Wie Daten aus Leaks gezielte Phishing-Angriffe befeuern

Stellen Sie sich vor

Ein Unternehmen erlebt einen Sicherheitsvorfall.

Sensible Daten liegen offen. Kundinnen und Kunden werden nervös. Aufsichtsbehörden stellen Fragen. Die Medienberichterstattung nimmt zu. Die Reputation leidet. Es fühlt sich an wie ein Albtraum.

Doch die Datenpanne selbst ist oft nur die erste Phase. Sobald Angreifende an interne Informationen gelangen, gewinnen sie strategisches Wissen: E-Mail-Adressen von Mitarbeitenden, Kundendaten, Zugangsdaten oder betriebliche Details. Ihr Unternehmen, Ihre Belegschaft und Ihre Kundschaft können so über lange Zeit zum Ziel sorgfältig gebauter Phishing-Kampagnen werden, die auf genau diesen gestohlenen Daten beruhen.

Was sind Daten aus einer Datenpanne?

Als solche gelten alle Informationen, auf die ohne Berechtigung zugegriffen wurde oder die unbefugt offengelegt oder abgezogen wurden.

Im Unternehmensumfeld sind das typischerweise Zugangsdaten, geschäftliche E-Mail-Adressen, Kontakt- und Finanzdaten von Kundinnen und Kunden, Gesundheitsdaten oder andere sensible personenbezogene Daten, interne Dokumente sowie Kontaktdaten von Dienstleistern und Lieferanten.

• Zugangsdaten von Mitarbeitenden (Benutzernamen und Passwörter)
• Geschäftliche E-Mail-Adressen
• Personenbezogene Kundendaten (Namen, Kontaktdaten, Finanzinformationen)
• Gesundheitsdaten oder besondere Kategorien personenbezogener Daten
• Interne Dokumente und Kommunikation
• Kontaktdaten von Dienstleistern und Lieferanten

Einmal offengelegt, zirkulieren solche Daten häufig in einschlägigen Foren oder auf kriminellen Marktplätzen. Sie werden zu Zugangsdatenlisten gebündelt, für automatisierte Login-Versuche genutzt oder ausgewertet, um gezielte Social-Engineering-Kampagnen vorzubereiten. Was innerhalb einer Organisation alltäglich wirkt, wird in den Händen von Angreifenden zu strategischem Wissen.

‍

Sicherheitsfolgen für Unternehmen

Eine Datenpanne erzeugt unmittelbares Risiko für die betroffene Organisation, doch die Auswirkungen reichen häufig darüber hinaus. Auch Unternehmen, die über Partnerschaften, Lieferantenverträge, gemeinsame Systeme oder Kundenbeziehungen verbunden sind, können einem erhöhten Risiko ausgesetzt sein.

Wenn Ihr Unternehmen den Vorfall erlebt

Bei der betroffenen Organisation erlangen Angreifende möglicherweise Zugriff auf Zugangsdaten, interne Kommunikation und sensible Datensätze. Das kann zu Account-Übernahmen, Business E-Mail Compromise, Daten-Exfiltration und Betriebsstörungen führen.

Selbst nach der technischen Eindämmung können die gestohlenen Informationen weiter ausgenutzt werden. Die öffentliche Bekanntgabe des Vorfalls kann das Risiko zusätzlich verstärken, weil Angreifende die Datenpanne als Vorwand nutzen, um gefälschte „Sicherheitsupdates“ oder „Verifizierungs“-Nachrichten an Mitarbeitende und Kundschaft zu senden.

Wenn Sie Partner oder Lieferant sind

Organisationen ohne eigene Datenpanne können dennoch zu indirekten Opfern werden. Angreifende geben sich häufig als das kompromittierte Unternehmen aus, um dessen Partner ins Visier zu nehmen. Nachrichten, die auf echte Verträge, Rechnungen oder gemeinsame Projekte verweisen, wirken authentisch, weil die Geschäftsbeziehung tatsächlich besteht. Vertrauen wird zum Angriffsvektor.

Wenn gemeinsame Systeme, API-Integrationen oder Fernzugriffsportale im Einsatz waren, können kompromittierte Zugangsdaten des betroffenen Unternehmens für Versuche lateraler Zugriffe genutzt werden. Selbst normale Kommunikation des betroffenen Partners sollte mit Vorsicht behandelt werden, bis dessen Sicherheitslage bestätigt stabil ist.

Wichtig ist auch, eine praktische Hürde anzuerkennen: Nicht alle Lieferanten informieren ihre Partner unmittelbar über Vorfälle, und manche Organisationen bemerken gar nicht, dass sie kompromittiert wurden. Dieser Mangel an Sichtbarkeit erhöht die Unsicherheit und unterstreicht, wie wichtig unabhängiges Monitoring und proaktives Risikomanagement sind.

