Ricardo-Datenleck: Daten von 890.000 Nutzerkonten offengelegt

Die schnelle Antwort: Der Schweizer Online-Marktplatz Ricardo hat am 9. Oktober 2026 einen Cybervorfall gemeldet. Unbefugte konnten Namen, Postadressen und Telefonnummern von rund 890.000 Nutzerkonten einsehen, bei Geschäftskunden auch den Firmennamen. E-Mail-Adressen und Passwörter seien nicht betroffen. Betroffene werden direkt informiert und müssen vor allem mit Betrug per SMS, WhatsApp und Telefon rechnen.

Was bei Ricardo passiert ist

Am Mittwoch, dem 7. Oktober 2026, bemerkte Ricardo verdächtige Aktivitäten auf seinen Servern. Zwei Tage später, am 9. Oktober, machte die Betreiberin Swiss Marketplace Group (SMG) den Vorfall öffentlich: Über eine Sicherheitslücke hätten Unbefugte auf persönliche Daten zugreifen können, die mit Bestellungen auf der Plattform verknüpft sind. Betroffen seien rund 890.000 Nutzerkonten. Nach einem Bericht von inside-it.ch handelt es sich um Namen, Postadressen und Telefonnummern, bei Geschäftskunden zusätzlich um Firmennamen. E-Mail-Adressen und Passwörter seien nach Angaben des Unternehmens nicht betroffen.

SMG erklärt, die Lücke sei inzwischen vollständig geschlossen. Ricardo hat den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) informiert, kündigt eine Strafanzeige an und will den Fall dem Bundesamt für Cybersicherheit (BACS) melden. Wer hinter dem Zugriff steckt und ob die Daten bereits missbraucht werden, ist offen. Eine Sprecherin von SMG betonte gegenüber der Nachrichtenagentur AWP, die Daten seien zu keinem Zeitpunkt frei zugänglich gewesen. Lösegeldforderungen sind bislang nicht bekannt geworden.

Zur Einordnung der Größenordnung: Ricardo ist einer der meistgenutzten Online-Marktplätze der Schweiz. Ende 2022 meldete das Unternehmen rund 4,75 Millionen Mitglieder, davon gut 1,5 Millionen aktive. Gemessen daran ist ein spürbarer Teil der Nutzerschaft betroffen. Wichtig für die Einordnung: Die Zahl stammt vom Unternehmen selbst und ist damit offiziell bestätigt, nicht bloß die Behauptung eines Akteurs aus einem Hackerforum.

Bin ich betroffen? Die Prüfung in vier Fragen

Ricardo informiert nach eigenen Angaben die Betroffenen direkt über den Vorfall, mögliche Folgen und empfohlene Vorsichtsmaßnahmen. Genau diese Benachrichtigung ist aber auch eine Vorlage für Fälschungen. Die folgenden Fragen helfen Ihnen, Ihre Lage einzuordnen, ohne auf einen Link klicken zu müssen.

Welche Daten offenliegen und welches Risiko daraus folgt

Keine der drei Datenarten erlaubt für sich genommen einen Zugriff auf Ihr Konto oder Ihr Geld. Gefährlich ist ihre Kombination mit dem Kontext: Wer in dieser Liste steht, ist nachweislich jemand, der auf Ricardo Geschäfte macht. Das ist der Rohstoff für Social Engineering, also Betrug, der nicht Technik überlistet, sondern Menschen mit einer glaubwürdigen Geschichte.

• Telefonnummer: Das größte Risiko dieses Lecks. Sie öffnet den Kanal für Smishing (Phishing per SMS) und für WhatsApp-Maschen, bei denen ein angeblicher Käufer oder ein angeblicher Ricardo-Support Sie auf eine gefälschte Zahlungs- oder Verifizierungsseite lockt. Dazu kommen Schockanrufe und Anrufe falscher Bankmitarbeiter, die mit Ihrem Namen und Wohnort sofort glaubwürdig klingen.
• Postadresse: Ermöglicht gefälschte Briefe, etwa angebliche Zahlungserinnerungen oder Gebührenrechnungen "im Auftrag von Ricardo" mit Einzahlungsschein oder QR-Code. Außerdem lässt sich eine Adresse mit Daten aus anderen Lecks verknüpfen. In der Schweiz hatte erst im September der Mobilfunkanbieter Salt einen Vorfall mit Namen, Adressen und Rufnummern gemeldet.
• Name und, bei Geschäftskunden, Firmenname: Macht jede Nachricht persönlich. Gewerbliche Verkäufer müssen zusätzlich mit gefälschten Rechnungen und mit CEO-Fraud rechnen, also Betrug, bei dem sich Täter als Chef, Lieferant oder Plattform ausgeben, um Überweisungen auszulösen.
• Nach SMG-Angaben nicht betroffen: E-Mail-Adresse und Passwort. Eine Kontoübernahme allein mit den offengelegten Daten ist deshalb nicht zu erwarten. Genau das verschiebt den Betrug aber vom Postfach aufs Handy, wo viele Menschen Absender weniger kritisch prüfen.

