{"id":144,"date":"2026-06-15T08:20:07","date_gmt":"2026-06-15T08:20:07","guid":{"rendered":"https:\/\/shattered.io\/de\/2026\/06\/15\/cl0p-oracle-ebs-2026\/"},"modified":"2026-06-15T12:05:43","modified_gmt":"2026-06-15T12:05:43","slug":"cl0p-oracle-ebs-2026","status":"publish","type":"post","link":"https:\/\/shattered.io\/de\/2026\/06\/15\/cl0p-oracle-ebs-2026\/","title":{"rendered":"Cl0p hackt Oracle: 29 Opfer, CVSS 9.8 [2026]"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Eine einzige Schwachstelle in einer betriebswirtschaftlichen Standardsoftware hat Ende 2025 eine der gr\u00f6\u00dften Erpressungswellen des Jahres ausgel\u00f6st. Die Ransomware-Gruppe <strong>Cl0p<\/strong> nutzte eine kritische Zero-Day-L\u00fccke in Oracle E-Business Suite (EBS), um Daten aus Dutzenden Gro\u00dfkonzernen abzuziehen. Auf ihrer Leak-Seite listete die Gruppe <strong>29 Organisationen<\/strong> namentlich, bei <strong>18<\/strong> davon wurden gestohlene Daten tats\u00e4chlich ver\u00f6ffentlicht. Sicherheitsforscher gehen davon aus, dass insgesamt <strong>\u00fcber 100 Unternehmen<\/strong> betroffen sein k\u00f6nnten. Dieser Beitrag analysiert die Kampagne, ihre technischen Hintergr\u00fcnde, den deutschen und europ\u00e4ischen Bezug sowie die Marktfolgen, Stand 15. Juni 2026.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"cl0p-attackiert-oracle-e-business-suite-was-geschehen-ist\">Cl0p attackiert Oracle E-Business Suite: Was geschehen ist<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Im Sp\u00e4tsommer 2025 begannen Empf\u00e4nger in Finanz- und IT-Abteilungen gro\u00dfer Unternehmen, Erpressungs-E-Mails zu erhalten. Die Absender behaupteten, sensible Gesch\u00e4ftsdaten aus Oracle E-Business Suite kopiert zu haben, und forderten L\u00f6segeld. Anfang Oktober 2025 best\u00e4tigte sich, dass hinter der Welle die Gruppe <strong>Cl0p<\/strong> steckt. Sie ist seit Jahren f\u00fcr ihr Gesch\u00e4ftsmodell bekannt: Statt Systeme zu verschl\u00fcsseln, stiehlt sie gro\u00dfe Datenmengen \u00fcber eine einzige verwundbare Software, die viele Konzerne gleichzeitig einsetzen, und erpresst dann Schweigegeld.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Oracle E-Business Suite ist eine ERP-Plattform, die zentrale Gesch\u00e4ftsprozesse wie Finanzbuchhaltung, Beschaffung, Personalwesen und Lieferkettensteuerung abbildet. Genau das macht sie f\u00fcr Angreifer wertvoll: In einer einzigen Anwendung liegen Gehaltsdaten, Lieferantenvertr\u00e4ge, Steuerinformationen und Kundendaten geb\u00fcndelt. Wer hier eindringt, greift nicht auf ein Randsystem zu, sondern auf das wirtschaftliche Nervenzentrum eines Konzerns.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die Kampagne folgt einem Muster, das Cl0p perfektioniert hat. Die Gruppe identifiziert eine weit verbreitete Unternehmenssoftware, findet oder kauft eine Zero-Day-L\u00fccke, automatisiert die Ausnutzung \u00fcber viele Ziele hinweg und schl\u00e4gt in einem kurzen Zeitfenster zu, bevor Patches verf\u00fcgbar sind. Bei Oracle EBS verschickte Cl0p die Erpressungsschreiben bereits Ende September 2025, also noch bevor Oracle die zugrunde liegende Schwachstelle \u00f6ffentlich best\u00e4tigte.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"cve-2025-61882-die-schwachstelle-im-detail\">CVE-2025-61882: Die Schwachstelle im Detail<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die zentrale L\u00fccke tr\u00e4gt die Kennung <strong>CVE-2025-61882<\/strong> und ist mit dem h\u00f6chstm\u00f6glichen Schweregrad eingestuft: <strong>CVSS 9.8 von 10<\/strong>. Laut Oracle ist sie aus der Ferne ohne jede Authentifizierung ausnutzbar. Angreifer ben\u00f6tigen also keinen Benutzernamen, kein Passwort und keinen vorher kompromittierten Zugang. Eine \u00fcber das Internet erreichbare EBS-Instanz gen\u00fcgt, um Schadcode auszuf\u00fchren (Remote Code Execution). Das ist die gef\u00e4hrlichste Kombination, die eine Schwachstelle haben kann.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Neben CVE-2025-61882 spielt eine verwandte L\u00fccke mit der Kennung <strong>CVE-2025-61884<\/strong> eine Rolle. Sicherheitsanalysten von Mandiant und der Google Threat Intelligence Group stellten zudem fest, dass Cl0p nicht nur den neuen Zero-Day einsetzte, sondern auch bereits im Juli 2025 gepatchte Schwachstellen, sofern Unternehmen die Updates noch nicht eingespielt hatten. Die Angreifer kombinierten also mehrere Einfallstore und nutzten konsequent die L\u00fccke zwischen Patch-Ver\u00f6ffentlichung und tats\u00e4chlicher Installation aus.