Sicherheitsvorfall - Aktualisierung Nr. 1 vom 2. Oktober 2026

Aktualisierung Nr. 1, veröffentlicht am 2. Oktober 2026. Die vorherige Mitteilung vom 29. September 2026 finden Sie am Ende dieser Seite. Jede Aktualisierung kennzeichnen wir mit einer Nummer und einem Datum.

Das Wichtigste in Kürze

• Am 28. September 2026 haben wir eine Verletzung des Schutzes personenbezogener Daten festgestellt. Eine unbefugte Person hat Zugang zu unseren Systemen erlangt und einen großen Teil der Datenbank auf eigene Server kopiert. Der unbefugte Zugang bestand von etwa 3:20 Uhr am 27. September 2026 bis etwa 17:45 Uhr am 28. September 2026 (mitteleuropäische Sommerzeit).
• Der Vorfall betrifft jedes Konto im Dienst, einschließlich jedes Kontos bei eFakturierung. Den genauen Umfang der kopierten Daten samt Stichtagen finden Sie weiter unten.
• Am 2. Oktober 2026 haben wir begonnen, individuelle E-Mail-Benachrichtigungen zu versenden, an die Inhaber aller Konten und an die weiteren Nutzer dieser Konten. Einzelheiten finden Sie im Abschnitt „E-Mail-Benachrichtigungen“.
• Was jetzt zu tun ist: Legen Sie ein neues Passwort fest, hinterlegen Sie neue API-Schlüssel in Ihren Integrationen und prüfen Sie jede Aufforderung zur Änderung einer Bankverbindung telefonisch nach unter einer Nummer, die Sie bereits kannten.

E-Mail-Benachrichtigungen

Am 2. Oktober 2026 haben wir begonnen, zwei Arten von Nachrichten zu versenden:

• Kontoinhaber erhalten eine Nachricht mit dem Titel „Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten“. Für sie ist es sowohl eine Benachrichtigung über eine Verletzung des Schutzes ihrer eigenen Daten (Art. 34 DSGVO) als auch eine Meldung einer Verletzung in Bezug auf die Daten, die sie uns als Verantwortliche zur Verarbeitung übergeben haben (Art. 33 Abs. 2 DSGVO);
• die weiteren Nutzer eines Kontos erhalten eine Nachricht über die Verletzung des Schutzes ihrer eigenen personenbezogenen Daten als Nutzer des Dienstes.

Aufgrund der Zahl der Empfänger kann der Versand mehrere Stunden dauern. Wenn Sie keine Nachricht erhalten, prüfen Sie Ihren Spam-Ordner. Die Benachrichtigung werden Sie in den kommenden Tagen auch nach der Anmeldung in Ihrem Konto lesen können.

Darüber hinaus stellen wir Kontoinhabern in der Anwendung einen Bereich mit detaillierten Informationen zur Verfügung: Datenkategorien, Zeiträume und Anzahl der Datensätze.

Woran Sie eine echte Nachricht von uns erkennen

Unsere Nachrichten enthalten nie:

• Anhänge mit Rechnungen oder Bestätigungen und keine Dateien, die geöffnet oder ausgeführt werden sollen;
• die Aufforderung, Ihr Passwort, einen SMS-Code, einen Code der zweistufigen Verifizierung oder Zahlungskartendaten anzugeben;
• die Aufforderung, sich über einen Link anzumelden, um „Ihr Konto zu verifizieren“ oder „den Zugang wiederherzustellen“.

Wir fragen nie nach Ihrem Passwort, weder per E-Mail noch telefonisch noch im Chat. Verlassen Sie sich nicht auf den Absendernamen, der in Ihrem Postfach angezeigt wird, denn er kann gefälscht sein. Wenn eine Nachricht Zweifel aufkommen lässt, klicken Sie nicht auf die Links darin. Öffnen Sie efakturierung.de selbst, indem Sie die Adresse in Ihrem Browser eingeben, und prüfen Sie die Nachrichten in Ihrem Konto. Alles Wichtige von uns ist auch nach der Anmeldung verfügbar.

