Misterjudie

Der Clinch zwischen einem Sicherheitsforscher mit dem Alias Nightmare Eclipse, der seit März 2026 sechs 0-Day-Schwachstellen mit Exploits in Microsoft-Produkten veröffentlichte, und Redmond geht weiter. Wir haben jetzt “Bitskrieg” und eine Solidarisierung der Security-Szene mit dem Sicherheitsforscher.

Der Schuss Microsofts, der nach hinten los geht

Ich hatte hier im Blog über die Veröffentlichung von 0-day-Schwachstellen inklusive Proof of Concept (PoC) in Microsoft-Produkten (Windows, Bitlocker, Defender) durch einen Sicherheitsforscher mit dem Alias Nightmare Eclipse berichtet (siehe Links am Artikelende). Der Sicherheitsforscher fühlte sich mutmaßlich durch Microsoft über den Tisch gezogen, weil gemeldete Schwachstellen nicht anerkannt und Bug Bounty-Prämien nicht gezahlt wurden.

Microsoft musste als Folge Schwachstellen patchen und warf dem Sicherheitsforscher “Verantwortungslosigkeit” vor. Dann wurde erst das GitHub-Konto von Nightmare Eclipse, auf dem er die PoCs veröffentlicht hatte, gesperrt (GitHub gehört Microsoft). Ich hatte im Beitrag Zoff und Schwarze-Peter-Spiel zwischen ‘Microslop’ und Chaotic Eclipse erste Reaktionen des Sicherheitsforschers auf Microsofts Vorhaltungen reflektiert. Nachdem der Sicherheitsforscher die Exploits auf PoCs eingestellt hatte, wurde auch das GitLab-Konto gesperrt.

Statt frühzeitig zu deeskalieren, goss Microsoft noch mehr Öl ins Feuer und dem Sicherheitsforscher in einem Blog-Post öffentlich vor, die als RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma und MiniPlasma bekannten Sicherheitslücken nicht verantwortungsbewusst offengelegt zu haben. Gleichzeitig verstieg Microsoft sich zu der Drohung, dass Microsofts Digital Crimes Unit weiterhin Verfahren gegen “diese Akteure [Angreifer] und diejenigen, die kriminelle Aktivitäten ermöglichen”, einleiten werde – und dabei bei Bedarf mit Strafverfolgungsbehörden auf der ganzen Welt zusammenarbeite.

Das muss im Kontext als Strafandrohung für Sicherheitsforscher interpretiert werden, die Schwachstellen unkoordiniert offen legen. Ich hatte bereits im Beitrag Nightmare Eclipse auf GitLab gebannt; Microsoft nimmt Stellung ausgeführt, dass dieser Schritt Microsofts einfach nur dämlich war. Es gibt meines Wissens keine Gesetze, die eine “verantwortungsvolle Offenlegung” erzwingen.

Ich hatte im Beitrag auch in einem Nachtrag erwähnt, dass sich plötzlich immer mehr Leute auf Plattformen wie X melden, und ähnliche Erfahrungen wie Nightmare Eclipse mit Microsoft berichten. Also: Schwachstellen gemeldet, Monate hingehalten, dann gesagt bekommen, dass es keine Sicherheitslücke sei, oder nicht gepatcht werde. Bug Bounty-Prämien gab es auch keine. Dann haben die Leute im Nachgang festgestellt, dass Schwachstellen doch heimlich gepatcht wurden, etc.

Ich mag nicht ausschließen, dass der Algorithmus auf X besonders viele solcher Negativmeldungen in mein Profil spielt, weil ich darüber berichte. Aber der Tenor dessen, was ich im Internet so mitbekomme, ist, dass die Stimmung der Community der Sicherheitsforscher gegenüber Microsoft nicht die Beste ist. Florian Roth, Head of Research beim Sicherheitsanbieter Nextron, drückt in diesem Tweet aus, was mir quasi auch auf der Zunge lag.

