ASOS-Datenleck: Hacker verschicken Drohung über die Kunden-App

Die schnelle Antwort: Am 6. Oktober 2026 haben Unbekannte über die offizielle ASOS-App eine Push-Nachricht mit dem Titel "ASOS HACKED" an Kunden verschickt, auch in Deutschland. ASOS bestätigt einen unbefugten Zugriff auf Plattformen zur Kundenkommunikation. Namen und Kontaktdaten könnten abgeflossen sein, Passwörter und Kartendaten nach Angaben des Händlers nicht. Wer ein ASOS-Konto hat, sollte mit gezielten Phishing-Nachrichten rechnen.

Was bei ASOS passiert ist

Am Dienstagvormittag, dem 6. Oktober 2026, leuchtete auf den Smartphones vieler ASOS-Kunden eine ungewöhnliche Mitteilung auf. Absender war nicht irgendeine Spam-Adresse, sondern die offizielle App des britischen Online-Modehändlers. Unter der Überschrift "ASOS HACKED" wandte sich der Text auf Englisch an den Datenschutzbeauftragten und die IT-Abteilung von ASOS: Man habe die "Snowflake-Instanz vollständig kompromittiert", ASOS solle sich melden, sonst würden die Daten veröffentlicht. Dazu ein Link auf einen Kanal im Messenger Telegram. Nach einem Bericht von heise online erhielten übereinstimmend Tausende Nutzer die Nachricht, auch in Deutschland.

Die Nachricht war also keine Botschaft an die Kunden, sondern eine öffentliche Erpressung des Unternehmens, für die die Kunden als Bühne dienten. Wer so etwas über den offiziellen Kanal eines Händlers mit weltweit rund 17 Millionen Kunden verschicken kann, beweist vor allem eines: Er hatte zumindest zeitweise die Kontrolle über das Werkzeug, mit dem ASOS sonst Rabattaktionen und Versandmeldungen verschickt.

ASOS hat den Vorfall noch am selben Tag bestätigt. Gegenüber BleepingComputer und weiteren Medien erklärte das Unternehmen, man untersuche unbefugte Aktivitäten auf Plattformen von Drittanbietern, die zur Kommunikation mit Kunden genutzt werden, und habe den Zugang zu den Benachrichtigungssystemen sofort eingeschränkt. Grundlegende persönliche Informationen, darunter Namen und Kontaktdaten, könnten eingesehen worden sein. Man gehe nicht davon aus, dass Zahlungskartendaten oder Passwörter betroffen sind.

Die Täter nennen sich "Xuanye Group". Über die Gruppe ist praktisch nichts bekannt, sie ist bislang nicht durch frühere Angriffe aufgefallen. Belege für den behaupteten Diebstahl haben sie nach bisherigem Stand nicht veröffentlicht. Ob tatsächlich die Snowflake-Datenbank von ASOS kopiert wurde, also der Cloud-Datenspeicher, in dem viele Unternehmen Kunden- und Bestellinformationen für Auswertungen zusammenführen, hat ASOS ausdrücklich nicht bestätigt. Diese Behauptung ist derzeit nur eine Angabe der Täter.

Bin ich betroffen? Die Prüfung in vier Fragen

ASOS hat bislang weder eine Betroffenenzahl genannt noch einzelne Kunden darüber informiert, wessen Datensatz eingesehen wurde. Die Push-Nachricht selbst ist kein Beleg dafür, dass Ihre Daten kopiert wurden: Sie ging offenbar breit an App-Nutzer. Die folgenden Fragen helfen bei der Einordnung.

Welche Daten im Spiel sind und welches Risiko daraus folgt

ASOS spricht von "grundlegenden persönlichen Informationen". Das klingt harmlos und ist für Ihr Bankkonto auch tatsächlich keine unmittelbare Gefahr. Der eigentliche Wert eines solchen Datensatzes liegt darin, dass er Betrügern verrät, wer bei welchem Händler Kunde ist. Genau das macht eine gefälschte Nachricht glaubwürdig.

