Wie Cyberangriffe tatsächlich ablaufen: Die Methoden hinter Verstößen wie der H&M-Affäre

Am 12. Oktober 2026 teilte die H&M-Gruppe mit, dass sie Online-Behauptungen eines Cybersicherheitsvorfalls untersuche, der "einen begrenzten Umfang von H&M-Gruppendaten" betreffe, wie in einer Unternehmensstellungnahme berichtet von Retail Gazette. Der Einzelhandelsgigant gab an, keine Anhaltspunkte dafür gefunden zu haben, dass seine Datenumgebung kompromittiert worden sei, und habe das britische Büro des Information Commissioner nicht informiert, wie Beinsure berichtet.

Die Behauptungen tauchten Tage auf, nachdem der Modehändler ASOS einen Verstoß am 6. Oktober bestätigte, bei dem Angreifer die Anmeldedaten eines Mitarbeiters durch Ausgeben als vertrauensvolle Kontaktperson erhielten, dann diese Anmeldedaten nutzten, um auf Kundennamen und Kontaktdaten zuzugreifen, die auf Plattformen Dritter gespeichert waren, wie Beinsure berichtet. Retail Gazette vermerkte, dass Berichte die H&M-Vorwürfe mit derselben Cyberkriminellen-Gruppe, ShinyHunters, verknüpft haben, obwohl keine unabhängige Bestätigung die beiden Vorfälle miteinander verbindet.

Wer ist ShinyHunters?

ShinyHunters ist eine finanziell motivierte Hackergruppe, die seit 2020 aktiv ist und mit Verstößen bei mehr als 400 Organisationen verknüpft ist, wie der Cybersecurity-Anbieter DoControl angibt. Die Gruppe folgt einem "Bezahlen oder Lecken"-Erpressungsmodell: Sie fordert Lösegeld und droht, gestohlene Daten in Dark-Web-Foren zu veröffentlichen, wenn das Ziel nicht bezahlt, wie DoControl berichtet. Frühere von DoControl benannte Ziele umfassen Salesforce, Google, Workday, Adidas, Coinbase, Qantas Airways und Jaguar Land Rover.

Die Methoden hinter den meisten Verstößen

DoControls Analyse beschreibt fünf Techniken, die die Gruppe verwendet hat: Missbrauch gestohlener OAuth-Tokens zur Benutzerausgabe und zum Umgehen der Multi-Faktor-Authentifizierung; Ausnutzung fehlkonfigurierter Einstellungen in Cloud-Plattformen wie Salesforce Experience Cloud oder Google Workspace; Gefährdung vertrauensvoller Softwareanbieter, um gleichzeitig ihre nachgelagerten Kunden zu erreichen; Rekrutierung von Mitarbeitern auf Telegram-Kanälen gegen Bezahlung für den Zugriff auf interne Systeme; und Verwendung von KI-generierten Sprachanrufen, die IT-Personal imitieren, um Personal dazu zu bringen, von Angreifern kontrollierte Anwendungen zu genehmigen.

Diese Techniken spiegeln breitere Branchendaten wider. Der Verizon-Bericht zu Datenschutzverletzungen von 2026, zitiert von Help Net Security, stellte fest, dass die Ausnutzung von Softwarelücken gestohlene Anmeldedaten als häufigste Art ablöste, wie Angreifer zunächst in ein Netzwerk gelangen — das erste Mal in der 19-jährigen Geschichte des Berichts. Der gleiche Bericht stellte fest, dass nur 26% der Lücken auf der Liste "bekannt ausgenutzt" der US-amerikanischen Cybersecurity and Infrastructure Security Agency von befragten Organisationen vollständig gepatcht wurden, gegenüber 38% ein Jahr zuvor, und dass die mediane Zeit zum Patchen einer Lücke auf 43 Tage gestiegen war.

Wo der Menschenfaktor eine Rolle spielt

Nicht jeder Verstoß beruht auf einem Softwarefehler. Eine Zusammenfassung von Help Net Security des Verizon-Berichts stellte fest, dass Verstöße mit menschlichem Element — wie durch eine Phishing-Nachricht oder einen Telefonanruf überrumpelt werden — häufig blieben. Der Bericht stellte auch fest, dass Phisher im Allgemeinen mehr Erfolg hatten, Opfer über Sprachanrufe und Textnachrichten zu erreichen als über E-Mail, ohne eine genaue Vergleichszahl zu geben, und vermerkte, dass telefon-basiertes "Vishing" zunehmend in Ransomware- und Erpressungsschemata verwendet wird.

Die Beteiligung von Drittparteien und Supply-Chain an Verstößen stieg um 60% im Jahresvergleich, wie der gleiche Bericht besagt, jetzt in knapp der Hälfte aller Vorfälle vorhanden — ein Muster, das damit übereinstimmt, wie der Angreifer von ASOS Kundendaten durch eine Plattform eines Drittanbieters erreichte, anstatt über die eigenen Kernsysteme von ASOS, wie Beinsures Bericht des Vorfalls erklärt.

Was in der H&M-Affäre unbestätigt bleibt

Nach der H&M-Stellungnahme von Retail Gazette hatte das Unternehmen nicht bestätigt, dass ein System verletzt wurde, und hatte die Behauptungen nicht eindeutig mit ShinyHunters oder dem ASOS-Vorfall verknüpft. H&M sagte, dass die Untersuchung laufend sei und dass es zu diesem Zeitpunkt keine weiteren Details teilen könne, wie Beinsures Bericht der Unternehmensstellungnahme besagt.