CenterPoint Energy bestätigt Datendiebstahl nach Veröffentlichung eines mutmaßlichen Datenlecks durch Hacker

CenterPoint Energy hat bestätigt, dass sich eine unbefugte Person über ein aus dem Internet erreichbares Unternehmenssystem personenbezogene Daten einiger Kunden beschafft hat.

Der in Houston ansässige Strom- und Erdgasversorger gab den Vorfall am 15. September 2026 bekannt, nachdem das Unternehmen einen Online-Beitrag untersucht hatte, in dem angeblich von CenterPoint gestohlene Daten zum Verkauf angeboten wurden. CenterPoint hat bislang weder mitgeteilt, wie viele Kunden betroffen sind, welche Datenfelder kompromittiert wurden noch wie der Angreifer Zugriff erlangte.

Ein Bedrohungsakteur behauptet, etwa 7,49 bis 7,5 Millionen Datensätze extrahiert zu haben. Diese Zahl ist nicht verifiziert und könnte sich statt auf einzelne Personen auch auf Datenbankzeilen, Konten oder doppelte Einträge beziehen.

CenterPoint erklärte, der Vorfall habe die Strom- oder Gasversorgung nicht unterbrochen. Das Unternehmen erwartet außerdem keine wesentlichen Auswirkungen auf den Geschäftsbetrieb oder die Finanzlage.

Was CenterPoint bestätigt hat

CenterPoint wurde auf einen Beitrag eines Bedrohungsakteurs aufmerksam, in dem behauptet wurde, Unternehmensdaten seien gestohlen worden, und leitete daraufhin eine Untersuchung ein. Aus einer Mitteilung an die U.S. Securities and Exchange Commission geht hervor, dass die Ermittler feststellten, dass ein unbefugter Dritter personenbezogene Daten eines Teils der Kunden erlangt hatte.

Die kompromittierte Umgebung wurde lediglich als „extern erreichbares“ System beschrieben. CenterPoint hat weder die betreffende Anwendung, API, Hosting-Umgebung, Softwareplattform noch die ausgenutzte Schwachstelle benannt.

Mehrere zentrale Fragen sind weiterhin offen:

• Die Zahl der betroffenen Kunden
• Die Kategorien der offengelegten personenbezogenen Daten
• Der Umfang der erlangten Informationen
• Die Identität des Angreifers
• Die Methode des Erstzugriffs
• Ob das betroffene System intern oder von einem Drittanbieter gehostet wurde
• Ob die gestohlenen Datensätze zum Zugriff auf oder zur Änderung von Kundenkonten verwendet werden konnten

CenterPoint versorgt in Indiana, Minnesota, Ohio und Texas etwa sieben Millionen Kunden mit eigenem Zähler. Das mutmaßliche Datenleck enthält mehr Datensätze als diese Kundenzahl, doch daraus lässt sich nicht schließen, dass jeder Kunde betroffen war. Eine einzelne Person oder ein einzelnes Konto könnte in mehreren Datensätzen auftauchen.

Mit seiner Bestätigung grenzt das Unternehmen den Vorfall von einer gänzlich unbelegten Erpressungsbehauptung ab: Einige Kundendaten wurden tatsächlich entwendet. Umfang und Zusammensetzung des gestohlenen Datensatzes werden jedoch noch untersucht.

Das mutmaßliche Datenleck enthält Konto- und Identitätsdaten

Der Angreifer, der unter dem Alias 4d722e4d656f77 auftritt, soll die Verantwortung für den Diebstahl von 7,49 Millionen Kundendatensätzen übernommen haben. Zu den mutmaßlich enthaltenen Daten gehören Namen, Telefonnummern, Serviceadressen, Rechnungsadressen, Kontonummern, Rechnungsbeträge und teilweise Social-Security-Nummern.

Eine andere Beschreibung des Datensatzes nennt etwa 7,5 Millionen Datensätze mit Namen, Kontodetails, Rechnungsinformationen und den letzten vier Ziffern der Social-Security-Nummern. CenterPoint hat keines dieser konkreten Datenfelder bestätigt.

Behauptungen zu den geleakten Daten tauchten am 12. September in einem Cybercrime-Forum auf. Anschließend wurde laut SecurityWeeks Bericht über die Veröffentlichung ein 2,5 GB großes Archiv zum Download bereitgestellt. Seine Echtheit konnte nicht unabhängig überprüft werden.

