Offerz-Hack: Daten von 115.000 Kunden betroffen

Ein vergessener Datenexport als Einfallstor

Der Angriff auf den Schweizer Onlinehändler Offerz begann in der Nacht auf den 7. Oktober 2026. Nach Angaben des Unternehmens verschafften sich Unbekannte Zugang zu einer Testumgebung, in der eine Datei mit echten Bestelldaten vom Januar 2026 abgelegt war ^{1 2}. Die Datei war im Rahmen technischer Arbeiten am produktiven Onlineshop erstellt und vorübergehend in einem Cloud-Speicher abgelegt worden, auf den sowohl das Produktivsystem als auch die Testumgebung Zugriff hatten ². Nach Abschluss der Arbeiten hätte sie gelöscht werden müssen – das unterblieb.

Offerz.ch ist ein Webshop, der sich auf den Verkauf digitaler Gutscheine und Geschenkkarten spezialisiert hat ¹. Betroffen sind nach Unternehmensangaben rund 115.000 Kundinnen und Kunden ^{1 2}.

Bemerkenswert ist der Zeitablauf: Entdeckt wurde der Zugriff erst am Morgen des 9. Oktober, also mehr als einen Tag später. Als Grund nennt das Unternehmen die im Vergleich zu den Produktivsystemen weniger umfassende Überwachung der Testumgebung ^{1 2}.

Was die Angreifer erbeutet haben – und was nicht

Nach Angaben von Offerz umfasst die betroffene Datei Bestellnummern, Namen, Wohnadressen, E-Mail-Adressen, Mobilnummern, IP-Adressen sowie Angaben zur Art des verwendeten Zahlungsmittels ^{2 3}. Nicht enthalten waren Passwörter sowie Karten- und Kontodaten ^{1 2}.

Ob die Daten tatsächlich abgeflossen sind, kann das Unternehmen nach eigenen Angaben nicht gesichert nachweisen. Da während des Angriffs erhöhter Datenverkehr festgestellt wurde, geht Offerz vorsorglich von einem Datenabfluss aus ^{1 2}. Weitere Überprüfungen von Quellcode, Dateiuploads und Zugriffsprotokollen sowie Virenscans hätten keine Hinweise auf zusätzliche Zugriffe oder Manipulationen ergeben ².

Geteilte Verantwortung mit dem IT-Dienstleister

Für den Betrieb der Serverinfrastruktur und die Programmierung ist laut Offerz ein externer IT-Dienstleister zuständig. Die fehlerhafte Zugänglichkeit der Daten sei im Rahmen dieser technischen Betreuung entstanden ^{1 2}. Das Unternehmen hält jedoch fest, dass die Verantwortung gegenüber Kunden und Behörden bei ihm selbst liege ².

Geschäftsführer Dominik Megert sagte gegenüber dem «Swiss IT Magazine»:

Dieser Vorfall tut mir aufrichtig leid. Unsere Kundinnen und Kunden durften erwarten, dass ihre Daten bei uns sicher sind, und wir haben diese Erwartung nicht erfüllt. ²

Der Fall illustriert ein verbreitetes Muster: Testumgebungen sind eigenständige Systeme, in denen Software vor dem Produktiveinsatz geprüft wird. Häufig enthalten sie Kopien echter Kundendaten – und sind trotzdem oft schlechter gesichert als die Produktivsysteme ⁴.

Wie das Unternehmen und die Behörden reagieren

Offerz hat die betroffene Testumgebung nach eigenen Angaben am 9. Oktober vollständig deaktiviert, Zugänge gesperrt und die übrigen Systeme überprüft ^{2 3}. Betroffene Kunden wurden per E-Mail informiert und müssen beim nächsten Login vorsorglich ihr Passwort zurücksetzen ^{1 2}. Zudem hat das Unternehmen die Zugriffsberechtigungen und die Überwachung seiner Test- und Entwicklungsumgebungen angepasst; Personendaten würden dort inzwischen nicht mehr abgelegt ².

Lesen Sie auchDatenleck bei Ricardo: 890'000 Nutzerkonten betroffen→

Am 13. Oktober beauftragte Offerz den Schweizer Cybersecurity-Spezialisten Infoguard mit einer forensischen Untersuchung, die noch nicht abgeschlossen ist ². Der Vorfall wurde dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Edöb) sowie dem Bundesamt für Cybersicherheit (Bacs) gemeldet; zudem kündigte das Unternehmen eine Strafanzeige an ^{1 2 3}.

Nach Schweizer Datenschutzgesetz (DSG) müssen schwerwiegende Datenschutzverletzungen dem Edöb gemeldet werden ⁴.

Risiko für Betroffene: Phishing und Social Engineering

Weil Passwörter und Zahlungsdaten nach Unternehmensangaben nicht in der Datei enthalten waren, geht von dem Leck keine unmittelbare Gefahr für Konten oder Kreditkarten aus. Das eigentliche Risiko liegt woanders: Die Kombination aus Namen, Adressen, Telefonnummern und E-Mail-Adressen ist ein idealer Ausgangspunkt für gezieltes Social Engineering ³.

Offerz warnt ausdrücklich vor Betrugsversuchen. Kriminelle könnten die erbeuteten Kontaktdaten nutzen, um sich per E-Mail, SMS, Whatsapp oder Brief als vertrauenswürdige Absender auszugeben ¹. Fachmedien raten Betroffenen, in den kommenden Wochen besonders wachsam gegenüber Nachrichten zu sein, die scheinbar im Namen von Offerz versendet werden ³.

Teil einer Angriffswelle in der Schweiz

Der Fall reiht sich in eine Serie von Cybervorfällen ein, die den Schweizer Markt seit Wochen beschäftigen. Ende September wurde der IT-Dienstleister PK Softtech gehackt; betroffen waren unter anderem Daten von Versicherten der Bundespensionskasse Publica ¹. Kurz darauf meldete der Online-Marktplatz Ricardo einen Angriff, bei dem Daten von rund 890.000 Nutzerkonten abgegriffen wurden ^{1 6}. Auch die SRG war betroffen: Dort flossen Kontakt- und Organisationsdaten von rund 340 SRF-Mitarbeitenden ab ².

Ob es einen Zusammenhang zwischen den Vorfällen gibt, ist offen. Offerz-Geschäftsführer Megert erklärte auf Anfrage, dazu lägen keine gesicherten Erkenntnisse vor. Zwar habe sich ein Kunde gemeldet, der eine vergleichbare Nachricht über einen Datenabfluss von einer weiteren Schweizer Plattform erhalten habe; dies sei jedoch nicht verifiziert. Die Beurteilung möglicher Zusammenhänge überlasse man den Behörden ².

Für die betroffenen Kunden bleibt vorerst die Ungewissheit. Ein Betroffener sagte gegenüber Blick, ihn beunruhige vor allem die Frage, ob wirklich Daten abgeflossen seien. Zugleich kritisierte er, dass echte Kundendaten überhaupt in einer Testumgebung lagen ¹. Genau dieser Punkt dürfte auch die laufende forensische Untersuchung und die Aufsicht beschäftigen.