Datenleck bei Ryde: 4,5 Millionen Konten, auch in Deutschland
Foto: Estormiz / Wikimedia Commons / CC0 1.0
Das Datenleck bei Ryde hat jeden einzelnen Kunden des Roller-Verleihs erreicht, und Deutschland gehoert zu den betroffenen Laendern. Rund 4,5 Millionen Konten in Norwegen, Schweden, Finnland und Deutschland wurden in der Nacht zum Sonntag, dem 2. August 2026, aus den Systemen kopiert, allein etwa 1,6 Millionen davon in Norwegen. Ryde bestreitet das Ausmass nicht: In den Worten des Unternehmens betrifft es jeden, der ein Konto hat.
Was laut Ryde geschah
Nach der Stellungnahme des Unternehmens erreichten Unbefugte die Systeme in der Nacht vom 1. auf den 2. August und kopierten Kundendaten, bevor der Zugang geschlossen wurde. Ryde erklaert, seither die gefundenen Einstiegspunkte geschlossen, die betroffenen Systeme neu aufgebaut und Passwoerter sowie kryptografische Schluessel ausgetauscht zu haben. Gemeldet wurde der Vorfall an Datatilsynet, die norwegische Datenschutzbehoerde, und an die Polizei.
Geschaeftsfuehrer Tobias Balchen sagte NRK, Unbefugte haetten Zugang erlangt und bestimmte Kundeninformationen herauskopiert, und das betreffe jeden mit einem Konto. Er sagte zudem, das Unternehmen habe keinerlei Hinweis darauf, wer dahintersteckt, und weder eine Geldforderung noch Drohungen erhalten. Diesen letzten Punkt sollte man im Kopf behalten, denn beruhigend ist er nur auf den ersten Blick: Ein gestohlener Datensatz ohne Loesegeldforderung wird eher verkauft oder schlicht veroeffentlicht.
Was abgeflossen ist und was nicht
Abgeflossen sind Telefonnummern, E-Mail-Adressen, Geburtsdaten, die ersten sechs und die letzten vier Ziffern von Zahlungskarten, die Zahlungshistorie zu Fahrten, Kaeufen und Gebuehren sowie der Ort, an dem das Konto angelegt wurde. Bei einem Teil der Kunden kamen ein ungeprueftes Name-und-Adresse-Paar hinzu.
Zwei Dinge sind nicht abgeflossen, und beide zaehlen. Vollstaendige Kartennummern liegen beim Zahlungsdienstleister und nicht bei Ryde, eine Karte muss also nicht gesperrt werden. Und die Fahrthistorie ist nicht betroffen: Das Unternehmen schreibt ausdruecklich, es gebe keine Hinweise darauf, dass Daten darueber, wo Sie gefahren sind, betroffen seien. Wer eine Zusammenfassung gelesen hat, in der die Routen als geleakt gelten, hat eine falsche gelesen. Abgeflossen ist die Geldspur, nicht die Karte Ihrer Wege.
Warum die ersten sechs Ziffern zaehlen
Die ersten sechs Ziffern einer Zahlungskarte sind die Kennung des Herausgebers. Geheim sind sie nicht, aber sie benennen die Bank, die die Karte ausgegeben hat. Zusammen mit den letzten vier Ziffern, also genau dem, was eine Bank auf den Auszug druckt, erlauben sie es, Ihnen zu schreiben und dabei Ihre Bank sowie das sichtbare Ende Ihrer eigenen Karte zu nennen.
Nehmen Sie ein Geburtsdatum, eine Telefonnummer und eine Zahlungshistorie dazu, aus der hervorgeht, was Sie tatsaechlich wann ausgegeben haben, und die Nachricht sieht nicht mehr nach Spam aus. Deshalb wird aus einem Leck in einer Roller-App ein Bankproblem: Der Angreifer braucht nicht die Systeme Ihrer Bank, sondern nur genug Details, um wie Ihre Bank zu klingen.
Das Problem mit TAN, BankID und Bankzugangsdaten
Der Rat von Ryde selbst ist der richtige und gehoert vollstaendig wiederholt: Geben Sie Passwoerter, Bankcodes oder BankID-Daten niemals an jemanden weiter, der sich bei Ihnen meldet, so glaubwuerdig er auch wirkt. In Deutschland ist der entscheidende Moment die TAN-Freigabe in der Banking-App: Wer Sie durch eine Freigabe redet, die Sie nicht selbst angestossen haben, bewegt Ihr Geld. In Norwegen und Schweden uebernimmt BankID diese Rolle und ist dort nicht nur ein Login, sondern eine rechtsverbindliche Unterschrift, in Finnland sind es die Bankzugangsdaten im Finnish Trust Network.
