Der schwedische Modekonzern Hennes & Mauritz (H&M) untersucht Hinweise auf einen möglichen Cyberangriff, die mit der Hackergruppe ShinyHunters in Verbindung gebracht werden. Das Unternehmen erklärte, bislang gebe es keine Anzeichen für ein Eindringen in die eigene Datenumgebung. Die Aktie gab am Montag im Stockholmer Handel nach.
Was H&M bislang bestätigt – und was nicht
Der schwedische Modekonzern H&M Group untersucht Hinweise auf einen möglichen Cyberangriff. Auslöser sind Berichte, wonach die Hackergruppe ShinyHunters Zugriff auf Daten des Unternehmens erlangt haben soll [1] [3]. Eine Unternehmenssprecherin erklärte gegenüber der britischen Zeitung The Times: "Wir sind uns der Behauptungen bewusst, die online kursieren und einen möglichen Cybersicherheitsvorfall mit einem begrenzten Umfang von H&M-Group-Daten betreffen" [1] [3].
Klar ist damit bislang vor allem eines: Es handelt sich um eine Prüfung, nicht um einen bestätigten Vorfall. Das Unternehmen dementiert die Berichte nicht, bestätigt sie aber auch nicht. Die Formulierung "begrenzter Umfang" deutet darauf hin, dass H&M selbst von einem überschaubaren Datenvolumen ausgeht – sollte sich die Behauptung überhaupt als zutreffend erweisen.
Worauf die Berichte beruhen
Grundlage der Berichterstattung sind nach Angaben der beteiligten Medien Behauptungen, die im Umfeld der Gruppe ShinyHunters kursieren. Die Hackergruppe ist kein unbekannter Akteur: Sie wird mit einer Reihe prominenter Vorfälle in Verbindung gebracht. Dazu zählen ein Angriff auf Ticketmaster im Jahr 2024, bei dem die Gruppe Berichten zufolge ein Lösegeld von rund 400.000 Pfund forderte, um den Verkauf der Daten zu stoppen, sowie ein Vorfall bei Jaguar Land Rover im vergangenen Sommer [1]. Erst kürzlich machte ShinyHunters Schlagzeilen, weil sie sensible Mitarbeiterdaten des FBI kompromittiert haben soll [3].
Sicherheitsfachleute beschreiben ShinyHunters als finanziell motivierte Gruppe, die häufig mit Phishing-Kampagnen und ausgenutzten Fehlkonfigurationen in Cloud-Umgebungen arbeitet [3]. Dieses Muster ist für den Einzelhandel besonders relevant, weil viele Unternehmen Kundendaten nicht selbst, sondern bei spezialisierten Dienstleistern hosten.
Kein Nachweis eines Eindringens
Die zentrale Aussage des Unternehmens ist bislang eine Entwarnung mit Vorbehalt. Die Sprecherin sagte, man untersuche die Behauptungen derzeit, "um ihre Gültigkeit zu bewerten, und bislang haben wir keine Anzeichen dafür, dass unsere Datenumgebung kompromittiert wurde" [1] [3]. Ein nachgewiesenes Eindringen in die Systeme von H&M gibt es damit zum aktuellen Stand nicht.
Auch die zuständigen Behörden waren zunächst nicht eingeschaltet. Die britische Datenschutzaufsicht Information Commissioner's Office (ICO) hatte nach Angaben der Times bis Montagmittag keine Meldung zu dem Vorfall erhalten [1]. Unternehmen sind verpflichtet, Datenschutzverstöße binnen 72 Stunden zu melden, sofern sie Risiken für die Rechte und Freiheiten Betroffener bergen. Ob das National Cyber Security Centre (NCSC) kontaktiert wurde, ist nicht bekannt; eine direkte Meldepflicht an die Behörde besteht für Unternehmen nicht [1].
Der Kontext: eine Angriffsserie auf den Einzelhandel
Der Fall H&M fällt in eine Phase erhöhter Aktivität gegen Mode- und Handelsunternehmen. Erst in der vergangenen Woche hatte der britische Onlinehändler ASOS eingeräumt, dass ein "unbefugter Dritter" Zugriff auf personenbezogene Daten erlangt hatte, darunter Namen und Kontaktdaten [1] [2]. Die Angreifer verschafften sich nach Unternehmensangaben über Social Engineering die Zugangsdaten eines Mitarbeiters und nutzten diese, um auf Informationen auf Drittanbieter-Plattformen zuzugreifen [2]. Zahlungsdaten und Kontopasswörter seien nicht betroffen gewesen, Website und App blieben in Betrieb [2].
