Adidas bestätigt Datenleck über externen Dienstleister
Am 23. Mai 2025 bestätigte der Sportartikelhersteller Adidas einen Datenschutzvorfall: Über einen kompromittierten externen Kundenservice-Dienstleister hatten Unbefugte Zugriff auf personenbezogene Kundendaten erlangt. Betroffen sind Kontaktinformationen von Kunden, die sich zuvor an den Adidas-Helpdesk gewandt hatten. Zahlungsdaten und Passwörter sollen laut Unternehmensangaben nicht betroffen sein.
Der Fall zeigt ein Muster, das sich 2025 häuft: Nicht das Unternehmen selbst wird gehackt, sondern ein Dienstleister in der Lieferkette. Für Angreifer sind externe Service-Provider ein attraktives Ziel – sie verarbeiten Daten vieler Kunden, haben aber oft nicht das gleiche Sicherheitsniveau wie der Auftraggeber.
Third-Party-Risiko: Das unterschätzte Einfallstor
Die Zahlen sprechen eine klare Sprache: Laut aktuellen Studien gehen über 60 Prozent aller Datenschutzverletzungen auf Schwachstellen bei Drittanbietern zurück. Ob Kundenservice, IT-Dienstleister, Cloud-Anbieter oder Lohnbuchhaltung – überall dort, wo externe Partner Zugriff auf Unternehmensdaten haben, entsteht ein potenzielles Risiko.
Gerade im Mittelstand wird dieses Risiko oft unterschätzt. Viele KMU verlassen sich darauf, dass ihre Dienstleister schon aufpassen werden. Vertragliche Vereinbarungen zur IT-Sicherheit fehlen oder beschränken sich auf allgemeine DSGVO-Klauseln. Regelmäßige Sicherheitsüberprüfungen der Partner? Fehlanzeige.
Die NIS-2-Richtlinie, die seit Oktober 2024 in der EU gilt, verschärft die Anforderungen an die Lieferkettensicherheit erheblich. Unternehmen müssen nachweisen, dass sie die Sicherheit ihrer Dienstleister aktiv überwachen – wer das ignoriert, riskiert Bussgelder und Haftung.
Konkrete Massnahmen: So sichern Sie Ihre Lieferkette ab
Ein wirksames Third-Party-Risikomanagement muss kein Mammutprojekt sein. Diese Schritte sollte jedes Unternehmen umsetzen:
1. Dienstleister-Inventar erstellen: Welche externen Partner haben Zugriff auf welche Daten? Viele Unternehmen haben keinen vollständigen Überblick. Eine strukturierte Bestandsaufnahme ist der erste Schritt.
2. Auftragsverarbeitungsverträge prüfen: Die DSGVO verlangt klare Regelungen zur Datenverarbeitung durch Dritte. Aber gehen Ihre Verträge über das Minimum hinaus? Definieren Sie konkrete Sicherheitsanforderungen, Meldepflichten bei Vorfällen und Audit-Rechte.
3. Regelmässige Sicherheitsbewertungen: Fordern Sie von kritischen Dienstleistern Nachweise zur IT-Sicherheit – etwa ISO-27001-Zertifizierungen, Penetrationstests oder SOC-2-Berichte. Mindestens einmal jährlich sollten Sie den Sicherheitsstatus überprüfen.
4. Zugriffsrechte minimieren: Jeder Dienstleister sollte nur die Daten sehen, die er für seine Aufgabe zwingend benötigt. Das Prinzip der minimalen Rechte (Least Privilege) gilt nicht nur intern.
5. Notfallplan für Dienstleister-Vorfälle: Was passiert, wenn ein Partner gehackt wird? Definieren Sie vorab Eskalationswege, Kommunikationsabläufe und technische Sofortmassnahmen. Der Adidas-Fall zeigt: Schnelle Reaktion begrenzt den Schaden.
Credential Leaks: Die unsichtbare Gefahr nach dem Datenleck
Was viele übersehen: Nach einem Datenleck bei einem Dienstleister tauchen die gestohlenen Daten häufig im Darknet auf. E-Mail-Adressen, Namen, teilweise auch interne Zugangsdaten werden dort gehandelt und für gezielte Phishing-Angriffe oder Credential-Stuffing-Attacken missbraucht.
Gerade für Unternehmen im Mittelstand ist ein regelmässiger Credential Leak Check daher unverzichtbar. Nur wer weiss, welche Firmendaten bereits im Umlauf sind, kann rechtzeitig reagieren – bevor aus einem Datenleck beim Partner ein vollständiger Sicherheitsvorfall im eigenen Unternehmen wird.
Fazit: Sicherheit endet nicht an der Firmengrenze
Das Adidas-Datenleck ist kein Einzelfall – es ist symptomatisch für eine Bedrohungslage, in der die Angriffsflaeche weit über das eigene Netzwerk hinausreicht. Jeder Dienstleister mit Datenzugriff ist ein potenzielles Einfallstor.
Wer Third-Party-Risiken systematisch managt, schützt nicht nur Kundendaten, sondern auch die eigene Reputation und Geschäftskontinuität. Die IT-Security-Experten von AntiLeaks unterstützen Sie dabei – von der Risikoanalyse Ihrer Dienstleisterlandschaft bis zum vollständigen Credential Monitoring.
Prüfen Sie jetzt, ob Ihre Unternehmensdaten bereits betroffen sind: Kostenloser Credential Leak Check