Haben auch Sie von dem Datenleck bei Leroy Merlin gehört & fragen sich, welche persönlichen Informationen betroffen sind und wie Sie sich jetzt schützen können?
Der französische Baumarkt‑ und Heimwerker‑Riese Leroy Merlin hat einen massiven Datenschutzvorfall öffentlich gemacht: Im Rahmen eines Cyberangriffs wurde eine Datenbank mit sensiblen Kundendaten kompromittiert.
Betroffen sind vor allem Kunden der französischen Niederlassungen.
Was ist passiert?
Am 3. Dezember 2025 bestätigte Leroy Merlin, dass ein unautorisierter Zugriff auf sein Informationssystem erfolgt sei. Nach eigenen Angaben wurde der Angriff entdeckt, der Zugriff wurde blockiert — dennoch sind laut Pressemitteilung personenbezogene Daten von Kunden in fremde Hände gelangt.
Konkret offengelegt wurden folgende Daten:
- Vor‑ und Nachname
- Telefonnummer
- E‑Mail-Adresse
- Postanschrift
- Geburtsdatum
- Informationen aus dem Kunden‑ oder Treueprogramm (z. B. Mitglieds‑/Kunden‑ID, Loyalitätsstatus etc.)
Wichtig: Nach Angaben des Unternehmens sind keine Bankdaten oder Passwörter offengelegt worden. Der Passwort‑schutz für Online‑Konten sei intakt geblieben, auch Kreditkarten‑ oder Zahlungsdaten seien offenbar nicht betroffen.
Leroy Merlin reagierte umgehend: Der unautorisierte Zugriff wurde gestoppt, und betroffene Kunden wurden über den Vorfall benachrichtigt. Zudem warnt das Unternehmen vor Phishing‑Mails und rät dazu, verdächtige Nachrichten umgehend zu melden.
Warum gerade jetzt — und wie sicher sind Unternehmen heute?
Cyberangriffe auf große Einzelhandelsketten und Dienstleister nehmen 2025 in vielen Ländern deutlich zu. Besonders Unternehmen, die Kundendaten speichern — E‑Mail, Anschrift, Telefonnummer, Kundenkonten — stehen im Fadenkreuz von Kriminellen. Der Vorfall bei Leroy Merlin ist nur einer der jüngeren Fälle.
Eine neueste Studie im „Cost of a Data Breach Report 2025“ zeigt, dass insbesondere in Frankreich viele Unternehmen trotz Investitionen in Sicherheitslösungen weiterhin anfällig bleiben — sei es durch Fehlkonfigurationen, veraltete Systeme oder mangelnde Sensibilisierung der Angestellten.
Selbst wenn es sich „nur“ um Name, Adresse und Kontaktinfos handelt — diese Daten reichen aus, um gezielte Phishing‑Angriffe, Identitätsdiebstahl oder Social‑Engineering‑Kampagnen durchzuführen. In Kombination mit anderen geleakten Datensätzen können Kriminelle sehr leicht glaubwürdig auftreten.
Welche Risiken gehen konkret von dem Leak aus?
- Phishing und Spam: Mit Namen, E‑Mail und Telefonnummer lassen sich sehr glaubwürdige Phishing‑Mails oder betrügerische Anrufe verfassen. Oft wird vorgetäuscht, man müsse seine Daten validieren oder ein Kundenkonto werde geschlossen.
- Identitätsdiebstahl: Adress‑ und Geburtsdaten können missbraucht werden, um sich – etwa beim Telefonanbieter oder Mobilfunk – als jemand anders auszugeben.
- Kombinationsangriffe: Werden Daten aus diesem Leak mit Daten aus anderen Datenlecks oder öffentlich zugänglichen Informationen kombiniert, erhöht sich die Gefahr für Betrugsversuche erheblich.
- Vertrauensverlust: Für die Marke Leroy Merlin kann der Vorfall zu einem nachhaltigen Vertrauensverlust bei Kunden führen — gerade im Hinblick auf Datenschutz und Datensicherheit.
Wie reagieren Betroffene — und was kann man tun?
Empfehlungen von Leroy Merlin
- Auf verdächtige E‑Mails oder Anrufe achten. Keine sensiblen Daten über Mail oder Telefon weitergeben.
- Bei verdächtigen Anfragen sofort melden, am besten über offizielle Kontaktwege.
Weitere sinnvolle Schritte
- Verwenden Sie für jeden Dienst ein eigenes, starkes Passwort. Wiederverwendung erleichtert Hackern das Eindringen bei mehreren Accounts.
- Aktivieren Sie – wo möglich – Zwei‑Faktor‑Authentifizierung (2FA). Damit bleibt Ihr Konto selbst bei Kenntnis des Passworts besser geschützt.
- Seien Sie vorsichtig mit Anrufen oder Nachrichten, die vermeintlich von Leroy Merlin stammen — prüfen Sie Adresse und Absender genau.
- Überwachen Sie aufmerksam Ihre Post, Ihre Rechnungen und andere Mitteilungen — bei merkwürdigen Vorgängen sofort handeln: z. B. Adressänderungen, unerwartete Rechnungen, Kreditkarten‑ oder Kontoaktivitäten.
- Behalten Sie im Auge, ob Ihre persönlichen Daten in weiteren Leaks auftauchen — Dienste wie Have I Been Pwned können dabei helfen.
