Binance-Hack 2026: Was passiert ist und wie Sie sich schützen

Am 29. Oktober 2026 erlebte die Welt den größten Kryptowährungsdiebstahl, der je verzeichnet wurde. Laut Binance und dem Blockchain-Analyseunternehmen TRM Labs flossen rund 6,3 Milliarden US-Dollar über zehn Blockchains aus den Wallets von Binance ab – der Großteil davon in etwa 20 Minuten. Der Binance-Hack ist damit rund viermal so groß wie der Bybit-Hack vom Februar 2025, der bis zu dieser Woche den Rekord hielt.

Das wichtigste Detail ist jedoch nicht die Summe, sondern der Ausgangspunkt: ein einziger kompromittierter Mitarbeiter-Laptop. Damit ist der Binance-Hack eine Lektion für jedes Unternehmen, nicht nur für Krypto-Börsen. Und er stand nicht für sich allein. In denselben zwei Wochen begannen Angreifer, eine kritische PHP-Schwachstelle namens PHP2Shell auszunutzen, und mehrere Unternehmen meldeten Datenlecks, von denen Millionen Menschen betroffen sind.

In diesem Artikel erklären wir, was beim Binance-Hack passiert ist, was die PHP-Schwachstelle für jedes Unternehmen mit einer Website bedeutet und mit welchen praktischen Cybersecurity-Best-Practices Sie sich vor genau dieser Art von Angriff schützen. Stand der Informationen: 30. Oktober 2026; die Ermittlungen laufen noch.

Binance-Hack: die wichtigsten Fakten auf einen Blick

• Was: rund 6,3 Milliarden US-Dollar in Kryptowährungen aus Binance-Wallets gestohlen – der größte Krypto-Hack der Geschichte.
• Wann: 29. Oktober 2026; der Großteil der Gelder wurde in etwa 20 Minuten bewegt.
• Wie: Ein kompromittierter Mitarbeiter-Laptop verschaffte dem Angreifer Zugriff auf einen internen Dienst, der Auszahlungen auslösen konnte.
• Wer: Analysten von TRM Labs schreiben den Angriff TraderTraitor zu, einer staatsnahen nordkoreanischen Gruppe. Eine offizielle Zuordnung gibt es noch nicht.
• Kunden: Binance hat Ein- und Auszahlungen ausgesetzt und erklärt, sämtliche Verluste zu übernehmen. Tether und Circle haben einen Teil der gestohlenen Gelder eingefroren.

Was ist beim Binance-Hack passiert?

Laut Binance begann der Angriff auf dem Laptop eines einzelnen Mitarbeiters. Von diesem Gerät aus gelangte der Angreifer in einen internen Service-Container und konnte nicht autorisierte Auszahlungstransaktionen auslösen. Mit anderen Worten: Niemand hat „die Blockchain geknackt“. Der Angreifer kam einfach über ein vertrauenswürdiges Gerät hinein und nutzte die unternehmenseigenen Systeme, um Geld zu bewegen.

Binance setzte Ein- und Auszahlungen während der Untersuchung aus und hat erklärt, die Verluste der Kunden zu übernehmen. Die Stablecoin-Herausgeber Tether und Circle froren Gelder ein, die mit dem Angriff in Verbindung stehen. Die gemeldeten eingefrorenen Beträge unterscheiden sich je nach Quelle – von rund 2,5 bis über 4 Milliarden US-Dollar – und werden sich im Laufe der Rückholung wahrscheinlich noch ändern. Bitcoin fiel in den Stunden nach Bekanntwerden um etwa 5 Prozent.

Wer steckt hinter dem Binance-Hack?

TRM Labs schreibt den Binance-Hack TraderTraitor zu, einer nordkoreanischen Hackergruppe, die dem Umfeld der Lazarus Group zugerechnet wird; Chainalysis kam Berichten zufolge zu einer ähnlichen Einschätzung. Offiziell bestätigt hat das bislang keine Regierung – es handelt sich also um eine fundierte Einschätzung von Analysten, nicht um eine bewiesene Tatsache.

