Zahl der von unbefugtem Zugriff bei Aflac betroffenen Datensätze steigt auf rund 4,4 Millionen

2026-07-13

Der durch einen unbefugten Zugriff bei Aflac Life Insurance verursachte Abfluss personenbezogener Daten dürfte sich gegenüber der Ende Juni gemeldeten Zahl um rund 20.000 auf etwa 4,4 Millionen Menschen ausweiten. Benachrichtigungen an Kunden sollen schrittweise versandt werden; bis Ende Juli will das Unternehmen der Finanzaufsicht einen Bericht mit Analyse der Ursache und Maßnahmen zur Verhinderung eines erneuten Vorfalls vorlegen.

Überprüfung des Ausmaßes des Datenabflusses

Aflac hatte am 30. Juni bekanntgegeben, dass sich ein Dritter unbefugt Zugriff auf eine für Vertragskunden vorgesehene Website verschafft und Kundendaten abgeflossen seien. Betroffen waren Name, Adresse, Telefonnummer, Policennummer und Versicherungsumfang; in einigen Fällen auch Bankkontoinformationen für die Abbuchung von Versicherungsbeiträgen.

Interne Ermittlungen ergaben, dass der unbefugte Zugriff bereits am 10. Juni begonnen hatte und damit fünf Tage früher als zunächst angenommen am 15. Juni. Bis zum 25. Juni, als ein Mitarbeiter die Anomalie erkannte und das System abschaltete, blieb der Zugriff von außen möglich.

Benachrichtigungen und Reaktion der Banken

Die Zahl der betroffenen Kunden wurde von zunächst rund 4,38 Millionen auf rund 4,4 Millionen korrigiert, die Zahl der Kunden, deren Kontoinformationen abgeflossen sind, von rund 230.000 auf rund 220.000. Seit dem 10. werden Benachrichtigungen an Kunden verschickt, bei denen ein Datenabfluss bestätigt wurde; Priorität haben zunächst die rund 220.000 Kunden, deren Kontoinformationen offengelegt wurden. Die Benachrichtigung aller 4,4 Millionen Kunden soll bis Ende Juli abgeschlossen sein.

Nach dem Abfluss von Kontoinformationen bemühen sich auch die Banken um eine rasche Überprüfung. Eine Großbank hat Aflac aufgefordert, klarzustellen, wie viele Fälle die eigene Bank unter den betroffenen Kunden habe. Man werde die Lage weiter prüfen, einschließlich der Identifizierung der Kontoinhaber. Auch eine andere Großbank überwacht weiterhin Transaktionen auf mögliche unbefugte Nutzung.

Allein mit einer Bankkontonummer sind unmittelbare unbefugte Abhebungen zwar nicht möglich. Wenn jedoch die Vermutung von PINs und der Abfluss von Passwörtern für Online-Banking hinzukommen, steigt das Risiko von Folgeschäden.

Aufklärung der Ursache und Reaktion der Finanzaufsicht

Aflac hat direkt unter dem Präsidenten eine Krisenstäbe eingerichtet und die Aufklärung der Ursache unter Einbeziehung externer Cybersicherheitsexperten vorangetrieben. Nach Angaben von Beteiligten soll der Täter auf irgendeine Weise die IDs und Passwörter mehrerer Kunden gestohlen und sich als Vertragskunde ausgegeben haben, um auf die spezielle Website zuzugreifen. Eine Identifizierung ist bislang jedoch nicht gelungen, auch nicht dahingehend, ob es sich um eine Einzelperson oder eine Organisation handelt.

Mit der Verbreitung fortgeschrittener KI, etwa des von Anthropic in den USA angebotenen 'Muthos', wird auch auf das Risiko hingewiesen, dass kriminelle Gruppen bislang nicht öffentlich bekannte Schwachstellen ausnutzen. Beteiligte gehen jedoch davon aus, dass bei dem jüngsten unbefugten Zugriff 'die Nutzung von KI unwahrscheinlich war und es sich um eine klassische Methode handelte'.

Die Finanzaufsicht erließ am 30. Juni auf Grundlage des Versicherungsgesetzes eine Anordnung zur Vorlage eines Berichts. Aflac will bis Ende Juli einen Bericht einreichen, der die Analyse der Ursache und Maßnahmen zur Verhinderung eines erneuten Vorfalls zusammenfasst.

Cyberangriffe auf Finanzinstitute

Cyberangriffe auf Finanzinstitute im Inland nehmen derzeit zu. Seit etwa März 2025 kam es bei mehreren Wertpapierfirmen zu einer Reihe unbefugter Aktiengeschäfte durch die Übernahme von Konten. Kriminelle Gruppen stahlen per Phishing und anderen Methoden IDs und Passwörter und erzielten durch Marktmanipulation unter dem Namen der Kunden Gewinne. Die Unternehmen treiben Gegenmaßnahmen voran, etwa die verpflichtende Nutzung von Passkeys, die kryptografische Schlüssel auf dem Endgerät erzeugen.

Im Juni 2025 teilte Sompo Japan Insurance mit, dass es von außen unbefugt angegriffen worden sei und möglicherweise Informationen zu rund 17,5 Millionen Datensätzen, darunter von Vertragskunden, eingesehen worden seien. Ziel war ein System zum Austausch von Informationen mit Vertriebspartnern. Sompo Japan Insurance erhielt von der Finanzaufsicht eine Berichtsanordnung, erarbeitete Maßnahmen zur Verhinderung eines erneuten Vorfalls und tätigte zusätzliche Investitionen, etwa für die Einführung einer mehrstufigen Verteidigung. Das von dem unbefugten Zugriff betroffene System ist weiterhin abgeschaltet.

Wenn Ihnen dieser Artikel geholfen hat, teilen Sie ihn gerne.