Nach einem Cyberangriff auf den deutschen Webhoster Mittwald CM Service sind einzelne Kundenwebsites weiterhin gesperrt. Das Unternehmen aus Espelkamp hat nach eigenen Angaben 56 kompromittierte Projekte untersucht. Die zwischenzeitlich abgeschalteten Verwaltungszugänge stehen inzwischen wieder zur Verfügung. Der Cyberangriff auf Mittwald wurde bereits Ende Oktober ausgeführt, jedoch erst Anfang November entdeckt.
Ausgangspunkt des Sicherheitsvorfalls war eine Schwachstelle im sogenannten MCP-Server. Über diese technische Schnittstelle konnten Kunden die Verwaltungsplattform mStudio mit KI-Assistenten verbinden. Nach Darstellung von Mittwald testete der Angreifer die Schwachstelle erstmals am 21. Oktober 2026. Am 27. Oktober wurde sie gezielt ausgenutzt, um unbefugt auf Systeme des Hosting-Anbieters zuzugreifen.
Dabei wurden Sitzungstokens von Nutzern der betroffenen Schnittstelle ausgelesen. Solche Tokens ermöglichen den Zugriff auf bestimmte Funktionen innerhalb einer bestehenden Anmeldung. Nach Angaben des Unternehmens wurden keine regulären Passwörter ausgelesen. Die betroffenen Tokens seien inzwischen vollständig widerrufen worden.
Mittwald bemerkte die ungewöhnlichen Aktivitäten am 4. November und leitete Sicherheitsmaßnahmen ein. Der MCP-Server wurde abgeschaltet. Zusätzlich untersuchten interne Fachleute und externe IT-Forensiker die betroffenen Systeme.
Bis zum 6. November untersuchte Mittwald nach eigenen Angaben 56 kompromittierte Projekte forensisch. Wiederholte Überprüfungen hätten keine weiteren kompromittierten Projekte ergeben. Zugleich erklärte das Unternehmen, dass derzeit keine weiteren Aktivitäten des Angreifers auf seinen Systemen nachweisbar seien.
Vorsorglich wurden einzelne Websites deaktiviert, bei denen Hinweise auf unbefugte Zugriffe festgestellt worden waren. Diese Sperren bestanden nach dem jüngsten veröffentlichten Statusbericht vom 7. November teilweise weiterhin.
Ein flächendeckender Ausfall sämtlicher gehosteter Websites wurde nicht festgestellt. Das Unternehmen erklärte, das separate Kundencenter und die dort verwalteten Websites seien von dem Sicherheitsvorfall nicht betroffen gewesen. Im Rahmen der Sicherheitsmaßnahmen waren allerdings zusätzliche technische Unterbrechungen möglich. Für den 6. November hatte Mittwald Systemneustarts mit vorübergehenden Ausfällen von zehn bis 15 Minuten angekündigt.
Die Auswirkungen des Angriffs betrafen auch Kunden, deren Websites nicht kompromittiert waren. Mittwald deaktivierte am 5. November vorsorglich die Anmeldung am mStudio, technische SSH-Zugänge und verschiedene Erweiterungen. Auch Bestellungen und Änderungen bestehender Hosting-Leistungen waren zeitweise eingeschränkt.
Damit konnten betroffene Unternehmen und Webagenturen ihre Projekte vorübergehend nicht wie gewohnt verwalten. Die regulären Hosting-Dienste und E-Mail-Systeme blieben nach Angaben des Anbieters weitgehend verfügbar.
Am Samstag, 7. November, gab Mittwald die Anmeldung am mStudio und die SSH-Zugänge wieder frei. Einzelne Websites blieben aus Sicherheitsgründen weiterhin abgeschaltet. Auf der offiziellen Statusseite waren am Sonntag, 8. November, noch Einschränkungen bei bestimmten Verwaltungsdiensten ausgewiesen.
Mittwald informiert Kunden, deren Projekte betroffen sind oder zusätzliche Sicherheitsmaßnahmen erfordern, nach eigenen Angaben unmittelbar per E-Mail. Nutzer der kompromittierten MCP-Schnittstelle sollen unter anderem ihr mStudio-Passwort ändern, die Zwei-Faktor-Authentifizierung aktivieren sowie API-Schlüssel und technische Zugangsberechtigungen überprüfen.
Zu den empfohlenen Schritten gehört außerdem, Zugangsdaten externer Dienste zu erneuern, sofern diese innerhalb betroffener Projekte hinterlegt waren.
Bislang habe Mittwald keine Hinweise darauf gefunden, dass entwendete Daten auf einschlägigen Internetplattformen veröffentlicht worden seien. Ob und in welchem Umfang Inhalte einzelner Kundenprojekte abgerufen wurden, werde weiterhin untersucht. Nach Darstellung des Unternehmens wurden Polizei, das Bundesamt für Sicherheit in der Informationstechnik und die zuständige Datenschutzaufsicht informiert.
Die für den Angriff genutzte Schnittstelle bleibt bis auf Weiteres außer Betrieb. Ob Mittwald sie künftig erneut anbieten wird, soll nach Abschluss der Untersuchungen entschieden werden.
Das Unternehmen vermutet aufgrund der Geschwindigkeit einzelner Angriffsschritte den Einsatz von KI-Werkzeugen. Eine unabhängige Bestätigung für diese Einschätzung lag zunächst nicht vor.
Der Sicherheitsvorfall verdeutlicht die Risiken zusätzlicher Verwaltungszugänge, über die automatisierte Anwendungen auf Hosting-Systeme zugreifen können. Werden entsprechende Berechtigungen missbraucht, können auch andere Projekte und Dienste betroffen sein, auf die ein Nutzerkonto Zugriff besitzt.
Mittwald kündigte für die kommende Woche eine weitergehende technische Darstellung des Angriffs an. Die Untersuchungen und die Wiederherstellung der noch gesperrten Projekte dauern an.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu