Die Oracle EBS-Attacke entwickelt sich zum größten Cybersecurity-Vorfall des Jahres 2025. Die dahinter stehende Cl0p-Gruppe präsentiert sich als Angreifer, doch Sicherheitsexperten vermuten dahinter das Aktivisten-Netzwerk FIN11. Die Hacker zwangen sich über ausgenutzte Zero-Day-Lücken in die Unternehmenssysteme und plünderten massiv Datenbestände. Anschließend nutzen sie die gestohlenen Informationen zur Erpressung – das klassische Ransomware-Modell.
Die Liste der Opfer liest sich wie das Who-is-Who der globalen Wirtschaft: Über 100 Unternehmen aus Technologie, Telekommunikation, Einzelhandel, Energie, Finanzwesen und Entertainment sind betroffen. Bei den meisten dieser Riesen wurden Torrent-Dateien mit gestohlenen Daten veröffentlicht – ein Zeichen dafür, dass sie Lösegeldförderungen ablehnten.
Unterschied zwischen Reden und Schweigen
Die Mehrheit der betroffenen Konzerne hat reagiert: Sie gaben öffentliche Erklärungen ab, bestätigten die Bruchstelle und informierten Kunden sowie Mitarbeiter über potenzielle Risiken. Manche sprachen von begrenzbarem Schaden, doch sie signalisierten Handlungsfähigkeit.
Anders vier Riesen: Broadcom, Bechtel, Estée Lauder und Abbott Laboratories. Sie wurden um November 20, 2025 auf der Cl0p-Leak-Seite namentlich gelistet – doch keiner dieser Konzerne hat sich dazu geäußert. Weder bestätigen noch dementieren sie. Nicht einmal eine Mitteilung über laufende Ermittlungen folgte. Auf wiederholte Medien-Anfragen kam keine Reaktion.
Die Datenmengen sind massiv: Bei Broadcom veröffentlichten die Hacker über 2 Terabyte Archiv-Dateien. Estée Lauder wurde mit 870 Gigabyte belastet. Eine kurze technische Analyse bestätigte für mehrere große Namen, dass die Dateien tatsächlich aus Oracle EBS-Umgebungen stammen – die Attacke war real.
Warum das Schweigen?
Eines ist klar: Konzerne können sich Zeit lassen. Datenbruch-Untersuchungen können Monate bis Jahre dauern. Große Unternehmen signalisieren normalerweise zumindest laufende Ermittlungen – um Vertrauen zu bewahren.
Doch es gibt Gründe für strategisches Schweigen: Ohne regulierte Daten (Gesundheitsinformationen, Sozialversicherungsnummern, Zahlungsdetails) besteht keine gesetzliche Meldepflicht in allen Ländern. Fehlende Materialisierung bedeutet auch keine SEC-Anmeldepflicht gegenüber Investoren. Ein öffentliches Statement könnte Klagen, Leerverkäufer oder regulatorische Kontrolle anziehen – teurere Konsequenzen als Schweigen.
Dennoch bleibt: Verbraucher und Geschäftspartner verdienen Transparenz.