Mindfactory-Datenleck: Adressen und Passwörter womöglich abgeflossen

Die schnelle Antwort: Der Hardware-Händler Mindfactory meldet am 6. November 2026 einen Cyberangriff. Angreifer könnten Anschrift, E-Mail-Adresse, Telefonnummer und verschlüsselt gespeicherte Passwörter erbeutet haben. Betroffen sind nach Firmenangaben Kunden mit Bestellungen seit Juli 2025. Alle Shop-Passwörter wurden zurückgesetzt, Bank- und Kartendaten sollen nicht betroffen sein.

Was bei Mindfactory passiert ist

Mindfactory aus Wilhelmshaven zählt zu den bekanntesten deutschen Onlinehändlern für PC-Komponenten, Grafikkarten und Gaming-Hardware. Seit Ende Juli 2025 gehört das Unternehmen als heise mindfactory GmbH zur heise gruppe. Wie heise online am 6. November berichtet, wurde der Händler Opfer eines Cyberangriffs. Mindfactory kann nach eigener Darstellung nicht ausschließen, dass Angreifer Zugriff auf Postanschrift, E-Mail-Adresse, Telefonnummer und verschlüsselt gespeicherte Passwörter hatten.

Nach Angaben des Unternehmens wurde die ausgenutzte Schwachstelle geschlossen, der Vorfall wird forensisch untersucht. Mindfactory hat die Landesdatenschutzbehörde informiert und Strafanzeige gegen Unbekannt erstattet. Eine Erpressung gebe es nicht. Das Unternehmen vermutet, dass die Täter es eigentlich auf Bank- und Kreditkartendaten abgesehen hatten. Diese lägen aber nicht im Shop-System, sondern bei den Zahlungsdienstleistern. Laut GameStar gibt es bislang keine Hinweise darauf, dass Passwörter im Klartext gespeichert oder abgeflossen sind.

Was noch offen ist: Wann der Angriff stattfand, wann er entdeckt wurde und wie viele Konten betroffen sind, nennen die vorliegenden Berichte nicht. Zur Einordnung taugt nur die Größe des Händlers: Laut Wikipedia verschickte Mindfactory schon 2018 rund 25.000 Sendungen pro Woche. Wie viele Kunden seit Juli 2025 bestellt haben, ist öffentlich nicht bekannt. Mindfactory kündigt an, Kunden bei neuen Erkenntnissen erneut zu informieren.

Erbeutete Kundendaten tauchen oft erst Wochen später in Datenpaketen auf, eine weitere Mail des Händlers kommt dann womöglich zu spät. Benachrichtigt werden, sobald Ihre E-Mail-Adresse in einem Leak auftauchtEigenwerbung

Welche Daten betroffen sein könnten und was Täter damit anfangen

Auf den ersten Blick klingt die Liste harmlos: keine IBAN, keine Kreditkarte. Die Kombination aus Kontaktdaten und Passwort-Werten ist für Täter trotzdem wertvoll, weil sie zwei Angriffswege zugleich öffnet: gezieltes Phishing und das Durchprobieren von Zugangsdaten bei anderen Diensten.

Zum Passwort ein wichtiger Punkt: "Verschlüsselt" bedeutet in solchen Meldungen meist, dass nicht das Passwort selbst, sondern ein sogenannter Hash gespeichert war. Ein Hash ist eine Art mathematischer Fingerabdruck, aus dem sich das Original nicht direkt ablesen lässt. Täter können aber Millionen gängiger Passwörter durchrechnen und die Ergebnisse vergleichen. Kurze oder verbreitete Passwörter fallen dabei schnell. Bemerkenswert: Mindfactory stellt neue Passwörter laut heise auf ein moderneres Hash-Verfahren um. Das deutet darauf hin, dass das bisherige Verfahren nicht mehr dem aktuellen Stand entsprochen haben könnte. Welches Verfahren genutzt wurde, ist nicht bekannt.

Ob ein Passwort, das Sie verwenden, bereits in bekannten Leaks auftaucht, lässt sich anonym prüfen, ohne es preiszugeben. Passwörter anonym mit bekannten Leak-Datenbanken abgleichenEigenwerbung

Bin ich betroffen? Die Prüfung in vier Fragen

Eine öffentliche Liste der Betroffenen gibt es nicht. In den Foren berichten Kunden zudem Unterschiedliches, manche haben die Warnung trotz alter Konten erhalten. Diese Fragen helfen beim Einordnen:

Steckt Ihre E-Mail-Adresse schon in älteren, bereits veröffentlichten Leaks, könnten Täter dort fehlende Puzzleteile finden, etwa ein früheres Passwort. Kostenlos prüfen, in welchen bekannten Datenlecks Ihre Adresse stecktEigenwerbung

Was Sie jetzt konkret tun sollten

Mindfactory selbst rät vor allem zur Vorsicht bei unerwarteten Mails, SMS und Anrufen. Die folgende Reihenfolge ist unsere Einordnung, sortiert nach dem, was den größten Schaden verhindert.

