Die italienische Datenschutzbehörde hat das Telekommunikationsunternehmen WINDTRE mit einer Geldstrafe von mehr als 1,7 Millionen Euro belegt. Zuvor hatten zwei Sicherheitsvorfälle Kundendaten offengelegt.
Die Datenschutzverletzungen bei WINDTRE betrafen mehr als 365.000 Personen. Die Angreifer stahlen Identitäts- und Kontaktdaten. Bei einigen Kunden wurden zudem Zahlungsinformationen kompromittiert.
Die Behörde machte erhebliche Schwachstellen in den Sicherheitssystemen des Unternehmens verantwortlich. Die Ermittler stellten insbesondere Probleme bei Zugangsdaten, digitalen Zertifikaten und Schwachstellentests fest.
Italien verhängt Geldstrafe von 1,7 Millionen Euro
Die italienische Datenschutzbehörde verhängte gegen WINDTRE eine Geldstrafe in Höhe von 1.715.600 Euro.
Die Behörde leitete ihre Untersuchung ein, nachdem der Telekommunikationsanbieter im Februar 2025 zwei Datenschutzverletzungen gemeldet hatte. Beide Vorfälle umfassten unbefugte Zugriffe auf die Systeme des Unternehmens.
Die Ermittler kamen zu dem Ergebnis, dass WINDTRE die Kundendaten nicht ausreichend geschützt hatte. Das Unternehmen verstieß dadurch gegen die Anforderungen der DSGVO an Datenintegrität, Vertraulichkeit und Sicherheit.
Bei der Festlegung der Strafe berücksichtigte die Behörde die große Anzahl betroffener Kunden. Gleichzeitig bezog sie mehrere mildernde Umstände in ihre Entscheidung ein.
WINDTRE meldete die Vorfälle umgehend. Zudem arbeitete das Unternehmen mit den Ermittlern zusammen und leitete nach den Angriffen Gegenmaßnahmen ein.
Mehr als 365.000 Kunden betroffen
Die Angreifer entwendeten personenbezogene Daten von mehr als 365.000 WINDTRE-Kunden.
Die gestohlenen Datensätze enthielten Identitäts- und Kontaktdaten. Die Behörde nannte nicht alle offengelegten Datenfelder. Solche Informationen können Kriminelle jedoch bei Phishing- oder Identitätsbetrug unterstützen.
Bei 41.359 Kunden umfasste die Datenschutzverletzung zusätzlich Angaben zu ihren Zahlungsmethoden.
Zu den offengelegten Zahlungsinformationen gehörten:
- Zahlungsmethoden über Postdienstleister
- IBAN-Daten von Bankkonten
- Teilweise maskierte Kreditkartennummern
- Ablaufdaten von Kreditkarten
Teilweise verborgene Kartennummern sind weniger nützlich als vollständige Zahlungsdaten. Kriminelle können sie jedoch mit anderen persönlichen Informationen kombinieren und dadurch glaubwürdige Betrugsversuche erstellen.
Angreifer gaben sich als Supporttechniker aus
Die Datenschutzverletzungen bei WINDTRE begannen mit Social Engineering und nicht mit einem rein technischen Angriff.
Die Hacker gaben sich als Supporttechniker aus und kontaktierten Mitarbeiter in zwei Geschäften. Anschließend überzeugten sie die Beschäftigten davon, ihnen Zugriff auf interne Unternehmenssysteme zu gewähren.
Nach dem Eindringen entwendeten die Angreifer Identitäts- und Kontaktdaten der Kunden. Zudem erhielten sie Zugriff auf Zahlungsinformationen von Tausenden Konten.
Die Methode zeigt, wie Kriminelle Sicherheitskontrollen durch gezielte Manipulation von Mitarbeitern umgehen können. Selbst ein geschütztes System kann angreifbar werden, wenn ein Angreifer einen berechtigten Nutzer zur Zugangsfreigabe bewegt.
Unternehmen müssen technische Schutzmaßnahmen daher mit Mitarbeiterschulungen und strengen Überprüfungsverfahren kombinieren.
Behörde findet Mängel beim Schutz von Zugangsdaten
Die Untersuchung deckte Schwachstellen beim Umgang mit Zugangsdaten und digitalen Zertifikaten auf.
Zugangsdaten bestimmen, wer auf ein System zugreifen darf. Digitale Zertifikate können außerdem die Identität von Geräten, Nutzern oder Diensten bestätigen. Eine unzureichende Absicherung kann daher unbefugte Zugriffe ermöglichen.
Nach Ansicht der Behörde hätten bessere Kontrollen das Ausmaß der Angriffe begrenzen können. Vor allem ein stärkerer Schutz der Zugangsdaten hätte deren Missbrauch über die Geschäfte erschweren können.
Die italienische Datenschutzbehörde hat WINDTRE nun angewiesen, sowohl Zugangsdaten als auch Zertifikate besser zu schützen.
Das Unternehmen muss außerdem sicherere Werkzeuge zur Passwortverwaltung einführen und seine allgemeinen Cybersicherheitsverfahren verbessern.
Sicherheitstests übersahen Schwachstellen
Die Ermittler kritisierten auch die Schwachstellenanalysen und Penetrationstests von WINDTRE.
Das Unternehmen hatte zwar Sicherheitsprüfungen durchgeführt. Diese erkannten jedoch keine Schwachstellen, die gründlichere Untersuchungen hätten aufdecken müssen.
Dadurch blieben die Sicherheitslücken für Angreifer nutzbar. Laut Behörde erleichterten diese Mängel den Zugriff auf die Systeme und den Diebstahl von Kundendaten.
Gewöhnliche Sicherheitsscans erkennen nicht immer komplexe Schwachstellen. Organisationen sollten daher mehrere Testmethoden verwenden und deren Umfang regelmäßig überprüfen.
Penetrationstests sollten außerdem reale Angriffsmethoden abbilden. Dazu gehören Social Engineering, gestohlene Zugangsdaten und der Missbrauch von Zertifikaten. Die Tests sollten auch unbefugte Zugriffe über vertrauenswürdige Unternehmensstandorte berücksichtigen.
WINDTRE muss seine Schutzmaßnahmen verstärken
Die Datenschutzbehörde hat WINDTRE angewiesen, mehrere Bereiche seines Sicherheitsprogramms zu verbessern.
Zu den erforderlichen Maßnahmen gehört ein stärkerer Schutz von Zugangsdaten und digitalen Zertifikaten. Das Unternehmen muss außerdem sichere Werkzeuge zur Passwortverwaltung einführen.
Darüber hinaus muss WINDTRE seine Cybersicherheitsprozesse verbessern. Diese Maßnahmen sollen dem Unternehmen helfen, verdächtige Zugriffe zu erkennen und einzugreifen, bevor Angreifer große Datenmengen entwenden können.
Bei der Festlegung der endgültigen Geldstrafe berücksichtigte die Behörde bereits umgesetzte Verbesserungen von WINDTRE.
Gestohlene Daten könnten weitere Betrugsversuche ermöglichen
Kunden, die von den Datenschutzverletzungen bei WINDTRE betroffen sind, sollten besonders auf verdächtige E-Mails, Anrufe und Textnachrichten achten.
Kriminelle könnten die gestohlenen Kontaktdaten nutzen, um sich als Mitarbeiter des Telekommunikationsanbieters, einer Bank oder einer anderen vertrauenswürdigen Organisation auszugeben. Die Zahlungsinformationen können solche Nachrichten noch glaubwürdiger wirken lassen.
Kunden sollten bei unerwarteten Anrufen niemals Passwörter oder Bestätigungscodes weitergeben. Ebenso sollten sie keine Links in unaufgeforderten Nachrichten öffnen.
Wer eine verdächtige Anfrage erhält, sollte WINDTRE oder seine Bank über eine verifizierte Telefonnummer kontaktieren. Kunden sollten außerdem ihre Konten auf unbekannte Aktivitäten überprüfen.
Der Vorfall zeigt, wie ein erfolgreicher Social-Engineering-Angriff Daten von Hunderttausenden Menschen offenlegen kann. Starke technische Sicherheitsmaßnahmen bleiben unverzichtbar. Unternehmen müssen jedoch auch Supportanfragen überprüfen und Mitarbeiterzugriffe beschränken.
0 Kommentare zu „Datenschutzverletzungen bei WINDTRE führen zu 1,7 Millionen Euro Strafe“