Am 29. Juli 2026 hat Analog Devices in einer Pflichtmitteilung an die US-Börsenaufsicht eingeräumt, dass Angreifer schon am 23. Juni Dateien aus Firmensystemen abgezogen haben.[1] Zwischen Entdeckung und Offenlegung liegen 36 Tage. Drei Tage vor der Mitteilung war der Chipkonzern auf der Leak-Seite einer brandneuen Erpressergruppe aufgetaucht.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- Analog Devices bestätigt den unbefugten Zugriff vom 23. Juni 2026 und den Abfluss von Dateien; Art und Umfang der Daten bleiben in Prüfung.
- Die Meldung lief über Item 8.01 des Formulars 8-K, nicht über den Wesentlichkeits-Paragrafen Item 1.05, und unterlag deshalb keiner Vier-Tage-Frist.
- Die Gruppe ExfilSquad listete laut SOCRadar am 26. Juli 15 Organisationen an einem Tag, darunter Analog Devices und Microsoft, ohne forensischen Beleg.
- In Deutschland zählt nicht die Wesentlichkeit für den Kapitalmarkt, sondern die Erheblichkeit des Vorfalls: Das BSI erwartet die Erstmeldung binnen 24 Stunden.
Was hat Analog Devices eingeräumt?
Datenabfluss steht seit dem 29. Juli offiziell fest. Der Halbleiterhersteller aus Wilmington bei Boston entdeckte den Zugriff am 23. Juni 2026, aktivierte die Notfallprozesse und holte externe Forensiker sowie die Strafverfolgung dazu.[1] Der Betrieb lief durchgehend weiter. Welche Dateien die Angreifer kopiert haben, prüft der Konzern noch.
Unwesentlich lautet die vorläufige Bewertung: Nach heutigem Kenntnisstand hält Analog Devices einen wesentlichen Einfluss auf Geschäft, Betrieb oder Finanzlage nicht für wahrscheinlich. Genau diese Einschätzung entscheidet in den USA über die Meldefrist. Was ein Datenabfluss die betroffene Firma im Schnitt kostet, hat IBM gerade neu berechnet.
Warum kam die Meldung erst nach 36 Tagen?
Item 8.01 heißt der Paragraf, unter dem die Mitteilung läuft. Für wesentliche Cybervorfälle sieht die SEC seit 2023 Item 1.05 vor, mit einer Frist von vier Werktagen ab dem Tag, an dem ein Unternehmen die Wesentlichkeit feststellt. Ein als unwesentlich eingestufter Vorfall geht dagegen freiwillig unter Item 8.01 raus, und dann tickt keine Uhr. Die Frist hängt also nicht am Einbruch, sondern an einer Bewertung des Betroffenen selbst.
Der Anstoß kam von außen. Am 26. Juli startete die neue Erpressergruppe ExfilSquad eine Tor-Leak-Seite mit 15 Organisationen, darunter neben Analog Devices auch Microsoft und Frontier Airlines. Das Sicherheitsunternehmen SOCRadar hat zu keiner dieser Behauptungen forensische Nachweise oder Datenproben gefunden und hält eine Erfindung derzeit für wahrscheinlicher als einen echten Einbruch.[2] Analog Devices nennt diesen Vorgang ausdrücklich getrennt vom Juni-Vorfall und prüft die Stichhaltigkeit. Dieselbe Masche hat drweb im Juli schon bei der Gruppe UnSafe beschrieben, die sich mit der Deutschen Bank einen prominenten Namen aussuchte.
Eine unbelegte Erpresserliste hat hier mehr Transparenz erzwungen als die Meldepflicht selbst. Unternehmen sollten ihre Kommunikation nicht davon abhängig machen, wann eine fremde Darknet-Seite ihren Namen ins Schaufenster stellt.
— Michael Dobler, Herausgeber Dr. Web
Der Ablauf in vier Daten
Zwei Rechtsräume, zwei Auslöser
USA: Wesentlichkeit
Item 1.05 verlangt die Offenlegung binnen vier Werktagen, gerechnet ab der festgestellten Wesentlichkeit. Ohne diese Feststellung bleibt nur die freiwillige Meldung unter Item 8.01, ganz ohne Frist.
Deutschland: Erheblichkeit
Das NIS2-Umsetzungsgesetz koppelt die Pflicht an den erheblichen Vorfall: 24 Stunden bis zur Erstmeldung, 72 Stunden bis zur Folgemeldung, ein Monat bis zum Abschlussbericht. Bußgelder reichen bis 10 Mio. €.
Was gilt für deutsche Unternehmen?
24 Stunden statt vier Werktagen: Das NIS2-Umsetzungsgesetz knüpft die Meldepflicht nicht an die Wesentlichkeit für den Kapitalmarkt, sondern an die Erheblichkeit des Vorfalls. Betroffene Einrichtungen schicken die Erstmeldung binnen 24 Stunden an das BSI, die Folgemeldung nach 72 Stunden und den Abschlussbericht nach einem Monat. Bußgelder reichen bis 10 Millionen Euro, und die Geschäftsführung haftet persönlich. Die Grundlagen dieser Pflichten fasst der Ratgeber zu den Cybersecurity-Grundlagen zusammen.
Zwei Uhren laufen parallel, sobald ein Unternehmen an der Börse notiert. Neben der BSI-Meldung steht die Ad-hoc-Pflicht aus der Marktmissbrauchsverordnung, deren Reichweite die BaFin gerade im Fall TeamViewer ausbuchstabiert hat.
Konkret heißt das: Legen Sie im Notfallplan fest, wer die Erheblichkeit binnen weniger Stunden bewertet. Eine Listung auf einer Leak-Seite gehört als eigener Prüffall behandelt, auch ohne Belege. Beim Datenleck von Netze BW hat sich gezeigt, wie schnell Kundenfragen eintreffen, lange bevor die Forensik ein Ergebnis liefert.
Quellen
[1] Analog Devices, Inc.: Form 8-K, Item 8.01 Other Events, eingereicht am 29. Juli 2026
[2] SOCRadar: „Dark Web Profile: ExfilSquad“, 28. Juli 2026
Mehr Newshunger?
- Erst zwei Opfer, dann die Deutsche Bank: Was hinter der Erpressergruppe UnSafe steckt
- TeamViewer für macOS: Eine Logiklücke umgeht die Zwei-Faktor-Pflicht
- Arista VeloCloud: Angreifer kapern die SD-WAN-Zentrale ohne Passwort
- KI-Würmer in Word-Dokumenten verbreiten sich über Copilot von selbst
- Gesundheitsdaten an Meta und Snap: FTC verklagt den Telemedizin-Anbieter Hims & Hers
- Zscaler auf STACKIT: Souveräne Cloud-Sicherheit beginnt am Entschlüsselungspunkt
