Clop BitTorrent-Welle: Mehrere Petabyte Leak-Daten treffen die Schweiz

Seit Ende April 2026 verteilt die Erpressergruppe Clop ihre Beute nicht mehr nur über Tor-Mirror, sondern als öffentliche BitTorrent-Swarms. Eigene Auswertungen zählen Stand 18.05.2026 1.315 Swarms, 388 davon aktiv geseedet. Allein die hier dokumentierten Top-Torrents summieren sich auf rund 33 Terabyte; das Gesamtarchiv aus MOVEit (2023), Cleo (Ende 2024) und Oracle EBS (Q3/2025) bewegt sich im Bereich mehrerer Petabyte.

Das ist kein neuer Angriff – das ist die Industrialisierung der Veröffentlichung. Und sie trifft die Schweiz auf zwei Ebenen.

Ebene 1 – Direkter Schweiz-Bezug in aktiven Torrents

• logitech.com – 1,8 TB (Clop) – Logitech International S.A. ist eine Schweizer AG mit Sitz in Lausanne (CH) und Notierung an der SIX Swiss Exchange. Der Leak trifft ein SMI-Expanded-Unternehmen mit über 9 Mrd. USD Umsatz direkt. Swarm seit Wochen "alive" (mehrere Seeder) – Take-Down faktisch unmöglich.
• ksl-ing.ch – 14,5 GB (Akira) – Schweizer Ingenieurbüro, vollständige Geschäftsdaten im Torrent öffentlich.
• planora.ch – 25,2 GB (Akira) – Schweizer Planungsbüro, Projekt- und Auftragsdaten exponiert.

Ebene 2 – Indirekte Schweiz-Risiken aus Clops "Mega-Torrents"

Clop hat seit Q4/2025 systematisch Datenbestände aus der MOVEit-Welle (2023), der Cleo-Welle (Ende 2024) und der Oracle-EBS-Kampagne (Q3/2025) als Torrents nachveröffentlicht. Mehrere davon sind für Schweizer Unternehmen lieferketten-relevant:

• informatica – 1.155 GB / 3 ZIP-Files – Zentrale Datenintegrations-Plattform, die von zahlreichen Schweizer Banken, Versicherungen und Industriekonzernen für ETL und Data Governance eingesetzt wird; geleakte Konfigurationen und Credentials sind unmittelbares Lieferanten-Risiko.
• entrust.com – 3,6 TB – Einer der größten PKI/CA-Anbieter weltweit; Schweizer Banken und Behörden nutzen Entrust für Code-Signing, Smartcards und Zertifikate.
• trimble.com – 1,6 TB – Trimble (Bau-, Vermessungs- und Geräte-Software) betreibt eine Schweizer Niederlassung und liefert u.a. an SBB, Implenia und Kantone.
• michelin.com – 293,9 GB – Michelin Suisse SA, Givisiez (CH).
• mks.com – 213,8 GB – MKS Instruments, mit Schweizer Vertrieb für Halbleiter- und Lasertechnik.
• mazda.com / mazdausa.com – zusammen 12,8 TB – Mazda (Suisse) SA, Petit-Lancy.
• abbott.com – 16,3 GB – Abbott AG, Baar (CH).
• a10networks.com – 132,9 GB – Network-Security-Anbieter mit aktivem CH-Geschäft (Banken, Telcos).
• alshaya.com – 11,2 TB – Logistik- und Lieferketten-Bezug zu schweizerischen Modeketten möglich.

Warum BitTorrent das Risiko vervielfacht

Bisher musste ein Angreifer zur Tor-Leak-Seite navigieren und einzeln laden – mit IP-Spuren in Tor-Exit-Logs. Die neue Strategie ist anders:

1. Persistenz: Solange ein einziger Seeder weltweit online ist, bleibt der Leak verfügbar. Bei 5 Seedern (Logitech) ist Take-Down faktisch unmöglich. 2. Anonymität auf Empfängerseite: Jeder kann via VPN/Tor laden, ohne Spur in einem Negotiation-Chat zu hinterlassen. 3. Skalierung: Die 1.155 GB Informatica-Daten waren in der ursprünglichen Tor-Veröffentlichung praktisch unauffindbar – als Torrent in 162 dokumentierten Scans über vier Wochen weltweit reproduziert. 4. Wegfall des Zahlungsdrucks: Selbst wenn ein Opfer zahlt, sind die Daten bereits unwiderruflich verteilt – eine "Pay & Delete"-Garantie existiert technisch nicht mehr.

Konsequenzen für Schweizer Unternehmen

• Wer Logitech-Produkte vertreibt, integriert oder einkauft, muss prüfen, ob eigene Bestelldaten, Kontaktdaten oder Vertragsdetails im Leak enthalten sind.
• Wer Informatica, Entrust, Trimble, MKS, A10 oder Abbott als Lieferant einsetzt, ist im NIS2-Sinne zur Lieferketten-Risikobewertung verpflichtet – inkl. Meldung an das NCSC, sofern relevant.
• Wer in DORA-Scope ist (Banken, Versicherer, Zahlungsdienstleister), muss diese Drittanbieter im IKT-Drittanbieter-Register als "betroffen" markieren und ein Vorfall-Reporting nach Art. 19 DORA prüfen.
• revDSG-Pflicht: Sobald in den Torrents personenbezogene Daten von Schweizer Betroffenen identifizierbar sind, greift die Meldepflicht an den EDÖB nach Art. 24 revDSG – auch dann, wenn der Erstvorfall Jahre zurückliegt.

Was Sie jetzt tun sollten

• Prüfen Sie kontinuierlich, ob Ihr Unternehmen, Ihre Tochterfirmen oder Ihre Lieferanten auf Leak-Portalen oder in Torrent-Swarms auftauchen – unser [Darknet Monitoring](/darknet-monitoring) alarmiert in Echtzeit.
• Überwachen Sie Ihre kritischen Dritten – unter NIS2/DORA verpflichtend – mit unserem [Lieferantenmonitoring](/lieferantenmonitoring).
• Kontrollieren Sie Ihre externe Angriffsfläche (SSL-VPN, RDP, Citrix, ESXi) mit unseren kostenlosen [Security-Tools](/tools).
• Live-Daten aller Vorfälle finden Sie in unserem [Live Ticker](/live-ticker).

Die BitTorrent-Strategie macht klar: Die nächste Bedrohung kommt nicht zwingend von einem neuen Angriff – sondern von einem alten, der gerade neu repliziert wird. Wer seine Drittanbieter nicht aktiv monitort, erfährt von seiner eigenen Datenexposition zuletzt.

Quellen: Eigene Darknet- und Torrent-Swarm-Auswertungen (Stand 18.05.2026), CISA AA23-158A (MOVEit/Cl0p), ENISA Threat Landscape 2024.