Fast 50 Millionen US-Konten betroffen: Telekom-Gruppe verschweigt Informationen über gehackte Personendaten

Mit mehr als 100 Millionen Kund:innen in den USA verfügt T-Mobile über gewaltige Mengen von persönlichen Daten. Als Tochtergesellschaft der Deutschen Telekom könnte es sich sogar um die größte Datenmenge eines Unternehmens handeln, dessen Mutterkonzern seinen Sitz in der Europäischen Union hat. Darauf macht der Digitalaktivist und Reiseblogger Edward Hasbrouck aus Kalifornien in seinem jüngsten Eintrag aufmerksam.

Allerdings ist T-Mobile USA weit weniger auskunftsfreudig als die Deutsche Telekom, die beispielsweise dem damaligen Grünen-Abgeordneten Malte Spitz vor elf Jahren umfangreiche Bewegungsdaten herausgeben musste – allerdings erst nach einer Einigung im Rahmen einer Klage. Nach Vorbild von Spitz hatte auch Hasbrouck bei der US-Firma gefragt, welche Informationen über ihn gespeichert sind. Die Firma verweigert aber eine Antwort und verbittet sich inzwischen weitere Anfragen des Bloggers.

Auch Sozialversicherungsnummer und Führerscheindaten abgeflossen

Vor fast genau einem Jahr bestätigte T-Mobile Berichte, wonach Hacker:innen persönliche Daten von über 40 Millionen aktuellen oder ehemaligen Konten für Pre- und Postpaid-Dienste gestohlen haben. Hierbei soll es sich um Vor- und Nachnamen, Geburtsdatum, Sozialversicherungsnummer, Ausweis- und Führerscheindaten gehandelt haben.

Später habe die Firma festgestellt, dass weitere 7,8 Millionen Konten betroffen gewesen seien. Dabei wurden nach Angaben des Unternehmens auch „Telefonnummern sowie IMEI- und IMSI-Informationen“ kompromittiert. Doch dabei blieb es nicht.

Im Verlauf der Untersuchung entdeckte T-Mobile nach eigenen Angaben weitere 5,3 Millionen Datensätze von Kund:innen, auf die „illegal zugegriffen wurde“. Bei diesen Konten seien aber keine Informationen aus Ausweisen erbeutet worden. Man habe aber „weiterhin keinen Hinweis darauf, dass die in einer der gestohlenen Dateien enthaltenen Daten Finanzinformationen, Kreditkarteninformationen, Lastschriften oder andere Zahlungsinformationen von Kunden enthielten“, schreibt T-Mobile auf ihrer Webseite.

Mitteilung erst nach zwei Monaten

Unter den betroffenen Kund:innen war auch Hasbrouck, eine entsprechende Benachrichtigung über den Hack erhielt der Blogger aber erst im Oktober des vergangenen Jahres. Demnach habe T-Mobile „festgestellt, dass ein unbefugter Zugriff auf Ihre personenbezogenen Daten stattgefunden hat, einschließlich Ihres Namens, Ihrer Führerschein-/ID-Informationen, Ihres Geburtsdatums und Ihrer Sozialversicherungsnummer“.

Jedoch ergreife T-Mobile „weiterhin Maßnahmen, um alle gefährdeten Personen vor diesem Cyberangriff zu schützen“, heißt es auf der Webseite der Firma. Hierzu gehörten „Mitteilungen an Millionen von Kunden und andere betroffene Personen“.

Allerdings will T-Mobile nicht angeben, welche Daten überhaupt zu ihren Kund:innen gespeichert werden und somit abgeflossen sein könnten. Das musste auch der Blogger Hasbrouck erfahren, der die Bedrohung durch den Hack einschätzen und den Schaden durch diese Datenschutzverletzung mindern wollte. Zudem hat Hasbrouck keine Ahnung, wie die Firma an seine Führerscheindaten oder die Sozialversicherungsnummer gekommen sein könnte und warum diese über ein Jahrzehnt aufbewahrt werden.

Deutsche Telekom will Anteil auf über 50 Prozent steigern

Derzeit hält die Deutsche Telekom eine Mehrheitsbeteiligung von 48,8 Prozent an dem US-Konzern T-Mobile. Nach einem Bericht von Reuters von vergangener Woche soll dies auf über 50 Prozent gesteigert werden. Dem Vorstandsvorsitzenden Timotheus Höttges zufolge sei dies „derzeit unser wichtigstes strategisches Projekt“. Über indirekte Beteiligungen verfügt das deutsche Unternehmen nach einer eigenen Aufstellung sogar schon jetzt über einen Anteil von 64,78 Prozent an der US-Tochter.