Roth meint, dass er ja nicht wisse, was hinter verschlossenen Türen zwischen Microsoft und Nightmare Eclipse vorgefallen sei. Er wisse auch nicht, ob Microsoft oder der Sicherheitsforscher oder beide “unvernünftig” seien.

Aber Roth schreibt, dass er glaube, dass Microsoft diese Situation völlig falsch eingeschätzt habe. Wenn man der größte Softwareanbieter der Welt ist, dürfe man sich nicht “wie eine wütende Person” in einem Internetstreit verhalten. Repositories zu löschen, von strafrechtlichen Ermittlungen zu sprechen und die ganze Sache zu einem öffentlichen Streit zu machen, war ein Fehler Microsofts, so Roth. Der Schaden, der dadurch entstanden ist, gehe weit über diesen einen Sicherheitsforscher hinaus.

Roth schreibt, was ihn am meisten überrascht habe, sei die Beobachtung gewesen, wie schnell die Leute danach angefangen hätten, ihre eigenen Erfahrungen mit dem Microsoft Security Response Center (MSRC) öffentlich zu teilen. Dabei zieht sich laut Roth folgendes wie eine rote Linie durch die Posts:

• Monate ohne Antwort
• “Funktioniert wie vorgesehen” als Antwort
• Streitigkeiten um Bug Bounty-Prämien
• Meldungen, die ins Leere liefen

Roth meint, dass die Leute nicht plötzlich ohne Grund anfingen, solche Geschichten im Internet zu erzählen. Mich persönlich hat es nicht überrascht. Ich hatte in einem der am Beitragsende verlinkten Beiträge erwähnt, dass ich über Jahre bei Mails von Stefan Kanthak an das MSRT auf cc saß und die Microsoft-Antworten mit bekam. Roth schloss seinen Tweet mit den Worten: “Ich glaube, Microsoft hat hier viel Porzellan zerschlagen.” Ich würde eher das Bild des Elefanten im bewussten Laden mit dem Porzellan bemühen wollen, dass die bei Microsoft für die Eskalation Verantwortlichen abgeben.

“Bitskrieg”: Forscher teilen Schwachstellen

Der Versuch Microsofts, den Sicherheitsforscher zu “kriminalisieren” oder zumindest in die Ecke “der macht Illegales” zu rücken, ist gründlich misslungen. Die Community der Sicherheitsforscher solidarisiert sich mit Nightmare Eclipse.

Windows Central bringt es in obigem Tweet und in diesem Beitrag auf den Nenner. Die Cybersicherheitsbranche sei nach der obigen Entwicklung in Aufruhr, nachdem Microsoft damit gedroht habe, seine “Digital Crimes Unit” wegen der Offenlegung von Zero-Day-Schwachstellen einzuschalten. Nightmare Eclipse hatte bereits am 15. April 2026 in diesem Blog-Beitrag einige Hintergründe zu seinen Beweggründen, eine Schwachstelle direkt öffentlich zu machen, was ausgeführt und schreibt,  “Sie haben mir persönlich gesagt, dass sie mein Leben ruinieren würden, und genau das haben sie getan”.

Der sich aus dem Fall ergebende Aufruhr verdeutliche, so Windows Central, die wachsenden Spannungen zwischen Microsoft und der Sicherheitsgemeinschaft in einer für das Vertrauen entscheidenden Phase.

Noch deutlicher wird obiger Tweet, der die neuesten Entwicklungen darstellt und mir bereits am 30. Mai 2026 untergekommen ist. Nightmare-Eclipse berichtet, dass Sicherheitsforscher ihm nun Schwachstellen kostenlos zur Verfügung stellen. Dies sei offenbar sowohl ein Zeichen der Solidarität, aber auch eine Reaktion auf die Art und Weise, wie Microsoft mit Sicherheitsforschern umgeht.

