Twint hat seine Händler am Donnerstag per E-Mail über einen Cyberangriff bei einem Dienstleister informiert. Bei der Druckerei, die QR-Code-Sticker und Registrierungsbriefe für den Bezahldienst produziert, sind Geschäftsdaten abgeflossen. Betroffen ist nach Angaben von Twint eine kleine einstellige Prozentzahl der Händler. Nun warnt das Unternehmen vor Anrufen und Nachrichten, die im Namen von Twint eingehen könnten.
Der Angriff traf die Druckerei. Das Risiko die Händler.
Anfang Oktober stellte die Medienwerkstatt AG mit Sitz in Sulgen im Thurgau ungewöhnliche Aktivitäten in ihren IT-Systemen fest. „Trotz bestehender Sicherheitsmassnahmen konnten unbefugte Dritte vorübergehend auf Teile unserer IT-Systeme zugreifen“, heisst es auf der Website des Unternehmens. „In der Folge wurden einzelne Systeme beeinträchtigt.“ 1
Die anschliessenden forensischen Untersuchungen zeigten, dass die Angreifer Daten kopiert hatten: geschäftliche Kontaktdaten, Produktions- und Auftragsdaten sowie Bilddateien. Die betroffenen Systeme wurden vom Netz getrennt, das Unternehmen zog internationale Spezialisten bei. Inzwischen läuft der Betrieb wieder normal. Der Vorfall wurde dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gemeldet, die Druckerei erstattete Strafanzeige 1.
Für Twint ist der Vorgang heikel, weil die Medienwerkstatt AG kein beliebiger Zulieferer ist. Sie produziert die QR-Code-Sticker und die Registrierungsbriefe, mit denen der Bezahldienst seine Händler ausstattet.
Was abgeflossen ist – und was nicht
Twint erklärt auf Anfrage: „Im Rahmen des Vorfalls wurden Briefe aus den letzten zwölf Monaten offengelegt, die der Dienstleister im Namen von Twint an Händler geschickt hat. Darunter befanden sich Briefe, mit denen QR-Code-Sticker an die Händler zugestellt wurden.“ 1
Die Briefe enthielten Firmennamen und Geschäftsadressen, in einigen Fällen auch Telefonnummern und E-Mail-Adressen – laut Twint aber nur „in geringerem Umfang“. Bei den sensiblen Kategorien gibt das Unternehmen Entwarnung: „Es ist ausgeschlossen, dass Zahlungsdaten, Zugangsdaten, Finanzinformationen oder andere schützenswerte Daten offengelegt wurden.“ Auch die in den Briefen enthaltenen QR-Codes liessen sich nicht für betrügerische Zwecke verwenden 1.
Betroffen ist laut Twint „eine kleine einstellige Prozentzahl der Händler, die Twint-Zahlungen akzeptieren“. Privatkundinnen und -kunden seien nicht betroffen, für die Händler bestehe kein Handlungsbedarf 1.
Warum die Daten trotzdem einen Angriffsvektor öffnen
Der Wert der Beute liegt nicht in den Zahlungsdaten, sondern in der Beziehung, die sie belegen. Wer weiss, dass ein bestimmtes Geschäft Twint akzeptiert, kann am Telefon eine Geschichte erzählen, die plausibel klingt: eine angebliche Systemumstellung, eine fehlgeschlagene Auszahlung, eine Sicherheitsüberprüfung, eine drohende Sperrung des Händlerkontos.
Auf dieses Muster setzen Kriminelle seit Jahren. Das Bundesamt für Cybersicherheit (Bacs) warnte bereits 2024 vor drei Varianten: der Kontoübernahme über gefälschte Support-Seiten, dem doppelten Betrug per angeblicher Rückerstattung und dem Missbrauch von QR-Codes, die in Wahrheit eine Zahlung auslösen 3.
Bei der Kontoübernahme fragten die Täter in einem vom Bacs dokumentierten Fall Name, Geburtsdatum, Twint-PIN, Debitkartennummer, die letzten fünf Ziffern der IBAN und einen per SMS zugestellten Code ab – über eine Seite, die wie ein Support-Chat aussah und das Opfer ausdrücklich vor Betrugsversuchen warnte 3. Twint-Sprecherin Demet Biçer hat wiederholt klargestellt, weder Twint noch ihre Partnerfirmen würden jemals ausserhalb der App nach sensiblen Daten fragen 5.
