Lidl-Datenleck im Onlineshop: Diese Kundendaten sind betroffen

Nach einem Sicherheitsvorfall bei einem externen IT-Dienstleister informiert Lidl betroffene Onlineshop-Kunden. Namen, Kontaktdaten und Geburtsdaten wurden entwendet – Passwörter und Zahlungsinformationen sollen dagegen sicher geblieben sein.

Das Lidl-Datenleck betrifft nach bisherigem Kenntnisstand nicht die zentrale Datenbank des Onlineshops. Unbekannte konnten jedoch zeitweise auf eine separat gespeicherte Datei bei einem externen IT-Dienstleister zugreifen und Teile der darin enthaltenen Kundendaten kopieren, berichtet timestuff.de.

Lidl wurde eigenen Angaben zufolge Anfang Juli 2026 über den Vorfall informiert und benachrichtigt betroffene Kunden direkt. Wie viele Personen betroffen sind und welcher IT-Dienstleister angegriffen wurde, ist bislang nicht öffentlich bekannt. Das geht unter anderem aus der von ComputerBase veröffentlichten Kundeninformation hervor.

Das Wichtigste in Kürze

• Betroffen ist eine Kundendatei bei einem externen IT-Dienstleister.
• Der Lidl-Onlineshop selbst soll nicht kompromittiert worden sein.
• Entwendet wurden unter anderem Namen, Telefonnummern, E-Mail-Adressen und Geburtsdaten.
• Passwörter, Bankdaten und Lieferanschriften sollen nicht betroffen sein.
• Das größte unmittelbare Risiko sind personalisierte Phishing-Mails, SMS und Anrufe.

Welche Lidl-Kundendaten wurden gestohlen?

Nach den bisher veröffentlichten Angaben befanden sich in der entwendeten Datei klassische Kundenstammdaten. Diese Informationen reichen zwar nicht aus, um sich direkt in ein Lidl-Konto einzuloggen oder Geld vom Konto abzubuchen. Sie können aber verwendet werden, um betrügerische Nachrichten wesentlich glaubwürdiger zu gestalten.

Betroffen	Nach aktuellem Stand nicht betroffen
Anrede	Passwörter
Vor- und Nachname	Rechnungsanschriften
Telefonnummer	Lieferanschriften
E-Mail-Adresse	Bankdaten
Geburtsdatum	Kreditkarten- und andere Zahlungsdaten
Kundennummer	Das Kundenkonto selbst

Besonders problematisch ist die Kombination aus Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum und Kundennummer. Betrüger können damit Nachrichten erstellen, die wie eine echte persönliche Lidl-Mitteilung aussehen.

Welche Onlineshop-Kunden sind betroffen?

Betroffen sind Kunden, deren Daten in der kompromittierten Datei des Dienstleisters gespeichert waren. Wer eine persönliche Information über den Sicherheitsvorfall von Lidl erhalten hat, sollte deshalb davon ausgehen, dass zumindest ein Teil seiner Daten entwendet wurde.

Öffentlich ist bisher nicht eindeutig erklärt worden, aus welchem Bestellzeitraum die Daten stammen. Ebenso ist unklar, ob ausschließlich registrierte Kundenkonten oder möglicherweise auch frühere Gastbestellungen erfasst sind.

Wer bislang keine Nachricht erhalten hat, kann daraus daher nicht mit absoluter Sicherheit schließen, dass keine eigenen Daten betroffen sind. Lidl hat jedoch erklärt, die betroffenen Kunden direkt zu informieren. Für Rückfragen wird in den veröffentlichten Berichten die Kontaktadresse data.shop@lidl.de genannt.

Ist Lidl Plus ebenfalls vom Datenleck betroffen?

Nach den derzeit vorliegenden Medienberichten ist die Lidl-Plus-App nicht direkt von dem Sicherheitsvorfall betroffen. Auch das eigentliche System des Lidl-Onlineshops soll nicht angegriffen worden sein. Der Zugriff erfolgte vielmehr auf eine getrennte Datei bei einem Dienstleister.

Unter anderem Teltarif berichtet ausdrücklich, dass Lidl Plus nicht betroffen sei.

Allerdings ist eine wichtige Unterscheidung notwendig: Wer Lidl Plus nutzt und darüber im Onlineshop bestellt hat, kann trotzdem Onlineshop-Kundendaten bei Lidl hinterlassen haben. Die reine Nutzung der App bedeutet also nicht automatisch, dass eine Person betroffen ist – sie schließt eine Betroffenheit nach einem Onlinekauf aber auch nicht grundsätzlich aus.

Die Datenschutzhinweise von Lidl zeigen, dass Onlineshop-Bestellungen sowohl als Gast als auch über ein Lidl-Plus-Konto möglich sind. Entscheidend ist daher, ob die jeweiligen Daten in der entwendeten Datei gespeichert waren.