• 1. Altes Passwort überall ersetzen: Überlegen Sie, wo Sie dieselbe Kombination aus E-Mail und Passwort genutzt haben. Ändern Sie das Passwort zuerst beim E-Mail-Postfach, denn wer Ihr Postfach übernimmt, kann sich bei fast jedem anderen Dienst ein neues Passwort zuschicken lassen. Danach folgen PayPal, Amazon, Steam und andere Konten mit Zahlungsdaten.
• 2. Shop-Passwort selbst neu setzen, nicht per Mail-Link: Rufen Sie mindfactory.de selbst im Browser auf und nutzen Sie dort die Funktion zum Zurücksetzen. Nutzen Sie nur den Link aus der Mail, die unmittelbar nach Ihrer eigenen Anforderung eintrifft. Jede unaufgeforderte Mail mit "Passwort jetzt zurücksetzen" ist verdächtig, denn genau dieser Vorwand ist durch den Vorfall plötzlich glaubwürdig.
• 3. Zwei-Faktor-Schutz einschalten: Aktivieren Sie bei Postfach, Zahlungsdiensten und Gaming-Plattformen eine zweite Bestätigung per App oder Passkey. Dann hilft ein erratenes Passwort allein nicht mehr weiter. Ein Passwort-Manager erzeugt für jeden Dienst ein eigenes, langes Passwort.
• 4. Folge-Phishing erwarten: Rechnen Sie in den kommenden Wochen mit Nachrichten zu angeblichen Bestellungen, Lieferverzögerungen, Rückerstattungen oder Garantiefällen. PC Games Hardware erwartet zudem Fälschungen im Namen bekannter Marken wie Amazon, PayPal oder Telekom. Echte Händler fragen weder per Mail noch am Telefon nach Passwort, TAN oder Kartennummer.
• 5. Bei Anrufen auflegen und selbst zurückrufen: Nennt ein Anrufer Ihren Namen, Ihre Adresse und Ihre letzte Bestellung, beweist das nach diesem Vorfall nichts. Beenden Sie das Gespräch und melden Sie sich selbst über die Kontaktdaten auf der offiziellen Webseite. Installieren Sie nie eine Fernwartungs-App auf Zuruf.
• 6. Konten und Umsätze im Blick behalten: Achten Sie auf Anmeldewarnungen anderer Dienste und auf unbekannte Abbuchungen. Mahnungen für Bestellungen, die Sie nie aufgegeben haben, widersprechen Sie schriftlich und erstatten Anzeige.
• 7. Auskunft verlangen, wenn Sie unsicher sind: Fragen Sie schriftlich über Datenschutz@mindfactory.de nach Art. 15 DSGVO, welche Daten zu Ihnen gespeichert sind und ob Ihr Konto betroffen ist. Brauchen Sie das Konto nicht mehr, können Sie seine Löschung verlangen. Gesetzliche Aufbewahrungsfristen für Rechnungen bleiben davon unberührt.

Wie Sie mit einem Passwort umgehen, das bereits in einer Datenpanne aufgetaucht ist, und in welcher Reihenfolge Sie Ihre Konten absichern, zeigt unser Notfallplan für Passwörter aus Datenpannen mit Prioritätenliste für Ihre Konten.

Den Shop-Zugang sichern Sie heute ab. Ob Ihre Adresse später in einem Datenpaket auftaucht, sehen Sie dem Postfach dagegen nicht an. Leak-Warnung für Ihre E-Mail-Adresse aktivierenEigenwerbung

Warum der Fall auch für Gelegenheitskäufer zählt

Viele Menschen kaufen bei einem Hardware-Händler nur alle paar Jahre: eine Grafikkarte, ein Netzteil, Arbeitsspeicher. Für solche Käufe legt man schnell ein Konto an und vergibt ein Passwort, das man sich ohnehin schon gemerkt hat. Genau diese selten genutzten Konten mit recycelten Passwörtern sind nach einem Abfluss das größte Risiko, weil man sie beim Aufräumen vergisst. Ein ähnliches Muster zeigte sich zuletzt beim Cyberangriff auf notebooksbilliger.de im Oktober, bei dem ebenfalls Elektronikkunden ins Visier gerieten.

Hinzu kommt der Zeitfaktor: Wann der Angriff stattfand, hat Mindfactory bislang nicht mitgeteilt. Was die Täter seither mit den Daten gemacht haben, ist unbekannt. Wer jetzt Passwörter trennt und Zwei-Faktor-Schutz einschaltet, nimmt Credential Stuffing den Boden, ganz gleich, wann die Daten auftauchen.

Häufige Fragen zum Mindfactory-Datenleck

Warum ein einmaliger Check beim Mindfactory-Leak nicht genügt

Einen Tag nach den ersten Warnmails ist öffentlich weder bekannt, wie viele Konten betroffen sind, noch wann der Angriff stattfand. Eine vollständige Betroffenenliste wird es womöglich nie geben. Erbeutete Datensätze tauchen zudem meist nicht sofort offen im Darknet auf: Häufig werden sie zunächst im kleinen Kreis verkauft oder von den Tätern selbst genutzt und erst Wochen oder Monate später breit gehandelt oder als Paket veröffentlicht. Der kostenlose Check zeigt nur bereits bekannte Leaks, ein unauffälliges Ergebnis von heute ist deshalb keine Entwarnung.

Unser Darknet-Radar gleicht Ihre E-Mail-Adresse fortlaufend mit neu bekannten Datenpannen abEigenwerbung, zweimal täglich, und benachrichtigt Sie beim nächsten Abgleich, sobald Ihre Adresse infolge eines Hacks oder einer Datenpanne auftaucht. So erfahren Sie davon, wenn die Daten tatsächlich kursieren, und nicht erst, wenn ein fremder Login oder eine gezielte Phishing-Mail Sie darauf stößt. Benachrichtigt werden, wenn Ihre Adresse in künftigen Leaks erscheintEigenwerbung