News Warnung vor Phishing: BVG von IT-Angriff mit 180.000 Kundendaten betroffen

[NovumVeritas]

@nlr
Klar, gerne. Denke ist für die Transparenz nicht verkehrt

 

[KeinNutzerName]

Wir haben noch keine Post. Warum ? steht auf der BVG Webseite, hätte man mit in der News schreiben können

OK ich bin ja nett..
https://www.bvg.de/de/datenschutzvorfall

Unter dem Punkt:

Bin ich betroffen oder nicht?

Die BVG hat alle Kund*innen, die betroffen sind, per Brief über den Vorfall informiert. Wer also keinen Brief bekommen hat, ist nicht betroffen. Betroffen können generell nur diejenigen Personen sein, die im Januar 2025 im Zusammenhang mit dem Tarifprodukt „Berlin Abo“ von uns kontaktiert oder informiert wurden.

Da bei uns seit letztem Jahr nichts geändert wurde. Alles gut.

 

[Loretta]

nur aus Neugier: hat BVG genauso viele Tracker in der App wie die DB?

Im Oktober 2022 haben wir Klage gegen die App „DB Navigator” eingereicht, weil der Schnüffel-Navigator viele persönliche Informationen weitergibt – ohne dass Nutzer.innen sich dagegen wehren könnten. Mittlerweile hat die Bahn ihre Klageerwiderung eingereicht.

https://digitalcourage.de/blog

 

[Salamimander]

@Loretta Achtung Achtung, sie sehen: Whataboutism!

 

[Loretta]

@Loretta Achtung Achtung, sie sehen: Whataboutism!

?

 

[MaWoBLN]

nur aus Neugier: hat BVG genauso viele Tracker in der App wie die DB?



https://digitalcourage.de/blog

Offiziell nein, aber die Nutzer können, wenn sie es aktiv aktivieren, ihre Tracking-Daten teilen, um
so die Planung der Taktung zu optimieren. Quelle: LinkedIn

Also diese Scholz-Direct ist wohl ein Dienstleister, der Werbe- und/oder Infobriefe für Unternehmen verschickt, so wie das aussieht auf deren Webseite. Das würde erklären, warum "nur" persönliche Daten wie Name und (E-Mail) Adresse abgeflossen sind.

Ist natürlich doof, wenn die mit den Datensätzen Ihrer Firmenkunden so umgehen.
Kann man nur hoffen, dass die nicht für Banken tätig sind, denn hier würden ggf.
auch Kunden- oder Bankverbindungen in Infobriefen stehen.

 

[mr_andersson]

Yup, im Brief steht:
Richard Scholz GmbH

Als Absender des Infobriefs?
Als Dienstleister, der es verbockt hat?
oder beides?

 

[Mxhp361]

Irgendeine Software müssen Firmen ja verwenden.

Ich finde das Design jetzt nicht schlimm.

Schon klar aber welchen Standard an Sicherheit hat man den hier gewählt? Natürlich ist mir bewusst das kein System eine 100%tige Sicherheit darstellt. Aber ob da der Grundschutz des BSI eingehalten wurde?
Irgendwie hätte ich von einer "Kritischen Infrastruktur" viel mehr erwartet.

Das ganze ist ja nicht das erste was vor kurzen in Berlin gehackt wurde #Bürgeramt. Aber eigentlich nicht so schlimm, der Service u. das gesamte Berliner Service Portal ist so dermaßen schlecht, da ist es nun auch nicht so schlimm wenn das mal ausfällt.. Ich mein, einen Bürgeramt Termin in absehbarer Zeit zu buchen ist ohne das Portal zwischen den morgendlichen Stunden zu stalken schlicht nicht möglich.

 

[NovumVeritas]

Als Dienstleister, der es verbockt hat?
oder beides?

Die BVG nennt in dem Brief die GmbH als Dienstleister. Die BVG hat den Brief an die betroffenen Kunden geschickt und informiert das die Robert Scholz GmbH es verbockt hat.

 

[Ricomat]

IT Sicherheit ist teuer.
Hatte neulich ein Gepräch mit einem Freund, der die IT in einer mittelgroßen Firma betreut.
Seine Aussage: Viele Firmen scheuen die hohen Kosten und lassen das dann billig von irgend einer Klitsche machen.

 

[Salamimander]

Ich arbeite seit über 18 Jahren in der IT und an der Sicherheit wird immer gespart. Zumindest an echter. Man kauft sich halt von der Schuld frei, anstatt wirklich vor zu sorgen.

 

[DieIntilligente]

@Salamimander
Letztens vom Management eines Dienstleisters für Krankenhäuser hat ein Datenschützer mal wieder die Antwort erhalten: "Warum? Es ist doch seit über 4 Jahren nichts mehr passiert." 😉

Ergebnis: Personalkürzung beim Datenschutz bzw. kommt kein Ersatz für den baldigen Rentner...

 

[Akula]

Außerdem stand die ganze Sache schon seit gestern auf deren Internetseite. Und gestern ging das auch durch die Medien, also die BVG ist einfach ein Entenverein.

Also bitte, was hat denn die BVG mit der Post zutun? Na nichts. Der Entenverein ist hier allenfalls die DPAG. Die Datierung sagt wenig aus.

Ergänzung (17. Mai 2025)

Wenn die alle Daten haben, dann ist das schon bedenklich.
Viele haben dort Bankdaten, Adresse, Alter und Passbild hinterlegt...

Die Bankdaten, Passbilder sind nicht betroffen.

 

[MountWalker]

Der Entenverein ist hier allenfalls die DPAG.

Nicht unbedingt, denn wie du selbst feststellst, sagt die Datierung nichts aus. Wenn der Brief nach Erstellung erstmal zwei Wochen durch die unternehmenseigene Postausgangskaskade läuft, bevor er bei der Post oder Pin AG landet, kann der Postdienstleister natürlich nicht in die Vergangenheit reisen, um den Brief wenige Tage nach Erstellung zuzustellen.

Der hier im Thread erwähnte "externe Dienstleister" scheint für mich erstmal auch wie ein Indiz für eine etwas längere Postausgangskaskade.

 

[St3ppenWoLF]

Kommt mir das nur so vor, oder kommt speziell die BVG nicht mit solchen Angriffen klar?

 

[CyborgBeta]

Na, wenigstens war der Bundestag/die Parlamentarier diesmal nicht betroffen (Stichwörter: APT28, Russland, das Böse) ... Bisschen nebulös das Ganze.

Ich wohne nicht in Berlin, und war auch nur einmal in meinem Leben dort (das muss auch nicht wieder sein^^), deshalb sind meine Daten vom Leck vermutlich nicht betroffen.

Aber wieder einmal zeigt sich, Cyberangriffe sind an der Tagesordnung, und alle Firmen sollten präventiv viel Geld in die Sicherheit investieren.

 

[keldana]

Bitte bei Minute 1 stoppen und hinschauen.
DAS IST DATENSCHUTZ!!!111!!11!

Oder bei etwa 55 Sekunden ... Benutzerkennung und Passwort sichtbar.