Der Spielzeug- und Spielekonzern Hasbro hat einen Datenvorfall gemeldet, bei dem persönliche Daten von aktuellen und ehemaligen Mitarbeitern kompromittiert worden sein könnten. Betroffen sind unter anderem Namen, E-Mail-Adressen, Telefonnummern und Finanzdaten. Der Vorfall dürfte mit dem Cyberangriff vom Ende März zusammenhängen, der Hasbro nach eigenen Angaben rund elf Millionen Dollar an direkten Kosten und weitere 25 Millionen Dollar an verzögerten Verkäufen bescherte.
Der US-Spielzeugkonzern Hasbro informiert seine Beschäftigten darüber, dass persönliche Daten bei einem Sicherheitsvorfall abgegriffen worden sein könnten. Das Unternehmen, das hinter Marken wie Monopoly, Play-Doh und den Transformers steht, hat die Betroffenen per Schreiben benachrichtigt und die Meldung bei der Generalstaatsanwaltschaft des Bundesstaats Massachusetts eingereicht [1].
Welche Daten betroffen sind
Die Benachrichtigungen enthalten nach Angaben von SecurityWeek nur wenige Details, weisen aber darauf hin, dass die offengelegten Informationen je nach betroffener Person variieren. Genannt werden Namen, E-Mail-Adressen, Postadressen, Telefonnummern, nationale ID-Nummern sowie Finanzdaten [1]. Nach Berichten von BleepingComputer sind darüber hinaus auch Sozialversicherungsnummern, Kontodaten, Zahlungskartendaten und Führerscheininformationen betroffen [2].
Wie viele Menschen insgesamt betroffen sind, ist bislang unklar. Die Meldung an die Behörden in Massachusetts nennt 436 betroffene Einwohner des Bundesstaats. Hasbro beschäftigt weltweit rund 4.600 Mitarbeiter, der Großteil davon in den USA [1]. Branchenbeobachter gehen davon aus, dass die Gesamtzahl der Betroffenen im Bereich von einigen Hundert bis wenigen Tausend liegt.
Zusammenhang mit dem Cyberangriff vom März
Der Datenvorfall dürfte mit dem Cyberangriff zusammenhängen, der Hasbro Ende März getroffen hatte. Damals nahm das Unternehmen als Reaktion auf den Angriff mehrere Systeme vom Netz, was zu erheblichen Betriebsstörungen führte [1]. Auf die direkte Frage, ob die neue Datenmeldung mit dem März-Angriff in Verbindung steht, antwortete Hasbro nicht.
Ein Sprecher erklärte lediglich, das Unternehmen habe Anfang des Jahres einen Sicherheitsvorfall im eigenen Netzwerk festgestellt und „sofort Maßnahmen ergriffen", um den Vorfall zu bewältigen. Dazu gehörte die Einleitung einer Untersuchung mit externen Cybersicherheitsexperten, um festzustellen, was geschehen und auf welche Informationen möglicherweise zugegriffen worden war [1].
Die Untersuchung ergab demnach, dass persönliche Daten einiger aktueller und ehemaliger Mitarbeiter während des Vorfalls möglicherweise abgerufen wurden. Hasbro betont, dass dem Unternehmen kein Missbrauch der Daten bekannt sei und es keine Hinweise darauf gebe, dass die Informationen künftig missbraucht würden [1].
Hohe Kosten durch den Angriff
Der Cyberangriff hat Hasbro nach eigenen Angaben teuer zu stehen kommen. Rund elf Millionen Dollar an direkten Kosten für die Beseitigung der Schäden fielen an. Zusätzlich verzögerten sich durch die Systemabschaltungen Produktverkäufe im Wert von rund 25 Millionen Dollar [1].
Die finanziellen Folgen solcher Vorfälle sind für Unternehmen erheblich. Neben den unmittelbaren Kosten für Forensik, Wiederherstellung und Rechtsberatung kommen häufig Umsatzausfälle durch unterbrochene Betriebsabläufe sowie langfristige Reputationsschäden hinzu. Im Fall von Hasbro dürfte zudem die juristische Aufarbeitung noch nicht abgeschlossen sein: Nach einem Bericht des US-Senders WPRI hat eine ehemalige Mitarbeiterin eine Sammelklage gegen das Unternehmen eingereicht, in der sie dem Konzern Fahrlässigkeit im Umgang mit den Daten vorwirft [3].
Schutzmaßnahmen für Betroffene
Hasbro bietet den betroffenen Mitarbeitern vorsorglich Identitätsschutzdienste über einen externen Anbieter an [1]. Solche Angebote sind bei Datenpannen inzwischen Standard und umfassen in der Regel Kreditüberwachung, Betrugswarnungen und Unterstützung bei der Wiederherstellung von Identitäten.
Bemerkenswert ist, dass bislang keine bekannte Cyberkriminalitätsgruppe Hasbro auf einer Leak-Website gelistet hat [1]. Das deutet darauf hin, dass die Angreifer die gestohlenen Daten bislang nicht öffentlich zur Schau gestellt haben – etwa um Lösegeldforderungen durchzusetzen. Ob eine Erpressung im Hintergrund läuft, ist nicht bekannt.
Einordnung
Der Fall Hasbro zeigt, wie weitreichend die Folgen eines einzelnen Cyberangriffs für ein Unternehmen sein können. Was im März zunächst als Betriebsstörung sichtbar wurde, entpuppt sich Monate später als Datenvorfall mit potenziell sensiblen Mitarbeiterdaten. Dass die Offenlegung erst jetzt erfolgt, ist typisch für solche Vorgänge: Die forensische Aufarbeitung, welche Daten tatsächlich abgegriffen wurden, dauert oft Monate.
Für die betroffenen Mitarbeiter bleibt die Unsicherheit, ob ihre Daten – darunter möglicherweise Sozialversicherungs- und Finanzdaten – in falsche Hände geraten sind. Hasbro versichert, keine Anzeichen für einen Missbrauch zu haben. Ob das so bleibt, wird sich erst in den kommenden Monaten zeigen.