Der Snowflake-Hack endete am 5. August 2026 vor einem US-Bundesgericht im Bundesstaat Washington mit einem Schuldbekenntnis. Connor Riley Moucka übernahm 165 Kundenkonten eines Cloud-Anbieters, ohne dabei eine einzige Sicherheitslücke zu benutzen. Die Passwörter lagen längst in den Beutedaten von Infostealer-Schadsoftware, manche seit November 2020.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Der Snowflake-Hack von 2024 traf AT&T, Ticketmaster und Santander binnen weniger Monate. Das US-Justizministerium beziffert den Schaden der betroffenen Unternehmen auf mehr als 9,5 Millionen US-Dollar, rund 8,27 Millionen Euro zum Kurs vom 6. August 2026.[1] Bemerkenswert bleibt, wie wenig technischer Aufwand dafür nötig war.
Das Wichtigste in Kürze
- Moucka aus Kitchener in Ontario bekannte sich in vier Anklagepunkten schuldig, das Strafmaß fällt am 27. Oktober 2026.
- Betroffen waren mindestens 165 Kundenkonten mit Daten von rund 100 Millionen Menschen.
- Der Anbieter selbst blieb unversehrt, jeder Vorfall führte auf gestohlene Kundenzugangsdaten zurück.
- Die letzte Stufe der Passwort-Abschaltung bei Snowflake läuft ausgerechnet zwischen August und Oktober 2026.
Wie öffnet ein vier Jahre altes Passwort ein Cloud-Konto?
Eine gültige Anmeldung genügte, kein Einbruch in die Infrastruktur des Anbieters. Mandiant untersuchte die Kampagne 2024 gemeinsam mit Snowflake und fand keinen Hinweis auf einen Zugriff über die Unternehmensumgebung des Anbieters. Jeder untersuchte Vorfall ließ sich auf kompromittierte Zugangsdaten von Kunden zurückführen.[2]
Die Zugangsdaten stammten aus der Infostealer-Beute von Schadsoftware wie Vidar, Redline oder Lumma. Bei 79,7 Prozent der Konten lagen sie schon offen, die älteste dieser Infektionen datiert Mandiant auf November 2020. Für die Erkundung schrieben die Täter ein eigenes Werkzeug, das Mandiant Frostbite nennt, abgefragt haben sie danach über die frei erhältliche Oberfläche DBeaver. Wie schnell ein erbeuteter Zugang zum Generalschlüssel wird, zeigte zuletzt die Lücke CosmosEscape in Azures Cosmos DB.
Warum trifft die Rechnung immer den Kunden?
Die geteilte Verantwortung in der Cloud verläuft genau an dieser Naht. Eine Anmeldung in zwei Schritten stand jedem Konto offen, erzwungen hat sie niemand. Auch die Freigabelisten für erlaubte IP-Adressen blieben leer. Der Anbieter erfüllte seinen Teil, während aus 165 Mandanten die Daten abflossen. Dasselbe Muster zeigten das Datenleck bei Lidl und der Vorfall bei Netze BW, wo jeweils ein Dienstleister das Einfallstor bildete.
Aufschlussreich liest sich die amtliche Formulierung: Das Justizministerium nennt kein Unternehmen, sondern nur „ein US-amerikanisches Software-as-a-Service-Unternehmen“.[1] Drei Opfer zahlten zusammen rund 2,18 Millionen Euro. Eines davon erpresste Moucka ein zweites Mal, mit den Daten eines Regierungsmitarbeiters und der Angehörigen eines früheren Regierungsmitarbeiters. Den Rest der Beute bot er in Foren wie BreachForums und über Telegram zum Verkauf an.
Dasselbe Muster in jedem getroffenen Konto
- Zweiter Faktor: abgeschaltet
- Passwortwechsel nach dem Leak: nie erfolgt
- Freigabeliste erlaubter IP-Adressen: nicht gesetzt
- Konten mit vorher offengelegten Zugangsdaten: 79,7 %
- Zweiter Faktor für Menschen: Pflicht
- Passwort für Dienstkonten: gesperrt
- Letzte Ausbaustufe: Aug. bis Okt. 2026
- Neue Konten mit Zwang zur Anmeldung in zwei Schritten: seit Okt. 2024
Der Fall taugt nicht als Gruselgeschichte über geniale Angreifer. Ein Passwort aus dem Jahr 2020, das 2024 noch funktioniert, ist ein Versäumnis der Anwender und keine Leistung des Täters.
— Markus Seyfferth, Chefredakteur Dr. Web
Was müssen deutsche Cloud-Kunden jetzt prüfen?
Der eigene Mandant gehört auf den Prüfstand, nicht der Anbieter. Unternehmen mit Kundendaten in einer Datenplattform gelten nach der Datenschutz-Grundverordnung als Verantwortliche, der Anbieter dagegen als Auftragsverarbeiter. Ein fehlender zweiter Faktor lässt sich nach Artikel 32 kaum noch als Stand der Technik verteidigen. Die Meldefrist von 72 Stunden nach Artikel 33 läuft beim Kunden, wie die 36 Tage späte Meldung bei Analog Devices gezeigt hat. Die Grundlagen bündelt der Ratgeber Cybersecurity-Grundlagen für den Mittelstand.
Vier Handgriffe lohnen sich jetzt. Setzen Sie eine Authentifizierungsrichtlinie auf Kontoebene, damit einzelne Nutzer den zweiten Faktor nicht abwählen können. Stellen Sie Ihre Dienstkonten auf Schlüsselpaare oder OAuth um, bevor die letzte Ausbaustufe von Snowflake im Oktober 2026 greift.[3] Hinterlegen Sie eine Freigabeliste erlaubter IP-Adressen. Gleichen Sie zuletzt Ihre Zugangsdaten gegen bekannte Leaks ab, denn ein sauber verwaltetes Passwort nützt wenig, solange die alte Fassung gilt. Ganz ohne Passwort arbeiten inzwischen auch Massenanbieter, etwa mit Passkeys bei GMX und Web.de.
Quellen
[1] US-Justizministerium: „Canadian Man Pleads Guilty to Hacking U.S. Cloud Storage Provider and Extorting Its Customers for Millions“ (5. August 2026)
[2] Mandiant und Google Cloud Threat Intelligence: „UNC5537 Targets Snowflake Customer Instances for Data Theft and Extortion“
[3] Snowflake Documentation: „Planning for the deprecation of single-factor password sign-ins“ (abgerufen am 6. August 2026)
Mehr Newshunger?
- TeamViewer für macOS: Eine Logiklücke umgeht die Zwei-Faktor-Pflicht
- Arista VeloCloud: Angreifer kapern die SD-WAN-Zentrale ohne Passwort
- Keyv kompromittiert: Der Angriff auf die npm-Lieferkette läuft noch
- Adform kompromittiert: Ein manipuliertes Tracking-Skript ersetzte Krypto-Adressen
- Cyberangriffe auf Wasserwerke: 30 Anlagen in Minnesota liefen nur noch von Hand
- Langflow-Lücke: IBMs KI-Baukasten vergibt Superuser-Token an jeden Aufrufer
