Vorfall-Lagebild: Warlock-Ransomware trifft Wasserversorger

Von Max Gilg · 03.10.2026 · 7 Min. Lesezeit

Vorfall-Lagebild · Nach 72 Stunden (gerechnet ab dem Symantec-Bericht vom 01.10.2026) · Stand 04.10.2026 08:06 – Wissen = mit Quelle belegt, Einschätzung = eigene Bewertung, Wahrscheinlichkeit in Worten angegeben.

Wissensstand: 45 Aussagen: 19 mit Quelle belegt, 9 Einschätzungen, 17 offene Punkte

Symantec meldete am 01.10.2026, dass die Gruppe Longlegs (laut Microsoft mit mittlerer Sicherheit China-basiert) in rund zwei Monaten mindestens vier Organisationen mit Warlock-Ransomware angegriffen hat: einen Wasserversorger, einen Telekommunikationsanbieter, eine regionale Behörde und eine Universität in portugiesisch- und spanischsprachigen Ländern. Die Angreifer kamen über ungepatchte On-Premises-SharePoint-Server hinein, schalteten dann die Schutzsoftware aus und verteilten die Ransomware über das Active Directory (SYSVOL). Bis heute (04.10.2026) sind weder die Namen der Opfer noch Auswirkungen auf OT oder die Wasserversorgung öffentlich, und in DACH ist kein Opfer bekannt.

1. Was ist passiert, und warum?

• Wissen: Symantec (01.10.2026): Longlegs hat in den letzten zwei Monaten mindestens vier Organisationen angegriffen, nämlich einen Wasserversorger, einen Telekommunikationsanbieter, eine regionale Behörde und eine Universität. – Quelle
• Wissen: Der Erstzugang lief über die ToolShell-Kette in On-Premises-SharePoint. Die Schutzsoftware wurde über den verwundbaren signierten Treiber K7RKScan (BYOVD) ausgeschaltet. BleepingComputer bestätigt diese Kombination. – Quelle, Quelle
• Wissen: Neben ToolShell nutzt die Gruppe laut The Record und SecurityWeek mehrere neuere SharePoint-Schwachstellen aus 2026. – Quelle, Quelle
• Wissen: Microsoft stufte die Gruppe im Juli 2025 mit mittlerer Sicherheit als China-basierten Threat Actor ein, der Warlock und LockBit einsetzt. Die Ziele der Gruppe konnte Microsoft nach eigener Aussage nicht sicher bewerten. – Quelle
• Wissen: Symantec hält beides für möglich: eine opportunistische Zielauswahl über offen erreichbare, verwundbare SharePoint-Server oder eine gezieltere Beauftragung („deliberate tasking“). – Quelle
• Nicht bekannt: Namen und Länder der einzelnen Opfer
• Nicht bekannt: Ob die Opfer gezielt als KRITIS-Betreiber ausgewählt wurden
• Nicht bekannt: Ob Lösegeld gefordert oder gezahlt wurde und ob Daten abgeflossen sind
• Nicht bekannt: Ob es neben der Erpressung auch um Spionage ging oder einen staatlichen Auftrag gab
• Einschätzung: Die Opfer wurden eher über offen erreichbare, ungepatchte SharePoint-Server gefunden als gezielt als KRITIS-Betreiber ausgewählt. (offen, leicht überwiegend) – Die Opfer stammen aus gemischten Branchen, und das Muster passt zu Massen-Scans nach bekannten Lücken. Symantec lässt die Frage aber ausdrücklich offen, und die sprachliche Häufung der Opfer spricht auch für eine Beauftragung.
• Einschätzung: Das Motiv war vor allem finanziell, ein zusätzliches Spionage-Interesse ist nicht ausgeschlossen. (offen) – Ransomware spricht für ein finanzielles Motiv. Microsoft konnte die Ziele aber nicht bewerten.

