Eine einzige Schwachstelle im SSL-VPN von SonicWall hat eines der größeren Datenlecks im Finanzsektor 2026 ausgelöst. Angreifer nutzten sie, um in das Netzwerk von Marquis Software Solutions einzudringen, einem Dienstleister für Genossenschaftsbanken und Credit Unions in den USA. Mittlerweile sind mehr als 70 Institute betroffen. Wenn du bei einer kleinen lokalen Credit Union oder Genossenschaftsbank bist, lohnen sich fünf Minuten Lesezeit.

Was passiert ist

Marquis Software Solutions liefert Technologie für Genossenschaftsbanken und Credit Unions in den USA. Angreifer gelangten über eine Schwachstelle in SonicWall-Firewalls ins Netzwerk, mit der sich die Multi-Faktor-Authentifizierung beim Login ins SSL-VPN umgehen lässt. Sicherheitsforscher haben den Einbruch danach der Ransomware-Gruppe Akira zugeordnet, die eine fehlerhafte Zugriffskontrolle in SonicOS ausnutzte, dem Betriebssystem der SonicWall-Firewall-Appliances.

Dieser eine Einstiegspunkt breitete sich weiter aus. Weil Marquis Dutzende Banken und Credit Unions als gemeinsamer Dienstleister bedient, wurde aus einem Vorfall beim Anbieter ein Vorfall bei jedem Institut, dessen Daten durch seine Systeme liefen. Meldungen zum Datenleck, die in Iowa eingereicht wurden, listen mindestens 70 betroffene Finanzinstitute. Die beiden größten bisher genannten sind Gesa Credit Union mit 152.000 betroffenen Personen und iQ Credit Union mit 111.000. Zusammen mit dem Rest der Liste sind personenbezogene und finanzielle Daten von Hunderttausenden Verbrauchern potenziell offengelegt.

American Banker und TechRadar haben das Ausmaß des Vorfalls aufgeschlüsselt, während laufend neue Meldungen eintrafen.

Der SonicWall- und Akira-Winkel

Was diesen Fall über seine schiere Größe hinaus lehrreich macht, ist, wie gewöhnlich der eigentliche Fehler war. Akira brauchte keine Zero-Day-Exploit-Kette und keine monatelange Spezialwerkzeuge. Nötig war eine SSL-VPN-Appliance mit einer bekannten Schwäche in der Zugriffskontrolle, die die MFA umgehen ließ, und danach ganz normale Zugangsdaten, um sich im Netzwerk weiterzubewegen.

Das ist dasselbe Muster, das in Berichten über Firmen-Hacks immer wieder auftaucht: eine SSL-VPN-Appliance, wie sie Cisco, SonicWall und Fortinet Unternehmen für den Fernzugriff ihrer Mitarbeiter verkaufen, öffentlich im Internet erreichbar mit einem Patch, der noch nicht eingespielt war. Unser Artikel über warum Firmen-SSL-VPNs ständig gehackt werden erklärt, warum diese Geräteklasse ein so verlässliches Ziel ist: von Natur aus exponiert, komplex genug für Bugs, und störend, sie für Patches offline zu nehmen.

Branchendaten bestätigen, wie schnell genau dieser Angriffsvektor gewachsen ist. Edge-Geräte und VPNs sind innerhalb eines einzigen Jahres von rund 3 auf 22 Prozent der auf Schwachstellen basierenden Datenlecks gestiegen, eine Versiebenfachung. Veraltete Firmen-VPNs waren 2025 bei der großen Mehrheit der verifizierten Ransomware-Einbrüche der Einstiegspunkt, ein deutlicher Anstieg gegenüber wenigen Jahren zuvor. SonicWall-, Cisco- und Fortinet-SSL-VPN-Appliances bleiben mit weitem Abstand einer der wichtigsten Ransomware-Angriffsvektoren zu Beginn von 2026.

Akira hat sich einen Ruf aufgebaut, genau solche weichen Ziele zu jagen. Die Gruppe muss keine Bank direkt angreifen, wenn ein gemeinsam genutzter Software-Anbieter denselben Gewinn bei weniger Widerstand bietet. Eine kompromittierte Appliance, eine schwache MFA-Implementierung, und die Gruppe steckt in einem Netzwerk, das letztlich Zehntausende nachgelagerte Kunden betrifft. Genau diese Effizienz erklärt, warum Edge-Geräte gegenüber Phishing oder Credential Stuffing, die mehr Aufwand pro Opfer kosten, zum bevorzugten Einstiegspunkt geworden sind.

