45 Millionen Euro gegen Vodafone: Partneragenturen und eSIM-Lücke

Bußgeld gegen Vodafone: 45 Millionen

Mitarbeiter von Partneragenturen fingieren Verträge, Unbefugte rufen fremde eSIM-Profile ab, und am Ende zahlt der Auftraggeber. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Louisa Specht-Riemenschneider, hat 2025 zwei Geldbußen gegen die Vodafone GmbH verhängt. Zusammen sind es 45 Millionen Euro (Pressemitteilung 6/2025). 15 Millionen Euro entfallen auf die unzureichende Kontrolle der Partneragenturen, 30 Millionen Euro auf Sicherheitsmängel bei der Authentifizierung im Kundenportal und an der Hotline. Dazu kam eine Verwarnung wegen Schwachstellen in bestimmten Vertriebssystemen. Vodafone hat beide Geldbußen akzeptiert und vollständig an die Bundeskasse gezahlt.

Die Bundesbehörde ist zuständig, weil sie die Datenschutzaufsicht über Telekommunikationsunternehmen führt. Für Unternehmen anderer Branchen sind in der Regel die Landesbehörden zuständig. Der Fall geht trotzdem jedes Unternehmen an, das Kundendaten an Vertriebspartner gibt oder ein Kundenportal betreibt. Beide Vorwürfe betreffen Alltägliches: die Kontrolle von Dienstleistern und die Frage, ob am Portal oder an der Hotline wirklich der Kunde sitzt.

Partneragenturen: 15 Millionen Euro

Vodafone lässt Verträge über Partneragenturen vermitteln. Diese Agenturen handeln im Auftrag des Konzerns und verarbeiten dabei Kundendaten. Damit sind sie Auftragsverarbeiter, also Dienstleister, die personenbezogene Daten nach Weisung eines anderen Unternehmens verarbeiten. In Partneragenturen kam es nach den Feststellungen der Behörde zu Betrug: Böswillig handelnde Mitarbeiter fingierten Verträge oder änderten bestehende Verträge zulasten von Kunden.

Das Bußgeld von 15 Millionen Euro richtet sich gegen Vodafone selbst. Der Vorwurf lautet, Vodafone habe die eigenen Partneragenturen nicht in ausreichendem Umfang datenschutzrechtlich überprüft und überwacht. Die DSGVO erlaubt nur Auftragsverarbeiter, die hinreichende Garantien für den Datenschutz bieten. Ob diese Garantien bestehen und eingehalten werden, muss der Auftraggeber prüfen. Sanktioniert wurde also nicht der Betrug selbst, sondern die fehlende Kontrolle über die Dienstleister.

eSIM-Profile: 30 Millionen Euro

Die zweite Geldbuße ist doppelt so hoch und betrifft die Technik. Vodafone-Kunden verwalten ihre Verträge im Onlineportal „MeinVodafone“ und rufen bei Bedarf die Hotline an. Bei der kombinierten Nutzung beider Wege wies die Authentifizierung Sicherheitsmängel auf, also die Prüfung, ob der Kunde selbst anfragt. Die Schwachstellen ermöglichten unter anderem den Abruf von eSIM-Profilen durch unbefugte Dritte. Ein eSIM-Profil ist die digitale Fassung einer SIM-Karte, die sich ohne Plastikkarte auf ein Gerät laden lässt. Wer ein fremdes Profil abruft, kann die Rufnummer des Kunden auf einem eigenen Gerät nutzen.

Wie die Lücke im Einzelnen funktionierte, beschreibt die Pressemitteilung nicht. Genannt wird nur das Ergebnis: Sicherheitsmängel bei der Authentifizierung, 30 Millionen Euro. Wegen weiterer Schwachstellen in bestimmten Vertriebssystemen sprach die Behörde zusätzlich eine Verwarnung aus. Eine Verwarnung ist das mildere Mittel der Aufsicht, kostet kein Geld und stellt den Verstoß trotzdem förmlich fest.

