Wenn die Grenze nicht dir gehört: Der Einbruch bei Hertz legt tiefe Schwachstellen in der von Anbietern gesteuerten Cybersicherheit offen
Oberflächlich betrachtet schien der Einbruch Routine zu sein – ein Problem mit einem Anbieter, ein Benachrichtigungsschreiben, ein Paket mit Identitätsüberwachungsdiensten für betroffene Kunden. Doch unter dem vertrauten Ablauf der Offenlegung von Datenvorfällen in Unternehmen verbirgt sich eine komplexere – und weitaus beunruhigendere – Geschichte. Anfang 2025 wurden die Hertz Corporation und ihre Tochtergesellschaften Dollar und Thrifty zum jüngsten Opfer einer wachsenden Welle hochqualifizierter Angriffe auf die Lieferkette. Diesmal lag die Schwäche nicht intern. Sie kam von außerhalb der Mauern.
Was sich entfaltete, war nicht nur eine Datenpanne – es war eine stille Enthüllung systemischer Schwachstellen, ausgelöst durch einen Fehltritt eines vertrauenswürdigen Anbieters und beschleunigt durch Angreifer, die in den blinden Flecken der herkömmlichen Cybersicherheit agierten.
Der Einbruch, den niemand kommen sah – bis es zu spät war
Die Verwicklung von Hertz begann durch Cleo Communications US, LLC, einem Drittanbieter, der Enterprise-File-Transfer-Dienste anbietet. Im Oktober und Dezember 2024 nutzten raffinierte Angreifer bisher unbekannte Schwachstellen in der Cleo-Plattform aus. Dies waren keine fahrlässigen Fehler oder versäumten Updates – es waren Fehler, von denen niemand wusste, dass sie existieren, bis sie als Waffen eingesetzt wurden.
Bis zum 10. Februar 2025 bestätigte Hertz, dass Daten von Kunden – über seine Flaggschiff- und Submarken hinweg – unbefugt abgerufen worden waren. Die abschließende Untersuchung, die am 2. April abgeschlossen wurde, zeigte ein erschreckendes Ausmaß: Namen, Kontaktinformationen, Kreditkartendaten, Führerscheine und in einigen Fällen hochsensible Kennungen wie Sozialversicherungsnummern und Details zu Ansprüchen auf Arbeiterunfallentschädigung.
Für viele Analysten war es nicht das Ausmaß des Einbruchs, das Alarm auslöste, sondern die Methode. „Zero-Days, die Drittanbieter-Plattformen treffen, sind der Ort, an dem die Datenkriege von morgen ausgetragen werden“, bemerkte ein Branchenexperte, der mit der Reaktion auf Vorfälle in Fortune-500-Unternehmen vertraut ist. „Dies war kein Versagen des Patchens. Es war ein Versagen der Sichtbarkeit.“
Ein hochfeiner Angriff in einer Umgebung mit geringer Sichtbarkeit
Hinter dem Vorhang: Technische Analyse
Die Ermittler kamen zu dem Schluss, dass Angreifer Schwachstellen in Remote-Diensten ausnutzten und sich so privilegierten Zugriff auf das von Cleo bereitgestellte File-Transfer-System verschafften. Einmal im Inneren, nutzten sie die Vertrauensbeziehungen, um in die Datenströme von Hertz einzudringen. Die Taktiken ähneln stark den Verhaltensweisen von Advanced Persistent Threats – Verwendung unbekannter Exploits, langsame und unauffällige Datenexfiltration und sorgfältige Vermeidung von Stolperdrähten.
Hertz war nicht allein mit dem Vertrauen in die Tools von Cleo. Aber in diesem Fall erwies sich die mangelnde Segmentierung zwischen dem Zugriff des Anbieters und den sensiblen Daten als fatal.
