Quantum Systems gehackt: Duits leger zet drones aan de grond

De Bundeswehr, het Duitse leger, heeft het gebruik van drones van het Beierse defensietechnologiebedrijf Quantum Systems na een cyberaanval blijkbaar uit voorzorg opgeschort. Dat meldt Golem.de op basis van de Financial Times, die op haar beurt personen aanhaalt die met de zaak vertrouwd zijn. De zaak laat zien hoe kwetsbaar zelfs zeer moderne dronesystemen zijn wanneer de aanval niet het vliegtuigje zelf treft, maar de software eromheen.

Wat is er bij Quantum Systems gebeurd?

Volgens persbureau dpa-AFX meldde Quantum Systems dat eind oktober 2026 een „cyberbeveiligingsincident” werd vastgesteld. Een onmiddellijk intern onderzoek bracht volgens het bedrijf een actieve cyberaanval door vijandige actoren aan het licht. Golem.de geeft dezelfde lezing weer: het incident werd tegen eind oktober ontdekt en de it- en beveiligingsteams dempten de dreiging samen met de bevoegde autoriteiten.

Het bedrijf, gevestigd in Gilching bij München, zegt het incident bij de autoriteiten te hebben gemeld en dat het nog wordt onderzocht. Volgens dpa-AFX verklaarde Quantum Systems verder dat door de genomen maatregelen en de aard van het incident er voor eindgebruikers en operators geen risico bestaat bij het gebruik van de systemen. Op vragen in Berlijn reageerde het ministerie van Defensie niet op het mediabericht.

Hoe kwam de schadelijke code bij klanten terecht?

Volgens een persoon die met het incident vertrouwd is, aangehaald door Golem.de, liet Quantum Systems zijn klanten weten dat via een server een schadelijk updatebestand was verspreid. Die server levert updates voor QBase, de grondcontrole- en missieplanningssoftware van de fabrikant. Grondcontrolesoftware is het programma waarmee operators drones vanaf de grond besturen en hun missies plannen.

Zo'n patroon heet een aanval op de toeleveringsketen: aanvallers plaatsen schadelijke code niet rechtstreeks bij de eindklant, maar in een kanaal dat de klant vertrouwt, hier de updateserver van de fabrikant. Of en in hoeverre het gemanipuleerde bestand daadwerkelijk bij klanten is geïnstalleerd, blijkt niet uit de bronnen die wij hebben gelezen. Volgens Golem.de is nog onduidelijk wat de verstoring betekent voor individuele klanten.

Wat betekent dit voor de Bundeswehr?

Volgens de Financial Times, aangehaald door Golem.de, verhinderde de stap blijkbaar ook dat Quantum Systems aan een recente militaire oefening kon deelnemen. Quantum Systems maakt de verkenningsdrone Vector en levert aan meerdere Europese krijgsmachten, onder meer de legers van Duitsland, Spanje en Nederland. Uit de gelezen bronnen blijkt niet of het Spaanse en het Nederlandse leger hun drones ook opschorten.

Zoals dpa-AFX schrijft, bevestigde het ministerie van Defensie het bericht niet. Het woord „blijkbaar” in het Golem-bericht moet dus serieus worden genomen: de opschorting berust op anonieme bronnen van de Financial Times, niet op een officiële mededeling.

Wie zit er achter de aanval?

Dat is open. Golem.de schrijft dat er tot nu toe geen openbare bewijzen zijn die de aanval aan Rusland of aan een andere staat of organisatie koppelen. De Duitse binnenlandse veiligheidsdienst Verfassungsschutz waarschuwde in juli wel voor een verhoogd risico op Russische activiteiten tegen de Duitse defensiesector, waaronder cyberaanvallen, spionage en sabotage. Volgens Golem.de gold de waarschuwing in het bijzonder bedrijven die Oekraïne steunen.

Quantum Systems is zo'n bedrijf: volgens Golem.de heeft het in Oekraïne meer dan 200 medewerkers en drie joint ventures met Oekraïense bedrijven. Die samenwerkingen bouwen kleine aanvalsdrones, onderscheppingsdrones en onbemande grondvoertuigen. Volgens dpa-AFX worden drones van Quantum door de Oekraïense strijdkrachten ingezet in hun verdedigingsoorlog tegen Rusland.

Wat voor bedrijf is Quantum Systems?

Golem.de rekent Quantum Systems tot de hoogst gewaardeerde defensiestartups van Europa; bij een financieringsronde eerder dit jaar werd het volgens berichten gewaardeerd op zeven miljard euro. Volgens dpa-AFX maakt het bedrijf drones voor zowel militair als civiel gebruik, tot nu toe vooral voor verkenning en bewaking; drones voor op en onder water zijn in ontwikkeling.

Tot de nieuwere producten behoort volgens dpa-AFX het onbemande verkenningssysteem „Reliant”. Het kan grote gebieden meer dan tien uur onafgebroken bewaken, stijgt verticaal op en heeft AI aan boord. Een ander ontwikkelspeerpunt is „Mosaic”, besturingssoftware voor onbemande systemen. Bij drones met AI-functies hangt de waarde van het systeem sterk af van software die voortdurend wordt bijgewerkt.

De kernpunten in een oogopslag

• Ontdekt: eind oktober 2026, volgens Quantum Systems een actieve aanval door vijandige actoren (dpa-AFX, Golem.de).
• Vector: een schadelijk updatebestand verspreid via de server voor de software QBase (Golem.de).
• Reactie: de Bundeswehr gebruikt de drones blijkbaar uit voorzorg niet meer (Financial Times via Golem.de); het ministerie reageert niet (dpa-AFX).
• Daders: onbekend, geen openbaar bewijs voor een link met Rusland (Golem.de).
• Gevolgen voor klanten: onduidelijk volgens Golem.de; geen risico voor eindgebruikers volgens Quantum Systems (dpa-AFX).

Wat verandert dit voor een bedrijf in Nederland?

Voor Nederlandse bedrijven die drones, robotica of AI-gestuurde systemen gebruiken of bouwen, is de zaak een herinnering om de updateketen als aparte aanvalsroute te behandelen. In de praktijk: updates van fabrikanten alleen via ondertekende kanalen ophalen, ze vóór uitrol in een testomgeving controleren en vooraf vastleggen wie bij een incident bij de leverancier beslist of apparaten uit voorzorg buiten gebruik worden gesteld. Wie aan defensie of vitale infrastructuur levert, moet bovendien de waarschuwing van de Duitse Verfassungsschutz serieus nemen en meldroutes naar de autoriteiten vooraf verduidelijken.