehmen gerade informiert zu werden, wie ein Leser mir heute mitteilte. **Ergänzung:** Information, warum das für KRITIS-Unternehmen brisant ist, nachgetragen. Wenn die Befürchtungen zutreffen, dürfte dieser Sicherheitsvorfall deutlich brisanter als der Angriff auf das Landesnetz Berlin sein, wo Informationen über KRITIS-Bereiche abgeflossen sind. ## Wer ist die die GUTcert? Mir sagte die GUTcert nichts, also habe ich mal nachgesehen. Laut Webseite ist die GUTcert (GUT Certifizierungsgesellschaft für Managementsysteme mbH) mit Sitz in Berlin ist eine führende, international anerkannte Gesellschaft für die Zertifizierung von Managementsystemen und Umweltdienstleistungen. Von diesem Anbieter werden folgende Zertifizierungen und Audits, die externe Kunden beauftragen können, aufgeführt: * Managementsysteme: Zertifizierungen nach ISO-Standards (z. B. ISO 9001 für Qualität, ISO 14001 für Umwelt). * Umwelt und Klima: Validierungen nach dem EMAS-Standard der EU sowie Verifizierungen von Treibhausgasbilanzen (Carbon Footprints) und EU-ETS-Emissionsberichten. * Prüfungen und Bildung: Audits nach AZAV (für Bildungsträger) sowie Weiterbildungen und Seminare über die hauseigene GUTcert Akademie. Die DGUTcert ist ein Tochterunternehmen der weltweit tätigen AFNOR Group. Die AFNOR Group (Groupe AFNOR) ist eine international tätige französische Organisation mit Sitz in Saint-Denis bei Paris, der offizielle Träger und Koordinator des Normungswesens in Frankreich. ## Cyberangriff auf die GUTcert Ein Blog-Leser informierte mich zum heutigen 19. September 2026 per E-Mail, dass es einen Cyberangriff auf die GUTcert gegeben habe (danke dafür). Die Aussage lautete, dass am 16. September 2026 viele Zertifizierungskunden der GUTcert über einen Hackerangriff und den damit verbundenen Abfluss von 640 GB an Daten/Informationen informiert worden seien. Der Leser schrieb: Betroffen sind, gem. Angaben der GUTcert, die _Betriebsstättenliste_ , also Informationen zu Standorten von Umspannwerken, Ortsnetzstationen und Gasdruckregelanlagen, _Netzstrukturpläne_ mit der IT-/OT-Infrastruktur sowie _technische Informationen und Angaben zu Schwachstellen_. Unternehmen der kritischen Infrastruktur, z.B. Energieversorgungsunternehmen, Netzbetreiber Strom und Gas sowie Kraftwerksbetreiber sollen prüfen ob hierdurch ein meldepflichtiger Sicherheitsvorfall entsteht. ### Angriff ab 5. September 2026 GUTCert hat diesen Cyberangriff auf dieser ständig aktualisierten Webseite als Sicherheitsvorfall bestätigt. Am 05.09.2026 haben unbekannte Dritte sich unbefugten Zugriff auf Teile der IT-Systeme des Unternehmens verschafft. Im Zeitraum vom 06.09.2026 bis 09.09.2026 seien rund 640 GB Daten entwendet worden. Der Sicherheitsvorfall wurde in der Nacht vom 09. auf den 10.09.2026 im Rahmen einer Routinetätigkeit spät abends bemerkt. Die zu diesem Zeitpunkt identifizierten Zugänge der Angreifer wurden am 10.09. 2026 unterbrochen. Als Maßnahmen wurden von der IT folgendes unternommen: * Kompromittierte Benutzer-Accounts deaktiviert * Jegliche VPN-Zertifikate ausgetauscht * Automatische Systemüberwachungen sensibilisiert * Kerberos KRBTGT-Konto zweimal zurückgesetzt * Jegliche Admin-Zugangsdaten und SSH-Keys geändert * Angegriffenes Initialsystem dekommissioniert * Domain-CA-Zertifikat sowie weitere Zertifikate neu ausgestellt * Mitarbeitende sensibilisiert Am 15.09.2026 wurde im Zuge der weiteren Untersuchung eine noch aktive E-Mail-Sitzung festgestellt und beendet. Die forensische Prüfung möglicher weiterer Aktivität dauert an. Der Anbieter hat zum 11.09.2026 ein Meldung an