2. Was ist die Auswirkung?

• Wissen: In einem dokumentierten Fall bei einem KRITIS-Betreiber wurde auf mindestens 40 Hosts in etwa zwei Stunden ein Werkzeug verteilt, das die Schutzsoftware ausschaltet. Danach lief Warlock auf mindestens 33 Hosts, verteilt über die Domänenfreigabe SYSVOL. The Hacker News berichtet denselben Fall. – Quelle, Quelle
• Wissen: BleepingComputer, The Record und The Hacker News berichten keine Auswirkungen auf den Betrieb, die OT oder die Versorgung. Ob der Fall mit 40/33 Hosts den Wasserversorger oder den Telekom-Anbieter betraf, wird nicht gesagt. – Quelle
• Nicht bekannt: Welches Opfer der Fall mit 40/33 Hosts ist
• Nicht bekannt: Ob Kunden oder die Versorgung betroffen waren
• Nicht bekannt: Ob Daten abgeflossen sind oder veröffentlicht wurden
• Einschätzung: Der Schaden traf im Wesentlichen die Büro-IT (Verwaltung, Abrechnung, Dokumente), nicht die Steuerung der Wasseraufbereitung. (eher wahrscheinlich) – SharePoint und Active Directory (SYSVOL) gehören zur Büro-IT. Ein Versorgungsausfall wäre sehr wahrscheinlich in den Medien aufgetaucht. Wie weit der Fall in die OT reichte, ist aber nicht veröffentlicht.

3. Wie lange dauert es digital (Wiederherstellung IT)?

• Wissen: Laut Symantec vergingen im dokumentierten Fall etwa neun Tage vom Einstieg per Webshell bis zur Verschlüsselung. – Quelle
• Wissen: Bei Südwestfalen-IT (Akira, 2023) dauerte der Krisenmodus etwa elf Monate, bis zum 30.09.2024. Viele Server mussten neu aufgebaut werden. – Quelle
• Wissen: American Water bemerkte den Angriff am 03.10.2024 und schaltete Systeme vorsorglich ab. Ab dem 10.10.2024 wurden sie schrittweise wieder verbunden. – Quelle
• Nicht bekannt: Stand der Wiederherstellung bei den Opfern
• Nicht bekannt: Ob intakte Offline-Backups vorhanden waren
• Nicht bekannt: Ob das Active Directory neu aufgebaut werden muss
• Einschätzung: Die Kernsysteme laufen nach Tagen bis wenigen Wochen wieder. Die vollständige Bereinigung einschließlich Neuaufbau des AD dauert Wochen bis Monate. (eher wahrscheinlich) – Bei einer domänenweiten Verteilung über SYSVOL ist das AD kompromittiert. Ein Neuaufbau ist dann üblich, wie die Vergleichsfälle zeigen.

4. Ist in der Anlage etwas kaputt, das lange dauert?

• Wissen: Keine der ausgewerteten Quellen berichtet von Auswirkungen auf OT, Leittechnik, Pumpen, Aufbereitung oder andere physische Anlagen. – Quelle
• Nicht bekannt: Ob die OT des Wasserversorgers von der IT getrennt ist
• Nicht bekannt: Ob SCADA- oder Fernwirk-Server in derselben Domäne waren
• Nicht bekannt: Ob Anlagen vorsorglich auf Handbetrieb umgestellt wurden
• Einschätzung: Physische Anlagen wie Pumpen oder Aufbereitung sind nicht beschädigt. (wahrscheinlich) – Warlock ist eine Ransomware für Windows-Systeme ohne bekannte OT-Funktionen, und es gibt keine Berichte über Störungen.
• Einschätzung: Mittelbare OT-Auswirkungen sind möglich, z. B. vorsorgliches Trennen, Ausfall der Fernüberwachung oder mitverschlüsselte SCADA-Server in derselben Domäne. (eher unwahrscheinlich) – Das ist ein typisches Muster bei schwacher Segmentierung in der Branche. Im konkreten Fall gibt es dafür aber keinen Beleg.

