Der Chiphersteller TSMC sieht keine Hinweise auf einen Einbruch in die eigenen Systeme. Personaldaten aktueller und ehemaliger Mitarbeiter waren trotzdem unbefugt auf einer externen Website abrufbar. Sie stimmen laut TSMC mit Daten überein, die bei einem Cloud-Dienstleister liegen. Der beste Schutz im eigenen Haus hilft wenig, wenn die Personalakte woanders liegt.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
TSMC hat am 12. November in einer bei der US-Börsenaufsicht SEC hinterlegten Mitteilung bestätigt, dass Daten einiger aktueller und ehemaliger Mitarbeiter ohne Erlaubnis auf einer externen Website abrufbar waren.[1] Mit dem Geschäftsbetrieb oder mit Kundendaten haben sie laut Unternehmen nichts zu tun. Den Dienstleister, die Zahl der Betroffenen und die Art der Daten nennt TSMC nicht.
Das Wichtigste in Kürze
- TSMC bestätigt, dass Mitarbeiterdaten unbefugt auf einer externen Website abrufbar waren.
- Die Daten decken sich laut TSMC mit Daten bei einem Cloud-Dienstleister, einen Einbruch ins eigene Netz sieht das Unternehmen nicht.
- Medienberichten zufolge behaupten die Täter, 46.000 Datensätze erbeutet zu haben. TSMC hat die Zahl nicht bestätigt.
- Auch Ihre Personaldaten liegen vermutlich bei Dritten, deshalb gehört jeder Dienstleister in die Risikobewertung.
Was steht in der Mitteilung?
Betroffene Mitarbeiter sollen informiert und unterstützt werden. Gemeinsam mit dem Cloud-Dienstleister, den Ermittlungsbehörden und einer externen IT-Sicherheitsfirma klärt TSMC den Fall auf.[1]
Medienberichten zufolge behaupten die Täter, rund 46.000 Datensätze mit 6,9 Gigabyte erbeutet zu haben. Sie fordern drei Bitcoin und haben 499 Datensätze mit Adressen, Kontonummern und Notfallkontakten als Beispiel veröffentlicht. TSMC hat weder die Zahl noch die Datenarten bestätigt.
Warum schützt das eigene Netz hier nicht?
Bei ausgelagerten Systemen liegen die Daten beim Dienstleister, der Zugang läuft über Kundenkonten. Wie ein solcher Fall aussehen kann, zeigte 2024 die Kampagne gegen Snowflake-Kunden: Mandiant und Snowflake benachrichtigten rund 165 möglicherweise betroffene Kunden. Die Täter nutzten gestohlene Zugangsdaten von Konten ohne Zwei-Faktor-Authentifizierung, Snowflake selbst wurde laut Mandiant nicht gehackt.[2] Ob bei TSMC etwas Ähnliches geschah, ist offen.
Auch 2023 lag die Ursache bei einem Dritten: Branchenmedien berichteten, dass die Ransomware-Gruppe LockBit nach einem Einbruch beim Lieferanten Kinmax 70 Millionen Dollar (rund 61 Millionen Euro) forderte. Dr. Web hat zuletzt den Angriff auf Expedia über einen Dienstleister und den Einbruch bei GitBook beschrieben. Das Muster ist gleich: Ein Dienstleister bedient viele Kunden, ein Einbruch dort trifft alle auf einmal.
Die Personalakte bleibt Ihre Verantwortung, auch wenn sie auf dem Server eines anderen liegt.
Michael Dobler, Herausgeber Dr. Web
Was sollten Unternehmen jetzt prüfen?
Nach der DSGVO bleibt der Auftraggeber verantwortlich und darf nur Dienstleister wählen, die hinreichende Garantien bieten (Artikel 28). Eine Datenschutzverletzung meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden nach Kenntnis der Aufsichtsbehörde (Artikel 33).[3] Unternehmen, die unter die NIS2-Richtlinie fallen, müssen zudem die Sicherheit ihrer Lieferkette einschließlich der Dienstleister berücksichtigen (Artikel 21).[4]
Listen Sie deshalb auf, welche Dienstleister Personaldaten halten: Lohnabrechnung, Bewerbermanagement, Personalsoftware. Prüfen Sie dort die Zwei-Faktor-Authentifizierung und vereinbaren Sie eine feste Frist, in der der Dienstleister Vorfälle meldet. Wie Sie Zugangsdaten im Team sicher verwalten, steht in einem eigenen Beitrag. Tauchen Kontonummern im Netz auf, warnen Sie die Beschäftigten vor Betrugsanrufen.
Quellen
4 Quellen anzeigenQuellen ausblenden
- TSMCMitteilung zu unbefugt veröffentlichten Mitarbeiterdaten (12. November 2026, bei der SEC hinterlegt)
- Google Cloud (Mandiant)UNC5537 Targets Snowflake Customer Instances for Data Theft and Extortion
- Europäische UnionVerordnung (EU) 2016/679 (Datenschutz-Grundverordnung)
- Europäische UnionRichtlinie (EU) 2022/2555 (NIS2)
Mehr Newshunger?
- Expedia bestätigt Cyberangriff über einen Dienstleister
- Drohnenhersteller Quantum Systems meldet einen Cyberangriff
- Einbruch bei GitBook: Angreifer könnten API-Token und Zugangsdaten erbeutet haben
- Erpresser drohen mit Bosch-Daten: Wie ein Formularfehler bei Synopsys zum Lieferketten-Leck wird
- N-able schaltet N-central nach 33 veröffentlichten Schwachstellen ab
