Datenschutzvorfall im September: Wie Social Engineering bei Levi Strauss die Tür öffnete

Was ist passiert?

Im August 2026 gab Levi Strauss & Co. einen Vorfall im Bereich der Cybersicherheit bekannt, , nachdem ein unbefugter Dritter mithilfe von Social-Engineering-Techniken Zugriff auf die vom Unternehmen bereitgestellten Computer von drei Mitarbeitern erlangt hatte.

Sobald sich die Angreifer Zugang verschafft hatten, gelang es ihnen, in Unternehmensdateien einzudringen und Unternehmensdaten zu stehlen. Levi Strauss hat nicht genau mitgeteilt, was gestohlen wurde oder wie die Mitarbeiter dazu gebracht wurden, den Angreifern Zugang zu gewähren; daher gibt es nach wie vor einige offene Fragen hinsichtlich des genauen Ablaufs des Angriffs.

Was wir wissen, ist, dass Levi Strauss die Aktivitäten bemerkt und umgehend reagiert hat. Dem Unternehmen gelang es, den unbefugten Zugriff zu unterbinden, und bei den ersten Untersuchungen wurden keine Hinweise darauf gefunden, dass Kundendaten kompromittiert worden wären. Der Vorfall führte auch zu keiner Beeinträchtigung des Tagesgeschäfts, was darauf hindeutet, dass die Maßnahmen dazu beigetragen haben, den Angriff einzudämmen, bevor er größeren Schaden anrichten konnte.

Die Ermittlungen dauern zwar noch an, doch der Vorfall verdeutlicht, wie wirksam Social Engineering sein kann. Angreifer müssen nicht unbedingt eine Schwachstelle in Ihrer Technologie ausnutzen, wenn sie jemanden innerhalb der Organisation dazu bringen können, ihnen Zugang zu gewähren.

Warum Social Engineering nach wie vor so wirksam ist

Unternehmen haben jahrelang in Technologien investiert, um Angreifern den Zugang zu ihren Systemen zu erschweren. Doch wenn die Vordertür gut geschützt ist, suchen Cyberkriminelle nach einem anderen Weg – und das bedeutet zunehmend, dass sie es auf Personen mit berechtigten Zugriffsrechten abgesehen haben.

Wir wissen nicht genau, wie die drei Mitarbeiter von Levi Strauss angesprochen wurden oder was sie dazu bewogen hat, den Angreifern Zugang zu gewähren; wir wissen jedoch, dass es funktioniert hat. Obwohl nur drei Mitarbeiter ins Visier genommen wurden, gelang es den Angreifern, Zugriff auf die vom Unternehmen bereitgestellten Computer zu erlangen und Unternehmensdaten zu stehlen.

Genau das macht es so schwierig, sich gegen Social Engineering zu schützen. Angreifer bereiten sich gründlich vor und nutzen Informationen über ein Unternehmen oder dessen Mitarbeiter, um eine Anfrage glaubwürdig erscheinen zu lassen. Etwas, das beispielsweise vom IT-Support zu stammen scheint, kann völlig plausibel wirken, wenn es mitten in einem hektischen Arbeitstag eintrifft.

Die Mitarbeiter müssen daher auf solche Momente vorbereitet sein. Sie müssen sich wohl dabei fühlen, einen Gang zurückzuschalten, wenn etwas ungewöhnlich erscheint, zu überprüfen, ob eine Anfrage echt ist, und den Vorfall umgehend zu melden, wenn ihnen etwas nicht richtig erscheint. Technische Kontrollmaßnahmen sind nach wie vor wichtig, doch wenn man den Mitarbeitern das Selbstvertrauen vermittelt, das, was von ihnen verlangt wird, zu hinterfragen, kann dies verhindern, dass aus einer überzeugend vorgetragenen Vorgehensweise ein weitaus größerer Sicherheitsvorfall wird.

