Im Oktober 2024 drang ein Angreifer in die Informationssysteme von Free und Free Mobile ein, den beiden Telekommunikationssparten der Iliad-Gruppe von Xavier Niel, und gelangte an die personenbezogenen Daten von 24 Millionen Teilnehmerverträgen – darunter die Bankkontonummern (IBANs) von Kunden, die beide Dienste nutzten. Es war eine der größten Datenpannen bei einer französischen Verbrauchermarke. Mehr als 2.500 dieser Kunden beschwerten sich bei der Datenschutzaufsichtsbehörde CNIL.
Als die CNIL am 13. Januar 2026 entschied, verhängte sie gegen die beiden Unternehmen eine Geldbuße von insgesamt 42 Millionen Euro – 27 Millionen Euro gegen Free Mobile und 15 Millionen Euro gegen Free. Die Feststellungen der Aufsichtsbehörde gingen über den Hack selbst hinaus. Free Mobile, so hieß es, habe Millionen von Teilnehmerdatensätzen weit länger aufbewahrt, als es dafür irgendeinen Grund gegeben habe, und damit gegen die DSGVO-Regel verstoßen, dass Daten nur so lange gespeichert werden dürfen, wie es erforderlich ist. Je größer der Datenhort, desto größer die Datenpanne.
Die Sicherheitsmängel waren konkret. Das für den Zugang zu den Systemen genutzte VPN war nicht ausreichend robust authentifiziert; die Werkzeuge, die abnormales Verhalten erkennen sollten, funktionierten nicht; die Maßnahmen zum Schutz der Vertraulichkeit waren unzureichend. Mit anderen Worten: Die Daten wurden sowohl übermäßig erhoben als auch unzureichend geschützt.
Dann kam der Teil, der daraus ein Markenversagen und nicht bloß ein IT-Versagen machte. Die E-Mail von Free, mit der die Kunden über die Datenpanne informiert wurden, ließ nach Feststellung der CNIL Informationen aus, die die Betroffenen benötigten – sie ermöglichte es ihnen nicht, die Folgen zu verstehen oder zu wissen, was sie zu ihrem Schutz tun sollten. Ein Unternehmen, das die Bankdaten von 24 Millionen Kunden hält und ihnen dann nicht klar sagen kann, was entwendet wurde, ist an der Beziehung gescheitert, nicht nur an der Firewall.
Die CNIL verhängte gegen Free und Free Mobile insgesamt 42 Mio. € Geldbuße wegen übermäßiger Aufbewahrung, schwacher Sicherheit und einer Benachrichtigung über die Datenpanne, die die Kunden ohne die nötige Orientierung ließ.
Die Daten wurden übermäßig erhoben und übermäßig aufbewahrt. Free Mobile hielt Millionen von Datensätzen, für deren Aufbewahrung es keine Rechtfertigung gab; als der Angreifer eindrang, war die Beute daher schon von der Anlage her enorm.
Die grundlegende Sicherheit blieb schwach. Ein VPN mit unzureichender Authentifizierung und wirkungsloser Überwachung ließ die Tür offen; die Datenpanne war weniger raffiniert als vielmehr ungehindert.
Die Benachrichtigung ließ die Kunden im Stich. Die E-Mail über die Datenpanne ließ aus, was die Betroffenen brauchten, um das Risiko zu verstehen und sich zu schützen, und machte so aus einem Sicherheitsvorfall einen Vertrauensvorfall.
Die Aufsichtsbehörde behandelte den Umgang mit Daten als Markenpflicht. Die CNIL bepreiste das gesamte Versagen – Sicherheit, Aufbewahrung und Offenlegung – mit 42 Millionen Euro: Kundendaten zu halten heißt, Kundenvertrauen zu halten.
Erheben Sie nur die Kundendaten, die Sie brauchen, löschen Sie sie, wenn Sie sie nicht brauchen, und schützen Sie das, was übrig bleibt – denn eine Aufsichtsbehörde bepreist ein Datenleck inzwischen nicht als Unfall, sondern als Verletzung der Kundenbeziehung.
Die beiden Entscheidungen der CNIL vom 13. Januar 2026 beliefen sich auf insgesamt 42 Millionen Euro, gehörten zu den höheren französischen Datenschutzsanktionen und folgten auf mehr als 2.500 Beschwerden betroffener Teilnehmer. Für Free, eine Marke, die darauf aufgebaut war, etablierte Anbieter zu unterbieten, verband sich mit dem Urteil eine andere Art von Kosten für seine Größe: Je mehr Kunden es gewann, desto mehr schuldete es, als ihre Daten ungeschützt blieben.
DEN BELEGEN FOLGEN