ASOS gehackt? Was hinter der Push-Nachricht in der App steckt und was ASOS-Kunden jetzt tun sollten

ASOS gehackt? Am Dienstag, 6. Oktober 2026, gegen 11 Uhr deutscher Zeit hat die ASOS-App eine fremde Push-Nachricht mit dem Titel „ASOS HACKED“ verschickt, in der Unbekannte behaupten, eine Datenbank des Modehändlers vollständig übernommen zu haben. „ASOS gehackt“ heißt nach heutigem Stand: Der Benachrichtigungskanal der App wurde für eine Erpresserbotschaft missbraucht; ein Abfluss von Kundendaten ist weder von ASOS bestätigt noch belegt. ASOS erklärte laut Reuters lediglich, man kenne die Berichte. Stand: Oktober 2026.

Das Wichtigste in Kürze

• Bestätigt ist die Push-Nachricht vom 6. Oktober 2026, nicht bestätigt ist ein Datenabfluss (Stand: 13:30 Uhr).
• Tippt den Telegram-Link aus der Nachricht nicht an und antwortet nicht darauf.
• Vergebt für ASOS ein Passwort, das ihr nirgends sonst nutzt, und prüft gespeicherte Zahlungsarten.
• Rechnet in den nächsten Wochen mit gefälschten Mails und SMS im ASOS-Look.

Anzeige / Transparenz: Dieser Artikel enthält Partner-Links. Kauft ihr über einen solchen Link, erhalten wir eine kleine Provision. Für euch bleibt der Preis identisch.

ASOS gehackt: Was ist am 6. Oktober 2026 in der App passiert?

Symbolbild — KI-generiert / MonsterDealz

Am 6. Oktober 2026 gegen 10 Uhr britischer Zeit, also 11 Uhr in Deutschland, erschien auf den Smartphones von ASOS-Kunden eine Mitteilung der offiziellen App mit der Überschrift „ASOS HACKED“. Den Text geben der schottische Sender STV News, die Nachrichtenagentur Reuters und HuffPost UK übereinstimmend so wieder: „Dear ASOS DPO and IT, we have fully compromised the Snowflake instance. Engage with us or we will leak it.“

Übersetzt heißt das: Die Absender sprechen den Datenschutzbeauftragten (DPO) und die IT von ASOS an, behaupten, die „Snowflake-Instanz“ vollständig übernommen zu haben, und drohen mit Veröffentlichung, falls ASOS nicht mit ihnen verhandelt. Hinter dem Text stand laut den Berichten ein Link zum Messenger Telegram. Es handelt sich also um eine Lösegeldforderung an das Unternehmen, die über die Geräte der Kunden zugestellt wurde.

Wer die Meldung auf dem Sperrbildschirm hatte, will vor allem wissen, ob er jetzt schnell handeln muss. Die kurze Antwort: Ihr müsst nichts überstürzen, aber drei Dinge solltet ihr heute erledigen. Welche das sind, steht weiter unten in der Checkliste.

Auch Nutzer in Deutschland haben die Nachricht bekommen. t-online nennt in seinem Bericht vom 6. Oktober 2026 (Stand 12:44 Uhr) ausdrücklich eine „von Asos erhaltene Push-Nachricht“ als Quelle, und Caschys Blog zeigt den Screenshot eines Lesers aus dem deutschsprachigen Telegram-Chat des Blogs. Wie viele Geräte insgesamt betroffen waren, hat niemand beziffert; britische Medien sprechen von Tausenden Nutzern.

Einzelne britische Regionalzeitungen zitieren den Text mit einem zusätzlichen „with“ („compromised with the Snowflake instance“). Am Inhalt ändert das nichts. Wer hinter der Nachricht steckt, ist offen; eine namentlich bekannte Gruppe hat sich bis zum Mittag des 6. Oktober 2026 nicht nachprüfbar dazu bekannt.

Alle Quellen abgerufen am 6. Oktober 2026 zwischen 12:30 und 13:30 Uhr deutscher Zeit. Die Lage kann sich binnen Stunden ändern; maßgeblich ist, was ASOS selbst mitteilt.

Was sagt ASOS zu dem Vorfall, und was ist nicht bestätigt?

