Die Woche in den Nachrichten zu Datenschutzverletzungen 15. Oktober 2025

Die im vergangenen Monat von SonicWall bekannt gegebene Datenpanne bei seinem Cloud-Backup-Dienst scheint weitaus schwerwiegender zu sein als zunächst angenommen.

Am 8. Oktober gab SonicWall nach einer umfassenden Untersuchung in Zusammenarbeit mit Mandiant (einem Unternehmen von Google) bekannt, dass Unbefugte Zugriff auf Sicherungsdateien der Firewall-Konfigurationen aller Kunden erlangt haben, die den Cloud-Backup-Dienst von SonicWall genutzt haben. Dies stellt eine erhebliche Verschärfung gegenüber der früheren Einschätzung des Unternehmens vom 17. September dar, als man davon ausging, dass lediglich 5 % der installierten Firewalls betroffen seien. Gleichzeitig bekräftigte SonicWall, dass die offengelegten Dateien verschlüsselte Anmeldedaten und Konfigurationsdaten enthalten.

Das Unternehmen fordert alle Kunden nachdrücklich auf, sich anzumelden und ihre Geräte unverzüglich zu überprüfen. Außerdem hat es damit begonnen, Partner und Nutzer direkt zu benachrichtigen, und Tools veröffentlicht, die bei der Überprüfung und Behebung der Probleme auf den betroffenen Systemen helfen sollen.

Microsoft hat davor gewarnt, dass Hacker in SaaS-Plattformen für das Personalwesen wie Workday eindringen, um Mitarbeiter an US-amerikanischen Universitäten ins Visier zu nehmen und deren Gehälter auf von den Angreifern kontrollierte Konten umzuleiten.

Unter dem Namen „Payroll Pirate“ beobachtete Microsoft Threat Intelligence einen finanziell motivierten Betrugsversuch durch einen Angreifer namens Storm-2657, der sich Zugang zu Konten von Universitätsmitarbeitern verschaffte, um auf Personalakten zuzugreifen und Zahlungen umzuleiten. Seit März 2025 nutzte die Gruppe Social-Engineering-Taktiken und das Fehlen einer Multi-Faktor-Authentifizierung (MFA), um sich Zugang zu 11 E-Mail-Konten an drei Universitäten zu verschaffen. Von dort aus versandte sie fast 6.000 Phishing-E-Mails an 25 Universitäten und nutzte dabei Köder wie Krankheitswarnungen auf dem Campus und Berichte über Fehlverhalten von Lehrkräften, um Anmeldedaten mittels „Adversary-in-the-Middle“-Angriffen (AiTM) zu stehlen.

Microsoft erklärte, dies sei eine weitere Variante des „Business Email Compromise“ (BEC)-Betrugs. Die Angriffe nutzen keine Schwachstellen in den HR-Plattformen selbst aus, sondern machen sich vielmehr die mangelnde Einführung von MFA und schwache Authentifizierungsverfahren zunutze.

Am 12. Oktober 2025 bestätigte Qantas Airways, dass Hacker die personenbezogenen Daten von mehr als 5,7 Millionen Kunden im Dark Web veröffentlicht hatten.

Qantas gehört zu den vielen globalen Unternehmen – darunter Toyota, Disney, Ikea, Air France und KLM –, die ins Visier der Hackergruppe „Scattered Lapsus$ Hunters“ geraten sind. Berichten zufolge hat die Gruppe im Juli fast 1 Milliarde Datensätze gestohlen, indem sie Kunden des Cloud-Technologie-Riesen ins Visier nahm. Die Hacker drangen zwar nicht in Salesforce selbst ein, gaben sich jedoch bei Anrufen bei den IT-Helpdesks der betroffenen Unternehmen als legitime Salesforce-Mitarbeiter aus, um sich Zugang zu verschaffen. Im Fall von Qantas wurde Berichten zufolge ein Callcenter auf den Philippinen ausgenutzt, um sich Zugang zu verschaffen.

Zu den offengelegten Passagierdaten gehören Geburtsdaten, Telefonnummern, Adressen, E-Mail-Adressen und Vielfliegernummern. Qantas bestätigte, dass keine Kreditkarten-, Finanz- oder Passdaten offengelegt wurden und dass die Vielfliegerkonten weiterhin sicher sind.

Eine beunruhigende neue Entwicklung: Angreifer missbrauchen ein Tool für digitale Forensik und Incident Response (DFIR), um Ransomware-Angriffe durchzuführen.

Velociraptor ist eine Open-Source-DFIR-Plattform, die von Sicherheitsteams zur Überwachung von Endgeräten in Windows-, Linux- und macOS-Umgebungen eingesetzt wird. Sie ermöglicht eine kontinuierliche Datenerfassung und eine schnelle Reaktion auf Sicherheitsvorfälle. Nach Angaben von Forschern bei Cisco Talos nutzten die Angreifer bei einem Mitte August 2025 beobachteten Angriff das Tool, um die Ransomware-Familien Warlock, LockBit und Babuk zu verbreiten. Während des Angriffs nutzten die Angreifer Schwachstellen im lokal installierten SharePoint, bekannt als „ToolShell“, aus, um sich einen ersten Zugriff zu verschaffen und eine veraltete Version von Velociraptor (Version 0.73.4.0) zu installieren. Diese Version enthielt eine Sicherheitslücke zur Rechteausweitung (CVE-2025-6264), die die Ausführung beliebiger Befehle und die vollständige Kompromittierung des Endgeräts ermöglichte.

Forscher sagen, dies sei ein weiteres Beispiel dafür, wie Ransomware-Gruppen ihr Arsenal erweitern, indem sie legitime Tools – sowohl kommerzielle als auch Open-Source-Tools – in Waffen für ausgefeiltere Angriffe verwandeln.

Shuffle, eine führende Krypto-Wettplattform, hat einen Datenleck bestätigt, nachdem der von ihr beauftragte externe Kundendienstanbieter gehackt wurde, wodurch die Daten der meisten Nutzer offengelegt wurden.

Am 10. Oktober gab Shuffle bekannt, dass bei seinem CRM-Dienstleister (Customer Relationship Management) Fast Track ein Datenleck aufgetreten ist, durch das Nutzerdaten offengelegt wurden. Das Unternehmen nutzte Fast Track für den automatisierten E-Mail-Versand und andere Formen der Nutzerkommunikation, was bedeutet, dass vermutlich auch E-Mail-Adressen und Nachrichten zu den kompromittierten Daten gehören. Shuffle teilte mit, dass seine Spezialisten derzeit untersuchen, wie es zu dem Datenleck gekommen ist und wo die gestohlenen Daten gelandet sein könnten.

Zu den offengelegten Informationen gehören vollständige Namen, E-Mail-Adressen, Privatadressen, Telefonnummern und vollständige Transaktionsverläufe. Durch den Datenleck wurden zudem Wettmuster und Protokolle von Kundensupport-Nachrichten offengelegt, was Bedenken hinsichtlich der Privatsphäre der Nutzer und eines möglichen Missbrauchs sensibler Verhaltensdaten aufkommen lässt.