T-Mobile US: 37 Millionen Kunden von Datendiebstahl betroffen
Unbekannte haben sich Zugriff auf Daten von rund 37 Millionen Kunden des US-Mobilfunkbetreibers T-Mobile verschafft. Das teilte das Unternehmen am Donnerstag nach US-Börsenschluss mit. Entwendet wurden demnach unter anderem Wohnadressen – an Finanzdaten sollen die Angreifer nicht gelangt sein.
In der Mitteilung des Providers an die US-Börsenaufsichtsbehörde SEC heißt es, Unbekannte seien an Kundendaten wie Namen, Rechnungsadressen und Geburtsdaten gelangt. Auch E-Mail-Adressen, Telefonnummern, Kundennummern sowie Details zu den von den Kundinnen und Kunden gebuchten Tarifen sollen die Angreifer gestohlen haben.
Nach bisherigen Erkenntnissen sind von dem Datenleck aber keine Zahlungsinformationen, Sozialversicherungs- und Steuernummern oder Passwörter betroffen. Auch Informationen zu anderen staatlichen Ausweisdokumenten seien nicht entwendet worden.
Angriff begann offenbar schon im November
T-Mobile hatte der Mitteilung zufolge am 5. Januar bemerkt, dass Daten unberechtigt über eine Programmierschnittstelle (API) abgerufen wurden. Gemeinsam mit externen Sicherheitsexperten sei der Vorfall untersucht und der Datenzugriff innerhalb eines Tages gestoppt worden. Nach den bisherigen Ermittlungen hatte der Angriff bereits Ende November 2022 begonnen.
Das Unternehmen betonte, die Angreifer hätten nicht die Systeme oder das Netzwerk von T-Mobile kompromittiert. Die Untersuchung dauere aber noch weiter an.
Zudem hat der Konzern nicht näher genannte Bundesbehörden eingeschaltet. Auch betroffene Kundinnen und Kunden würden informiert.
Wiederholte IT-Sicherheitsvorfälle
In den vergangenen Jahren hatte es wiederholt Datenlecks bei dem US-Mobilfunkbetreiber gegeben: Erst im August 2021 hatten Angreifer Daten von Millionen Kunden gestohlen. Darunter waren neben Namen, Adressen und Geburtsdaten auch Führerscheindaten und Sozialversicherungsnummern von etwa 7,8 Millionen Nutzern.
Solche Daten sind besonders sensibel, weil Kriminelle sie für Identitätsdiebstahl missbrauchen können. Insbesondere Führerscheindaten und Sozialversicherungsnummern werden in den USA auch als Identifikationsnachweis verwendet. Die Sozialversicherungsnummer wird von verschiedenen Behörden und auch Unternehmen genutzt – sie hat die Funktion eines allgemeinen Personenkennzeichens.
Bei dem Vorfall wurden auch die Daten von etwa 40 Millionen ehemaligen T-Mobile-Kunden abgegriffen.
Im November 2019 wurde eine “kleine Anzahl” von Prepaid-Kundendaten gestohlen: Unter anderem wurden Namen, Adressen und Telefonnummern entwendet.
Bereits im August 2018 hatten Angreifer persönliche Daten von etwa 2 Millionen Kundinnen und Kunden entwendet. Auch in diesem Fall waren die Angreifer unter anderem an Namen, Telefonnummern, E-Mail-Adressen und Postleitzahlen gelangt. Finanzdaten wie Sozialversicherungsnummern und Kreditkarteninformationen waren damals nicht betroffen. (js)