--- title: "Operation Endgame: Behörden stellen 6,4 Millionen gestohlene Zugangsdaten sicher" date: 2026-11-13T19:22:12+01:00 modified: 2026-11-13T19:22:12+01:00 category: sicherheit type: news author: Marcel Schönfelder canonical: https://s-edv.com/news/operation-endgame-gootloader-castlerat-stealc-zugangsdaten-hibp keywords: - Operation Endgame - Infostealer - StealC - CastleRAT - Gootloader - Have I Been Pwned - Zugangsdaten - BKA - Europol reading_time: 4 ai_notice: "Mit KI erstellt – redaktionelle Prüfung ausstehend" --- # Operation Endgame: Behörden stellen 6,4 Millionen gestohlene Zugangsdaten sicher > Mit KI erstellt – redaktionelle Prüfung ausstehend ([KI-Transparenz](https://s-edv.com/ki-transparenz)) Strafverfolger aus mehreren Ländern haben im Rahmen der Operation Endgame die Infrastruktur der Schadprogramme Gootloader, CastleRAT und StealC lahmgelegt. Laut Bundeskriminalamt lief die Aktion vom 9. bis 11. November 2026, BKA und Europol meldeten sie am 12. November. Dabei stellten die Ermittler nach BKA-Angaben rund 6,4 Millionen Zugangsdaten von über 40.000 Opfern sicher. Für Admins zählt vor allem der zweite Teil: Ein Teil der erbeuteten Daten ist seit dem 13. November bei Have I Been Pwned abfragbar, Betroffene in Deutschland informiert das BSI über die Provider. Wer Mitarbeiter-Adressen, Kundenkonten oder WordPress-Seiten verwaltet, sollte jetzt prüfen, ob eigene Konten in den Daten auftauchen, und betroffene Passwörter wechseln. ## Was ist passiert? Nach Angaben von Europol wurden 235 Server und 257 Domains „actioned“, also abgeschaltet oder beschlagnahmt. Auf Gootloader entfielen 14 Server und 218 Domains, außerdem wurden 681 infizierte Websites bereinigt. Bei CastleRAT waren es 120 Server und 39 Domains, bei StealC 102 Server. Das BKA nennt gerundet über 230 Server, davon mehr als 40 in Deutschland. Beteiligt waren laut BKA Behörden aus den Niederlanden, Dänemark, Großbritannien, den USA und Kanada, Europol führt zusätzlich Bulgarien, Moldau und Polen. Festnahmen nennt keine der Mitteilungen. Gootloader ist ein Loader, der laut Europol über gefälschte Rechtsdokumente auf gehackten Websites verteilt wurde, oft auf WordPress-Seiten. Das BKA nennt SEO-Poisoning als wichtigen Verbreitungsweg und Ransomware als typische Nachladung. Das US-Justizministerium beziffert für Gootloader seit 2018 mindestens 25.000 infizierte Rechner weltweit und mindestens 44 Ransomware-Opfer in den USA mit rund 28,8 Millionen Dollar Schaden. CastleRAT ist ein seit 2025 bekannter Fernsteuerungstrojaner. StealC ist ein Infostealer mit Nachladefunktion, der laut BKA schon im Juni 2026 Ziel der Operation war; die Täter hatten ihre Infrastruktur danach neu aufgebaut. ## Wer ist betroffen? Betroffen sind Nutzer, deren Rechner mit einem der drei Schädlinge infiziert waren. Europol zufolge werden die Opferdaten zu CastleRAT über Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, die Shadowserver Foundation und das niederländische NCSC bereitgestellt. Have I Been Pwned hat am 13. November den Datensatz „CastleRAT“ aufgenommen: 179.745 E-Mail-Adressen und rund 893.000 Passwörter, die über Pwned Passwords abfragbar sind. Bei Have I Been Pwned liegt damit nur der CastleRAT-Teil. Wie sich die 6,4 Millionen Datensätze auf die drei Schadprogramme verteilen und ob weitere Daten abfragbar werden, geht aus den Mitteilungen nicht hervor. ## Wie kritisch ist das? Infostealer