Wind Tre mit 1,7 Mio. € Strafe belegt nach Datenpanne mit Kundendatenpreisgabe

Die Aufsichtsbehörden greifen rigoros gegen digitale Laxheit durch und verhängen Millionenstrafen gegen Wind Tre, TeamViewer und CDSL wegen unzureichender Sicherung von Kundendaten und Anlegerwarnungen. Unterdessen sieht sich AliExpress einer Rekordstrafe in Höhe von 550 Mio. Euro gegenüber, da es unsichere Waren vertreibt, während Telekommunikations- und Fluggesellschaften wegen dubioser Nummerierungs-Manipulationen und Dark Patterns bestraft werden.

Wind Tre muss 1,7 Mio. € Strafe zahlen, nachdem ein Datenleak Kundendaten preisgab

Die italienische Datenschutzbehörde hat gegen eines der größten Telekommunikationsunternehmen des Landes, Wind Tre Spa, eine Geldbuße in Höhe von 1.715.600 € verhängt, nachdem sie schwerwiegende Sicherheitsmängel festgestellt hatte, die zu zwei Cyberangriffen führten und mehr als 365.000 Kunden betrafen.

Die Ermittlungen begannen nach Meldung von zwei Datenpannen im Februar 2025. Behörden stellten fest, dass Hacker sich als Support-Techniker ausgaben und Mitarbeiter in zwei Filialen davon überzeugten, ihnen Zugriff auf die Unternehmenssysteme zu gewähren. Dies ermöglichte den Angreifern, persönliche und Kontaktdaten von Kunden zu stehlen. In einigen Fällen enthielten die gestohlenen Daten auch zahlungsbezogene Informationen, wie Postüberweisungsbelege, IBANs sowie Kreditkarten mit teilweise verdeckten Kartennummern und Ablaufdaten.

Die Behörde erklärte, Wind Tre habe bei der Verwaltung von Anmeldedaten und digitalen Zertifikaten mangelhafte Praktiken angewandt. Sie stellte zudem fest, dass die Sicherheitsaudits des Unternehmens Schwachstellen nicht aufgedeckt hätten, die durch gründlichere Überprüfungen hätten erkannt werden können.

Die Behörde entschied, dass Wind Tre gegen die DSGVO-Vorschriften zur Datensicherheit und Vertraulichkeit verstoßen habe. Sie wies das Unternehmen an, den Schutz digitaler Zugangsdaten und Zertifikate zu verbessern, sichere Passwortverwaltungstools einzuführen und seine Cybersicherheitsabläufe zu stärken, um künftige Angriffe zu verhindern.

TeamViewer erhält 240.000 € Bußgeld wegen verspäteter Cyber-Attacke-Meldung

Die deutsche Finanzaufsichtsbehörde BaFin hat gegen das Softwareunternehmen TeamViewer eine Geldbuße in Höhe von 240.000 € verhängt, weil es Investoren nicht umgehend über einen Cyberangriff im Jahr 2024 informiert hatte. Die Aufsichtsbehörde erklärte, das Unternehmen habe gegen die EU-Marktmissbrauchsverordnung (MAR) verstoßen, da es keine Ad-hoc-Mitteilung veröffentlicht habe, sobald es von dem Vorfall Kenntnis erlangt hatte.

TeamViewer ging davon aus, dass der Angriff von der russischen Hackergruppe APT29/Midnight Blizzard durchgeführt wurde. Das Unternehmen erklärte, die Hacker hätten lediglich Zugriff auf sein internes IT-System erlangt und dabei Namen von Mitarbeitern, Kontaktdaten sowie vertrauliche Passwörter gestohlen. Es fügte hinzu, dass Kundendaten, Produktsysteme und Kommunikationsplattformen nicht betroffen seien.

Anstatt die Anleger sofort zu benachrichtigen, veröffentlichte TeamViewer zunächst eine Mitteilung für Kunden auf seiner Website. Nach Bekanntwerden des Angriffs fiel der Aktienkurs des Unternehmens um rund 10 %.