Drei Mitarbeiter reichten aus, um einen Sicherheitsvorfall auszulösen

Eines der auffälligsten Details im Zusammenhang mit dem Datenleck bei Levi Strauss ist dessen Ausmaß am Ort des Einbruchs. Der Angriff richtete sich lediglich gegen drei Mitarbeiter, doch dies reichte aus, damit ein unbefugter Dritter Zugriff auf firmeneigene Computer erlangte und Unternehmensdaten entwendete.

Dies ist ein gutes Beispiel dafür, warum sich das durch Menschen verursachte Cyberrisiko nicht allein daran messen lässt, wie viele Mitarbeiter auf eine Phishing-Simulation geklickt oder ihre jährliche Schulung absolviert haben. Schon ein einziger erfolgreicher Social-Engineering-Versuch kann einem Angreifer eine Angriffsmöglichkeit eröffnen, insbesondere wenn der betroffene Mitarbeiter oder das betroffene Gerät Zugriff auf sensible Informationen hat.

Das bedeutet jedoch nicht, dass Mitarbeiter als das Problem betrachtet werden sollten. Cyberkriminelle konzipieren Social-Engineering-Angriffe gezielt so, dass sie normales menschliches Verhalten ausnutzen – sei es das Vertrauen in eine überzeugende Aufforderung oder der Wunsch, eine Angelegenheit schnell zu klären.

Das Ziel der Sicherheitssensibilisierung sollte darin bestehen, die Menschen auf solche Momente vorzubereiten. Die Mitarbeiter benötigen praktische Erfahrungen mit den von Angreifern angewandten Techniken sowie das Selbstvertrauen, innezuhalten, eine Anfrage zu hinterfragen und diese zu melden, wenn ihnen etwas verdächtig erscheint.

Was Levi Strauss gut gemacht hat

Den Angreifern mag es zwar gelungen sein, an Unternehmensdaten zu gelangen, doch Levi Strauss scheint schnell gehandelt zu haben, sobald die Aktivitäten entdeckt wurden.

Das Unternehmen setzte seinen Notfallplan um und zog externe Cybersicherheitsexperten hinzu, um die Vorfälle zu untersuchen. Vor allem gelang es ihm, den unbefugten Zugriff zu unterbinden und die Angreifer daran zu hindern, weiter vorzudringen.

Diese schnelle Reaktion scheint einen entscheidenden Unterschied gemacht zu haben. Levi Strauss teilte mit, dass bei einer ersten Untersuchung keine Hinweise darauf gefunden wurden, dass Kundendaten kompromittiert worden wären, und dass der Vorfall den täglichen Geschäftsbetrieb nicht beeinträchtigt habe.

Dies ist ein wichtiger Aspekt der Geschichte, denn keine Organisation kann davon ausgehen, dass sie jeden Angriff bereits im Keim ersticken kann. Manchmal gelingt es Angreifern, die Abwehr zu durchbrechen, und wenn dies geschieht, kann die Geschwindigkeit, mit der Sie das Geschehen erkennen und darauf reagieren, einen enormen Einfluss auf den weiteren Verlauf haben. Ein festgelegter Plan sorgt dafür, dass die Teams nicht erst während eines bereits im Gange befindlichen Vorfalls zum ersten Mal herausfinden müssen, wie sie vorgehen sollen.

Was Organisationen daraus lernen können

Der Hackerangriff auf Levi Strauss ist ein gutes Beispiel dafür, warum Social Engineering nicht als ein Thema betrachtet werden darf, von dem die Mitarbeiter einmal im Jahr hören und das sie dann wieder vergessen. Angreifer ändern ständig ihre Vorgehensweise, und die von ihnen geschaffenen Situationen können den echten Anfragen, mit denen die Mitarbeiter täglich zu tun haben, bemerkenswert ähnlich sehen.

Das Sicherheitsbewusstsein muss damit Schritt halten. Anstatt den Mitarbeitern lediglich zu sagen, sie sollen „auf verdächtige Nachrichten achten“, können Unternehmen ihnen die Möglichkeit bieten, realistische Szenarien zu erleben und zu üben, wie sie darauf reagieren würden. Je vertrauter diese Vorgehensweisen wirken, desto leichter fällt es, zu erkennen, wenn etwas nicht ganz stimmt.

