Zara-Datenleck: 197.000 Kunden betroffen, ShinyHunters im Fokus

Hacker erbeuten bei Zara Browserverlauf und Kaufhistorie von rund 197.000 Kunden. Finanzdaten sind nicht betroffen.

Mai 2026 erste Kunden über einen Sicherheitsvorfall informiert. Unbefugte hatten sich Zugriff auf Kundendaten verschafft, die bei einem externen Dienstleister gespeichert waren. Der Vorfall ereignete sich bereits am 14. April 2026.

Anzeige

Rekord-Schäden durch Phishing: Warum immer mehr Unternehmen jetzt auf Awareness-Kampagnen setzen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen Cyberkriminalität schützen kann. Anti-Phishing-Paket jetzt gratis herunterladen

Was genau gestohlen wurde

Nach den Benachrichtigungen an betroffene Kunden gelangten die Angreifer an eine Datenbank eines Drittanbieters. Die gestohlenen Informationen umfassen Browserverlauf, Kaufhistorie, Geräte-IDs sowie Aufzeichnungen von Kundenanfragen. Auch Namen und E-Mail-Adressen sind betroffen.

Entwarnung gibt Zara bei sensiblen Finanzdaten: Passwörter, Kreditkarten- und Zahlungsinformationen seien nicht kompromittiert worden. Das Unternehmen hat die zuständigen Behörden informiert. Sicherheitsexperten raten Kunden dennoch zur Vorsicht: Mit den erbeuteten Kontaktdaten könnten Betrüger gezielte Phishing-Angriffe starten.

Die Täter und das Ausmaß

Die Datenleck-Plattform HaveIBeenPwned meldet rund 197.000 betroffene E-Mail-Adressen. Verantwortlich zeichnet die Hackergruppe ShinyHunters, die bereits seit 2020 aktiv ist und hunderte Millionen Nutzerdaten weltweit erbeutet haben soll.

Ende Mai 2024 veröffentlichte die Gruppe 140 Gigabyte Daten, darunter Bestellnummern, Produktcodes und geografische Informationen. ShinyHunters hatte zuletzt mehrfach zugeschlagen: Am 1. April traf es Charter Communications mit 4,9 Millionen betroffenen Kunden, kurz darauf Carnival Corporation mit fast sechs Millionen Datensätzen. In beiden Fällen zahlten die Unternehmen kein Lösegeld – die Daten wurden daraufhin Ende Mai öffentlich gemacht.

Anzeige

Haften Sie persönlich für Datenschutzverstöße Ihrer Dienstleister? Wenn externe Partner Kundendaten verarbeiten, sind die DSGVO-Anforderungen besonders streng – dieser kostenlose Report klärt über Ihre Haftungsrisiken bei Auftragsverarbeitern auf. Gratis E-Book mit Checklisten zur Auftragsverarbeitung sichern

Geschäftszahlen unter Druck

Der Sicherheitsvorfall überschattet die ohnehin schwierige Geschäftslage von Zara in Indien. Im Geschäftsjahr 2026 brach der Gewinn um 31,9 Prozent auf umgerechnet rund 22,5 Millionen Euro ein. Der Umsatz sank leicht um 1,1 Prozent auf etwa 303 Millionen Euro.

Die Muttergesellschaft Trent Ltd. reduzierte ihren Anteil am Joint Venture Inditex Trent Retail India auf 20 Prozent. Ein Lichtblick: Die Schwestermarke Massimo Dutti legte in Indien mit einem Umsatzplus von 28 Prozent deutlich zu. Zara betreibt in Indien derzeit 22 Filialen.