Ein Sicherheitsvorfall bei einem externen Plattformdienstleister sorgt derzeit für Verunsicherung bei Familien, Schulen, Kindergärten, Fotografen und Fotostudios. Betroffen ist nach den vorliegenden Informationen eine Online-Plattform, die Fotogalerien bereitstellt und Fotobestellungen abwickelt. Besonders brisant: In diesen Galerien befinden sich unzählige Porträt- und Gruppenaufnahmen von Kindern aus Schul- und Kita-Kontexten.
Angriff betrifft nicht nur die Region, sondern ganz Deutschland
Nach Angaben des betroffenen Fotostudios, der „Asmus Foto und Video GmbH“ aus Helmstedt, kam es am Wochenende des 16./17. Mai 2026 zu einem unbefugten Zugriff auf die Cloud-Infrastruktur des Plattformanbieters. Als Dienstleister wird in dem Schreiben die „Portraitbox GmbH“ aus Paderborn genannt. Diese Plattform werde deutschlandweit von mehr als 2.000 Fotografen und Fotostudios genutzt. Damit ist der Vorfall nicht nur ein lokales Problem des großen Fotostudios in Helmstedt, sondern könnte weit über einzelne Einrichtungen hinausreichen. Allein das Helmstedter Studio ist seit vielen Jahren in der Region in Kitas und Schulen eingesetzte und hat aktuell zahlreiche Aufträge aus regionalen Einrichtungen auf der betroffenen Datenbank gespeichert.
Täter drohen sensible Daten zu veröffentlichen
Noch ist nach Darstellung des Studios nicht abschließend geklärt, welche Daten tatsächlich abgeflossen sind. Der Dienstleister habe jedoch mitgeteilt, dass Angreifer Daten extrahiert haben könnten. Darunter nicht allein Bilddaten von Online-Galerien und Portraitbildern, sondern auch Bestellinformationen, E-Mails, Rechnungs-, Liefer- und Zugangsdaten. Gerade bei Kinderfotos ist das Risiko höher zu bewerten als bei gewöhnlichen Kundendaten: Aufnahmen aus Schulen, Kitas oder Veranstaltungen können Rückschlüsse auf Einrichtungen, Gruppen, Orte und einzelne Personen zulassen.
Zudem sollen die Angreifer mit einer Veröffentlichung gedroht haben. Gesicherte Erkenntnisse über eine tatsächliche Veröffentlichung liegen laut der Mitteilung derzeit nicht vor. Genau diese Unsicherheit macht den Vorfall so problematisch: Betroffene wissen aktuell nicht, ob ihre Daten nur gefährdet sind oder bereits in fremde Hände gelangt sind.
Auch wenn das betroffene Helmstedter Studio betont, innerhalb der Bildarchive nach aktuellem Kenntnisstand keine Klarnamen der abgebildeten Kinder gespeichert zu haben, kanne es bei Gruppenaufnahmen oder Bildern mit erkennbarem Bezug zu Einrichtungen eine Identifizierung einzelner Personen nicht vollständig ausgeschließen.
Eingeleitete Maßnahmen sollen Schaden mindern
Zunächst sind alle Personen über den Vorfall informiert worden, das ist aus datenschutztechnischen Gründen verpflichtend. Außerdem stehe man fortlaufender Abstimmung mit dem Dienstleister, die Prüfung vorhandener Informationen und Datenbestände sowie die Änderung von Zugangsdaten. Außerdem wurde der Vorfall nach den vorliegenden Informationen der zuständigen Datenschutzaufsichtsbehörde gemeldet. Die Untersuchungen, einschließlich einer IT-forensischen Analyse, laufen demnach weiter.
Kritisch bleibt dennoch die Frage, wie gut sensible Kinder- und Familiendaten bei ausgelagerten Plattformdiensten tatsächlich geschützt sind. Fotostudios, Schulen und Eltern verlassen sich darauf, dass Zugangscodes, geschlossene Galerien und technische Dienstleister ausreichend Sicherheit bieten. Der aktuelle Fall zeigt jedoch, dass genau diese Kette nur so stark ist wie ihr schwächstes Glied. Wenn vielen Studios zentrale Plattformen nutzen, kann ein einzelner Angriff plötzlich eine Vielzahl von Einrichtungen und Familien betreffen.
Betroffene sind zur Vorsicht aufgerufen
Betroffene Familien und Einrichtungen, sind aufgerufen, noch aufmerksamer gegenüber KOntaktaufnahmen Unbekannter zu sein. Verdächtige E-Mails, Anrufe oder Nachrichten im Zusammenhang mit Fotobestellungen, Galeriezugängen, Zahlungen oder Rückerstattungen sollten besonders sorgfältig geprüft werden. Links und Anhänge sollten nicht vorschnell geöffnet werden. Sensible Daten, Passwörter oder Zahlungsinformationen sollten niemals über unbekannte Links eingegeben werden. Es ist überdies ratsam, bestehende Zugangsdaten zu ändern – vorsorglich auch bei anderen Seiten und Apps. Zusätzlich sollten Eltern und Einrichtungen aufmerksam beobachten, ob Bildmaterial unerlaubt veröffentlicht wird oder ob es zu verdächtigen Kontaktaufnahmen kommt. Bei konkretem Missbrauch, etwa Veröffentlichungen, Erpressungsversuchen oder Identitätsdiebstahl, sollte die Polizei eingeschaltet werden.
Das Studio weist ausdrücklich darauf hin, dass es nicht per E-Mail zur Eingabe sensibler Daten, Passwörter oder Zahlungsinformationen auffordern werde.
