AKTE7

Dienstag, 22. Dezember 2020, kurz vor 6 Uhr: In den Druckereien der Funke Mediengruppe fahren sich die Rechner von selbst herunter, auf den Bildschirmen steht eine Erpressernachricht. Wenige Stunden später sind alle Systeme eines der größten deutschen Verlagshäuser abgeschaltet, ohne Mail, ohne Telefon, ohne Redaktionssystem.

In Folge 005 erzählen Chris Wojzechowski und Silas Borgmeier, wie WAZ, Morgenpost, Abendblatt und die anderen Funke-Zeitungen trotzdem am nächsten Morgen erschienen, wie die Täter schon 4 Tage vorher über eine gefälschte Signatur-Mail ins Netz kamen, warum Funke nicht gezahlt haben will und wo die mutmaßlichen Täter heute stehen.

Kapitelmarken

00:00 Cold Open

Quellen

Funke-eigene Darstellung

Heimo Krum, Christian Unger: “Cyberangriff auf FUNKE: Plötzlich stand die gesamte Produktion still”, Berliner Morgenpost (Funke), 22.12.2025, Serie Teil 1: 18.12.2020 8:43 Uhr, QBot, Domänencontroller gegen 11 Uhr, Cobalt Strike am 19.12., Druckereien Braunschweig und Hagen, Angriffsnummer 185, Zitate Weigelt, Stauber, Kisling, Quoos, “Happy Ransom”, “Grenzbeamte”. https://www.morgenpost.de/politik/article410752608/cyberangriff-auf-funke-ploetzlich-stand-die-gesamte-produktion-still.html

Berichterstattung 2020/21

Max Muth: “Funke Mediengruppe von Erpressersoftware befallen”, Süddeutsche Zeitung, 22.12.2020: DoppelPaymer, Bitcoin, Frist, private Mailkonten. https://www.sueddeutsche.de/wirtschaft/funke-mediengruppe-ransomware-hacker-zeitungen-1.5156114

Ermittlungen und Verfahren

LKA NRW: “Schlag gegen international agierendes Netzwerk von Cyber-Kriminellen”, 06.03.2023: EK Parker seit Juni 2020, Durchsuchungen 28.02.2023, 601 Opfer, 37 in Deutschland, Haftbefehle, Nennung Funke und Uniklinik Düsseldorf. https://polizei.nrw/presse/schlag-gegen-international-agierendes-netzwerk-von-cyber-kriminellen

Hinweis zur Recherche

Die Innenansicht dieser Folge stammt überwiegend aus Funkes eigener Darstellung. Wo eine Angabe nur auf einer Quelle beruht oder Quellen sich widersprechen, wird das in der Folge gesagt.

Über AKTE7

AKTE7 ist der Podcast der AWARE7 GmbH. Alle zwei Wochen donnerstags nehmen wir uns einen realen Cyberangriff vor und gehen ihn durch wie eine Akte: was passiert ist, was belegt ist, was nur behauptet wird, und was man daraus für das eigene Unternehmen mitnimmt.

Mit Chris Wojzechowski (Geschäftsführer) und Silas Borgmeier (Informationssicherheitsbeauftragter). Mehr zu den Fällen auf Instagram unter Akte7podcast.

Kopenhagen, 27. Juni 2017. In der Zentrale der größten Reederei der Welt werden die Bildschirme schwarz, einer nach dem anderen. Wenige Stunden später stehen in Häfen von Los Angeles bis Mumbai die Kräne still. Auf den Rechnern steht eine Lösegeldforderung über 300 Dollar in Bitcoin. Wer zahlt, bekommt nichts zurück.

Am selben Tag trifft es eine Staatsbank in Kiew, ein Krankenhaus in Pennsylvania, einen Pharmakonzern in New Jersey und den Nivea-Hersteller Beiersdorf in Hamburg. Gemeint war keiner davon.

In Folge 004 gehen Chris Wojzechowski und Silas Borgmeier den Fall NotPetya durch: wie ein ganz normales Update einer ukrainischen Steuersoftware zum Einfallstor wurde, warum eingespielte Sicherheitsupdates die Ausbreitung nicht stoppten, und weshalb die angebliche Erpressung nie eine war.

