Der Datenverstoß des Monats November: Was uns der ASOS-Hack über Vertrauen lehrt

Was ist passiert?

Stellen Sie sich vor, Sie öffnen Ihre Lieblings-Shopping-App und sehen eine Benachrichtigung, in der Ihnen mitgeteilt wird, dass das Unternehmen gehackt wurde. Nur dass die Nachricht nicht vom Unternehmen stammt, sondern von den Hackern selbst gesendet wurde.

Genau das ist den ASOS-Kunden am 6. Oktober 2026, als Cyberkriminelle das hauseigene Benachrichtigungssystem des Online-Händlers nutzten, um bekannt zu geben, dass sie dessen Systeme kompromittiert hätten.

Die Meldung löste umgehend Besorgnis aus, und ASOS bestätigte daraufhin, dass ein unbefugter Dritter Zugriff auf Kundendaten erlangt hatte. Zunächst teilte das Unternehmen mit, dass grundlegende personenbezogene Daten, darunter Namen und Kontaktdaten, möglicherweise betroffen seien.

Im weiteren Verlauf der Ermittlungen zeichnete sich jedoch ein zunehmend besorgniserregendes Bild ab. Nachdem die Täter BBC News mit einer Stichprobe der gestohlenen Daten kontaktiert hatten, bestätigte ASOS, dass detailliertere Kundenprofile entwendet worden waren. Nach Angaben der BBC umfassten die gestohlenen Daten Namen, Adressen, Telefonnummern, E-Mail-Adressen, Kundennummern und Geburtsdaten. Sogar die Suchanfragen der Kunden beim Einkauf waren in den Daten ersichtlich.

ASOS hat nicht genau bestätigt, wie viele Kunden betroffen waren, obwohl die Sicherheitslücke potenziell Millionen von Menschen betreffen könnte. Das Unternehmen erklärte, es gehe nicht davon aus, dass Zahlungskartendaten oder Kontopasswörter abgerufen worden seien, und versicherte den Kunden, dass die Nutzung seiner Website und seiner App weiterhin sicher sei.

Wie gelang es den Angreifern also, sich Zugang zu verschaffen? Laut ASOS gaben sich die Kriminellen als vertrauenswürdiger Kontakt aus und überredeten einen Mitarbeiter, seine Anmeldedaten preiszugeben. Mit diesen Zugangsdaten erhielten die Angreifer anschließend Zugriff auf einen Dienst, der Kundeninformationen enthielt.

Genau das macht diesen Vorfall besonders interessant. Den Angreifern gelang es, das Vertrauen an zwei verschiedenen Stellen auszunutzen: zunächst, um über einen Mitarbeiter Zugang zu erlangen, und anschließend, indem sie einen legitimen Kommunikationskanal nutzten, um Kunden direkt zu erreichen.

Wie eine überzeugende Identitätsfälschung die Tür öffnete

Die meisten Mitarbeiter würden ihre Zugangsdaten nicht absichtlich an einen Cyberkriminellen weitergeben, doch wenn jemand wie ein echter Kollege oder ein vertrauenswürdiger Ansprechpartner wirkt, kann eine unerwartete Anfrage durchaus plausibel erscheinen.

Das ist das Problem beim Social Engineering: Angreifer müssen nicht immer eine technische Schwachstelle ausnutzen, wenn sie jemanden mit berechtigten Zugriffsrechten dazu überreden können, etwas in ihrem Namen zu tun.

Im Fall von ASOS verschafften sich die Angreifer Berichten zufolge Zugang, indem sie sich als eine Person ausgaben, der der Mitarbeiter vertraute. Wir kennen zwar nicht alle Einzelheiten dieser Interaktion, wissen jedoch, wie sie ausging: Die Angreifer gelangten in den Besitz gültiger Zugangsdaten und nutzten diese, um auf Kundendaten zuzugreifen.

Angesichts eines Vorfalls wie diesem fragt man sich leicht, warum jemand seine Zugangsdaten preisgeben sollte, doch Angreifer schaffen bewusst Situationen, in denen ungewöhnliche Anfragen normal erscheinen, insbesondere wenn sie sich als eine vertraute Person oder als jemand in einer Autoritätsposition ausgeben.

Für einen Mitarbeiter, der versucht, einen arbeitsreichen Tag zu bewältigen, weckt eine überzeugende Anfrage eines vermeintlichen Kollegen möglicherweise nicht sofort Misstrauen.

Aus diesem Grund muss die Sensibilisierung für Sicherheitsfragen über die bloße Aufforderung hinausgehen, Passwörter sicher aufzubewahren. Die Mitarbeiter müssen verstehen, wie Identitätsbetrug funktioniert, erkennen, wann eine Anfrage genauer geprüft werden sollte, und sich sicher dabei fühlen, die Identität einer Person zu überprüfen, bevor sie vertrauliche Informationen weitergeben.