Den Anfang macht die mit dem Namen “Bitskrieg” bezeichnete Schwachstelle, die die Secure-Boot-Vertrauenskette untergräbt und BitLocker vollständig umgeht. Bolko hatte es vor einigen Stunden in diesem Kommentar thematisiert. Nightmare Exclipse hatte es am späten Freitag, den 29. Mai 2026, im Blog-Beitrag Announcing Bitskrieg selbst bekannt gegeben. Ob und wann er diese Informationen öffentlich macht, wird man sehen müssen. Aber jedem halbwegs denkenden Zeitgenossen dürfte klar sein, dass bei Microsoft sozusagen “einige Sicherheitsleichen im Keller liegen”. Von daher ist das Verhalten der Verantwortlichen aus Redmond doppelt kurzsichtig. Schwachstellen verschwinden ja nicht durch Zensur, das wird sich über kurz oder lang rächen.

Noch einige abschließende Bemerkungen. Auch wenn wir Deutschen den Begriff “Bitskrieg” sofort mit dem zweiten Weltkrieg assoziieren, bin ich mir diesbezüglich nicht so sicher, ob der Entdecker das im Hinterkopf hatte. Es gibt BITSkrieg: Der offizielle Cybersicherheits-Club des BITS Pilani K.K. Birla Goa Campus (Indien). Das ist eine Gruppe von Studierenden, die sich leidenschaftlich dafür interessieren, Softwaresysteme zu knacken, auszunutzen und abzusichern. Und es gibt das Buch “Bitskrieg: The New Challenge of Cyberwarfare“, welches sich mit der neuen Herausforderung der Cyberkriegsführung befasst.Ich vermute, dass der obige Name für die Sicherheitslücke sich aus dieser Richtung ableitet.

Ähnliche Artikel:
BlueHammer: Windows 0-day-Schwachstelle
BlueHammer-Nachlese: Defender-Patch vom 14.4.2026 und Analyse von Fortra
RedSun: Nächste Windows Defender 0-Day-Schwachstelle
Chaotic Eclipse zwei 0-Day-Windows Schwachstellen (YellowKey, GreenPlasma), eine in MS Teams
Nightmare Eclipse veröffentlicht MiniPlasma-Schwachstelle CVE-2020-17103
Zoff und Schwarze-Peter-Spiel zwischen ‘Microslop’ und Chaotic Eclipse
Nightmare Eclipse auf GitLab gebannt; Microsoft nimmt Stellung

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht.

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Die baltischen Staaten gelten ja als Vorreiter der Digitalisierung. Die sind modern, wird jedenfalls von Digitalisierungsbefürwortern argumentiert. Die Kehrseite wird gerade deutlich, die Regierung Litauens ist höchst beunruhigt, haben wohl staatliche Hacker eines fremden Landes 600.000 Datensätze mit Informationen über Bürger des 2,9 Millionen Menschen umfassenden Landes aus staatlichen Registern entwendet.

Mir ist die Information über nachfolgenden Post untergekommen. Associated Press berichtet in diesem Artikel über den Vorfall.

Ein Datenleck hat die litauischen Behörden in höchster Alarmbereitschaft versetzt. Beim Datenleck sind mehr als 600.000 Einträge aus nationalen Datenregistern abgegriffen worden. Es wird vermutet, dass dieser Zugriff von einem anderen Land aus durchgeführt wurde.

Die litauische Generalstaatsanwaltschaft gab am Freitag (22.5.2026) bekannt, dass das Datenleck vor allem Register für Immobilien und juristische Personen betraf. Auf die Daten wurde unter Verwendung der Anmeldedaten von Institutionen zugegriffen, die offiziell Zugriffsberechtigungen besaßen. Da scheinen also Zugangsdaten missbraucht worden zu sein.

Der Leiter des staatlichen Registerzentrums, Adrijus Jusas, trat am Montag nach dem Datenleck zurück. Es heißt von der die Staatsanwaltschaft, dass die Behörden umgehend zusätzliche Cybersicherheitsmaßnahmen ergriffen hätten. Darunter fällt die Sperrung der Konten mutmaßlicher Datennutzer und die Einschränkung des Zugriffs durch die Verpflichtung zur Aktualisierung der Anmeldedaten. Nutzer müssen ihre Zugangsdaten nun aktualisieren.

