Zwei Datenschutzverstöße, eine Ursache: Was Zimbra und die Bank of Baroda über E-Mails als Angriffsfläche offenbaren

Eine russische, staatlich unterstützte Hackergruppe und ein unbekannter Angreifer, der sich Zugriff auf das Postfach eines einzelnen indischen Bankmitarbeiters verschaffte, benötigten keine ausgefallenen Methoden. Sie brauchten lediglich ein E-Mail-Konto. Zwei voneinander unabhängige Vorfälle auf verschiedenen Kontinenten in der letzten Juliwoche 2026 bestätigten eine unbequeme Tatsache: E-Mail bleibt das einfachste Einfallstor ins Unternehmen – und die meisten Organisationen lassen diese Tür weiterhin unverschlossen.

Am 23. Juli veröffentlichten CISA und internationale Partnerbehörden die Warnung AA26-204A, in der eine Kampagne einer Gruppe namens LAUNDRY BEAR (auch bekannt als Void Blizzard, CL-STA-1114 und TA488) beschrieben wird, die seit mindestens Juli 2025 eine Cross-Site-Scripting-Schwachstelle in Zimbra Collaboration Suite Webmail, CVE-2025-66376, ausnutzt. Der Sicherheitsanbieter AttackIQ veröffentlichte am 27. Juli eine eigene Reaktion auf die Warnung. Zur gleichen Zeit bestätigte die indische, staatliche Bank of Baroda, dass sie einen Datenabfluss untersucht, der laut Forschern auf ein einzelnes kompromittiertes Mitarbeiter-E-Mail-Konto zurückzuführen ist. Unterschiedliche Kontinente, unterschiedliche Angreifer, unterschiedliches Ausmaß – aber derselbe Mechanismus.

Keiner der Vorfälle betraf eine von Kiteworks gesteuerte Umgebung. Die Opfer von Zimbra nutzten die native Zimbra-Webmail; die Schwachstelle bei der Bank of Baroda ist auf Standard-Firmen-E-Mail zurückzuführen. Beide Fälle verdeutlichen jedoch dieselbe Risikoklasse, die eine gesteuerte, sichere E-Mail- und Content-Access-Plattform reduzieren soll: Angreifer-gesteuerter Inhalt, der innerhalb einer E-Mail-Plattform ausgeführt wird, und ein einzelnes Postfach, das als ungeschütztes Tor zu monatelanger Korrespondenz, Zugangsdaten und sensiblen Dateien dient. Im Folgenden werden bestätigte Fakten von Angreiferbehauptungen in beiden Fällen getrennt und anschließend betrachtet, wo ein Kiteworks-Ansatz für sicheren Datenaustausch das Risiko tatsächlich verändert – und wo nicht.

Wichtige Erkenntnisse

1. Eine einzelne CVE in Zimbra Webmail öffnete ein 12-monatiges Spionagefenster. Die CISA-Warnung AA26-204A verknüpft CVE-2025-66376 mit einem russischen, staatlich unterstützten Akteur, der seit mindestens Juli 2025 E-Mails, Zugangsdaten und MFA-Tokens von Regierungs- und Wirtschaftszielen abgreift.
2. Die Bank of Baroda führt ihren Vorfall auf ein kompromittiertes Mitarbeiter-Postfach zurück. Die Bank erklärt, dass Kernbankensysteme nicht betroffen waren. Forscher berichten jedoch über geleakte Datensätze mit angeblich mehreren Hundert Gigabyte an Kreditunterlagen, Prüfberichten und interner Kommunikation – Zahlen, die bislang nur von Angreifern und nicht von der Bank selbst bestätigt wurden.
3. E-Mail ist ein Datenarchiv, nicht nur ein Kommunikationsmittel – und Angreifer wissen das. Der Zimbra-Exploit soll 90 Tage Nachrichtenhistorie auf einmal abgegriffen haben; das Baroda-Postfach enthielt offenbar Kreditbewertungen und interne Audits, die dort ungeschützt nichts zu suchen hatten.
4. Automatisierte Richtlinienkontrolle für jede Nachricht schließt eine Lücke, die beide Opfer offenließen. Das Kiteworks Email Protection Gateway erzwingt Verschlüsselung, Routing, Quarantäne und Ablehnung jeder ein- und ausgehenden Nachricht basierend auf Dateninhalt und Klassifizierung und protokolliert das Ergebnis – Funktionen, die gegriffen hätten, wenn die Organisationen ihre E-Mails darüber und nicht über native Webmail geroutet hätten.
5. Gesteuerte Plattformen machen Webmail nicht unangreifbar – und dieser Beitrag behauptet das auch nicht. Kiteworks war in keinem der beiden Fälle im Datenpfad, und diese Einschränkung ist wichtig: EPG kann keinen Webmail-Quellcode patchen, und der Schutz hängt davon ab, wie ein Unternehmen Richtlinien und Aufbewahrungsregeln konfiguriert.

