Kaffee läuft. Wir auch. Noch bis 18:00 Uhr erreichbar.

Datenleck beim Shop: Was Sie jetzt wirklich tun sollten

·

Blogger Bernhard

„Wir möchten Sie darüber informieren, dass unbefugte Dritte Zugriff auf Kundendaten erlangt haben.“ Solche Mails landen gerade häufiger in den Postfächern. Allein zwischen dem 6. und 9. Oktober 2026 haben der Modehändler ASOS, der Schweizer Online-Marktplatz Ricardo und ein Autohaus in Landshut ihre Kunden über abgeflossene Daten informiert – bei Letzterem spricht der Softwareanbieter laut Presse von einem deutlich größeren Vorfall.

Die typischen Reaktionen: Panik und hektisch alle Passwörter ändern – oder die Mail ungelesen löschen, weil „man ja eh nichts machen kann“. Beides trifft den Kern nicht. Was sinnvoll ist, hängt fast vollständig davon ab, welche Daten betroffen sind. Dieser Beitrag zeigt, wie Sie eine solche Benachrichtigung lesen, was wirklich zu tun ist und wovor Sie sich in den Wochen danach eigentlich schützen müssen.

Was gerade passiert ist

  • ASOS: Am 6. Oktober 2026 erhielten Kunden über die offizielle ASOS-App eine Push-Nachricht mit dem Titel „ASOS HACKED“ – verschickt von den Angreifern selbst. ASOS bestätigte inzwischen einen Datenabfluss. Laut Unternehmen haben Angreifer sich gegenüber einem Mitarbeiter als vertrauenswürdiger Kontakt ausgegeben, so dessen Zugangsdaten erbeutet und damit auf Plattformen von Drittanbietern zugegriffen. Betroffen sind nach ASOS-Angaben Namen, Kontaktdaten und bestimmte kontobezogene Informationen; Zahlungskarten und Passwörter nicht. Wie viele Kunden und welche Länder betroffen sind, hat ASOS nicht veröffentlicht.
  • Ricardo: Der Schweizer Marktplatz meldete am 9. Oktober 2026 einen Datenabfluss bei rund 890.000 Nutzerkonten. Betroffen sind laut Unternehmen Namen, Postadressen und Telefonnummern, bei Firmenkonten auch Firmennamen – nach Unternehmensangaben keine E-Mail-Adressen und Passwörter.
  • Autohäuser: Laut Abendzeitung München hat ein Autohaus in Landshut seine Kunden über abgegriffene Daten informiert; nach Angaben des Softwareanbieters reicht der Vorfall deutlich weiter. Welche Daten und welche Betriebe genau betroffen sind, ist öffentlich bisher nicht belastbar dokumentiert.

Bei allen drei Fällen laufen die Untersuchungen noch. Die Angaben oben sind der Stand der jeweiligen Unternehmensmitteilungen und Berichte, am 1. November 2026 erneut mit den Quellen abgeglichen (BleepingComputer nur als Archivkopie lesbar) – sie können sich noch ändern.

Schritt 1: Ist die Benachrichtigung überhaupt echt?

Klingt paranoid, ist aber der wichtigste erste Schritt. Ein bekannt gewordenes Datenleck ist für Betrüger eine Steilvorlage: „Ihr Konto war betroffen, bitte bestätigen Sie hier Ihre Identität“ ist eine naheliegende Phishing-Masche. Deshalb:

  • Keine Links aus der Mail oder SMS anklicken, auch wenn sie echt aussieht.
  • Die Webseite oder App des Unternehmens selbst aufrufen – über ein Lesezeichen oder die bereits installierte App – und dort nach einer Mitteilung zum Vorfall suchen.
  • Misstrauisch werden, sobald nach Passwort, Bestätigungscode oder Zahlungsdaten gefragt wird. ASOS betont zum Beispiel ausdrücklich, dass es danach nie per unaufgeforderter Nachricht oder Anruf fragt.

Eine echte Benachrichtigung braucht keinen Klick, um nützlich zu sein. Sie soll laut Datenschutz-Grundverordnung (Art. 34 DSGVO) in klarer und einfacher Sprache beschreiben, was passiert ist, welche Folgen wahrscheinlich sind und welche Maßnahmen ergriffen wurden.

Schritt 2: Welche Daten sind betroffen? Davon hängt alles ab

Lesen Sie die Mitteilung genau und ordnen Sie ein. Grob lassen sich vier Fälle unterscheiden:

Passwörter (auch „verschlüsselt“ oder „gehasht“)

Hier ist Handeln Pflicht: Passwort beim betroffenen Dienst ändern – und überall dort, wo Sie dasselbe oder ein sehr ähnliches Passwort verwenden. Genau diese Wiederverwendung nutzen Angreifer aus, indem sie erbeutete Kombinationen aus E-Mail-Adresse und Passwort automatisiert bei vielen anderen Diensten ausprobieren. Warum ein Passwort-Manager das Problem grundsätzlich löst, steht in „Schluss mit Passwort-Zetteln“.

Name, Adresse, Telefonnummer, E-Mail, Kundennummer, Bestellungen

Das ist der häufigste Fall – und der, bei dem ein Passwortwechsel am wenigsten bringt. Er beruhigt, ändert aber nichts daran, dass Fremde jetzt wissen, wer Sie sind, wo Sie wohnen und was Sie gekauft haben. Die eigentliche Gefahr ist glaubwürdiges Folge-Phishing (dazu gleich mehr). Ein Passwortwechsel schadet trotzdem nicht, wenn Sie unsicher sind, ob nicht doch mehr abgeflossen ist.

Zahlungsdaten

Kontoauszüge und Kreditkartenabrechnungen in den nächsten Wochen aufmerksam prüfen und bei unbekannten Buchungen sofort die Bank oder den Kartenausgeber kontaktieren. Ob eine Karte vorsorglich gesperrt werden sollte, klären Sie am besten direkt mit Ihrer Bank – das hängt davon ab, welche Kartendaten genau betroffen sind.

Ausweisdaten, Geburtsdatum, Bankverbindung

Hier steigt das Risiko, dass jemand in Ihrem Namen auftritt – etwa bei Bestellungen oder Vertragsabschlüssen. Neben erhöhter Aufmerksamkeit lohnt der Blick in die Hilfsangebote von BSI, Verbraucherzentralen und Polizei (Links unten). Wird Ihre Identität tatsächlich missbraucht, ist eine Anzeige bei der Polizei – auch über die Onlinewachen der Länder – der richtige Weg.

Die eigentliche Gefahr: Phishing mit echten Daten

Klassische Phishing-Mails erkennt man oft an der unpersönlichen Anrede. Nach einem Datenleck fällt dieses Warnsignal weg: Die Mail nennt Ihren richtigen Namen, vielleicht Ihre Kundennummer oder eine echte Bestellung. Die SMS kommt an Ihre echte Handynummer, der Anrufer kennt Ihre Adresse. Das wirkt seriös – genau darum geht es.

Die Verbraucherzentralen warnen nach Datenlecks ausdrücklich vor solchen Folgeangriffen. Ein paar einfache Regeln helfen mehr als jede Software:

  • Persönliche Daten sind kein Echtheitsbeweis. Dass jemand Ihren Namen und Ihre Bestellung kennt, heißt nach einem Leck gar nichts mehr.
  • Immer den eigenen Weg nehmen: Anmelden nur über die App oder ein selbst gesetztes Lesezeichen, nie über Links in Nachrichten.
  • Codes bleiben bei Ihnen. Bestätigungscodes per SMS oder App gibt man niemandem weiter – weder am Telefon noch auf einer verlinkten Seite. Wie schnell so ein Code ein ganzes Konto kostet, zeigt unser Beitrag „WhatsApp gekapert per Code?“.
  • Zeitdruck ist ein Warnsignal. „Innerhalb von 24 Stunden bestätigen, sonst wird Ihr Konto gesperrt“ ist eine der häufigsten Phishing-Formulierungen überhaupt.

Ein Konto, bei dem eine Zwei-Faktor-Anmeldung oder ein Passkey aktiv ist, ist auch dann schwerer zu übernehmen, wenn ein Passwort abhandengekommen ist. Welche Methode passt, erklären „Welche Zwei-Faktor-Methode passt?“ und „Passkeys statt Passwort?“. Besonders wichtig ist das beim E-Mail-Postfach: Wer das kontrolliert, kann bei fast jedem anderen Dienst das Passwort zurücksetzen.

Bin ich betroffen? Leak-Checker richtig einordnen

Ob Ihre E-Mail-Adresse in bekannten Datensammlungen auftaucht, lässt sich prüfen. BSI und Verbraucherzentralen nennen dafür vor allem:

  • HPI Identity Leak Checker (Hasso-Plattner-Institut): Das Ergebnis kommt per Mail an die geprüfte Adresse.
  • Leak-Checker der Universität Bonn: ebenfalls Ergebnis per Mail; eine Prüfung pro Adresse und Woche.
  • Have I Been Pwned (betrieben vom Sicherheitsforscher Troy Hunt): zeigt, in welchen bekannten Leaks eine Adresse vorkommt, und bietet eine Benachrichtigung bei künftigen Funden.

Zwei Dinge sollten Sie dabei wissen. Erstens: Kein Treffer heißt nicht „sicher“. Have I Been Pwned schreibt selbst, dass es nur einen kleinen Teil der weltweit erbeuteten Daten kennt – viele Leaks werden nie veröffentlicht oder gar nicht entdeckt. Ein ganz frischer Vorfall wie die oben genannten taucht dort womöglich noch gar nicht auf. Zweitens: Nutzen Sie nur bekannte Dienste wie diese. Eine unbekannte Seite, die „Ihr Passwort auf Leaks prüfen“ will, ist selbst ein hervorragendes Werkzeug zum Passwortsammeln.

