Der Kosmetikkonzern Estée Lauder hat einen schwerwiegenden Sicherheitsvorfall bestätigt, bei dem persönliche Daten von Mitarbeitern kompromittiert wurden. Berichten zufolge nutzten Cyberkriminelle eine bekannte Schwachstelle in der Oracle E-Business Suite (EBS) aus, um Zugriff auf die internen Systeme des Unternehmens zu erhalten und sensible Datensätze zu entwenden.
Untersuchung bestätigt Kompromittierung der Personalabteilung
Der Datendiebstahl wurde nach Angaben des Unternehmens im Rahmen einer umfassenden internen Untersuchung aufgedeckt. Estée Lauder bestätigte, dass die Angreifer gezielt die Personalverwaltungsstrukturen ins Visier genommen hatten. Dabei gelang es den Tätern, persönliche Informationen von einem Teil der Belegschaft zu extrahieren.
Im Zuge der Analyse stellte sich heraus, dass nicht nur personenbezogene Daten entwendet wurden, sondern dass unbefugte Dritte auch Zugriff auf Informationen aus dem firmeninternen Intranet erhielten. Die Untersuchung ergab, dass das Oracle E-Business Suite-System, welches für zentrale Geschäftsprozesse und die Verwaltung von Ressourcen genutzt wird, direkt kompromittiert wurde.
Bekannte Schwachstelle als Einfallstor
Der Vorfall ist insbesondere deshalb brisant, weil die ausgenutzte Sicherheitslücke in der Oracle-Software zum Zeitpunkt des Angriffs bereits bekannt war. IT-Sicherheitsexperten weisen in solchen Fällen regelmäßig darauf hin, dass die aktive Ausnutzung bekannter Schwachstellen ein erhebliches Risiko für global agierende Konzerne darstellt, wenn Patch-Zyklen oder Sicherheitsupdates nicht unmittelbar umgesetzt werden.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenloses E-Book zur Cyber Security jetzt abrufen
Die Oracle E-Business Suite gilt als eine der am weitesten verbreiteten Lösungen für Enterprise Resource Planning (ERP) und wird von zahlreichen Großunternehmen zur Abwicklung kritischer Geschäftsvorgänge eingesetzt. Eine Kompromittierung dieses Systems ermöglicht es Angreifern oft, tief in die digitale Infrastruktur eines Unternehmens einzudringen, da dort sowohl Finanzdaten als auch umfassende Personalinventare hinterlegt sind.
Folgen für die Cybersicherheit im Unternehmen
Für Estée Lauder bedeutet der Vorfall einen erheblichen Eingriff in die HR-Datensicherheit. Die Tatsache, dass Intranet-Informationen nun in den Besitz unbefugter Dritter gelangt sind, erhöht das Risiko für Folgeangriffe innerhalb des Unternehmensnetzwerks. Juristen und Experten für Datenschutz raten in solchen Fällen üblicherweise zu einer transparenten Kommunikation gegenüber den betroffenen Mitarbeitern sowie zu einer sofortigen Überprüfung aller Systemberechtigungen.
Wer sich mit dem Schutz sensibler Mitarbeiterdaten befasst, muss auch neue technologische Risiken und gesetzliche Anforderungen im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-Report zu Cyberrisiken und KI-Gesetzen sichern
Obwohl das Unternehmen den Vorfall und die Art der entwendeten Daten bestätigt hat, bleibt die genaue Anzahl der betroffenen Mitarbeiter sowie der zeitliche Rahmen, in dem der Zugriff stattfand, Gegenstand der weiteren Aufarbeitung. Die interne Untersuchung dauert an, um das volle Ausmaß des Datenabflusses zu bestimmen und die betroffenen Systeme gegen künftige Zugriffe abzusichern. Der Fall unterstreicht erneut die Notwendigkeit für Unternehmen, bekannte Schwachstellen in Drittanbietersoftware prioritär zu behandeln, um die Integrität interner Mitarbeiterdaten zu gewährleisten.
