Vishing-Angriff auf Qantas: 5,67 Millionen Datensätze ohne Strafe

Australische Datenschutzbehörde sieht keine Pflichtverletzung bei Qantas nach Cyberangriff mit 5,67 Millionen betroffenen Datensätzen.

Die australische Datenschutzbehörde OAIC hat ihre Voruntersuchung zum Cyberangriff auf Qantas abgeschlossen – ohne Konsequenzen für die Fluggesellschaft.

Wie die Behörde am gestrigen Donnerstag mitteilte, fand sie keine Belege dafür, dass die Airline ihre Sorgfaltspflichten beim Schutz von Kundendaten verletzt habe. Der Angriff im Jahr 2025 hatte rund 5,67 Millionen Datensätze offengelegt.

Keine Strafe trotz Millionen-Datenpanne

Datenschutzbeauftragte Carly Kind schloss die Untersuchung nach Prüfung der Sicherheitsprotokolle, Audits und Mitarbeiterschulungen. Qantas habe eine robuste Reaktion auf den Vorfall gezeigt, die potenzielle Schäden für Kunden erfolgreich begrenzte. Die Präventionsmaßnahmen der Airline entsprächen den gesetzlichen Anforderungen.

Damit entgeht Qantas einer möglichen Strafe, die Branchenbeobachter zuvor auf bis zu 6,6 Milliarden Euro geschätzt hatten. Die Behörde schließt jedoch nicht aus, bei neuen Erkenntnissen erneut zu ermitteln.

Anzeige

Der Fall Qantas zeigt, wie entscheidend lückenlose Dokumentationspflichten sind, um bei Datenpannen rechtlich abgesichert zu sein. Diese kostenlose Excel-Vorlage hilft Ihnen, Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO zeitsparend und rechtssicher zu erstellen. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen

So funktionierte der Vishing-Angriff

Die Datenpanne begann am 28. Juni 2025 mit einem raffinierten „Vishing“-Angriff – einer Form des Telefon-Betrugs. Ein Angreifer, den Analysten mit Gruppen wie ShinyHunters oder Scattered Spider in Verbindung bringen, kontaktierte einen Kundendienstmitarbeiter in Manila. Der Täter gab sich als IT-Support aus und überredete den Mitarbeiter, eine schadhafte Anwendung über eine Salesforce-Standardeinstellung zu autorisieren.

Dadurch erhielt der Angreifer ein OAuth-Token und konnte Kundendaten extrahieren. Die gestohlenen Daten umfassten:

• 4 Millionen Datensätze mit Namen, Telefonnummern, E-Mail-Adressen und Vielfliegerdaten
• 1,7 Millionen Datensätze mit Adressen, Geburtsdaten, Geschlecht und Essenspräferenzen

Sensible Finanzdaten, Passwörter und Passinformationen blieben laut Untersuchung unberührt. Die gestohlenen Daten wurden im Oktober 2025 im Darknet veröffentlicht.

Sicherheitslücken geschlossen – Klage läuft

Qantas reagierte mit verschärften Sicherheitsmaßnahmen und erwirkte eine einstweilige Verfügung des Obersten Gerichtshofs von New South Wales, um die weitere Verbreitung der Daten zu unterbinden. Die Behörde betonte, dass der Angriff auf eine seltene Kombination aus Social Engineering und Software-Konfiguration zurückging – nicht auf ein systemisches Sicherheitsversagen.

Anzeige

Warum selbst erfahrene Mitarbeiter auf perfide Betrugsmaschen wie Vishing oder gefälschte Chef-E-Mails hereinfallen, ist oft eine Frage der psychologischen Manipulation. Dieses kostenlose Anti-Phishing-Paket enthüllt die aktuellen Methoden der Hacker und zeigt, wie Sie Ihr Unternehmen in 4 Schritten effektiv schützen. Kostenlosen Leitfaden zur Hacker-Abwehr jetzt gratis herunterladen

Trotz des Ermittlungsendes droht Qantas weiteres Ungemach: Eine Sammelklage der Kanzlei Maurice Blackburn läuft noch. Die australische Bundespolizei ermittelt zudem zur Herkunft des Angriffs. Datenschutzexperten nutzen den Fall, um vor der wachsenden Bedrohung durch KI-gestützten Betrug zu warnen – besonders bei externen Dienstleistern.