Die Staatsanwaltschaft hat den Verdacht, das ein ausländischer Staat beteiligt war, wobei die Behörden nicht näher angaben, um welches Land es sich handele. Der Oppositionspolitiker Laurynas Kasčiūnas schrieb laut Euronews am Sonntag in sozialen Netzwerken, bei dem Datendiebstahl handle es sich vermutlich um eine Operation des russischen Geheimdienstes, legte jedoch keine Beweise vor.

Kasčiūnas warnte, Angreifer könnten Zugriff auf Adressen von Geheimdienstmitarbeitern, Militärangehörigen, Diplomaten oder Politikern erhalten haben. Dadurch könnten die Betroffenen ausgespäht oder unter Druck gesetzt werden.

Litauen ist  mit seinen 2,9 Millionen Einwohnern eines der Hauptziele des hybriden Krieges Russlands gegen Europa, der Sabotage, Brandanschläge und Vandalismus sowie Einflussoperationen umfasst.

Ich stelle mal eine Frage bzw. Beobachtung eines Blog-Lesers hier zur Diskussion – ich selbst bin beim kurzen Versuch einer Reproduktion nicht so richtig auf einen grünen Zweig gekommen (lag möglicherweise an der Windows 11 VM). Vielleicht gibt es noch Rückmeldungen aus der Leserschaft, die das bestätigen oder Antworten bzw. Erklärungen liefern.

Eine Leserbeobachtung und -frage

Blog-Leser Rüdiger hatte sich bereits Ende Februar 2026 bei mir per Mail unter dem Betreff “Frage bzgl. Freigabeverhalten in W11 (evtl. Blog-würdig?)” gemeldet. Er schrieb, dass “man als IT-Dienstleister ja gelegentlich schon mal auf die eine oder andere technische Besonderheit, die es zu teilen lohnt.” Der Leser war im Zuge der Einrichtung eines “Scan-Ordners” auf eine – aus seiner Sicht – interessante Beobachtung gestoßen.

Was der Leser getan hatte: Es ging darum, eine simple SMB-Freigabe unter Windows 11 Pro (wird wohl 24H2 oder 25H2 gewesen sein) zu erstellen. Ziel sollte sein, dass die Multifunktionsdrucker des Kunden auf die SMB-Freigabe zugreifen kann. Der erste Test verlief auch direkt positiv: Der Leser hat einen dedizierten Benutzer für den Drucker eingerichtet, eine Freigabe in einem eigenen Ordner unter C: eingerichtet und die Sicherheitseinstellungen des NTFS entsprechend angepasst. Das war es dann erst einmal!, der erste Testscan klappte, und das Thema schien vom Tisch.

Jetzt kommt aber das große Aber, schrieb der Leser: Denn in den Netzwerkeinstellungen war die Netzwerkverbingung auf Öffentliches Netzwerk gestellt! Das kam dem Leser etwas spanisch vor. Nachdem er dann die Verbindung auf Privates Netzwerk umgestellt hatte,  war die Freigabe des Ordners weg.

Lange Rede, kurzer Sinn: Der Leser ging auf Fehlersuche und stellte fest, dass die Datei- und Druckerfreigabe für das Private Netzwerk inaktiv war. Kein Wunder, dass die Freigabe dann nicht funktionierte. Kurz aktiviert, und alles war diesbezüglich okay.

Der Leser ging dann aber spaßeshalber noch mal die Einstellungen dieser Netzwerkverbindung für Öffentliche Netzwerke durch und hat diese geprüft. Dort war die Datei- und Druckerfreigabe gar nicht aktiv!

