Zusammenfassung:
TSMC, das weltweit größte Gießereiunternehmen, bestätigte kürzlich, dass die persönlichen Daten einiger aktueller und ehemaliger Mitarbeiter ohne Genehmigung auf externen Websites erschienen sind. TSMC gab an, dass eine vorläufige Untersuchung keine Hinweise darauf ergeben habe, dass das unternehmenseigene Informationssystem kompromittiert worden sei. Die betreffenden Daten stimmten mit Informationen überein, die im System eines Drittanbieters für Cloud-Dienste gespeichert waren, betrafen jedoch nicht die Produktionsabläufe, Geschäftsgeheimnisse oder kundenbezogenen Daten von TSMC.
TSMC reichte am 12. November ein 6-K-Dokument bei der U.S. Securities and Exchange Commission (SEC) ein, in dem die Weitergabe persönlicher Mitarbeiterdaten offiziell offengelegt wurde. Das Unternehmen sagte, es habe bestätigt, dass einige personenbezogene Daten von Mitarbeitern ohne Genehmigung auf einer externen Website veröffentlicht worden seien. Derzeit verfügbare Informationen zeigen, dass die Informationen mit Daten übereinstimmen, die in den Systemdiensten eines Cloud-Dienstanbieters gespeichert sind.
TSMC betonte, dass es derzeit keine Beweise dafür gibt, dass die internen Systeme des Unternehmens kompromittiert wurden, und dass keine Informationen zum Produktionsbetrieb oder Kundendaten gefunden wurden, die an diesem Vorfall beteiligt waren. Das Unternehmen benachrichtigt aktuelle und ehemalige betroffene Mitarbeiter und stellt ihnen die notwendige Unterstützung zur Verfügung. Gleichzeitig hat TSMC mit relevanten Cloud-Dienstanbietern, Ermittlungsbehörden und externen Netzwerksicherheitsbehörden zusammengearbeitet, um den konkreten Vorfall herauszufinden und entsprechende Maßnahmen zu ergreifen.
Es ist erwähnenswert, dass TSMC weder den Namen des beteiligten Cloud-Dienstleisters bekannt gab, noch, wie viele Mitarbeiter betroffen waren und welche Arten personenbezogener Daten betroffen waren.
Relevante Hinweise zu diesem Vorfall sind bereits in Foren zur Cyberkriminalität aufgetaucht. Laut Cybersicherheitsmedien veröffentlichte ein nicht identifizierter Cyberkrimineller am 8. November in einem Untergrundforum die Nachricht über den Verkauf von TSMC-Mitarbeiterdaten. Er behauptete, über etwa 46.000 Mitarbeiterdatensätze mit einem Gesamtdatenvolumen von 6,9 GB zu verfügen, und verlangte vom Käufer die Zahlung von 3 Bitcoins, was damals etwa 200.000 US-Dollar entsprach. Der Verlag drohte außerdem mit der Offenlegung aller Daten, wenn innerhalb einer Woche niemand kauft.
Laut taiwanesischen Medienberichten sollen einige in einschlägigen Foren angezeigte Datenproben sensible Informationen wie Mitarbeiternamen, ID-Nummern und Bankkontoinformationen enthalten. Allerdings handelt es sich bei diesen Inhalten immer noch um einseitige Aussagen von Cyberkriminellen. TSMC hat die Menge der durchgesickerten Daten, die Dateigröße und bestimmte Informationskategorien nicht offiziell bestätigt und auch nicht bestätigt, dass die im Forum verkauften Daten genau dem vom Unternehmen offengelegten Vorfall entsprechen.
Den von TSMC vorgelegten Regulierungsdokumenten nach zu urteilen, konzentriert sich das Unternehmen derzeit bei seiner Untersuchung auf die Datensicherheitsprobleme von Drittanbietern von Cloud-Diensten. Da die relevanten Informationen mit den im System des Cloud-Dienstanbieters gespeicherten Daten übereinstimmen, müssen die Ermittler weiter bestätigen, ob die Daten innerhalb des Cloud-Dienstanbieters gestohlen wurden oder über andere Systeme oder Kanäle durchgesickert sind, die auf dieselben Informationen zugreifen können.