Details zur CISA-Warnung AA26-204A: Die Zimbra-Kampagne

Die gemeinsam mit internationalen Partnerbehörden veröffentlichte CISA-Warnung beschreibt eine anhaltende Spionageoperation gegen zahlreiche Sektoren: die Defense Industrial Base (DIB), Bundes- und Lokalbehörden, Bildung, Energie, Strafverfolgung, Medien, NGOs und Technologieunternehmen in westlichen Ländern. Der dahinterstehende Akteur, bekannt unter mehreren Namen wie LAUNDRY BEAR, Void Blizzard, CL-STA-1114 und TA488, ist laut Berichten seit mindestens Juli 2025 aktiv.

Der Angriffsmechanismus ist eine Cross-Site-Scripting-Schwachstelle in der Webmail-Oberfläche der Zimbra Collaboration Suite, katalogisiert als CVE-2025-66376 und verursacht durch unzureichende Bereinigung von CSS-@import-Direktiven in E-Mail-Inhalten. Cross-Site-Scripting-Lücken erlauben es Angreifern, eigenen Code innerhalb einer legitimen Webanwendungssitzung auszuführen – hier im Webmail-Client selbst. Nach Angaben der CISA sammelte der Exploit nach Auslösung die letzten 90 Tage E-Mails, gespeicherte E-Mail-Adressen und Passwörter, das interne E-Mail-Verzeichnis der Organisation, Zwei-Faktor-Authentifizierungs-Tokens und neu generierte Anwendungspasswörter. Das gestohlene Material wurde offenbar an eine Backend-Infrastruktur mit dem internen Namen „Flowerbed“ weitergeleitet. Zimbra veröffentlichte bereits im November 2025 einen Fix in den ZCS-Versionen 10.0.18 und 10.1.13 – das bedeutet, dass für alle noch betroffenen Organisationen seit Monaten ein Patch verfügbar ist.

Bemerkenswert an dieser Warnung ist der Umfang dessen, was eine einzige Schwachstelle in einer Webmail-Plattform ermöglichen kann. Es geht nicht um eine einzelne E-Mail oder einen Anhang, sondern um drei Monate Korrespondenz, die Zugangsdaten, die diese Korrespondenz schützen, und die MFA-Tokens, die eigentlich als Schutz gegen gestohlene Passwörter dienen sollen. Die Reaktion von AttackIQ, eine Adversary-Emulation, mit der Verteidiger testen können, ob ihre Erkennungssysteme dieses Verhaltensmuster erkennen, ist ein sinnvoller Schritt. Sie bleibt jedoch eine reine Erkennungsmaßnahme – nicht Prävention: Die Emulation zeigt, ob Sie einen Angriff bemerken würden, nicht ob die Webmail-Anwendung den bösartigen Inhalt überhaupt ausgeführt hätte. Eine SIEM-Plattform, die auf Verhaltensalarme für das Flowerbed-Exfiltrationsmuster konfiguriert ist – etwa ungewöhnliches ausgehendes Datenvolumen, auffällige Session-Token-Aktivitäten oder Authentifizierungen aus ungewöhnlichen Regionen – macht aus dem Emulationstest von AttackIQ eine kontinuierliche Überwachungsfunktion.

