Auf den Punkt: Bei einem IT-Dienstleister von Lidl wurden Kundendaten (Name, Geburtsdatum, E-Mail, Telefonnummer, Kundennummer) abgeflossen; Zahlungsdaten und Passwörter blieben unberührt.
Ein externer IT-Dienstleister, der für Lidl tätig ist, wurde Ziel eines Angriffs. Unbekannte kopierten Kundendaten aus einer separaten Datei – ohne dabei das Lidl-Shopsystem selbst zu kompromittieren.
Unbekannte Angreifer verschafften sich Zugriff auf eine Kundendatei, die bei einem Dienstleister des Lidl-Onlineshops lag. Nach Lidl-Angaben kopierten sie Teile davon: Anrede, Name, Geburtsdatum, E-Mail-Adresse, Telefonnummer und Kundennummer. Zahlungsdaten, Passwörter und die Lidl-Plus-App waren nach bisherigem Kenntnisstand nicht betroffen. Das System des Onlineshops selbst blieb unangegriffen. Lidl informierte Betroffene gestaffelt; eine endgültige Opferzahl nannte das Unternehmen nicht.
Für CISOs ist dieser Vorfall ein Lehrstück über Third-Party-Risiken: Die Daten reichen zwar nicht für direkte Zahlungsbetrügereien, eignen sich aber optimal für Social-Engineering-Angriffe. Mit vollständigen Namen, Geburtsdatum und Telefonnummer lassen sich Phishing-Mails verfassen, die hochgradig glaubwürdig wirken. Lidl selbst warnt seine Kunden ausdrücklich vor dieser Gefahr und empfiehlt, E-Mails mit vermeintlichem Unternehmens-Bezug kritisch zu prüfen und notfalls die Plattform direkt über die bekannte URL anzusteuern – nicht über Link-Angebote in E-Mails.
Der Ursprung lag nach Lidl-Aussagen in der IT-Infrastruktur des beauftragten Dienstleisters, nicht im eigenen Netzwerk. Lidl hat externes Forensik-Personal beauftragt, Strafanzeige erstattet und die Datenschutzaufsicht eingebunden. Trotz der räumlichen Trennung verantwortet der Onlinehändler selbst die Benachrichtigung und trägt die Haftung – unabhängig davon, wo technisch der Fehler lag.
Solche Vorfälle sind im Handel ein Dauerthema. Ausgliederungen von Versand, Datenverarbeitung und Kundenkommunikation an spezialisierte Anbieter multiplizieren die Stellen, an denen sensible Kundendaten liegen. Die Herausforderung für Unternehmen besteht darin, einheitliche Sicherheitsstandards über alle Beteiligten hinweg vertraglich und technisch durchzusetzen – Zugriffsrechte, Protokollierung und Datenverarbeitung müssen bei Dienstleistern genau so kontrollierbar sein wie in der eigenen Infrastruktur.
Quelle: www.it-daily.net · Erschienen 13. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.