Datenleck bei einer Autohaus-Software: Warum echte Kaufdaten Betrug so glaubwürdig machen – und was Unternehmen daraus lernen

Stellen Sie sich vor, Sie haben ein neues Auto bestellt. Kurz vor der Auslieferung kommt eine E-Mail Ihres Autohauses: Auftragsnummer korrekt, Rechnungsnummer korrekt, der Restbetrag auf den Cent genau, der Liefertermin stimmt auch. Nur die Bankverbindung habe sich leider geändert, bitte überweisen Sie auf das neue Konto. Würden Sie stutzig werden?

Genau vor diesem Szenario warnen derzeit Polizei, ein Softwareanbieter und das Kfz-Gewerbe. Getroffen hat es die Achter Autohaus Software GmbH aus Rödelsee bei Würzburg, deren Programme Autohäuser bundesweit für den Fahrzeugverkauf nutzen. Seit dem Angriff liegen Daten aus Fahrzeugkäufen in den Händen von Kriminellen. Zuerst berichtete laut dpa die Mediengruppe Straubinger Tagblatt/Landshuter Zeitung, die Deutsche Presse-Agentur griff das Thema am 14. Oktober auf. Am selben Tag nannte das Fachmagazin kfz-betrieb den Anbieter beim Namen und zitierte dessen Geschäftsführer.

Was ist bekannt?

• Der Angriff: Die Polizei bestätigte laut dpa einen Cyberangriff auf einen IT-Dienstleister im Raum Würzburg. Nach derzeitigem Ermittlungsstand erfolgte der Zugriff über eine Drittanbietersoftware, die zu dieser Zeit eine schwerwiegende Sicherheitslücke hatte. Um welche Software es sich handelt, ist öffentlich nicht bekannt. Laut kfz-betrieb griffen Unbekannte nach Angaben von Achter unbefugt auf Teile der IT-Umgebung zu und riefen dabei Daten zu Fahrzeugkäufen ab.
• Die Daten: Nach Angaben des Softwareanbieters, wiedergegeben von dpa, wurden unter anderem Auftrags- und Rechnungsnummern, Liefertermine sowie Kauf-, Zahlungs- und Finanzierungsbeträge erbeutet. Ein Kundenschreiben eines betroffenen Autohauses, das der IT-Blogger Günter Born veröffentlicht hat, nennt zusätzlich Name, Adresse und Kundennummer und datiert den unbefugten Zugriff auf September 2026.
• Die Betroffenen: Laut Anbieter vor allem, aber nicht nur, Autohäuser mit Marken des VW-Konzerns. Volkswagen bestätigte gegenüber dpa, dass auch die konzerneigene Volkswagen Group Retail Deutschland mit rund 120 Standorten die Software nutzt; deren Kunden seien zeitnah informiert worden. Laut der Website des Anbieters gehören auch einige der größten Autohandelsgruppen Deutschlands zu den Nutzern, Born zitiert dort die Werbeaussage von über 400 Betrieben.
• Der Umfang: Wie viele Kunden und welche Händler genau betroffen sind, steht noch nicht fest. Laut kfz-betrieb sagt Geschäftsführer Bernhard Achter, man könne für keinen Kunden ausschließen, dass er betroffen ist. Das Unternehmen gehe deshalb vorsorglich davon aus, dass alle Autohäuser mit seiner Software betroffen sein können, und habe alle Kunden informiert.
• Die Lage: Hinweise auf konkrete Betrugsversuche gibt es laut Polizei bisher nicht. Für eine Entwarnung sei es aber noch zu früh.

Warum diese Daten so gefährlich sind

Kreditkartennummern oder Passwörter wurden nach bisherigem Stand nicht erbeutet. Auf den ersten Blick wirkt der Datensatz daher harmlos: ein paar Nummern, Termine und Beträge. Für Betrüger ist er aber wertvoller als vieles andere, denn er löst ihr größtes Problem: Glaubwürdigkeit.

