Cybervorfall bei ASOS: Kundendaten könnten betroffen sein

Der Online-Modehändler ASOS untersucht einen Cyberangriff, bei dem Unbefugte die Kundenkommunikation des Unternehmens missbraucht haben. Namen und Kontaktdaten von Kunden könnten eingesehen worden sein; für einen Zugriff auf Zahlungskartendaten oder Passwörter gibt es bislang keine Hinweise. Offen bleibt vor allem, wie tief die Angreifer tatsächlich in die von ASOS genutzten Systeme eindringen konnten.

London, 7. Oktober 2026. Eine unerwartete Push-Nachricht an Kunden hat einen Cyberangriff auf den britischen Online-Händler ASOS öffentlich gemacht. Das Unternehmen bestätigte anschließend unautorisierte Aktivitäten auf Plattformen von Drittanbietern, die für die Kommunikation mit Kunden eingesetzt werden.

Nach Angaben von ASOS wurde am Dienstag gegen 10 Uhr britischer Zeit eine nicht autorisierte Benachrichtigung verschickt. Das Unternehmen reagierte nach eigenen Angaben unmittelbar und beschränkte den Zugang zu den betroffenen Kommunikationsplattformen. Website und App blieben in Betrieb, eine Unterbrechung des Online-Handels wurde nicht gemeldet.

Brisanter als die Push-Nachricht selbst ist allerdings die Frage, worauf die Unbefugten darüber hinaus Zugriff hatten. ASOS hält es nach dem bisherigen Stand der Untersuchung für möglich, dass grundlegende personenbezogene Kundendaten eingesehen wurden. Dazu zählen Namen und Kontaktdaten.

Cyberangriff auf ASOS: Was über betroffene Kundendaten bekannt ist

Für die Kunden des Modehändlers ist entscheidend, welche Informationen möglicherweise offengelegt wurden. ASOS geht derzeit nicht davon aus, dass Zahlungskartendaten oder Passwörter von Kundenkonten betroffen sind. Das ist allerdings eine vorläufige Einschätzung: Die Untersuchung des Cyberangriffs läuft weiter.

Wie viele Menschen möglicherweise betroffen sind, teilte ASOS zunächst nicht mit. Auch zum genauen Umfang der zugänglichen Daten gibt es keine abschließenden Angaben. Das Unternehmen spricht lediglich davon, dass Namen und Kontaktdaten eingesehen worden sein könnten.

Das britische National Cyber Security Centre (NCSC) hat den Cybervorfall ebenfalls aufgegriffen. Die staatliche Cybersicherheitsbehörde verweist auf die bisherige Einschätzung von ASOS zu den möglicherweise betroffenen Informationen und rät Kunden zugleich zu besonderer Vorsicht bei verdächtigen Nachrichten.

Warum auch Namen und Kontaktdaten relevant sind

Dass nach aktuellem Stand weder Passwörter noch Kartendaten betroffen sein sollen, begrenzt das unmittelbare Risiko. Bedeutungslos wäre ein Zugriff auf Namen und Kontaktdaten dennoch nicht. Solche Informationen können für Phishing-Versuche eingesetzt werden, bei denen Kriminelle versuchen, weitere persönliche Angaben oder Zugangsdaten zu erlangen.

Das NCSC warnt deshalb insbesondere vor unerwarteten Nachrichten. Nach einem öffentlich bekannten Cyberangriff können betrügerische E-Mails oder Mitteilungen glaubwürdiger wirken, wenn darin etwa ein tatsächlich bestehendes Kundenverhältnis aufgegriffen wird. Dass solche Folgeangriffe im Zusammenhang mit ASOS bereits stattfinden, ist bislang allerdings nicht belegt.

Für Kunden gilt deshalb vorerst vor allem: ungewöhnliche Nachrichten genau prüfen und nicht allein deshalb für authentisch halten, weil darin ASOS oder ein bestehendes Kundenkonto genannt wird.

Angreifer behaupten Zugriff auf Snowflake-Umgebung

Der Cyberangriff auf ASOS bekam vor allem durch den Inhalt der unautorisierten Push-Nachricht eine ungewöhnliche Öffentlichkeit. Die Absender behaupteten darin, eine von ASOS genutzte Snowflake-Instanz vollständig kompromittiert zu haben. Zudem drohten sie mit der Veröffentlichung von Daten. Die Nachricht verwies auf einen Telegram-Kanal einer Gruppe, die unter dem Namen „Xuanye Group“ auftrat.

Wie weit dieser behauptete Zugriff tatsächlich reichte, ist nicht geklärt. Nach Recherchen des auf Cybersicherheit spezialisierten Mediums Recorded Future News hatte die Gruppe zunächst keine überprüfbaren Datenproben vorgelegt, die eine umfassende Kompromittierung der genannten Umgebung belegen würden.

Damit muss zwischen zwei Ebenen unterschieden werden: ASOS hat den Cybervorfall und die unautorisierten Aktivitäten bestätigt. Die weitergehenden Angaben der mutmaßlichen Angreifer über den Umfang ihres Zugriffs sind dagegen bislang nicht unabhängig bestätigt.

