Das Los Angeles County Museum of Art (LACMA) hat ein schwerwiegendes Datenleck bestätigt, bei dem unbefugte Dritte im Juli 2025 auf sensible Mitarbeiter- und Kundendaten zugreifen konnten. Wie das Museum nun offiziell mitteilte, gelangten Sozialversicherungsnummern, Gesundheitsinformationen und Teile von Zahlungsdaten in die Hände der Angreifer – ein Vorfall, der aufgrund seines Umfangs und der sensiblen Datenkategorien besondere Aufmerksamkeit verdient.
Über ein Jahr bis zur vollständigen Aufklärung
Am 11. Juli 2025 entdeckte LACMA verdächtige Aktivitäten in seinen Systemen, die bereits vier Tage zuvor begonnen hatten. Einen Monat später, im August 2025, stand fest: Das Netzwerk war kompromittiert. Dennoch dauerte es bis Ende Februar 2026, bevor erste Untersuchungsergebnisse vorlagen. Erst im August 2026 – mehr als ein Jahr nach der Entdeckung – identifizierte das Museum den genauen Umfang der entwendeten Daten. Diese zeitliche Verzögerung wirft Fragen zur internen Incident-Response-Fähigkeit des Hauses auf, insbesondere angesichts der hohen Sensibilität der betroffenen Informationen.
Welche Daten genau abgeflossen sind
Die forensische Analyse ergab, dass Angreifer auf folgende Kategorien von Informationen zugreifen konnten:
- Vollständiger Name
- Geburtsdatum
- Sozialversicherungsnummer (Social Security Number)
- Führerschein- oder behördlich ausgestellte Identifikationsnummer
- Teilweise Finanzkontonummern
- Teilweise Zahlungskartendaten
- Krankenversicherungsinformationen
- Medizinische Daten wie Angaben zu Behandlern, Diagnosen, Behandlungsdaten und -orten
Besonders brisant: Die Verknüpfung von Gesundheitsdaten mit Sozialversicherungsnummern und Ausweisdaten schafft ein nahezu perfektes Profil für Identitätsdiebstahl. Betroffene müssen damit rechnen, dass die gestohlenen Informationen für betrügerische Kreditanträge, falsche Steuererklärungen oder sogar medizinischen Identitätsbetrug genutzt werden.
Aktuelle Maßnahmen und Empfehlungen für Betroffene
LACMA hat die Strafverfolgungsbehörden eingeschaltet und persönliche Datenleck-Benachrichtigungen an alle betroffenen Personen versendet. In diesen Schreiben wird dringend geraten, Kontobewegungen genau zu überwachen, eine Sicherheitssperre oder einen Betrugsalarm in der eigenen Kreditauskunft zu setzen und jeden Verdacht auf Identitätsdiebstahl umgehend der Bank sowie der Polizei zu melden. Zusätzlich bietet das Museum über den Dienstleister Financial Shield einen einjährigen Identitätsdiebstahl- und Betrugsschutz an – die Anmeldefrist endet am 22. November 2026. Für Rückfragen wurde eine spezielle Telefonhotline eingerichtet.
Die empfohlenen Maßnahmen klingen einfach, sind aber in der Praxis mit hohem Aufwand verbunden: Eine Sicherheitssperre bei den großen US-Kreditbüros wie Equifax, Experian und TransUnion muss separat beantragt werden und kann den Alltag erschweren – etwa bei der Wohnungssuche oder beim Abschluss eines Mobilfunkvertrags. Dennoch überwiegt der Schutz vor Identitätsbetrug die temporären Unannehmlichkeiten deutlich.
Was diese Attacke für andere Kulturbetriebe bedeutet
LACMA ist eines der größten Kunstmuseen im Westen der USA mit rund 155.000 Werken und zuletzt über einer Million Besuchern pro Jahr. Der Vorfall zeigt, dass auch Kultureinrichtungen zunehmend ins Visier von Cyberkriminellen geraten. Museen verwalten nicht nur Besucherdaten und Mitgliedschaften, sondern auch Personalakten mit hochsensiblen Informationen. Anders als Finanzinstitute oder Gesundheitsdienstleister verfügen sie oft über weniger ausgefeilte Sicherheitsstrukturen – ein Einfallstor, das Angreifer gezielt suchen.
Der Fall LACMA unterstreicht zudem die Notwendigkeit einer schnelleren Detektion und umfassenden Transparenz. Dass die Benachrichtigung der Betroffenen erst nach über einem Jahr erfolgte, dürfte regulatorische Fragen aufwerfen: In Kalifornien schreibt das Gesetz Benachrichtigungen „in der am schnellsten möglichen Weise“ vor. Eine Verzögerung von dieser Größenordnung könnte rechtliche Konsequenzen nach sich ziehen.
Für die Betroffenen selbst bleibt die Lage vorerst angespannt. Die gestohlenen Daten sind auf dem Schwarzmarkt wertvoll – insbesondere Gesundheitsdaten erzielen dort ein Vielfaches der Preise von Kreditkartendaten. Ein wachsames Auge auf Kreditauskünfte und Kontobewegungen ist daher auch Monate nach der Benachrichtigung unerlässlich. Das Museum steht nun vor der Herausforderung, das Vertrauen seiner Besucher und Mitarbeiter zurückzugewinnen – und seine IT-Infrastruktur so nachzurüsten, dass sich ein solcher Vorfall nicht wiederholt. Erst dann wird der Blick auf die Kunst wieder uneingeschränkt möglich sein.