Eine gewöhnliche Phishing-Mail scheitert oft an Kleinigkeiten – falscher Name, ausgedachter Betrag, unpassender Zeitpunkt. Wer dagegen weiß, dass Sie am 28. Oktober ein bestimmtes Fahrzeug abholen und noch 12.480 Euro offen sind, kann eine Nachricht schreiben, die sich von der echten nicht unterscheidet. Der Softwareanbieter beschreibt die Masche selbst: Kriminelle könnten sich als Autohaus oder Verkäufer ausgeben, mit gefälschten Zahlungsaufforderungen, angeblich geänderten Bankverbindungen oder per Telefon.

Der Zeitpunkt ist dabei kein Zufall. Kurz vor der Fahrzeugübergabe ist eine Zahlung plausibel, die Vorfreude ist groß, und niemand möchte die Auslieferung gefährden. Alexander Vukcevic vom Sicherheitsanbieter Avast bringt es im dpa-Bericht auf den Punkt: Selbst korrekte persönliche Angaben belegen nicht, dass eine Nachricht echt ist.

Das ist die gleiche Methode, die wir aus dem Geschäftsalltag als Rechnungs- oder Chefbetrug kennen. In Sechs Phishing-Fälle in drei Wochen haben wir mehrere solche Fälle aus unserer eigenen Praxis beschrieben – darunter einen, bei dem die gefälschte Mail aus dem echten Postfach eines Lieferanten kam. Mit gestohlenen Vorgangsdaten wird diese Masche noch schwerer zu erkennen.

Die eigentliche Lehre: Angegriffen wurde gar nicht das Autohaus

Für Unternehmen außerhalb des Autohandels ist ein anderer Aspekt wichtiger. Die Autohäuser haben nach allem, was bekannt ist, nichts falsch gemacht. Ihre eigenen Systeme wurden nicht angegriffen. Ihre Kundendaten sind trotzdem weg, weil sie bei einem Dienstleister lagen – und dieser wiederum über die Software eines weiteren Anbieters angreifbar war.

Das ist heute der Normalfall, nicht die Ausnahme. Kaum ein Betrieb hält alle seine Daten noch selbst: Warenwirtschaft, Buchhaltung, Kanzleisoftware, Branchenlösung, Terminbuchung, Personalverwaltung laufen zunehmend beim Hersteller oder in dessen Cloud. Ein Steuerbüro, ein Handwerksbetrieb oder ein Verein trägt damit dasselbe Risiko wie ein Autohaus: Die Sicherheit der eigenen Kundendaten hängt an der Sicherheit der Anbieter.

Und die Verantwortung bleibt trotzdem beim Unternehmen selbst. Nach der DSGVO ist der Betrieb, der die Daten seiner Kunden erhebt, der Verantwortliche – der Softwareanbieter verarbeitet sie in seinem Auftrag. Wird bei ihm eingebrochen, muss in der Regel das Unternehmen die Datenpanne binnen 72 Stunden der Aufsichtsbehörde melden und, wenn ein hohes Risiko besteht, seine Kunden informieren. Im von Born veröffentlichten Schreiben verweist das Autohaus entsprechend auf seine Meldung an das Bayerische Landesamt für Datenschutzaufsicht.

Der Fall reiht sich in ein Muster ein, das wir in den vergangenen Monaten mehrfach beschrieben haben: Beim Versicherer uniVersa lagen Kundendaten nach einer IT-Umstellung offen im Netz (Kein Hacker, nur ein Crawler), bei den Kommunalverwaltungen in Rheinland-Pfalz war es die Lücke in einem zugekauften Fernzugang (194 Verwaltungen offline). Die Schwachstelle sitzt immer häufiger nicht im eigenen Haus, sondern eine Ebene darunter.

Der Zentralverband des Kfz-Gewerbes fordert eine Taskforce

Der Zentralverband Deutsches Kraftfahrzeuggewerbe (ZDK) nimmt den Fall zum Anlass, eine ältere Forderung zu erneuern: eine Taskforce „Organisierte Kriminalität im Autohandel" beim Bundeskriminalamt. Dort sollen Hinweise von Autohäusern, Softwareanbietern, Plattformen und Ermittlern zusammenlaufen. Hauptgeschäftsführer Jürgen Hasler sagte laut Verbandsmitteilung: „Wir brauchen einen engeren Schulterschluss zwischen Wirtschaft, Ermittlungsbehörden und Politik."

Der Verband beobachtet schon länger eine Zunahme professionell organisierter Betrugsfälle im Fahrzeughandel, etwa gefälschte Händler-Websites mit vermeintlich günstigen Angeboten, die Interessenten zu Anzahlungen bewegen sollen. Ob das BKA die Taskforce einrichtet, ist offen.

Was Sie jetzt konkret tun sollten

Wenn Sie in den vergangenen Monaten ein Fahrzeug gekauft oder bestellt haben:

• Bankverbindungen nie per E-Mail ändern lassen. Eine angeblich neue Kontonummer ist das wichtigste Warnsignal. Rufen Sie im Zweifel beim Autohaus an – aber unter der Nummer, die Sie aus dem Kaufvertrag oder von der Website kennen, nicht unter der aus der verdächtigen Nachricht.
• Besonders wachsam kurz vor der Auslieferung. Eine überraschende Zahlungsaufforderung in den Tagen vor der Übergabe sollten Sie immer telefonisch bestätigen lassen.
• Warnungen Ihrer Bank ernst nehmen. Seit dem 9. Oktober 2025 müssen Banken im Euroraum vor jeder Überweisung prüfen, ob Empfängername und IBAN zusammenpassen. Meldet Ihre Bank eine Abweichung, ist das ein deutlicher Hinweis. Bestätigen Sie die Zahlung dann nicht einfach.
• Keine Links anklicken, keine Daten nachreichen. Auch Phishing-Mails, die zur Eingabe weiterer persönlicher Daten auffordern, sind denkbar.
• Schon überwiesen? Sofort handeln. Kontaktieren Sie umgehend Ihre Bank, um die Zahlung zurückzuholen, und erstatten Sie Anzeige bei der Polizei. Jede Stunde zählt.

Wenn Sie selbst ein Unternehmen führen:

• Kennen Sie Ihre Anbieter. Erstellen Sie eine Übersicht, welche Software und welche Dienstleister Kundendaten Ihres Betriebs speichern oder verarbeiten – inklusive Cloud-Diensten und Branchenlösungen. Ohne diese Liste wissen Sie im Ernstfall nicht einmal, ob Sie betroffen sind. Wie eine solche Übersicht aussehen kann, beschreiben wir in IT-Dokumentation: Warum sie oft fehlt und was das kostet.
• Prüfen Sie Ihre Auftragsverarbeitungsverträge. Für jeden Anbieter, der personenbezogene Daten für Sie verarbeitet, brauchen Sie einen solchen Vertrag. Achten Sie darauf, wie schnell der Anbieter Sie bei einem Vorfall informieren muss – Ihre eigene 72-Stunden-Frist läuft ab dem Moment, in dem Sie davon erfahren.
• Fragen Sie nach, wie der Anbieter sich schützt. Wie schnell werden Sicherheitsupdates eingespielt? Ist der Zugriff auf Ihre Daten mit Multi-Faktor-Authentifizierung abgesichert? Gibt es einen Notfallplan? Ein seriöser Anbieter beantwortet diese Fragen.
• Speichern Sie nur, was Sie brauchen. Daten, die nicht mehr benötigt werden, können auch nicht gestohlen werden. Regelmäßiges Löschen nach Ablauf der Aufbewahrungsfristen gehört zu einer sauberen IT dazu. Weitere typische Schwachstellen finden Sie in DSGVO-konforme IT: Die 7 häufigsten technischen Lücken.
• Legen Sie einen Ablauf für Datenpannen fest. Wer meldet an die Aufsichtsbehörde, wer formuliert das Kundenschreiben, wer entscheidet? Geklärt wird das besser vorher als unter Zeitdruck.
• Warnen Sie Ihre Kunden aktiv – auch ohne Anlass. Ein fester Hinweis auf Rechnungen und in Angeboten, dass Sie Ihre Bankverbindung niemals per E-Mail ändern, schützt Ihre Kunden und Ihren Ruf. Die Autohäuser tun jetzt genau das, allerdings erst im Nachhinein.
• Sichern Sie Ihre eigenen Zahlungsprozesse ab. Die Masche funktioniert auch umgekehrt: Gefälschte Rechnungen Ihrer Lieferanten mit „neuer" Bankverbindung. Ein Rückruf beim Lieferanten unter bekannter Nummer und das Vier-Augen-Prinzip bei geänderten Kontodaten verhindern die meisten Schäden. Lassen Sie die Empfängerüberprüfung Ihrer Bank eingeschaltet – Unternehmen können sie bei Sammelüberweisungen abwählen, sollten das aber gut überlegen.

