AOMEI Backupper: Zehn Minuten auf dem Updateserver reichten. Auch Schweizer Organisationen haben die Backdoor geladen.

01 Drei Fenster, zehn Minuten, elf Länder

Ausgetauscht wurden zwei Konfigurationsdateien. down_html.ini legt fest, welches Paket der Client herunterlädt und welche MD5-Prüfsumme es haben soll. Notifycfg.ini steuert die Hinweisfenster, die AOMEI im Programm einblendet. Die Angreifer lenkten den Download auf ihr eigenes Archiv upgrade-now.zip, ersetzten die Prüfsumme und liessen das Hinweisfenster den Inhalt starten. Am 16. Juli ergänzten sie Notifycfg.ini um über 35’000 Füllzeilen, damit das Update unabhängig von der installierten Version lief [ Google GTIG 2026 ] .

Quellen: Google GTIG, ManageEngine, SecurityWeek [ SecurityWeek 2026 ] . Google betont, dass dies nur die direkt beobachteten Fenster sind. Weitere sind wahrscheinlich. Betroffen waren Organisationen in Australien, Brasilien, Indien, Pakistan, Portugal, Singapur, Südafrika, Spanien, der Schweiz, der Türkei und den USA, vor allem IT-Dienstleister, Telekommunikationsfirmen und Hochschulen. Namen oder eine Zahl für die Schweiz nennt keiner der Berichte [ Netzwoche 2026 ] .

02 Warum ausgerechnet das Backup-Tool

AOMEI gibt an, dass über 186 Millionen Menschen seine Produkte nutzen [ SecurityWeek 2026 ] . Backupper gibt es kostenlos für Privatanwender und kostenpflichtig für Firmen und Windows Server. Ein typischer Weg in ein KMU ist undokumentiert: Ein Techniker installiert es für eine Migration oder einen Festplattenklon und vergisst es danach.

Ein Backup-Tool liest per Definition die Daten, die es sichert. Es läuft auf Servern, es läuft oft im Hintergrund, und es darf ins Internet, um Updates zu holen. Wer seinen Update-Kanal kontrolliert, kommt an Ihrer Firewall vorbei, weil der Verkehr zu einem bekannten Hersteller geht.

Eine Schwachstelle im klassischen Sinn haben die Angreifer nicht ausgenutzt. Sie mussten auch keinen Quellcode und keine Build-Pipeline manipulieren. Google nennt die Methode eine Alternative mit «weniger Aufwand und mehr Tarnung» [ SecurityWeek 2026 ] . Nach zehn Minuten liegt auf dem Server wieder die Originaldatei. Wer das Problem nachprüfen will, findet nichts. Genau das passierte: Erste Tests der Forscher konnten das Verhalten nicht reproduzieren, erst eine dauerhafte Überwachung der AOMEI-Server erwischte den Austausch [ BleepingComputer 2026 ] .

Die Backdoor tarnt sich ebenfalls mit echten Teilen. SHINYROAD startet über FamItrfc.exe, eine gültig signierte Datei der Fernwartung Radmin. Diese lädt eine manipulierte DLL nach. Ein Virenscanner, der nur auf die Signatur der gestarteten Datei schaut, sieht einen bekannten Hersteller [ Google GTIG 2026 ] .

03 So prüfen Sie, ob Sie betroffen sind

ManageEngine hat die Angriffe auf Backupper ab Version 8.3.0 beobachtet. Google nennt zusätzlich AnyViewer, die Fernwartung desselben Herstellers. Prüfen Sie diese Punkte auf jedem Rechner, auf dem eines der beiden Programme läuft oder lief [ Google GTIG 2026 ] :

• Geplante Aufgaben. \RadminComponentRuntime startet alle drei Stunden FamItrfc.exe --runtimechk. \NitroRuntime gehört zur Juli-Welle mit Adaptix C2, getarnt als Nitro PDF.
• Dateien. BlkScrDl.dll, config.zip und metadata.dat in %LOCALAPPDATA%\Radmin\. Eztwain4.dll und NitroPromotion.exe in %LOCALAPPDATA%\Nitro Pro\. upgrade-now.exe oder upgrade-now.zip in den AOMEI-Ordnern html und Tmphtml.
• Radmin ohne Auftrag. Die Mai-Welle installierte einen Radmin-Server nach C:\Program Files (x86)\rserver30. Radmin, das niemand bestellt hat, ist ein Befund.
• Netzwerk. Verbindungen zu storage-data.com und seinen Subdomains, zu 8.210.84.56, 8.218.65.184 und 47.239.60.117, ausgehende Verbindungen auf TCP-Port 41397 und der User-Agent Anyviewer-loader/1.0.

Google warnt ausdrücklich vor zwei Fehlern bei der Auswertung. Erstens: Ein Analyst sieht die Warnung, öffnet die Update-URL des Herstellers, findet eine saubere Datei und schliesst den Fall. Die Datei ist heute sauber. Massgebend sind die Proxy- und Firewall-Logs aus der Minute der Warnung. Zweitens: Jemand verwirft den Alarm, weil FamItrfc.exe echt signiert ist. Die Signatur gilt für die EXE. Die DLL daneben stammt von den Angreifern.

