Wenn Vertrauen zur Schwachstelle wird: Was der ASOS-Angriff über Identität und Lieferkette verrät.
Beim Angriff auf den Online-Händler ASOS verschafften sich Kriminelle Zugang zum Mitarbeiterkonto eines Beschäftigten, indem sie sich als vertrauenswürdiger Kontakt ausgaben und so dessen Login-Daten erbeuteten. Mit diesem Zugang zu einem angebundenen Dienst luden sie umfangreiche Kundendaten herunter, Namen, Adressen, Telefonnummern, E-Mails, Geburtsdaten, Kundennummern und sogar die Suchanfragen der Nutzer.
Zusammenfassung (TL; DR):
- Beim Social-Engineering-Angriff auf ASOS erbeuteten Kriminelle die Login-Daten eines Mitarbeiters, um über eine angebundene Drittanbieter-Plattform sensible Kundendaten abzugreifen.
- Der Vorfall verdeutlicht, dass moderne Cyberrisiken primär über kompromittierte Identitäten sowie die digitale Lieferkette entstehen und nicht zwingend über technische Lücken in der Kerninfrastruktur.
- Als Konsequenz müssen Unternehmen Identitätssicherheit (wie Phishing-resistente MFA), Drittanbieter-Überwachung und eine kontinuierliche Rund-um-die-Uhr-Erkennung als dauerhaften, oft extern verwalteten Service etablieren.
Angreifer nutzten das App-System von ASOS
Zahlungsdaten und Passwörter waren nach Angaben des Unternehmens nicht betroffen. Besonders perfide: Die Angreifer nutzten das eigene App-System von ASOS, um potenziell Millionen Kunden eine Push-Benachrichtigung über den Hack zu senden.
Dieser Fall verdient Aufmerksamkeit, weil er gleich zwei Muster sichtbar macht, die weit über den Handel hinausreichen. Das erste: Der Angriff begann nicht an einer technischen Schwachstelle, sondern am Menschen. Eine einzige, per Social Engineering erbeutete Identität genügte, um an sensible Kundendaten zu gelangen. Das zweite: Die eigentlichen Daten lagen nicht im Kernsystem von ASOS, sondern auf einer angebundenen Drittanbieter-Plattform. Die eigenen Systeme blieben intakt, der Weg hinein führte über eine kompromittierte Identität und die Lieferkette.
Kommunikationsschiene des Unternehmens gekapert
Dass die Täter anschließend die vertrauenswürdige Kommunikationsschiene des Unternehmens kaperten, zeigt die eigentliche Dimension. Ein Angriff endet heute nicht bei der Datenabfrage. Er kann bis in die Kanäle durchschlagen, über die ein Unternehmen mit seinen Kunden spricht, wenn die dahinterliegenden Systeme und Berechtigungen nicht abgesichert sind. Was folgt daraus?
Identität muss als zentrale Sicherheitskontrolle behandelt werden
Ein gestohlenes Passwort darf nicht ausreichen, um auf kritische Systeme zuzugreifen. Phishing-resistente Multi-Faktor-Authentifizierung und der Grundsatz, dass kein Zugriff allein aufgrund einer einmaligen Anmeldung dauerhaft als vertrauenswürdig gilt, sind heute Pflicht.
Drittanbieter gehören ins eigene Risikomanagement
Plattformen, über die Daten verarbeitet oder Kunden kontaktiert werden, müssen mit derselben Sorgfalt abgesichert und überwacht werden wie die eigene Infrastruktur. Die Angriffsfläche endet nicht an den eigenen Systemgrenzen.
Erkennung und Reaktion müssen rund um die Uhr laufen
Social Engineering, missbrauchte Identitäten und dutzende angebundene Dienste lassen sich nicht im Tagesgeschäft nebenbei überwachen. Ein kompromittierter Zugang muss sofort auffallen und automatisch entzogen werden, bevor Daten abfließen, und das jederzeit, nicht nur zu Bürozeiten.
Identitätssicherheit wird wichtiger
Genau hier liegt die eigentliche Herausforderung. Identitätssicherheit, Drittanbieter-Überwachung und eine durchgängige Erkennung sind keine einmaligen Projekte, sondern eine Daueraufgabe, die Expertise und einen durchgehenden Betrieb verlangt. Für die meisten Unternehmen ist das intern kaum noch zu leisten, die Zahl der Identitäten, Dienste und Angriffswege wächst schneller als die eigenen Sicherheitsteams. Wer diese Aufgabe nicht dauerhaft abdecken kann, braucht einen Partner, der Erkennung, Reaktion und Zugriffskontrolle als kontinuierlichen Managed Service übernimmt.
Die Lehre aus dem ASOS-Angriff ist klar. Cyberresilienz beginnt nicht an der Netzgrenze, sondern bei der Frage, wer sich hinter einer Anmeldung verbirgt und welche Systeme im Hintergrund mit welchen Rechten laufen. Wer Identität, Drittanbieter und die eigene Lieferkette nicht als durchgehend überwachte Angriffsfläche begreift, hat das eigentliche Risiko nicht verstanden.
Häufige Fragen (FAQ)
Sie erbeuteten die Login-Daten eines Mitarbeiters, indem sie sich über Social Engineering als vertrauenswürdiger Kontakt ausgaben.
Nicht die Kernsysteme von ASOS, sondern eine angebundene Drittanbieter-Plattform, über die sensible Kundendaten und Suchanfragen gestohlen wurden.
Identitätssicherheit, die Überwachung der digitalen Lieferkette und eine Rund-um-die-Uhr-Erkennung müssen als kontinuierliche Daueraufgabe etabliert werden.
