Am 29. Oktober 2026 verlor Binance, die größte Kryptobörse der Welt, digitale Werte im Wert von rund 6,3 Milliarden US-Dollar. Der Großteil floss in etwa 20 Minuten ab.[1] Ein wahrscheinlicher Einstiegspunkt war nach ersten Erkenntnissen von Binance das kompromittierte Notebook eines DevOps-Engineers, bewiesen ist das noch nicht.[1][3]
Es ist der größte bekannte Krypto-Diebstahl, etwa viermal so groß wie der Bybit-Hack vom Februar 2025. Sie müssen kein Krypto-Unternehmen sein, damit dieser Fall Sie betrifft. Die Lehre daraus gilt für jedes Unternehmen.
Was ist passiert?
Nach Angaben von Binance hat ein Angreifer wahrscheinlich das Notebook eines Mitarbeiters mit weitreichenden technischen Rechten übernommen. Über dieses Gerät kam er an einen internen Service-Container und reichte dort nicht autorisierte Auszahlungen ein. Später fand Binance weitere Einbruchstellen. Die Angreifer missbrauchten außerdem eine Funktion von Ethereum (EIP-7702), um die üblichen Freigabeprozesse zu umgehen, und verwischten ihre Spuren mit einem Selbstlösch-Mechanismus.[2][4]
Wichtig ist, was Binance-Co-CEO Richard Teng klarstellt: Der Angreifer hat nicht einfach die Rechte eines einzelnen Engineers genutzt, und es war kein „Ein-Klick-Angriff“. Der Fall war komplex und lange vorbereitet.[4] Analysefirmen und das FBI ordnen ihn einer staatlich gesteuerten nordkoreanischen Hackergruppe zu.[6] Wie genau das Notebook infiziert wurde, ist noch nicht veröffentlicht. Binance will etwa 3 Milliarden US-Dollar eingefroren haben und die Verluste aus eigenen Mitteln decken.[5][6]
Warum konnte das passieren?
Der vollständige technische Bericht steht noch aus. Ein Muster ist aber schon jetzt erkennbar und aus vielen Angriffen bekannt: Angreifer suchen sich nicht die stärkste Stelle aus, sondern die Person mit den meisten Rechten. Das ist das Gerät, auf dem Zugänge, Sitzungen und Werkzeuge für das Herz der Infrastruktur liegen.
Wenn ein solches Gerät fällt, nützen auch gute zentrale Schutzmechanismen wenig, solange das Konto darauf zu viel darf, zu lange angemeldet bleibt und niemand ungewöhnliche Aktivitäten in Echtzeit bemerkt.
Wen betrifft das im Mittelstand?
Auch in mittelständischen Unternehmen gibt es „kritische User“, also Personen, deren Zugang im Ernstfall besonders großen Schaden ermöglicht:
- IT-Administratoren und externe Dienstleister mit Domänen-, Cloud- oder Firewall-Rechten
- Geschäftsführung, deren E-Mail-Konto und Freigaben besonders viel Vertrauen genießen
- Buchhaltung und Finanzen mit Rechten für Zahlungen und Onlinebanking
- Personalabteilung mit Zugriff auf sensible Mitarbeiterdaten
- Entwickler und DevOps-Teams mit Zugang zu Servern, Code und Schlüsseln
Ein übernommenes Notebook in der Buchhaltung kann reichen, um eine echte Überweisung auf ein falsches Konto zu lenken. Ein kompromittiertes Admin-Konto kann reichen, um eine Ransomware im ganzen Netzwerk zu verteilen.
So schützen Sie kritische User konkret
1. Privilegierte Konten trennen Admins arbeiten mit zwei Konten: einem normalen Konto für E-Mail und Internet und einem separaten Admin-Konto nur für Verwaltungsaufgaben. Wer mit dem Admin-Konto surft, öffnet Angreifern die Tür.
2. Starke, phishing-resistente Anmeldung Multi-Faktor-Authentifizierung ist Pflicht. Für kritische User sind phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys deutlich sicherer als SMS-Codes oder einfache Push-Bestätigungen.
3. Conditional Access Zugriffe auf sensible Systeme werden nur unter klaren Bedingungen erlaubt, zum Beispiel nur von verwalteten, gesunden Geräten, aus erwarteten Regionen und mit frischer Anmeldung.
4. Gehärtete Admin-Geräte mit EDR Geräte von kritischen Usern brauchen besonderen Schutz: aktuelle Patches, eingeschränkte Software, Festplattenverschlüsselung und eine Endpoint-Detection-and-Response-Lösung (EDR), die verdächtiges Verhalten erkennt und stoppt. Idealerweise gibt es eigene Admin-Arbeitsplätze.
5. Least Privilege: so wenig Rechte wie nötig Jedes Konto bekommt nur die Rechte, die es wirklich braucht. Regelmäßige Rechte-Reviews decken alte, vergessene Berechtigungen auf.
6. PAM und Just-in-Time-Rechte Mit Privileged Access Management werden hohe Rechte nur auf Anfrage und zeitlich begrenzt vergeben, nachvollziehbar protokolliert. Wo es keine dauerhaften Admin-Rechte gibt, kann ein Angreifer auch keine stehlen. Für Zahlungen gilt dasselbe Prinzip: Vier-Augen-Freigaben und Rückruf über bekannte Nummern.
7. Monitoring rund um die Uhr Bei Binance floss der Großteil in rund 20 Minuten ab. Angriffe passieren oft abends oder am Wochenende. Verdächtige Anmeldungen, neue Weiterleitungsregeln oder ungewöhnliche Rechteänderungen müssen sofort auffallen, und es muss jemand reagieren.
Wie BDT unterstützt
Als ISO/IEC 27001:2022 zertifizierter Managed Service Provider aus Düsseldorf begleiten wir mittelständische Unternehmen dabei, genau diese Schutzschichten aufzubauen und dauerhaft zu betreiben. Dazu gehören im Bereich Cyber Security ein Security Operations Center mit Managed Detection & Response auf Basis von Adlumin, konsequentes Patch-Management, MFA und Conditional Access, Security-Audits wie der IT-Security-Check zur Bestandsaufnahme Ihrer kritischen Konten sowie Awareness-Trainings für die Menschen dahinter.
Ein guter erster Schritt ist eine einfache Frage: Wer in Ihrem Unternehmen könnte mit einem einzigen gestohlenen Notebook den größten Schaden anrichten, und wie gut ist genau dieses Gerät geschützt? Wenn Sie die Antwort nicht sicher wissen, sprechen Sie uns an.
Wie Sie Konten in Microsoft 365 zusätzlich absichern, zeigt unser Beitrag Microsoft 365 absichern. Für den Ernstfall hilft ein IT-Notfallplan.
Sicher zum Wachstum.
Nächster Schritt
Kritische User mit BDT absichern
Sie möchten wissen, welche Konten und Geräte in Ihrem Unternehmen den größten Schaden ermöglichen würden? Wir von Blured Digital Technologies in Düsseldorf prüfen Rechte, Anmeldung und Endgeräte Ihrer kritischen User und zeigen Ihnen die nächsten Schritte.
Mehmet Yüksel ist Gründer und Geschäftsführer der BDT Group GmbH (Blured Digital Technologies), eines 2018 gegründeten Managed Service Providers in Düsseldorf. Seine Schwerpunkte sind IT-Infrastruktur, Cyber Security und Managed Services.
