Die Woche in den Nachrichten zu Datenschutzverletzungen 4. März 2026

Berichten zufolge waren bei dem Datenleck im Oktober 2025 beim kanadischen Einzelhandelsriesen Canadian Tire mehr als 42 Millionen Nutzerkonten betroffen.

Der Vorfall wurde am 2. Oktober 2025 entdeckt, als das Unternehmen einen unbefugten Zugriff auf seine E-Commerce-Datenbank feststellte – damit handelt es sich um einen der größten Datenlecks im kanadischen Einzelhandel. Damals gab Canadian Tire bekannt, dass die kompromittierten Daten Namen, E-Mail-Adressen, Geburtsdaten, verschlüsselte Passwörter und in einigen Fällen Teile von Kreditkartennummern umfassten. Letzte Woche aktualisierte die Website „Have I Been Pwned“, die Datenlecks meldet, den entsprechenden Datensatz und berichtete, dass bei dem Vorfall mehr als 42 Millionen Datensätze betroffen waren, darunter über 38 Millionen eindeutige E-Mail-Adressen.

Der Website zufolge umfassen die durchgesickerten Daten neben den vom Unternehmen ursprünglich bekannt gegebenen Informationen auch Adressen, Telefonnummern und Angaben zum Geschlecht. Canadian Tire hat die aktualisierte Zahl der betroffenen Personen bislang noch nicht öffentlich bestätigt.

Bei einem weiteren Cybervorfall, bei dem eine riesige Menge an Nutzerdaten offengelegt wurde, waren vermutlich rund 38 Millionen Menschen von einem Datenleck bei der europäischen Baumarktkette ManoMano betroffen.

Der Angriff, der sich im Januar ereignete, wurde diese Woche bekannt, als ManoMano damit begann, potenziell betroffene Kunden zu benachrichtigen. Das Unternehmen erklärte, die Sicherheitslücke sei auf einen kompromittierten Subunternehmer in seiner Kundendienstabteilung zurückzuführen. ManoMano gab zwar nicht an, welche Plattform betroffen war, Berichten zufolge haben sich die Angreifer jedoch Zugang zu der für den Kundensupport genutzten Zendesk-Instanz verschafft.

Unterdessen hat sich ein Hacker namens Indra im Hacking-Forum „BreachForums“ zu dem Angriff bekannt und angegeben, dass etwa 43 GB an Daten gestohlen worden seien. Der Hacker behauptet, die Daten umfassten Informationen zu 37,8 Millionen Benutzerkonten, mehr als 900.000 Service-Tickets und über 13.000 Anhänge.

Die Kompromittierung von Nutzerdaten ist weiterhin das Thema der Woche, da die persönlichen und finanziellen Daten von Millionen von CarGurus-Nutzern möglicherweise offengelegt wurden, nachdem eine Hackergruppe einen riesigen Datensatz veröffentlicht hat, der angeblich von dem in den USA ansässigen Automobilmarktplatz gestohlen wurde.

Die Ransomware-Gruppe ShinyHunters hat CarGurus auf ihre Tor-basierte Veröffentlichungsseite aufgenommen und behauptet, personenbezogene Daten (PII) sowie interne Unternehmensdaten gestohlen zu haben. Während die Gruppe zunächst angab, 1,7 Millionen Datensätze erbeutet zu haben, veröffentlichte sie später ein 6,1 GB großes Archiv, das Berichten zufolge Daten zu etwa 12,4 Millionen Konten enthält. Die durchgesickerten Informationen umfassen angeblich E-Mail-Adressen, IP-Adressen, vollständige Namen, Telefonnummern, Postanschriften, Benutzerkonto-IDs, Daten zur Vorabprüfung von Finanzierungsanträgen, Ergebnisse von Finanzierungsanträgen, Händlerkontodaten sowie Abonnementinformationen.

CarGurus hat den Vorfall inzwischen bestätigt und mit Unterstützung eines führenden unabhängigen Cybersicherheitsunternehmens eine Untersuchung eingeleitet.

Die Ransomware-Gruppe Qilin hat die Ortsgruppe 100 der Transport Workers Union of America (TWU) auf ihre Website für Datenlecks aufgenommen und behauptet, sie habe die Organisation gehackt und alle gestohlenen Daten im Dark Web veröffentlicht.

Die TWU Local 100 vertritt Zehntausende Beschäftigte im Verkehrssektor in und um New York City. Zwar hat die Ransomware-Gruppe weder den Umfang noch die Art der entwendeten Daten offengelegt, doch deuten Berichte darauf hin, dass der Vorfall möglicherweise personenbezogene Daten (PII) und geschützte Gesundheitsdaten (PHI) von etwa 67.000 aktiven und pensionierten Mitgliedern betroffen hat.

Hennessy Advisors, Inc., eine in Kalifornien ansässige Investmentgesellschaft, gab einen Cybersicherheitsvorfall bekannt, von dem die personenbezogenen Daten von mehr als 12.000 Personen betroffen waren.

Laut einer Meldung an die Generalstaatsanwaltschaft von Maine ereignete sich der Vorfall am 30. März 2025 durch einen Angriff auf ein externes System. Im Zuge des Vorfalls verschaffte sich eine unbefugte Person Zugang zum Netzwerk des Unternehmens und hat möglicherweise Datensätze erbeutet, die personenbezogene Daten (PII) enthalten, darunter Namen in Verbindung mit Führerscheinnummern und Finanzkontodaten.