Eine Rufnummer samt Name und Anschrift ist übrigens auch der erste Baustein für SIM-Swapping, bei dem Kriminelle Ihre Nummer beim Mobilfunkanbieter auf eine fremde SIM-Karte übertragen lassen und so Ihre SMS-Codes empfangen. Warum gerade diese Datenkombination dafür reicht und wie Sie Ihren Mobilfunkvertrag in 20 Minuten dagegen härten, zeigt unsere Anleitung gegen SIM-Swapping mit Kundenkennwort und dem Umstieg weg von SMS-Codes.

Dieselben Angaben, die jetzt bei Ricardo offenlagen, führen Adress- und Werbebroker ganz legal in ihren Beständen und verkaufen sie weiter. Jede dieser Kopien ist ein weiterer Ort, an dem Betrüger Ihr Profil vervollständigen können. Löschanfragen an über 100 Broker auf den Weg bringen und Ihr Profil ausdünnen.

So sehen die Maschen aus, die jetzt drohen

Betrug auf Ricardo ist nicht neu, der Datenabfluss liefert ihm nur eine bessere Zielliste. Das Bundesamt für Cybersicherheit hat bereits im Frühjahr 2026 vor einer Masche gewarnt, die gezielt Erstinserierende trifft. Laut der vom BACS beschriebenen Vorgehensweise melden sich Betrüger als interessierte Käufer, danach folgt eine scheinbar offizielle Mail, man müsse das Konto als neuer Verkäufer verifizieren, und schließlich ein Link oder QR-Code zur angeblichen Bestätigung der Bankdaten. Manche Links führen zuerst in einen WhatsApp-Chat mit einem falschen Ricardo-Support.

Mit Namen, Wohnort und Handynummer aus dem aktuellen Vorfall lassen sich solche Kontakte künftig ohne Umweg über die Plattform anbahnen. Rechnen Sie in den kommenden Wochen vor allem mit diesen Varianten:

• Der Käufer auf WhatsApp: "Hallo Frau Muster, ich habe Ihren Artikel auf Ricardo gekauft, die Zahlung ist bereits hinterlegt. Bitte bestätigen Sie hier den Empfang." Der Link führt auf eine Seite im Ricardo-Look, die Kartendaten oder E-Banking-Zugang verlangt.
• Die Sicherheits-SMS: "Ricardo: Wegen eines Sicherheitsvorfalls muss Ihr Konto neu verifiziert werden." Sie nutzt die echte Nachrichtenlage aus und wirkt deshalb besonders glaubwürdig.
• Der Anruf vom "Support" oder der "Bank": Ein Anrufer kennt Ihren Namen und Ihre Adresse, erwähnt das Datenleck und bietet Hilfe an, etwa eine "Sperrung" Ihres Kontos, für die Sie einen Code aus einer SMS vorlesen sollen. Dieser Code ist in Wahrheit die Freigabe für eine Zahlung oder eine Anmeldung.
• Der Brief: Eine angebliche Gebührennachforderung oder "Entschädigung" mit QR-Code, der auf eine Phishing-Seite führt. Prüfen Sie Forderungen deshalb immer direkt in Ihrem Ricardo-Konto, nie über den Code auf dem Papier.

Was Sie jetzt konkret tun sollten

Die folgenden Schritte dauern zusammen etwa eine Viertelstunde und helfen auch dann, wenn sich später zeigt, dass Ihr Konto nicht unter den 890.000 war.