Außerdem: wie Maersk sein Netz nach Angaben des Verwaltungsratschefs in 10 Tagen im Kern neu aufgebaut hat und welche Rolle ein Stromausfall in Ghana dabei spielte, warum Versicherer bei Merck und Mondelez nicht zahlen wollten und wie ein Gericht in New Jersey über die Kriegsklausel entschied. Dazu der Mythen-Check, 4 Learnings mit je einem Umsetzungsschritt und der deutsche Blick auf Beiersdorf, die BSI-Warnung von 2017 und einen Berliner Mailanbieter, der unfreiwillig Teil der Geschichte wurde.

Kapitelmarken

00:00 Kopenhagen, 27. Juni 2017

Quellen

Primärquellen

U.S. Department of Justice, Western District of Pennsylvania: Anklageschrift gegen 6 Offiziere der GRU-Einheit 74455 (unsealed indictment, 15./19.10.2020): Ablauf des M.E.Doc-Angriffs, manipulierte Updates vom 14.04., 15.05. und 21.06.2017, Auslieferung am 27.06.2017 von 12:14 bis 15:31 Uhr Moskauer Zeit über einen Server in Frankreich, Heritage Valley (Erstinfektion 7:23 Uhr EDT, Ausfälle, über 2 Mio. USD), FedEx/TNT rund 400 Mio. USD, “celebrated the attack”. https://www.justice.gov/d9/press-releases/attachments/2020/10/19/2020_10_19_unsealed_indictment_0.pdf

Technische Analysen

ESET (Anton Cherepanov): “TeleBots are back: supply-chain attacks against Ukraine”, 30.06.2017; “Analysis of TeleBots’ cunning backdoor”, 04.07.2017 (dt. Fassung 05.07.2017); “New TeleBots backdoor: First evidence linking Industroyer to NotPetya”, 11.10.2018.

Berichterstattung, Interviews, Zeitzeugen

Andy Greenberg: “The Untold Story of NotPetya, the Most Devastating Cyberattack in History”, WIRED, 22.08.2018 (Auszug aus dem Buch “Sandworm”). https://www.wired.com/story/notpetya-cyberattack-ukraine-russia-code-crashed-the-world/

DACH-Einordnung

Posteo: “Info zur Ransomware PetrWrap/Petya: Betroffenes Postfach bereits seit Mittag gesperrt”, 27.06.2017, mit Nachtrag vom 29.06.2017. https://posteo.de/blog/info-zur-ransomware-petrwrappetya-betroffenes-postfach-bereits-seit-mittag-gesperrt

Hinweise zur Sorgfalt

Innenansicht von Maersk: Die Szenen aus der Zentrale in Kopenhagen und der Einsatzzentrale in Maidenhead sowie die Geschichte vom überlebenden Domänencontroller in Ghana und dem Staffellauf über Nigeria nach London stammen aus der Wired-Reportage von Andy Greenberg (2018), die auf Gesprächen mit überwiegend anonymen Maersk-Mitarbeitern beruht. Maersk hat die Details nicht öffentlich bestätigt. Der Vorbehalt wird in der Folge wörtlich gesprochen.

Schadenshöhe: Die oft genannten 10 Milliarden US-Dollar sind eine Schätzung des Weißen Hauses. Belegt sind die Einzelangaben der Unternehmen und Gerichte, die je nach Quelle voneinander abweichen.

Zeitangaben: Für den 27. Juni 2017 nennen Quellen unterschiedliche Uhrzeiten. Die Folge verwendet die Angabe der US-Anklageschrift (Auslieferung von 12:14 bis 15:31 Uhr Moskauer Zeit), die sich mit den Serverprotokollen von Cisco Talos deckt.

Verfahrensstand: Angeklagt sind 6 Offiziere der GRU-Einheit 74455. Nach dem Recherchestand vom September 2026 ist keiner festgenommen oder verurteilt. Für alle Beschuldigten gilt die Unschuldsvermutung. Die Zuordnung zum russischen Militär beruht auf Erklärungen mehrerer Regierungen und auf der Anklage, deren Beweise nur zum Teil öffentlich sind.

Nicht namentlich genannt werden die 6 Angeklagten, der Finanzmitarbeiter in Odessa und die Maersk-Mitarbeiter aus Ghana und Nigeria. “Henrik Jensen” ist ein Pseudonym aus der Wired-Reportage.

Über AKTE7

AKTE7 ist der Podcast der AWARE7 GmbH. Alle zwei Wochen donnerstags nehmen wir uns einen realen Cyberangriff vor und gehen ihn durch wie eine Akte: was passiert ist, was belegt ist, was nur behauptet wird, und was man daraus für das eigene Unternehmen mitnimmt.

Mit Chris Wojzechowski und Silas Borgmeier. Mehr zu den Fällen auf Instagram unter Akte7podcast.

Januar 2024, Hongkong. Ein Mitarbeiter der Finanzabteilung eines britischen Ingenieurbüros bekommt eine Nachricht vom Finanzchef der Londoner Zentrale: eine vertrauliche Transaktion, mit niemandem darüber sprechen. Der Mann hält das für einen Betrugsversuch und liegt damit vollkommen richtig.

Dann lädt ihn derselbe Finanzchef zu einer Videokonferenz ein. Auf dem Bildschirm sitzen Kollegen aus der Zentrale, bekannte Gesichter, bekannte Stimmen. Danach überweist er in 15 Schritten rund 200 Millionen Hongkong-Dollar auf 5 Konten.

In dieser Konferenz war außer ihm niemand echt.

In Folge 003 gehen Chris Wojzechowski und Silas Borgmeier den Fall Arup durch: warum kein einziges System kompromittiert wurde, warum die Fälschung gar nicht besonders gut sein musste, und warum der entscheidende Unterschied zu den bisherigen Chef-Maschen nicht die Technik ist, sondern die Besetzung — mehrere bekannte Personen, die sich untereinander einig sind.

Außerdem: warum die Konferenz nach Angaben der Polizei überhaupt kein Gespräch war, sondern eine Aufzeichnung. Warum der Betrug am Ende ausgerechnet durch den Mann aufflog, den man getäuscht hatte. Und was dieser Fall für jede Firma bedeutet, in der eine überzeugende Anweisung schneller ist als eine Prüfung.

Dazu der Mythen-Check mit 5 Sätzen, die über diesen Fall im Umlauf sind, 3 Takeaways mit je einem Umsetzungsschritt für die kommende Woche, und der deutsche Blick: Leitungspflicht, Haftung und ein Fall aus dem Jahr 2019, der zeigt, dass das hier nichts Neues ist.

Folgenbeschreibung (Kurzfassung, für Plattformen mit Zeichenlimit)

Ein Videocall mit dem Finanzchef und mehreren Kollegen — und außer dem Mitarbeiter war niemand darin echt. Der Fall Arup: 15 Überweisungen, rund 25 Millionen US-Dollar, kein einziges kompromittiertes System. Warum kein Produkt dieses Problem löst und welcher Absatz in eurer Zahlungsrichtlinie es lösen würde.

Quellen

Primärquellen

Hongkonger Regierung, Security Bureau: Antwort auf die Anfrage LCQ9 im Legislativrat, „Combating frauds involving deepfake technology“, 26.06.2024. Bestätigt den Zeitraum „Ende Januar 2024“, die voraufgezeichnete Videokonferenz ohne Interaktion, 15 Überweisungen auf 5 lokale Bankkonten, rund 200 Millionen Hongkong-Dollar und den Ermittlungsstand. https://www.info.gov.hk/gia/general/202406/26/P2024062600192.htm

Hong Kong Police Force, schriftliche Antworten an den Legislativrat (Estimates 2025-26). Verfahrensstand der Hongkonger Deepfake-Fälle, Abgrenzung zur Operation Smashscam vom August 2023. https://www.police.gov.hk/info/doc/fcq/2026/sfc_e.pdf

Hong Kong Police Force, OffBeat: Darstellung des Deepfake-Betrugsmusters. https://www.police.gov.hk/offbeat120/scam4/5-ai-impersonation-of-celebrities.html

Arup Group Limited, Financial Statement für das Geschäftsjahr bis 31.03.2023. Umsatz 2.163,6 Millionen Pfund, Gewinn vor Steuern 38,9 Millionen Pfund, über 18.000 Mitglieder. https://www.arup.com/globalassets/downloads/corporate-documents/financial-statements/arup-financial-statement-2023.pdf

Companies House, ARUP GROUP LIMITED (Nr. 01312454), Filing History. https://find-and-update.company-information.service.gov.uk/company/01312454/filing-history

World Economic Forum: „This engineering firm was hit by a deepfake fraud. Here’s what it learned“, 04.02.2025, samt Video mit Rob Greig (Arup). Einordnung des Vorfalls als „technology-enhanced social engineering“. https://www.weforum.org/stories/2025/02/deepfake-ai-cybercrime-arup/

Berichterstattung und Analyse

Hong Kong Free Press / AFP: „Multinational loses HK$200 million to deepfake video conference scam, Hong Kong police say“, 05.02.2024 — direkte Zitate aus dem Polizei-Briefing.

CNN: „Finance worker pays out $25 million after video call with deepfake ‚chief financial officer’“, 04.02.2024.

South China Morning Post: „‚Everyone looked real’“, 04.02.2024, und „UK multinational Arup confirmed as victim of HK$200 million deepfake scam“, 17.05.2024.

The Guardian: „Company worker in Hong Kong pays out £20m in deepfake video call scam“, 05.02.2024, und „UK engineering firm Arup falls victim to £20m deepfake scam“, 17.05.2024.

The Standard (Hongkong): „HK’s first deepfake video conference scam involving HK$200 million“, 04.02.2024, und „Hong Kong sees three deepfake video scams since last year, says security chief“, 26.06.2024.

Ming Pao und Wen Wei Po, Ausgaben vom 04.02.2024 — Angabe „4 bis 6 Teilnehmer“ auf dem Bildschirm.

China Daily Hong Kong, Feature vom 16.08.2024 — Bestätigung des voraufgezeichneten Ablaufs.

Hong Kong Free Press: „In first, Hong Kong police arrest 6 over finance scams involving deepfake technology“, 25.08.2023 — Operation Smashscam, der abzugrenzende Fall.

Saunders Law: „Who is liable in a workplace deepfake fraud incident?“, 07.01.2026 — Verfahrensstand, keine Festnahmen.

University of Hawaii West Oahu, Forensics Weekly Executive Summary zum Arup-Fall — Stand Ende 2025.

DACH-Einordnung

Süddeutsche Zeitung zum Voice-Deepfake gegen die britische Tochter eines deutschen Energiekonzerns (2019) und zur Regulierung des Schadens durch den Vertrauensschadenversicherer.

Der Spiegel und Die Zeit zum gefälschten Videoanruf mit einem angeblichen Vitali Klitschko bei der Berliner Bürgermeisterin, Juni 2022.

Handelsblatt Live: „Prozesslücken, die kein Pentest findet“ — Leitungspflicht nach der deutschen NIS2-Umsetzung.

Hinweise zur Sorgfalt

Ablauf der Videokonferenz: Alles, was über den technischen Ablauf bekannt ist, stammt aus einer einzigen Richtung — von der Hongkonger Polizei, dargestellt im Medienbriefing vom 04.02.2024 und schriftlich wiederholt durch das Sicherheitsbüro der Regierung im Juni 2024. Arup hat den Ablauf nie im Detail bestätigt. Es gibt kein forensisches Gutachten, keine Aufzeichnung und keine unabhängige technische Prüfung. Der Vorbehalt wird in der Folge wörtlich gesprochen.

Teilnehmerzahl: Die Polizei spricht von einer Konferenz „mit mehreren Personen“ ohne Zahl. Die Angabe „4 bis 6 Teilnehmer“ stammt aus der Hongkonger Presse vom Tag des Briefings, nicht aus einer Primärquelle.

Schadenssumme: Robust ist die Angabe von rund 200 Millionen Hongkong-Dollar. Alle Beträge in US-Dollar, Pfund oder Euro sind redaktionelle Umrechnungen zu unterschiedlichen Stichtagen und weichen entsprechend voneinander ab.

Verfahrensstand: Nach dem Recherchestand vom September 2026 gibt es in diesem Fall keine bekannte Festnahme, keine Anklage, keinen öffentlich benannten Verdächtigen und keine dokumentierte Rückholung der Gelder. Für alle Personen, gegen die kein rechtskräftiges Urteil vorliegt, gilt die Unschuldsvermutung.

Nicht namentlich genannt werden der betroffene Finanzmitarbeiter und der imitierte Finanzchef. Der Mitarbeiter ist in keiner Quelle identifiziert und hat sich nie öffentlich geäußert; der Name des imitierten Finanzchefs ist öffentlich nicht bekannt.

Nicht verwendet wurde der behauptete Zusammenhang zwischen dem Vorfall und einem Führungswechsel in der Ostasien-Region von Arup. Diesen Zusammenhang stellt genau eine Quelle her, und die dortige Darstellung der Rollenfolge ist nachweislich falsch.

Über AKTE7

AKTE7 ist der Podcast der AWARE7 GmbH. Alle zwei Wochen donnerstags nehmen wir uns einen realen Cyberangriff vor und gehen ihn durch wie eine Akte: was passiert ist, was belegt ist, was nur behauptet wird — und was man daraus für das eigene Unternehmen mitnimmt.

Freitag, der 7. Mai 2021, kurz vor 6 Uhr morgens. Im Leitstand einer Pipeline in Alpharetta, Georgia, erscheint eine Lösegeldforderung auf einem Bildschirm. Ein Mitarbeiter meldet es weiter, sein Schichtleiter entscheidet allein. Um 5:55 Uhr beginnt die Abschaltung, um 6:10 Uhr steht alles: 15 Minuten für 9.000 Kilometer Rohr.

6 Tage später wird an der amerikanischen Ostküste Benzin in Plastiktüten abgefüllt. Dabei haben die Angreifer nie eine Pumpe berührt und nie eine Steuerung. Sie waren in der Buchhaltung. Für den Weg hinein reichten ein Benutzername und ein Passwort, an einem alten Zugangsprofil ohne zweiten Faktor.

In Folge 002 gehen Chris Wojzechowski und Silas Borgmeier den Fall Colonial Pipeline durch: warum der berühmteste Angriff auf kritische Infrastruktur streng genommen keiner war, warum ein Unternehmen 4,4 Millionen Dollar für ein Entschlüsselungswerkzeug zahlt, das anschließend im Schrank bleibt, und was das FBI einen Monat später davon zurückholt: die Münzen, nicht das Geld.

Der rote Faden ist eine Frage, die in jeder Firma gilt: Was kostet Nichtwissen? Sie wussten nicht, wie die Täter hereinkamen. Sie wussten am Morgen nicht, ob die Betriebstechnik betroffen war. Sie wussten am Abend nicht, ob die Sicherungen tragen. Und bis heute weiß niemand, was der Vorfall gekostet hat.

Außerdem: der Mythen-Check mit 5 Sätzen, die über diesen Fall im Umlauf sind, 3 Takeaways mit je einem Umsetzungsschritt für die kommende Woche, und der Blick nach Deutschland: Meldepflicht, BSI-Lagebild und die Frage, warum erst gehandelt wurde, als es Bilder gab.

Folgenbeschreibung

Quellen

US-Repräsentantenhaus, Committee on Homeland Security: „Cyber Threats in the Pipeline: Using Lessons from the Colonial Ransomware Attack to Defend Critical Infrastructure“, Anhörung vom 09.06.2021. Enthält die Aussage von Charles Carmakal (Mandiant) zum Einstiegsweg und zum offenen Punkt der Herkunft der Zugangsdaten. https://www.govinfo.gov/content/pkg/CHRG-117hhrg45085/html/CHRG-117hhrg45085.htm

