Flink-Datenleck: Erpresser-Mails an Kunden – was ihr jetzt tun und warum ihr nicht zahlen solltet

Beim Lieferdienst Flink haben Unbekannte über kompromittierte Zugangsdaten auf ein internes System zugegriffen, und seit dem 25. September 2026 bekommen Flink-Kunden Erpresser-Mails, die rund 10 bis 12 Euro in der Kryptowährung Ether bis zum 2. Oktober fordern. Flink bestätigt Namen, E-Mail-Adressen, Anschriften und Telefonnummern als betroffen, Passwörter und Zahlungsdaten nicht — die Zahl von einer Million Kunden stammt dagegen nur von den Tätern. Stand: September 2026.

Das Wichtigste in Kürze

• Flink bestätigt einen unbefugten Zugriff auf ein internes System über kompromittierte Zugangsdaten. Der Zugang ist laut Flink gesperrt.
• Betroffen sind laut Flink Name, E-Mail-Adresse, Postanschrift und Telefonnummer. Etage, Klingelname, Lieferhinweise und Bestelldetails kann Flink nicht ausschließen, sieht aber keine konkreten Hinweise auf einen Zugriff.
• Passwörter, Kreditkarten- und Bankdaten sind laut Flink nicht betroffen. Karte sperren müsst ihr deshalb nicht.
• Die Erpresser verlangen je Kunde 0,005 Ether, von Flink 100 Ether. Polizei und Flink raten: nicht zahlen, nicht antworten, Anzeige erstatten.
• Nach Art. 82 DSGVO kann schon der Kontrollverlust über eure Daten ein Schaden sein; der Bundesgerichtshof hielt dafür im Facebook-Fall rund 100 Euro für vertretbar.

Anzeige / Transparenz: Dieser Artikel enthält keine Partner-Links und ist keine Rechtsberatung, sondern eine Einordnung des Flink-Vorfalls nach öffentlich zugänglichen Quellen. Sollten wir an anderer Stelle auf Angebote verweisen, erhalten wir beim Kauf über einen solchen Link eine kleine Provision. Für euch bleibt der Preis identisch.

Flink-Datenleck: Was ist passiert und welche Daten sind betroffen?

Symbolbild — KI-generiert / MonsterDealz

Flink hat am 25. September 2026 bestätigt, dass Unbekannte mit kompromittierten Zugangsdaten auf eines seiner internen Systeme zugegriffen haben. Das berichten unter anderem Retail-News und der Tagesspiegel, der den Zugang auf die Daten eines ehemaligen Mitarbeiters zurückführt. Wer bei Flink Lebensmittel bestellt hat und jetzt eine Zahlungsaufforderung im Postfach findet, will vor allem wissen, ob die Drohung echt ist und was er tun muss.

Ein Datenleck ist ein Vorfall, bei dem personenbezogene Daten ohne Erlaubnis in fremde Hände gelangen — durch einen Angriff, eine Panne oder einen Fehler im Unternehmen. Die DSGVO nennt das eine Verletzung des Schutzes personenbezogener Daten. Beim Flink-Datenleck ist es ein gezielter Zugriff mit anschließender Erpressung, also ein Datendiebstahl.

Laut Flink sind Namen, E-Mail-Adressen, Postanschriften und Telefonnummern betroffen. Möglicherweise betroffen sind Angaben aus früheren Bestellungen: Etage und Eingang, Klingelnamen, individuelle Lieferhinweise und Bestelldetails. Für einen tatsächlichen Zugriff auf diese zusätzlichen Bestellinformationen gibt es laut Flink derzeit keine konkreten Hinweise, ausschließen kann das Unternehmen ihn aber nicht.

Flink ist ein Berliner Lieferdienst mit eigenen Lagern, der in Deutschland und den Niederlanden liefert. Die niederländische NL Times zitiert Flink mit der Aussage, dass Kunden in beiden Ländern kontaktiert werden und Anzeigen bei der deutschen und der niederländischen Polizei erstattet wurden.

