Die Woche in den Nachrichten zu Datenschutzverletzungen 24. Juni 2026

In einer ironischen Wendung der Ereignisse sind nun ausgerechnet Cybersicherheitsunternehmen selbst Opfer eines Angriffs auf die Lieferkette geworden, nachdem es zu einem Sicherheitsvorfall bei der Marktinformationsplattform Klue gekommen war.

Der in Vancouver ansässige Marktforschungsanbieter Klue gab am 19. Juni bekannt, dass Hacker bei einem Cyberangriff zwischen dem 11. und 12. Juni Daten von einer nicht näher genannten Anzahl von Kunden gestohlen haben. Der Vorfall betraf die Salesforce-Integration von Klue und führte zum Abfluss von Daten aus den Salesforce-Umgebungen mehrerer Kunden. Nach Angaben des Unternehmens verschaffte sich der Angreifer Zugang über kompromittierte alte Zugangsdaten, nutzte diese, um OAuth-Token zu erlangen, die Klue mit Plattformen von Drittanbietern, darunter Salesforce, verbanden, und griff anschließend auf Daten innerhalb der mit diesen Plattformen verbundenen Kundenumgebungen zu. Betroffen waren insbesondere mehrere Cybersicherheitsunternehmen, darunter HackerOne, Huntress, OneTrust und Snyk.

Klue erklärte, der Angriff habe sich auf Salesforce-Instanzen beschränkt und die Systeme der Kunden selbst seien nicht betroffen gewesen. Unterdessen hat die Cyberkriminalitätsgruppe Icarus die Verantwortung für den Angriff übernommen und auf ihrer Leak-Seite angekündigt, die gestohlenen Daten zu veröffentlichen, sollte kein Lösegeld gezahlt werden.

Die personenbezogenen Daten von mehr als drei Millionen Texanern könnten bei einem Datenleck, von dem das Texas Parks and Wildlife Department (TPWD) betroffen ist, offengelegt worden sein.

Nach Angaben des TPWD hat das Texas Cyber Command kürzlich einen Cybersicherheitsvorfall aufgedeckt, der den Anbieter des Systems für Jagd- und Angelscheine der Behörde betraf. Die Untersuchung deutet darauf hin, dass eine unbefugte Person möglicherweise Zugriff auf Führerscheindaten, Passnummern (sofern angegeben), E-Mail-Adressen, Telefonnummern und Wohnadressen von mehr als drei Millionen Inhabern von Jagd- und Angelscheinen erlangt hat. Das TPWD teilte mit, dass Sozialversicherungsnummern, Geburtsdaten und Finanzdaten, einschließlich Kreditkartendaten, nicht kompromittiert wurden.

Das TPWD hat die Betroffenen dazu aufgefordert, wachsam gegenüber Anzeichen von Betrug und Identitätsdiebstahl zu bleiben und ihre Kreditauskünfte sowie Finanzunterlagen regelmäßig auf unbefugte Aktivitäten zu überprüfen.

Cherry Health, ein unabhängiges, gemeinnütziges, staatlich anerkanntes Gesundheitszentrum (Federally Qualified Health Center, FQHC) mit Sitz in Michigan, hat einen Datenverstoß bekannt gegeben, von dem aktuelle und ehemalige Patienten sowie Mitarbeiter betroffen sein könnten.

In einer am 18. Juni veröffentlichten Mitteilung teilte Cherry Health mit, dass das Unternehmen am oder um den 19. April herum verdächtige Aktivitäten in seinem Netzwerk festgestellt habe. Die Organisation leitete mit Unterstützung externer Spezialisten eine Untersuchung ein und stellte fest, dass eine unbefugte Person auf bestimmte in ihrem Netzwerk gespeicherte Informationen zugegriffen und diese kopiert hatte. Die Gesamtzahl der betroffenen Personen wurde noch nicht bekannt gegeben, da eine umfassende Überprüfung der betroffenen Daten noch andauert.

Der Mitteilung zufolge umfassen die möglicherweise offengelegten Daten Namen, Adressen, Telefonnummern, Geburtsdaten, Angaben zur Krankenversicherung, Krankenversicherungsnummern, Patienten-ID-Nummern, Namen von Leistungserbringern, Leistungsdaten und Sozialversicherungsnummern.

Das in Tennessee ansässige Unternehmen für Gesundheitstechnologie Xsolis, Inc. gab eine Datenpanne bekannt, von der fast 1,4 Millionen Personen betroffen sind.

Xsolis, ein Anbieter von Lösungen für das Nutzungsmanagement und den Umsatzzyklus für Krankenhäuser, Gesundheitssysteme und Kostenträger, gab in einer Mitteilung zur Datensicherheit bekannt, dass das Unternehmen am 22. Januar unbefugte Aktivitäten auf seinen Systemen festgestellt habe. Das Unternehmen erklärte, der Einbruch sei auf einen gezielten Phishing-Angriff zurückzuführen, der zwei Tage zuvor stattgefunden habe. Nach Angaben von Xsolis verschafften sich die Angreifer Zugriff auf Dateien mit personenbezogenen und geschützten Gesundheitsdaten seiner Kunden, darunter Namen, Geburtsdaten, Adressen, Sozialversicherungsnummern, Krankenversicherungsdaten und Daten zu medizinischen Behandlungen.

Unterdessen hat das US-Gesundheitsministerium (HHS) den Vorfall bei Xsolis in sein Verzeichnis für Datenschutzverletzungen aufgenommen und berichtet, dass 1.396.519 Personen davon betroffen waren.

Nintendo of America bestätigte, dass Angreifer Umfragedaten aus dem von einem Drittanbieter betriebenen Dienst „TinyPulse“ gestohlen haben, der intern für Mitarbeiterfeedback und -engagement genutzt wird.

Eine als „Shadowbyt3$“ bekannte „Extortion-as-a-Service“-Gruppe gab kürzlich an, sich Zugang zu Nintendo of America, der in den USA ansässigen Tochtergesellschaft des japanischen Gaming-Giganten, verschafft zu haben. Die Gruppe gab an, fast 1 GB an internen Daten gestohlen zu haben, darunter auch mitarbeiterbezogene Informationen, und forderte ein Lösegeld in Höhe von 2 Millionen US-Dollar. Dabei räumte sie dem Unternehmen 48 Stunden Zeit für Verhandlungen ein, bevor sie die Dateien veröffentlichen würde. Nach Angaben der Angreifer umfassen die gestohlenen Daten Namen, E-Mail-Adressen, Analyse- und Umfragedaten, Kontoauszüge, W-9-Formulare, Mitarbeiter-IDs sowie Fortschrittspläne und Berichte aus den Jahren 2016 bis 2026.

Der Vorfall betraf ausschließlich Mitarbeiter, die TinyPulse nutzten, und hatte keine Auswirkungen auf den Spielebetrieb von Nintendo. Nintendo erklärte, dass seine eigenen Systeme nicht kompromittiert worden seien und dass kein Zugriff auf persönliche Kunden- oder Finanzdaten erfolgt sei.