Die Woche in den Nachrichten zu Datenschutzverletzungen 23. September 2026

Die E-Commerce-Plattform BigCommerce bestätigte einen Sicherheitsverstoß in der Lieferkette, bei dem Zugangsdaten der Drittanbieter-App Ribon kompromittiert wurden, wovon mehrere Händlerkunden betroffen sind.

BigCommerce ist eine cloudbasierte SaaS-E-Commerce-Plattform, mit der Unternehmen Online-Shops aufbauen und betreiben können, ohne eine eigene E-Commerce-Infrastruktur entwickeln zu müssen. Das Unternehmen bestätigte den Vorfall am 17. September und erklärte, dass Zugangsdaten der Drittanbieter-Anwendungen „Ribon“ und „Ribon 1.5“, die dem Fastr-Unternehmen „Be A Part Of“ gehören und von diesem betrieben werden, kompromittiert und dazu missbraucht worden seien, um bösartige Skripte in eine kleine Anzahl von Händler-Websites einzuschleusen.

Der in Großbritannien ansässige Online-Spirituosenhändler Master of Malt gehört zu den BigCommerce-Kunden, die Benachrichtigungen über Datenschutzverletzungen erhalten haben. Der Händler bestätigte, dass Angreifer Zugriff auf Kundendaten erlangt haben, darunter vollständige Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen.

Die Kundenbindungsplattform Brevo wurde Opfer eines Supply-Chain-Angriffs, bei dem bösartiger Code in mehr als 100.000 Websites eingeschleust wurde.

Am 10. September nutzte ein Angreifer eine Schwachstelle in der SAML-SSO-Verarbeitung von Brevo aus, um Zugriff auf 138 Konten zu erlangen, darunter eines des Kryptowährungs-Speicheranbieters Trezor. Die Angreifer versendeten Phishing-E-Mails von sechs der kompromittierten Konten und exportierten Kontakte aus 43 weiteren Konten. Nachdem Brevo den unbefugten Zugriff unterbunden hatte, kehrten die Angreifer am 14. September zurück und nutzten einen kompromittierten, langfristig gültigen Cloudflare-API-Schlüssel, um einen Worker einzusetzen, der bösartige Skripte in brevo.com, sibforms.com und drei JavaScript-Dateien einschleuste, die von Brevo-Kunden auf ihren Websites eingebettet waren.

Berichten zufolge wurde der Schadcode etwa vier Stunden lang verbreitet, wobei in diesem Zeitraum vermutlich mehr als 100.000 Websites betroffen waren.

Die US-Anwaltskanzlei Greenberg Traurig wurde vor einem Bundesgericht in Manhattan verklagt, nachdem sie einen Datenverstoß offengelegt hatte, durch den sensible personenbezogene Daten einer Reihe ihrer Mandanten offengelegt wurden.

Anfang August bestätigte Greenberg Traurig, dass ein Unbefugter auf eine begrenzte Anzahl von Dokumenten zugegriffen und diese im Dark Web veröffentlicht hatte; die betroffenen Mandanten wurden kurz darauf benachrichtigt. Die Kanzlei erklärte, dass ihre Systeme nicht kompromittiert oder angegriffen worden seien und dass der Betrieb ohne Unterbrechungen weiterlaufe. Zu den bei dem Vorfall offengelegten Informationen gehörten Namen, Kontaktdaten, Geburtsdaten und Sozialversicherungsnummern.

Dieser Vorfall reiht sich ineine immer länger werdende Liste von US-Anwaltskanzleien ein, diein den letzten Monaten ins Visier von Cyberkriminellen geraten sind. Namhafte Kanzleien wie Quinn Emanuel, McDermott, Herbert Smith Freehills Kramer, Goodwin Procter und WilmerHale haben in jüngster Zeit alle Sicherheitsverletzungen gemeldet.

Eine japanische Digitalagentur gab bekannt, dass es zu einem Datenleck gekommen ist, von dem die personenbezogenen Daten von etwa 240.000 Personen betroffen sind.

Ende Juni verschafften sich Hacker mithilfe des Kontos eines Mitarbeiters aus dem Bereich Wartung und Betrieb Zugriff auf Dateien des japanischen Government Solution Service (GSS). Eine anschließende Untersuchung ergab im Juli, dass eine Sicherheitslücke in einem VPN-Produkt ausgenutzt worden war, um sich Zugang zu verschaffen. Die Angreifer erbeuteten über 246.000 Datensätze, die Namen, Adressen, E-Mail-Adressen und Telefonnummern von Nutzern, Beamten, Verwaltungsmitarbeitern sowie Unternehmen und Privatpersonen enthielten, die mit dem GSS zusammenarbeiten.

Die Behörde nannte das ausgenutzte VPN-Produkt nicht namentlich, bestätigte jedoch, dass die ausgenutzte Sicherheitslücke bereits öffentlich bekannt war, bevor der Angriff entdeckt wurde. Die Behörde erklärte, sie werde als Reaktion darauf ihre Verfahren zum Schwachstellenmanagement verstärken.

Die Ludwig-Maximilians-Universität München (LMU München) untersucht derzeit einen Cyberangriff, bei dem ein unbekannter Hacker Zugriff auf ein System erlangt hat, das sensible Daten von Studierenden enthält.

Die LMU München, eine der größten Universitäten Deutschlands mit mehr als 52.000 Studierenden, gab am 19. September bekannt, dass ein Angreifer Zugriff auf Immatrikulationsdaten erlangt habe, die auf einem ihrer IT-Systeme gespeichert waren. Die Universität erklärte, es gebe keine Hinweise darauf, dass die betroffenen Daten verändert oder gelöscht worden seien, und bislang auch keine Anzeichen dafür, dass die gestohlenen Informationen veröffentlicht oder missbraucht worden seien.

Zu den potenziell betroffenen Datensätzen gehören die Namen der Studierenden, ihre Geburtsdaten, Kontaktdaten, E-Mail-Adressen, Bankkontodaten sowie Angaben zu ihren Studiengängen und bisherigen Bildungsabschlüssen.