Eine Einordnung ist an dieser Stelle wichtig: In der bisherigen Berichterstattung über den Vorfall bei der Medienwerkstatt AG finden sich keine bestätigten Fälle von Betrugsanrufen bei Händlern. Twint formuliert im Konjunktiv – die Täter „könnten“ im Namen von Twint Betrugsversuche bei den Geschäften durchführen 1. Die Warnung ist Vorbeugung, keine Schadensbilanz.
Was Händler und Kundschaft jetzt tun sollten
Twint rät den betroffenen Händlern, bei unerwarteten E-Mails, Anrufen, SMS oder WhatsApp-Nachrichten „besonders vorsichtig“ zu sein. Sie sollten keine Sicherheitsmerkmale sowie keine Konto- oder Login-Daten preisgeben und keine verdächtigen Links oder Anhänge öffnen 1.
Praktisch heisst das: Wer einen Anruf im Namen von Twint erhält, legt auf und ruft über die offizielle Nummer des Händler-Supports zurück. Einmalcodes, PINs und Passwörter gehören in kein Telefonat und in keinen Chat. Wer aufgefordert wird, eine Fernwartungssoftware zu installieren oder einen QR-Code zu „verifizieren“, sollte das Gespräch beenden. Ein Händlerkonto wird nicht per Telefon neu registriert.
Für Privatkundinnen und -kunden bleibt die zentrale Regel, dass eine Kontoübernahme nur gelingt, wenn Zugangsdaten weitergegeben werden 5. Wer Daten preisgegeben hat, sollte nach Angaben der Thurgauer Kantonalbank zuerst Twint und danach das E-Banking sperren – in dieser Reihenfolge, weil die Twint-Sperre sonst nicht mehr selbst ausgelöst werden kann 4. Die Cybercrime-Abteilung der Kantonspolizei Zürich empfiehlt zusätzlich, Finanzinstitute zu informieren, betroffene Passwörter zu ändern, Karten sperren zu lassen und Anzeige zu erstatten – und nach einem Vorfall mit Folgeangriffen zu rechnen 5.
Twint setzt auf Aufklärung, der Bund äussert sich nicht
Twint hat die betroffenen Händler direkt informiert und eine Stellungnahme auf der Geschäftskunden-Website veröffentlicht. Die Untersuchungen seien abgeschlossen, der Dienstleister habe zusätzliche Sicherheitsvorkehrungen umgesetzt, sagte die Medienstelle 1. Ob das Bundesamt für Cybersicherheit eine eigene Warnung zu dem Vorfall publiziert, ist offen; ein entsprechendes Advisory war bis Redaktionsschluss nicht öffentlich auffindbar. Auch zur Frage, ob die Meldung an den EDÖB den Anforderungen des Datenschutzgesetzes genügt, macht die Druckerei keine über die Bestätigung der Meldung hinausgehenden Angaben 1.
Der Druck auf Twint wächst ohnehin
Der Vorfall fällt in eine Phase, in der die Schweizer Banken ihre Vorkehrungen rund um Twint verschärfen. Raiffeisen führt als erste Bank des Landes eine zweite App ein: Ab November 2026 benötigen ihre 1,3 Millionen Kundinnen und Kunden die App debiX+ der Börsenbetreiberin SIX, um Twint neu einzurichten oder das Smartphone zu wechseln; ab Frühjahr 2027 müssen auffällige Twint-Transaktionen über die zweite App bestätigt werden 2. Postfinance setzt seit fünf Jahren auf eine Zwei-Faktor-Authentifizierung über die eigene App, UBS und Zürcher Kantonalbank verweisen auf bestehende zusätzliche Sicherheitsebenen 2.
Twint wird laut Blick von über fünf Millionen Schweizerinnen und Schweizern genutzt 2. Je grösser diese Basis, desto attraktiver der Umweg über den Menschen: Statt Terminals anzugreifen, rufen Kriminelle an, schreiben Nachrichten und setzen auf Zeitdruck. Datenlecks bei Dienstleistern wie Druckereien liefern dafür die Anknüpfungspunkte – Namen, Adressen, mitunter Telefonnummern.
Offen ist, ob Twint die betroffenen Händler ein zweites Mal anschreibt, sobald belastbare Hinweise auf konkrete Anrufe vorliegen. Bis dahin gilt für alle, die einen Anruf im Namen des Bezahldienstes erhalten: auflegen, offizielle Nummer suchen, zurückrufen.
Ähnliche Artikel
