Sind Bosch Mitarbeiterdaten geleakt worden?

In einer Bosch-App wurden über 120 HR-API-Endpunkte identifiziert, die potenziell Zugriff auf Gehaltsabrechnungen, Schichtpläne und Abwesenheitsdaten ermöglichen. Die betroffene Plattform wird von 500+ Unternehmen eingesetzt.

Welche Daten sind beim Bosch Datenleck betroffen?

Die exponierten API-Endpunkte umfassen: Gehaltsabrechnungen (payslips), Schichtpläne (shift schedules), Abwesenheits- und Urlaubsdaten, Mitarbeiterprofile und Organisationsstrukturen.

Ist das Bosch HR-Datenleck DSGVO-relevant?

Ja. Gehaltsdaten und Personaldaten fallen unter Art. 9 DSGVO (besondere Kategorien personenbezogener Daten). Eine unzureichende Absicherung dieser Daten kann eine Meldepflicht nach Art. 33 DSGVO und Informationspflichten nach Art. 34 DSGVO auslösen. Der LfDI Baden-Württemberg wurde informiert.

Skylasec › News › Bosch HR-Datenleck

Bosch HR-Datenleck: 120+ API-Endpunkte mit Gehaltsdaten exponiert — 500+ Unternehmen betroffen

23. Oktober 2026 · Skylasec Security Advisory

High Datenleck DSGVO

Datenschutz-Relevanz: Gehaltsdaten sind besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Der Landesbeauftragte für Datenschutz (LfDI Baden-Württemberg) wurde über diesen Befund informiert.

Was wurde gefunden?

In einer Bosch-Android-App wurden über 120 HR-API-Endpunkte einer Mitarbeiter-Kommunikationsplattform identifiziert. Diese Endpunkte ermöglichen potenziell Zugriff auf:

Datentyp	Risiko
Gehaltsabrechnungen (Payslips)	Einkommensdaten aller Mitarbeiter
Schichtpläne	Arbeitszeiten, Anwesenheit
Abwesenheits-/Urlaubsdaten	Krankmeldungen, Elternzeit
Mitarbeiterprofile	Namen, Positionen, Abteilungen
Organisationsstrukturen	Hierarchien, Reporting Lines

500+ Unternehmen betroffen

Die betroffene Plattform ist keine Eigenentwicklung von Bosch, sondern eine Drittanbieter-Lösung für Mitarbeiterkommunikation, die von über 500 Unternehmen weltweit eingesetzt wird. Die in der Bosch-App exponierten API-Endpunkte und Zugangsdaten betreffen daher potenziell alle Kunden dieser Plattform.

Häufig gestellte Fragen

Sind meine Gehaltsdaten bei Bosch geleakt?
Wenn Sie bei Bosch oder einem der 500+ Unternehmen arbeiten, die diese Plattform nutzen, könnten Ihre HR-Daten potenziell exponiert sein. Fragen Sie Ihre IT-Abteilung nach einer Stellungnahme.

Muss Bosch das melden?
Nach Art. 33 DSGVO besteht eine Meldepflicht innerhalb von 72 Stunden, wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Der LfDI BW wurde informiert.

Was kann ich als Mitarbeiter tun?
Überprüfen Sie Ihre Gehaltsabrechnung auf ungewöhnliche Aktivitäten. Fragen Sie Ihre Personalabteilung, ob Ihre Daten betroffen sind. Sie haben ein Recht auf Auskunft nach Art. 15 DSGVO.

Zum vollständigen Bosch Disclosure Report →