Datenschutzvorfall bei der Igus GmbH

Keine Ahnung, ob viele Nutzer bzw. Nutzerinnen aus der Leserschaft Kunden bei der Igus GmbH, einem Spezialhersteller von Produkten wie Kunststoffgleitlagern, Energieführungsketten etc. sind. Dort gab es eine Sicherheitslücke im CRM, was (mustergültig) zu einer Mitteilung über einen Datenschutzvorfall führte. Einen Hinweis, dass unbefugt auf Daten zugegriffen wurde, gibt es derzeit nicht.

Wer ist die Igus GmbH?

Die Igus GmbH (Eigenschreibweise igus = Akronym für Industriespritzguss) ist ein Hersteller von Kunststoffgleitlagern und Energieführungsketten aus Vollkunststoff sowie flexiblen Spezialleitungen. Die meisten Produkte, darunter inzwischen auch Robotik-Komponenten und Fahrräder, werden im Spritzgussverfahren hergestellt.

Igus ist der weltweit größte Hersteller von Energiekettensystemen mit Spezialleitungen, Steckern und Zubehör. Dazu gehören Leitungen, konfektionierte Energieführungssysteme, Halbzeuge, Mehrachsgelenke für Roboter sowie Gleit-, Gelenk-, Linear- und Kugellager. Das Unternehmen betreibt zudem eine Online-Plattform, die Anwender und Entwickler von Robotik zusammenbringt, und hat zudem eine Initiative für das Recycling von Kunststoffen sowie die Entwicklung eines Fahrrades, das inklusive Kugellager und Antrieb komplett aus – auf Wunsch recyceltem – Kunststoff besteht, gestartet.

Meldung über Datenschutzvorfall bei igus

Blog Leser Christian H. hat mich zum 21. März 2025 per E-Mail über einen Datenschutzvorfall informiert (danke). Zu diesem Datum hat der Hersteller eine entsprechende Meldung an seine Kunden verschickt, in der über diesen Datenschutzvorfall aufgeklärt wird.

Im Rahmen einer externen Untersuchung wurden die Igus GmbH am 18.3.2025 auf eine Sicherheitslücke in ihren IT-Systemen aufmerksam gemacht. Nach die Schwachstelle bekannt wurde, wurde diese umgehend geschlossen.

Bisher kein Missbrauch bekannt

Das Finden einer Sicherheitslücke kann alles oder nichts bedeuten. Es wurde daher sofort eine Analyse der Zugriffe auf die IT-Systeme gestartet. Innerhalb der Auswertung des Systemlogs konnten die Spezialisten keinerlei Indiz auf einen missbräuchlichen Zugriff feststellen, heißt es. Es gibt für igus laut deren Aussage keinerlei Hinweis auf einen missbräuchlichen Zugriff auf Daten von Benutzern,  führt das Unternehmen aus.

Mustergültige Informationspolitik

Mustergültig geht das Unternehmen in die Initiative und informiert proaktiv über den Vorfall sowie die bereits ergriffenen Maßnahmen. Denn man könne einen unberechtigten Zugriff nicht vollständig ausschließen. Daher habe man sich dafür entschieden, über diesen Vorfall zu informieren.

Der zuständige Datenschutzbeauftragte wurde bei Bekanntwerden der Schwachstelle sofort in die Bewertung aktiv eingebunden. Dann hat man sich dazu entschlossen, die zuständige Datenschutzbehörde (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen) zu informieren.

Information der Kunden

Gleichzeitig wurden Kunden proaktiv über den Vorfall sowie die bereits ergriffenen Maßnahmen informiert. Potentiell könnten bei einem Zugriff über die Sicherheitslücke, der laut Aussage "nur mit erheblichem professionellem Aufwand" möglich ware, folgende Daten aus dem firmeneigenen Customer Relationship Management (CRM) System abgezogen worden sein:

• Firmenname
• Vor- und Nachname
• Geschäftliche Kontaktdaten (E-Mail, Telefon, Fax)
• Position im Unternehmen
• Unternehmensdresse
• Eingeschränkte Kommunikationshistorie inkl. einiger E-Mail-Anhänge

Diese Daten könnten, so die Aussage, dabei geeignet sein, innerhalb von gezielten Phishing-Kampagnen verwendet zu werden. Deshalb bittet das Unternehmen Kunden, in der Kommunikation mit dem Unternehmen auf die Absenderadressen zu achten. Legitime E-Mails von igus stammen ausschließlich von den Domains @igus.net und @connect.igus.net. Andere Domänen nutzt igus nicht, heißt es.