Crewmeister-Datenpanne 2026: Was Sie als Arbeitgeber wirklich wissen müssen
Mitarbeiterdaten gehören geschützt — auch wenn der Anbieter selbst nichts verbockt hat.
Kurz und ehrlich
Stand Mai 2026 ist uns kein eigener Datenleck bei Crewmeister bekannt. Crewmeister taucht in den großen Leak-Datenbanken wie haveibeenpwned.com nicht als kompromittierter Dienst auf.
Trotzdem ist die Sorge der Suchenden berechtigt — denn drei andere Risiken treffen jeden Arbeitgeber, der eine Cloud-Software für Mitarbeiterdaten einsetzt. Wir gehen sie der Reihe nach durch und zeigen, was Sie konkret tun können.
Wer ist Crewmeister eigentlich?
Crewmeister ist eine deutsche Zeiterfassungs- und HR-Software, die sich speziell an kleine Betriebe mit weniger als 50 Mitarbeitern richtet. Hinter Crewmeister steht die ATOSS Aloud GmbH mit Sitz in München — eine Tochter der börsennotierten ATOSS Software AG, einem etablierten Anbieter für Workforce-Management-Lösungen. Crewmeister wurde 2014 innerhalb von ATOSS gegründet, um die für den Mittelstand zu schwergewichtigen Konzern-Lösungen in einer einfachen App-Form anzubieten.
Funktional deckt Crewmeister die typischen Bausteine ab: Stempeluhr per App, Browser oder Terminal, Urlaubsverwaltung, Schichtplanung, Krankmeldungen, Stundenkonten, optional GPS-Stempelung im Außendienst. Über 50.000 Betriebe nutzen das System nach eigener Angabe — vorwiegend Handwerk, Gastronomie, Pflege und Dienstleister.
Welche Daten Crewmeister speichert
Bevor wir über Risiken sprechen, ein nüchterner Blick auf das Datenfeld. Crewmeister speichert je nach Konfiguration:
- Vor- und Nachname, betriebliche E-Mail-Adresse, Mitarbeiternummer
- Detaillierte Arbeitszeiten, Pausen, Schichtzuordnung — minutengenau über Wochen, Monate, Jahre
- Urlaubsanträge, Krankmeldungen, Überstundensalden
- Bei aktivierter mobiler Stempelung: GPS-Standortdaten zum Zeitpunkt des Ein- und Ausstempelns
- Optional: Lohnarten, Kostenstellen, Schichtprämien
Aus DSGVO-Sicht ist das eine sensible Kombination. Standortdaten gelten als personenbezogen, Arbeitszeitprofile sind hochauflösend und über Jahre rekonstruierbar. Wer Crewmeister einsetzt, übergibt einem Cloud-Anbieter ein recht umfassendes Bild des Arbeitsalltags jedes einzelnen Mitarbeiters.
Drei Risiken, die mit Crewmeister verbunden sind
Risiko 1: Eigene E-Mail in einem fremden Leak
Das mit Abstand häufigste Szenario: Sie oder einer Ihrer Mitarbeiter prüfen die berufliche E-Mail-Adresse auf haveibeenpwned.com und finden Treffer. Die Schlussfolgerung „dann muss Crewmeister leck sein" liegt nahe — ist aber meistens falsch.
Tatsächlich speist sich die HIBP-Datenbank aus über 700 dokumentierten Datenpannen von Diensten wie LinkedIn (2012/2016), Dropbox (2012), Adobe (2013), MyFitnessPal (2018) sowie den großen Synthient-Sammlungen aus 2025 und 2026, in denen rund 1,3 Milliarden Passwörter und 2 Milliarden E-Mail-Adressen aus diversen Quellen aggregiert wurden. Wer dieselbe E-Mail-Adresse über Jahre auch privat genutzt hat, taucht statistisch fast unvermeidlich irgendwo auf — ohne dass Crewmeister damit etwas zu tun hat.
