Washington verklagt T-Mobile wegen massiven Datenlecks

SEATTLE / MÜNCHEN (IT BOLTWISE) – Die US-Bundesstaat Washington hat rechtliche Schritte gegen T-Mobile eingeleitet, nachdem ein massives Datenleck im Jahr 2021 die persönlichen Daten von 79 Millionen Kunden offengelegt hatte.

Die jüngste Klage gegen T-Mobile durch den Bundesstaat Washington wirft dem Telekommunikationsriesen vor, die persönlichen Daten von Millionen von Einwohnern nicht ausreichend geschützt zu haben. Der Vorfall, der im August 2021 bekannt wurde, betraf über 79 Millionen Kunden in den gesamten Vereinigten Staaten. Washingtons Generalstaatsanwalt Bob Ferguson erklärte, dass T-Mobile seit Jahren über bestimmte Sicherheitslücken Bescheid wusste, jedoch nicht genug unternahm, um diese zu beheben.

Der Angriff auf T-Mobile im August 2021 war nur einer von mehreren Sicherheitsvorfällen, die das Unternehmen in den letzten Jahren erlebte. Seit 2018 gab es mindestens fünf solcher Vorfälle. Bei diesem speziellen Angriff erlangte ein Hacker Zugang zu den Systemen von T-Mobile und stahl Kundendaten wie Namen, Geburtsdaten und Sozialversicherungsnummern. Einige dieser Daten tauchten später auf einem bekannten Cyberkriminalitätsforum auf.

Ferguson kritisierte T-Mobile auch dafür, dass sie den betroffenen Kunden unzureichende Informationen über den Vorfall bereitstellten und die Schwere des Angriffs herunterspielten. Dies habe die Fähigkeit der Verbraucher beeinträchtigt, das Risiko von Identitätsdiebstahl oder Betrug richtig einzuschätzen. Laut Ferguson war dieser Datenverstoß vollständig vermeidbar, da T-Mobile genügend Zeit hatte, um die bekannten Sicherheitslücken zu schließen.

Die Klage, die in einem Bundesgericht in Seattle eingereicht wurde, enthält erhebliche Schwärzungen, die spezifische technische Details des Hacks verbergen. Dennoch beschreibt die Beschwerde angebliche technische Sicherheitsmängel und interne Unternehmensrichtlinien, die es dem Hacker erleichtert haben könnten, auf die Kundendaten zuzugreifen und diese herunterzuladen.

In den ungeschwärzten Teilen der Klage wird erwähnt, dass der Hacker ein „leicht zu erratendes Benutzername-Passwort-Paar“ entdeckte und dass T-Mobile „schwache Zugangsdaten“ für den Zugriff auf interne Systeme verwendete. Zudem erlaubte T-Mobile Verbindungen von der IP-Adresse des Angreifers außerhalb seines Netzwerks. Die Klage bemängelt auch, dass T-Mobile keine Rate-Limits für Anmeldeversuche implementierte, was dem Hacker ermöglichte, beliebig viele Zugangsdaten zu testen, ohne dass die betroffenen Mitarbeiterkonten gesperrt wurden.

Fergusons Beschwerde fügt hinzu, dass die öffentlichen Aussagen von T-Mobile die Angemessenheit ihrer Sicherheitsmaßnahmen und die Bedrohung für die Daten ihrer Kunden auf dem Dark Web falsch darstellten. Dies habe das Potenzial gehabt, eine beträchtliche Anzahl von Verbrauchern in Washington zu täuschen.

Ein Sprecher von T-Mobile wollte sich am Montag nicht sofort zu der Klage äußern.