Diese Unterscheidung ist wichtig. Beiträge in kriminellen Foren vermischen häufig echte Beispiele mit doppelten, veralteten, neu verpackten oder frei erfundenen Informationen. Die Untersuchung von CenterPoint bestätigt zwar, dass Daten erlangt wurden, validiert aber weder das Archiv noch die angegebene Zahl der Datensätze oder die vollständige Beschreibung des Angreifers.

Der Akteur soll außerdem gedroht haben, bei einer späteren Aktion die „Hauptinfrastruktur“ von CenterPoint anzugreifen. Es gibt keine Hinweise darauf, dass Operational Technology, Stromerzeugungsanlagen oder Netze zur Versorgung der Kunden kompromittiert wurden. Die Strom- und Erdgasversorgung lief weiter.

Ein API-Enumeration-Angriff wird behauptet, ist aber nicht bewiesen

Die einzige detaillierte Schilderung der Angriffsmethode stammt vom mutmaßlichen Angreifer. Laut BleepingComputers Bericht über die technische Behauptung erklärte der Akteur, die Daten durch automatisiertes Testen von Millionen Identifikatoren gegen eine öffentlich zugängliche CenterPoint-API gesammelt zu haben.

Der Angreifer behauptete, die Schnittstelle habe weder eine wirksame Ratenbegrenzung noch einen Web Application Firewall-Schutz oder Kontrollen umfasst, die automatisierte Enumeration erkennen oder blockieren konnten. CenterPoint hat diese Darstellung nicht bestätigt.

Sollte sie zutreffen, würde die Aktivität eher einer massenhaften Enumeration von Objekten als der herkömmlichen Bereitstellung von Malware entsprechen. Ein automatisierter Client könnte große Mengen an Identifikatoren übermitteln, erfolgreiche Antworten erfassen und so nach und nach einen umfangreichen Datensatz zusammenstellen.

Mehrere Bedingungen können solche Angriffe ermöglichen. Identifikatoren könnten vorhersehbar sein, Autorisierungsprüfungen könnten nicht feststellen, ob ein Anfragender zum Einsehen eines Datensatzes berechtigt ist, oder die Anwendung könnte eine ungewöhnlich hohe Zahl von Anfragen ohne Eingreifen zulassen. Die verfügbaren Informationen lassen nicht erkennen, welche dieser Schwachstellen gegebenenfalls vorhanden waren.

Außerdem wurden weder eine Schwachstellenkennung noch eine betroffene Softwareversion, ein Patch, eine Neugestaltung der API, eine Änderung der Authentifizierung oder eine Konfiguration der Ratenbegrenzung bekannt gegeben. Kunden und Sicherheitsteams sollten die Darstellung zur API daher als unbestätigte Threat Intelligence betrachten, nicht als erwiesene Ursache des Vorfalls.

Kunden drohen Phishing, Betrug und Identitätsmissbrauch

Die unmittelbaren Auswirkungen bestehen in einer Verletzung des Datenschutzes und nicht in einer Unterbrechung essenzieller Dienste. Wie schwerwiegend die Folgen letztlich sind, hängt maßgeblich davon ab, welche Datenfelder CenterPoint bestätigt.

Namen, Adressen, Telefonnummern, Kontodetails und Rechnungsinformationen könnten Kriminellen dabei helfen, überzeugende Nachrichten mit Bezug zur Energieversorgung zu erstellen. Ein Betrüger könnte sich auf eine Serviceadresse oder einen aktuellen Rechnungsbetrag beziehen, um eine Zahlung zu fordern, Zugangsdaten abzufragen oder mit einer Unterbrechung der Versorgung zu drohen.

Teilweise offengelegte Social-Security-Nummern sind nicht mit vollständigen Nummern gleichzusetzen. In Verbindung mit Namen, Adressen und Kontoinformationen können sie jedoch Betrugsversuche zur Identitätsprüfung glaubwürdiger machen. Offengelegte Kontoidentifikatoren könnten außerdem zusätzliche Risiken schaffen, wenn CenterPoint sie in Kundendienst- oder Kontowiederherstellungsprozessen verwendet.

