3,6 Millionen Azure-Datensätze im Darknet: McDonald's, Vodafone und TCS betroffen

Was ist passiert?

Ein Cyberkrimineller, der unter dem Alias TheHatman auftritt, bietet seit Ende Juli 2026 in einschlägigen Untergrundforen mehrere Datensätze zum Verkauf an, die angeblich aus Microsoft-Azure- und Entra-ID-Umgebungen namhafter internationaler Unternehmen stammen. Wie BornCity und BleepingComputer übereinstimmend berichten, sollen insgesamt rund 3,6 Millionen Datensätze betroffen sein – darunter Mitarbeiterverzeichnisse von McDonald's, Gap Inc., Vodafone, Kyndryl, Tata Consultancy Services (TCS), HCL Technologies und InterContinental Hotels Group (IHG).

Bei den angebotenen Daten handelt es sich nach bisherigem Kenntnisstand vor allem um Verzeichnisinformationen aus Microsoft Entra ID (früher Azure Active Directory), also typischerweise Namen, E-Mail-Adressen, Abteilungszugehörigkeiten und teils weitere organisatorische Metadaten von Mitarbeitenden der betroffenen Unternehmen. Eine unabhängige, vollständige Verifikation aller Datensätze durch die betroffenen Unternehmen steht zum Zeitpunkt der Berichterstattung noch aus.

Wer ist betroffen?

Die Liste der betroffenen Organisationen liest sich wie ein Auszug aus den Fortune-500-Rankings mehrerer Branchen – ein Hinweis darauf, dass es sich möglicherweise nicht um einen gezielten Einzelangriff auf ein Unternehmen handelt, sondern um eine breiter angelegte Kampagne gegen mehrere Microsoft-Cloud-Mandanten oder um Daten aus einer gemeinsamen Quelle, etwa einem kompromittierten Dienstleister mit Zugriff auf mehrere Entra-Tenants.

Wie kam es vermutlich dazu?

Zum genauen Angriffsweg gibt es bislang keine offizielle Bestätigung der betroffenen Unternehmen. Sicherheitsforscher und Berichterstatter gehen jedoch davon aus, dass die Daten entweder über kompromittierte Administratorkonten mit Zugriff auf Entra ID, über eine Schwachstelle in einer verbundenen Drittanbieter-Anwendung oder über einen kompromittierten IT-Dienstleister mit Zugriff auf mehrere Kundenumgebungen abgeflossen sein könnten. Solche indirekten Kompromittierungswege über die Lieferkette sind bei großen Datenlecks in den vergangenen Jahren wiederholt die Ursache gewesen.

Auffällig ist, dass mehrere der genannten Unternehmen (TCS, HCL, Kyndryl) selbst große IT-Dienstleister sind, die wiederum für zahlreiche weitere Kunden Cloud- und Verzeichnisdienste verwalten. Sollte sich ein Zusammenhang über einen gemeinsamen Dienstleister bestätigen, könnte der tatsächliche Kreis der Betroffenen deutlich über die bislang namentlich genannten Konzerne hinausgehen.

Warum das auch für KMU relevant ist

Auf den ersten Blick betrifft dieser Fall nur Großkonzerne. Für kleine und mittlere Unternehmen lohnt sich der Blick auf den Fall trotzdem aus mehreren Gründen:

1. Viele KMU nutzen dieselben IT-Dienstleister (TCS, HCL und vergleichbare Anbieter betreuen häufig auch mittelständische Kunden über Subunternehmer)
2. Verzeichnisdaten aus Entra ID sind eine ideale Grundlage für gezielte Phishing- und Social-Engineering-Angriffe gegen Mitarbeitende
3. Der Fall zeigt exemplarisch, wie wichtig eine strikte Zugriffskontrolle für Administratorkonten in der eigenen Microsoft-365- oder Azure-Umgebung ist
4. Auch kleinere Unternehmen sollten prüfen, welche externen Dienstleister administrativen Zugriff auf die eigene Cloud-Umgebung besitzen und wie dieser Zugriff abgesichert ist

Was Admins jetzt tun sollten

1. Multi-Faktor-Authentifizierung (MFA) für alle administrativen Konten in Entra ID konsequent erzwingen, sofern noch nicht geschehen
2. Conditional-Access-Richtlinien überprüfen: Admin-Zugriffe möglichst auf bekannte Standorte und Geräte beschränken
3. Zugriffsrechte externer Dienstleister und Partner-Tenants regelmäßig auditieren und nach dem Least-Privilege-Prinzip einschränken
4. Mitarbeitende für gezieltes Phishing sensibilisieren, das auf öffentlich gewordenen Verzeichnisdaten aufbaut
5. Sign-in-Logs und Audit-Logs in Entra ID auf ungewöhnliche Admin-Aktivitäten der letzten Wochen durchsehen
6. Break-Glass-Notfallkonten regelmäßig überprüfen und deren Absicherung dokumentieren
7. Kein bestätigter Zusammenhang mit einer konkreten Microsoft-Sicherheitslücke bekannt
8. Verkauf läuft laut Berichten seit dem 31. Juli 2026 in einschlägigen Foren
9. Betroffene Unternehmen haben sich zum Zeitpunkt der Berichterstattung noch nicht öffentlich im Detail geäußert
10. Der Fall reiht sich in eine wachsende Zahl von Vorfällen mit Bezug auf Cloud-Verzeichnisdienste ein

Einordnung im größeren Kontext

Fälle wie dieser zeigen einen klaren Trend: Angreifer zielen zunehmend nicht mehr nur auf einzelne Server oder Endgeräte, sondern auf zentrale Cloud-Verzeichnisdienste, über die sich mit einem einzigen kompromittierten Zugang potenziell tausende Mitarbeiterdatensätze auf einen Schlag abgreifen lassen. Für die eigene Sicherheitsstrategie bedeutet das, Identity- und Access-Management nicht als Nebenschauplatz, sondern als zentrales Sicherheitsthema zu behandeln – unabhängig von der Unternehmensgröße.

Passende Anleitungen auf S-EDV

1. Microsoft 365: MFA und Conditional Access in Entra ID einrichten
2. Microsoft 365 Admin absichern: Pflicht-MFA 2026 und Break-Glass-Notfallkonten richtig einrichten

Quellen

1. BornCity: 3,6 Millionen Azure Daten von McDonald's, Vodafone, TCS, HCL, IHG etc. im Verkauf
2. BleepingComputer: Hacker claims 3.6 million Azure account records stolen from major companies
3. Ad-hoc-News: Azure-Leak – 3,64 Millionen Datensätze von McDonald's, TCS, Vodafone