Was hilft: Auf HIBP wird unter jedem Treffer die genaue Quelle des Lecks angezeigt. Steht da nicht „Crewmeister", war Crewmeister auch nicht die Quelle. Der eigentliche Handlungsbedarf liegt darin, das Passwort des betroffenen Dienstes zu ändern und sicherzustellen, dass Sie es nicht auch bei Crewmeister verwenden.
Risiko 2: Schwaches Passwort und kein zweiter Faktor
Selbst wenn der Anbieter sicher ist — das schwächste Glied bleibt das Login. Wer als Arbeitgeber den Zugang zum Crewmeister-Backend mit einem leicht erratbaren Passwort schützt, lädt Angreifer förmlich ein. Credential-Stuffing-Angriffe (also der automatische Login-Versuch mit gestohlenen Passwörtern aus fremden Lecks) gehören 2026 zum Tagesgeschäft.
Was hilft: Zwei-Faktor-Authentifizierung (2FA) konsequent für alle Crewmeister-Accounts erzwingen. Crewmeister unterstützt 2FA per Authenticator-App. Zusätzlich: ein dedizierter Passwort-Manager wie Bitwarden, mit dem jedes Konto ein eigenes, langes, zufällig generiertes Passwort bekommt.
Risiko 3: DSGVO-Defizite auf Arbeitgeberseite
Die unbequeme Wahrheit: Bei Crewmeister sind Sie der DSGVO-Verantwortliche. Der Anbieter ist Auftragsverarbeiter — die rechtliche Last liegt bei Ihnen. Drei typische Defizite, die uns in der Praxis begegnen:
- Kein gültiger Auftragsverarbeitungsvertrag (AVV). ATOSS Aloud stellt einen AVV bereit — viele Arbeitgeber haben ihn aber nie unterschrieben oder die letzte Version nicht aktualisiert.
- Mitarbeiter wurden nie nach DSGVO Art. 13 informiert. Sie müssen Ihren Beschäftigten transparent erklären, welche Daten Sie zu welchem Zweck speichern, wie lange, an wen sie weitergegeben werden.
- Kein Löschkonzept. Daten ehemaliger Mitarbeiter müssen nach Ende der gesetzlichen Aufbewahrungsfristen automatisch gelöscht werden. In den seltensten Crewmeister-Installationen, die wir prüfen, ist das geregelt.
Wenn die Datenschutz-Aufsicht prüft — und das passiert seit 2024 deutlich häufiger — ist nicht der Crewmeister-Server das Problem, sondern die Hausaufgabe, die in Ihrer Schublade liegt.
Was Crewmeister-Nutzer jetzt konkret tun sollten
Ohne dass es einen Vorfall braucht — diese fünf Schritte sollten Sie als Arbeitgeber binnen einer Woche abarbeiten:
- 2FA für alle Konten Pflicht machen. Im Crewmeister-Backend unter „Einstellungen → Sicherheit". Authenticator-App (Aegis, FreeOTP, Google Authenticator) statt SMS, weil SMS-Codes umleitbar sind.
- Auftragsverarbeitungsvertrag prüfen und unterschreiben. Aktuelle Version bei ATOSS Aloud anfordern. Im Verfahrensverzeichnis vermerken.
- Mitarbeiter-Information aktualisieren. Ein einseitiges Datenschutz-Merkblatt zu Crewmeister, von jedem Beschäftigten gegenzeichnen lassen.
- Regelmäßiger Datenexport als Backup. Crewmeister bietet CSV- und Excel-Exporte. Wir empfehlen einen monatlichen Export, gespeichert in einer eigenen Cloud-Sicherung oder lokal verschlüsselt.
- Quartalsmäßiger HIBP-Check der beruflichen E-Mails. Wer einmal im Quartal alle Mitarbeiter-Adressen prüft, erkennt Credential-Stuffing-Risiken früh.
