Der Datendiebstahl bei der Berliner Zertifizierungsgesellschaft GUTcert betrifft einen besonders sensiblen Bereich der Zusammenarbeit zwischen Unternehmen und externen Dienstleistern: Informationen, mit denen Organisationen ihre Sicherheit nachweisen. Werden solche Unterlagen entwendet, können daraus Risiken für die geprüften Unternehmen entstehen, obwohl deren eigene Systeme zunächst unberührt bleiben. Der Vorfall verlangt deshalb eine genaue Betrachtung seiner möglichen Folgen – und eine grundsätzliche Auseinandersetzung mit dem Schutz von Sicherheitsnachweisen.
Was über den Angriff bekannt ist
Nach Angaben von GUTcert verschafften sich unbekannte Angreifer am 5. September 2026 Zugang zu Teilen der IT-Systeme. Zwischen dem 6. und dem 9. September wurden rund 640 Gigabyte Daten entwendet. Entdeckt wurde der Angriff in der Nacht zum 10. September während einer Routinetätigkeit. Das Unternehmen informierte am 11. September die Berliner Datenschutzaufsicht und das Landeskriminalamt sowie zusätzlich das Bundesamt für Sicherheit in der Informationstechnik. GUTcert erklärt, auf die Erpressungsforderungen nicht einzugehen. Die forensische Untersuchung dauert an.
Die mögliche Tragweite ergibt sich vor allem aus den betroffenen Informationsarten. GUTcert nennt in seiner aktualisierten Vorfallsinformation unter anderem Auditberichte, festgestellte Mängel, Managementreviews, Netzstrukturpläne, Organigramme und Betriebsstättenlisten aus internen Projektablagen. Eine abschließende Zuordnung zu einzelnen Kunden und konkreten Dateien war zum hier betrachteten Stand noch nicht möglich. Auch konnte das Unternehmen nicht vollständig ausschließen, dass Unterlagen Zugangsdaten oder technische Berechtigungsinformationen enthielten.
Die Datenmenge allein erlaubt allerdings keine belastbare Einschätzung des Schadens. Wenige aktuelle Dokumente über einen besonders empfindlichen Netzbereich können sicherheitsrelevanter sein als ein umfangreiches Archiv veralteter Verwaltungsunterlagen. Für die Bewertung kommt es auf Inhalt, Aktualität und Verwendbarkeit der Informationen an. Ebenso wichtig ist, ob dokumentierte Schwachstellen inzwischen behoben wurden und ob enthaltene Berechtigungen überhaupt noch gültig sind.
Eine pauschale Aussage, die Sicherheitsarchitektur der deutschen kritischen Infrastrukturen sei nun vollständig offengelegt, wäre durch den verfügbaren Erkenntnisstand nicht gedeckt. Das schmälert die Bedeutung des Vorfalls nicht. Es verhindert, dass aus einem bestätigten Datenabfluss weitergehende Schäden abgeleitet werden, für die bislang keine belastbaren Nachweise vorliegen.
Warum Sicherheitsnachweise besonders wertvoll sein können
Dass bei einer Zertifizierungsstelle sicherheitsrelevante Unterlagen zusammenkommen, hat einen nachvollziehbaren Hintergrund. Die IT-Sicherheitskataloge der Bundesnetzagentur verlangen von den jeweiligen Adressaten ein Informationssicherheitsmanagementsystem und dessen Zertifizierung. Dabei geht es ausdrücklich um den Schutz der Verfügbarkeit, Integrität und Vertraulichkeit betriebsnotwendiger Systeme. Die Bundesnetzagentur weist darauf hin, dass die bisherigen Kataloge für die bestehenden Adressaten bis zur Veröffentlichung eines neuen Katalogs weitergelten.
