Julia Wolf 
Ein Open-Source-Scanner als Einfallstor für 71 EU-Institutionen. CERT-EU koordiniert Forensik. Und der Cyber Resilience Act schaut zu – noch bis 2027. Das ist kein Albtraum, das ist Mai 2026.
Der 24. März 2026 wird in den Protokollen des Cybersecurity Operations Center der Europäischen Kommission vermutlich einen eigenen Eintrag bekommen. An diesem Tag registrierte das CSOC abnormalen Netzwerkverkehr – und löste damit eine Untersuchung aus, die das Ausmaß eines der bisher größten Supply-Chain-Angriffe auf EU-Institutionen offenbarte. Die Tätergruppe: TeamPCP. Das Werkzeug: Trivy, ein weitverbreiteter Open-Source-Sicherheitsscanner von Aqua Security, der in CI/CD-Pipelines quer durch EU-Behörden eingesetzt wird. Der Vektor: eine kompromittierte GitHub-Actions-Umgebung.
Gerade für diesen Aspekt ist auch unser Beitrag Cybersicherheit Europa 2025: Netskope Threat Labs Report deckt alarmierende Trends auf relevant, weil er zusätzliche Hintergründe und Praxisfolgen beleuchtet.
Plot Twist: Ausgerechnet ein Sicherheitstool wurde zur Waffe. TeamPCP schleuste über die manipulierte Build-Pipeline Malware ein, die – elegant, fast bewundernswert böse – einen AWS-API-Schlüssel abgriff. Damit öffnete sich der Zugang zu EU-Systemen so selbstverständlich wie ein Büroangestellter mit Ausweis durch die Drehtür geht.
Gerade für diesen Aspekt ist auch unser Beitrag cPanel-Schwachstelle CVE-2026-41940: BSI warnt – 5 Sofortmaßnahmen für Webhoster relevant, weil er zusätzliche Hintergründe und Praxisfolgen beleuchtet.
Die Schadensstatistik, die CERT-EU im Bericht vom 3. April 2026 dokumentierte, liest sich entsprechend nüchtern: 42 interne Clients der Europäischen Kommission betroffen, 29 weitere EU-Institutionen – darunter das Europäische Parlament, der Rat der EU und der Europäische Auswärtige Dienst. 71 EU-Einrichtungen in der Summe. Exfiltriertes Datenvolumen: 91,7 GB komprimiert, entspricht rund 350 GB im Rohzustand. Persönliche Daten, interne Kommunikation, Verwaltungsvorgänge. Security-Insider fasst die technischen Details zum Supply-Chain-Angriff strukturiert zusammen.
Wenig überraschend: Die Daten tauchten kurz darauf in Darknet-Foren der Gruppe ShinyHunters auf. Ob TeamPCP und ShinyHunters kooperieren oder ein und dieselbe Struktur bilden, gilt Stand heute als spekulativ und ist juristisch nicht belegt. Sicher ist: Jemand hat 350 Gigabyte EU-Interna zum Verkauf gestellt.
CERT-EU, das Computer Emergency Response Team der EU-Institutionen, übernahm umgehend die Koordination forensischer Analysen und leitete die Benachrichtigung betroffener Einrichtungen ein. Das ist die Kernaufgabe dieser Stelle: keine politische Entscheidung, keine Strafverfolgung, sondern technische Krisenkoordination zwischen EU-Organen.
Das Pikante daran: Ein expliziter „Notfallmodus“ im formalen Sinne wurde öffentlich nicht ausgerufen. CERT-EU aktivierte Koordinationsmechanismen – das ist präziser und juristisch sauberer als das, was manche Eilmeldungen der letzten Tage suggerierten. Die Europäische Kommission sperrte die kompromittierten Zugangsdaten innerhalb von 24 Stunden nach Entdeckung. Amazon bestätigte den Missbrauch gestohlener AWS-Credentials – ohne eigenen Systemfehler, wohlgemerkt. Das Angreifer-Setup war schlicht gut genug, um legitim auszusehen.
Der Europäische Datenschutzbeauftragte (EDPS) prüft inzwischen, ob die DSGVO-konforme 72-Stunden-Meldepflicht eingehalten wurde. Das klingt nach Bürokratie. Ist es auch. Aber genau diese Bürokratie hat einen Zweck: Transparenz darüber, wessen Daten wann abgeflossen sind. Die Frage, ob personenbezogene Bürgerdaten betroffen sind, ist noch nicht abschließend beantwortet.