5. Wie viele solcher Ziele gibt es?

• Wissen: BSI: Am 03.08.2025 waren in Deutschland noch über 80 On-Premises-SharePoint-Systeme für ToolShell verwundbar. – Quelle
• Wissen: Bei der SharePoint-Welle 2025 wurden laut SecurityWeek und The Record Hunderte SharePoint-Server bzw. Organisationen kompromittiert. – Quelle, Quelle
• Wissen: Das BSI warnte 2026 erneut vor einer aktiv ausgenutzten SharePoint-Schwachstelle. – Quelle
• Wissen: CISA warnte am 14.07.2026 vor kombiniert ausgenutzten SharePoint-Schwachstellen in allen unterstützten On-Premises-Versionen. – Quelle
• Wissen: Eine weitere SharePoint-Lücke (CVSS 8.8) wurde am 11.08.2026 gepatcht und steht seit 25.09.2026 im KEV-Katalog. – Quelle
• Nicht bekannt: Wie viele verwundbare SharePoint-Server es aktuell (Oktober 2026) in DACH gibt
• Nicht bekannt: Wie viele Wasserversorger in DACH On-Premises-SharePoint betreiben
• Einschätzung: Auch in DACH betreiben Stadtwerke und Zweckverbände SharePoint On-Premises, und ein Teil davon ist aus dem Internet erreichbar. (eher wahrscheinlich) – Laut BSI waren 2025 in Deutschland noch verwundbare Systeme erreichbar. Branchenbezogene Daten gibt es aber nicht.
• Einschätzung: In DACH gibt es weiterhin einen kleinen zweistelligen Bestand verwundbarer, offen erreichbarer SharePoint-Server, auch bei kleinen Versorgern und Kommunen. (eher wahrscheinlich) – Erfahrungsgemäß bleibt nach jeder Patch-Welle ein Rest übrig, und kleine Betreiber patchen langsamer. Aktuelle Zählungen liegen nicht vor.

6. Kann das wieder passieren?

• Wissen: 2026 hat CISA mehrere SharePoint-Lücken als aktiv ausgenutzt gelistet, zuletzt am 25.09.2026. – Quelle
• Wissen: Laut Symantec nutzt die Gruppe für den Erstzugang weiterhin bevorzugt SharePoint-Lücken. – Quelle
• Wissen: Die Gruppe nutzt die SharePoint-Lücken auch über ein Jahr nach den Patches weiter. Sie ist seit Mitte 2025 aktiv; zum genauen Beginn weichen die Quellen ab (laut BleepingComputer seit Juni 2025, laut Microsoft erstmals am 18.07.2025 mit Ransomware beobachtet). – Quelle
• Nicht bekannt: Ob die Gruppe künftig auch in DACH angreift
• Nicht bekannt: Ob Persistenz bei den Opfern vollständig entfernt ist
• Einschätzung: Weitere Angriffe derselben Gruppe auf Organisationen und Versorger mit erreichbarem, ungepatchtem SharePoint sind wahrscheinlich, auch außerhalb der bisherigen Sprachräume. (wahrscheinlich) – Die Gruppe ist seit über einem Jahr durchgehend aktiv, die Methode funktioniert, und es kommen laufend neue SharePoint-Exploits hinzu.

Früherer Stand (03.10.2026 07:34)

Laut Symantec (Bericht vom 01.10.2026) hat die Gruppe Longlegs (laut Microsoft mit mittlerer Sicherheit China-basiert) in rund zwei Monaten mindestens vier Organisationen in portugiesisch- und spanischsprachigen Ländern angegriffen: einen Wasserversorger, einen Telekommunikationsanbieter, eine regionale Behörde und eine Universität. Die Angreifer kamen über ungepatchte On-Premises-SharePoint-Server hinein. In einem dokumentierten Fall schalteten sie die Schutzsoftware auf mindestens 40 Hosts ab und verteilten Warlock danach über SYSVOL auf mindestens 33 Hosts. Die Opfer sind bis heute nicht genannt. Keine Quelle berichtet bisher von Auswirkungen auf OT, Leittechnik oder die Wasserversorgung, und in DACH ist kein Opfer bekannt.