Wenn die Nachricht aus einer vertrauenswürdigen Quelle stammt

Die gestohlenen Kundendaten geben natürlich Anlass zu großer Sorge, doch es gibt noch einen weiteren Aspekt dieses Datenlecks, der Beachtung verdient.

Den Hackern gelang es, eine Benachrichtigung über die echte ASOS-App zu versenden. Wenn eine Benachrichtigung von einer App erscheint, die Sie bereits seit Jahren heruntergeladen und genutzt haben, verbringen Sie wahrscheinlich nicht viel Zeit damit, sich zu fragen, wer sie gesendet hat – Sie gehen einfach davon aus, dass sie von dem Unternehmen stammt, das hinter der App steht. Schließlich kommen diese Benachrichtigungen über einen Dienst, den wir bereits heruntergeladen haben und dem wir unser Vertrauen schenken.

In diesem Fall nutzten die Kriminellen diese Vertrautheit, um ihre Botschaft direkt vor die Augen der ASOS-Kunden zu bringen.

Dies ist ein interessantes Beispiel dafür, wie Vertrauen über die üblichen Phishing-E-Mails hinaus ausgenutzt werden kann. Ein Angreifer muss nicht unbedingt eine überzeugende gefälschte Website erstellen oder eine E-Mail-Adresse vortäuschen, wenn er sich Zugang zu einem echten Kommunikationssystem verschafft hat.

Und obwohl die Benachrichtigung von ASOS den Datenverstoß offenlegte, anstatt sich als gewöhnliche Kundendienstnachricht auszugeben, sind die weiterreichenden Auswirkungen bedenkenswert. Wenn Kriminelle einen legitimen Kommunikationskanal missbrauchen können, könnten Menschen allein aufgrund der Quelle, aus der eine böswillige Anfrage stammt, eher geneigt sein, dieser Glauben zu schenken.

Das Nationale Zentrum für Cybersicherheit (NCSC) hat ASOS-Kunden ausdrücklich dazu gewarnt, bei verdächtigen Links, einschließlich solcher, die über Push-Benachrichtigungen versendet werden, Vorsicht walten zu lassen.

Auch für Mitarbeiter ist dies eine nützliche Lektion. Eine Nachricht, die an einem vertrauten Ort erscheint, ist nicht automatisch vertrauenswürdig, insbesondere wenn Sie darin aufgefordert werden, Informationen preiszugeben oder eine unerwartete Handlung vorzunehmen.

Was ASOS gut gemacht hat

ASOS sah sich mit einer ungewöhnlichen Situation konfrontiert, da Kriminelle den Vorfall den Kunden praktisch bereits bekanntgaben, noch bevor das Unternehmen seine Untersuchungen abgeschlossen hatte.

ASOS hat Maßnahmen ergriffen, um den Zugriff auf die betroffenen Plattformen von Drittanbietern zu beschränken, und externe Cybersicherheitsexperten hinzugezogen, um den Vorfall zu untersuchen. Der Online-Händler bestätigte zudem, dass er mit den Strafverfolgungsbehörden und Aufsichtsbehörden zusammenarbeite und seine Kunden über die vermutlich betroffenen Daten auf dem Laufenden halte. Als weitere Details bekannt wurden, aktualisierte das Unternehmen seine Mitteilungen und erklärte, dass auf umfangreichere Kundenprofile zugegriffen worden sei.

Diese Unterscheidung ist von Bedeutung. Die ursprüngliche Beschreibung der grundlegenden Kontaktdaten gab nicht das volle Ausmaß des Diebstahls wieder, und die Kunden mussten sich über die zusätzlichen Risiken im Klaren sein, die mit der Offenlegung ihrer personenbezogenen Daten verbunden waren.

ASOS versicherte den Kunden zudem, dass nach seiner Einschätzung weder Zahlungsdaten noch Passwörter kompromittiert worden seien, und warnte sie, bei unerwarteten Nachrichten oder Anrufen, die angeblich von dem Online-Händler stammten, Vorsicht walten zu lassen.

Wichtig ist, dass dabei deutlich gemacht wurde, dass Kunden niemals aufgefordert würden, Passwörter, Sicherheitscodes oder Zahlungsdaten im Rahmen einer unaufgeforderten Nachricht oder eines unaufgeforderten Anrufs preiszugeben.

Daraus lässt sich eine Lehre hinsichtlich der Kommunikation während einer laufenden Untersuchung ziehen. Organisationen verfügen nicht immer sofort über alle Antworten, insbesondere wenn sich ein Vorfall noch in der Entwicklung befindet; doch wenn die Betroffenen auf dem Laufenden gehalten werden, sobald neue Informationen vorliegen, kann dies ihnen helfen, zu verstehen, was geschehen ist und worauf sie als Nächstes achten sollten.