Selbstständige und kleine Betriebe: doppelt betroffen

Wer geschäftlich bei einem betroffenen Anbieter Kunde ist – bei Ricardo waren ausdrücklich auch Firmenkonten betroffen –, sollte mit gezielten Angriffen auf den Betrieb rechnen: gefälschte Rechnungen, angebliche Lieferprobleme, Anrufe „vom Kundenservice“. Ein kurzer Hinweis an alle, die Mails und Rechnungen bearbeiten, kostet zwei Minuten und kann viel Ärger sparen.

Der ASOS-Fall hat außerdem eine zweite Lehre: Laut Unternehmen begann er nicht mit einer Sicherheitslücke in der Software, sondern damit, dass sich jemand gegenüber einem Mitarbeiter als vertrauenswürdiger Kontakt ausgab und so an dessen Zugangsdaten kam. Das funktioniert im Fünf-Personen-Betrieb genauso wie im Konzern. Phishing-resistente Anmeldung für wichtige Firmenkonten und die einfache Regel „Zugangsdaten gibt man niemandem, auch nicht dem Chef am Telefon“ sind hier die wirksamsten Hebel.

Und falls der eigene Betrieb Kundendaten verliert: Die DSGVO sieht in diesem Fall Meldepflichten gegenüber der Aufsichtsbehörde und unter Umständen gegenüber den Betroffenen vor. Wie das im Einzelfall aussieht, gehört in die Hände Ihres Datenschutzbeauftragten oder einer Rechtsberatung – dieser Beitrag ersetzt keine.

Ihre Rechte – kurz und ohne Rechtsberatung

  • Auskunft: Nach Art. 15 DSGVO können Sie vom Unternehmen erfahren, welche Daten es über Sie gespeichert hat. Die Verbraucherzentralen bieten dafür Musterbriefe an.
  • Beschwerde: Reagiert das Unternehmen unzureichend, können Sie sich an die zuständige Datenschutz-Aufsichtsbehörde wenden.
  • Schadensersatz: Laut Verbraucherzentrale Niedersachsen kann bereits der Kontrollverlust über die eigenen Daten einen immateriellen Schaden darstellen; sie verweist dazu auf Urteile von EuGH und BGH. Ob und in welcher Höhe sich ein Anspruch lohnt, ist Einzelfallfrage – die Verbraucherzentralen bieten dazu Beratung an.

Praktisch hilfreich: Heben Sie die Benachrichtigung auf und machen Sie Screenshots von verdächtigen Folge-Nachrichten. Das ist nützlich, falls später doch etwas passiert.

Grenzen und offene Punkte

  • Bei ASOS, Ricardo und dem Autohaus-Vorfall ist der Umfang nicht abschließend geklärt. Ob und wie viele Kunden in Deutschland betroffen sind, ist bei ASOS öffentlich nicht bekannt.
  • Berichte, wonach bei ASOS auch Suchanfragen aus dem Shop abgeflossen sind, stützen sich auf eine Datenprobe, die Angreifer der BBC zugespielt haben. Eine Bestätigung von ASOS dazu liegt uns nicht vor.
  • Einzelne Berichte nennen zusätzlich Kundennummern (onlinemarktplatz.de) und Suchanfragen aus dem Shop; Geburtsdaten nennt keine der von uns gelesenen Quellen. Öffentlich bestätigt hat ASOS bislang nur Namen, Kontaktdaten und bestimmte kontobezogene Informationen.
  • Unternehmensangaben wie „Passwörter waren nicht betroffen“ können sich im Laufe einer Untersuchung ändern. Verfolgen Sie Updates direkt beim Anbieter.
  • Leak-Checker zeigen nur bekannte, ausgewertete Datensammlungen. Sie sind ein Hinweis, kein Beweis – in beide Richtungen.

Fazit: Erst lesen, dann gezielt handeln

Eine Datenleck-Benachrichtigung ist kein Grund zur Panik, aber auch keine Mail zum Wegklicken. Die sinnvolle Reihenfolge: Echtheit über die Webseite oder App des Anbieters prüfen; nachsehen, welche Daten betroffen sind; bei Passwörtern sofort und überall wechseln, wo es mehrfach genutzt wurde; bei Kontaktdaten vor allem in den nächsten Wochen jede „persönliche“ Nachricht doppelt kritisch lesen. Wer ohnehin noch Passwörter mehrfach nutzt oder ohne Zwei-Faktor-Anmeldung unterwegs ist, hat jetzt einen guten Anlass, das aufzuräumen – dann ist das nächste Leck nur noch halb so ärgerlich.

Sie möchten wissen, wie gut Ihre wichtigsten Konten – privat oder im Betrieb – gegen solche Folgeangriffe aufgestellt sind? DGH-IT schaut sich das gern mit Ihnen an – ohne Verkaufsdruck.

Quellen & weiterführende Informationen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert