Wenn Ihre Mitarbeitenden auf dem Firmenrechner nach Jobs suchen oder neue Software ausprobieren, ist das genau der Weg, über den der größte Diebstahl der Kryptogeschichte lief. Am 3. November 2026 veröffentlichte Binance seine vorläufigen Ergebnisse: Der Angriff, der am 29. Oktober rund 6,34 Milliarden Dollar traf, begann mit zwei gefälschten Vorstellungsgesprächen mit einem Ingenieur und endete mit einem Programmiertest, den er auf seinen Firmenlaptop lud. Die praktische Lehre für Ihr Unternehmen: keine Dateien externer Recruiter auf Firmengeräten, keine Software außerhalb einer freigegebenen Liste und keine Rechte, die über die Aufgabe hinausgehen. Am 31. Oktober schrieben wir darüber, wer das Geld Ihres Unternehmens ohne Ihre Freigabe bewegen kann; dieser Artikel handelt von der Tür, durch die der Angreifer hereinkam.
Was ist Schritt für Schritt passiert?
Laut der Darstellung von Binance zur vorläufigen Untersuchung verlief der Angriff in vier Etappen:
- Juni 2026: Ein Ingenieur aus dem Wallet-Team suchte ein KI-Programmierwerkzeug und lud einen manipulierten Homebrew-Installer mit Schadsoftware herunter. Das Sicherheitsteam entdeckte ihn, tauschte das Gerät aus und erneuerte seine Zugangsdaten, doch Informationen über ihn und seine Teamkollegen waren bereits abgeflossen.
- September 2026: Jemand, der sich als Projektleiter ausgab, kontaktierte einen zweiten Ingenieur über eine Jobplattform und führte zwei Gespräche: einen Videoanruf mit einer angeblichen HR-Mitarbeiterin und dann eines mit einer Person, die sich als CEO eines fiktiven Unternehmens ausgab. Im zweiten Gespräch sollte er eine Programmieraufgabe auf seinen Firmenrechner laden; der Schadcode lief bei der Einrichtung, und die Endpoint-Werkzeuge erkannten ihn nicht.
- 20. Oktober 2026: Der Angreifer nutzte den kompromittierten Rechner und ein internes KI-Werkzeug von Binance, um die Kontrolle über die Rechner zweier weiterer Ingenieure zu übernehmen.
- 29. Oktober 2026: Zwischen 17:15 und 19:56 Uhr UTC griff der Angreifer mit den Zugangsdaten des ersten Ingenieurs auf den Rechner des dritten zu, stellte einen Container bereit und startete ein bösartiges Skript; die Überweisungen aus den Hot Wallets folgten zwischen 20:05 und 20:09 Uhr.
Binance gibt an, dass rund 2,85 Milliarden Dollar eingefroren oder abgefangen wurden, dass bis zum 31. Oktober 98 % der betroffenen Vermögenswerte wieder aufgefüllt waren und dass das Unternehmen 2026 insgesamt 57 mutmaßlich nordkoreanische Bedrohungsfälle erkannt und abgewehrt hat. Die Börse wehrte also Dutzende Versuche ab und fiel dann auf einen herein.
Warum funktionierte das gefälschte Gespräch?
Weil es nicht im Geringsten wie eine Phishing-Mail aussieht. Der Mitarbeiter klickte nicht auf einen verdächtigen Link eines unbekannten Absenders, sondern trat in ein Bewerbungsverfahren ein, das echt wirkte: eine bekannte Plattform, ein Videointerview, eine HR-Mitarbeiterin, die Inhalte aus ihrem privaten Konto teilte, um Vertrauen aufzubauen, und dann ein CEO. Ein Projekt herunterzuladen und auszuführen gehört zu normalen Entwicklertests, daher fiel die Bitte nicht auf.
Die Taktik ist nicht neu. TechCrunch verweist auf einen Bericht von CrowdStrike, der etwa die Hälfte der Einbrüche bei US-Technologieunternehmen im vergangenen Jahr Nordkoreanern zuschrieb, die sich als Remote-IT-Kräfte oder Recruiter ausgaben. Ziel sind nicht nur Kryptobörsen, sondern alle, die Zugriff auf Systeme oder Geld haben.