ASOS hat den Vorfall bis zum 6. Oktober 2026, 13:30 Uhr, nicht bestätigt: Ein Sprecher sagte der Nachrichtenagentur Reuters, das Unternehmen kenne die Berichte, und wollte sie weder bestätigen noch weiter kommentieren. Reuters schreibt selbst, die Berichte zunächst nicht unabhängig überprüft zu haben.

Eine eigene Mitteilung des Unternehmens haben wir nicht gefunden. Auf der Unternehmensseite asosplc.com stammte der jüngste Nachrichteneintrag am 6. Oktober 2026 vom 24. September, und der Börsendienst Investegate führte als letzte ASOS-Meldung eine Stimmrechtsmitteilung vom 5. Oktober, 16 Uhr. ASOS ist in London börsennotiert; eine kursrelevante Pflichtmitteilung zum Vorfall lag bis zum Mittag also nicht vor. Die Kundenseite asos.com hat unsere Abrufe am selben Tag nicht beantwortet, t-online beschreibt sie als unauffällig.

Die Börse hat trotzdem reagiert. Laut Reuters fiel die ASOS-Aktie am Dienstag um mehr als 11 Prozent, der Guardian nennt knapp 12 Prozent; seit Jahresbeginn hatte das Papier laut Reuters zuvor mehr als 60 Prozent zugelegt. Für euch als Kunden ist der Kurs zweitrangig, er zeigt aber, wie ernst Anleger die Drohung nehmen.

Wie Fachleute die Nachricht einordnen, zeigt ein Zitat aus dem Reuters-Bericht. Dray Agha vom Sicherheitsunternehmen Huntress sagte dort: „The push notification suggests attackers have breached the systems controlling the ASOS mobile app also.“ Sinngemäß: Wer eine solche Nachricht verschicken kann, hatte Zugriff auf die Systeme, die die App-Benachrichtigungen steuern. Das ist eine Einschätzung von außen, kein Befund von ASOS.

Ist „ASOS gehackt“ damit eine Tatsache?

Nur zum Teil. Gesichert ist, dass Unbefugte am 6. Oktober 2026 eine Nachricht über den Push-Kanal der App verschicken konnten. Nicht gesichert ist, ob sie dafür in ASOS-Systeme eingedrungen sind oder das Konto bei einem Dienstleister übernommen haben, und ob die behauptete Datenbank wirklich kopiert wurde. Erpresser übertreiben regelmäßig, um Druck aufzubauen; widerlegt ist die Behauptung aber ebenso wenig.

Welche Daten sind bei Lecks gefährdet, und was speichert ASOS über euch?

Symbolbild — KI-generiert / MonsterDealz

Welche Daten ein ASOS-Konto enthält, hat ASOS selbst erst vor sieben Wochen aufgelistet: In einem Schreiben vom 21. August 2026 an Kunden in den USA nennt der Händler Name, E-Mail-Adresse, Liefer- und Rechnungsadresse, Telefonnummer, Geburtsdatum, verknüpfte Social-Media-Konten und gekürzte Kartendaten. Das Schreiben liegt beim Generalstaatsanwalt von Kalifornien öffentlich vor und betrifft einen älteren, anderen Vorfall.

Damals, am 28. und 29. Juli 2026, hatten Unbefugte laut ASOS möglicherweise Zugriff auf Kundenkonten, und zwar mit Zugangsdaten aus einer Quelle außerhalb von ASOS. Der Händler sperrte die Konten und erzwang neue Passwörter. Fachmedien beziffern die Zahl der Betroffenen auf 138.828; im Schreiben selbst steht diese Zahl nicht. Mit der Push-Nachricht vom 6. Oktober hat dieser Fall nach heutigem Wissen nichts zu tun, er zeigt aber, was in einem ASOS-Konto sichtbar ist.

Quelle: Schreiben „Notice of data breach“ von ASOS US Sales LLC und ASOS.com Limited vom 21. August 2026 zum Vorfall vom 28./29. Juli 2026, abgerufen am 6. Oktober 2026. Die Spalte „Typischer Missbrauch“ ist unsere Einordnung nach den Hinweisen von BSI und Verbraucherzentrale. Ob eine dieser Datenarten vom Vorfall am 6. Oktober betroffen ist, ist nicht bekannt.

