Galaxus: 3,45 Millionen Kundendaten für 250 Dollar. Keine einzige Kundennummer stimmte.

01 Was im Forum stand, und wie Galaxus es prüfte

Die Geschichte klingt plausibel. Insider, API-Zugang, aktuelle Daten: So laufen echte Abflüsse tatsächlich ab, wie der Ricardo-Fall wenige Tage später gezeigt hat. Eine Geschichte lässt sich erfinden. Darum legte Galaxus die Stichprobe neben die eigene Datenbank.

Martin Wrona, Security Engineer bei Digitec Galaxus, beschreibt das Ergebnis so: Für Aussenstehende könnten die Daten plausibel wirken. Sobald es um Daten gehe, die nur das Unternehmen haben könne, stimme nichts mehr. Die Kundennummern passten nicht. Die Registrierungsdaten passten nicht. Die Bestellungen passten nicht. Sogar die Produktkategorien in der Stichprobe waren falsch benannt, weil Galaxus seine Kategorien intern anders nennt [ Galaxus 2026 ] . CTO Stefan Müller hielt danach öffentlich fest: kein Cybervorfall, kein Datenabfluss.

Die letzte Zeile ist die wichtigste. Ein Teil der E-Mail-Adressen existierte tatsächlich als Kundenkonto. Wer nur diese Spalte prüft, schliesst auf ein echtes Leck und informiert Millionen Menschen über einen Vorfall, den es nie gab. Galaxus hat seit 2001 über fünf Millionen Konten eröffnet. Fast jede Liste mit Schweizer E-Mail-Adressen enthält Galaxus-Kunden.

Galaxus kennt übrigens beide Seiten. 2017 bestätigte das Unternehmen einen echten Abfluss von Kundendaten über eine Schwachstelle. Wer schon einmal einen echten Vorfall aufgearbeitet hat, weiss, welche Felder sich fälschen lassen und welche nicht.

02 Galaxus ist nicht die erste Firma auf einer falschen Liste

Falsche, aufgeblasene und wiederverwertete Lecks tauchen in den Foren regelmässig auf. Fünf Fälle aus den letzten drei Jahren zeigen die Muster.

Bei Europcar ist die Prüfung lehrreich. Die Firma wurde von einem Threat-Intelligence-Dienst auf das Inserat aufmerksam gemacht, verglich die Stichprobe und fand nichts [ SC Media 2024 ] . Ob wirklich ein Sprachmodell die Daten erzeugt hat, ist offen. Troy Hunt, Betreiber von Have I Been Pwned, wies darauf hin, dass erfundene Lecks schon lange vor ChatGPT existierten. Für Sie spielt das keine Rolle: Ein Generator, der plausible Schweizer Namen, Adressen und Einkaufssummen erzeugt, kostet heute nichts mehr.

Der LockBit-Fall zeigt die zweite Variante [ SecurityWeek 2024 ] . Die Daten waren echt, das Etikett falsch. Ein grosser Name verschafft Aufmerksamkeit und erhöht den Druck auf das wirkliche Opfer. Babuk2 schliesslich lebte fast vollständig von Recycling [ GuidePoint 2025 ] . GuidePoint empfiehlt Firmen auf solchen Listen ausdrücklich, zuerst auszuschliessen, dass es sich um Daten aus einem alten Vorfall handelt.

03 Warum jemand ein Leck erfindet

250 Dollar für 3,45 Millionen Datensätze sind wenig. Echte, aktuelle Kundendaten eines grossen Händlers mit Einkaufsverhalten wären einem Betrugsnetzwerk ein Vielfaches wert. Der Preis allein ist ein Hinweis. Die Motive hinter falschen Angeboten sind meist eines von vier:

Betrug an anderen Kriminellen. Der Käufer zahlt in Krypto und bekommt Datenmüll. Beschweren kann er sich nirgends. Mogilevich hat dieses Modell öffentlich beschrieben.

Ruf im Forum. Ein grosser Name im Titel bringt Klicks, Antworten und Ansehen. Für neue Konten in einem Forum ist ein spektakuläres Inserat die schnellste Art, bekannt zu werden.

