Datenschutzvorfall bei einem Dienstleister der BVG

Die BVG hat alle Kund*innen, die betroffen sind, per Brief über den Vorfall informiert. Die Briefe wurden zwischen dem 09. und 13. Mai versendet. Betroffen können generell nur diejenigen Personen sein, die im Januar 2025 im Zusammenhang mit dem Tarifprodukt „Berlin Abo“ von uns kontaktiert oder informiert wurden.

Der Schutz personenbezogener Daten hat für die BVG höchste Priorität. Das Unternehmen achtet bei der Auswahl von Dienstleistern auf zertifizierte IT-Sicherheitsstandards. Der Vorfall wird sehr ernst genommen, eine umfangreiche Analyse läuft.

Bedauerlicherweise ist es bei einem externen Dienstleister der BVG durch einen IT-Angriff zu einem Datenschutzvorfall gekommen. Leider sind davon auch bis zu ca. 180.000 Kundendaten der BVG betroffen.

Die BVG wurde Ende April von dem externen Dienstleister über das Ausmaß des Datenverlusts informiert. Sobald der Vorfall umfassend bewertet und seine Dimension klar war, informierte die BVG am 30. April 2025 die zuständige Datenschutzbehörde. Seither steht die BVG in engem und konstruktivem Austausch mit deren Expert*innen.  

Parallel dazu wurden alle notwendigen Schritte eingeleitet, um die potenziell betroffenen Kund*innen transparent und zügig zu informieren. Der Versand der Informationsschreiben begann am 9. Mai 2025. 

Zur Aufklärung des Vorfalls sowie zur Klärung weiterer Schritte, steht die BVG mit dem Dienstleister in engem Austausch. Kontodaten oder Passwörter sind nach aktuellem Kenntnisstand nicht in die Hände der Hacker gelangt. Aktuell liegen uns auch keine Hinweise auf einen Missbrauch dieser Daten vor.

Für die Rückfragen der betroffenen Kund*innen ist ein Kontaktpostfach eingerichtet worden.

Der Schutz personenbezogener Daten hat für die BVG höchste Priorität. Das Unternehmen achtet bei der Auswahl von Dienstleistern auf zertifizierte IT-Sicherheitsstandards. Der Vorfall wird sehr ernst genommen, eine umfangreiche Analyse läuft.

• Name 
• Postanschrift  
• E-Mail-Adresse, sofern angegeben  
• Kundennummer  
• Vertragsnummer Berlin-Abo 

Darüber hinaus sind keine weiteren Daten, wie Bankdaten betroffen.

Aktuell liegen uns keine Hinweise auf einen Missbrauch deiner Daten vor. Nach unserer Kenntnis sind auch keine personenbezogenen Daten im Sinne des Art. 9 Abs. 1 DSGVO (besondere Kategorien personenbezogener Daten, sog. sensible Daten) wie Kontodaten und Passwortinformationen betroffen.

Wir gehen aktuell davon aus, dass der Vorfall bis zu ca. 180.000 Kund*innen betrifft.

Ein externer Dienstleister der BVG wurde Ziel eines IT-Angriffs. Wie es trotz der hohen Standards, nach denen die BVG ihre Dienstleister auswählt, zu diesem Vorfall kommen konnte, wird aktuell mit Hochdruck analysiert und aufgeklärt.  

Der betroffene Dienstleister und wir haben sofortige Maßnahmen ergriffen, um den Vorfall einzudämmen und weitere Schäden zu verhindern. Dazu gehören Systemüberprüfungen, Sicherheitsupdates sowie die Zusammenarbeit mit der Berliner Landesdatenschutzbehörde und der Berliner Polizei. Zudem wurde direkt nach Bekanntwerden des Vorfalls eine interdisziplinäre Arbeitsgruppe in der BVG eingerichtet, die den Vorfall eng begleitet und insbesondere auch Anfragen unserer Kund*innen kategorisiert und schnellstmöglich beantwortet.

Ja. Das Schreiben mit dem Betreff „Information über eine mögliche Verletzung des Schutzes Ihrer personenbezogenen Daten nach Art. 34 DSGVO“ vom 5.5.2025 ist von der BVG. Die Briefe wurden zwischen dem 9. und 13. Mai versandt. 

Aktuell liegen uns keine Hinweise auf einen Missbrauch deiner Daten vor. Nach unserer Kenntnis sind auch keine sensiblen Daten nach Art. 9 Abs. 1 DSGVO wie Kontodaten und Passwortinformationen abgeflossen.

Dennoch empfehlen wir dir, insbesondere auf ungewöhnliche Aktivitäten und Nachrichten (insbesondere Phishing-E-Mails) in deinem E-Mail-Postfach zu achten. Auf der Webseite des Bundesamtes für Sicherheit in der Informationstechnik findest du dazu hilfreiche Checklisten.

Auch wenn keine Passwortdaten abgeflossen sind, raten Sicherheitsexperten bei einem Datenvorfall dazu Passwörter vorsorglich zu ändern. Um das Passwort für dein BVG-Konto zu ändern, findest du alle wichtigen Hinweise unter der Frage "Wo und wie kann ich mein Passwort ändern?".

Eine Änderung des Vertragskontos in Abo-Online für die Abonnement-Daten oder eine neue Kundenummer sind nicht erforderlich.

Bitte melde dich im BVG-Konto mit deiner E-Mail-Adresse und Passwort an. Wenn du erfolgreich eingeloggt bist, wähle den Punkt „Sicherheitseinstellungen“ aus. Klicke dann unter dem Menüpunkt „Anmeldedaten“ und „Basissicherheit“ auf „ändern“.

Wähle auf der Anmeldeseite zum BVG-Konto den Link „Passwort vergessen“ aus und gebe deine E-Mailadresse ein. Falls du ein aktives BVG-Benutzerkonto hast, senden wir dir eine E-Mail mit weiteren Instruktionen zu.

Vermutlich hast du dein Abonnement im Kundencenter abgeschlossen und daher kein BVG-Konto. Du musst kein Passwort ändern.

Nein.

• Achte verstärkt auf verdächtige Aktivitäten bei deinen Online-Medien (E-Mail, Anmeldedaten, usw.). 
• Verwende starke Passwörter. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat hierzu hilfreiche Informationen aufbereitet.

Wer digital nicht weiterkommt, kann sich auch an unsere Kundenzentren wenden. Beachte, dass es hier zu Wartezeit kommen kann.