Südkoreas großer Telekommunikationskonzern KT wegen Datenleck mit 54 Mrd. ₩ geächtet

Telekommunikationsriesen müssen Federn lassen: KT, Vodafone und TIM müssen wegen schlampiger Datenverarbeitung und Vertragstricks mit Geldstrafen von über 10 Mio. € rechnen. Doch es kommt noch schlimmer – Lotte Card wird für sechs Wochen vom Geschäftsbetrieb ausgeschlossen, während die Österreichische Post 13 Mio. € zahlt, weil sie politische Daten verkauft hat.

Südkorea verhängt gegen KT fast 54 Milliarden Won Strafe wegen schwerer Datenpanne

Die südkoreanische Kommission zum Schutz personenbezogener Daten (PIPC) hat gegen das Telekommunikationsunternehmen KT Corporation wegen schwerwiegender Datenschutzverstöße eine Geldstrafe in Höhe von 53,979 Milliarden Won verhängt, was etwa 33,6 Millionen Euro entspricht.

Die Untersuchung ergab, dass Hacker von Oktober 2024 bis September 2025 fast elf Monate lang Zugriff auf das interne Netzwerk von KT hatten. In dieser Zeit wurden die personenbezogenen Daten von 16.647 Kunden offengelegt. Mindestens 368 Kunden waren von betrügerischen Mobil-Mikrozahlungen betroffen, wobei sich die Gesamtverluste auf 240 Mio. ₩ (etwa 149.000 €) beliefen.

Laut PIPC begann der Angriff, als Hacker eine verlorene KT-Femtocell in Besitz nahmen – eine kleine Mobilfunkbasisstation, die zur Abdeckung von Bereichen mit schwachem Funksignal dient. Das Gerät enthielt ein gültiges Authentifizierungszertifikat, das die Angreifer auf ein gefälschtes Gerät kopierten. Dadurch konnte das gefälschte Gerät als Teil des KT-Netzwerks erscheinen und Daten naheliegender Mobiltelefone abfangen. Die Angreifer sammelten sensible Informationen, darunter Kundentelefonnummern sowie IMSI- und IMEI-Nummern. Später kombinierten sie diese Informationen mit abgefangenen SMS und automatisierten Telefonverifizierungscodes, weitrückende mobile Zahlungen durchzuführen.

Die Kommission erklärte, die Sicherheitsmaßnahmen von KT seien nicht stark genug gewesen. Authentifizierungszertifikate für Femtozellen blieben 10 Jahre lang gültig, Netzwerkverbindungen wurden nicht durch Quell-IP-Adressen eingeschränkt, und eine Systemroute ermöglichte es Angreifern, normale Sicherheitsprüfungen zu umgehen. Im Rahmen der Untersuchung stellte die PIPC zudem fest, dass 38 Server des IT-Service-Netzwerks von KT bereits im März 2024 mit Malware infiziert waren, darunter die Backdoor „BPFDoor“. Die Kommission erklärte, KT habe von der Malware gewusst, dies jedoch nicht den Behörden gemeldet, sondern den Vorfall intern behandelt.

Die Kommission erklärte außerdem, KT habe während der Untersuchung der Malware Netzwerkprotokolle gelöscht. Da einige Aufzeichnungen gelöscht worden seien, könne die Kommission nicht feststellen, ob weitere Kundendaten gestohlen worden seien.

Im Rahmen der Durchsetzungsmaßnahme wies die PIPC KT an, die Sicherheit für Femtozellen und andere Telekommunikationsgeräte zu erhöhen, sein Datenschutzsystem zu verbessern, seinem Datenschutzbeauftragten eine größere Überwachungsbefugnis einzuräumen und die Zertifizierung seines Informationssicherheits-Managementsystems (ISMS-P) um seine Mobilfunknetzsysteme zu erweitern.

