Cybernews-Bericht über talentsconnect: Die Datenbank enthielt keine Bewerberdaten
Am 12.08.2026 hat das litauische Portal Cybernews berichtet, eine offene Datenbank von talentsconnect habe Namen, Kontaktdaten, Gehaltsvorstellungen und Lebensläufe von Bewerberinnen und Bewerbern offengelegt. Das ist falsch. Die Datenbank enthielt keine Bewerberdaten. Sie war auch nicht mit unserer Live-Plattform verbunden, über die Bewerbungen eingehen.
Richtig ist: Die Datenbank, eine Staging- und Integrationsumgebung, war wegen einer fehlerhaften Firewall-Konfiguration ohne Authentifizierung aus dem Internet erreichbar. Dieser Fehler lag bei uns. Seit dem 16.07.2026 ist die Lücke geschlossen, das System ist stillgelegt.
Seit dem 13.08.2026 haben wir Cybernews mehrfach um Korrektur gebeten und unsere Belege angeboten. Die Redaktion hat unsere Stellungnahme in den Bericht aufgenommen, die falschen Darstellungen aber bis heute nicht korrigiert.
Was passiert ist
Der Hinweis der Sicherheitsforscher war berechtigt. Der Bericht, den Cybernews daraus gemacht hat, stellt den Vorfall an entscheidenden Stellen falsch dar.
Die forensische Prüfung durch die Port Zero GmbH, die für uns regelmäßig Penetrationstests durchführt, ergab keine Hinweise auf Zugriffe Dritter über die meldenden Forscher hinaus.
- Ende Juni 2026Datenbank nachweislich von außen erreichbar
- 10.07.2026Hinweis externer Sicherheitsforscher
- 16.07.2026Zugriff gesperrt, von den Forschern bestätigt
- 12.08.2026Bericht von Cybernews
- August 2026Forensische Prüfung durch die Port Zero GmbH
- HeuteSystem vollständig außer Betrieb
Was der Bericht falsch darstellt
Die Datenbank habe Namen, E-Mail-Adressen, Telefonnummern, Gehaltsvorstellungen, Lebensläufe und Anschreiben von Bewerberinnen und Bewerbern enthalten.
Echte Bewerberprofile, Kandidatendatensätze oder Bewerbungsunterlagen enthielt die Datenbank nach unserer Prüfung nicht. Die enthaltenen Kontaktdaten gehören zu Ansprechpersonen der Arbeitgeber aus Stellenanzeigen, die zur Veröffentlichung bestimmt sind.
Bis zum 08.07.2026 lagen dort außerdem zwei Datensammlungen mit Testbewerbungen, die wir selbst erzeugt hatten. Der jüngste dieser Testdatensätze stammte aus dem Jahr 2024.
In der englischen Fassung des Berichts stehen Bewerberdaten nicht in der Überschrift. In der deutschen Fassung, die sich an unseren Heimatmarkt richtet, stehen sie dort bis heute.
Die Datenbank habe noch eine Woche vor ihrer Entdeckung Live-Daten aus dem Produktivbetrieb erhalten und sei daher höchstwahrscheinlich kein stillgelegtes Testsystem gewesen.
Die Umgebung war in Betrieb und enthielt auch aktuelle Stellenanzeigen. Mit unserer Live-Plattform war sie in keiner Richtung verbunden. Echte Bewerbungen werden dort weder verarbeitet noch gespeichert. Bewerbungen, die über die Plattform eingehen, konnten das System technisch nicht erreichen.
Die Datenbank habe über fünf Millionen Stellenanzeigen enthalten.
Die Zahl sagt wenig über den Inhalt. Die Datenbank enthielt im Wesentlichen vier Arten von Einträgen: aktuelle und veraltete Stellenausschreibungen, Versionsstände dieser Stellenausschreibungen, Integrationskonfigurationen sowie Protokolleinträge.
Die weit überwiegende Zahl der Datensätze entfällt auf die Versionsstände. Bei jedem Abgleich mit dem System eines Kunden legen wir die abgerufene Fassung einer Anzeige ab und vergleichen sie mit der vorherigen. Über die Jahre entsteht so für jede Anzeige eine lange Kette nahezu identischer Einträge.
Die hohe Zahl steht also nicht für eine große Menge unterschiedlicher Informationen, sondern für Versionen einer vergleichsweise kleinen Zahl von Stellenausschreibungen.
Wie Cybernews mit unseren Korrekturbitten umgegangen ist
- 13.08.2026Wir weisen die Redaktion schriftlich auf die falschen Darstellungen zu Bewerberdaten und Produktivbetrieb hin. Wir bitten um Korrektur sowie um einen Hinweis, dass die Punkte strittig sind. Zugleich bieten wir an, die technischen Belege gemeinsam zu prüfen.
- 18.08.2026Cybernews nimmt unsere Stellungnahme in die englische Fassung auf. Den Bericht selbst korrigiert die Redaktion nicht, einen Hinweis auf die strittigen Punkte setzt sie nicht.
- 21.08.2026Wir übermitteln die Ergebnisse der forensischen Prüfung durch Port Zero und bitten erneut um Korrektur. Cybernews ergänzt unsere Stellungnahme auch in der deutschen Fassung.
- Seit dem 13.08.2026Unsere Angebote für ein Gespräch, zunächst an die Redaktion, später auch an die Geschäftsleitung, nimmt Cybernews nicht an.
Seit August ist der Bericht in beiden Fassungen unverändert. Dort heißt es bis heute sogar, man habe uns um eine Stellungnahme gebeten und warte auf Antwort. Wenige Absätze später wird diese Stellungnahme zitiert.
Was wir geändert haben
Die Fehlkonfiguration ist behoben, das betroffene System vollständig stillgelegt.
Wir überführen alle Zugangsdaten in unser Secret-Management-System. Eine automatisierte Prüfung soll künftig verhindern, dass lesbare Zugangsdaten gespeichert werden.
Hinweise auf Sicherheitsvorfälle gehen künftig an eine überwachte Sicherheitsadresse statt an einzelne Personen. Kein Vorfall wird mehr allein auf Grundlage der Einschätzung einer einzelnen Person abgeschlossen.
Dokumente
Die forensische Prüfung der Port Zero GmbH und unsere Dokumentation des Vorfalls nach Art. 33 Abs. 5 DSGVO stellen wir Kunden und Interessenten auf Anfrage zur Verfügung.
Kontakt
Fragen zum Vorfall oder zur eigenen Integration beantwortet unser CISO Andreas Buchholz direkt.