Apollo-Datenpanne im Juli 2026: Der Angriff begann mit einem Telefontrick

Apollo Global Management hat eine Datenpanne offengelegt. Nach Angaben des US-Vermögensverwalters verschafften sich Angreifer durch Social Engineering zwischen dem 6. und 10. Juli 2026 unbefugten Zugang zu bestimmten Cloud-Plattformen des Unternehmens. Dabei wurden einige persönliche Daten gestohlen. Zum Zeitpunkt der Mitteilung lagen Apollo jedoch keine Hinweise darauf vor, dass die Informationen öffentlich veröffentlicht oder für Identitätsdiebstahl beziehungsweise Betrug verwendet worden waren. 13

Was ist bei Apollo passiert?

Nach bisherigem Kenntnisstand handelte es sich nicht um den öffentlich bekannten Ausnutzung einer Software-Schwachstelle, sondern um einen Angriff, der auf der Manipulation von Menschen beruhte. Apollo stellte fest, dass unbefugte Personen innerhalb eines Zeitraums von vier Tagen auf bestimmte cloudbasierte Systeme zugegriffen hatten. Der Vorfall wurde den US-Strafverfolgungsbehörden gemeldet und in einer Datenschutzmeldung bei kalifornischen Behörden angezeigt. 167

Im weiteren Verlauf kam Apollo zu dem Schluss, dass persönliche Informationen abgerufen oder entwendet worden waren. Öffentlich ist bislang weder bekannt, wie viele Menschen betroffen sind, noch ob jede der genannten Datenkategorien zu allen möglicherweise betroffenen Personen gehörte.

Welche persönlichen Daten könnten betroffen sein?

In seiner Mitteilung nannte Apollo folgende Informationen als potenziell betroffen:

• Namen
• Geburtsdaten
• Kontaktdaten
• Privatadressen
• US-Sozialversicherungsnummern, sogenannte Social Security Numbers 45

Besonders sensibel sind die Social Security Numbers. Sie werden in den USA häufig zur Identifizierung und bei Finanz- oder Behördenvorgängen verwendet. Dass Apollo bislang keinen Identitätsdiebstahl oder Betrug festgestellt hat, ist deshalb zwar relevant, aber keine Garantie dafür, dass die Daten künftig nicht missbraucht werden.

Wie reagierte Apollo?

Apollo erklärte, das Unternehmen habe den Vorfall untersucht, Strafverfolgungsbehörden informiert und seine Sicherheitsmaßnahmen verstärkt. Außerdem begann der Konzern, Personen direkt zu benachrichtigen, deren Informationen möglicherweise betroffen waren. 167

Den Benachrichtigungsschreiben zufolge bot Apollo betroffenen Personen kostenlose Dienste eines externen Anbieters zur Überwachung der Identität und der Kreditwürdigkeit an. Die verfügbaren Quellen bestätigen dieses Angebot, nennen jedoch keine verlässlich belegte genaue Laufzeit oder sämtliche Bedingungen.

Sind die Daten öffentlich aufgetaucht oder für Betrug verwendet worden?

Apollo erklärte zum Zeitpunkt der Offenlegung, es gebe keine Hinweise darauf, dass die Informationen öffentlich veröffentlicht oder für Identitätsdiebstahl oder Betrug genutzt worden seien. 37

Dabei müssen drei Dinge unterschieden werden:

• Der unbefugte Zugriff auf Unternehmenssysteme wurde bestätigt.
• Apollo zufolge wurden persönliche Informationen gestohlen oder möglicherweise kompromittiert.
• In der Mitteilung wurde kein öffentlicher Datenabfluss und kein Betrugsfall bei Betroffenen festgestellt.

Die Untersuchung war noch nicht abgeschlossen. Die Einschätzung könnte sich also ändern, falls die Daten später online auftauchen oder mit Missbrauchsversuchen in Verbindung gebracht werden.