Was ist passiert?

Eine unbefugte Person hat Zugang zu unseren Systemen erlangt und Daten aus der Datenbank auf eigene Server kopiert. Art der Verletzung: eine Verletzung der Vertraulichkeit, das heißt, Daten wurden kopiert. Wir analysieren den Vorfall gemeinsam mit CERT Polska, dem nationalen Team für die Reaktion auf Computersicherheitsvorfälle in Polen.

Was haben wir getan?

Alle Zeitangaben in mitteleuropäischer Sommerzeit.

• 28. September 2026, 13:35 Uhr - erste Sperrung der Adresse des Angreifers;
• 28. September 2026, 18:01 Uhr - die Sicherheitslücke in der Anwendung geschlossen, wodurch dem Angreifer der Zugriff entzogen wurde;
• 28. September 2026, 18:56 Uhr bis 20:14 Uhr - Anwendungsschlüssel und Dienstpasswörter geändert;
• 28. September 2026, 20:44 Uhr bis 21:51 Uhr - Datenverkehr auf neue, von Grund auf neu aufgebaute Server umgestellt, die alten abgeschaltet, die entwendeten Schlüssel deaktiviert;
• 28. September 2026, 23:10 Uhr - das Kundenpanel zeitweise gesperrt;
• 28. September 2026, 23:50 Uhr bis 29. September 2026, 4:03 Uhr - API-Tokens der Kunden ersetzt. Bestehende API-Schlüssel funktionieren jetzt nur von den IP-Adressen, die die Nutzer des Kontos bisher verwendet haben;
• 29. September 2026, 2:35 Uhr - zusätzliche Schutzmaßnahmen für den Generator von PDF-Dateien;
• 29. September 2026 - die Verletzung dem Präsidenten des Amtes für den Schutz personenbezogener Daten in Polen (UODO) gemeldet, der federführenden Aufsichtsbehörde für das Unternehmen Fakturownia sp. z o.o., und der Vorfall an CERT Polska und an das Büro für Cyberkriminalität der Polizei gemeldet;
• 29. September 2026 - der Datenschutzbeauftragte informiert und das Risiko für die betroffenen Personen bewertet;
• 1. Oktober 2026 - Beginn des Versands individueller E-Mail-Benachrichtigungen;
• 1. Oktober 2026 - die Verletzung dem Amt für den Schutz personenbezogener Daten in der Tschechischen Republik (ÚOOÚ) gemeldet, der federführenden Aufsichtsbehörde für das Unternehmen BitFaktura s.r.o.;
• 2. Oktober 2026 - Beginn des Versands individueller E-Mail-Benachrichtigungen an die Kunden von eFakturierung.

Welche Daten wurden kopiert?

Für jede Kategorie geben wir an, wer Verantwortlicher der Daten ist und welchen Zeitraum das Kopieren umfasste. (a) eFakturierung bedeutet Daten des Kontos und seiner Nutzer, für die der Betreiber des Dienstes Verantwortlicher ist. (b) Kunde bedeutet Daten von Geschäftspartnern und anderen Personen, die der Kunde in das Konto eingegeben und uns als Verantwortlicher zur Verarbeitung übergeben hat.

Die Stichtage haben wir aus den Protokollen der Datenbankabfragen ermittelt; sie können um bis zu einige Wochen abweichen. Das Kopieren der größten Datenbestände verlief von den ältesten Datensätzen an und wurde abgebrochen, bevor es die neueren erreichte. Bei Rechnungen, die am 22. März 2021 oder später ausgestellt wurden, wurden weder der Name des Käufers noch die Rechnungsnummer kopiert.

Weitere Nutzer von Konten: Kopiert wurden ihre E-Mail-Adresse und der Hash ihres Passworts sowie, soweit angegeben, Vor- und Nachname, Telefonnummer und Kontokennung.

