Notebooksbilliger: Cyberangriff – IBAN-Abfluss unbestätigt

Der Notebooksbilliger Cyberangriff ist bislang kein bestätigter Datenverlust. Am Abend des 14. Oktober 2026 informierte die notebooksbilliger.de AG ihre Kundschaft per E-Mail über einen kriminellen Angriff auf die eigenen IT-Systeme. Nach Unternehmensangaben sind E-Mail-Adressen betroffen; hinzukommen könnten Name, Anschrift und Kontodaten (IBAN), sofern diese als Zahlungsweg verwendet wurden. Eine CVE gibt es nicht, einen CVSS-Score ebenfalls nicht – es handelt sich nicht um eine Schwachstelle in einem Produkt, die sich patchen ließe, sondern um einen Vorfall in der Infrastruktur eines Versandhändlers. Ob überhaupt Datensätze abgeflossen sind, ist offen.

Notebooksbilliger Cyberangriff: Was bestätigt ist – und was nicht

Die Abgrenzung ist bei diesem Vorfall der entscheidende Punkt. Bestätigt ist, dass die IT-Systeme des Händlers Ziel eines kriminellen Angriffs wurden, dass die Kundeninformation am 14. Oktober 2026 gegen 21:30 Uhr verschickt wurde, dass die zuständige Datenschutzaufsichtsbehörde informiert und Strafanzeige erstattet wurde und dass externe Spezialisten eingeschaltet sind. Ebenfalls bestätigt: Ausweisdaten wie Passwörter sind nach derzeitigem Kenntnisstand nicht betroffen, und Kreditkartendaten speichert das Unternehmen nach eigenen Angaben grundsätzlich nicht.

Nicht bestätigt ist dagegen der Kern der Aufregung. In der Kundenmitteilung ist von „gegebenenfalls Bankverbindungen (IBAN), sofern sie als Zahlungsweg verwendet wurde“ die Rede – ein Nachweis, dass Angreifer tatsächlich auf Bankdaten zugegriffen haben, ist damit nicht erbracht. Die Erstmeldung zur Story spricht von „offenbar“ betroffenen Bankdaten; auch eine Rekonstruktion des Vorfalls titelt mit „Nutzerdaten abgeflossen“, obwohl das Unternehmen laut Kundenmail einen tatsächlichen Datenverlust gerade nicht bestätigt. Das ist keine Spitzfindigkeit: Wer „abgeflossen“ schreibt, behauptet mehr, als die Faktenlage hergibt.

Unbekannt bleiben drei zentrale Größen: die Zahl der möglicherweise Betroffenen, der Zeitpunkt des Zugriffs und der Angriffsvektor beziehungsweise die konkret betroffenen Systeme. Das Unternehmen nennt dazu nichts; die laufenden Untersuchungen dürften der Grund sein.

Welche Daten betroffen sind – und welche nicht

Nach derzeitiger Darstellung sind folgende Kategorien betroffen oder potenziell betroffen:

E-Mail-Adressen (sicher betroffen)
Name und Anschrift (möglich)
IBAN beziehungsweise Kontodaten, sofern sie als Zahlungsweg genutzt wurden (möglich)
Passwörter (nach aktuellem Kenntnisstand nicht betroffen)
Kreditkartendaten (nach Unternehmensangaben grundsätzlich nicht gespeichert)

Für die Praxis ist der zweite Punkt der wichtigste. Eine E-Mail-Adresse allein ermöglicht gezieltes Phishing, aber keine unmittelbare finanzielle Schädigung. Genau deshalb warnt das Unternehmen vor gefälschten E-Mails, SMS und Anrufen, die vorgeben, von Notebooksbilliger, einer Bank, PayPal oder einer Behörde zu stammen. Nach eigenen Angaben fragt NBB niemals per E-Mail, Telefon oder SMS nach Passwörtern, PINs oder TANs. Verdächtige Links und Anhänge sollen nicht geöffnet werden. Einen Patch, den ein Administrator einspielen könnte, gibt es in dieser Lage nicht – die Sicherheitsmaßnahme liegt beim Kunden und heißt Misstrauen.

