Datenleck bei Under Armour: 72 Millionen Datensätze geleakt – was Unternehmen jetzt daraus lernen sollten

Stand: 21. Januar 2026 – zuletzt aktualisiert

Das Datenleck bei Under Armour ist ein gutes Beispiel dafür, wie schnell aus einem Einbruch (hier: im Kontext einer Ransomware-Gruppe) ein nachgelagerter Risiko-Cluster entsteht: Daten tauchen in Untergrundforen auf, werden weiterverkauft und später in Aggregatoren wie Have I Been Pwned (HIBP) verarbeitet. [News]

Für IT- und Security-Verantwortliche ist dabei weniger die Marke relevant – sondern die Frage: Welche Folgeangriffe werden dadurch wahrscheinlicher? Und: Welche Kontrollen reduzieren das Risiko messbar?

1. Was ist passiert – und warum ist das relevant?

Laut der Berichterstattung wurden 72,7 Millionen Datensätze, die Under Armour zugeordnet werden, in das Projekt Have I Been Pwned aufgenommen. Der Hintergrund: Eine Ransomware-Gruppe soll im Herbst des Vorjahres Daten entwendet haben; später tauchten Kundendaten in einem bekannten Untergrundforum auf. [News]

Entscheidend für Unternehmen ist die praktische Konsequenz: Solche Datensätze werden selten „nur“ veröffentlicht – sie werden angereichert (z. B. mit anderen Leaks), segmentiert (z. B. nach Regionen/Sprachen) und dann für zielgerichtete Angriffe genutzt. Das erhöht die Trefferquote von Phishing und senkt die Kosten für Angreifer.

2. Betroffenheit prüfen: pragmatischer Ansatz

Eine saubere Betroffenheitsprüfung ist mehr als „E-Mail-Adresse gefunden = Incident“. In der Praxis bewährt sich eine dreistufige Sicht: (1) Exposure (tauchen Adressen auf?), (2) Wiederverwendung (werden Passwörter recycelt?) und (3) Angriffsindikatoren (sehen wir bereits Login-Anomalien?).

2.1 Exposure: Welche Adressen sind realistisch relevant?

• Unternehmensdomain: z. B. @firma.de – wenn Mitarbeitende Accounts mit Firmenadressen bei Drittanbietern nutzen.
• Privatadressen mit Bezug zum Unternehmen: wenn diese im SSO-/Recovery-Kontext oder für Admins im Einsatz sind (Anti-Pattern, aber häufig).
• Shared Mailboxes: sales@, info@ – besonders attraktiv für Phishing, weil sie „offiziell“ wirken.

2.2 Wichtig: Datenschutz & interne Prozesse

Bei der Prüfung personenbezogener Daten (auch von Mitarbeitenden) sollten Sie – abhängig von Land/Unternehmen – Betriebsrat, Datenschutz und interne Richtlinien einbeziehen. Ziel ist eine risikobasierte Prüfung, keine flächendeckende Überwachung.

3. Typische Folge-Risiken: Phishing, ATO, BEC

Laut der Zusammenfassung sollen viele Einträge neben E-Mail-Adressen auch persönliche Merkmale und Informationen zu Käufen enthalten. Solche Kontextdaten sind für Angreifer wertvoll, weil sie Glaubwürdigkeit erzeugen (z. B. „Bezug auf Bestellung/Retouren“). [News]

3.1 Spear-Phishing mit „echtem“ Kontext

Erwartbar sind E-Mails, die sich als Support, „Rückerstattung“, Bonusprogramme oder Lieferprobleme tarnen. Das BSI empfiehlt hier u. a., auf Handlungsdruck, ungewöhnliche Links/Anhänge und Absenderanomalien zu achten – und organisatorische Meldewege zu etablieren. [Leitfaden]

3.2 Credential Stuffing & Account Takeover (ATO)

Sobald Angreifer eine Liste aus E-Mail-Adressen besitzen, testen sie automatisiert bekannte Passwortmuster – besonders dort, wo MFA fehlt. Deshalb sind MFA, Rate-Limits und Credential-Stuffing-Detektion zentrale Kontrollen.

3.3 Business E-Mail Compromise (BEC) als sekundäres Risiko

Ein „privater“ Leak kann zum BEC-Risiko werden, wenn (a) Mitarbeitende Passwörter wiederverwenden oder (b) Angreifer durch Kontextdaten glaubwürdig interne Kommunikation imitieren („Ich war gerade im Shop, brauche schnell…“). Das ist weniger Technik – und mehr Prozess, Freigaben und Awareness.

