Zusammenfassung

  • Südkoreas Datenschutzkommission verhängte gegen KT 53,979 Milliarden Won Bußgeld sowie Korrektur-, Verbesserungs- und Veröffentlichungsmaßnahmen.
  • Nach Abzug von Unternehmen und Mehrfachanschlüssen blieben 16.647 eindeutige Personen von KTs ursprünglich gemeldeten 22.227 Leitungen.
  • Mobilnummern, IMSI und IMEI wurden offengelegt; 368 Menschen verloren durch unbefugte Kleinzahlungen rund 240 Millionen Won.
  • Ein Angreifer kopierte das Zertifikat einer verlorenen KT-Femtozelle, setzte es in ein Eigenbaugerät ein und fing Netzdaten sowie ARS- und SMS-Bestätigungen ab.
  • Zertifikate liefen zehn Jahre, Quell-IPs waren nicht beschränkt, der Verwaltungsserver ließ sich umgehen und Zellkennungen wurden unzureichend kontrolliert.
  • KT muss binnen drei Monaten Maßnahmen vorlegen; gesonderte Verweisungen zu KT und LG Uplus sind keine Verurteilungen.

22.227 zählt Leitungen, nicht Menschen

KT meldete zunächst 22.227 betroffene Leitungen. Die Kommission entfernte Unternehmensanschlüsse sowie Mehrfachzählungen von Personen mit mehreren Leitungen. Das Ergebnis sind 16.647 tatsächliche Datensubjekte einschließlich Kundinnen und Kunden virtueller Mobilfunkanbieter.

Die Änderung ist keine nachträgliche Verkleinerung desselben Nenners. Eine Leitung verbindet SIM, Dienst und Netzprotokoll. Eine Person bestimmt Benachrichtigung, Datenschutzrechte und individuelle Abhilfe. Wer 22.227 als Menschen bezeichnet, zählt Mehrfachanschlüsse doppelt. Wer 22.227 und 16.647 addiert, zählt Teile des Vorfalls ein zweites Mal.

Der dritte Personenwert lautet 368. Für diese Gruppe sind unbefugte Zahlungen bestätigt. Sie ist eine Teilmenge der offengelegten Personen, nicht deren Ersatz. Drei Nenner steuern drei Arbeiten: Leitungen technisch finden, Menschen rechtlich informieren und Zahlungsschäden bearbeiten.

240 Millionen Won ist ein bestätigter Verlust, keine Gesamtrechnung

Die 368 bestätigten Fälle summieren sich auf etwa 240 Millionen Won. Der Betrag erfasst ausgeführte unbefugte Kleinzahlungen. Er enthält nicht automatisch Untersuchungsaufwand, Kundendienst, Erstattung, Identitätsmissbrauch außerhalb der Zahlungen, Netzumbau oder Vertrauensverlust.

Das Bußgeld von 53,979 Milliarden Won ist rund 225-mal so hoch. Die Division ist eine journalistische Vergleichsgröße, keine von der Behörde veröffentlichte Berechnungsformel. Das Bußgeld entschädigt die Betroffenen nicht 225-fach. Es sanktioniert die Verletzung von Schutzpflichten für personenbezogene Daten in einem von KT kontrollierten Mobilfunknetz.

Der Abstand zeigt, dass die Aufsicht nicht erst am Ende der Betrugskette ansetzt. Sie bewertet auch den Zugang zu internen Systemen, die Dauer der unentdeckten Möglichkeit, die Beständigkeit der Kennungen und die Verantwortung des Betreibers für die Vertrauensentscheidung.

16.647 beschreibt Offenlegung, 368 den beobachteten Zahlungsabschluss

Zu den offengelegten Daten gehörten Mobilnummer, IMSI für das Teilnehmerverhältnis und IMEI für das Endgerät. Der Angreifer kombinierte abgefangene Informationen laut Behörde mit zusätzlich beschafften Angaben wie Name, Geschlecht und Geburtsdatum. Danach löste er Kleinzahlungen aus und fing ARS-Anrufe sowie SMS mit Zahlungsbestätigungen ab.

Damit ist eine mehrstufige Wirkungskette belegt. Sie beginnt mit der Annahme des falschen Funkgeräts, führt über Datenverkehr und Identifikatoren und endet in einigen Fällen mit erfolgreichem Zahlungsbetrug.

Nicht belegt ist derselbe Abschluss für jede Person. Die Entscheidung nennt keine Gesamtzahl abgefangener Nachrichten oder Anrufe und behauptet nicht, alle offengelegten Kennungen seien für Zahlungen verwendet worden. 16.647 darf daher nicht zu 16.647 Zahlungsopfern umetikettiert werden.

Zehn Jahre messen die Richtlinie, elf Monate das Zugangsfenster

Die Zertifikate der Femtozellen waren zehn Jahre gültig. Eine lange Laufzeit ist keine eigenständige Angriffshandlung, erhöht aber den Gebrauchswert eines aus einem verlorenen Gerät kopierten Geheimnisses. Ohne schnelle Sperrung kann das Vertrauen die physische Kontrolle über das Gerät lange überleben.

Das unbefugte Gerät konnte sich vom 8. Oktober 2024 bis zum 5. September 2025 verbinden, also ungefähr elf Monate. Dieser Zeitraum misst die von der Aufsicht beschriebene Zugangsmöglichkeit. Er misst weder die Gültigkeit der Richtlinie noch eine tägliche Aktivität.