Dass gerade solche Stammdaten in Lecks landen, belegt das Bundesamt für Sicherheit in der Informationstechnik. In seiner Auswertung von 354 bekannt gewordenen Datenleaks flossen in 86,7 Prozent der Fälle Namen und Benutzernamen ab, in 41,8 Prozent E-Mail-Adressen und in 40,7 Prozent Adressdaten (Mitteilung vom 14. März 2025).

Was ist Snowflake?

Snowflake ist ein US-Anbieter von Cloud-Datenbanken, in denen Unternehmen große Datenmengen speichern und auswerten. Ob ASOS dort Kundendaten ablegt und welche, hat das Unternehmen nicht gesagt. Der Name ist aus einer Angriffsserie von 2024 bekannt: Laut dem Bericht der Google-Tochter Mandiant vom 10. Juni 2024 wurden damals rund 165 Organisationen als möglicherweise betroffen benachrichtigt. Die Täter nutzten gestohlene Zugangsdaten von Kundenkonten ohne zweiten Anmeldefaktor; einen Einbruch in Snowflakes eigene Systeme fand Mandiant nicht.

Ist Datenleck das gleiche wie Datendiebstahl?

Nein. Ein Datenleck beschreibt, dass Daten ungewollt offenliegen, etwa durch eine Fehlkonfiguration; Datendiebstahl ist der gezielte Zugriff durch Täter. Im Fall ASOS behaupten die Absender einen Diebstahl. Bewiesen wäre er erst, wenn ASOS ihn bestätigt oder echte Datensätze auftauchen.

Maßnahmen nach Datenleck: Was ASOS-Kunden jetzt tun sollten

Symbolbild — KI-generiert / MonsterDealz

Drei Schritte reichen für heute: Link ignorieren, ASOS-Passwort einzigartig machen, Zahlungsarten prüfen. Das BSI fasst die Grundregel in seinen Schutzmaßnahmen gegen Identitätsdiebstahl so: „Verwenden Sie für jeden Dienst ein eigenes Passwort.“ Mehrfach genutzte Zugangsdaten aus fremder Quelle waren nach Darstellung von ASOS das Einfallstor im Juli 2026, und genau das lässt sich in fünf Minuten beheben.

• Link nicht antippen: Der Telegram-Link führt zu den Erpressern, nicht zu ASOS. Die Nachricht könnt ihr wegwischen.
• Passwort prüfen: Nutzt ihr das ASOS-Passwort auch bei anderen Diensten, ändert es überall dort und bei ASOS.
• Zahlungsarten aufräumen: Entfernt im ASOS-Konto gespeicherte Karten, die ihr nicht regelmäßig braucht.
• Umsätze beobachten: Kontrolliert Karten-, Konto- und PayPal-Umsätze in den nächsten Wochen wöchentlich.
• Verknüpfungen prüfen: Meldet ihr euch per Google, Apple oder Facebook bei ASOS an, kontrolliert dort die Liste der verbundenen Apps.
• Belege sichern: Macht einen Screenshot der Push-Nachricht mit Datum und Uhrzeit. Er hilft, falls ihr später Rechte geltend macht.

Müsst ihr euer ASOS-Passwort jetzt ändern?

Zwingend ist es nicht, sinnvoll in zwei Fällen: wenn ihr das Passwort mehrfach verwendet oder wenn es kurz und alt ist. Das BSI rät seit Januar 2026 ausdrücklich vom pauschalen Wechsel ab. In der Mitteilung vom 30. Januar 2026 heißt es: „Ein routinemäßiger Passwortwechsel aber erhöht die Sicherheit nicht automatisch.“ Wichtiger sei, dass ein Passwort stark und einzigartig ist und durch einen zweiten Faktor ergänzt oder durch einen Passkey ersetzt wird.

Bestätigt ASOS später einen Datenabfluss, ändert sich die Lage: Dann solltet ihr das Passwort in jedem Fall wechseln, wie es die Verbraucherzentrale nach Datenlecks empfiehlt. Wie Passkeys funktionieren und bei welchen Diensten ihr sie schon nutzen könnt, erklärt unser Ratgeber zu Passkeys.