Was bedeutet der Vorfall für Datenschutz und Verbrauchervertrauen in Europa?
Der Fall Leroy Merlin macht deutlich: Selbst große Unternehmen mit beträchtlichen Ressourcen sind nicht immun gegen Cyberangriffe. Das Risiko, Opfer eines Datenlecks zu werden, betrifft jeden, der online einkauft, Mitglied eines Kundenprogramms ist oder irgendeine Form von digitaler Registrierung akzeptierte.
Datenschutz — speziell der Schutz personenbezogener Daten — gerät dadurch zunehmend zum entscheidenden Qualitätsmerkmal für Unternehmen. Verbraucher werden sensibler hinsichtlich der Datensicherheit; Unternehmen sind gut beraten, nicht nur reaktiv auf Angriffe zu reagieren, sondern proaktiv stabile Sicherheitsarchitekturen, regelmäßige Audits und Mitarbeiterschulungen einzuführen.
Auch gesetzlich — etwa durch die Datenschutz-Grundverordnung (DSGVO) — sind Unternehmen europaweit verpflichtet, bei solchen Vorfällen transparent zu informieren und betroffene Kunden schnellstmöglich zu benachrichtigen. Studien zeigen allerdings, dass in vielen Fällen Sicherheitslücken bestehen — gerade bei Lieferketten, Drittanbietern oder veralteter Infrastruktur.
Ein weiterer Effekt: Viele Verbraucher könnten anfangen, ihre Nutzung von Online‑Diensten zu überdenken — insbesondere wenn wiederholt große Firmen betroffen sind. Vertrauen lässt sich leicht verlieren — doch hart wieder aufbauen. Für Unternehmen bedeutet das: Sicherheit und Transparenz sollten im Mittelpunkt stehen.
Einordnung: Ist der Leak bei Leroy Merlin ein Einzelfall oder Teil einer größeren Entwicklung?
Der Fall reiht sich ein in eine Reihe prominenter Datenschutzvorfälle 2025 — weltweit, aber auch in Frankreich und Europa. Große Passwort‑Leaks, Daten‑Aggregationen von Milliarden Zugangsdaten und gehäufte Cyberattacken zeigen: Das Problem ist strukturell.
Zudem zeigt eine aktuelle Studie, dass insbesondere Unternehmen in Frankreich mit Lieferketten, Drittanbieter‑Risiken und menschlichem Versagen kämpfen — Faktoren, die laut Bericht häufig Initialvektoren für Angriffe sind.
Das bedeutet: Der Vorfall bei Leroy Merlin könnte kein singulärer Fehler, sondern der Ausdruck eines ganz grundsätzlichen Problems sein — mangelnde Abstimmung zwischen Datenmengen, externen Dienstleistern und Sicherheitsvorkehrungen. Für Kunden wie Verbraucher bedeutet es, Alarmiertheit und Eigenverantwortung zu zeigen.
Was passiert jetzt – und was könnte folgen?
- Untersuchung und Folgenabschätzung: Datenschutzbehörden könnten untersucht werden, ob die Sicherheitsmaßnahmen von Leroy Merlin den Anforderungen der DSGVO entsprochen haben. Kunden haben unter Umständen Anspruch auf Informationen, ob und in welchem Umfang sie betroffen sind.
- Mögliche rechtliche Schritte: Sollte sich herausstellen, dass Leroy Merlin gegen datenschutzrechtliche Vorgaben verstoßen hat, sind rechtliche Schritte oder Schadenersatzforderungen denkbar — je nach Land und individueller Betroffenheit. Schon bei vergleichbaren Leaks anderer Unternehmen wurde dies in der Vergangenheit diskutiert.
- Vertrauensschaden und Reputationsverlust: Für Gewerbekunden und Privatkunden kann der Vorfall zu einem nachhaltigen Imageverlust führen. Gerade Kunden, die sensibel mit ihren Daten umgehen, werden künftig genauer hinschauen, bevor sie sich registrieren oder personenbezogene Daten preisgeben.
- Schärfere Sicherheitsstandards: Der Fall könnte in der Branche Druck erzeugen: Mehr Unternehmen werden vermutlich ihre IT‑Sicherheit überdenken, externe Dienstleister stärker prüfen und Datenschutz als strategische Priorität sehen.
Fazit
Der aktuelle Datenleck bei Leroy Merlin ist mehr als nur ein weiterer Einzelfall — er ist ein alarmierender Hinweis darauf, wie angreifbar selbst große, etablierte Unternehmen sind. Für betroffene Kunden gilt jetzt erhöhte Wachsamkeit: persönliche Daten schützen, Passwörter sichern, kritisch sein bei E‑Mails und Anrufen.
Gleichzeitig zeigt der Vorfall, dass Datenschutz nicht länger ein Nice-to-have ist, sondern Grundvoraussetzung für moderne Geschäftsmodelle — und für das Vertrauen der Kunden.
Wenn Unternehmen ihrer Verantwortung ernsthaft nachkommen, müssen sie technische Sicherheit, Datenschutz und transparente Kommunikation als integrale Bestandteile verstehen, nicht als optionales Extra.
Für Verbraucher heißt es: Dranbleiben — und bewusst entscheiden, wem man seine Daten anvertraut.