Die kurze Antwort
Mindfactory, einer der bekanntesten deutschen Onlinehändler für PC-Komponenten, hat am 6. November 2026 Kunden und die zuständige Landesdatenschutzbehörde über einen Cyberangriff informiert und Strafanzeige gegen Unbekannt erstattet. Möglicherweise betroffen sind Anschriften, E-Mail-Adressen, Telefonnummern und verschlüsselt gespeicherte Passwörter. Alle Kundenpasswörter wurden vorsorglich zurückgesetzt, die ausgenutzte Lücke ist laut Geschäftsführung geschlossen.
Für Shopbetreiber im E-Commerce ist der Vorfall ein Lehrbeispiel in beide Richtungen: Die Auslagerung der Zahlungsdaten an Zahlungsdienstleister hat das wertvollste Ziel geschützt, Kontaktdaten und Passwort-Hashes lagen dagegen erreichbar im Shopsystem. Wer seinen Shop regelmäßig durch Penetrationstests und Sicherheitsaudits prüfen lässt, findet solche Lücken, bevor es Angreifer tun.
Was ist bei Mindfactory passiert?
Mindfactory verschickte am 6. November E-Mails an alle Kunden, die seit der Übernahme durch die heise group im Juli 2025 etwas bestellt haben. Darin teilt der Händler mit, dass Angreifer in seine Systeme eingedrungen sind. „Wir nehmen diesen Vorfall sehr ernst und haben umgehend geeignete Maßnahmen eingeleitet, um die Sicherheit unserer Systeme zu gewährleisten, mögliche Risiken einzudämmen und die Hintergründe des Angriffs aufzuklären“, zitiert heise online das Unternehmen. Über den Vorfall berichteten unter anderem auch Golem und GameStar.
Geschäftsführer Marcel Kirchner erklärte gegenüber heise, der Vorfall werde forensisch untersucht, die Lücke, über die der Angriff erfolgte, sei geschlossen, und das Unternehmen werde nicht erpresst. Wie die Angreifer konkret eingedrungen sind und wie viele Konten betroffen sein könnten, hat Mindfactory bislang nicht veröffentlicht. Neue Erkenntnisse aus der laufenden Untersuchung will der Händler seinen Kunden mitteilen.
Welche Daten sind betroffen und welche nicht?
Nach aktuellem Stand kann Mindfactory einen Zugriff nicht ausschließen, hat ihn aber auch nicht bestätigt. Die Übersicht trennt zwischen den Kategorien:
| Kategorie | Status | Quelle |
|---|---|---|
| Anschrift, E-Mail-Adresse, Telefonnummer | möglicherweise betroffen | Mindfactory |
| Passwörter, verschlüsselt (gehasht) gespeichert | möglicherweise betroffen | Mindfactory |
| Passwörter im Klartext | keine Hinweise | Mindfactory |
| Bank- und Kreditkartendaten | nicht betroffen, liegen bei Zahlungsdienstleistern | Mindfactory |
| Anzahl betroffener Konten, Einfallstor, Täter | nicht veröffentlicht | – |
Das Unternehmen vermutet nach eigener Aussage, dass die Angreifer es eigentlich auf Bank- und Kreditkartendaten abgesehen hatten. Diese seien aber nicht im Shopsystem gespeichert. Genau diese Trennung, die viele Händler über die Vorgaben des Kreditkartenstandards PCI DSS ohnehin anstreben, hat den Schaden begrenzt.
Was sollten Kunden jetzt tun?
Wer ein Mindfactory-Konto hat, muss beim nächsten Login ohnehin ein neues Passwort vergeben. Das größere Risiko ist aber ein anderes: Mit Name, Anschrift, Telefonnummer und dem Wissen, dass jemand bei einem Hardwarehändler bestellt, lassen sich sehr glaubwürdige Betrugsversuche bauen. Mindfactory warnt selbst ausdrücklich davor. Sinnvoll sind diese Schritte:
- Passwort-Recycling beenden: Wurde das Mindfactory-Passwort auch anderswo genutzt, dort sofort ändern. Gehashte Passwörter lassen sich bei schwachen Kennwörtern offline knacken.