Der Leser fand das komisch und meinte: “Dort, wo die Firewall eigentlich restriktiver sein sollte, werden Freigaben selbst ohne aktivierter Freigabeeinstellung durchgelassen. In den optionalen Privaten Netzwerken aber muss man die Einstellung erst explizit setzen.” Er fragte, ob mir so etwas bekannt sei, was ich verneint habe. Der Leser schrieb: “Meines Erachtens ist das keine beabsichtigte Funktionsweise, oder? Jetzt wüsste ich nur gerne, wie man jetzt am besten vorgeht?”

Reproduzieren konnte der Leser im Februar 2026 das Verhalten auf seinem eigenen Windows-11-ProNotebook. Er fragte, ob eine E-Mail an Microsoft hilft? Sehe ich skeptisch, das verschwindet im Orkus. Einen Blog-Eintrag verfassen? Habe ich nun, mit Verspätung mal probiert, und frage, ob jemand das auch reproduzieren kann?

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht.

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht.

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Gab es die letzten Tage Probleme bei IONOS Hosted Exchange-Instanzen? Ein Leser hat beobachtet, dass bei einem Kunden plötzliche fremde Ordner unter den “Public Foldern” zu sehen waren. Nach einer Supportanfrage ist das Problem zwar behoben. Mich würde interessieren, ob es weitere Betroffene gab.

Ein kurzer Leserhinweis auf IONOS-Probleme

Es was nur ein kurzer Kommentar von Blog-Leser Olli, der mich neugierig machte. Zum Beitrag über einen Sicherheitsvorfall beim Škoda-Online-Shop mit Datenabfluss merkte der Leser an, dass IONOS “aktuell” auch ein Problem habe. In den IONOS Hosted Exchange-Instanzen würden bei den “Public Foldern” fremde Ordner auftauchen.

Der Leser gab an, dass sich ein Kunde bei ihm diesbezüglich gemeldet habe. Als Olli dem nachging, konnte er das Verhalten selbst nachvollziehen. Zu diesem Zeitpunkt waren die Zugriffe auf die IONOS Hosted Exchange-Instanzen laut Nutzer “sehr lahm” und er schloss daraus, dass es bei IONOS “gerade richtig Probleme gebe”,

Positiv ist allerdings, dass diese fremden Ordner nach Aussage des Lesers leer waren. Es konnten also keine fremden Inhalte eingesehen werden.

Nachgefragt und weitere Informationen bekommen

Ich hatte dem Leser angeboten, das Thema kurz in den Blog einzustellen, wenn ich weitere Informationen erhalte. Der Leser hat mir dann per E-Mail noch einige Informationen zukommen lassen (danke).

Ein Screenshot einer erweiterten Ordnerstruktur

Nachfolgender Screenshot zeigt die Struktur des IONOS Hosted Exchange-Postfachs mit den Ordnern.

Der Leser merkt an, dass dort Ordner auf der höchsten Ebene auftauchen, was nicht sein darf. Das Ganze sieht nicht so besonders gut aus – alleine die Ordnerbenennungen lassen ggf. Rückschlüsse auf den Besitzer zu, auch wenn die fremden Ordner leer sind. In obigem Screenshot sieht es nach Ordnern eines Sozialdiensts aus, der mittels IONOS Hosted Exchange-Postfach seine Organisation abbildet.

Zusätzliche Erläuterungen des Lesers

Der Leser merkt dazu an, dass Hosted Exchange-Kunden bei IONOS normalerweise eine Struktur unterhalb der öffentlichen Ordner haben, die so ausschaut:

Alle Öffentlichen Ordner (Systemvorgabe)
— 123  (Systemvorgabe)
—–12abcdefg345678  (Systemvorgabe)
——- Eigene Ordner
——- Eigene Ordner
——- Eigene Ordner
——- Eigene Ordner

Alles was Systemvorgabe ist, stamme von IONOS und kann vom Kunden nicht geändert werden. In obigem Screenshot sieht man Einträge direkt unterhalb von Alle Öffentlichen Ordner, die laut Leser dort nichts verloren haben.

