Asos Cyberangriff: Erpresser kapern die Kunden-App

Am Abend des 6. Oktober 2026 vibrierte bei tausenden Kunden des britischen Online-Händlers Asos das Smartphone. Statt einer Versandbestätigung erschien in der App eine fremde Push-Nachricht mit dem Titel „Asos hacked" – abgesetzt über einen Kanal, dem Nutzer normalerweise blind vertrauen. Einen Tag später bestätigte das Unternehmen einen Cyberangriff. Betroffen seien jedoch nicht die eigenen Systeme, sondern Drittanbieter-Plattformen für die Kundenkommunikation, deren Zugang man eingeschränkt habe. Der in der Erpressernachricht behauptete Zugriff auf eine Snowflake-Instanz ist bislang weder bestätigt noch dementiert. Der Asos Cyberangriff ist damit vor allem eines: eine Warnung, wie angreifbar die Kommunikationskette zwischen Händler und Kunde ist.

Was beim Asos Cyberangriff bislang bestätigt ist

Bestätigt ist bislang wenig – und selbst dieses Wenige stammt fast ausschließlich vom betroffenen Unternehmen selbst. Asos erklärte, den Vorfall mit internen und externen Sicherheitsexperten sowie mit Behörden zu untersuchen; eine Cyber- und Geschäftsunterbrechungsversicherung bestehe. Website und App sollen weiter normal funktioniert haben, der Handel sei nicht unterbrochen worden, wie aus der offiziellen Stellungnahme des Unternehmens hervorgeht.

Beim Datenumfang bleibt Asos vage: Grundlegende Kundendaten wie Namen und Kontaktdaten könnten betroffen sein, Zahlungskartendaten und Passwörter nach derzeitigem Stand nicht. Diese Formulierung lässt bewusst Raum – sie ist keine Entwarnung. Wer eine „möglicherweise" betroffene Kontaktliste in der Hand hat, kann daraus glaubwürdige Phishing-Mails bauen; der eigentliche Schaden entsteht oft erst Wochen später.

An der Börse schlug die Meldung sofort durch. Die Aktie verlor am 6. und 7. Oktober rund 10 bis 11 Prozent, fiel von etwa 500 auf 433 Pence und erholte sich anschließend teilweise auf rund 460 Pence. Eine Agenturmeldung beziffert die Kundenzahl auf 17 Millionen weltweit – Asos ist mit Marken wie Topshop und Miss Selfridge international aufgestellt.

Warum Push-Nachrichten zum Erpressungskanal werden

Technisch steckt hinter dem Vorfall vermutlich kein ausgefeilter Exploit, sondern ein gekaperter Zugang. Plattformen für Kundenkommunikation – also die Dienste, über die Händler Versandbestätigungen, Rabattaktionen oder Rückfragen verschicken – bündeln den direkten Draht zur gesamten App-Installationsbasis. Wer dort hineinkommt, kann beliebige Nachrichten an Millionen Geräte ausspielen. Kein Spamfilter fängt sie ab, kein Absender-Misstrauen bremst sie: Die Nachricht kommt aus der vertrauten Unternehmens-App.

Genau diese Vertrauensposition macht Push-Benachrichtigungen so attraktiv für Erpresser. Eine Nachricht in der eigenen App hat eine andere Wirkung als eine Werbe-Mail im überfüllten Postfach – sie erscheint als Systemhinweis auf dem Sperrbildschirm und wird fast zwangsläufig gelesen. Eine unabhängige Analyse des Vorfalls beschreibt die App-Benachrichtigung denn auch als den eigentlichen Erpressungsmechanismus.

Der Nachrichtenwert liegt deshalb weniger im behaupteten Snowflake-Zugriff als in der Zustellmethode. Erpressung braucht Aufmerksamkeit, und kaum ein Kanal liefert sie so zuverlässig wie die vertrauenswürdige Push-Nachricht.

Snowflake, „Xuanye Group" und der unbestätigte Teil

Bei der Täterschaft wird es unübersichtlich – und genau hier müssen Leser aufpassen. Die Zuschreibung an eine Gruppe namens „Xuanye Group" stammt aus einem Telegram-Kanal, der in der Erpressungsnachricht selbst verlinkt war. Das ist eine Behauptung der mutmaßlichen Angreifer, keine unabhängig geprüfte Information. Die parallel veröffentlichte Agenturmeldung nennt diese Gruppe überhaupt nicht und stuft den gesamten Snowflake-Bezug ausdrücklich als „mutmaßlich" ein.

Auch die Behauptung, eine Snowflake-Instanz sei „vollständig kompromittiert", ist bislang unverifiziert. Weder Asos noch Snowflake noch eine unabhängige Sicherheitsfirma haben den behaupteten Zugriffsweg bestätigt oder widerlegt. Für die Einordnung heißt das: Es handelt sich nicht um eine bestätigte Software-Schwachstelle mit CVSS-Score und Patch – ein Patch-Szenario existiert hier gar nicht. Es geht um einen Vorfall bei Drittanbieter-Plattformen, dessen Umfang offen ist.

Was andere Unternehmen daraus lernen sollten

Der Fall fügt sich in eine Serie von Erpressungswellen, die 2026 über Cloud- und Drittanbieter-Dienste gegen Einzelhändler laufen. Die erste Berichterstattung am 6. Oktober dokumentierte den Verlauf noch vor der Unternehmensbestätigung, bevor Asos am 7. Oktober Details nachschob. Eine Branchenbeobachtung ordnet den Vorfall entsprechend als Teil eines größeren Musters ein, nicht als Einzelfall.

Die praktische Lektion ist unbequem: Wer einen Drittanbieter mit dem direkten Kundenkanal betraut, verlagert einen Teil seines Risikos nach außen, ohne die Kontrolle zu behalten. Drei Punkte drängen sich auf:

Zugänge zu Kommunikationsplattformen brauchen dieselbe Härte wie Shop- oder Zahlungssysteme: Zwei-Faktor-Authentifizierung, Rechte-Minimierung, Monitoring.
Push-Rechte sollten begrenzt sein. Eine Plattform, die Nachrichten an die gesamte Kundenbasis senden darf, ist ein Single Point of Failure.
Der Datenumfang sollte schneller und klarer kommuniziert werden. „Möglicherweise betroffen" ist juristisch vorsichtig, hilft betroffenen Kunden aber nicht.

Fazit

Der Asos Cyberangriff ist bislang eine Geschichte zweier Ebenen: Hier die bestätigte Kompromittierung von Drittanbieter-Plattformen und möglicherweise abgeflossene Kontaktdaten, dort die lautstarken, aber unbestätigten Behauptungen über Snowflake und eine namentlich genannte Gruppe. Wer die beiden Ebenen vermischt, macht sich zum Sprachrohr der Erpresser.

Auffällig bleibt die Wahl des Kanals. Die Erpresser nutzten die App des Opfers, um ihre Botschaft zu verbreiten – schneller, sichtbarer und wirksamer als jede Droh-Mail. Für Händler heißt das: Sicherheit endet nicht am eigenen Serverraum, sondern bei jedem Drittanbieter, der das Vertrauen der Kunden-App benutzen darf.

Quellen