Eine Welle aus npm-Supply-Chain-Angriffen rollt seit dem 1. Mai 2026 durch das Ökosystem — und die Cybercrime-Gruppe TeamPCP steht im Zentrum. Betroffen sind intercom-client@7.0.5 und 7.0.4, lightning@2.6.2 und 2.6.3 sowie mehrere SAP-JavaScript-Pakete für Cloud-Anwendungen. Pro Woche werden diese Pakete rund 572.000 Mal gezogen. Wer eine moderne Build-Pipeline fährt, hat hier ein echtes Problem.
UNGLAUBLICH: Mini-Shai-Hulud im Mai
Sicherheitsforscher von Wiz und Socket bezeichnen die Welle als »Mini Shai-Hulud« — angelehnt an die große Welle vom letzten Herbst. Hinter den Angriffen steht laut Attribution beider Firmen TeamPCP, dieselbe Gruppe, die schon Checkmarx, Bitwarden, Telnyx, LiteLLM und Aqua Security Trivy infiltriert hatte. Das ist kein Hobby-Hacker — das ist eine professionelle Crew, die ihre Werkzeuge wiederverwendet.
Die infizierten Pakete laden bei jedem npm install ein präinstall-Skript, das Credentials aus Umgebungsvariablen abgreift, npm-Tokens scannt und das Ergebnis über DNS-Tunneling rausschickt. Klassisch, aber bei jeder Pipeline-Neuauslösung wieder frisch.
SCHOCK: Der Cloud-App-Markt im Visier
Besonders fies: Die SAP-JavaScript-Pakete adressieren Entwickler:innen, die BTP-Anwendungen oder ABAP-Cloud-Erweiterungen bauen. Diese Pakete leben oft in CI-Pipelines mit echten SAP-API-Tokens — Goldstaub für jeden Threat-Actor. Auch intercom-client mit seinen 360.000 wöchentlichen Downloads steht in den Dependencies von über 100 Drittprojekten. Heißt: Du kannst infiziert sein, ohne das Paket je direkt installiert zu haben.
So checkst du DEIN Setup in 5 MINUTEN!
Erster Schritt: npm ls intercom-client lightning in jedem Projekt-Root. Bekommst du 7.0.4, 7.0.5, 2.6.2 oder 2.6.3 als Treffer, bist du im Risiko. Zweiter Schritt: package-lock.json auf SAP-Pakete durchsuchen — Wiz hat eine vollständige Liste der kompromittierten Pakete veröffentlicht.
Dritter Schritt: Tokens rotieren. Alle npm-Auth-Tokens, alle SAP-API-Keys und alle Cloud-Credentials, die in der CI-Umgebung erreichbar waren, werden ausgetauscht. Wer einen Secret-Manager wie HashiCorp Vault oder Doppler einsetzt, lässt einen Forced-Rotate-Run laufen.
EXTRA-TIPP: preinstall-Skripte killen
Eine harte, aber wirksame Maßnahme: npm install --ignore-scripts als Default in deinen CI-Pipelines. Damit greifen preinstall-Skripte nicht mehr automatisch — und du musst nur an wenigen Stellen explizit Skripte zulassen. Funktioniert nicht für jedes Paket, schützt aber zuverlässig vor genau dieser Angriffsklasse.
Zusätzlich solltest du DNS-Egress aus deinen CI-Runnern beschränken. Viele Exfil-Routen laufen über DNS auf ungewöhnliche Domains. Eine simple Allowlist mit npmjs.org, github.com und deinen eigenen Domains stoppt 80 % der Exfiltrationen.
WAS NOCH? GitLab und Microsoft schreien Alarm
Sowohl GitLab als auch Microsoft Security haben in den letzten Wochen größere Berichte zur npm-Bedrohungslage veröffentlicht. Microsoft empfiehlt zusätzlich Sigstore-Signaturen für interne Pakete, GitLab listet konkrete Detection-Regeln. Wer eine professionelle CI-Umgebung fährt, bekommt aus diesen Berichten eine fertige Maßnahmenliste.
FAZIT: Die Pipeline ist die Festung
Die TeamPCP-Welle zeigt, dass npm-Supply-Chain-Angriffe nicht abreißen. Wer 2026 noch ungeschützt npm install in der Pipeline laufen lässt, sammelt Credential-Stealer wie ein offenes Brötchen Ameisen. Pakete prüfen, –ignore-scripts setzen, DNS-Egress filtern, Tokens rotieren — das ist die Pflicht-Liste. Eine Pause in der Bedrohungslage ist erst dann zu erwarten, wenn TeamPCP entweder erwischt oder das Ökosystem flächendeckend signiert.
Häufige Fragen
Welche Versionen sind betroffen?
Wie merke ich, ob mein System verwundbar ist?
npm ls intercom-client lightning in jedem Projekt-Root und prüfe das Ergebnis gegen die Versionsliste. Zusätzlich solltest du in deinen CI-Logs nach DNS-Anfragen auf ungewöhnliche Domains suchen — die Exfil-Route ist DNS-basiert. Endpoint-Detection-Tools wie Wiz, Snyk und Socket haben fertige Checks im Repertoire.