Kein Lösegeld: Vodafone-Quellcode landet im Darknet

Nach einer offenbar gescheiterten Erpressung hat die Cybergang Lapsus$ rund 180 GByte Daten von Vodafone veröffentlicht, darunter Software-Quelltexte und Netzwerkpläne. Kundendaten sollen nicht betroffen sein.

Der Telekommunikationskonzern Vodafone ist von der Erpressergruppe Lapsus$ angegriffen worden. Die Gruppierung verschaffte sich Zugang und kopierte unter anderem Software-Quelltexte. Da die mutmaßlichen Lösegeldforderungen ins Leere liefen, stehen die Daten inzwischen frei im Netz. Dass Vodafone nicht gezahlt hat, deckt sich mit der gängigen Empfehlung von IT-Sicherheitsfachleuten: Von Lösegeldzahlungen wird üblicherweise abgeraten, da sie keine Garantie für die Löschung der Daten bieten und das Geschäftsmodell der Täter weiter befeuern.

Inhaltlich verspricht die Gruppe ein umfangreiches Paket: Neben Quelltextdateien sollen sich darin Unterlagen zur gesamten Infrastruktur, ein GitHub-Tree und interne Netzwerkkarten finden. Bereitgestellt wird das Material den Angaben nach als Archiv mit dem Namen „VODA_FULL_DUMP.tar.xz“. Dessen Größe beziffert Lapsus$ auf etwa 180 GByte. Über die Darknet-Seite der Bande ist die Datei verlinkt und direkt abrufbar.

Was Vodafone bestätigt und was nicht

Gegenüber heise online hat Vodafone den Datenabfluss eingeräumt. Der unbefugte Zugriff sei nach Unternehmensangaben bereits im März 2026 erfolgt, die Veröffentlichung der Kopien dann am 10. Mai. Betroffen sei lediglich eine nach eigener Darstellung sehr geringe Anzahl an Quellcodedateien. Die hauseigene Sicherheit habe den Vorgang noch im März registriert und eingegrenzt.

Entwarnung gibt der Anbieter mit Blick auf die Kundschaft: Sensible Kundendaten seien nach seiner Darstellung nicht kopiert worden. Auch interne Systeme seien nicht erreicht worden, sodass weder die Infrastruktur noch Netze oder Produktionssysteme Schaden genommen hätten.

Details zum Ablauf des Angriffs hält sich der Konzern bislang zurück. Welche Systeme konkret betroffen waren und wie hoch die Forderung der Erpresser ausfiel, ist nicht öffentlich.