Bewahren Sie zwischengespeicherte Kopien von down_html.ini und Notifycfg.ini aus den AOMEI-Ordnern auf, bevor Sie etwas löschen. Google und ManageEngine haben Hashes, YARA- und Sigma-Regeln veröffentlicht, mit denen Ihr EDR rückwirkend sucht [ Google GTIG 2026 ] . Blockieren Sie zusätzlich ausgehendes SMB auf Port 445 und WebDAV zu externen Adressen. Damit läuft auch die Masche vom 20. Juli ins Leere, bei der ein unsichtbares Fenster von 1×1 Pixel Windows dazu brachte, NTLM-Hashes an einen Server der Angreifer zu schicken.

04 Wie prüfen Ihre Tools ihre Updates?

Der AOMEI-Fall stellt eine Frage, die kaum ein KMU für seine Software beantworten kann: Woher weiss das Programm, dass das Update echt ist? Google formuliert die Antwort für Hersteller klar. Update-Clients sollen sich nie allein auf HTTPS und eine MD5-Prüfsumme in einer ungeschützten Datei verlassen. Konfigurationsdateien gehören signiert, ausführbare Dateien per Authenticode geprüft, Download-Ziele auf feste Hosts beschränkt [ Google GTIG 2026 ] .

Sie können den Code Ihrer Lieferanten nicht ändern. Sie können aber wissen, welche Programme sich selbst aktualisieren, und entscheiden, welche das dürfen. Drei Schritte reichen für den Anfang:

1. Inventar mit Update-Kanal. Listen Sie jede installierte Software auf Servern und Admin-Arbeitsplätzen auf, mit Hersteller, Version und der Frage, ob sie selbständig Updates holt. Werkzeuge für einmalige Arbeiten wie Klonen, Migration oder Fernwartung gehören danach deinstalliert.
2. Updates zentral statt im Programm. Wo möglich schalten Sie die Selbstaktualisierung ab und verteilen Updates über Ihre Softwareverteilung, nach einer Prüfung der Signatur. Hinweis- und Werbefenster im Programm schalten Sie ganz ab. Bei AOMEI lief der Angriff über genau diesen Kanal.
3. Ausgehenden Verkehr begrenzen. Ein Backup-Server muss sein Sicherungsziel erreichen. Beliebige Adressen im Internet muss er nicht erreichen. Eine Regel, die nur bekannte Ziele erlaubt, hätte die Downloads von Alibaba Cloud, storage-data.com und später storage.googleapis.com blockiert oder zumindest sichtbar gemacht.

Fragen Sie bei kritischen Programmen den Hersteller schriftlich: Signieren Sie Ihre Update-Konfiguration? Prüft der Client die Signatur, bevor er etwas ausführt? Wie schnell reagieren Sie auf eine Meldung von aussen? AOMEI brauchte vom ersten Hinweis am 7. Juni bis zur Bestätigung von Massnahmen am 29. Juli 52 Tage. Dazwischen lagen zwei weitere Angriffsfenster [ BleepingComputer 2026 ] .

05 Was IT-Dienstleister ihren Kunden schulden

IT-Dienstleister stehen in der Opferliste von Google an erster Stelle. Das ist folgerichtig. Ein Dienstleister installiert dasselbe Werkzeug bei Dutzenden Kunden, oft mit Administratorrechten und oft auf dem eigenen Techniker-Laptop, der Zugang zu allen hat. Ein kompromittierter Techniker-Rechner ist ein Schlüsselbund.

Betreuen Sie als Dienstleister Kunden, oder haben Sie einen Dienstleister, dann gehören diese Punkte jetzt auf die Liste:

• Eine Antwort innert Tagen. Der Dienstleister sagt jedem Kunden, ob AOMEI Backupper oder AnyViewer zwischen April und Juli 2026 auf dessen Systemen oder auf Rechnern mit Zugang dazu lief. Ja, nein oder unklar, mit Begründung.
• Eine Suche mit Ergebnis. Wo das Programm lief, sucht er nach den Indikatoren aus Kapitel 3 und legt das Resultat schriftlich vor. «Wir haben aktualisiert» ist keine Antwort, weil das Update nichts entfernt.
• Die eigenen Werkzeuge zuerst. Der Dienstleister prüft seine eigenen Admin- und Techniker-Rechner. Von dort aus erreicht ein Angreifer alle Kunden gleichzeitig.
• Ein Software-Inventar pro Kunde. Welche Tools hat der Dienstleister installiert, welche holen selbst Updates, wer hat sie freigegeben. Ohne diese Liste kann bei der nächsten Meldung dieser Art niemand die erste Frage beantworten.

Dazu kommen die Meldepflichten. Betreiber kritischer Infrastrukturen melden einen Cyberangriff seit dem 1. April 2025 innert 24 Stunden nach Entdeckung dem BACS [ BACS 2025 ] . Telekomfirmen und Hochschulen, zwei der drei betroffenen Branchen, können darunter fallen. Hatte die Backdoor Zugriff auf Personendaten, prüfen Sie zusätzlich die Meldung an den EDÖB nach Art. 24 DSG [ DSG Art. 24 ] . Die Pflicht liegt beim Verantwortlichen, also beim Kunden. Der Dienstleister als Auftragsbearbeiter muss ihm den Vorfall so rasch als möglich melden.

Wissen Sie, wie viele Programme auf Ihren Servern gerade selbst entscheiden, was sie aus dem Internet laden? Nach unserer Threat Map kennen Sie jedes davon, wissen, welche ihre Updates nicht prüfen, und haben eine rückwirkende Suche nach Spuren wie im AOMEI-Fall. Ab CHF 5’000, in 14 Tagen.