Benachrichtigungslücke: 78,2 Prozent der Kunden ohne Mail

Bemerkenswert ist, wie viele Betroffene nach eigenen Angaben nichts erfahren haben. Eine offene Online-Abstimmung mit 1.035 Teilnehmern, die im Artikel zur Kundenmitteilung ausgewiesen ist, kam zu 1,7 Prozent „Ja, ich habe eine E-Mail bekommen“, 78,2 Prozent „Nein, obwohl ich Kunde bin“ und 20,1 Prozent „Ich habe kein Konto bei Notebooksbilliger“. Die Zahlen sind nicht repräsentativ – selbstselektierte Abstimmungen sind es nie. Sie decken sich aber mit unverifizierten Nutzerangaben in den Kommentaren zur Vorfallschilderung, wo registrierte Kunden von fehlender Mail trotz Prüfung des Spam-Ordners berichten.

Die Ursache ist offen: denkbare Erklärungen sind eine Segmentierung des Versands, fehlende oder veraltete E-Mail-Adressen im Bestand oder ein Versandfehler. In jedem Fall bleibt die Lücke ein Kommunikationsproblem – wer als Betroffener keine Mail erhält, kann die Warnungen nicht anwenden. Auch die beim Unternehmen als „abgeflossen“ beschriebenen Daten sind nicht durch die Angabe einer Zahl oder eines Zeitraums eingegrenzt; Betroffene müssen bis zum Abschluss der Untersuchungen von einer unklaren Lage ausgehen.

IBAN-Betrugsrisiko: acht Wochen, im Zweifel 13 Monate

Sollten tatsächlich Kontodaten in falsche Hände geraten sein, ist das Muster bekannt: Mit Name, Anschrift und IBAN lassen sich Lastschriften anstoßen, die der Kontoinhaber nicht beauftragt hat. Ein Vergleichsfall aus dem IT-Recht beschreibt dieses Risiko nach einem Datenleck bei einem anderen Institut im Juli 2026 – ein anderer Vorfall, aber dasselbe Grundproblem. Die Handlungsempfehlung des Händlers, Kontoauszüge in den kommenden Monaten regelmäßig zu prüfen, ist daher nicht übertrieben.

Die Fristen sind gesetzlich klar geregelt: SEPA-Basislastschriften können innerhalb von acht Wochen ohne Begründung zurückgegeben werden. Fehlt eine gültige Einzugsermächtigung, verlängert sich die Frist auf bis zu 13 Monate – so gibt es die Deutsche Bundesbank wieder, auf die sich die Berichterstattung zur Kundenmail stützt. Wer eine unberechtigte Abbuchung bemerkt, sollte also nicht abwarten, sondern die Rückgabe bei der Bank veranlassen und Anzeige erstatten.

Aufsichtshistorie: Kein belegter Zusammenhang zum Bußgeld

In diesem Kontext taucht regelmäßig die Aufsichtsgeschichte des Händlers auf. Die niedersächsische Datenschutzaufsicht hat gegen notebooksbilliger.de ein Bußgeld über 10,4 Millionen Euro verhängt – wegen unzulässiger Videoüberwachung. Das ist ein anderer, älterer Sachverhalt. Die aktuelle Kundenmitteilung nennt nur „die zuständige Datenschutzaufsichtsbehörde“, ohne sie zu benennen. Eine Verbindung zwischen dem Bußgeld und dem Cyberangriff ist damit nicht belegt und sollte nicht konstruiert werden.

Fazit: kein Patch, aber klare Fristen

Für Admins gibt es hier nichts zu patchen – der Vorfall betrifft die Infrastruktur eines Händlers, nicht ein Produkt. Für Kunden zählt dagegen der praktische Teil: Kontoauszüge in den kommenden Monaten im Blick behalten, unberechtigte Lastschriften innerhalb der Acht-Wochen-Frist zurückgeben, bei fehlender Ermächtigung die 13-Monats-Frist nutzen und jede angebliche Rückfrage nach Passwörtern, PINs oder TANs als Betrugsversuch behandeln. Die drängendste offene Frage bleibt, warum ein erheblicher Teil der Kundschaft offenbar nie informiert wurde – und ob überhaupt Daten abgeflossen sind. Bis das geklärt ist, gilt für die Angaben der Beteiligten die gleiche Vorsicht wie für die Mails, vor denen sie warnen.

Quellen