Am 16. Juli 2025 nutzte ein Angreifer Social Engineering, um auf ein externes, cloudbasiertes Customer-Relationship-Management-System zuzugreifen, das von der Allianz Life Insurance Company of North America verwendet wird. Auf das Policenverwaltungssystem des Unternehmens wurde nicht zugegriffen.
Diese Unterscheidung schützte die Kunden nicht. Allianz Life erklärte, dass personenbezogene Daten der Mehrheit seiner 1,4 Millionen US-Kunden offengelegt wurden, zusammen mit Daten von Finanzfachleuten und ausgewählten Mitarbeitern.
Das Unternehmen erklärte, den Vorfall eingedämmt und abgemildert zu haben, informierte das FBI und begann, betroffene Personen zu kontaktieren. Es nannte weder den CRM-Anbieter noch die genaue Zahl der betroffenen Personen oder die genauen Kategorien der entwendeten personenbezogenen Daten.
Das Versagen war ein Grenzfehler: Kundendaten waren in eine Vertriebsplattform gelangt, in der eine Social-Engineering-Kompromittierung auch ohne Eindringen in das Kernsystem zu einem Vorfall mit der gesamten Kundenbasis werden konnte.
Die Verletzung ereignete sich in einer Vertriebsplattform, nicht im Kernsystem, doch die Datenkopie war real; sichern Sie Dienstleister-Workflows ab, als wären sie Kernsysteme.
Kundendaten in einem externen CRM trugen dasselbe Datenschutzrisiko wie Kernpolicensysteme, aber es wurden schwächere Kontrollen offengelegt
Der Dienstleisterzugriff wurde zu einer Grenze für Produktionsdaten, sodass Social Engineering außerhalb des Policensystems dennoch Kunden gefährdete
Das Unternehmen konnte sagen, sein Netzwerk sei unberührt geblieben, doch die Kunden waren dennoch einer Gefährdung ausgesetzt, weil die Datenkopie real war
Die öffentliche Offenlegung ließ zentrale Fakten ungenannt, was den Reputationsschaden nach der technischen Verletzung erhöhte
Eine CRM-Kopie von Kundendaten sind immer noch Kundendaten – sichern Sie Dienstleister-Workflows ab, als wären sie Kernsysteme.
DEN BELEGEN FOLGEN