EU-Hack vom 24. März 2026 bestätigt: Was Betroffene nach dem EuGH-Urteil wissen müssen

Der EU-Hack vom 24. März 2026 ist im Juni 2026 traurige Gewissheit geworden. Was anfangs als mutmaßlicher Vorfall gemeldet wurde, hat sich durch Untersuchungen des CERT-EU als einer der größten Einbrüche in die Cloud-Infrastruktur der EU entpuppt. Rund 350 GB an Daten aus dem Webhosting von bis zu 30 EU-Einrichtungen sind exfiltriert worden. Wessen Daten darin stecken, ist öffentlich nicht vollständig bekannt. Für Betroffene bedeutet das reale Gefahren durch Spear-Phishing und Identitätsmissbrauch.

Inzwischen liegen gesicherte Erkenntnisse zur Tätergruppe und zum Angriffsweg vor. Während erste Spekulationen noch in verschiedene Richtungen gingen, ist heute klar: Professionelle Akteure haben eine Schwachstelle in der Lieferkette (Supply Chain) ausgenutzt. Für Betroffene bedeutet das, dass ihre Daten nun dauerhaft in kriminellen Datenbanken zirkulieren und für gezielte Kontoübernahmen genutzt werden können.

TeamPCP und der triviale Weg in die EU-Cloud

Die Ermittlungen zeigen, dass die Hackergruppe TeamPCP für den Angriff verantwortlich zeichnet. Der Zugang gelang nicht etwa durch das Knacken einer hochkomplizierten Firewall, sondern über einen sogenannten AWS-API-Key. Man kann sich diesen Key wie einen digitalen Generalschlüssel vorstellen, der den direkten Zugriff auf die Cloud-Speichersysteme der EU ermöglicht.

Besonders brisant: Dieser Schlüssel wurde im Rahmen eines Supply-Chain-Angriffs erbeutet. Die Angreifer kompromittierten das Sicherheits-Tool "Trivy", das eigentlich dazu gedacht ist, Schwachstellen zu finden. Über diese Hintertür gelangten die Hacker an die sensiblen Zugangsdaten der EU-Infrastruktur. Betroffen sind neben der Europäischen Kommission insgesamt 30 EU-Einrichtungen, die dieselbe Hosting-Umgebung nutzen.

Bestätigte Fakten: 350 GB Daten und die Täter hinter TeamPCP

Was im März noch als Gerücht galt, wurde im April durch das CERT-EU offiziell bestätigt. Die exfiltrierte Datenmenge beläuft sich tatsächlich auf rund 350 GB. Den Zugang verschaffte sich nach Angaben des CERT-EU die Gruppe TeamPCP. Veröffentlicht wurden die Daten später von der Gruppe ShinyHunters (Analyse des CERT-EU).

Unabhängig vom Namen der Hacker ist für Sie als Nutzer vor allem entscheidend, welche Informationen nun im Darknet kursieren. Es handelt sich um eine gefährliche Mischung aus Datenbank-Einträgen, internen Verträgen und E-Mail-Korrespondenzen. Schon Fragmente dieser Daten reichen aus, um täuschend echte Betrugsversuche zu starten, die genau auf Ihre Person zugeschnitten sind.

Update Juni 2026: Beschwerde und Klage schließen sich nicht aus

Neben der technischen Aufarbeitung gibt es im Juni 2026 eine wichtige juristische Klarstellung. Der Europäische Gerichtshof (EuGH) hat am 18. Juni 2026 in der Rechtssache C-414/24 eine Verfahrensfrage geklärt, die auch für Betroffene von Datenpannen wichtig ist. Ausgangspunkt war übrigens kein Datenleck, sondern ein Streit um Bewertungen auf einem Ärzteportal in Österreich.

Eine Datenschutzbehörde darf Ihre Beschwerde nicht allein deshalb abweisen, weil Sie in derselben Sache bereits vor Gericht klagen, auch wenn das Urteil noch aussteht. Die Mitgliedstaaten dürfen allerdings vorsehen, dass die Behörde ihr Verfahren bis zur Gerichtsentscheidung aussetzt. Wichtig für diesen Fall: Für die EU-Einrichtungen selbst gilt nicht die DSGVO, sondern die Verordnung (EU) 2018/1725. Beschwerden gegen sie richten Sie an den Europäischen Datenschutzbeauftragten.

Zudem hat die EU-Kommission im Juni rechtliche Schritte gegen Mitgliedstaaten wie Frankreich und Spanien eingeleitet, da diese die NIS2-Richtlinie zur Cybersicherheit nicht rechtzeitig umgesetzt haben. Der Hack vom März hat schmerzhaft gezeigt, wie fatal solche Verzögerungen für die Sicherheit des gesamten Binnenmarkts sein können.

Warum der Vorfall so ernst ist, selbst wenn nur Web-Plattformen betroffen waren

Der häufigste Denkfehler nach großen Sicherheitsmeldungen lautet: "Nur die Website betroffen, also kein echtes Problem." Das ist gefährlich. Moderne Web-Plattformen sind keine simplen Visitenkarten, sondern oft Frontends für Registrierungen, Formulare, Newsletter, Beteiligungsprozesse oder Support-Kommunikation.

Sobald dort Datenbanken, Mailserver, API-Schlüssel oder Administrationsoberflächen erreichbar sind, entsteht ein realistisches Risiko für:

• Hochgradig personalisiertes Phishing: Nachrichten mit echten Bezügen zu Registrierungen, Portalen oder laufenden Vorgängen.
• Social Engineering: Angreifer kombinieren Leak-Daten mit öffentlich auffindbaren Profilen und Datenbroker-Informationen.
• Kettenreaktionen bei Wiederverwendung: Ein kompromittiertes Passwort öffnet häufig weitere Konten mit derselben E-Mail-Adresse.
• Reputations- und Vertrauensschäden: Gerade im öffentlichen Sektor wirkt ein Datenleck weit über den technischen Vorfall hinaus.

Was Betroffene jetzt konkret tun sollten

Wer EU-Portale, Behörden-Plattformen oder dieselbe E-Mail-Adresse in mehreren sensiblen Diensten verwendet, sollte jetzt aktiv werden. Der Hack von TeamPCP hat gezeigt, wie verwundbar selbst zentrale Infrastrukturen sind.

• Passwörter erneuern: Ändern Sie Ihre Passwörter bei allen Diensten, die mit Ihrer E-Mail-Adresse verknüpft sind.
• Zwei-Faktor-Authentifizierung (2FA): Nutzen Sie Apps wie den Google Authenticator, um Ihre Logins abzusichern.
• Vorsicht bei E-Mails: Seien Sie misstrauisch bei Nachrichten, die sich auf den EU-Hack oder Ihre Registrierung beziehen.
• Laufendes Monitoring: Verlassen Sie sich nicht auf einmalige Checks, da Daten oft erst zeitversetzt im Darknet auftauchen.