Rund 2.250 Konten: Aus diesen Konten wurden alle im System verfügbaren Daten aus den Jahren 2022 bis 2026 kopiert, bis zu einem Datum, das für jedes Konto unterschiedlich ist. Die Inhaber dieser Konten erhalten eine Benachrichtigung mit den Informationen zu ihrem Konto.

Was wurde nicht kopiert, und was ermitteln wir noch?

Nicht kopiert wurden:

• Zugangsdaten zum Bankkonto, die der Dienst nicht speichert;
• Zahlungskartendaten, die der Dienst nicht speichert;
• der Inhalt von Rechnungen, die am 22. März 2021 oder später ausgestellt wurden, mit Ausnahme der Beträge, der zusätzlichen Beschreibungsfelder und der Daten weiterer Beteiligter;
• Daten von Geschäftspartnern, die am 16. Oktober 2024 oder später hinzugefügt wurden.

Nach unserem besten Wissen wurden die von der Verletzung betroffenen Daten bisher nicht veröffentlicht. Wir beobachten dies gemeinsam mit CERT Polska. Neue Erkenntnisse veröffentlichen wir auf dieser Seite und in weiteren E-Mail-Nachrichten.

Was Sie jetzt tun sollten

Im Folgenden beschreiben wir, was passieren kann. Das bedeutet nicht, dass es bereits passiert ist.

Wenn Sie einen Betrug oder eine unbefugte Überweisung vermuten, wenden Sie sich unverzüglich an Ihre Bank. Wenn Sie eine Straftat vermuten, benachrichtigen Sie die Polizei und bewahren Sie die Nachrichten und weitere Beweise auf. Teilen Sie uns bitte auch jeden Versuch mit, die von der Verletzung betroffenen Daten zu verwenden.

Informationen für Unternehmen, die als Verantwortliche handeln

Für die Daten der Gruppe (b), also die Daten von Geschäftspartnern und anderen Personen, die in das Konto eingegeben wurden, ist der Kunde Verantwortlicher, und wir verarbeiten diese Daten im Auftrag des Kunden auf der Grundlage des Auftragsverarbeitungsvertrags, der Bestandteil unserer Allgemeinen Geschäftsbedingungen (AGB) ist. Die E-Mail-Nachricht „Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten“, die Sie in Kürze erhalten, ist insoweit die Meldung der Verletzung an den Verantwortlichen (Art. 33 Abs. 2 DSGVO). Wir informieren schrittweise (Art. 33 Abs. 4 DSGVO): In den kommenden Tagen stellen wir in Ihrem Konto einen Bereich mit detaillierten Informationen zu diesem Konto bereit, der Datenkategorien, Zeiträume und die Anzahl der Datensätze umfasst und der es Ihnen auch erleichtert, Ihre Geschäftspartner zu informieren.

Als Verantwortlicher dieser Daten bewerten Sie das Risiko und entscheiden, ob und wie Sie die betroffenen Personen benachrichtigen. Für die Daten, für die wir Verantwortlicher sind, haben wir das Risiko als hoch bewertet: Der Umfang der Daten ist breit und die Zahl der Personen ist sehr groß. Sie können dies als Bezugspunkt für Ihre eigene Bewertung nutzen. Die Risiken für Dritte und die Schritte, die Sie in Erwägung ziehen können, etwa Ihre Geschäftspartner über die Gefahr von Identitätsmissbrauch und falschen Zahlungsaufforderungen zu informieren und Passwörter zum Panel für Geschäftspartner zu ändern, die auch anderweitig verwendet wurden, sind in der E-Mail-Nachricht Nr. 1 beschrieben.