Was die SonicOS-Lücke für Akira so nützlich machte: Sie hebelte genau die Kontrolle aus, die diese Art von Einbruch eigentlich stoppen soll. MFA existiert genau deshalb, damit ein gestohlenes oder erratenes Passwort nicht reicht, um reinzukommen. Ein Bug in der Zugriffskontrolle, der diese Prüfung umgehen lässt, verwandelt ein sauber konfiguriertes VPN-Gateway in eine offene Tür, ohne dass die Appliance ein offensichtliches Zeichen einer Kompromittierung zeigt. Sicherheitsteams, die auf fehlgeschlagene Logins oder Brute-Force-Versuche achten, hätten nichts Ungewöhnliches gesehen, weil die Lücke den Angreifern erlaubte, diesen Schritt einfach zu überspringen, statt sich durchzukämpfen.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Firmen-SSL-VPN gegen dein Consumer-VPN

Es lohnt sich, genau zu sein, was hier tatsächlich kaputt war, denn das Wort “VPN” macht in jeder Schlagzeile zu dieser Geschichte gleich doppelte Arbeit. Marquis wurde über eine Firmen-SSL-VPN-Appliance gehackt, also eine Hardware- oder Software-Gateway, über die sich Mitarbeiter eines Unternehmens aus der Ferne ins interne Netzwerk einloggen. Das ist ein völlig anderes Produkt als ein Consumer-VPN-Dienst wie NordVPN oder Proton VPN, der deinen persönlichen Browsing-Verkehr durch einen verschlüsselten Tunnel schickt und dabei überhaupt keine Tür in ein internes Firmennetzwerk öffnet.

Nichts an diesem Vorfall betrifft Consumer-VPN-Apps, und kein persönliches VPN-Abo hatte damit irgendetwas zu tun. Wenn du ein Consumer-VPN für deine eigene Privatsphäre abwägst, zählen andere Risiken: Logging-Praktiken, unabhängige Audits und die Infrastruktur, nicht diese Geschichte.

Trotzdem ist die Verwechslung verständlich, und es lohnt sich daran zu erinnern, dass ein “VPN” nur so stark ist wie seine schwächste Einstellung. Firmen-SSL-VPNs versagen wegen ungepatchter Software und schlecht durchgesetzter MFA, denselben simplen Hygieneproblemen, die Sicherheit auf jeder Ebene untergraben. Wenn du die IT eines kleinen Unternehmens verantwortest, ist das die praktische Lehre daraus: SonicWall und andere SSL-VPN-Appliances patchen, sobald Updates erscheinen, und prüfen, dass MFA tatsächlich bei jedem VPN-Login erzwungen wird, nicht nur konfiguriert und dann vergessen.

Warum aus einem Anbieter-Hack 70 Datenlecks wurden

Dieser Vorfall zeigt auch klar, was Drittanbieter-Risiko bedeutet, ein Begriff, der abstrakt klingt, bis man ihn in diesem Ausmaß erlebt. Die meisten Genossenschaftsbanken und Credit Unions sind zu klein, um jede Technologie selbst zu betreiben. Sie verlassen sich auf gemeinsame Anbieter wie Marquis für Kernsoftware und Dienste, was effizient ist, bis genau dieser Anbieter gehackt wird. Dann ist der Radius nicht ein Institut, sondern jedes Institut, das der Anbieter bedient.

Diese Dynamik ist wichtig, weil die Sicherheit deines Bankkontos teilweise von Entscheidungen abhängt, die Firmen treffen, von denen du nie gehört hast, mit Geräten, die du nie sehen wirst. Du kannst eine Bank mit gutem Ruf wählen und trotzdem auf einer Meldungsliste für Datenlecks landen, weil ein Anbieter drei Schritte von dir entfernt eine ungepatchte Firewall hatte. Das ist frustrierend, aber auch häufig genug, dass Regulierungsbehörden zunehmend erwarten, dass Finanzinstitute die Sicherheit ihrer Anbieter prüfen, nicht nur ihre eigene.

Genossenschaftsbanken und Credit Unions sind für dieses Muster besonders anfällig, weil sie stärker auf gemeinsame Anbieter angewiesen sind als große nationale Banken, die sich leisten können, mehr eigene Infrastruktur zu bauen und abzusichern. Das ist kein Vorwurf an kleinere Institute, sondern schlicht eine wirtschaftliche Realität, und genau deshalb neigen Meldungslisten wie diese zu regionalen Credit Unions statt zu den größten Namen der Branche. Wenn überhaupt, ist das ein Grund, mit weiteren Geschichten in diesem Muster zu rechnen, bevor sich das branchenweit ändert.

