Wenn die Erpressernachricht über die eigene App kommt

Am Morgen des 6. Oktober erhielten Nutzerinnen und Nutzer der ASOS-App im Vereinigten Königreich und in mehreren anderen Märkten eine Push-Benachrichtigung von dem Händler, der sie sonst über Neuheiten und Rabattcodes informiert. Diesmal lautete die Nachricht: „ASOS HACKED“. Sie war an den Data Protection Officer (DPO) und das IT-Team des Unternehmens gerichtet. Darin hieß es, die Angreifer hätten die „Snowflake-Instanz vollständig kompromittiert“, und es wurde damit gedroht, Daten zu veröffentlichen, falls ASOS nicht über einen Telegram-Kanal Kontakt aufnehme. 

Innerhalb einer Stunde waren die ASOS-Aktien um mehr als 10 % gefallen. Die Angreifer hatten nicht ein einziges Datenelement veröffentlicht. 

Was wir bisher wissen

ASOS bestätigte noch am selben Nachmittag, dass eine unbefugte Benachrichtigung versendet worden war und das Unternehmen Aktivitäten auf Drittanbieterplattformen untersuchte, die es für die Kommunikation mit Kunden nutzt. ASOS schränkte den Zugriff auf diese Plattformen ein und erklärte, Namen und Kontaktdaten könnten offengelegt worden sein. Das Unternehmen geht nicht davon aus, dass Zahlungskartendaten oder Kontopasswörter betroffen waren. 

Am 8. Oktober erläuterte das Unternehmen, wie die Angreifer eingedrungen waren. Jemand gab sich als vertrauenswürdiger Kontakt aus und überredete einen ASOS-Mitarbeiter, die Zugangsdaten für sein Arbeitskonto herauszugeben. Diese Zugangsdaten verschafften den Angreifern Zugriff auf die Kundenkommunikationsplattformen. ASOS hat das Information Commissioner’s Office benachrichtigt, das den Vorfall prüft. 

​​Die Behauptung zu Snowflake ist weiterhin unbewiesen. Snowflake zufolge wurde keine Kompromittierung der Plattform festgestellt. Die Gruppe, die hinter der Nachricht steckt und sich Xuanye Group nennt, hat keine Beispieldaten veröffentlicht. Ob in den kommenden Tagen Datensätze als Belege auftauchen, wird entscheidend dazu beitragen, die Frage zu klären. In der Zwischenzeit hat das National Cyber Security Centre (NCSC) des Vereinigten Königreichs ASOS-Kunden geraten, davon auszugehen, möglicherweise betroffen zu sein – unabhängig davon, ob sie die Benachrichtigung erhalten haben.​​​ 

Warum KI die Anforderungen erhöht

​​Die Tragweite dieses Vorfalls ist größer, als die grundlegenden Daten vermuten lassen. Händler führen für KI-gestützte Personalisierung zunehmend Verhaltens-, Transaktions- und demografische Daten in einem einzigen Kundenprofil zusammen. ​Diese Profile ermöglichen präzisere Empfehlungen und relevanteres Marketing. In den Händen von Angreifern tragen sie ebenso dazu bei, Betrug gezielter zu betreiben. ​​     ​​ 

​​​​Angreifer müssen maßgeschneiderte Ködernachrichten nicht mehr selbst verfassen. In einem Feldexperiment mit mehr als 7.700 Teilnehmenden stellten Forschende von BIFOLD und der TU Berlin gemeinsam mit Inria und Ruhr University Bochum fest, dass personalisierte, KI-generierte Phishing-Nachrichten eine 2,4-mal so hohe Klickrate erzielten wie generische Phishing-Nachrichten​.​​ 

​​​Die Kommunikationsinstrumente im Zentrum des ASOS-Vorfalls verdienen ebenso viel Aufmerksamkeit. Plattformen zur Kundeninteraktion, die im Auftrag eines Händlers Kundengruppen segmentieren, Inhalte personalisieren und Nachrichten versenden, verfügen sowohl über Kundendaten als auch über die Möglichkeit, alle Kunden gleichzeitig zu erreichen. Diese Kombination macht sie selbst zu einem Angriffsziel. ​​ 

Erpressung vor Publikum

Erpressergruppen wenden sich üblicherweise zunächst mit einer privaten Nachricht an ihr Opfer. Die Verhandlungen finden hinter verschlossenen Türen statt. Wenn die Öffentlichkeit überhaupt von einem Sicherheitsvorfall erfährt, dann über eine Leak-Website oder eine Meldung bei einer Aufsichtsbehörde. 

Die Angreifer bei ASOS kehrten diese Reihenfolge um. Sie informierten zuerst die Kunden und sorgten dafür, dass Medien und Anleger zusahen, noch bevor ASOS irgendetwas bestätigt hatte. Selbst wenn die Gruppe überhaupt keine Daten besaß, setzte eine einzige Push-Benachrichtigung ASOS an den Märkten unter Druck und verkürzte die Zeit für eine öffentliche Reaktion. Diese Verzögerung weckte Zweifel bei den Kunden und setzte ASOS an den Märkten unter Druck. 

