„Week in Breach“ – Sonderausgabe: Was uns die großen Cybervorfälle des Jahres 2025 gelehrt haben 7. Januar 2026

Im Rahmen einer der schwerwiegendsten Cyberbedrohungen des Jahres 2025 wurde das Salesforce-Ökosystem Ziel eines groß angelegten Datenlecks bei einem Drittanbieter, das weltweit in zahlreichen Branchen für Aufruhr sorgte. Durch das Datenleck wurden mehr als 1 Milliarde Datensätze aus Dutzenden globaler Unternehmen offengelegt. Die Kampagne verlief in mehreren Phasen und zielte gezielt auf die schwächsten Glieder im Ökosystem ab: menschliche Nutzer und Integrationen von Drittanbietern.

Entscheidend ist, dass es sich hierbei nicht um einen direkten Angriff auf die Kerninfrastruktur von Salesforce handelte. Stattdessen nutzten Cyberkriminelle menschliches Versagen und den Zugriff vertrauenswürdiger Dritter aus, um einzelne Salesforce-Instanzen von Kunden zu kompromittieren. Der Angriff folgte einem klaren, wiederkehrenden Muster:

• Zunächst gaben sich die Angreifer mithilfe von Social Engineering und Voice Phishing (Vishing) als IT-Mitarbeiter aus und brachten die Mitarbeiter dazu, ihnen Zugriff zu gewähren.
• Anschließend wurden die Opfer dazu verleitet, bösartige „Connected Apps“ – wie beispielsweise gefälschte Versionen des Salesforce Data Loader – zu autorisieren oder OAuth-Token preiszugeben, die mit legitimen Tools wie Salesloft, Drift und Gainsight verknüpft waren. Diese Token verschafften den Angreifern dauerhaften Zugriff auf die Anwendungsprogrammierschnittstelle (API) und umgingen häufig die Multi-Faktor-Authentifizierung (MFA).
• Schließlich nutzten die Angreifer Salesforce-APIs, um große Datenmengen zu exportieren, und suchten dabei nach Zugangsdaten, Kontodaten und sensiblen personenbezogenen Informationen.

Die Auswirkungen des Angriffs waren weitreichend. Zu den betroffenen Unternehmen zählten Fluggesellschaften wie Air France–KLM, Qantas und Vietnam Airlines, Einzelhandelsmarken wie IKEA, Adidas und Chanel sowie weitere große Konzerne, darunter Google, TransUnion, Toyota und Disney.

Die Verantwortung für den Datenleck übernahm eine Hackergruppe namens „Scattered LAPSUS$ Hunters“, die eine Dark-Web-Seite eingerichtet hatte, um Beispiele der gestohlenen Daten zu veröffentlichen. Die Gruppe drohte Salesforce und seinen Kunden mit weiteren Datenveröffentlichungen, sofern keine Lösegeldzahlungen geleistet würden. Salesforce weigerte sich öffentlich, den Lösegeldforderungen nachzukommen, und zog damit eine klare Grenze gegen Erpressung.

Ende August 2025 wurde Jaguar Land Rover von einem Cyberangriff getroffen, der sich zum wirtschaftlich schadensreichsten Cybervorfall in der Geschichte Großbritanniens entwickelte, eine Abschaltung der Systeme in allen weltweiten Produktionsstätten erzwang und zu geschätzten Verlusten in Höhe von 1,9 Milliarden Pfund führte.

Der Vorfall begann am 31. August und eskalierte rasch zu einer schweren betrieblichen Krise. Die Produktion in allen Werken von JLR kam für fast fünf Wochen zum Erliegen, und mehr als 5.000 Partner in der Lieferkette waren davon betroffen, wobei einige Zulieferer mit einer bis zu sechsmonatigen Liquiditätskrise konfrontiert waren.

Der Angriff stand im Zusammenhang mit „Scattered LAPSUS$ Hunters“, derselben Gruppe, die auch für den Einbruch in das Salesforce-Ökosystem und weitere Vorfälle im Jahr 2025 verantwortlich war.

Cyberangriffe auf US-amerikanische Bildungseinrichtungen nahmen im Jahr 2025 zu und betrafen bedeutende Universitäten wie die University of Pennsylvania und die Princeton University, wodurch Millionen von Datensätzen über Studierende, Absolventen, Mitarbeiter und Angehörige der jeweiligen Hochschulgemeinschaft offengelegt wurden.

An der Penn kam der Angriff am 31. Oktober durch E-Mails ans Licht, die scheinbar von der Graduate School of Education stammten; dabei wurden Systeme im Zusammenhang mit Förder- und Alumni-Aktivitäten kompromittiert, darunter auch einige Bankdaten. Der separate Datenverstoß an der Princeton University, der Wochen später bekannt wurde, beschränkte sich auf Namen, Kontaktdaten, Adressen und Spendenhistorien.

Abgesehen von groß angelegten Netzwerkangriffen führten Angreifer auch gezielte Kampagnen gegen Universitätsmitarbeiter durch, darunter eine von Microsoft aufgedeckte „Payroll-Pirate“-Kampagne, bei der Angreifer in Personalverwaltungsplattformen wie Workday eindrangen, um die Gehälter der Mitarbeiter zu entwenden.

Die Western Sydney University war im Jahr 2025 von einer Reihe von Cybervorfällen betroffen, die zu den schwerwiegendsten Sicherheitsverletzungen gehörten, die in diesem Jahr im Bildungssektor gemeldet wurden.

Die Universität stellte am 6. und 11. August ungewöhnliche Aktivitäten im Zusammenhang mit einem Studentenverwaltungssystem fest, das von einem externen Cloud-Anbieter gehostet wird. Die Untersuchung ergab, dass der Angreifer eine Kette miteinander verbundener Anbieter ausgenutzt hatte und sich über Systeme von Dritt- und Viertanbietern Zugang verschafft hatte, um Daten zu entwenden.

Zu den gestohlenen Daten gehörten Steuernummern, Passdaten sowie private Gesundheits- und Behinderungsdaten. Im Dezember wurde ein ehemaliger Student der Western Sydney University im Zusammenhang mit den Angriffen angeklagt.

Am 2. Oktober bestätigte Red Hat einen Cyberangriff auf seine GitLab-Instanz für Beratungszwecke, von dem angeblich Daten von mehr als 800 Organisationen betroffen waren. Einen Tag zuvor hatte eine Gruppe namens „Crimson Collective“ den Vorfall öffentlich bekannt gegeben und behauptet, sie habe 570 GB komprimierter Daten aus mehr als 28.000 Repositorys abgezogen, darunter sensible Berichte zur Kundenbindung.

Red Hat bestätigte einen unbefugten Zugriff auf eine selbst gehostete GitLab-Instanz, die für die interne Zusammenarbeit bei Red Hat Consulting genutzt wurde und Projektspezifikationen, Beispielcode-Schnipsel, interne Kommunikation sowie in begrenztem Umfang geschäftliche Kontaktdaten enthielt. Das Unternehmen erklärte, der Vorfall habe keine Auswirkungen auf seine Kernprodukte oder Produktionssysteme gehabt, doch Berichten zufolge umfassten die gestohlenen Daten fast 3,5 Millionen Dateien, die sich auf Netzwerke im Banken-, Telekommunikations- und Regierungssektor bezogen.