wie StealC greifen laut Europol Passwörter, gespeicherte Zugangsdaten und digitale Identitäten auf dem infizierten Gerät ab. Laut Europol nutzten oder verkauften die Täter diese Daten für weitere Angriffe bis hin zu Ransomware. Ein gestohlenes Passwort bleibt gültig, bis es geändert wird. Die Aktion trifft die Infrastruktur der Schadprogramme, macht bereits abgeflossene Zugangsdaten aber nicht wertlos. Wer auf einem infizierten Rechner Admin-Konten genutzt hat, muss mit Missbrauch rechnen. ## Was sollten Admins jetzt tun? - Firmen-Domains und wichtige Adressen bei Have I Been Pwned gegen den Datensatz „CastleRAT“ prüfen, Passwort-Richtlinien gegen Pwned Passwords abgleichen. - Bei Treffern das zugehörige Gerät als infiziert behandeln, bereinigen oder neu aufsetzen und erst danach alle dort genutzten Passwörter wechseln. - Laufende Sitzungen und Tokens der betroffenen Konten beenden, da ein Angreifer über einen Fernsteuerungstrojaner oder Infostealer Zugriff auf angemeldete Dienste haben kann. - WordPress-Betreiber folgen der Europol-Empfehlung: Zugangsdaten erneuern, Mehrfaktor-Anmeldung einschalten, Lücken patchen. - Meldungen von Provider, BSI oder Shadowserver zu den eigenen Netzen nicht ignorieren. Hinweise zur Bereinigung stellt das BSI auf seiner Website bereit. ## Einordnung für Unternehmen Die Zahlen zeigen, wie viele Zugangsdaten über einzelne Schadprogramme abfließen. Für kleine Unternehmen ist die Lehre weniger die Polizeiaktion selbst als die Konsequenz: Passwörter im Browser zu speichern und ohne zweiten Faktor zu arbeiten, macht einen einzigen infizierten Rechner zum Einfallstor für alle Dienste. Zentral verwaltete Passwörter, Mehrfaktor-Anmeldung und ein schneller Wechsel bei Verdacht senken diesen Schaden deutlich. ## In eigener Sache Für kleine Unternehmen, die Passwörter zentral und sicher verwalten wollen, betreibt S-EDV mit [Passwortheld](https://s-edv.com/news/passwortheld-passwort-manager-kleine-unternehmen) einen eigenen Passwort-Manager auf Basis von Vaultwarden. ## Passende Anleitungen auf S-EDV - [Zwei-Faktor-Authentifizierung (2FA/MFA) richtig einführen](https://s-edv.com/anleitungen/zwei-faktor-authentifizierung-2fa-mfa-einfuehren) - [Malware-Scan für WordPress: Prüfsummen per WP-CLI und Scan mit Wordfence](https://s-edv.com/anleitungen/wordpress-malware-scan-wp-cli-pruefsummen-wordfence) - [24 Milliarden Zugangsdaten offen im Netz: Was Admins jetzt prüfen sollten](https://s-edv.com/news/24-milliarden-zugangsdaten-passwort-archiv-infostealer) ## Quellen - [BKA: Pressemitteilung zur Fortsetzung der Operation Endgame](https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2026/Presse2026/261112_Endgame.html) - [Europol: Meldung zu Gootloader, CastleRAT und StealC](https://www.europol.europa.eu/media-press/newsroom/news/64-million-victim-datasets-secured-in-international-operation-against-malware-networks) - [US-Justizministerium: Meldung zu Gootloader](https://www.justice.gov/opa/pr/gootloader-malware-disrupted-international-cyber-operation) - [Have I Been Pwned: Datensatz CastleRAT](https://haveibeenpwned.com/Breach/CastleRAT) - [BleepingComputer: Bericht zur Aktion](https://www.bleepingcomputer.com/news/security/police-dismantles-gootloader-castlerat-stealc-malware-infrastructure/) - [SecurityWeek: Bericht zur Aktion](https://www.securityweek.com/law-enforcement-disrupts-gootloader-castlerat-and-stealc-infrastructure/)