ASOS-Datenleck: Credential Stuffing kompromittiert 138.828 Kunden
Veröffentlicht am: 25.08.2026 um 16:41 Uhr | Redaktion boerse-global.de
Der Online-Modehändler ASOS US Sales LLC ist Ziel eines großflächigen Credential-Stuffing-Angriffs geworden. Wie aus jüngsten behördlichen Meldungen und Unternehmensangaben hervorgeht, verschafften sich Unbefugte Zugriff auf die Konten von insgesamt 138.828 US-Kunden. Der Vorfall wurde Ende Juli 2026 identifiziert und führte inzwischen zu ersten rechtlichen Prüfungen durch spezialisierte Kanzleien.
Unbefugter Zugriff durch externe Anmeldedaten
Nach Unternehmensangaben wurde der Angriff am 28. Juli 2026 erkannt und am darauffolgenden Tag bestätigt. Die Angreifer nutzten dabei eine als „Credential Stuffing“ bekannte Methode, bei der Anmeldedaten verwendet werden, die aus anderen, externen Quellen stammen. Bei diesem Verfahren spekulieren Cyberkriminelle darauf, dass Nutzer identische Kombinationen aus E-Mail-Adresse und Passwort bei mehreren Online-Diensten verwenden.
Der Zeitraum des unbefugten Zugriffs lässt sich auf den 28. und 29. Juli 2026 eingrenzen. Betroffen sind nach aktuellem Stand ausschließlich Kunden in den Vereinigten Staaten. Das Unternehmen betonte, dass der Vorfall unmittelbar nach der Entdeckung untersucht wurde, um das Ausmaß der kompromittierten Daten festzustellen.
Umfang der kompromittierten Kundendaten
Im Rahmen des Sicherheitsvorfalls könnten verschiedene Kategorien personenbezogener Daten eingesehen worden sein. Dazu gehören nach Angaben von ASOS US Sales LLC die vollständigen Namen, E-Mail-Adressen, Liefer- und Rechnungsanschriften sowie Telefonnummern der betroffenen Kunden. Zudem seien Geburtsdaten, Details zu Social-Media-Profilen und redigierte Informationen zu Zahlungskarten betroffen.
Angriffe wie dieser verdeutlichen das Risiko, wenn identische Zugangsdaten für verschiedene Dienste genutzt werden. Ein kostenloser PDF-Ratgeber erklärt Schritt für Schritt, wie Sie alle Ihre Passwörter sicher und verschlüsselt an einem zentralen Ort verwalten. Nie wieder Passwörter vergessen: Jetzt kostenlosen Guide sichern
Bei den Finanzdaten handelt es sich laut dem Unternehmen lediglich um die letzten vier Ziffern der Kartennummer sowie das Ablaufdatum. Es gebe ausdrücklich keine Hinweise darauf, dass vollständige Kreditkartennummern oder der Card Verification Value (CVV) offengelegt wurden. Dennoch besteht für die betroffenen Nutzer ein potenzielles Risiko für gezielte Phishing-Versuche oder weiteren Missbrauch ihrer persönlichen Informationen.
Sofortmaßnahmen und behördliche Meldungen
Unmittelbar nach der Bestätigung des Angriffs am 29. Juli 2026 leitete der Händler Gegenmaßnahmen ein. Die betroffenen Kundenkonten wurden blockiert und die Nutzer dazu aufgefordert, ihre Passwörter zurückzusetzen. Eine erste Benachrichtigung der Opfer per E-Mail erfolgte am 30. Juli 2026, während förmliche Benachrichtigungsschreiben auf den 21. August 2026 datiert sind.
Aktuelle behördliche Meldungen vom 24. August 2026 geben weiteren Aufschluss über die regionale Verteilung der Betroffenen. In den Bundesstaaten Kalifornien, Texas und Vermont wurden insgesamt 9.496 betroffene Personen gemeldet. Davon entfallen 9.412 auf Texas und 84 auf Vermont.
Pro Quartal werden in Deutschland Millionen von Konten gehackt, oft weil klassische Passwörter nicht mehr ausreichen. Erfahren Sie in diesem Gratis-Report, wie Sie mit der neuen Passkey-Technologie Ihre Accounts bei Amazon, WhatsApp und Co. künftig ohne Passwort-Stress absichern. Kostenlosen Passkey-Report jetzt herunterladen
Juristische Aufarbeitung und Risikobewertung
Der Vorfall hat bereits juristische Konsequenzen nach sich gezogen. Die Anwaltskanzlei Ademi LLP gab am 24. August 2026 bekannt, mögliche Datenschutzansprüche im Zusammenhang mit dem Datenleck zu untersuchen. Juristen der Kanzlei wiesen darauf hin, dass die betroffenen Personen einem erhöhten Risiko von Identitätsdiebstahl und Finanzbetrug ausgesetzt sein könnten.
Betroffenen Kunden wird derzeit eine kostenlose Bewertung ihrer Rechte und möglicher Ansprüche angeboten. Während das Unternehmen die technischen Sicherheitslücken durch die erzwungenen Passwort-Resets schließen will, bleibt die Frage nach der Haftung für die potenziellen Folgeschäden des Datendiebstahls Gegenstand der laufenden Untersuchungen.
Experten raten Nutzern generell dazu, für jeden Online-Dienst individuelle Passwörter zu verwenden und, wo möglich, eine Mehrfaktor-Authentifizierung zu aktivieren, um die Effektivität von Credential-Stuffing-Angriffen zu minimieren.
