Polnische Staatsanwaltschaft untersucht Datenleck bei Żabka nach Hackerangriff

Ermittlungsverfahren in Posen eingeleitet

Die Bezirksstaatsanwaltschaft Posen-Wilda in Westpolen hat ein formelles Ermittlungsverfahren zu einem Cyberangriff auf den Betreiber von Convenience-Shops Żabka eingeleitet. Die Ermittlungen konzentrieren sich auf mögliche Straftaten nach Artikel 267 Absatz 1 des polnischen Strafgesetzbuchs, der die rechtswidrige Erlangung von Informationen durch Umgehen oder Brechen elektronischer und computersicherheitstechnischer Maßnahmen regelt. Nach polnischem Recht erfolgt die Strafverfolgung nach dieser Vorschrift auf formellen Antrag der geschädigten Partei; die gesetzlichen Strafen reichen von Geldstrafen und Freiheitsbeschränkung bis zu zwei Jahren Haft. Die Ermittler untersuchen digitale Spuren, um die genaue Methode des Eindringens in die Infrastruktur des Einzelhändlers zu ermitteln. Die Regionalbehörden bestätigten, dass sich die Ermittlungen noch in einem frühen Stadium befinden und keine formellen Anklagen gegen Verdächtige erhoben wurden.

Łukasz Wawrzyniak, Sprecher der Regionalstaatsanwaltschaft in Posen, beschrieb den Umfang der laufenden Ermittlungsmaßnahmen.

Das Verfahren befindet sich in einem frühen Stadium, und die im Rahmen des Verfahrens ergriffenen Maßnahmen betreffen die Möglichkeit der Begehung einer Straftat nach Artikel 267 Absatz 1 des Strafgesetzbuchs. Gegen niemanden wurden Anklagen erhoben. In diesem Stadium des Verfahrens gibt die Staatsanwaltschaft aus Gründen des Interesses und der Geheimhaltung des Verfahrens keine Informationen über die getroffenen Feststellungen und geplanten Aktivitäten. Ich kann nur hinzufügen, dass die derzeitigen Aktivitäten der Ermittler darauf abzielen, den Mechanismus der Umgehung und Überwindung von Sicherheitsmaßnahmen zu ermitteln, was weitere Maßnahmen ermöglichen wird.

Kompromittiertes Drittanbieterkonto und Erpressungsversuch

Der Sicherheitsvorfall begann Anfang August 2026, als unbefugte Aktivitäten in den technischen Systemen festgestellt wurden, die die Kommunikation zwischen dem Franchisegeber und den einzelnen Franchisenehmern ermöglichen. Die Pressestelle von Żabka erklärte, dass die Täter durch Kompromittierung eines Kontos eines externen Dienstleisters Zugang erlangten. Die Sicherheitsteams des Unternehmens trennten das Konto sofort nach der Erkennung, um unbefugte Bewegungen im Netzwerk zu stoppen. Der Einzelhändler reichte anschließend offizielle Benachrichtigungen über den Vorfall bei seinem internen Datenschutzbeauftragten, dem Präsidenten des Amtes für den Schutz personenbezogener Daten (UODO) und spezialisierten Strafverfolgungseinheiten ein. Kurz nach dem Eindringen sandten die Täter elektronische Nachrichten an Medien und Partnerunternehmen, bevor sie die gestohlenen Daten in einem Cyberkriminalitätsforum zum Verkauf anboten – zu einem Preis von 5.000 Euro.

Technischer Umfang und interne Jira-Aufzeichnungen

Beispieldateien, die zusammen mit dem Verkaufsangebot veröffentlicht wurden, deuteten darauf hin, dass die Angreifer auf die interne Jira-Umgebung von Żabka zugegriffen hatten, die das Unternehmen für technische Aufgabenverwaltung und Projektmanagement nutzt. Von den Angreifern bereitgestellte Daten zeigten, dass die exfiltrierten Dateien 541.000 Datensätze mit Namen, E‑Mail-Adressen und Systembenutzernamen von Mitarbeitern und Geschäftspartnern enthielten. Das kompromittierte Material soll auch interne Projektdokumentation, Quellcode-Repositories und Zugangsdaten umfasst haben. Das Cybersicherheits-Monitoring-Portal Niebezpiecznik wies darauf hin, dass der Einbruch kurz nach der öffentlichen Ankündigung von Plänen für eine Übernahme von Żabka durch ein kanadisches Unternehmen erfolgte.

Bewertung der Auswirkungen auf Verbraucher und Einzelhandel

Während erste Berichte darauf hindeuteten, dass Anmeldedaten für einige Partnerkonten und möglicherweise begrenzte Kundendaten offengelegt worden sein könnten, betonten Regierungs- und Unternehmensvertreter die Isolierung der Kernverbrauchersysteme. Krzysztof Gawkowski, Polens Vizepremierminister und Minister für Digitales, erklärte, dass der Einbruch keine personenbezogenen Informationen aus der Żappka-Mobilfunk-App oder Finanztransaktionsaufzeichnungen kompromittiert habe. Die Betriebssysteme für Kassen und Franchise-Logistik funktionierten während des gesamten Vorfalls ohne Unterbrechung normal. Staatsanwaltschaft und digitale Forensikspezialisten werten weiterhin die technischen Beweise aus, um zu überprüfen, ob während des Eindringens weitere Systeme betroffen waren.