Bei der Schweizer Online-Verkaufsplattform Ricardo haben Unbefugte Zugriff auf personenbezogene Daten von rund 890'000 Nutzerkonten erhalten. Die Medienmitteilung der SMG Swiss Marketplace Group vom 9. Oktober bestätigt den Vorfall. E-Mail-Adressen und Passwörter seien nicht betroffen, die Sicherheitslücke inzwischen vollständig geschlossen. Wenige Tage nach dem Datenabgriff gehen jedoch bereits die ersten Betrugsversuche ein, die sich gezielt an betroffene Kundinnen und Kunden richten.

Verdächtige Aktivitäten auf den Servern

Der Ablauf begann laut Mitteilung der SMG Swiss Marketplace Group am 7. Oktober mit verdächtigen Aktivitäten auf den Servern von Ricardo. Das Unternehmen leitete umgehend technische Massnahmen zur Sicherung der Systeme ein und schloss die Sicherheitslücke, die den Zugriff ermöglicht hatte, vollständig. Die anschliessende Untersuchung ergab, dass personenbezogene Daten von rund 890'000 Nutzerkonten offengelegt wurden – an bisher nicht identifizierte Angreifer.

Namen, Adressen und Telefonnummern betroffen

Die offengelegten Daten beschränken sich auf Namen, Postadressen und Telefonnummern sowie bei Geschäftskunden zusätzlich auf Firmennamen. E-Mail-Adressen und Passwörter waren nicht betroffen, sodass die Zugänge zu den Konten nicht in fremde Hände gelangten. Auch ein unbefugter Zugriff auf Daten, die mit Bestellungen auf der Plattform verknüpft sind, wurde nach Angaben des Unternehmens nicht festgestellt. Eine Sprecherin gegenüber der Nachrichtenagentur AWP betonte, die betroffenen Daten seien zu keinem Zeitpunkt frei zugänglich gewesen, und auch ein externer IT-Dienstleister sei nicht in den Vorfall involviert.

Noch keine Erpressung oder Lösegeldforderung

Anders als bei vielen Cyberfällen der letzten Monate ist bislang keine Erpressung und keine Lösegeldforderung bekannt geworden. Die Täterschaft ist weiterhin unklar; die Abklärung ist nun Aufgabe der Strafverfolgungsbehörden. Ricardo erstattet Strafanzeige gegen Unbekannt und meldet den Vorfall dem Bundesamt für Cybersicherheit BACS. Konkrete Hinweise, ob die abgegriffenen Daten in Foren oder Kanälen des Darknets angeboten wurden, gibt es bislang nicht.

Betrüger versuchen ihr Glück per WhatsApp

Die reale Gefahr liegt derweil weniger im gestohlenen Datenbestand selbst als im gezielten Social Engineering. Wie das Mutterhaus bestätigt, informiert Ricardo die betroffenen Nutzerinnen und Nutzer direkt – mit einer persönlich adressierten E-Mail von Geschäftsführer Francesco Vass. Diese warnt ausdrücklich vor verdächtigen SMS- und WhatsApp-Nachrichten, insbesondere dann, wenn Links oder QR-Codes enthalten sind oder zur Zahlung bzw. zur Angabe weiterer persönlicher Daten aufgefordert wird. Medien berichteten wenige Tage nach dem Vorfall von den ersten konkreten Betrugsversuchen per WhatsApp.

Meldung an EDÖB und Strafanzeige

Gemäss den gesetzlichen Vorgaben hat Ricardo den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten EDÖB über den Vorfall informiert. Zudem wird der Vorfall dem Bundesamt für Cybersicherheit BACS gemeldet. Der Fall zeigt erneut, dass meldepflichtige Datenzwischenfälle auch grosse Schweizer Plattformen treffen und dass die gesetzliche Meldepflicht im Datenschutzgesetz in der Praxis konsequent angewendet wird.

Vorsicht bei unerwarteten Nachrichten

Für Betroffene gilt: Bei unerwarteten Anrufen, Briefen, SMS- oder WhatsApp-Nachrichten, in denen Zahlungen oder persönliche Daten verlangt werden, ist Vorsicht geboten. Kontaktdaten allein erlauben es Betrügern, gezielt und überzeugend aufzutreten – insbesondere, wenn sie Bestelldetails oder Plattform-Bezug vorspielen. Wer im Zweifel ist, kontaktiert Ricardo über die offiziellen Kanäle und gibt keine Daten oder Zahlungen über fremde Links und QR-Codes preis. Der Vorfall erinnert daran, dass auch scheinbar harmlose Stammdaten im falschen Moment zum Einfallstor werden können.