Bank of Baroda: Was ist bestätigt und was bleibt Behauptung?

Der zweite Vorfall ist in der öffentlichen Berichterstattung weniger detailliert, zeigt aber umso deutlicher, wie schnell ein einzelnes kompromittiertes Postfach zur Eskalation führen kann. Sicherheitsforscher Srikanth Lakshmanan identifizierte zuerst einen Datensatz der Bank of Baroda im Darknet. Reuters berichtete anschließend über Metadaten, die auf mehr als 700 GB hindeuten, während andere Quellen von „fast 1 Terabyte“ sprechen. Diese Zahlen stammen von Forschern oder Angreifern, nicht von der Bank selbst – und diese Unterscheidung ist wichtig, wenn es um die tatsächliche Reichweite des Vorfalls geht.

Das geleakte Material soll Kundenausweisdokumente, Kredit- und Bewertungsunterlagen, interne Auditberichte, Filialdokumente und interne Kommunikation enthalten. Einige Berichte gehen weiter und behaupten, dass auch Aadhaar-Nummern und NetBanking-Daten betroffen sind – dies wurde von der Bank of Baroda jedoch nicht bestätigt und sollte daher als unbestätigt gelten.

Was die Bank bestätigt hat, ist begrenzter, aber aufschlussreich: Der Vorfall geht auf ein kompromittiertes Mitarbeiter-E-Mail-Konto zurück. Die Bank betont, dass Kernbankensysteme nicht betroffen und weiterhin sicher sind. Keine Hackergruppe hat die Verantwortung übernommen, einige Forscher bringen die Aktivität jedoch mit einem Bedrohungsakteur namens TripleX in Verbindung. Die Bank of Baroda hat eine forensische Untersuchung eingeleitet und arbeitet mit den Behörden zusammen. Bis zum Abschluss der Untersuchung sollten Umfang und Inhalt des Leaks als vorläufig betrachtet werden. Das geistige Eigentum und die Kundendaten, die offenbar über dieses eine Postfach zugänglich waren, zeigen, warum Finanzinstitute mit DSGVO-Compliance oder branchenspezifischen Datenschutzpflichten einzelne Mitarbeiter-E-Mail-Konten nicht außerhalb ihrer gesteuerten Content-Umgebung betrachten dürfen.

Unabhängig von den unklaren Zahlen bleibt eine Tatsache bestehen: Ein einziges Mitarbeiter-Postfach enthielt oder ermöglichte offenbar Zugriff auf Kreditakten, Prüfberichte und interne Kommunikation, die eine Bank keinesfalls öffentlich sehen möchte. Das ist keine ausgefeilte technische Exploit-Kette wie im Fall der Zimbra-CVE, sondern ein viel häufigeres und gefährlicheres Muster: Sensible Geschäftsinhalte liegen im oder sind über das Postfach einer Einzelperson erreichbar – geschützt nur durch die Zugriffskontrollen dieses einen Kontos.

Warum E-Mail als Angriffsvektor weiter dominiert

Sicherheitsteams investieren seit zwei Jahrzehnten in Phishing-Awareness-Trainings, Virenscanner und Multi-Faktor-Authentifizierung, und dennoch bleibt E-Mail in vielen Vorfällen der Einstiegspunkt. Die Fälle Zimbra und Bank of Baroda zeigen, warum das Problem fortbesteht: E-Mail ist kein einzelner Kontrollpunkt, sondern ein vollständiges Datenarchiv mit im Verhältnis zu seinem Inhalt schwachen Perimeterschutz.