Eine solche Prüfung muss sich auf belastbare Nachweise stützen. Für die Risikobewertung eines Datenabflusses ist deshalb entscheidend, welches Bild sich aus den übergebenen Dokumenten zusammensetzen lässt. Ein Netzstrukturplan kann technische Zusammenhänge verständlich machen. Ein Auditbericht kann ergänzen, an welchen Stellen Schutzmaßnahmen noch nicht vollständig umgesetzt waren. Eine organisatorische Dokumentation kann zeigen, wer über Änderungen entscheidet und welche Dienstleister eingebunden sind.
Wie daraus ein zusätzlicher Angriffsvorteil entstehen könnte, lässt sich an einem hypothetischen Beispiel verdeutlichen: Ein älterer Prüfbericht beschreibt einen noch nicht ausreichend abgesicherten Fernwartungszugang. Ein neuerer Organisationsplan benennt den zuständigen Dienstleister. Selbst wenn der technische Mangel inzwischen behoben ist, könnte die Kombination beider Informationen für eine glaubwürdig formulierte Kontaktaufnahme verwendet werden. Der Wert der Dokumente läge dann weniger in einer unmittelbar ausnutzbaren Schwachstelle als in der Möglichkeit, einen legitimen betrieblichen Vorgang überzeugend nachzuahmen.
Das ist ein wesentlicher Unterschied zu einem isolierten Verlust allgemeiner Kontaktdaten. Kontext kann eine betrügerische Nachricht plausibel machen: das richtige Projekt, ein tatsächlich beteiligter Ansprechpartner oder eine bekannte Auditfeststellung. Das BSI beschreibt sowohl das Ausspähen von E-Mail-Kommunikation als auch deren Manipulation und die fehlende Verlässlichkeit vermeintlicher Absender als relevante Bedrohungen. Für betroffene Organisationen sollte deshalb nicht allein die technische Infrastruktur im Mittelpunkt stehen, sondern auch die Vertrauenswürdigkeit ihrer laufenden Kommunikation.
Ein KRITIS-Risiko ist noch kein Angriff auf die Versorgung
Eine konkrete Einordnung liefert die Stellungnahme von ENTEGA vom 24. September. Demnach hatten die e-netz Südhessen sowie ENTEGA im Rahmen der Betriebsführung des Müllheizkraftwerks Darmstadt GUTcert mit Zertifizierungen beauftragt. Der Konzern erklärte eine mögliche Betroffenheit seiner Unterlagen, betonte aber zugleich, dass die eigenen IT-Systeme nicht angegriffen worden seien und die Versorgungssicherheit im Netzgebiet zu keinem Zeitpunkt beeinträchtigt gewesen sei. ENTEGA meldete den Sachverhalt an das BSI und sensibilisierte Beschäftigte für gezielte Phishing-Versuche.
Diese Unterscheidung ist fachlich zentral. Ein Verlust vertraulicher Informationen, eine Kompromittierung betrieblicher Systeme und eine Unterbrechung der Versorgung sind unterschiedliche Sachverhalte. Sie können miteinander zusammenhängen, dürfen aber nicht gleichgesetzt werden. Wer einen Netzplan besitzt, kontrolliert damit noch keine Leitstelle. Wer einen früheren Mangel kennt, verfügt nicht automatisch über eine heute ausnutzbare Angriffsmöglichkeit.
Auch ein Auditbericht muss zeitlich eingeordnet werden. ENTEGA verweist ausdrücklich darauf, dass Feststellungen den Zustand zum Prüfungszeitpunkt beschreiben und schwerwiegende Abweichungen vor der Zertifikatserteilung behoben werden müssen. Ein entwendeter Bericht kann daher Informationen enthalten, die sicherheitsrelevant, aber nicht mehr aktuell sind. Entega
Umgekehrt wäre eine Entwarnung allein mit dem Hinweis auf den störungsfreien Betrieb verfrüht. Aus Risikomanagementsicht muss untersucht werden, ob die offengelegten Informationen künftige Angriffe erleichtern könnten. Die angemessene Reaktion besteht darin, die betroffenen Unterlagen mit dem heutigen technischen und organisatorischen Zustand abzugleichen. Erst dieser Abgleich zeigt, welche zusätzliche Gefährdung tatsächlich verbleibt.
Dienstleister können auch ohne direkten Systemzugriff kritisch sein
Der Fall verdeutlicht eine besondere Form der Abhängigkeit von Dritten. Ein Dienstleister muss weder Administratorrechte besitzen noch eine dauerhafte Verbindung zum Kundennetz betreiben, um sicherheitsrelevant zu sein. Bereits die bei ihm gespeicherten Informationen können einen hohen Schutzbedarf begründen.
Das amerikanische Standardisierungsinstitut NIST berücksichtigt diesen Zusammenhang ausdrücklich in seinem Leitfaden zum Cybersecurity Supply Chain Risk Management. Die Kritikalität eines Lieferanten soll unter anderem anhand der Bedeutung seiner Leistung, der Sensibilität der verarbeiteten oder gespeicherten Daten und seines Zugriffs auf die Systeme des Auftraggebers bewertet werden. Datenbesitz und technischer Zugang sind damit eigenständige Bewertungsdimensionen.
Für die Unternehmenspraxis folgt daraus, dass eine Lieferantenbewertung nach Einkaufsvolumen oder unmittelbarer Betriebsabhängigkeit zu kurz greifen kann. Ein vergleichsweise kleiner Prüfauftrag kann die Weitergabe hochsensibler Informationen erfordern. Der wirtschaftliche Umfang der Geschäftsbeziehung sagt dann wenig darüber aus, welchen Schaden ein Vertraulichkeitsverlust verursachen könnte.
Dieser Gedanke lässt sich auf andere wissensintensive Dienstleistungen übertragen. Wo etwa technische Analysen, Rechtsberatung oder Notfallplanung besonders vertrauliche Einblicke erfordern, sollte der Schutzbedarf der übergebenen Informationen die Anforderungen an den Dienstleister wesentlich mitbestimmen. Dafür braucht es eine Verbindung zwischen Einkauf, Informationssicherheit und fachlich verantwortlichem Bereich. NIST empfiehlt entsprechend, Risiken aus Lieferbeziehungen in das übergreifende Risikomanagement zu integrieren und relevante Anbieter auch in die Vorbereitung und Bewältigung von Sicherheitsvorfällen einzubeziehen.
Dabei ist begriffliche Präzision wichtig: Ein Datenabfluss bei einem Dienstleister belegt noch keinen technischen Lieferkettenangriff auf seine Kunden. Er kann aber eine Informationsgrundlage schaffen, die spätere Angriffe erleichtert. Für die Entscheidung über Schutzmaßnahmen ist diese Unterscheidung hilfreicher als die vorschnelle Zuordnung zu einem möglichst weitreichenden Schlagwort.
Prüfbarkeit verlangt keine grenzenlose Datenablage
Die notwendige Konsequenz kann nicht darin bestehen, Auditoren belastbare Informationen vorzuenthalten. Eine Prüfung, die kritische Zusammenhänge nicht nachvollziehen kann, verfehlt ihren Zweck. Ebenso wenig sollte jedoch die vollständige und dauerhafte Überlassung sensibler Unterlagen zur ungeprüften Standardlösung werden.
