PŸUR-Datenleck: Bankdaten von Kunden abgeflossen, das sollten Betroffene jetzt wissen

Kunden des Internetanbieters PŸUR sind Opfer eines Datenlecks geworden. Angreifer haben nach Angaben der Tele Columbus Netz GmbH Daten aus dem Unternehmensnetz abgezogen, darunter Namen, Vertragsnummern und Bankverbindungen. Betroffen sind aktuelle und frühere Kunden. Der Vorfall wurde erst Ende Oktober 2026 in Kundenbriefen bekannt, obwohl der Angriff nach bisherigen Erkenntnissen schon Wochen vorher stattfand.

Der Fall folgt einem Muster, das deutsche Internetnutzer in den vergangenen Wochen mehrfach erlebt haben. Bei PŸUR geht es um besonders sensible Daten, denn mit einer Bankverbindung und einem Lastschriftmandat lassen sich gezielte Betrugsversuche vorbereiten. Wer einen Brief von PŸUR erhalten hat, sollte die Lage ernst nehmen, ohne in Panik zu verfallen.

Was ist bei PŸUR passiert?

Nach den bisher veröffentlichten Informationen erfolgte der Angriff zwischen Mitte September und Anfang Oktober 2026. In diesem Zeitraum verschafften sich Unbekannte Zugang zum Netzwerk der Tele Columbus Netz GmbH, der operativen Tochter der Tele Columbus AG, zu der auch der Kabelnetz- und Internetanbieter PŸUR gehört. Nach eigenen Untersuchungen und Erkenntnissen der Ermittlungsbehörden übertrugen die Angreifer Daten aus dem Netzwerk nach außen.

Die betroffenen Kunden wurden zum 27. Oktober 2026 schriftlich informiert. Öffentlich bekannt wurde der Vorfall Anfang November 2026, unter anderem durch Berichte des Blogs BornCity und der Sicherheitsmeldung von heise Security vom 2. November 2026. In dem Schreiben an die Kunden heißt es, dass auch personenbezogene Daten eines Teils der aktuellen und ehemaligen Kunden abgeflossen seien. Wie viele Kunden genau betroffen sind, wurde bislang nicht öffentlich genannt.

Nach Feststellung des Angriffs wurde der Angreifer nach Unternehmensangaben aus dem Netz ausgesperrt. Die Bundesnetzagentur, das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die zuständigen Datenschutzaufsichtsbehörden wurden informiert. Außerdem laufen polizeiliche Ermittlungen, nachdem das Unternehmen Strafanzeige erstattet hat.

Welche Daten sind abgeflossen?

Laut dem Informationsschreiben sind folgende Daten betroffen: Vertragsnummer, Name, Vorname, Bankverbindung, Buchungsdaten und Lastschriftmandat. In dem Schreiben heißt es, dass die Daten aus dem Zeitraum ab Juni 2022 stammen. Die genaue Formulierung lässt Raum für Interpretation, aber klar ist: Es geht um Vertragsdaten, die einen Kunden eindeutig identifizieren und die Bankverbindung enthalten.

Passwörter werden in den bisher bekannten Informationen nicht als abgeflossen genannt. Auch von einem Zugriff auf Inhalte der Internetnutzung ist keine Rede. Das ändert aber nichts an der Bedeutung des Vorfalls. Eine Kombination aus Name, Adresse im Sinne der Vertragsdaten, Vertragsnummer und Bankverbindung reicht aus, um sehr überzeugend wirkende Phishing-Mails, Briefe oder Anrufe zu gestalten. Genau davor warnt das Unternehmen in seinem Schreiben ausdrücklich.

Betroffene sollten deshalb in den kommenden Wochen besonders aufmerksam sein. Seriöse Anbieter fragen niemals per E-Mail oder am Telefon nach Passwörtern, PINs oder TANs. Wer eine Nachricht erhält, die angeblich von PŸUR, der Bank oder einem anderen Dienstleister stammt und zu einer schnellen Handlung drängt, sollte den Absender über einen selbst gewählten Weg prüfen, also etwa über die offizielle Rufnummer oder die bekannte Internetadresse des Anbieters.

Warum der Zeitpunkt des Vorfalls Fragen aufwirft

Zwischen dem Angriff und der Information der Kunden lagen mehrere Wochen. Der Angriff soll zwischen Mitte September und Anfang Oktober 2026 stattgefunden haben, die Briefe gingen erst am 27. Oktober 2026 heraus. Das ist kein ungewöhnlicher Ablauf bei solchen Vorfällen, denn Unternehmen müssen erst feststellen, was genau abgeflossen ist, bevor sie Betroffene sinnvoll informieren können. Trotzdem bleibt für Kunden eine unangenehme Lücke: In dieser Zeit konnten die erbeuteten Daten bereits für Betrugsversuche vorbereitet werden.

