Die Taiwan Semiconductor Manufacturing Company hat bestätigt, dass personenbezogene Daten aktueller und ehemaliger Mitarbeiter ohne Genehmigung auf einer externen Website offengelegt wurden – ein Verstoß, der mehreren Nachrichtenberichten zufolge etwa 46.000 Datensätze betrifft, die von einem Hacker zum Verkauf angeboten wurden und 3 Bitcoin forderten.
Das Unternehmen gab den Vorfall in einer Erklärung bekannt, die am 12. November 2026 bei der US-Börsenaufsichtsbehörde Securities and Exchange Commission eingereicht und vom Senior Vice President und Chief Financial Officer Wendell Huang unterzeichnet wurde. TSMC ist der weltweit größte Auftragschiphersteller und stellt die fortschrittlichen Prozessoren her, die das Herzstück des KI-Booms bilden, weshalb selbst ein Verstoß gegen Mitarbeiterdaten – und nicht gegen Kunden- oder Fertigungsdaten, wie das Unternehmen betont – in der Technologiebranche nachhallte. Weitere Informationen zu dieser Geschichte finden Sie in unserer neueste KI-Entwicklungen.
Was in der SEC-Einreichung von TSMC tatsächlich steht
Die Einreichung ist ungewöhnlich spezifisch für eine Offenlegung von Wertpapieren. Die Erklärung von TSMC mit dem Titel „Erklärung zum unbefugten Zugriff auf personenbezogene Daten von Mitarbeitern“ lautet teilweise:
> „TSMC hat festgestellt, dass einige unserer aktuellen und ehemaligen Mitarbeiterdaten ohne Genehmigung auf einer externen Website verfügbar gemacht wurden. Derzeit haben wir keine Hinweise darauf gefunden, dass die Systeme von TSMC kompromittiert wurden. Es wurde überprüft, dass diese Informationen mit Daten übereinstimmen, die in den Systemdiensten eines Cloud-Dienstanbieters gespeichert sind, aber sie stehen in keinem Zusammenhang mit dem Betrieb des Unternehmens oder kundenbezogenen Daten.“
Das Unternehmen sagte, es habe das betroffene Personal informiert und Unterstützung geleistet und „sowohl den Cloud-Service-Anbieter, die zuständigen Ermittlungsbehörden als auch eine externe Cybersicherheitsbehörde damit beauftragt, gemeinsam die Fakten zu ermitteln und die notwendigen Maßnahmen zu ergreifen“.
Im Klartext: Die Daten sind nicht aus den eigenen Netzwerken von TSMC durchgesickert. Es stimmte mit Aufzeichnungen überein, die von den Systemen eines Drittanbieters in der Cloud gespeichert waren – eine Gefährdung der Lieferkette, kein direkter Eingriff in den Chiphersteller.
Die Lösegeldforderung: 46.000 Datensätze für 3 Bitcoin
Während die Einreichung von TSMC die offengelegten Daten nicht quantifiziert, haben mehrere Verkaufsstellen die Größenordnung und den Preis angegeben. Moneycontrol berichtete, dass Hacker 46.000 Mitarbeiterdaten gestohlen und etwa 220.000 US-Dollar – etwa 3 Bitcoin – verlangt hätten. Chosunbiz berichtete, dass ein Hacker nach dem Cloud-Leak 46.000 TSMC-Mitarbeiterdatensätze zum Verkauf angeboten habe, und in der von Cryptonews aufgegriffenen Berichterstattung wurde beschrieben, dass die Daten für 3 BTC versteigert würden, und es wurde auf die sogenannte Häufung von Verstößen in der Lieferkette in Taiwan hingewiesen. FourWeekMBA gab an, dass der Schatz etwa 6,9 GB groß sei, wobei die Nachfrage verschiedentlich mit rund 7,4 Millionen NT$ angegeben wurde.
Diese Zahlen stammen aus den eigenen Behauptungen des Verkäufers und aus Pressemitteilungen und nicht von TSMC, das die Anzahl der Datensätze, die Dateigröße oder die Lösegeldforderung nicht bestätigt hat. Was das Unternehmen bestätigt hat, ist enger und wichtiger: Aktuelle und ehemalige Mitarbeiterdaten wurden offengelegt, die Quelle waren die Systeme eines Cloud-Dienstleisters und weder dessen Betrieb noch Kundendaten waren betroffen.