Für digital unterstützte Konformitätsbewertungen enthält das verbindliche IAF-Dokument MD 4:2025 konkrete Anforderungen an Informationssicherheit und Vertraulichkeit. Der Einsatz der Kommunikationstechnologie ist zwischen den Beteiligten unter Berücksichtigung der Schutzanforderungen abzustimmen. Werden die erforderlichen Maßnahmen nicht erfüllt oder wird keine Einigung erreicht, sind andere Prüfmethoden zu verwenden. Der sichere Umgang mit den Informationen ist damit Bestandteil des Prüfverfahrens und keine bloße Zusatzleistung. IAF
Praktisch sollte vor einem Audit festgelegt werden, welche Unterlagen tatsächlich übergeben werden müssen und wo eine kontrollierte Einsichtnahme ausreicht. Abhängig vom Zertifizierungsprogramm können dafür beispielsweise eine gemeinsame Prüfung im System des Kunden oder gezielt zusammengestellte Nachweise in Betracht kommen. Entscheidend ist, dass das Prüfungsergebnis vollständig nachvollziehbar bleibt. Eine Schwärzung, die den wesentlichen Sachverhalt unkenntlich macht, wäre keine sinnvolle Sicherheitsmaßnahme.
Ebenso sollte ausdrücklich vereinbart werden, welche Kopien entstehen dürfen, wer auf sie zugreifen kann und wann sie gelöscht werden. Dabei sind die jeweiligen Dokumentations- und Aufbewahrungsvorgaben zu berücksichtigen. Ein pauschales „Nach dem Audit wird alles gelöscht“ wäre ebenso wenig tragfähig wie eine unbegrenzte Vorratshaltung. Die Anforderungen an Zertifizierungsstellen ergeben sich aus dem einschlägigen Normen- und Akkreditierungsrahmen; die DAkkS verweist hierfür insbesondere auf die DIN EN ISO/IEC 17021-1.
Aus Sicht der Informationssicherheit sollte der Schutz außerdem den gesamten Lebenszyklus erfassen. Die Betrachtung darf nicht beim Uploadportal enden. Sie muss sich darauf erstrecken, wo Informationen anschließend verarbeitet werden, welche Arbeitskopien entstehen und wie Zugriffsrechte wieder entzogen werden. Ein überzeugendes Schutzkonzept sollte deshalb auch beantworten, wie weit ein kompromittiertes Benutzerkonto reichen könnte. Granulare Berechtigungen und eine Begrenzung unnötiger Zugriffe gehören zu den von CISA empfohlenen Maßnahmen gegen Datendiebstahl und Erpressung.
Was betroffene Unternehmen jetzt klären müssen
Für möglicherweise betroffene Kunden ist eine eigene Untersuchung der übergebenen Informationen der sinnvollste Ausgangspunkt. Die zentrale Arbeitsgrundlage sollte eine nachvollziehbare Zusammenstellung der tatsächlich bereitgestellten Unterlagen sein, möglichst mit Versionsstand, Übermittlungszeitpunkt und verantwortlichem Fachbereich. So lässt sich die externe Vorfallsinformation mit dem eigenen Wissen verbinden, anstatt ausschließlich auf eine spätere Gesamtauswertung des Dienstleisters zu warten.
Anschließend sollte jedes sicherheitsrelevante Dokument aus heutiger Sicht bewertet werden. Enthält es lediglich eine überholte Beschreibung, oder bildet es noch die aktuelle Architektur ab? Wurden darin festgehaltene Mängel geschlossen? Könnten organisatorische Angaben für eine glaubwürdige Täuschung verwendet werden? Diese Fragen dienen der Ableitung konkreter Schutzmaßnahmen und sollten nicht mit einer pauschalen Bewertung aller übermittelten Dateien beantwortet werden.
Besondere Aufmerksamkeit verdienen noch nutzbare Berechtigungsinformationen. Wo tatsächlich Zugangsdaten oder aktive Freigaben übermittelt wurden, sollte geprüft werden, welche davon vorsorglich gesperrt oder ersetzt werden müssen. Auch die Überprüfung zugehöriger Zugriffsprotokolle kann erforderlich sein. CISA behandelt den Schutz von Identitäten, Zugangsdaten und Berechtigungen als wesentlichen Bestandteil der Prävention und Bewältigung von Datenerpressung.