Es ist ebenfalls wichtig, eine Unternehmenskultur zu schaffen, in der sich die Mitarbeiter wohlfühlen, wenn sie ungewöhnliche Anfragen hinterfragen. Erhält ein Mitarbeiter beispielsweise einen unerwarteten Anruf mit der Bitte um Zugang, sollte er wissen, wie er überprüfen kann, ob dieser echt ist, ohne das Gefühl zu haben, sich querzustellen oder jemanden aufzuhalten. Und sollte er den Verdacht hegen, dass etwas nicht stimmt, sollte die Meldung schnell und unkompliziert erfolgen können.

Auch aus den Ereignissen nach dem Eindringen der Angreifer lässt sich eine Lehre ziehen. Levi Strauss gelang es, den Vorfall einzudämmen, bevor er den Geschäftsbetrieb beeinträchtigte oder – nach den ersten Ermittlungsergebnissen – Auswirkungen auf Kundendaten hatte. Unternehmen müssen auch diesen Aspekt berücksichtigen und sicherstellen, dass verdächtige Aktivitäten schnell erkannt werden und alle Beteiligten wissen, wie sie im Falle eines Vorfalls vorgehen müssen.

Letztendlich funktioniert Social Engineering, weil Angreifer wissen, wie sie ihre Anfragen glaubwürdig gestalten können. Wir können diesen menschlichen Instinkt, anderen zu vertrauen, nicht vollständig beseitigen – und das würden wir auch gar nicht wollen. Wir können den Mitarbeitern jedoch das Wissen und das Selbstvertrauen vermitteln, um zu erkennen, wann eine Anfrage genauer geprüft werden sollte, wodurch es wesentlich schwieriger wird, dass aus einer überzeugenden Interaktion etwas Schwerwiegenderes entsteht.

Bereiten Sie Ihre Mitarbeiter auf Social-Engineering-Angriffe vor

Die wirkungsvollsten Social-Engineering-Angriffe wirken auf den ersten Blick nicht unbedingt verdächtig. Sie können in Form einer vollkommen plausiblen Anfrage von jemandem erfolgen, der einen triftigen Grund für diese Anfrage zu haben scheint – und genau aus diesem Grund müssen Mitarbeiter die Möglichkeit erhalten, das Erkennen solcher Angriffe zu üben.

MetaCompliance unterstützt Unternehmen dabei, ihre Mitarbeiter durch ansprechende Schulungen zur Sensibilisierung für Sicherheitsfragen , die den Teilnehmern vermitteln, wie Social Engineering funktioniert und wie sie die Taktiken von Angreifern erkennen können. Unsere fortschrittlichen Phishing-Simulationen Geben Sie Ihren Mitarbeitern die Möglichkeit, dieses Wissen anhand realistischer Szenarien, die auf den Bedrohungen basieren, denen sie wahrscheinlich begegnen werden, in die Praxis umzusetzen. Sollte jemand auf eine Simulation hereinfallen, können entsprechende Nachschulungen dabei helfen, das jeweilige Verhalten anzusprechen und zu verdeutlichen, worauf beim nächsten Mal zu achten ist.

Durch die Kombination von regelmäßiger Sensibilisierung mit praktischen Erfahrungen können Unternehmen ihren Mitarbeitern helfen, selbstbewusster zu werden, wenn es darum geht, ungewöhnliche Anfragen zu hinterfragen und schnell zu reagieren, wenn ihnen etwas nicht richtig erscheint.

Nehmen Sie Kontakt mit uns auf, um zu erfahren, wie MetaCompliance Ihren Mitarbeitern dabei helfen kann, Social-Engineering-Angriffen immer einen Schritt voraus zu sein, oder vereinbaren Sie noch heute einen Termin für eine Demo.