ANALYSEN
Aflac, 22,65 Millionen Menschen: wenn der Versicherer das Ziel ist
Am 12. Juni 2025 dämmte Aflac binnen Stunden ein Eindringen ein, bei dem bereits Gesundheits- und Schadendaten von 22,65 Millionen Menschen abgeflossen waren, während Google warnte, Scattered Spider sei zu den Versicherungen übergegangen. Die Analyse: Eindämmung und Verletzung, die Branche als Ziel, Helpdesks und Agenten, Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats Juni 2025 · von cybercoverinsurance
Am 12. Juni 2025 stellte Aflac, einer der größten US-Versicherer für ergänzende Kranken- und Lebensversicherungen, einen unbefugten Zugriff auf sein Netz fest. Das Eindringen wurde binnen Stunden eingedämmt, ohne Ransomware und ohne Betriebsunterbrechung, doch am selben Tag hatte der Angreifer bereits Daten kopiert. Ende 2025 begann Aflac, 22,65 Millionen Menschen zu benachrichtigen. In derselben Woche erlitten Erie Insurance und Philadelphia Insurance Companies Systemausfälle, und Google warnte, die Gruppe Scattered Spider sei vom Einzelhandel zu den Versicherungen übergegangen.
Für Cyber-Risikoträger ist der Fall doppelt relevant: Er betrifft einen Versicherten aus der Finanzbranche und zugleich die Versicherungsbranche als Ziel. Er zeigt, dass schnelle Eindämmung den Schaden nicht verringert, wenn die Daten schon abgeflossen sind, und dass eine Branche voller Gesundheits- und Schadendaten Angreifer anzieht, die sich eine Branche nach der anderen vornehmen.
Was bekannt ist
Der Vorfall. Im Formular 8-K vom 20. Juni schreibt Aflac, am 12. Juni einen unbefugten Zugriff auf sein US-Netz festgestellt und das Eindringen binnen Stunden eingedämmt zu haben. Die Systeme waren nicht von Ransomware betroffen, und Zeichnung, Schadenbearbeitung und Kundenservice liefen normal weiter. Die möglicherweise betroffenen Dateien enthalten Schadeninformationen, Gesundheitsdaten, Sozialversicherungsnummern und weitere personenbezogene Daten von Kunden, Begünstigten, Mitarbeitern und Agenten (Aflac, Formular 8-K).
Die Benachrichtigungen. Ende 2025 teilte Aflac mit, 22,65 Millionen Menschen zu benachrichtigen. Im August hatte das Unternehmen der Bundesgesundheitsbehörde eine Meldung mit einer vorläufigen Schätzung von 500 Personen übermittelt. Aflac bietet 24 Monate Bonitätsüberwachung sowie Schutz vor Identitäts- und medizinischem Betrug und erklärt, keine missbräuchliche Nutzung der Daten zu kennen. Rund zwei Dutzend Sammelklagen wurden vor einem Bundesgericht in Georgia zusammengeführt, wegen Fahrlässigkeit, Verletzung eines stillschweigenden Vertrags und ungerechtfertigter Bereicherung (GovInfoSecurity).
Die Zuordnung. Aflac hat sich öffentlich nicht zum Täter geäußert. Forscher nannten Scattered Spider, doch NCC Group weist darauf hin, dass die Gruppe mit anderen wie ShinyHunters zusammenarbeitet und eine sichere Zuordnung schwierig ist (GovInfoSecurity).
Die Branche. Am 16. Juni sagte John Hultquist von Google Threat Intelligence, die Gruppe greife nach dem Einzelhandel im Vereinigten Königreich und in den USA nun Versicherungen an, und Versicherer müssten bei Social Engineering gegen Helpdesks und Callcenter in Alarmbereitschaft sein. Erie Insurance hatte am 8. Juni einen Ausfall aller Systeme gemeldet, mit auffälliger Aktivität seit dem 7. Juni. Philadelphia Insurance Companies schaltete nach einer Warnung vom 9. Juni Telefone, E-Mail und Online-Anwendungen ab. Der Zusammenhang dieser beiden Fälle mit Scattered Spider ist nicht bestätigt (The Register).
