Die Hightower Holding, Muttergesellschaft des Finanzdienstleisters Hightower Advisors, bestätigt einen massiven Datenverlust. Das Unternehmen informierte die zuständigen Behörden, dass insgesamt 131.483 Personen von dem Sicherheitsvorfall betroffen sind. Laut der schriftlichen Benachrichtigung an die betroffenen Kunden kam es bereits in der ersten Januarwoche 2026 zum Angriff, wobei die tatsächliche Datenexfiltration zwei Tage später stattfand.
Das Unternehmen betonte in seiner Mitteilung, dass der Angriff nicht auf Schwachstellen in der eigenen IT-Infrastruktur zurückzuführen sei. Vielmehr seien Zugangsdaten von Mitarbeitern oder Systembenutzer kompromittiert worden, über die sich die Angreifer Zugang verschafften. Dies ist ein häufiges Angriffsmuster in der modernen Cyberkriminalität: Statt aufwendiger technischer Exploits nutzen Hacker zunehmend gestohlene oder schwache Anmeldedaten.
Bei den gestohlenen Daten handelt es sich um höchst sensible persönliche Informationen. Neben Namen wurden Sozialversicherungsnummern und Führerscheinnummern erbeutet – exakt jene Daten, die für Identitätsdiebstahl notwendig sind. Hightower beteuert jedoch, dass es bislang keine Hinweise auf Missbrauch der Daten gibt. Das Unternehmen kündigte an, den betroffenen Personen kostenlos eine zwölf Monate dauernde Identitätsdiebstahl- und Kreditüberwachung anzubieten.
Bemerkenswert ist, dass der Angreifer oder die Angreifer bislang nicht öffentlich gemacht wurden. Bekannte Erpressungsbanden haben sich zu dem Vorfall nicht geäußert, was darauf hindeutet, dass die gestohlenen Daten möglicherweise nicht für Erpressung verwendet werden – oder dass diese im Darknet unter dem Radar verkauft werden.
Dieser Vorfall reiht sich in eine Serie von Großdatenpannen ein, die 2026 bereits hundertausende Amerikaner betreffen. Er verdeutlicht ein fundamentales Problem der Finanzbranche: Trotz hoher Anforderungen an den Datenschutz bleiben Unternehmen anfällig für Angriffe über kompromittierte Zugangsdaten. Für deutsche Nutzer und Unternehmen ist dies ein Weckruf, die eigene Passworthygiene und Multi-Faktor-Authentifizierung ernst zu nehmen.