PŸUR-Datenleck: Bankdaten und Lastschriftmandate abgeflossen

Die schnelle Antwort: Der Kabelnetzbetreiber PŸUR (Tele Columbus) meldet einen Cyberangriff aus dem Zeitraum Mitte September bis Anfang Oktober 2026. Abgeflossen sind laut Kundenschreiben Vertragsnummer, Name, Bankverbindung, Buchungsdaten und Lastschriftmandat, auch von ehemaligen Kunden. Wer per Lastschrift gezahlt hat, sollte jetzt seine Umsätze prüfen.

Was bei PŸUR passiert ist

PŸUR ist die Endkundenmarke der Tele Columbus AG, einem der großen deutschen Kabelnetzbetreiber. Wie heise online am 2. November berichtet, hat das Unternehmen Kunden per E-Mail über einen Cyberangriff auf die IT-Infrastruktur und den Vertrieb informiert. Nach eigenen Angaben hat Tele Columbus die Bundesnetzagentur, das BSI und die zuständigen Datenschutzbehörden unterrichtet und Anzeige gegen Unbekannt erstattet.

Mehr Details liefert ein Kundenschreiben, das der IT-Blog Borncity auszugsweise wiedergibt. Absender ist die Tele Columbus Netz GmbH. Demnach haben Angreifer Daten aus dem Firmennetz nach außen übertragen, darunter personenbezogene Daten eines Teils der aktuellen und ehemaligen Kunden. Der Angreifer sei nach der Entdeckung ausgesperrt worden. Das Unternehmen warnt selbst davor, dass die Vertragsdaten für gezielte Phishing-Angriffe missbraucht werden könnten.

Was noch offen ist: Eine Zahl der Betroffenen nennen die vorliegenden Berichte nicht. Zur Einordnung der Größenordnung taugt nur die Reichweite: Laut Halbjahresbericht von Tele Columbus waren zum 30. Juni 2026 rund 2,7 Millionen Wohneinheiten angeschlossen. Aus den dort genannten 2,61 Millionen gebuchten Produkten und durchschnittlich 2,09 Produkten pro Kunde ergeben sich rechnerisch rund 1,25 Millionen aktive Kunden (unsere Überschlagsrechnung), ehemalige Kunden nicht mitgezählt. Wie viele davon betroffen sind, ist nicht bekannt. Besonders stark vertreten ist PŸUR im Osten: In Brandenburg, Berlin, Sachsen-Anhalt, Sachsen und Thüringen hängt dem Bericht zufolge jeder vierte Haushalt an einem PŸUR-Kabelanschluss.

Unklar ist auch die im Schreiben enthaltene Angabe, die Daten stammten "aus dem Zeitraum 06.2022". Selbst der Borncity-Autor kann sie nicht einordnen, ein Leser berichtet dort von einem betroffenen Mandat aus dem Jahr 2019. Das ist nicht überprüft, spricht aber dafür, dass auch ältere Datensätze eine Rolle spielen könnten. Eine öffentliche Mitteilung fanden wir am 4. November auf der Startseite von pyur.com nicht. Wir stützen uns deshalb auf die genannten Berichte und das dort zitierte Schreiben.

Da sich Abflüsse dieser Art oft erst später in Datenpaketen zeigen, sollten Sie nicht auf eine weitere Mitteilung warten. Benachrichtigt werden, wenn Ihre E-Mail-Adresse in einem neuen Leak auftauchtEigenwerbung

Welche Daten abgeflossen sind und was Täter damit anfangen könnten

Die Aufzählung im Schreiben ist kurz, die Kombination aber heikel: Sie enthält weniger Stammdaten als viele Shop-Leaks, dafür ungewöhnlich viel über die Zahlungsbeziehung zwischen Ihnen und Ihrem Anbieter.