Österreichisches Gericht bestätigt Bußgeld in Höhe von 13 Mio. Euro gegen einen Datenbroker wegen illegalen Datenverkaufs

Der österreichische Verwaltungsgerichtshof (VwGH) hat bestätigt, dass Österreichische Post eine Verwaltungsstrafe in Höhe von 13 Millionen Euro zahlen muss, da sie Daten über die mutmaßliche politische Zuordnung von 2,2 Millionen Österreichern unrechtmäßig verarbeitet und verkauft hat. Das Gericht entschied zudem, dass das Unternehmen lediglich 100.000 Euro an Verwaltungskosten statt 10 % der Verwaltungsstrafe zahlen muss. Die Entscheidung beendet den Fall nach drei Instanzen vor dem VwGH (Aktenzeichen Ro 2025/04/0007).

Der Fall geht auf Datenverarbeitungsvorgänge zwischen Mai 2018 und Februar 2019 zurück, als die Österreichische Post als Datenvermittler geschätzte Daten zur politischen Affinität ohne Zustimmung der betroffenen Personen verkaufte. 2019 verhängte die österreichische Datenschutzbehörde wegen dieser Praxis ein Bußgeld in Höhe von 18 Mio. Euro gegen das Unternehmen.

Nach mehreren Rechtsmitteln hatte der VwGH bestätigt, dass die politische Zuordnung besonders geschützte personenbezogene Daten darstellt. Die Geldbuße wurde kurzzeitig aufgehoben, da die Behörde keine verantwortlichen Personen innerhalb des Unternehmens ermittelt hatte; sie wurde jedoch wiederhergestellt, nachdem der Europäische Gerichtshof klargestellt hatte, dass dies bei Geldbußen gegen juristische Personen nicht erforderlich ist.

Das Gericht wies zudem das Argument des Unternehmens zurück, dass die Geldbuße ausschließlich auf dem mit dem Verstoß verbundenen Umsatz basieren sollte. Stattdessen bestätigte es, dass der konzernweite Jahresumsatz die korrekte Grundlage für die Berechnung von DSGVO-Geldbußen darstellt, in Übereinstimmung mit den Leitlinien des European Data Protection Board aus dem Jahr 2022. Schließlich setzte der VwGH die endgültige Geldbuße auf 13 Millionen Euro fest und senkte die Verwaltungskosten auf 100.000 Euro.

Portugiesische Regulierungsbehörde verhängt wegen Vertragsänderungen Geldstrafe von 160.000 € gegen Vodafone

Die portugiesische Kommunikationsaufsichtsbehörde ANACOM hat Vodafone mit einer Geldstrafe von 160.000 € belegt, weil das Unternehmen Kundenverträge ohne die vorgeschriebene Vorankündigung geändert hatte.

Nach Angaben der Aufsichtsbehörde hat Vodafone seine Vertragsbedingungen geändert, um in seinem automatischen TV-Aufnahmedienst für rund 449.000 Abonnenten verpflichtende Werbung einzuschließen. ANACOM erklärte, das Unternehmen habe es versäumt, den Kunden mindestens 30 Tage im Voraus schriftlich zu benachrichtigen, und habe die Nutzer nicht darüber informiert, dass sie ihre Verträge ohne zusätzliche Kosten kündigen könnten, falls sie mit den neuen Bedingungen nicht einverstanden seien.

Die Aufsichtsbehörde erklärte, die Entscheidung beruhe auf den Bestimmungen des vorherigen Gesetzes über elektronische Kommunikation (LCE), insbesondere auf Artikel 48 Absatz 16, der die Rechte der Kunden bei Vertragsänderungen schütze.

Nach geltendem Recht müssen Telekommunikationsunternehmen ihre Kunden weiterhin mindestens einen Monat im Voraus in klarer und dauerhafter Form über Vertragsänderungen informieren und ihnen das Recht auf Kündigung ohne Gebühren erläutern. Vodafone hat die Entscheidung beim portugiesischen Gericht für Wettbewerb, Regulierung und Aufsicht angefochten.

Italien verhängt gegen TIM ein Bußgeld in Höhe von 9,516 Millionen Euro wegen Verstößen gegen Datenschutz- und Telemarketing-Vorschriften

Die italienische Datenschutzbehörde (Garante per la protección dei dati personali) hat gegen den größten Telekommunikationsanbieter des Landes, TIM, eine Geldstrafe in Höhe von 9,516 Millionen Euro wegen Verstößen gegen Datenschutz- und Telemarketingvorschriften verhängt, nachdem sie unautorisierte Callcenter untersucht hatte, die im Auftrag des Unternehmens Werbeanrufe tätigten.