Die Frist von 72 Stunden für die Meldung an Ihre Aufsichtsbehörde läuft ab dem Zeitpunkt, zu dem Sie von der Verletzung Kenntnis erlangen. Nach den Leitlinien 9/2022 des Europäischen Datenschutzausschusses (Ziffer 44) gilt ein Verantwortlicher in der Regel als in Kenntnis gesetzt, sobald der Auftragsverarbeiter ihn informiert. Wenn Sie jedoch bereits früher hinreichende Gewissheit über den Vorfall hatten, zum Beispiel aus unserer Mitteilung vom 29. September 2026, kann die Frist früher zu laufen begonnen haben. Sie können auf der Grundlage der E-Mail-Nachricht Nr. 1 eine vorläufige Meldung einreichen und sie später ergänzen.

Kontakt

• Verantwortlicher: Fakturownia sp. z o.o., Warschau, Polen, USt-IdNr. PL5213704420. eFakturierung ist ein Dienst der Fakturownia sp. z o.o.
• Datenschutzbeauftragter: [email protected]
• Fragen von Verantwortlichen und alle weiteren Fragen zum Vorfall: Nutzen Sie das Kontaktformular am Ende dieser Seite.

Wir bedauern diese Situation. Weitere Erkenntnisse werden wir weiterhin auf dieser Seite veröffentlichen, und jede Aktualisierung kennzeichnen wir mit einer Nummer und einem Datum.

Häufige Fragen

Sind meine Daten von der Datenschutzverletzung bei eFakturierung betroffen?

Ja. Der Vorfall betrifft jedes Konto im Dienst. Was kopiert wurde, unterscheidet sich je nach Datenkategorie und Datum; die Tabelle oben führt den Umfang und die Stichtage auf. Kontoinhaber erhalten eine individuelle Benachrichtigung per E-Mail und finden detaillierte Informationen zu ihrem Konto in der Anwendung.

Wurden Passwörter im Klartext offengelegt?

Nein. Passwörter waren als Hashes gespeichert, nicht im Klartext, und kopiert wurden die Hashes. Wir empfehlen dennoch, ein neues Passwort festzulegen, es überall dort zu ändern, wo Sie dasselbe verwendet haben, und die zweistufige Verifizierung zu aktivieren.

Wurden meine Rechnungen kopiert?

Der vollständige Inhalt von Rechnungen wurde nur bei Rechnungen kopiert, die vor dem 22. März 2021 ausgestellt wurden, und Rechnungspositionen nur bei Rechnungen von vor dem 6. Juni 2019. Rechnungsbeträge wurden für den gesamten Zeitraum kopiert. Bei Rechnungen, die am 22. März 2021 oder später ausgestellt wurden, wurden weder der Name des Käufers noch die Rechnungsnummer kopiert.

Ich habe eine E-Mail über die Datenschutzverletzung erhalten. Ist sie echt?

Unsere Nachrichten enthalten nie Anhänge, fragen nie nach Ihrem Passwort, nach einem SMS-Code oder einem Code der zweistufigen Verifizierung oder nach Zahlungskartendaten und fordern Sie nie auf, sich über einen Link anzumelden, um Ihr Konto zu verifizieren. Verlassen Sie sich nicht auf den Absendernamen, denn er kann gefälscht sein. Im Zweifel geben Sie efakturierung.de selbst in Ihrem Browser ein und prüfen Sie die Nachrichten nach der Anmeldung.

Was soll ich jetzt tun?

Legen Sie ein neues Passwort für Ihr Konto fest, ändern Sie es in anderen Diensten, wenn es dasselbe war, aktivieren Sie die zweistufige Verifizierung, prüfen Sie die Liste der Nutzer und die Kontoeinstellungen, hinterlegen Sie neue API-Schlüssel in Ihren Integrationen und prüfen Sie jede Aufforderung zur Änderung einer Bankverbindung telefonisch nach unter einer Nummer, die Sie bereits kannten.

Mein Unternehmen ist Verantwortlicher. Was bedeutet das für mich?