Was Flink bestätigt — und was nur die Erpresser behaupten

Die Zahl von einer Million betroffener Kunden und 13.000 Beschäftigten steht in keiner Flink-Mitteilung, sondern in den Mails der Täter. Flink bestätigt nach den Berichten, dass Kriminelle Kunden und Beschäftigte anschreiben, hat die Zahlen aber nicht verifiziert. Die Übersicht trennt beides:

Eigene Zusammenstellung nach Retail-News, Tagesspiegel und NL Times vom 25. September 2026. Eine eigene Mitteilung zum Vorfall ist auf goflink.com nicht auffindbar (Sitemap am 26. September 2026 geprüft), die Angaben von Flink stammen aus der Kundenmail und aus Aussagen gegenüber der Presse.

Laut NL Times entspräche eine Million Kunden etwa zwei Dritteln der Flink-Kundschaft. Bis Flink eigene Zahlen nennt, ist das eine Behauptung von Erpressern, die ein Interesse daran haben, den Schaden möglichst groß aussehen zu lassen.

Welche Daten werden bei einem Datenleck typischerweise gestohlen — und welche bei Flink nicht?

Bei Datenlecks von Onlinehändlern geht es meist um Kontaktdaten, oft um Passwörter und manchmal um Zahlungsdaten — bei Flink sind laut Unternehmen nur die ersten betroffen. Passwörter sowie Zahlungsinformationen wie Kreditkarten- oder Bankdaten sind laut Flink nicht betroffen, berichtet Retail-News am 25. September 2026. Das ist für euch die wichtigste Entwarnung: Niemand kann mit diesen Daten in eurem Namen bei Flink einkaufen oder eure Karte belasten.

Daraus folgen zwei konkrete Entscheidungen. Eine Kreditkarte müsst ihr wegen des Flink-Vorfalls nicht sperren lassen, und eine Lastschrift nicht vorsorglich zurückholen. Beides würde nur Aufwand und im Zweifel Gebühren erzeugen, ohne ein Risiko zu senken.

Gefährlich sind die Daten trotzdem, nur auf eine andere Art. Name, Anschrift, Telefonnummer und E-Mail zusammen sind der Rohstoff für glaubwürdige Betrugsversuche. Flink warnt in seiner Kundeninformation ausdrücklich davor, dass Kriminelle glaubwürdig wirkende E-Mails, SMS oder Anrufe verschicken und sich als Flink oder als Beteiligte des Vorfalls ausgeben könnten.

Kämen Etage, Klingelname und Lieferhinweise hinzu, wüssten Fremde zusätzlich, wie ihr an der Haustür erreichbar seid. Einen solchen Zugriff sieht Flink derzeit nicht belegt. Wer dort sensible Angaben hinterlegt hat, etwa einen Hinweis auf Abwesenheiten oder einen Schlüsselort, sollte sie im Kundenkonto trotzdem auf das Nötige kürzen.

Ob sich ein Lieferdienst überhaupt für euren Einkauf rechnet, hängt nicht am Vorfall, sondern am Modell. Die Unterschiede zwischen Supermarkt-Lieferung, Lager-Lieferdienst und Abo-Kiste erklärt unser Ratgeber zum Lebensmittel-Lieferdienst.

Erpresser-Mail nach dem Flink-Hack: Warum ihr nicht zahlen solltet

Symbolbild — KI-generiert / MonsterDealz

Die Erpresser fordern von einzelnen Kunden 0,005 Ether, laut Tagesspiegel rund 10 Euro und laut NL Times umgerechnet 11,80 Euro, mit einer Frist bis zum 2. Oktober 2026. Andernfalls drohen sie, die Daten zu veröffentlichen oder zu verkaufen. Von Flink selbst verlangen sie laut beiden Berichten 100 Ether, rund 235.000 bis 237.300 Euro, und versprechen dafür, alle Daten zu löschen.

Zahlen ist keine Lösung, und zwar aus drei Gründen. Erstens gibt es keine Möglichkeit zu prüfen, ob gelöscht wird — die Daten liegen bei unbekannten Tätern, die gleichzeitig ein ganzes Unternehmen erpressen. Zweitens zeigt eine Zahlung, dass die Adresse aktiv ist und der Empfänger zahlt. Drittens lässt sich eine Überweisung in Ether nicht wie eine Lastschrift zurückbuchen.