Die zweite Lücke: Software aus den Suchergebnissen
Die Geschichte begann nicht mit dem Gespräch. Drei Monate zuvor installierte ein anderer Ingenieur manipulierte Software, als er nach einem KI-Werkzeug suchte. Das passiert in vielen Unternehmen jeden Tag: Jemand hört von einem neuen Tool, sucht danach, klickt auf das erste Ergebnis und installiert es mit Administratorrechten. Die wichtigere Lehre: Binance tauschte das Gerät aus und änderte die Passwörter, doch die bereits abgeflossenen Informationen über das Team blieben beim Angreifer, der sie Monate später nutzte.
6 Regeln für die Geräte Ihrer Mitarbeitenden – noch diese Woche
- Keine externen Bewerbungsdateien auf Firmengeräten: Jeder Test, jedes Projekt und jede Datei von Dritten wird auf einem separaten Rechner ohne Zugang zu den Firmensystemen geöffnet. Das entspricht dem Rat der von TechTarget zitierten Experten: Interview-Code von jedem Rechner in der Nähe der Produktion fernhalten.
- Software nur von einer freigegebenen Liste: Entziehen Sie den Mitarbeitenden lokale Administratorrechte und lassen Sie Installationen über Ihre IT-Verantwortlichen laufen, von der offiziellen Website des Herstellers, nicht über eine Anzeige in den Suchergebnissen.
- Minimale Rechte: Wer Geld bewegen oder sensible Systeme ändern kann, tut das über ein eigenes Konto und ein eigenes Gerät, nicht über den Rechner, auf dem er surft und Tools testet.
- Enge Rechte für interne KI-Werkzeuge: Bei Binance war ein internes KI-Werkzeug die Brücke zwischen den Geräten. Jedes Tool, das Mitarbeitergeräte oder Ihre Systeme erreicht, braucht eng gefasste Rechte und ein Protokoll über alles, was es tut.
- Die Entdeckung ist nicht das Ende des Vorfalls: Wird ein Gerät kompromittiert, reicht der Austausch nicht. Gehen Sie davon aus, dass sein Inhalt abgeflossen ist, erneuern Sie alle Passwörter, Schlüssel und Tokens, die mit ihm und seinem Team verbunden sind, und überwachen Sie die Konten der Kollegen.
- Schulen Sie Ihr Team zu Phishing über Jobangebote: Ein verlockendes Angebot, das das Herunterladen einer Datei oder das Ausführen von Code verlangt, ist ein Warnsignal, und wer vom Firmengerät aus Jobs sucht, gefährdet das ganze Unternehmen. Wenn Sie remote einstellen, prüfen Sie die Identität der Bewerber, bevor Sie irgendeinen Zugang gewähren.
Was sagen die Essential Cybersecurity Controls?
Die Essential Cybersecurity Controls ECC-2:2024 der saudischen Nationalen Cybersicherheitsbehörde (NCA) sind verpflichtend für Behörden und für Einrichtungen, die kritische nationale Infrastruktur besitzen, betreiben oder hosten, und die NCA empfiehlt allen anderen Einrichtungen ausdrücklich, sie zu nutzen. Drei davon decken diesen Vorfall direkt ab:
- Kontrolle 1-10-3: Das Sensibilisierungsprogramm umfasst den sicheren Umgang mit E-Mail und Phishing, das Surfen im Internet und die Nutzung sozialer Medien.
- Kontrolle 2-2-3-3: Berechtigungen nach dem Need-to-know- und Need-to-use-Prinzip, dem Prinzip der minimalen Rechte und der Funktionstrennung.
- Kontrolle 2-3-3-1: Schutz von Arbeitsplatzrechnern und Servern vor Viren, verdächtigen Programmen und Schadsoftware mit modernen Technologien.