Warum es wichtig ist, auch wenn Fabs in Ordnung sind
TSMC teilte den Verkaufsstellen mit, dass seine Produktionssysteme nicht betroffen seien, und die SEC-Erklärung zieht eine klare Grenze zwischen den offengelegten Mitarbeiterdaten und „den Betriebs- oder kundenbezogenen Daten des Unternehmens“. Für die KI-Branche ist dieser Unterschied das A und O: Die Fertigungslinien, die Nvidias Beschleuniger und andere bahnbrechende KI-Chips produzieren, wurden nicht berührt.
Dennoch bringt der Vorfall eine echte Gefährdung ganz anderer Art mit sich, wie GuruFocus in seiner Berichterstattung feststellte: Datenschutz- und Regulierungsrisiken für ein Unternehmen, das für die globale KI-Lieferkette von zentraler Bedeutung ist. Verstöße gegen Mitarbeiterdaten lösen in allen Gerichtsbarkeiten Meldepflichten aus, und ein börsennotiertes Unternehmen, das einen Vorfall in einer SEC-Einreichung bestätigt, lädt Investoren dazu ein, Fragen zum Lieferantenrisikomanagement zu stellen – Fragen, die nun den nächsten Gewinnzyklus von TSMC verfolgen werden.
Die strukturelle Lektion ist die, die Sicherheitsteams seit einem Jahrzehnt wiederholen: Ihre Abwehrmaßnahmen sind nur so gut wie die Datenpraktiken Ihrer Anbieter. Der fortschrittlichste Chiphersteller der Welt verlor die Kontrolle über die Mitarbeiterdaten nicht über seine eigenen Systeme, sondern über einen Dienstleister, der seine Daten verwaltet.
Ein weiterer blauer Fleck in einer turbulenten Woche
Die Enthüllung erfolgte während einer ohnehin schon chaotischen Phase der Technologieinfrastruktur. Am selben Tag kämpfte Microsoft darum, einen weltweiten Ausfall von Microsoft 365-Diensten wie Outlook und Teams wiederherzustellen, und Nvidia gab bekannt, dass der langjährige CEO Jensen Huang zurückgetreten sei – Schlagzeilen in der gesamten Branche. In einer Zusammenfassung der Technologienachrichten wurde der 12. November als „ein turbulenter Tag für die globale Technologiebranche“ beschrieben, wobei die Bestätigung des Datenlecks durch TSMC mittendrin eintraf.
Es gibt keinen vermuteten Zusammenhang zwischen den Ereignissen, aber der Zufall verdeutlicht das Umfeld, in dem Sicherheitsteams von Unternehmen agieren: Mehrere der kritischsten Technologieunternehmen der Welt bewältigen innerhalb eines einzigen Nachrichtenzyklus hochkarätige Fehler und Offenlegungen.
Was passiert als nächstes?
TSMC gibt an, mit dem Cloud-Anbieter, den Ermittlungsbehörden und einer externen Cybersicherheitsbehörde zusammenzuarbeiten, um die Fakten zu ermitteln. Mitarbeiter, deren Daten offengelegt wurden, werden benachrichtigt und erhalten Unterstützung, was im Kontext Taiwans zu regulatorischen Folgemaßnahmen im Rahmen des Datenschutzregimes der Insel führen kann.
Beobachten Sie die Entwicklung in drei Threads: ob die Behauptungen des Angreifers über die Größe und den Inhalt des Datensatzes von den Ermittlern bestätigt oder entlarvt werden; was die forensische Überprüfung des Cloud-Dienstanbieters darüber verrät, wie die Daten seine Systeme verlassen haben; und ob die Lieferantenmanagementpraktiken von TSMC – und die anderer taiwanesischer Technologiegiganten, die einer Reihe von Verstößen ausgesetzt waren – einer behördlichen Prüfung unterliegen. Für eine Branche, die darum kämpft, die Rechenleistung des KI-Booms bereitzustellen, ist die Episode eine Erinnerung daran, dass die Angriffsfläche der Lieferkette weit über die Fabrikebene hinausgeht.
---
Bleib vorne bei KIDie neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Mehr KI-Nachrichten lesen →
