Hackerangriff auf die GUTcert; Kundendaten abgeflossen

Unschöne Nachricht für Kunden, die sich über die GUTcert einer Zertifizierung unterzogen haben. Der Anbieter ist Opfer eines Hackerangriffs geworden, bei dem auch Kundendaten abgeflossen sind. Betroffene scheinen vom Unternehmen gerade informiert zu werden, wie ein Leser mir heute mitteilte.

Wer ist die die GUTcert?

Mir sagte die GUTcert nichts, also habe ich mal nachgesehen. Laut Webseite ist die GUTcert (GUT Certifizierungsgesellschaft für Managementsysteme mbH) mit Sitz in Berlin ist eine führende, international anerkannte Gesellschaft für die Zertifizierung von Managementsystemen und Umweltdienstleistungen.

Von diesem Anbieter werden folgende Zertifizierungen und Audits, die externe Kunden beauftragen können, aufgeführt:

• Managementsysteme: Zertifizierungen nach ISO-Standards (z. B. ISO 9001 für Qualität, ISO 14001 für Umwelt).
• Umwelt und Klima: Validierungen nach dem EMAS-Standard der EU sowie Verifizierungen von Treibhausgasbilanzen (Carbon Footprints) und EU-ETS-Emissionsberichten.
• Prüfungen und Bildung: Audits nach AZAV (für Bildungsträger) sowie Weiterbildungen und Seminare über die hauseigene GUTcert Akademie.

Die DGUTcert ist ein Tochterunternehmen der weltweit tätigen AFNOR Group. Die AFNOR Group (Groupe AFNOR) ist eine international tätige französische Organisation mit Sitz in Saint-Denis bei Paris, der offizielle Träger und Koordinator des Normungswesens in Frankreich.

Cyberangriff auf die GUTcert

Ein Blog-Leser informierte mich zum heutigen 19. September 2026 per E-Mail, dass es einen Cyberangriff auf die GUTcert gegeben habe (danke dafür). Die Aussage lautete, dass am 16. September 2026 viele Zertifizierungskunden der GUTcert über einen Hackerangriff und den damit verbundenen Abfluss von 640 GB an Daten/Informationen informiert worden seien.

Der Leser schrieb: Betroffen sind, gem. Angaben der GUTcert, die Betriebsstättenliste, also Informationen zu Standorten von Umspannwerken, Ortsnetzstationen und Gasdruckregelanlagen, Netzstrukturpläne mit der IT-/OT-Infrastruktur sowie technische Informationen und Angaben zu Schwachstellen.

Unternehmen der kritischen Infrastruktur, z.B. Energieversorgungsunternehmen, Netzbetreiber Strom und Gas sowie Kraftwerksbetreiber sollen prüfen ob hierdurch ein meldepflichtiger Sicherheitsvorfall entsteht.

Angriff ab 5. September 2026

GUTCert hat diesen Cyberangriff auf dieser ständig aktualisierten Webseite als Sicherheitsvorfall bestätigt. Am 05.09.2026 haben unbekannte Dritte sich unbefugten Zugriff auf Teile der IT-Systeme des Unternehmens verschafft. Im Zeitraum vom 06.09.2026 bis 09.09.2026 seien rund 640 GB Daten entwendet worden.

Der Sicherheitsvorfall wurde in der Nacht vom 09. auf den 10.09.2026 im Rahmen einer Routinetätigkeit spät abends bemerkt. Die zu diesem Zeitpunkt identifizierten Zugänge der Angreifer wurden am 10.09. 2026 unterbrochen. Als Maßnahmen wurden von der IT folgendes unternommen:

• Kompromittierte Benutzer-Accounts deaktiviert
• Jegliche VPN-Zertifikate ausgetauscht
• Automatische Systemüberwachungen sensibilisiert
• Kerberos KRBTGT-Konto zweimal zurückgesetzt
• Jegliche Admin-Zugangsdaten und SSH-Keys geändert
• Angegriffenes Initialsystem dekommissioniert
• Domain-CA-Zertifikat sowie weitere Zertifikate neu ausgestellt
• Mitarbeitende sensibilisiert

Am 15.09.2026  wurde im Zuge der weiteren Untersuchung eine noch aktive E-Mail-Sitzung festgestellt und beendet. Die forensische Prüfung möglicher weiterer Aktivität dauert an.

Der Anbieter hat zum 11.09.2026 ein Meldung an die Berliner Beauftragte für Datenschutz und Informationsfreiheit sowie an das LKA gemacht. Zusätzlich habe man auf freiwilliger Basis das BSI informiert, gibt GUTcert an. Betroffene Kunden und Auditoren wurden am 14.09.2026 durch das Unternehmen, laut dessen Aussage, informiert.

Diese Daten sind abgeflossen

Zu diesem letztgenannten Datum fand auch die Beauftragung eines externen IT-Forensikers statt. Nach jetzigem Kenntnisstand sind folgende Datenkategorien betroffen. Sobald wir mehr Informationen haben, werden wir Sie umgehend informieren:

• Personenbezogene Daten der Mitarbeitenden
• Finanz- und steuerrechtliche Daten der GUTcert
• Kundendaten, die in der internen Projektablage gespeichert wurden, darunter:
  • Kontaktdaten
  • möglicherweise Beschäftigtendaten (wird derzeit noch geprüft)
  • Auditnachweise und Auditberichte
  • Managementsystem- und Verfahrensdokumentationen
  • technische Informationen und Angaben zu Schwachstellen
  • Kundeninformationen
  • möglicherweise Zugangsdaten, Zertifikate oder sonstige vertrauliche Informationen (wird derzeit noch geprüft)

Nach aktuellem Ermittlungsstand liegen keine Hinweise auf einen unbefugten Zugriff auf die Nextcloud-Plattform oder die dort gespeicherten Daten vor. Derzeit liegen keine Hinweise vor, dass gesonderte personenbezogene Datenbestände der für die GUTcert tätigen Auditoren und Auditorinnen aus den internen Projektablagen abgeflossen sind.

Es können sich Meldepflichten für Kunden ergeben

In einer von GUTcert bereitgestellten FAQ findet sich die Information, dass das Unternehmen auch als Auftragsverarbeiter für Kunden tätig sei. Dann ergeben sich für die Kunden eigene Meldepflichten nach DSGVO. Unternehmen die unter das BSI-Sicherheitsgesetz (BSIG) und die NIS2-Regulierung fallen und als Kunden betroffen sind, müssen auch hier prüfen, ob eine Meldepflicht besteht.

Angriff von finanziell motivierter Gruppe

Am 12.09.2026 fand laut Unternehmen der erste Erpressungsversuch der (ungenannten) Angreifer statt. Dieser sei durch das Unternehmen bis heute nicht beantwortet worden und man werde auch nicht auf die Erpressung eingehen. Am 15.09.2026 gab es dann wohl eine weitere Erpresser-Mail, auf die auch nicht reagiert wurde.

Aufgrund der gegenüber GUTcert ausgesprochenen Erpressung ist damit zu rechnen, dass entwendete Daten veröffentlicht oder anderweitig missbräuchlich verwendet werden. Das Unternehmen informiert auf der oben verlinkten Webseite, die auch eine FAQ enthält, laufend über die Erkenntnisse der forensischen Analyse.