Hackerangriff auf Beget: Was beim russischen Hoster passiert ist und welche Daten verloren sind

Was ist beim Hackerangriff auf Beget passiert?

In der Nacht zum 2. November 2026 fielen bei Beget nahezu alle Dienste aus: Websites der Kunden, das Kundenmenü, virtuelle Server, E-Mail und die Nameserver, die Domainnamen in IP-Adressen übersetzen. Die ersten Probleme traten laut dem russischen Fachmagazin Xakep gegen 3:50 Uhr Moskauer Zeit auf. Rund eine Stunde später meldete Beget einen „großen Vorfall“, im Laufe des Tages dann einen „massiven Cyberangriff“. Gleichzeitig berief sich die Betreibergesellschaft OOO Beget gegenüber ihren Kunden auf höhere Gewalt nach russischem Zivilrecht.

Am 3. November wurde der Hoster in seinem offiziellen Telegram-Kanal konkreter: Die Angreifer hätten Zugang zum sogenannten Steuerungskontur der gesamten Architektur erlangt – also zu der zentralen Verwaltungsebene, über die sich alle Server, Speicher und Netze steuern lassen. Von dort aus seien Skripte gestartet worden, die Daten „nullen“, also überschreiben. Fachleute sprechen bei solchen Angriffen von einem Wiper: Ziel ist nicht Erpressung, sondern Zerstörung.

Auffällig war laut einem Bericht der Zeitung Kommersant, den Xakep zitiert, das Netzwerkverhalten kurz vor dem Ausfall: Für einige IP-Adressblöcke von Beget registrierte der Messdienst RIPEstat binnen einer Stunde fast eine Million Meldungen über geänderte Routen. In den 90 Tagen zuvor lag der Spitzenwert bei höchstens 20.000. Das passt zu der Vermutung, dass die Angreifer Konfigurationen im großen Stil zurückgesetzt haben. Beget selbst hat den Ablauf bislang nicht im Detail beschrieben und begründet das mit den laufenden Ermittlungen.

Welche Daten und Backups hat Beget verloren?

Wie schwer der Schaden ist, hängt davon ab, welchen Dienst ein Kunde genutzt hat. Am härtesten trifft es die Cloud-Angebote: Bei virtuellen privaten Servern (VPS, gemietete virtuelle Rechner), beim S3-Objektspeicher und bei Kubernetes, einer Plattform für Container-Anwendungen, sind laut Beget alle Daten verloren. Auch CDN-Einstellungen und zugewiesene IP-Adressen sind weg.

Besonders bitter: Die binären Backups der VPS – vollständige Abbilder der virtuellen Festplatten – sind nach Firmenangaben komplett gelöscht. Erhalten blieben nur Datei-Backups, also Kopien einzelner Dateien und Verzeichnisse. Doch auch die reichen nicht für alle: Am 6. November teilte Beget mit, dass Datei-Backups nach aktueller Einschätzung nur etwa der Hälfte der VPS-Kunden zur Verfügung stehen werden. Die Cloud werde „von Grund auf neu“ gebaut, berichtet Meduza unter Berufung auf den Hoster.

Glimpflicher kommen Kunden mit klassischem Webhosting davon, bei dem sich viele Websites einen Server teilen. Hier sollen nach vorläufiger Einschätzung fast 100 Prozent der Seiten wiederherstellbar sein. Dedizierte Server, die Kunden selbst verwalten, liefen schon am Nachmittag des 2. November wieder. Laut Beget gibt es bislang keine Hinweise darauf, dass die Angreifer Kundendaten heruntergeladen oder verändert haben. Trotzdem rät der Hoster, alle Passwörter, Zugangsschlüssel und sonstigen Zugangsdaten zu ändern, die auf den Servern lagen.

Wer ist Beget und wie viele Websites sind betroffen?

Beget ist seit 2007 am Markt und gehört zu den größten Hostern Russlands. Nach Daten des Hosting-Zensus vom Oktober 2026, die Meduza zitiert, lagen auf der Infrastruktur 334.562 aktive Websites in den Domainzonen .ru, .рф und .su. Kommersant und Xakep nennen mit Verweis auf statonline.ru rund 540.700 .ru-Domains, das entspricht Platz zwei und einem Marktanteil von 14,7 Prozent; mehr als 200.000 Kunden sollen die Dienste nutzen. Die Zahlen unterscheiden sich, weil mal Domains, mal tatsächlich erreichbare Websites gezählt werden. Beget selbst hat keine Zahl zu Betroffenen genannt.

Getroffen hat der Ausfall vor allem kleine und mittlere Unternehmen mit Onlineshops und Firmenwebsites, berichtet The Record unter Berufung auf Kommersant. Aber auch bekannte Dienste waren gestört, darunter laut Xakep die Informationsseite des staatlichen Kennzeichnungssystems „Tschestny Snak“, das Reiseportal der Russischen Eisenbahnen und der Carsharing-Anbieter BelkaCar, der seine Dienste kurzfristig zu einem anderen Anbieter umziehen musste.

