Sicherheitsvorfall im Onlineshop barite.de

In unserer Benachrichtigung per E-Mail waren die Zeitangaben zum Vorfall fehlerhaft. Genannt waren dort der 1. Juni 2026 als Zeitpunkt der Feststellung sowie ein Zugriffszeitraum vom 15. bis 31. Mai 2026.

Zutreffend sind die Angaben auf dieser Seite: Wir haben den Vorfall am 21. April 2026 festgestellt. Der genaue Zeitraum des unbefugten Zugriffs ließ sich nicht abschließend feststellen. Wir bitten diesen Fehler zu entschuldigen.

Alle übrigen Angaben der Benachrichtigung – zu den betroffenen Datenkategorien, den möglichen Folgen und unseren Empfehlungen – waren zutreffend.

Gesicherte Erkenntnis

Nach unseren Erkenntnissen wurde die Shop-Datenbank vollständig ausgelesen, nicht nur teilweise. Wir gehen daher davon aus, dass sämtliche zum damaligen Zeitpunkt gespeicherten Kundendatensätze betroffen sind – und damit auch Ihrer.

Der Täter hat uns eine Auflistung der ausgelesenen Tabellen mit den jeweiligen Datensatzzahlen übermittelt. Diese stimmen mit unserem damaligen Datenbestand überein. Eine Einschränkung auf einzelne Kunden können wir daher nicht vornehmen.

Der Täter nannte unter anderem die folgenden Tabellen und Datensatzzahlen:

Kundenstammdaten	82.836
Adressen	396.686
Rechnungsadressen (Kundenkonto)	75.682
Lieferadressen (Kundenkonto)	75.682
Bestellungen	102.512
Rechnungsadressen (Bestellung)	102.427
Lieferadressen (Bestellung)	102.427

Beigefügt waren außerdem ein Auszug der Datenbankstruktur sowie eine Stichprobe echter Kundendatensätze.

Gesicherte Erkenntnis

Die Tabelle mit den Kundenstammdaten, in der auch die Passwort-Prüfsummen gespeichert sind, war Teil des Datenabflusses. Ein Auslesen dieser Prüfsummen ist daher anzunehmen.

Klartext-Passwörter liegen bei uns nicht vor. Passwörter werden ausschließlich mit dem Verfahren bcrypt gehasht. Eine Vollprüfung hat ergeben, dass alle 83.637 Datensätze dieses Verfahren verwenden; veraltete Verfahren wie MD5 oder SHA-256 sind nicht vorhanden.

bcrypt gilt nach aktuellem Stand der Technik als sicher. Ein Zurückrechnen auf das ursprüngliche Passwort ist nicht möglich; das Erraten schwacher Passwörter durch systematisches Ausprobieren ist mit erheblichem Aufwand grundsätzlich denkbar.

Vorsorglich haben wir am 26. August 2026 sämtliche Kundenpasswörter zurückgesetzt. Etwaig abgeflossene Prüfsummen sind damit nicht mehr verwendbar. Bitte vergeben Sie über „Passwort vergessen“ ein neues Passwort – und ändern Sie es überall dort, wo Sie dasselbe Passwort ebenfalls verwenden.

Gesicherte Erkenntnis

Nein. In unserem Shop besteht keine technische Möglichkeit, eine Kundenbankverbindung zu hinterlegen. Alle Zahlarten laufen entweder über externe Zahlungsdienstleister oder als Überweisung über Ihr eigenes Kreditinstitut.

Wir haben dies am 26. August 2026 durch eine Vollprüfung des Datenbestandes bestätigt: In den vom Shopsystem dafür vorgesehenen Feldern (Kontonummer, Kontoinhaber, Bankname, Bankleitzahl, BIC, IBAN) enthält kein einziger von 10.297 Datensätzen einen Wert.

Nicht abschließend geklärt

Wir können keine CVE-Nummer oder andere eindeutige technische Bezeichnung der ausgenutzten Schwachstelle nennen. Eine externe forensische Untersuchung war uns als Kleinstunternehmen wirtschaftlich nicht möglich; wir haben die Aufklärung mit eigenen Mitteln vorgenommen:

• vollständiger Malware- und Schwachstellenscan des Servers (April 2026, ohne Befund)
• vollständige Sicherheitsüberprüfung des Quellcodes einschließlich aller Erweiterungen (4. August 2026)
• Überprüfung aller Administratorkonten und Anmeldeprotokolle (August 2026, keine unbekannten Konten, keine unberechtigten Anmeldungen)
• Auswertung der Zugriffsprotokolle der Programmierschnittstelle (26. August 2026, ausschließlich bekannte Integrationen)

Bei der Codeanalyse wurden in zwei Erweiterungen sicherheitsrelevante Schwachstellen festgestellt. Beide Erweiterungen wurden am 4. August 2026 entfernt. Ob eine davon tatsächlich genutzt wurde, lässt sich anhand der vorliegenden Protokolldaten nicht nachweisen.