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"warum-unauthentifizierte-rce-so-brisant-ist\">Warum unauthentifizierte RCE so brisant ist<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Eine unauthentifizierte Remote-Code-Execution-L\u00fccke verschiebt die gesamte Verteidigungslogik. Klassische Schutzma\u00dfnahmen wie starke Passw\u00f6rter, Mehr-Faktor-Authentifizierung oder Berechtigungskonzepte greifen nicht, weil der Angreifer sie umgeht, bevor eine Anmeldung \u00fcberhaupt stattfindet. Bei einem CVSS-Wert von 9.8 bleibt Betreibern in der Praxis nur eine Option: das System sofort patchen oder vom Netz nehmen. Genau deshalb stuften Sicherheitsbeh\u00f6rden weltweit die L\u00fccke als akut ein und dr\u00e4ngten auf umgehendes Handeln.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"oracles-notfall-patch-und-der-zeitstrahl-der-eskalation\">Oracles Notfall-Patch und der Zeitstrahl der Eskalation<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Oracle reagierte mit einer au\u00dferplanm\u00e4\u00dfigen Sicherheitswarnung. Am <strong>4. Oktober 2025<\/strong> ver\u00f6ffentlichte der Konzern einen Notfall-Patch f\u00fcr CVE-2025-61882 samt Hinweisen zur Erkennung von Kompromittierungen. Einen Tag sp\u00e4ter, am 5. Oktober 2025, ordnete die Google Threat Intelligence Group den Vorfall \u00f6ffentlich Cl0p zu und beschrieb die Kombination aus altem und neuem Angriffsweg. Die zeitliche Abfolge zeigt, wie kurz das Reaktionsfenster war.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Datum (2025)<\/th><th>Ereignis<\/th><\/tr><\/thead><tbody><tr><td>Ende September<\/td><td>Cl0p verschickt erste Erpressungs-E-Mails an F\u00fchrungskr\u00e4fte betroffener Konzerne<\/td><\/tr><tr><td>Anfang Oktober<\/td><td>Sicherheitsforscher verkn\u00fcpfen die Welle mit Oracle E-Business Suite<\/td><\/tr><tr><td>4. Oktober<\/td><td>Oracle ver\u00f6ffentlicht Notfall-Patch f\u00fcr CVE-2025-61882 (CVSS 9.8)<\/td><\/tr><tr><td>5. Oktober<\/td><td>Google Threat Intelligence Group ordnet die Kampagne Cl0p zu<\/td><\/tr><tr><td>Mitte Oktober<\/td><td>Erste Opfer wie Harvard und Envoy Air best\u00e4tigen die Betroffenheit<\/td><\/tr><tr><td>November<\/td><td>Cl0p nennt 29 Organisationen auf der Leak-Seite, bei 18 folgen Datenver\u00f6ffentlichungen<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Bemerkenswert ist der Vorlauf: Die Erpressung lief bereits, bevor der Patch existierte. F\u00fcr die Verteidiger bedeutete das, dass der reine Software-Fix das Problem nicht l\u00f6ste. Wer eine \u00fcber das Internet erreichbare EBS-Instanz betrieb, musste davon ausgehen, dass die Daten m\u00f6glicherweise schon abgeflossen waren, und parallel zur Installation des Updates eine forensische Untersuchung einleiten.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"wer-betroffen-ist-29-namentlich-genannte-opfer\">Wer betroffen ist: 29 namentlich genannte Opfer<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Auf der Leak-Seite von Cl0p tauchten <strong>29 Organisationen<\/strong> auf. Bei <strong>18<\/strong> von ihnen ver\u00f6ffentlichte die Gruppe nach eigenen Angaben gestohlene Daten. Mehrere prominente Namen best\u00e4tigten den Vorfall \u00f6ffentlich, andere reagierten nicht oder bestritten eine erfolgreiche Kompromittierung. Die folgende \u00dcbersicht fasst den Stand der Berichterstattung zusammen.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Organisation<\/th><th>Sektor<\/th><th>Status laut Berichterstattung<\/th><\/tr><\/thead><tbody><tr><td>Harvard University<\/td><td>Bildung<\/td><td>Betroffenheit Mitte Oktober 2025 best\u00e4tigt<\/td><\/tr><tr><td>Envoy Air<\/td><td>Luftfahrt<\/td><td>Betroffenheit Mitte Oktober 2025 best\u00e4tigt<\/td><\/tr><tr><td>The Washington Post<\/td><td>Medien<\/td><td>erfolgreicher Angriff best\u00e4tigt, keine Details<\/td><\/tr><tr><td>Wits University<\/td><td>Bildung (S\u00fcdafrika)<\/td><td>als Opfer genannt<\/td><\/tr><tr><td>Schneider Electric<\/td><td>Industrie<\/td><td>gelistet, Kompromittierung nicht best\u00e4tigt<\/td><\/tr><tr><td>Emerson<\/td><td>Industrie<\/td><td>gelistet, Kompromittierung