Datenleck bei notebooksbilliger und Pÿur: Was Unternehmen jetzt tun sollten

03.11.2026 · IT-Sicherheit

Erst die Reiseportale, jetzt zwei große Versand- und Netzbetreiber: In dieser Woche wurden wieder Kundinnen und Kunden über abgeflossene Daten informiert. Zwei Fälle verdienen auch außerhalb der Privatadresse Aufmerksamkeit — denn die Masche dahinter trifft regelmäßig Firmen.

notebooksbilliger.de hat Kundinnen und Kunden per E-Mail über einen Angriff auf Teile seiner IT-Systeme informiert. Nach Angaben des Unternehmens wurden die unbefugten Zugriffe am 12. Oktober bemerkt. Nach derzeitigem Untersuchungsstand kann nicht ausgeschlossen werden, dass Daten wie Kontonummern (IBAN) an die Täter abgeflossen sind. Passwörter seien nach bisherigen Erkenntnissen nicht betroffen, vollständige Kreditkartennummern würden nicht gespeichert. Medienberichten zufolge geht es um eine mittlere fünfstellige Kundenzahl. Parallel meldete der Internetanbieter Pÿur (Tele Columbus) einen vergleichbaren Vorfall.

Die zweite Spur ist die interessantere: Über Buchungsportale (unter anderem DIRS21 und ein Campingplatz-System) gelangten Buchungsdaten in die Hände von Angreifern — Name, Aufenthalt, teils Zahlungsdaten. Diese Daten tauchen anschließend in WhatsApp-Nachrichten auf, die echt wirken, weil sie den tatsächlichen Aufenthalt des Empfängers nennen.

Es ist verlockend, das unter „Consumer-Themen" abzulegen. Zwei Gründe sprechen dagegen:

1. Mitarbeitende sind auch Kunden. Wer dort bestellt hat, bekommt Post — auf die Firmenadresse,

wenn geschäftlich gekauft wurde. Die E-Mail sieht echt aus, weil sie echte Daten enthält.

1. Die Masche skaliert von privat auf geschäftlich. Aus „Ihre Buchung, bitte zahlen Sie" wird

schnell „unsere Bankverbindung hat sich geändert, bitte überweisen Sie auf dieses Konto" — der klassische Rechnungsbetrug mit gefälschter IBAN. Genau dieses Muster ist teuer, weil die Überweisung freiwillig erfolgt.

Der wirtschaftliche Schaden liegt selten in einem geknackten Passwort. Er liegt in einer Zahlung an das falsche Konto, in einem geänderten Lieferantenstammdatensatz oder in einem Zugang, über den später Rechnungen versendet werden.

• Vier-Augen-Regel für Bankdaten: Änderungen an Bankverbindungen nie per E-Mail bestätigen, sondern

telefonisch unter der bekannten Nummer — nicht unter der Nummer aus der E-Mail.

• Mitarbeitende kurz informieren. Ein Absatz in der nächsten Teambesprechung wirkt besser als eine

Rundmail, die niemand liest. Kernbotschaft: Achtung bei Zahlungs- und Zugangsdaten-Anfragen.

• Mehrfaktor-Anmeldung überall dort, wo es geht — vor allem bei E-Mail, Fernzugriff und Cloud-Diensten.

Eine geklaute Kombination aus einem Datenleck ist damit wertlos.

• Passwörter nicht wiederverwenden. Wer dasselbe Passwort privat wie geschäftlich nutzt, importiert

fremde Datenlecks direkt in die Firma. Ein Passwortmanager löst das an einer Stelle.

• E-Mail-Filter und Patches aktuell halten. Die meisten dieser Angriffe kommen nicht über neue,

unbekannte Tricks, sondern über bekannte Lücken und überzeugende Texte.

Die Fälle dieser Woche zeigen ein Muster, das für Firmen wichtiger ist als der Einzelfall: Der Angriff trifft den Dienstleister, das Problem landet beim Kunden. Ihr Buchungssystem, Ihr ERP-Anbieter, Ihre Kanzlei-Software — dort liegen Ihre Daten. Es lohnt sich, einmal die Frage zu stellen: Welche unserer Dienstleister halten eigentlich welchen Teil unserer Daten, und was passiert bei denen im Ernstfall? Eine belastbare Auftragsverarbeitung (Art. 28 DSGVO) beantwortet diese Frage nicht nebenbei, sondern ausdrücklich.

Muss ich nach dem Datenleck mein Passwort ändern?

Bei notebooksbilliger waren nach Unternehmensangaben keine Passwörter betroffen. Wer dort aber dasselbe Passwort nutzt wie für E-Mail oder Firmenzugänge, sollte es überall dort ändern — aus älteren Datenlecks kursieren solche Kombinationen ohnehin. Danach Mehrfaktor-Anmeldung aktivieren.

Was tun, wenn eine E-Mail die Bankverbindung ändert?

Nicht überweisen. Rufen Sie die bekannte Nummer Ihres Geschäftspartners an, nie die Nummer aus der E-Mail. Ist das Geld schon raus, informieren Sie sofort Ihre Bank — eine Rückholung ist oft nur innerhalb kurzer Zeit möglich. Ob zusätzlich eine Anzeige oder eine Meldung an die Aufsicht sinnvoll ist, klären Sie im Einzelfall.

Sind davon auch Geschäftskunden betroffen?

Ein Datenleck bei einem Dienstleister trifft Unternehmen mittelbar immer: über die Erreichbarkeit von Mitarbeitenden, über gefälschte Absender und über Daten, die in fremden Systemen liegen. Prüfen Sie, welche Dienstleister Personendaten für Sie verarbeiten und ob dafür eine Auftragsverarbeitung (Art. 28 DSGVO) vorliegt.

Woran erkenne ich eine gefälschte Rechnung?

Misstrauisch macht alles, was Eile erzeugt: „dringend", „nur heute", geänderte Bankverbindung, abweichende Absenderadresse, anderer Sprachstil als sonst. Prüfen Sie die Absenderadresse genau — nicht nur den angezeigten Namen — und rufen Sie zurück, bevor Sie zahlen.

Wir schauen uns an, wo Ihre Zugänge, Ihre Bankdaten-Wege und Ihre Dienstleister-Schnittstellen angreifbar sind, und priorisieren nach Risiko — kein Maßnahmenkatalog von der Stange.

→ IT-Sicherheit für den Mittelstand · Managed Firewall · IT-Gesundheitscheck

Quellen:heise online, 03.11.2026 (Cyberangriffe auf notebooksbilliger.de und Pÿur); Borns IT- und Windows-Blog, 03.11.2026 (Datenleck bei notebooksbilliger.de und Phishing bei DIRS21 und topcamping.de). Eigene Einordnung, keine Rechtsberatung.