Warum Phishing jetzt die größte Gefahr ist

Passwörter und Bankdaten wurden nach aktuellem Stand nicht gestohlen. Trotzdem ist der Vorfall nicht harmlos. Mit den entwendeten Stammdaten können Kriminelle sogenannte personalisierte Phishing-Angriffe starten.

Eine gefälschte Nachricht kann beispielsweise den korrekten Namen, das Geburtsdatum oder sogar die echte Lidl-Kundennummer enthalten. Dadurch wirkt sie glaubwürdiger als eine gewöhnliche Spam-Mail mit allgemeiner Anrede.

„Bitte prüfe stets die Authentizität des Absenders.“

Lidl-Warnung an Onlineshop-Kunden laut ComputerBase

Das Bundesamt für Sicherheit in der Informationstechnik warnt grundsätzlich davor, dass gefälschte E-Mails und Webseiten immer professioneller aussehen. Rechtschreibfehler oder eine unpersönliche Anrede sind deshalb längst keine zuverlässigen Erkennungsmerkmale mehr.

So könnten gefälschte Lidl-Nachrichten aussehen

• „Ihre Bestellung konnte nicht zugestellt werden“ – anschließend soll eine geringe Nachgebühr bezahlt werden.
• „Bestätigen Sie wegen des Datenlecks Ihr Konto“ – der Link führt zu einer gefälschten Login-Seite.
• „Sie erhalten eine Rückerstattung“ – dafür sollen Bank- oder Kreditkartendaten eingegeben werden.
• „Ihre Lidl-Kundennummer wurde gesperrt“ – die Nachricht erzeugt künstlichen Zeitdruck.
• „Kostenloser Gutschein als Entschädigung“ – tatsächlich werden Daten abgefragt oder kostenpflichtige Abos abgeschlossen.
• Anruf eines angeblichen Lidl-Mitarbeiters – der Betrüger nennt echte persönliche Angaben und verlangt weitere Informationen.

Checkliste für betroffene Lidl-Kunden

1. Die originale Lidl-Information aufbewahren.
   Die Nachricht sollte nicht gelöscht werden. Speichere sie zusammen mit dem Versanddatum und möglichen Anhängen oder fertige einen Screenshot an.
2. Keine Links aus unerwarteten Nachrichten öffnen.
   Rufe den Lidl-Onlineshop stattdessen manuell über den Browser oder über die offizielle App auf.
3. E-Mail-Konto besonders gut absichern.
   Verwende ein eigenes, starkes Passwort und aktiviere nach Möglichkeit die Zwei-Faktor-Authentifizierung.
4. Bei SMS und Anrufen keine Daten bestätigen.
   Auch die Bestätigung bereits genannter Informationen kann Betrügern helfen, Datensätze zu überprüfen und zu ergänzen.
5. Bestellungen und Kontobewegungen beobachten.
   Bankdaten wurden zwar nicht entwendet. Auffällige Abbuchungen oder unbekannte Bestellungen sollten trotzdem sofort geprüft werden.
6. Verdächtige Nachrichten melden.
   Phishing-Mails können an phishing@verbraucherzentrale.nrw weitergeleitet werden. Die Verbraucherzentrale sammelt und analysiert aktuelle Betrugsversuche im
   Phishing-Radar.

Muss das Lidl-Passwort geändert werden?

Eine sofortige Passwortänderung ist aufgrund des bekannten Lidl-Datenlecks nicht zwingend erforderlich, weil Passwörter nach aktuellem Stand nicht Teil der entwendeten Datei waren und die Kundenkonten selbst nicht kompromittiert wurden.

Trotzdem sollte das Passwort geändert werden, wenn mindestens einer dieser Punkte zutrifft:

• Das Passwort wird auch bei anderen Webseiten verwendet.
• Es ist kurz, leicht zu erraten oder enthält persönliche Angaben.
• Es wurde über einen Link aus einer verdächtigen Nachricht eingegeben.
• Im Konto erscheinen unbekannte Änderungen oder Bestellungen.
• Der Nutzer kann nicht mehr auf sein Konto zugreifen.

Eine Passwortänderung schützt allerdings nicht davor, dass Betrüger die bereits gestohlenen Namen, Telefonnummern oder Geburtsdaten weiterhin für gefälschte Nachrichten verwenden.

Die Verbraucherzentrale empfiehlt grundsätzlich unterschiedliche Passwörter für verschiedene Dienste, einen Passwortmanager und eine Zwei-Faktor-Authentifizierung für besonders wichtige Konten.

Was tun, wenn ein verdächtiger Link bereits geöffnet wurde?

