Kreditkartendaten über fünf Monate abgegriffen
Miniatur Wunderland in Hamburg von Datenleck bei Online-Ticketkäufen betroffen

Nach Informationen von heise online wurde Schadcode in ein Modul des Online-Ticketshops eingeschleust. Dadurch konnten Angreifer den Datenstrom während des Bezahlvorgangs manipulieren und vollständig auslesen. Betroffen sind sämtliche Kreditkartenzahlungen innerhalb des rund fünfmonatigen Zeitraums. Das Miniatur Wunderland erklärte, dass grundsätzlich keine Kreditkartendaten lokal gespeichert werden – der Angriff muss daher über einen sogenannten Man-in-the-Middle-Mechanismus erfolgt sein.

Was ist ein Man-in-the-Middle-Angriff?

Ein Man-in-the-Middle-Angriff (MitM) bedeutet, dass sich ein Angreifer unbemerkt zwischen zwei Kommunikationspartner schaltet. Anstatt dass Daten direkt vom Nutzer zum Server gelangen, werden sie heimlich über den Rechner des Angreifers geleitet. Dort können sie ausgelesen, verändert oder abgefangen werden.
Im Fall des Miniatur Wunderlands wurde der Datenverkehr beim Online-Bezahlen so manipuliert, dass die Kreditkartendaten gleichzeitig beim Zahlungsdienstleister und beim Angreifer landeten. Kurz gesagt: Ein MitM-Angriff ist wie ein heimlicher Dritter, der ein Telefongespräch mithört – nur unsichtbar im Internet.

Reaktionen und Umfang des Datenlecks

Nach Angaben der Hamburger Datenschutzbehörde wurde die Datenpanne am 5. November 2025 gemeldet. Anschließend informierte der Betreiber die mutmaßlich Betroffenen per E-Mail und riet zur sofortigen Sperrung der Kreditkarte sowie zur engmaschigen Prüfung sämtlicher Abbuchungen. Laut t-online liegt die Zahl der betroffenen Besucher zwischen 30.000 und 35.000.

Derzeit ist noch unklar, wie die Schadsoftware in den Ticketshop gelangte und wie lange sie unentdeckt aktiv war. Der Betreiber hat die kompromittierte Infrastruktur abgeschaltet, neu aufgesetzt und externe IT-Forensiker eingebunden.

Fakten zum Wunderland-Datenleck nach Medieninformationen:

• Zeitraum der Kompromittierung: 6. Juni 2025 bis 29. Oktober 2025
• Abgeflossene Daten: Karteninhabername, Kreditkartennummer, Gültigkeitsdatum, CVV
• Mögliche Anzahl der Betroffenen: fünfstelliger Bereich
• Angriffspunkt: manipuliertes Modul im Online-Ticketshop
• Maßnahmen des Unternehmens: Meldung an Behörden, Abschaltung des Systems, Neuaufsetzung technischer Komponenten

Für Besucher bedeutet der Vorfall ein erhöhtes Risiko für unbefugte Abbuchungen, betrügerische Kartentransaktionen sowie weitere Folgeangriffe wie Phishing-Versuche.

Informieren Sie sich schnell, sicher und kostenlos. Geben Sie zur Erstellung Ihres persönlichen Zugangs Name, E-Mail-Adresse und Telefonnummer ein. Nach der Registrierung werden alle weiteren Schritte auf unserem abgesicherten Mandanten-Portal durchgeführt.

Rechtlich handelt es sich um eine nach Art. 33 und 34 DSGVO meldepflichtige Datenpanne mit hohem Risiko für die Rechte der Betroffenen. Kreditkartendaten gehören zu den sensibelsten personenbezogenen Daten. Besonders strenge technische und organisatorische Sicherheitsmaßnahmen wären erforderlich gewesen. Ob diese ausreichend umgesetzt wurden, muss geklärt werden.

Die Rechtsprechung des Europäischen Gerichtshofs stärkt seit 2023 die Position von Betroffenen:

• Es genügt bereits der Verlust der Kontrolle über personenbezogene Daten.

• Ein materieller Schaden – etwa eine unbefugte Abbuchung – ist nicht erforderlich.

• Psychische Belastungen wie Kontrollverlust, Angst oder Unsicherheit können ersatzfähig sein.

Auch der Bundesgerichtshof hat klargestellt, dass Art. 82 DSGVO einen eigenständigen Schadensersatzanspruch begründet.

Rechtsprechung auf Seiten der Verbraucher

Die Rechtsprechung von Europäischem Gerichtshof (EuGH) und Bundesgerichtshof (BGH) stärkt die Position von Betroffenen eins Datenlecks:

• EuGH, Urteil vom 4. Mai 2023 – C-300/21
Der Europäische Gerichtshof stellte klar, dass immaterielle Schäden ersatzfähig sind. Es genügt bereits das Gefühl des Kontrollverlusts, Angst vor Identitätsdiebstahl oder der Eindruck ständiger Überwachung.

• BGH, Urteil vom 5. März 2021 – VI ZR 12/19
Der Bundesgerichtshof bestätigte, dass Art. 82 DSGVO einen eigenständigen Schadensersatzanspruch begründet. Auch ohne nachweisbaren materiellen Schaden können Betroffene Entschädigung verlangen.

• BGH, Urteil vom 18. November 2024 – VI ZR 10/24
Besonders grundlegend: Der BGH entschied, dass schon der bloße Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellt. Es reicht also aus, dass Betroffene erfahren, dass ihre Daten in falsche Hände geraten sind – selbst ohne konkreten Missbrauch.

Jetzt handeln: Kostenlose Ersteinschätzung im Online-Check

Betroffene des Datenlecks beim Miniatur Wunderland sollten ihre Situation umgehend prüfen lassen. Die Kanzlei Dr. Stoll & Sauer hilft dabei, die rechtlichen Optionen einzuschätzen, Ansprüche zu sichern und etwaige Verstöße gegen die DSGVO aufzudecken. Jetzt kostenlose Ersteinschätzung im Datenschutz-Online-Check starten und Ansprüche sichern.