Ricardo-Datenleck: 890.000 Konten betroffen – Phishing-Welle droht

Das Ricardo-Datenleck trifft den größten Online-Marktplatz und das bekannteste Auktionshaus der Schweiz. Nach Angaben der Muttergesellschaft SMG Swiss Marketplace Group sind personenbezogene Daten von rund 890.000 Nutzerkonten abgegriffen worden: Namen, Postanschriften und Telefonnummern, bei Geschäftskunden zusätzlich Firmennamen. Eine CVE-Nummer existiert zu dem Vorfall nicht – die ausgenutzte Sicherheitslücke lag serverseitig beim Betreiber und wurde nach Unternehmensangaben bereits geschlossen, ein Anwender-Patch ist deshalb nicht nötig. E-Mail-Adressen und Passwörter blieben laut Unternehmensangaben unberührt. Verdächtige Serveraktivitäten waren am 7. Oktober 2026 aufgefallen, die offizielle Meldung folgte zwei Tage später. Eine Erpressung oder Lösegeldforderung blieb bislang aus.

Ricardo-Datenleck: Rund 890.000 Konten, Datensätze aus Bestellungen

Die abgegriffenen Datensätze stammen aus Bestellungen auf der Plattform. Offengelegt wurden Namen, Postanschriften und Telefonnummern, bei Geschäftskunden zusätzlich die Firmennamen. Dieser Felder-Mix ist kein Zufall: Liefer- und Rechnungsdaten werden beim Bestellvorgang gemeinsam mit dem Kundennamen erfasst und in derselben Struktur gespeichert – wer an diese Tabelle kommt, erhält das Paket in einem Zug.

Auffällig ist, dass eine exakte Zahl der betroffenen Konten nirgends genannt wird. Durchgängig ist von „rund 890.000" die Rede. Bei einem Datenbestand dieser Größe bleibt offen, ob es sich um eine gerundete Schätzung oder den tatsächlich verifizierten Umfang handelt.

Widersprüchlich bleibt die Angabe zu E-Mail-Adressen. Ricardo und die Mehrheit der Berichte betonen, E-Mail-Adressen und Passwörter seien nicht betroffen. Ein Detailbericht nennt als einzige der hier herangezogenen Quellen jedoch auch bei Geschäftskunden abgegriffene E-Mail-Adressen. Das lässt sich derzeit nicht auflösen. Bis zu einer Klarstellung von Ricardo oder SMG sollten Betroffene die Aussage „E-Mail nicht betroffen" nicht als in Stein gemeißelt behandeln.

Kein bestätigter Angriffsvektor – und die Frage nach der „kritischen" Lücke

Wo genau die Schwachstelle saß, wie die Täter sie fanden und wie der Zugriff ablief, dazu machen weder SMG noch die Behörden Angaben. Ein englischsprachiger Bericht titelt von einer „Critical Flaw". Eine offizielle Einstufung als kritisch ist im vorliegenden Material jedoch nicht belegt; der zugrunde liegende Text spricht neutral von „the vulnerability". Solche Zuschreibungen sind mit Vorsicht zu behandeln: Ein hoher Schweregrad verkauft sich gut, ohne dass ihn eine unabhängige technische Analyse deckt. Zudem ist auch die Schließung der Lücke reine Unternehmensangabe und nicht von dritter Stelle bestätigt – die von diesem Bericht benannte Einordnung, die Datensätze stammten aus Bestellungen, deckt sich dagegen mit der SMG-Darstellung.

Zur Tätergruppe gibt es keine Informationen, Belege für eine Erpressung fehlen. Ob die Daten bereits in einschlägigen Foren zum Verkauf stehen, ist nicht dokumentiert – bei reinen Adress- und Telefondaten ist der Weiterverkauf aber erfahrungsgemäß eher Regel als Ausnahme.

Phishing folgt auf dem Fuß: Warum Name, Adresse und Nummer genügen

Genau die abgegriffenen Felder sind der Baukasten für glaubwürdiges Phishing. Warnt Ricardo vor Kontaktaufnahmen per Telefon, Brief oder Nachricht, die Kreditkartendaten oder Bank-Logins abfragen, deckt sich das mit der technischen Logik: Wer Name, Postanschrift und Mobilnummer des Opfers kennt, kann Anrufe oder SMS zu angeblichen Lieferungen oder Zahlungsproblemen so aufsetzen, dass sie zur realen Bestellhistorie passen. Ein englischsprachiger Bericht ordnet genau diesen Effekt ein – Betrugsversuche wirken überzeugender, wenn die Kontaktdaten stimmen.

Das Muster ist nicht neu. Adress- und Telefonlecks zählen seit Jahren zum Standardrepertoire, weil sie sich mit frei verfügbaren Daten kombinieren lassen und für klassischen Telefon- und SMS-Betrug genügen. Wer bei Ricardo kauft oder verkauft, sollte daher jeden unaufgeforderten Kontakt misstrauisch prüfen – ganz gleich, wie passend die genannten Bestelldaten erscheinen.

Bemerkenswert: Nutzer berichten, Ricardo habe in einer E-Mail mitgeteilt, ein Passwortwechsel sei nicht nötig. Das ist eine individuelle Nutzeraussage aus einem Schweizer Forum und kein offizielles Zitat. Ob Ricardo tatsächlich von einem Passwortwechsel abrät, ist nicht bestätigt; sicherheitshalber spricht nichts dagegen, das Passwort trotzdem zu erneuern.

Behördenmeldungen und was Betroffene jetzt tun sollten

Ricardo hat den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) informiert und will Strafanzeige bei der Polizei erstatten sowie den Vorfall an die nationale Cybersicherheitsstelle melden, die in den Quellen als NCSC beziehungsweise Bundesamt für Cybersicherheit (BACS) firmiert. Die betroffenen Nutzer werden nach Angaben aus der Schweizer Berichterstattung direkt informiert; die SMG-Meldung vom 9. Oktober fasst Entdeckungsdatum, Datenumfang und Behördenwege zusammen.

Für Betroffene gibt es keinen Patch im klassischen Sinn – die Lücke lag beim Anbieter und ist nach dessen Angaben geschlossen. Handlungsempfehlung bleibt Verhaltensprävention: keine Kreditkartendaten oder Bank-Logins am Telefon oder per Nachricht herausgeben, unerwartete Liefer- und Zahlungsaufforderungen über die offizielle Plattform gegenprüfen und im Zweifel direkt beim Anbieter nachfragen. Ein Passwortwechsel schadet nicht, auch wenn er laut Ricardo nicht erforderlich sein soll.

Was offen bleibt: Umfang eines möglichen Datenhandels, die genaue Kontenzahl und die Frage, ob weitere Datenfelder betroffen sind. Bis dahin gilt für alle Ricardo-Nutzer dieselbe Regel wie nach jedem Adressleck – Wachsamkeit bei jedem Kontakt, der zu gut zur eigenen Bestellhistorie passt.

Quellen