Wie sichert ihr E-Mail und Bezahldienste ab?

Das Postfach ist wichtiger als das ASOS-Konto, weil sich darüber jedes Shop-Passwort zurücksetzen lässt. Schaltet dort und bei eurem Bezahldienst die Anmeldung in zwei Schritten ein. Wie das Verfahren funktioniert, zeigt das BSI in einem Erklärvideo:

Ob ASOS selbst eine zweite Anmeldestufe für Kundenkonten anbietet, konnten wir am 6. Oktober 2026 nicht prüfen, weil die Hilfeseiten von asos.com nicht erreichbar waren. Woran ihr eine Kontoübernahme im Postfach erkennt, steht im Ratgeber Gmail gehackt.

Phishing nach dem ASOS-Vorfall: Woran erkennt ihr falsche Nachrichten?

Symbolbild — KI-generiert / MonsterDealz

Die größere Gefahr für euch ist nicht die Push-Nachricht vom 6. Oktober 2026, sondern das, was Trittbrettfahrer in den Tagen danach verschicken. ASOS hat nach eigenen Angaben 17 Millionen aktive Kunden in mehr als 150 Märkten (asosplc.com, abgerufen am 6. Oktober 2026), und ein Vorfall, über den jeder spricht, ist der ideale Vorwand für gefälschte Mails und SMS.

Der Guardian zitiert dazu Marijus Briedis, Technikchef des Anbieters NordVPN: Kriminelle könnten die Aufmerksamkeit ausnutzen und Mails oder SMS verschicken, die angeblich von ASOS stammen. Das BSI empfiehlt generell, E-Mails genau zu prüfen, bevor ihr auf Anhänge oder Links klickt.

Naheliegend sind drei Maschen. Belegt ist bisher keine davon; sie folgen dem Muster früherer Fälle:

• „Sichern Sie Ihr Konto“: Mail mit Link zu einer nachgebauten Anmeldeseite, die euer Passwort abgreift.
• „Ihre Erstattung wartet“: angebliche Entschädigung oder Rückzahlung, für die ihr Kartendaten eingeben sollt.
• „Ihr Paket hängt fest“: SMS zu einer ASOS-Lieferung mit Link zu einer gefälschten Paketseite.

Die Gegenregel ist immer dieselbe: Ruft ASOS selbst auf, über die App oder durch Eintippen von asos.com im Browser, und meldet euch nur dort an. Echte Hinweise stehen dann in eurem Konto. Auf Links in Push-Nachrichten, Mails und SMS zum Vorfall verzichtet ihr ganz, auch wenn Absendername und Logo stimmen.

Wie Betrüger per SMS und Anruf vorgehen, haben wir im Ratgeber zu Smishing und Vishing zusammengestellt. Dieselben Mechanismen nach einem anderen Vorfall beschreibt unser Artikel zum Flink-Datenleck, und wie nachgebaute Shop-Seiten aussehen, zeigt der Ratgeber Fake-Shops erkennen.

Kann man bei ASOS jetzt noch sicher bestellen?

Bestellen ist am 6. Oktober 2026 technisch möglich, und nichts deutet darauf hin, dass der Bezahlvorgang selbst manipuliert wurde: Die App lief nach der Nachricht laut britischen Berichten normal weiter, die Website wirkte laut t-online unauffällig. Eine Entwarnung ist das nicht, denn ASOS hat bis 13:30 Uhr weder den Umfang noch die Ursache erklärt.

Wer vorsichtig sein will, wartet mit neuen Bestellungen, bis ASOS sich äußert. Wer trotzdem kauft, senkt das Risiko über die Zahlungsart: Bezahlt über einen Bezahldienst oder auf Rechnung, statt eine Karte neu im Konto zu hinterlegen. So liegen bei ASOS keine zusätzlichen Kartendaten, und ihr habt bei Problemen einen zweiten Ansprechpartner. Was der Käuferschutz dabei abdeckt, steht im Ratgeber zum PayPal-Käuferschutz.

Was ist mit laufenden Bestellungen und Retouren?

