Datenleck DGFiP: 678.000 Franzosen betroffen, Behörde benachrichtigt
Veröffentlicht am: 19.08.2026 um 20:52 Uhr | Redaktion boerse-global.de
Die französische Finanzbehörde Direction générale des Finances publiques (DGFiP) hat am 17. August 2026 mit der großflächigen Benachrichtigung von Opfern eines massiven Datenlecks begonnen. Insgesamt sind 678.000 Nutzer von dem Vorfall betroffen, wobei die Behörde die Betroffenen sowohl per Post als auch über eine offizielle E-Mail-Kampagne informiert. Der zugrunde liegende Cyberangriff ereignete sich nach Behördenangaben im Sommer 2026.
Ausmaß des Informationsabflusses bei der DGFiP
Von dem Datenleck sind 350.000 Privatpersonen sowie zusätzliche Konten in Grundbuchdatenbanken betroffen, deren Zahl auf etwa 200.000 beziffert wird. Die kompromittierten Datensätze umfassen sensible Informationen wie die Steueridentifikationsnummer, den Personenstand, Kontaktdaten sowie Angaben zur individuellen Steuersituation. Auch zwischen der Behörde und den Nutzern ausgetauschte Nachrichten wurden unbefugt eingesehen.
Nach aktuellem Kenntnisstand sind Passwörter und die eigentlichen Steuererklärungen nicht kompromittiert worden. Die DGFiP betonte, dass eine Änderung der Zugangspasswörter aus diesem Grund nicht zwingend erforderlich sei. Die Hackergruppe ZeroBytes beanspruchte den Angriff für sich und gab an, die entwendeten Daten bereits verkauft zu haben.
Ermittlungen und offizielle Kommunikation der Behörden
Die Staatsanwaltschaft Paris hat nach Bekanntwerden des Vorfalls offizielle Ermittlungen aufgenommen. Zudem wurde ein Audit durch die nationale Cybersicherheitsbehörde ANSSI angefordert, um die Sicherheitslücken zu analysieren.
In der Kommunikation mit den Betroffenen nutzt die DGFiP die Absenderadresse no-reply@dgfip.finances.gouv.fr mit dem Betreff „Consultation illégitime de vos informations fiscales“. Die Behörde stellte klar, dass diese Benachrichtigungen keine Links oder Aufforderungen zur Übermittlung vertraulicher Informationen enthalten.
Für Rückfragen wurde eine Hotline unter der Nummer 0809 401 401 eingerichtet. Zudem wird Betroffenen empfohlen, sich ausschließlich über das offizielle Portal impots.gouv.fr anzumelden und Vorfälle auf dem staatlichen Portal Cybermalveillance.gouv.fr zu melden.
Steigende Risiken durch KI-gestützte Phishing-Angriffe
Angesichts der Millionen gehackten Konten jedes Quartal wird deutlich, dass herkömmliche Passwörter oft ein unnötiges Risiko für die digitale Sicherheit darstellen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon oder WhatsApp sofort einrichten und sich effektiv schützen. Passkey-Ratgeber jetzt kostenlos herunterladen
Der Vorfall bei der DGFiP erfolgt in einem Marktumfeld, das von einer zunehmenden Professionalisierung von Cyberangriffen geprägt ist. Experten warnen vor den Folgegefahren durch Betrug, Identitätsdiebstahl und insbesondere Phishing.
Aktuelle Studien verdeutlichen die Effizienz solcher Kampagnen: Eine Untersuchung der TU Berlin, der Ruhr-Universität Bochum und des Inria zeigt, dass KI-personalisierte Phishing-Mails eine Klickrate von 10,0 % erreichen. Im Vergleich dazu erzielen generische KI-Mails lediglich 3,7 % und manuelle Standard-Mails 4,1 %.
Zwar erreichen von Menschen verfasste Spear-Phishing-Mails mit 24,2 % noch höhere Klickraten, doch ist der Aufwand mit sieben Minuten pro E-Mail deutlich höher als bei KI-Lösungen, die lediglich Kosten von etwa 3 Cent pro Nachricht verursachen. Microsoft Defender Research registrierte im zweiten Quartal 2026 insgesamt 7,6 Milliarden Phishing-E-Mails, was die enorme Skalierung dieser Bedrohung unterstreicht.
Compliance-Anforderungen und technische Schutzmaßnahmen
Wer seine Online-Konten künftig ohne Passwort-Stress und dennoch mit maximaler Sicherheit schützen möchte, kann auf moderne biometrische Verfahren setzen. Erfahren Sie in diesem Gratis-Leitfaden, wie die Anmeldung per Fingerabdruck oder Gesichtserkennung Hackern keine Chance mehr lässt. Kostenlosen PDF-Report zu Passkeys anfordern
Für Unternehmen und öffentliche Einrichtungen verschärfen sich durch solche Vorfälle die regulatorischen Anforderungen. Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft. Es schreibt unter anderem eine Pflicht zur Multi-Faktor-Authentisierung (MFA) für wichtige und besonders wichtige Einrichtungen vor. Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt in diesem Zusammenhang phishing-resistente Verfahren wie FIDO2 oder Passkeys als Stand der Technik. Einfachere Verfahren wie SMS-OTP oder E-Mail-Links werden von Sicherheitsbehörden zunehmend als unzureichend eingestuft.
Dass auch kulturelle Einrichtungen Ziel finanziell motivierter Angriffe sind, zeigte zuletzt ein Ransomware-Vorfall bei der Stiftung Brandenburgische Gedenkstätten Anfang August 2026, bei dem Schwachstellen in einer Firewall ausgenutzt wurden, um Daten abzugreifen.
