Ex-Analyst wegen Erpressung von Brightly Software verurteilt

Zwei Jahre Haft für Erpressungskampagne

Der 27-jährige Cameron Curry aus North Carolina, online unter dem Namen „Loot“ bekannt, wurde zu zwei Jahren Haft verurteilt, weil er Brightly Software erpresst hatte. Das SaaS-Unternehmen wurde von Siemens übernommen.

Das Urteil wurde am 14. August 2026 bekannt. Curry war im März nach Ermittlungen des FBI und des US-Justizministeriums (Department of Justice) schuldig gesprochen worden.

Der Fall betrifft einen Insiderangriff durch einen ehemaligen Mitarbeiter mit legitimen Zugriffsrechten auf Unternehmensdaten. Curry arbeitete als Vertrags-Datenanalyst für Brightly. Sein auf sechs Monate befristeter Auftrag sollte nicht verlängert werden.

Nach dem Ende seines Vertrags am 10. Dezember soll er begonnen haben, während seiner Tätigkeit erlangte Daten zu nutzen, um Druck auf das Unternehmen auszuüben.

E-Mails mit der Signatur „Loot“ und Forderung über 2,5 Millionen Dollar

Zwischen dem 11. Dezember 2023 und dem 24. Januar 2024 soll Curry zahlreiche E-Mails an Brightly-Mitarbeiter geschickt haben. Für die Kommunikation nutzte er das Alias „Loot“ und die Adresse [email protected].

In den Nachrichten forderte er ein Lösegeld von 2,5 Millionen US-Dollar in Kryptowährung. Im Gegenzug drohte der Täter damit, dem Unternehmen entwendete Dokumente und persönliche Informationen über Mitarbeiter zu veröffentlichen.

Die Drohungen sahen eine schrittweise Veröffentlichung vor. Curry behauptete, ab dem 1. Januar 2024 zunächst Gehaltsdaten öffentlich zu machen und die Menge der veröffentlichten Informationen anschließend schrittweise zu erhöhen.

Die Erpressung beinhaltete außerdem eine Strafzahlung: Für jeden Monat Zahlungsverzug sollte sich die Forderung um 100.000 US-Dollar erhöhen. Curry behauptete zudem, Unstimmigkeiten in der Buchhaltung von mehr als 16 Millionen US-Dollar entdeckt zu haben, und drohte, Brightly wegen einer mutmaßlich nicht gemeldeten Datenschutzverletzung bei der US-Börsenaufsicht Securities and Exchange Commission (SEC) anzuzeigen.

Die E-Mails enthielten Screenshots mit personenbezogenen Daten. Dazu gehörten Namen, Geburtsdaten, Wohnadressen und Gehaltsinformationen.

Brightly überwies schließlich Bitcoin im Wert von 7.540 US-Dollar an eine von Curry kontrollierte Wallet. Die Zahlung entsprach nicht der deutlich höheren ursprünglichen Forderung, stellte jedoch trotzdem einen Geldtransfer an den Erpresser dar.

Es ist nicht bekannt, ob die Daten tatsächlich veröffentlicht wurden oder wie viele Dokumente entwendet beziehungsweise eingesehen worden waren.

Das Risiko für Mitarbeiter und Unternehmen

Der Vorfall vereint drei unterschiedliche Elemente: den Missbrauch legitimer Zugriffsrechte, den Diebstahl sensibler Dokumente und eine Erpressung, die auf der Drohung mit einer Veröffentlichung beruhte.

Für die Mitarbeiter betraf das potenzielle Risiko personenbezogene, wohnortbezogene und berufliche Daten. Gehaltsinformationen können zudem gezielte Betrugsversuche, Phishing-Kampagnen oder Identitätsmissbrauch gegen Beschäftigte erleichtern.

Für Brightly beschränkte sich der potenzielle Schaden nicht auf den Datenschutz. Die Drohungen konnten Reputationsschäden, Rechtsstreitigkeiten und die Aufmerksamkeit von Aufsichtsbehörden nach sich ziehen. Die mutmaßlichen Buchhaltungsanomalien von mehr als 16 Millionen US-Dollar erhöhten den Druck zusätzlich, auch wenn sich das Gerichtsverfahren auf Erpressung und Datendiebstahl bezieht.