Wer steckt hinter dem Angriff auf Beget?

Das ist bislang unklar. Beget spricht von einem Angriff, nennt aber keinen Täter und schweigt zum Einfallstor. Nach Auswertung des Sicherheitsunternehmens Brandefense hat sich in den untersuchten Telegram-Kanälen keine Gruppe zu der Tat bekannt – anders als beim Angriff auf die russische Statistikbehörde Rosstat einen Tag zuvor, zu dem sich Hacktivisten öffentlich äußerten.

Der Angriff fällt in eine Phase, in der russische Technologieunternehmen gehäuft Ziel von Cyber- und Drohnenangriffen sind. Das Fachportal TechRadar vermutet dahinter ukrainische Angreifer oder regierungskritische Kreise in Russland – belegt ist das im Fall Beget nicht. Ein zerstörerischer Angriff kann ebenso von Kriminellen, politisch motivierten Hacktivisten oder staatlich gesteuerten Gruppen ausgehen; der Schaden allein verrät den Absender nicht.

Politisch heikel ist der Fall auch, weil Beget seit dem 23. Juli 2026 auf der EU-Sanktionsliste steht. Die EU wirft dem Unternehmen vor, Hosting, Domainregistrierung und weitere Dienste für von Russland eingesetzte Behörden auf der Krim sowie in Donezk und Luhansk und für Rüstungsbetriebe erbracht zu haben. Das listet die Zusammenfassung des 21. Sanktionspakets auf.

Warum haben die Backups beim Beget-Hack nicht geholfen?

Der Fall zeigt ein Grundproblem: Backups schützen nur, wenn Angreifer sie nicht mit denselben Rechten erreichen wie die Originaldaten. Wer die zentrale Verwaltungsebene eines Rechenzentrums kontrolliert, kann in der Regel auch die dort angebundenen Sicherungen löschen. Genau das scheint bei den binären VPS-Backups passiert zu sein.

Dass Beget die erhaltenen Datei-Backups nicht sofort herausgeben kann, hat einen weiteren Grund: Jeder der mehr als 1.000 Server muss nach Firmenangaben von Hand auf versteckte Schwachstellen und Schadskripte geprüft werden, bevor er wieder ans Netz darf. Der Hoster geht davon aus, dass die Bedrohung weiter besteht, und baut auch Bereiche um, die bisher als sicher galten.

Für Website-Betreiber heißt das: Die Sicherung, die der Hoster „inklusive“ anbietet, ist kein Ersatz für eine eigene Kopie. Sicherheitsfachleute empfehlen seit Jahren die 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Speichermedien, davon eine an einem anderen Ort – idealerweise bei einem anderen Anbieter, mit eigenen Zugangsdaten und unveränderbar gespeichert.

Was bedeutet der Angriff für Nutzer in Deutschland?

Direkt betroffen sind in Deutschland vor allem Menschen und Firmen, die russische Websites betreiben oder Dienste nutzen, die bei Beget liegen. Für Unternehmen in der EU kommt eine rechtliche Frage hinzu: Seit der Sanktionslistung im Juli 2026 sind Geschäfte mit Beget grundsätzlich problematisch. Wer dort noch Server oder Domains unterhält, sollte rechtlich prüfen lassen, ob er die Verträge fortführen darf.

Wichtiger für die meisten Leserinnen und Leser ist die Lehre aus dem Fall. Ein einziger Anbieter hielt bei vielen Kunden Website, E-Mail, DNS und Domain zugleich. Mit dem Angriff fiel alles auf einmal aus – und mit den Sicherungen auch der Weg zurück. Das kann bei jedem Hoster passieren, auch in Deutschland. Wer Domain-Registrierung und DNS-Verwaltung von seinem Webhoster trennt, kann im Notfall eine Ersatzseite oder einen anderen Server ansteuern, während der Hoster noch ausfällt. Beget-Kunden mit Domains bei anderen Registraren konnten genau das tun.

Wie geht es beim Beget-Hack weiter?

Einen Termin für die vollständige Wiederherstellung nennt Beget nicht. Nach dem Stand vom 6. November hat der Hoster die Grundarchitektur und die Verwaltungsdienste wieder aufgebaut und wollte die ersten neuen Cloud-Server innerhalb von ein bis zwei Tagen anschließen. Ziel ist, alle Hosting-Projekte aus Backups wiederherzustellen. Abbuchungen sind während des Vorfalls ausgesetzt; Anträge auf Entschädigung sollen Kunden stellen können, sobald das Kundenmenü wieder vollständig läuft.

Offen sind weiterhin das Einfallstor, der Täter und die tatsächliche Zahl der betroffenen Websites. Diese Seite wird aktualisiert, sobald es belastbare neue Informationen gibt.