Lidl-Kundendaten gestohlen: IT-Dienstleister wird zum Sicherheitsrisiko

Bei Lidl sind persönliche Daten von Onlineshop-Kunden in die Hände unbekannter Angreifer gelangt. Betroffen war allerdings nicht das eigentliche Onlineshop-System, sondern ein externer IT-Dienstleister. Die Angreifer konnten dort kurzzeitig auf eine separat gespeicherte Datei mit Kundendaten zugreifen und Teile davon entwenden.

Der Vorfall zeigt damit ein Problem, das für viele Unternehmen weit über den konkreten Lidl-Fall hinausgeht: Selbst gut geschützte Kernsysteme verhindern keinen Datenverlust, wenn personenbezogene Informationen zusätzlich bei Dienstleistern, in Exportdateien oder anderen Sekundärsystemen gespeichert werden.

Namen, Telefonnummern und Geburtsdaten abgeflossen

Zu den gestohlenen Informationen gehören nach Angaben von Lidl Anrede, Vor- und Nachname, Telefonnummer, E-Mail-Adresse, Geburtsdatum und Kundennummer. In einzelnen Fällen sollen außerdem Informationen zu Bestellungen aus dem Zeitraum Januar bis Juni 2026 betroffen sein.

Nicht betroffen waren nach bisherigem Kenntnisstand Passwörter, Rechnungs- und Lieferadressen, Bankverbindungen sowie andere Zahlungsinformationen. Auch die Kundenkonten selbst seien nicht kompromittiert worden.

Wie viele Kunden betroffen sind, wurde bislang nicht öffentlich beziffert. Der Vorfall betrifft Kunden der Lidl-Onlineshops in Deutschland, Belgien und den Niederlanden. Auch der Name des betroffenen IT-Dienstleisters wurde in den veröffentlichten Angaben nicht genannt.

Angriff traf eine separat gespeicherte Datei

Technisch besonders interessant ist der Speicherort der kompromittierten Daten.

Nach Angaben von Lidl konnten Unbekannte beim Dienstleister auf eine separat gespeicherte Datei mit Kundendatenzugreifen. Das produktive System des Lidl-Onlineshops selbst sei von dem Vorfall nicht betroffen gewesen.

Genau darin liegt eine wichtige Lehre für IT-Verantwortliche: Die tatsächliche Angriffsfläche eines Unternehmens endet nicht an den eigenen Anwendungen und Datenbanken.

Kundendaten werden häufig für operative Prozesse exportiert oder an Dienstleister übertragen – beispielsweise für Logistik, Kundenkommunikation, Analysen oder Support. Dadurch entstehen zusätzliche Kopien außerhalb des führenden Systems. Werden diese Datensätze nicht genauso konsequent geschützt, überwacht und gelöscht wie die Originaldaten, kann eine eigentlich gut abgesicherte Kernplattform trotzdem Teil eines Datenschutzvorfalls werden.

Keine Zahlungsdaten – trotzdem für Phishing wertvoll

Dass keine Passwörter oder Bankdaten gestohlen wurden, reduziert das unmittelbare Risiko. Harmlos ist der abgeflossene Datensatz deshalb jedoch nicht.

Die Kombination aus Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum und Kundennummer bietet Angreifern ausreichend Kontext für glaubwürdige Social-Engineering- und Phishing-Versuche. Eine gefälschte Nachricht kann beispielsweise konkrete persönliche Angaben enthalten und dadurch deutlich authentischer wirken als gewöhnliche Massen-Spam-Mails.

Lidl warnt betroffene Kunden deshalb ausdrücklich vor möglichen Phishing-Versuchen und Identitätsmissbrauch. Nach Angaben des Unternehmens gab es zum Zeitpunkt der Veröffentlichung zwar keine konkreten Hinweise darauf, dass die gestohlenen Daten bereits missbraucht wurden.

Dass Lidl selbst vor solchen Angriffen warnt, ist entscheidend für die Einordnung: Der Sicherheitswert eines Datensatzes hängt nicht allein davon ab, ob darin Kreditkartennummern oder Passwörter enthalten sind. Auch Identitäts- und Kontaktdaten können die Grundlage für nachgelagerte Angriffe bilden.

