Nissan: Cyberangriff über IT-Partner trifft 21.000 Kunden

Ein Angriff auf den Software-Riesen Red Hat hat die Daten Tausender Nissan-Kunden in Japan kompromittiert. Der Vorfall offenbart erneut die massive Schwachstelle in digitalen Lieferketten.

Yokohama – Der japanische Automobilkonzern Nissan muss einen weiteren schweren IT-Sicherheitsvorfall verkraften. Wie das Unternehmen diese Woche bestätigte, sind durch einen Cyberangriff auf den US-Softwareanbieter Red Hat persönliche Daten von rund 21.000 Kunden gestohlen worden. Der Angriff erfolgte bereits Ende September, die volle Tragweite für Nissan wurde aber erst jetzt öffentlich.

Der Sicherheitsvorfall unterstreicht ein wachsendes Problem der Digitalisierung: die Abhängigkeit von IT-Dienstleistern. Der Angriff zielte nicht direkt auf Nissan, sondern auf Red Hat, einen von IBM gekauften Anbieter von Open-Source-Software. Nissan hatte Red Hat mit der Entwicklung und Verwaltung von Kundensystemen für den Vertrieb beauftragt.

Laut Nissan drangen die Angreifer über eine selbst verwaltete GitLab-Instanz der Red-Hat-Beratungssparte ein. Von dort aus gelangten sie in eine dedizierte Umgebung mit sensiblen Kundendaten. Nissan betonte, man sei nur “indirekt betroffen” durch das Sicherheitsversagen des Partnerunternehmens.

Anzeige

Passend zum Thema Cybersicherheit: Lieferkettenangriffe wie beim Red-Hat-Vorfall zeigen, wie schnell Angreifer über Dienstleister an Kundendaten kommen. Ein aktuelles, kostenloses E‑Book erklärt, welche Schutzmaßnahmen Sie jetzt sofort umsetzen können — von Risikoanalysen über Lieferanten‑Monitoring bis zu Notfallplänen. Der Leitfaden enthält praxisnahe Checklisten und Priorisierungs‑Tools, damit Sie in Wochen statt Monaten bessere Sicherheit erreichen. Ideal für IT‑Verantwortliche und Entscheider, die ihre Organisation ohne große Extrakosten schützen wollen. Jetzt kostenlosen Cyber-Security-Report herunterladen

Was gestohlen wurde – und was nicht

Betroffen sind Kunden der Nissan Fukuoka Sales Co., Ltd.. Für sie wurden folgende Daten entwendet:
* Vollständige Namen
* Private Adressen
* Telefonnummern
* E-Mail-Adressen
* Interne Vertriebsdaten

Eine entscheidende Information gibt jedoch Entwarnung: Keine finanziellen Daten oder Kreditkartendetails waren auf den betroffenen Servern gespeichert. Das Risiko direkten finanziellen Betrugs ist damit gering. Nissan hat den Vorfall der japanischen Datenschutzkommission gemeldet und warnt betroffene Kunden nun vor möglichen Phishing-Angriffen.

Die Täter: Zwei berüchtigte Hacker-Gruppen

Sicherheitsforscher machen zwei Gruppierungen für den Angriff verantwortlich. Zunächst brach das Crimson Collective in die Red-Hat-Systeme ein. Die Gruppe gab an, hunderte Gigabyte an Daten, inklusive Quellcode, erbeutet zu haben.

Die Gefahr eskalierte, als die berüchtigte Erpresser-Gruppe ShinyHunters Teile der gestohlenen Daten auf ihrer Leak-Site veröffentlichte. Diese Zusammenarbeit deutet auf einen koordinierten Versuch hin, die Informationen gewinnbringend zu nutzen – vermutlich durch Erpressung.

Nissans wiederkehrendes Sicherheitsdilemma

Für Nissan ist dies bereits der dritte große Cybersicherheitsvorfall innerhalb von zwei Jahren. Ein Muster wird sichtbar:
* August 2025: Das Design-Subsidiar Creative Box Inc. wurde von der Qilin-Ransomware-Bande getroffen.
* Spät 2023/Früh 2024: Die Akira-Ransomware-Gruppe kompromittierte Nissan Oceania und betraf über 100.000 Personen.
* Mai 2024: Nissan North America meldete einen Datendiebstahl, der 53.000 Mitarbeiter betraf.

Experten sehen im aktuellen Fall ein Lehrstück für Lieferkettenangriffe. “Angreifer umgehen zunehmend gut verteidigte Unternehmensfestungen, indem sie die Softwareentwickler und Berater angreifen, die den Schlüssel zum Königreich besitzen”, so ein Cybersicherheitsanalyst.

Folgen und Lehren für die Industrie

Bisher gibt es laut Nissan keine Hinweise auf einen Missbrauch der gestohlenen Daten. Das Risiko gezielter Phishing-Kampagnen gegen die betroffenen Kunden bleibt jedoch hoch.

Für die gesamte Automobilindustrie ist der Vorfall eine deutliche Warnung. Wenn ein IT-Grundpfeiler wie Red Hat kompromittiert werden kann – selbst in einer begrenzten Instanz –, wirft das fundamentale Fragen zur Absicherung von Entwicklungs- und Partnerumgebungen auf.

Nissan kündigte an, die Überwachung seiner Subunternehmer zu verstärken. Diese Maßnahme dürfte 2026 Schule machen, während andere Hersteller ihre Verträge mit IT-Dienstleistern kritisch überprüfen werden. Die Achillesferse der digitalen Transformation bleibt die Sicherheit der längsten Kette im System.

Anzeige

PS: Nissan war indirekt betroffen — das zeigt: Schutz endet nicht an der Firmenmauer. Das kostenlose E‑Book “Cyber Security Awareness Trends” fasst praxisnahe Maßnahmen zusammen, wie Sie Subunternehmer überwachen, Phishing‑Risiken mindern und Compliance‑Lücken schließen — mit Checklisten und sofort umsetzbaren Schritten für kleine und mittlere Unternehmen. Lesen Sie konkrete Beispiele und Prioritäten für 2025, damit Sie Schwachstellen vor Angreifern schließen. Gratis E‑Book jetzt sichern