Estée Lauder bestätigt Datenpanne nach Sicherheitslücke in Oracle E-Business Suite

Das Kosmetikunternehmen Estée Lauder hat damit begonnen, betroffene Personen über eine Datenschutzverletzung zu informieren, nachdem ein Angreifer eine Schwachstelle in der Oracle E-Business Suite-Umgebung des Unternehmens ausgenutzt hatte, die für HR-bezogene Geschäftsprozesse verwendet wird.

Laut dem Unternehmen wurde der Vorfall im vergangenen Monat entdeckt. Die anschließende Untersuchung ergab, dass sich ein Unbefugter vermutlich um den 9. August 2025 Zugang zum System verschafft und personenbezogene Daten mehrerer Personen erlangt hat.

In seinem Informationsschreiben schreibt er: Estée Lauder dass das Unternehmen ein Cybersicherheitsproblem identifiziert hat, das mit einer Schwachstelle in Oracle E-Business Suite, der Plattform für das Personalmanagement innerhalb der Gruppe, zusammenhängt.

Darüber hinaus gibt das Unternehmen an, dass die interne Untersuchung, die am 19. Juni 2026 abgeschlossen wurde, ergab, dass ein unbefugter Dritter um den 9. August 2025 Zugang zum System erlangt und dadurch personenbezogene Daten erhalten hatte.

Möglicherweise wurden personenbezogene Daten offengelegt

Einem Beispiel des an die betroffenen Personen versandten Informationsschreibens zufolge könnten folgende Informationen von der Datenschutzverletzung betroffen gewesen sein:

• Vollständiger Name
• Postanschrift
• E-Mail-Adresse
• Geburtsdatum
• Sozialversicherungsnummer (SSN)
• Passnummer
• Bankverbindung
• Gesundheitsinformationen
• Beschäftigungsbezogene Informationen, einschließlich Gehalts- und Leistungsdaten

Die betroffenen Daten variieren von Person zu Person.

Der zeitliche Ablauf deutet auf eine bekannte Oracle-Schwachstelle hin.

Estée Lauder hat die Ursache der Sicherheitslücke nicht offengelegt, aber der Zeitpunkt fällt mit der groß angelegten Angriffswelle zusammen, die 2025 die Oracle E-Business Suite über dieselbe Sicherheitslücke ins Visier nahm. CVE-2025-61882.

Im Oktober 2025 berichteten Sicherheitsforscher von Google Mandiant, dass die Ransomware-Gruppe Clop die Schwachstelle als sogenannte Zero-Day-Schwachstelle ausnutzte, um Daten von einer großen Anzahl von Organisationen zu stehlen.

Die Sicherheitslücke betraf Oracle E-Business Suite Versionen 12.2.3 bis 12.2.14 und ermöglichte Angreifern, die Authentifizierung zu umgehen und in einigen Fällen über die BI Publisher Integration-Komponente Code aus der Ferne auszuführen. Ein erfolgreicher Angriff hätte Zugriff auf sensible Personal- und Geschäftsdaten ermöglichen können.

Orakel veröffentlichte Sicherheitsupdates für CVE-2025-61882 am 4. Oktober 2025. Kurz darauf bestätigte das Cybersicherheitsunternehmen CrowdStrike, dass Clop die Schwachstelle bereits seit Anfang August desselben Jahres ausnutzte.

Mehrere große Organisationen waren betroffen.

Die mit der Oracle-Sicherheitslücke in Verbindung stehende Kampagne hat bereits mehrere große Organisationen betroffen, darunter:

• Harvard-Universität
• Universität von Pennsylvania
• Dartmouth
• Universität von Phoenix
• Die Washington Post
• Logitech
• GlobalLogic
• Cox Enterprises
• Envoy Air, eine Tochtergesellschaft von American Airlines

Es gibt jedoch keine öffentliche Bestätigung dafür, dass derselbe Angreifer auch für den Datenverstoß bei Estée Lauder verantwortlich war.

Bietet Identitätsüberwachung

Estée Lauder ruft die Betroffenen dazu auf, auf Anzeichen von Identitätsdiebstahl und Finanzbetrug zu achten und bietet 24 Monate kostenlose Identitätsüberwachung durch das Sicherheitsunternehmen Kroll an.

Zum zweiten Mal wird das Unternehmen mit Clop in Verbindung gebracht.

Dies ist nicht das erste Mal, dass Estée Lauder Opfer eines schwerwiegenden Cybersicherheitsvorfalls geworden ist.

Im Jahr 2023 war das Unternehmen auch von der weltweiten Angriffswelle gegen die Dateitransferplattform betroffen. MOVEit Transfer, wo die Ransomware-Gruppe Clop eine kritische Zero-Day-Schwachstelle ausnutzte, um Daten von Hunderten von Organisationen weltweit zu stehlen.