Südkoreanische Datenschutzbehörde verhängt gegen KT eine Strafe von 53,98 Milliarden Won wegen Femtocell-Datenlecks
Wichtige Erkenntnisse
- •Die PIPC verhängte eine Geldbuße von 53,98 Milliarden Won (37,4 Millionen US-Dollar) gegen KT Corp., nachdem Hacker Schwachstellen im Femtocell-System des Telekommunikationsunternehmens ausgenutzt hatten, um auf die Daten von 16.647 Kunden zuzugreifen.
- •Das Datenleck führte zu unbefugten Mobilfunkzahlungen bei 368 Nutzern und verursachte finanzielle Verluste von rund 240 Millionen Won, was die PIPC als Beweis für einen konkreten Schaden über die bloße Offenlegung von Daten hinaus anführte.
- •KT war sich einer Malware-Infektion auf 38 seiner Server bereits seit März des vergangenen Jahres bewusst, meldete dies jedoch nicht an die Behörden und löschte Protokolle von 10 kompromittierten Servern, was die Aufsichtsbehörden als organisierten Vertuschungsversuch bezeichneten.
- •Die PIPC leitet den Fall zur strafrechtlichen Untersuchung weiter aufgrund von KT's Versäumnis, das Datenleck offenzulegen, der Beweisvernichtung und der Einreichung unzutreffender Informationen bei den Aufsichtsbehörden.
- •Die endgültige Strafe liegt deutlich unter dem potenziellen Höchstbetrag von rund 190 Milliarden Won, da die PIPC Faktoren wie die Größenordnung des Datenlecks, die von KT ergriffenen Korrekturmaßnahmen und Kundenentschädigungsmaßnahmen wie den Verzicht auf Stornierungsgebühren abwog.
Die südkoreanische Personal Information Protection Commission (PIPC) verhängte am Donnerstag eine Geldbuße von 53,98 Milliarden Won (37,4 Millionen US-Dollar) gegen KT Corp., den größten Festnetzbetreiber und zweitgrößten Mobilfunkanbieter des Landes, wegen eines Datenlecks, das auf die unzureichende Absicherung des Femtocell-Systems des Telekommunikationsunternehmens zurückzuführen war.
Die PIPC stellte fest, dass KT's mangelhaftes Management seines Kleinzellen-Basisstationsnetzwerks es Hackern ermöglichte, die mit illegal hergestellten Femtocells – kompakten, leistungsschwachen Mobilfunk-Basisstationen, die normalerweise zur Erweiterung der Innenraumabdeckung eingesetzt werden – ausgerüstet waren, unbefugten Zugriff auf das Mobilfunknetz des Unternehmens zu erlangen. Das Datenleck, das im August des vergangenen Jahres stattfand, kompromittierte die personenbezogenen Daten von 16.647 KT-Kunden, einschließlich der Kunden von Mobile Virtual Network Operators. Die offengelegten Informationen umfassten Teilnehmerkennungsnummern, Gerätekennungsnummern und Mobiltelefonnummern.
Der Vorfall führte außerdem zu unbefugten Mobilfunkzahlungen, die 368 Nutzer betrafen, und verursachte laut der Behörde finanzielle Verluste von rund 240 Millionen Won. Die PIPC betonte, dass der Fall besonders schwerwiegend war, da die gestohlenen Daten anschließend verwendet wurden, um konkreten finanziellen Schaden anzurichten, anstatt lediglich eine passive Offenlegung personenbezogener Daten darzustellen.
Darüber hinaus entdeckte die Behörde, dass 38 Server, die mit den Systemen zur Verarbeitung personenbezogener Daten von KT verbunden waren, im März 2025 durch mehrere Malware-Stämme kompromittiert worden waren, darunter BPFDoor, ein verstecktes Linux-Backdoor-Programm, das für die Nutzung von Berkeley-Packet-Filter-Techniken zur Umgehung von Erkennungssystemen bekannt ist.
„KT war sich der Malware-Infektion auf seinen Servern bereits im März des vergangenen Jahres bewusst, meldete die Sicherheitsverletzung jedoch nicht an die Regierung", erklärte ein PIPC-Vertreter. „Bei einer umfassenden Überprüfung der KT-Server fanden wir Hinweise auf einen organisierten Vertuschungsversuch, einschließlich der Löschung von Protokollen auf 10 kompromittierten Servern."
Die PIPC kündigte an, den Fall zur strafrechtlichen Untersuchung weiterzuleiten, und verwies dabei auf KT's Versäumnis, den Sicherheitsvorfall zu melden, die Löschung von Serverprotokollen sowie die Einreichung unzutreffender Informationen.
Die endgültige Strafe liegt deutlich unter dem Höchstbetrag, dem KT nach dem südkoreanischen Personal Information Protection Act hätte ausgesetzt sein können, das 2023 geändert wurde, um Geldbußen von bis zu 3 Prozent des relevanten Jahresumsatzes eines Unternehmens zu erlauben. Frühere Schätzungen hatten darauf hingedeutet, dass die Geldbuße bis zu 190 Milliarden Won erreichen könnte.
Die Kommission erläuterte, dass sie bei der Festlegung des endgültigen Betrags mehrere Faktoren berücksichtigte, darunter die Größenordnung des Datenlecks im Vergleich zu jüngsten Vorfällen bei SK Telecom und Coupang, die Dauer der Verstöße, die von KT ergriffenen Korrekturmaßnahmen sowie die Bemühungen des Unternehmens, betroffene Kunden zu entschädigen, etwa durch den Verzicht auf Stornierungsgebühren. Die Strafe fällt in eine Zeit verstärkter regulatorischer Überwachung des südkoreanischen Telekommunikationssektors, in der eine Reihe großer Datenlecks den Druck auf die Netzbetreiber erhöht hat, eine robuste Cybersicherheits-Governance nachzuweisen.
KT erklärte, das Urteil der Behörde zu akzeptieren, und sprach erneut eine Entschuldigung für die bei Kunden und der breiten Öffentlichkeit verursachte Beunruhigung aus.
„Wir bauen unser System zum Schutz personenbezogener Daten von Grund auf neu auf und erweitern unsere Investitionen in die Sicherheit, um ähnliche Vorfälle zu verhindern und das Vertrauen unserer Kunden wiederherzustellen", sagte ein KT-Vertreter.
KT fügte hinzu, dass es die schriftliche Entscheidung der Behörde prüfen werde, bevor es darüber entscheidet, ob es rechtliche Schritte einleitet.
Ebenso erklärte die PIPC, sie beabsichtige, eine Untersuchung gegen LG Uplus zu beantragen, aufgrund von Vorwürfen, das Unternehmen habe Server entsorgt, bevor die Behörde eine Untersuchung wegen eines vermuteten Datenlecks eingeleitet habe, was Bedenken hinsichtlich möglicher Beweisvernichtung aufkommen ließ.