US-Justizministerium: „Department of Justice Seizes $2.3 Million in Cryptocurrency Paid to the Ransomware Extortionists Darkside“, 07.06.2021. Beschlagnahme von 63,7 Bitcoin, angeordnet von einer Bundesrichterin in Nordkalifornien. https://www.justice.gov

US-Justizministerium: Erklärung von Deputy Attorney General Lisa Monaco zur Pressekonferenz, 07.06.2021. https://www.justice.gov

CISA und FBI: Joint Cybersecurity Advisory AA21-131A, „DarkSide Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks“, 11.05.2021, aktualisiert 19.05.2021. Belegt, dass der Vorfall das IT-Netz betraf. https://www.cisa.gov

FMCSA: Amended Regional Emergency Declaration No. 2021-002 unter 49 CFR § 390.23, 09.05.2021, erweitert 12.05.2021. Amtlicher Wortlaut zur Aussetzung der Lenkzeiten: 18 Bundesstaaten und der District of Columbia. https://www.fmcsa.dot.gov

TSA/DHS: „DHS announces new cybersecurity requirements for critical pipeline owners and operators“, 20.07.2021. Die zweite, weitergehende Sicherheitsanweisung für die Branche. https://www.tsa.gov

Einordnung und Berichterstattung

DACH-Einordnung

Hinweise zur Sorgfalt

Motiv der Abschaltung: Es gibt zwei konkurrierende Darstellungen: Schutz der Betriebstechnik (unter Eid vorgetragen) und ein verschlüsseltes Abrechnungssystem (mehrere eingeweihte Personen gegenüber CNN, zuvor von Kim Zetter berichtet). Das Unternehmen hat der zweiten Darstellung widersprochen, ein Faktencheck konnte sie nicht unabhängig bestätigen. Die Folge stellt das als offen dar und wählt keine Seite.

Herkunft der Zugangsdaten: Belegt ist die Nutzung eines Legacy-VPN-Profils ohne zweiten Faktor. Wie die Täter an die Zugangsdaten kamen, ist unbekannt; die verbreitete Erzählung einer Passwort-Wiederverwendung ist eine Vermutung, keine gesicherte Erkenntnis.

Gesamtschaden: Es gibt keine öffentliche Gesamtschadenssumme. Der CEO verweigerte im Kongress auf mehrfache Nachfrage jede Schätzung. Kursierende Summen sind Schätzungen Dritter.

Verfahrensstand: Es ist bis heute niemand namentlich für diesen Angriff angeklagt oder verurteilt worden. Dokumentiert ist ausschließlich die Beschlagnahme der Bitcoin am 07.06.2021. Für alle Personen, gegen die kein rechtskräftiges Urteil vorliegt, gilt die Unschuldsvermutung. Alle Täterangaben in der Folge sind als mutmaßlich gekennzeichnet, eine Zuschreibung an einen Staat findet nicht statt.

Nicht namentlich genannt werden der Schichtleiter, der Mitarbeiter im Leitstand und der Mitarbeiter, dessen Zugangsdaten benutzt wurden. Keiner von ihnen ist je öffentlich aufgetreten. Namentlich kommen nur Personen vor, die selbst öffentlich ausgesagt haben.

Zur Rückholung des Lösegeldes: Die verbreitete Angabe, das FBI habe 85 Prozent des Lösegelds zurückgeholt, gilt für die Zahl der Bitcoin, nicht für den Dollarwert. Gezahlt wurden rund 75 Bitcoin (damals etwa 4,4 Millionen Dollar), beschlagnahmt wurden 63,7 Bitcoin, zum Zeitpunkt der Beschlagnahme rund 2,3 Millionen Dollar wert. Der Kurs war dazwischen eingebrochen.

Über AKTE7

Im September 2023 stehen in Las Vegas die Spielautomaten still. Zimmerkarten funktionieren nicht, Gewinne werden mit Stift und Quittungsblock ausgezahlt, die Fernseher auf den Zimmern bleiben schwarz. Betroffen sind Bellagio, Aria, Mandalay Bay, MGM Grand, ein Konzern mit einem Börsenwert von über 30 Milliarden Dollar.

