Datenleck Estée Lauder: Gehälter und Krankenakten zehn Monate lang gestohlen

Der Kosmetikkonzern Estée Lauder hat den Abfluss umfangreicher Mitarbeiterdaten bestätigt. Angreifer nutzten eine Sicherheitslücke in der Oracle E-Business Suite aus – und blieben fast ein Jahr lang unentdeckt. Betroffen sind neben Identifikationsmerkmalen auch medizinische Daten und Gehaltsinformationen.

Angriff über bekannte Sicherheitslücke

Anfang August 2026 wurde bekannt, dass Unbekannte Zugriff auf das Intranet und die Personalverwaltung von Estée Lauder erlangt haben. Das Unternehmen bestätigte, dass eine bekannte Schwachstelle in der Oracle E-Business Suite (EBS) als Einstiegspunkt diente. Die genaue Zahl der weltweit betroffenen Mitarbeiter steht noch nicht fest – die Untersuchungen laufen.

Die Kompromittierung begann bereits im Spätsommer 2025. Erste unbefugte Zugriffe datieren auf den 9. August 2025, entdeckt wurde der Vorfall jedoch erst am 19. Juni 2026. Über zehn Monate hatten die Angreifer damit potenziellen Zugriff auf die HR-Datenbanken des Konzerns.

Sicherheitspatch lag seit Oktober 2025 vor

Technischer Hintergrund ist die Schwachstelle CVE-2025-61882 in der Oracle-Software. Kritisch: Seit dem 4. Oktober 2025 existierte ein offizieller Patch des Herstellers – offenbar wurde er in den betroffenen Systemen nicht rechtzeitig eingespielt. Sicherheitsexperten bringen den Angriff mit der Gruppe Cl0p in Verbindung, die bereits mehrfach durch großflächige Datendiebstähle auffiel.

Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenloses E-Book zur Cyber Security jetzt anfordern

Das Ausmaß ist erheblich. Neben Namen, Adressen und E-Mail-Kontakten erbeuteten die Angreifer auch Sozialversicherungsnummern, Passnummern und Bankverbindungen der Angestellten.

Besonders brisant: Auch medizinische Daten sowie detaillierte Gehalts- und Leistungsberichte sind betroffen. Diese Informationen genießen arbeitsrechtlich einen besonderen Schutzstatus. Estée Lauder bietet den Geschädigten einen Identitätsschutzdienst von Kroll an – für 24 Monate, bis Ende Oktober 2026.

Wer sich mit dem Schutz sensibler Unternehmensdaten befasst, muss auch die rechtlichen Anforderungen an die IT-Sicherheit kennen. Dieser kostenlose Report klärt auf, welche Pflichten und Bedrohungen Unternehmer jetzt im Blick haben sollten. Gratis-Report zu Cyberrisiken und Gesetzen herunterladen

Oracle mit Rekord-Patchday

Der Vorfall reiht sich in eine Serie von Sicherheitsmeldungen um Oracle-Produkte ein. Ende Juli 2026 veröffentlichte der Hersteller einen Rekord-Patchday mit insgesamt 1.449 geschlossenen Lücken – 410 davon betrafen die E-Business Suite. Neun Schwachstellen wiesen die höchste Kritikalitätsstufe CVSS 10.0 auf.

Die Sicherheitsorganisation Shadowserver warnt derweil vor einer weiteren kritischen Lücke: CVE-2026-46817 in Oracle Payments. Seit Ende Juni 2026 werden aktive Exploit-Versuche beobachtet. Rund 950 Instanzen dieser Software sind weltweit noch ungeschützt über das Internet erreichbar. Unternehmen sollten ihre Systeme umgehend prüfen und Updates einspielen – bevor die nächste Datenschleuder zuschlägt.

de | wirtschaft | 69909554 |