• Name und E-Mail-Adresse: Die Kombination aus Ihrem Namen, Ihrer Adresse und dem Wissen "ist ASOS-Kunde" ist der Rohstoff für Spear-Phishing, also Betrugsmails, die so genau auf Sie zugeschnitten sind, dass sie wie eine echte Rückfrage zu Ihrer letzten Bestellung wirken. Typische Köder bei Modehändlern: eine angeblich fehlgeschlagene Rückerstattung, ein Gutschein als "Entschuldigung für den Vorfall" oder eine Sicherheitsprüfung Ihres Kontos.
• Telefonnummer: Wer seine Nummer für Versandbenachrichtigungen hinterlegt hat, muss mit Smishing rechnen, also Phishing per SMS: "ASOS: Ihr Paket wartet, Zollgebühr 1,99 Euro offen." Solche Kleinstbeträge dienen nur dazu, Kartendaten abzugreifen.
• Lieferadresse (möglich, nicht bestätigt): Sollte die Behauptung der Täter zutreffen und die Snowflake-Datenbank kopiert worden sein, könnten auch Anschriften und Bestellhistorien betroffen sein. Solche Datenbanken bündeln typischerweise Transaktions- und Profildaten für Auswertungen. Bestätigt ist das ausdrücklich nicht, wir ordnen es hier nur als mögliches Szenario ein.
• Nach ASOS-Angaben nicht betroffen: Passwörter und Zahlungskarten. Eine Kartensperre ist deshalb nicht nötig. Das bedeutet aber auch: Die Täter kennen Ihre Zahlungsdaten nicht und werden versuchen, sie zu bekommen. Jede Aufforderung, eine Karte zu "verifizieren", ist genau dieser Versuch.

Entscheidend ist dabei weniger der einzelne Datensatz als sein weiterer Weg. Kopierte Kundenlisten werden selten nur einmal benutzt: Sie werden weiterverkauft, mit anderen Leaks zusammengelegt und noch Jahre später für neue Kampagnen ausgewertet. Ob Ihre Adresse darunter ist, sehen Sie von außen nicht. Frühwarnung einrichten, die anschlägt, sobald Ihre Adresse in einem gehandelten Datensatz auftaucht.

Warum dieser Angriff anders ist als ein normales Datenleck

Große Händler verschicken ihre Push-Nachrichten, Newsletter und Versandmails in der Regel nicht selbst, sondern über spezialisierte Dienstleister. Diese Plattformen kennen zwangsläufig die Kontaktdaten aller Empfänger, und wer dort ein Administratorkonto übernimmt, kann im Namen des Händlers an alle schreiben. Genau auf diese Art von Drittanbieter verweist ASOS in seiner Stellungnahme.

Für Sie als Kunde heißt das: Der übliche Rat "Achten Sie auf den Absender" greift bei so einem Angriff nicht. Die Nachricht kam aus der echten App. Die verlässlichere Regel lautet deshalb, nie einem Link aus einer Benachrichtigung zu folgen, wenn es um Geld, Passwörter oder Kontodaten geht, sondern den Vorgang selbst in der App oder auf asos.de aufzurufen. Gibt es ihn dort nicht, gibt es ihn nicht.

Bemerkenswert ist auch der Zeitpunkt: ASOS musste bereits im Sommer 2026 Kunden in den USA informieren, nachdem Unbekannte Ende Juli mit andernorts erbeuteten Zugangsdaten in rund 139.000 Kundenkonten eingedrungen waren. Dieses Credential Stuffing, also das automatisierte Ausprobieren gestohlener Passwort-Kombinationen an der Login-Tür, ist ein eigener, älterer Vorfall. Er zeigt aber, dass ASOS-Konten für Angreifer ein lohnendes Ziel sind, und dass wiederverwendete Passwörter das eigentliche Einfallstor sind.

Was Sie jetzt konkret tun sollten

Die folgenden Schritte dauern zusammen etwa zehn Minuten. Sie sind auch dann sinnvoll, wenn sich später herausstellt, dass Ihr Datensatz nicht dabei war.

