20. Juli 2026 11:46

Uber Cyberangriff 2022: Wie ein 18-jähriger Hacker Vollzugriff erlangte

Im September 2022 ereignete sich ein Vorfall, der die Technologiewelt erschütterte. Uber, eines der größten Mobiltätsunternehmen der Welt, wurde vollständig von einem 18-jährigen Hacker kompromittiert. Dieser Vorfall wurde zu einer Fallstudie voller wichtiger Lektionen für die Unternehmenscybersicherheit und zeigte auf, wie selbst große Unternehmen grundlegende Sicherheitsprinzipien vernachlässigen können. Aber wie konnte ein junger Computerhacker Zugriff auf alle Systeme eines Milliardenunternehmens erlangen?

Die Lapsus$-Gruppe und neue Generation von Cyber-Bedrohungsakteuren

Der junge Hacker, der den Angriff durchführte, stand in Verbindung mit der Lapsus$-Gruppe, die zu dieser Zeit in der Cybersicherheits-Community Aufmerksamkeit erregte. Diese Gruppe war besonders im Jahr 2022 durch erfolgreiche Angriffe auf Technologiegiganten wie Microsoft, Nvidia, Samsung und Okta aufgefallen. Die Lapsus$-Gruppe verfolgte einen anderen Ansatz als klassische Ransomware-Banden: Statt sophistizierter Malware bevorzugten sie Social Engineering und die Ausnutzung grundlegender Sicherheitslücken.

Dieser Ansatz unterstrich eine wichtige Tatsache: Das schwächste Glied in der Kette der Unternehmenscybersicherheit war nach wie vor der Mensch. Selbst die fortschrittlichsten Sicherheitstechnologien konnten mit den richtigen Social-Engineering-Taktiken leicht umgangen werden. Der Uber-Fall sollte eines der eindrucksvollsten Beispiele für diese These werden.

Anatomie des Angriffs: Der Weg von WhatsApp zum Vollzugriff

Erster Schritt: Kompromittierung der Zugangsdaten

Der Angriff begann mit einer viel einfacheren Methode als erwartet. Der Hacker verwendete Benutzername und Passwort eines Uber-Mitarbeiters, die er im Dark Web gekauft oder bei einer früheren Datenpanne erlangt hatte. In dieser Phase stand ihm die Multi-Faktor-Authentifizierung (MFA) gegenüber – ein System, das theoretisch als Sicherheitsschicht funktioniert. Der Angreifer würde jedoch eine äußerst effektive Technik einsetzen, um diese Hürde zu überwinden.

MFA-Fatigue-Angriff: Eine psychologische, keine technische Taktik

Der MFA-Fatigue-Angriff oder "MFA-Ermüdungsangriff" ist eine der hinterhältigsten Social-Engineering-Taktiken in der modernen Cybersicherheit. Bei dieser Methode sendet der Angreifer kontinuierlich MFA-Bestätigungsanfragen an den Zielbenutzer. Der Benutzer lehnt diese Anfragen anfangs ab, aber der Angreifer gibt nicht auf und sendet stundenlang weiter diese Anfragen.

Im Fall von Uber begann der angegriffene Mitarbeiter bis spät in die Nacht Dutzende von MFA-Benachrichtigungen zu erhalten. Schließlich, entweder um die Belästigung loszuwerden oder in der Annahme, dass es sich um eine legitime IT-Anfrage handelte, genehmigte der Benutzer eine dieser Anfragen. Dieser eine Klick reichte aus, damit der Angreifer sich in das VPN-Netzwerk von Uber einloggen konnte.

WhatsApp Social Engineering: Nachahmung des IT-Supports

Doch der Angreifer ging noch weiter. Er kontaktierte den anvisierten Mitarbeiter über WhatsApp und gab sich als jemand von der IT-Abteilung von Uber aus. Er sagte, die ständigen MFA-Benachrichtigungen seien ein Sicherheitstest und der Mitarbeiter müsse diese Tests genehmigen. Diese Taktik war ein klassisches Beispiel für die Verwendung einer "Autoritätsfigur" und funktionierte leider.

Diese Phase zeigt, wie kritisch Unternehmenssicherheitsschulungen sind. Mitarbeiter sollten gegenüber Kommunikationsversuchen außerhalb offizieller Kanäle misstrauisch sein und in Bezug auf Authentifizierung geschult werden. IT-Abteilungen sollten niemals über inoffizielle Kanäle wie WhatsApp, persönliche E-Mails oder Telefon sensible Vorgänge anfordern.

Ausbreitung von innen: Privilege Escalation und Lateral Movement

Nach Erlangung des VPN-Zugriffs begann der Angreifer, sich lateral im internen Netzwerk von Uber zu bewegen. Was er dort vorfand, war erstaunlich: Während er durch das interne Netzwerk navigierte, fand er in PowerShell-Skripten fest codierte (hardcoded) Administrator-Zugangsdaten. Dies war einer der grundlegendsten Fehler in der Unternehmenssicherheit und bot dem Angreifer auf dem Silbertablett die Möglichkeit zur Privilege Escalation.

Vollzugriff auf kritische Systeme

Mit diesen Administrator-Zugangsdaten infiltrierte der Angreifer die kritischsten Systeme von Uber:

• Amazon Web Services (AWS) - Das Herz der Cloud-Infrastruktur des Unternehmens
• Google Cloud Platform (GCP) - Datenspeicher- und Verarbeitungssysteme
• Slack - Interne Kommunikationsplattform und sensible Unternehmensinformationen
• HackerOne - Ironischerweise die Plattform, auf der Sicherheitslücken gemeldet werden
• Interne Code-Repositories - Zugriff auf den Quellcode von Uber
• Datenbanken - Systeme mit Kunden- und Unternehmensdaten

Dieser umfassende Zugriff bedeutete, dass der Angreifer nahezu alle digitalen Assets von Uber unter Kontrolle hatte. Theoretisch hätte er Kundendaten stehlen, Systeme löschen oder Dienste vollständig stoppen können.

Die 'Epic Fail'-Nachricht: Aufdeckung des Angriffs

Um seinen Zugriff zu beweisen, kündigte der Angreifer seine Anwesenheit an, indem er eine Nachricht im internen Slack-Kanal von Uber veröffentlichte. In seiner Nachricht mit dem Titel "I announce I am a hacker and Uber has suffered a data breach" (Ich kündige an, dass ich ein Hacker bin und Uber eine Datenpanne erlitten hat) teilte er Screenshots der kompromittierten Systeme. Der Ausdruck "epic fail" am Ende der Nachricht wurde zum Symbol dafür, wie verwüstend der Angriff sowohl für Ubers Sicherheitslücken als auch für den Ruf war.

Interessanterweise dachten die Mitarbeiter zunächst, diese Nachricht sei Spam oder ein Scherz. Doch die geteilten Beweise und der beginnende Verlust des Zugriffs auf Systeme offenbarten die Ernsthaftigkeit der Situation. Das Management von Uber aktivierte den Notfallplan und begann, Systeme herunterzufahren und den Schaden zu bewerten.

Zusammenbruch der internen Sicherheit: Wo wurden Fehler gemacht?

Mehrschichtige Sicherheitsausfälle

Der Uber-Fall resultierte nicht aus einer einzigen Sicherheitslücke, sondern aus einer Kette mehrerer sich gegenseitig unterstützender Ausfälle:

1. Schwächen im Identity and Access Management (IAM): Dass Zugangsdaten aus früheren Datenpannen noch aktiv waren, zeigt Mängel in Passwortrichtlinien und Credential-Management.