TSMC bestätigt Datenschutzverletzung bei Mitarbeitern durch Cloud-Anbieter, da Chiphersteller seine KI-Investitionen ausweitet

Taiwan Semiconductor Manufacturing Company, der weltweit größte Auftragschiphersteller und Eckpfeiler der KI-Hardware-Lieferkette, hat bestätigt, dass personenbezogene Daten seiner Mitarbeiter nach unbefugtem Zugriff auf Systeme bei einem seiner Cloud-Anbieter online veröffentlicht wurden. Das Unternehmen gibt an, dass seine eigenen Systeme nicht kompromittiert wurden.

In einer bei der US-Börsenaufsichtsbehörde Securities and Exchange Commission als Formular 6-K eingereichten Erklärung mit dem Titel „Erklärung zum unbefugten Zugriff auf personenbezogene Daten von Mitarbeitern“ sagte TSMC, es habe keine Beweise dafür gefunden, dass seine eigene Infrastruktur verletzt wurde und dass die offengelegten Daten nichts mit seinem Betrieb oder Kundeninformationen zu tun hätten, heißt es in einer von MLQ.ai veröffentlichten Zusammenfassung der Einreichung. Das Unternehmen teilte mit, dass es die betroffenen Mitarbeiter benachrichtigt und mit dem Cloud-Anbieter, den zuständigen Ermittlungsbehörden und einem externen Cybersicherheitsunternehmen zusammenarbeitet, um herauszufinden, was passiert ist.

Was bekannt ist – und was nicht

Die Offenlegung des Unternehmens lässt erhebliche Fragen offen. TSMC hat den beteiligten Cloud-Anbieter nicht genannt, hat nicht gesagt, wie viele Mitarbeiter betroffen waren, und hat nicht genau aufgeführt, welche Daten offengelegt wurden.

Taiwanesische Presseberichte fügen Details hinzu, die TSMC selbst nicht bestätigt hat. Wccftech berichtete unter Berufung auf frühere Berichte in taiwanesischen Medien, dass die durchgesickerten Dateien etwa 46.000 Mitarbeiterdatensätze umfassen – in der Schlagzeile der Filiale waren es 49.000 –, darunter Adressen, Bankkontonummern und Notfallkontaktdaten, und dass die Angreifer ein Lösegeld von drei Bitcoin forderten und mit der Herausgabe der Daten drohten. Diese Angaben sollten als unbestätigt betrachtet werden: Die offizielle Stellungnahme von TSMC bestätigt weder das Ausmaß des Lecks noch die Datenkategorien noch die Lösegeldforderung.

Die Unterscheidung zwischen den beiden Sachverhaltsgruppen ist wichtig. Bestätigt ist, dass auf die bei einem Cloud-Anbieter gespeicherten personenbezogenen Daten der Mitarbeiter unbefugt zugegriffen wurde und dass TSMC dies als Sicherheitsvorfall behandelt, der einer externen Untersuchung bedarf. Was nicht bestätigt ist, ist der genaue Umfang der Exposition.

Eine schwierige Woche für den Chipriesen

Die Offenlegung fällt in eine ereignisreiche Phase für das Unternehmen. Anfang derselben Woche genehmigte der Vorstand von TSMC laut MLQ.ai-Bericht Investitionen von bis zu 1 Milliarde US-Dollar in Anthropic und OpenAI – ein Schritt, der in dieser Veröffentlichung gesondert behandelt wird – und vertiefte damit die finanzielle Verflechtung des Chipherstellers mit den führenden KI-Entwicklern, die seine Fertigungsanlagen beliefern. Und am Donnerstag fielen Taiwans Chip-Aktien, als der Markt die Turbulenzen um den Nvidia-Chef aufnahm und den Halbleitersektor der Insel in Aufruhr versetzte.

Die Gegenüberstellung unterstreicht eine strukturelle Realität des KI-Booms: TSMC steht im Mittelpunkt nahezu aller KI-Entwicklungsvordergänge und stellt die Beschleuniger her, die die größten Modelle für Nvidia, AMD und eine wachsende Zahl von Kunden im Bereich kundenspezifischer Silizium trainieren und betreiben. Jede Betriebsstörung im Unternehmen – selbst ein Vorfall mit Personaldaten bei einem Cloud-Drittanbieter und nicht eine Produktionskompromittierung – erregt Aufmerksamkeit, da ein Großteil der KI-Wirtschaft von deren Leistung abhängt.

