Fake-Mails auf Kleinanzeigen wurden durch Sicherheitsproblem ermöglicht

Nutzer bei kleinanzeigen.de bekamen oft E-Mails mit Benachrichtigungen für Waren bekommen, die sie nicht angeboten haben. Nun liegt mir eine Leserinformation vor, dass kleinanzeigen.de ein Problem eingestanden habe, das zu diesen Nachrichten führte. Hier ein kurzer Überblick über den Sachstand.

Rückblick auf das Fake-Mail-Problem eines Lesers

Blog-Leser Martin Schmitt hatte mich Ende Februar 2026 per Mail kontaktiert, weil er in massive Probleme mit kleinanzeigen.de gelaufen ist. Der Leser bot wohl gelegentlich Waren auf dem Portal kleinanzeigen.de zum Verkauf an. Plötzlich bekam er E-Mail-Benachrichtigungen zu Warenverkäufen unter seinem Namen, die er aber nie eingestellt hatte. Mir liegen mehrere dokumentierte Einträge auf kleinanzeigen.de von "Martin Schmitt" vor, die mit dem Leser nichts zu tun haben.

Obiger Ausriss nennt einen Nutzer "Martin Schmitt" mit dem Artikelstandort Kiel. Der Leser wohnt aber in einer Stadt in Baden-Württemberg. Martin hatte mir mehrere solcher Anzeigen geschickt, für die er nicht verantwortlich zeichnete. Trotzdem bekam er E-Mails, in denen er nach den Waren gefragt wurde. Ich hatte den Sachverhalt seinerzeit im Blog-Beitrag Falsche E-Mail-Benachrichtigungen von kleinanzeigen.de; jemand betroffen? aufgegriffen.

Der Blog-Leser hat den Support von kleinanzeigen.de per Mail kontaktiert und auf das Problem aufmerksam gemacht. Vom Anbieter bzw. dessen Support kam aber nur eine maue Reaktion. Es hieß, dass es leider gelegentlich vorkomme, dass Betrüger versuchen, anhand von Anzeigen-Nutzernamen auf mögliche E-Mail-Adressen zu schließen, um Personen direkt zu kontaktieren. In manchen Fällen würden auch Personen mit gleichem Vor- und Nachnamen versehentlich angeschrieben – selbst wenn diese gar keinen Bezug zur Anzeige haben. Er möge die Mails ignorieren, was den Leser ärgerte, weil sehr viele Mail-Anfragen kamen. Es gab dann in dem von mir oben verlinkten Blog-Beitrag noch einige Erklärungsansätze, was falsch läuft – aber es blieb das Gefühl, dass hinter den Kulissen noch was anderes faul ist.

Eine zweite Information eines anderen Blog-Lesers

Vor einigen Tagen hat sich Blog-Leser Phillipp per E-Mail gemeldet (danke dafür) und schrieb "evtl. ist unten stehende Mail/Info interessant für dich bzw. deinen Blog?". Der Leser hatte nämlich von kleinanzeigen.de eine Mail erhalten, in der ein Problem eingestanden wurden. Im Rahmen der Sicherheitsüberwachung des Anbieters hat dieser vermehrte Zugriffe auf eine technische Schnittstelle von Kleinanzeigen festgestellt.

Bei der endlich erfolgten Überprüfung zeigte sich, dass unbefugte Dritte durch Eingabe einer E-Mail-Adresse prüfen konnten, ob diese bei Kleinanzeigen registriert ist. War dies der Fall, konnten die unbefugten Dritten die E-Mail-Adresse mit dem öffentlich zugänglichen Nutzerprofil eines Kleinanzeigen-Nutzers verknüpfen. Zu den verknüpften Angaben gehörten der Profilname, die Nutzer-ID, die Anzahl der Anzeigen und das Registrierungsdatum. Diese Angaben waren öffentlich einsehbar, lediglich das Passwort wurde über diese Zugriffsmöglichkeit nicht offengelegt.

Der Anbieter will das Problem inzwischen behoben haben. Dem Leser ging diese Information, um diesen "auf ein erhöhtes Risiko gezielter Phishing-Versuche aufmerksam zu machen". Nachfolgend findet sich die Benachrichtigung, die der Leser von kleinanzeigen.de erhalten hat.

Hallo,

im Rahmen unserer Sicherheitsüberwachung haben wir vermehrte Zugriffe auf eine technische Schnittstelle von Kleinanzeigen festgestellt. Aus diesem Anlass möchten wir dich auf ein erhöhtes Risiko gezielter Phishing-Versuche aufmerksam machen.

Wir informieren dich, weil dein Kleinanzeigen-Konto zu den betroffenen Konten gehört. Bei unserer Überprüfung zeigte sich, dass unbefugte Dritte durch Eingabe einer E-Mail-Adresse prüfen konnten, ob diese bei Kleinanzeigen registriert ist.

War dies der Fall, konnten sie die E-Mail-Adresse mit deinem öffentlich zugänglichen Nutzerprofil verknüpfen. Zu den verknüpften Angaben gehören dein Profilname, deine Nutzer-ID, die Anzahl deiner Anzeigen und dein Registrierungsdatum. Diese Angaben waren bereits öffentlich einsehbar. Dein Passwort wurde über diese Zugriffsmöglichkeit nicht offengelegt.

Wir haben die betreffende technische Zugriffsmöglichkeit geschlossen und für betroffene Konten zusätzliche Sicherheitsvorkehrungen getroffen. Du musst derzeit nichts unternehmen. Bitte sei dennoch besonders aufmerksam bei Nachrichten, die angeblich von Kleinanzeigen oder vermeintlichen Interessenten stammen.

Öffne keine unerwarteten Links und gib dein Passwort oder Zahlungsdaten niemals über einen Link in einer E-Mail ein. Rufe Kleinanzeigen im Zweifel direkt über die App auf oder gib www.kleinanzeigen.de selbst in deinen Browser ein.

Weitere Informationen und Hilfe findest du im Hilfebereich der Kleinanzeigen-App oder unter www.kleinanzeigen.de.

Bei Fragen erreichst du unseren Datenschutzkontakt unter datenschutz@kleinanzeigen.de.