Was nicht bekannt ist. Aflac hat die Kosten des Vorfalls und etwaige Versicherungsleistungen nicht veröffentlicht. Wie der Angreifer eindrang, ist nicht mitgeteilt worden.
In Stunden eingedämmt, ein voller Schaden
Die Schnelligkeit rettete den Betrieb, nicht die Daten. Aflac stoppte das Eindringen binnen Stunden und hatte keine Betriebsunterbrechung. Doch die Daten waren am selben Tag entwendet worden (GovInfoSecurity). Für die Police dominiert nicht die Unterbrechung, sondern die Datenschutzverletzung: Benachrichtigung von mehr als 22 Millionen Menschen, zwei Jahre Überwachung, Abwehr Dutzender Klagen.
Die Zahl kommt spät. Zwischen der vorläufigen Meldung von 500 Personen im August und der Zahl von 22,65 Millionen im Dezember liegen Monate. Für Risikoträger sollte die Reserve für einen Datenschutzschaden auf der Gesamtheit der erreichbaren Daten beruhen, nicht auf der ersten veröffentlichten Schätzung.
Gesundheitsdaten wiegen schwerer. Schaden- und Gesundheitsdaten bringen besondere Meldepflichten und ein höheres Klagerisiko mit sich. Ein Krankenversicherer verwahrt, wie ein Krankenhaus, die Daten, deren Verlust am teuersten ist.
Der Versicherer als Ziel
Eine Branche nach der anderen. Laut Google wechselte dieselbe Gruppe von den Händlern zu den Versicherern (The Register). Nach Marks & Spencer, Co-op und Harrods im April und Mai folgten im Juni die Versicherer. Für ein Portfolio bedeutet der Kumul nach Akteur, dass eine ganze Branche binnen weniger Wochen getroffen werden kann.
Das Callcenter ist die Tür. Versicherer haben große Callcenter, Agenturnetze und Helpdesks, die Zugangsdaten für Tausende externe Nutzer zurücksetzen. Genau diese Punkte nannte Google. Die Empfehlungen lauten, Anrufer per Videoanruf oder mit Kontrollfragen zu prüfen und phishingresistente Multi-Faktor-Authentifizierung zu nutzen (The Register).
Agenten erweitern den Perimeter. Zu den bei Aflac Betroffenen gehören Agenten. Ein Vertriebsnetz aus unabhängigen Vermittlern mit Zugang zu den Systemen der Gesellschaft ist ein schwer zu kontrollierender Perimeter. Für Versicherer von Gesellschaften und Vermittlern sind die Zugriffsrechte des Agenturnetzes ein Zeichnungsthema.
Was das für Versicherer der Branche bedeutet
Die Exposition liegt im Portfolio und in der Bilanz. Versicherer, die andere Gesellschaften und Vermittler decken, haben eine Branche im Bestand, die ein erklärtes Ziel war. Dieselben Versicherer sind als Unternehmen demselben Akteur ausgesetzt. Der Schaden kann von beiden Seiten kommen.
Klagen folgen der Benachrichtigung. Die Sammelklagen gegen Aflac verlangen auch Maßnahmen wie ein Verbot, sensible Daten in Cloud-Datenbanken zu speichern (GovInfoSecurity). Klagen wegen Datenschutzverletzungen fordern nicht nur Schadenersatz, sondern verursachen auch Anpassungskosten, die Policen in der Regel nicht decken.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Ein binnen Stunden eingedämmtes Eindringen bei einem Versicherer führte zum Diebstahl von Gesundheits- und Schadendaten von 22,65 Millionen Menschen, in einer Kampagne gegen die gesamte Versicherungsbranche.
Auf Portfolioebene legt der Fall nahe, Warnungen zu Gruppen zu verfolgen, die die Branche wechseln, und Gesellschaften und Vermittler als Gruppe zu behandeln, die im selben Zeitraum demselben Akteur ausgesetzt ist. Für einen Cyberversicherer, der auch andere Gesellschaften versichert, gehört die Prüfung der eigenen Helpdesk-Verfahren zur Steuerung des Portfoliorisikos.