Im Dezember 2025 gab das größte E-Commerce-Unternehmen Südkoreas, Coupang, bekannt, dass ein ehemaliger Mitarbeiter einen internen Datenschlüssel gestohlen und auf die personenbezogenen Daten von 33,7 Millionen Kundenkonten zugegriffen hatte – nahezu die gesamte erwachsene Bevölkerung des Landes. Die Datenschutzverletzung lief seit Juni 2025, bevor sie entdeckt wurde, und bei 2.600 bis 3.000 Konten wurden die Daten tatsächlich exfiltriert.
Die Reaktion war schnell und hart. Die südkoreanische Kommission für den Schutz personenbezogener Daten verhängte gegen Coupang eine Rekordgeldbuße von 560 Milliarden Won (rund 409 Millionen US-Dollar), die höchste Datenschutzstrafe in der Geschichte des Landes. Die Regierung leitete eine koordinierte ressortübergreifende Untersuchung ein, darunter Polizeidurchsuchungen in der Seouler Unternehmenszentrale, eine Sondersteuerprüfung und parlamentarische Vorladungen von Führungskräften. Coupang verpflichtete sich zu einem Kundenentschädigungsfonds in Höhe von 1,69 Billionen Won (rund 1,18 Milliarden US-Dollar).
CEO Park Dae-jun trat im Dezember 2025 zurück. Der Fall wurde zum nationalen Skandal, weil Coupang Daten über nahezu jeden erwachsenen Südkoreaner besaß – seine Dominanz im E-Commerce hatte das Unternehmen zu einem Single Point of Failure für die nationale Sicherheit personenbezogener Daten gemacht. Die Datenschutzverletzung führte zudem zu diplomatischen Spannungen, als US-Vertreter davor warnten, was sie als strafende Behandlung eines an einer US-Börse notierten koreanischen Unternehmens betrachteten.
Coupangs nicht widerrufener Schlüssel ermöglichte einem ehemaligen Mitarbeiter den Zugriff auf 33,7 Mio. Konten, was Südkoreas höchste Geldbuße von 409 Mio. US-Dollar und 1,18 Mrd. US-Dollar Entschädigung nach sich zog.
Ein ehemaliger Mitarbeiter behielt oder rekonstruierte den Zugriff auf einen internen Datenschlüssel, nachdem er das Unternehmen verlassen hatte – das Zugriffskontrollsystem versäumte es, Berechtigungsnachweise bei Beendigung des Arbeitsverhältnisses zu widerrufen.
Coupang besaß personenbezogene Daten von 33,7 Millionen Menschen in einem Land mit 51 Millionen Einwohnern; seine Dominanz bedeutete, dass eine einzige Datenschutzverletzung nahezu die gesamte erwachsene Bevölkerung offenlegte.
Die Datenschutzverletzung lief von Juni bis November 2025, bevor sie entdeckt wurde, was schwache Überwachung und Anomalieerkennung beim internen Datenzugriff des Unternehmens offenbarte.
Das Ausmaß der Gegenreaktion – Polizeidurchsuchungen, parlamentarische Vorladungen, diplomatische Spannungen – spiegelte wider, wie tiefgreifend eine Datenschutzverletzung bei einem Quasi-Monopolisten ein Land stören kann.
Wenn ein Unternehmen Daten über eine gesamte Bevölkerung besitzt, ist die Verwaltung von Berechtigungsnachweisen nationale Sicherheit. Ein einziger nicht widerrufener Schlüssel zieht Kreise bis zum CEO, zum Parlament und darüber hinaus.
DEN BELEGEN FOLGEN