Auch zum Angriffsweg selbst gibt es bisher keine öffentlichen Angaben. Das ist bei laufenden Ermittlungen üblich und ändert für Betroffene an den praktischen Schritten wenig.

Der Fall ist kein Einzelfall: In der gleichen Woche informierte Notebooksbilliger seine Kunden über einen Datenabfluss, und am 6. November 2026 wurde ein Cyberangriff auf Mindfactory bekannt. Die Vorfälle hängen nach bisherigem Stand nicht nachweislich zusammen, aber sie zeigen, wie stark deutsche Unternehmen derzeit im Visier von Angreifern stehen.

Was Betroffene jetzt tun sollten

Wer einen Brief von PŸUR erhalten hat, sollte ihn sorgfältig lesen und aufbewahren. Prüfen Sie die Kontoauszüge der kommenden Wochen genau und melden Sie ungewöhnliche Abbuchungen sofort Ihrer Bank. Eine unberechtigte Lastschrift kann in der Regel innerhalb von acht Wochen zurückgegeben werden, bei einer nicht autorisierten Abbuchung gelten längere Fristen.

Auch das eigene E-Mail-Postfach verdient Aufmerksamkeit. Phishing-Mails, die auf den echten Daten aufbauen, wirken oft täuschend echt. Sie enthalten den richtigen Namen, die richtige Vertragsnummer und manchmal sogar die richtige Bankverbindung. Trotzdem gilt: Niemals auf Links in unerwarteten Mails klicken, um sich anzumelden oder Daten zu bestätigen. Besser ist es, die Internetseite des Anbieters selbst im Browser aufzurufen und sich dort anzumelden.

Sinnvoll ist außerdem, die eigenen Passwörter zu prüfen. Auch wenn Passwörter bei PŸUR nach bisherigem Stand nicht abgeflossen sind, ist ein Datenleck ein guter Anlass, um alte und mehrfach verwendete Passwörter zu ersetzen. Ein Passwort-Manager hilft dabei, für jeden Dienst ein eigenes, starkes Passwort zu nutzen. Wo es möglich ist, sollte zusätzlich die Zwei-Faktor-Authentifizierung aktiviert werden, vor allem beim E-Mail-Konto und beim Online-Banking.

Was Kunden von PŸUR erwarten können

Das Unternehmen hat die zuständigen Behörden informiert, die Ermittlungen laufen. Betroffene haben das Recht zu erfahren, welche ihrer Daten konkret betroffen sind. Nach der Datenschutz-Grundverordnung muss ein Unternehmen Betroffene unverzüglich informieren, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht. Bei Fragen zum eigenen Fall ist der Kundenservice von PŸUR der erste Ansprechpartner. Die Kontaktdaten stehen im Informationsschreiben und auf der Internetseite des Anbieters.

Wer den Eindruck hat, Opfer eines Betrugsversuchs geworden zu sein, kann sich außerdem an die Verbraucherzentralen wenden. Sie beraten zu Phishing, zu unberechtigten Abbuchungen und zu den Rechten nach einem Datenleck. Eine Anzeige bei der Polizei ist sinnvoll, wenn tatsächlich ein Schaden entstanden ist oder ein konkreter Betrugsversuch vorliegt.

Der Vorfall erinnert daran, dass auch große Anbieter nicht vor Angriffen sicher sind. Wachsamkeit im Alltag ist wichtiger geworden: Kontoauszüge prüfen, Mails hinterfragen, Passwörter pflegen. Kleine Schritte, die im Fall eines Datenlecks den Unterschied machen können.

Häufig gestellte Fragen

Bin ich betroffen, wenn ich PŸUR-Kunde bin oder war?

Nicht unbedingt jeder Kunde ist betroffen. Nach dem Schreiben des Unternehmens sind Daten eines Teils der aktuellen und ehemaligen Kunden abgeflossen. Wer einen Brief von PŸUR erhalten hat, gehört zu den Betroffenen. Wer unsicher ist, fragt beim Kundenservice nach.

Wurde meine Bankverbindung für Abbuchungen missbraucht?

Darüber gibt es bisher keine öffentlichen Angaben. Bankverbindung und Lastschriftmandat gehören zu den abgeflossenen Daten. Prüfen Sie Ihre Kontoauszüge in den kommenden Wochen genau und melden Sie ungewöhnliche Abbuchungen sofort Ihrer Bank.

Muss ich mein PŸUR-Passwort ändern?

Nach bisherigem Stand gibt es keine Hinweise darauf, dass Passwörter abgeflossen sind. Trotzdem schadet ein Passwortwechsel nicht, vor allem wenn das Passwort auch bei anderen Diensten verwendet wird. Nutzen Sie ein eigenes, starkes Passwort und aktivieren Sie, wo möglich, die Zwei-Faktor-Authentifizierung.