Der Fall zeigt außerdem ein typisches Merkmal von Insiderbedrohungen: Der Angreifer muss nicht zwingend eine Authentifizierung umgehen oder eine Software-Schwachstelle ausnutzen. Er kann für die Arbeit vergebene Berechtigungen verwenden, während des Beschäftigungsverhältnisses Informationen sammeln und diese nach dessen Ende behalten.

Das Risiko steigt, wenn der Zugriff auf Gehaltsdaten nicht auf unbedingt erforderliche Tätigkeiten beschränkt ist oder wenn Konten nicht umgehend deaktiviert und lokale Kopien nicht überwacht werden.

Die Durchsuchung und die Rolle der Behörden

Nach der Anzeige durchsuchte das FBI am 24. Januar Currys Wohnung und beschlagnahmte mehrere elektronische Geräte. Auf den Geräten befanden sich Beweise, die ihn mit der Erpressungskampagne in Verbindung brachten.

Die forensische Sicherung der Geräte lieferte den Ermittlern digitales Material, mit dem sie die Kommunikation, die Nutzung der Identität „Loot“ und den Besitz der Unternehmensdokumente nachvollziehen konnten.

Brightly erklärte, vollständig mit dem FBI und dem US-Justizministerium kooperiert zu haben. Die veröffentlichten Informationen nennen als dokumentierte Maßnahmen die Anzeige, die Zusammenarbeit mit den Ermittlern und die forensische Untersuchung der Geräte.

Weitere technische Gegenmaßnahmen des Unternehmens in diesem konkreten Fall sind hingegen nicht bekannt. Öffentlich liegen keine Einzelheiten zur Deaktivierung von Zugangsdaten, zur Rotation von Secrets, zur Zugriffsegmentierung, zur Log-Aufbewahrung oder zur gezielten Überwachung der vom ehemaligen Mitarbeiter genutzten Konten vor.

Für Unternehmen sollte die Reaktion auf einen vergleichbaren Vorfall mindestens die Sicherung von Beweismitteln, die Analyse erfolgter Zugriffe, die Prüfung kopierter Daten und die Bewertung bestehender Meldepflichten umfassen. Diese Maßnahmen wurden Brightly über die Zusammenarbeit mit den Behörden hinaus jedoch nicht öffentlich zugeschrieben.

Ein vom SchoolDude-Datenleck unabhängiger Vorfall

Brightly Software bietet weltweit mehr als 12.000 Kunden Lösungen für die Verwaltung und Instandhaltung von Anlagen und beschäftigt über 700 Mitarbeiter. Das Unternehmen hieß früher SchoolDude und wurde im August 2022 von Siemens übernommen.

Der Fall Curry steht nicht mit der von Brightly im Mai 2023 öffentlich gemachten Datenschutzverletzung in Zusammenhang. Damals hatten nicht identifizierte Angreifer Zugangsdaten und personenbezogene Daten aus der Datenbank der Online-Plattform SchoolDude entwendet.

Zu den betroffenen Informationen gehörten Namen, E-Mail-Adressen, Kontokennwörter und Telefonnummern. Der Vorfall betraf nahezu 3 Millionen Kunden und Nutzer.

Die beiden Ereignisse unterscheiden sich grundlegend. Beim SchoolDude-Datenleck handelte es sich um einen Angriff mutmaßlich nicht identifizierter Täter auf eine Online-Datenbank. Die Ermittlungen gegen Curry betreffen dagegen einen identifizierten ehemaligen Mitarbeiter, die Nutzung während des Beschäftigungsverhältnisses erlangter Zugriffsrechte und eine anschließende Erpressungsforderung.

Für Verantwortliche im Umgang mit sensiblen Daten unterstreicht der frühere Vorfall eine praktische Schlussfolgerung: Der Schutz des externen Perimeters reicht nicht aus. Unternehmen müssen auch kontrollieren, wer interne Informationen einsehen, exportieren und behalten kann – insbesondere in Systemen, die Gehalts- und personenbezogene Daten verarbeiten.