Betrachten Sie, was ein Postfach nach ein bis zwei Jahren normaler Geschäftsnutzung enthält: Verträge, Kreditbewertungen, Audit-Ergebnisse, Kundendaten als Anhang, weil das gemeinsame Laufwerk zu umständlich war, Passwort-Reset-Links, MFA-Backup-Codes, die „nur dieses eine Mal“ verschickt wurden. Keiner dieser Inhalte war für die dauerhafte Speicherung in der E-Mail vorgesehen, aber sie sammeln sich dort an, weil E-Mail der Weg des geringsten Widerstands für Informationsaustausch ist. Angreifer wissen das oft besser als Verteidiger – deshalb kann eine Webmail-Schwachstelle oder ein gestohlenes Passwort monatelang sensible Inhalte auf einen Schlag offenlegen. Ein bestätigter Datenschutzverstoß über ein kompromittiertes E-Mail-Konto – in dem sich ohne gesteuerte Aufbewahrungsrichtlinie monatelang sensible Inhalte ansammeln – führt zu einem Meldeumfang, der erst nach vollständiger Rekonstruktion der Zugriffshistorie exakt bestimmt werden kann.

Die Zimbra-Warnung bringt eine zweite Dimension ins Spiel: Die Webmail-Anwendung selbst wird zur Angriffsfläche, nicht nur der Mensch, der die Nachrichten liest. Eine Cross-Site-Scripting-Lücke erfordert kein Klicken auf einen bösartigen Link im klassischen Phishing-Sinn. Sie nutzt das Vertrauen des Browsers in den eigenen Code der Webmail-Plattform aus. Damit verlagert sich ein Teil der Verteidigungsaufgabe von der Schulung der Nutzer auf die Frage, wie die E-Mail-Plattform Inhalte prüft, isoliert und protokolliert – sowohl gespeicherte als auch durchlaufende Inhalte.

Wie ein gesteuerter Ansatz für sichere E-Mail das Risiko verändert

Weder die Zimbra-Opfer noch die Bank of Baroda nutzten eine Kiteworks Secure Email-Umgebung. Es wäre also nicht korrekt zu behaupten, Kiteworks hätte einen der Vorfälle verhindert. Richtig ist jedoch: Die in beiden Warnungen beschriebenen Mechanismen – Angreifer-gesteuerter Inhalt, der in einer Webmail-Plattform ausgeführt wird, und ein kompromittiertes Postfach als Pipeline für sensible Geschäftsdaten – liegen genau im Problembereich, den gesteuerte Secure Email und zero trust architecture adressieren.

Das Kiteworks Email Protection Gateway (EPG) basiert auf einer Data Policy Engine, die automatisch Verschlüsselung, Routing, Quarantäne und Ablehnung jeder ein- und ausgehenden Nachricht erzwingt – basierend auf Dateninhalt, Absender, Empfänger und Klassifizierung, ohne dass der Anwender aktiv werden muss. Darüber hinaus scannt EPG eingehende Nachrichten und leitet potenziell sensible Daten, wie CUI von einem Defense Contractor, aus dem Standard-Postfach heraus in einen konformen Pfad. Jede Entscheidung wird in einem einheitlichen, unveränderbaren Audit-Log dokumentiert. Im Zimbra-Szenario sitzt diese Richtlinienebene vor dem Mailflow, nicht im Rendering-Engine des Webmail-Clients, was das Risiko für Angriffe reduziert, die auf die Ausführung von Inhalten durch die Webmail-Anwendung setzen. Im Fall der Bank of Baroda ist die Fähigkeit entscheidend, sensible Dateien, Kreditbewertungen, Audit-Berichte und Kundendaten als gesteuerte Inhalte per Richtlinie zu routen und zu protokollieren – statt als Ad-hoc-Anhänge in beliebigen Postfächern zu lagern. Durchsetzbare Datenminimierungsrichtlinien auf Gateway-Ebene – etwa das automatische Löschen von Anhängen und sensiblen Inhalten nach Ablauf definierter Aufbewahrungsfristen – verringern die Menge an wiederherstellbarem Material für Angreifer und begrenzen so den Schaden, wie beide Vorfälle zeigen.