Kooperation und Folgekontrolle

Die Behörde hebt hervor, wie Vodafone sich im Verfahren verhalten hat. „Vodafone hat während der gesamten Verfahrensdauer ununterbrochen kooperiert und Umstände offengelegt, die das Unternehmen selbst belastet haben“, sagt Specht-Riemenschneider. Das Unternehmen hat seine Prozesse und Systeme verbessert und teilweise vollständig ersetzt. Es hat die Auswahl und Auditierung von Partneragenturen neu geregelt und sich von Partnern getrennt, bei denen Betrug festgestellt wurde. Projekte zur IT-Konsolidierung und -Modernisierung wurden vorgezogen, die Bereiche Compliance und Datenschutz gestärkt. Außerdem spendete Vodafone mehrere Millionen Euro an Organisationen, die sich für Datenschutz und Medienkompetenz einsetzen.

Erledigt ist die Sache damit nicht. Die BfDI kündigt an, die praktische Wirksamkeit der Maßnahmen in einer Folgekontrolle zu überprüfen. Die Zusammenarbeit mit der Aufsicht zählt nach der DSGVO zu den Kriterien für die Höhe eines Bußgeldes. Ob und wie stark sie hier gewirkt hat, verrät die Pressemitteilung nicht. Bei 45 Millionen Euro fällt ein Rabatt jedenfalls nicht ins Auge.

Lehren für Unternehmen mit Partnern

Wer Vertriebspartner, Callcenter oder Agenturen mit Kundendaten arbeiten lässt, bleibt für diese Daten verantwortlich. Ein Vertrag zur Auftragsverarbeitung ist dafür die Grundlage, mehr aber nicht. Die Behörde bemängelt bei Vodafone Überprüfung und Überwachung, also beide Phasen: die Auswahl vor der Beauftragung und die Kontrolle während der Zusammenarbeit. Die Pressemitteilung benennt das auch als allgemeines Problem: Nach den Erfahrungen der Datenschutzbehörden wird der Einsatz von Auftragsverarbeitern in der Praxis häufig nicht ausreichend kontrolliert.

Was Vodafone nachgeholt hat, taugt als Muster. Erstens ein Auswahlverfahren, das Partner vor der Zusammenarbeit datenschutzrechtlich prüft. Zweitens Audits während der Laufzeit, die über das Abfragen von Dokumenten hinausgehen. Drittens Konsequenzen: Wo Betrug festgestellt wird, endet die Zusammenarbeit. Wer diese Schritte bei einem Vorfall nicht belegen kann, wird sich schwer damit tun, auf die Böswilligkeit einzelner Mitarbeiter des Partners zu verweisen. Bei Vodafone hat dieser Umstand das Unternehmen nicht vor 15 Millionen Euro bewahrt.

Portal und Hotline gemeinsam prüfen

Die zweite Lehre betrifft jedes Unternehmen mit Kundenportal. Die Behörde verortet die Mängel bei Vodafone in der kombinierten Nutzung von Onlineportal und Hotline. Eine Sicherheitsprüfung, die jeden Kanal für sich betrachtet, übersieht solche Kombinationen. Sinnvoll ist deshalb, die Identitätsprüfung über alle Wege hinweg zu betrachten. Was muss ein Anrufer an der Hotline wissen, was zeigt das Portal an, was lässt sich mit dem einen im anderen anstellen? Besonders heikel sind Funktionen, die über die Einsicht in den Vertrag hinausgehen. Der Abruf eines eSIM-Profils ist so eine Funktion, denn mit dem Profil wandert die Rufnummer auf ein fremdes Gerät. Was sich damit anfangen lässt, von SMS-Codes bis zu Anrufen im Namen des Kunden, muss hier nicht ausgemalt werden.

Die Behörde setzt den Fall in einen größeren Rahmen. Nach den Erfahrungen der Datenschutzbehörden besteht in vielen Branchen ein Investitionsstau bei der Modernisierung und Konsolidierung von IT-Systemen, und bei der Sicherheit wird teilweise gespart. Specht-Riemenschneiders Formel dazu lautet: „Investieren statt Riskieren“. Alte Systeme, die niemand mehr anfassen will, sieht die Aufsicht als Risiko des Unternehmens, das dafür einsteht.