Hacker machen die eigene App von Asos zur Plakatwand der Erpresser – die Aktie stürzt um 13 Prozent ab

Eine Erpressernachricht, zugestellt über die eigene App des Opfers

Am 6. Oktober gegen 10 Uhr leuchteten bei allen Nutzern der Asos-App die Handys auf – mit einer Nachricht an den Datenschutzbeauftragten und die IT-Mitarbeiter des Händlers↗: „Wir haben die Snowflake-Instanz vollständig kompromittiert. Treten Sie mit uns in Kontakt – sonst leaken wir die Daten.“ ^{1 2} Die Nachricht verlinkte auf einen Telegram-Kanal, den eine Gruppe, die sich Xuanye nennt, noch am selben Morgen angelegt hatte. ^{1 3}

Die Aktie von Asos fiel um bis zu 13,2 % und schloss 9,56 % tiefer – der stärkste Tagesausschlag seit September 2025; auf dem Tagestief büßte das Unternehmen rund 70 Millionen Pfund an Börsenwert ein. ^{1 2 4 5} Auch Snowflake, dessen Produkt in der Nachricht genannt wurde, gab im Vorbörsenhandel um bis zu 3,2 % und in New York um rund 2 % nach. ^{2 6}

Asos räumt den Angriff auf den Benachrichtigungskanal ein – nicht den auf Kundendaten

Mehr als fünf Stunden nach der Nachricht bestätigte Asos „unbefugte Aktivitäten im Zusammenhang mit Drittanbieterplattformen, die wir zur Kommunikation mit unseren Kunden nutzen“↗, teilte mit, Namen und Kontaktdaten „könnten abgerufen worden sein“, und erklärte, man glaube nicht, dass Zahlungskarten- oder Passwortdaten betroffen seien. ^{4 7} Snowflake nahm eigene Ermittlungen auf und meldete, es habe „keine Kompromittierung der Snowflake-Plattform“ gegeben. ^{8 9 7}

Die Kernbehauptung ist von keiner Seite belegt: Xuanye hat bislang keine Probe der angeblichen Daten veröffentlicht ⁸, Sophos erklärt, die Gruppe sei nie zuvor in den Foren oder Kanälen aufgetaucht, die das Unternehmen überwacht ⁴, und die BBC konnte nicht einmal bestätigen, dass Asos Kunde bei Snowflake ist ³. Was die Nachricht immerhin beweist: den Angriff auf den Benachrichtigungskanal selbst. „Eine Lösegeldforderung direkt an die Endgeräte der Verbraucher zu senden, ist eine aggressive Erpressungstaktik“, sagte Dray Agha von Huntress. ^{2 4}

Die 72-Stunden-Uhr läuft – ausgerechnet vor dem Weihnachtsgeschäft

Falls der Vorfall als meldepflichtige Datenpanne gilt, hat Asos 72 Stunden ab Kenntnisnahme, um die ICO (Information Commissioner's Office) zu informieren↗ – bei Versäumnis drohen Bußgelder von bis zu 8,7 Millionen Pfund oder 2 Prozent des weltweiten Umsatzes. ¹⁰ Der Zeitpunkt kommt besonders ungelegen: Die Aktie hatte in diesem Jahr mehr als 60 Prozent zugelegt, erst im September hatte Asos eine zuversichtliche Gewinnprognose für das Geschäftsjahr 2026 vorgelegt – und nun geht das Unternehmen mit 16,4 Millionen aktiven Kunden ins Weihnachtsgeschäft. ^{7 2} Das Unternehmen hat eine Cyber- und Business-Continuity-Versicherung abgeschlossen und erklärte, es sei „zu früh, um mögliche Auswirkungen auf das Geschäft zu beziffern“. ⁴

Dass der Markt dieses Risiko einpreist, hat mit der jüngeren britlichen Vergangenheit zu tun: Nach dem Angriff im vergangenen Jahr musste Marks & Spencer wochenlang seine Website schließen, im Zuge derselben Angriffswelle wurden auch Co-op, Harrods und Jaguar Land Rover getroffen. ^{4 2}

Snowflake zahlt für einen Sicherheitsvorfall, den es nach eigenen Angaben nie gab

Die Geschichte reimt sich: Mindestens 165 Snowflake-Kunden↗, darunter Ticketmaster und AT&T, wurden 2024 ausgeraubt – mit gestohlenen Zugangsdaten, nicht über eine Schwachstelle der Plattform. ^{8 7} Jede Erpressung auf Kundenseite, bei der Snowflake genannt wird, bewegt inzwischen den Aktienkurs – eine Ansteckung, die die Plattform trägt, ohne sie je in Rechnung stellen zu können. ⁶

Wenn beide Behauptungen vom Dienstag stimmen, sind die Angreifer „an Zugangsdaten gekommen, die mehr als eine Tür öffneten“, sagte Dan Bird von Horizon3. ⁵ Zwei Uhren laufen: die 72 Stunden der ICO und Xuanyes Leak-Frist – die Gruppe hat zugesagt, die Daten würden „für einen festgelegten Zeitraum nicht angetastet“. ⁴ Eine von beiden läuft zuerst ab.