Der öffentliche Beschluss enthält keine Verbindungshäufigkeit, kein tägliches Datenvolumen und keine lückenlose Liste abgefangener Kommunikation. Präzise ist: Der Pfad blieb ungefähr elf Monate nutzbar und KT erkannte die Anomalie in dieser Zeit nicht. „Elf Monate fortlaufende Extraktion“ wäre eine nicht belegte Erweiterung.

Vier Kontrollfelder ergeben eine einzige Vertrauenskette

Der Angreifer entnahm das Zertifikat einer verlorenen KT-Femtozelle und setzte es in ein selbst gebautes Gerät ein. Die Einheit am Kundenstandort war weiterhin Eigentum von KT. Der Betreiber kontrollierte Netzzulassung, Authentifizierung, internen Zugriff, Sicherheit und Betrieb.

Neben der zehnjährigen Zertifikatslaufzeit fehlte eine Beschränkung der Quell-IP. Verbindungen waren damit über fremde Anbieter oder ausländische Adressen möglich. Zudem bestand ein Pfad am Femtozellen-Verwaltungsserver vorbei. Zell-IDs, die beim Zugang zum Kernnetz vergeben wurden, waren nicht so geführt, dass eine unbekannte Kennung zuverlässig auffiel.

Jedes Feld hätte das vorherige korrigieren können: Sperrung nach Verlust, Abgleich der Herkunft, erzwungene zentrale Verwaltung und Inventarprüfung der Zell-ID. Stattdessen bestätigten sich die Kontrollen gegenseitig, obwohl das zugrunde liegende Gerät nicht autorisiert war. Das ist der Kern der wirtschaftlichen Haftung.

Beschwerden ersetzten zu lange die technische Warnung

KT identifizierte den ungewöhnlichen Zugang erst, nachdem Folgeschäden und zahlreiche Beschwerden sichtbar geworden waren. Für einen nationalen Betreiber ist das eine Umkehr der vorgesehenen Reihenfolge. Eine fremde Zelle sollte im Netzmonitoring auffallen, bevor eine Kundin eine unbefugte Zahlung auf ihrer Abrechnung sieht.

Nötig sind deshalb Kennzahlen, die nicht auf das Endergebnis warten: Zeit von Verlustmeldung bis Zertifikatssperre, Anteil vollständig inventarisierter Zellen, zugelassene Netzursprünge, Warnung bei Umgehung des Verwaltungsservers und Dauer bis zur Eskalation einer unbekannten Zell-ID.

Solche Messwerte fehlen im Beschluss. Sie sollten im nächsten KT-Bericht auftauchen, damit sich nicht nur ein Maßnahmenkatalog, sondern eine verkürzte Erkennungs- und Reaktionszeit prüfen lässt.

Drei Monate trennen die Anordnung von nachgewiesener Abhilfe

Die Kommission verlangte eine Schwachstellenprüfung für Femtozellen und verwandte Telekommunikationsgeräte, stärkere Barrieren gegen unrechtmäßigen Zugriff sowie eine wirksame Rolle der obersten Datenschutzverantwortung. KT soll die Maßnahmen innerhalb von drei Monaten entwerfen und melden.

Zusätzlich empfahl die Behörde, den Umfang der ISMS-P-Zertifizierung auf die betroffenen Mobilfunknetzsysteme auszudehnen. Eine Empfehlung ist kein Nachweis, dass die Zertifizierung bereits erweitert oder die Kontrolle wirksam ist. Auch ein Budget oder ein Abschlussdatum für den technischen Umbau wurde nicht veröffentlicht.

Der künftige Prüfpunkt ist deshalb der Unterschied zwischen Planung, Einführung und getesteter Wirksamkeit. Erst eine gesperrte verlorene Identität, ein abgewiesener fremder Ursprung und eine erkannte unbekannte Zelle zeigen, dass der Vertrauenspfad unterbrochen wurde.

Verweisungen sind eigene Verfahrensstufen

In einer gesonderten Untersuchung befasste sich die Kommission mit einer Malware-Infektion bei KT im Jahr 2024. Sie verwies mutmaßlich unterlassene Meldungen, gelöschte Protokolle und falsche Unterlagen zur Strafverfolgung. LG Uplus wurde wegen einer behaupteten Vernichtung oder Neuinstallation von Servern vor der Untersuchung an Ermittler verwiesen.

Diese Vorgänge betreffen Beweissicherung und Kooperation, sind aber nicht derselbe technische Angriff wie die Femtozelle. Mechanismus, Systeme und Beweisfragen unterscheiden sich. Eine Verweisung eröffnet oder unterstützt Ermittlungen; sie ist keine gerichtliche Verurteilung.

Damit enthält die Sanktionsakte eine letzte getrennte Einheit: Verhinderung, Protokollierung, aufsichtsrechtliche Entscheidung und strafrechtliche Prüfung sind verschiedene Stufen. Gute Berichterstattung hält sie auseinander. Gute Netzführung verbindet sie, indem sie einen Angriff stoppt und zugleich die Beweise bewahrt, die sein Scheitern erklären.

Die Femtozelle war klein in ihrer Funkreichweite. Die von ihr getragene Vertrauensentscheidung war es nicht. KTs Drei-Monats-Bericht muss zeigen, dass diese Entscheidung künftig an ein bekanntes Gerät, einen erwarteten Ursprung und eine sichtbare Zellidentität gebunden ist.

Sources