Der Datenleck bei Hims & Hers offenbart ein systematisches Sicherheitsproblem, das über schlecht gesicherte Third-Party-Plattformen entsteht. Das Unternehmen wurde am 5. Februar 2026 erstmals auf verdächtige Aktivitäten aufmerksam und leitete sofort Untersuchungen ein. Die forensische Analyse ergab, dass Angreifer zwischen dem 4. und 7. Februar Zugriff auf Support-Tickets hatten – ein relativ kurzes, aber kritisches Zeitfenster.
Wie BleepingComputer recherchierte, war die Hacker-Gruppe ShinyHunters Urheber des Angriffs. Die Angreifer nutzten eine hochgradig effektive Methode: Sie kompromittierten Okta-SSO-Konten (Single Sign-On), um Zugriff auf die Zendesk-Instanz von Hims & Hers zu erlangen. Dies ist bemerkenswert, da SSO-Systeme als vertrauenswürdige Authentifizierungsmechanismen gelten – ihre Kompromittierung öffnet Kriminellen Tür und Tor zu sämtlichen verbundenen Anwendungen.
Die Angreifer konnten Millionen von Support-Tickets einsehen und herunterladen. Diese enthielten teilweise sensible persönliche Informationen wie Namen, Kontaktdaten und Angaben zu eingereichten Support-Anfragen. Das Unternehmen betont jedoch, dass medizinische Unterlagen und ärztliche Kommunikationen nicht kompromittiert wurden – ein wichtiger Hinweis, der aber nicht vollständig beruhigt, da bereits Namen und Kontaktinformationen für gezielte Phishing-Angriffe missbraucht werden könnten.
Als Reaktion bietet Hims & Hers betroffenen Kunden zwölf Monate kostenlose Kreditüberwachung an. Das Unternehmen warnt vor Phishing- und Social-Engineering-Versuchen und empfiehlt Nutzern, ihre Kontoauszüge und Kreditberichte zu überwachen.
Dieser Vorfall ist nicht isoliert. Zendesk-Plattformen wurden bereits mehrfach zum Ziel: Der DIY-Einzelhandelsriese ManoMano litt im Februar unter einem ähnlichen Breach, der 38 Millionen Kunden betraf. Auch Crunchyroll wurde im März durch ein Zendesk-Leck getroffen. Dies zeigt ein Muster: Zendesk ist zum bevorzugten Angriffsziel für organisierte Hacker-Gruppen geworden.
Für deutsche Nutzer ist dieser Fall besonders relevant. Telehealth-Services gewinnen in Deutschland an Bedeutung, und viele international tätige Unternehmen nutzen globale Support-Plattformen wie Zendesk. Ein Sicherheitsaudit dieser Systeme sollte oberste Priorität haben – nicht nur für US-Unternehmen, sondern auch für deutsche Dienstleister.