die Berliner Beauftragte für Datenschutz und Informationsfreiheit sowie an das LKA gemacht. Zusätzlich habe man auf freiwilliger Basis das BSI informiert, gibt GUTcert an. Betroffene Kunden und Auditoren wurden am 14.09.2026 durch das Unternehmen, laut dessen Aussage, informiert. ### Diese Daten sind abgeflossen Zu diesem letztgenannten Datum fand auch die Beauftragung eines externen IT-Forensikers statt. Nach jetzigem Kenntnisstand sind folgende Datenkategorien betroffen. Sobald wir mehr Informationen haben, werden wir Sie umgehend informieren: * Personenbezogene Daten der Mitarbeitenden * Finanz- und steuerrechtliche Daten der GUTcert * Kundendaten, die in der internen Projektablage gespeichert wurden, darunter: * Kontaktdaten * möglicherweise Beschäftigtendaten (wird derzeit noch geprüft) * Auditnachweise und Auditberichte * Managementsystem- und Verfahrensdokumentationen * technische Informationen und Angaben zu Schwachstellen * Kundeninformationen * möglicherweise Zugangsdaten, Zertifikate oder sonstige vertrauliche Informationen (wird derzeit noch geprüft) Nach aktuellem Ermittlungsstand liegen keine Hinweise auf einen unbefugten Zugriff auf die Nextcloud-Plattform oder die dort gespeicherten Daten vor. Derzeit liegen keine Hinweise vor, dass gesonderte personenbezogene Datenbestände der für die GUTcert tätigen Auditoren und Auditorinnen aus den internen Projektablagen abgeflossen sind. ### Es können sich Meldepflichten für Kunden ergeben In einer von GUTcert bereitgestellten FAQ findet sich die Information, dass das Unternehmen auch als Auftragsverarbeiter für Kunden tätig sei. Dann ergeben sich für die Kunden eigene Meldepflichten nach DSGVO. Unternehmen die unter das BSI-Sicherheitsgesetz (BSIG) und die NIS2-Regulierung fallen und als Kunden betroffen sind, müssen auch hier prüfen, ob eine Meldepflicht besteht. ### Angriff von finanziell motivierter Gruppe Am 12.09.2026 fand laut Unternehmen der erste Erpressungsversuch der (ungenannten) Angreifer statt. Dieser sei durch das Unternehmen bis heute nicht beantwortet worden und man werde auch nicht auf die Erpressung eingehen. Am 15.09.2026 gab es dann wohl eine weitere Erpresser-Mail, auf die auch nicht reagiert wurde. Aufgrund der gegenüber GUTcert ausgesprochenen Erpressung ist damit zu rechnen, dass entwendete Daten veröffentlicht oder anderweitig missbräuchlich verwendet werden. Das Unternehmen informiert auf der oben verlinkten Webseite, die auch eine FAQ enthält, laufend über die Erkenntnisse der forensischen Analyse. ### Kunden erhalten Mails der Erpresse GUTCert hat auf dieser ständig aktualisierten Webseite des Sicherheitsvorfall angegeben, dass Kunden und Auditoren von den Erpressern zum 20.09.2026 per E-Mail kontaktiert wurden. Die E-Mail ging an viele Kunden, Ansprechpartner, Auditorinnen und Auditoren und Mitarbeitende. Die Nachricht beinhaltet Download-Links, hinter denen sich illegal kopierte und von der GUTcert gestohlenen Daten verbergen. Die GUTCert bittet, ihnen diese E-Mails zukommen zu lassen und sie von Ihrem Konto zu löschen. Mein Tipp-Geber meint dazu: "Das Löschen ist nach meiner Auffassung nicht richtig". Seines Erachtens, müsste das betroffene Unternehmen Anzeige erstatten. Im weiteren könnten sich Schadenersatzgründe daraus ergeben. Ein weiterer Leser hat mich ebenfalls auf diesen Sachverhalt hingewiesen (danke dafür) und schrieb: * Ist die Aufforderung des Löschens von Erpressungsmails an Kunden kein Aufruf zum Löschen von relevanten Beweismaterialien? * Im ersten Punkt der GUTcert FAQ-Liste wird gesagt, dass GUTcert mit Betroffenen