Wer SolarWinds 2020 aufmerksam verfolgt hat, erkennt die Struktur. Wer XZ Utils 2024 kannte, weiß, wie weit diese Angriffsmethode in Open-Source-Ökosystemen vorgedrungen ist. Supply-Chain-Angriffe setzen nicht mehr direkt auf das Zielsystem an – sie kapern den Weg dorthin. Build-Systeme, Paketquellen, Continuous-Integration-Umgebungen. Alles, was als vertrauenswürdig gilt, weil es aus dem eigenen Toolchain kommt.
Meiner Einschätzung nach ist der Trivy-Fall deshalb so brisant, weil er zeigt, dass selbst Sicherheitswerkzeuge keine inhärente Immunität besitzen. Ein Scanner, der Schwachstellen in Container-Images finden soll, wurde selbst zur Schwachstelle. Das ist Gallows Humor in Reinform – oder eine sehr ernste Warnung für alle, die Open-Source-Security-Tools ohne eigene Verifikation ihrer Build-Pipelines einsetzen.
CERT-EU meldet laut dem offiziellen EU-Compendium zur Cybersicherheit eine deutliche Zunahme von Supply-Chain-Angriffen auf EU-Institutionen in den vergangenen Jahren. Der Trend zu AWS-Missbrauch über gestohlene API-Keys ist dabei keine neue Erfindung – er ist Industriestandard unter organisierten Angreifergruppen geworden. Kurze Erkenntnis. Lange Konsequenzen.
Hier liegt das strukturelle Problem, das über den Trivy-Vorfall hinausgeht. EU-Institutionen betreiben Behördensoftware, die in ihrer Vernetzung und Reichweite durchaus als kritische Infrastruktur einzustufen ist – ohne dass bisher einheitliche technische Standards für deren Supply-Chain-Sicherheit verpflichtend galten. Der Europäische Auswärtige Dienst, das Europäische Parlament, Kommissionsabteilungen: Kompromittierte Kommunikation in diesen Stellen ist nicht nur ein Datenschutzproblem. Es ist ein geopolitisches Risiko.
Das Pikante daran ist die zeitliche Dimension: Die EU diskutiert seit Jahren über Cybersicherheitsrahmenwerke. NIS2 ist seit Oktober 2024 in den Mitgliedstaaten umzusetzen. Der Cyber Resilience Act (CRA, EU 2024/2847) ist verabschiedet – tritt aber erst 2027 vollständig in Kraft. In der Zwischenzeit läuft der Betrieb weiter, mit Tools, deren Lieferketten nicht systematisch geprüft werden.
Das Governance-Problem hat einen Namen: Die EU-Institutionen selbst fallen nicht automatisch unter NIS2 oder CRA – diese Regelwerke adressieren primär Unternehmen und Mitgliedstaaten. Interne EU-IT-Governance läuft über eigene Regelungen, für die CERT-EU zuständig ist. Eine Lücke, die jetzt sehr konkret sichtbar wurde.
Brisant: Wäre der CRA bereits vollständig in Kraft, müsste ein Hersteller wie Aqua Security bei ausgenutzten Schwachstellen in Trivy innerhalb von 24 Stunden an ENISA melden. Sanktionen bei Verstoß: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes – je nachdem, was höher ist. Außerdem würden PSIRT-Teams (Product Security Incident Response Teams) und strukturiertes Vulnerability-Management zur Pflicht.
Stand Mai 2026 gilt: Der CRA ist verabschiedet, die Übergangsfrist läuft, die volle Anwendbarkeit kommt 2027. Bis dahin existieren Meldepflichten und technische Anforderungen als Rahmen, aber die Durchsetzung ist noch fragmentiert. Für den Trivy-Fall bedeutet das: rechtlich ist vieles noch im Werden, praktisch ist der Schaden bereits real.
Wer sich mit den konkreten Anforderungen des CRA auseinandersetzen möchte – besonders im Kontext Open-Source und CI/CD – findet bei Hornetsecurity regelmäßige Webinare zu regulatorischen Cybersicherheitsthemen, die den aktuellen Stand praxisnah aufbereiten.
