Niederländische Polizei verhaftet mutmaßlichen ShinyHunters-Anführer, während die FBI-Breach-Folgen wachsen

Am Dienstag, dem 29. September 2026, meldeten das FBI und die niederländische Polizei die Verhaftung eines mutmaßlichen Anführers von ShinyHunters, der Erpressergruppe, die sie mit Datendiebstählen bei mehr als 140 Organisationen weltweit in Verbindung bringen. Die niederländische Polizei teilte mit, der Verdächtige sei ein nicht namentlich genannter 24-jähriger Mann aus Amsterdam, der am 15. September unter dem Verdacht der „Beteiligung an einer kriminellen Organisation“ festgenommen wurde. Bei einer Anhörung am selben Tag ordnete das Bezirksgericht Rotterdam an, ihn mindestens 90 Tage länger in Untersuchungshaft zu halten.

Zum Weiterlesen: ShinyHunters reklamiert 284 Millionen Datensätze von McKesson – und der Gesundheitsleak wächst · Sonys japanische ISP-Sparte meldet Datenpanne mit 2,6 Millionen Datensätzen.

Die Ankündigung beschloss zwei Wochen, in denen der Hackerfall und ein separates, schwerwiegenderes Vergehen fast gleichzeitig öffentlich wurden. Der beschlagnahmte Laptop des Mannes steht auch im Zentrum einer niederländischen Untersuchung, ob er zwei Morde im Ausland in Auftrag geben wollte, ein Verdacht, der laut Polizei nicht mit dem ShinyHunters-Verfahren zusammenhängt. Und die Verhaftung erfolgte Tage, nachdem ShinyHunters behauptet hatte, in die eigenen Bewerbungssysteme des FBI eingedrungen zu sein und sensible Personaldaten gestohlen zu haben.

Was die niederländische Polizei mitteilte

In der Erklärung der niederländischen Polizei heißt es, der Mann sei am Dienstag, dem 15. September, von der Nationalen Einheit für Ermittlung und Intervention festgenommen worden, während das High Tech Crime Team die ShinyHunters-Untersuchung unter der nationalen Staatsanwaltschaft führte. Er wurde unter dem Verdacht festgehalten, an einer kriminellen Organisation beteiligt zu sein, die die Erklärung als ShinyHunters benennt.

Nach der Beschlagnahme seiner Geräte, so die Polizei, fanden die Ermittler eine große Menge an Informationen auf seinem Laptop, „darunter zu zwei Morden, die im Ausland begangen werden sollten“, wie aus TechCrunchs Übersetzung der Erklärung hervorgeht. Die Polizei erklärte, es gebe Hinweise darauf, dass er den Auftrag erteilt habe, und er werde daher auch wegen versuchter Anstiftung zu zwei Morden ermittelt, ein Verdacht, der laut der Erklärung getrennt vom ShinyHunters-Verfahren steht. Weitere Verhaftungen, so die Polizei, seien nicht ausgeschlossen.

Stan Duijf, der für die Cybercrime-Strategie der Polizei zuständige Beamte, sagte in der Erklärung, ShinyHunters habe im In- und Ausland eine große Zahl von Opfern verursacht, und die Behörde sei erfreut, in der Untersuchung gegen die Gruppe einen Verdächtigen verhaftet zu haben. Die Erklärung merkt zudem an, dass der Mann nicht im Odido-Verfahren festgenommen wurde, dem Angriff auf den niederländischen Telekommunikationsanbieter, bei dem Daten von mehr als 6,2 Millionen Menschen kompromittiert wurden. Dieser Fall bleibt offen, und die niederländische Polizei hat die Öffentlichkeit um Hilfe gebeten bei der Identifizierung einer Stimme, die in einem Anruf vom Februar 2026 zu hören war, mit dem ein Odido-Mitarbeiter mittels Social Engineering manipuliert werden sollte.

