Die Woche in den Nachrichten zu Datenschutzverletzungen 22. Oktober 2025

Volkswagen, einer der weltweit größten Automobilhersteller, soll Berichten zufolge von der Ransomware-Gruppe 8Base angegriffen worden sein.

Die Gruppe gab im September 2024 öffentlich bekannt, dass sie in die Systeme von Volkswagen eingedrungen sei. 8Base, die dafür bekannt ist, die Ransomware „Phobos“ einzusetzen und Doppel-Erpressungstaktiken anzuwenden, behauptete, am 23. September 2024 vertrauliche Dateien entwendet zu haben, und drohte, diese bis zum 26. September zu veröffentlichen. Obwohl unmittelbar nach Ablauf der Frist keine Daten auftauchten, listete die Gruppe später die angeblich gestohlenen Informationen auf ihrer Dark-Web-Seite auf, darunter Rechnungen, Buchhaltungsunterlagen, Mitarbeiterakten, Verträge, Zertifikate und zahlreiche Vertraulichkeitsvereinbarungen.

Zwar betont Volkswagen, dass seine zentrale IT-Infrastruktur nicht betroffen sei, doch hat die zurückhaltende Reaktion Fragen hinsichtlich des gesamten Ausmaßes des Vorfalls aufgeworfen und dazu geführt, dass nun spekuliert wird, ob möglicherweise ein System eines Drittanbieters kompromittiert wurde.

Vocus, Australiens viertgrößter Telekommunikationsanbieter, gab bekannt, dass 1.600 Privatkunden im Bereich Internet und Mobilfunk von einem Hackerangriff betroffen waren, der auf die E-Mail- und Mobilfunkdienste des Unternehmens abzielte.

Am 17. Oktober stellte das Unternehmen – zu dem Dodo und iPrimus gehören – verdächtige Aktivitäten in seinem E-Mail-System fest. Eine Untersuchung ergab, dass unbefugter Zugriff auf etwa 1.600 E-Mail-Konten stattgefunden hatte, was zu SIM-Swaps bei 34 Dodo-Mobile-Konten führte. Als Reaktion darauf stellte Vocus bestimmte Dienste vorübergehend ein, um das Problem einzudämmen und mit den Wiederherstellungsmaßnahmen zu beginnen.

Vocus teilte mit, dass das Unternehmen die Situation weiterhin genau beobachtet und gemeinsam mit den betroffenen Kunden daran gearbeitet hat, die SIM-Swaps rückgängig zu machen und ihre Dienste wiederherzustellen.

Sotheby’s, das in New York City ansässige Luxusauktionshaus, gab in einer Meldung über eine Datenpanne, die bei der Generalstaatsanwaltschaft von Maine (AGO) eingereicht wurde, einen Cyberangriff im Juli bekannt.

Das Luxusauktionshaus gab an, den Datenverstoß im September entdeckt zu haben. Im Rahmen der Ermittlungen stellte Sotheby’s fest, dass der Angreifer Zugriff auf Dateien mit personenbezogenen Daten erlangt hatte, darunter Namen, Sozialversicherungsnummern und Finanzkontodaten. Das Unternehmen hat bislang noch nicht bestätigt, wie viele Personen von dem Vorfall betroffen sind.

Der in Spanien ansässige Modehändler Mango hat seine Kunden über einen Datenverstoß informiert, von dem einer seiner externen Marketingdienstleister betroffen ist.

Am 14. Oktober teilte das Unternehmen mit, dass Hacker im Zuge einer Datenpanne bei einem Drittanbieter Zugriff auf personenbezogene Kundendaten erlangt hätten. Zu den offengelegten Informationen zählen Vornamen, Land, Postleitzahl, E-Mail-Adressen und Telefonnummern. Mango stellte klar, dass bei dem Angriff keine sensiblen Finanz- oder Identifikationsdaten – wie Kreditkartennummern, Bankdaten oder Anmeldedaten – kompromittiert wurden.

Der Datenverstoß ging auf einen externen Marketingdienstleister in Spanien zurück, der Kundendaten für Werbezwecke verwaltete. Dieser Vorfall reiht sich in eine wachsende Liste von Cyberangriffen ein, die sich gegen spanische Einzelhändler richten. Anfang dieses Jahres waren auch El Corte Inglés und Tendam von ähnlichen Datenverstößen betroffen.

Die britische Datenschutzbehörde (Information Commissioner’s Office, ICO) hat gegen den Outsourcing-Riesen Capita eine Geldstrafe in Höhe von 14 Millionen Pfund verhängt, nachdem bei einem Cyberangriff die personenbezogenen Daten von 6,6 Millionen Menschen gestohlen worden waren.

Zwar ereignete sich der Datenverstoß im März 2023, doch später stellte sich heraus, dass Capita zudem ein Online-Datei-Repository ungesichert gelassen hatte, wodurch Kundendaten von mehr als 90 Organisationen offengelegt wurden. Die ICO erklärte, Capita habe „die Sicherheit bei der Verarbeitung personenbezogener Daten nicht gewährleistet“ und diese damit einem erheblichen Risiko ausgesetzt. Die ursprünglich verhängte Geldbuße in Höhe von 45 Millionen Pfund wurde nach Gesprächen zwischen Capita und der Aufsichtsbehörde herabgesetzt.