Vimeo hat bestätigt, dass Angreifer auf Nutzerdaten des Videohosting-Dienstes zugegriffen haben. Der Angriff traf Vimeo dabei nicht direkt, sondern lief über Anodot, ein israelisches Analytics-Unternehmen, das Vimeo zur Auswertung von Betriebskennzahlen einsetzt. Dieser Umweg über einen Drittanbieter ist kein Zufall, sondern Methode.

Was ist passiert?

Anodot wurde von der Hackergruppe ShinyHunters kompromittiert. Über die bestehende Integration zwischen Anodot und Vimeo konnten die Angreifer auf Datenbankinstanzen zugreifen, konkret auf Snowflake- und Google-BigQuery-Instanzen von Vimeo. Dort erbeuteten sie technische Daten, Videotitel, Metadaten sowie in einigen Fällen E-Mail-Adressen von Kunden. Passwörter, Zahlungsdaten oder tatsächliche Videoinhalte wurden laut Vimeo nicht abgegriffen. Vimeos eigene Systeme blieben betriebsfähig, es kam zu keinem Dienstausfall. Vimeo hat nach Bekanntwerden des Vorfalls alle Anodot-Zugangsdaten deaktiviert, die Integration vollständig entfernt und externe Forensik-Experten hinzugezogen. Die zuständigen Strafverfolgungsbehörden wurden informiert. Die Untersuchung läuft noch.

Wer steckt dahinter?

ShinyHunters ist eine bekannte Erpressungsgruppe mit Fokus auf Cloud-Dienste, SaaS-Plattformen und Unternehmensdatenbanken. Ihr Muster: Sie kompromittieren einen gemeinsam genutzten Drittanbieter und erreichen damit gleichzeitig mehrere Opfer. Im Fall von Anodot hat das funktioniert. Neben Vimeo wurden über denselben Angriffsweg auch Rockstar Games und der Zara-Mutterkonzern Inditex getroffen.
Am 28. April 2026 veröffentlichte ShinyHunters auf ihrem Dark-Web-Portal eine Lösegeldforderung an Vimeo. Die Gruppe droht damit, die erbeuteten Daten zu veröffentlichen, falls bis zum 30. April 2026 keine Zahlung erfolgt. Über die geforderte Summe oder den genauen Umfang der gestohlenen Daten wurde bisher nichts bekannt.

Warum ist das relevant?

Der Vorfall zeigt exemplarisch, wie Supply-Chain-Angriffe in der Praxis funktionieren. Vimeos eigene Infrastruktur war technisch nicht das Einfallstor, trotzdem sind Kundendaten abgeflossen. Unternehmen, die SaaS-Dienste und Analytics-Plattformen einsetzen, sollten die Zugriffsrechte und Integrationen dieser Dienste regelmäßig überprüfen, denn jede externe Anbindung ist potenziell eine Angriffsfläche.
Für betroffene Nutzer besteht aktuell kein unmittelbarer Handlungsdruck, da Passwörter und Zahlungsdaten nicht kompromittiert wurden. Die abgegriffenen E-Mail-Adressen können aber als Grundlage für gezielte Phishing-Kampagnen dienen.