Link geöffnet, aber keine Daten eingegeben

Schließe die Seite und lade keine Dateien herunter. Prüfe anschließend den Download-Ordner und führe einen aktuellen Sicherheitscheck des Geräts durch. Allein das Öffnen einer Webseite bedeutet nicht automatisch, dass das Gerät infiziert wurde.

Passwort eingegeben

Ändere das Passwort sofort über die manuell aufgerufene offizielle Webseite. Wurde dasselbe Passwort bei anderen Diensten verwendet, muss es auch dort ersetzt werden. Das gilt besonders für das zugehörige E-Mail-Konto.

Bank- oder Kreditkartendaten eingegeben

Kontaktiere unverzüglich die Bank oder den Kartenanbieter. Warte nicht erst auf eine Abbuchung. Die Bank kann prüfen, ob eine Sperrung der Karte oder weitere Schutzmaßnahmen notwendig sind.

Datei oder App installiert

Trenne das Gerät vorsorglich vom Internet und führe einen vollständigen Virenscan durch. Bei ungewöhnlichem Verhalten, unbekannten Apps oder nicht mehr erreichbaren Konten sollte professionelle IT-Hilfe hinzugezogen werden.

Geld überwiesen oder einen Bezahlcode weitergegeben

Informiere sofort die Bank beziehungsweise den Zahlungsdienstleister. Sichere alle Nachrichten, Rufnummern, Kontodaten und Screenshots. Bei einem finanziellen Schaden sollte zusätzlich Strafanzeige erstattet werden.

Häufige Fragen zum Lidl-Datenleck

Sind Bankdaten von Lidl-Kunden betroffen?

Nach aktuellem Kenntnisstand nicht. Lidl zufolge wurden weder Bankdaten noch Kreditkarten- oder andere Zahlungsinformationen aus der betroffenen Datei entwendet.

Wurden Lidl-Passwörter gestohlen?

Nein. Passwörter sollen nicht betroffen sein. Auch die Kundenkonten selbst wurden nach den bisher veröffentlichten Angaben nicht kompromittiert.

Sind Liefer- und Rechnungsadressen betroffen?

Nein. Lidl nennt Rechnungs- und Lieferanschriften ausdrücklich als nicht betroffen.

Funktioniert der Lidl-Onlineshop weiterhin?

Ja. Das eigentliche Onlineshop-System soll nicht Ziel des erfolgreichen Zugriffs gewesen sein. Der Vorfall ereignete sich bei einem externen IT-Dienstleister und betraf eine separat gespeicherte Datei.

Ist Lidl Plus betroffen?

Nach derzeitigen Berichten nicht. Die Untersuchung bezieht sich auf Kundendaten des Onlineshops. Nutzer, die über Lidl Plus im Onlineshop bestellt haben, sollten eine persönliche Lidl-Benachrichtigung dennoch ernst nehmen.

Ist bereits ein Missbrauch der Daten bekannt?

Laut den bisherigen Unternehmensangaben gibt es keine konkreten Hinweise darauf, dass die entwendeten Daten bereits missbräuchlich verwendet wurden. Das schließt spätere Phishing-Versuche oder Identitätsmissbrauch jedoch nicht aus.

Was über den Angriff noch nicht bekannt ist

Mehrere zentrale Fragen sind weiterhin offen. Lidl hat bislang öffentlich weder die Zahl der betroffenen Kunden noch den Namen des angegriffenen Dienstleisters genannt. Auch der genaue Zeitraum, aus dem die Kundendaten stammen, wurde nicht präzisiert.

• Wie viele Personen sind insgesamt betroffen?
• Aus welchen Jahren oder Bestellzeiträumen stammen die Daten?
• Waren Gastbestellungen ebenfalls in der Datei enthalten?
• Welcher IT-Dienstleister wurde angegriffen?
• Wie lange hatten die Täter tatsächlich Zugriff?
• Wurden die Daten bereits weiterverkauft oder veröffentlicht?

Der Dienstleister soll die Systeme inzwischen abgesichert, externe Experten mit der Untersuchung beauftragt und Strafanzeige gestellt haben. Außerdem wurde nach Angaben von Lidl die zuständige Datenschutzbehörde informiert.

Für Kunden gilt deshalb vor allem: keine Panik, aber erhöhte Aufmerksamkeit. Eine E-Mail mit dem richtigen Namen oder der echten Kundennummer ist noch kein Beweis dafür, dass sie tatsächlich von Lidl stammt. Bei Zweifeln sollte der Onlineshop immer direkt aufgerufen und der Kundenservice über einen selbst recherchierten Kontaktweg angesprochen werden.

Auch bei ALDI lohnt sich ein Blick ins Sortiment, denn ab 13. Juli kehren zahlreiche Kultprodukte zur Retro-Woche 2026 zurück.