Insolventer Cloud-Anbieter: Kundendaten sitzen fest
Von Jörg SchockErster Hauptkommissar a. D. · über 35 Jahre Hamburger Polizei
Kurz gesagt: Der US-Sender Nine PBS aus St. Louis hat nach der plötzlichen Insolvenz seines Cloud-Speicher-Anbieters Open Source Storage keinen Zugriff mehr auf 50 Terabyte Archivmaterial aus 70 Jahren Sendegeschichte - ein Gericht musste den Rechenzentrumsbetreiber Iron Mountain per einstweiliger Verfügung zur Datensicherung zwingen. Parallel meldet sich die Erpressergruppe Cl0p mit dem Diebstahl von Daten bei fast 50 Unternehmen, darunter Shell, Philips, General Electric und Fiserv - über eine Sicherheitslücke in der Software PTC Windchill, die schon vor gut drei Wochen bekannt und mit Patches versehen wurde.
Symbolbild: KI-generiert
Zwei Vorfälle aus den USA zeigen aktuell, wie schnell Cloud-Abhängigkeit zur Falle werden kann - und wie langsam viele Unternehmen bei der Software-Pflege bleiben. Wie heise online berichtet, ist der öffentlich-rechtliche US-Sender Nine PBS aus St. Louis von seinem Cloud-Speicher-Dienstleister praktisch über Nacht abgeschnitten worden.
50 Terabyte Sendegeschichte ohne lokales Backup
Der Anbieter Open Source Storage meldete Insolvenz an, die Daten selbst liegen laut Berichten von Tom's Hardware weiterhin unangetastet bei einem Rechenzentrum von Iron Mountain - der Betreiber verweigerte aber aus rechtlichen Gründen die Herausgabe an den Sender. Betroffen sind rund 50 Terabyte Archivmaterial, das 70 Jahre Sendegeschichte umfasst. Nine PBS klagte daraufhin vor Gericht und erwirkte eine einstweilige Verfügung, die verhindert, dass die Daten gelöscht, verändert oder überschrieben werden, bis der Streit geklärt ist. Der Fall gilt in US-Fachkreisen bereits als Lehrbuchbeispiel dafür, dass ein einzelner Cloud-Anbieter ohne zusätzliches lokales oder unabhängiges Backup kein Backup ist, sondern nur eine weitere Kopie mit eigenem Ausfallrisiko - Fachleute empfehlen dafür seit Langem die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Speichermedien, eine davon räumlich getrennt.
Cl0p erbeutet Daten bei fast 50 Konzernen
Gleichzeitig meldet sich die aus Russland stammende Erpressergruppe Cl0p mit einer neuen Angriffswelle. Wie unter anderem der US-Branchendienst TechNadu berichtet, beansprucht die Gruppe Daten von knapp 50 Unternehmen - darunter der Öl-Konzern Shell (89 Gigabyte), der Elektronikkonzern Philips (13,5 Gigabyte), General Electric und der Finanzdienstleister Fiserv. Als Einfallstor diente laut Berichten die kritische Schwachstelle CVE-2026-12569 in der Produktlebenszyklus-Software PTC Windchill beziehungsweise FlexPLM - eine Lücke, die bereits vor rund drei Wochen öffentlich wurde und für die Patches existieren. Cl0p nutzte offenbar das Zeitfenster, bis Unternehmen die Updates tatsächlich eingespielt hatten. Shell und General Electric bestätigten laufende Untersuchungen, ohne den Umfang zu bestätigen; Philips spricht von einem isolierten Server ohne Auswirkung auf Kundendaten, Fiserv sieht bislang keine Hinweise auf betroffene Kunden- oder Betriebsdaten. Beweise für die gestohlenen Datenmengen hat Cl0p bislang nicht veröffentlicht.
Einordnung: zwei Seiten derselben Medaille
Für Verbraucher und kleine Unternehmen sind beide Fälle keine exotischen US-Randnotizen, sondern eine Mahnung mit direktem Bezug zum eigenen Smart-Home- und Home-Office-Alltag: Wer wichtige Fotos, Dokumente oder Backups ausschließlich bei einem einzigen Cloud-Dienst ablegt, ist im Insolvenzfall ähnlich schutzlos wie Nine PBS - ein zusätzliches lokales Backup auf einer externen Festplatte oder einem NAS kostet wenig und verhindert genau dieses Szenario. Der Cl0p-Fall wiederum zeigt, warum zeitnahes Einspielen von Sicherheitsupdates - auch bei vermeintlich internen Fachanwendungen - kein Nice-to-have ist: Zwischen Bekanntwerden einer Lücke und ihrer Ausnutzung liegen oft nur wenige Wochen.