D Adrässe sind wäg, und de Betrug chunnt per WhatsApp

Am Mittwoch, dem 7. Oktober 2026, stellte Ricardo verdächtige Aktivitäten auf den eigenen Servern fest. Am Freitagnachmittag informierte CEO Francesco Vass die Betroffenen per E-Mail. Am Wochenende kamen die ersten WhatsApp-Nachrichten.

So schnell kann es gehen.

Was abgeflossen ist

Rund 890’000 Nutzerkonten sind betroffen. Abgeflossen sind Namen, Postadressen und Telefonnummern aus Bestellungen. Bei Geschäftskonten zusätzlich der Firmenname.

E-Mail-Adressen und Passwörter seien nicht betroffen, teilt Ricardo mit, und die Lücke sei innerhalb weniger Stunden vollständig geschlossen worden. Beides sind bisher unbestätigte Angaben des betroffenen Unternehmens, was sie nicht falsch macht, aber erwähnt gehört.

Ricardo hat den Vorfall dem EDÖB gemeldet, will Strafanzeige erstatten und hat das NCSC informiert.

Warum ein Leck ohne Passwörter trotzdem gefährlich ist

Die beruhigende Nachricht lautet: keine Passwörter. Der Reflex dazu lautet: dann ist es halb so schlimm.

Der Reflex stimmt nicht.

Ab dem Wochenende verschickten Unbekannte WhatsApp-Nachrichten von Schweizer Nummern. Mit persönlicher Anrede. Mit der korrekten Wohnadresse im Text. Mit der Behauptung, bei einer Ricardo-Transaktion sei eine auffällige Aktivität festgestellt worden. Dazu ein Link, der nur den Plattformnamen enthält. Als Absendernamen tauchten unter anderem «Ricardo Help Center» und «Les Schwab Tire Center» auf.

Genau das ist der Punkt. Die üblichen Warnzeichen, an denen man Betrug erkennt, hängen fast alle daran, dass der Absender einen nicht kennt. Falsche Anrede, falscher Name, generischer Text. Eine Nachricht mit der richtigen Adresse schaltet alle diese Zeichen gleichzeitig aus.

Was hier KI damit zu tun hat, und was nicht

Hier muss ich ehrlich sein, weil die Versuchung gross ist, daraus eine KI-Geschichte zu machen.

Es ist nicht belegt, dass diese Nachrichten KI-generiert sind. Es ist auch nicht belegt, dass die verwendeten Daten aus genau diesem Leck stammen. Belegt ist nur das zeitliche Zusammentreffen, und darauf weist die Berichterstattung selbst hin.

Was sich sagen lässt, ohne zu übertreiben: Personalisierte Massennachrichten in fehlerfreiem Deutsch kosten heute fast nichts mehr. Was früher die Arbeit begrenzt hat, war nicht das Material, sondern der Aufwand pro Nachricht. Dieser Aufwand ist weg. Was jetzt noch fehlt, ist das Material, und genau das liefert ein Adressleck.

Dass Angreifer KI systematisch nutzen, um personalisierte Inhalte glaubwürdig zuzustellen, hält auch das Bundesamt für Cybersicherheit in seinem Halbjahresbericht fest. Eine Quote nennt es nicht. Mehr dazu steht in unserem Beitrag zu den KI-gestützten Angriffen auf Schweizer KMU.

Vier Regeln für den Betrieb, ab heute

1. Keine Plattform kommuniziert so. Ricardo betont selbst, nicht per E-Mail, SMS oder WhatsApp über Käufe und Verkäufe zu kommunizieren. Das gilt sinngemäss für fast alle Plattformen. Eine Nachricht über einen angeblichen Vorfall bei Ihrem Konto ist, bis zum Beweis des Gegenteils, Betrug.

2. Nie über den Link, immer über den eigenen Weg. Wer prüfen will, ob mit dem Konto etwas ist, öffnet die Seite selbst, über das eigene Lesezeichen oder die eigene App. Nie über den Link in der Nachricht, auch nicht wenn er plausibel aussieht.

3. Die richtige Adresse ist kein Echtheitsbeweis. Das ist die Regel, die dieser Fall neu macht. Bringen Sie sie ausdrücklich ins Team, besonders zu denen, die Bestellungen und Zahlungen bearbeiten.

4. Wer über Plattformen verkauft, informiert seine Kundschaft aktiv. Wenn Ihr Firmenname Teil des Abflusses ist, können Betrüger in Ihrem Namen schreiben. Eine kurze Notiz auf der eigenen Website oder im Newsletter, wie Sie tatsächlich kommunizieren, kostet zehn Minuten und schützt Ihren Ruf.

Für Betriebe, die ohnehin gerade aufschreiben, wie im Ernstfall vorzugehen ist: Die halbe Seite mit Rückrufregel, Codewort und Meldeweg steht ebenfalls im Beitrag zu KI-gestützten Angriffen. Und wer unberechtigte Forderungen bekommt, findet das Vorgehen im Beitrag zu den unbestellten KI-Abos.

Was offen bleibt

Der Angriffsweg ist nicht öffentlich. Wie viele der 890’000 Konten Geschäftskonten sind, ist nicht beziffert. Und ob der EDÖB sich zum Fall äussert, war beim Schreiben dieses Beitrags offen.

Für die eigene Vorsorge spielt das keine Rolle. Die vier Regeln oben gelten unabhängig davon, wie der Zugriff zustande kam.

Quellen

• Netzwoche, «Ricardo meldet Datenabfluss bei 890’000 Userkonten», 9. Oktober 2026: netzwoche.ch
• Watson, «Nach Datenleck bei Ricardo: Betrüger schlagen per WhatsApp zu», 12. Oktober 2026: watson.ch
• Bundesamt für Cybersicherheit BACS, Halbjahresbericht 2026/1: bacs.admin.ch