• Nur über die Plattform kommunizieren: Verhandeln, bezahlen und Versand absprechen Sie ausschließlich über das Nachrichtensystem und die Zahlungswege von Ricardo. Will ein Käufer auf WhatsApp, SMS oder eine externe Seite ausweichen, brechen Sie den Kontakt ab.
• Als Verkäufer nie Kartendaten eingeben: Wer Geld bekommt, muss weder Kreditkartennummer noch Prüfziffer, E-Banking-Login oder SMS-Code preisgeben. Jede Seite, die das "für den Zahlungseingang" verlangt, ist Betrug.
• Konto selbst prüfen: Melden Sie sich direkt auf ricardo.ch oder in der App an, kontrollieren Sie Nachrichten, laufende Verkäufe, hinterlegte Adressen und die Bankverbindung für Auszahlungen. Ändern Sie das Passwort, wenn Sie es auch anderswo verwenden, und aktivieren Sie eine Zwei-Faktor-Anmeldung, sofern Ihr Konto sie anbietet.
• Anrufe beenden, selbst zurückrufen: Nennen Sie am Telefon niemals Codes aus SMS oder Ihrer Banking-App. Legen Sie auf und rufen Sie Ihre Bank über die Nummer auf Ihrer Karte zurück.
• Mobilfunkvertrag absichern: Fragen Sie Ihren Anbieter nach einem Kundenkennwort für Änderungen an SIM und Vertrag. Das erschwert die Übertragung Ihrer Nummer auf eine fremde SIM-Karte erheblich.
• Verdächtiges melden und aufbewahren: Leiten Sie gefälschte Nachrichten an Ricardo weiter, melden Sie Betrugsversuche dem Bundesamt für Cybersicherheit und erstatten Sie bei Schaden Anzeige bei der Kantonspolizei. Machen Sie Screenshots, bevor Sie Chats löschen.

Diese Schritte schließen die Türen, die das Leck heute aufstößt. Ob die Ricardo-Daten später zusammen mit Ihrer E-Mail-Adresse aus anderen Quellen in einem Paket auftauchen, sehen Sie damit nicht. Darknet-Warnung für Ihre E-Mail-Adresse aktivieren.

Was das Schweizer Datenschutzgesetz von Ricardo verlangt

Ricardo ist ein Schweizer Anbieter. Maßgeblich ist deshalb nicht die DSGVO, sondern das revidierte Datenschutzgesetz (DSG). Nach Art. 24 DSG muss ein Unternehmen eine Verletzung der Datensicherheit "so rasch als möglich" dem EDÖB melden, wenn sie voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Betroffene sind zu informieren, wenn es zu ihrem Schutz erforderlich ist. Ricardo hat beides nach eigenen Angaben angestoßen. Wie dieses Verfahren abläuft, beschreibt der Leitfaden des EDÖB zu Datensicherheitsverletzungen.

Unabhängig davon können Sie nach Art. 25 DSG bei Ricardo kostenlos Auskunft darüber verlangen, welche Daten zu Ihrer Person gespeichert sind. Ob sich aus dem Vorfall zivilrechtliche Ansprüche ergeben könnten, lässt sich erst beurteilen, wenn klar ist, welche Daten tatsächlich abgeflossen sind und ob sie missbraucht werden. Bewahren Sie die Benachrichtigung von Ricardo deshalb ebenso auf wie verdächtige Nachrichten, die Sie seither erhalten.

Häufige Fragen zum Ricardo-Datenleck

Warum ein einmaliger Check nach dem Ricardo-Leck trügt

Heute weiß niemand genau, in wessen Händen die 890.000 Datensätze gelandet sind und was mit ihnen geschieht. Bis die Ermittlungen etwas ergeben, vergehen erfahrungsgemäß Wochen oder Monate, und erbeutete Daten tauchen in aller Regel nicht sofort im Darknet auf: Meist werden sie zunächst im kleinen Kreis verkauft, mit anderen Beständen zusammengeführt und erst später breit gehandelt oder als Sammlung veröffentlicht. Genau bei diesem Zusammenführen bekommen Name, Adresse und Telefonnummer häufig die passende E-Mail-Adresse aus einem anderen Leck dazu. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird, also dann, wenn Ihre Daten tatsächlich kursieren, und nicht erst nach dem ersten gelungenen Betrugsanruf. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und mögliche Ansprüche hin, etwa nach Art. 82 DSGVO, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen unter Umständen wahrnehmen können. Wir informieren über solche Verfahren, leisten aber keine eigene Rechtsberatung. Ein kostenloser Check zeigt nur Leaks, die bereits veröffentlicht sind; vor den künftigen warnt erst das laufende Monitoring.