Die größten Cyberangriffe in Spanien

Das Jahr 2026 begann für spanische Unternehmen schlecht. Allein in den ersten Wochen des Jahres wurde ein Sicherheitsvorfall bei Endesa bestätigt, das Finanzministerium leitete Ermittlungen wegen eines Hackerangriffs ein, und der Hafen von Vigo, die Fitnessstudio-Kette Basic Fit, Inditex sowie die Supermarktkette Ahorramás wurden als Angriffsziele gemeldet.

Das Jahr zuvor war nicht besser: Bei Telefónica, El Corte Inglés, Mango, Santander und ING wurden Kundendaten offengelegt. Dieser Artikel befasst sich mit acht dokumentierten Fällen, den tatsächlich offengelegten Daten sowie dem Muster, das fast alle diese Fälle verbindet.

Die größten Cyberangriffe in Spanien

1. Endesa (2026): 20 Millionen Kunden angegeben

Das Energieunternehmen bestätigte einen Sicherheitsvorfall, bei dem personenbezogene Kundendaten offengelegt wurden, darunter Kontaktdaten, DNI-Nummern, IBAN-Bankkontonummern und Vertragsdaten. Ein unter dem Decknamen „Spain“ agierender Angreifer gab an, eine Datenbank von mehr als einem Terabyte extrahiert zu haben, die Informationen zu über 20 Millionen Menschen enthält.

Endesa informierte die betroffenen Kunden, und INCIBE, das spanische nationale Institut für Cybersicherheit, veröffentlichte eine öffentliche Warnung.

2. Finanzministerium (2026): eine Untersuchung von 47 Millionen Datensätzen

Das Finanzministerium hat einen gemeldeten Einbruch in seine Datenbanken untersucht. Nach Angaben des Angreifers wurden personenbezogene Daten sowie Bank- und Steuerdaten von mehr als 47 Millionen Bürgern offengelegt. Das Threat-Intelligence-Unternehmen Hackmanac hat einen Akteur identifiziert, der sich „HaciendaSec“ nennt. Diese Zahl stammt vom Angreifer und nicht vom Ministerium und sollte daher als Behauptung und nicht als bestätigte Gesamtzahl verstanden werden.

3. Telefónica (2025): 22 Millionen Kundendatensätze

Der Telekommunikationskonzern wurde Opfer eines Datenlecks, bei dem rund 22 Millionen Kundendatensätze kompromittiert wurden. Telefónica gehört zu den am häufigsten angegriffenen spanischen Unternehmen, was zum Teil auf die große Menge an Kundendaten zurückzuführen ist, über die das Unternehmen verfügt.

4. El Corte Inglés (2025): Der Lieferant war der Einstieg

Am 2. März 2025 informierte El Corte Inglés seine Kunden darüber, dass bei einem seiner externen Lieferanten ein unbefugter Zugriff auf personenbezogene Daten stattgefunden habe. Dabei seien identifizierende Daten und Zahlungskartendaten offengelegt worden, doch das Unternehmen erklärte, dass die offengelegten Kartendaten allein nicht für Zahlungen verwendet werden könnten.

Was dann folgte, ist besonders interessant. Innerhalb weniger Tage startete eine Smishing-Kampagne: Kriminelle gaben sich per SMS als die Finanzabteilung des Einzelhändlers aus, um Anmeldedaten zu erbeuten. Die Verbraucherorganisation OCU gab eine öffentliche Warnung heraus.

5. Mango (2025): ebenfalls über einen Lieferanten

Der Modehändler wurde Opfer eines Datenlecks, als sein externer Marketingdienstleister unbefugten Zugriff auf personenbezogene Daten ermöglichte. Das gleiche Muster wie bei El Corte Inglés: Der Angreifer drang nicht über die „Haustür“ der Marke ein.

6. Booking-Nutzer (2025): Der Angriff erfolgte nach dem Datenleck

Nutzer der Reiseplattform wurden Ziel einer Kampagne, bei der gestohlene Buchungsdaten mit überzeugenden Folge-Nachrichten kombiniert wurden. Da die Kriminellen über echte Buchungsdaten verfügten, ließen sich ihre Nachrichten weitaus schwerer als gewöhnliche Phishing-Versuche abtun. Dies ist das deutlichste Beispiel in dieser Liste dafür, warum gestohlene Daten selten das Ende eines Vorfalls darstellen, sondern vielmehr den Beginn des nächsten.