Dazu gibt es bis zum Mittag des 6. Oktober 2026 keine Aussage von ASOS und keine Berichte über Störungen. Laufende Bestellungen, Rücksendungen und Erstattungen verfolgt ihr wie gewohnt im Konto. Bewahrt Bestellbestätigung und Einlieferungsbeleg der Retoure auf, bis das Geld zurück ist. Wie Versand, Rücksendung und die Versandflatrate ASOS Premier grundsätzlich funktionieren, haben wir im Ratgeber zum ASOS Gutschein beschrieben.

Was tun bei einer unbekannten Abbuchung?

Meldet sie sofort eurer Bank oder dem Bezahldienst. Eine Lastschrift könnt ihr ohne Begründung zurückgeben; der Anspruch erlischt nach § 675x Absatz 4 BGB erst, wenn ihr ihn nicht innerhalb von acht Wochen ab der Belastung geltend macht. ASOS selbst rät in seinem Schreiben vom August 2026: „We suggest you monitor your payment account activity and statements for anything unusual.“ Die Verbraucherzentrale empfiehlt bei Missbrauch außerdem, die Bank zu informieren und Strafanzeige zu stellen (Stand der Seite: 20. März 2026).

In unserer Deal-Datenbank stehen seit April 2019 genau 22 ASOS-Angebote, darunter ein Rabatt vom Juli 2020, der nur in der App galt (Stand: 6. Oktober 2026). Push-Nachrichten sind für Modehändler also ein normaler Verkaufskanal, und gerade deshalb fällt eine fremde Nachricht dort kaum auf. MonsterDealz.de ist eine deutsche Deal-Community, die täglich geprüfte Schnäppchen kuratiert und aktive Mitglieder über das M-Coins-Bonusprogramm mit Amazon-Gutscheinen belohnt.

Datenleck Schadensersatz: Voraussetzungen und eure Rechte nach der DSGVO

Rechte aus der DSGVO habt ihr erst, wenn tatsächlich Daten betroffen sind; dann muss ASOS den Vorfall möglichst binnen 72 Stunden der Aufsichtsbehörde melden (Artikel 33 DSGVO). Die Verordnung gilt auch für den Londoner Händler: Nach Artikel 3 Absatz 2 erfasst sie Unternehmen außerhalb der EU, die Menschen in der Union Waren anbieten, und ASOS betreibt einen deutschsprachigen Shop.

Euch persönlich muss ASOS informieren, wenn ein hohes Risiko besteht. Artikel 34 DSGVO verlangt dann eine Benachrichtigung „unverzüglich“. Die Pflicht entfällt unter anderem, wenn die Daten verschlüsselt und für Unbefugte unzugänglich waren. Bleibt eine Mail von ASOS aus, beweist das also weder, dass nichts passiert ist, noch das Gegenteil.

Diese Rechte könnt ihr unabhängig davon nutzen:

• Auskunft: Nach Artikel 15 DSGVO könnt ihr von ASOS verlangen, euch mitzuteilen, welche Daten gespeichert sind und ob sie vom Vorfall betroffen waren.
• Löschung: Braucht ihr das Konto nicht mehr, könnt ihr nach Artikel 17 DSGVO verlangen, dass ASOS eure Daten löscht, soweit keine Aufbewahrungspflichten entgegenstehen.
• Beschwerde: Nach Artikel 77 DSGVO könnt ihr euch an die Datenschutzbehörde an eurem Wohnort wenden, also an die Landesbehörde eures Bundeslands.
• Schadensersatz: Artikel 82 DSGVO gibt jeder Person, der durch einen Verstoß ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch gegen den Verantwortlichen.

Die Verbraucherzentrale schreibt dazu: „Wurden Ihre Daten im Rahmen eines Datenlecks von Unbefugten abgegriffen, stehen Ihnen Rechte aus der Datenschutzgrundverordnung zu. Auch Schadensersatzansprüche sind möglich.“ (verbraucherzentrale.de, Stand: 12. Dezember 2024).

Für ASOS-Kunden ist das im Moment Theorie. Ein Anspruch setzt einen Verstoß gegen die DSGVO und betroffene eigene Daten voraus, und beides steht am 6. Oktober 2026 nicht fest. Wer jetzt schon Formulare von Prozessfinanzierern ausfüllt, gibt weitere Daten preis, ohne zu wissen, ob er überhaupt betroffen ist. Sinnvoll ist heute nur: Belege sichern und die Mitteilung von ASOS abwarten.