Snowflake selbst sieht keine kompromittierte Plattform

Auch die Rolle des Cloud-Anbieters Snowflake verlangt eine genaue Einordnung. Dass die mutmaßlichen Angreifer eine Snowflake-Instanz nennen, bedeutet nicht, dass die Plattform selbst gehackt wurde.

Laut Reuters erklärte Snowflake, bislang keine Hinweise auf eine Kompromittierung seiner Plattform gefunden zu haben. Ein möglicher Zugriff auf eine Umgebung oder auf Zugangsdaten eines einzelnen Kunden wäre technisch und sicherheitsrechtlich etwas anderes als eine Schwachstelle oder ein erfolgreicher Angriff auf die Snowflake-Infrastruktur selbst.

Wie die Täter in die von ASOS genutzten Systeme gelangten, ist bislang nicht öffentlich bekannt. ASOS spricht von unautorisierten Aktivitäten auf Drittanbieter-Plattformen für die Kundenkommunikation. Welcher Dienst konkret betroffen war und ob beispielsweise kompromittierte Zugangsdaten oder ein anderer Angriffsweg eine Rolle spielten, hat das Unternehmen nicht mitgeteilt.

Das Ausmaß des ASOS-Cyberangriffs bleibt offen

Gerade an diesem Punkt endet derzeit der gesicherte Kenntnisstand. Fest steht, dass Unbefugte die Kundenkommunikation von ASOS für eine eigene Push-Nachricht nutzen konnten. Fest steht auch, dass das Unternehmen einen möglichen Zugriff auf personenbezogene Informationen untersucht. Nicht bekannt ist dagegen, wie viele Datensätze betroffen sein könnten.

Ebenso offen bleibt, ob Daten lediglich eingesehen oder tatsächlich kopiert wurden. Eine Zahl potenziell betroffener Kunden veröffentlichte ASOS bislang nicht. Das ist ein wesentlicher Unterschied, denn der Online-Händler selbst verfügt über eine erheblich größere Kundenbasis: Nach Unternehmensangaben zählt ASOS rund 16,5 Millionen aktive Kunden in mehr als 100 Märkten. Diese Zahl lässt jedoch keinerlei Rückschluss darauf zu, wie viele davon vom aktuellen Cyberangriff betroffen sein könnten.

ASOS arbeitet nach eigenen Angaben mit internen und externen Spezialisten sowie den zuständigen Behörden zusammen. Das Unternehmen verfügt außerdem über eine Cyberversicherung, die auch Risiken im Zusammenhang mit der Geschäftskontinuität umfasst. Welche finanziellen Folgen der Cybervorfall haben könnte, ließ sich zunächst nicht beziffern.

ASOS-Aktie reagiert deutlich auf den Cybervorfall

An der Börse löste die Nachricht dennoch eine schnelle Reaktion aus. Reuters berichtete von einem Kursrückgang der ASOS-Aktie von rund zehn Prozent. Im Tagesverlauf wurden teilweise noch stärkere Schwankungen gemeldet.

Die Kursbewegung sagt allerdings wenig über das tatsächliche Schadensausmaß aus. Dafür fehlen bislang zentrale Informationen: der technische Angriffsweg, die Zahl möglicherweise betroffener Kunden, der Umfang zugänglicher Daten und belastbare Erkenntnisse darüber, ob Informationen aus den Systemen abgeflossen sind.

Auch die Identität der „Xuanye Group“ ist nicht verifiziert. Dass sich eine Gruppe zu einem Cyberangriff bekennt, belegt weder ihre Urheberschaft noch den von ihr behaupteten Zugriff. Entscheidend bleibt deshalb die technische Untersuchung durch ASOS und die beteiligten Sicherheitsexperten.

Was jetzt über den Cyberangriff geklärt werden muss

Der Cyberangriff auf ASOS ist damit in seinem Kern bestätigt, in seinem Ausmaß aber noch nicht abschließend bewertet. Unbefugte konnten die Kundenkommunikation des Online-Händlers missbrauchen. Namen und Kontaktdaten könnten eingesehen worden sein. Für kompromittierte Zahlungskartendaten oder Account-Passwörter gibt es nach dem bisherigen Ermittlungsstand hingegen keine Hinweise.

Die spektakulärere Behauptung der mutmaßlichen Angreifer – eine vollständige Kompromittierung einer Snowflake-Umgebung – bleibt unbelegt. Snowflake selbst sieht keine Hinweise darauf, dass seine Plattform kompromittiert wurde.

Damit richtet sich der Blick nun auf die forensische Untersuchung. Sie muss klären, welche Systeme tatsächlich erreicht wurden, welche Kundendaten zugänglich waren und ob Informationen kopiert oder weitergegeben wurden. Erst dann lässt sich beurteilen, wie schwer der Cybervorfall für ASOS und seine Kunden tatsächlich wiegt. Bis dahin bleibt der praktische Hinweis des britischen NCSC relevant: Kunden sollten unerwartete Nachrichten besonders kritisch prüfen und bei Aufforderungen zur Preisgabe persönlicher Daten vorsichtig sein.