Zugriff auf diese fremden Ordner sei nur möglich, wenn die Zugriffsrechte auf die Hauptstruktur falsch gesetzt worden seien. Das sollte einzig alleine die Technik von IONOS können (bzw. deren Provisionierungs-System – manuell macht das eher Niemand), merkt der Leser an.

Da sei fürchterlich was schief gelaufen bei IONOS, schließt der Leser aus obiger Beobachtung. Und ein Kunde habe es (vermutlich unwissentlich, was er da tut) geschafft, seine Postfach-Ordnerstruktur auf der “Hauptstruktur von IONOS” abzulegen. Der Leser ergänzte, dass auch nur Ordner angezeigt werden, alle stichprobenhaft angewählten Ordner waren leer. Anhand der Ordnernamen, schließt der Leser, dass es sich wohl um eine Schule handelt. Muss allerdings nicht sein, es kann auch ein anderer Sozialleistungsträger sein, denn Schulen haben üblicherweise nichts mit einem Kita-Betrieb zu tun.

Es muss mehr Instanzen betroffen haben

Dem Leser wurde das Problem durch einen Kunden zugetragen. Als er dann sein eigenes IONOS Exchange-Konto überprüfte, waren dort die fremden Ordner ebenfalls vorhanden,. Und dies, obwohl er selbst gar keine Postfächer aktiviert hatte. Der Leser ergänzte, dass er den Effekt bei zwei verschiedenen Kunden, die sich nicht mal kennen, geschweige denn irgendetwas miteinander zu tun haben, in der Ansicht nachvollziehen konnte. Der Leser schließt aus, dass er als gemeinsamer Nenner die Ursache bin, denn dann müsste er Zugriffsrechte auf die IONOS-Infrastruktur haben, die er nicht habe und auch nicht haben darf.

Der Leser merkt dazu an: “So ist das – da schaltet man alle eigenen On-Prem Exchange Server ab um diese Schmerzen eines eigenen Mailservers nicht mehr erleiden zu müssen und dann versaut der größte deutsche Hoster sein System. Das es bei IONOS seit gut 8-9 Monaten nicht mehr rund läuft mit Hosted Exchange ist sowieso so ein Sache.”

Das Problem wurde inzwischen gefixt

Zum 15. Mai 2026 meldete sich der Leser dann nochmals und berichtete, dass das Problem bis zum 14. Mai 2026 bestanden habe. Zum 15. Mai waren die fremden Ordner dann verschwunden – ich schließe daraus, dass der vom Leser eröffnete IONOS-Supportfall zu einer entsprechenden Korrektur der Techniker geführt hat.

Der Leser schrieb dazu: “Sicher ist das ein DSGVO Vorfall, primär offengelegt wurde aber aus meiner Sicht nur die Ordner-Struktur eines fremden Postfaches. Wenn die Zugriffsrechte nicht komplett falsch gesetzt worden sind – das kann nur IONOS beantworten – dann sollten Inhalte anderer Kunden nicht betroffen gewesen sein.” Eine Stellungnahme des Supports auf das vom Leser eröffnete Ticket hat der Leser noch nicht erhalten.

An dieser Stelle die Frage, ob dies noch jemandem aus der Leserschaft aufgefallen ist? Ich schaue mal, ob ich nächste Woche eine Anfrage an die IONOS-Pressestelle stelle, ob es dazu noch eine Stellungnahme gibt.

Die Tage wurde bekannt, dass Europol ein geheimes IT-System betrieben haben, in dem mehr als 2 Petabyte sensibler Daten über Personen gespeichert wurden. Eine Recherche von Solomon, Correctiv und Computer Weekly deckte auf, dass Europol jahrelang außerhalb seiner eigenen rechtlichen Grenzen operierte.

Der durch die Recherchen von Solomon, Correctiv und Computer Weekly aufgedeckte Sachverhalt ist mir bereits vorige Woche über nachfolgenden Tweet untergekommen.