Im Umfeld industrieller Steuerungs- und Leittechnik muss das Vorgehen mit der Betriebsverantwortung abgestimmt werden. Unkoordinierte Änderungen an Berechtigungen oder Kommunikationsverbindungen können dort eigene Risiken erzeugen. NIST betont in seinem Leitfaden zur OT-Sicherheit die besonderen Anforderungen an Zuverlässigkeit, Leistungsfähigkeit und funktionale Sicherheit. Daraus folgt für die Vorfallsbearbeitung: Maßnahmen müssen wirksam sein, dürfen aber nicht unkontrolliert den sicheren Anlagenbetrieb gefährden.
Die Untersuchung sollte außerdem durch eine handlungsfähige interne Koordination begleitet werden. Neben Informationssicherheit und IT können Datenschutz, Recht, Unternehmenskommunikation und Anlagenverantwortliche betroffen sein. Für diese Situation lohnt sich ein eigener Übungsfall: Die Systeme laufen weiter, aber ein externer Partner meldet den Verlust vertraulicher Unterlagen. NIST empfiehlt ausdrücklich, relevante Lieferanten in die Planung und Reaktion auf Sicherheitsvorfälle einzubeziehen.
Meldepflichten richten sich nach der eigenen Betroffenheit
Die Meldung des angegriffenen Dienstleisters ersetzt nicht automatisch die Prüfung möglicher Pflichten seiner Kunden. Zugleich führt nicht jede Kundenbeziehung zu einem angegriffenen Unternehmen unmittelbar zu einer eigenen gesetzlichen Meldepflicht.
Für besonders wichtige und wichtige Einrichtungen knüpft § 32 BSIG an einen erheblichen Sicherheitsvorfall an. Die gesetzliche Definition erfasst dabei auch Vorfälle, die schwerwiegende Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden für andere verursachen können. Ein bereits eingetretener Betriebsausfall ist daher nicht in jedem Fall Voraussetzung. Maßgeblich bleiben die konkrete Betroffenheit und die einschlägigen Erheblichkeitskriterien.
Liegt ein meldepflichtiger erheblicher Sicherheitsvorfall vor, sieht § 32 BSIG eine unverzügliche frühe Erstmeldung spätestens innerhalb von 24 Stunden und eine weitere Meldung spätestens innerhalb von 72 Stunden nach Kenntniserlangung vor. Für die erfassten Betreiber im Energiebereich enthält § 5d Absatz 3 EnWG entsprechende sektorspezifische Regelungen. Die Bewertung sollte deshalb anhand der für die jeweilige Organisation geltenden Vorschriften erfolgen, nicht anhand einer allgemeinen Aussage zur „NIS-2-Meldepflicht“.
Datenschutzrechtlich ist zusätzlich zu klären, wer für die betroffene Verarbeitung verantwortlich ist. Eine Zertifizierungsstelle ist nicht allein deshalb Auftragsverarbeiter, weil sie Unterlagen eines Kunden erhält. Entscheidend sind die tatsächlichen Zwecke und Mittel der Verarbeitung sowie die konkrete Rollenverteilung. Bei einer meldepflichtigen Datenschutzverletzung verlangt Artikel 33 DSGVO die unverzügliche Meldung, möglichst binnen 72 Stunden nach Bekanntwerden. Bei voraussichtlich hohem Risiko kommt grundsätzlich die Benachrichtigung betroffener Personen nach Artikel 34 hinzu.
Unvollständige Erkenntnisse rechtfertigen kein beliebiges Abwarten. Die DSGVO erlaubt ausdrücklich eine schrittweise Ergänzung der Informationen. Auch das gestufte Meldeverfahren des BSIG ist darauf angelegt, dass die vollständige Untersuchung zunächst noch nicht vorliegt. Für die Praxis sollten daher Kenntnisstand, Bewertung und Entscheidungen fortlaufend dokumentiert und bei neuen Erkenntnissen überprüft werden.