CI/CD-Pipelines via GitHub Actions sind mittlerweile Standardinfrastruktur. Sie führen automatisiert Code aus – Build, Test, Deployment. Das Problem: Wenn ein Angreifer einen Schritt in dieser Kette kontrolliert, kontrolliert er potenziell alle Artefakte, die danach kommen. Im Trivy-Fall wurde die GitHub-Actions-Konfiguration manipuliert, um Malware einzuschleusen, die dann in regulären Build-Prozessen lief. Aus Sicht der empfangenden Systeme: legitimer Code, legitime Herkunft, legitime Ausführung.
Die abgegriffenen AWS-API-Schlüssel ermöglichten anschließend Zugang zu Cloud-Ressourcen. Das ist der Clou an diesem Angriffstyp: Nach dem initialen Einschleusen braucht es keine weiteren Exploits. Gültige Credentials tun den Rest.
Warum fiel das nicht früher auf? Drei Muster, die sich bei solchen Vorfällen regelmäßig zeigen: Erstens, mangelnde Überprüfung von Build-Artefakten auf Integrität (Code Signing, SBOM-Validierung). Zweitens, zu weit gefasste IAM-Berechtigungen für AWS-Keys – minimale Rechtevergabe hätte den Radius begrenzt. Drittens, fehlende Laufzeit-Überwachung in CI/CD-Umgebungen, die abnormale Datenübertragungen hätte signalisieren können. Der CSOC der Kommission entdeckte den abnormalen Traffic am 24. März – aber da war die Exfiltration bereits im Gange.
Wer Trivy oder vergleichbare Open-Source-Security-Tools in eigenen Pipelines einsetzt, sollte folgende Schritte prüfen. Das gilt für Behörden, aber ebenso für Unternehmen mit ähnlicher CI/CD-Architektur:
Wenig überraschend: Diese Maßnahmen sind nicht neu. Sie stehen in jedem Sicherheits-Framework. Was neu ist: Der Beweis, dass ohne ihre konsequente Umsetzung selbst eine der am stärksten überwachten IT-Umgebungen Europas kompromittierbar ist.
So berechtigt die Kritik an fehlender Supply-Chain-Governance ist – es lohnt sich, auch die Gegenargumente zu hören. Erstens: Open-Source-Software wie Trivy wird von einer aktiven Community gepflegt und ist in der Regel transparenter als proprietäre Alternativen. Der Quellcode ist einsehbar, Schwachstellen können prinzipiell von jedem gemeldet werden. Das Problem war hier nicht das Tool selbst, sondern die unkritische Integration in Build-Pipelines ohne begleitende Kontrollmechanismen.
Zweitens: Die Vorstellung, dass proprietäre Behördensoftware sicherer wäre, ist ebenfalls nicht belegt. Vendor-Lock-in bei geschlossenen Systemen erzeugt andere, oft schwerer sichtbare Risiken. Die Frage ist nicht Open-Source versus proprietär – die Frage ist, welche Verifikationsprozesse rund um jede Softwarekomponente etabliert sind, unabhängig von ihrer Lizenz.
Drittens: Manche IT-Sicherheitsexperten weisen darauf hin, dass zu strikte Pipeline-Kontrollen die Entwicklungsgeschwindigkeit in Behörden weiter verlangsamen würden – und dass ohnehin viele Institutionen nicht die personellen Kapazitäten haben, um SBOM-Validierung und Code-Signing-Prozesse durchgehend zu operationalisieren. Das ist ein reales Ressourcenproblem, das durch Regulierung allein nicht gelöst wird. CERT-EU kann koordinieren und beraten – aber keine Entwicklerteams ersetzen.
Dieser Einwand verdient ernst genommen zu werden. Er ändert jedoch nichts an der grundlegenden Bewertung: Wenn kritische Infrastruktur – auch wenn sie formaljuristisch nicht so bezeichnet wird – über unkontrollierte Softwarelieferketten kompromittierbar ist, ist das ein strukturelles Risiko, das adressiert werden muss. Ressourcenmangel ist eine Erklärung, keine Entschuldigung.
Jenseits der unmittelbaren forensischen Aufarbeitung ergeben sich aus dem Trivy-Vorfall mehrere längerfristige Konsequenzen, die in der aktuellen Berichterstattung oft zu kurz kommen.
91,7 GB komprimierter Daten bedeuten im Klartext: interne Kommunikation aus dem Europäischen Parlament, aus dem Rat der EU, aus dem Auswärtigen Dienst. Selbst wenn keine unmittelbar klassifizierten Dokumente betroffen waren – was noch nicht abschließend geklärt ist –, sind Metadaten, Personalinformationen und Verwaltungsvorgänge in fremden Händen eine dauerhafte Hypothek. Wer weiß, welche Verhandlungspositionen, Personalentscheidungen oder internen Debatten in diesem Datensatz stecken? Die geopolitischen Folgen eines solchen Informationsverlusts lassen sich nicht in Gigabyte messen.