Kunden via Google Mail kommuniziert. Eine konkrete Adresse wird nicht erwähnt. Das öffnet das Möglichkeiten für effektive Phishing Mails im Namen der GUTcert in Verbindung mit einem beliebigen GMail-Account. Hier gehe ich mit den von den beiden Personen geäußerten Bedenken durchaus konform. ## Für KRITIS-Unternehmen brisant In einer Nachtrags-Mail hat der Blog-Leser mir noch eine Einschätzung gegeben, warum der Vorfall für Unternehmen der kritischen Infrastruktur (KRITIS) eine gewisse Brisanz hat. Die Aussage des Lesers lautete: > Die GUTcert ist eine Zertifizierungsstelle und führt Zertifizierungen und Audits für Produkte und Managementsysteme durch. Dazu gehören ISO 27001 Informationssicherheitsmanagement und gesetzlich vorgeschriebene Zertifizierungen nach IT-Sicherheitskatalog 1a Energienetze für Strom und Gas und 1b Erzeugungsanlagen/ Kraftwerke. Außerdem Prüfungsunterlagen und Dokumente für die Prüfung von Systemen zur Angriffserkennung (SzA) und Unternehmen die eine KRITIS Prüfung nachweisen müssen. > > Im Rahmen der Zertifizierungen die durchgeführt und jährlich überwacht werden, sind die auditierten Unternehmen aufgefordert teils sehr sensible Informationen als Nachweise an die Zertifizierungsstellen hochzuladen. Das bedeutet, die Zertifizierungsstelle sammelt sensible und teils kritische Informationen von Energieversorgern bundesweit. Ohne Hinterlegung bzw. Hochladen der Daten an die Zertifizierungsstelle, und das ist bei allen Zertifizierungsgesellschaften gleich (TÜV, SGS, DEKRA, u.a.) bekommt das Unternehmen kein Zertifikat. Welche hohe Kritikalität und erheblichen Wert die gestohlenen Informationen über Unternehmen der kritischen Infrastrukturen (Strom, Gas, Kraftwerke, teilweise Wasserversorgung) in Deutschland für Hacker und staatliche Akteure an dieser Stelle haben, hat der Leser dann präzisiert. Kritisch hierbei sind nach Aussagen des Lesers die gesetzlichen und regulatorischen Zertifizierungen wie IT-Sicherheitskatalog 1a Energienetze und 1b Kraftwerke. Ein Netzbetreiber muss seine besonders sensiblen Informationen zu seinem Netzwerk und seiner IT-/OT-Umgebung nebst genauer Standortangabe an eine irgendwie geschützte Infrastruktur einer Zertifizierungsstelle hochladen. Das sind die Informationen, die man laut Energiewirtschaftsgesetz besonders schützen muss, um die Versorgungssicherheit sicherzustellen. Der Leser hat aus den von GUTcert aufgeführten Dokumenten, die mutmaßlich abgeflossen sind, folgende Punkte präzisiert und einiges gefettet: * **Kontaktdaten:** Informationssicherheitsbeauftragte, CISO, ISO u.a. * **Auditnachweise und Auditberichte:** Dokumente in unterschiedlicher Ausprägung, die im Rahmen eines Audits eingesehen werden * **Managementsystem- und Verfahrensdokumentationen:** Aufbau- und Ablauforganisation, Prozessabläufe und Verfahrensdokumentation, auch für Notfall- und Krisenmanagement. * **technische Informationen und Angaben zu Schwachstellen:** Eingesetzte IT- und OT-Systeme, deren Schwachstellen, EOL oder EOS und die Sicherheitsmaßnahmen * **Kundeninformationen/****möglicherweise Zugangsdaten:** z.B. Zugriffe auf Fileshares von denen die Auditoren oder die Zertifizierungsstellen Dokumente/ Nachweise herunterladen können * **Gesellschaftsverträge bzw. allg. Nachweise zu Konzernverbindungen:** Rechtliche Verknüpfungen von Legal-Einheiten * **Managementreviews:** beinhaltet den Jahresbericht an Vorstand/Geschäftsführer u.a. mit allen hohen Risiken und Vorschlägen zur Behebung (organisatorisch, technisch, finanziell) * **Netzstrukturpläne:** Ein Infrastrukturplan/Netzplan der