Basic-Fit: Cyberangriff legt Daten von einer Million Mitgliedern offen

Ein schwerer Hackerangriff auf den Fitnessriesen Basic-Fit kompromittierte sensible Daten von rund einer Million Mitgliedern in sechs Ländern, darunter Bankverbindungen.

Ein schwerer Cyberangriff auf den europäischen Marktführer Basic-Fit hat persönliche und finanzielle Daten von rund einer Million Menschen kompromittiert. Das niederländische Unternehmen bestätigte Anfang der Woche, dass Unbefugte Zugriff auf ein zentrales System mit Mitgliederinformationen aus mehreren Ländern erlangten. Der Vorfall zeigt die wachsende Gefahr für Fitnessketten, die Kundendaten zentralisieren und auf rein digitale Zugangsmodelle setzen.

Anzeige

Der Datendiebstahl bei Basic-Fit zeigt, wie schnell persönliche Informationen in falsche Hände geraten können – besonders gefährlich ist dies für Nutzer von Online-Banking und Bezahldiensten. Dieser kostenlose Ratgeber erklärt Ihnen in 5 einfachen Schritten, wie Sie Ihr Android-Smartphone effektiv gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Angriff trifft Mitglieder in sechs Ländern

Die Sicherheitslücke bei Basic-Fit wurde am gestrigen Montag, dem 13. April 2026, durch interne Überwachungssysteme entdeckt. Laut Unternehmensangaben konnten die Sicherheitsteams die unbefugte Verbindung innerhalb weniger Minuten nach der Entdeckung kappen. Doch eine anschließende Untersuchung mit externen Spezialisten ergab: Ein erhebliches Datenvolumen war bereits aus einem zentralen Repository abgeflossen.

Der Vorfall hat eine enorme Reichweite. Betroffen sind aktive Mitglieder in Deutschland, Frankreich, Spanien, Belgien, Luxemburg und den Niederlanden. Von insgesamt etwa 5,8 Millionen Basic-Fit-Mitgliedschaften wurden fast eine Million in Mitleidenschaft gezogen. Allein in den Niederlanden bestätigte das Unternehmen den Diebstahl von Daten rund 200.000 Mitglieder.

Die gestohlenen Informationen sind höchst sensibel. Dazu gehören vollständige Namen, physische Adressen, E-Mail-Adressen, Telefonnummern und Geburtsdaten. Besonders kritisch: Die Angreifer erlangten Zugriff auf Bankverbindungen, konkret die für die Mitgliedsbeiträge verwendeten IBAN-Nummern. Basic-Fit stellt klar, dass keine Ausweisdokumente wie Pässe oder Führerscheine in den betroffenen Systemen gespeichert waren. Auch Passwörter seien nicht abgeflossen. Bisher gebe es keine Hinweise auf einen Missbrauch oder eine Veröffentlichung der Daten im Netz. Das Unternehmen hat die zuständigen Datenschutzbehörden informiert und beginnt mit der direkten Benachrichtigung der betroffenen Mitglieder.

Zentralisierte Datenbanken: Ein gefundenes Fressen für Hacker

Der Angriff auf Basic-Fit folgt einem bekannten Muster. Immer häufiger werden die digitalen Infrastrukturen der Fitnessbranche zum Ziel raffinierter Cyberattacken. Branchenanalysten beobachten, dass die Zusammenlegung von Mitgliederdaten in zentralen Cloud-Umgebungen große Ketten zu lukrativen Zielen macht. Ein erfolgreicher Angriff auf ein einziges Kernsystem kann den Zugriff auf Millionen von Kundendaten in verschiedenen Ländern ermöglichen.

Dieser Trend zeigte sich bereits im Sommer 2025, als der große US-Planet-Fitness-Franchisenehmer Excel Fitness einen Datendiebstahl meldete. Sensible persönliche Informationen waren durch gehackte Mitarbeiter-E-Mail-Konten kompromittiert worden. Eine weitere Lücke kam 2024 beim britischen Gesundheitsclub Total Fitness ans Licht, wo Hunderttausende Mitgliederdaten – inklusive privater Fotos von Erwachsenen und Kindern – ungeschützt im Netz lagen.

Experten warnen: Je mehr Daten die Studios sammeln – von biometrischen Fotos für Ausweise bis hin zu detaillierten Gesundheitsmetriken –, desto attraktiver wird der „Datenschatz“ für Kriminelle. Diese nutzen die Informationen für Phishing, Identitätsdiebstahl oder gezielte Betrugsangriffe.