„Es gab ein Potenzial für laterale Bewegungen, das einfach nicht hätte existieren dürfen“, sagte ein anderer Analyst. „Dies war nicht nur ein technischer Exploit – es war ein Konstruktionsfehler.“
MITRE ATT&CK-Techniken wie T1190 (Ausnutzung von Remote-Diensten) dürften hier zur Anwendung kommen, was die ausgeklügelte Vorgehensweise unterstreicht.
Persönliche, finanzielle und rufschädigende Folgen
Der Welleneffekt von Daten in den falschen Händen
Auf menschlicher Ebene sind die Auswirkungen intim. Für die Betroffenen leben ihre Informationen nun in unvertrauenswürdigen Händen, mit unbekannten Folgen. Hertz handelte schnell – bot Identitätsüberwachung an, benachrichtigte die Aufsichtsbehörden und holte externe Forensiker hinzu. Aber das lässt sich nicht mehr rückgängig machen.
Ein kleiner Teil der Personen hatte von der Regierung ausgestellte Ausweise oder Reisepassnummern offengelegt. Obwohl Hertz erklärte, dass es derzeit keine Beweise für Betrug gebe, bedeutet die Latenz eines solchen Datenmissbrauchs, dass Risiken erst Monate oder sogar Jahre später auftreten können.
Auf der Unternehmensseite schnitt der Einbruch tiefer ein.
- Finanziell: Rechtliche Verpflichtungen und Reaktionskosten sind nur der Anfang. Es können Sammelklagen folgen. Die Aufsichtsbehörden könnten Bußgelder verhängen, wenn festgestellt wird, dass die Datenschutzgesetze nicht eingehalten werden.
- Operativ: Die Neupriorisierung des Lieferantenmanagements, der IT-Audits und der Incident-Protokolle – allesamt mitten im Zyklus – werden die Ressourcen wahrscheinlich belasten.
- Reputationsschaden: Die vielleicht teuerste verlorene Währung war das Vertrauen. „Kunden erwarten von Marken wie Hertz, dass sie ihre Daten schützen. Nur wenige kennen – oder kümmern sich um – den Anbieter hinter dem Vorhang“, sagte ein Compliance-Berater, der börsennotierte Unternehmen berät.
Die Krisenreaktion von Hertz: Schnell, aber war sie ausreichend?
Transparenz, Behebung – und die Uhr
Nachdem der Einbruch bestätigt worden war, handelte Hertz mit Dringlichkeit. Die Untersuchung dauerte weniger als zwei Monate – ein beeindruckend kurzer Zeitraum angesichts der Art des Einbruchs. Betroffene Personen wurden informiert und Überwachungsdienste aktiviert.
Die Verzögerung zwischen der ersten Ausnutzung (bereits im Oktober 2024) und der Bestätigung (Februar 2025) hat jedoch Kritik hervorgerufen.
Während Experten die Transparenz der Reaktion des Unternehmens weitgehend loben, bleiben Fragen offen. „Die rasche Behebung war beeindruckend, aber wie lange wurden Daten abgezogen, bevor sie entdeckt wurden?“, fragte ein Sicherheitsanalyst. „Und was sagt das über die Echtzeit-Sichtbarkeit über den Anbieter-Stack hinweg aus?“
Trotz eines hohen Vertrauens in die sofortigen Maßnahmen von Hertz hängt die langfristige Sicherheit von tiefergreifenden Reformen in der Lieferantenaufsicht ab.
Das Gesamtbild: Strategische Erkenntnisse aus dem Hertz-Einbruch
Eine Warnung für anbieterlastige Unternehmen
Dieser Vorfall ist mehr als nur eine Fußnote in den Annalen der Einbrüche – er ist eine Fallstudie über modernes Cyberrisiko.
- Ursache: Nicht Fahrlässigkeit, sondern übermäßiges Vertrauen. Das Hauptversagen lag nicht im internen Netzwerk von Hertz, sondern darin, nicht zu antizipieren, dass sein Anbieter das schwächste Glied sein könnte.
- Branchenweite Auswirkungen: Jede Organisation, die Drittanbieterplattformen für die Datenbewegung – oder alles, was damit zusammenhängt – nutzt, sollte alarmiert sein.
