BfDI verhängt 45 Millionen Euro Bußgeld gegen Vodafone

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Dr. Louisa Specht-Riemenschneider, hat zwei Bußgelder in Gesamthöhe von 45 Millionen Euro gegen die Vodafone GmbH verhängt. Ausschlaggebend waren Verstöße gegen zentrale Vorgaben der Datenschutz-Grundverordnung (DS-GVO) im Zusammenhang mit externen Vertriebspartnern (Auftragsverarbeitern) sowie sicherheitsrelevante Mängel im Authentifizierungsverfahren des Kundenportals „MeinVodafone“.

Defizite im Umgang mit Auftragsverarbeitern

Ein Bußgeld in Höhe von 15 Millionen Euro betrifft Verstöße gegen Art. 28 Abs. 1 DS-GVO. Vodafone hatte externe Agenturen mit der Vermittlung von Verträgen beauftragt, jedoch deren datenschutzrechtliche Qualifikation und Zuverlässigkeit nicht angemessen überprüft. Zudem fehlte es an einer kontinuierlichen Kontrolle. Infolgedessen kam es zu betrügerischen Aktivitäten, bei denen Mitarbeitende der Partneragenturen fingierte Verträge abschlossen oder bestehende Verträge ohne Zustimmung der Betroffenen änderten.

Die Aufsichtsbehörde bewertet die unzureichende Auswahl und Überwachung als strukturelles Organisationsversagen, das durch geeignete technische und organisatorische Maßnahmen hätte vermieden werden müssen.

Sicherheitslücken im Authentifizierungsprozess

Noch gravierender fällt der zweite Vorwurf ins Gewicht: Für Schwachstellen im Authentifizierungsverfahren von „MeinVodafone“ wurde ein weiteres Bußgeld in Höhe von 30 Millionen Euro verhängt. Die Kombination aus Onlinezugang und telefonischem Kundenservice ermöglichte es Angreifern, mit vergleichsweise geringem Aufwand eSIM-Profile zu übernehmen – ein Sicherheitsrisiko, das potenziell auch den Zugriff auf weitere digitale Dienste ermöglicht, etwa über missbrauchte Zwei-Faktor-Authentifizierungen.

Diese Sicherheitsdefizite verstoßen laut BfDI gegen die Anforderungen aus Art. 32 Abs. 1 DS-GVO, insbesondere im Hinblick auf die Vertraulichkeit und Integrität personenbezogener Daten.

Maßnahmen von Vodafone und Bewertung der BfDI

Vodafone hat im Nachgang umfassende interne Maßnahmen ergriffen: Prozesse wurden überarbeitet, Partnerbeziehungen neu bewertet und Sicherheitsvorkehrungen technisch wie organisatorisch gestärkt. Die BfDI würdigte die kooperative Haltung des Unternehmens im Verfahren sowie die Offenlegung auch selbstbelastender Sachverhalte. Die Bußgelder wurden in voller Höhe an die Bundeskasse gezahlt.

Prof. Dr. Specht-Riemenschneider mahnt, Datenschutz dürfe nicht als Hürde für IT-Investitionen missverstanden werden. Vielmehr seien unzureichende Schutzmaßnahmen ein Risiko für Betroffene wie Unternehmen gleichermaßen – nicht zuletzt angesichts der empfindlichen Sanktionen bei Verstößen.

(Foto: macgyverhh – stock.adobe.com)