Beim Lastschriftbetrug gilt: Wer eine SEPA-Lastschrift einreicht, behauptet lediglich, ein Mandat zu haben. Die Verbraucherzentrale beschreibt diese Masche so: Täter kaufen mit gestohlenen IBANs in Onlineshops ein, etwa über die Gastzahlung, für die Name, Adresse und IBAN genügen. Weder Händler noch Bank prüfen vorab, ob die Abbuchung autorisiert ist. Eine Anschrift steht zwar nicht in der bekannten Aufzählung. Täter könnten sie aber aus anderen Quellen ergänzen, etwa aus älteren Leaks.

Hier setzt die zweite Säule des Schutzes an: Je weniger Firmen Ihre Anschrift zusammen mit Ihrem Namen vorhalten, desto weniger Grundlage bleibt für solche Kombinationen. Bei Werbe- und Adresshändlern können Sie die Löschung verlangen, ob und wann ein Anbieter löscht, entscheidet er selbst. Löschanträge an die passenden Broker aus unserem Katalog verschickenEigenwerbung

Die Daten könnten Tätern zudem zeigen, dass ein Konto aktiv genutzt wird oder wurde. Wie Sie gefälschte Absender trotz korrekter Anrede entlarven, zeigt unsere Anleitung mit sieben Prüfschritten für verdächtige Mails, vom echten Absender bis zum Kanalwechsel.

Bin ich betroffen? Die Prüfung in vier Fragen

Eine öffentliche Liste gibt es nicht, und in den Kommentaren bei Borncity berichten Kunden Unterschiedliches: Manche haben ein Schreiben, andere nichts. Diese Fragen helfen Ihnen beim Einordnen:

Ob Ihre E-Mail-Adresse schon in anderen, bereits veröffentlichten Leaks steckt, ist die passende Ergänzung, denn genau dort könnten Täter fehlende Angaben finden. Kostenlos prüfen, in welchen bekannten Datenlecks Ihre Adresse auftauchtEigenwerbung

Was Sie jetzt konkret tun sollten

Die ersten drei Schritte erledigen Sie in wenigen Minuten im Online-Banking. Das Kundenschreiben enthält in dem bekannten Auszug keine konkreten Handlungsanweisungen, die folgende Liste ist deshalb unsere Einordnung auf Basis der Hinweise der Verbraucherzentrale.

• 1. Umsätze rückwirkend prüfen: Gehen Sie alle Abbuchungen seit Mitte September durch, auch kleine Beträge. Dort beginnt der gemeldete Tatzeitraum. Ehemalige Kunden prüfen das Konto, das sie damals bei PŸUR angegeben haben. Schalten Sie außerdem in der Banking-App Mitteilungen für neue Abbuchungen ein.
• 2. Fremde Lastschriften zurückgeben, die echte nicht: Unbekannte Abbuchungen melden Sie umgehend Ihrer Bank und verlangen die Rückbuchung. Dafür haben Sie acht Wochen ohne Begründung, bei einer Lastschrift ohne Mandat bis zu 13 Monate. Warten Sie trotzdem nicht. Ihre reguläre PŸUR-Abbuchung sollten Sie dagegen nicht aus Vorsicht zurückgeben: Solange der Vertrag läuft, kann das zu Mahnungen führen.
• 3. Lastschriften begrenzen, wenn etwas auffällt: Viele Banken können Einzüge eines bestimmten Gläubigers sperren oder Lastschriften insgesamt einschränken. Die Gläubiger-Identifikationsnummer finden Sie in den Umsatzdetails. Tragen Sie bei einer Positivliste alle echten Lastschrift-Empfänger ein, sonst scheitern auch Ihre regulären Abbuchungen.
• 4. Bei Kontakt im Namen von PŸUR den Kanal wechseln: Legen Sie bei unerwarteten Anrufen auf und rufen Sie selbst zurück, mit der Nummer von einer alten Rechnung, nicht mit der aus der Nachricht. Geben Sie keine TAN, kein Passwort und keine IBAN durch. Besonders verdächtig sind ein "neues Mandat", ein "Tarifwechsel wegen des Vorfalls" oder eine "Erstattung", für die Sie Daten bestätigen sollen.
• 5. Mahnungen für fremde Bestellungen ernst nehmen: Widersprechen Sie schriftlich, zahlen Sie nicht vorschnell und erstatten Sie Anzeige. Die Verbraucherzentrale weist darauf hin, dass bestrittene Forderungen nicht bei Auskunfteien wie der Schufa eingetragen werden dürfen. Gegen einen gerichtlichen Mahnbescheid müssen Sie binnen 14 Tagen Widerspruch einlegen, ignorieren Sie ihn nie.
• 6. Auskunft verlangen, gerade als Ex-Kunde: Fragen Sie schriftlich über den Datenschutzkontakt aus der Datenschutzerklärung nach Art. 15 DSGVO, welche Daten zu Ihnen gespeichert sind und ob sie betroffen sind. Haben Sie den Vertrag vor Jahren beendet, können Sie auch fragen, warum die Daten noch vorliegen. Gesetzliche Aufbewahrungsfristen können eine Speicherung rechtfertigen, nach deren Ablauf können Sie die Löschung nach Art. 17 DSGVO verlangen.
• 7. Passwort vorsorglich wechseln: Ändern Sie es, indem Sie das Kundenportal selbst im Browser aufrufen. Nutzen Sie das alte Passwort auch woanders, ersetzen Sie es dort ebenfalls.

