Die Online-Plattform Nius bekommt die Sicherheit ihrer sensiblen Daten offenbar nicht in den Griff. Nur wenige Tage nach der Offenlegung eines erneuten Datenabfluss bei Nius, erhielt CORRECTIV erneuten Hinweise auf einen öffentlich zugänglichen und herunterladbaren Datensatz in Form eines Archivs. Hierbei handelte es sich um eine Datensicherung des Versandsystems, mit Hilfe dessen Nius seine Newsletter zustellt.
Aufgrund einer mutmaßlichen Fehlkonfiguration war es möglich, von diesem Server ein rund 500 Megabyte großes Archiv einzusehen. Das Archiv beinhaltete unter anderem eine Kopie des Quellcodes der von Nius verwendeten Software zum Newsletterversand. Ihm inbegriffen die Daten von rund zweiundviertzigtausend Abonnenten, die Ende 2025 bei Nius angemeldet waren.
Neben der Newslettersoftware selbst beinhaltete der Download auch geheime Zugangsschlüssels eines Cloudanbieters, den Nius zum E-Mailversand nutzt. Mithilfe dieser Schlüssel hätten Dritte E-Mails im Namen von Nius versenden können.
Nach Analysen von CORRECTIV wurden die geheimen Schlüssel aus diesem Archiv nicht beim E-Mail-Versand im Rahmen des Phishing Versuch am 22. September auf Bundestags- und Landtagsabgeordnete eingesetzt. Zum damaligen Zeitpunkt wurden die E-Mails dem Anschein nach vom E-Mail-Account eines Mitarbeiters von Nius versendet. Die Phishing-E-Mails verfügten über zahlreiche Metadaten, die den Anschein erweckten, dass diese tatsächlich über die Nius-IT-Infrastruktur versendet wurden.
Es ist unklar, wie lange die Daten bereits auf diesem Wege öffentlich zugänglich waren und wer auf sie zugegriffen hat. Die zuständige Datenschutzbehörde bestätigte auf Anfrage den Datenabfluss und ergänzte, dass es sich dabei bereits um den fünften gemeldeten Datenschutzvorfall bei Nius seit Beginn des Jahres 2025 handelt. Ob Nius wegen des Datenlecks ein Bußgeld droht, lässt die zuständige Stelle auf Anfrage offen.
Nius äußerte sich auf Anfrage von CORRECTIV nicht zu dem Vorfall. Einige Tage nach der Anfrage jedoch wurde der Server abgeschaltet, auf dem das Datenarchiv gespeichert war.
Redaktion und Faktencheck: Martin Murphy
