Das Hamburger Datenunternehmen Statista ist Opfer eines Cyberangriffs geworden: Unbekannte verschafften sich über eine Schwachstelle Zugriff auf ein internes Metabase-Analysewerkzeug, in dem sich nach ersten Erkenntnissen auch DSGVO-relevante personenbezogene Daten befanden. Das BSI hatte das Unternehmen am 10. August über Daten auf der Leak-Seite der Ransomware-Gruppe Direwolf informiert. Die öffentliche Plattform Statista.com ist nach Unternehmensangaben nicht betroffen.
Statista hat einen Cyberangriff auf ein internes Analysewerkzeug bestätigt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) informierte das Hamburger Datenunternehmen am späten Abend des 10. August 2026 darüber, dass Daten auf der Leak-Seite der Ransomware-Gruppe „Direwolf“ aufgetaucht seien [1]. Statista aktivierte daraufhin seine Incident-Response-Prozesse und zog externe Forensiker hinzu, die am Nachmittag des 11. August einen unbefugten Zugriff bestätigten [1] [2].
Interne Metabase-Instanz über Schwachstelle angegriffen
Betroffen ist nach Angaben des Unternehmens eine interne Instanz der Analyseplattform Metabase, in der Daten über die Nutzung von Statista-Diensten durch eine begrenzte Zahl von Geschäftskunden zusammengeführt werden [1] [2]. Das Tool sei über eine Schwachstelle in der Anwendung angegriffen worden, heißt es in der offiziellen Pressemitteilung [2].
Die forensische Untersuchung habe ergeben, dass sich in dem System personenbezogene Daten mit DSGVO-Relevanz befanden [1] [2]. Welcher Umfang an Daten konkret betroffen ist und ob Informationen tatsächlich abgeflossen sind, untersucht Statista nach eigenen Angaben weiter [1].
Der Angriff reiht sich in eine Serie von Vorfällen ein, die sich gegen die Business-Intelligence-Plattform Metabase richten. Laut heise online nutzen Angreifer derzeit eine kritische Sicherheitslücke in der Open-Source-Software aktiv aus, die mit dem höchstmöglichen CVSS-Score von 10 von 10 eingestuft ist [3]. Über die Schwachstelle können Angreifer SQL-Schadcode auf verwundbare Instanzen schieben, sich zum Administrator machen und die volle Kontrolle übernehmen [3]. Ob genau diese Lücke bei Statista als Einfallstor diente, geht aus der Unternehmensmitteilung nicht hervor.
Reaktion: Anwendung abgeschaltet, Kunden informiert
Nach Bestätigung des unbefugten Zugriffs habe Statista die betroffene Anwendung unmittelbar abgeschaltet und die betroffenen Kunden direkt informiert [1] [2]. Der Vorfall sei den zuständigen Behörden gemeldet worden. Die datenschutzrechtliche Bewertung erfolgt laut Unternehmen durch den Head of Data Protection und den CISO in Abstimmung mit der zuständigen Aufsichtsbehörde [1] [2].
„Das Vertrauen, das unsere Kunden und Partner in uns setzen, ist die Grundlage von allem, was wir tun. Wir haben uns bewusst für eine proaktive und unmittelbare Kommunikation entschieden, weil Transparenz für uns keine Option, sondern eine Verpflichtung gegenüber den Organisationen, Regierungen und Institutionen ist, die auf uns vertrauen“, sagte Frederik Gronwald, Chief Customer Officer bei Statista [2].
Statista kündigte an, neue Erkenntnisse an Behörden und Betroffene weiterzugeben, sobald der Umfang des Vorfalls genauer feststeht [1].
Öffentliche Plattform nicht betroffen
Die öffentlich zugängliche Plattform Statista.com und weitere kundennahe Systeme seien weiterhin uneingeschränkt verfügbar und nach aktuellem Kenntnisstand nicht von dem Sicherheitsvorfall betroffen, teilte das Unternehmen mit [1] [2]. Ob die auf der Leak-Seite genannte Gruppe Direwolf tatsächlich hinter dem Angriff steht, geht aus der Mitteilung nicht hervor – Statista beschreibt bislang lediglich einen unbefugten Zugriff auf das interne Analysewerkzeug und eine laufende forensische Untersuchung [1].
Einordnung: Reputationsrisiko für ein datengetriebenes Geschäftsmodell
Der Vorfall trifft ein Unternehmen, dessen Geschäftsmodell auf dem Vertrauen in die Verarbeitung und Bereitstellung von Daten beruht. Statista beschreibt sich selbst als eines der weltweit führenden Data-as-a-Service-Unternehmen mit mehr als 1,5 Millionen Statistiken zu über 80.000 Themen und beschäftigt nach eigenen Angaben fast 1.200 Mitarbeitende an sieben Standorten [2]. Für ein solches Haus ist ein Sicherheitsvorfall mit möglichem Abfluss personenbezogener Daten nicht nur ein operatives, sondern auch ein erhebliches Reputationsrisiko.
Offen bleibt, ob und in welchem Umfang personenbezogene Daten tatsächlich abgeflossen sind und welche Konsequenzen die zuständige Datenschutzaufsicht ziehen wird. Sollte sich der Verdacht bestätigen, dass DSGVO-relevante Daten Dritter betroffen sind, könnte der Fall auch meldepflichtige Konsequenzen für die betroffenen Geschäftskunden haben. Marktbeobachter dürften zudem genau darauf achten, ob die Angreifer die erbeuteten Daten tatsächlich veröffentlichen – ein Schritt, der bei Ransomware-Gruppen nach gescheiterten Lösegeldverhandlungen häufig folgt.