gesamten Leitstelle/Leitwarte mit allen Komponenten der OT und der Fernwirktechnik (Sekundärtechnik), mit Platzierung der Firewalls, Verbindungen zu anderen Konzern-/Partner-Unternehmen, Fernwartungszugänge, abgesetzte Arbeitsplätze (das sind mobile Arbeitsplätze der Leittechnik zum Steuern und Schalten), Platzierung der gesetzlich vorgeschriebenen Systeme zur Angriffserkennung (BSI SzA) die Eindringlinge erkennen sollen. Diese Systeme arbeiten nur mit Erkennung und Meldung und nicht mit automatisierten Abschaltungen oder anderen Maßnahmen, da diese die Netzführung beeinflussen und zum Auslösen der Schutzsysteme führen können (dann ist erst mal alles dunkel). (Anm. Einige Netzbetreiber sind vor geraumer Zeit dazu übergegangen zumindest kein IP-Adressen in den Netzplänen anzugeben.) * **SLAs oder ähnliches:** vereinbarte SLAs und OLAs mit Dienstleistern * **Organigramme:** interne Organisationsstruktur des Unternehmens * **Betriebsstättenliste:** Diese umfasst ALLE Betriebsstätten eines Netzbetreibers, Stadtwerk, o.a. die nach IT-Sicherheitskatalog 1a zertifiziert sind, und das sind gem. Energiewirtschaftsgesetzt (EnWG) alle Unternehmen _,_ die ein Strom- und Gasnetz betreiben, unabhängig der Größe. Der Leser schrieb dazu: Die Liste umfasst somit für Stromnetze alle Umspannwerke, Schalthäuser, Ortsnetzstationen, Trafostationen, Blindleistungskompensationsanlagen und für Gas die Gasübernahmestationen, Gasdruckregelanlagen und Odorierungsanlagen mit genauer Anschrift (PLZ, Ort, Straße, Hausnummer und/oder GPS-Daten) eines Netzbetreibers. Die Liste umfasst i.A. auch die Angabe der netztechnischen Anbindung an die Leitstelle IEC104, IEC101, WT, GPRS, LTE u.a. Die Angreifer haben also sozusagen einen Blick auf die "Kronjuwelen" erhalten und können nun in Ruhe schauen, wie sie diese Informationen für Angriffe verwenden können. Die GUTcert liefert auf dieser Seite eine tagesaktuell gepflegte Liste der Zertifikate. Wenn sich wirklich bewahrheitet, dass die oben angerissenen Informationen abgeflossen sind, dann gute Nacht. Ein weiterer Blog-Leser, der als CIO in diesem Bereich tätig ist, hat sich bereits auf Grund des Artikels gemeldet und schrieb: "Gut das du das Thema aufgreifst denn ich glaube das Thema ist deutlich größer als bisher dargestellt. GUTCert ist auch im Bereich Zertifizierungen für KRITIS und 27001 tätig (evtl. auch Grundschutz?). Diese QM Systeme dienen wiederum alle als Grundlage für NIS2 oder TRBS 1115-1 usw." Der Leser wies in seiner Mail darauf hin, dass ausecus aus Augsburg, einer der ganz großen Unternehmen, das als Berater in eben diesem Bereich der kritischen Infrastruktur in Deutschland aktiv ist, mit GUTcert kooperiert. Der Leser äußerte die Befürchtung, dass sich aufgrund dieser Konstellation bei GutCert "hoch kritische Informationen vieler – fast alle kritischen Infrastrukturen in Deutschland – wer was wo – und aufgrund ISMS (welches Pen-Test Ergebnisse (also Schwachstellen und Wege diese zu nutzen), Netzwerkprotokolle und Pläne, Schwachstellen, Ansprechpartner- kurzum alles was zu einem KRITIS oder 27001 Audit gehört) nun abgeflossen sein könnten". Also genau der Tenor, den ich in obigem Nachtrag aufgegriffen habe. Dieser Leser fragt dann berechtigt: "Wie kann das überhaupt sein, dass diese Daten dort abliegen?" Der Fall bekäme dann eine noch größere Brisanz als der Angriff auf das Landesnetz Berlin. Bleibt nur zu hoffen, dass wir uns hinsichtlich der Befürchtungen irren. Hier müsste GUTcert und womöglich das BSI deutlich offen legen, ob da was dran ist und falls ja, was an Daten abgeflossen ist.