Die Sicht von Origami
In saudischen Unternehmen sehen wir dasselbe Muster, das Binance zu Fall brachte: ein einziges Gerät, das die Mitarbeitenden zum Arbeiten, Surfen, für die Jobsuche und zum Testen jedes neuen Tools nutzen, mit vollen Administratorrechten, weil es bequemer ist. Ein Angreifer braucht keinen ausgeklügelten Exploit, wenn der Mitarbeiter die Datei selbst ausführt.
Die Lösung ist nicht, Mitarbeitenden das Lernen oder Testen von KI-Werkzeugen zu verbieten, sondern sie dort testen zu lassen, wo weder Geld noch Daten erreichbar sind. Wenn wir Systeme für Kunden bauen, trennen wir von Anfang an Konten für den Alltag von privilegierten Konten und protokollieren jeden Zugriff darauf.
Fazit
Ein Einbruch über 6,34 Milliarden Dollar begann nicht mit einer Serverlücke, sondern mit einem Vorstellungsgespräch und einer App aus der Suche. Nehmen Sie sich diese Woche eine Stunde mit Ihren IT-Verantwortlichen: Entziehen Sie lokale Administratorrechte, schreiben Sie die Liste freigegebener Software, trennen Sie Geräte mit sensiblen Zugriffen und sagen Sie Ihrem Team, dass keine Datei eines Recruiters auf einem Firmengerät geöffnet wird. Wenn Sie eine Prüfung der Berechtigungen in Ihren Systemen wünschen, kontaktieren Sie uns oder sehen Sie sich unsere Leistungen an.
Quellen
- Binance — Security incident investigation update, 3. November 2026: der Ablauf von Juni, September, 20. und 29. Oktober, die zwei Gespräche, eingefrorene und wieder aufgefüllte Beträge sowie die 57 Bedrohungsfälle.
- Nationale Cybersicherheitsbehörde (NCA) — Essential Cybersecurity Controls ECC-2:2024: Geltungsbereich und Kontrollen 1-10-3, 2-2-3-3 und 2-3-3-1.
- TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist, 3. November 2026: die CrowdStrike-Zahl und frühere Warnungen.
- TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach, 3. November 2026: Expertenrat zu Entwicklergeräten.
- Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion, November 2026: die Zuordnung zu Nordkorea durch das FBI.
Häufige Fragen
Unser Unternehmen hat nichts mit Krypto zu tun. Betrifft uns der Binance-Hack?
Ja, denn der Angriff zielte nicht auf etwas Kryptospezifisches, sondern auf einen Mitarbeiter mit Zugriffsrechten. Ein gefälschtes Vorstellungsgespräch und manipulierte Software aus den Suchergebnissen können jedes Unternehmen kompromittieren, in dem jemand auf das Bankportal, die Buchhaltung oder Kundendaten zugreift.
Woran erkennen meine Mitarbeitenden ein gefälschtes Jobangebot?
Das deutlichste Zeichen ist die Bitte, eine Datei oder ein Projekt auf dem eigenen Gerät herunterzuladen und auszuführen, besonders nach schnellen Gesprächen mit einem Unternehmen, über das sich keine verlässlichen Informationen finden. Auch wenn ein Angebot echt wirkt, gilt dieselbe Regel: Keine Datei eines Recruiters wird auf einem Firmengerät geöffnet.
Reicht ein Virenschutzprogramm, um so einen Angriff zu stoppen?
Nein. Im Fall Binance lief der Schadcode, ohne dass die Schutzwerkzeuge ihn erkannten. Schutzsoftware ist eine Ebene; dazu gehören entzogene lokale Administratorrechte, eine Liste freigegebener Software und Geräte mit sensiblen Zugriffen, die von Geräten zum Surfen getrennt sind.
Sind die Essential Cybersecurity Controls der NCA für mein privates Unternehmen verpflichtend?
Sie sind verpflichtend für Behörden und für Einrichtungen, die kritische nationale Infrastruktur besitzen, betreiben oder hosten. Allen anderen Unternehmen empfiehlt die Nationale Cybersicherheitsbehörde ausdrücklich, sie zu nutzen, und ihre Kontrollen zu Sensibilisierung, Zugriffen und Geräteschutz bilden eine fertige Prüfliste.
