Bei ENGIE wurden keine Kartennummern erbeutet. Sondern die eine Nummer, die einen Betrugsanruf echt wirken lässt.

ENGIE hat es bestätigt: Angreifer erreichten ein Werkzeug, das einige der Partner des Konzerns zum Vertrieb von Energieangeboten nutzen, holten daraus Kundendaten und wurden inzwischen ausgesperrt. Die eigenen internen IT-Systeme seien nie kompromittiert worden, sagt das Unternehmen. Wie viele Menschen betroffen sind, hat es nicht gesagt, Partner und Werkzeug hat es nicht benannt, und der Vorfall betrifft ausschließlich Kunden in Frankreich. Einige von ihnen bekamen die Benachrichtigungsmail schon Anfang Oktober, lange bevor darüber breiter berichtet wurde.

Abgeflossen sind: Vor- und Nachname, Postanschrift, E-Mail-Adresse, Telefonnummer, Kundennummer, Vertragsnummer sowie der PDL für Strom beziehungsweise der PCE für Gas. Keine Bankdaten, was ENGIE verständlicherweise gern vorangestellt hat.

Dieser letzte Punkt verdient einen Moment. Ein PDL ist die Referenz für genau den Punkt, an dem der Strom Ihr Haus betritt. Niemand hat sie im Kopf, und die meisten haben nie danach gesucht, und genau deshalb klingt jemand, der sie Ihnen vorliest und gleich die Vertragsnummer hinterherschiebt, nach dem Energieversorger und nicht nach einem Fremden mit einer Tabelle. Rechnen Sie mit Anrufen und Mails zu einer Tarifprüfung, einer Rückerstattung zu viel gezahlter Beträge oder einem dringenden Zählertermin, und rechnen Sie damit, dass sie mit Details beginnen, die eigentlich nur ENGIE kennen dürfte.

Die Regel, die all das überlebt, ist langweilig und ausnahmslos: Niemand Seriöses braucht Ihre Bankdaten oder eine Zahlung während eines Anrufs, den Sie nicht selbst getätigt haben, ganz gleich wie viel das Gegenüber bereits über Sie weiß. Auflegen, die auf einer Rechnung gedruckte Nummer heraussuchen, diese zurückrufen. Und wer wissen will, welche der eigenen E-Mail-Adressen bereits auf solchen Listen kursieren: Tendvanes Datenschutz- und Kontenprüfung schlägt jede einzelne in bekannten Datenlecks nach.