Druck auf das angebliche Opfer. Eine Firma, die ihre Daten nicht schnell prüfen kann, zahlt vielleicht lieber, als wochenlang mit der Ungewissheit zu leben. Dafür muss die Behauptung nicht stimmen. Sie muss nur lange genug unwiderlegt bleiben.

Material für Phishing. Jede Schlagzeile über ein Leck ist ein Anlass für Mails mit dem Betreff «Ihr Konto war betroffen». Zur selben Zeit warnte Galaxus vor einer gefälschten Kundenumfrage, die mit einem Gratisgeschenk lockt und auf Adresse und Kreditkarte zielt [ Galaxus Phishing 2026 ] . Ein erfundenes Leck hilft dem echten Phishing.

04 Die Gegenprobe: Felder, die nur Sie kennen

Galaxus konnte in anderthalb Stunden Entwarnung geben, weil das Team wusste, welche Spalten aussagekräftig sind, und weil es die eigenen Daten schnell abfragen konnte. Beides ist in vielen KMU nicht selbstverständlich. Sortieren Sie die Felder einer Stichprobe nach ihrer Beweiskraft:

Daraus folgt eine unbequeme Feststellung. Wenn Ihre Firma keine eigenen Kennungen in den Datensätzen hat, etwa weil Kundinnen und Kunden nur mit E-Mail-Adresse und Name erfasst sind, können Sie eine Fälschung kaum widerlegen. Eine eindeutige Kundennummer kostet nichts und ist im Ernstfall Ihr bester Zeuge.

Der zweite Punkt sind die Dienstleister. Prüfen Sie die Stichprobe auch gegen die Exporte, die Sie Ihrem Versandpartner, Ihrem Newsletter-Tool und Ihrer Agentur geben. Wenn die Daten dort übereinstimmen und bei Ihnen nicht, kennen Sie die Quelle.

05 Ihr Ablauf für den Tag, an dem Ihr Name im Forum steht

Schreiben Sie den Ablauf jetzt auf, nicht am Tag selbst. Fünf Schritte genügen.

1. Davon erfahren. Galaxus und Europcar wussten früh vom Inserat. Viele KMU erfahren es von einem Journalisten oder einem Kunden. Legen Sie fest, wer solche Hinweise entgegennimmt und wer entscheidet.

2. Stichprobe sichern, nichts kaufen. Die meisten Inserate enthalten eine Probe. Sichern Sie sie mit Datum und Quelle. Bezahlen Sie nicht für den vollständigen Datensatz und verhandeln Sie nicht ohne Fachleute. Melden Sie das Inserat der Kantonspolizei.

3. Mit den harten Feldern prüfen. Kundennummern, Bestellnummern, Zeitstempel. Wer prüft, braucht Lesezugriff auf die Produktivdaten und muss wissen, wie eine Abfrage in Ihrem System aussieht. Klären Sie das vorher.

4. Dienstleister und alte Lecks einbeziehen. Gleichen Sie mit den Exporten an Partner ab und prüfen Sie, ob die Daten aus einem früheren Vorfall stammen. Erst dann geben Sie Entwarnung.

5. Melden und kommunizieren. Artikel 24 DSG verpflichtet Sie zur Meldung an den EDÖB, wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Betroffenen führt, und zwar so rasch als möglich [ DSG Art. 24 ] . Ein nachgewiesener Fake ist keine solche Verletzung. Solange die Prüfung läuft, wissen Sie das aber nicht, und der EDÖB nimmt auch freiwillige Meldungen entgegen [ EDÖB 2025 ] . Kommunizieren Sie nach aussen wie Galaxus: was behauptet wird, was Sie geprüft haben, was Kundinnen und Kunden tun müssen. Und warnen Sie vor Phishing, das sich auf die Schlagzeile beruft.

Galaxus hat diese Probe bestanden, weil die Antwort in den eigenen Daten lag und jemand wusste, wo man nachsieht. Für Ihre Firma lautet die Frage, ob Sie heute wissen, wo Ihre Kundendaten überall liegen und wer sie in einer Stunde abfragen kann. Wenn nicht, finden wir es mit Ihnen heraus, und wir prüfen im selben Auftrag, ob ein Angreifer tatsächlich an diese Daten käme. Beginnen Sie mit Ihrer Threat Map, ab CHF 5’000, in 14 Tagen.