Die abgeflossenen Telefonnummern ziehen auch die per Rufnummer verknuepften Bezahl-Apps in den Kreis. Vipps in Norwegen, Swish in Schweden und MobilePay in Finnland arbeiten genau ueber die Mobilnummer, also ueber die eine Kennung, die dieses Leck fuer jeden Kunden preisgegeben hat. Eine Zahlungsanfrage in einer solchen App hat keine E-Mail-Kopfzeilen zum Pruefen und keinen Link zum Ueberfahren, und sie landet dort, wo Menschen gewohnt sind, schnell zu bestaetigen.
Zu erwarten ist ein Anruf oder eine Nachricht, die mit Details beginnt, die nur Ihre Bank kennen sollte, Dringlichkeit um eine verdaechtige Zahlung aufbaut und mit der Bitte endet, etwas zu bestaetigen. Weder eine Bank noch die Polizei noch ein Unternehmen braucht jemals, dass Sie einen Code vorlesen oder eine Bestaetigung freigeben, die Sie nicht selbst begonnen haben. Laeuft ein Gespraech so, ist die richtige Antwort: auflegen und die Nummer anrufen, die auf Ihrer eigenen Karte steht.
Was in Deutschland, Norwegen, Schweden und Finnland zu tun ist
- Karte nicht sperren: vollstaendige Nummern sind nicht abgeflossen. Eine Sperre macht Aufwand, ohne das eigentliche Risiko zu senken, und das liegt in der Manipulation von Menschen.
- Jede Kontaktaufnahme zu diesem Leck als feindlich behandeln, bis das Gegenteil feststeht: Angreifer lesen dieselben Nachrichten wie Sie, und die erste Phishing-Welle nach einem oeffentlichen Leck traegt meist den Namen des betroffenen Unternehmens.
- Auf kleine Betraege im Auszug achten, nicht auf grosse: Testbuchungen sind absichtlich unauffaellig, und die Zahlungshistorie aus diesem Leck verraet einem Angreifer, welcher Betrag bei Ihnen normal aussieht.
- Passwort aendern, falls mehrfach benutzt: Ryde sagt, es habe die Passwoerter auf seiner Seite ersetzt, aber wenn dasselbe Passwort Ihr E-Mail-Konto oeffnet, ist genau dieses heute zu reparieren.
- Wissen, wo man sich beschwert: Ryde ist norwegisch, daher ist Datatilsynet die federfuehrende Aufsichtsbehoerde fuer den gesamten Fall. In Deutschland koennen Sie sich an die Datenschutzbehoerde Ihres Bundeslandes wenden, in Schweden an die IMY, in Finnland an das Amt des Datenschutzbeauftragten; nach den Regeln der einheitlichen Anlaufstelle gibt jede Stelle an die federfuehrende Behoerde ab.
- Auf das Telefon achten, nicht nur auf das Postfach: Rufnummern sind mit abgeflossen, und damit stehen SMS, Anrufe und Zahlungsanfragen in Vipps, Swish oder MobilePay im Raum, von denen keine durch einen E-Mail-Filter laeuft.
Warum das nicht nur Roller-Nutzer angeht
Eine Roller-App ist eine Kleinigkeit, fuer die man sich nebenbei anmeldet, und am Ende lagen dort ein Geburtsdatum, eine Telefonnummer, eine Bankkennung und eine Aufzeichnung von Ausgaben. Das ist der tatsaechliche Preis der bequemen Schicht "einfach mit der Telefonnummer anmelden", auf der die meisten staedtischen Mobilitaetsdienste aufsetzen, und es ist dieselbe Rechnung, die hinter den Zugangsdaten in der offenen Datenbank mit 24 Milliarden geleakten Passwoertern und hinter dem Leck einer Rechtsdatenbank der britischen Polizei steht. Zu den ehrlichen Grenzen: Ein VPN haette davon nichts verhindert, denn die Daten wurden von den Servern des Unternehmens genommen, nicht aus Ihrer Verbindung. Wobei Werkzeuge fuer Netzwerk-Privatsphaere helfen, ist die naechste Stufe, denn DNS-Filter und Blocklisten verhindern, dass ein guter Teil der Phishing-Seiten ueberhaupt laedt, und wer einem Dienst weniger echte Angaben gibt, verkleinert das, was ein kuenftiges Leck ueberhaupt tragen kann.