Die Methode passt zu einem bekannten Muster. Solche Gruppen greifen selten direkt die Technik an. Sie zielen auf Menschen: gefälschte Jobangebote an Entwickler, präparierte Dateien und Arbeitsgeräte, die sich unbemerkt kompromittieren lassen. Zuerst versagen der Mensch und das Endgerät.

Die eigentliche Lektion: Ein Laptop war die Eingangstür

Die wichtigste Cybersecurity-Lektion aus dem Binance-Hack ist einfach: Ein einziger ungeschützter oder kompromittierter Laptop kann die Tür zu einer ganzen Organisation öffnen. Das gilt für eine globale Börse genauso wie für ein Unternehmen mit 20 Mitarbeitern an der Algarve.

Jeder Laptop, jeder Desktop-PC und jedes Smartphone mit Zugriff auf Unternehmensdaten braucht modernen Endpoint-Schutz mit Erkennung und Reaktion (EDR) – nicht nur einen einfachen Virenschutz. Er muss zentral verwaltet, automatisch gepatcht und bei Auffälligkeiten innerhalb von Minuten isoliert werden. Genau das setzen wir für unsere Kunden mit ESET PROTECT um und betreuen es.

PHP2Shell: die PHP-Schwachstelle, die jeder Website-Betreiber patchen muss

Während sich die Schlagzeilen auf den Binance-Hack konzentrierten, betraf eine zweite Geschichte weit mehr Unternehmen. Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Notfall-Patches für zwei kritische Schwachstellen zur Remote-Code-Ausführung, die inzwischen als PHP2Shell bekannt sind. Details waren zwei Tage zu früh durchgesickert, was eine überstürzte Veröffentlichung erzwang.

Was sind CVE-2026-109618 und CVE-2026-109619?

Es handelt sich um zwei Schwachstellen in PHP selbst, die das PHP-Projekt jeweils mit 9,2 von 10 Punkten als schwerwiegend einstuft. Beide können es einem Angreifer ermöglichen, eigenen Code auf einem Server auszuführen, ohne sich anzumelden. Am 26. Oktober nahm die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) beide in ihren Katalog „Known Exploited Vulnerabilities“ auf – Angreifer nutzen sie also aktiv aus. Auch Forscher von watchTowr und Cloudflare berichten von Ausnutzungsversuchen in freier Wildbahn.

Warum die PHP-Schwachstelle für Ihr Unternehmen wichtig ist

PHP betreibt einen enormen Teil des Webs: WordPress, WooCommerce, viele Online-Shops und unzählige individuelle Geschäftsanwendungen. Läuft Ihre Website auf einer ungepatchten PHP-Version, könnte ein Angreifer Kundendaten stehlen, Ihre Website verunstalten, Ihren Besuchern Schadsoftware ausliefern oder Ihren Server als Sprungbrett in Ihr restliches Netzwerk nutzen.

So beheben Sie PHP2Shell

• Aktualisieren Sie PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 (oder neuer). Das Update ist die einzige vollständige Lösung.
• Fragen Sie noch heute Ihren Hosting-Anbieter oder Ihre Webagentur, welche PHP-Version Ihre Website nutzt.
• Behalten Sie die offiziellen PHP-Sicherheitshinweise im Blick: Eine verwandte Schwachstelle, CVE-2026-115560, wurde am 23. Oktober veröffentlicht und wird durch diese Updates nicht behoben.
• Prüfen Sie Ihre Server-Logs auf verdächtige Aktivitäten seit Mitte Oktober, als die ersten Anzeichen einer Ausnutzung auftauchten.

