Datenpanne bei Paketzusteller OnTrac: Was deutsche Unternehmen jetzt wissen müssen

Einleitung: Wenn Lieferketten zum Sicherheitsrisiko werden

Ein Paketdienstleister wird gehackt, Kundendaten landen in falschen Händen – und Tausende von Unternehmen und Privatpersonen erfahren erst Wochen später, dass ihre persönlichen Informationen möglicherweise kompromittiert wurden. Genau das ist dem US-amerikanischen Paketzusteller OnTrac passiert. Das Unternehmen informierte seine Kunden im Juli 2025 darüber, dass Angreifer in das Unternehmensnetzwerk eingedrungen sind und dabei möglicherweise Zugang zu persönlichen Kundendaten erhalten haben.

Was auf den ersten Blick wie ein Problem für amerikanische Verbraucher wirkt, ist in Wahrheit ein Weckruf für IT-Verantwortliche und Geschäftsführer in Deutschland: Lieferanten, Dienstleister und Logistikpartner sind eine der häufigsten Angriffsflächen in modernen Supply-Chain-Angriffen. Und spätestens seit der Verschärfung durch NIS2 sind deutsche Unternehmen verpflichtet, genau diese Risiken aktiv zu managen.

Technischer Hintergrund: So funktioniert ein Netzwerk-Hack dieser Art

Nach aktuellen Erkenntnissen drangen die Angreifer über das Unternehmensnetzwerk von OnTrac ein – ein klassisches Angriffsmuster, das in verschiedenen Varianten immer wieder auftaucht:

Typische Angriffsvektoren bei solchen Vorfällen

• Kompromittierte Zugangsdaten: Phishing-Angriffe oder der Kauf gestohlener Credentials im Darknet ermöglichen es Angreifern, sich als legitime Nutzer in Systeme einzuloggen.
• Ungepatchte Schwachstellen: Bekannte Sicherheitslücken in VPN-Gateways, Remote-Desktop-Diensten oder veralteter Software werden aktiv ausgenutzt.
• Supply-Chain-Angriff: Angreifer infiltrieren einen Zulieferer oder Dienstleister, um von dort aus weiteren Zugang zu dessen Kunden zu erlangen.
• Lateral Movement: Einmal im Netzwerk, bewegen sich Angreifer oft wochenlang unentdeckt von System zu System, bis sie sensible Datenbereiche erreichen.

Bei OnTrac wurden nach derzeitigem Stand personenbezogene Daten von Kunden abgegriffen – darunter potenziell Namen, Adressen und weitere lieferbezogene Informationen. Genau solche Daten sind für Cyberkriminelle wertvoll: für Identitätsdiebstahl, gezielte Phishing-Kampagnen oder den Verkauf im Darknet.

Wichtig für deutsche Unternehmen: Wer OnTrac oder vergleichbare internationale Logistikpartner einsetzt, sollte prüfen, welche Daten im Rahmen dieser Geschäftsbeziehungen ausgetauscht werden.

NIS2-Relevanz: Was deutsche Unternehmen jetzt beachten müssen

Der Fall OnTrac ist kein isoliertes Ereignis – er ist symptomatisch für eine Bedrohungslage, auf die die EU-Richtlinie NIS2 (umgesetzt in deutsches Recht durch das BSIG in der Neufassung) direkt reagiert.

Wer ist betroffen?

Unternehmen in Deutschland, die unter NIS2 fallen – darunter Betreiber kritischer Infrastrukturen, aber auch viele Unternehmen aus den Bereichen Logistik, digitale Infrastruktur, Gesundheit und verarbeitendes Gewerbe –, haben klare Pflichten:

DSGVO-Dimension nicht vergessen

Neben NIS2 gilt: Werden personenbezogene Daten im Rahmen eines Sicherheitsvorfalls kompromittiert – auch durch einen Auftragsverarbeiter –, greift Artikel 33 DSGVO. Betroffene Unternehmen müssen den Vorfall binnen 72 Stunden der zuständigen Datenschutzaufsichtsbehörde melden. Eine Datenpanne beim Logistikdienstleister kann also unmittelbar zu einer Meldepflicht auf Seiten des Auftraggebers führen.

Praxishinweis: Das BSI stellt unter bsi.bund.de aktuelle Handreichungen zur NIS2-Umsetzung und Meldeformulare bereit.

Praktische Schutzmaßnahmen: 7 konkrete Tipps für Ihr Unternehmen

Sicherheit endet nicht an den eigenen Systemgrenzen. Hier sind sieben Maßnahmen, die IT-Verantwortliche unmittelbar umsetzen können:

1. Lieferanten-Risikobewertung einführen (Vendor Risk Management)

Erstellen Sie eine strukturierte Übersicht aller Drittanbieter, die Zugang zu Ihren Systemen oder Daten haben. Bewerten Sie jeden Anbieter nach Risikoklassen und fordern Sie regelmäßige Sicherheitsnachweise – etwa in Form von ISO 27001-Zertifizierungen oder Penetrationstests.

2. Minimalprinzip bei Datenweitergabe anwenden

Geben Sie an Logistik- und Servicepartner nur jene Daten weiter, die für die Leistungserbringung unbedingt erforderlich sind (Datensparsamkeit nach Art. 5 Abs. 1 lit. c DSGVO). Überprüfen Sie bestehende Datenflüsse systematisch auf Überschüsse.

3. Multi-Faktor-Authentifizierung (MFA) konsequent durchsetzen

Der häufigste Einstiegspunkt für Angreifer sind gestohlene Zugangsdaten. Erzwingen Sie MFA für alle externen Zugänge – auch für Dienstleister und Wartungszugänge. Moderne Lösungen machen dies ohne großen Aufwand möglich.

4. Netzwerksegmentierung implementieren

Stellen Sie sicher, dass Ihr Unternehmensnetzwerk in klar getrennte Segmente aufgeteilt ist. Ein kompromittierter Dienstleisterzugang darf keinen direkten Zugang zu sensiblen Bereichen wie Kundendatenbanken oder Finanzsystemen ermöglichen.

5. Incident-Response-Plan testen und aktualisieren

Haben Sie einen aktuellen Plan für den Ernstfall? Simulieren Sie einmal jährlich einen Sicherheitsvorfall – inklusive der Kommunikation an Betroffene und der Meldung an das BSI. Stellen Sie sicher, dass alle relevanten Ansprechpartner (IT, Recht, Geschäftsführung, Kommunikation) ihre Rollen kennen.

6. Kontinuierliches Monitoring und Anomalieerkennung

Setzen Sie auf SIEM-Systeme (Security Information and Event Management) oder Managed Detection and Response (MDR)-Dienste, um ungewöhnliche Aktivitäten im Netzwerk frühzeitig zu erkennen. Angreifer bewegen sich oft tagelang unbemerkt – Monitoring verkürzt die sogenannte Dwell Time erheblich.

7. Vertragsklauseln für Sicherheitsanforderungen

Verankern Sie in allen Dienstleisterverträgen klare Sicherheitsanforderungen: Meldepflichten bei Vorfällen, Zertifizierungsanforderungen, Auditrechte und Haftungsregelungen. NIS2 macht solche vertraglichen Sicherheitsanforderungen an die Lieferkette zur Pflicht.

Fazit: Der Fall OnTrac als Lernmoment für die deutsche Wirtschaft

Der Cyberangriff auf OnTrac zeigt exemplarisch, wie verwundbar moderne Lieferketten sind – und wie schnell ein Sicherheitsvorfall bei einem Dritten zur eigenen Compliance-Krise werden kann. Mit der NIS2-Richtlinie hat der europäische Gesetzgeber klar Stellung bezogen: Supply-Chain-Sicherheit ist keine Kür, sondern Pflicht.

Deutsche Unternehmen, die ihre Sicherheitsmaßnahmen noch nicht auf den aktuellen Stand gebracht haben, riskieren nicht nur Bußgelder – sie riskieren das Vertrauen ihrer Kunden und ihre Betriebsfähigkeit. Die gute Nachricht: Wer jetzt handelt, kann sich systematisch schützen.

Call-to-Action: NIS2-Compliance strukturiert angehen

Die Umsetzung aller NIS2-Anforderungen – von der Risikoanalyse über die Lieferantenbewertung bis zur Meldepflicht – ist komplex. Spezialisierte NIS2-Compliance-Software kann dabei helfen, Anforderungen zu strukturieren, Nachweise zu dokumentieren und Meldeprozesse zu automatisieren. Wer die Pflichten noch nicht vollständig erfüllt, sollte zeitnah eine Gap-Analyse durchführen – intern oder mit externer Unterstützung. Das BSI bietet zudem kostenfreie Orientierungshilfen und den IT-Grundschutz-Kompendium als praktischen Einstiegspunkt.