nicht best\u00e4tigt<\/td><\/tr><tr><td>Logitech<\/td><td>Hardware<\/td><td>gelistet, Kompromittierung nicht best\u00e4tigt<\/td><\/tr><tr><td>Cox Enterprises<\/td><td>Medien\/Telekom<\/td><td>gelistet, Kompromittierung nicht best\u00e4tigt<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Die Bandbreite der Branchen ist auff\u00e4llig. Bildungseinrichtungen, Luftfahrt, Medienh\u00e4user und Industriekonzerne haben technisch wenig gemeinsam, eint aber der Einsatz von Oracle E-Business Suite. Das ist der Kern von Cl0ps Strategie: Nicht ein Sektor wird ins Visier genommen, sondern eine Software, die quer durch alle Branchen l\u00e4uft. Damit verwandelt sich eine einzelne L\u00fccke in ein branchen\u00fcbergreifendes Lieferketten-Risiko.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"der-deutsche-und-europaeische-bezug\">Der deutsche und europ\u00e4ische Bezug<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr den DACH-Raum ist die Kampagne keineswegs ein fernes US-Ph\u00e4nomen. In erweiterten Opferlisten der Berichterstattung tauchte unter anderem <strong>Carglass Germany<\/strong> als deutsche Einheit auf. Aus dem europ\u00e4ischen Umfeld wurden zudem britische Organisationen wie der Ingenieurkonzern <strong>John Wood Group<\/strong>, der Versicherer <strong>LV=<\/strong>, das Bauunternehmen <strong>Kier Group<\/strong> sowie der Gesundheitsdienst <strong>NHS England<\/strong> genannt. Die Reichweite der Kampagne endete also nicht an der amerikanischen Grenze.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das passt zu einem klaren Trend in der Region. Laut Check Point Research stiegen die Cyberangriffe auf Organisationen in Deutschland, \u00d6sterreich und der Schweiz im Jahr 2025 um <strong>124 Prozent<\/strong>, wobei auf Deutschland mehr als <strong>80 Prozent<\/strong> der erfassten Vorf\u00e4lle entfielen. Deutsche Konzerne mit international vernetzten ERP-Systemen sind damit ein attraktives Ziel f\u00fcr genau jene Massen-Erpressung, die Cl0p betreibt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hinzu kommt die wirtschaftliche Dimension. Der Branchenverband Bitkom bezifferte den Gesamtschaden der deutschen Wirtschaft durch Datendiebstahl, Sabotage und Industriespionage f\u00fcr 2025 auf rund <strong>289,2 Milliarden Euro<\/strong>, von denen etwa <strong>202,4 Milliarden Euro<\/strong> direkt auf Cyberattacken entfielen. <strong>87 Prozent<\/strong> der befragten Unternehmen waren in den vorangegangenen zw\u00f6lf Monaten betroffen oder vermuteten Angriffe. Eine Kampagne wie die gegen Oracle EBS zahlt direkt auf diese Schadensbilanz ein.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"wer-ist-cl0p-fin11-und-eine-dekade-der-massen-erpressung\">Wer ist Cl0p? FIN11 und eine Dekade der Massen-Erpressung<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cl0p wird in der Berichterstattung mit dem finanziell motivierten Aktivit\u00e4tscluster <strong>FIN11<\/strong> in Verbindung gebracht. Die Gruppe ist keine Neuerscheinung, sondern ein etablierter Akteur, der seit Jahren ein wiederkehrendes Muster verfolgt: Sie sucht sich Software f\u00fcr den unternehmensweiten Datentransfer oder die Gesch\u00e4ftssteuerung und nutzt darin Zero-Day-L\u00fccken, um in einem Rutsch viele Opfer zu treffen. Die Oracle-EBS-Welle ist die j\u00fcngste Eskalationsstufe dieser Taktik.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Jahr<\/th><th>Zielsoftware<\/th><th>Charakter der Kampagne<\/th><\/tr><\/thead><tbody><tr><td>2020\/2021<\/td><td>Accellion FTA<\/td><td>Massenhafter Datendiebstahl \u00fcber ein Managed-File-Transfer-System<\/td><\/tr><tr><td>2023<\/td><td>Fortra GoAnywhere MFT<\/td><td>Zero-Day-Ausnutzung mit Datenabfluss bei zahlreichen Firmen<\/td><\/tr><tr><td>2023<\/td><td>MOVEit Transfer<\/td><td>Eine der gr\u00f6\u00dften Erpressungswellen \u00fcberhaupt, hunderte Organisationen weltweit<\/td><\/tr><tr><td>2024\/2025<\/td><td>Cleo MFT<\/td><td>Erneute Massenausnutzung einer Datei-Transfer-L\u00f6sung<\/td><\/tr><tr><td>2025<\/td><td>Oracle E-Business Suite<\/td><td>CVE-2025-61882, 29 genannte Opfer, mutma\u00dflich \u00fcber 100 betroffen<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Die MOVEit-Kampagne von 2023 gilt bis heute als Referenzfall. Cl0p kompromittierte \u00fcber eine einzige Schwachstelle in der weit verbreiteten Datei-Transfer-Software MOVEit hunderte Organisationen und mittelbar Millionen Menschen, deren Daten bei diesen Organisationen gespeichert waren. Mit der Verlagerung von Datei-Transfer-Tools (MOVEit, GoAnywhere, Cleo) hin zu einer Kern-ERP-Plattform wie Oracle EBS hebt die Gruppe ihr Modell auf eine neue Ebene, weil ERP-Daten gesch\u00e4ftskritischer und sensibler sind als Dateianh\u00e4nge.