Nach EU-Vorschriften müssen an deutschen Finanzmärkten notierte Unternehmen Informationen, die ihren Aktienkurs beeinflussen könnten, unverzüglich veröffentlichen. Die BaFin erklärte, TeamViewer habe diese Anforderung nicht erfüllt, weshalb die Geldbuße verhängt wurde.

SEBI verhängt Geldstrafe gegen CDSL wegen Malware-Angriffs 2022

Die indische Marktaufsichtsbehörde SEBI hat Central Depository Services (India) Ltd (CDSL) mit einer Geldstrafe in Höhe von 10 Millionen Rupien (etwa 90.800 Euro) belegt wegen Mängeln im Bereich Cybersicherheit und Compliance im Zusammenhang mit einem Malware-Angriff im Jahr 2022. SEBI erklärte, dass CDSL es versäumt habe, einen internetseitigen Server als kritischen Asset zu identifizieren und zu schützen, wodurch Hacker Zugriff auf die Systeme erlangen konnten. Die Wertpapierverwahrstelle verwaltet rund 83 Millionen Anlegerkonten, was etwa 70 % der Gesamtzahl im Land entspricht.

Die Aufsichtsbehörde stellte zudem fest, dass CDSL es versäumt hatte, Cyber-Eindringungen in Echtzeit zu erkennen, Sicherheitswarnungen ordnungsgemäß zu analysieren und die Vorschriften zur Wiederherstellung der Abwicklungsprozesse über Backup-Standorte einzuhalten. Der Malware-Angriff beeinträchtigte wichtige Verwahrungsdienste, darunter Handelsabwicklungen, Corporate Actions, Margenverpfändungen und Übertragungen zwischen Verwahrstellen, und verzögerte die für den 18. November 2022 geplanten Abwicklungen.

SEBI erklärte, dass der Vorfall auf wiederholte Cybersicherheitslücken zurückzuführen sei, darunter mangelhafte Überwachung, unzureichende Passwortkontrollen und die Nichtumsetzung vorgeschriebener Sicherheitsmaßnahmen.

Unabhängig davon hat die indische Zentralbehörde für Verbraucherschutz (CCPA) die Billigfluggesellschaft SpiceJet belegt, weil sie auf ihrer Buchungswebsite Dark Patterns verwendet hat. Nach Angaben der CCPA meldete die Buchungsseite des Unternehmens Kunden automatisch für das Vielfliegerprogramm von SpiceJet an und wählte die Einwilligung zum Erhalt von Werbe-SMS, WhatsApp-Nachrichten und E-Mails vorab aus.

Die CCPA entschied, dass die Praktiken eine unlautere Handelspraxis, einen unlauteren Vertrag und eine irreführende Werbung im Sinne des Verbraucher-schutzgesetzes von 2019 darstellen. Sie stellte außerdem fest, dass SpiceJet gegen Regel 4(9) der E-Commerce-Verbraucherschutzregeln von 2020 verstoßen hat, die eine eindeutige Einwilligung des Verbrauchers vorschreibt und vorab angekreuzte Kontrollkästchen ausdrücklich verbietet.

Die Aufsichtsbehörde stellte zudem fest, dass die Buchungsoberfläche verbotene Dark Patterns gemäß den „Guidelines for Prevention and Regulation of Dark Patterns, 2023“ verwendete, und wies die Fluggesellschaft an, innerhalb von 15 Tagen einen Compliance-Report vorzulegen.

ICASA bestraft Session Telecoms mit 6 Mio. Rand wegen Verstößen gegen Nummerierungsvorschriften

Die südafrikanische Kommunikationsaufsichtsbehörde ICASA hat den B2B-Telekommunikationsanbieter Session Telecoms mit einer Geldstrafe in Höhe von 6 Millionen Rand (320.000 Euro) belegt, nachdem festgestellt wurde, dass das Unternehmen Telekommunikations-Nummernressourcen unter Verstoß gegen die Numbering Plan-Vorschriften missbraucht hatte.

