Matthias Jahnel, LL.M. – Rechtsanwalt & Abogado

Der spanische Stromkonzern Endesa (Teil der italienischen Enel-Gruppe) ist Opfer eines der schwerwiegendsten Datendiebstähle der letzten Jahre in Spanien geworden. Zwischen Ende Dezember 2025 und Anfang Januar 2026 gelang es Hackern, unbefugt in die Kundendatenbanken der Handelsplattform von Endesa Energía sowie der regulierten Tochter Energía XXI einzudringen und große Mengen hochsensibler Kundendaten abzuziehen.

Die ersten Benachrichtigungen an betroffene Kunden verschickte Endesa ab Montag, 12. Januar 2026 per E-Mail. Am selben Tag veröffentlichte das Unternehmen auch ein offizielles Statement auf seiner Datenschutz-Website.

Welche Daten wurden gestohlen? Nach Angaben von Endesa und verschiedenen Medienberichten wurden unter anderem folgende Daten kompromittiert bzw. sehr wahrscheinlich abgezogen:

• Vor- und Nachname
• Personalausweis-/NIF-Nummer
• Kontaktdaten (Telefon, E-Mail, Anschrift)
• Detaillierte Vertragsinformationen (Strom-/Gasvertrag, CUPS-Nummer, Tarif, etc.)
• In wohl sehr vielen Fällen: IBAN der hinterlegten Bankverbindung für Lastschrift

Die Endesa betont ausdrücklich, dass die Passwörter für den Kundenbereich nicht kompromittiert wurden. Ein direkter Login in die Kundenkonten ist also (zumindest aktuell gemäß Aussage der Endesa) nicht möglich.

Ein Nutzer mit dem Namen „Spain“ bot bereits am 4. Januar 2026 auf dem Darknet-Forum „Breach Forums“ die gestohlenen Daten zum Verkauf an. Es handelt sich dabei um über 1 Terabyte an SQL-Datenbanken. Dies stellt die Daten von mehr als 20 Millionen Personen da was in etwa der Gesamtzahl der Endesa-Kunden in Spanien entspräche.

Der Angreifer gab an, den kompletten Datenabzug in unter 2,5 Stunden durchgeführt zu haben und stellte als Beweis rund 1.000 Datensätze als Sample online. Obwohl Endesa die genaue Zahl der Betroffenen und das tatsächliche Datenvolumen bisher nicht offiziell bestätigt hat (mit Verweis auf die laufenden Ermittlungen), gilt ein sehr großflächiger Angriff inzwischen als gesichert.

Zum zeitlicher Ablauf ist bisher bekannt:

• Ende Dez./29. Dez. 2025 → Erster mutmaßlicher unbefugter Zugriff
• 4. Januar 2026 → Verkaufsangebot im Darknet („Breach Forums„)
• 4. Januar 2026 → erste offizielle Stellungnahme der Endesa
• 5. – 6. Januar 2026 → Erste Medienberichte
• 11. – 12. Januar 2026 → Massenversand der Kundenbenachrichtigungen

Maßnahmen von Endesa & Empfehlungen für Kunden
Die Endesa ist derzeit damit beschäftigt die Datenverlust zu analysieren und Kunden zu benachrichtigen. Ebenso erfolgte eine Meldung n die spanische Datenschutzbehörde AEPD und weitere Behörden.

Wichtige Empfehlungen für alle (potenziell) Betroffenen:
Äußerste Vorsicht bei E-Mails, SMS, Anrufen oder WhatsApp-Nachrichten, die angeblich von der Endesa kommen und nach Daten, Codes, Klicks auf Links oder Downloads fragen. Es wird eine riesige Phishing-/Vishing-Welle erwartet!

• Geben Sie niemals Daten an Personen weiter, die sich als Endesa-Mitarbeiter ausgeben
• Prüfen Sie alle Kontaktaufnahmen zunächst über offizielle Kanäle
• Achten Sie unbedingt auf ungewöhnliche Kontobewegungen (besonders Abbuchungen)
• Optional, aber sinnvoll: kündigen Sie Ihre aktuelle Lastschrift und richten Sie eine neue IBAN ein
• Kommunizieren Sie mit der Endesa nur über deren App oder Webseite
  

Der Fall Endesa zeigt einmal mehr, wie gefährdet auch große Konzerne beim reinen Datendiebstahl (Data Theft) sind – eine Angriffsform, die 2025/2026 weiter stark zunimmt und über Jahre hinweg ein hohes Risiko für Identitätsdiebstahl und Betrug darstellt. Die Ermittlungen laufen weiter. In den kommenden Wochen werden vermutlich genauere technische Details darüber bekannt werden, wie genau der Einbruch gelang und ob es konkrete Sicherheitsversäumnisse gab.