Die Wahl des Kanals verschärft den Schaden zusätzlich. Kunden erlauben App-Benachrichtigungen, weil sie dem Absender vertrauen. In Sicherheitsschulungen lernen Menschen, die Absenderadresse zu überprüfen oder mit dem Mauszeiger über einen Link zu fahren. Eine Nachricht, die über die echte App auf dem eigenen Telefon zugestellt wird, besteht diese Prüfungen jedoch. Jeder Missbrauch dieses Kanals macht ihn für die legitimen Nachrichten, die ein Händler versenden muss, weniger verlässlich – auch für künftige Benachrichtigungen über Sicherheitsvorfälle. 

Was das für Kunden bedeutet

Am wahrscheinlichsten sind Phishing-Angriffe als Folge des Vorfalls. Kriminelle nutzen die öffentliche Aufmerksamkeit nach einer Datenpanne regelmäßig aus und versenden gefälschte Rückerstattungsangebote, Aufforderungen zum Zurücksetzen von Passwörtern und E-Mails über den Sicherheitsvorfall, die zu Seiten führen, auf denen Zugangsdaten abgegriffen werden. ASOS-Kunden sollten unerwarteten Nachrichten zu dem Vorfall misstrauen, den Telegram-Link meiden und ihre Konten überprüfen, indem sie die App oder Website direkt öffnen. Wer wiederverwendete Passwörter ändert und die Bestätigung in zwei Schritten aktiviert, kann die häufigsten Versuche zur Kontoübernahme verhindern, bevor sie beginnen. 

Was das für Händler bedeutet

Die Angreifer kamen nicht über die ASOS-Website oder -App. Sie nutzten die Zugangsdaten eines Mitarbeiters und die damit verbundenen Tools von Drittanbietern. Zur Angriffsfläche eines Einzelhändlers gehören Unternehmens- und Entwicklungsnetzwerke, Kundendatenplattformen, SaaS-Anwendungen, Dienstkonten, Kommunikationstools und die Anbieter, die mit diesen Umgebungen verbunden sind. 

Jede Organisation ist auf die Sicherheitspraktiken ihrer Anbieter angewiesen. Sorgfältige Prüfungen sind daher eine kontinuierliche Verpflichtung. Jede Integration eines Anbieters kann die Angriffsfläche einer Organisation vergrößern und zusätzliche Risiken mit sich bringen. Deshalb muss jede Integration sorgfältig geprüft und regelmäßig überprüft werden. Risikobewertungen sollten bei der Auswahl eines Anbieters und danach in regelmäßigen Abständen vorgenommen werden. Außerdem muss klar dokumentiert sein, welche Anbieter-Konten Kunden direkt erreichen können. Das ist ein fortlaufender Prozess und kein einmaliges Projekt. Regelmäßige Überprüfungen helfen, den Überblick auf dem neuesten Stand zu halten und Veränderungen zu erkennen, die neue Risiken mit sich bringen könnten. 

Bei diesen Überprüfungen sollte auch erfasst werden, wer Zugriff auf die Kommunikationskanäle zu Kunden hat. Push-Benachrichtigungsdienste in eigenen Apps, SMS-Gateways und E-Mail-Plattformen können innerhalb von Sekunden Millionen Menschen erreichen. Daher müssen Einzelhändler klar dokumentieren, welche Anbieter-Konten Nachrichten direkt an Kunden versenden können. Diese Konten sollten sie mit phishing-resistenter Multi-Faktor-Authentifizierung (MFA) schützen und über ein erprobtes Verfahren verfügen, um den Zugriff schnell zu entziehen. Die Kontrolle über diese Kanäle gibt Einzelhändlern zudem eine vertrauenswürdige Möglichkeit, Kunden zu erreichen und die Fakten richtigzustellen, wenn etwas schiefgeht.  

Die Regulierung weist in dieselbe Richtung. Seit dem 11. September 2026 verpflichtet der EU Cyber Resilience Act Hersteller von Produkten mit digitalen Elementen, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden an ENISA und die nationalen CSIRTs zu melden. Diese Anforderung macht Einzelhändler nun für die Sicherheit der von ihnen bereitgestellten Apps verantwortlich, doch die Plattformen, über die Nachrichten in diesen Apps versendet werden, liegen häufig bei Anbietern, die von der Verordnung nicht erfasst werden. 

​​Für ASOS bedeutet es, Vertrauen wiederaufzubauen und den Kunden zu zeigen, dass sowohl ihre Daten als auch die Kanäle, über die sie erreicht werden, sicher sind. Für andere Einzelhändler ist dies eine deutliche Mahnung, ihre Beziehungen zu Anbietern genau zu prüfen, zu verstehen, worauf die einzelnen Anbieter zugreifen können, und sicherzustellen, dass sie schnell reagieren können, falls dieser Zugriff missbraucht wird.​