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"wie-mandiant-und-google-den-angriff-einordnen\">Wie Mandiant und Google den Angriff einordnen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die forensische Aufarbeitung \u00fcbernahm ma\u00dfgeblich die Google Threat Intelligence Group (GTIG), zu der die Sicherheitsfirma Mandiant geh\u00f6rt. Ihre Analysten best\u00e4tigten am 5. Oktober 2025, dass Cl0p sowohl die neue Zero-Day-L\u00fccke als auch zuvor gepatchte Schwachstellen aus dem Juli 2025 nutzte. Diese Doppelstrategie erkl\u00e4rt, warum auch Unternehmen getroffen wurden, die ihre Systeme f\u00fcr ausreichend abgesichert hielten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Charles Carmakal<\/strong>, Chief Technology Officer der Google Threat Intelligence Group, mahnte zugleich zur Vorsicht bei den Opferzahlen. Er erkl\u00e4rte, dass GTIG zum damaligen Zeitpunkt noch nicht \u00fcber ausreichende Beweise verf\u00fcge, um den Wahrheitsgehalt aller Behauptungen von Cl0p abschlie\u00dfend zu beurteilen. Diese Einordnung ist wichtig: Ransomware-Gruppen \u00fcbertreiben regelm\u00e4\u00dfig den Umfang ihrer Beute, um den Druck auf die Opfer zu erh\u00f6hen. Nicht jede genannte Organisation ist zwangsl\u00e4ufig erfolgreich kompromittiert worden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sicherheitsanbieter wie Tenable und Oligo Security erg\u00e4nzten die technische Analyse. Tenable wies darauf hin, dass die L\u00fccke ohne Authentifizierung aus der Ferne ausnutzbar ist und Code-Ausf\u00fchrung erlaubt, und stufte sie als sofort behebungsbed\u00fcrftig ein. Oligo beschrieb CVE-2025-61882 als kritische, unauthentifizierte RCE-Schwachstelle, die aktiv in Cl0ps Erpressungskampagne ausgenutzt wird. Die \u00dcbereinstimmung mehrerer unabh\u00e4ngiger Analysen unterstreicht den Ernst der Lage.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"die-erpressungs-mechanik-datendiebstahl-statt-verschluesselung\">Die Erpressungs-Mechanik: Datendiebstahl statt Verschl\u00fcsselung<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cl0p verzichtet bei diesen Kampagnen weitgehend auf die klassische Verschl\u00fcsselung von Systemen. Das Gesch\u00e4ftsmodell ist reine Daten-Erpressung: Die Gruppe kopiert sensible Informationen, kontaktiert die F\u00fchrungsebene des Opfers per E-Mail und droht mit der Ver\u00f6ffentlichung auf der Leak-Seite, falls kein L\u00f6segeld flie\u00dft. Der Vorteil f\u00fcr die Angreifer liegt in Geschwindigkeit und Skalierbarkeit. Sie m\u00fcssen keine Systeme lahmlegen, sondern nur Daten abziehen, was technisch unauff\u00e4lliger und schneller geht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die Opfer versch\u00e4rft das die Lage. Eine Verschl\u00fcsselung l\u00e4sst sich durch Backups r\u00fcckg\u00e4ngig machen, ein Datendiebstahl nicht. Sind die Informationen erst abgeflossen, helfen weder Sicherungskopien noch eine schnelle Wiederherstellung. Die Drohung mit der Ver\u00f6ffentlichung von Gehaltsdaten, Vertr\u00e4gen oder personenbezogenen Kundendaten erzeugt zudem regulatorischen Druck, weil in der EU bei Datenschutzverletzungen Meldepflichten nach der DSGVO greifen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"warum-die-reaktionszeit-ueber-den-schaden-entscheidet\">Warum die Reaktionszeit \u00fcber den Schaden entscheidet<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Wie wenig Zeit Verteidigern bleibt, zeigt der Global Incident Response Report 2026 von Palo Alto Networks Unit 42. Demnach erreichte das schnellste Viertel aller Einbr\u00fcche im Jahr 2025 den Punkt der Datenexfiltration bereits nach <strong>1,2 Stunden<\/strong>, gegen\u00fcber 4,8 Stunden im Vorjahr. Der Anteil der Vorf\u00e4lle, bei denen Daten in unter einer Stunde abflossen, stieg von 19 auf <strong>22 Prozent<\/strong>. Bei Angriffen dieser Geschwindigkeit ist die reine Patch-Strategie oft zu langsam. Es z\u00e4hlt die