Der Fall ging auf eine Beschwerde zurück, die MTN, eine südafrikanische Tochtergesellschaft des in Johannesburg ansässigen Telekommunikationsanbieters MTN Group, im April 2023 eingereicht hatte. MTN warf Session vor, an Praktiken im Zusammenhang mit Interconnect-Bypass beteiligt zu sein, darunter die Manipulation der Anruferidentifikation (CLI), die Anruf-Umleitung und der Einsatz von SIM-Boxen. Die Beschwerde wurde vom Beschwerde- und Compliance-Ausschuss (CCC) der ICASA gemäß Abschnitt 17B des ICASA-Gesetzes untersucht und verhandelt.

Der CCC stellte fest, dass Session gegen Vorschrift 6(3)(f) der Nummerierungsplan-Regelungen verstoßen hatte, indem es ungültige und nicht zugewiesene Nummern verwendete. Ferner stellte er fest, dass das Unternehmen gegen Vorschrift 6(3)(g) der Nummerierungsplan-Regelungen verstoßen hatte, indem es nicht sicherstellte, dass die Nummerierungsressourcen effizient und effektiv genutzt wurden, was dazu führte, dass Kommunikation nicht wie vorgeschrieben über das MTN-Netzwerk weitergeleitet wurde.

Die ICASA verhängte ein Bußgeld in Höhe von 3 Millionen Rand (160.000 Euro) wegen Verstoßes gegen die Vorschrift 6(3)(f) und ein weiteres Bußgeld in Höhe von 3 Millionen Rand wegen Verstoßes gegen die Vorschrift 6(3)(g). Neben den Bußgeldern wies die Regulierungsbehörde Session an, weitere Verstöße gegen die Numbering Plan Regulations zu unterlassen, sperrte die betroffenen Nummernressourcen und entzog sie, sofern angemessen, und stellte das Unternehmen unter enges Compliance-Monitoring.

Session muss zudem für 24 Monate monatliche Compliance-Berichte vorlegen, einschließlich Details zu Anrufprotokollen und dem über sein Netzwerk geleiteten internationalen Sprachverkehr.

AliExpress mit halber Milliarden-EU-Geldstrafe wegen DSA-Verstoßes

Die EU hat der chinesischen Online-Shopping-Plattform AliExpress eine Rekordstrafe in Höhe von 550 Millionen Euro verhängt, weil das Unternehmen den Verkauf illegaler Produkte auf seiner Website nicht unterbunden hat. Die gemäß dem Digital Services Act verhängte Geldbuße ist die höchste, die jemals im Rahmen dieses Gesetzes verhängt wurde, das darauf abzielt, Verbraucher vor unsicheren Produkten und irreführenden Online-Praktiken zu schützen.

Die Europäische Kommission stellte fest, dass AliExpress nicht über genügend Personal verfügte, um ordnungsgemäß zu prüfen, ob Produkte den EU-Sicherheitsstandards entsprachen, wobei Moderatoren Produkte manchmal nur für wenige Sekunden prüften. Infolgedessen blieben gefährliche Kosmetika, unsicheres Spielzeug, gefälschte Waren und andere illegale Produkte wochenlang auf der Plattform und wurden häufig über die Werbe- und Empfehlungssysteme des Unternehmens den Kunden empfohlen.

Beamte erklärten zudem, dass AliExpress keine Sanktionen gegen Verkäufer verhängt habe, die gegen die Regeln verstoßen, wodurch viele von ihnen ihre Geschäftstätigkeit fortsetzen konnten. Die Kontrollen des Unternehmens auf gefälschte und falsch gekennzeichnete Produkte erwiesen sich als unwirksam, sodass es für Verkäufer leicht war, der Kontrolle zu entkommen. Die Kommission kam zu dem Schluss, dass AliExpress nicht genügend Maßnahmen ergriffen habe, um die Verbreitung illegaler Waren zu minimieren oder die Wirksamkeit seiner Moderationssysteme genau zu messen.

Was kommt als Nächstes?

• Fordern Sie eine kostenlose Produktdemo oder Preisinformationen an.
• Registrieren Sie sich für unsere Webinare und Produktschulungen.
• Lesen Sie unseren wöchentlichen Blog „Cybercrime Investigations“
• Folgen Sie uns auf LinkedIn, X, Telegram und WhatsApp
• Abonnieren Sie unseren Newsletter
• Nehmen Sie an unserem Partnerprogramm teil.