ASOS-Kunden bekamen eine Push-Nachricht, der Shop sei gehackt worden. Sie war echt.

Gegen zehn Uhr morgens am Dienstag vibrierten in Großbritannien die Telefone von ASOS-Kunden. Die Mitteilung kam tatsächlich aus der ASOS-App, und es ging nicht um einen Ausverkauf. Sie war an den Datenschutzbeauftragten des Unternehmens selbst gerichtet.

"Sehr geehrter Asos-Datenschutzbeauftragter und IT, wir haben die Snowflake-Instanz vollständig kompromittiert. Sprechen Sie mit uns, sonst veröffentlichen wir sie." Unterzeichnet mit einem Pseudonym und versehen mit einem Link zu einem Telegram-Kanal. ASOS hat inzwischen bestätigt, dass auf Drittplattformen für die Kundenkommunikation unbefugt zugegriffen wurde, sagt, der Zugang sei sofort eingeschränkt worden, und arbeitet mit Spezialisten und Behörden zusammen. Einfache persönliche Daten, Namen und Kontaktdaten, könnten offengelegt worden sein. Zahlungskartendaten und Kontopasswörter nach Angaben des Händlers nicht. Snowflake, das in der Nachricht genannte Data-Warehouse-Unternehmen, teilt mit, die eigene Untersuchung habe bislang keine Kompromittierung der Plattform ergeben.

Bemerkenswert ist an diesem Fall vor allem der Zustellweg. Eine Push-Nachricht aus einer App, die man selbst installiert hat, ist ungefähr der vertrauenswürdigste Kanal, den es gibt, und jemand Fremdes durfte ihn benutzen. Selbst wenn nicht mehr als Namen und E-Mail-Adressen abgeflossen sind, ist genau das der Rohstoff für die nächsten Wochen überzeugender Mails zum angeblichen "ASOS-Sicherheitsupdate". Rechnen Sie damit. Wenn eine Nachricht dazu eintrifft, folgen Sie nicht ihrem Link, sondern öffnen Sie die App oder tippen Sie die Adresse selbst ein und suchen Sie den Hinweis dort.

ASOS hat außerdem nicht gesagt, wie viele Kunden betroffen sind, behalten Sie Ihre Bestellmails also im Blick. Und falls eine dieser Folgenachrichten schon angeklickt wurde: Mit der Sicherheitsprüfung von Tendvane sehen Sie schnell, was danach auf dem PC gelandet ist.