Der PKW-Hersteller Škoda hat einen Sicherheitsvorfall erlitten. Ein von Skoda benutztes Online-Shop-System wies eine Sicherheitslücke auf. Unbefugte waren nach Angaben des Unternehmens in der Lage, auf das Shop-System zuzugreifen und Daten abzurufen. Beim Vorfall wurden Kundendaten abgezogen.
Offenlegung durch den Hersteller
Wer sich kürzlich darüber wunderte, dass der Online-Shop von Škoda plötzlich nicht mehr erreichbar war, bekommt nun die Auflösung. Bereits zum 11. Mai 2026 berichteten Online-Medien von einem Cyberangriff (via) – die erste Meldung habe ich hier zum 8. Mai 2026 gefunden.
In einer veröffentlichten, aber nicht datierten, Mitteilung von Škoda wird mitgeteilt, dass der technischen Sicherheitsüberwachung aufgefallen sei, dass Unbefugte eine Schwachstelle in der eingesetzten Shop-Standardsoftware ausgenutzt haben. Ein Anbieter der Shop-Software wird nicht genannt, es könnte Magento gewesen sein (siehe Gut 50 % der Magento-Shops mit Schwachstelle über PolyShell angegeriffen).e Über diesen Weg konnten sie vorübergehend unerlaubten Zugriff auf das Shop-System erlangen.
Die Betreiber haben als erste Gegenmaßnahmen den Škoda Online-Shop nach der Feststellung des Vorfalls vorsorglich vom Netz genommen. Die Schwachstelle wurde laut Unternehmen zwischenzeitlich beseitigt und der Vorfall einer spezialisierten IT Forensik zur technischen Analyse übergeben. Zusätzlich wurde der Vorfall der zuständigen Datenschutzaufsichtsbehörde gemeldet.
Unklar über Umfang eines Datenabflusses
Die technische Analyse ergab laut Škoda, dass ein Zugriff auf im Shop gespeicherte Daten grundsätzlich möglich war. Die vorhandenen Protokolle ermöglichen aber im Nachhinein nicht, in allen Einzelheiten nachvollziehen, ob und in welchem Umfang Daten tatsächlich kopiert oder abgerufen wurden.
Derzeit liegen dem Hersteller keine konkreten Hinweise auf einen Missbrauch von Kundendaten vor. Kunden und die Öffentlichkeit werden aber vorsorglich informiert, da ein Datenzugriff nicht mit absoluter Sicherheit ausgeschlossen werden kann. Dadurch sollen Kunden eigene Schutzmaßnahmen ergreifen und sich auf Phishing einstallen können.
Denn im Škoda Online-Shop werden, abhängig von der Nutzung und den getätigten Bestellungen, personenbezogene Daten verarbeitet. Hierzu zählen insbesondere Name und Anschrift, Kontaktdaten wie E Mail-Adresse und gegebenenfalls Telefonnummer, Informationen zu Bestellungen sowie Zugangsdaten zu Kundenkonten. Zugangsdaten bestehen aus der E Mail-Adresse und einem Passwort, das in verschlüsselter Form (als kryptografischer Hash), gespeichert wird.
Ein direkter Zugriff auf vollständige Kreditkartendaten war nach derzeitigen Erkenntnissen nicht möglich, da diese Daten ausschließlich durch die jeweiligen Zahlungsdienstleister verarbeitet werden.
MVP: 2013 – 2016
