Europäische Kommission – Cloud-Breach bei Europa.eu
Am 24. März 2026 bestätigte die Europäische Kommission einen Cyberangriff auf ihre Cloud-Infrastruktur – konkret auf die AWS-Umgebung von Europa.eu. Die Hackergruppe ShinyHunters beansprucht die Verantwortung und behauptet, 350 GB sensibler Daten exfiltriert zu haben. Der Vorfall trifft eine der zentralsten Institutionen der EU – und zeigt, dass auch behördliche Cloud-Umgebungen keine Ausnahme sind.
Was passiert ist
Die verantwortliche Hackergruppe ist für hochkarätige Einbrüche bei Ticketmaster, AT&T und diversen weiteren Unternehmen bekannt. Die Angreifer behaupten, über den AWS-Account der Kommission in deren Infrastruktur eingedrungen zu sein – und haben als Beweis Samples des angeblich erbeuteten Datenmaterials veröffentlicht.
Die Kommission hat den Angriff bestätigt, betont jedoch, dass interne Systeme nicht betroffen seien und die Europa.eu-Webseiten unterbrechungsfrei weiterbetrieben wurden. Die Reaktion war schnell: Maßnahmen zur Eindämmung wurden eingeleitet und betroffene EU-Stellen werden aktiv benachrichtigt.
AWS selbst bestreitet einen Sicherheitsvorfall innerhalb seiner eigenen Cloud-Umgebung. Die Kompromittierung erfolgte demnach über den AWS-Account der Kommission – nicht über die Infrastruktur von AWS selbst.
Was angeblich gestohlen wurde
Laut den Angreifern umfasst die erbeutete Datenmenge unter anderem:
- Mail-Server-Dumps und E-Mail-Anhänge – interne Kommunikation der Kommission
- SSO-Nutzerverzeichnis – eine vollständige Liste aller Nutzer des Single Sign-On Systems
- DKIM-Signing-Keys – private Schlüssel für die E-Mail-Signatur der Kommissionsdomains
- AWS-Konfigurationssnapshots – vollständige Einblicke in die Cloud-Architektur
- NextCloud/Athena-Daten – Daten aus internen Datei- und Analyseplattformen
- Interne Admin-URLs – Zugangspunkte zu administrativen Systemen
Ob diese Behauptungen vollständig der Wahrheit entsprechen, ist noch Gegenstand der laufenden Untersuchung. Einige Datensamples wurden jedoch öffentlich zugänglich gemacht und von Sicherheitsforschern als plausibel bewertet.
Warum das weit über die EU hinauswirkt
Der eigentlich beunruhigendste Aspekt ist nicht die schiere Datenmenge – es sind die gestohlenen DKIM-Schlüssel und das SSO-Nutzerverzeichnis.
DKIM-Schlüssel erlauben es, E-Mails im Namen der kompromittierten Domain kryptografisch zu signieren. Wer diese Schlüssel besitzt, kann täuschend echte Phishing-Mails verschicken, die von E-Mail-Sicherheitssystemen als legitim eingestuft werden – signiert von @europa.eu. Das Missbrauchspotenzial für gezielte Angriffe auf andere Behörden, Partner oder Bürger ist enorm.
Ein vollständiges SSO-Verzeichnis liefert Angreifern eine detaillierte Karte aller Nutzer, Rollen und potenziellen Angriffspunkte – Grundlage für weitreichende Credential-Stuffing- oder Spear-Phishing-Kampagnen.
AWS-Konfigurationssnapshots sind technische Blaupausen der Infrastruktur: Welche Dienste laufen? Welche IP-Ranges, Sicherheitsgruppen, IAM-Policies sind aktiv? Wer diese Daten kennt, kann gezielt nach weiteren Schwachstellen suchen – auch in anderen EU-Systemen, die ähnlich aufgebaut sind.
Ein strukturelles Problem – keine Ausnahme
Dieser Vorfall ist kein Einzelfall, sondern Ausdruck eines tieferliegenden Problems: Behörden und große Organisationen betreiben zunehmend komplexe Cloud-Infrastrukturen – oft mit historisch gewachsenen Konfigurationen, dezentraler Verwaltung und unzureichendem Monitoring der tatsächlichen Angriffsfläche.
Die Kommission betreibt eine der größten Webpräsenzen Europas über einen AWS-Account. Wer den Überblick über den eigenen Cloud-Fußabdruck verliert, verliert auch die Kontrolle über seine Angriffsfläche.
Die entscheidende Frage lautet nicht: „Haben wir eine Cloud?" – sondern: „Wissen wir, was in unserer Cloud exponiert ist?"
Was Unternehmen jetzt tun müssen
Auch wenn dieser Angriff eine EU-Institution betrifft – die Implikationen sind direkt auf Unternehmen übertragbar:
- Cloud Asset Inventory: Welche AWS-, Azure- oder GCP-Ressourcen sind von außen erreichbar? Werden veraltete oder vergessene Konfigurationen laufend geprüft?
- DKIM-Keys und Signing-Credentials rotieren – insbesondere wenn Drittdienstleister Zugriff auf Mail-Infrastruktur haben.
- SSO und IAM regelmäßig auditieren: Wer hat Zugriff auf welche Systeme – und wer eigentlich nicht mehr?
- Darknet-Monitoring aktivieren: Samples aus diesem Breach wurden bereits veröffentlicht und kursieren möglicherweise in einschlägigen Foren.
Wie blacklens.io hier unterstützt
blacklens.io hilft, genau solche blinden Flecken sichtbar zu machen: exponierte Cloud-Assets und fehlerhafte Konfigurationen werden kontinuierlich erfasst, geleakte Credentials oder Konfigurationsdaten aus Breaches wie diesem können über das Darknet-Monitoring frühzeitig erkannt & dem eigenen Unternehmen zugeordnet werden – um proaktiv darauf zu reagieren.