Viele der 71 betroffenen Institutionen arbeiten mit externen IT-Dienstleistern zusammen, die ihrerseits Zugang zu EU-Systemen haben. Ein kompromittierter AWS-Key kann lateral in Systeme eingedrungen sein, die formal nicht zur ursprünglichen Angriffsfläche gehörten. Die Forensik von CERT-EU muss daher weit über die unmittelbar identifizierten 71 Einrichtungen hinausschauen. Praxis-Szenario: Ein kleines Beratungsunternehmen, das eine EU-Agentur mit DevOps-Dienstleistungen unterstützt und dieselbe Trivy-Pipeline nutzt, könnte ebenfalls kompromittiert sein – ohne das bisher zu wissen.
Dieser Vorfall wird mit hoher Wahrscheinlichkeit die Diskussion über erweiterte Befugnisse für CERT-EU beschleunigen. Derzeit agiert CERT-EU primär koordinierend und beratend – es fehlen Durchsetzungsbefugnisse, wie sie etwa nationale CERTs in einigen Mitgliedstaaten kennen. Die Frage, ob CERT-EU künftig proaktiv Audits in EU-Institutionen durchführen darf, statt erst nach einem Vorfall einzuschreiten, wird politisch neu bewertet werden müssen. ENISA, die EU-Agentur für Cybersicherheit, dürfte ebenfalls eine aktivere Rolle in der Standardsetzung für Behördensoftware einfordern.
Ich sage es direkt: Der Trivy-Vorfall ist kein Versagen eines einzelnen Tools oder einer einzelnen Behörde. Er ist ein Systemversagen in der Art, wie EU-Institutionen Open-Source-Software in ihre Sicherheitsinfrastruktur integrieren – ohne die Lieferkette systematisch zu prüfen. 71 betroffene Einrichtungen. 350 GB exfiltrierte Daten. Politisch sensible Kommunikation auf dem Darknet. Das ist kein Randproblem.
Der Clou an der gesamten Situation: Die EU arbeitet parallel an einem der ambitioniertesten Cybersicherheitsrahmenwerke der Welt – CRA, NIS2, DORA im Finanzsektor – und erlebt gleichzeitig, dass ihre eigene Behördensoftware über einen Open-Source-Scanner ausgehebelt wird. Das ist keine Kritik an der Regulierung. Es ist ein Hinweis darauf, dass Regulierung und operative Umsetzung zwei verschiedene Uhren laufen – und diese Uhren derzeit nicht synchronisiert sind.
Ob die DSGVO-72-Stunden-Meldepflicht eingehalten wurde, klärt der EDPS. Ob personenbezogene Bürgerdaten wirklich abgeflossen sind, ist noch offen. Ob CERT-EU künftig mehr formale Befugnisse bekommt, um proaktiver agieren zu können – das ist die Frage, die nach diesem Vorfall eigentlich auf den Tisch gehört.
CERT-EU koordiniert weiter, die Forensik läuft, der EDPS prüft. Aqua Security hat nach Bekanntwerden reagiert. Die Kommission betont, Kernsysteme seien nicht gefährdet – was stimmt, aber den Schaden durch exfiltrierte Kommunikation und Personaldaten nicht relativiert. Supply-Chain-Angriffe auf kritische Infrastruktur und Behördensoftware sind kein theoretisches Risiko mehr. Sie sind Realität – mit 350-GB-Beweis.
Was bleibt: die Frage, ob die EU bis 2027 die regulatorische Lücke zwischen CRA-Versprechen und operativer Realität schließen kann – oder ob der nächste Vorfall dieser Größenordnung wieder den Unterschied zwischen Papier und Praxis demonstriert. Wann haben Sie zuletzt Ihre eigene CI/CD-Pipeline auf kompromittierte Abhängigkeiten geprüft?
Relevant bleibt in diesem Zusammenhang auch Report Cybersicherheit Europa 2025, weil der Beitrag zusätzliche Hintergründe und praktische Folgen beleuchtet.
Relevant bleibt in diesem Zusammenhang auch Cpanel Schwachstelle Bits H Nr 2026 246817 1032, weil der Beitrag zusätzliche Hintergründe und praktische Folgen beleuchtet.