Die Ermittlung wurde eingeleitet, nachdem die Behörden im Jahr 2025 7.000 Beschwerden über unerwünschte Werbeanrufe erhalten hatten, bei denen häufig gefälschte oder nicht bei der italienischen Telekommunikationsaufsichtsbehörde registrierte Nummern verwendet wurden. Viele Anrufe richteten sich zudem an Personen, die sich im öffentlichen Widerspruchsregister eingetragen hatten, um Telemarketing zu vermeiden.

Die Behörde stellte fest, dass die Callcenter eine Masche nutzten, um ihre Verkaufsaktivitäten als legitim erscheinen zu lassen. Den Nutzern wurden SMS von getarnten Telefonnummern mit Links zu Formularen auf der Website eines offiziellen TIM-Partners zugesandt. Sobald die Nutzer die Formulare ausgefüllt hatten, kontaktierten die Callcenter sie erneut über registrierte Nummern, was den Anschein einer gültigen Kundenanfrage erweckte.

Die Behörde erklärte, das Unternehmen habe seine Vertriebspartner nicht ordnungsgemäß überwacht und nicht sichergestellt, dass die Datenschutzvorschriften im gesamten Telemarketing-Netzwerk eingehalten wurden. Außerdem wurde festgestellt, dass TIM häufig nicht auf Kundenanfragen zum Zugriff auf, zur Löschung oder zum Widerspruch gegen die Verarbeitung ihrer personenbezogenen Daten reagierte und es den Nutzern unnötig erschwerte, sich vom Marketing abzumelden.

Zusätzlich zum Bußgeld wurde TIM angewiesen, seinen Lead-Generierungsprozess zu verbessern, die Aufsicht über sein Vertriebsnetz zu verschärfen und seine Verfahren zum Umgang mit den Datenschutzrechten der Kunden zu aktualisieren.

Südkorea verhängt gegen Lotte Card wegen Datenpanne 5-Mrd.-Won-Bußgeld

Die südkoreanische Finanzaufsichtsbehörde hat gegen das große Kredit- and Finanzdienstleistungsunternehmen Lotte Card gemäß dem Gesetz über spezialisierte Kreditfinanzgeschäfte und dem Gesetz über die Nutzung und den Schutz von Kreditinformationen eine Geldstrafe in Höhe von 5 Milliarden Won (etwas mehr als 3 Millionen Euro) verhängt, nachdem im August 2025 durch einen Hackerangriff Kreditdaten von 2,97 Millionen Kunden offengelegt worden waren.

Zudem wird der Geschäftsbetrieb des Unternehmens für 1,5 Monate ausgesetzt. Dies ist der erste Fall im Land, in dem eine solche Maßnahme als Reaktion auf einen Hackerangriff verhängt wurde.

Die Finanzaufsichtsbehörde leitete im September vergangenen Jahres Ermittlungen ein, nachdem Lotte Card den Finanzbehörden ein Datenleck im Zusammenhang mit einem Hackerangriff gemeldet hatte.

Bei der Überprüfung wurden mehrere Verstöße gegen die Sicherheitsanforderungen des Specialized Credit Financial Business Act und des Credit Information Use and Protection Act festgestellt. Dazu zählten die fehlende Anwendung von Sicherheitspatches auf Informationssystemen, die fehlende Verschlüsselung von Personenkennzahlen und Passwörtern sowie die fehlende Installation von Antivirensoftware während des Betriebs des Online-Zahlungssystems von Lotte Card.

Was kommt als Nächstes?

• Fordern Sie eine kostenlose Produktdemo oder Preisinformationen an.
• Registrieren Sie sich für unsere Webinare und Produktschulungen.
• Lesen Sie unseren wöchentlichen Blog „Cybercrime Investigations“
• Folgen Sie uns auf LinkedIn, X, Telegram und WhatsApp
• Abonnieren Sie unseren Newsletter
• Nehmen Sie an unserem Partnerprogramm teil.