Anzeige

Da Kriminelle gestohlene Daten oft für täuschend echte Phishing-Angriffe nutzen, ist ein moderner Schutz Ihrer digitalen Identität wichtiger denn je. Erfahren Sie in diesem Gratis-Report, wie Sie durch passwortlose Anmeldung mit Passkeys Ihre Konten bei Amazon, WhatsApp und Co. für Hacker unangreifbar machen. Kostenlosen Passkey-Report jetzt herunterladen

Digitalisierung schafft neue Sicherheitslücken

Der branchenweite Shift zu einer „digital-first“-Erfahrung bringt neue Risiken mit sich. Viele Ketten haben traditionelle Plastikkarten zugunsten von Smartphone-Apps mit QR-Codes oder biometrischen Zugangsdaten abgeschafft. Das ist bequem, macht die Studios aber auch vollständig abhängig von ihrer digitalen Infrastruktur.

Eine weitreichende Systemstörung bei Planet Fitness im Februar 2026 demonstrierte die Fragilität dieser Abhängigkeit. Ein ausgefallener zentraler Authentifizierungsserver sperrte Millionen Mitglieder in den USA aus ihren Studios aus. Zwar handelte es sich dabei nicht um einen Sicherheitsvorfall, doch das Ereignis unterstrich die erheblichen operativen Risiken zentraler Cloud-Systems.

Hinzu kommt die Integration von Wearables und KI-gestützten Trainings-Apps, die die Angriffsfläche vergrößert. Moderne Geräte in Studios synchronisieren sich mit persönlichen Devices und sammeln Echtzeitdaten zu Herzfrequenz, Trainingsgewohnheiten und Schlafmustern. Werden diese mit Studio-Apps verknüpft, entsteht ein kontinuierlicher Strom hochsensibler Gesundheitsdaten, der robusten Schutz erfordert – nicht zuletzt, um die Vorgaben der europäischen Datenschutz-Grundverordnung (DSGVO) einzuhalten.

Branche unter Druck: Was tun gegen die Angriffswelle?

Die Häufung von Vorfällen zwingt die Fitnessbranche zum Umdenken in Sachen Compliance und Risikomanagement. Studien aus dem Jahr 2024 deuten darauf hin, dass Cyberangriffe auf Fitness-Organisationen in jenem Jahr um etwa 30 % zunahmen. Die durchschnittlichen Kosten eines einzelnen Datendiebstahls in dieser Branche werden auf mehrere Millionen Euro geschätzt – inklusive Anwaltskosten, regulatorischer Strafen und des Vertrauensverlusts bei den Kunden.

Experten fordern nun „militärische“ Schutzmaßnahmen. Zu den zentralen Empfehlungen gehören:

• Datenminimierung: Unternehmen sollten nur die absolut notwendigen Daten sammeln und speichern. Die dauerhafte Speicherung von IBANs und persönlichen Fotos vergrößert das Schadenspotenzial bei einem Angriff.
• Verschlüsselte Dezentralisierung: Die Trennung von Franchise-Daten von den zentralen Unternehmenssystemen kann das Ausmaß eines möglichen Lecks begrenzen. Bei Basic-Fit blieben Franchise-Standorte vom aktuellen Angriff verschont, da sie auf einer separaten Systemarchitektur laufen.
• Proaktive Überwachung: Die schnelle Entdeckung des Angriffs bei Basic-Fit zeigt den Wert von Echtzeit-Erkennungssystemen. Experten betonen jedoch, dass die Erkennung allein keinen Zugriff auf sensible Datenfelder verhindert.
• Externe Audits: Nach größeren Vorfällen verlangen Versicherer zunehmend regelmäßige Übungen und externe Sicherheitsprüfungen, um die Reaktionspläne der Ketten zu validieren.

Der massive Angriff auf Basic-Fit dürfte eine Welle regulatorischer Prüfungen in Europa auslösen, insbesondere zur Handhabung von Bankdaten und persönlichen Identifikationsinformationen. Für die betroffenen Mitglieder bleibt die Gefahr von Phishing-Angriffen die unmittelbarste Sorge. Mit Namen, Kontaktdaten und Bankinformationen können Kriminelle nun täuschend echte Nachrichten über Lastschriften oder Vertragsverlängerungen verschicken, um an weitere Zugangsdaten zu gelangen. Die Fitnessbranche muss in ihrer digitalen Evolution dringend die Balance zwischen Komfort und Datensicherheit finden.