Nicht abschließend geklärt

Festgestellt haben wir den Vorfall am 21. April 2026. Nach den Angaben des Täters erfolgten die Zugriffe im April 2026.

Einzelne Datenbankabfragen oder der zeitliche Ablauf der Aktivitäten ließen sich anhand der verfügbaren Protokolldaten nicht nachvollziehen. Die Protokolle des betreffenden Zeitraums lagen nicht in ausreichender Tiefe vor. Wir haben die Aufbewahrungsdauer daher verlängert.

Die Meldung nach Art. 33 DSGVO erfolgte am 21. April 2026 an die Landesbeauftragte für Datenschutz und Informationsfreiheit der Freien Hansestadt Bremen, Georgstraße 122–124, 27570 Bremerhaven.

Das Verfahren dauert an. Wir stehen mit der Behörde in laufendem Austausch und beantworten deren Rückfragen. Das Aktenzeichen teilen wir Ihnen auf Anfrage gerne mit.

Gesicherte Erkenntnis

Ja. Unser Shopsystem legt auch bei einer Bestellung ohne Kundenkonto einen Datensatz an, damit Rechnung und Versand abgewickelt werden können. Diese Datensätze liegen in derselben Datenbanktabelle wie die regulären Kundenkonten und sind in gleichem Umfang betroffen.

Die Formulierung in unserer Benachrichtigung war insoweit missverständlich – wir bitten dies zu entschuldigen.

Ein Passwort ist bei Ihnen nicht betroffen, da bei einer Gastbestellung keines vergeben wird. Ebenso wenig betroffen sind Zahlungsdaten: Die gewählte Zahlungsart (etwa „PayPal“ oder „Vorkasse“) ist Teil der Bestelldaten, Bankverbindungen oder Kartendaten werden bei uns jedoch grundsätzlich nicht gespeichert.

Gesicherte Erkenntnis

Ja. Hier ist zwischen dem Shopsystem und den Kundendaten zu unterscheiden.

Das Shopsystem von vbled.eu läuft auf einem technisch vollständig getrennten Server mit eigener Datenbank. Dieses System war von dem unbefugten Zugriff nicht betroffen.

Die Kundendaten sind es hingegen sehr wohl: Bestellungen aus vbled.eu werden in unser Warenwirtschaftssystem übernommen, das dieselbe Datenbank nutzt wie barite.de. Wenn Sie über vbled.eu bestellt haben, befinden sich Ihr Name, Ihre Anschrift und Ihre Bestelldaten daher ebenfalls in dem ausgelesenen Datenbestand und sind in gleichem Umfang betroffen.

Wir hatten diesen Punkt zunächst missverständlich dargestellt und bitten dies zu entschuldigen.

Nicht abschließend geklärt

Eine Veröffentlichung der Daten ist uns bis heute nicht bekannt geworden. Uns sind ebenso keine Missbrauchsfälle bei betroffenen Kundinnen und Kunden gemeldet worden.

Zur Frage der Weitergabe müssen wir Ihnen jedoch eine unerfreuliche Einschätzung mitteilen: Der Täter gab in seiner Erpressungsnachricht an, im Auftrag eines Dritten gehandelt zu haben. Er forderte eine Zahlung und kündigte an, die Daten andernfalls an diesen Auftraggeber weiterzugeben.

Wir sind auf diese Forderung nicht eingegangen und haben keine Zahlung geleistet. Nach den eigenen Angaben des Täters ist daher von einer Weitergabe der Daten an einen Dritten auszugehen. Bestätigen oder ausschließen können wir dies nicht – wir halten es aber für die wahrscheinlichere Annahme und möchten Ihnen diese Einschätzung nicht vorenthalten.

Seit dem 21. April 2026 hat der Täter keinen weiteren Kontakt zu uns aufgenommen. Sollten uns neue Erkenntnisse vorliegen, aktualisieren wir diese Seite.

Sie können jederzeit die Löschung Ihres Kundenkontos verlangen. Schreiben Sie uns dazu an office@barite.de.

Bitte beachten Sie, dass wir Rechnungs- und Bestelldaten aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB) für die Dauer der gesetzlichen Fristen weiter aufbewahren müssen. Diese Daten werden für die weitere Nutzung gesperrt und nach Ablauf der Fristen gelöscht.