Cyberangriffe
ASOS-Cyberangriff zeigt Risiken durch Identitätsdiebstahl und Drittanbieter-Plattformen
Wenn Vertrauen zur größten Sicherheitslücke wird
Ein gestohlener Zugang, kompromittierte Kundendaten und eine manipulierte Kommunikation mit Millionen potenziell erreichbaren Nutzern: Der Cyberangriff auf den Online-Händler ASOS zeigt, wie schnell Vertrauen zum Einfallstor für Cyberkriminelle werden kann. Besonders brisant ist, dass die Täter weder eine klassische technische Schwachstelle ausnutzen noch die zentrale IT-Infrastruktur des Unternehmens direkt angreifen mussten. Der Vorfall macht deutlich, warum Identitätssicherheit, Drittanbieter-Risiken und kontinuierliche Bedrohungserkennung heute untrennbar miteinander verbunden sind.
Frank Roidl, Senior VP Sales bei Getronics , erläutert, warum Zero Trust, 24/7-Monitoring und Managed Security Services zu zentralen Bausteinen moderner Cyberresilienz werden.
Social Engineering öffnet den Weg zu sensiblen Kundendaten
Der Angriff auf den britischen Online-Händler ASOS begann mit einer Methode, die trotz moderner Sicherheitstechnologien weiterhin zu den effektivsten Werkzeugen von Cyberkriminellen gehört: Social Engineering.
Die Täter gaben sich gegenüber einem Mitarbeiter als vertrauenswürdiger Kontakt aus und gelangten so an dessen Zugangsdaten. Mit der kompromittierten Identität verschafften sie sich Zugriff auf eine angebundene Drittanbieter-Plattform, über die sie sensible Kundeninformationen abrufen konnten.
Nach bisherigen Erkenntnissen waren unter anderem Namen, Adressen, Telefonnummern, E-Mail-Adressen und weitere kundenbezogene Informationen betroffen. Berichten zufolge gehörten auch Geburtsdaten, Kundennummern und Suchanfragen der Nutzer zu den abgegriffenen Informationen. Zahlungsdaten und Passwörter waren nach Angaben von ASOS nicht betroffen.
Besonders aufsehenerregend war jedoch ein weiterer Schritt der Angreifer: Sie nutzten die Kommunikationsinfrastruktur des Unternehmens, um über die offizielle ASOS-App eine nicht autorisierte Push-Benachrichtigung an Kunden zu versenden.
Damit erreichte der Angriff eine neue Dimension. Die Täter kompromittierten nicht nur Daten, sondern missbrauchten zugleich einen Kommunikationskanal, dem Kunden normalerweise vertrauen.
Wenn eine einzige Identität die Sicherheitsarchitektur aushebelt
Der ASOS-Vorfall verdeutlicht zwei grundlegende Schwachstellen moderner Unternehmensarchitekturen.
Erstens bleibt der Mensch ein bevorzugtes Angriffsziel. Selbst umfassende technische Schutzmaßnahmen können umgangen werden, wenn Angreifer durch Täuschung an gültige Zugangsdaten gelangen. Aus Sicht der Sicherheitssysteme erscheint der anschließende Zugriff zunächst möglicherweise legitim.
Genau darin liegt die Gefahr identitätsbasierter Angriffe: Cyberkriminelle müssen keine Sicherheitsbarrieren technisch überwinden, wenn sie sich mit den Berechtigungen eines autorisierten Nutzers bewegen können.
Zweitens verlagert sich die Angriffsfläche zunehmend auf externe Plattformen und Dienstleister. Unternehmen nutzen heute zahlreiche Cloud-Dienste, SaaS-Anwendungen und spezialisierte Kommunikationsplattformen, um Geschäftsprozesse effizienter zu gestalten.
Diese Vernetzung schafft jedoch zusätzliche Abhängigkeiten. Wird eine angebundene Plattform über kompromittierte Zugangsdaten missbraucht, können sensible Informationen auch dann gefährdet sein, wenn die zentralen Unternehmenssysteme selbst nicht kompromittiert wurden.
Der Schutz der eigenen Infrastruktur allein reicht deshalb nicht mehr aus. Entscheidend ist, welche Identitäten auf welche Dienste zugreifen dürfen und wie diese Zugriffe überwacht werden.
Die Lieferkette wird zur erweiterten Angriffsfläche
Der Angriff auf ASOS zeigt außerdem, wie eng Datensicherheit und digitale Lieferketten inzwischen miteinander verflochten sind. Drittanbieter übernehmen längst nicht mehr ausschließlich unterstützende Aufgaben. Sie verarbeiten Kundendaten, steuern Kommunikationsprozesse und sind häufig tief in operative Abläufe eingebunden. Dadurch entstehen Vertrauensbeziehungen, die Angreifer gezielt ausnutzen können.
Besonders kritisch wird es, wenn kompromittierte Zugänge nicht nur den Zugriff auf Informationen ermöglichen, sondern auch geschäftskritische Funktionen auslösen können. Im Fall von ASOS wurde sichtbar, dass selbst die offizielle Kundenkommunikation zum Instrument eines Angriffs werden kann.
Für Unternehmen bedeutet das einen grundlegenden Perspektivwechsel: Die digitale Lieferkette darf nicht länger als externe Infrastruktur betrachtet werden, deren Sicherheit allein in der Verantwortung des jeweiligen Dienstleisters liegt.
Wer Drittanbieter in seine Geschäftsprozesse integriert, muss deren Zugriffsrechte, Sicherheitsmechanismen und Kommunikationsschnittstellen in das eigene Risikomanagement einbeziehen.
