Der Sicherheitsvorfall bei Starbucks verdeutlicht die wachsende Bedrohung durch zielgerichtete Phishing-Kampagnen gegen Unternehmensportale. Zwischen dem 19. Januar und 11. Februar hatten Cyberkriminelle unbefugten Zugriff auf das Partner Central System, wie aus einer Benachrichtigung an die Maine Attorney General’s Office hervorgeht. Damit waren die Konten von etwa 900 Mitarbeitern betroffen – eine Zahl, die umso bedeutsamer wirkt, wenn man berücksichtigt, dass Starbucks in den USA über 200.000 Angestellte beschäftigt.
Die kompromittierten Daten sind erheblich: Namen, Sozialversicherungsnummern, Geburtsdaten sowie Bankkontonummern und Bankleitzahlen wurden abgegriffen. Eine kritische Kombination für Identitätsdiebstahl und potenzielle Betrugsfälle. Das Unternehmen hat die Behörden informiert und betroffenen Mitarbeitern kostenlose Identitätsschutz-Services angeboten.
Besonders bemerkenswert ist, dass Starbucks zufolge die direkten Systeme und Netzwerke des Unternehmens nicht kompromittiert wurden. Der Angriff funktionierte ausschließlich über die klassische Taktik des Credential-Stealing: Die Täter erstellten Fake-Websites, täuschten Mitarbeiter und sammelten deren Login-Daten. Dies ist ein bewährtes Angriffsschema, das bei deutschen und europäischen Unternehmen gleichermaßen funktioniert.
Für Sicherheitsexperten sind solche Vorfälle ein weckender Ruf. Employee Portale sind oft das Tor zu sensiblen Unternehmens- und Personaldaten. Die Abhängigkeit von Nutzerkenntnis und Vorsicht bei der Authentifizierung bleibt eine Schwachstelle – selbst bei großen, bekannten Marken mit erheblichen IT-Budgets. Starbucks ist nicht das erste Mal im Fokus von Datendieben: Erst kürzlich wurden Sicherheitslücken in anderen Starbucks-Systemen bekannt, die Finanzdaten freigelegten.
Der Fall unterstreicht die Notwendigkeit von Multi-Faktor-Authentifizierung (MFA) auf Unternehmensportalen sowie regelmäßiger Mitarbeiterschulungen zu Phishing-Gefahren. Unternehmen sollten ihre Employee-Portale als kritische Infrastruktur behandeln und entsprechend schützen.