Der jüngste Sicherheitsvorfall bei Vimeo zeigt ein wachsendes Problem in der IT-Sicherheit: Cyberkriminelle umgehen immer häufiger direkte Verteidigungsmechanismen, indem sie schwächere Glieder in der Lieferkette ins Visier nehmen. Die kalifornische Videoplattform mit Millionen von Nutzern weltweit musste nun eingestehen, dass Hacker über den Business-Analytics-Anbieter Anodot Zugriff auf sensible Kundendaten erlangten.
Die Angreifer-Gruppe Shinyhunters ist für ihre unkonventionelle Herangehensweise bekannt: Statt technische Sicherheitslücken auszunutzen, setzen sie auf Social Engineering. Sie führen Phishing-Kampagnen durch, um Anmeldedaten zu erbeuten und damit in Cloud-Umgebungen einzudringen. Diese Taktik bewies sich auch im Fall von Anodot als wirksam. Nach Angaben der Kriminellen erbeuteten sie sogar Authentifizierungs-Token, die ihnen Zugriff auf die Cloud-Infrastruktur von mehr als einem Dutzend Organisationen verschafften – ohne diese direkt anzugreifen.
Vimeo reagierte schnell: Das Unternehmen deaktivierte sofort alle Anodot-Anmeldedaten, trennte die Integration und holte externe Sicherheitsexperten ins Boot. Die Behörden wurden ebenfalls informiert. Trotzdem kündigte Shinyhunters an, die gestohlenen Daten am Donnerstag zu veröffentlichen, falls keine Lösegeldforderung erfüllt wird – die Summe nannten die Kriminellen nicht.
Dies ist nicht das erste Mal, dass Shinyhunters für Schlagzeilen sorgt. 2026 führte die Gruppe erfolgreiche Kampagnen gegen den Schulbuch-Verlag McGraw Hill, den Sicherheitsdienstleister ADT und Rockstar Games durch. Die Erfolgsquote verdeutlicht, dass traditionelle Cyberkriminalität weiterhin floriert, selbst nachdem mehrere Gruppenmitglieder festgenommen wurden.
Für Unternehmen in Deutschland ergibt sich daraus eine wichtige Lehre: Die eigene Sicherheit ist nur so stark wie die der genutzten Dienstleister. Das BSI empfiehlt regelmäßige Audits bei Drittanbietern und strikte Zugriffskontrollen. Zudem sollte bei Datenpannen sofort die Datenschutzbehörde informiert werden – die Meldepflicht nach DSGVO Artikel 33 gilt auch für indirekte Verstöße.