Nürnberg – Die Bundesagentur für Arbeit (BA) hat am 28. März 2025 über einen sicherheitsbedingten Vorfall bei Online-Zugängen ihrer eServices informiert. Unbefugte Dritte hatten sich über private Endgeräte Zugang zu Online-Profilen von Kundinnen und Kunden verschafft. Die Folge: Momentan können Adress- und Kontodaten im Kundenportal nicht selbstständig online geändert werden. Eine technische Wartungsseite ersetzt aktuell diesen Servicebereich.
Zugriff erfolgte über private Geräte, nicht über BA-Systeme
Laut BA sind nicht die Systeme der Bundesagentur selbst betroffen, sondern kompromittierte private Endgeräte. Unbekannte nutzten diese Schwachstelle, um sich in Online-Accounts einzuloggen und in einigen Fällen sogar Kontodaten zu manipulieren. Inzwischen wurden alle betroffenen Zugänge – laut BA im dreistelligen Bereich – deaktiviert. Nach bisherigem Stand ist jedoch kein finanzieller Schaden entstanden.
Antragstellung auf Leistungen derzeit nur eingeschränkt digital möglich
Die aktuellen Einschränkungen betreffen auch die Beantragung von Leistungen wie dem Arbeitslosengeld. Wer derzeit Anträge stellen möchte, wird gebeten, dies über die jeweilige Dienststelle – also die Agentur für Arbeit oder das Jobcenter – vor Ort zu tun. Kundinnen und Kunden müssen dabei mit längeren Bearbeitungszeiten rechnen.
Mehr-Faktor-Authentifizierung als Schutzmaßnahme empfohlen
Um ähnliche Vorfälle künftig zu vermeiden, empfiehlt die BA ausdrücklich die Nutzung von Mehr-Faktor-Authentifizierung. Hierzu stehen mehrere sichere Verfahren zur Verfügung, darunter:
- Die BundID, die über die eID-Funktion oder das Elster-Zertifikat funktioniert. Weitere Informationen dazu bietet die BA auf dieser Seite.
- Das seit Januar 2025 eingeführte Passkey-Verfahren, das eine moderne, passwortlose Authentifizierung ermöglicht (mehr erfahren).
- Die Anmeldung über das TOTP-Verfahren mit zeitbasiertem Einmalpasswort (Informationen hier).
Datenschutz und Strafverfolgung eingeleitet
Die Bundesagentur hat alle relevanten Behörden über den Vorfall informiert, darunter den Bundesdatenschutzbeauftragten (BfDI) und das Bundesamt für Sicherheit in der Informationstechnik (BSI). Zudem wurde Strafanzeige gegen Unbekannt gestellt.
Wer sich über den Vorfall informieren oder seine eigenen Zugangsdaten überprüfen möchte, findet alle aktuellen Presseinformationen auf der Website der Bundesagentur für Arbeit.