Drei Konsequenzen für die Unternehmenssicherheit
Aus dem ASOS-Angriff lassen sich drei zentrale Handlungsfelder ableiten, die für Unternehmen unabhängig von ihrer Branche relevant sind.
1. Identität muss zur zentralen Sicherheitskontrolle werden
Gestohlene Zugangsdaten dürfen nicht automatisch den Weg zu kritischen Systemen öffnen. Phishing-resistente Multi-Faktor-Authentifizierung, konsequent umgesetzte Zugriffskontrollen und das Prinzip der minimalen Berechtigungen gehören deshalb zu den grundlegenden Sicherheitsmaßnahmen. Gleichzeitig müssen Unternehmen den traditionellen Vertrauensansatz hinterfragen. Eine erfolgreiche Anmeldung allein darf nicht bedeuten, dass sämtliche nachfolgenden Aktivitäten ungeprüft bleiben. Zero-Trust-Architekturen setzen genau hier an: Zugriffe werden anhand von Identität, Kontext, Gerätezustand und Risikobewertung kontinuierlich überprüft.
2. Drittanbieter müssen Teil des eigenen Sicherheitsmodells sein
Externe Plattformen, auf denen Kundendaten verarbeitet oder Kommunikationsprozesse ausgeführt werden, gehören in eine ganzheitliche Sicherheitsstrategie. Dazu zählen regelmäßige Risikobewertungen, klar definierte Zugriffsrechte, transparente Verantwortlichkeiten und die technische Überwachung sicherheitskritischer Schnittstellen. Besonders wichtig ist die Frage, welche Aktionen über kompromittierte Konten ausgelöst werden könnten. Unternehmen müssen nicht nur wissen, wer Zugriff besitzt, sondern auch, welche Auswirkungen der Missbrauch einer einzelnen Identität haben kann.
3. Bedrohungserkennung und Reaktion müssen jederzeit funktionieren
Identitätsmissbrauch und Social Engineering halten sich nicht an Geschäftszeiten. Auffällige Anmeldeversuche, ungewöhnliche Datenzugriffe oder verdächtige Aktivitäten innerhalb angebundener Dienste müssen deshalb möglichst frühzeitig erkannt werden.
Dafür braucht es eine kontinuierliche Überwachung, die Informationen aus Identitätssystemen, Cloud-Plattformen, Anwendungen und Sicherheitslösungen zusammenführt.
Automatisierte Reaktionsmechanismen können helfen, kompromittierte Sitzungen zu beenden, Zugriffsrechte zu entziehen und potenzielle Datenabflüsse einzudämmen. Entscheidend ist jedoch nicht allein die Geschwindigkeit der Erkennung. Unternehmen müssen auch organisatorisch und technisch in der Lage sein, auf sicherheitskritische Ereignisse unmittelbar zu reagieren.
Warum Cyberresilienz eine kontinuierliche Aufgabe ist
Genau hier liegt für viele Unternehmen die größte Herausforderung. Die Zahl digitaler Identitäten, Cloud-Dienste und angebundener Plattformen wächst kontinuierlich. Gleichzeitig werden Angriffswege komplexer und verteilen sich über unterschiedliche technische und organisatorische Verantwortungsbereiche.
Klassische Sicherheitskonzepte, die vor allem den Schutz der eigenen Netzwerkgrenzen in den Mittelpunkt stellen, werden dieser Entwicklung nicht mehr gerecht. Identitätssicherheit, Drittanbieter-Überwachung und kontinuierliche Bedrohungserkennung müssen deshalb als zusammenhängende Disziplinen verstanden werden.
Für viele Unternehmen ist es allerdings schwierig, die dafür erforderlichen Kompetenzen und personellen Ressourcen dauerhaft intern bereitzustellen. Insbesondere eine professionelle 24/7-Überwachung mit schnellen Reaktionsmöglichkeiten stellt hohe Anforderungen an Sicherheitsteams.
Managed Security Services können hier eine wichtige Rolle übernehmen. Sie verbinden kontinuierliches Monitoring mit spezialisierten Fachkräften, etablierten Incident-Response-Prozessen und einer zentralen Sicht auf sicherheitsrelevante Aktivitäten.
Dabei geht es nicht allein darum, zusätzliche Sicherheitslösungen einzusetzen. Entscheidend ist, vorhandene Technologien, Prozesse und Verantwortlichkeiten so miteinander zu verbinden, dass Angriffe frühzeitig erkannt und wirksam eingedämmt werden können.
Fazit: Cyberresilienz beginnt bei der Identität
Der Cyberangriff auf ASOS ist weit mehr als ein weiterer Fall kompromittierter Kundendaten. Er zeigt exemplarisch, wie Cyberkriminelle bestehende Vertrauensbeziehungen ausnutzen und über gestohlene Identitäten bis in geschäftskritische Prozesse vordringen können. Unternehmen müssen deshalb ihre Sicherheitsstrategie über die eigenen Systemgrenzen hinaus erweitern. Identitäten, Drittanbieter und digitale Kommunikationskanäle bilden eine gemeinsame Angriffsfläche, die kontinuierlich überwacht und abgesichert werden muss. Die zentrale Erkenntnis lautet: Cyberresilienz entscheidet sich nicht mehr allein daran, wie gut Unternehmen ihre Infrastruktur schützen, sondern daran, wie konsequent sie digitale Identitäten, Berechtigungen und Vertrauensbeziehungen kontrollieren.