{{quote}}

Sicherheitsplanung muss daher nicht nur interne Datenpannen berücksichtigen, sondern auch das Risiko aus der Lieferkette.

PayPal hat eine Datenpanne im Zusammenhang mit dem Antragsprozess für PayPal Working Capital bestätigt, bei der über bis zu sechs Monate hinweg Kundendaten offenlagen; betroffene Nutzende wurden per Benachrichtigungsschreiben informiert. Wenn Finanzdaten monatelang offenliegen, bevor der Vorfall entdeckt wird, haben Angreifende reichlich Zeit, hochgradig zielgerichtete Phishing-Kampagnen zu bauen: gefälschte Kreditbestätigungen, falsche Konto-Warnungen oder Aufforderungen zur Zahlungsverifizierung, die auf echte Kundendaten Bezug nehmen.

Der niederländische Telekommunikationsanbieter Odido hat öffentlich einen Cybervorfall bestätigt, bei dem personenbezogene Daten von mehr als 6,2 Millionen Kundinnen und Kunden offengelegt wurden. Eine Datenpanne dieser Größenordnung liefert Angreifenden eine riesige Kontaktdatenbank für Phishing in großem Umfang. Wer über die Medien von dem Vorfall erfährt, ist besonders anfällig für gefälschte E-Mails zu „Sicherheitsupdates“ oder „Identitätsprüfungen“, die genau diese Sorge ausnutzen.

Figure Technology, ein Fintech-Kreditanbieter, hat eine Datenpanne bestätigt, nachdem eine Person per Social Engineering eine Mitarbeiterin oder einen Mitarbeiter dazu gebracht hatte, Systemzugriff zu gewähren, sodass Dateien heruntergeladen werden konnten.

Später erklärte die Gruppe ShinyHunters, 2,5 GB gestohlener Daten veröffentlicht zu haben, nachdem eine Lösegeldzahlung verweigert worden war. Fachleute bringen den Vorfall mit einer größeren Kampagne im Jahr 2026 in Verbindung, die Organisationen mit SSO von Okta über Vishing-Angriffe ins Visier nimmt. Dieser Fall zeigt den vollständigen Kreislauf: Ein Social-Engineering-Angriff verursacht die Datenpanne, und die gestohlenen Daten ermöglichen anschließend weiteres Social Engineering gegen Partner und Kundschaft.

Der Vishing-Vektor, über den der Erstzugriff gelang, ist genau die Art von Angriff, die Organisationen ihren Mitarbeitenden antrainieren müssen zu erkennen – bevor daraus eine Kompromittierung nachgelagerter Systeme wird.

Der Zusammenhang zwischen Datenpannen und Phishing

Phishing wird deutlich wirksamer, wenn Angreifende über echte, kontextbezogene Informationen verfügen.

Mit Daten aus einer Datenpanne enthalten betrügerische E-Mails korrekte Namen von Mitarbeitenden, Jobtitel, Lieferantendetails, Projektbezüge und sogar kopierte E-Mail-Signaturen. Diese Elemente senken das Misstrauen, weil die Nachricht zu bekannten Geschäftsabläufen passt.

Angreifende können überzeugende Anfragen zum Passwort-Reset, Rechnungsbenachrichtigungen oder Antworten des Kundenservice verschicken, die den echten Kommunikationsstil nachahmen. Weil die Kontaktdaten echt sind, wirken die Nachrichten glaubwürdig. So verwandeln Daten aus Datenpannen Phishing von generischem Spam in präzises Social Engineering.

Abwehrstrategien

Kommt es zu einem Vorfall – intern oder bei einer Partnerorganisation –, muss die Reaktion über die technische Eindämmung hinausgehen. Eine Abwehrstrategie sollte sowohl die unmittelbare Kompromittierung als auch das Risiko nachgelagerter Phishing-Kampagnen adressieren.

Die Vorbereitung beginnt mit starken Identitätskontrollen. MFA sollte konsequent durchgesetzt werden, insbesondere für E-Mail, Fernzugriff und administrative Konten. Gemeinsam genutzte Zugangsdaten und Integrationen mit Dritten gehören auf den Prüfstand und sollten auf das notwendige Minimum beschränkt werden.

Nach jeder bekannten Datenpanne muss das Monitoring verschärft werden. Dazu gehört die Prüfung von Login-Anomalien, unerwarteten Postfachregeln, ungewöhnlichen Zahlungsanfragen und auffälligen Datenübertragungen. Zugriffe Dritter sollten sofort neu bewertet werden, sobald ein Partner einen Vorfall meldet.