- Mehrfaktor aktivieren: für E-Mail-Postfach, Zahlungsdienste und andere Shops, wo verfügbar.
- Vorsicht bei „Lieferproblemen“: E-Mails, SMS oder Anrufe zu angeblichen Bestellungen, Rücksendungen oder Erstattungen nicht über enthaltene Links beantworten, sondern direkt im Kundenkonto prüfen.
- Keine Daten am Telefon: Seriöse Händler fragen weder Passwörter noch TANs ab.
Welche Lehren ziehen Online-Händler?
Der Fall reiht sich in eine Serie von Angriffen auf Unternehmen in DACH ein, zuletzt etwa der Cyberangriff auf Loxone, bei dem ebenfalls ein öffentlich erreichbarer Webserver das Einfallstor war. Für Shopbetreiber lassen sich vier Punkte ableiten:
- Zahlungsdaten nie selbst speichern. Tokenisierung über den Zahlungsdienstleister ist der wirksamste Schutz und reduziert den Prüfaufwand. Wo eigene Zahlungsprozesse unvermeidbar sind, gehört das in eine saubere PCI-DSS-konforme Softwareentwicklung.
- Moderne Passwort-Hashes von Anfang an. Mindfactory stellt nach dem Vorfall auf ein „noch moderneres Hash-Verfahren“ um. Speicherharte Verfahren wie Argon2id oder bcrypt mit individuellem Salt sollten Standard sein, damit erbeutete Hashes wertlos bleiben. Alte Hashes lassen sich beim nächsten Login transparent migrieren.
- Datenminimierung ernst nehmen. In Kommentaren unter Berichten melden Leser, die nach eigenen Angaben seit Jahren nicht bestellt haben, ebenfalls Benachrichtigungen erhalten zu haben. Ob das zutrifft, ist offen. Klar ist: Kundendaten, die nach Ablauf der Aufbewahrungsfristen gelöscht sind, können nicht abfließen.
- Meldeprozess vorbereiten. Die DSGVO verlangt die Meldung an die Aufsichtsbehörde in der Regel binnen 72 Stunden (Art. 33) und bei hohem Risiko die Information der Betroffenen (Art. 34). Mindfactory hat beides schnell erledigt. Wer diese Abläufe vorab mit DSGVO-Beratung festlegt, muss im Ernstfall nicht improvisieren.
Häufige Fragen
Was ist bei Mindfactory passiert?
Der Online-Händler für PC-Hardware aus Wilhelmshaven hat am 6. November 2026 öffentlich gemacht, dass er Opfer eines Cyberangriffs geworden ist. Das Unternehmen hat Kunden und die zuständige Landesdatenschutzbehörde informiert und Strafanzeige gegen Unbekannt erstattet. Die genutzte Lücke ist laut Geschäftsführung geschlossen.
Welche Daten könnten betroffen sein?
Mindfactory kann nicht ausschließen, dass Angreifer Zugriff auf Anschriften, E-Mail-Adressen, Telefonnummern und verschlüsselt gespeicherte Passwörter hatten. Hinweise auf Passwörter im Klartext gibt es laut Unternehmen nicht.
Sind Bank- und Kreditkartendaten betroffen?
Nein. Laut Mindfactory werden diese Daten nicht im Shopsystem, sondern bei den Zahlungsdienstleistern gespeichert. Das Unternehmen vermutet, dass die Angreifer genau diese Daten erbeuten wollten, was an der Architektur gescheitert ist.
Was sollten Mindfactory-Kunden jetzt tun?
Ein neues, einzigartiges Passwort für den Shop vergeben, dasselbe Passwort überall sonst ändern, wo es verwendet wurde, und bei unerwarteten E-Mails, SMS oder Anrufen mit Bezug zu Bestellungen keine Links öffnen und keine persönlichen Daten preisgeben.
Quellen
heise online — Mindfactory informiert Kunden über Cyberangriff (6. November 2026; heise online und Mindfactory gehören zur heise group)
Golem.de — Onlinehändler: Hacker attackieren Mindfactory (6. November 2026)
GameStar — Cyberangriff bei Mindfactory (November 2026)
Borns IT- und Windows-Blog — Cybervorfall bei Mindfactory zum 6.11.2026 bekannt geworden (7. November 2026)