Ob und wann eine weitere Kundenmail kommt, ist offen. Wer nicht darauf warten möchte, richtet für die eigene Adresse eine Frühwarnung ein. Leak-Frühwarnung für Ihre E-Mail-Adresse einrichtenEigenwerbung

Warum ehemalige Kunden besonders genau hinsehen sollten

An diesem Vorfall sticht vor allem eines heraus: Das Schreiben nennt ausdrücklich auch frühere Kunden. Wer vor Jahren gekündigt hat, denkt an den alten Kabelvertrag vermutlich kaum noch und achtet deshalb womöglich weniger auf eine Abbuchung oder eine Nachricht unter diesem Namen. Die damalige IBAN kann trotzdem noch gültig sein, denn viele Menschen behalten ihr Girokonto über Jahrzehnte.

Hinzu kommt der übliche Zeitversatz nach einem Abfluss: Die Tat liegt bereits mehrere Wochen zurück, was die Täter seither mit den Daten gemacht haben, ist nicht bekannt. Welche Rechte Sie bei einem konkreten Schaden haben könnten und was Gerichte bisher verlangt haben, erklärt unser Ratgeber zu Entschädigung nach Datenlecks mit den Urteilen von EuGH und BGH.

Häufige Fragen zum PŸUR-Datenleck

Warum ein einmaliger Check beim PŸUR-Leak nicht ausreicht

Eine Woche nach den ersten Schreiben ist öffentlich weder bekannt, wie viele Menschen betroffen sind, noch was mit den Daten geschieht. Eine vollständige Liste wird es womöglich nie geben. Erbeutete Datensätze tauchen zudem meist nicht sofort offen im Darknet auf: Häufig werden sie zunächst im kleinen Kreis verkauft oder von den Tätern selbst genutzt und erst Wochen oder Monate später breit gehandelt oder als Paket veröffentlicht. Der kostenlose Check zeigt nur bereits bekannte Leaks, ein unauffälliges Ergebnis von heute ist also keine Entwarnung.

Unser Darknet-Radar gleicht Ihre E-Mail-Adresse fortlaufend mit neu bekannten Datenpannen abEigenwerbung, zweimal täglich, und benachrichtigt Sie beim nächsten Abgleich nach einem neuen Treffer. Wichtig für diesen Fall: Der Radar arbeitet mit E-Mail-Adressen, eine Bankverbindung überwacht er nicht. Da in der bekannten Aufzählung keine E-Mail-Adresse steht, schlägt er nur an, wenn die Datensätze Ihre Adresse tatsächlich enthalten oder wenn sie in einem anderen Leak auftaucht. Ihre Umsätze prüfen Sie deshalb in jedem Fall selbst. Benachrichtigt werden, wenn Ihre Adresse in künftigen Leaks erscheintEigenwerbung