4. Konkrete Maßnahmen (Quick Wins bis nachhaltige Controls)

Die folgende Roadmap priorisiert Maßnahmen so, dass Sie kurzfristig das Risiko senken und langfristig robuste Kontrollen etablieren – ohne Over-Engineering.

4.1 Quick Wins (1–7 Tage)

• Awareness-Impulse „Just in Time“: 10-Minuten-Update an Mitarbeitende: typische Under-Armour-Bezugsmaschen, Meldeweg, „nicht klicken, melden“.
• MFA-Review: MFA-Quote für kritische Rollen (Admin, Finance, HR, IT) prüfen und konsequent nachziehen.
• Session-Hygiene: Bei konkretem Verdacht: Sessions invalidieren, Tokens zurücksetzen, Risk-Logins blocken.
• Mail-Gateway-Policy: Link-Detonation/URL-Rewrite, Attachment-Sandboxing, stärkere Quarantäne für „external“ + Dringlichkeit.

4.2 Stabilisierung (2–6 Wochen)

• DMARC/SPF/DKIM konsolidieren: Reduziert Spoofing und verbessert die Signalerkennung (auch intern im SOC).
• Conditional Access / Risk-based Access: Geo-/Device-/Impossible-Travel-Detektion, Schritt-up MFA, Block für Legacy Auth.
• Credential-Stuffing-Defense: Rate-Limits, Bot-Management, Passwort-Policy (inkl. blockierter Leaked-Passwörter, sofern Plattform verfügbar).
• Runbooks: Klare Incident-Playbooks (Wer entscheidet? Wer kommuniziert? Welche Systeme zuerst?) – orientiert an etablierten IR-Praktiken. [Best Practice]

4.3 Nachhaltig (6–12 Wochen)

• Identity as the new perimeter: Zero-Trust-nahe Maßnahmen: Least Privilege, PAM, starke Admin-Separation.
• Telemetry & Detection Engineering: Baselines für Login-/Mailbox-/Forwarding-Anomalien, Alert-Tuning, „known good“ Modelle.
• Drittanbieter-Risiko: Governance für SaaS-Nutzung (welche Dienste dürfen mit Firmenmail genutzt werden? wie ist MFA enforced?).

5. Checkliste für Security-Teams

6. FAQ

Wie prüfe ich, ob meine Organisation oder Mitarbeitende betroffen sind?

Prüfen Sie E-Mail-Domains und bekannte Adressen über etablierte Leak-Checking-Prozesse (z. B. über HIBP für Einzeladressen) und korrelieren Sie Treffer mit IAM-Logs (MFA-Status, ungewöhnliche Logins) sowie E-Mail-Security-Events. Wichtig: Datenschutz und Betriebsvereinbarungen beachten.

Welche Risiken entstehen, wenn „nur“ E-Mail-Adressen und Profildaten geleakt wurden?

Auch ohne Zahlungsdaten können Angreifer sehr zielgerichtetes Phishing, Credential Stuffing und Account-Takeover vorbereiten. Besonders riskant sind Kombinationen aus E-Mail + Name + Ort + Kaufhistorie, weil sie Vertrauen schaffen.

Muss ein Unternehmen nach einem Datenleck immer an Aufsichtsbehörden melden?

Wenn personenbezogene Daten betroffen sind, ist häufig eine Bewertung nach DSGVO erforderlich (Risiko für Rechte und Freiheiten). Ob eine Meldung nötig ist, hängt vom Einzelfall ab. Entscheidend sind Art der Daten, Umfang, Schutzmaßnahmen und das zu erwartende Risiko.

Welche Sofortmaßnahmen sind am wirksamsten?

Fokus auf Identitätsschutz (MFA, Passwort-Resets für risikobehaftete Accounts), E-Mail-Sicherheit (Anti-Phishing, DMARC), Monitoring (Anomalien) und klare Incident-Kommunikation. Parallel: Ursachenanalyse und Hardening der betroffenen Systeme.

Fazit: Datenleck bei Under Armour als praxisnaher Security-Realitätscheck

Das Datenleck bei Under Armour zeigt ein Muster, das wir in vielen Incidents sehen: Selbst wenn primär „nur“ Kundendaten betroffen sind, entsteht für Unternehmen schnell ein konkretes Folge-Risiko über Phishing, Credential Stuffing und Identitätsmissbrauch. Wer jetzt pragmatisch in Identity- und E-Mail-Controls investiert und Incident-Prozesse schärft, reduziert das Risiko messbar – und stärkt gleichzeitig Compliance und Business-Kontinuität.