F\u00e4higkeit, Anomalien in Echtzeit zu erkennen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"marktauswirkungen-oracle-versicherer-und-der-erp-markt\">Marktauswirkungen: Oracle, Versicherer und der ERP-Markt<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Kampagne trifft Oracle in einem sensiblen Moment. Der Konzern positioniert sich stark im Cloud- und Datenbankgesch\u00e4ft, und ein hochkar\u00e4tiger Sicherheitsvorfall in einem Kernprodukt belastet das Vertrauen gro\u00dfer Unternehmenskunden. Auch wenn der Patch z\u00fcgig kam, verschiebt sich die Diskussion bei Bestandskunden hin zu der Frage, wie viele weitere unentdeckte L\u00fccken in komplexen, jahrzehntealten ERP-Codebasen schlummern.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sp\u00fcrbar werden die Folgen auch im Markt f\u00fcr Cyber-Versicherungen. Massen-Erpressungskampagnen \u00fcber eine einzelne Lieferantensoftware erzeugen korrelierte Sch\u00e4den: Dutzende Versicherte sind gleichzeitig betroffen, was die Risikomodelle der Versicherer durcheinanderbringt. In der Folge ist mit strengeren Vorgaben zu rechnen, etwa der Pflicht zu nachweisbarem Patch-Management und zur Segmentierung internetexponierter Systeme, bevor Policen abgeschlossen werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mittelbar profitieren Anbieter von L\u00f6sungen f\u00fcr Angriffserkennung, Datenklassifizierung und Drittparteien-Risikomanagement. Der Vorfall verdeutlicht, dass klassische Perimeter-Sicherheit nicht ausreicht, wenn die Bedrohung \u00fcber eine vertrauensw\u00fcrdige Gesch\u00e4ftsanwendung hereinkommt. Das verschiebt Budgets in Richtung kontinuierlicher \u00dcberwachung und Lieferketten-Sicherheit, ein Thema, das auch durch europ\u00e4ische Regulierung wie NIS2 und den Cyber Resilience Act zus\u00e4tzlich Auftrieb erh\u00e4lt.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"einordnung-in-die-dach-bedrohungslage-2025-2026\">Einordnung in die DACH-Bedrohungslage 2025\/2026<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Der Oracle-Vorfall ist kein Einzelfall, sondern Teil eines breiteren Trends. Die folgende Tabelle stellt die wichtigsten Kennzahlen zur Bedrohungslage in Deutschland und der DACH-Region zusammen, die den Kontext f\u00fcr Cl0ps Kampagne liefern.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Kennzahl<\/th><th>Wert<\/th><th>Quelle\/Zeitraum<\/th><\/tr><\/thead><tbody><tr><td>Gesamtschaden deutsche Wirtschaft<\/td><td>289,2 Mrd. Euro<\/td><td>Bitkom, 2025<\/td><\/tr><tr><td>davon durch Cyberattacken<\/td><td>202,4 Mrd. Euro<\/td><td>Bitkom, 2025<\/td><\/tr><tr><td>Gesamtschaden Vorjahr<\/td><td>266,6 Mrd. Euro<\/td><td>Bitkom, 2024<\/td><\/tr><tr><td>betroffene Unternehmen<\/td><td>87 Prozent<\/td><td>Bitkom, 2025<\/td><\/tr><tr><td>Anstieg Angriffe DACH<\/td><td>plus 124 Prozent<\/td><td>Check Point, 2025<\/td><\/tr><tr><td>Anteil Deutschland an DACH-Vorf\u00e4llen<\/td><td>\u00fcber 80 Prozent<\/td><td>Check Point, 2025<\/td><\/tr><tr><td>Angriffe pro Organisation\/Woche (global)<\/td><td>2.090<\/td><td>Check Point, Januar 2026<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Global registrierte Check Point Research im Januar 2026 durchschnittlich <strong>2.090 Angriffe pro Organisation und Woche<\/strong>, ein Plus von 17 Prozent gegen\u00fcber dem Vorjahresmonat. Die Zahl der weltweit beobachteten Ransomware-Vorf\u00e4lle lag bei <strong>678<\/strong> allein im Januar 2026, 10 Prozent mehr als im Januar 2025. Diese Zahlen zeigen, dass Erpressungskampagnen wie die von Cl0p nicht abebben, sondern sich weiter verst\u00e4rken.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"ki-als-brandbeschleuniger-der-bedrohung\">KI als Brandbeschleuniger der Bedrohung<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ein wiederkehrendes Thema in der Analyse der aktuellen Bedrohungslage ist der Einsatz k\u00fcnstlicher Intelligenz. Laut dem Global Cybersecurity Outlook 2026 des World Economic Forum sehen <strong>94 Prozent<\/strong> der Befragten KI als den bedeutendsten Treiber des Wandels in der Cybersicherheit f\u00fcr das kommende Jahr. <strong>64 Prozent<\/strong> der Organisationen ber\u00fccksichtigen mittlerweile geopolitisch motivierte Cyberangriffe in ihren Risikoplanungen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">KI senkt den Aufwand f\u00fcr ausgefeilte Angriffe. Phishing-Mails, Sprachnachrichten und sogar videobasierte Social-Engineering-Versuche lassen sich 2026 immer schwerer von echter Kommunikation unterscheiden. F\u00fcr Massen-Erpresser wie Cl0p bedeutet das, dass die Vorbereitung von Kampagnen, das Aufsp\u00fcren verwundbarer Systeme und das Verfassen \u00fcberzeugender Erpressungsschreiben g\u00fcnstiger und schneller werden. Die menschliche Schwachstelle bleibt damit ein zentrales Einfallstor.