- Aufkommendes Muster: Dieser Einbruch ist ein Beispiel für eine wachsende Klasse von Cyberangriffen, die auf das digitale Skelett der Lieferkette abzielen. Zero-Day-Exploits in Anbieter-Tools werden als gegnerischer Trend weiter zunehmen.
Tatsächlich erwarten Sicherheitsexperten mehr Einbrüche, die von solchen Plattformen ausgehen – nicht weil die Anbieter von Natur aus unsicher sind, sondern weil Angreifer gezielt dorthin gehen, wo die Abwehrmaßnahmen ausgelagert und gestreut sind.
Marktinformationen: Das Investitionsumfeld nach dem Einbruch
Risikoneubewertung und Sektorverschiebungen
Der Vorfall löste in der Investorengemeinschaft sofortiges Zittern aus. Es wird erwartet, dass die Aktien von Hertz, die bereits volatil sind, kurzfristig um 10–15 % sinken werden, was auf eine Rufschädigung und einen regulatorischen Überhang zurückzuführen ist. Aber die Auswirkungen gehen über ein einzelnes Börsenkürzel hinaus.
- Cybersicherheitsfirmen: Es wird erwartet, dass Anbieter von Zero-Trust-Architekturen, Vendor-Risk-Plattformen und Echtzeit-Anomalieerkennung von der Neukalibrierung des Marktes profitieren werden.
- Legacy-Unternehmen: Unternehmen mit einer sichtbaren Abhängigkeit von IT-Plattformen Dritter können bei institutionellen Investoren ein De-Risking erfahren, bis sie eine verstärkte Aufsicht nachweisen.
- Versicherungsprämien: Der Cyberversicherungsmarkt – der sich bereits zuspitzt – wird die Risiken für Unternehmen, die kritische Datenoperationen auslagern, wahrscheinlich neu bewerten.
Längerfristig glauben einige, dass der Markt proaktive Unternehmen belohnen könnte. „Wenn Hertz dies nutzt, um seine digitale Haltung neu zu definieren und zu stärken, könnte sich hier eine konträre Gelegenheit ergeben“, bemerkte ein Portfoliomanager, der Mobilitäts- und Infrastrukturaktien verfolgt.
Wichtige Empfehlungen: Was sich ändern muss
- Anbieterbeziehungen neu definieren: Es reicht nicht aus, zu vertrauen – Organisationen müssen kontinuierlich verifizieren. Das bedeutet Audits, Red-Teaming und vertragliche Verpflichtungen, die an Cybersicherheitsmetriken gebunden sind.
- Zero Trust ist nicht verhandelbar: Segmentierung, minimale Berechtigungen und ständige Authentifizierung sollten gleichermaßen für Anbieter und Mitarbeiter gelten.
- Auf das Unbekannte vorbereiten: Zero-Days werden nie verschwinden. Aber die auf Verhaltensanomalien und File-Transfer-Analysen abgestimmte Bedrohungserkennung kann Symptome schneller erkennen.
- In Post-Mortems investieren: Jeder Einbruch sollte zu einem lebendigen Dokument mit gewonnenen Erkenntnissen führen, das im gesamten Unternehmen geteilt wird.
- Sicherheit auf die C-Suite-Ebene heben: Cyberrisiko ist nicht nur ein IT-Problem – es ist ein Problem des Vorstands. Jedes strategische Gespräch beinhaltet jetzt digitale Resilienz.
Der Weg nach vorn: Angriffe auf die Lieferkette sind die neue Normalität
Der Einbruch bei Hertz ist weder einzigartig noch endgültig. Er ist bezeichnend für ein Ökosystem, in dem digitale Grenzen nicht mehr mit Unternehmensmauern übereinstimmen. Mit der Digitalisierung der Lieferketten haben die Gegner ihre Taktiken geändert. Anstatt durch Vordertüren einzubrechen, betreten sie nun durch vertrauenswürdige Fenster, die einen Spalt offen stehen.