Eine massive Spionagekampagne russischer Staatshacker erschüttert westliche Regierungen und Unternehmen. Die Sicherheitsbehörden mehrerer Länder schlagen jetzt gemeinsam Alarm.
Gefahr aus dem Posteingang
Das britische NCSC, die US-Behörden CISA, FBI und NSA haben am 23. Juli eine gemeinsame Warnung herausgegeben. Im Visier steht eine Gruppe namens Laundry Bear – auch bekannt als Void Blizzard oder APT28. Die Hackergruppe, die dem russischen Staat zugerechnet wird, nutzt eine Sicherheitslücke in der Zimbra Collaboration Suite aus, um an sensible Daten zu gelangen.
Das Tückische: Die Angriffe erfolgen ohne Zutun der Opfer. Wer eine präparierte E-Mail im Webbrowser öffnet, löst bereits einen Schadcode aus – kein Klick auf einen Link, kein Herunterladen eines Anhangs nötig. Die sogenannte Zero-Click-Lücke (CVE-2025-66376) macht konventionelle Vorsichtsmaßnahmen weitgehend wirkungslos.
Datenraub auf Knopfdruck
Ist der Exploit erst einmal aktiv, haben die Angreifer weitreichenden Zugriff. Sie können die letzten 90 Tage E-Mails eines Nutzers abgreifen, ebenso Passwörter, Adresslisten, Sitzungstoken und sogar Zwei-Faktor-Authentifizierungscodes. Spezialisierte Werkzeuge wie „Flowerbed“, „Ulej“ und „Beehive“ helfen bei der Datensammlung und der Steuerung der Angriffe.
Besonders brisant: Die Analyse der Schadsoftware deutet auf den Einsatz Künstlicher Intelligenz hin. Offenbar nutzen die Angreifer große Sprachmodelle, um ihre Exploits zu optimieren oder Sicherheitsfilter zu umgehen.
Angreifer nutzen zunehmend neue Technologien und automatisierte Prozesse, um Sicherheitsfilter zu umgehen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer angesichts neuer KI-Gesetze und Risiken jetzt kennen müssen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Von der Ukraine in die ganze Welt
Die Kampagne richtet sich gegen Verteidigung, Bildung, Energie, Polizei, Regierungen, Medien und Technologieunternehmen. Ursprünglich testeten die Hacker ihre Methoden an ukrainischen Organisationen. Inzwischen hat sich das Zielspektrum massiv ausgeweitet: NATO-Mitgliedstaaten, die USA, afrikanische Länder und Staaten der Gemeinschaft Unabhängiger Staaten (GUS) sind betroffen.
Allein in den USA bestätigte die Sicherheitsfirma Proofpoint Kompromittierungen bei Regierungsbehörden und Organisationen aus Wissenschaft und Verteidigung. Mindestens elf amerikanische Unternehmen wurden nachweislich angegriffen. Bereits im November 2025 nahm das FBI einen mutmaßlichen Mittelsmann namens Denis Obrezko fest, der mit dem russischen Geheimdienst in Verbindung stehen soll.
Die Sicherheitsforscher von Rapid7 beobachten einen besorgniserregenden Trend: Bei 38 Prozent aller Angriffe nutzen Hacker inzwischen Sicherheitslücken als Einstiegspunkt – und mehr als die Hälfte davon setzt auf Zero-Click-Mechanismen.
Alarmierende Chronologie
Die ausgenutzte Schwachstelle wurde bereits im Mai 2025 vom niederländischen Geheimdienst entdeckt. Laundry Bear begann die aktive Ausbeutung im Juli 2025. Ein Patch für die Zimbra Collaboration Suite (Version 10.1.13) erschien im November 2025 – doch viele Organisationen haben ihn bis heute nicht installiert.
Da immer mehr Unternehmen Opfer von raffinierten Angriffen über Sicherheitslücken werden, ist proaktive Absicherung unverzichtbar. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Ihre Firma wirksam schützen und Sicherheitslücken schließen, bevor es zu spät ist. Hier die Cyber-Security-Checkliste gratis anfordern
Im März 2026 meldete die Firma Seqrite eine weitere Angriffswelle in der Ukraine unter dem Namen Operation GhostMail. Am 18. März 2026 nahm die US-Behörde CISA die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen auf.
Dringender Handlungsbedarf
Beth Hopkins, Chief Operating Officer des NCSC, warnte eindringlich: „Feindliche Akteure passen ihre Methoden rücksichtslos an.“ Sie forderte alle Organisationen, die die betroffene Software nutzen, auf, den Patch vom November 2025 sofort einzuspielen.
Die Behörden empfehlen zudem, nach spezifischen Kompromittierungsindikatoren Ausschau zu halten – etwa nach Traffic auf verdächtigen Domains wie zimbrastat[.]com oder zmailanalytics[.]com. Wo möglich, sollten Unternehmen die Nutzung von Webmail-Oberflächen einschränken, bis die Sicherheitsmaßnahmen vollständig umgesetzt sind.
