Europas größte Fitnesskette Basic-Fit hat am 13. April 2026 offiziell bestätigt, dass Angreifer sich unbefugt Zugang zu einem internen System verschafft haben. Betroffen sind Mitgliederdaten aus sechs Ländern: Deutschland, Niederlande, Belgien, Luxemburg, Frankreich und Spanien. Die Gesamtzahl der betroffenen Mitglieder liegt bei rund einer Million, davon allein etwa 200.000 in den Niederlanden.

Was ist passiert?

Die Angreifer haben ein System kompromittiert, das Besuchsdaten der Mitglieder in den Basic-Fit-Clubs erfasst. Laut dem offiziellen Pressebericht des Unternehmens wurden aus diesem System Daten heruntergeladen. Basic-Fit hat den Vorfall nach eigenen Angaben durch sein internes Systemmonitoring entdeckt und den Zugriff innerhalb weniger Minuten nach der Entdeckung unterbunden.
Externe Sicherheitsexperten wurden mit der Untersuchung beauftragt. Wie genau sich die Angreifer Zugang verschafft haben, wer dahintersteckt und welcher Angriffsweg genutzt wurde, ist zum jetzigen Zeitpunkt noch Gegenstand der laufenden Ermittlungen.

Welche Daten wurden gestohlen?

Aus dem kompromittierten System wurden folgende Datenkategorien abgezogen:

• Namen
• Wohn- und E-Mail-Adressen
• Telefonnummern
• Geburtsdaten
• Bankverbindungen (IBAN)

Nicht betroffen sind Ausweisdokumente (Basic-Fit speichert grundsätzlich keine Kopien davon) und Passwörter. Das Unternehmen erklärt außerdem, bislang keine Hinweise darauf gefunden zu haben, dass die gestohlenen Daten im Netz verkauft oder anderweitig veröffentlicht wurden. Die Überwachung läuft weiter.

Warum ist das relevant?

Der Abfluss von Bankdaten in Kombination mit vollständigen Kontaktdaten ist besonders heikel. Mit diesen Informationen lassen sich gezielte Phishing-Angriffe konstruieren, die täuschend echt wirken, weil die Angreifer Namen, Adresse und Bankdaten kennen. Auch Identitätsmissbrauch oder unberechtigte Kontoabbuchungen sind mögliche Folgen.
Basic-Fit hat nach eigenen Angaben die zuständige Datenschutzbehörde bereits informiert und die betroffenen Mitglieder per E-Mail benachrichtigt. Wer noch keine Benachrichtigung erhalten hat, sich aber unsicher ist, sollte sich über die offiziellen Kanäle direkt an das Unternehmen wenden.