Weitere Cyberangriffe und Datenlecks im Oktober 2026

Der Binance-Hack und PHP2Shell machen die Schlagzeilen, doch der Oktober 2026 war einer der ereignisreichsten Monate des Jahres in Sachen Cyberangriffe:

• Sony So-net (Japan): ein Datenleck mit rund 2,5 Millionen Datensätzen von ISP-Kunden.
• Railway: Die Cloud-Plattform warnte, dass in Umgebungsvariablen gespeicherte API-Schlüssel und Secrets ihrer Kunden kompromittiert wurden, und rief alle dazu auf, diese zu widerrufen.
• ConnectWise: Ein Vorfall soll Zugangsdaten offengelegt haben, mit denen Verbindungen zu Organisationen hergestellt werden, die ihre Microsoft-365-Daten sichern.
• PingCAP: Das Datenbankunternehmen gab an, dass eine Erpressergruppe einen Monat lang Zugriff auf seine Systeme hatte.

Der gemeinsame Nenner ist keine exotische Technologie. Es sind gestohlene Zugangsdaten, ungepatchte Software, offengelegte Secrets – und Angreifer, die wochenlang unbemerkt in Netzwerken bleiben.

8 Cybersecurity-Best-Practices nach dem Binance-Hack

Sie müssen keine Krypto-Börse sein, um zum Ziel zu werden. Die meisten Angriffe sind opportunistisch: automatisierte Scans, die nach einem ungepatchten PHP-Server, einem wiederverwendeten Passwort oder einem ungeschützten Laptop suchen. Diese Cybersecurity-Best-Practices empfehlen wir jedem Unternehmen ab sofort.

1. Schnell patchen – zuerst die Systeme mit Internetzugang

Aktualisieren Sie PHP, WordPress, Plugins, Firewalls und VPNs, sobald kritische Patches erscheinen. Schwachstellen wie PHP2Shell werden innerhalb von Tagen nach ihrer Veröffentlichung ausgenutzt, nicht erst nach Monaten.

2. Jedes Endgerät schützen

Setzen Sie auf jedem Gerät, das mit Unternehmensdaten in Berührung kommt, eine zentral verwaltete Endpoint-Protection-Plattform für Unternehmen mit Erkennung und Reaktion ein. Der Binance-Hack begann auf einem einzigen Laptop. ESET PROTECT ist die Plattform, die wir bei unseren Kunden einsetzen.

3. Multi-Faktor-Authentifizierung überall aktivieren

E-Mail, Microsoft 365, Online-Banking, Hosting-Panels, Fernzugriff und Admin-Bereiche. Bevorzugen Sie Authenticator-Apps oder Hardware-Schlüssel gegenüber SMS-Codes. Unsere Lösungen für Unternehmens-E-Mail-Sicherheit umfassen Multi-Faktor-Authentifizierung und Schutz vor Phishing.

4. Minimale Rechte und Vier-Augen-Prinzip

Mitarbeitende sollten nur auf das zugreifen können, was ihre Rolle erfordert – und niemand sollte allein Geld bewegen, Daten exportieren oder Produktivsysteme ändern können. Ein IT-Audit zeigt schnell, wer worauf Zugriff hat.

5. Secrets sicher speichern und regelmäßig erneuern

API-Schlüssel, Passwörter und Tokens gehören niemals in geteilte Dokumente oder einfache Dateien. Erneuern Sie Zugangsdaten sofort, sobald ein Lieferant einen Sicherheitsvorfall meldet – wie bei Railway.

6. Ihre Mitarbeitenden schulen

Phishing-E-Mails, gefälschte Jobangebote und schädliche Anhänge bleiben das Einfallstor Nummer eins. Kurze, regelmäßige Security-Awareness-Schulungen gehören zu den günstigsten und wirksamsten Schutzmaßnahmen überhaupt.

7. Getestete Offline-Backups vorhalten

Halten Sie mindestens eine Kopie offline oder unveränderbar vor – und testen Sie die Wiederherstellung tatsächlich. Backups sind Ihre letzte Verteidigungslinie gegen Ransomware. Sprechen Sie uns bei der Planung Ihrer Cloud-Lösungen auf Backups an.

8. Einen Notfallplan für Sicherheitsvorfälle haben

Schon ein einseitiger Plan hilft: Wer entscheidet, wer informiert Kunden und Behörden, und welcher Partner ermittelt? Unser Team für IT-Beratung unterstützt Sie beim Erstellen und Testen.