Dies bedeutet auch, dass TSMC zwar keine Kompromittierung seines eigenen internen Netzwerks festgestellt hat, jedoch nicht ausschließen kann, dass die persönlichen Daten seiner Mitarbeiter über externe Dienstleister weitergegeben wurden. Bei großen multinationalen Unternehmen sind die Bereiche Personalwesen, Gehaltsabrechnung, Überprüfung der Mitarbeiteridentität und andere Verwaltungsdienste häufig auf externe Cloud-Plattformen angewiesen. Sobald es Lücken in den Sicherheitsmaßnahmen von Drittanbietern gibt, kann das Unternehmen selbst ernsthaften Datenlecks ausgesetzt sein, selbst wenn es nicht direkt angegriffen wird.
TSMC hat in den letzten Jahren großen Wert auf Netzwerksicherheitsthemen gelegt. Im Jahr 2023 erlitt das Unternehmen einen Ransomware-Angriff im Zusammenhang mit einem Lieferanten. Damals behauptete die Cyberkriminalitätsorganisation LockBit, Daten im Zusammenhang mit der Lieferkette von TSMC erhalten zu haben und versuchte, verbundene Unternehmen durch Erpressung zur Zahlung von Lösegeld zu zwingen. TSMC gab später an, dass der Vorfall auf einen Angriff auf Kinmax Technology, einen IT-Hardwarelieferanten, zurückzuführen sei, und betonte, dass dessen Produktionssystem nicht betroffen sei.
Darüber hinaus entließ TSMC im Jahr 2025 zwei Mitarbeiter, die verdächtigt wurden, Geheimnisse der fortschrittlichen Prozesstechnologie gestohlen und versucht zu haben, sie preiszugeben. Die damit verbundenen Vorfälle verdeutlichten außerdem die komplexen Sicherheitsherausforderungen, mit denen die Halbleiterindustrie im Hinblick auf das interne Informationsmanagement und die Technologievertraulichkeit konfrontiert ist.
Als einer der weltweit bedeutendsten Halbleiterhersteller bietet TSMC Chipfertigungsdienstleistungen für viele Technologieunternehmen wie Nvidia, Apple, AMD, Qualcomm und Broadcom an. Seine fortschrittliche Prozesstechnologie und Produktionsbetriebsdaten haben einen äußerst hohen kommerziellen Wert, weshalb die Außenwelt dem Netzwerksicherheitssystem des Unternehmens stets große Aufmerksamkeit geschenkt hat.
Dieser Vorfall und das Eindringen in das Produktionssystem sind jedoch zwei verschiedene Problemebenen. Den aktuell von TSMC veröffentlichten Informationen zufolge handelt es sich dabei um die personenbezogenen Daten einiger Mitarbeiter, nicht um Chip-Design, Kundenaufträge, Herstellungsprozesse oder Fab-Produktionsdaten. Das Unternehmen hat keine Hinweise darauf gefunden, dass Kundeninformationen betroffen waren.
Dieser Vorfall zeigt einmal mehr, dass selbst globale Technologiegiganten mit extrem hohen Sicherheitsschutzkapazitäten den Cybersicherheitsrisiken, die von Lieferketten Dritter ausgehen, nicht vollständig entgehen können. Die Grenzen der Datensicherheit eines Unternehmens beschränken sich nicht länger auf die eigenen Server und internen Netzwerke. Auch Outsourcing-Dienstleister, Cloud-Plattformen und verschiedene Kollaborationssysteme können zum Ziel von Angreifern werden, die nach Durchbrüchen suchen.
Derzeit hat TSMC weder die Identität des beteiligten Cloud-Dienstanbieters noch die endgültige Anzahl der betroffenen Mitarbeiter bekannt gegeben. Während das Unternehmen weiterhin mit Strafverfolgungsbehörden und Cybersicherheitsteams Dritter ermittelt, müssen die konkrete Quelle des Datenverstoßes, das Ausmaß seiner Verbreitung und die Frage, ob andere sensible Informationen im Spiel waren, noch weiter bestätigt werden.
Kommentare