Die Woche in den Nachrichten zu Datenschutzverletzungen 12. November 2025

Die University of Pennsylvania bestätigte am 5. November einen massiven Datenleck, bei dem personenbezogene Daten von Studierenden, Absolventen, Mitarbeitern und Angehörigen der Universitätsgemeinschaft offengelegt wurden. Berichten zufolge waren bei dem Datenleck mehr als 1,2 Millionen Datensätze betroffen.

Der Cybervorfall kam am 31. Oktober ans Licht, als mehrere Mitglieder der Penn-Gemeinschaft E-Mails erhielten, die angeblich von der Graduate School of Education (GSE) der Universität stammten. Die Universität bestätigte später, dass bestimmte Systeme, die mit ihren Entwicklungs- und Alumni-Aktivitäten in Verbindung stehen, kompromittiert worden waren. Zu den gestohlenen Daten gehören personenbezogene Daten (PII) – von denen einige Jahrzehnte zurückreichen – sowie Bankdaten. Die Universität erklärte jedoch, dass keine medizinischen Daten von dem Datenleck betroffen seien.

Laut Penn begann der Angriff mit einem Social-Engineering-Betrug. Nachdem die Universitätsmitarbeiter von dem Vorfall erfahren hatten, sperrten sie die betroffenen Systeme umgehend, konnten jedoch weder den Versand der betrügerischen E-Mails noch den Diebstahl der sensiblen Daten verhindern.

Oglethorpe, ein in Florida ansässiges Netzwerk von Anbietern von Behandlungen im Bereich psychische Gesundheit und Suchtbekämpfung, gab einen schwerwiegenden Datenverstoß bekannt, von dem mehr als 92.000 Personen betroffen waren.

Der Anbieter, der Einrichtungen in Florida, Louisiana und Ohio betreibt, informierte Patienten darüber, dass ihre geschützten Gesundheitsdaten (PHI) von Hackern gestohlen worden waren. Laut einer Meldung an die Generalstaatsanwaltschaft von Maine begann der Cybersicherheitsvorfall am 15. Mai und wurde am 6. Juni entdeckt. Im Anschluss an eine Untersuchung, die am 23. Oktober abgeschlossen wurde, stellte sich heraus, dass sensible Daten kompromittiert worden waren, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Führerscheinnummern und medizinische Informationen.

Oglethorpe sieht sich nun mit zunehmenden rechtlichen Herausforderungen konfrontiert, da Patienten beginnen, Klagen einzureichen, in denen sie Bedenken hinsichtlich Identitätsdiebstahls, Betrugs und des Missbrauchs ihrer personenbezogenen Daten äußern.

Eine groß angelegte Phishing-Kampagne zielt auf die globale Hotellerie ab, wobei die Angreifer darauf aus sind, sich unbefugten Zugriff auf Hotelbuchungsplattformen, darunter Booking.com, zu verschaffen.

Im Rahmen dieser Kampagne werden Hotelmanager dazu verleitet, Phishing-Seiten im Stil von „ClickFix“ aufzurufen, die ihre Anmeldedaten stehlen und die Ransomware „PureRAT“ installieren. Die Angreifer nutzen kompromittierte E-Mail-Konten, um überzeugende Spear-Phishing-Nachrichten zu versenden, die den Anschein erwecken, von legitimen Buchungsplattformen zu stammen. Sobald Hotelmitarbeiter auf diese Links klicken, werden sie auf bösartige Websites weitergeleitet, die Ransomware installieren und Anmeldedaten abgreifen.

Diese seit April 2025 aktive Operation ist Teil eines zunehmenden Trends von Phishing-Angriffen auf Hotelbuchungssysteme. Die Angreifer verkaufen entweder gestohlene Konten von Buchungsplattformen in Cyberkriminalitätsforen oder nutzen diese, um betrügerische E-Mails an Hotels und Gäste zu versenden und so Finanzbetrug zu begehen.

Das „Trust & Safety“-Team von Google hat eine neue Betrugswarnung für alle Nutzer herausgegeben und dabei alarmierende Zahlen veröffentlicht: 57 % der Erwachsenen sind im vergangenen Jahr auf einen Betrugsversuch hereingefallen, und 23 % gaben an, dadurch Geld verloren zu haben.

Das Unternehmen warnte seine Nutzer vor sechs wichtigen Betrugstrends, auf die sie achten sollten: Online-Stellenbetrug, Erpressung durch negative Bewertungen, Betrug durch Nachahmung von KI-Produkten (Künstliche Intelligenz), bösartige VPN-Apps und -Erweiterungen, Betrug im Zusammenhang mit der Rückforderung von Betrugsopfern sowie saisonale Feiertagsbetrügereien. Google wies zudem darauf hin, dass Betrüger zunehmend KI-Tools einsetzen, um ihre Aktivitäten auszuweiten und zu optimieren, wodurch ihre Betrugsmaschen schwerer zu erkennen sind.

Sicherheitsforscher haben eine aktiv ausgenutzte Sicherheitslücke im Monsta FTP entdeckt, die die Ausführung von Remote-Code (RCE) ermöglicht. Monsta FTP ist ein webbasierter FTP-Client, der weltweit von Finanzinstituten, Unternehmen und Privatanwendern genutzt wird.

Mit Monsta FTP können Nutzer Website-Dateien direkt über einen Browser hochladen, herunterladen und verwalten. Dank dieser praktischen Funktion ist das Programm bei Nutzern als Alternative zur Installation separater Software sehr beliebt. Forscher haben nun eine kritische Sicherheitslücke in Monsta FTP identifiziert (CVE-2025-34299), die es Angreifern ermöglicht, ohne Authentifizierung beliebigen Code auf anfälligen Servern auszuführen.

Diese RCE ermöglicht es einem Hacker, das System dazu zu bringen, eine von ihm kontrollierte Datei herunterzuladen und an einem beliebigen Ort auf dem Server zu speichern. Ein solcher Zugriff kann zur vollständigen Kompromittierung des Servers, zum Datendiebstahl oder zum Einsatz von Ransomware führen.

Ein am 5. November vom Bundesstaat Nevada veröffentlichter forensischer Bericht bestätigte, dass der Ransomware-Angriff im August dadurch ausgelöst wurde, dass ein Staatsbediensteter versehentlich ein mit Malware infiziertes Tool von einer gefälschten Website heruntergeladen hatte.

Der Angriff im August war ein groß angelegter Vorfall, von dem mehr als 60 Behörden des Bundesstaates Nevada betroffen waren, darunter das Ministerium für Gesundheit und Soziales, die Kraftfahrzeugbehörde und das Ministerium für öffentliche Sicherheit. Die Ermittler stellten fest, dass die Ransomware am 14. Mai in das Netzwerk eingedrungen war und mehrere Wochen lang unentdeckt blieb. Die Malware installierte eine Hintertür, die es Hackern ermöglichte, über das Remote-Desktop-Protokoll auf kritische Systeme und sensible Dateien zuzugreifen.

Die Behörden in Nevada weigerten sich, das Lösegeld zu zahlen, und konnten etwa 90 % der betroffenen Daten wiederherstellen. Der Wiederherstellungsprozess kostete den Bundesstaat jedoch rund 1,3 Millionen Dollar.