Die wichtigsten Punkte:
- Uber Freight bestätigt einen unbefugten Zugriff auf Teile seiner Systeme und Datenbestände.
- Helix behauptet, über E-Mail-Konten, OneDrive und Abrechnungsunterlagen an fast eine Million Dateien gelangt zu sein.
- Das Unternehmen hat den Sicherheitsvorfall bestätigt, bislang aber weder den genannten Umfang noch die Echtheit der Dateien verifiziert.
- Google verfolgt die Helix-Gruppe unter der Bezeichnung UNC6671. Zu ihren Methoden gehört unter anderem Vishing; im Visier stehen demnach auch Unternehmen aus dem Transportsektor.
- Der Fall verdeutlicht die Risiken, die entstehen, wenn sensible Daten auf integrierten Logistikplattformen gebündelt werden.
Uber Freight hat bestätigt, dass es zu einem unbefugten Zugriff auf Teile seiner Systeme und Datenbestände gekommen ist. Gegenüber FreightWaves erklärte das Unternehmen, der Vorfall sei erkannt, eingedämmt und beseitigt worden. Zudem seien US-Bundesbehörden eingeschaltet worden. Nach Angaben von Uber Freight blieb der Geschäftsbetrieb ungestört; die Systeme seien inzwischen wieder sicher und vollständig funktionsfähig.
Die Gruppe Helix behauptet, dass der Vorfall deutlich größeren Umfang hatte. Sie führt Uber Freight auf einer Website zur Veröffentlichung gestohlener Daten und gibt an, nahezu eine Million Dateien kopiert zu haben. Dazu sollen E-Mail-Konten von Beschäftigten, Daten aus Microsoft OneDrive, einem Cloud-Dienst zum Speichern und Teilen von Dateien, sowie Unterlagen zur Abrechnung gehören.
Uber Freight hat diese Angaben bislang nicht bestätigt. Ebenso ist offen, ob Daten von Kunden, Frachtführern, Mitarbeitenden oder Lieferanten betroffen sind. Bestätigt ist bislang der unbefugte Zugriff; das tatsächliche Ausmaß des behaupteten Datendiebstahls ist jedoch noch nicht unabhängig belegt.
Warum Transportunternehmen zunehmend ins Visier geraten
Für die Transport- und Logistikbranche ist der Fall besonders relevant, weil moderne Frachtplattformen große Mengen betrieblicher Informationen bündeln. In ihren Datenbanken können Transportaufträge, Angaben zu Frachtführern, Routen, Frachtraten, Zahlungen, Rechnungen, Lade- und Lieferorte sowie die Kommunikation zwischen verschiedenen Partnern der Lieferkette gespeichert sein.
Das Risiko beschränkt sich nicht auf die Verschlüsselung von Systemen oder einen vorübergehenden Betriebsausfall. Gestohlene Daten können gezielten Betrug erheblich erleichtern – etwa indem sich Täter als Geschäftspartner ausgeben, Phishing-Angriffe glaubwürdiger gestalten, Zahlungen umleiten oder versuchen, die Kontrolle über Transporte zu übernehmen.
Für Angreifer kann es wertvoller sein, zu wissen, welcher Frachtführer eine bestimmte Ladung transportiert, wo sie startet, wohin sie unterwegs ist und wann sie eintreffen soll, als direkten Zugriff auf die zugrunde liegende IT-Infrastruktur zu erhalten.
Helix steht offenbar mit einer größeren Cybercrime-Kampagne in Verbindung
Die Threat Intelligence Group von Google ordnet die Aktivitäten von Helix einem größeren Komplex verwandter Cybercrime-Operationen zu, der unter der Bezeichnung UNC6671 verfolgt wird. Nach Einschätzung der Forscher wurden dieselbe Infrastruktur und ähnliche Vorgehensweisen auch mit Bezeichnungen wie Redact, Pink und Falcon sowie früher mit BlackFile in Verbindung gebracht.
Eine zentrale Methode der Gruppe ist Vishing, also telefonisches Phishing. Die Angreifer geben sich Berichten zufolge als IT-Mitarbeitende des Unternehmens aus und setzen ihre Gesprächspartner unter Zeitdruck, indem sie eine dringende Sicherheitsprüfung des Kontos ankündigen. Anschließend werden die Betroffenen auf eine gefälschte Anmeldeseite geleitet, die dem internen Unternehmensportal nachempfunden ist.