Der Verdächtige und ein Dementi

Die niederländische Polizei nannte den Mann nicht. KrebsOnSecurity berichtete, drei Quellen hätten ihn als Pepijn van der Stap identifiziert, und Reuters sowie Bloomberg nannten ihn anschließend namentlich. Reuters berichtete, Benjamin Korper, ein leitender Angestellter des Amsterdamer Cybersicherheitsunternehmens Neo Security, habe die Identität bestätigt und van der Stap als Leiter des Offensive-Security-Bereichs des Unternehmens beschrieben. TechCrunch beschrieb dieselbe Rolle als Chief Technology Officer, weshalb die öffentlichen Angaben zu seinem Titel voneinander abweichen.

Reuters berichtete außerdem, Korper habe gesagt, niederländische Forensiker hätten am Abend des 15. September sein Büro besucht, als van der Stap bei einer Razzia festgenommen wurde, bei der auch Blitzknallgranaten zum Einsatz kamen. Gegenüber Reuters gab Korper an, er habe van der Stap vor der Einstellung überprüft und ihn während seiner Beschäftigung beobachtet.

„Ich glaube wirklich, dass Menschen eine zweite Chance verdienen, aber in diesem Fall wurde mir das nicht gedankt“, sagte Korper und fügte hinzu, eine von ihm beauftragte externe Firma habe bislang keine Beweise dafür gefunden, dass van der Stap gegen Neo Security oder dessen Kunden gehandelt habe. „Ausnahmslos jeder, mit dem ich gesprochen habe, ist fassungslos“, sagte er.

Van der Stap war bereits verurteilt. Krebs berichtete, er sei 2023 im Zusammenhang mit einer Reihe von Datendiebstählen und Erpressungen verurteilt worden, die der Staatsanwaltschaft zufolge zwischen 1,5 und 2,7 Millionen Euro eingebracht hatten, und habe eine Haftstrafe von vier Jahren erhalten, eines davon zur Bewährung. Im Dezember 2025 kam er frei. Danach gab er sich geläutert, arbeitete als Softwareentwickler beim Sicherheits-Startup Hadrian und engagierte sich ehrenamtlich beim niederländischen Institut für Schwachstellenmeldung, bevor er zu Neo Security kam, so Krebs. Bloomberg porträtierte ihn 2024 als Forscher, der auch Unternehmen erpresste.

ShinyHunters seinerseits bestreitet jede Verbindung. Die Gruppe erklärte gegenüber TechCrunch, van der Stap „habe nichts mit uns zu tun“, und sagte zu Reuters, er habe „keine Verbindung“, während sie die niederländische Polizei als inkompetent bezeichnete.

Der FBI-Angriff hinter der Verhaftung

Der Verhaftung ging ein Angriff auf das Bewerbungsportal des FBI voraus. Die Behörde teilte ihren Mitarbeitenden mit, deren persönliche Daten, darunter Namen, Adressen, Stellenbezeichnungen und Sozialversicherungsnummern, seien bei einem Vorfall, den sie als Cyber-Sicherheitsvorfall bezeichnete, offengelegt worden. ShinyHunters gibt an, durch das Eindringen in apply.fbijobs.gov, die Seite für FBI-Stellen, Daten von „fast allen“ Agenten und Bewerbern der Behörde gestohlen und zusammen mit einer Erpresserforderung Proben an Journalisten weitergegeben zu haben.

Die BBC berichtete, sie habe arbeitsmedizinische Untersuchungen mit Blut- und Urintestergebnissen und Arztnotizen gesehen, zusammen mit vollständigen Namen und Adressen von Agenten. Reuters berichtete, das gestohlene Material umfasse auch psychiatrische und medizinische Bewertungsunterlagen, und gab an, mehrere Dateien teilweise verifiziert zu haben, unter anderem indem Sozialversicherungsnummern gegen Daten von Auskunfteien abgeglichen wurden. Die Gruppe behauptete, 2 bis 3 Terabyte zu besitzen, und die BBC merkte an, sie habe zunächst Daten zu rund 38.000 aktuellen Mitarbeitenden reklamiert, bevor sie erklärte, die Zahl könne bei etwa 60.000 aktuellen und ehemaligen Beschäftigten liegen.

