CenterPoint Energy hat den Vorfall nicht nur der Börsenaufsicht gemeldet, sondern nach eigenen Angaben auch den Strafverfolgungsbehörden angezeigt. Nach außen hin bleibt das Unternehmen bei der Frage, wie weit der Abfluss reicht, vorsichtig: Man arbeite weiterhin mit externen Fachleuten zusammen, „um den Umfang der betroffenen Kunden und personenbezogenen Daten zu bestimmen", und beabsichtige, betroffene Kunden sowie Aufsichtsbehörden zu benachrichtigen, soweit das geltende Recht dies verlange.
Den Ausgangspunkt bildete kein selbst entdeckter Einbruch, sondern eine Veröffentlichung in einem Darknet-Forum. Dort boten Kriminelle in diesem Monat angeblich bei CenterPoint Energy erbeutete Daten an. Erst die Prüfung dieser Behauptungen förderte zutage, dass Angreifer über eines der nach außen exponierten Systeme des Versorgers an personenbezogene Daten eines Teils der Kundschaft gelangt waren.
Die im Darknet-Beitrag genannten Zahlen hat das Unternehmen nicht bestätigt. Die Täter sprechen von etwa 7,5 Millionen Datensätzen mit Kundennamen, Kontodaten, den letzten vier Ziffern von Sozialversicherungsnummern und Abrechnungsinformationen. Ein Sprecher des Unternehmens wollte sich zu dem Beitrag nicht weiter äußern.
Für den Betrieb der Versorgungsnetze hat der Vorfall nach Darstellung des Unternehmens keine Folgen: Die Lieferung von Strom und Gas sei nicht beeinträchtigt worden. Auch finanziell rechnet CenterPoint Energy nicht mit gravierenden Auswirkungen. In der SEC-Meldung heißt es, es würden zwar Kosten im Zusammenhang mit der Untersuchung anfallen, eine wesentliche Auswirkung auf die Finanzlage sei jedoch nicht zu erwarten. Zur Einordnung der Größenordnung: Im zweiten Quartal wies der Konzern einen Nettogewinn von 244 Millionen US-Dollar aus.
Es ist nicht der erste Datenvorfall des Versorgers. Im vergangenen Jahr teilte CenterPoint Energy mit, eine weitere Datenpanne zu untersuchen, die auf einen Vorfall aus dem Jahr 2023 zurückging. Damals hatten Angreifer Kundendaten über eine verbreitete Dateiaustauschplattform entwendet.
Über die Identität der Angreifer, den genauen Zeitpunkt des Zugriffs und die Frage, welches der nach außen gerichteten Systeme betroffen war, hat das Unternehmen bislang keine Angaben gemacht. Auch wie viele der sieben Millionen Kunden in Indiana, Minnesota, Ohio und Texas tatsächlich betroffen sind, ist offen — die Ermittlung des Umfangs dauert nach Unternehmensangaben an.