In der ersten Folge von AKTE7 gehen Chris Wojzechowski und Silas Borgmeier den Fall MGM Resorts durch: wie Scattered Spider vorgeht, warum Muttersprachler am Telefon die wirksamste Waffe dieser Szene sind, was der Angriff MGM gekostet hat, und warum die spannendste Lehre nicht in der Technik liegt, sondern im Prozess am Helpdesk.

Außerdem: der Mythen-Check zum Fall, drei konkrete Takeaways mit je einem Umsetzungsschritt, und was aus den mutmaßlichen Tätern geworden ist.

Quellen

Primärquellen

MGM Resorts International, SEC-Filings zum Vorfall (2023). Enthält die Bezifferung der Auswirkung auf das bereinigte Property-EBITDAR für die Las-Vegas-Strip-Resorts und die Regional Operations sowie die Einmalaufwendungen für Technologieberatung, Anwälte und weitere Dritte.

US-Justizministerium, Central District of California: „5 Defendants Charged Federally with Running Scheme that Targeted Victim Companies via Phishing Text Messages“, 20.11.2024. Anklage gegen fünf Beschuldigte wegen Verschwörung zum Überweisungsbetrug, Verschwörung und schweren Identitätsdiebstahls.

US-Justizministerium: „Alleged Member of Criminal Cyber Hacking Group ‚Scattered Spider’ Arrested in Finland and Extradited to the United States“.

FBI und CISA, gemeinsames Advisory AA23-320A „Scattered Spider“, 16.11.2023, aktualisiert 29.07.2025.

Okta: Cross-Tenant Impersonation — Prevention and Detection.

Meldungen an Generalstaatsanwaltschaften: Breach Notice California Attorney General; Breach Notice Iowa Attorney General vom 05.10.2023.

Einordnung und Berichterstattung

Hinweise zur Sorgfalt

Folge 002 erscheint am 24.09.2026: Colonial Pipeline. Ein Passwort ohne zweiten Faktor, sechs Tage Stillstand und 4,4 Millionen Dollar für ein Werkzeug, das nie gebraucht wurde.

AKTE7 ist der Podcast, in dem wir uns alle 2 Wochen einen echten Fall aus der Cybersicherheit vornehmen und ihn durchgehen wie eine Akte. Was ist passiert, mit Datum und Uhrzeit. Was davon ist belegt, und durch welche Quelle. Was wird nur behauptet, von Tätern, von Medien, von Beteiligten, die ein Interesse an ihrer Version haben. Und am Schluss die Frage, auf die es ankommt: Was nehmt ihr davon mit in die eigene Firma.

Am Mikrofon sitzen zwei, weil ein Fall zwei Seiten hat. Chris Wojzechowski ist Geschäftsführer der AWARE7 und schaut darauf, was so ein Vorfall am Ende kostet, wer dafür geradesteht und was davon in einer Geschäftsführung überhaupt ankommt. Silas Borgmeier ist Informationssicherheitsbeauftragter und schaut auf Technik und Prozesse: Berechtigungen, Notfallpläne, die Frage, wer im Zweifel was darf und wer es entscheiden muss.

Fest dabei ist in jeder Folge der Mythen-Check. Wir nehmen die Sätze, die über einen Fall im Umlauf sind, und halten sie gegen die Akte. Erstaunlich oft bleibt davon wenig übrig.

Worauf ihr euch einstellen könnt: Wo die Quellenlage dünn ist, sagen wir das. Wo Zahlen kursieren, die niemand belegen kann, sagen wir das auch. In den Shownotes steht jedes Dokument, aus dem wir zitiert haben, mit Link, und das ist bei uns keine Floskel. Jede Folge endet mit Punkten, die ihr in der eigenen Firma anfassen könnt, nicht mit einem Appell.

Los geht es am 10.09.2026. Danach alle 2 Wochen donnerstags.

Alle Folgen und Quellen: a7.de/podcast

100 Folgen. Über 3.000 Minuten Informationssicherheit. Und immer noch derselbe Satz: „Das Thema ist zu kompliziert.“

Also machen wir die Gegenprobe: Silas stellt Chris 10 Fragen – 100 Sekunden pro Antwort. Von Phishing über Ransomware bis IT-Grundschutz vs. ISO 27001, dazu der überschätzteste Hype aus 100 Folgen, der bitterste Fall aus der Praxis und die Frage, wer von KI gerade mehr profitiert: Angreifer oder Verteidiger.