Unser Fazit

Der Angriff auf die Autohaus-Software ist ein Lehrstück für zwei Entwicklungen, die zusammengehören. Erstens werden Daten heute weniger dort gestohlen, wo sie entstehen, sondern dort, wo sie zentral gesammelt werden – bei Dienstleistern, die Hunderte Betriebe gleichzeitig versorgen. Zweitens entwerten diese Daten die Prüfmerkmale, auf die sich Menschen jahrelang verlassen haben: Wenn jede Nummer stimmt, wirkt die Nachricht echt.

Die wichtigste Regel passt in einen Satz: Ob eine Zahlungsaufforderung echt ist, entscheidet nicht ihr Inhalt, sondern ein Rückruf unter einer Nummer, die Sie selbst kennen. Für Unternehmen kommt eine zweite hinzu: Wer Kundendaten Dritten anvertraut, sollte wissen, wem, und im Ernstfall schnell handeln können.

So können wir Ihnen helfen

Wir unterstützen Unternehmen dabei, den Überblick über ihre Systeme und Anbieter zu behalten, die eigenen Zugänge abzusichern und Mitarbeiter auf Betrugsversuche vorzubereiten.

Quellen:
• Kreiszeitung – „Massiver Hackerangriff auf Autohaus: Kaufdaten von Kunden aus ganz Deutschland gestohlen" (Felix Herz, 18.10.2026, mit dpa), zum Beitrag
• kfz-betrieb – „Akutes Datenleck trifft Achter-Autohaus-Kunden" (Doris S. Pfaff, 14.10.2026, Abo-Artikel), zum Beitrag
• AUTOHAUS – „Datenleck bei Autohaus-Software: Betrugsversuche befürchtet" (dpa, 14.10.2026), zum Beitrag
• AUTOHAUS – „Cyberangriff auf Autohaus-Software: ZDK fordert Taskforce beim BKA" (14.10.2026), zum Beitrag
• t3n – „Datenleck bei Autohäusern: So erkennst du gefälschte Zahlungsaufforderungen" (dpa, 14.10.2026), zum Beitrag
• Borns IT- und Windows-Blog – „Achter Autohaus Software GeNesys-Hack trifft Kunden von hunderten Autohäusern der VW-Gruppe" (Günter Born, 14.10.2026, mit Kundenschreiben eines Autohauses), zum Beitrag
• Leadersnet – „Cyberangriff auf Autohaus-Software setzt Händler unter Druck" (14.10.2026), zum Beitrag
• Volksbanken Raiffeisenbanken – „Empfängerüberprüfung bei Überweisungen", vr.de
Die genannten Quellen wurden eigenständig ausgewertet und für Unternehmen in Deutschland eingeordnet.