• Die Push-Nachricht ignorieren: Öffnen Sie den Telegram-Link nicht und schreiben Sie den Tätern nicht. Die Nachricht war an ASOS gerichtet, für Sie gibt es dort nichts zu tun.
• Passwort prüfen und ändern: Melden Sie sich direkt in der App oder auf der Website an und ändern Sie Ihr Passwort unter "Mein Konto". Pflicht ist das, wenn Sie dieselbe Kombination auch woanders verwenden; dann ändern Sie sie zuerst bei Ihrem E-Mail-Postfach, danach bei Zahlungsdiensten und großen Shops.
• Konto kontrollieren: Prüfen Sie im Kundenkonto die hinterlegten Lieferadressen, gespeicherten Zahlungsmittel und die Bestellübersicht. Unbekannte Adressen oder Bestellungen melden Sie dem ASOS-Kundenservice über die Kontaktwege auf der Website.
• Benachrichtigungen vorübergehend abschalten: Wer auf Werbe-Pushes verzichten kann, schaltet sie in den Handy-Einstellungen für die ASOS-App aus, bis der Händler Entwarnung gibt. Versandinformationen finden Sie auch in der Bestellübersicht.
• Nachwellen erkennen: Mails mit Betreffzeilen wie "Wichtige Sicherheitsinformation zu Ihrem ASOS-Konto", "Entschädigungsgutschein" oder "Rückerstattung fehlgeschlagen" sind in den nächsten Wochen mit hoher Wahrscheinlichkeit Betrug. Echte Informationen von ASOS fordern Sie nicht auf, Karten- oder Bankdaten einzugeben.
• Künftig eine eigene Adresse pro Shop: Wer bei Onlinehändlern mit einer separaten Adresse einkauft, erkennt Phishing sofort daran, dass es an der falschen Adresse ankommt, und kann eine verbrannte Adresse einfach abschalten. Für jeden Shop eine eigene Alias-Adresse mit Postfach anlegen.

Diese Schritte schützen Ihr ASOS-Konto. Was sie nicht leisten können: Ihnen zu sagen, ob und wann die erbeuteten Daten verkauft werden. Darknet-Überwachung für Ihre E-Mail-Adresse aktivieren und erfahren, wenn es so weit ist.

Was die DSGVO von ASOS verlangt

ASOS sitzt in Großbritannien, bietet seine Waren über asos.de aber gezielt Kunden in Deutschland, Österreich und der Schweiz an. Für EU-Kunden gilt damit die DSGVO. Sie verpflichtet das Unternehmen, eine Datenpanne binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden und Betroffene direkt zu informieren, wenn ein hohes Risiko für sie besteht (Art. 33 und 34 DSGVO). Ob ASOS Kunden individuell anschreibt, hängt davon ab, was die laufende Untersuchung ergibt. Achten Sie darauf: Eine echte Benachrichtigung verlangt keine Eingabe von Zugangs- oder Zahlungsdaten.

Unabhängig davon haben Sie nach Art. 15 DSGVO das Recht, bei ASOS Auskunft darüber zu verlangen, welche Daten zu Ihrer Person gespeichert sind. Ob sich aus dem Vorfall ein Anspruch auf Ersatz immaterieller Schäden nach Art. 82 DSGVO ergeben könnte, lässt sich erst sagen, wenn feststeht, welche Daten tatsächlich abgeflossen sind. Wie solche Ansprüche nach anderen Datenlecks bewertet wurden und welche Unterlagen Sie dafür schon jetzt sichern sollten, lesen Sie in unserem Überblick Entschädigung nach Datenlecks: welche Ansprüche Gerichte anerkennen und wie Sie sie belegen.

Häufige Fragen zum ASOS-Datenleck

Warum ein einmaliger Check bei ASOS nicht genügt

Heute weiß niemand, auch ASOS nicht, wessen Daten genau abgeflossen sind. Bis eine Untersuchung abgeschlossen ist und Betroffene informiert werden, vergehen erfahrungsgemäß Wochen, manchmal Monate. Und selbst wenn die Täter ihre Drohung wahr machen, landen solche Datensätze meist nicht sofort frei im Netz: Häufig werden sie zunächst im kleinen Kreis verkauft und erst später breit gehandelt oder als Dump veröffentlicht. Wer heute einmal prüft und nichts findet, kennt also nur den Stand von heute. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird, also genau dann, wenn der ASOS-Datensatz tatsächlich kursiert, und nicht erst nach der ersten gelungenen Phishing-Mail. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können. Wir informieren über solche Verfahren, leisten aber keine eigene Rechtsberatung. Der kostenlose Check zeigt nur bereits veröffentlichte Leaks; vor künftigen warnt erst das laufende Monitoring.