Eine völlig ungeschützte Datenbank mit Recruiting-Informationen von beinahe 900 Unternehmen, darunter zahlreiche bekannte Marken, war frei im Netz zugänglich. Besonders besorgniserregend: Unter den offengelegten Daten befanden sich auch aktive Zugangsdaten für die HR-Plattformen der betroffenen Firmen, wodurch sich das Schadenspotenzial für Angreifer deutlich erhöht. Das betroffene Unternehmen erklärte unterdessen, es seien keine echten Bewerberdaten betroffen.

Ende Juni entdeckten unsere Sicherheitsforscher eine öffentliche Datenbank ohne Authentifizierung, die vollen Lese- und Schreibzugriff auf mehrere Gigabyte an Daten gewährte. Nach Angaben der Redaktion stammten die offengelegten Daten von Talentsconnect, einem deutschen HR-Tech-Unternehmen.

Das Hamburger Unternehmen ist auf sogenannte Direct-to-Talent-Plattformen (D2T) spezialisiert, die Jobsuchende und Arbeitgeber zusammenbringen. Talentsconnect sitzt mitten im Bewerbungsprozess. Unternehmen veröffentlichen dabei Stellenangebote in ihrem Bewerbermanagementsystem. Die Lösungen von Talentsconnect übernehmen die Anzeige und veröffentlichen die Stellenangebote dort, wo sich Nutzer bewerben können.

Das Cybernews-Team stellte fest, dass die offene Datenbank Zugriff auf knapp 11 GB an aktuellen Recruiting-Daten von 843 Unternehmen erlaubte. Hinzu kamen Hunderte Zugangsdaten von Dutzenden Firmen und deren Systemen.

Talentsconnect schloss die Datenbank, nachdem Cybernews das Unternehmen informierte. Die Daten sind nicht mehr öffentlich abrufbar. Wir haben das Unternehmen um eine Stellungnahme gebeten und aktualisieren diesen Artikel, sobald eine Antwort vorliegt.

Unsere Forscher fanden keine Hinweise darauf, dass Unbefugte auf die Daten zugegriffen haben. Allerdings durchsuchen Kriminelle das Netz gezielt nach genau solchen ungeschützten Datenbanken und hinterlassen dabei nicht immer eindeutige Spuren.

Laut den Sicherheitsforschern gingen noch eine Woche vor der Entdeckung Live-Daten aus dem Produktivbetrieb in die Datenbank ein. Es handelte sich also höchstwahrscheinlich nicht um ein stillgelegtes Testsystem.

„Es handelt sich um einen zentralen Angriffspunkt in den Recruiting-Systemen hunderter großer europäischer Arbeitgeber. Jeder im Internet hätte die gesamte Liste einsehen, persönliche Daten von Bewerbenden abgreifen, verändern oder einschleusen können, da Lese- und Schreibzugriff möglich war. Konkret hätte das zum Schalten gefälschter Stellenanzeigen unter echten Firmennamen, zu Bewerbungen mit Malware-Anhängen oder zur Löschung von Inseraten genutzt werden können“, erklärten die Experten.

Talentsconnect: „Es war ein Testsystem“

Nach Veröffentlichung des Artikels meldete sich Talentsconnect bei Cybernews. Das Unternehmen bestreitet nicht, dass ein „bedauerlicher Sicherheitsvorfall“ gegen die eigene „interne Sicherheitsrichtlinie“ verstoßen habe.

Bei der offengelegten Datenbank habe es sich laut Talentsconnect jedoch nicht um eine echte Kundendatenbank gehandelt, sondern um ein vollständig separates Testsystem, das für technische Integrationszwecke angelegt worden sei.

Das Unternehmen bestreitet zudem, dass echte Bewerber- oder Bewerbungsdaten offengelegt wurden: Die Datenbank habe ausschließlich fiktive Testinformationen enthalten. Zusätzlich behauptet Talentsconnect, die Zahl der betroffenen Unternehmen mache nur „einen Bruchteil“ der genannten 900 aus.

Nach aktuellem Stand unserer Untersuchung liegt die Zahl der Unternehmen, für die überhaupt potenziell sensiblere Daten gespeichert waren, nur im niedrigen zweistelligen Bereich,

so Talentsconnect.

Talentsconnect erklärt weiter, dass keine Zugangsdaten im Klartext gespeichert gewesen seien, sondern lediglich ein Verweis auf den jeweiligen Passwortmanager bestanden habe. Für einen tatsächlichen Zugriff wären demnach „zusätzliche Daten und Informationen“ nötig gewesen.

„Nach aktuellem Kenntnisstand können wir die im Artikel beschriebenen, angeblichen Möglichkeiten eines unbefugten Zugriffs auf Daten, die auf Unternehmensseite liegen, weitgehend ausschließen; lediglich in einem einzigen Fall hätte dies – rein theoretisch – geschehen können“, so das Unternehmen.

Ein Blick in das Datenleck bei Talentsconnect

Die offengelegten Daten lagen auf einer MongoDB-Datenbank, die beim französischen Cloud-Anbieter OVH gehostet wurde. Unternehmen nutzen MongoDB häufig, um große Mengen ständig aktualisierter Daten zu organisieren. Manchmal wird die Datenbank falsch konfiguriert, wodurch die dort gespeicherten Daten ungeschützt bleiben.