Ebenso wichtig ist die Vorbereitung auf Phishing-Szenarien. Organisationen sollten die gängigen Angriffsmuster nach Datenpannen kennen, etwa gefälschte Sicherheitsbenachrichtigungen, Versuche der Rechnungsumleitung oder das Imitieren von Führungskräften. Klare interne Regeln sollten festlegen, wie Zahlungsanfragen verifiziert, Passwort-Resets abgewickelt und verdächtige Nachrichten gemeldet werden. Diese Abläufe müssen geübt und nicht nur dokumentiert werden.

Awareness-Programme für Mitarbeitende sollten realistische Phishing-Simulationen enthalten, die Szenarien nach Datenpannen abbilden. Die Belegschaft sollte verstehen, dass Angreifende Dringlichkeit, Angst oder Verweise auf reale Vorfälle ausnutzen. Trainings sollten eine Kultur der Verifizierung stärken: prüfen, bevor geklickt wird; prüfen, bevor Geld überwiesen wird; prüfen, bevor Zugangsdaten geteilt werden.

Fazit

Selbst starke Sicherheit garantiert keine Abschottung vom Risiko.

Über Partner, Lieferanten und gemeinsame Systeme kann Ihre Organisation in einen Vorfall hineingezogen werden, ohne selbst betroffen zu sein. Gestohlene Informationen werden genutzt, um Ihre Mitarbeitenden und Ihre Kundschaft mit überzeugenden, kontextreichen Phishing-Angriffen anzugreifen.

Die obigen Beispiele zeigen: Das ist nicht theoretisch, es passiert bereits – in großem Maßstab und branchenübergreifend.

Vorfälle bei Partnern zu beobachten, sich auf realistische Phishing-Szenarien vorzubereiten und eine Kultur der Verifizierung aufzubauen, sind keine optionalen Extras. Sie entscheiden darüber, ob ein gut gemachter Angriff auffällt oder Erfolg hat. Denn die Frage ist nicht mehr, ob Ihre Organisation mit Phishing auf Basis von Leak-Daten angegriffen wird, sondern ob Ihre Leute bereit sind, wenn es passiert.

Häufig gestellte Fragen

Wie führen Datenpannen zu Phishing-Angriffen?

‍Sobald Angreifende an Daten aus einer Datenpanne gelangen – etwa Zugangsdaten von Mitarbeitenden, Kundendaten oder interne Kommunikation –, nutzen sie diese Informationen, um hochgradig zielgerichtete Phishing-Mails zu bauen. Diese Nachrichten verweisen auf echte Namen, Jobtitel, Projekte oder Geschäftsbeziehungen und wirken dadurch weit überzeugender als generische Phishing-Versuche.

Kann mein Unternehmen von einer Datenpanne bei einem Partner oder Lieferanten betroffen sein?

‍Ja. Angreifende nutzen Informationen aus einer betroffenen Organisation häufig, um deren Partner und Lieferanten ins Visier zu nehmen. Nachrichten, die auf echte Verträge, Rechnungen oder gemeinsame Projekte verweisen, wirken authentisch, weil die zugrunde liegende Geschäftsbeziehung real ist. Das Risiko aus der Lieferkette gehört zu den am meisten unterschätzten Phishing-Gefahren.

Welche Datenarten werden nach einer Datenpanne am häufigsten für Phishing genutzt?

‍Am wertvollsten fürs Phishing sind geschäftliche E-Mail-Adressen, Zugangsdaten, Kontakt- und Finanzdaten von Kundinnen und Kunden, interne Dokumente sowie Kontaktdaten von Dienstleistern. Selbst scheinbar alltägliche Geschäftsdaten können für Angreifende zu strategischem Wissen werden.

Wie können sich Organisationen gegen Phishing-Kampagnen mit Daten aus Leaks schützen?

‍Zu den zentralen Maßnahmen zählen die konsequente Durchsetzung von MFA, das Monitoring auf Login-Anomalien und ungewöhnliche Anfragen nach bekannten Vorfällen, die Überprüfung von Zugriffen Dritter sowie realistische Phishing-Simulationen, die Angriffsszenarien nach Datenpannen abbilden. Entscheidend ist der Aufbau einer Kultur der Verifizierung, in der Mitarbeitende Anfragen bestätigen, bevor sie handeln.

Wie schnell nach einer Datenpanne beginnen Phishing-Angriffe typischerweise?

‍Phishing-Kampagnen können innerhalb weniger Stunden starten, nachdem eine Datenpanne öffentlich geworden ist. Angreifende nutzen Dringlichkeit und Angst aus, indem sie gefälschte Sicherheitsbenachrichtigungen oder Aufforderungen zur Kontoverifizierung verschicken, während die Betroffenen noch auf die Nachricht reagieren.