Was Mitarbeiter selbst tun können
Auch ohne Zustimmung des Arbeitgebers haben Sie als Mitarbeiter Handlungsspielraum:
- Ein langes, einzigartiges Passwort speziell für Crewmeister wählen — niemals dasselbe wie für private Accounts
- 2FA aktivieren, sobald der Arbeitgeber es freigibt (oder darauf bestehen, dass es freigegeben wird)
- Ihr Auskunftsrecht nach DSGVO Art. 15 nutzen — Sie dürfen jederzeit erfragen, welche Daten Ihr Arbeitgeber über Sie in Crewmeister gespeichert hat
- Bei Misstrauen oder Konflikt: Datenschutzbeauftragte des Unternehmens kontaktieren — bei Unternehmen mit weniger als 20 Beschäftigten gibt es oft keinen, dann ist die zuständige Landesdatenschutzbehörde der richtige Ansprechpartner
Alternativen zu Crewmeister
Wenn Sie aus Datenschutz-, Kosten- oder Funktionsgründen über einen Wechsel nachdenken, gibt es heute eine breite Auswahl. Wir gruppieren nach Hosting-Modell:
Etablierte Cloud-Anbieter mit deutschem Hosting: Clockodo (Köln), Personio (München), Papershift (Karlsruhe), ZEP (Berlin), timeBro (Berlin). Alle DSGVO-konform, alle mit AVV, alle mit ähnlichem Preisniveau wie Crewmeister.
Selbst gehostete Open-Source-Lösungen: Kimai (PHP-basiert, läuft auf jedem Webhoster mit MySQL), traggo (Go-basiert, sehr schlank), eigene Anpassungen auf Basis von Nextcloud. Vorteil: volle Datenhoheit, keine monatlichen Lizenzgebühren. Nachteil: jemand muss die Updates und Backups übernehmen.
Maßgeschneidert auf den Betrieb: Für sehr spezifische Workflows (etwa Pflegedienste mit Wegezeit-Erfassung oder Handwerk mit Materialerfassung pro Auftrag) bauen wir auch eigene, schlanke Lösungen — die dann komplett dem Betrieb gehören.
Häufig gestellte Fragen
Hat es bei Crewmeister einen Datenleck gegeben?
Stand Mai 2026 ist uns kein dokumentierter Sicherheitsvorfall bekannt, bei dem Crewmeister-Nutzerdaten direkt aus den Systemen der ATOSS Aloud GmbH abgeflossen sind. Crewmeister taucht in den großen Datenleck-Listen wie haveibeenpwned.com nicht als kompromittierter Dienst auf. Wer den Begriff "Crewmeister Leak" sucht, ist meist aus einem anderen Grund besorgt — wir erklären die drei häufigsten Auslöser im Artikel.
Wem gehört Crewmeister?
Crewmeister wird von der ATOSS Aloud GmbH mit Sitz in München betrieben. Die ATOSS Aloud GmbH ist eine Tochter der ATOSS Software AG, einem börsennotierten Anbieter für Workforce-Management-Software. Crewmeister wurde 2014 als ATOSS-Ausgründung speziell für kleinere Betriebe (unter 50 Mitarbeiter) entwickelt.
Welche Daten speichert Crewmeister?
Crewmeister speichert personenbezogene Mitarbeiterdaten: Vor- und Nachname, betriebliche E-Mail-Adresse, Arbeitszeiten und Pausen, Urlaubsanträge und Krankmeldungen, optional Standortdaten bei mobiler Stempelung über GPS, Stundenkonten und Überstunden. Je nach Konfiguration kommen Lohnarten, Schichten und Kostenstellen dazu. Das macht Crewmeister zu einer Software, deren Datenbasis im DSGVO-Sinn als sensibel einzustufen ist.
Meine E-Mail-Adresse taucht bei haveibeenpwned auf — liegt das an Crewmeister?
Mit hoher Wahrscheinlichkeit nein. Wenn Ihre E-Mail-Adresse in einem Datenleck auftaucht, stammt das in den meisten Fällen von einem anderen Dienst, bei dem Sie sich mit derselben Adresse registriert haben — typische Quellen sind LinkedIn, Dropbox, Adobe oder die großen Synthient/Collection-Sammlungen aus 2025/2026. Sie sehen auf haveibeenpwned.com immer die konkrete Quelle des Lecks. Crewmeister wird dort aktuell nicht aufgeführt.
Was kann ich als Arbeitgeber tun, der Crewmeister einsetzt?
Drei Sofort-Maßnahmen: Erstens Zwei-Faktor-Authentifizierung für alle Konten erzwingen (im Crewmeister-Backend einstellbar). Zweitens den Auftragsverarbeitungsvertrag mit ATOSS Aloud griffbereit haben — die DSGVO-Pflicht liegt bei Ihnen als Verantwortlicher, nicht beim Anbieter. Drittens regelmäßige Datenexporte als Backup, falls der Anbieter eines Tages nicht mehr verfügbar ist oder Sie wechseln möchten.
Was sollten Mitarbeiter tun, deren Daten in Crewmeister liegen?
Nutzen Sie ein einzigartiges, langes Passwort speziell für Crewmeister — niemals dasselbe wie für private Dienste. Aktivieren Sie 2FA, falls Ihr Arbeitgeber das nicht bereits Pflicht gemacht hat. Prüfen Sie regelmäßig auf haveibeenpwned.com, ob Ihre berufliche E-Mail in irgendeinem Leck auftaucht. Ihr Arbeitgeber ist Ihnen gegenüber auskunftspflichtig (DSGVO Art. 15) — Sie dürfen jederzeit erfragen, welche Daten über Sie gespeichert sind.
Welche Alternativen zu Crewmeister gibt es?
Im Cloud-Bereich sind Clockodo, Personio, Papershift, ZEP und timeBro etablierte Alternativen — alle mit ähnlichem DSGVO-Profil. Wer Daten lieber im eigenen Haus halten möchte, kann auf selbst gehostete Lösungen setzen: Kimai (Open Source, PHP-basiert), Toggl Track (mit Self-Hosting-Option) oder eine maßgeschneiderte Lösung. Wir beraten zu allen genannten Systemen herstellerneutral und richten ein, was zu Ihrem Betrieb passt.
Ist Crewmeister DSGVO-konform?
ATOSS Aloud bietet einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO an, hostet in der EU und benennt einen Datenschutzbeauftragten. Damit ist die Anbieter-Seite formal sauber. Die DSGVO-Pflicht liegt aber zu großen Teilen beim Arbeitgeber als Verantwortlichem: Verfahrensverzeichnis, Mitarbeiter-Information, Löschkonzept, technisch-organisatorische Maßnahmen (TOMs). Crewmeister liefert die Plattform — die rechtliche Hausaufgabe bleibt bei Ihnen.
Was ist der Unterschied zwischen Datenleck und Datenpanne?
Im Alltag werden die Begriffe synonym verwendet. Streng genommen meint "Datenleck" oder "Data Leak" eine ungewollte Offenlegung — meist durch Fehlkonfiguration, schwache Sicherheitsrichtlinien oder Insider-Versagen. "Data Breach" oder "Datenverletzung" beschreibt eher den aktiven Angriff von außen, etwa Hacking oder Phishing. Beides muss laut DSGVO Art. 33 binnen 72 Stunden an die Datenschutzaufsicht gemeldet werden.
Wo prüfe ich, ob meine Daten in einem Leak aufgetaucht sind?
Die etablierte Anlaufstelle ist haveibeenpwned.com des australischen Sicherheitsforschers Troy Hunt — anonymer Abgleich gegen Millionen bekannter Lecks, ohne Speicherung Ihrer Eingabe. Für deutschsprachige Nutzer gibt es zusätzlich den Identity Leak Checker des Hasso-Plattner-Instituts (sec.hpi.de) und die Leak-Suche der Universität Bonn. Wir empfehlen, mindestens einmal im Quartal alle beruflichen E-Mail-Adressen zu prüfen.