Der Fall Stryker: Wie der Iran Microsoft Intune zur Waffe machte und 200.000 Geraete in 79 Laendern loeschte

Um 3:30 Uhr EST am 11. Maerz 2026 begannen die ersten Wipe-Befehle, sich durch Stryker Corporations Microsoft-Intune-Infrastruktur zu verbreiten. Drei Stunden spaeter fanden 56.000 Mitarbeiter in 79 Laendern ihre Laptops, Firmenhandys und Tablets vollstaendig geloescht vor. Schwarze Bildschirme. Kein Zugang. Keine E-Mail. In weniger als drei Stunden hatte eine Gruppe iranischer Hacker das Geraeteverwaltungssystem des Unternehmens — ein Werkzeug zum Schutz der Geraete — in die effizienteste Waffe verwandelt, die jemals zu deren Zerstoerung eingesetzt wurde.

Der Angreifer: Handala, das hacktivistische Gesicht iranischer Geheimdienste

Handala gibt sich als pro-palaestinensische Hacktivistengruppe aus, erstmals erschienen im Dezember 2023. Aber hinter der hacktivistischen Fassade verbirgt sich eine staatliche Geheimdienstoperation. Unit 42, Brandefense und Microsoft bewerten mit "hoher Zuversicht", dass Handala eine von mehreren Online-Personas von Void Manticore ist — einem iranischen staatsnahen Bedrohungsakteur, der mit dem iranischen Ministerium fuer Nachrichtenwesen und Sicherheit (MOIS) verbunden ist. Am 19. Maerz beschlagnahmte das FBI Handalas Datenleck-Website.

Phase 1: Stille Infiltration — Monate vor der Explosion

Check Point Research stellte fest, dass der Erstzugang Monate vor der destruktiven Phase erlangt wurde. Forscher identifizierten 278 kompromittierte Stryker-Zugangsdatensaetze zwischen Oktober 2025 und Maerz 2026. Proofpoint dokumentierte aktive AiTM-Phishing-Kampagnen von TA450 (MuddyWater, MOIS-verbunden) gegen US-Organisationen bis zum 8. Maerz — drei Tage vor dem Angriff. AiTM-Phishing umgeht MFA durch Abfangen von Sitzungstoken in Echtzeit.

Phase 2: Eskalation — Vom Mitarbeiter zum Cloud-Gott

Die Angreifer navigierten Strykers Microsoft Entra ID Umgebung und kompromittierten ein Global-Administrator-Konto. Laut KrebsOnSecurity erstellten sie ein neues Global-Administrator-Konto nach Kompromittierung eines bestehenden. Mit Global-Admin-Privilegien zugriffen die Angreifer auf Microsoft Intune — die MDM-Plattform zur Verwaltung von 200.000+ Geraeten weltweit. Ein einzelner Wipe-Befehl, verbreitet ueber die gesamte globale Infrastruktur.

Phase 3: Ausfuehrung — 200.000 Geraete in 3 Stunden

Um 3:30 Uhr EST starteten die Angreifer den Wipe-Befehl ueber Intune. Zwischen 5:00 und 8:00 UTC wurden etwa 80.000 Windows-Geraete geloescht. Gesamtforderung: 200.000+ Geraete in 79 Laendern. Das elektronische Bestellsystem — mit $5,5 Milliarden Quartalsumsatz — ging offline. Chirurgische Eingriffe in Krankenhaeusern, die auf Stryker-Geraete angewiesen waren, wurden verzoegert.

Die Auswirkungen: Krankenhaeuser, Boerse und nationale Sicherheit

• 200.000+ Geraete in 79 Laendern in unter 3 Stunden geloescht
• $5,5 Milliarden Quartalsbestellungen tagelang manuell verarbeitet
• 22 Tage bis zur vollstaendigen Wiederherstellung (11. Maerz → 2. April)
• -9% Aktienkurs: ~$9 Milliarden Marktkapitalisierung an einem Tag verdampft
• Chirurgische Eingriffe in von Stryker abhaengigen Krankenhaeusern verzoegert
• FBI beschlagnahmte Handala-Leak-Sites am 19. Maerz
• CISA gab spezifischen Alert zur Endpoint-Management-Haertung heraus

Die wichtigste Lektion: Ihr MDM ist Ihre groesste Schwachstelle

Sygnia definierte dies als "Identity Control Plane Attack". Die Identitaetskontrollebene (Entra ID) und die Geraeteverwaltungsebene (Intune) wurden zum einzelnen Ausfallpunkt, der nach Kompromittierung die gleichzeitige Zerstoerung der gesamten globalen Infrastruktur ermoeglichte. Jede Organisation, die ein MDM verwendet, muss sich fragen: Koennte ein Angreifer mit Global-Administrator-Privilegien alle unsere Geraete mit einem einzigen Befehl loeschen?

Operative Empfehlungen: So schuetzen Sie Ihr MDM

1. 1.Duale Genehmigung fuer destruktive Operationen: Zweite Administratorgenehmigung fuer jeden Massen-Wipe erforderlich machen. CISA empfiehlt dies ausdruecklich.
2. 2.Administrative Rollentrennung: Global Administrator nicht fuer den taeglichen Betrieb verwenden. Dedizierte Intune-Rollen mit minimalen Berechtigungen erstellen.
3. 3.Rigoroses Conditional Access fuer Admins: Verwaltete Geraete, Hardware-MFA (FIDO2), verifizierte Geolokalisierung und dedizierte PAWs erfordern.
4. 4.Echtzeitueberwachung hochkritischer Intune-Operationen: Alarme bei Wipe-Befehlen, neuen Global-Admin-Konten und Richtlinienaenderungen.
5. 5.Schutz der Identity Control Plane: Privileged Identity Management (PIM) mit Just-in-Time-Privilegienaktivierung implementieren.
6. 6.Offline-Konfigurationsbackup: Offline-Backup der Intune-Konfiguration und Geraeteinventars pflegen.
7. 7.Total-Wipe-Reaktionsplan: Szenario "alle Geraete geloescht" in den Incident-Response-Plan aufnehmen.
8. 8.MDM-Segmentierung: Intune-Umgebung nach Region oder Kritikalitaet segmentieren.

Fazit: Der Tag, an dem ein Schutzwerkzeug zur Vernichtungswaffe wurde

Der Stryker-Angriff vom 11. Maerz 2026 ist ein Wendepunkt in der Cybersicherheitsgeschichte. Nicht wegen Malware-Raffinesse — es gab keine Malware. Nicht wegen Exploit-Komplexitaet — es gab keinen Exploit. Der Angriff ist verheerend in seiner Einfachheit: ein kompromittiertes Admin-Konto, ein legitimer Wipe-Befehl, 200.000 geloeschte Geraete. Die Genialitaet liegt im Verstaendnis, dass der effizienteste Weg, eine globale IT-Infrastruktur zu zerstoeren, nicht ist, sie anzugreifen — sondern das Werkzeug zu nutzen, das das Unternehmen zu ihrer Verwaltung gebaut hat.