Der initiale Cyberangriff: Methoden und erste Reaktionen

Der Berliner Lieferdienst Flink, bekannt für seine schnellen Auslieferungen innerhalb von 30 Minuten, wurde Opfer eines gezielten Cyberangriffs. Unbekannte Täter verschafften sich Zugriff auf ein internes Bestellsystem, das in den sogenannten „Order Hubs“ genutzt wird – dezentralen Lagern, die eine schnelle Belieferung der Kunden ermöglichen. Zunächst wandten sich die Kriminellen direkt an das Unternehmen und forderten eine Zahlung in der Kryptowährung ETH. Flink reagierte konsequent und lehnte jegliche Verhandlungen ab, was der unternehmensinternen Richtlinie entspricht, keinen Kontakt zu Erpressern aufzunehmen.

Vom direkten Erpressungsversuch zur systematischen Kundenbedrohung

Nachdem Flink auf die Forderungen nicht einging, änderten die Täter ihre Taktik und initiierten eine groß angelegte Erpressungskampagne gegen die Kunden. Jeder Betroffene sollte 0,005 ETH – etwa 10 Euro – zahlen, um eine Gesamtsumme von 100 ETH (ca. 230.000 Euro) zu erreichen. Die Erpresser, die sich als „LPG Group“ bezeichnen, drohten damit, die gestohlenen Daten im „Deep Web“ zu verkaufen, falls das Geld nicht zusammenkäme. Die E-Mails waren personalisiert und nutzten einen gefälschten Flink-Absender, um die Glaubwürdigkeit zu erhöhen. Besonders bemerkenswert ist die Professionalität der Kampagne, die als eine Form des kriminellen Crowdfundings interpretiert werden kann.

Art und Umfang der kompromittierten Daten

Laut Flink wurden bei dem Angriff personenbezogene Daten wie Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern kopiert. In einigen Fällen erbeuteten die Täter auch spezifische Lieferhinweise, etwa das Stockwerk oder besondere Anweisungen zur Lieferung. Sensible Informationen wie Passwörter, Zahlungsdaten oder Bankverbindungen blieben jedoch verschont. Der Angriff erfolgte über einen einzelnen „Order Hub“, der identifiziert und isoliert werden konnte. Dennoch war der Datenabfluss bereits erfolgt, was die Verwundbarkeit dezentraler Systeme unterstreicht.

Reaktionen von Flink und Handlungsempfehlungen für Betroffene

Flink hat den Vorfall umgehend bei der Polizei angezeigt und die zuständige Datenschutzbeauftragte des Landes Berlin sowie weitere Behörden informiert. Externe IT-Forensiker unterstützen das Unternehmen bei der Aufklärung des Angriffs. Flink rät den betroffenen Kunden dringend davon ab, auf die Erpresser-E-Mails zu reagieren. Eine Zahlung würde nicht nur das kriminelle Geschäftsmodell stärken, sondern auch die eigene E-Mail-Adresse als aktiv bestätigen, was weitere Angriffe begünstigen könnte. Stattdessen empfiehlt Flink, Anzeige bei der Polizei zu erstatten und in Zukunft besonders wachsam gegenüber Phishing-Versuchen zu sein. Der Lieferdienst hat zudem alle Kunden direkt über den Vorfall informiert, um die Transparenz zu wahren.

Rechtliche und reputative Implikationen für Flink

Der Vorfall wirft nicht nur Fragen zur Sicherheit dezentraler IT-Systeme auf, sondern könnte auch rechtliche Konsequenzen für Flink nach sich ziehen. Da personenbezogene Daten nicht ausreichend geschützt wurden, könnte das Unternehmen mit Sanktionen gemäß der Datenschutz-Grundverordnung (DSGVO) rechnen. Darüber hinaus könnte der Vorfall das Vertrauen der Kunden in den Lieferdienst nachhaltig beeinträchtigen. Der Fall Flink verdeutlicht die komplexen Herausforderungen, denen sich Unternehmen im digitalen Zeitalter stellen müssen, insbesondere wenn sie große Mengen sensibler Kundendaten verarbeiten. Die zunehmende Professionalisierung krimineller Akteure erfordert eine kontinuierliche Anpassung und Verbesserung der Sicherheitsmaßnahmen, um solchen Angriffen wirksam begegnen zu können.