Der Schweizer Online-Marktplatz Ricardo ist Opfer eines Cyberangriffs geworden. Unbefugte haben persönliche Daten von rund 890'000 Nutzerkonten abgegriffen – darunter Namen, Postadressen und Telefonnummern. Die Sicherheitslücke ist inzwischen geschlossen, die Täterschaft unbekannt. Ricardo informiert die Betroffenen direkt und warnt vor Phishing-Versuchen.
Was bei Ricardo passiert ist
Am 7. Oktober hat der Schweizer Online-Marktplatz Ricardo verdächtige Aktivitäten auf seinen Servern festgestellt und nach eigenen Angaben umgehend technische Massnahmen zur Sicherung der Systeme eingeleitet [1] [4]. Die anschliessende Untersuchung ergab, dass Unbefugte auf personenbezogene Daten von rund 890'000 Nutzerkonten zugegriffen hatten [2] [4]. Die Sicherheitslücke, die diesen Zugriff ermöglicht hatte, sei inzwischen vollständig geschlossen, teilte das Ricardo-Mutterhaus SMG Swiss Marketplace Group am Freitag mit [1] [2].
Ricardo gehört zur SMG Swiss Marketplace Group, die wiederum Teil der TX Group ist – dem Medienhaus, zu dem auch 20 Minuten zählt [4]. Mit mehreren Millionen registrierten Nutzerinnen und Nutzern ist Ricardo einer der grössten Online-Marktplätze der Schweiz. Der Vorfall dürfte damit einen erheblichen Teil der Schweizer Bevölkerung betreffen.
Welche Daten betroffen sind – und welche nicht
Nach Angaben von SMG waren ausschliesslich Namen, Postadressen und Telefonnummern betroffen; bei Geschäftskunden zusätzlich die Firmennamen [1] [2] [4]. E-Mail-Adressen und Passwörter blieben hingegen geschützt [1] [2] [3]. Eine SMG-Sprecherin hielt gegenüber der Nachrichtenagentur AWP fest, es sei ein unbefugter Zugriff auf personenbezogene Daten festgestellt worden, die mit Bestellungen auf der Plattform verknüpft gewesen seien [2] [3].
Dass Passwörter und E-Mail-Adressen nicht betroffen sind, ist für die Betroffenen eine wichtige Entlastung: Ein direkter Zugriff auf die Ricardo-Konten ist damit nicht ohne Weiteres möglich. Die Kombination aus Name, Postadresse und Telefonnummer ist jedoch keineswegs harmlos. Sie genügt, um Betrugsversuche gezielt und glaubwürdig zu personalisieren.
Wie der Angriff ablief
Wie genau die Angreifer vorgegangen sind, ist bislang nicht öffentlich bekannt. SMG spricht von einer Sicherheitslücke, die einen unbefugten Zugriff auf Bestelldaten ermöglichte [2] [3]. In den Vorfall sei kein externer IT-Dienstleister involviert gewesen, betonte das Unternehmen [2] [3]. Die betroffenen Daten seien zu keinem Zeitpunkt frei zugänglich gewesen [1] [2] [3].
Bislang habe der Cyberangriff weder eine Erpressung noch Lösegeldforderungen zur Folge gehabt, so die Sprecherin [1] [2] [3]. Ob und in welchem Umfang die Daten weiterverbreitet oder verkauft wurden, ist offen. Ricardo will Strafanzeige gegen Unbekannt erstatten; die Abklärung der Täterschaft liegt dann bei den Strafverfolgungsbehörden [1] [2] [3].
Wie Ricardo reagiert und die Betroffenen informiert
Ricardo informiert die betroffenen Nutzerinnen und Nutzer nach eigenen Angaben direkt über den Vorfall, seine möglichen Auswirkungen und mögliche Schutzmassnahmen [1] [2] [4]. In der Mitteilung rät das Unternehmen zu besonderer Vorsicht bei unerwarteter Post, Anrufen sowie Nachrichten via SMS oder WhatsApp, in denen zur Angabe sensibler Daten wie Kreditkartendaten, Bank- oder Twint-Logins aufgefordert wird [1] [2] [3].
Gemäss den gesetzlichen Vorgaben hat Ricardo den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) über den Vorfall informiert [1] [2] [4]. Zudem soll der Vorfall dem Bundesamt für Cybersicherheit (BACS) gemeldet werden [1] [2] [4]. Nach dem revidierten Datenschutzgesetz sind Unternehmen in der Schweiz verpflichtet, Datenschutzverletzungen dem EDÖB «so rasch als möglich» zu melden, wenn ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen besteht.
Welche Risiken drohen: Phishing und Identitätsmissbrauch
Die eigentliche Gefahr liegt für die Betroffenen weniger im Datenabfluss selbst als in dem, was daraus folgen kann. Mit Name, Adresse und Telefonnummer lassen sich Phishing-Nachrichten, Anrufe oder SMS deutlich überzeugender gestalten. Kriminelle können sich als Ricardo ausgeben, auf den Vorfall verweisen und Betroffene zur Preisgabe weiterer Daten drängen – etwa von Kreditkarten- oder Bankangaben.
Besonders heikel ist die Kombination mit der Telefonnummer: Sie ermöglicht SMS-Phishing («Smishing») und Anrufe, bei denen sich Täter als Kundendienst ausgeben. Auch der Missbrauch für betrügerische Bestellungen oder die Eröffnung von Konten im Namen der Betroffenen ist denkbar, wenn auch aufwendiger. Fachleute raten Betroffenen, keine Links aus unerwarteten Nachrichten anzuklicken, keine Zugangsdaten preiszugeben und verdächtige Kontaktversuche direkt bei Ricardo zu melden.
Einordnung und Ausblick
Der Fall reiht sich in eine Serie von Datenschutzvorfällen in der Schweiz ein. Bereits zuvor hatte ein Datenklau beim Schulfoto-Anbieter Portraitbox für Aufsehen gesorgt, bei dem sensible Daten und Kinderfotos gestohlen wurden [3]. Solche Vorfälle zeigen, wie attraktiv Schweizer Plattformen mit grossen Nutzerzahlen für Angreifer sind – und wie stark die digitale Infrastruktur des Landes unter Druck steht.
Für Ricardo steht nun die Aufarbeitung an: die lückenlose Aufklärung des Zugriffs, die Information der Betroffenen und die Frage, ob die Sicherheitsarchitektur der Plattform ausreicht. Ob die Täterschaft ermittelt wird, ist offen. Klar ist: Für die 890'000 Betroffenen beginnt mit der Warnung eine Phase erhöhter Wachsamkeit – und die Erfahrung zeigt, dass Phishing-Wellen oft erst Wochen nach einem solchen Leck anrollen.