Europäische Kommission: Cloud-Breach bei Europa.eu

Die Europäische Kommission hat einen Cyberangriff auf ihre Cloud-Infrastruktur bestätigt, den sie am 24. März 2026 entdeckt hatte – konkret auf die AWS-Umgebung von Europa.eu. Die Hackergruppe ShinyHunters beansprucht die Verantwortung und behauptet, über 350 GB sensibler Daten exfiltriert zu haben. Der Vorfall trifft eine der zentralen Institutionen der EU und zeigt, dass auch behördliche Cloud-Umgebungen keine Ausnahme sind.

Was passiert ist

Die Gruppe, die den Angriff für sich beansprucht, ist für hochkarätige Einbrüche bei Ticketmaster, AT&T und weiteren Unternehmen bekannt. Die Angreifer behaupten, über den AWS-Account der Kommission in deren Infrastruktur eingedrungen zu sein, und haben als Beweis Samples des angeblich erbeuteten Datenmaterials veröffentlicht.

Die Kommission hat den Angriff bestätigt, betont jedoch, dass interne Systeme nicht betroffen seien und die Europa.eu-Webseiten unterbrechungsfrei weiterbetrieben wurden. Die Reaktion war schnell: Maßnahmen zur Eindämmung wurden eingeleitet, und betroffene EU-Stellen werden aktiv benachrichtigt.

AWS selbst bestreitet einen Sicherheitsvorfall innerhalb seiner eigenen Cloud-Umgebung. Die Kompromittierung erfolgte demnach über den AWS-Account der Kommission – nicht über die Infrastruktur von AWS selbst.

Was angeblich gestohlen wurde

Laut den Angreifern umfasst die erbeutete Datenmenge unter anderem:

• Mail-Server-Dumps und E-Mail-Anhänge: interne Kommunikation der Kommission
• SSO-Nutzerverzeichnis: eine vollständige Liste aller Nutzer des Single-Sign-on-Systems
• DKIM-Signing-Keys: private Schlüssel für die E-Mail-Signatur der Kommissionsdomains
• AWS-Konfigurationssnapshots: vollständige Einblicke in die Cloud-Architektur
• NextCloud- und Athena-Daten: Daten aus internen Datei- und Analyseplattformen
• Interne Admin-URLs: Zugangspunkte zu administrativen Systemen

Ob diese Behauptungen vollständig der Wahrheit entsprechen, war zum Zeitpunkt der Veröffentlichung Gegenstand der laufenden Untersuchung. Einige Datensamples wurden jedoch öffentlich zugänglich gemacht und von Sicherheitsforschern als plausibel bewertet.

Nachtrag vom 20. Oktober 2026: CERT-EU hat am 2. April 2026 eine Analyse des Vorfalls veröffentlicht. Demnach erlangten die Angreifer am 19. März einen AWS-API-Schlüssel der Kommission über einen Supply-Chain-Angriff auf einen verbreiteten Open-Source-Schwachstellenscanner. ShinyHunters veröffentlichte die Daten am 28. März, rund 91,7 GB komprimiert (340 GB entpackt). Bestätigt sind laut CERT-EU unter anderem Namen, Benutzernamen und E-Mail-Adressen sowie mindestens 51.992 Dateien aus ausgehender E-Mail-Kommunikation; betroffen sein können auch Daten von mindestens 29 weiteren EU-Einrichtungen. DKIM-Schlüssel, SSO-Verzeichnis und AWS-Konfigurationen erwähnt die Analyse nicht.

Warum das weit über die EU hinauswirkt

Der beunruhigendste Aspekt ist nicht die schiere Datenmenge – es sind die angeblich gestohlenen DKIM-Schlüssel und das SSO-Nutzerverzeichnis.

DKIM-Schlüssel erlauben es, E-Mails im Namen der kompromittierten Domain kryptografisch zu signieren. Wer diese Schlüssel besitzt, kann täuschend echte Phishing-Mails verschicken, die von E-Mail-Sicherheitssystemen als legitim eingestuft werden – signiert von @europa.eu. Das Missbrauchspotenzial für gezielte Angriffe auf andere Behörden, Partner oder Bürger ist enorm.

Ein vollständiges SSO-Verzeichnis liefert Angreifern eine detaillierte Karte aller Nutzer, Rollen und potenziellen Angriffspunkte – Grundlage für weitreichende Credential-Stuffing- oder Spear-Phishing-Kampagnen.

AWS-Konfigurationssnapshots sind technische Blaupausen der Infrastruktur: Welche Dienste laufen? Welche IP-Ranges, Sicherheitsgruppen und IAM-Policies sind aktiv? Wer diese Daten kennt, kann gezielt nach weiteren Schwachstellen suchen – auch in anderen EU-Systemen, die ähnlich aufgebaut sind.

Ein strukturelles Problem – keine Ausnahme

Dieser Vorfall ist kein Einzelfall, sondern Ausdruck eines tieferliegenden Problems: Behörden und große Organisationen betreiben zunehmend komplexe Cloud-Infrastrukturen – oft mit historisch gewachsenen Konfigurationen, dezentraler Verwaltung und unzureichendem Monitoring der tatsächlichen Angriffsfläche.

Die Kommission betreibt eine der größten Webpräsenzen Europas auf AWS-Infrastruktur. Wer den Überblick über den eigenen Cloud-Fußabdruck verliert, verliert auch die Kontrolle über seine Angriffsfläche.

Die entscheidende Frage lautet nicht „Haben wir eine Cloud?“, sondern: „Wissen wir, was in unserer Cloud exponiert ist?“

Was Unternehmen jetzt tun müssen

Auch wenn dieser Angriff eine EU-Institution betrifft, lassen sich die Implikationen direkt auf Unternehmen übertragen:

• Cloud-Asset-Inventar: Welche AWS-, Azure- oder GCP-Ressourcen sind von außen erreichbar? Werden veraltete oder vergessene Konfigurationen laufend geprüft?
• DKIM-Keys und Signing-Credentials rotieren: insbesondere wenn Drittdienstleister Zugriff auf die Mail-Infrastruktur haben.
• SSO und IAM regelmäßig auditieren: Wer hat Zugriff auf welche Systeme – und wer eigentlich nicht mehr?
• Darknet-Monitoring aktivieren: Samples aus diesem Breach wurden bereits veröffentlicht und kursieren möglicherweise in einschlägigen Foren.

Wie blacklens.io hier unterstützt

blacklens.io hilft, genau solche blinden Flecken sichtbar zu machen: Exponierte Cloud-Assets und fehlerhafte Konfigurationen werden regelmäßig erfasst, standardmäßig wöchentlich und auf Knopfdruck sofort. Tauchen Zugangsdaten aus einem solchen Breach in Combolists oder Infostealer-Logs auf, erkennt das Darknet Monitoring sie und ordnet sie automatisch Mitarbeitenden oder Kunden des eigenen Unternehmens zu, damit Sie proaktiv reagieren können.