Die Polizei formuliert es auf ihrem Beratungsportal eindeutig. Unter den Tipps zu Erpresser-Nachrichten schreibt Polizei-Beratung: „Überweisen Sie kein Geld. Die Erpressung hört nach der Zahlung meist nicht auf.“ Dazu kommen der Rat, Anzeige zu erstatten, und die Aufforderung, den Kontakt sofort abzubrechen und nicht auf Nachrichten zu reagieren.

Flink selbst rät laut Retail-News ebenfalls dringend davon ab, zu zahlen, und stellt klar, dass das Unternehmen niemals die Übermittlung von Geld oder Kryptowährungen verlangen wird. Jede Nachricht, die im Namen von Flink Geld, Ether oder Bitcoin fordert, ist damit sicher nicht echt.

Was tun, wenn ihr schon gezahlt habt?

Wer bereits gezahlt hat, sollte erst recht Anzeige erstatten. Der Ratgeber Internetkriminalität der Polizei nennt die Anzeige nach einer Zahlung besonders wichtig und empfiehlt, als Belege Screenshots, E-Mail-Header, Absenderangaben und die genannte Wallet-Adresse zu sichern. Eine Rückholung ist bei Kryptowährungen kaum möglich, die Wallet-Adresse hilft den Ermittlern aber, Zahlungen verschiedener Opfer zusammenzuführen.

Rechnet danach mit weiteren Forderungen. Wer einmal gezahlt hat, steht für Täter auf einer Liste der Zahlungswilligen — antwortet auf keine Folge-Mail, auch nicht mit einer Beschwerde.

Wie finde ich heraus, ob ich vom Flink-Datenleck betroffen bin?

Sicher betroffen seid ihr, wenn ihr bei Flink ein Kundenkonto hattet und eine Benachrichtigung von Flink oder eine Erpresser-Mail an genau diese Adresse bekommen habt. Nach Art. 34 DSGVO muss ein Unternehmen Betroffene benachrichtigen, wenn eine Datenpanne „voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge“ hat. Flink hat seine Kunden am 25. September 2026 per Mail informiert.

Die bekannten Leak-Datenbanken helfen im Flink-Fall noch nicht weiter. Wir haben am 26. September 2026 die öffentliche Liste von Have I Been Pwned abgefragt: Sie führt 1.038 erfasste Datenlecks mit zusammen rund 17,8 Milliarden Konten, aber keinen Eintrag zu Flink, der jüngste Eintrag stammt vom 13. September 2026. Solange die Daten nicht veröffentlicht sind, kann ein Leak-Checker sie nicht kennen.

Ein Treffer bei Have I Been Pwned oder beim Identity Leak Checker des Hasso-Plattner-Instituts zeigt euch trotzdem, ob eure Adresse schon aus anderen Lecks bekannt ist. Wie ihr die Ergebnisse lest und warum ein Treffer nicht automatisch ein geknacktes Postfach bedeutet, erklären wir ausführlich im Ratgeber Gmail gehackt.

Auskunft verlangen: welche Daten Flink über euch gespeichert hat

Wer Gewissheit will, fragt Flink direkt. Art. 15 DSGVO gibt euch das Recht auf Auskunft über die gespeicherten Daten, die Empfänger und „alle verfügbaren Informationen über die Herkunft der Daten“, dazu eine Kopie. Nach Art. 12 Absatz 3 DSGVO muss die Antwort innerhalb eines Monats kommen, in komplexen Fällen ist eine Verlängerung um zwei Monate möglich, und nach Absatz 5 ist sie unentgeltlich.

Eine Auskunft zeigt euch, welche Lieferhinweise und Klingelnamen Flink zu eurem Konto gespeichert hatte — also genau die Angaben, deren Abfluss Flink bisher nicht ausschließen kann. Die Verbraucherzentrale stellt dafür Musterbriefe und eine kostenlose Anspruchsprüfung bereit.

Was tun nach einem Datenleck: die Schritte für Flink-Kunden

Symbolbild — KI-generiert / MonsterDealz

Nach dem Flink-Datenleck braucht ihr fünf Schritte, und keiner davon kostet Geld. Die Reihenfolge folgt den Empfehlungen von Polizei, BSI und Verbraucherzentrale, die sich bei Erpressung per E-Mail in allen drei Kernpunkten decken: nicht zahlen, Beweise sichern, anzeigen.

1. Nicht antworten und nicht zahlen: Jede Antwort bestätigt eure Adresse. Die Frist 2. Oktober ist ein Druckmittel, keine rechtliche Frist.
2. Beweise sichern: Mail nicht löschen, sondern mit Kopfzeilen speichern, Screenshot der Wallet-Adresse und der Forderung machen.
3. Anzeige erstatten: Online über das gemeinsame Portal der Onlinewachen, das zur Wache eures Bundeslands führt, oder bei jeder Dienststelle.
4. Konten absichern: Flink hat laut eigenen Angaben keine Passwörter verloren. Habt ihr das Flink-Passwort aber auch anderswo verwendet, ändert es dort, und aktiviert beim E-Mail-Konto die Zwei-Faktor-Anmeldung.
5. Folge-Nachrichten misstrauen: Alles, was sich auf den Vorfall bezieht, nur in der Flink-App oder durch eigenes Aufrufen der Website prüfen, nie über einen Link in einer Nachricht.

Das BSI nennt auf seiner Seite zu Identitätsdiebstahl durch Datenleaks die Onlinewachen der Länder als Weg für die Anzeige, dazu das kostenlose Servicecenter unter 0800 274 1000 und die Leak-Checker von Universität Bonn und Hasso-Plattner-Institut. Wer Passwörter grundsätzlich loswerden will, findet die robustere Alternative im Ratgeber zu Passkeys.

Muss ich mein Passwort nach einem Datenleck ändern?

Beim Flink-Passwort selbst ist das nach Flinks Angaben nicht zwingend, weil Passwörter nicht betroffen sind. Schaden kann es nicht, und es kostet eine Minute. Zwingend ist es überall dort, wo ihr dasselbe Passwort ein zweites Mal verwendet — und beim E-Mail-Postfach, über das sich alle anderen Passwörter zurücksetzen lassen.

Für die Zukunft lohnt eine eigene Adresse fürs Einkaufen. Wird sie durch ein Leck wie bei Flink bekannt, lässt sie sich wechseln, ohne dass euer Hauptpostfach betroffen ist; wie das mit Alias-Adressen geht, steht im Ratgeber zur Wegwerf-E-Mail.

Folge-Phishing: Woran ihr falsche Flink-Nachrichten erkennt

Die größere Gefahr als die Erpresser-Mail sind die Nachrichten, die in den nächsten Wochen folgen könnten, denn mit echtem Namen und echter Anschrift wirkt eine Fälschung glaubwürdig. Das BSI nennt fünf Merkmale: dringender Handlungsbedarf, Drohungen, die Abfrage vertraulicher Daten wie PIN oder Kartennummer, enthaltene Links oder Formulare und ein ungewöhnliches Anliegen eines bekannten Absenders.

Rechtschreibfehler sind dagegen kein verlässliches Zeichen mehr. Das BSI weist darauf hin, dass Phishing-Mails immer professioneller werden — eine fehlerfreie Mail mit eurem vollen Namen ist also kein Echtheitsbeweis.

Übertragen auf den Flink-Fall sind drei Maschen naheliegend, weil sie genau die Daten nutzen, die abgeflossen sind:

• Angebliche Entschädigung: eine Mail oder SMS, die wegen des Vorfalls einen Gutschein oder eine Rückzahlung verspricht und dafür einen Link zur „Bestätigung“ der Kartendaten enthält.
• Angeblicher Sicherheitsdienst: ein Anruf von einer „IT-Abteilung“ oder einer „Datenschutzstelle“, die eure Identität mit einem Code aus einer SMS prüfen will.
• Angebliche Löschung: eine zweite Mail, die gegen eine kleinere Summe die endgültige Löschung verspricht — dieselbe Erpressung in neuer Verpackung.

Keine dieser Varianten ist bisher als Welle belegt; sie folgen dem Muster, vor dem Flink selbst warnt: E-Mails, SMS oder Anrufe im Namen von Flink oder von Beteiligten des Vorfalls. Die Gegenregel ist einfach. Echte Informationen von Flink findet ihr in der App oder beim eigenen Aufruf der Website, und Codes aus SMS gebt ihr niemals am Telefon weiter. Wie ihr gefälschte Nachrichten bei Bundesnetzagentur, Polizei und Verbraucherzentrale meldet, zeigt unser Ratgeber zum Betrug mit Park-Apps.

Datenleck Schadensersatz: Welche Rechte habt ihr nach der DSGVO?

Symbolbild — KI-generiert / MonsterDealz

Nach Art. 82 DSGVO hat jede Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadensersatz gegen den Verantwortlichen. Der Bundesgerichtshof hat am 18. November 2024 im Facebook-Scraping-Verfahren (Aktenzeichen VI ZR 10/24) entschieden, dass dafür schon der Kontrollverlust über eigene Daten genügen kann.

Der Kernsatz aus der Pressemitteilung Nr. 218/2024 des Bundesgerichtshofs lautet: „Nach der für die Auslegung des Art. 82 Abs. 1 DSGVO maßgeblichen Rechtsprechung des EuGH kann auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die Datenschutz-Grundverordnung ein immaterieller Schaden im Sinne der Norm sein.“ Zur Höhe hatte das Gericht keine Bedenken, den Ausgleich für den bloßen Kontrollverlust in jenem Fall in einer Größenordnung von 100 Euro zu bemessen.

Übertragbar ist das Urteil nur mit einer entscheidenden Einschränkung. Schadensersatz setzt einen Verstoß des Unternehmens gegen die DSGVO voraus, und nach Art. 82 Absatz 3 ist es von der Haftung befreit, wenn es nachweist, dass es in keinerlei Hinsicht für den Schaden verantwortlich ist. Ob Flink seine Systeme ausreichend geschützt hat — etwa ob Zugänge ausgeschiedener Mitarbeiter rechtzeitig gesperrt wurden —, ist bisher nicht geklärt.

Lohnt sich eine Klage nach dem Flink-Datenleck?

Für die meisten Flink-Kunden lohnt sich heute noch keine Klage, sondern zuerst die Auskunft. Die Forensik läuft laut Flink noch, und erst wenn feststeht, welche Daten wirklich abgeflossen sind und wie der Zugang möglich war, lässt sich ein Verstoß beurteilen. Die 100 Euro aus dem BGH-Fall sind eine Orientierung für den bloßen Kontrollverlust, kein Tarif.

Zeitdruck besteht nicht. Die DSGVO enthält für Schadensersatz keine eigene Verjährungsfrist, in Deutschland gilt deshalb die regelmäßige Verjährung: drei Jahre nach § 195 BGB, beginnend nach § 199 BGB mit dem Schluss des Jahres, in dem ihr vom Anspruch erfahren habt. Wer im September 2026 vom Flink-Vorfall erfahren hat, hat damit bis Ende 2029 Zeit.

Welche Pflichten Flink jetzt hat

Nach Art. 33 DSGVO muss Flink die Panne unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. Flink hat laut Retail-News und Tagesspiegel die Datenschutzbehörden informiert und Strafanzeige erstattet; welche Behörde, nennen die zugänglichen Quellen nicht. Die Benachrichtigung der Kunden nach Art. 34 DSGVO muss in klarer und einfacher Sprache die Art der Verletzung beschreiben und die ergriffenen Maßnahmen nennen.

Flink nach dem Datenleck weiter nutzen: Vor- & Nachteile

Häufige Fragen zum Flink-Datenleck

Muss ich einen konkreten finanziellen Schaden nachweisen oder reicht der Kontrollverlust über meine Daten?

Ein finanzieller Schaden ist nicht nötig. Nach dem Urteil des Bundesgerichtshofs vom 18. November 2024 kann schon der bloße und kurzzeitige Kontrollverlust ein immaterieller Schaden nach Art. 82 DSGVO sein. Nachweisen müsst ihr aber, dass eure Daten betroffen sind, und es muss ein Verstoß des Unternehmens gegen die DSGVO vorliegen.

Wie kann ich feststellen, ob meine Daten bereits im Darknet kursieren?

Für die Flink-Daten derzeit gar nicht, weil die Täter mit Veröffentlichung oder Verkauf erst für den Fall drohen, dass bis zum 2. Oktober nicht gezahlt wird. Leak-Checker wie Have I Been Pwned oder der des Hasso-Plattner-Instituts erfassen nur Daten, die bereits aufgetaucht sind; in der öffentlichen Liste von Have I Been Pwned stand Flink am 26. September 2026 nicht. Eine erneute Abfrage im Oktober ist sinnvoll.

Sind meine Kreditkartendaten bei Flink betroffen?

Nein, laut Flink sind Zahlungsinformationen wie Kreditkarten- oder Bankdaten nicht betroffen, ebenso wenig Passwörter. Eine Kartensperre wegen des Vorfalls ist deshalb nicht nötig. Wer allerdings eine Mail bekommt, die wegen des Vorfalls Kartendaten abfragt, hat es mit Phishing zu tun.

Was passiert nach dem 2. Oktober, wenn ich nicht zahle?

Die Täter drohen, die Daten zu veröffentlichen oder zu verkaufen. Eine Zahlung würde daran nichts Verlässliches ändern, weil niemand eine Löschung prüfen kann. Realistisch ist, dass eure Kontaktdaten künftig für Spam und Phishing genutzt werden — dagegen helfen Wachsamkeit und eine eigene Einkaufsadresse, nicht ein paar Euro in Ether.

Hat Flink die Datenschutzbehörde informiert?

Ja, laut Flink wurden die Datenschutzbehörden informiert und Strafanzeige erstattet, in den Niederlanden zusätzlich bei der dortigen Polizei. Welche Behörde zuständig ist, nennen die öffentlich zugänglichen Quellen nicht; Flink hat seinen Sitz in Berlin.

Werden auch Flink-Mitarbeiter erpresst?

Nach den Berichten ja. Die Täter behaupten, Daten von 13.000 Beschäftigten zu haben, und Flink bestätigt, dass Kriminelle neben Kunden auch Beschäftigte kontaktieren. Für sie gelten dieselben Regeln: nicht zahlen, Beweise sichern, Anzeige erstatten.

Fazit: nicht zahlen, Beweise sichern, Auskunft verlangen

Die Schlagzeile vom gestohlenen Kundenstamm stimmt nur zur Hälfte. Flink bestätigt den Zugriff und den Abfluss von Namen, E-Mail-Adressen, Anschriften und Telefonnummern, nicht aber die Million Kunden, und Passwörter wie Zahlungsdaten sind laut Unternehmen nicht betroffen. Die Forderung von 0,005 Ether, rund 10 bis 12 Euro, ist Erpressung ohne jede Gegenleistung, auf die Polizei und Flink gleichlautend antworten: nicht zahlen.

Für euch bleibt eine kurze Liste. Erpresser-Mail sichern und anzeigen, mehrfach genutzte Passwörter ändern, Folge-Nachrichten nur in der App prüfen und bei Interesse nach Art. 15 DSGVO Auskunft verlangen. Über Schadensersatz lässt sich erst entscheiden, wenn die Forensik den Weg der Täter geklärt hat — Zeit dafür habt ihr bis Ende 2029.

MonsterDealz.de ist eine deutsche Deal-Community, die täglich geprüfte Schnäppchen kuratiert und aktive Mitglieder über das M-Coins-Bonusprogramm mit Amazon-Gutscheinen belohnt; in unseren 1.353 veröffentlichten Magazin-Ratgebern erklären wir auch, wie ihr euch beim Onlineeinkauf vor Betrug schützt. Aktuelle Angebote des Tages findet ihr auf der MonsterDealz-Startseite.