GMO-Angriff: Warum das Abschalten der Kunden-PCs nicht reicht

PC vom Internet trennen, herunterfahren, sämtliche Kabel entfernen: Mit dieser Aufforderung hat die GMO Internet Group auf eine Ransomware-Drohung gegen Kunden ihres Dienstes Onamae Desktop Cloud reagiert. Die Maßnahme soll eine mögliche Aktivierung von Schadsoftware abwehren. Für Kunden, die über den Dienst Handelssoftware betreiben, bleiben damit allerdings zwei weitere Aufgaben offen: der Umgang mit dem gemieteten Server und die Absicherung möglicherweise kompromittierter Handelskonten.

Der Unterschied ist praktisch relevant. Ein ausgeschalteter Rechner unterbricht die lokale Nutzung. Ein beim Anbieter betriebener virtueller Server läuft grundsätzlich unabhängig davon. Und bereits entwendete Zugangsdaten werden durch das Abschalten eines Geräts nicht ungültig. Der Vorfall verlangt deshalb mehrere getrennte Maßnahmen, auch wenn die öffentlich auffälligste Empfehlung zunächst sehr einfach klingt.

Was bislang bekannt ist

Am 20. Oktober 2026 wurde GMO nach den bislang bekannten Angaben Opfer eines Cyberangriffs. Unbefugte sollen Malware auf einigen Kundenservern von Onamae Desktop Cloud installiert haben. Bis zu 26.739 Kundenserver waren demnach potenziell betroffen. Diese Zahl beschreibt den möglichen Umfang der Sicherheitsverletzung; sie ist keine Bestätigung, dass auf sämtlichen Systemen Schadsoftware installiert oder Daten verschlüsselt wurden.

Zu dem Angriff gehörte nach den vorliegenden Angaben auch der Abfluss von Unternehmens- und Kundendaten. Die Angreifer verlangten demnach acht Milliarden Yen, umgerechnet etwa 50 Millionen US-Dollar. Später forderten sie im Zusammenhang mit der angedrohten Veröffentlichung weiterer Daten zusätzlich eine Million US-Dollar. GMO lehnte Zahlungen nach eigener Darstellung ab.

Für die Einordnung ist der zeitliche Stand entscheidend: Nach dem bis zum 27./28. Oktober 2026 öffentlich bekannten Stand gab es keine bestätigten Ransomware-Angriffe auf Kundenmaschinen. Bestätigte Malware-Installationen auf einigen Servern, Datendiebstahl und die Drohung mit einer späteren Verschlüsselung sind unterschiedliche Sachverhalte. Die Warnung vor Ransomware darf nicht mit einem bereits flächendeckend eingetretenen Verschlüsselungsschaden gleichgesetzt werden.

Lokaler Rechner und Cloud-Server sind getrennte Systeme

Onamae Desktop Cloud stellt entfernte Windows-Arbeitsumgebungen bereit und wird unter anderem von Forex-Tradern genutzt. Solche Umgebungen erlauben es, Handelssoftware auf einem Server des Anbieters zu betreiben, statt sie ausschließlich auf dem eigenen PC laufen zu lassen. Daraus entsteht im Störungsfall eine zusätzliche Zuständigkeit: Kunden müssen wissen, welches System sie gerade abschalten und welche Prozesse andernorts weiterlaufen.

Die Trennung des lokalen Rechners vom Internet unterbindet dessen Netzwerkkommunikation. Sie bereinigt jedoch keinen entfernten Server. Ebenso wenig belegt die Aufforderung zur Netztrennung für sich genommen, dass der lokale PC bereits infiziert ist. Aus den bekannten Angaben lässt sich kein konkreter Übertragungsweg zwischen den betroffenen Cloud-Systemen und Kundenrechnern ableiten.

Für die Wiederaufnahme des Betriebs reicht deshalb die Feststellung, dass sich ein PC wieder starten lässt, nicht aus. Entscheidend ist auch, ob die genutzte Serverumgebung als vertrauenswürdig gelten kann. Bei einem kompromittierten System muss geklärt werden, ob eine Bereinigung genügt oder eine neu aufgesetzte Umgebung erforderlich ist. Das ist eine allgemeine Anforderung an die Wiederherstellung, keine öffentlich bestätigte Beschreibung des bisherigen Vorgehens von GMO.

Handelszugänge brauchen eine eigene Prüfung

Hinzu kommt eine zweite Risikokategorie. Anmeldedaten für Handelsplattformen wie MetaTrader 4 und 5 könnten kompromittiert worden sein. Außerdem gibt es Berichte über nicht autorisierte Transaktionen auf Kundenkonten. Daraus folgt noch kein abschließend belegter Zusammenhang für jeden einzelnen Fall. Die Hinweise machen aber deutlich, weshalb die Prüfung nicht beim Zustand des Servers enden kann.

Ein Passwort, das auf einem kompromittierten System gespeichert war, bleibt nach dessen Abschaltung verwendbar, solange es nicht geändert oder anderweitig gesperrt wurde. Zugangsdaten sollten deshalb von einer vertrauenswürdigen Umgebung aus erneuert werden. Ob zusätzlich aktive Sitzungen beendet, weitere Zugangsschlüssel ersetzt oder Konten vorübergehend eingeschränkt werden können, hängt vom jeweiligen Broker und dessen Verfahren ab.

Auch die Kontrolle von Transaktionen erfolgt außerhalb der reinen Serverwiederherstellung. Kunden müssen auffällige Aufträge und Kontobewegungen mit ihrem Finanzdienstleister klären. Ein technisch wieder erreichbarer Desktop sagt nichts darüber aus, ob ein Handelskonto zuvor unbefugt genutzt wurde. Umgekehrt ist eine gemeldete verdächtige Transaktion noch kein Nachweis dafür, auf welchem Weg Zugang erlangt wurde.

Wiederanlauf braucht überprüfbare Bedingungen

GMO hat nach den vorliegenden Angaben eine Belohnung von bis zu einer Million US-Dollar für Hinweise ausgelobt, die zur Ermittlung oder Festnahme der Verantwortlichen führen können. Nutzer des betroffenen Dienstes sollen außerdem eine freiwillige Zahlung von 5.000 Yen erhalten, ungefähr 30 US-Dollar. Beides beantwortet die operative Frage nach einem sicheren Weiterbetrieb nicht.

Dafür benötigen Kunden klare Angaben zum Status ihrer Server, zu möglicherweise abgeflossenen Daten und zu den Voraussetzungen einer erneuten Nutzung. Beim GMO-Vorfall sind mindestens drei Ebenen getrennt zu behandeln: der lokale Rechner, die entfernte Arbeitsumgebung und das Handelskonto. Die Netztrennung ist eine Eindämmungsmaßnahme. Abgeschlossen ist die Bearbeitung erst, wenn auch die Serverumgebung und die betroffenen Zugänge geprüft sind.