IZ Medien GmbH, Rhinstraße 72, 12681 Berlin
Auf dieser Seite finden Sie unsere Mitteilungen zu dem Datenschutzvorfall, den wir am 7. August 2026 festgestellt und am 10. August 2026 der Berliner Beauftragten für Datenschutz und Informationsfreiheit gemeldet haben. Oben steht die öffentliche Bekanntmachung, wie sie in unserer gedruckten Ausgabe 375 erschienen ist. Darunter steht die ausführliche Benachrichtigung für Betroffene.
Öffentliche Bekanntmachung aus Ausgabe 375
Diese Bekanntmachung ist in unserer gedruckten Ausgabe 375 erschienen. Wir geben sie hier unverändert im Wortlaut wieder — einschließlich des Satzes, mit dem sie sich im Heft an diejenigen richtet, die wir nicht per E-Mail erreichen konnten. Im Netz steht sie allen offen.
Mitteilung über eine Verletzung des Schutzes personenbezogener Daten
IZ Medien GmbH, Rhinstraße 72, 12681 Berlin — 31. August 2026
Auf unserem Webserver war zwischen dem 5. Juni und dem 7. August 2026 eine Sicherungskopie unserer Datenbank öffentlich abrufbar. Sie enthielt Kunden- und Abonnentendaten. Wir haben den Fehler am 7. August 2026 selbst entdeckt, die Datei noch am selben Tag entfernt und den Vorfall der Berliner Beauftragten für Datenschutz und Informationsfreiheit gemeldet.
Betroffen sein können: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Bestell- und Abonnementdaten sowie der Prüfwert des Kennworts. Nicht lesbar waren Bankverbindungen — sie sind verschlüsselt gespeichert, und der Schlüssel war nicht Teil der Datei. Kreditkartendaten speichern wir nicht.
Aus den Daten geht hervor, dass die betroffene Person eine islamische Zeitung bezieht. Daraus lässt sich auf ihre religiöse Überzeugung schließen. Wir halten das für den ernstesten Teil dieses Vorfalls.
Ein unbefugter Zugriff ist nicht belegt. Für 30 der 63 Tage liegen vollständige Zugriffsaufzeichnungen vor; darin findet sich in über sieben Millionen Einträgen kein fremder Zugriff. Für die übrigen Tage existieren keine Aufzeichnungen mehr, so dass wir einen Zugriff nicht ausschließen können.
Wir empfehlen allen Leserinnen und Lesern:
- das Kennwort für das Konto bei uns neu zu vergeben,
- vor allem dasselbe Kennwort überall dort zu ändern, wo es ebenfalls verwendet wird,
- bei E-Mails und Briefen, die nach Kennwort, Bankverbindung oder Kartendaten fragen, misstrauisch zu sein — wir fragen danach nie.
Wir haben die Ursache beseitigt, alle betroffenen Dateien entfernt, den Zwischenspeicher geleert, die Zugangsschlüssel unserer Zahlungsdienstleister ausgetauscht und eine tägliche automatische Prüfung unseres Webverzeichnisses eingerichtet.
Für alle betroffenen Konten haben wir außerdem eine Kennwortänderung veranlasst: Wer sich anmeldet, wird aufgefordert, sofort ein neues Kennwort zu vergeben. Das bisherige kann dabei nicht erneut gewählt werden. Auf ein zentrales Zurücksetzen haben wir bewusst verzichtet — ein Teil unserer Abonnentinnen und Abonnenten hat keine E-Mail-Adresse hinterlegt und käme über die Funktion „Kennwort vergessen“ nicht an sein Konto zurück. Zusätzlich benachrichtigen wir Sie künftig per E-Mail, wenn sich jemand von einem uns unbekannten Gerät bei Ihrem Konto anmeldet.
Wir haben alle Leserinnen und Leser, deren E-Mail-Adresse uns vorliegt, einzeln angeschrieben. Diese Bekanntmachung richtet sich an diejenigen, die wir auf diesem Weg nicht erreichen konnten.
Ausführliche Informationen und Antworten auf häufige Fragen:
islamische-zeitung.de/datenschutzvorfall
Fragen beantworten wir gern: vertrieb@islamische-zeitung.de · Telefon 030 240 48 974 · IZ Medien GmbH, Rhinstraße 72, 12681 Berlin
Beschwerderecht: Sie können sich jederzeit an die Berliner Beauftragte für Datenschutz und Informationsfreiheit wenden, Alt-Moabit 59–61, 10555 Berlin.