Vorher blicken wir zurück: Was hat sich seit Folge 1 wirklich verändert – bei Cloud, digitaler Souveränität, KI und der schieren Zahl der Vorfälle?

Und am Ende: ein Ausblick. Diese Folge ist die letzte in dieser Form. Der 7Cast bekommt ein neues Format. Nur so viel: Die 7 bleibt uns erhalten.

Wenn dir die Folge gefallen hat, lass uns eine Bewertung da, das hilft uns wirklich.

Stell dir vor, jemand in deinem Unternehmen klickt auf einen Phishing-Link und sagt es niemandem. Nicht aus böser Absicht, sondern aus Angst vor Ärger. Genau dieses Schweigen kostet Unternehmen mehr als der Klick selbst.In dieser Folge des 7Cast sprechen Chris und Silas darüber, warum die Klickquote aus Phishing-Simulationen als KPI in die Irre führt und warum die Meldequote die deutlich wertvollere Kennzahl für dein ISMS ist. Es geht um gesetzliche Meldefristen (24 und 72 Stunden), den Aufbau einer nachhaltigen Meldekultur ohne Naming and Shaming, anonyme Meldewege, Fehlerkultur als Führungsaufgabe und echte Fälle aus der Praxis – vom verlorenen Firmenlaptop bis zum vertuschten Phishing-Klick.Das nimmst du mit:- Warum „null Sicherheitsvorfälle“ ein Alarmsignal ist – kein Gütesiegel- Wie du eine Meldekultur aufbaust, in der Mitarbeitende Vorfälle ohne Angst melden- Was 24-Stunden-Meldefristen für deine internen Prozesse bedeuten- Wie Tabletop-Übungen und klare Bewertungskriterien deine Incident Response stärkenWenn dir die Folge gefällt, folge dem Podcast, das hilft uns sehr!

ncident Response, Business Continuity Management, Notfallplan, diese Begriffe kennt man in der IT-Sicherheit. Aber was bedeuten sie konkret, wenn ein Sicherheitsvorfall wirklich eintritt?In dieser Folge des Sevencast sprechen Chris und Silas darüber, wie Unternehmen ihren Incident-Response-Prozess aufbauen, bevor es zum Ernstfall kommt.

Themen: Unterschied zwischen Ereignis, Vorfall, Notfall und Katastrophe, Business-Impact-Analyse (BIA), Aufbau eines Krisenstabs, interne und externe Kommunikation bei Cyberangriffen und Ransomware-Vorfällen sowie Tabletop-Übungen als praxisnahe Vorbereitung.Außerdem: Warum die eigene Live-Hacking-Show der sensibelste Geschäftsprozess bei AWARE7 ist – und was das über das Thema Ausfallsicherheit verrät.Für ISBs, IT-Verantwortliche und alle, die ein ISMS oder BCM aufbauen wollen.Kopieren

Phishing-Mails in fehlerfreiem Deutsch. Deepfakes, die kaum von echten Video-Calls zu unterscheiden sind. KI-Agenten, die Angriffe automatisch durchführen. Die Bedrohungslage hat sich verändert und klassische Abwehrmaßnahmen reichen nicht mehr.

Das BSI warnt seit dem Lagebericht 2024 explizit vor KI-gestützten Angriffen. Phishing-Mails sind seit dem Start von ChatGPT um über 1.200 % gestiegen. In dieser Folge sprechen Silas und Chris darüber, wie sich die Angriffsmethoden konkret verändert haben und was ISBs und Unternehmen jetzt tun müssen.

Das nehmt ihr heute mit:

• Warum KI die Einstiegshürde für Cyberangriffe massiv senkt
• Was der Deepfake-Angriff in Hongkong über die neue Bedrohungslage aussagt
• 3 konkrete Maßnahmen, die ISBs sofort umsetzen können

Mehr Informationen unter a7.de