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"wie-sich-unternehmen-jetzt-schuetzen\">Wie sich Unternehmen jetzt sch\u00fctzen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die unmittelbare Konsequenz aus dem Oracle-Vorfall ist klar: Betreiber von Oracle E-Business Suite m\u00fcssen die Patches f\u00fcr CVE-2025-61882 und CVE-2025-61884 einspielen, sofern noch nicht geschehen, und parallel pr\u00fcfen, ob ihre Systeme bereits kompromittiert wurden. Oracle hat Hinweise zur Erkennung von Angriffsspuren bereitgestellt. Dar\u00fcber hinaus gelten allgemeine Prinzipien, die das Risiko solcher Massen-Kampagnen senken.<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li><strong>Angriffsfl\u00e4che reduzieren:<\/strong> ERP-Systeme geh\u00f6ren nicht ungesch\u00fctzt ins offene Internet. Wo Fernzugriff n\u00f6tig ist, sollten VPN, Zugriffskontrolle und Netzsegmentierung davorgeschaltet sein.<\/li><li><strong>Patch-Geschwindigkeit erh\u00f6hen:<\/strong> Cl0p nutzt gezielt die L\u00fccke zwischen Patch und Installation. Kritische Updates sollten in Tagen statt Wochen ausgerollt werden.<\/li><li><strong>Datenabfluss \u00fcberwachen:<\/strong> Da reine Verschl\u00fcsselung entf\u00e4llt, ist die Erkennung ungew\u00f6hnlicher Datenexporte entscheidend. Verhaltensbasierte \u00dcberwachung schl\u00e4gt statische Signaturen.<\/li><li><strong>Notfallpl\u00e4ne testen:<\/strong> Wer eine Erpressungs-Mail erh\u00e4lt, sollte vorbereitet sein, inklusive Kommunikationswegen, juristischer Beratung und Meldepflichten nach DSGVO.<\/li><li><strong>Lieferketten bewerten:<\/strong> Jede zentrale Gesch\u00e4ftssoftware ist ein potenzieller Single Point of Failure. Drittparteien-Risiken m\u00fcssen systematisch erfasst werden.<\/li><\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ein einfacher Erkennungsschritt ist die Inventarisierung aller \u00fcber das Internet erreichbaren EBS-Instanzen. Folgender konzeptioneller Befehl illustriert, wie Administratoren exponierte Dienste in ihrem Adressbereich aufsp\u00fcren k\u00f6nnen, bevor es Angreifer tun.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Beispielhafte Suche nach exponierten Oracle-EBS-Webdiensten im eigenen Netz\n# (nur fuer autorisierte Systeme im eigenen Verantwortungsbereich)\nnmap -p 80,443,8000,8443 --open -sV 203.0.113.0\/24 \\\n  | grep -iE \"oracle|application|ebs\"<\/code><\/pre>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"historische-einordnung-von-accellion-bis-oracle\">Historische Einordnung: Von Accellion bis Oracle<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cl0ps Karriere ist ein Lehrst\u00fcck \u00fcber die Verlagerung von Risiko in die Software-Lieferkette. Begonnen hat die Massen-Erpressung um 2020 mit dem Datei-Transfer-System Accellion FTA. Es folgten GoAnywhere und MOVEit 2023 sowie Cleo 2024 und 2025. Jede dieser Kampagnen zielte auf eine Software, die viele Unternehmen f\u00fcr denselben Zweck einsetzen, n\u00e4mlich den Austausch von Dateien. Mit Oracle E-Business Suite verl\u00e4sst die Gruppe diese Nische und greift erstmals eine komplette ERP-Plattform an.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Diese Entwicklung ist gef\u00e4hrlicher, weil ERP-Systeme tiefer im Unternehmen verankert sind. W\u00e4hrend ein Datei-Transfer-Tool eher am Rand der IT steht, verwaltet eine ERP-Suite die wertvollsten und sensibelsten Datenbest\u00e4nde. Der Schritt von MOVEit zu Oracle EBS markiert damit eine qualitative Eskalation, nicht nur eine quantitative. Die Lehre aus einer Dekade Cl0p lautet: Die n\u00e4chste Massen-Kampagne zielt mit hoher Wahrscheinlichkeit erneut auf eine weit verbreitete Unternehmenssoftware mit einer bislang unbekannten L\u00fccke.