🔓 🔓 Xplain-Hack 2023: Was Schweizer KMU aus dem grössten Datenleck lernen können
Mai 2023: Ransomware-Gruppe verschlüsselt Xplain-Server
Am 26. Mai 2023 drang die Ransomware-Gruppe Play in die Infrastruktur des Schweizer IT-Dienstleisters Xplain ein. Die Angreifer verschlüsselten Server, kopierten 1,3 Millionen Datensätze und forderten Lösegeld. Xplain beliefert über 1500 Schweizer KMU mit Cloud-Services, Buchhaltungssoftware und IT-Support. Die erbeuteten Daten umfassten Personalausweise, Lohnabrechnungen, Verträge, Bankverbindungen und interne E-Mails von Kunden aus Bau, Treuhand, Detailhandel und Gastronomie. Wenige Tage nach dem Angriff veröffentlichte Play Teile der Daten im Darknet, nachdem Xplain nicht zahlte. Der Vorfall gilt als eines der grössten Datenlecks der Schweizer Wirtschaft und zeigt, wie Angreifer gezielt IT-Dienstleister ins Visier nehmen, um auf einen Schlag Hunderte Kundendaten zu erbeuten.
Wie die Play-Gruppe vorging
Play gehört zu den professionellen Ransomware-as-a-Service-Gruppen, die gezielt Unternehmen angreifen. Die Gruppe nutzt bekannte Schwachstellen in VPN-Gateways und Remote-Access-Tools, um sich Zugang zu verschaffen. Im Fall Xplain verschafften sich die Angreifer über Wochen hinweg Zugriff auf interne Systeme, erkundeten die Netzwerkstruktur und identifizierten wertvolle Datenbestände. Erst nachdem sie Backups lokalisiert und Daten exfiltriert hatten, lösten sie die Verschlüsselung aus. Diese zweistufige Erpressung ist Standard: Zahlt das Opfer nicht, drohen die Angreifer mit Veröffentlichung. Zahlt es doch, gibt es keine Garantie, dass die Daten nicht trotzdem auftauchen. Play operiert nach dem Affiliate-Modell, bei dem spezialisierte Einbrecher die technische Arbeit erledigen und einen Teil der Lösegeldsumme erhalten. Die Gruppe ist seit 2022 aktiv und hat weltweit über 300 Unternehmen angegriffen.
Warum IT-Dienstleister bevorzugte Ziele sind
IT-Dienstleister sind für Ransomware-Gruppen besonders attraktiv, weil sie als Multiplikator fungieren. Ein erfolgreicher Angriff auf einen Provider liefert Zugang zu Dutzenden oder Hunderten Kundensystemen. Managed-Service-Provider wie Xplain verwalten Backups, E-Mail-Server und Cloud-Infrastrukturen ihrer Kunden. Sie haben privilegierte Zugriffe, die Angreifer ausnutzen können, um lateral in Kundennetzwerke vorzudringen. Zudem hosten viele Dienstleister sensible Daten zentral auf eigenen Servern. Für Angreifer bedeutet das: ein Einbruch, viele Opfer, höhere Erpressungssumme. Der Xplain-Vorfall zeigt auch, dass KMU oft keine eigene IT-Abteilung haben und ihre gesamte Infrastruktur extern betreiben lassen. Fällt der Dienstleister aus, steht das Geschäft still. Diese Abhängigkeit macht IT-Provider zu kritischen Zielen, deren Sicherheit direkt auf die Kunden durchschlägt.
Was für betroffene KMU auf dem Spiel stand
Für die betroffenen KMU bedeutete das Leak mehr als nur Datenverlust. Personalausweise und Lohnabrechnungen ermöglichen Identitätsdiebstahl. Verträge und interne E-Mails können Geschäftsgeheimnisse oder Preisstrategien offenlegen. Bankverbindungen erleichtern Phishing-Angriffe auf Mitarbeitende und Zahlungsempfänger. Schweizer Datenschutzrecht verpflichtet betroffene Unternehmen, ihre Kunden und Mitarbeitenden zu informieren, wenn personenbezogene Daten abgeflossen sind. Das bedeutet Reputationsschaden, aufwändige Kommunikation und mögliche Schadenersatzforderungen. Mehrere betroffene Firmen mussten Kreditkarten sperren lassen, Passwörter zurücksetzen und ihre IT-Infrastruktur überprüfen. Einige KMU erstatteten Strafanzeige gegen Unbekannt. Die Frage der Haftung blieb juristisch ungeklärt: Haftet der Dienstleister für unzureichende Sicherheitsmassnahmen oder trägt der Kunde das Risiko, wenn er Daten auslagert? Diese Grauzone belastet das Vertrauensverhältnis zwischen Provider und Kunde nachhaltig.
Was Xplain hätte anders machen können
Ransomware-Angriffe sind nicht immer vermeidbar, aber mehrere Massnahmen hätten den Schaden begrenzen können. Netzwerksegmentierung isoliert Kundensysteme voneinander, sodass ein Einbruch nicht alle Mandanten betrifft. Multi-Faktor-Authentifizierung für administrative Zugänge erschwert laterale Bewegungen im Netzwerk. Endpoint Detection and Response (EDR) erkennt verdächtige Aktivitäten wie Massenkopiervorgänge oder Backup-Manipulationen. Verschlüsselung sensibler Daten im Ruhezustand macht exfiltrierte Dateien für Angreifer unbrauchbar. Regelmässige Penetrationstests decken Schwachstellen auf, bevor echte Angreifer sie finden. Incident-Response-Pläne definieren klare Abläufe für den Ernstfall, inklusive Kommunikation mit Kunden und Behörden. Viele dieser Massnahmen sind heute Standard in Schweizer Sicherheitsframeworks wie ISO 27001 oder dem CyberSeal-Audit. Der Xplain-Vorfall zeigt, dass IT-Dienstleister sich nicht auf Perimeter-Schutz verlassen dürfen, sondern Defense-in-Depth brauchen.
Was KMU von ihren Dienstleistern verlangen sollten
KMU tragen Mitverantwortung, wenn sie ihre IT auslagern. Vor Vertragsabschluss sollten Unternehmen nach Sicherheitszertifikaten fragen: ISO 27001, SOC 2 oder das Schweizer CyberSeal-Label belegen, dass ein Dienstleister regelmässig auditiert wird. Backup-Strategien müssen schriftlich dokumentiert sein: Wie oft werden Backups erstellt? Wo liegen sie? Sind sie offline und verschlüsselt? Incident-Response-Pläne sollten transparent sein: Was passiert im Angriffsfall? Wie schnell wird kommuniziert? Wer haftet? Datenstandort ist relevant: Werden Daten in der Schweiz oder in Rechenzentren ausserhalb der EU gehostet? Schweizer KMU sollten ausserdem regelmässige Zugriffsprüfungen verlangen: Welche Administratoren haben Zugriff auf welche Systeme? Werden Zugriffe protokolliert? Ein gesundes Misstrauen ist angebracht. Dienstleister, die Sicherheitsfragen ausweichen oder keine Zertifikate vorweisen können, sind Risikofaktoren. Der Xplain-Vorfall zeigt: Vertrauen ist gut, Verifikation ist besser.
Datenklassifikation: Nicht alles muss in die Cloud
Viele KMU lagern unkritisch alle Daten in die Cloud aus, ohne zu prüfen, was wirklich externalisiert werden muss. Datenklassifikation hilft, Risiken zu reduzieren: Welche Daten sind geschäftskritisch? Welche unterliegen besonderen Datenschutzanforderungen? Personalakten, Lohnabrechnungen und Verträge mit Personenbezug sollten entweder lokal gespeichert oder bei besonders vertrauenswürdigen Dienstleistern mit End-to-End-Verschlüsselung abgelegt werden. Nicht sensible Daten wie allgemeine Korrespondenz oder Marketingmaterialien können problemlos in Standard-Cloud-Services liegen. Zero-Knowledge-Architekturen sind eine Option für hochsensible Daten: Der Dienstleister sieht nur verschlüsselte Blobs, die Schlüssel bleiben beim Kunden. Tools wie Cryptomator ermöglichen clientseitige Verschlüsselung für Cloud-Speicher. Der Xplain-Vorfall zeigt: Wer alles externalisiert, gibt die Kontrolle ab. Eine bewusste Datenstrategie reduziert die Angriffsfläche.
Was tun, wenn dein Dienstleister gehackt wurde
Wenn dein IT-Provider einen Sicherheitsvorfall meldet, zählt schnelles Handeln. Passwörter zurücksetzen ist Priorität eins, besonders für Accounts mit privilegierten Rechten. Multi-Faktor-Authentifizierung aktivieren für alle Systeme, die über den Provider laufen. Zugriffsrechte überprüfen: Welche externen Zugriffe bestehen noch? Welche API-Keys oder Tokens müssen widerrufen werden? Interne Systeme scannen auf Malware oder ungewöhnliche Aktivitäten, falls der Angreifer lateral vordringen konnte. Kunden und Partner informieren, wenn personenbezogene Daten betroffen sind. Das Schweizer Datenschutzgesetz verlangt Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), wenn ein Datenleck ein hohes Risiko für Betroffene darstellt. Rechtliche Beratung einholen klärt Haftungsfragen und Schadenersatzansprüche. Backup-Recovery testen, falls der Dienstleister Daten verloren hat. Der Xplain-Vorfall zeigt: Wer keine eigenen Notfallpläne hat, ist im Ernstfall handlungsunfähig.
Drei Mitnahmen für Schweizer KMU
Der Xplain-Hack ist drei Jahre her, aber die Lehren bleiben aktuell. Erstens: IT-Dienstleister sind bevorzugte Ransomware-Ziele, weil sie Zugang zu vielen Kundendaten haben. KMU müssen ihre Provider auf Sicherheitsmassnahmen und Zertifikate prüfen. Zweitens: Backups allein reichen nicht, wenn Angreifer gleichzeitig Daten exfiltrieren und damit erpressen. Verschlüsselung sensibler Daten im Ruhezustand und Netzwerksegmentierung sind Pflicht. Drittens: KMU tragen Mitverantwortung für die Sicherheit ihrer Dienstleister. Verträge sollten Incident-Response-Pläne, Backup-Strategien und Haftungsfragen klar regeln. Wer seine IT auslagert, gibt nicht die Verantwortung ab. Eine bewusste Datenstrategie, regelmässige Audits und gesundes Misstrauen sind die beste Verteidigung gegen die nächste Ransomware-Welle.
Kostenlose Vorlagen für dein Unternehmen
Druckfertige Cybersecurity-Checklisten und Notfallpläne: gratis, sofort verwendbar.
Vorlagen herunterladen →