Am 12. Juli 2023 verhängte die südkoreanische Kommission für den Schutz personenbezogener Daten (PIPC) gegen LG Uplus einen Zuschlag von 6,8 Mrd. ₩ (5,3 Mio. US-Dollar) und eine Geldbuße von 27 Mio. ₩ wegen einer im Januar desselben Jahres offengelegten Datenpanne: Hacker hatten die personenbezogenen Daten von 297.117 Kunden erbeutet – Namen, Telefonnummern, Adressen, Geburtsdaten und USIM-Kennungen unter insgesamt 26 Feldern. Es war der bis dahin höchste Zuschlag, der gegen ein koreanisches Unternehmen wegen eines Datenlecks verhängt wurde.
Die Kommission führte das Eindringen auf ein Kundenauthentifizierungssystem zurück, das zum vermutlichen Zeitpunkt der Datenpanne, im Juni 2018, bereits Software am Ende ihres Lebenszyklus betrieb; grundlegende Einbruchsverhinderungsausrüstung fehlte oder war falsch konfiguriert, und Webshells, die 2009 und 2018 hochgeladen worden waren, hatten unentdeckt auf den Servern gelegen. Mehr als 10 Millionen Produktionsdatensätze mit personenbezogenen Daten blieben in Entwicklungs- und Testumgebungen unbeaufsichtigt.
LG Uplus wurde zudem angelastet, die betroffenen Kunden nicht innerhalb von 24 Stunden nach Kenntnisnahme des Lecks individuell benachrichtigt zu haben. Die Kommission ordnete an, die Rolle des Datenschutzbeauftragten zu stärken, den internen Managementplan neu aufzustellen, die Systeme umfassend zu prüfen – und die öffentlich versprochenen Investitionen in den Datenschutz tatsächlich umzusetzen.
Hacker erbeuteten 297.117 Kundendateien; die PIPC verhängte wegen der Datenpanne und wegen der versäumten 24-Stunden-Frist für die individuelle Benachrichtigung eine Geldbuße von 6,8 Mrd. ₩, die höchste in Korea.
Ein Authentifizierungssystem ist das wertvollste Ziel, das ein Telekommunikationsunternehmen betreibt, und es wurde am wenigsten gewartet – Angreifer sondieren genau dort, wo die Instandhaltung aufgehört hat.
Alte Webshells bleiben bestehen, weil niemand nach ihnen sucht: Ein 2009 gelegter Zugang war 2023 noch nutzbar.
Benachrichtigungspflichten sind Teil der Reaktion auf eine Datenpanne; von einem Leck zu wissen und die 24-Stunden-Frist zu verpassen, um jedem Opfer Mitteilung zu machen, ist ein separates sanktionierbares Versäumnis.
Sicherheit folgt Wartungsbudgets, nicht Organigrammen – ein Server, der Benutzer authentifiziert und auf nicht mehr unterstützter Software läuft, ist eine Datenpanne, die nur darauf wartet, zugeordnet zu werden.
DEN BELEGEN FOLGEN