Cyberangriff auf Pass Pass trifft rund 19.000 Menschen

Lille – 11.09.2026: Die Internetseite und die Smartphone-App von Pass Pass Mobilités sind Ziel eines Cyberangriffs geworden. Nach Angaben des regionalen Mobilitätsverbands sind rund 19.000 Nutzerinnen und Nutzer von einem Datendiebstahl betroffen. Der Verband meldete den Vorfall der französischen Datenschutzbehörde CNIL und erstattete Anzeige bei den für Cyberkriminalität zuständigen Polizeidiensten.

Pass Pass bündelt digitale Angebote für Fahrkarten und kontaktlose Mobilitätskarten in Hauts-de-France. Über ein persönliches Konto lassen sich Karten und Fahrscheine verwalten. Welche Angaben dabei gespeichert werden, hängt von den genutzten Leistungen ab. Die Datenschutzerklärung nennt unter anderem Namen, Kontaktdaten, Postanschrift, Geburtsdatum und Rechnungsdaten. Hinzukommen können ein Passfoto und Nachweise, die für ermäßigte Tarife benötigt werden.

Ob sämtliche dieser Informationen von dem Angriff erfasst wurden, teilte der Verband zunächst nicht mit. Auch zur Methode der Angreifer, zum Zeitpunkt des Eindringens und zu möglichen Einschränkungen der Plattform lagen am Freitag keine näheren Angaben vor. Der gemeldete Datendiebstahl belegt einen unbefugten Zugriff, lässt aber noch keine belastbaren Rückschlüsse auf dessen technischen Ablauf und das genaue Ausmaß zu.

Schon eine begrenzte Kombination aus Identitäts- und Kontaktdaten kann für die Betroffenen Folgen haben. Solche Angaben werden häufig für täuschend echt wirkende E-Mails, Kurznachrichten oder Anrufe genutzt. Nutzerinnen und Nutzer sollten deshalb Mitteilungen, die angeblich von Pass Pass oder einem Verkehrsunternehmen stammen, sorgfältig prüfen. Zugangsdaten sollten nicht über Links eingegeben werden, die unverlangt per Nachricht verschickt wurden. Verdächtig sind außerdem unerwartete Aufforderungen zu Zahlungen oder zur Bestätigung persönlicher Angaben.

Die regionale Mobilitätskarte wird bei verschiedenen Verkehrsangeboten eingesetzt. Der Vorfall betrifft damit Menschen, die ihre täglichen Wege, Abonnements oder tariflichen Vergünstigungen über ein gemeinsames digitales Konto organisieren. Unklar blieb zunächst, ob alle Betroffenen einzeln benachrichtigt werden und ob vorsorgliche Änderungen an Konten oder Zugangsdaten erforderlich sind.

Neben den polizeilichen Ermittlungen steht eine datenschutzrechtliche Prüfung an. Die CNIL kann untersuchen, ob der Vorfall fristgerecht gemeldet wurde, welche Sicherheitsvorkehrungen bestanden und wie der Betreiber die betroffenen Personen informiert. Daraus folgt noch keine Aussage über mögliche Verantwortliche oder eine strafrechtliche Bewertung des Angriffs.

Die Datenschutzerklärung von Pass Pass verweist für Auskunfts-, Berichtigungs- und Löschanfragen auf den Datenschutzbeauftragten des Mobilitätsverbands. Eine vollständige Löschung kann nach den dortigen Hinweisen allerdings dazu führen, dass die Karte, gespeicherte Fahrscheine und hinterlegte Vergünstigungen nicht mehr genutzt werden können. Bis zum Abend des 11. September nannte der Verband keine weiteren Einzelheiten zu den entwendeten Datensätzen.

Quellen

• Franceinfo
• Pass Pass Mobilités – Datenschutzerklärung