Krisenkommunikation muss zusätzliche Risiken vermeiden
Besonders anspruchsvoll wird die Kommunikation, wenn die Angreifer selbst Kontakt zu Kunden aufnehmen. GUTcert berichtet für den 20. September von Nachrichten an Kunden, Auditoren und Beschäftigte, die Links zu gestohlenen Daten enthielten. Das Unternehmen bat darum, diese Nachrichten weiterzuleiten und anschließend aus den Konten zu löschen.
Aus Sicht einer betroffenen Organisation müssen dabei Gefahrenabwehr und Beweissicherung zusammengebracht werden. Solche Nachrichten gehören nicht zur eigenständigen Untersuchung auf den normalen Arbeitsplatz. Sie sollten kontrolliert durch die zuständige Sicherheitsfunktion gesichert und ausgewertet werden. Eine Löschung aus dem Benutzerpostfach kann anschließend sinnvoll sein; sie sollte aber nicht dazu führen, dass das einzige verfügbare Beweismittel verloren geht. Das BSI empfiehlt bei Cyberangriffen grundsätzlich eine Strafanzeige und weist auf die Bedeutung gerichtsfester Beweiserhebung und nachvollziehbarer Dokumentation hin.
Ebenso wichtig ist die unabhängige Verifikation neuer Kommunikationswege. Enthält eine vermeintliche Vorfallsnachricht einen Link zu einem Ersatzportal oder die Aufforderung, neue Zugangsdaten zu übermitteln, sollte dies über einen bereits bekannten Kontakt bestätigt werden. Die Kenntnis echter Projektdetails darf dabei nicht als ausreichender Identitätsnachweis gelten. Gerade nach einem Informationsabfluss ist damit zu rechnen, dass ein Angreifer solche Details ebenfalls kennt. Die vom BSI beschriebenen Risiken für Absenderauthentizität und Nachrichtenintegrität bleiben auch während der Krisenbewältigung bestehen.
Für die öffentliche Kommunikation empfiehlt sich dieselbe Genauigkeit wie für die technische Analyse. Unternehmen sollten erklären, was bestätigt ist, welche Risiken geprüft werden und welche Auswirkungen bislang nicht festgestellt wurden. Die Aussage, dass keine Versorgung unterbrochen wurde, kann wichtig und richtig sein. Sie sollte jedoch nicht als Ersatz für die Bewertung eines möglichen Vertraulichkeitsverlusts verwendet werden.
Der Prüfprozess gehört in die Sicherheitsarchitektur
Der Angriff auf GUTcert ist kein überzeugendes Argument gegen unabhängige Audits. Aus einem Sicherheitsvorfall bei einer Zertifizierungsstelle folgt nicht automatisch, dass ihre fachlichen Prüfungen wertlos waren. Er ist aber ein Anlass, die Bedingungen dieser Prüfungen genauer zu betrachten.
Unternehmen sollten von ihren Prüf- und Beratungsdienstleistern nicht weniger sorgfältig Auskunft über den Schutz vertraulicher Informationen verlangen als von anderen sicherheitsrelevanten Partnern. Gleichzeitig müssen sie selbst begründen können, welche Daten sie für welchen Zweck weitergeben und weshalb der gewählte Umfang erforderlich ist. Eine gesetzlich oder vertraglich notwendige Prüfung entbindet nicht davon, ihren Informationsfluss sicher zu gestalten.
Die weiterführende Lehre betrifft damit die Sicherheitsarchitektur insgesamt. Dokumente über Schutzmaßnahmen, Schwachstellen und betriebliche Abhängigkeiten verdienen einen Schutz, der ihrem tatsächlichen Aussagewert entspricht. Sie sind keine nebensächlichen Verwaltungsunterlagen. Ein gut gestaltetes Prüfverfahren sorgt dafür, dass Auditoren die erforderlichen Einblicke erhalten – und dass daraus keine vermeidbare, dauerhaft zugängliche Sammlung besonders sensiblen Unternehmenswissens entsteht.