Vor- & Nachteile: ASOS-Konto nach dem Vorfall weiter nutzen

Häufige Fragen zu ASOS gehackt

Muss ich einen konkreten finanziellen Schaden nachweisen oder reicht der Kontrollverlust über meine Daten?

Der Kontrollverlust kann reichen. Der Bundesgerichtshof hat am 18. November 2024 entschieden, dass auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten ein immaterieller Schaden sein kann (Az. VI ZR 10/24, Pressemitteilung Nr. 218/2024). Im damaligen Fall hielt das Gericht einen Ausgleich in einer Größenordnung von 100 Euro für unbedenklich. Voraussetzung bleibt, dass eure Daten nachweislich betroffen sind und ein Verstoß des Unternehmens vorliegt.

Reicht eine Zwei-Faktor-Authentifizierung aus, um Schäden nach einem Datenleck zu verhindern?

Nein, sie schützt nur die Anmeldung. Wird ein Passwort erraten oder veröffentlicht, erschwert der zweite Faktor laut BSI den Zugriff auf das Konto. Gegen Phishing mit abgeflossenen Adressen, Telefonnummern oder Geburtsdaten hilft er nicht; dagegen hilft nur, Links zu meiden und Daten nie auf Zuruf einzugeben.

Soll ich die ASOS-App löschen?

Nötig ist das nicht. Nichts deutet bisher darauf hin, dass die App auf euren Geräten manipuliert wurde; verschickt wurde eine Nachricht über den Server-Kanal. Wer bis zur Klärung keine weiteren Meldungen sehen will, schaltet in den Einstellungen des Smartphones die Mitteilungen der App ab. Das Kundenkonto bleibt davon unberührt.

Sind meine Kreditkartendaten bei ASOS in Gefahr?

Bekannt ist dazu am 6. Oktober 2026 nichts. Aus dem ASOS-Schreiben vom 21. August 2026 geht hervor, dass im Kundenkonto nur Karteninhaber, die letzten vier Ziffern und das Ablaufdatum sichtbar sind. Welche Kartendaten in anderen Systemen liegen, hat ASOS nicht mitgeteilt. Prüft eure Umsätze und entfernt Karten, die ihr dort nicht braucht.

Wie erkenne ich, ob meine Daten gestohlen wurden?

Im ASOS-Fall vorerst nur durch eine Mitteilung von ASOS. Für ältere Lecks gibt es Prüfdienste, etwa den Identity Leak Checker des Hasso-Plattner-Instituts in Potsdam, das seit 2014 im Internet frei zugängliche, von Kriminellen veröffentlichte Daten sammelt und auswertet. Frische Vorfälle tauchen dort erst auf, wenn die Daten im Netz kursieren.

Wo finde ich echte Informationen von ASOS zum Vorfall?

In eurem Kundenkonto, auf asos.com und auf der Unternehmensseite asosplc.com, wo ASOS Mitteilungen für Anleger veröffentlicht. Ruft diese Seiten selbst auf, statt Links aus Nachrichten zu folgen. Am 6. Oktober 2026 um 13:30 Uhr stand dort noch nichts zum Vorfall.

Fazit: Ruhe bewahren, Passwort prüfen, Links meiden

Bei ASOS wurde am 6. Oktober 2026 nachweislich der Push-Kanal der App missbraucht; ob Kundendaten abgeflossen sind, ist offen, und ASOS schweigt bisher. Für euch zählt deshalb nicht die Schlagzeile, sondern die Vorsorge:

• Heute: Telegram-Link ignorieren, ASOS-Passwort einzigartig machen, überflüssige Karten aus dem Konto entfernen.
• In den nächsten Wochen: Umsätze prüfen und jede Nachricht „von ASOS“ mit Link als verdächtig behandeln.
• Sobald ASOS sich äußert: Mitteilung im Konto lesen, bei bestätigtem Datenabfluss Auskunft nach Artikel 15 DSGVO verlangen.

Geprüfte Mode-Deals und weitere Ratgeber rund ums sichere Onlineshopping findet ihr täglich auf der MonsterDealz-Startseite.