Ein unter dem Namen TripleX bekannter Bedrohungsakteur hat angeblich rund 1 Terabyte an Daten von Kunden der Bank of Baroda veröffentlicht – frei herunterladbar und mit Aadhaar-Nummern, Bankkontounterlagen und Kreditdateien in einem Paket. Dabei handelt es sich nicht um eine verstreute Sammlung unvollständiger Datensätze. Berichten über das Leck zufolge bildet der Datensatz das, was Sicherheitsforscher als vollständiges Identitätsdossier bezeichnen – jene Art umfassenden Profils, das aus einer Datenexposition ein gebrauchsfertiges Betrugswerkzeug macht.

Die schiere Menge und die Kombination der betroffenen Daten machen diesen Vorfall zu einem Fall, den man im Detail verstehen sollte – sowohl wegen dessen, was er darüber verrät, wie sich Datenschutzverletzungen im Laufe der Zeit anhäufen, als auch wegen dessen, was betroffene Personen realistischerweise dagegen tun können.

Was der TripleX-Datensatz tatsächlich enthält

Das geleakte Archiv enthält Berichten zufolge Aadhaar-Nummern – Indiens nahezu universelle biometrische Identitätsnummer – zusammen mit Bankkontodetails und Kreditunterlagen. Jede dieser Datenkategorien ist für sich genommen sensibel. Aadhaar-Nummern werden im gesamten Behördenwesen, im Bankensektor, bei der Telekom-Registrierung und in zahllosen Verifizierungsprozessen verwendet. Bankkontounterlagen offenbaren Kontostände, Transaktionsmuster und Kontoinhaberdaten. Kreditdateien fügen eine weitere Ebene hinzu und enthalten oft Einkommensangaben, Beschäftigungsdetails und Rückzahlungsverläufe.

Wenn diese drei Kategorien in einer einzigen Datei vorliegen, anstatt über verschiedene Leaks verstreut zu sein, erhält jeder, der den Datensatz herunterlädt, ein weitaus nutzbareres Profil, als es ein einzelner Datenabfluss je bieten würde. Betrugsforscher, die die Nachwehen großer indischer Datenlecks verfolgen, beschreiben ein bekanntes Muster: Innerhalb weniger Wochen, nachdem ein solcher Datensatz verfügbar wurde, melden betroffene Personen Phishing-Versuche, Kreditbetrug und Identitätsbetrug, bei dem auf konkrete Kontodetails Bezug genommen wird, was dem Betrug künstliche Glaubwürdigkeit verleiht.

Warum die Kombination von Aadhaar- und Bankdaten das Risiko vervielfacht

Der Grund, warum dieses Leck als schwerwiegender eingestuft wird als ein gewöhnlicher Zugangsdaten-Abwurf, liegt darin begründet, wie die Identitätsprüfung in Indien funktioniert. Aadhaar-Nummern fungieren als Generalschlüssel zur Bestätigung der Identität gegenüber Finanzdienstleistern, Behördenportalen und Telekommunikationsanbietern. Wenn ein Betrüger bereits im Besitz der Aadhaar-Nummer einer Zielperson sowie von deren Bankkonto- und Kreditdetails ist, kann er überzeugende Vorwände konstruieren – etwa sich als Bankmitarbeiter ausgeben, der über einen echten Kredit spricht, auf ein tatsächliches Kontoguthaben Bezug nehmen oder einen identitätsbasierten Betrugsversuch starten, der andernfalls weitaus mehr Social Engineering erfordern würde.

Dies ist der entscheidende Unterschied zwischen einer partiellen Datenexposition und einem vollständigen Dossier. Eine durchgesickerte E-Mail-Adresse oder Telefonnummer allein gibt einem Betrüger einen Einstiegspunkt. Aadhaar-Nummern in Kombination mit finanziellen Kontodaten liefern ihm die Substanz, die nötig ist, um einen Angriff bereits beim ersten Kontakt überzeugend erscheinen zu lassen.

