Mindfactory: Angriff auf Shop, Kundendaten und Passwörter möglicherweise abgeflossen
Mindfactory hat am 6. November 2026 Kunden über einen Hackerangriff informiert. Adressdaten, E-Mail-Adressen, Telefonnummern und verschlüsselt gespeicherte Passwörter könnten abgeflossen sein. Zahlungsdaten liegen laut Händler nicht im Shop. Firmen mit Beschaffungskonten sollten Passwörter prüfen und Mitarbeitende vor Phishing warnen.
Der Hardware-Händler Mindfactory hat am 6. November 2026 seine Kunden per E-Mail über einen Hackerangriff auf die eigenen Systeme informiert. Nach eigenen Angaben kann das Unternehmen nicht ausschließen, dass Angreifer Adressdaten, E-Mail-Adressen, Telefonnummern und verschlüsselt gespeicherte Passwörter erbeutet haben. Alle Shop-Passwörter wurden vorsorglich zurückgesetzt.
Informiert hat Mindfactory nach eigenen Angaben alle Kunden, die seit der Übernahme durch die heise group im Juli 2025 bestellt haben. Darunter dürften auch Firmen sein, die dort Hardware beschaffen. Bank- und Kreditkartendaten liegen nach Angaben des Händlers nicht im Shopsystem. Wer das Mindfactory-Passwort auch an anderer Stelle verwendet hat, sollte es dort nach Einschätzung der Redaktion sofort ändern und nicht bis zum nächsten Wartungsfenster warten.
Was ist passiert?
In der Kundenmail, die ComputerBase im Wortlaut veröffentlicht hat, spricht Mindfactory von einem Hackerangriff auf die Systeme. Hinweise auf Passwörter im Klartext gebe es nach derzeitigem Kenntnisstand nicht. Der Vorfall wurde der zuständigen Landesdatenschutzbehörde gemeldet, außerdem hat das Unternehmen Strafanzeige erstattet. Wann der Angriff stattfand und wie die Angreifer eingedrungen sind, geht aus der Mitteilung nicht hervor.
Laut heise erklärte der Geschäftsführer von Mindfactory außerdem, dass der Vorfall forensisch untersucht werde, das Unternehmen nicht erpresst werde und die ausgenutzte Lücke geschlossen sei. Mindfactory vermutet, dass es die Angreifer auf Zahlungsdaten abgesehen hatten. Für neue Passwörter komme ein „noch moderneres“ Hash-Verfahren zum Einsatz. Welches Verfahren die bisherigen Passwörter schützte, ist nicht bekannt. Die heise mindfactory GmbH ist eine Tochter der heise group, zu der auch heise medien mit heise online gehört.
Wer ist betroffen?
Die Mail ging an Kunden mit einer Bestellung seit Juli 2025. Zurückgesetzt wurden laut heise aber alle Kundenpasswörter des Shops, jeder Kontoinhaber muss also ein neues Passwort vergeben. Welche Daten welcher Kunden tatsächlich abgeflossen sind, sagt bisher keine Quelle. Mindfactory beschreibt für den Neustart folgenden Weg: Nach einem Klick auf den Link in der Mail schickt der Shop ein temporäres Passwort, mit dem sich Kunden anmelden und anschließend unter „Mein Konto“ ein neues festlegen.
Nicht betroffen sind laut Mindfactory Bank- und Kreditkartendaten, weil diese bei den Zahlungsdienstleistern gespeichert werden. Wie viele Konten der Vorfall umfasst, hat das Unternehmen nicht mitgeteilt.
Wie kritisch ist das?
Ein direkter Schaden am Shop-Konto ist durch den Passwort-Reset weitgehend eingedämmt. Das größere Risiko liegt nach eigener Einschätzung der Redaktion an zwei anderen Stellen. Erstens lassen sich abgeflossene Passwort-Hashes offline angreifen, schwache oder kurze Passwörter könnten so trotz Schutz lesbar werden. Wurde dasselbe Passwort für Mail, Microsoft 365 oder andere Dienste verwendet, sind diese Konten gefährdet. Zweitens passen Name, Anschrift, Telefonnummer und das Wissen, Mindfactory-Kunde zu sein, gut zu glaubwürdigem Phishing. Mindfactory warnt selbst vor gezielten Betrugsversuchen per E-Mail, SMS und Telefon. Weil der echte Reset über einen Link in einer Mail läuft, dürften gefälschte „Passwort zurücksetzen“-Mails besonders überzeugend wirken.
Was sollten Admins jetzt tun?
- Inventar: klären, ob die Firma oder einzelne Beschäftigte mit dienstlicher Adresse ein Mindfactory-Konto haben, etwa für die Hardware-Beschaffung.
- Das Passwort des Shop-Kontos auf dem von Mindfactory beschriebenen Weg neu setzen und vorher prüfen, ob die Mail wirklich von Mindfactory stammt, also Absender und Linkziel kontrollieren.
- Prüfen, ob das alte Passwort anderswo verwendet wurde, besonders bei Postfächern, Microsoft 365 und Lieferantenportalen, und es dort ersetzen.
- Für dienstliche Konten, wo möglich, Mehrfaktor-Anmeldung aktivieren.
- Beschäftigte, besonders Einkauf und Buchhaltung, vor Anrufen, SMS und Mails mit Bezug zu Mindfactory-Bestellungen warnen.
- Anmeldeprotokolle von Diensten, bei denen dasselbe Passwort im Einsatz war, auf fremde Anmeldungen durchsehen.
Einordnung für Unternehmen
Der Fall zeigt erneut, dass Händlerkonten oft am Rand der Passwortrichtlinie liegen. Wer Shop-Konten für die Beschaffung mit einer Firmenadresse anlegt, sollte sie wie jedes andere dienstliche Konto behandeln: eigenes, zufälliges Passwort, Ablage im zentralen Passwort-Manager und ein Verantwortlicher, der bei solchen Mitteilungen reagiert. Die Angaben von Mindfactory sind bisher knapp, der Händler will neue Erkenntnisse nachreichen. Bis dahin ist der Passwortwechsel an allen Stellen mit gleichem Passwort die wichtigste Maßnahme.
In eigener Sache
Für kleine Unternehmen, die Passwörter zentral und sicher verwalten wollen, betreibt S-EDV mit Passwortheld einen eigenen Passwort-Manager auf Basis von Vaultwarden.
Passende Anleitungen auf S-EDV
- Phishing erkennen und melden: Kurzleitfaden fürs Team
- Vaultwarden produktiv betreiben: Argon2-Admin-Token, Fail2Ban und sicheres Backup