Das System wird als “Computer Forensic Network” (CFN) bezeichnet und wurde 2012 ohne rechtlichen Rahmen zur Sichtung forensischer Daten eingerichtet. Über die Jahre entwickelte CFN sich zur wichtigsten Analyseplattform von Europol. Bis 2019 speicherte das CFN mindestens 2 Petabyte an operativen Daten, was etwa dem 420-Fachen der offiziellen, nicht-forensischen Datenbank von Europol entspricht.

Der zuständige Datenschutzbeauftragte, Drewer, stellte im Nachgang fest, dass 99 % der Daten von Europol im CFN gespeichert waren und ohne grundlegende Datenschutz- oder Sicherheitsvorkehrungen verarbeitet wurden.

Insgesamt scheint diese “Schatten IT” ein Datenschutz- und Sicherheitsdesaster ersten Ranges gewesen zu sein. Eine interne Sicherheitsbewertung von 2019 listete 32 einzelne Mängel auf. Darunter:

• Ineffektive Zuweisung von Sicherheitsrollen
• Unzureichende Verwaltung privilegierter Zugriffsrechte
• Uneingeschränkte Softwareinstallation
• Fehlende Passwortverwaltung
• Fehlende Protokolle zur administrativen Nutzung
• Unzureichende Ereignisprotokollierung und -überwachung
• Unzureichende Netzwerkzugangskontrolle

Unabhängige Experten, die die Ergebnisse prüften, bezeichneten die Vielzahl der Administratorkonten als einen klassischen Verstoß gegen die Vertraulichkeit und als offene Tür sowohl für böswillige Insider als auch für externe Angreifer. Protokolle konnten von jedem mit Administratorrechten geändert oder gelöscht werden. Das bedeutete, dass Datenmanipulationen und unbefugte Zugriffe nicht zuverlässig zurückverfolgt werden konnten.

Und es gab noch ein System, was illegal betrieben wurde. Dabei handelt es sich um eine separate, geheime Umgebung, die von der Internet Referral Unit von Europol betrieben wird und dazu dient, Open-Source-Daten ohne Beteiligung der IT-Abteilung und außerhalb der formellen Aufsicht abzurufen. Interne Mitarbeiter stuften dies im Oktober 2022 als “unregelmäßige Situation” ein. Der europäische Datenschutzbeauftragte (EDPS), gibt an, während der ursprünglichen Untersuchung im Jahr 2019 nie über das System informiert worden zu sein.

Nach fast einem Jahrzehnt der Verhandlungen beendete der EDSB im Februar 2026 seine Überwachung des CFN. 15 von 150 Empfehlungen wurden nie umgesetzt. Darunter waren auch Empfehlungen, die der Datenschutzbeauftragte als “besonders wichtige” bezeichnet hatte und die zentrale Sicherheitsvorkehrungen betrafen.

Die Recherche (Nach CORRECTIV-Recherche: Europäischer Datenschutzbeauftragter will Europols Schatten-IT untersuchen) von CORRECTIV und seinen Partnern basiert auf internen Dokumenten und Aussagen von Insidern. Sie zeigt, in welchem Ausmaß die Polizeibehörde der EU, Europol, geheime Analyseplattformen betrieben hat, auf denen Mitarbeiter riesige Mengen sensibler Daten auswerten konnten.

Ehemalige Europol-Mitarbeiter beschreiben das System als „Schatten-IT-Umgebung”, die parallel zu den offiziellen Systemen der Strafverfolgungsbehörde genutzt wurde – allerdings ohne die rechtlich notwendigen Sicherheits- und Datenschutzvorkehrungen. Teile dieser Schatten-IT wurden offenbar vor dem Europäischen Datenschutzbeauftragten geheim gehalten. Der Sacherhalt wurde zu einem Zeitpunkt öffentlich, da die Europäische Kommission sich darauf vorbereitet, das Mandat von Europol zu erweitern und dessen Budget zu verdoppeln. “Sie schützen das Gesetz, während sie es gleichzeitig brechen”, wir ein ehemaliger hochrangiger Europol-Beamter zitiert.