Diese Grenzen sind wichtig, denn übertriebene Versprechen nach einem Vorfall sind im Sicherheitsmarketing leider üblich und wenig hilfreich. EPG patcht keinen fremden Webmail-Quellcode und kann nicht jede Anwendungsschwachstelle in einer vorgeschalteten Plattform eliminieren. Seine Wirksamkeit hängt maßgeblich davon ab, wie ein Unternehmen Richtlinien, Klassifizierungen und Aufbewahrungsregeln konfiguriert – ein schlecht konfiguriertes Gateway bietet nur einen Bruchteil des möglichen Schutzes. Die ehrliche Aussage ist: geringere Angriffsfläche und kleinerer Schaden, nicht Immunität. Gleiches gilt für den Baroda-Fall: Die Annahme, dass „kompromittiertes Mitarbeiter-E-Mail-Konto“ durch „gesteuerte Secure Email“ geschlossen werden kann, ist eine nachvollziehbare Schlussfolgerung aus den bisherigen Bankangaben – aber kein Nachweis für eine konkrete technische Exploit-Kette, da die Bank diese nicht veröffentlicht hat.

Zero Trust für E-Mail-Inhalte aufbauen

Die praktische Lehre aus beiden Vorfällen: E-Mail muss als Content-System mit derselben Sorgfalt behandelt werden wie ein Dateiserver oder eine Datenbank – nicht als reines Kommunikationsmittel mit Anhängen.

Scannen Sie vor der Zustellung, nicht erst nach der Entdeckung eines Vorfalls. Der Zimbra-Exploit lief direkt in der Webmail-Sitzung, daher reduziert eine vorgeschaltete Scanning-Schicht – unabhängig vom Patch-Zyklus des Webmail-Anbieters – das Zeitfenster, in dem bösartiger Inhalt ausgeführt werden kann.

Sensible Dateien sollten zudem nie dauerhaft in einzelnen Postfächern verbleiben. Die Kreditbewertungen, Audit-Berichte und Filialdokumente der Bank of Baroda lagen offenbar im oder waren über das Postfach eines Mitarbeiters erreichbar. Datenklassifizierung und gesteuertes sicheres Filesharing schaffen eine eigene Zugriffskontrolle für diese Inhalte – unabhängig davon, was mit den Zugangsdaten einer Einzelperson passiert. Ein Governance-Framework, das die langfristige Speicherung sensibler Geschäftsunterlagen in Einzelpostfächern explizit untersagt und diese stattdessen über eine gesteuerte Filesharing-Umgebung mit dateibezogenen Zugriffsrechten leitet, unterbindet das Akkumulationsmuster, das beide Vorfälle von Credential-Diebstahl zu großflächigem Datenabfluss machte.

MFA-Tokens und Anwendungspasswörter verdienen denselben Schutz wie sensible Inhalte im Transit – nicht nur als Authentifizierungsartefakte. Die Zimbra-Kampagne zielte explizit auf neu erstellte Anwendungspasswörter, die per E-Mail verschickt wurden. Verteidiger müssen daher auch bedenken, wie diese Tokens zugestellt und gespeichert werden – nicht nur, wie sie generiert werden.

Und: Audit-Trail-Transparenz sollte an jedem Punkt bestehen, an dem sensible Inhalte die E-Mail berühren. Wenn ein Vorfall eintritt, muss die forensische Zeitleiste bereits existieren – nicht erst mühsam aus verstreuten Logs rekonstruiert werden. Die laufende forensische Untersuchung bei der Bank of Baroda und der weiterhin unklare Umfang des Leaks zeigen, wie viel schwieriger die Reaktion ohne diese Transparenz ist. Ein dokumentierter Incident-Response-Plan mit einem spezifischen Runbook für das Szenario „kompromittiertes Mitarbeiter-Postfach mit angesammelten sensiblen Inhalten“ – inklusive sofortigem Zugriffsentzug, Audit-Log-Extraktion, Umfangsbewertung und regulatorischer Meldekette – macht aus dem improvisierten Krisenmodus eine geübte, zeitlich begrenzte Reaktion.

