Massives Datenleck bei Eurail/Interrail
Eurail B.V., der Betreiber der Interrail- und Eurail-Pässe, bestätigte im Januar 2026 einen unbefugten externen Zugriff auf ein System. Kundendaten wurden dabei abgerufen und kopiert; Eurail informiert Betroffene nach Abschluss der Untersuchung direkt.
Welche Daten können betroffen sein?
Eurail nennt je nach betroffener Person unterschiedliche Datenkategorien:
- Name, Geburtsdatum und Geschlecht
- Passnummer
- E-Mail-Adresse und Telefonnummer
- Postadresse und/oder Wohnsitzland
Wichtig: Bei regulären Passkäufen speichert Eurail nach eigenen Angaben keine Bank- oder Kreditkartendaten und keine visuelle Kopie des Reisepasses. Die konkreten Kategorien unterscheiden sich pro Person. Eurail erklärt die möglicherweise betroffenen Daten in der offiziellen FAQ.
Eurail teilte zudem mit, dass kopierte Daten im Dark Web zum Verkauf angeboten und Beispieldaten auf Telegram veröffentlicht wurden. Quelle: offizielle Eurail-FAQ zur möglichen Datennutzung.
Einordnung: Warum dieses Datenleck brisant ist
Die Kombination aus Passnummern und persönlichen Informationen kann Phishing und Identitätsmissbrauch erleichtern. Betroffene sollten deshalb die Mitteilung von Eurail genau prüfen und bei unerwarteten Kontaktaufnahmen besonders vorsichtig sein.
Nach Art. 24 DSG müssen Verantwortliche eine Verletzung der Datensicherheit dem EDÖB so rasch als möglich melden, wenn sie voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen führt. Für Eurail B.V. als niederländisches Unternehmen können zusätzlich Pflichten der EU-DSGVO gelten. Der EDÖB erläutert die Schweizer Meldepflicht.
Versicherungsbezug: Drittschäden und regulatorische Risiken
Der Fall Eurail zeigt, welche Kosten ein Datenleck verursachen kann. Je nach Vertrag kann eine Cyberversicherung beispielsweise forensische Untersuchungen, Benachrichtigungen, Krisenkommunikation, Rechtsberatung und versicherte Haftungsansprüche abdecken. Deckung und Ausschlüsse müssen für jede Police einzeln geprüft werden.
Privatpersonen mit einer Cyber-Zusatzversicherung sollten prüfen, ob und unter welchen Bedingungen Identitätsmissbrauch, Rechtsberatung oder Überwachungsleistungen im individuellen Vertrag erfasst sind.
Was Betroffene jetzt tun sollten
- Prüfen Sie Ihre E-Mails — Eurail sollte betroffene Kundinnen und Kunden direkt informiert haben
- Ändern Sie Passwörter auf allen Plattformen, auf denen Sie dieselben Zugangsdaten verwendet haben
- Seien Sie besonders wachsam bei Phishing und unerwarteten Kontaktaufnahmen mit Bezug zu Ihrer Reise
- Kontaktieren Sie Eurail und bei konkretem Missbrauch die zuständigen Behörden
- Vorhandenen Schutz prüfen — Versicherungsleistungen sind vertragsspezifisch und ersetzen keine unmittelbaren Schutzmassnahmen