Salt-Datenleck September 2026: Welche Daten betroffen sein können

Die schnelle Antwort: Der Schweizer Mobilfunkanbieter Salt hat am 11. September 2026 einen Sicherheitsvorfall bestätigt. Nach Darstellung des Unternehmens wurde kein System gehackt, sondern ein bestehender Zugang zu einem peripheren System missbräuchlich genutzt. Betroffen sein könnten Vor- und Nachname, Postadresse, Mobiltelefonnummer, Geburtsdatum und E-Mail-Adresse. Passwörter und Bankdaten seien nicht betroffen. Eine Zahl der Betroffenen nennt Salt bislang nicht.

Was Salt am 11. September mitgeteilt hat

Am 11. September 2026 kursierten Meldungen über ein mögliches Datenleck beim drittgrößten Schweizer Mobilfunkanbieter. Salt reagierte noch am selben Tag und bestätigte einen Sicherheitsvorfall, allerdings mit einer bemerkenswerten Einschränkung: Es handle sich ausdrücklich nicht um einen Hackerangriff im herkömmlichen Sinne. Ein unbefugtes Eindringen in die zentralen Systeme schließe man aus. Stattdessen habe die interne Prüfung Hinweise auf die missbräuchliche Nutzung eines bereits bestehenden Zugangs zu einem peripheren System ergeben. Die betroffenen Zugänge seien gesichert und die Sicherheitsvorkehrungen verstärkt worden, die zuständigen Behörden habe man informiert. So schildert es die Berichterstattung von 20 Minuten vom 11. September 2026.

Diese Formulierung verdient eine Übersetzung, weil sie beruhigender klingt, als sie ist. Ein "peripheres System" ist ein Nebensystem, das nicht zum Kern der Kundenverwaltung gehört, aber trotzdem mit Kundendaten arbeitet. In der Praxis stecken dahinter typischerweise Werkzeuge für Kundenservice, Vertrieb, Shops oder externe Dienstleister. Ein "missbräuchlich genutzter bestehender Zugang" wiederum bedeutet, dass sich niemand durch eine Sicherheitslücke bohren musste, sondern dass eine ohnehin vorhandene Berechtigung für etwas verwendet wurde, wofür sie nicht gedacht war. Ob das eine gekaperte Zugangskennung, ein kompromittierter Dienstleister oder ein Innentäter war, sagt Salt nicht. Für Sie als Kundin oder Kunde ist die Unterscheidung ohnehin zweitrangig: Das mögliche Ergebnis, also Ihre Stammdaten in fremder Hand, ist in allen drei Varianten dasselbe.

Offen bleiben die drei Fragen, die für die Einschätzung am wichtigsten wären. Erstens der Zeitraum: Salt nennt nicht, wann und wie lange der Zugang missbraucht wurde. Zweitens der Umfang: Das Unternehmen macht vorerst keine Angaben zur Zahl der betroffenen Personen. Die in Online-Berichten kursierende Zahl von rund 1,09 Millionen Datensätzen wird von Salt weder bestätigt noch ausdrücklich dementiert, sie ist damit ein unbestätigter Anhaltspunkt und keine Tatsache. Drittens der Abfluss: Salt sagt nicht, ob tatsächlich Daten kopiert oder veröffentlicht wurden. Zur Einordnung der Größenordnung hilft ein Blick auf die Kundenbasis, denn Salt zählte zuletzt rund 2,25 Millionen Kundinnen und Kunden. Sollte die kursierende Zahl zutreffen, ginge es also um etwa die Hälfte des Bestands.

Bin ich betroffen? Die Prüfung ohne Betroffenenliste

Eine Abfrageseite, auf der Sie Ihre Nummer eingeben und ein Ergebnis bekommen, gibt es nicht, und es spricht wenig dafür, dass es sie geben wird, solange Salt die Größenordnung nicht beziffert. Das ist unbefriedigend, aber es macht die Lage nicht aussichtslos. Anders als bei einem Leak aus einem Online-Konto können Sie hier sehr gut über die Frage einsteigen, was in Ihrem Fall überhaupt an Daten vorliegt und wo genau diese Daten Ihnen gefährlich werden könnten. Die folgenden vier Fragen führen Sie durch diese Einordnung.

Ein Punkt verdient dabei besondere Aufmerksamkeit, weil er in den bisherigen Meldungen kaum vorkommt: Auch ehemalige Kundinnen und Kunden können in einem Bestand stehen. Stammdaten werden nach dem Vertragsende nicht sofort gelöscht, weil handels- und steuerrechtliche Aufbewahrungspflichten dagegenstehen. Wer Salt vor zwei Jahren verlassen hat, sollte sich deshalb nicht automatisch als unbeteiligt einordnen.

Welche Daten im Spiel sind und welches Risiko daraus folgt

Die fünf genannten Datenarten sehen einzeln harmlos aus. Ihre Sprengkraft entsteht aus der Kombination und aus dem Umstand, dass sie aus einer Quelle stammen, die den Zusammenhang beglaubigt: Wer diesen Datensatz hat, weiß nicht nur, wie Sie heißen, sondern auch, dass Sie Salt-Kundin oder Salt-Kunde sind. Genau dieses Zusatzwissen macht den Unterschied zwischen einer Massenmail und einem gezielten Angriff.

• Mobiltelefonnummer, verknüpft mit Namen und Anbieter: Das ist der schwerste Posten, und zwar mit Abstand. Eine Rufnummer ist längst kein Kontaktkanal mehr, sondern ein Schlüssel: An ihr hängen Zugangscodes per SMS, Kontowiederherstellungen und bei vielen Diensten die gesamte Rücksetzfunktion. Wer weiß, dass diese Nummer bei Salt liegt, weiß auch, bei welcher Hotline er anrufen muss, um sie sich übertragen zu lassen.
• Geburtsdatum in Verbindung mit Name und Adresse: Das Geburtsdatum ist der stille Verstärker in fast jedem Identitätsbetrug. Es ist bei erschreckend vielen Anbietern noch immer die Rückfrage, mit der eine Person am Telefon oder im Chat bestätigt wird, und es lässt sich, anders als ein Passwort, nie wieder ändern. In Kombination mit der Adresse ergibt es genau das Bild, das ein Servicemitarbeiter am anderen Ende als "der ist es wohl" wertet.
• E-Mail-Adresse: Für sich genommen ist sie der am wenigsten heikle Posten, denn sie steht ohnehin in vielen Beständen. Ihre Rolle hier ist eine andere: Sie ist der Anker, über den sich dieser Datensatz mit früheren Leaks verknüpfen lässt. Wenn Ihre Adresse bereits aus einem anderen Vorfall mit einem Passwort in einer Sammlung steht, entsteht aus zwei für sich unvollständigen Fragmenten ein sehr vollständiges Profil.
• Postadresse: Sie macht den Betrug physisch. Ein Brief im Layout des Anbieters, mit korrekter Anschrift und korrekter Rufnummer, umgeht jeden Spamfilter und wirkt auf viele Menschen glaubwürdiger als jede E-Mail. Aufgedruckte QR-Codes, die zu einer nachgebauten Anmeldeseite führen, sind dabei das inzwischen übliche Mittel.

Was in der offiziellen Mitteilung fehlt, ist dieser Verknüpfungseffekt. Ein einzelner Datensatz ist der Rohstoff, nicht das Produkt. Kommerzielle Datenhändler und kriminelle Akteure führen Fragmente aus unterschiedlichen Quellen über gemeinsame Merkmale zusammen, bis daraus ein belastbares Personenprofil wird. Löschanfragen an über 100 Broker anstoßen und damit die Zahl der Stellen verringern, an denen sich solche Fragmente überhaupt treffen können.

Warum gerade die Handynummer der kritische Posten ist

Für die allermeisten Betroffenen entscheidet sich der tatsächliche Schaden an einer einzigen Frage: Wie gut ist Ihre Rufnummer gegen eine Übernahme geschützt? Der Fachbegriff dafür lautet SIM-Swapping. Gemeint ist, dass sich jemand gegenüber dem Mobilfunkanbieter als Sie ausgibt und die Nummer auf eine neue SIM oder eSIM übertragen lässt. Das ist kein technischer Angriff, sondern reines Überreden, und der Rohstoff dafür sind exakt die Angaben, um die es in diesem Vorfall geht: Name, Adresse, Geburtsdatum und die Nummer selbst. Gelingt es, klingelt Ihr Telefon nicht mehr, und alle Codes, die Ihre Bank oder Ihr Mailanbieter per SMS schickt, landen anderswo.

Wie Sie Ihren Mobilfunkvertrag gegen dieses Szenario härten, welche Sperren und Kennwörter Sie verlangen können und in welcher Reihenfolge Sie Ihre Zwei-Faktor-Verfahren umbauen sollten, damit Sie sich nicht selbst aussperren, haben wir in unserer Schritt-für-Schritt-Anleitung gegen SIM-Swapping mit Notfallplan für die ersten 60 Minuten ausführlich beschrieben. Der Abschnitt zum 2FA-Umbau ist der Teil, den die meisten falsch herum angehen.

Der zweite wahrscheinliche Folgeeffekt ist deutlich alltäglicher und trifft ungleich mehr Menschen: Anrufe und Nachrichten, die Ihre echten Daten als Türöffner benutzen. Ein Anruf mit korrektem Namen, korrekter Adresse und dem Hinweis, man melde sich wegen "Ihres Mobilfunkvertrags", überspringt beim Gegenüber genau die Sekunde Misstrauen, auf die es ankommt. Dass Stimmen inzwischen mit wenigen Sekunden Material geklont werden können, verschärft das zusätzlich; wie diese KI-gestützten Schockanrufe mit geklonten Stimmen ablaufen und woran Sie sie erkennen, zeigt der Blick auf die Fälle aus diesem Jahr. Die Regel dagegen ist unspektakulär und wirksam: Legen Sie auf und rufen Sie über die offizielle Nummer des Anbieters zurück, niemals über eine Nummer aus der Nachricht.

Was Sie jetzt konkret tun sollten

Die folgende Reihenfolge ist bewusst anders sortiert als der übliche Rat nach einem Leak. Weil Passwörter nach Angaben von Salt nicht betroffen sind, bringt der Reflex "erst mal alles neu setzen" hier wenig. Das Gewicht liegt auf der Absicherung der Rufnummer und auf dem Erkennen der Nachwelle.

• Schritt 1, ein Kundenkennwort für die Hotline hinterlegen: Melden Sie sich in Ihrem Kundenkonto an oder rufen Sie den Kundendienst an und lassen Sie ein Kennwort setzen, das bei telefonischen Auskünften und Änderungen abgefragt wird. Wählen Sie dafür etwas, das nicht aus Ihren Stammdaten ableitbar ist, also weder Geburtsjahr noch Straßenname noch Teile der Rufnummer. Genau diese Angaben liegen ja möglicherweise vor.
• Schritt 2, SMS-Codes aus den wichtigen Konten entfernen: Gehen Sie E-Banking, Haupt-Mailkonto, Cloudspeicher und Zahlungsdienste durch und stellen Sie die zweite Sicherheitsstufe von SMS auf eine Authenticator-App oder einen Passkey um. Passkeys sind dabei die robustere Wahl, weil sie an das Gerät gebunden sind und sich nicht abtippen oder weiterleiten lassen. Unsere Anleitung zum Einrichten von Passkeys geht die gängigen Dienste einzeln durch.
• Schritt 3, bei plötzlich totem Netz sofort reagieren: Wenn Ihr Telefon ohne erkennbaren Grund kein Netz mehr hat, obwohl andere Geräte im Haushalt funktionieren, ist das kein Ärgernis, sondern ein Alarmsignal. Rufen Sie dann umgehend über ein anderes Telefon beim Anbieter an und fragen Sie ausdrücklich, ob eine SIM-Übertragung oder eine Portierung läuft. In diesem Zeitfenster von wenigen Stunden entscheidet sich, ob aus einem Versuch ein Schaden wird.
• Schritt 4, die Beweislast umdrehen: Behandeln Sie ab sofort jede Nachricht, die Ihre Daten korrekt nennt, als verdächtiger und nicht als glaubwürdiger. Typische Aufhänger nach einem solchen Vorfall sind angebliche Gutschriften, Rückerstattungen auf die letzte Rechnung, "Sicherheitsüberprüfungen" des Kontos und die Aufforderung, eine Karte oder IBAN "zur Bestätigung" neu einzugeben. Das BSI beschreibt die typischen Muster beim Passwortdiebstahl durch Phishing im Detail.
• Schritt 5, Post und Rechnungen genauer lesen: Missbrauch von Stammdaten zeigt sich selten dort, wo man sucht. Er zeigt sich in Rechnungen für Bestellungen, die Sie nie aufgegeben haben, in Mahnungen für Verträge, die Sie nie geschlossen haben, oder in einem zweiten Mobilfunkvertrag auf Ihren Namen. Widersprechen Sie solcher Post sofort schriftlich, statt sie als Irrläufer abzulegen.

Diese fünf Schritte schließen die akuten Türen. Sie ändern nichts daran, dass Ihre Anschrift, Ihr Geburtsdatum und Ihre Rufnummer auch bei kommerziellen Adress- und Werbebrokern liegen und dort mit jedem weiteren Fund verknüpft werden. Statt nur die Folgen eines einzelnen Vorfalls abzuräumen, setzen wir am Hebel des Art. 17 DSGVO an und fordern die Löschung Ihrer Bestände bei über 100 Brokern an. Löschschutz und Frühwarnung gemeinsam einrichten.

Was die Schweizer Rechtslage von Salt verlangt

Weil der Vorfall einen Schweizer Anbieter betrifft, gilt hier nicht die DSGVO, sondern in erster Linie das revidierte Datenschutzgesetz. Der Unterschied ist für Betroffene größer, als man vermuten würde. Nach Art. 24 DSG muss der Verantwortliche eine Verletzung der Datensicherheit "so rasch als möglich" dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt. Eine starre Frist wie die 72 Stunden der DSGVO gibt es dabei nicht. Die betroffenen Personen selbst sind zu informieren, wenn es zu ihrem Schutz erforderlich ist oder der Beauftragte es verlangt. Die Einzelheiten dieses Verfahrens hat der EDÖB in seinem Leitfaden zu Datensicherheitsverletzungen festgehalten.

Hinzu kommt eine zweite Spur, die mit dem Datenschutz nichts zu tun hat: Betreiber kritischer Infrastrukturen, und dazu zählen Telekommunikationsanbieter, müssen Cyberangriffe innerhalb von 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit melden. Was diese Meldepflicht umfasst und wo ihre Grenzen liegen, erläutert das BACS in seinen Informationen zur Meldepflicht. Salt hat nach eigenen Angaben die zuständigen Behörden informiert, welche das im Einzelnen waren, ist öffentlich nicht ausgeführt.

Für Ihre Praxis folgt daraus eine unbequeme Konsequenz: Das Ausbleiben einer persönlichen Nachricht ist in der Schweiz noch weniger aussagekräftig als in der EU. Ob Sie individuell informiert werden, hängt an einer Risikobewertung, die das Unternehmen selbst vornimmt, und die Frist dafür ist elastisch formuliert. Wer wartet, wartet möglicherweise auf etwas, das nie kommt.

Häufige Fragen zum Salt-Datenleck

Warum eine einmalige Prüfung hier zu wenig ist

Ob bei diesem Vorfall tatsächlich Daten abgeflossen sind, ist bis heute offen, und selbst wenn sie abgeflossen sind, tauchen sie in aller Regel nicht sofort im Darknet auf. Solche Bestände werden zunächst im kleinen Kreis oder privat gehandelt und erst Wochen oder Monate später breit verkauft oder als Sammlung veröffentlicht. Wer heute einmal prüft und nichts findet, kann deshalb längst betroffen sein, ohne es zu wissen. Unser Darknet-Radar beobachtet Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich sofort, sobald sie infolge eines Hacks oder einer Datenpanne dort auftaucht oder gehandelt wird, also genau in dem Moment, in dem die Daten tatsächlich kursieren, und nicht erst, wenn der Schaden in Form von Phishing oder einer übernommenen Rufnummer schon eingetreten ist. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und auf mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können. Wir informieren dabei über laufende Verfahren und leisten keine eigene Rechtsberatung. Der Unterschied zum kostenlosen Check bleibt wichtig: Er zeigt Ihnen, was heute bereits veröffentlicht ist, das dauerhafte Monitoring ist das, was Sie erreicht, wenn später etwas auftaucht.