Eine Gruppe, die sich "Xuanye" nennt, hatte zuvor über eine Push-Nachricht in der ASOS-App behauptet, die Snowflake-Cloud-Umgebung des Unternehmens sei kompromittiert worden. Diese weitergehenden Behauptungen ließen sich unabhängig nicht belegen; Snowflake erklärte später, die Ursache sei keine Schwachstelle der eigenen Plattform gewesen [1] [2].
Der Einzelhandel hat in jüngerer Vergangenheit erhebliche Schäden erlitten. Der britische Händler Marks & Spencer erhielt nach einem Cyberangriff im Jahr 2025 Berichten zufolge eine Versicherungszahlung von rund 100 Millionen Pfund, während der Umsatzverlust 324 Millionen Pfund betrug [2]. Diese Größenordnung erklärt, warum die Branche inzwischen sensibler auf Angriffsbehauptungen reagiert – und warum Versicherer die Entwicklung genau verfolgen.
Welche Folgen für Kunden und Geschäft drohen
Für Kundinnen und Kunden hängt das Risiko entscheidend davon ab, ob tatsächlich personenbezogene Daten abgeflossen sind. Sollte sich der Verdacht bestätigen, drohen Betroffenen in der Regel zunächst unangenehme, aber beherrschbare Konsequenzen: Spam, gezielte Phishing-Versuche oder Identitätsmissbrauch. Bei einem reinen Datenabfluss ohne Betriebsunterbrechung fallen für das Unternehmen vor allem Kosten für Forensik, Benachrichtigungen, Rechtsverteidigung und regulatorische Auflagen an [2].
Deutlich gravierender wäre ein Eindringen, das den Geschäftsbetrieb stört. Dann kämen Betriebsunterbrechungsverluste hinzu – ein Szenario, das ASOS in seiner Mitteilung an die Londoner Börse ausdrücklich adressierte, indem es auf seine Cyberversicherung mit Business-Continuity-Schutz verwies [2]. Für H&M, das nach eigenen Angaben rund 4.000 Filialen in mehr als 80 Märkten betreibt und zu dem Marken wie COS, Weekday, & Other Stories, Arket und Monki gehören, wäre ein flächendeckender Ausfall von Kassensystemen oder Onlinehandel ein erheblicher Einschnitt [1].
Die Börse reagierte verhalten. Die H&M-Aktie verlor am Montag im Stockholmer Handel rund 1,4 bis 1,5 Prozent [1] [2]. Das ist ein überschaubarer Kursrückgang, der eher eine vorsichtige Risikoeinschätzung als Panik widerspiegelt. Operativ läuft das Geschäft zuletzt wieder besser: Für den Zeitraum Juni bis September meldete das Unternehmen einen Nettoumsatz von 57,2 Milliarden schwedischen Kronen (rund 4,4 Milliarden Pfund), ein Prozent mehr als im Vorjahr – nach einem Rückgang von drei Prozent im ersten Halbjahr [1].
Einordnung und offene Fragen
Der Fall illustriert ein Muster, das Sicherheitsexperten seit geraumer Zeit beschreiben: Angreifer dringen nicht zwingend in die Kernsysteme ein, sondern nutzen vergleichsweise schmale Einstiegspunkte – gestohlene Zugangsdaten, Drittanbieter, Cloud-Fehlkonfigurationen. Das erzeugt Datenschutz-, Erpressungs- und Reputationsrisiken, ohne dass der Betrieb zwangsläufig stillsteht [2]. Genau diese Unterscheidung zwischen gestohlenen Daten und operativer Störung dürfte auch darüber entscheiden, wie Versicherer auf künftige Fälle reagieren.
Für H&M bleibt vorerst offen, ob die Behauptungen Substanz haben, welchen Umfang die betroffenen Daten tatsächlich hätten und ob die Aufsichtsbehörden förmlich eingeschaltet werden. Solange das Unternehmen keine Kompromittierung bestätigt und keine Meldung an das ICO erfolgt, gilt der Vorfall als unbestätigt. Die nächsten Tage dürften zeigen, ob aus der Prüfung ein gemeldeter Datenschutzverstoß wird – oder ob sich die Behauptungen als haltlos erweisen.