All das ist nicht exotisch. Es ist die operative Umsetzung von zero trust data protection: Jede einzelne Information, die per E-Mail läuft, wird überprüft – unabhängig davon, ob sie intern oder extern stammt. Und ein Postfach ist nicht automatisch sicher, nur weil es einem vertrauenswürdigen Mitarbeiter gehört.

Regulatorische und branchenspezifische Risiken über diese beiden Vorfälle hinaus

Die in der CISA-Warnung genannten Sektoren – Verteidigung, Regierung, Energie, Strafverfolgung und Bildung – gehören auch zu den am strengsten regulierten, wenn es um den Umgang mit sensiblen Inhalten geht. Organisationen mit CMMC-Compliance oder im Umgang mit CUI unterliegen spezifischen Vorgaben für den Austausch kontrollierter Informationen – Vorgaben, die eine für Content-Execution-Angriffe anfällige Webmail-Plattform schwerer erfüllbar macht. Finanzinstitute wie die Bank of Baroda unterliegen eigenen regulatorischen Anforderungen an Datenschutz und Meldepflichten. Ein kompromittiertes Mitarbeiter-Postfach mit Kredit- und Auditdaten wirft genau die Fragen auf, die Aufsichtsbehörden nach einem Vorfall stellen: Welche Zugriffskontrollen bestanden, was wurde protokolliert, wie schnell wurde der Vorfall erkannt? Programme zum Management von Lieferkettenrisiken in den von der CISA-Warnung adressierten Sektoren sollten explizit prüfen, ob Lieferanten oder Partner CUI oder regulierte Finanzdaten über unkontrollierte E-Mail-Kanäle austauschen – die gleiche Schwachstellenklasse, die LAUNDRY BEAR ausnutzte, betrifft auch die erweiterte Lieferkette eines Hauptauftragnehmers oder Finanzinstituts.

Beide Warnungen sind in erster Linie keine Compliance-Geschichten, sondern operative Sicherheitsversäumnisse – die Compliance-Folgen werden mit Abschluss der Untersuchungen folgen. Sie erinnern jedoch daran, dass regulatorische Rahmenbedingungen zunehmend voraussetzen, dass Organisationen grundlegende Fragen zu E-Mail-Inhalten beantworten können: Was hat das Unternehmen verlassen, wann und unter wessen Zugriff? Eine Plattform, die auf regulatory compliance und gesteuerten Content-Austausch ausgelegt ist, macht diese Fragen auf Knopfdruck beantwortbar – statt erst nachträglich rekonstruierbar. Das CISO Dashboard liefert die Echtzeit-Transparenz über alle E-Mail- und Content-Exchange-Kanäle, die diese On-Demand-Antwortfähigkeit operativ macht.

Mehr darüber, wie Sie E-Mail-Risiken mit gesteuertem Scanning, Zugriffskontrolle und Audit-Transparenz reduzieren, erfahren Sie in einer individuellen Demo – jetzt Termin vereinbaren.

Weitere Ressourcen

• Blogbeitrag Schützen Sie Ihre sensiblen Inhalte mit E-Mail-Sicherheit
• Blogbeitrag Kurzüberblick: So optimieren Sie E-Mail-Governance, Compliance und Content-Schutz
• Kurzüberblick Transparenz erweitern und Schutz aller sensiblen E-Mails automatisieren
• Kurzüberblick Kiteworks Secure Email mit dem Email Protection Gateway (EPG) erweitern