Mit einer derart starken Beteiligung müsse das US-Unternehmen auch die von der deutschen Telekom-Gruppe propagierten Richtlinien zu Transparenz und Datenschutz einhalten, meint Edward Hasbrouck. „Wir ermöglichen unseren Kunden den Zugang zu den vielfältigen Möglichleiten [sic] dieser Welt. Als vertrauenswürdiger Partner begleiten wir sie auf diesem Weg – und sorgen auch dafür, dass niemand zurückbleibt“, wirbt die Deutsche Telekom für ihre Marke. Dies gelte „in Deutschland, unserem Heimatmarkt, und in rund 50 Ländern dieser Erde“.

Unternehmensregeln zum Datenschutz nicht für T-Mobile US

Die Deutsche Telekom weist in einer Stellungnahme darauf hin, dass die konzerninternen Richtlinien zum Datenschutz (Binding Corporate Rules Privacy) nur für diejenigen Unternehmen des Konzerns Deutsche Telekom verbindlich sind, „die sich ihnen angeschlossen und rechtsverbindlich in Kraft gesetzt haben“. „Also dann, wenn nationale oder regionale Gesetze sowie rechtliche Rahmenbedingungen in dem jeweiligen Land das in Kraftsetzen ermöglichen und das Unternehmen sie dann umsetzt.“ Die T-Mobile US habe das nicht getan.

§ 22 dieser Regeln bestimmt beispielsweise das Recht auf Auskunft für alle Kund:innen der Telekom-Gruppe. „Betroffene Personen“ haben demnach das Recht, „sich jederzeit an jedes Unternehmen, das ihre Daten verarbeitet, zu wenden“ und Informationen zu allen über sie gespeicherten personenbezogenen Informationen zu verlangen.

Warum T-Mobile US sich nicht den Binding Corporate Rules Privacy anschloss und die Deutsche Telekom das nicht forcieren könne, begründet die Deutsche Telekom mit dem Aktienrecht. „Aktionäre einer börsennotierten Gesellschaft dürfen der Gesellschaft keine Weisung erteilen, ebenso gilt das für den Aufsichtsrat. Die Gesellschaft wird ausschließlich vom Vorstand geführt, der sich dabei an den Interessen der Gesellschaft zu orientieren hat“, so die Telekom in einer Stellungnahme. Daher sei es auch untersagt, Interessen der Deutschen Telekom „über etwa entsandte Vorstandsmitglieder durchzusetzen“.

T-Mobile US halte sich bei der Auskunftserteilung an die geltenden nationalen und regionalen Gesetze und Vorgaben. Das Unternehmen wende für das gesamte US-Unternehmen den California Customer Privacy Act an, so die Deutsche Telekom. Dies gelte als „schärfstes Datenschutzgesetz der USA“.

Hasbrouck wirft der Muttergesellschaft vor, sich zu weigern, ihm in den Vereinigten Staaten zu seinem Recht auf Auskunft zu verhelfen. Die Deutsche Telekom sagt, sie sei nicht in der Lage, ihre US-Tochter zur Einhaltung der konzerninternen Datenschutzregeln zu bewegen. Das in Deutschland ansässige Unternehmen will ebenso wie T-Mobile künftig keine weiteren Anfragen Hasbroucks beantworten.

Die Deutsche Telekom schreibt, man habe Hasbrouck die Gründe „stets ausführlich, umfassend und transparent dargelegt“. „Da die Gesetzeslage unverändert ist, ergibt sich auch keine Änderung in dem Sachverhalt“, so die Deutsche Telekom. „Somit haben unsere bereits adressierten umfangreichen Antworten an Herrn Hasbrouck Gültigkeit. Dies haben wir Herrn Hasbrouck freundlich und verbindlich mitgeteilt.“

„Diese Aktionen scheinen sowohl gegen US-amerikanische als auch gegen deutsche Gesetze gegen Vertragsbruch, Wahrheit in der Werbung und Betrug zu verstoßen“, schreibt Hasbrouck in seinem Blogpost. Auch die Umsetzung der EU-Datenschutzgrundverordnung stehe damit infrage.

Es handele sich um einen Test für die Anwendbarkeit der europäischen Datenschutzvorschriften auf die US-Tochtergesellschaften von in der EU ansässigen Unternehmen, so Hasbrouck. Im Falle der Telekom-Gruppe hätten sich die verbindlichen Unternehmensregeln jedoch als Schwindel entpuppt.

Update (17. August): Offenbar erreichte unsere Bitte per E-Mail um Stellungnahme vom 15. August aus noch ungeklärten Gründen die Deutsche Telekom nicht vor Veröffentlichung des Artikels. Die Deutsche Telekom wandte sich nach der Veröffentlichung mit Statements an uns. Wir haben diese an den entsprechenden Stellen des Artikels eingefügt und geändert und die Passage entfernt, in der wir gesagt haben, die Deutsche Telekom habe nicht reagiert.