NIUS-Datenleck: Was Newsletter-Abonnenten wissen sollten

Wer Ende 2025 den NIUS-Newsletter abonniert hatte, gehört nach den Angaben der Recherche zum möglicherweise betroffenen Personenkreis. Ob der eigene Datensatz enthalten war und welche Angaben er umfasste, lässt sich aus dem veröffentlichten Bericht nicht individuell ablesen. Für Abonnenten geht es damit zunächst um eine nachvollziehbare Auskunft des Anbieters und um Vorsicht bei ungewöhnlichen E-Mails.

Was im Newsletter-Backup lag

CORRECTIV beschreibt ein rund 500 Megabyte großes Archiv, das wegen einer mutmaßlichen Fehlkonfiguration öffentlich heruntergeladen werden konnte. Eine solche Sicherung, auch Backup genannt, dient dazu, Daten und Software bei Bedarf wiederherzustellen. Hier enthielt sie dem Bericht zufolge den Quellcode der Newslettersoftware sowie die Daten von rund 42.000 Abonnenten, die Ende 2025 angemeldet waren.

Welche einzelnen personenbezogenen Angaben in diesen Datensätzen standen, schlüsselt der Artikel nicht auf. Deshalb wäre es nicht gedeckt, diesem Novemberfund etwa Bankverbindungen oder private Anschriften aus anderen NIUS-Vorfällen zuzuordnen. Auch der Zeitpunkt des Datenbestands sagt noch nichts darüber aus, seit wann das Archiv öffentlich erreichbar war. Diese Dauer und die Frage, wer darauf zugegriffen hat, sind laut CORRECTIV ungeklärt.

Warum die Versandschlüssel ein eigenes Risiko sind

Zusätzlich lagen im Archiv geheime Zugangsschlüssel eines Cloudanbieters, den NIUS für den Mailversand nutzt. Solche Schlüssel ermöglichen Software den Zugriff auf einen Dienst. Im beschriebenen Fall hätten Dritte damit laut CORRECTIV E-Mails im Namen von NIUS versenden können. Die Schlüssel des Versandsystems sind dabei etwas anderes als das persönliche Passwort eines Newsletter-Abonnenten; aus ihrem Bekanntwerden folgt nicht, dass dessen E-Mail-Postfach übernommen wurde.

Das Abschalten des Servers beendet den dortigen öffentlichen Zugriff auf die Sicherung. Ob darin enthaltene Zugangsschlüssel weiterhin funktionieren, ist eine gesonderte Frage. Wie diese Trennung technisch aussieht, zeigt beispielsweise die Dokumentation des Cloudanbieters AWS: Dort werden Schlüssel eigens deaktiviert oder gelöscht, um ihre weitere Verwendung zu unterbinden. Das ist ein allgemeines Beispiel, keine Feststellung zum von NIUS eingesetzten Anbieter. Ob die hier offengelegten Schlüssel gesperrt wurden, geht aus dem CORRECTIV-Bericht nicht hervor.

Was über die Reaktion von NIUS bekannt ist

NIUS äußerte sich laut CORRECTIV auf dessen Anfrage nicht zum Vorfall. Einige Tage nach der Anfrage wurde der Server mit dem Archiv abgeschaltet. Die zuständige Datenschutzbehörde bestätigte CORRECTIV den Datenabfluss und bezeichnete ihn als fünften gemeldeten Datenschutzvorfall bei NIUS seit Beginn 2025. Ob ein Bußgeld droht, ließ die Behörde offen.

Der neue Fund betrifft das Newsletter-System und kommt zu dem im Oktober bekannt gewordenen Datenleck hinzu. Auch einen Zusammenhang mit dem Phishing-Versuch gegen Abgeordnete am 22. September sollte man nicht daraus konstruieren: Nach der Analyse von CORRECTIV kamen die jetzt gefundenen Schlüssel bei diesem Mailversand nicht zum Einsatz.

Wie Betroffene verdächtige Nachrichten prüfen können

Eine unerwartete E-Mail, die angeblich wegen des Datenlecks eine erneute Anmeldung oder Zahlungsangaben verlangt, sollte man unabhängig überprüfen. Das österreichische Bundeskriminalamt empfiehlt zum Schutz vor Phishing, die bekannte Website selbst aufzurufen und bei Zweifeln über selbst recherchierte Kontaktdaten nachzufragen. Ein vertrauter Absendername allein reicht als Prüfung nicht aus. Der Hinweis beschreibt eine Vorsichtsmaßnahme; konkrete Betrugsmails aus diesem Newsletter-Leck sind damit nicht belegt.

Wer auf einer verdächtigen Seite bereits ein Passwort eingegeben hat, sollte es direkt beim echten Dienst ändern. Das Bundeskriminalamt empfiehlt außerdem, nach Möglichkeit eine Zwei-Faktor-Authentifizierung einzurichten. Wurden Zahlungsdaten preisgegeben, sollte man unverzüglich die Bank kontaktieren und die betroffenen Zugänge beziehungsweise Karten sperren lassen. Solche Schritte richten sich nach dem tatsächlich Geschehenen; der Bericht über das offene Newsletter-Backup allein belegt noch keinen Zugriff auf das eigene Bankkonto.

Für eine Nachfrage bei NIUS sind konkrete Fragen sinnvoll: War mein Datensatz enthalten, welche Angaben waren betroffen und wann wurde die öffentliche Erreichbarkeit beendet? Für die Sicherheit des Versandsystems bleibt außerdem relevant, ob die offengelegten Schlüssel unbrauchbar gemacht wurden. Eine abgeschaltete Downloadmöglichkeit beantwortet diese Fragen noch nicht.