The decades-old mystery of the origins of one of the most popular cryptographic standards has been explained.

**Recent concerns about a political donation by a Mullvad co-founder have raised questions about the Tor Project's funding relationship with the company. We are not terminating the relationship but are setting clear boundaries on our relationship with Mullvad.** Members of the Tor community have asked us to explain how continued collaboration with Mullvad fits with the Tor Project's human rights mission. We have heard both calls to end the relationship and concerns about what that would mean for Tor's work and the communities affected. We want to explain our decision to continue our technical collaboration with Mullvad and acknowledge the difficult trade-offs behind it. Our decision followed a thorough due diligence process that involved extensive discussions with community members, staff, and the board, a staff survey, and detailed financial analysis and scenario planning. The Tor Project’s mission is to advance human rights and freedoms. We build privacy and anti-censorship tools that people use to protect themselves from repression and surveillance, and express themselves freely. We will continue this work alongside communities whose rights are under threat. While Tor defends free speech, not all speech is equally compatible with our mission. We strongly oppose rhetoric that threatens other human rights and freedoms. The work to promote and preserve the human right to privacy, free speech, and free access to information online is severely under-resourced. This work requires and benefits from collaboration across organizations. Sometimes that work requires making difficult compromises to advance specific goals we know will benefit our communities in the long run. We are continuing our technical collaboration with Mullvad to sustain work that Tor users and contributors depend on. This collaboration has helped improve the structure, maintainability, and auditability of Tor Browser’s codebase, expanded feedback from users beyond Tor Browser’s core audience, and created a lower-risk environment to test features that may later benefit Tor Browser users. It also gives more people access to online privacy through an additional free, open-source tool that serves different user needs. We recognize that the potential benefits to Mullvad of such a collaboration are difficult for some in our community to accept. Our responsibility is to ensure that this collaboration does not compromise our mission or the Tor Project's independence. Tor Project has paused proactive co-branding with Mullvad. That pause applies to joint promotional activity while the technical collaboration continues in alignment with our narrowly scoped agreement. We have also reviewed how Mullvad Browser is described and endorsed on our owned channels, and clarified language suggesting broader alignment between our values. These changes are intended to describe the relationship more accurately and avoid notions of implied endorsement. We know this decision will not satisfy everyone. Continuing the collaboration carries a cost to trust for some in our community, and we take that seriously. We are grateful to the members of our community who have raised concerns, asked hard questions, and reminded us what is at stake. Those concerns are shaping our path forward. Tor’s mission has always required both principle and pragmatism. We will continue to defend privacy, anonymity, freedom of expression, and access to information while making clear that our collaborations must serve, and never obscure, our human rights commitments.

Waren zum Knacken der Zugriffsschlüssels bislang große Rainbow-Tabellen nötig, gelingt der neue Angriff nun auch ohne diese und auf normaler PC-Hardware innerhalb weniger Sekunden.

Setz dich mit uns für ein günstigeres Deutschlandticket ein. Jetzt Petition unterschreiben!