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"ausblick-fuenf-prognosen-fuer-2026-und-2027\">Ausblick: F\u00fcnf Prognosen f\u00fcr 2026 und 2027<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aus dem Verlauf der Kampagne und den Branchendaten lassen sich mehrere belastbare Erwartungen ableiten.<\/p>\n\n\n\n<ol class=\"wp-block-list\"><li><strong>Weitere ERP-Kampagnen:<\/strong> Nach dem Erfolg bei Oracle EBS d\u00fcrften Cl0p und Nachahmer gezielt weitere gesch\u00e4ftskritische Plattformen nach unauthentifizierten RCE-L\u00fccken absuchen. ERP-, HR- und Finanzsoftware r\u00fccken st\u00e4rker ins Visier.<\/li><li><strong>K\u00fcrzere Reaktionsfenster:<\/strong> Mit Exfiltrationszeiten von teils unter einer Stunde wird die Pr\u00e4vention zur Nebensache, wenn die Erkennung nicht in Echtzeit funktioniert. Investitionen verschieben sich Richtung Detection and Response.<\/li><li><strong>Strengere Versicherungsbedingungen:<\/strong> Korrelierte Sch\u00e4den durch Lieferketten-Kampagnen zwingen Cyber-Versicherer zu h\u00e4rteren Auflagen und vermutlich steigenden Pr\u00e4mien f\u00fcr exponierte Branchen.<\/li><li><strong>Wachsender regulatorischer Druck:<\/strong> NIS2 und der Cyber Resilience Act erh\u00f6hen in der EU die Anforderungen an Meldepflichten und Lieferketten-Sicherheit. Vorf\u00e4lle wie dieser beschleunigen die Durchsetzung.<\/li><li><strong>KI-gest\u00fctzte Massen-Erpressung:<\/strong> Die Kombination aus automatisierter Schwachstellensuche und KI-generierter Kommunikation senkt die H\u00fcrden weiter. Die Frequenz solcher Kampagnen d\u00fcrfte 2026 und 2027 zunehmen.<\/li><\/ol>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"fazit-eine-luecke-hundert-opfer-ein-muster\">Fazit: Eine L\u00fccke, hundert Opfer, ein Muster<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Cl0p-Kampagne gegen Oracle E-Business Suite ist mehr als ein weiterer Datenvorfall. Sie zeigt exemplarisch, wie eine einzige kritische Schwachstelle in einer weit verbreiteten Unternehmenssoftware zu einem branchen\u00fcbergreifenden Lieferketten-Risiko wird. <strong>29 namentlich genannte Opfer<\/strong>, <strong>18 Datenver\u00f6ffentlichungen<\/strong> und mutma\u00dflich <strong>\u00fcber 100 betroffene Unternehmen<\/strong> sprechen eine deutliche Sprache. F\u00fcr deutsche und europ\u00e4ische Konzerne ist der Vorfall ein Weckruf: Wer gesch\u00e4ftskritische Software ungesch\u00fctzt ins Internet stellt und Patches zu langsam einspielt, wird zur leichten Beute. Die n\u00e4chste Welle ist keine Frage des Ob, sondern des Wann.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"haeufige-fragen-faq\">H\u00e4ufige Fragen (FAQ)<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"was-ist-cve-2025-61882\">Was ist CVE-2025-61882?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">CVE-2025-61882 ist eine kritische Sicherheitsl\u00fccke in Oracle E-Business Suite mit dem Schweregrad CVSS 9.8. Sie erlaubt aus der Ferne und ohne Authentifizierung die Ausf\u00fchrung von Schadcode. Oracle ver\u00f6ffentlichte am 4. Oktober 2025 einen Notfall-Patch.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"wer-steckt-hinter-der-oracle-ebs-kampagne\">Wer steckt hinter der Oracle-EBS-Kampagne?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Verantwortlich ist die Ransomware- und Erpressungsgruppe Cl0p, die in der Berichterstattung mit dem finanziell motivierten Cluster FIN11 in Verbindung gebracht wird. Die Google Threat Intelligence Group ordnete die Kampagne am 5. Oktober 2025 Cl0p zu.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"wie-viele-unternehmen-sind-betroffen\">Wie viele Unternehmen sind betroffen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Cl0p nannte 29 Organisationen auf seiner Leak-Seite, bei 18 wurden Daten ver\u00f6ffentlicht. Sicherheitsforscher halten eine Gesamtzahl von \u00fcber 100 betroffenen Unternehmen f\u00fcr m\u00f6glich. Nicht alle genannten Namen haben eine erfolgreiche Kompromittierung best\u00e4tigt.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"gibt-es-deutsche-oder-europaeische-opfer\">Gibt es deutsche oder europ\u00e4ische Opfer?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">In erweiterten Opferlisten tauchte Carglass Germany als deutsche Einheit auf. Aus Europa wurden zudem britische Organisationen wie John Wood Group, LV=, Kier Group und NHS England genannt.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"verschluesselt-cl0p-die-systeme-der-opfer\">Verschl\u00fcsselt Cl0p die Systeme der Opfer?