Krispy Kreme-Datenpanne löst Sammelklage wegen offengelegter Mitarbeiterdaten aus

Ein massiver Datenverstoß bei Krispy Kreme hat eine Sammelklage ausgelöst, nachdem sensible Mitarbeiterinformationen offengelegt wurden.
Der Cyberangriff im November 2024 betraf über 160.000 aktuelle und ehemalige Mitarbeiter.

Der Verstoß und die Klage

Rechtsanwälte reichten die vorgeschlagene Sammelklage am 21. Juni 2025 beim Western District Court in North Carolina ein.
Die Klage folgt auf Benachrichtigungsschreiben von Krispy Kreme an die Betroffenen.
Lily Peace, eine ehemalige Mitarbeiterin aus North Dakota, führt die Sammelklage gegen die Donut-Kette an.

Der Fall wirft Krispy Kreme vor, Mitarbeiterdaten nicht geschützt und unverschlüsselt gelassen zu haben.
Ein Richter hat dem Rechtsteam grünes Licht für das weitere Vorgehen gegeben.

Ungeschützte Daten offengelegt

Der Datenverstoß bei Krispy Kreme enthüllte eine breite Palette sensibler Informationen:

• Namen, Adressen und E-Mail-Adressen
• Sozialversicherungsnummern und Geburtsdaten
• Führerscheine, Personalausweise, Militär- und Reisepässe
• Ausländerregistrierungsnummern
• Finanzkonten, Benutzernamen, Passwörter und Karten-Sicherheitscodes
• Digitale Signaturen und biometrische Daten
• Geschützte Gesundheitsinformationen (PHI), einschließlich medizinischer und Versicherungsdetails

Die Klage hebt hervor, dass Krispy Kreme es versäumt hat, diese hochsensiblen Daten zu verschlüsseln oder zu schwärzen.

Verbindung zur Play-Ransomware-Gruppe

Die Play-Ransomware-Gruppe bekannte sich zu dem Datenverstoß bei Krispy Kreme.
Sie kündigten den Angriff drei Wochen nach dem Vorfall im November 2024 öffentlich an.
Die Gruppe drohte, die gestohlenen Daten am 21. Dezember 2024 zu veröffentlichen, ob dies tatsächlich geschah, ist unklar.

Krispy Kreme bestätigte, dass der Angriff Geschäftsabläufe und Online-Bestellsysteme störte.
Das Unternehmen betonte jedoch, dass die Dienstleistungen in allen 1.400 Filialen weiterhin uneingeschränkt verfügbar seien.

Verzögerte Reaktion und Kritik

Die Klage weist darauf hin, dass Krispy Kreme es versäumte, die Betroffenen fast sechs Monate lang zu informieren.
Selbst dann fehlten in den Benachrichtigungsschreiben wichtige Details zum Vorfall.

Ein Unternehmenssprecher erklärte, dass keine Fälle von Identitätsdiebstahl oder Betrug im Zusammenhang mit dem Verstoß bekannt seien.
Das Rechtsteam argumentiert jedoch, dass das Versäumnis, Daten zu schützen, die Opfer einem lebenslangen Risiko aussetzt.

Lebenslange Risiken und Schäden

Der Krispy Kreme-Datenverstoß setzt die Opfer potenziellen Identitätsdiebstahl, Betrug und Belästigung aus.
Die Sammelklage behauptet, dass der Verstoß folgende Schäden verursacht hat:

• Verletzung der Privatsphäre
• Zunahme von Spam-Anrufen, E-Mails und SMS
• Verlust von Zeit und Kosten zur Schadensbegrenzung

Dem Fall zufolge handelte Krispy Kreme fahrlässig und sorglos, indem es keine angemessenen Cybersicherheitsmaßnahmen implementierte.

Die anhaltenden Folgen

Mit über 160.000 Betroffenen könnte der Fall weitreichende Folgen haben.
Die Klage fordert Entschädigung und Verbesserungen der Datensicherheitspraktiken bei Krispy Kreme.

Die Beteiligung der Play-Ransomware-Gruppe unterstreicht die wachsende Bedrohung durch Cyberkriminelle, die große Unternehmen ins Visier nehmen.
Da sich Ransomware-Gruppen weiterentwickeln, müssen Unternehmen den Datenschutz priorisieren, um ähnliche Vorfälle zu verhindern.

Fazit

Der Krispy Kreme-Datenverstoß ist eine deutliche Mahnung für die Bedeutung der Cybersicherheit.
Die offengelegten Daten betreffen nicht nur Mitarbeiter, sondern auch deren Familien und ehemalige Beschäftigte.

Während die Sammelklage voranschreitet, wird Organisationen weltweit klar gemacht:
Das Versäumnis, persönliche Daten zu schützen, kann rechtliche Schritte, Reputationsschäden und langfristige Schäden für die Opfer zur Folge haben.