Dienstleister bleibt Teil der eigenen Sicherheitsarchitektur

Der Fall verdeutlicht zugleich die Bedeutung des Third-Party-Risk-Managements.

Wer personenbezogene Daten durch externe Dienstleister verarbeiten lässt, verlagert zwar technische Aufgaben – nicht aber sämtliche damit verbundenen Risiken. Nach der DSGVO müssen Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umsetzen. Bei einem Datenleck muss der Auftragsverarbeiter den Verantwortlichen zudem ohne unangemessene Verzögerung informieren.

Für Unternehmen reicht es deshalb nicht, Dienstleister vor Vertragsabschluss einmalig über Fragebögen oder Zertifikate zu überprüfen. Entscheidend ist auch, welche Daten ein Partner tatsächlich erhält, wo diese gespeichert werden und wie lange sie dort verbleiben.

Gerade ältere Exporte, temporäre Dateien oder Datenkopien für nachgelagerte Prozesse können zum Risiko werden, wenn sie außerhalb zentraler Security- und Monitoring-Systeme liegen.

Lidl schaltet Forensiker und Behörden ein

Nach Bekanntwerden des Vorfalls wurden die betroffenen Systeme beim Dienstleister abgesichert. Zudem wurden IT-Forensiker mit der Untersuchung beauftragt und Strafanzeige gestellt. Lidl arbeitete nach eigenen Angaben mit internen sowie externen Datenschutz- und IT-Sicherheitsexperten zusammen. Datenschutzbehörden wurden ebenfalls über den Vorfall informiert.

Die europäischen Datenschutzleitlinien sehen für solche Vorfälle einen klaren Incident-Response-Prozess vor: Unternehmen sollen Datenschutzverletzungen zunächst eindämmen, die möglichen Auswirkungen auf betroffene Personen bewerten und anschließend entscheiden, welche Behörden und gegebenenfalls betroffenen Personen informiert werden müssen.

Was IT-Entscheider daraus ableiten sollten

Der Lidl-Fall liefert vor allem drei praktische Ansatzpunkte für Unternehmen.

Erstens: Datenflüsse zu Dienstleistern müssen transparent sein. IT- und Security-Teams sollten nicht nur wissen, welche Anbieter Zugriff auf Systeme haben, sondern auch, welche konkreten Datenbestände extern gespeichert oder verarbeitet werden.

Zweitens: Datenminimierung gehört zur Security-Architektur. Daten, die ein Dienstleister für einen Prozess nicht benötigt, sollten dort möglichst gar nicht erst verfügbar sein. Dasselbe gilt für Kopien, deren ursprünglicher Zweck bereits erfüllt ist.

Drittens: Incident Response muss Dienstleister einbeziehen. Ein Unternehmen kann einen Vorfall nur schnell bewerten, wenn vertragliche Meldewege, Ansprechpartner, Logging-Anforderungen und forensische Prozesse bereits vor einem Angriff geklärt sind. Die europäischen Datenschutzleitlinien betonen ausdrücklich, dass Auftragsverarbeiter einen erkannten Datenverstoß ohne unangemessene Verzögerung an den Verantwortlichen melden müssen.

Fazit

Das Lidl-Datenleck ist kein klassischer Angriff auf einen Onlineshop. Nach aktuellem Kenntnisstand blieb das eigentliche Shop-System unangetastet. Kundendaten gingen stattdessen bei einem externen IT-Dienstleister verloren.

Genau das macht den Vorfall für Unternehmen relevant.

Mit jeder ausgelagerten Verarbeitung erweitert sich die eigene Daten- und Sicherheitsarchitektur über die Unternehmensgrenzen hinaus. Deshalb sollten Security-Verantwortliche nicht nur Anwendungen und Zugänge von Dienstleistern überwachen, sondern auch die Datenkopien, Exporte und Sekundärspeicher, die bei diesen Partnern entstehen.

Der Schutz des Kernsystems allein reicht nicht, wenn dieselben Informationen an anderer Stelle deutlich leichter erreichbar sind.