In der Nacht des 7. Oktober 2026 haben Unbekannte auf Daten von rund 115'000 Kundinnen und Kunden des Schweizer Onlinehändlers Offerz zugegriffen. Der Fall ist lehrreich, weil der Schwachpunkt kein raffinierter Angriff war, sondern eine vergessene Kopie. So etwas kann in jedem KMU passieren.
Was ist passiert?
Laut Offerz lag in einer Testumgebung eine Kopie der Bestelldaten aus dem Januar 2026. Die Kopie war bei technischen Arbeiten entstanden und hätte danach gelöscht werden sollen. Über diese Testumgebung verschafften sich Unbekannte Zugang. Betroffen sind Namen, Adressen, E-Mail-Adressen, Telefonnummern, IP-Adressen und Angaben zum Zahlungsmittel. Passwörter und Zahlungsdaten waren laut Offerz nicht in der Kopie enthalten.
Offerz hat den Zugriff am Morgen des 9. Oktober entdeckt, die Testumgebung abgeschaltet, Zugänge gesperrt, Strafanzeige erstattet und den EDÖB sowie das Bundesamt für Cybersicherheit (BACS) informiert. Ob die Daten tatsächlich abgeflossen sind, kann das Unternehmen nicht nachweisen. Es geht vorsorglich davon aus.
Drei Lehren für Ihren Betrieb
1. Kopien sind auch Daten. Exporte, Testkopien, Excel-Auszüge und Sicherungen auf einem USB-Stick unterliegen dem Datenschutzgesetz genau wie die Originaldaten. Das revDSG verlangt, dass Personendaten gelöscht oder anonymisiert werden, sobald sie nicht mehr gebraucht werden (Art. 6 Abs. 4 DSG). Fragen Sie sich: Wo liegen bei uns Kopien, von denen niemand mehr weiss? Gibt es Ablagen, an die wir nicht mehr gedacht haben? Und falls früher alles von Hand abgelegt wurde: Seit wann arbeiten wir anders, und ist das irgendwo festgehalten?
2. Testen Sie nicht mit echten Kundendaten. Wer eine Webseite, einen Shop oder eine Software testet, braucht dafür selten echte Namen und Adressen. Erfundene oder anonymisierte Testdaten senken das Risiko auf fast null.
3. Ihr IT-Dienstleister arbeitet in Ihrem Auftrag, die Verantwortung bleibt bei Ihnen. Bei Offerz war ein externer Dienstleister für Server und Programmierung zuständig. Nach dem revDSG müssen Sie sich vergewissern, dass Ihr Dienstleister die Daten sicher bearbeitet (Art. 9 DSG). Regeln Sie im Vertrag, wer Kopien anlegen darf und wann sie gelöscht werden. Der Dienstleister muss zudem bestätigen, dass er die Daten sicher verwahrt und keine unberechtigten Personen darauf zugreifen können. Festgehalten wird das in den technischen und organisatorischen Massnahmen (TOM).
Was sagt das Gesetz dazu?
Art. 8 DSG verlangt angemessene technische und organisatorische Massnahmen, um Personendaten vor unbefugtem Zugriff zu schützen. Kommt es trotzdem zu einer Verletzung der Datensicherheit, die voraussichtlich ein hohes Risiko für die Betroffenen bedeutet, muss sie dem EDÖB so rasch wie möglich gemeldet werden (Art. 24 DSG). Nach der Entdeckung hat Offerz richtig reagiert: schnell abgeschaltet, Behörden informiert, Kundschaft offen gewarnt. Den Fehler davor hat Offerz selbst offengelegt: Die Datei hätte nach den technischen Arbeiten gelöscht werden müssen, und die Testumgebung war nach eigenen Angaben nicht im gleichen Mass überwacht wie die übrigen Systeme. Ob Daten abgeflossen sind, lässt sich laut Offerz im Nachhinein nicht mehr sicher feststellen. Halten Sie deshalb schon heute fest, wer bei Ihnen im Ernstfall was tut.
Praktische Schritte / Checkliste
- Weiss ich, wo überall Kopien meiner Kundendaten liegen?
- Testen wir mit echten oder mit erfundenen Daten?
- Ist mit meinem IT-Dienstleister geregelt, wann Kopien gelöscht werden?
- Weiss mein Team, was bei einer Datenpanne zu tun ist?
- Könnten wir im Ernstfall nachvollziehen, wer wann auf unsere Daten zugegriffen hat und ob Daten hinausgegangen sind?
Das ist heute auch für KMU ohne grossen Aufwand möglich:
- Zugriffsprotokolle einschalten: Cloud-Speicher, Server und Shop-Systeme können festhalten, wer wann auf welche Dateien zugreift. Oft ist das nur eine Einstellung, die bisher niemand aktiviert hat.
- Protokolle getrennt aufbewahren: An einem anderen Ort kann sie ein Angreifer nicht mitlöschen. Aufbewahren am besten mindestens ein Jahr.
- Warnung bei Auffälligem: Firewall oder Cloud-Anbieter melden ungewöhnlich grosse Datenmengen, die hinausgehen, oder Zugriffe zu ungewöhnlichen Zeiten.
- Testumgebungen gleich behandeln wie den Betrieb: Liegen dort echte Daten, gilt derselbe Schutz.
Fragen Sie Ihren IT-Dienstleister konkret: «Was zeichnen wir auf, wie lange, und wer schaut es an?» Für bestimmte Bearbeitungen schreibt das Gesetz die Protokollierung sogar vor (Art. 4 Datenschutzverordnung, Aufbewahrung mindestens ein Jahr). Liefern oder verkaufen Sie auch in die EU, gilt zusätzlich die DSGVO. Sie kennt keine ausdrückliche Pflicht zur Protokollierung, verlangt aber angemessene Sicherheit (Art. 32) und eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, mit Angaben zu Art und Umfang der Panne (Art. 33). Ohne Aufzeichnungen lassen sich diese Angaben kaum machen.
Tipps für Betroffene
- Seien Sie in den nächsten Monaten vorsichtig bei E-Mails, SMS und Anrufen, die sich auf Offerz oder eine Bestellung beziehen. Mit Name, Adresse und Telefonnummer wirken Betrugsversuche besonders echt.
- Setzen Sie das Offerz-Passwort zurück, wie es das Unternehmen beim nächsten Login verlangt.
- Haben Sie dasselbe Passwort auch anderswo verwendet, ändern Sie es dort ebenfalls.
Fazit
Nicht jede Datenpanne beginnt mit einem raffinierten Angriff. Oft reicht eine Kopie, die niemand mehr auf dem Schirm hat. Wer weiss, wo seine Daten liegen, und mit seinem Dienstleister klare Regeln hat, schliesst die häufigste Lücke.
Können Sie eine der Fragen oben nicht sicher mit Ja beantworten? Schreiben Sie mir kurz, worum es geht – ich melde mich innerhalb von zwei Werktagen.
Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung. Quelle: watson.ch/sda, 14.10.2026, gestützt auf Angaben von Offerz.