Zusammenfassung

  • Connor Riley Moucka bekannte sich wegen Computerbetrugs, Drahtbetrugs, schweren Identitätsdiebstahls und einer verbundenen Verschwörung für eine Kampagne von Februar bis Oktober 2024 schuldig.
  • Nach Angaben des US-Justizministeriums öffneten gestohlene Zugangsdaten Cloud-Daten von mindestens 165 Kunden eines nicht genannten amerikanischen SaaS-Unternehmens.
  • Die Täter entwendeten Milliarden Datensätze und Terabytes an Informationen; die betroffenen Unternehmen betreuten mindestens 100 Millionen Menschen.
  • Lösegeldzahlungen überstiegen 2,5 Millionen Dollar, Moucka erhielt persönlich mindestens 495.000 Dollar, und die Opferunternehmen verbuchten mehr als 9,5 Millionen Dollar direkten Schaden.
  • Mandiant ordnete eine Kampagne gegen etwa 165 Organisationen Snowflake-Kundeninstanzen zu, fand aber keinen Beleg für eine Verletzung von Snowflakes Unternehmensumgebung.
  • Die Strafzumessung ist für den 27. Oktober 2026 angesetzt; Datenverbleib, Opferbehebung und Identitätskontrollen jedes Kunden bleiben offen.

Die öffentliche Verbindung darf die ungenannte Firma nicht umbenennen

Das Justizministerium bezeichnet den SaaS-Anbieter nicht. Seine Mitteilung nennt weder Snowflake noch eine Softwarelücke oder den Einbruch in ein Unternehmensnetz des Anbieters. Diese Grenze ist nicht kosmetisch: Eine belastbare Analyse muss kenntlich machen, welche Quelle den Namen liefert.

Mandiant berichtete im Juni 2024, gemeinsam mit Snowflake rund 165 potenziell exponierte Organisationen benachrichtigt zu haben. Zeitraum, Kundenzahl, Zugangsmethode und Datenarten überschneiden sich eng mit Mouckas eingeräumter Verschwörung. Damit ist Snowflake für die Betriebsebene relevant. Es bleibt jedoch falsch, die Firma als ausdrückliche Feststellung des Justizministeriums auszugeben.

Das Geständnis ändert den Status einer Person

Vier Tatbestände sind von Moucka anerkannt. Für sein Verhalten ist die Sprache einer bloßen Anschuldigung nicht mehr angemessen. Die Wirkung bleibt dennoch individuell. Sie entscheidet keine offene Verantwortung eines anderen Beteiligten und bestätigt nicht automatisch jede öffentliche Zuschreibung zum Aktivitätscluster UNC5537.

Am 27. Oktober entscheidet der Richter über die Strafe. Für schweren Identitätsdiebstahl gilt eine Mindeststrafe von zwei Jahren; bei den übrigen Tatbeständen sind bis zu 30 Jahre möglich. Ein Höchstmaß ist keine Prognose. Auch Rückzahlung, Einziehung und endgültige Schadensverteilung sind noch nicht abgeschlossen.

Der Durchgang lag an der Kundenidentität

Mandiant führte jeden von ihm bearbeiteten Vorfall auf kompromittierte Kundenzugangsdaten zurück. Sie stammten überwiegend aus Infostealer-Infektionen auf Systemen außerhalb Snowflakes. Mindestens 79,7% der verwendeten Konten waren zuvor exponiert; die älteste beobachtete relevante Infektion datierte aus November 2020.

Drei Lücken wirkten zusammen: keine Mehrfaktor-Authentifizierung, jahrelang gültige Passwörter und fehlende Netzwerk-Positivlisten. Ein anderswo gestohlenes Geheimnis blieb somit eine gültige Berechtigung zu aktuellen Daten. Der Begriff „Cloud-Hack“ verschleiert diese konkret steuerbare Grenze.

Die großen Zahlen gehören in getrennte Spalten

165 misst Kundenorganisationen, Milliarden misst Datensätze, 100 Millionen misst Kunden der betroffenen Firmen. Mehr als 2,5 Millionen Dollar sind eingenommene Lösegelder der Verschwörung, mindestens 495.000 Dollar Mouckas eigener Anteil und mehr als 9,5 Millionen Dollar direkte Firmenverluste, ausdrücklich ohne Verluste ihrer Kunden.

Eine einzige Opferzahl würde Mehrfachdatensätze, Datenhalter und betroffene Personen vermischen. Eine Organisation kann Millionen Datensätze verwalten; ein Mensch kann vielfach vorkommen. SaaS-Anbieter, Mandant, Datensubjekt und Versicherer tragen unterschiedliche Kosten. Auch deshalb ist nicht jeder Schaden Snowflakes eigener Schaden.

Ein altes Passwort blieb ein handelbarer Vermögenswert

Infostealer-Protokolle verlieren ihren Wert nicht mit dem Infektionstag. Bleibt das Passwort aktiv und fehlt ein zweiter Faktor, kann eine Liste Jahre später billig getestet werden. Wenige Treffer reichen, wenn dahinter exportierbare Datenbanken liegen. So entsteht aus historischen Kompromittierungen ein aktuelles Erpressungsmodell.

Abwehr muss daher Lecküberwachung, sofortige Sperrung, Sitzungswiderruf, phishingresistente MFA, Inventarisierung von Dienst- und Auftragnehmerkonten, Netzbegrenzung und Alarmierung großer Abfragen verbinden. Ein weiteres Erkennungsprodukt kann einen bekannten, weiterhin akzeptierten Zugang nicht ausgleichen.

Geteilte Verantwortung braucht gemeinsame Messwerte

Der Anbieter stellt Authentifizierung, Protokolle und Einschränkungen bereit. Der Kunde vergibt Rechte, verwaltet Ausnahmen und reagiert. Identitätsanbieter und Auftragnehmer schaffen zusätzliche Grenzen. Jede Partei kann ihre Funktion als vorhanden melden, obwohl einzelne Konten nicht erfasst sind.

Prüfbar sind der MFA-Anteil menschlicher und technischer Konten, überalterte Geheimnisse, aus dem Internet erreichbare Privilegien, Zeit vom Leckhinweis bis zur Sperre, Export-Schwellen und vollständig geschlossene Zugänge ausgeschiedener Auftragnehmer. Eine Option im Produkt ist noch keine flächendeckende Kontrolle.

Strafrechtliche Schließung löscht keine Datenkopie

Das Geständnis erklärt Zugang, Diebstahl und Erpressung. Es zeigt nicht, ob alle Kopien gelöscht, Weiterverkäufe beendet, Betroffene informiert oder sämtliche Kundenkonfigurationen korrigiert wurden. Auch Schäden der mindestens 100 Millionen Endkunden fehlen im ausgewiesenen Firmenverlust.

Der Fall hat daher zwei Endpunkte. Der juristische führt über Strafmaß und Wiedergutmachung. Der operative ist erst erreicht, wenn historische Zugangsdaten nicht mehr genügen und massenhafter Export vor Abschluss auffällt. Das eine kann das andere nicht bescheinigen.

Quellen