Risiko Dritter in der KI-Lieferkette

Der Vorfall ist auch ein Fallbeispiel für den Sicherheitsbereich moderner Unternehmen. In der Aussage von TSMC heißt es ausdrücklich, dass der Verstoß bei einem Cloud-Anbieter stattgefunden habe und nicht in der eigenen Umgebung von TSMC. Bei den durchgesickerten Daten handelte es sich jedoch um die Daten von TSMC – die Adressen seiner Mitarbeiter und angeblich auch ihre Bankdaten. Aus praktischer Sicht ist das Unternehmen für die Reputations- und menschlichen Folgen des Versagens seines Lieferanten verantwortlich.

Dieses Muster ist in der gesamten Technologiebranche bekannt geworden, hat jedoch für Unternehmen in der KI-Hardwarekette besondere Bedeutung. Chiphersteller verfügen über sensible Prozessdaten, Kundendesigndateien und Kapazitätsinformationen, die für Wettbewerber und staatliche Akteure gleichermaßen wertvoll wären. In diesem Fall gab TSMC an, dass es sich bei den offengelegten Daten um personenbezogene Daten von Mitarbeitern handele, die nichts mit dem Betrieb oder den Kunden des Unternehmens zu tun hätten. Der Vorfall verdeutlicht aber dennoch, wie Lieferkettenbeziehungen die Anzahl der Orte, an denen die sensiblen Daten eines Unternehmens gespeichert sind, und die Anzahl der Systeme, denen es vertrauen muss, vervielfachen.

TSMC sagte, es arbeite mit einem externen Cybersicherheitsunternehmen und Behörden zusammen, um herauszufinden, was passiert sei, und die Offenlegung auf Formular 6-K deutet darauf hin, dass das Unternehmen die Angelegenheit als wesentlich für Investoren betrachtet. Wenn taiwanesische Presseberichte dieses Ausmaßes zutreffen, wäre die Zahl der betroffenen Mitarbeiter selbst im Vergleich zu Datenschutzverletzungen in Unternehmen groß. Das Unternehmen hat diese Zahl nicht bestätigt und im Laufe der Untersuchung könnten weitere Einzelheiten bekannt werden.

Was als nächstes passiert

Mehrere offene Fragen werden darüber entscheiden, wie folgenreich dieser Vorfall sein wird. Die Identität des Cloud-Anbieters bleibt geheim, und diese Antwort wird sowohl für die Lieferantenbeziehungen von TSMC als auch dafür, wie andere Chiphersteller ihre eigenen Vereinbarungen mit Drittanbietern bewerten, von Bedeutung sein. Die bestätigte Anzahl der betroffenen Mitarbeiter – und die genauen Datenkategorien, die offengelegt wurden – wird die praktischen Auswirkungen auf die Mitarbeiter bestimmen, vom Risiko von Identitätsdiebstahl bis hin zur Gefährdung durch Finanzbetrug, wenn Bankdaten tatsächlich in dem Leck enthalten waren.

Es stellt sich auch die Frage, ob die gemeldete Lösegeldforderung echt ist und ob eine Zahlung oder Verhandlung erfolgt. Online veröffentlichte Lösegeldforderungen sind manchmal überhöht oder betrügerisch, weshalb die Entscheidung von TSMC, unbestätigte Details nicht zu bestätigen, klug ist. Von dem Vorfall betroffene Mitarbeiter werden voraussichtlich direkt vom Unternehmen eine Benachrichtigung mit Hinweisen zu Schutzmaßnahmen erhalten.

Für die gesamte Halbleiterindustrie dürfte dieser Vorfall einen neuen Blick auf die Frage werfen, wo sensible Personal- und Betriebsdaten gehostet werden und unter welchen vertraglichen Sicherheitsverpflichtungen. Während die Untersuchung weitergeht, wird die Branche nicht nur beobachten, was TSMC sagt, sondern auch, was sich daraus ändert.

Bleiben Sie der KI immer einen Schritt voraus

Die KI-Hardware-Lieferkette schläft nie. Bleiben Sie der KI einen Schritt voraus mit der Berichterstattung von AI Buzz Wire über die Chips, Unternehmen und Investitionen, die diesen Bereich antreiben.

Weitere KI-Neuigkeiten lesen →