Ein internes FBI-Memo besagte, die Behörde gehe von der Annahme aus, dass die Hacker Daten aller Mitarbeitenden gestohlen hätten, wie Reuters berichtete. In öffentlichen Erklärungen hat das FBI mitgeteilt, es „untersuche den Vorfall mit Nachdruck“ und arbeite „rund um die Uhr“, und prüfe, ob der Angriff über einen Drittanbieter erfolgte.

Die Hacker sagten zu TechCrunch, der Angriff sei nicht finanziell motiviert gewesen, und sie würden die gestohlenen FBI-Daten nicht veröffentlichen; er diene dazu, „ein Zeichen zu setzen und die gegen uns erhobenen Vorwürfe zu bestreiten, und das haben wir getan“. Zuvor, so die BBC, hätten sie damit gedroht, den vollständigen Datensatz zu veröffentlichen, falls das FBI eine Warnmeldung vom Mai nicht zurückziehe, die die Gruppe nach eigener Aussage verärgert habe.

Die Spionageabwehr-Dimension der medizinischen Daten

Die medizinischen Unterlagen machen aus einem Datenleck ein Problem der Spionageabwehr. Der frühere FBI-Agent Eric O'Neill sagte zu Reuters, das Vorhandensein medizinischer Daten rücke den Hack in die Größenordnung des Eindringens in das Office of Personnel Management von 2015, und der Datenschatz werde feindliche Dienste anziehen.

„Ich wäre schockiert, wenn der russische Geheimdienst nicht an ihre Tür klopfen und sagen würde: ‚Wir wollen dieses Zeug, rückt es heraus'“, sagte O'Neill.

Etay Maor, Vizepräsident für Threat Intelligence bei Cato Networks, sagte der BBC, die Daten ließen sich nicht so zurücksetzen wie ein Passwort. „Passwörter kann man zurücksetzen, wenn sie gestohlen wurden, medizinische Unterlagen nicht, also bleibt diese Datensammlung, sobald sie draußen ist, für immer kompromittiert“, sagte er. Ciaran Martin, der frühere Leiter des britischen National Cyber Security Centre, bezeichnete den Hack, falls bestätigt, laut BBC als „so gravierend, wie es bei Datenlecks nur sein kann“.

Namen in Verbindung mit Einsatzgebieten, Gesundheitsverläufen und Kontaktdaten können Erpressung, das Ausgeben als Strafverfolgungsbeamter und auf bestimmte Agenten zugeschnittene Phishing-Angriffe ermöglichen. Reuters berichtete, ein Teil der Daten betreffe Agenten, die zu Russland, China und Drogenkartellen arbeiten, und 404 Media berichtete, Details einer wenig bekannten Hacking-Einheit des FBI seien offengelegt worden. Die Kombination aus Einsatzdaten und medizinischen Unterlagen unterscheidet diesen Vorfall von einem typischen Unternehmensleck.

Wie die Gruppe laut Berichten vorgeht

ShinyHunters ist seit 2019 aktiv und wird mit Angriffen auf Pornhub, Ticketmaster und AT&T sowie dem Odido-Hack in den Niederlanden in Verbindung gebracht. Leatherman sagte, die Gruppe ziele oft auf Drittanbieter in cloudbasierten Plattformen, stehle Daten und erpresse Opfer mit der Drohung, sie zu veröffentlichen.

Krebs berichtete, die Gruppe habe sich Zugang verschafft, indem sie CVE-2026-35273 ausnutzte, eine Schwachstelle in Oracles Personalsoftware PeopleSoft, die sie Berichten zufolge ab Juni als Zero-Day einsetzte. Ein Bericht von Mandiant und der Google Threat Intelligence Group vom 25. September bestätigte die massenhafte Ausnutzung der Schwachstelle in Branchen wie Hochschulwesen, Technologie, Gesundheitswesen und Verwaltung. BleepingComputer berichtete später, die Gruppe habe einen URL-Kodierungstrick genutzt, um Web-Application-Firewall-Regeln zu umgehen, die Mandiant empfohlen hatte.