Laut Google geht es den Tätern nicht nur um Benutzernamen und Passwörter. Sie versuchen auch, Informationen zu erlangen, mit denen sich bestimmte Schutzmechanismen der Mehr-Faktor-Authentifizierung umgehen lassen. Bei der Multi-Faktor-Authentifizierung müssen Nutzer ihre Identität zusätzlich zum Passwort bestätigen, beispielsweise mit einem von einer App erzeugten Code oder über ein anderes Verfahren.
Ist ein Konto erst kompromittiert, können Kriminelle Daten aus geschäftlich genutzten Cloud-Diensten wie Microsoft 365 und aus weiteren Unternehmensanwendungen herunterladen.
Besonders auffällig ist der Bezug zum Transportsektor. Google-Forscher berichteten im Juni 2026 von einem wachsenden Interesse der Gruppe an großen Unternehmen aus den Bereichen Transport, Technologie und Hotellerie. Uber Freight wurde von Google allerdings nicht als bestätigtes Opfer eines konkreten UNC6671-Angriffs genannt. Auch die Methode, mit der die Täter in die Systeme des Unternehmens gelangten, ist unbekannt.
Digitale Vernetzung bündelt auch Risiken
Die Digitalisierung des Transports hat immer mehr Abläufe in einer gemeinsamen digitalen Umgebung zusammengeführt: von der Frachtbuchung und der Auswahl eines Frachtführers über die Sendungsverfolgung und die Kommunikation mit Partnern bis hin zu Abrechnung und Datenanalyse. Diese Integration spart Zeit und verbessert den Informationsfluss. Gleichzeitig liegen dadurch sehr umfangreiche Datenbestände an einem zentralen Ort.
Der Fall Uber Freight zeigt, welche Angriffsfläche entsteht, wenn große Mengen operativer Informationen auf einer Plattform konzentriert sind. Je mehr Daten aus der Lieferkette ein System verwaltet, desto interessanter wird es für Kriminelle.
In der Branche gibt es bereits Probleme mit Ladungsdiebstahl, dem Missbrauch der Identität von Frachtführern, gefälschten Transportaufträgen, Phishing und Zahlungsbetrug. Nach einem Datenleck lassen sich solche Betrugsversuche deutlich überzeugender vorbereiten.
Mit echter Geschäftskorrespondenz, den Namen von Mitarbeitenden, Auftragshistorien und Vorlagen für Dokumente können Täter viel glaubwürdiger den Eindruck erwecken, ein legitimer Geschäftspartner zu sein – etwa gegenüber einem Frachtführer oder Spediteur.
Auch MFA schützt nicht automatisch vor Phishing
Google empfiehlt Unternehmen, moderne Anmeldeverfahren einzusetzen, die gegen gängige Phishing-Angriffe widerstandsfähiger sind. Dazu gehören Lösungen auf Basis von FIDO2 und Passkeys. Sie verringern die Abhängigkeit von herkömmlichen Passwörtern und erschweren die Übernahme eines Kontos, selbst wenn ein Mitarbeitender auf eine gefälschte Anmeldeseite hereinfällt. Zusätzlich sollten Unternehmen Zugriffe von nicht vertrauenswürdigen Geräten und aus nicht vertrauenswürdigen Netzwerken einschränken und Anmeldungen bei Cloud-Diensten genauer überwachen.
Ebenso wichtig ist die Schulung der Belegschaft. Ein Angriff muss nicht mit einer technisch ausgefeilten Schwachstelle beginnen, sondern kann durch einen einzigen Anruf ausgelöst werden, bei dem sich jemand als IT-Mitarbeitender ausgibt. Für Transport- und Logistikunternehmen ist die Botschaft eindeutig: Je mehr Prozesse auf digitale Plattformen verlagert werden, desto stärker wird Cybersicherheit zu einem Bestandteil des Schutzes von Ladungen und Zahlungsströmen.
Der Vorfall bei Uber Freight belegt nicht, dass jede von den Hackern genannte Datei tatsächlich entwendet wurde. Er zeigt jedoch, welchen Wert die in modernen Transportmanagementsystemen gespeicherten Informationen für Kriminelle haben können.
Die entscheidende Frage lautet deshalb nicht mehr nur: „Können unsere Systeme angegriffen werden?“ Unternehmen sollten sich ebenso fragen: Was könnte ein Täter mit Zugriff auf Informationen über unsere Transporte anfangen?