Teil einer größeren Vishing-Kampagne

Der Apollo-Vorfall ereignete sich während einer umfassenderen Kampagne gegen große Finanzunternehmen und andere Firmen. Berichten zufolge gehörten neben Apollo unter anderem Blackstone, KKR und Bridgewater zu den Zielen von Angreifern, die Lösegeld erpressen wollten. 11719

Die Täter gaben sich am Telefon als interne IT- oder Helpdesk-Mitarbeiter aus. Mit dringenden, plausibel klingenden Anliegen – etwa einer Sicherheitsmigration oder einer Aktualisierung von Konten – brachten sie Beschäftigte dazu, Passwörter oder Multifaktor-Authentifizierungscodes auf überzeugend gestalteten, firmenspezifischen gefälschten Webseiten einzugeben. 1718

Auch Uber und Levi Strauss wurden als Unternehmen auf einer mutmaßlichen Zielliste genannt. Die bloße Nennung als Ziel bedeutet jedoch nicht, dass bei dem jeweiligen Unternehmen tatsächlich ein bestätigter Einbruch stattgefunden hat. 18

Warum funktionieren Telefonangriffe trotz moderner IT-Sicherheit?

Telefonischer Betrug wird im Sicherheitsbereich als Voice-Phishing oder Vishing bezeichnet. Die Methode zielt nicht darauf, Verschlüsselung oder technische Schutzsysteme direkt zu überwinden. Stattdessen versuchen die Angreifer, menschliche Entscheidungen zu beeinflussen.

Ein Anrufer, der wie ein vertrauter Kollege oder ein echter IT-Mitarbeiter klingt, kann Zeitdruck erzeugen, eine ungewöhnliche Aufforderung als Routine darstellen und sein Gegenüber Schritt für Schritt durch einen Anmeldeprozess führen. Dadurch lassen sich Zugangsdaten und Authentifizierungscodes abgreifen, ohne dass zunächst Schadsoftware oder eine neuartige technische Sicherheitslücke erforderlich ist.

Berichten zur Kampagne zufolge kontaktierten die Angreifer Beschäftigte teilweise auf deren privaten Mobiltelefonen. Solche Anrufe werden unter Umständen nicht so umfassend überwacht wie Aktivitäten innerhalb verwalteter Unternehmenssysteme. Gefälschte Rufnummernanzeigen, nachgebaute Login-Seiten und unternehmensspezifische Details können den Anruf zusätzlich glaubwürdig erscheinen lassen. 1820

Künstliche Intelligenz kann solche Angriffe skalierbarer und realistischer machen – etwa durch personalisierte Gesprächsskripte, täuschend echte Webseiten oder die Nachahmung von Stimmen. Der grundlegende Angriffspunkt ist jedoch älter und weniger technisch: Vertrauen, Dringlichkeit und die Bereitschaft eines Mitarbeiters, einer vermeintlichen IT-Ansprechperson zu helfen.

Die wichtigste Lehre aus dem Apollo-Vorfall

Der Fall zeigt, dass starke technische Schutzmechanismen nur ein Teil der Unternehmenssicherheit sind. Wenn ein überzeugender Telefonanruf gültige Zugangsdaten und einen Authentifizierungscode erbeuten kann, braucht es dafür möglicherweise weder Malware noch einen sogenannten Zero-Day-Exploit.

Für Unternehmen bedeutet das: Unerwartete Helpdesk-Anrufe sollten wie besonders risikoreiche Zugriffsanfragen behandelt werden. Der Anrufer sollte über einen unabhängigen Kommunikationsweg überprüft werden. Zugangsdaten sollten nicht über Links eingegeben werden, die während eines Anrufs übermittelt werden. Außerdem können Authentifizierungsmethoden eingesetzt werden, die gestohlene Passwörter oder Einmalcodes weniger wertvoll machen.

Ob sich der bekannte Umfang der Apollo-Datenpanne noch verändert, hängt von den weiteren Ergebnissen der Untersuchung und möglichen späteren Mitteilungen des Unternehmens ab.