Die Woche in den Nachrichten zu Datenschutzverletzungen 1. Oktober 2025

Cyberkriminelle nehmen Bildungseinrichtungen in den USA weiterhin in alarmierendem Ausmaß ins Visier. Das jüngste Opfer, der South Lyon Community School District, sah sich nach einem Ransomware-Angriff gezwungen, seine Schulen zu schließen.

Der am 14. September entdeckte Angriff wurde als Folge einer Ransomware-Infektion bestätigt, die von einer bekannten Gruppe durchgeführt wurde, deren Name von den Behörden jedoch noch nicht bekannt gegeben wurde. Zwar gibt es keine Hinweise darauf, dass Daten von Studierenden oder Lehrkräften kompromittiert wurden, doch der Angriff legte die Telefonsysteme und mehrere zugehörige Teilsysteme lahm, darunter auch solche, auf die in Notfällen – wie beispielsweise bei Amokläufen – zurückgegriffen wird.

Dieser Angriff ist einer von vielen, die landesweit den Schulbetrieb beeinträchtigen. Besorgniserregenderweise waren laut der gemeinnützigen Organisation „Center for Internet Security“ (CIS) 82 % der Grund- und weiterführenden Schulen zwischen Juli 2023 und Dezember 2024 von einem Cybervorfall betroffen.

Das Londoner Luxuskaufhaus Harrods gab bekannt, dass bei einem Datenleck die personenbezogenen Daten von 430.000 Kunden offengelegt wurden. In einer E-Mail an die Kunden vom 26. September warnte das Unternehmen, dass personenbezogene Daten möglicherweise gestohlen wurden, nachdem eines der Systeme eines Drittanbieters kompromittiert worden war.

Harrods erklärte, die Auswirkungen seien auf grundlegende Informationen „beschränkt“ gewesen, darunter Namen, Kontaktdaten und Marketingpräferenzen. Das Unternehmen betonte, dass Kontopasswörter und Zahlungsdaten nicht betroffen seien. Obwohl die Angreifer versuchten, Kontakt mit dem Unternehmen aufzunehmen, weigerte sich Harrods, mit der Hackergruppe in Kontakt zu treten oder zu verhandeln.

Das Unternehmen fügte hinzu, dass es sich hierbei um einen „Einzelfall“ handele, der in keinem Zusammenhang mit einem separaten Vorfall im Mai stehe, als es nach einem Versuch, sich unbefugten Zugriff zu verschaffen, den Internetzugang an allen seinen Standorten eingeschränkt hatte. Dennoch ist dies ein weiterer Angriff in einer Welle von Cybervorfällen, die in letzter Zeit namhafte britische Unternehmen ins Visier genommen haben.

Die Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) gab letzte Woche bekannt, dass Angreifer im vergangenen Jahr in eine nicht namentlich genannte Behörde der zivilen Exekutive auf Bundesebene (FCEB) eingedrungen sind, indem sie eine kritische Sicherheitslücke in deren Open-Source-Kartenserver „GeoServer“ ausnutzten.

Obwohl der Angriff am 9. Juli 2024 auf einen der Server der Behörde erfolgte, alarmierte das Endpoint Detection and Response (EDR)-Tool der Behörde ihr Security Operations Center (SOC) erst drei Wochen später. In dieser Zeit nutzten die Angreifer Brute-Force-Techniken, um Passwörter zu stehlen, Berechtigungen zu erweitern und sich lateral zu bewegen, um zwei weitere Server zu kompromittieren.

Die kritische Sicherheitslücke, die die Ausführung von Code aus der Ferne (RCE) ermöglicht, wurde am 30. Juni 2024 mit einem CVSS-Wert von 9,8 bekannt gegeben. Der Angriff erfolgte bereits innerhalb von nur zwei Wochen nach dieser Bekanntgabe. Nach dem Vorfall forderte die CISA die Sicherheitsteams aller Organisationen auf, EDR-Warnmeldungen auf verdächtige Aktivitäten genau zu überwachen und ihre Pläne zur Reaktion auf Vorfälle zu verstärken, um Sicherheitsverletzungen schneller einzudämmen.

Cybersicherheitsbehörden weltweit, darunter die CISA und das britische National Cybersecurity Centre (NCSC), warnten vor einem „erfahrenen Angreifer“, der gezielt Geräte ins Visier nimmt, auf denen die Firewall-Software „Adaptive Security Appliances“ (ASA) von Cisco läuft.

Den Behörden zufolge nutzt die „weit verbreitete“ Kampagne Zero-Day-Schwachstellen in Cisco-Geräten aus, wodurch Angreifer bösartigen Code ausführen und Malware einschleusen können. Zu den betroffenen Geräten gehören bestimmte Modelle der Cisco ASA 5500-X-Serie, die als Firewalls dienen und Unternehmensnetzwerke vor Eindringlingen schützen.

In einer Stellungnahme erklärten Cisco-Analysten, sie seien „sehr zuversichtlich“, dass die Kampagne mit ArcaneDoor in Verbindung steht – einem staatlich geförderten Angreifer, den der Anbieter erstmals im Jahr 2024 identifiziert hatte. In einer am vergangenen Donnerstag erlassenen Notfallanweisung wies die CISA die Cyber-Teams der Regierung an, alle betroffenen Geräte innerhalb von etwas mehr als einem Tag zu lokalisieren, sie auf böswillige Aktivitäten zu überprüfen und die Sicherheitsupdates zu installieren, mit denen die Schwachstellen behoben werden sollen.

Volvo North America hat einen Datenverstoß bekannt gegeben, bei dem personenbezogene Daten seiner Mitarbeiter betroffen sind, nachdem ein Ransomware-Angriff auf seinen Drittanbieter Miljödata verübt wurde.

Der Ransomware-Angriff, der sich am 20. August ereignete, betraf mindestens 25 Organisationen, darunter Volvo North America, die skandinavische Fluggesellschaft SAS und mehr als 200 schwedische Gemeinden. Der Angriff richtete sich gegen Systeme, die für ärztliche Atteste, Rehabilitationsunterlagen und das Management von Arbeitsunfällen genutzt werden. Zu den offengelegten Daten gehörten Namen von Mitarbeitern, Sozialversicherungsnummern, E-Mail-Adressen, Anschriften, Telefonnummern, amtliche Ausweisnummern, Geburtsdaten und das Geschlecht.

Eine Ransomware-Gruppe namens DataCarry hat sich zu dem Angriff auf Miljödata bekannt und angeblich die gestohlenen Daten bereits auf ihrer Tor-Leak-Seite veröffentlicht.

Bei einem weiteren Datenleck bei einem Drittanbieter hat das brasilianische Gesundheitstechnologieunternehmen Maida.health Berichten zufolge mehr als 2 TB sensibler Daten offengelegt, die mit der Militärpolizei des Landes in Verbindung stehen.

Das Unternehmen, das Software für Abrechnungs-, Versicherungs- und Telekonsultationszwecke für Gesundheitsdienstleister, darunter auch die brasilianische Militärpolizei, betreibt, soll Opfer eines Datenlecks geworden sein, bei dem 2,3 TB an Daten kompromittiert wurden. Zu den offengelegten Informationen gehören Berichten zufolge medizinische Diagnosen, Identifikationsnummern und persönliche Daten von Angehörigen der Militärpolizei, was große Bedenken hinsichtlich der Sicherheit der verteidigungsrelevanten Informationen des Landes aufkommen lässt. Noch alarmierender ist, dass die gestohlenen Daten in einem Untergrundforum zum Verkauf angeboten wurden.