Klue-Datenleck Hackerangriff: Hacker behaupten Datenlöschung, während zweite Gruppe mit Erpressung droht

Ein schwerwiegender Sicherheitsvorfall beim Marktforschungsanbieter Klue entwickelt sich zu einem komplexen Erpressungsfall mit mehreren Akteuren. Nachdem Cyberkriminelle Anfang Juni große Mengen sensibler Kundendaten gestohlen hatten, behauptet die Gruppe „Icarus“ nun, die Daten teilweise zu löschen. Gleichzeitig tritt jedoch eine zweite, bislang unidentifizierte Hackergruppe auf und droht mit der Veröffentlichung der Informationen. Für Unternehmen in Europa und Deutschland, die digitale SaaS-Dienste nutzen, zeigt der Vorfall erneut die Risiken von Cloud-Zugängen und Drittanbieter-Integrationen.

Klue-Datenleck und die Rolle der Hackergruppe „Icarus“

Nach Angaben des Unternehmens Klue drangen Angreifer am 12. Juni in interne Systeme ein und entwendeten eine unbekannte Menge an Kundendaten. Betroffen sind nach bisherigen Erkenntnissen zahlreiche internationale Kunden, darunter bekannte Technologie- und Sicherheitsfirmen.

Klue steht eigenen Angaben zufolge weiterhin in Kontakt mit der Hackergruppe „Icarus“. Diese habe signalisiert, Maßnahmen zur Löschung der gestohlenen Daten einzuleiten. Parallel dazu war die Webseite der Gruppe zeitweise nicht erreichbar, was intern als mögliches Indiz für eine tatsächliche Datenlöschung gewertet wurde.

Die Situation bleibt jedoch unklar. Weder lässt sich unabhängig bestätigen, ob die Daten tatsächlich entfernt wurden, noch in welchem Umfang sie ursprünglich kopiert wurden.

Klue-Datenleck: Zweite Hackergruppe verschärft die Lage

Während sich die Kommunikation mit „Icarus“ scheinbar in Richtung Deeskalation bewegt, ist eine zweite Entwicklung deutlich brisanter. Eine bislang nicht identifizierte Gruppe behauptet, selbst im Besitz der Daten zu sein – unabhängig von „Icarus“.

Diese Gruppe veröffentlichte laut Berichten eine Liste angeblich betroffener Unternehmen und fordert direkte Lösegeldzahlungen. In einer Erpressungsnachricht heißt es: „Zahlt das Lösegeld, sonst veröffentlichen wir alles.“ Zudem wird behauptet, dass rund 195 Klue-Kunden betroffen seien.

Besonders kritisch: Die Täter behaupten, die Daten nicht von Klue direkt, sondern über eine Schwachstelle im Umfeld der ersten Angreifer erlangt zu haben. Ob diese Angaben stimmen, ist bislang nicht verifiziert.

Klue selbst warnt Kunden davor, vorschnell Zahlungen an die zweite Gruppe zu leisten, und empfiehlt stattdessen, im Zweifel Datenstichproben anzufordern.

Technische Ursache: OAuth-Token als Einfallstor

Nach bisherigen Erkenntnissen nutzten die Angreifer ein komplexes Zugriffsverfahren, um in Systeme einzudringen. Ausgangspunkt war ein Drittanbieter-Zugangszertifikat aus dem Jahr 2022, das offenbar im Rahmen eines begrenzten Pilotprojekts eingesetzt wurde.

Über diesen Zugang konnten die Täter Authentifizierungsschlüssel – sogenannte OAuth-Token – kompromittieren. Damit erhielten sie Zugriff auf Cloud-Dienste und Datenbanken von Kunden.

Gerade dieser Punkt ist sicherheitstechnisch relevant: OAuth-Token gelten als besonders kritisch, da sie häufig langfristige und weitreichende Zugriffsrechte gewähren, ohne dass Nutzer sich erneut authentifizieren müssen.

Ein zusätzlicher Unsicherheitsfaktor: Klue hat bislang keine detaillierten Informationen dazu veröffentlicht, warum das betroffene Zertifikat offenbar über Jahre nicht widerrufen wurde.

Bedeutung für Europa und deutsche Unternehmen

Der Vorfall hat direkte Relevanz für Unternehmen in Deutschland und der EU, die zunehmend auf SaaS-Plattformen für Marktforschung, Security-Analysen oder Produktdaten setzen. Viele dieser Dienste arbeiten mit ähnlichen OAuth- oder API-basierten Integrationen.

Gerade mittelständische Unternehmen verfügen oft nicht über vollständige Transparenz, welche Drittzugriffe dauerhaft aktiv sind. Sicherheitsfachleute sehen darin ein strukturelles Risiko, das über den Einzelfall Klue hinausgeht.

Einordnung: Warum der Fall über klassische Datenlecks hinausgeht

Bemerkenswert an diesem Vorfall ist nicht nur der initiale Angriff, sondern die anschließende Eskalation mit mehreren konkurrierenden Tätergruppen. Solche „Doppel-Erpressungen“ sind in der Praxis selten und erschweren sowohl die technische Aufklärung als auch die Krisenkommunikation erheblich.

Für Sicherheitsverantwortliche ergibt sich daraus ein zunehmend komplexes Bedrohungsbild: Daten können mehrfach kopiert, weiterverkauft oder unabhängig voneinander zur Erpressung genutzt werden – selbst dann, wenn ein ursprünglicher Akteur behauptet, die Informationen gelöscht zu haben.

Die weitere Entwicklung hängt nun davon ab, ob die zweite Hackergruppe tatsächlich über exklusive Daten verfügt oder lediglich mit bereits bekannten Informationen Druck aufbaut. In beiden Fällen zeigt der Vorfall, wie fragil digitale Lieferketten im Cloud-Zeitalter geworden sind.