23andMe zahlt 18 Millionen: Credential-Stuffing-Angriff ohne MFA
Veröffentlicht am: 21.07.2026 um 12:53 Uhr | Redaktion boerse-global.de
Der malaysische Telekommunikationskonzern Maxis hat den Verantwortlichen für die unerlaubte Veröffentlichung von Kontodaten des Influencers Khairul Aming ermittelt. Das Unternehmen bestätigte die Identifizierung am heutigen Dienstag und leitete rechtliche Schritte ein.
Datenleck war Einzelfall
Nach Unternehmensangaben handelte es sich um einen isolierten Vorfall, der keine anderen Kunden betraf. Die betroffenen Daten umfassten private Rechnungsinformationen. Maxis entschuldigte sich offiziell für die Sicherheitslücke, die umgehend die Aufmerksamkeit der nationalen Regulierungsbehörden auf sich zog.
Kommunikationsminister Fahmi Fadzil wies die Malaysische Kommunikations- und Multimedia-Kommission (MCMC) an, einen umfassenden Bericht zu dem Vorfall vorzulegen. Nach dem malaysischen Datenschutzgesetz (PDPA) von 2010 drohen bei unbefugter Offenlegung personenbezogener Daten Geldstrafen von bis zu 50.000 malaysischen Ringgit (etwa 10.500 Euro) oder eine Freiheitsstrafe von bis zu drei Jahren.
Neues Gesetz gegen Cyberkriminalität
Die Identifizierung des Täters fällt mit bedeutenden gesetzlichen Änderungen in Malaysia zusammen. Erst am Montag verabschiedete der Dewan Negara, das Oberhaus des Parlaments, den Cyberkriminalitäts-Gesetzentwurf 2026. Das neue Gesetz mit acht Teilen und 61 Paragrafen ersetzt das Computer Crimes Act von 1997. Alle erfassten Straftaten sind auslieferungsfähig und sehen eine Mindestfreiheitsstrafe von drei Jahren vor.
Der gesetzgeberische Vorstoß folgt auf einen drastischen Anstieg digitaler Betrugsfälle. Bis Mai 2026 registrierte Malaysia 8.014 Online-Betrugsfälle – mehr als die 6.140 Fälle des gesamten Vorjahres. Die finanziellen Verluste durch solche Straftaten beliefen sich 2025 auf umgerechnet über 610 Millionen Euro, ein Anstieg von 86 Prozent im Vergleich zum Vorjahr. Bis Mai 2026 nahmen die Behörden zudem 10.245 mutmaßliche Cyberkriminelle fest.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Proaktive Sicherheitsmaßnahmen jetzt entdecken
Millionenverluste bei Staatsfonds
In einem separaten Fall bezeichnete Premierminister Anwar Ibrahim einen Betrugsfall beim indonesischen Startup eFishery am Montag als „vorsätzlich". Der staatliche Pensionsfonds KWAP verlor demnach umgerechnet rund 41 Millionen Euro aus einer Series-D-Investition vom Juli 2023.
Milliarden-Strafen für Datenpannen weltweit
Auch international müssen Unternehmen für Datenschutzverstöße tief in die Tasche greifen. Der Gendaten-Dienst 23andMe, heute unter dem Namen Chrome Holding Co. firmierend, zahlt 18 Millionen US-Dollar (etwa 16,5 Millionen Euro) an 42 US-Bundesstaaten. Der Vergleich beendet einen Rechtsstreit um einen Credential-Stuffing-Angriff vom Oktober 2023, bei dem 6,9 Millionen Kunden betroffen waren und der fünf Monate unentdeckt blieb.
Generalstaatsanwälte mehrerer Bundesstaaten warfen dem Unternehmen vor, keine Multi-Faktor-Authentifizierung implementiert und verdächtige Login-Muster nicht überwacht zu haben. 23andMe meldete im März 2025 Insolvenz an. Neben dem Vergleich mit den Bundesstaaten droht eine separate Sammelklage über 46,75 Millionen US-Dollar von Verbraucherseite.
Neue KI-Gesetze und veränderte Cyberrisiken erfordern heute einen deutlich umfassenderen Schutz als noch vor wenigen Jahren. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Report zur Cyber Security herunterladen
Im Gesundheitssektor einigte sich die Laboratory Services Cooperative, die mit Planned Parenthood verbunden ist, am 17. Juli auf einen Vergleich über 6,1 Millionen US-Dollar. Die Einigung betrifft eine Sammelklage nach einem Cyberangriff im April 2025, bei dem die Daten von 1,6 Millionen Patienten offengelegt wurden.
Weitere Untersuchungen laufen
Ermittler prüfen derzeit mehrere weitere Datenlecks. Bei der Wirtschaftsprüfungsgesellschaft EY verschafften sich Unbefugte zwischen dem 28. März und dem 12. April Zugang zu einem externen Ticketsystem. Das Unternehmen entdeckte die ungewöhnliche Aktivität am 23. April. Wie viele Mandanten betroffen sind, ist noch unklar, doch mehrere Steuerdokumente mit persönlichen und finanziellen Informationen wurden heruntergeladen.
Eine Datenbank mit Informationen von über 23 Millionen Nutzern der Plattform Paidwork wurde am 19. Juli in das „Have I Been Pwned"-Register aufgenommen. Die Daten – darunter Kontonummern, Adressen und verschlüsselte Passwörter – waren erstmals im April 2026 aufgetaucht.
Das Unternehmen Unlimited Technology Systems meldete am 1. Juli einen Vorfall vom Oktober 2025, bei dem Sozialversicherungsnummern, Krankenakten und Versicherungsdaten offengelegt wurden. Auch hier laufen Sammelklagen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