7. Santander und ING (2025): Tausende von Bankkunden

Bei beiden Banken kam es zu einem Datenleck mit Kundendaten. In einer Branche, in der schon eine einzige überzeugende Nachricht Geldbewegungen auslösen kann, haben durchgesickerte Kundendaten unmittelbaren Wert.

8. Die Welle von 2026: Vigo, Basic Fit, Inditex, Ahorramás

Abgesehen von den besonders Aufsehen erregenden Fällen gab es in den ersten Wochen des Jahres 2026 gemeldete Vorfälle im Hafen von Vigo, bei der Fitnessstudio-Kette Basic Fit, bei Inditex und bei der Supermarktkette Ahorramás. Häfen, Fitnessstudios, Einzelhandel: Es gibt mittlerweile keinen Sektor mehr, der als unwahrscheinliches Ziel gilt.

Was diese Angriffe gemeinsam haben

In dieser Liste lassen sich zwei Muster erkennen, von denen keines technischer Natur ist.

Der Anbieter ist der Einstiegspunkt. Bei El Corte Inglés und bei Mango hat der Angreifer die markeneigenen Systeme nie berührt. Er nutzte einen externen Anbieter, der Kundendaten speicherte. Ihre Sicherheit ist nur so stark wie die des Partners, mit dem Sie Ihre Datenbank geteilt haben – und die meisten Unternehmen arbeiten mit Dutzenden solcher Partner zusammen.

Der Datenleck ist der Anfang, nicht das Ende. Der Fall „El Corte Inglés“ zeigt dies deutlich: Bereits wenige Tage nach dem Datenleck versendeten Kriminelle SMS-Nachrichten, in denen sie sich als Finanzabteilung des Unternehmens ausgaben. Sie verfügten über echte Kundendaten, was die Nachricht glaubwürdig machte. Das Gleiche geschah mit Nutzern von „Booking“, wo echte Buchungsdaten es nahezu unmöglich machten, die Folge-Nachricht von einer echten Nachricht zu unterscheiden. Das Datenleck liefert die Munition; der Angriff, der Geld kostet, folgt später und zielt auf Menschen ab.

In dieser zweiten Phase kann ein Unternehmen noch eingreifen. Eine Firewall kann einen Mitarbeiter nicht davon abhalten, auf eine Nachricht zu reagieren, die korrekte Informationen über eine echte Transaktion enthält. Ein geschulter Mitarbeiter hingegen schon. Dahinter steckt derselbe Mechanismus wie beim „Baiting“: Der Angreifer liefert einen Grund zum Handeln, und die Entscheidung fällt innerhalb von Sekunden.

So schützen Sie Ihr Unternehmen

Backups, Patches und Zugriffskontrolle bilden die Grundlage. Darüber hinaus sind für die oben genannten Muster drei Aspekte von Bedeutung:

• Prüfen Sie, wer Ihre Daten verwahrt. Wenn ein Marketingdienstleister oder Logistikpartner über Ihre Kundendatenbank verfügt, geht das damit verbundene Sicherheitsrisiko nun zu Ihren Lasten. Fragen Sie nach, welche Maßnahmen diese Unternehmen zur Sensibilisierung ihrer Mitarbeiter ergreifen – nicht nur in Bezug auf Verschlüsselung.
• Bereiten Sie sich auf die zweite Welle vor. Gehen Sie davon aus, dass es irgendwann irgendwo zu einem Datenleck kommen wird. Ausschlaggebend für das Ausmaß des Schadens ist, ob Ihre Mitarbeiter die überzeugende Botschaft erkennen, die danach eintrifft.
• Üben statt unterweisen. Realistische Phishing-Simulationen zeigen, welche Abteilungen Unterstützung benötigen, bevor ein Angreifer dies für Sie herausfindet.

Für Organisationen, die unter die NIS2-Richtlinie fallen, sind Sensibilisierungsschulungen nicht mehr freiwillig. Dies wird in der Richtlinie ausdrücklich erwähnt, und unser NIS2-Leitfaden erläutert, was dies in der Praxis bedeutet.