Für Daten von Geschäftspartnern und anderen Personen, die Sie in Ihr Konto eingegeben haben, sind Sie Verantwortlicher und wir sind Auftragsverarbeiter. Die E-Mail-Benachrichtigung ist die Meldung der Verletzung an Sie als Verantwortlichen nach Art. 33 Abs. 2 DSGVO. Sie bewerten das Risiko und entscheiden, ob Sie die betroffenen Personen benachrichtigen. Ein Bereich mit detaillierten Informationen zu Ihrem Konto, einschließlich Datenkategorien, Zeiträumen und Anzahl der Datensätze, wird in den kommenden Tagen bereitgestellt.

Ist die weitere Nutzung des Dienstes sicher?

Ja. Der Zugang des Angreifers wurde am 28. September 2026 unterbrochen, der Datenverkehr wurde auf neue, von Grund auf neu aufgebaute Server umgestellt, die entwendeten Schlüssel wurden deaktiviert, Anwendungsschlüssel und Dienstpasswörter wurden geändert und die API-Tokens der Kunden wurden ersetzt. Bestehende API-Schlüssel funktionieren jetzt nur von den IP-Adressen, die die Nutzer des Kontos bisher verwendet haben.

Haben Sie Fragen zu dem Vorfall?

Wenn Sie prüfen möchten, ob Ihr Konto betroffen ist, oder Hilfe bei der Absicherung brauchen, schreiben Sie uns. Fragen zur Verarbeitung Ihrer personenbezogenen Daten können Sie auf demselben Weg stellen.

Schreiben Sie uns

Frühere Fassung: Mitteilung vom 29. September 2026

Dies ist die Mitteilung vom 29. September 2026, die wir zu Dokumentationszwecken aufbewahren. Einige ihrer Angaben wurden durch die Aktualisierung Nr. 1 oben berichtigt, insbesondere der Umfang der Rechnungsdaten und der Daten der Geschäftspartner.

Veröffentlicht am 30. September 2026. Wir aktualisieren diese Seite, sobald uns neue Erkenntnisse vorliegen.

Am 28. September 2026 haben wir einen unbefugten Zugriff auf die Server des Rechnungssystems festgestellt, auf dem eFakturierung betrieben wird. Infolge des Vorfalls hatte eine unbefugte Person Einsicht in Kontodaten unserer Nutzer, in Daten von Geschäftspartnern sowie in Dokumente, die über den Dienst erstellt wurden.

Wir verstehen, dass eine solche Nachricht beunruhigen kann. Deshalb möchten wir Ihnen alle Informationen weitergeben, über die wir derzeit verfügen, und erklären, was Sie zusätzlich zum Schutz Ihrer Daten tun können. Zugleich versichern wir Ihnen, dass die in unseren Integrationen und Zusatzmodulen gespeicherten Daten von dem Vorfall nicht betroffen waren.

Was ist passiert?

Eine unbefugte Person konnte eine Schwachstelle im System ausnutzen, was zu einem unbefugten Zugriff auf einen Teil der Daten führte. Nach Entdeckung des Vorfalls haben wir den Zugang dieser Person gesperrt, mit der Rotation von Schlüsseln und Passwörtern begonnen und neue Anwendungsserver in Betrieb genommen. Gemeinsam mit externen Sicherheitsspezialisten analysieren wir die Lage weiter.

Was wir derzeit wissen:

• der unbefugte Zugriff konnte Kontodaten aller Nutzer, ihrer Geschäftspartner sowie Rechnungen betreffen, die vor 2023 ausgestellt wurden - den Umfang des Datenabflusses ermitteln wir noch
• es kam zu keiner Verletzung im Bereich der Integrationen oder der Zahlungskartendaten
• nach unserem Kenntnisstand sind Rechnungen, die nach 2023 ausgestellt wurden, infolge des Vorfalls nicht abgeflossen
• die unbefugte Person hat keine in unseren Systemen gespeicherten Daten gelöscht

Was haben wir getan?

