Am 2. Oktober 2026 erteilte der leitende US-Bezirksrichter Sidney A. Fitzwater in einer 73-seitigen Memorandum Opinion die endgültige Genehmigung für AT&Ts Vergleich über 177 Mio. US-Dollar in der Multidistrict Litigation über zwei Vorfälle aus dem Jahr 2024; darin wurden zudem 59 Mio. US-Dollar Anwaltsgebühren zugesprochen und das cy-près-Verfahren für verbleibende Mittel geändert. Zum Zeitpunkt der Anordnung waren bereits nahezu 4,92 Mio. Ansprüche eingereicht worden.
Der erste Fonds mit einem Volumen von 149 Mio. US-Dollar deckt den Vorfall ab, den Gerichtsunterlagen als „AT&T 1“ bezeichnen: einen Datensatz mit etwa 73 Mio. aktuellen und ehemaligen Kontoinhabern – Sozialversicherungsnummern, konto- und bankbezogene Informationen –, der am 30. März 2024 offengelegt wurde, nachdem er im Dark Web aufgetaucht war. AT&T erklärte zunächst, der Datensatz stamme offenbar aus dem Jahr 2019 oder früher und nicht aus seinen aktuellen Systemen.
Der zweite Fonds mit einem Volumen von 28 Mio. US-Dollar deckt „AT&T 2“ ab: einen unbefugten Download aus einem AT&T-Arbeitsbereich, der auf Snowflakes Cloud-Plattform gehostet wurde, offengelegt am 12. Juli 2024, wodurch Telefonnummern, Aufzeichnungen über Anruf- und Textinteraktionen sowie Daten von Kontoinhabern und Nutzern exponiert wurden – Teil der breiteren Welle von Angriffen im Jahr 2024 gegen Snowflake-Kunden. „Overlap Members“, die von beiden Vorfällen betroffen sind, können Ansprüche gegen beide Fonds geltend machen, wobei die Bedingungen eine doppelte Entschädigung für dieselbe Art von Schaden ausschließen.
Die Auszahlungsrechnung ist ernüchternd: Bei 4.163.810 elektronischen und 754.263 Papieransprüchen, die auf 177 Mio. US-Dollar abzüglich Gebühren und Verwaltungskosten zielen, erhalten die meisten gestaffelten Anspruchsteller trotz der Obergrenze von „bis zu 5.000 US-Dollar“ für dokumentierte Verluste nur einige hundert US-Dollar. Die Anspruchszahlen über die drei Stufen des AT&T-1-Fonds beliefen sich auf 1.654.046, 687.859 und 1.582.248.
Vergleich über 177 Mio. US-Dollar auf zwei Fonds verteilt (149 Mio. und 28 Mio. US-Dollar), zuzüglich 59 Mio. US-Dollar Anwaltsgebühren, die zugleich genehmigt wurden.
Ein Datensatz mit 73 Mio. aktuellen und ehemaligen Kontoinhabern – einschließlich Sozialversicherungsnummern – befand sich außerhalb der Kontrolle von AT&T und tauchte im Dark Web auf.
Anruf- und Text-Metadaten befanden sich in einem Snowflake-Arbeitsbereich eines Drittanbieters, der in der Kampagne von 2024 gegen Snowflake-Kundenumgebungen ausgeraubt wurde.
Die Verteidigung, der ältere Datensatz stamme aus der Zeit vor den aktuellen Systemen von AT&T, verhinderte nicht, dass der Vergleich beide Vorfälle als entschädigungsfähig behandelte.
Der Richter wies Einwände zurück, der Vergleich benachteilige die Opfer, und genehmigte eine Struktur, die den meisten Anspruchstellern jeweils nur einige hundert US-Dollar belässt.
Gerichte ziehen eine Datenschutzverletzung nicht mehr deshalb ab, weil sie in der Cloud eines Anbieters geschah: Der Raub des Arbeitsbereichs und das Altlasten-Leck wurden als separate entschädigungsfähige Ereignisse behandelt.
Die endgültige Genehmigung erfolgte rund zweieinhalb Jahre nach der ersten Offenlegung, verzögert durch den Befangenheitsrücktritt des ursprünglich zugewiesenen Richters und die Neuzuweisung an Fitzwater. Die Verteilung erfolgt in der Regel mehrere Monate nach der endgültigen Genehmigung, sobald die Berufungsfrist abgelaufen ist. Der zivilrechtliche Vergleich beendet die regulatorische Exposition nicht: Die Berichterstattung über die Genehmigung bestätigt kein aktives Verfahren der FCC oder eines Generalstaatsanwalts eines Bundesstaats im Zusammenhang mit einem der beiden Vorfälle, und die Handhabung von Telekommunikationsdaten unterliegt sich überschneidenden Zuständigkeiten von FCC, FTC und Bundesstaaten. Zum Vergleich: T-Mobile zahlte 350 Mio. US-Dollar für seine Datenschutzverletzung von 2021.
DEN BELEGEN FOLGEN
Die Quellen
- AT&T Data Breach Settlement: $177M Final Approval 2026 FutureTweets · futuretweets.com ·