Versicherungen gehören zu den lukrativsten Beuteobjekten für Hacker – und die Kemper Corporation war im April 2026 der nächste Name auf der Trophäenliste. Die Ransomware-Gang ShinyHunters hat sich am 12. April Zugang verschafft, am 15. April die ersten Daten geleakt und am 22. April über 13 Millionen Records auf den Markt geschmissen.
HAMMER: 29 GB direkt aus Salesforce gezogen
Anders als bei klassischen Server-Hacks haben ShinyHunters nicht etwa ein altes WordPress-Backend gefunden. Sie sind direkt ins Salesforce-Konto spaziert. Methode: Social Engineering – ein Mitarbeiter wurde dazu gebracht, Login-Daten auf einer Phishing-Page einzugeben. Damit war der CRM-Eingang offen.
Die Beute laut ShinyHunters: 29 GB mit 13 Millionen Salesforce-Records. Inhalt:
- Interne Unternehmensdokumente
- Schulungsmaterialien für Mitarbeiter
- Mitarbeiternamen und E-Mail-Adressen
- Stripe-Payment-Logs mit Kundennamen und Transaktionsbeträgen
SCHOCK: Kemper relativiert, Hacker liefern
Kemper hat den Vorfall bestätigt, betont aber, dass kein operativer Geschäftsbetrieb gestört sei. ShinyHunters haben dagegen Sample-Datensätze ins Darknet gestellt – inklusive Stripe-Logs, die echte Kundennamen zeigten. Die Polizei und die SEC sind eingeschaltet, eine Sammelklage wurde am 28. April im US-District-Court in Providence eingereicht.
UNGLAUBLICH: Diese Salesforce-Masche kann JEDEN treffen
Das ist der eigentliche Aufreger: ShinyHunters fahren die Salesforce-Strategie seit Monaten in Serie. Die Methode funktioniert immer gleich:
- Vishing oder Phishing gegen einen Salesforce-Power-User.
- Login plus oft schwacher MFA-Faktor (SMS-OTP) wird abgefangen.
- Der Angreifer installiert eine Connected App mit Datenexport-Rechten.
- 29 GB rausziehen, ehe jemand merkt, dass eine neue App im System ist.
SO härtest du dein Salesforce-Tenant JETZT ab
- Phishing-resistente MFA aktivieren – Hardware-Keys oder Salesforce Authenticator, kein SMS.
- Connected-Apps regelmäßig auditieren und alles entfernen, was dein Salesforce-Admin nicht kennt.
- IP-Allowlists für API-Zugänge erzwingen – ein Login aus Kasachstan ist kein Feature.
- Data-Loss-Prevention-Regeln für Massenexports aktivieren – wenn jemand 13 Millionen Records zieht, sollte ein Alarm losgehen.
- Anti-Vishing-Training für Sales- und Service-Teams – die sind die Hauptzielgruppe.
EXTRA-TIPP: Schau in die DSGVO-Folgen, falls du EU-Daten hast
Wenn dein Salesforce-Tenant Daten aus der EU enthält und kompromittiert wird, hast du 72 Stunden für die DSGVO-Meldung an die Aufsicht. Plane jetzt einen Salesforce-Notfallplan, nicht erst, wenn dein DPO am Wochenende anruft.
FAZIT: Du musst keinen WordPress-Server hosten, um 13 Millionen Records zu verlieren
Die Kemper-Story zeigt: SaaS-CRMs sind die neuen Enterprise-Ziele. Salesforce, HubSpot, Zendesk – wer dort wertvolle Daten lagert, muss heute bei MFA, Connected Apps und API-Limits Vollgas geben. Sonst ist der nächste BreachForums-Eintrag in deinem Namen.