Früherer Stand: Erstmeldung (03.10.2026 07:24)

Laut Symantec Threat Hunter Team (Bericht vom 01.10.2026) hat die Gruppe Longlegs (laut Microsoft mit mittlerer Sicherheit China-basiert) in rund zwei Monaten mindestens vier Organisationen in portugiesisch- und spanischsprachigen Ländern angegriffen: einen Wasserversorger, einen Telekom-Anbieter, eine regionale Behörde und eine Universität. Die Angreifer kamen über ungepatchte On-Premises-SharePoint-Server (ToolShell 2025, laut Medien auch neuere Lücken aus 2026) hinein. In einem Fall schalteten sie auf mindestens 40 Hosts in etwa zwei Stunden die Schutzsoftware ab und verschlüsselten danach über SYSVOL mindestens 33 Hosts. Die Opfer sind nicht genannt, Auswirkungen auf OT oder die Wasserversorgung sind nicht berichtet, und in DACH ist kein Opfer bekannt.

Vergleichsfälle

• Südwestfalen-IT (Akira) (2023): Ein kompromittiertes AD kann monatelangen Krisenbetrieb bedeuten (rund elf Monate, viele Server neu aufgebaut). – Quelle
• American Water (2024): Vorsorgliches Abschalten der IT schützt die Versorgung, kostet aber die Kundensysteme für etwa eine Woche. – Quelle
• SharePoint-Welle ToolShell (2025): Eine Zero-Day-Welle trifft binnen Tagen Hunderte Organisationen, und ungepatchte Reste werden noch nach über einem Jahr ausgenutzt. – Quelle

Quellen

• https://www.security.com/threat-intelligence/warlock-ransomware-critical-infrastructure
• https://www.bleepingcomputer.com/news/security/warlock-ransomware-breach-sharepoint-in-water-telecom-operator-attacks/
• https://www.securityweek.com/warlock-expands-sharepoint-exploitation-in-critical-infrastructure-attacks/
• https://therecord.media/warlock-ransomware-used-in-critical-infrastructure-attacks
• https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/
• https://thehackernews.com/2026/10/warlock-exploits-sharepoint-flaws-to.html
• https://www.lokalplus.nrw/kreis-olpe/suedwestfalen-it-wieder-im-normalmodus-buergerdienste-dauerhaft-stabil-90568
• https://www.sec.gov/Archives/edgar/data/1410636/000119312524233300/d869346d8k.htm
• https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2025/2025-262781-1032.html
• https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-238220-1032.pdf?__blob=publicationFile&v=6
• https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations
• https://www.securityweek.com/microsoft-sharepoint-flaw-cve-2026-65660-now-exploited-in-attacks/
• https://www.tenable.com/blog/cve-2026-32201-cve-2026-45659-cve-2026-56164-faq-sharepoint-server-exploitation
• https://www.sec.gov/Archives/edgar/data/1410636/000141063624000094/0001410636-24-000094-index.htm

Den vollständigen Bericht als PDF und alle verfolgten Vorfälle finden Sie unter Vorfall-Lagebilder.

Fachliche Einschätzung auf Basis öffentlicher Quellen, keine Schuldzuweisung an Betroffene.

Korrigiert am 11.10.2026: Titel und Kurzbeschreibung vervollständigt. Nicht belegte Zahlen, CVE-Listen und Shodan-Werte entfernt oder allgemein formuliert, doppelte Bestätigungen zusammengefasst, Wissensstand neu gezählt und Prozentwerte durch eine Einordnung in Worten ersetzt.

← Alle Artikel