Datenleck beim Billigshop Shein: Millionen-Strafe in den USA

Wegen eines Datenlecks aus dem Jahr 2018 muss das E-Commerce-Unternehmen Shein in den USA nun 1,9 Millionen US-Dollar Strafe zahlen. Bei dem Cyberangriff sollen Daten von 39 Millionen Konten abgegriffen worden sein. Weil 375.000 davon in New York leben, hat die dortige Staatsanwaltschaft nun eine Strafe gegen das chinesische Unternehmen verhängt.

Shein ist eine besondere Art Billiganbieter für Kleidung, der Durchlauf bei "Fast Fashion" ist extrem hoch. Die Kritik belief sich entsprechend bisher eher auf die Umweltverschmutzung durch Altkleiderberge. Nun folgt das Bekanntwerden eines laxen Umgangs mit den Daten. Denn Shein beziehungsweise das Mutterunternehmen Zoetop soll nur einen Bruchteil der Kunden informiert haben, deren Nutzerdaten gestohlen wurden. Darauf bezieht sich denn auch die Strafe.

Cyberangriff auf E-Mail und Passwörter

In einer Pressemitteilung von 2018 steht, es habe einen "konzertierten kriminellen Cyberangriff" auf das Computernetzwerk von Shein gegeben, Schadsoftware sei gefunden worden, die eine "Back door" geöffnet hat. Dabei wurden E-Mail-Adressen samt "verschlüsselter Passwörter" gestohlen. Damals hieß es noch, von Juni bis August 2018 seien 6,42 Millionen Konten betroffen und: "Shein wird diese Information unter Umständen zu einem späteren Zeitpunkt aktualisieren, wenn neue Erkenntnisse vorliegen". Inzwischen ist von 39 Millionen Konten die Rede. Zudem ist klar, dass die Passwörter ausgelesen werden konnten.

Zudem steht in der Urteilsverkündung, dass Shein beziehungsweise Zoetop bereits im Juli von einem Kreditkartenunternehmen darauf aufmerksam gemacht wurde, dass es wahrscheinlich eine Sicherheitslücke gebe. Demnach wurden auch Kreditkartendaten gestohlen. Das "Kreditkarten-Netzwerk", genauer ist es nicht benannt, hat Kreditkartennummern von Shein-Kunden im Internet zum Verkauf angeboten gefunden, stellte Betrugsversuche fest und forderte Aufklärung. Als sich der Verdacht bestätigte, informierte Shein 6,42 Millionen Nutzerinnen und Nutzer, dass sie ihr Passwort ändern sollten, statt, wie die New Yorker Staatsanwaltschaft nun kritisiert, 39 Millionen geleakte Konten zu einem Wechsel des Passworts zu zwingen. Im Zweifel können damit noch immer gestohlene Zugangsdaten funktionieren.

Shein hat seinen Sitz erst kürzlich von China nach Singapur verlegt. Während der Pandemie hatte der online-Händler seinen ersten großen Zuwachs zu verzeichnen, wächst aber wohl noch immer. Ähnlich wie der irische Billiganbieter Primark verzichtete Shein auf eine PR- und Marketingabteilung sowie klassische Werbung. Auch für die damalige Pressemitteilung wurde extra eine Agentur beauftragt.

(emw)