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Bei diesen Massen-Kampagnen verzichtet Cl0p weitgehend auf Verschl\u00fcsselung. Das Modell ist reine Daten-Erpressung: Die Gruppe stiehlt Informationen und droht mit deren Ver\u00f6ffentlichung, falls kein L\u00f6segeld gezahlt wird.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"wie-koennen-sich-unternehmen-schuetzen\">Wie k\u00f6nnen sich Unternehmen sch\u00fctzen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Wichtig sind das sofortige Einspielen der Oracle-Patches, die Reduzierung internetexponierter Systeme, schnelle Patch-Zyklen, die \u00dcberwachung auf ungew\u00f6hnlichen Datenabfluss sowie getestete Notfallpl\u00e4ne inklusive DSGVO-Meldewegen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"was-hat-cl0p-mit-moveit-zu-tun\">Was hat Cl0p mit MOVEit zu tun?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Cl0p steht hinter der MOVEit-Massenausnutzung von 2023, einer der gr\u00f6\u00dften Erpressungswellen \u00fcberhaupt mit hunderten betroffenen Organisationen. Die Oracle-EBS-Kampagne folgt demselben Muster, zielt aber erstmals auf eine vollst\u00e4ndige ERP-Plattform statt auf ein Datei-Transfer-Tool.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"related-coverage\">Related Coverage<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li><a href=\"\/de\/qilin-ransomware-deutschland-2026\/\">Qilin Ransomware: 500+ Opfer, Die Linke gehackt [2026]<\/a><\/li><li><a href=\"\/de\/akira-ransomware-deutschland-2026\/\">Akira Ransomware: 1.400 Opfer, 244 Mio $ [2026]<\/a><\/li><li><a href=\"\/de\/citrix-netscaler-luecke-2026\/\">Citrix NetScaler L\u00fccke: CVSS 9.3, KEV in 7 Tagen [2026]<\/a><\/li><li><a href=\"\/de\/servicenow-datenleck-api-luecke-2026\/\">ServiceNow Datenleck: 44 Tage offene API-L\u00fccke [2026]<\/a><\/li><li><a href=\"\/de\/cyberschaeden-deutschland-289-milliarden-2026\/\">Cybersch\u00e4den DE: 289 Mrd \u20ac Rekord [2026]<\/a><\/li><li><a href=\"\/de\/nis2-deutschland-umsetzung-2026\/\">NIS2 Deutschland: 29.500 Firmen, 10 Mio \u20ac Strafe [2026]<\/a><\/li><li><a href=\"\/security\/\">Alle Beitr\u00e4ge zur Cybersicherheit<\/a><\/li><\/ul>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"weiterfuehrende-quellen\">Weiterf\u00fchrende Quellen<\/h3>\n\n\n\n<ul class=\"wp-block-list\"><li><a href=\"https:\/\/www.oracle.com\/security-alerts\/alert-cve-2025-61882.html\" target=\"_blank\" rel=\"noopener\">Oracle Security Alert zu CVE-2025-61882<\/a><\/li><li><a href=\"https:\/\/www.tenable.com\/blog\/cve-2025-61882-faq-oracle-e-business-suite-zero-day-cl0p-and-july-2025-cpu\" target=\"_blank\" rel=\"noopener\">Tenable: FAQ zu CVE-2025-61882<\/a><\/li><li><a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\" target=\"_blank\" rel=\"noopener\">Google Threat Intelligence Group<\/a><\/li><li><a href=\"https:\/\/www.mandiant.com\/resources\/blog\" target=\"_blank\" rel=\"noopener\">Mandiant Threat Intelligence Blog<\/a><\/li><li><a href=\"https:\/\/www.bsi.bund.de\/DE\/Home\/home_node.html\" target=\"_blank\" rel=\"noopener\">Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI)<\/a><\/li><\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Eine einzige Schwachstelle in einer betriebswirtschaftlichen Standardsoftware hat Ende 2025 eine der gr\u00f6\u00dften Erpressungswellen des Jahres ausgel\u00f6st. Die Ransomware-Gruppe Cl0p nutzte eine kritische Zero-Day-L\u00fccke in Oracle E-Business Suite (EBS), um\u2026<\/p>\n","protected":false},"author":8,"featured_media":145,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-144","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/144","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/comments?post=144"}],"version-history":[{"count":1,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/144\/revisions"}],"predecessor-version":[{"id":146,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/144\/revisions\/146"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media\/145"}],"wp:attachment":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media?parent=144"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/categories?post=144"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/tags?post=144"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}