• wir führen eine Rotation der Anwendungsschlüssel und Dienstpasswörter durch
• wir haben neue Anwendungsserver gestartet und den Zugang für Unbefugte unterbunden
• wir haben gemeinsam mit externen Sicherheitsspezialisten die Analyse des Vorfalls aufgenommen und eine Reihe zusätzlicher Schutzmaßnahmen eingeführt
• wir haben den Vorfall bei der Polizei (Zentralstelle zur Bekämpfung der Cyberkriminalität), bei CERT Polska sowie beim Präsidenten der Datenschutzbehörde (UODO) gemeldet, die für unser Unternehmen die federführende Aufsichtsbehörde ist

Welche Daten konnten betroffen sein?

Nach unseren bisherigen Feststellungen konnte die unbefugte Person Zugriff auf folgende Daten haben:

• Konto- und Nutzerdaten von Unternehmen, einschließlich Passwort-Hashes
• Sitzungstokens, API-Tokens und Integrationstokens, die auf unserer Seite erzeugt werden
• Bankkonten und Zahlungsdaten
• Daten von Geschäftspartnern (alle) und Rechnungsdaten (teilweise)
• Systemschlüssel und Passwörter der Anwendung

Sollte die weitere Analyse neue Erkenntnisse bringen, aktualisieren wir diese Mitteilung unverzüglich.

Was empfehlen wir?

Um Ihr Konto zusätzlich abzusichern, empfehlen wir Ihnen:

• das Passwort für Ihr Konto bei eFakturierung zu ändern - so geht's
• das Passwort für das mit eFakturierung verknüpfte E-Mail-Postfach zu ändern, ebenso für andere Dienste, bei denen Sie dasselbe Passwort verwenden
• die zweistufige Verifizierung zu aktivieren - so geht's
• die Kontoeinstellungen zu prüfen, insbesondere die auf Ihren Rechnungen angegebene Bankverbindung und die Liste der Nutzer mit Zugang zum Konto
• Ihre API-Tokens zu widerrufen und neu auszustellen, falls Sie Integrationen nutzen

Welche Folgen sind möglich? Bleiben Sie wachsam

Es ist möglich, dass Sie in nächster Zeit E-Mails, SMS oder Anrufe von Personen erhalten, die sich als bekannte Institutionen ausgeben - als Bank, Behörde, Kurierdienst, als eFakturierung oder als Ihre Geschäftspartner. Solche Nachrichten erzeugen häufig Zeitdruck und drängen zu schnellem Handeln. Wir bitten Sie:

• gehen Sie vorsichtig mit Links und Anhängen in elektronischen Nachrichten um
• geben Sie keine Passwörter, Verifizierungscodes oder Zahlungskartendaten heraus - weder in einer Antwort noch auf einer über einen Link geöffneten Seite noch am Telefon. eFakturierung fragt in solchen Fällen niemals nach Ihrem Passwort
• prüfen Sie die Absenderadresse - unsere Nachrichten versenden wir ausschließlich über die Domain efakturierung.de; achten Sie auf täuschend ähnliche Adressen, etwa mit zusätzlichen Wörtern oder Tippfehlern
• beenden Sie bei einem Anruf einer angeblichen Bank- oder Behördenmitarbeiterin das Gespräch und rufen Sie selbst die auf der offiziellen Website veröffentlichte Nummer an
• seien Sie vorsichtig bei Aufforderungen, eine Bankverbindung zu ändern - lassen Sie sich eine solche Änderung telefonisch von Ihrem Geschäftspartner bestätigen, und zwar unter einer Ihnen bekannten Nummer
• melden Sie uns verdächtige Nachrichten über das Kontaktformular und erwägen Sie eine Meldung an die zuständige Stelle für Cybersicherheitsvorfälle in Ihrem Land

Wir ermitteln weiterhin, welche Kundinnen und Kunden von dem Datenabfluss betroffen sind. Jede und jeden von ihnen werden wir in Kürze direkt benachrichtigen.

Wir bedauern diese Situation sehr. Die Sicherheit Ihrer Daten hat für uns Priorität, deshalb klären wir den Sachverhalt mit vollem Einsatz auf. Über weitere Erkenntnisse informieren wir laufend auf dieser Seite.