Wie dieser Vorfall mit einer früheren Cloud-Exposition der Bank of Baroda zusammenhängt

Es ist nicht das erste Mal, dass Kundendaten der Bank of Baroda außerhalb der Kontrolle der Bank aufgetaucht sind. Im September 2025 berichtete das Sicherheitsunternehmen UpGuard, eine offen zugängliche Cloud-Datenbank eines Drittanbieters mit mehr als 273.000 indischen Bankdatensätzen entdeckt zu haben – ein Vorfall, der in einem früheren Bericht darüber, wie ein Cloud-Anbieter 6.000 Datensätze offengelegt hat, detailliert beschrieben wurde. Diese Exposition ging auf eine fehlerhaft konfigurierte Datenbank eines Drittanbieters zurück und nicht auf einen direkten Angriff auf die banksysteme, doch sie wies auf dasselbe grundlegende Problem hin, das nun im TripleX-Dump sichtbar wird: sensible Finanz- und Identitätsdaten, die ohne einheitliche Schutzmaßnahmen durch Anbieter- und Cloud-Infrastrukturen fließen.

Zusammengenommen deuten diese beiden Vorfälle auf ein Muster hin und nicht auf ein isoliertes Ereignis. Große Finanzinstitute verlassen sich zunehmend auf externe Cloud-Anbieter und Datenverarbeiter, und jeder zusätzliche Akteur, der mit Kundendaten umgeht, schafft einen weiteren Punkt, an dem eine Fehlkonfiguration, eine schwache Zugangskontrolle oder ein Datenleck dieselben zugrunde liegenden Daten immer wieder offenlegen kann.

Was das für Sie bedeutet

Wenn Sie Kunde der Bank of Baroda sind oder in Indien Aadhaar-verknüpfte Finanzkonten besitzen, sollten Sie dieses Leck ernst nehmen, auch wenn Sie keine direkte Benachrichtigung erhalten haben. Da Aadhaar-Nummern über so viele Dienste hinweg wiederverwendet werden, kann eine Exposition in einem Datensatz weit über eine einzelne Bankbeziehung hinaus Wellen schlagen.

Beginnen Sie damit, Ihre Kontoauszüge und Kreditkonten genau auf unbekannte Aktivitäten zu überwachen. Seien Sie skeptisch bei unaufgeforderten Anrufen, SMS oder E-Mails, die sich auf konkrete Konto- oder Kreditdetails beziehen – Betrüger nutzen zunehmend durchgesickerte Daten, um betrügerische Kontaktaufnahmen legitim erscheinen zu lassen. Richten Sie gegebenenfalls Transaktionswarnungen ein und prüfen Sie, ob Ihre Bank oder eine Kreditauskunftei Identitätsüberwachungsdienste anbietet, die eine ungewöhnliche Nutzung Ihrer Aadhaar-Nummer oder Ihrer Finanzkennungen melden.

Es lohnt sich außerdem zu überprüfen, welche Drittanbieter und Apps Zugriff auf Ihre Aadhaar- oder Bankdaten haben, denn Lecks wie dieses haben ihren Ursprung oft nicht bei der Bank selbst, sondern bei Anbietern und Vermittlern, die diese Daten im Auftrag der Bank verarbeiten – dieselbe Dynamik, die bei der früheren Cloud-Exposition der Bank of Baroda zu beobachten war.

Dem nächsten Leck einen Schritt voraus sein

Das Aadhaar-Datenleck der Bank of Baroda ist eine Mahnung, dass Identitätsdaten nicht aus einem einzigen dramatischen Hack stammen müssen, um gefährlich zu werden. Fragmente, die im Laufe der Zeit aus verschiedenen Expositionen gesammelt und dann kombiniert werden, können jene Art vollständigen Profils erzeugen, das Betrug weitaus überzeugender und einfacher ausführbar macht. Regelmäßige Überprüfung Ihrer Kontoaktivitäten, die Begrenzung der Anzahl an Diensten, die Ihre Aadhaar-Nummer speichern, und ein gesundes Misstrauen gegenüber unaufgeforderten Finanzmitteilungen sind praktische Schritte, die Ihre Angriffsfläche verringern – unabhängig davon, wie oder wann Ihre Daten kompromittiert wurden.