So bleiben Sie über neue Hacks und Schwachstellen informiert

Informiert zu bleiben ist Teil des Schutzes. Folgen Sie offiziellen Quellen statt Gerüchten in sozialen Medien:

• Der Katalog CISA Known Exploited Vulnerabilities – die beste Liste der Schwachstellen, die Angreifer tatsächlich ausnutzen.
• Ihre nationale Cybersicherheitsbehörde: in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI), in Portugal das Centro Nacional de Cibersegurança (CNCS).
• Die Sicherheitshinweise der Software, die Sie nutzen, etwa PHP, WordPress und Microsoft.
• Die Sicherheitsbenachrichtigungen Ihrer Lieferanten, damit Sie von Vorfällen wie bei Railway oder ConnectWise direkt erfahren.

Wenn Sie Kryptowährungen besitzen, folgen Sie ausschließlich der offiziellen Statusseite und den Ankündigungen Ihrer Börse. In den Tagen nach einem großen Hack wie dem Binance-Hack verschicken Betrüger gefälschte „Erstattungs“- und „Kontoverifizierungs“-E-Mails, um die Verunsicherung auszunutzen. Geben Sie Ihre Zugangsdaten niemals über einen Link ein, den Sie per E-Mail oder Nachricht erhalten haben.

Binance-Hack: häufig gestellte Fragen

Wie viel wurde beim Binance-Hack gestohlen?

Binance schätzt rund 6,3 Milliarden US-Dollar, TRM Labs etwa 6,36 Milliarden – damit ist es der größte Krypto-Hack der Geschichte. Ein erheblicher Teil wurde inzwischen von Stablecoin-Herausgebern eingefroren, und die Zahlen können sich noch ändern.

Ist mein Geld bei Binance sicher?

Binance hat erklärt, sämtliche Kundenverluste zu übernehmen, und erste Einschätzungen von Analysten deuten darauf hin, dass der Vorfall kein nennenswertes Solvenzrisiko darstellt. Nutzen Sie ausschließlich die offiziellen Kanäle von Binance und ignorieren Sie unaufgeforderte Nachrichten, die Erstattungen oder Wiederherstellung anbieten.

Was ist PHP2Shell?

PHP2Shell ist die Bezeichnung für zwei kritische PHP-Schwachstellen, CVE-2026-109618 und CVE-2026-109619, die Remote-Code-Ausführung ermöglichen und aktiv ausgenutzt werden. Die Lösung ist ein Update von PHP auf 8.5.12, 8.4.27, 8.3.36, 8.2.35 oder neuer.

Kann so ein Hack auch einem kleinen Unternehmen passieren?

Ja. Der Binance-Hack begann mit einem einzigen kompromittierten Laptop, und PHP2Shell betrifft ganz normale Unternehmenswebsites. Kleine und mittlere Unternehmen sind gerade deshalb häufig Ziel, weil ihnen oft Endpoint-Schutz, Patch-Routinen und Sicherheitsschulungen fehlen.

Wie Strong Answer Ihr Unternehmen schützt

Der Binance-Hack beweist: Selbst Organisationen mit riesigen Sicherheitsbudgets können über einen einzigen Schwachpunkt angegriffen werden. Die gute Nachricht: Die meisten Angriffe auf kleine und mittlere Unternehmen lassen sich stoppen, wenn die Grundlagen stimmen. Genau das leistet unser Cybersecurity-Team für Unternehmen in ganz Portugal und an der Algarve:

• Sicherheitsbewertung: Wir finden Ihre Schwachstellen, bevor Angreifer es tun.
• Externe Penetrationstests Ihrer Websites und Systeme mit Internetzugang.
• Security-Awareness-Schulungen, damit Ihr Team Phishing und Social Engineering erkennt.
• Verwalteter Endpoint-Schutz mit ESET PROTECT auf jedem Gerät.
• Website-Wartung und PHP-Updates durch unser Webteam.
• Laufender IT-Support durch unseren technischen Support, wenn etwas verdächtig aussieht.