Die ausführliche Benachrichtigung für Betroffene
Der folgende Text ist die ausführliche Benachrichtigung nach Art. 34 DSGVO, die wir am 4. September 2026 an die betroffenen Leserinnen und Leser, deren E-Mail-Adresse uns vorliegt, einzeln per E-Mail versandt haben; wir geben ihn hier unverändert wieder. Er ist unmittelbar an Betroffene gerichtet und spricht sie mit „Sie“ an; ob Sie dazu gehören, sagt Ihnen die E-Mail vom 4. September 2026. Haben Sie keine erhalten, kann das daran liegen, dass Sie nicht betroffen sind — oder daran, dass uns keine oder keine noch gültige Adresse von Ihnen vorliegt; fragen Sie im Zweifel bei uns nach.
In eigener Sache: Eine Datei mit Ihren Daten lag offen
Berlin, 4. September 2026
Guten Tag,
wir haben Ihnen etwas Unangenehmes mitzuteilen und tun es ohne Beschönigung. Auf unserem Webserver lag eine Sicherungskopie unserer Datenbank an einer Stelle, die aus dem Internet erreichbar war — vom 5. Juni bis zum 7. August 2026, 63 Tage lang. Darin standen auch Ihr Name, Ihre Anschrift, Ihre E-Mail-Adresse und Ihr Abonnement. Das Wichtigste zuerst: Vergeben Sie bitte überall dort ein neues Kennwort, wo Sie dasselbe wie bei uns benutzen — das ist der eine Schritt, der wirklich zählt.
Wir haben den Fehler am 7. August selbst bemerkt und die Datei noch am selben Tag entfernt. Am 10. August haben wir den Vorfall der Berliner Beauftragten für Datenschutz und Informationsfreiheit gemeldet; sie hat uns aufgefordert, Sie zu benachrichtigen — das tun wir hiermit.
Was geschehen ist
Angelegt hat die Kopie ein Sicherheitsprogramm unserer Website, selbsttätig und am falschen Ort — eine Fehleinstellung, die uns entgangen ist. Bei der Aufarbeitung fanden wir ältere Adresslisten aus den Jahren 2020 bis 2022, die ähnlich lagen; auch sie sind entfernt.
Was in der Datei stand
Offen lesbar: Ihr Name, Ihre Rechnungs- und Lieferanschrift, Ihre E-Mail-Adresse, eine etwaige Telefonnummer sowie Ihre Bestellungen und Ihr Abonnement mit Laufzeit und Status. Dazu Ihr Kennwort — nicht im Klartext, sondern als Prüfwert, aus dem es sich nicht ohne Weiteres zurückrechnen lässt. Bei einem Teil unserer Konten stammt dieses Verfahren aus früheren Jahren und gilt heute als zu schwach: Ein kurzes oder gängiges Kennwort ließe sich daraus zurückgewinnen.
Nicht lesbar: Ihre Bankverbindung ist verschlüsselt gespeichert; der Schlüssel dazu lag in einer anderen Datei, die nicht betroffen war — wir haben das nachgeprüft. Dasselbe gilt für Ihre laufenden Anmeldesitzungen: ohne diesen Schlüssel sind sie wertlos, ein Zugriff auf Ihr Konto war darüber nicht möglich. Kreditkartendaten haben wir nie gespeichert; sie liegen allein bei unserem Zahlungsdienstleister.
Was daraus werden kann
Wir wissen nicht, ob überhaupt jemand diese Datei geladen hat. Ausschließen können wir es nicht — und darum schreiben wir Ihnen. Vieles spricht dagegen: Die Datei trug einen Namen aus dreißig zufälligen Zeichen, war nirgends verlinkt und stand in keinem Verzeichnis, in keiner Suchmaschine und in keinem Internetarchiv. Für 30 der 63 Tage liegen uns vollständige Zugriffsaufzeichnungen vor: unter über sieben Millionen Einträgen kein einziger fremder Abruf dieser Datei. Für die übrigen 33 Tage gibt es keine Aufzeichnungen mehr — deshalb sagen wir „unwahrscheinlich“ und nicht „ausgeschlossen“.
Sollten die Daten doch in fremde Hände geraten sein, halten wir für möglich: Anmeldeversuche bei anderen Diensten, wenn Sie dort dasselbe Kennwort führen. Betrugsversuche, die glaubwürdig wirken, weil Name, Anschrift und Abonnement richtig genannt sind. Unerwünschte Post und Anrufe. Und einen Punkt, den wir nicht verschweigen: Aus den Daten geht hervor, dass Sie eine islamische Zeitung beziehen; daraus lässt sich auf Ihren Glauben schließen. Das wiegt für uns am schwersten, denn eine solche Auskunft lässt sich nicht zurücknehmen; auch die Aufsichtsbehörde hat deshalb ein hohes Risiko angenommen.
Was wir getan haben
Noch am 7. August: alle betroffenen Dateien entfernt, die Zwischenspeicher geleert und nachgeprüft, dass nichts mehr ausgeliefert wird. Das verantwortliche Programm abgeschaltet, den Zugangsschlüssel unseres Zahlungsdienstleisters ausgetauscht und 21.347 ebenfalls erreichbare Rechnungsdokumente gesperrt.
In den Tagen danach: die Zugriffsaufzeichnungen unseres Anbieters vollständig ausgewertet, einen seit Januar 2021 ungenutzten Altbestand gelöscht und zwei Dinge neu eingerichtet — ein eigenes Archiv dieser Aufzeichnungen, damit sich die Beweislücke nicht wiederholt, und eine tägliche automatische Kontrolle unseres Webverzeichnisses.
Seit dem 31. August verlangt unsere Website bei Ihrer nächsten Anmeldung ein neues Kennwort von Ihnen.
Was wir Ihnen raten
- Ändern Sie Ihr Kennwort überall dort, wo Sie dasselbe auch anderswo verwenden — beim E-Mail-Postfach zuerst, dann bei Online-Banking und Einkaufsseiten. Nehmen Sie künftig für jeden Dienst ein eigenes; ein Kennwortverwalter nimmt Ihnen das Merken ab.
- Vergeben Sie auch bei uns ein neues Kennwort: auf islamische-zeitung.de/mein-konto/ genügt „Passwort vergessen“.
- Bleiben Sie misstrauisch. Wir fragen Sie niemals per E-Mail nach Kennwort, Bankverbindung oder Kartendaten. Wer das tut, sind nicht wir — auch wenn er unseren Namen trägt. Rufen Sie uns im Zweifel lieber an.
- Werfen Sie gelegentlich einen Blick auf Ihre Kontoauszüge.
- Sonst brauchen Sie nichts zu tun. Ihr Abonnement läuft unverändert weiter; Sie müssen nichts bestätigen und nichts bezahlen.
Wenn Sie Fragen haben
IZ Medien GmbH, Rhinstraße 72, 12681 Berlin
E-Mail: vertrieb@islamische-zeitung.de · Telefon: 0173 315 52 04
Sie haben außerdem das Recht, sich bei der Aufsichtsbehörde zu beschweren: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.
Es tut uns aufrichtig leid; der Fehler lag bei uns und hätte nicht geschehen dürfen. Wir haben die Ursache beseitigt und Vorkehrungen getroffen, damit sich so etwas nicht wiederholt. Dass wir erst jetzt schreiben, hat einen Grund: Wir wollten Ihnen keine halbe Auskunft geben, sondern erst wissen, welche Daten in welchem Zustand betroffen waren.
Mit den besten Grüßen
Andreas Abu Bakr Rieger
Geschäftsführer, IZ Medien GmbH
Nachtrag vom 4. September 2026
Die beiden Texte oben geben wir unverändert so wieder, wie sie erschienen und versandt sind. Zwei Angaben darin sind seither genauer geworden; wir tragen sie hier nach, statt den Wortlaut nachträglich zu ändern. Dieselben zwei Punkte haben wir der Berliner Beauftragten für Datenschutz und Informationsfreiheit mitgeteilt.
- Zum erzwungenen Kennwortwechsel. Die Bekanntmachung sagt, wir hätten ihn für alle betroffenen Konten veranlasst. Bei einer eigenen Nachprüfung am 1. September 2026 haben wir festgestellt, dass 336 weitere Konten ihn nicht erhalten hatten — Ursache war ein Auswahlfehler beim Lauf vom 24. August 2026. Wir haben den Kennwortwechsel für diese Konten am 4. September 2026 nachgeholt.
- Zum Tag der Entfernung. Die Sicherungskopie der Datenbank haben wir am 7. August 2026 entfernt, dem Tag ihrer Entdeckung. Vier ältere Exportdateien haben wir am 7. und 8. August 2026 entfernt, zusammen mit den übrigen betroffenen Dateien.
