Pentagon-Datenleck legt Personalakten von über 3 Millionen Menschen offen

Das Pentagon benachrichtigt Betroffene, nachdem Angreifer sensible Personalinformationen aus seinem Personalverwaltungssystem gestohlen haben. Von dem Pentagon-Datenleck sind mehr als 3 Millionen Menschen betroffen, darunter fast 2,8 Millionen lebende Personen und etwa 294.000 Verstorbene.

Laut Benachrichtigungsschreiben des Defense Manpower Data Center griffen unbefugte Nutzer zwischen Oktober 2025 und Juli 2026 auf sensible Informationen zu. Die Angreifer verschafften sich Zugang, indem sie eine Schwachstelle in den Filesharing-Systemen ausnutzten.

Gestohlene Informationen umfassen Social-Security-Nummern

Die kompromittierten Informationen unterscheiden sich je nach Person. Dazu gehören Namen, Social-Security-Nummern, Geburtsdaten, Kontaktdaten, Geschlecht, ethnische Zugehörigkeit und militärische Personalinformationen.

DMDC beschrieb die Eindringlinge als eine kleine Anzahl unbefugter Nutzer. Die Benachrichtigung identifiziert sie jedoch nicht und erklärt auch nicht, wie sie die gestohlenen Daten verwendeten.

Der Zugriffszeitraum erstreckte sich über etwa neun Monate. Die verfügbaren Informationen geben jedoch weder das genaue Entdeckungsdatum an noch, ob die Angreifer während dieses gesamten Zeitraums kontinuierlichen Zugriff hatten.

DMDC beginnt mit Benachrichtigungen und Sicherheitsmaßnahmen

DMDC gibt an, unmittelbar nach der Entdeckung der Schwachstelle Verfahren zur Reaktion auf Datenschutz- und Cybersicherheitsvorfälle eingeleitet zu haben. Diese Maßnahmen erfolgten gemäß den Anforderungen des Bundes und des Ministeriums.

Das Zentrum erklärt außerdem, dass es die Sicherheit des betroffenen Systems bewertet und verstärkt. Der verfügbare Bericht nennt jedoch weder das anfällige Filesharing-Produkt noch liefert er detaillierte Informationen zu den Behebungsmaßnahmen.

Das Pentagon-Datenleck betrifft ein System, das sensible Informationen für die Personalverwaltung enthält. Dadurch geht die Offenlegung über grundlegende Kontaktdaten hinaus und umfasst auch Identifikationsmerkmale sowie militärbezogene Informationen.

Betroffene erhalten Angebot zur Kreditüberwachung

Das Pentagon bietet betroffenen Personen zwölf Monate kostenlose Kreditüberwachung über IDX an, einen Anbieter von Dienstleistungen zur Reaktion auf und Wiederherstellung nach Datenschutzverletzungen.

Laut Benachrichtigung müssen sich die Empfänger bis zum 19. August 2027 anmelden.

Das Angebot ist Teil der Benachrichtigungen über den Datenverstoß. Die bereitgestellten Informationen belegen jedoch nicht, ob jemand die gestohlenen Daten für Identitätsdiebstahl oder Betrug verwendet hat.

Personalzentrum verwaltet mehr als 60 Millionen Datensätze

DMDC wurde 1974 gegründet und unterstützt das Department of Defense mit Personalakten, der Verwaltung von Leistungen und damit verbundenen Dienstleistungen.

Seine Bestände umfassen mehr als 60 Millionen Datensätze zu Militärangehörigen, zivilen Mitarbeitern, Auftragnehmern, Familienmitgliedern, Ruheständlern und Veteranen. Es verwaltet außerdem Informationen zur Unterstützung von Ausbildung, Finanzfunktionen und anderen Anforderungen des Ministeriums.

Diese größere Zahl von Datensätzen entspricht nicht der bestätigten Zahl der von dem Datenleck betroffenen Personen. Stattdessen beziffern Pentagon-Vertreter die betroffene Personenzahl auf mehr als 3 Millionen.

Unterdessen bleiben wichtige Fragen zu dem Eindringen offen, darunter die Identität der Angreifer und die vollständigen Umstände der Schwachstelle im Filesharing-System.