640 GB beim Zertifizierer: Warum auch Ihr Auditor ein Sicherheitsrisiko ist

Was ist bei GUTcert passiert?

Die GUTcert ist eine Berliner Zertifizierungsgesellschaft und Tochter der französischen AFNOR-Gruppe. Sie zertifiziert Managementsysteme nach ISO-Normen — ISO 9001 für Qualität, ISO 14001 für Umwelt —, validiert nach EMAS und prüft Treibhausgasbilanzen. Ein Haus also, an das man denkt, wenn ein Audit ansteht, und sonst nie.

Nach eigener Darstellung des Unternehmens verschafften sich Unbekannte am 5. September 2026 unbefugten Zugang zu Teilen der IT-Systeme. Zwischen dem 6. und 9. September flossen rund 640 GB Daten ab. Bemerkt wurde der Vorfall in der Nacht vom 9. auf den 10. September bei einer Routinetätigkeit; die zu dem Zeitpunkt bekannten Zugänge wurden am 10. September unterbrochen. Am 15. September fand die Untersuchung eine noch aktive E-Mail-Sitzung der Angreifer — fünf Tage nach dem ersten Abschalten.

GUTcert meldete den Vorfall am 11. September der Berliner Datenschutzbeauftragten und dem LKA und informierte freiwillig das BSI. Betroffene Kunden und Auditoren wurden am 14. September benachrichtigt, am selben Tag wurde ein externer IT-Forensiker beauftragt.

Welche Daten sind abgeflossen?

Die Liste ist der eigentliche Grund, warum dieser Fall über einen gewöhnlichen Datenschutzvorfall hinausgeht. Nach Angaben des Unternehmens betroffen:

• Personenbezogene Daten der eigenen Mitarbeitenden sowie Finanz- und Steuerdaten
• Auditnachweise und Auditberichte von Kunden
• Managementsystem- und Verfahrensdokumentationen
• Technische Informationen und Angaben zu Schwachstellen
• Möglicherweise Zugangsdaten, Zertifikate und sonstige vertrauliche Informationen — das wird noch geprüft

Bei Kunden aus der Energiewirtschaft geht es Berichten zufolge konkret um Betriebsstättenlisten mit Standorten von Umspannwerken, Ortsnetzstationen und Gasdruckregelanlagen sowie um Netzstrukturpläne mit der IT- und OT-Infrastruktur.

GUTcert erhielt zwei Erpressungsversuche und ging auf beide nicht ein. Das ist die richtige Entscheidung — sie bedeutet aber auch, dass eine Veröffentlichung der Daten als wahrscheinlich gelten muss.

Warum ist ein Auditor ein so lohnendes Ziel?

Weil ein Audit seiner Natur nach das Gegenteil von Zurückhaltung verlangt. Wer sich zertifizieren lässt, legt offen: Wie ist das Netz aufgebaut? Welche Systeme sind kritisch? Wo gibt es bekannte Abweichungen, und bis wann sollen sie behoben sein? Genau diese Offenheit macht ein Audit wertvoll — und genau sie macht den Auditor zum Archiv der Schwachstellen seiner Kunden.

Ein Angreifer, der einen Auditbericht liest, muss nicht mehr selbst suchen. Er bekommt eine geordnete, von Fachleuten erstellte Liste dessen, was noch nicht in Ordnung ist — inklusive der Begründung, warum es noch nicht behoben wurde. Das ist die Abkürzung, für die Angreifer sonst Wochen brauchen.

Dasselbe Muster haben wir im Datenleck beim Dienstleister beschrieben. Neu ist an diesem Fall nur, dass der Dienstleister kein IT-Unternehmen ist. Genau deshalb steht er auf kaum einer Prüfliste.

Betrifft das nur KRITIS-Betriebe?

Nein, auch wenn die Berichterstattung sich auf die Energiewirtschaft konzentriert. Die Datenkategorien, die hier abgeflossen sind, entstehen bei jedem Audit — auch bei einer ISO-9001-Zertifizierung im Maschinenbau oder einer AZAV-Prüfung bei einem Bildungsträger. Ein Netzstrukturplan ist für einen Angreifer nicht deshalb wertvoll, weil er ein Umspannwerk zeigt, sondern weil er zeigt, wo etwas steht.

Hinzu kommt der Weg über die Lieferkette: NIS2 verpflichtet betroffene Unternehmen ausdrücklich dazu, die Sicherheit ihrer Lieferanten zu berücksichtigen. Wer selbst nicht unter NIS2 fällt, bekommt die Anforderungen über größere Auftraggeber trotzdem gestellt. Ein Zertifizierer ist in dieser Kette ein Lieferant wie jeder andere.

Und der praktische Teil: Wenn Sie in den vergangenen Jahren bei GUTcert zertifiziert wurden, sollten Sie prüfen, ob daraus ein meldepflichtiger Vorfall für Ihr eigenes Unternehmen entsteht — das ist nicht automatisch der Fall, aber auch nicht automatisch ausgeschlossen.

Wie prüfen Sie Dienstleister, die keine IT-Dienstleister sind?

Die gängigen Prüflisten fragen nach Cloud-Anbietern, Softwarehäusern und Rechenzentren. Auditoren, Steuerberater, Anwaltskanzleien, Versicherungsmakler, Zertifizierer und Sachverständige stehen selten darauf — obwohl sie regelmäßig die sensibelsten Unterlagen bekommen, die ein Betrieb besitzt.

Vier Fragen, die sich in jedem Vertragsgespräch stellen lassen:

• Wo liegen unsere Unterlagen nach dem Projekt? Bleiben Auditberichte dauerhaft in einer Projektablage, oder werden sie nach einer festgelegten Frist gelöscht? Bei GUTcert lagen Kundendaten in der internen Projektablage.
• Wie werden wir im Ernstfall informiert? Gibt es einen dokumentierten Meldeweg mit Frist und benanntem Ansprechpartner — oder erfahren Sie es aus dem Fachblog?
• Gibt es einen Auftragsverarbeitungsvertrag, und deckt er auch die technischen Unterlagen ab, nicht nur die personenbezogenen Daten?
• Wie sichert der Dienstleister sich selbst ab? Wer Sicherheit zertifiziert, sollte Auskunft über die eigene geben können. Die Frage ist nicht unhöflich, sie ist fällig.

Dieselbe Sorgfalt gehört in das eigene IT-Sicherheitskonzept: eine Liste aller Stellen außerhalb des Hauses, die vertrauliche Unterlagen halten — nicht nur der, die Zugang zu Systemen haben.

Was sollten Sie jetzt tun?

Wenn Sie bei GUTcert zertifiziert sind: Prüfen Sie die Benachrichtigung vom 14. September, klären Sie intern, welche Unterlagen Sie im Auditverfahren übergeben haben, und bewerten Sie, ob daraus eine eigene Meldepflicht folgt. Wo in übergebenen Unterlagen Zugangsdaten oder Zertifikate enthalten waren, gehören sie ausgetauscht — nicht abgewartet.

Wenn Sie nicht betroffen sind, ist der Fall trotzdem der Anlass für eine Liste, die in den meisten Betrieben fehlt: Wer außerhalb unseres Hauses hat Unterlagen, die uns angreifbar machen? Erfahrungsgemäß sind es mehr Stellen, als die erste Antwort vermuten lässt.

Diese Liste erstellen wir mit Ihnen und halten sie in der laufenden Betreuung aktuell — zusammen mit der Frage, was im Ernstfall zu tun ist, wenn der Vorfall nicht bei Ihnen, sondern bei einem Partner passiert.