Beget meldet gelöschte Cloud-Daten und VPS-Backups

Bei Beget sind nach einem Cyberangriff nach bisher bekannten Angaben nicht nur produktive Cloud-Daten verloren gegangen. Auch binäre Sicherungen virtueller Server wurden demnach gelöscht. Damit fehlt für betroffene Systeme zugleich ein wesentlicher Weg zurück in den Betrieb. Dateibasierte Sicherungen der meisten Shared-Hosting-Ressourcen blieben dagegen erhalten. Dieser Unterschied entscheidet darüber, was sich noch rekonstruieren lässt und wie viel Arbeit dafür nötig ist.

Der Angriff auf den russischen Hosting-Anbieter begann nach bisher bekannten Angaben am 2. November 2026 gegen 03:50 Uhr Moskauer Zeit. Die Angreifer sollen Zugriff auf Infrastrukturmanagementsysteme erhalten und Skripte zur Datenlöschung eingesetzt haben. Betroffen waren Cloud-Infrastrukturdaten, darunter virtuelle private Server, S3-Speicher und Kubernetes-Dienste. Wie der erste Zugang gelang, ist nach dem öffentlich bekannten Stand vom 4. November nicht geklärt.

Die Verwaltungsebene vergrößert den Schaden

Der entscheidende Zugriff lag offenbar auf der Ebene, über die Infrastruktur verwaltet wird. Solche Systeme können weitreichende Operationen anstoßen: Ressourcen bereitstellen, verändern oder entfernen. Wer dort ausreichende Berechtigungen erlangt, muss nicht jeden Kundenserver einzeln kompromittieren, um viele Dienste zu treffen.

Bei Beget wurden nach bisher bekannten Angaben Löschoperationen per Skript ausgeführt. Das macht aus einem administrativen Zugriff einen skalierbaren Zerstörungsweg. Die Vielzahl betroffener Ressourcen erklärt sich damit zumindest grundsätzlich aus der Funktion der angegriffenen Systeme. Welche Konten, Schnittstellen oder Berechtigungen konkret missbraucht wurden, ist allerdings nicht öffentlich dokumentiert.

Auch die Bezeichnung als Wiper-Angriff erklärt die technische Ursache nur begrenzt. Bekannt ist die gezielte Datenlöschung. Ob dafür spezielle Schadsoftware eingesetzt wurde oder vorhandene Verwaltungsfunktionen ausreichten, bleibt offen. Für die Absicherung macht das einen Unterschied: Die Suche nach einer Schadsoftware allein würde einen Missbrauch legitimer Administrationszugänge nicht zuverlässig abdecken.

Ein Backup ist noch kein unabhängiger Rückweg

Besonders schwer wiegt der Verlust der binären VPS-Backups. Solche Sicherungen dienen üblicherweise dazu, den Zustand eines virtuellen Servers einschließlich seines Datenträgers wiederherzustellen. Fehlen sie, entfällt diese Möglichkeit. Ob sich ein einzelner Dienst trotzdem retten lässt, hängt dann von anderen Sicherungen und den noch verfügbaren Bestandteilen ab.

Erhaltene Dateien sind dabei wertvoll, aber nicht automatisch ein betriebsbereiter Server. Je nach Anwendung werden zusätzlich Datenbanken, Konfigurationen, Zugangsschlüssel, Softwareversionen und Informationen über angeschlossene Dienste benötigt. Diese müssen zusammenpassen. Eine Website mit statischen Dateien lässt sich unter anderen Bedingungen wiederherstellen als eine Anwendung mit laufenden Transaktionen und mehreren abhängigen Komponenten.

Die erhaltenen dateibasierten Sicherungen der meisten Shared-Hosting-Ressourcen begrenzen deshalb einen Teil des Schadens. Daraus folgt jedoch keine Entwarnung für alle Cloud-Kunden. Weder lässt sich der Zustand eines VPS aus dem Zustand des Shared Hostings ableiten, noch ist damit die Vollständigkeit einer konkreten Anwendung belegt.

Dass Produktivdaten und binäre Sicherungen verloren gingen, belegt für sich genommen keine bestimmte Backup-Architektur bei Beget. Öffentlich fehlen Details zu deren Trennung und Zugriffsrechten. Der Vorfall zeigt aber die operative Anforderung: Eine Sicherung muss auch dann verfügbar bleiben, wenn die Verwaltung der produktiven Umgebung kompromittiert ist. Eine zusätzliche Kopie innerhalb desselben administrativen Zugriffsbereichs kann dafür unzureichend sein.

Wiederherstellen heißt auch: Vertrauen neu aufbauen

Für die Wiederherstellung ist nach bisher bekannten Angaben eine manuelle Inspektion von mehr als 1.000 Servern erforderlich. Das beschreibt einen erheblichen Prüfaufwand, keinen verlässlichen Fertigstellungstermin. Aus der Zahl lässt sich weder ableiten, wie viele Kunden endgültig Daten verloren haben, noch wann sämtliche Dienste wieder erreichbar sein werden.

Nach einem Zugriff auf Infrastrukturmanagementsysteme reicht es außerdem nicht, Daten zurückzukopieren. Aus Sicherheitssicht müssen administrative Zugänge, Berechtigungen und mögliche fortbestehende Zugriffsmöglichkeiten geprüft werden. Andernfalls könnte eine wiederhergestellte Umgebung erneut beschädigt werden. Welche dieser Schritte Beget bereits abgeschlossen hat, lässt sich aus den bekannten Angaben nicht bestimmen.

Für betroffene Unternehmen bedeutet das zweierlei Arbeit: Sie müssen ihre Anwendung rekonstruieren und anschließend deren Zustand kontrollieren. Ein erreichbarer Webserver belegt noch keine vollständige Wiederherstellung. Datenbestände, Schreibzugriffe, Schnittstellen und Hintergrundaufgaben benötigen eigene Funktionstests. Bei transaktionsbasierten Diensten ist zudem entscheidend, auf welchen konsistenten Datenstand zurückgegangen werden kann.

Was Kunden jetzt unabhängig absichern können

Beget hat betroffenen Kunden nach bisher bekannten Angaben zum Wechsel ihrer Anmeldeinformationen geraten. Dieser Schritt ist eine Vorsichtsmaßnahme und kein Nachweis eines Datendiebstahls. Unternehmen sollten darüber hinaus prüfen, welche API-Schlüssel und technischen Zugangsdaten in ihren betroffenen Systemen lagen. Ein Wechsel muss koordiniert erfolgen, damit abhängige Anwendungen nicht durch ungültige Zugangsdaten zusätzlich ausfallen.

Für die Wiederherstellung sollten Kunden zuerst klären, welche eigenen Sicherungen außerhalb der betroffenen Umgebung existieren und welchen Zeitpunkt sie abdecken. Entscheidend ist anschließend ein getesteter Wiederanlauf. Erst dabei zeigt sich, ob Daten, Konfiguration und benötigte Software gemeinsam einen funktionsfähigen Dienst ergeben.

Für künftige Sicherungen sind getrennte administrative Zugänge, unveränderbare Aufbewahrung oder offline gehaltene Kopien mögliche Schutzmaßnahmen. Sie ersetzen keine Prüfung des konkreten Betriebsmodells. Die maßgebliche Frage lautet, ob ein kompromittiertes Administrationskonto auch die letzte brauchbare Sicherung löschen könnte. Bei Beget ist der Verlust dieser Rückfallmöglichkeit nach aktuellem bekannten Stand ein zentraler Teil des Schadens.