DGFiP-Datenleck: Französische Steuerbehörde bestätigt Zugriff auf Daten von 678.000 Personen
Ein Angreifer erlangte per Identitätsdiebstahl Zugang zu Systemen der französischen Steuerbehörde DGFiP. Bestätigt sind 678.000 betroffene Personen und Unternehmen, ein zweiter, größerer Vorfall mit angeblich 2 Millionen Datensätzen ist bislang nur eine Taeterbehauptung.
Das französische Wirtschafts- und Finanzministerium hat einen Datenabfluss bei der Steuerbehörde DGFiP bestätigt. Ein Angreifer nutzte im Juni 2026 ein Identitätsdiebstahl-Verfahren, um Zugriffspunkte in den Systemen der Behörde zu missbrauchen, bevor der Zugang unterbrochen wurde. Betroffen sind laut offizieller Bestätigung 678.000 Personen und Unternehmen. Ein zweiter, deutlich größerer Vorfall mit angeblich 2 Millionen Betroffenen wird bislang nur vom Angreifer behauptet und ist nicht unabhängig bestätigt. Für deutsche Unternehmen mit französischen Niederlassungen oder Geschäftsbeziehungen ist vor allem der Faktencheck relevant, welche Aussagen gesichert sind und welche nicht.
Was ist passiert?
Ein Angreifer, der unter dem Namen "ZeroBytes" auftritt, beanspruchte am 12. August 2026 auf einem Hacking-Forum die Urheberschaft für einen Einbruch in Systeme der Direction generale des Finances publiques (DGFiP). Laut DGFiP erfolgte der eigentliche Zugriff bereits Ende Juni 2026 über ein Identitaetsimitationsverfahren; die Verbindung wurde damals im Rahmen von Sicherheitskontrollen gekappt. Die anschließende Untersuchung ergab, dass in dieser Zeit Daten zu insgesamt 678.000 Privatpersonen und Gewerbetreibenden eingesehen und extrahiert wurden, darunter steuerliche Referenzeinkommen, Familienquotienten, Quellensteuersätze sowie bei Unternehmen Firmenname und SIREN-Nummer. Auch Katasterdaten zu Adressen und Grundstücksgrößen waren betroffen. Zugangsdaten von Online-Konten wurden laut DGFiP nicht kompromittiert.
Separat behauptet derselbe Angreifer, zusätzlich Zugriff auf den "Serveur Professionnel de Donnees Cadastrales" (SPDC) erlangt zu haben, ein professionelles System für Katasterdaten. Nach eigenen Angaben wurden dort 252.149 Datensätze extrahiert, die aufgrund mehrerer Eigentümer pro Datensatz rund 2 Millionen Personen betreffen sollen. Der Angreifer behauptet zudem, das Portal habe theoretisch Zugriff auf Daten von rund 20 Millionen französischen Bürgern erlaubt, die Extraktion sei aber wegen des Aufwands vorzeitig abgebrochen worden. Diese Zahlen, eine angebliche Umgehung der Mehr-Faktor-Authentifizierung sowie die Dauer des Zugriffs sind bislang unbestätigt.
Wer ist betroffen?
Direkt betroffen sind Personen und Unternehmen, deren Daten bei der DGFiP hinterlegt sind, also praktisch alle in Frankreich steuerpflichtigen Privatpersonen und Betriebe. Für Unternehmen mit Sitz oder Niederlassung in Frankreich sowie deren Ansprechpartner in Steuer- und Verwaltungsfragen besteht ein reales Risiko für nachfolgende Phishing- oder Social-Engineering-Versuche, da die entwendeten Daten für glaubwürdige Betrugsversuche genutzt werden können. Für Unternehmen ohne direkten Frankreich-Bezug besteht keine unmittelbare Betroffenheit, der Fall ist aber als Faktencheck-Beispiel und als Warnsignal für die Absicherung ähnlicher Behördenportale relevant.
Wie kritisch ist das?
Der bestätigte Teil des Vorfalls betrifft sensible, aber nicht besonders geschützte Finanz- und Katasterdaten von 678.000 Personen, kein direkter finanzieller Zugriff und keine kompromittierten Zugangsdaten. Das ist ernst zu nehmen, aber kein akutes Betriebs- oder Sicherheitsrisiko für Dritte. Der zweite, größere Vorfall mit angeblich 2 Millionen Betroffenen ist dagegen bislang nicht verifiziert: Es handelt sich um eine einseitige Taeterbehauptung, die von Sicherheitsforschern zur Kenntnis genommen, aber nicht bestätigt wurde. Wer den Fall einordnet, sollte diese Trennung zwischen amtlich bestätigten und lediglich behaupteten Zahlen konsequent beibehalten.
Was sollten Admins jetzt tun?
- Prüfen, ob eigene Mitarbeitende oder Geschäftspartner Post oder E-Mails der DGFiP mit Bezug auf diesen Vorfall erhalten, und diese vor dem Antworten verifizieren
- Bei Geschäftsbeziehungen nach Frankreich erhöhte Wachsamkeit gegenüber Phishing-Versuchen mit vermeintlichem Steuer- oder Behördenbezug einplanen
- Intern dokumentieren, dass nur die 678.000-Zahl amtlich bestätigt ist, die 2-Millionen-Zahl aber nicht, um Fehlkommunikation bei internen Meldungen zu vermeiden
- Eigene Behördenportale und Verwaltungssysteme mit vergleichbarer Architektur (Identitätsprüfung, MFA, Sitzungsverwaltung) stichprobenartig auf ähnliche Schwachstellen prüfen lassen
Einordnung für Unternehmen
Für deutsche kleine und mittlere Unternehmen ohne Frankreich-Bezug ist der Vorfall vor allem ein Lehrbeispiel: Er zeigt, wie schnell aus einem bestätigten, überschaubaren Vorfall in der öffentlichen Wahrnehmung ein wesentlich größerer Skandal wird, sobald ein Angreifer unbestätigte Zahlen streut. Bei eigenen Kommunikationen zu Sicherheitsvorfällen lohnt sich derselbe Maßstab: klar zwischen bestätigten Fakten und Behauptungen trennen, statt vorschnell die größte kursierende Zahl zu übernehmen.
Passende Anleitungen auf S-EDV
- CISA KEV: Warum der Known Exploited Vulnerabilities Catalog für Admins Pflicht ist – Hintergrund zur Priorisierung von Sicherheitslücken bei Behörden- und Unternehmenssystemen.
