SK Telecom zu einer Rekordstrafe von 134,8 Milliarden Won wegen SIM-Datenlecks mit 23 Millionen betroffenen Nutzern verurteilt

SK Telecom, Südkoreas größter Telekommunikationsanbieter mit 23 Millionen Teilnehmern, wurde am 28. August 2025 mit einer Rekorddatenschutzstrafe von 134,8 Milliarden Won (97,2 Millionen US-Dollar) belegt. Die Personal Information Protection Commission (PIPC) bezeichnete sie als die höchste jemals nach dem Personal Information Protection Act verhängte Sanktion und verwies auf „grundlegende Sicherheitsmängel und schlechte Verwaltung“.

Der Vorfall begann bereits 2021, wobei die Angreifer vier Jahre lang unentdeckt im Netz von SK Telecom blieben. Als der Hack im April 2025 bekannt wurde, stellte sich heraus, dass die Angreifer auf 25 Kategorien personenbezogener Daten von LTE- und 5G-Teilnehmern zugegriffen hatten, darunter Telefonnummern, International Mobile Subscriber Identity (IMSI)-Nummern, Gerätekennungen (IMEI) und USIM-Authentifizierungsschlüssel.

Die Untersuchung der PIPC ergab, dass SK Telecom seine Internet-, Verwaltungs- und internen Netze ohne Einschränkung des externen Zugriffs auf dasselbe System gelegt hatte. Verwaltungsserver waren unnötigerweise mit dem Home Subscriber Server (HSS) verbunden, wo der Vorfall stattfand. Das Unternehmen versäumte es, 26,1 Millionen SIM-Authentifizierungsschlüssel zu verschlüsseln, und speicherte sie in Klartextdatenbanken. Es ignorierte Protokolle zur Eindringungserkennung und spielte verfügbare Sicherheitspatches nicht ein, darunter einen aus dem Jahr 2016. Die Rolle des Datenschutzbeauftragten beschränkte sich auf IT-Dienste, wodurch die Telekommunikationsinfrastruktur außerhalb der Aufsicht blieb.

Der Vorfall zwang SK Telecom, ein kostenloses USIM-Kartenaustauschprogramm für alle 23 Millionen Teilnehmer zu starten, was landesweit zu vorübergehenden Engpässen bei SIM-Karten führte und eine Regierungsuntersuchung auslöste. Die Rekordstrafe löste in Südkoreas Telekommunikationsbranche Schockwellen aus, die noch nie mit einer Datenschutzsanktion dieser Größenordnung konfrontiert war.

SIM-Schlüssel wurden unverschlüsselt gespeichert und Patches übersprungen, sodass Angreifer vier Jahre lang umherstreiften; die Rekordstrafe von 134,8 Mrd. Won war die Rechnung für diese Vernachlässigung.

SK Telecom legte seine Internet-, Verwaltungs- und internen Netze ohne Einschränkung des externen Zugriffs auf dasselbe System, wodurch Angreifer vom Internet zur zentralen Teilnehmerdatenbank wechseln konnten

Das Unternehmen speicherte 26,1 Millionen SIM-Authentifizierungsschlüssel ohne Verschlüsselung in Klartextdatenbanken und spielte Sicherheitspatches nicht ein, darunter einen aus dem Jahr 2016 für eine bekannte Schwachstelle

Die Rolle des Datenschutzbeauftragten beschränkte sich auf IT-Dienste, wodurch die gesamte Telekommunikationsinfrastruktur außerhalb der Datenschutzaufsicht blieb

Ein Datenschutzbeauftragter, der keinen Zugriff auf das Netz hat, ist ein Titel, keine Verteidigung. Klartext-SIM-Schlüssel in einem nicht segmentierten Netz machen eine Rekordstrafe nicht zu einer Überraschung, sondern zu einer Rechnung für aufgeschobene Wartung.