Die Schätzungen zur Beute der Gruppe unterscheiden sich je nach Quelle und Umfang. Leatherman sagte, ShinyHunters habe seit dem Vorjahr „mindestens 70 Millionen Dollar an Erpressungszahlungen“ eingenommen, während Krebs die Schätzung eines Mandiant-Forschers nannte, die Gruppe steuere 2026 auf fast 100 Millionen Dollar zu. Die Zahlen decken unterschiedliche Zeiträume und Zahlungsdefinitionen ab und sind als getrennte Schätzungen zu lesen, nicht als eine einzige Summe.

Krebs berichtete außerdem, Quellen beschrieben einen Wechsel in der Führung der Gruppe: Ein im Teenageralter befindlicher Akteur mit dem Namen Rey habe die Marke ShinyHunters als Teil einer fusionierten Gruppe übernommen, und eine Defacement-Aktion im Umbreon-Stil auf der FBI-Jobseite könne ein Versuch gewesen sein, den niederländischen Verdächtigen zu belasten. Diese Darstellungen stammen von Quellen, die mit Krebs sprachen, und sind von den Behörden nicht bestätigt.

Vorbehalte und worauf zu achten ist

Der zentrale Vorbehalt ist juristischer Natur. Der Mann ist in diesem Fall ein Verdächtiger, keine verurteilte Person. Nach niederländischem Recht gilt er als unschuldig, und der Mordvorwurf ist eine eigene Ermittlungslinie, die die Polizei mit Beweisen auf seinem Laptop, aber nicht mit dem Hackerfall verknüpft hat. Die Polizei hat ihn nicht namentlich genannt, und die Identifizierung stammt aus der Berichterstattung von Krebs, Reuters und Bloomberg, nicht aus einer offiziellen Erklärung. Auch der Titel seiner Rolle bei Neo Security wird von verschiedenen Medien unterschiedlich wiedergegeben.

Der Umfang des FBI-Angriffs stützt sich stark auf die Behauptungen der Hacker und auf Dokumente, die Journalisten geprüft und teilweise verifiziert haben. Das FBI hat keine vollständige Aufstellung veröffentlicht, wer betroffen war oder wie viele Datensätze entwendet wurden, und eine Gruppe, die ein Interesse daran hat, ihren Zugriff zu übertreiben, ist die Quelle mehrerer der größten Zahlen.

Drei Dinge gilt es zu beobachten. Erstens, ob die niederländische Staatsanwaltschaft Anklage erhebt und ob die Polizei weitere Verhaftungen vornimmt; in der Erklärung hieß es, neue Verhaftungen seien nicht ausgeschlossen. Zweitens, was mit den FBI-Daten geschieht. Die öffentliche Haltung der Gruppe hat sich von einer Veröffentlichungsdrohung zu einem Versprechen verschoben, sie zurückzuhalten, und das könnte sich ändern. Drittens, ob die PeopleSoft-Schwachstelle weiterhin Angriffe hervorbringt. Eine gepatchte Schwachstelle, ein bekannter Exploit und eine veröffentlichte Firewall-Umgehung sind die Zutaten für eine lange Kampagne, und Organisationen, die PeopleSoft betreiben, haben nur ein enges Zeitfenster, um zu bestätigen, dass sie gepatcht sind.

Für das FBI entfernt die Verhaftung einen mutmaßlichen Akteur. Die Behörde weiß weiterhin nicht, wie viele sensible Personaldaten sich inzwischen außerhalb ihrer Kontrolle befinden, oder wer bereit sein könnte, sie zu kaufen.

Titelbild: Das J. Edgar Hoover Building, der Hauptsitz des FBI in Washington, D.C. Foto von ajay_suresh via Wikimedia Commons, CC BY 2.0.