Die Woche in den Nachrichten zu Datenschutzverletzungen 24. September 2025

Nicht jeder Angriff kommt von außen. Zusätzlich zu der in den letzten Monaten zu verzeichnenden Zunahme von Bedrohungen durch Insider hat das US-Fintech-Unternehmen FinWise Bank gewarnt, dass seine Kundendaten möglicherweise infolge eines böswilligen Insider-Angriffs offengelegt wurden.

Die FinWise Bank, die Bankdienstleistungen und Technologielösungen für Finanzinstitute anbietet, gab bekannt, dass ein ehemaliger Mitarbeiter nach seinem Ausscheiden aus dem Unternehmen möglicherweise auf Kundendaten zugegriffen oder diese erlangt hat. Das in Utah ansässige Unternehmen bestätigte, dass die personenbezogenen Daten von 689.000 Kunden, darunter Informationen wie vollständige Namen und andere nicht näher bezeichnete Datenelemente, möglicherweise kompromittiert wurden. Ein Teil der offengelegten Datensätze stammte von American First Finance (AFF), einem Kreditgeber für Kunden mit schlechter Bonität, der mit FinWise zusammenarbeitet, um Ratenkredite anzubieten.

Laut einer Meldung an die Generalstaatsanwaltschaft von Maine ereignete sich der Vorfall am 31. Mai 2024, wurde jedoch erst am 18. Juni dieses Jahres entdeckt. Als Reaktion darauf bietet FinWise allen betroffenen Kunden 12 Monate lang eine kostenlose Kreditüberwachung und Schutz vor Identitätsdiebstahl an.

Dies ist der jüngste Fall in einer zunehmenden Reihe von schwerwiegenden böswilligen Insider-Angriffen. Anfang Mai war auch Coinbase Global, Inc., eine amerikanische Kryptowährungsbörse, von einem ähnlichen Vorfall betroffen, als ein Support-Mitarbeiter im Ausland ein Bestechungsgeld annahm und Daten von fast 70.000 Kunden stahl.

Das Finanzministerium von Michigan hat die Einwohner aufgefordert, unaufgeforderte SMS von Cyberkriminellen zu ignorieren, die sich als Vertreter der Behörde ausgeben und persönliche Bankdaten verlangen.

Am 15. September 2025 bestätigte die Behörde eine landesweite Smishing-Kampagne. In den betrügerischen SMS, die scheinbar von der Behörde stammen, wird behauptet, eine Rückerstattung sei bearbeitet worden, und die Steuerzahler werden aufgefordert, korrekte Zahlungsdaten anzugeben, da sie sonst den Anspruch auf die Rückerstattung verlieren könnten. Die Behördenvertreter betonten, dass das Finanzministerium ausschließlich über offizielle Briefe, die über den US-Postdienst versandt werden, mit den Steuerzahlern kommuniziert, und rieten den Einwohnern, solche SMS unverzüglich zu löschen.

Dies ist nicht der erste Fall von Smishing, der sich gegen Behörden des Bundesstaates Michigan richtet. Bereits im April hatte das Verkehrsministerium eine Warnung vor Betrugs-SMS herausgegeben, in denen sich die Absender als E-ZPass und andere Mautsysteme ausgaben, Gebühren forderten und Kreditkartendaten verlangten.

Stellantis gab am 21. September 2025 bekannt, dass bei einem Drittanbieter, der den Kundenservice des Unternehmens in Nordamerika unterstützt, ein unbefugter Zugriff stattgefunden hat. Erste Erkenntnisse deuten darauf hin, dass grundlegende Kontaktdaten von Kunden (z. B. Namen, E-Mail-Adressen, Telefonnummern) offengelegt wurden; laut Stellantis scheinen keine Finanzdaten, amtliche Identifikationsnummern oder andere hochsensible personenbezogene Daten kompromittiert worden zu sein. Das Unternehmen hat Vorfallreaktionsverfahren aktiviert, betroffene Kunden und Aufsichtsbehörden benachrichtigt und die Kunden dazu aufgefordert, wachsam gegenüber nachfolgenden Phishing- oder Social-Engineering-Versuchen zu sein. Die Untersuchung und die Abhilfemaßnahmen des Anbieters dauern an.

Der amerikanische Luxusschmuckhersteller Tiffany & Co. hat mehr als 2.500 Kunden in den USA und Kanada darüber informiert, dass Hacker ihre persönlichen Daten gestohlen haben.

Laut einer Mitteilung des Unternehmens verschaffte sich ein Angreifer am oder um den 12. Mai 2025 unbefugten Zugriff auf die Systeme von Tiffany. Die Untersuchung ergab, dass der Angreifer Daten im Zusammenhang mit Tiffany-Geschenkkarten erbeutete, darunter Namen, E-Mail-Adressen, Postanschriften, Telefonnummern, Kaufdaten, Geschenkkartennummern und PINs.

Tiffany gehört zum französischen Luxuskonzern LVMH, zu dem auch Marken wie Louis Vuitton, Dior und Givenchy gehören. Mehrere LVMH-Marken, darunter Louis Vuitton, Dior und Tiffany, waren kürzlich von einer Hackerattacke auf Salesforce betroffen. Es ist bislang unklar, ob der in dieser Woche bekannt gewordene Datenverstoß mit dieser Kampagne in Zusammenhang steht oder ob es sich um einen separaten Angriff handelt.

Die Stadt Bluffton hat die Einwohner und Unternehmen auf ihren Mailinglisten vor einem Phishing-Angriff gewarnt, der sich am Freitag, dem 12. September, ereignet hat.

Viele Empfänger berichteten, dass sie eine betrügerische E-Mail mit dem Betreff „Town of Bluffton“ erhalten hätten. Die E-Mail enthielt einen Anhang und forderte die Nutzer auf, einen Zugangscode auf einer gefälschten Microsoft Outlook-Anmeldeseite einzugeben. Die Behörden stellten klar, dass die Stadt niemals E-Mails versendet, in denen Zugangscodes abgefragt werden.

Glücklicherweise handelte das IT-Team der Stadt schnell, um den Angriff einzudämmen. Obwohl die E-Mail von einer gefälschten Adresse der Stadt versendet wurde, gelang es der IT-Abteilung, die Nachricht zurückzurufen und die Auswirkungen zu minimieren.

Pollard & Associates, Inc., ein auf unabhängige Altersvorsorgepläne spezialisiertes externes Verwaltungsunternehmen, hat einen Datenverstoß bestätigt, von dem Tausende von Personen betroffen sind.

Das Unternehmen berichtete, dass am oder um den 15. Mai 2025 verdächtige Aktivitäten in seinem Netzwerk festgestellt wurden. Eine Untersuchung ergab später, dass ein unbefugter Akteur am oder um den 8. April 2025 Dateien kopiert hatte. Eine anschließende Überprüfung ergab am 15. Juli, dass durch den Datenverstoß sensible personenbezogene und finanzielle Daten von mindestens 17.907 Personen offengelegt wurden. Zu den offengelegten Daten gehörten Namen, Sozialversicherungsnummern und Finanzkontodaten.

Am 16. September begann das Unternehmen damit, Benachrichtigungen an die betroffenen Personen zu versenden. Der Datenverstoß wurde zudem den Generalstaatsanwälten von Maine, Montana, Massachusetts und Vermont gemeldet.