Was Organisationen daraus lernen können

Einer der auffälligsten Aspekte des ASOS-Hackangriffs ist, wie viel Schaden eine überzeugende Identitätsfälschung potenziell anrichten kann. Berichten zufolge begannen die Angreifer damit, einen Mitarbeiter dazu zu überreden, seine Anmeldedaten preiszugeben. Von da an konnten sie auf Kundendaten zugreifen und einen Kommunikationskanal missbrauchen, den Millionen von Menschen normalerweise mit einem vertrauenswürdigen Online-Händler in Verbindung bringen würden.

Dies wirft für Unternehmen eine wichtige Frage auf: Wie sicher sind Ihre Mitarbeiter darin, jemanden zu erkennen, der nicht der ist, für den er sich ausgibt?

Wenn Sie gerade damit beschäftigt sind, Ihre Arbeit zu erledigen, neigt man leicht dazu, eine Anfrage für bare Münze zu nehmen, insbesondere wenn sie scheinbar von jemandem stammt, den Sie kennen oder dem Sie vertrauen. Genau darauf setzen Angreifer.

Mitarbeiter müssen wissen, dass es in Ordnung ist, solche Anfragen zu hinterfragen, selbst wenn sie scheinbar von einer ihnen bekannten Person stammen. Eine Überprüfung über einen separaten, vertrauenswürdigen Kanal kann dabei helfen, festzustellen, ob eine Anfrage echt ist, bevor sensible Informationen weitergegeben werden.

Der Vorfall verdeutlicht zudem, warum das Sicherheitsbewusstsein mit den Kommunikationswegen der Kriminellen Schritt halten muss. Phishing-E-Mails stellen nach wie vor ein großes Problem dar, doch können Mitarbeiter auch über Messaging-Plattformen am Arbeitsplatz, Telefonanrufe und über andere vertraute Kanäle auf verdächtige Anfragen stoßen.

Die Empfehlungen des NCSC im Anschluss an den Datenverstoß bei ASOS unterstreichen diesen Punkt. Die Kunden wurden dazu angehalten, auf Betrugsversuche zu achten, verdächtige Links zu meiden und die Sicherheit ihrer Konten zu überprüfen, da böswillige Nachrichten auch noch einige Zeit nach dem ursprünglichen Vorfall eintreffen können.

Und wenn etwas tatsächlich verdächtig erscheint, sollten die Mitarbeiter genau wissen, wie sie dies melden können. Eine umgehende Meldung über eine ungewöhnliche Anfrage könnte den Sicherheitsteams die Möglichkeit geben, Nachforschungen anzustellen, bevor ein Angreifer weiter vorankommt.

Letztendlich müssen die Menschen das Selbstvertrauen haben, Anfragen zu hinterfragen, die ihnen nicht ganz richtig erscheinen – unabhängig davon, wer sie scheinbar stellt. Je besser die Mitarbeiter mit den Taktiken der Angreifer vertraut sind, desto besser sind sie vorbereitet, wenn sie mit einem überzeugenden Identitätsbetrugsversuch konfrontiert werden.

Helfen Sie Ihren Mitarbeitern, die Person hinter der Botschaft zu erkennen

Wenn sich ein Angreifer überzeugend als eine Person ausgibt, der ein Mitarbeiter vertraut, kann selbst eine einfache Anfrage zu einem ernsthaften Sicherheitsrisiko werden.

MetaCompliance unterstützt Unternehmen dabei, ihre Mitarbeiter durch ansprechende Schulungen zur Sensibilisierung für Sicherheitsfragen , die erklären, wie Social Engineering funktioniert, und den Mitarbeitern helfen, die Taktiken zu erkennen, mit denen Kriminelle ihr Vertrauen gewinnen wollen.

Unsere fortschrittlichen Phishing-Simulationen bieten Mitarbeitern die Möglichkeit, den Umgang mit realistischen Bedrohungen zu üben, und helfen ihnen so, verdächtige Anfragen sicherer zu erkennen. Durch entsprechende Nachschulungen können anschließend die Warnzeichen, die sie übersehen haben, vertieft und langfristig ein sicherheitsbewusstes Verhalten gefördert werden.

Indem Unternehmen Sensibilisierungsschulungen auf die Situationen abstimmen, mit denen die Mitarbeiter konfrontiert sind, können sie ihnen dabei helfen, das nötige Selbstvertrauen zu entwickeln, um innezuhalten, die Situation zu prüfen und zu verifizieren, bevor sie auf eine unerwartete Anfrage reagieren.

Nehmen Sie Kontakt mit uns auf, um zu erfahren, wie MetaCompliance Ihrem Unternehmen dabei helfen kann, wirksamere Abwehrmaßnahmen gegen Social Engineering aufzubauen.