Ein Muster, das sich 2026 wiederholt

Zoomt man raus, passt dieser Vorfall in eine Form, die dieses Jahr vertraut geworden ist. Ein einzelnes ungepatchtes Edge-Gerät, ob SonicWall-Firewall, Cisco-Appliance oder Fortinet-Gateway, sitzt exponiert am Rand eines Netzwerks, das nie das schwächste Glied sein sollte. Angreifer müssen kein Sicherheitsteam austricksen. Sie brauchen eine Appliance, die ein paar Patch-Zyklen hinterherhinkt, und eine MFA-Einstellung, die nicht so durchgesetzt wird, wie sie sollte.

Was sich 2026 geändert hat, ist das Ausmaß der Folgen, wenn genau das passiert. Moderne Institute, selbst kleine, verlassen sich auf ein Geflecht gemeinsamer Anbieter für Kernbanking-Software, Zahlungsabwicklung und Kundendatenmanagement. Eine einzelne kompromittierte Appliance bei einem dieser Anbieter bedeutet heute keinen abgegrenzten Vorfall mehr. Sie bedeutet eine Datenleck-Meldung an jeden, dessen Daten je durch die Systeme dieses Anbieters liefen. So wird aus einer Lücke in der Firewall eines Unternehmens gleichzeitig eine Nachricht für 70 Banken. Erwarte weitere Geschichten dieser Form, bis Appliance-Hersteller und ihre Kunden die Patch-Lücke schließen, die das immer wieder möglich macht.

Was tun, wenn du bei einem betroffenen Institut Kunde bist

Wenn deine Bank oder Credit Union auf der Meldungsliste aus Iowa steht oder du einen Brief bekommen hast, nimm das ernst, auch wenn du nichts falsch gemacht hast. Deine Daten wurden wegen einer ungepatchten Appliance bei einem Anbieter offengelegt, nicht wegen etwas, das du getan hast.

Ein paar konkrete Schritte: Achte auf den offiziellen Meldebrief und lies, welche Datenkategorien betroffen waren. Erwäge eine Kredit-Sperre bei den großen Auskunfteien, das ist kostenlos und stoppt die meisten Betrugsversuche mit neuen Konten sofort. Melde dich für kostenloses Kredit-Monitoring an, das das Institut anbietet, die meisten Meldungen enthalten das. Und sei wachsam bei Phishing-Mails oder Anrufen, die sich auf das Datenleck berufen, um seriös zu wirken, das ist ein vorhersehbarer Folge-Betrug nach solchen Vorfällen.

Es lohnt sich außerdem, deine Kontoauszüge über die nächsten Monate zu prüfen, nicht nur die nächsten Wochen. Betrug im Zusammenhang mit großen Datenlecks zeigt sich nicht immer sofort. Angreifer sitzen gestohlene Daten oft eine Weile aus, testen kleinere Institute oder warten, bis sich die Nachrichtenlage beruhigt hat, bevor sie sie nutzen. Eine Kredit-Sperre schützt dich in jedem Fall, weil sie verhindert, dass neue Konten in deinem Namen eröffnet werden, egal wann die Daten am Ende verwendet werden.

Bei alldem geht es nicht um dein eigenes VPN-Setup. Es geht um ein Versagen auf Anbieterseite, das zufällig deine Bank betroffen hat. Wenn du separat deine eigene Privatsphäre verbessern willst, ist unser Leitfaden zum Prüfen von No-Log-Behauptungen eines VPNs eine gute nächste Lektüre. Wer eine Absicherung gegen Verbindungsabbrüche will, findet in unserem Kill-Switch-Guide diese Schutzebene erklärt.

Unser Fazit

Dieses Datenleck ist eine Geschichte über einen Anbieter und Firmen-Infrastruktur, keine Geschichte über Consumer-VPNs. Eine SonicWall-SSL-VPN-Lücke erlaubte der Ransomware-Gruppe Akira den Zugriff auf das Netzwerk von Marquis Software, und weil Marquis Dutzende Genossenschaftsbanken und Credit Unions bedient, betrifft diese eine Kompromittierung jetzt über 70 Institute und Hunderttausende Verbraucher. Bist du Kunde bei einem davon, achte auf die Meldung und erwäge eine Kredit-Sperre. Verantwortest du die IT eines Unternehmens, patche deine SSL-VPN-Appliances und stelle sicher, dass MFA wirklich durchgesetzt wird. Und wenn du ein persönliches VPN evaluierst: Diese Geschichte hat nichts mit Anbietern wie NordVPN oder Proton VPN zu tun, deren Risikoprofil sich um Logs und Audits dreht, nicht um Firmennetzwerk-Exposition.