Ein Supply-Chain-Angriff ist ein Angriff, bei dem Kriminelle nicht das eigentliche Ziel direkt attackieren, sondern einen vertrauenswürdigen Zulieferer oder Softwarehersteller kompromittieren, um über dessen legitime Updates Schadcode zu verbreiten. Stand 2026, auch fast zehn Jahre später, bleibt der CCleaner-Fall lehrreich, weil er Supply-Chain-Angriffe auf breiter Basis bekannt machte und die Annahme erschütterte, signierte Software sei per se vertrauenswürdig. Im September 2017 wurde bekannt, dass Angreifer eine zweistufige Backdoor direkt in die offizielle CCleaner-Version 5.33 eingeschleust hatten. Die manipulierte Software wurde über die offiziellen Piriform-Server verteilt und befand sich seit dem 15. August 2017 im Umlauf.

Was passiert ist

Die Angreifer kompromittierten die Produktionsinfrastruktur von Piriform (Hersteller von CCleaner) und modifizierten den Code der 32-Bit-Version direkt. Das Ergebnis war eine offizielle, gültig signierte Installationsdatei, die eine versteckte Backdoor enthielt.

Betroffene Versionen:

CCleaner 32-Bit, Version 5.33.6162
CCleaner Cloud, Version 1.07.3191

Zeitlicher Ablauf:

15. August: Erste Verteilung der kompromittierten 32-Bit-Version
1. August: Cloud-Version wird ebenfalls betroffen
1. September: Piriform entdeckt verdächtigen Netzwerk-Traffic
1. September: Automatisches Update für die Cloud-Version

Wie die Backdoor funktionierte

Der Schadcode versteckte sich in der Initialisierungsroutine und entpackte eine DLL, die folgende Informationen sammelte:

Computernamen
Liste installierter Software
Laufende Prozesse
MAC-Adressen der Netzwerkkarten
Information über Administrator-Privilegien

Diese Daten wurden verschlüsselt an einen externen Command-and-Control-Server übermittelt.

Was dieser Angriff zeigt

Der CCleaner-Fall ist ein klassisches Beispiel für einen Supply-Chain-Angriff. Das eigentliche Ziel war nicht die Software, sondern die Verbreitung von Malware über einen vertrauenswürdigen Kanal. Nutzer, die Software immer aus offiziellen Quellen beziehen und Updates einspielen, wurden trotzdem infiziert.

Ähnliche Angriffsmethoden wurden bei NotPetya (2017 über die ukrainische Steuersoftware MeDoc) und anderen Kampagnen beobachtet.

Empfehlung

Nutzer der betroffenen Versionen sollten umgehend auf Version 5.34 oder neuer aktualisieren. Der Command-and-Control-Server wurde offline genommen, wodurch die unmittelbare Gefahr gebannt war. Wer die betroffene Version installiert hatte, sollte zusätzlich ein vollständiges Antivirusscan durchführen.

Für Unternehmen unterstreicht dieser Vorfall, warum Software-Updates zentralisiert verwaltet werden sollten. Patch-Management-Lösungen prüfen vor der Verteilung, ob Updates aus vertrauenswürdigen Quellen stammen, und ermöglichen eine schnelle Reaktion im Ernstfall. Netzleiter setzt genau dafür zentrales Patch-Management über NinjaOne ein, statt Updates einzelnen Mitarbeitenden zu überlassen.

Für Hamburger KMU bedeutet das: Wer Software-Updates nicht zentral steuert und prüft, verlässt sich blind auf die Sicherheit jedes einzelnen Herstellers, ein Risiko, das der CCleaner-Fall greifbar gemacht hat.

Häufige Fragen

War der CCleaner-Backdoor-Fall ein Einzelfall?

Nein. Supply-Chain-Angriffe mit demselben Muster, kompromittierte Hersteller-Infrastruktur statt direkter Angriff auf das Zielunternehmen, traten seither wiederholt auf, etwa bei NotPetya 2017 über die Steuersoftware MeDoc.

Schützt eine signierte Software automatisch vor Manipulation?

Nein. Der CCleaner-Fall zeigte, dass auch offiziell signierte Software kompromittiert sein kann, wenn Angreifer die Infrastruktur des Herstellers selbst übernehmen. Eine gültige Signatur allein ist kein Sicherheitsbeweis.

Wie erkennen Unternehmen einen Supply-Chain-Angriff frühzeitig?

Zentrales Patch-Management mit Überwachung von Netzwerk-Traffic und Systemverhalten hilft, ungewöhnliche Datenabflüsse nach einem Update zu erkennen. Regelmäßige Sicherheitsupdates allein reichen nicht aus.

Was sollten Unternehmen aus dem CCleaner-Fall für die eigene Update-Strategie mitnehmen?

Updates sollten zentral verwaltet und nach Möglichkeit vor der breiten Verteilung getestet werden. Eine reine Verlassenheit auf automatische Updates ohne Kontrolle bleibt ein Risiko.