Nach Angaben unserer Forscher enthielt die Datenbank über fünf Millionen Stellenanzeigen von großen DAX- und Fortune-500-Unternehmen. Ebenfalls gespeichert waren Informationen zu Bewerbern, darunter:

• Namen
• E-Mail-Adressen
• Telefonnummern
• Gehaltsvorstellungen
• Base64-kodierte Lebensläufe und Anschreiben

Weitaus gefährlicher waren jedoch die 335 aktiven Zugangsdaten, die im Klartext über 56 Kundenintegrationen verteilt gespeichert waren.

Einer dieser Datensätze gehörte etwa zum Entsorgungskonzern Remondis. Laut dem Team enthielt die Talentsconnect-Datenbank einen Benutzernamen und ein Passwort, die vermutlich eine Verbindung zum Bewerbungsportal von Remondis ermöglichten. Zumindest theoretisch hätten Kriminelle damit gefälschte Stellenanzeigen auf der Karriereseite des Unternehmens platzieren können.

„Erschwerend kommt hinzu, dass die offengelegten Zugangsdaten Dritter die Reichweite des Schadens weit über Talentsconnect hinaus ausdehnen, möglicherweise bis in die Bewerbermanagementsysteme (ATS) der Kunden hinein“, erklärten die Forscher.

Das Team identifizierte 80 im Klartext gespeicherte Zugangsdaten für FFG Prescreen, ein Tool für Hintergrundprüfungen und Screening im Bewerbungsprozess. Eigentlich sollen solche Zugänge Kandidaten beispielsweise erlauben, ihre eingereichten Daten zu ändern. Angreifer könnten denselben Zugriff jedoch nutzen, um gefälschte Stellenanzeigen zu veröffentlichen, Angaben zu manipulieren oder Daten komplett zu löschen.

Weitere offengelegte Zugangsdaten ermöglichten offenbar den Zugriff auf die Plattformen SmartRecruiters, Workday und SAP SuccessFactors, die weltweit von Tausenden Personalabteilungen genutzt werden. Zugriffsschlüssel und Passwörter für alle drei Plattformen fanden sich in der offenen Datenbank. Das Leck beschränkte sich also nicht auf das System von Talentsconnect selbst, sondern öffnete potenziell auch die Tür zu weiteren großen Plattformen.

Darüber hinaus stieß das Team auf mindestens 770 Verweise auf den AWS Secrets Manager mit mindestens 202 unterschiedlichen Pfaden.

Der AWS Secrets Manager ist ein verwalteter Dienst zur sicheren Speicherung von Zugangsdaten und Geheimnissen. Offengelegt wurden nicht die tatsächlichen Geheimnisse aus diesem Tresor, sondern Adressen, die den Weg dorthin weisen.

Für Angreifer sind solche Daten wertvoll, weil sie den Kreis möglicher Ziele deutlich eingrenzen, etwa wenn Cyberkriminelle auf den AWS-Secrets-Manager-Tresor eines Fortune-500-Konzerns zugreifen wollen.

In den offengelegten Daten fanden sich beispielsweise Verweise auf den AWS Secrets Manager für Unternehmen wie Siemens, Vantage Towers (Vodafone), Hornbach, ARAG, Computacenter, Peek & Cloppenburg und UniCredit.

„Für die Öffentlichkeit bedeutet das Datenleck, dass persönliche Daten von Bewerbern ungeschützt im Netz zugänglich waren. Für die Branche zeigt es das systemische Drittanbieterrisiko von Recruiting-Middleware: Ein einziger unsicherer Dienstleister legt die Daten und Geschäftsbeziehungen von 843 Organisationen auf einen Schlag offen“, erläuterte das Team.

Angriffe über Drittanbieter richten enormen Schaden an

Angriffe über Drittanbieter können genauso verheerend sein wie direkte Angriffe, oft sogar schlimmer.

Im vergangenen Jahr zwangen Angreifer etwa Jaguar Land Rover (JLR), die Produktion anzuhalten, was den britischen Hersteller Millionen kostete. Berichten zufolge nutzten die Täter Dienste Dritter, um an gültige Zugangsdaten zu kommen.

Erst kürzlich legte ein Datenleck bei CEVA Logistics, einem weltweit tätigen Lieferkettenunternehmen, Informationen von Organisationen wie dem niederländischen Fußballklub Ajax, dem Finanzkonzern ING und der Optikerkette Ace & Tate offen.

Weitere aufsehenerregende Drittanbieter-Angriffe, die Unternehmen Millionen kosteten, waren der MOVEit-Angriff, bei dem das Ransomware-Kartell Clop eine Zero-Day-Lücke ausnutzte, um auf Dateien auf einer verbreiteten Filesharing-Plattform zuzugreifen, sowie eine Welle von Salesforce-Angriffen durch ShinyHunters.

Chronologie der Offenlegung

• Leck entdeckt: 24. Juni 2026
• Erste Meldung an das Unternehmen: 10. Juli 2026
• Leck als geschlossen beobachtet: 16. Juli 2026