Potenzielle Betroffene sollten bei unaufgeforderten Anrufen, E-Mails und Textnachrichten vorsichtig sein, die sich auf unbezahlte Rechnungen, Rückerstattungen, Störungen der Versorgung oder eine Entschädigung für den Datenschutzvorfall beziehen. Anfragen sollten über einen bekannten CenterPoint-Kanal verifiziert werden und nicht über Kontaktdaten, die in der Nachricht angegeben sind.

Kunden können ihre Energie- und Finanzkonten außerdem auf unerklärliche Änderungen oder Transaktionen prüfen. CenterPoint hat bislang weder einen speziellen Dienst zum Schutz vor Identitätsmissbrauch noch eine verpflichtende Zurücksetzung von Zugangsdaten oder ein direkt an Kunden gerichtetes Abhilfeprogramm angekündigt.

Berichten zufolge wurden bei Bundesgerichten mehrere geplante Sammelklagen eingereicht. In den Klageschriften wird behauptet, der Datenschutzvorfall habe zwischen dem 17. August und dem 1. September stattgefunden. CenterPoint hat diesen Zeitraum jedoch nicht bestätigt.

Untersuchung läuft weiter, bislang ohne öffentlich bekannten technischen Fix

CenterPoint hat seine Verfahren zur Reaktion auf Sicherheitsvorfälle aktiviert und externe Cybersecurity-Spezialisten hinzugezogen. Die Untersuchung soll ermitteln, welche Personen betroffen sind, welche Informationen erlangt wurden und wie es zur Kompromittierung kam.

Der Versorger erklärte außerdem, den Schutz seiner Systeme verstärkt zu haben, machte jedoch keine Angaben zu den konkreten Änderungen. Ein bestimmter Patch, die Einführung einer Firewall, eine API-Kontrolle, die Rotation von Zugangsdaten oder eine Überwachungsregel wurden nicht offengelegt.

Der Vorfall wurde Strafverfolgungsbehörden und Aufsichtsstellen gemeldet. CenterPoint will Kunden und zuständige Behörden, sofern gesetzlich vorgeschrieben, benachrichtigen, wie aus Berichten über die regulatorische Mitteilung des Unternehmens hervorgeht.

Bis individuelle Benachrichtigungen verschickt werden, können Kunden anhand der öffentlich verfügbaren Informationen allein nicht feststellen, ob ihre Datensätze betroffen waren. Eine legitime Benachrichtigung sollte angeben, welche Datenfelder offengelegt wurden, in welchem Zeitraum sich der bekannte Vorfall ereignete und welche Schutzmaßnahmen angeboten werden.

Für CenterPoint und andere Versorgungsunternehmen wären unter anderem gehäufte API-Anfragen, Abfragen aufeinanderfolgender Identifikatoren, ungewöhnlich hohe Antwortvolumen, wiederholte Zugriffe über eine kleine Zahl von Infrastrukturen und umfangreiche ausgehende Datenübertragungen wichtige forensische Hinweise. CenterPoint hat bislang keine Indicators of Compromise veröffentlicht.

Frühere Behauptungen zu CenterPoint-Daten hatten einen anderen Ursprung

CenterPoint war bereits zuvor Gegenstand von Behauptungen über Datenverkäufe und Zugangsangebote. 2024 soll ein als AntiBrok3rs bekannter Akteur Zugang zu Daten des Versorgers oder damit verbundene Informationen angeboten haben, während ein anderer Akteur unabhängig davon behauptete, über CenterPoint-Daten zu verfügen.

Analysten brachten diese früheren Datensätze mit der MOVEit-Kampagne der Ransomware-Gruppe Cl0p aus dem Jahr 2023 in Verbindung. Die Informationen stammten vermutlich von einem Drittanbieter und nicht aus den eigenen Systemen von CenterPoint.

Es wurde kein Zusammenhang zwischen diesen Ereignissen und der nun bestätigten Kompromittierung festgestellt. Der aktuelle Vorfall wurde weder Cl0p noch AntiBrok3rs oder einer anderen bekannten Bedrohungsgruppe zugeschrieben.

Derzeit lässt sich vor allem folgende engere Schlussfolgerung ziehen: Angreifer erlangten über ein extern erreichbares CenterPoint-System personenbezogene Kundendaten. Die Zahl der Betroffenen, die genauen Datenfelder und die technische Ursache sind jedoch weiterhin unbekannt.