Eine ungewöhnliche Nachricht aus der App des britischen Online-Modehändlers ASOS hat am Dienstag für Verunsicherung unter Kunden und einen deutlichen Kursrutsch an der Londoner Börse gesorgt. Nutzer erhielten am Vormittag eine Push-Mitteilung mit der Überschrift „ASOS HACKED“. Darin wurde behauptet, eine Datenumgebung des Unternehmens sei kompromittiert worden. ASOS hat einen erfolgreichen Cyberangriff bislang jedoch nicht bestätigt. Reuters zufolge erklärte das Unternehmen lediglich, von den entsprechenden Berichten Kenntnis zu haben. Weitere Angaben machte ASOS zunächst nicht.
Die ASOS Push-Nachricht hatte unmittelbar auch Auswirkungen an der Börse. Die Aktie des Unternehmens verlor am Dienstag zeitweise mehr als elf Prozent. Reuters meldete den Rückgang um 11:52 Uhr deutscher Zeit. Damit reagierten Anleger deutlich, obwohl zu diesem Zeitpunkt weder ein bestätigter Datenabfluss noch gesicherte Angaben zum Umfang eines möglichen IT-Sicherheitsvorfalls vorlagen.
Die Push-Mitteilung war ihrem Inhalt nach offenbar nicht für Kunden bestimmt. Sie richtete sich an den Datenschutzbeauftragten und die IT-Abteilung von ASOS. In der Nachricht wurde behauptet, die Absender hätten die „Snowflake instance“ des Unternehmens vollständig kompromittiert. Zudem wurde mit der Veröffentlichung von Daten gedroht, falls ASOS keinen Kontakt aufnehme. Die Nachricht enthielt nach übereinstimmenden Berichten auch einen Verweis auf einen Telegram-Kontakt.
Nutzer in mehreren Ländern berichteten am Dienstag über den Empfang der Mitteilung. Entsprechende Meldungen gab es unter anderem aus Großbritannien, Deutschland, den Niederlanden, den USA und Australien. Aus solchen Nutzerberichten lässt sich allerdings nicht ableiten, wie viele Geräte die Nachricht tatsächlich erreichte oder welche technische Komponente für den Versand genutzt wurde.
Dass die Nachricht über den offiziellen Push-Kanal der ASOS-App verbreitet wurde, bedeutet zudem nicht automatisch, dass sämtliche Systeme des Unternehmens kompromittiert sind. ASOS nutzt Push-Mitteilungen regulär unter anderem für Informationen zu Bestellungen, Warenbeständen und Angeboten. Welche Berechtigung oder welches System für die ungewöhnliche Nachricht vom Dienstag verwendet wurde, war zunächst offen.
Besonders relevant ist die Erwähnung von Snowflake. Das US-Unternehmen betreibt eine cloudbasierte Plattform, über die Unternehmen Daten speichern, verarbeiten und analysieren können. Snowflake beschreibt seine Infrastruktur als vollständig verwaltete Datenplattform auf Basis öffentlicher Cloud-Infrastruktur.
Die Formulierung in der Push-Nachricht lässt jedoch keine belastbare Aussage darüber zu, auf welche Daten möglicherweise zugegriffen worden sein könnte. Ebenso wenig ist damit ein Sicherheitsvorfall bei Snowflake selbst belegt. Die Nachricht behauptet lediglich einen Zugriff auf eine angebliche ASOS-Instanz.
Ob tatsächlich Daten kopiert wurden, welche Informationen dort gespeichert waren oder ob Kundendaten betroffen sind, blieb am Dienstagmittag unklar. Es lagen zunächst auch keine bestätigten Angaben darüber vor, dass Zahlungsinformationen, Passwörter, Adressdaten oder Bestellinformationen abgeflossen sind.
Reuters konnte die Behauptungen über einen Hackerangriff zunächst ebenfalls nicht unabhängig bestätigen. ASOS bestätigte gegenüber der Nachrichtenagentur weder einen erfolgreichen Angriff noch einen Datenverlust.
Auf der Investorenseite des Konzerns war am Dienstagmittag zunächst keine regulatorische Mitteilung zu einem Cybervorfall aufgeführt. Die jüngsten dort veröffentlichten Börsenmeldungen stammten vom 5. Oktober und betrafen Beteiligungen am Unternehmen. Auch auf der Nachrichtenseite des Konzerns war zunächst keine Stellungnahme zu dem Vorgang veröffentlicht.
Damit blieben wesentliche Fragen offen. Dazu gehört, ob ein Angreifer tatsächlich Zugriff auf eine Datenplattform erlangt hat, ob lediglich ein System zum Versand von Push-Mitteilungen betroffen war und ob Daten aus ASOS-Systemen kopiert werden konnten.
Für Kunden ist diese Unterscheidung erheblich. Der Versand einer nicht autorisierten Push-Mitteilung kann auf den Zugriff auf einen Kommunikationsdienst hindeuten, beweist für sich genommen aber keinen Zugriff auf Kundenkonten oder Datenbanken.
An der Börse führte die Unsicherheit dennoch zu einer schnellen Reaktion. Die ASOS-Aktie fiel laut Reuters im Londoner Handel um mehr als elf Prozent. Der Kursrutsch setzte ein, nachdem die Berichte über die Push-Mitteilung bekannt geworden waren.
Der britische Modehändler ist international aktiv und erreicht nach eigenen Angaben rund 17 Millionen aktive Kunden in mehr als 150 Märkten. Rund die Hälfte der Umsätze entfiel zuletzt auf Großbritannien, weitere 34 Prozent auf die Europäische Union. Deutschland gehört zu den wichtigen Märkten des Konzerns. ASOS beschäftigt nach eigenen Angaben rund 2.800 Menschen.
Die mögliche Reichweite eines Sicherheitsvorfalls wäre deshalb grundsätzlich erheblich. Daraus lässt sich jedoch nicht schließen, dass Millionen Kunden tatsächlich betroffen sind. Eine bestätigte Zahl betroffener Konten oder Datensätze lag zunächst nicht vor.
ASOS weist auf seiner regulären Sicherheitsseite darauf hin, für verschiedene Onlinekonten unterschiedliche und starke Passwörter zu verwenden und bei verdächtigen Nachrichten auf mögliche Phishing-Versuche zu achten. Diese Hinweise bestehen unabhängig vom aktuellen Vorgang. Eine spezielle Warnung an Kunden wegen der Push-Nachricht vom Dienstag war zunächst nicht veröffentlicht.
Links oder Kontaktdaten aus der ungewöhnlichen Benachrichtigung sollten nicht verwendet werden. Ob weitere Schutzmaßnahmen für ASOS-Kunden erforderlich sind, hängt davon ab, ob das Unternehmen einen Zugriff auf Kundendaten bestätigt und welche Daten gegebenenfalls betroffen sind.
Bislang steht damit vor allem fest, dass über die ASOS-App eine ungewöhnliche Nachricht mit einer Hackerbehauptung verbreitet wurde und die Börse darauf deutlich reagierte. Ob dahinter tatsächlich ein umfassender Cyberangriff steckt und ob Daten entwendet wurden, war am Dienstagmittag nicht bestätigt.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu