Datenleck bei VW-Autohäusern: Händler-Software GeNesys gehackt

Die schnelle Antwort: Über eine Sicherheitslücke bei der Autohaus-Software GeNesys haben Unbekannte im September 2026 Kundendaten zahlreicher Autohäuser abgezogen, vor allem bei Händlern der Volkswagen-Marken. Erbeutet wurden unter anderem Kaufpreise, Liefertermine und Finanzierungsbeträge. Betroffen sein könnte, wer in den vergangenen Monaten bei einem solchen Händler ein Fahrzeug bestellt oder gekauft hat.

Was bei der Autohaus-Software GeNesys passiert ist

GeNesys ist eine Plattform der Achter Autohaus Software GmbH aus dem Raum Würzburg. Autohäuser verwalten darüber Aufträge, Rechnungen und Kundendaten, also genau den Papierkram, der zwischen Probefahrt und Schlüsselübergabe anfällt. Weil viele Händler dieselbe Plattform nutzen, ist das ein klassischer Lieferkettenangriff (englisch Supply-Chain-Attack): Die Täter brechen nicht bei jedem Autohaus einzeln ein, sondern beim gemeinsamen Dienstleister, und erreichen so auf einen Schlag die Kunden vieler Betriebe.

Die Polizei bestätigte auf Anfrage einen Cyberangriff auf einen IT-Dienstleister im Raum Würzburg. Nach derzeitigem Ermittlungsstand erfolgte der Zugriff über eine Drittanbieter-Software, die zu diesem Zeitpunkt eine schwerwiegende Sicherheitslücke aufwies. Laut dem Benachrichtigungsschreiben eines Autohauses, das dem IT-Blog von Günter Born vorliegt, wurden die erbeuteten Anmeldedaten zwischen dem 8. und dem 29. September 2026 für Zugriffe auf GeNesys verwendet. Das Autohaus habe den Zugang gesperrt, die Zugangsdaten erneuert, eine forensische Untersuchung begonnen, Anzeige erstattet und die bayerische Datenschutzaufsicht informiert.

Wie die Deutsche Presse-Agentur am 14. Oktober berichtete, betrifft der Vorfall nach Angaben des Softwareanbieters vor allem, aber nicht nur, Händler der Volkswagen-Marken in ganz Deutschland. VW bestätigte, dass die Software auch bei Volkswagen Group Retail Deutschland läuft, der konzerneigenen Händlergruppe mit rund 120 Standorten. Wie viele Kunden insgesamt betroffen sind, konnte die Polizei noch nicht sagen. Konkrete Betrugsfälle mit den erbeuteten Daten sind bislang nicht öffentlich bestätigt.

Welche Daten gestohlen wurden und was Betrüger damit anfangen

Passwörter, Kartennummern oder Kontozugänge der Kunden stehen nach bisherigem Stand nicht auf der Liste. Das klingt beruhigend, ist es aber nur bedingt. Denn die erbeuteten Angaben sind genau das Material, aus dem sich eine perfekte Lüge bauen lässt. Der Anbieter nennt Auftrags- und Rechnungsnummern, Liefertermine sowie Kauf-, Zahlungs- und Finanzierungsbeträge. Das Schreiben des Autohauses ergänzt Name, Anschrift, E-Mail-Adresse, Telefonnummer, Kundennummer, Fahrzeugmodell, Fahrzeug-Identifizierungsnummer und den Namen des Verkäufers.

Spear-Phishing ist der Fachbegriff für eine Betrugsnachricht, die nicht wahllos an Tausende geht, sondern auf Sie persönlich zugeschnitten ist. Der Unterschied ist erheblich: Eine Mail mit "Sehr geehrter Kunde" löschen die meisten. Eine Mail, in der Ihr Verkäufer mit Namen unterschreibt, Ihr Modell, Ihre Rechnungsnummer und den richtigen Restbetrag nennt und nur mitteilt, das Autohaus habe leider die Bank gewechselt, überzeugt dagegen selbst vorsichtige Menschen. Fachleute nennen diese Masche Business E-Mail Compromise oder Rechnungsbetrug, im Alltag ist es schlicht der Trick mit dem falschen Konto.

Gegen den Missbrauch der bereits gestohlenen Daten hilft nur Wachsamkeit. Gegen die vielen anderen Stellen, an denen Ihre Anschrift und Telefonnummer außerdem im Umlauf sind, können Sie dagegen etwas tun. Ihre Kontaktdaten bei über 100 Adress- und Werbebrokern löschen lassen.

Bin ich betroffen? Die Prüfung in vier Fragen

Eine öffentliche Liste der betroffenen Autohäuser gibt es nicht, und welcher Händler GeNesys nutzt, sehen Sie von außen nicht. Außerdem berichten Leser des IT-Blogs von Günter Born, dass längst nicht alle Kunden ein Schreiben erhalten haben, obwohl Anbieter und VW von umfassender Information sprechen. Gehen Sie deshalb die folgenden Fragen durch:

Was Sie jetzt konkret tun sollten

Die folgenden Schritte kosten Sie wenige Minuten und nehmen der Masche ihre Grundlage. Der wichtigste Gedanke dahinter: Prüfen Sie nie über den Kanal, über den die verdächtige Nachricht gekommen ist.

• 1. Zahlungsweg vorab festzurren: Rufen Sie Ihren Verkäufer über die Telefonnummer aus Kaufvertrag oder Auftragsbestätigung an und lassen Sie sich die Bankverbindung des Autohauses bestätigen. Vereinbaren Sie ausdrücklich, dass sich daran nichts ändert und jede Änderung nur persönlich im Autohaus besprochen wird. Notieren Sie Datum und Gesprächspartner.
• 2. Empfängerüberprüfung ernst nehmen: Seit Oktober 2025 gleichen Banken in der EU vor jeder Überweisung den Empfängernamen mit der IBAN ab. Zeigt Ihre Banking-App an, dass Name und Konto nicht oder nur teilweise übereinstimmen, brechen Sie ab, auch wenn die Nachricht eine plausible Erklärung liefert.
• 3. Zeitdruck als Alarmsignal werten: "Ohne Zahlung bis morgen verschiebt sich die Auslieferung um Wochen" ist ein typischer Hebel. Ein seriöses Autohaus gibt Ihnen die Zeit für einen Rückruf. Legen Sie bei Anrufen auf und wählen Sie selbst die bekannte Nummer.
• 4. Keine Links in Fahrzeug-Mails öffnen: Angebliche Rückrufaktionen, Zulassungsunterlagen oder Garantieverlängerungen mit Link und Zahlungsaufforderung sind ab jetzt verdächtig. Echte Rückrufe des Herstellers kommen in der Regel per Brief, die Fahrzeug-Identifizierungsnummer können Sie dann selbst auf der Herstellerseite prüfen.
• 5. Auskunft beim Autohaus verlangen: Fragen Sie schriftlich nach, ob und welche Ihrer Daten betroffen sind. Nach Art. 15 DSGVO muss das Autohaus innerhalb eines Monats antworten. Die Antwort brauchen Sie auch, falls Sie später Ansprüche geltend machen wollen.
• 6. Bei bereits geleisteter Zahlung sofort handeln: Rufen Sie umgehend Ihre Bank an und bitten Sie um einen Rückruf der Überweisung, erstatten Sie Anzeige bei der Polizei und informieren Sie das Autohaus. Jede Stunde zählt, denn die Täter leiten Geld schnell weiter.

Ob Ihnen nach einem solchen Vorfall Geld zusteht, unter welchen Voraussetzungen Gerichte immateriellen Schadenersatz zusprechen und welche Beweise Sie dafür sammeln sollten, erklärt unser Ratgeber zu Schadenersatz nach Datenlecks mit den aktuellen Urteilen von EuGH und BGH.

Warum die Folgen über den Autokauf hinausreichen

Selbst wenn Ihr Fahrzeug längst bezahlt in der Garage steht, bleibt ein Rest-Risiko. Ein Datensatz, der Name, Anschrift, Telefonnummer, E-Mail-Adresse und die Information "kauft Neuwagen für einen bestimmten Betrag" verknüpft, ist für Kriminelle ein wertvolles Profil. Solche Daten werden erfahrungsgemäß weiterverkauft und mit anderen Beständen zusammengeführt, etwa mit Adresslisten aus dem Handel oder mit Daten aus früheren Leaks. Am Ende stehen Sie auf Listen, die für Anlagebetrug, falsche Gewinnspiele oder Schockanrufe genutzt werden.

Diese Verknüpfung funktioniert umso besser, je mehr Puzzleteile über Sie frei verfügbar sind. Wer seine Daten aus den Beständen von Adresshändlern wie AZ Direct, Deutsche Post Direkt oder Acxiom entfernen lässt, macht es Betrügern schwerer, einen geleakten Datensatz zu ergänzen und zu verifizieren. Löschschutz einrichten und Ihre Adresse aus dem Datenhandel nehmen.

Häufige Fragen zum Datenleck bei GeNesys

Warum ein einmaliger Check nach dem GeNesys-Leak nicht reicht

Wer genau betroffen ist, steht Wochen nach dem Angriff noch immer nicht fest: Die Polizei ermittelt den Umfang, die Benachrichtigungen kommen offenbar lückenhaft an, und eine vollständige Liste wird es womöglich nie geben. Hinzu kommt, dass gestohlene Datensätze in aller Regel nicht sofort offen im Darknet auftauchen. Häufig werden sie zunächst im kleinen Kreis verkauft oder von den Tätern selbst genutzt und erst Wochen oder Monate später breit gehandelt oder als Paket veröffentlicht. Wer heute einmal prüft und nichts findet, kann also trotzdem betroffen sein. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird, also dann, wenn Ihre Daten tatsächlich kursieren, und nicht erst, wenn die gefälschte Schlussrechnung im Postfach liegt. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen unter Umständen wahrnehmen können. Wir informieren über solche Verfahren, leisten aber keine eigene Rechtsberatung. Ein kostenloser Check zeigt nur bereits veröffentlichte Leaks, vor künftigen warnt erst das laufende Monitoring. Darknet-Überwachung aktivieren und bei neuen Leaks benachrichtigt werden.