Coupang im Visier der Ermittler: Nach Datenleck bei 33,7 Millionen Kunden droht Bußgeld von bis zu einer Billion Won

Was passiert ist und warum es wichtig ist

Südkorea ist von einem schwerwiegenden Datenleck beim größten Onlinehändler des Landes, Coupang, erschüttert worden. Dabei wurden personenbezogene Daten von rund 33,7 Millionen Kundenkonten offengelegt. Das Ausmaß ist außergewöhnlich: Betroffen ist etwa zwei Drittel der Bevölkerung. Der Vorfall hat eine umfassende Reaktion des Präsidialamts, der Aufsichtsbehörden und der Strafverfolgungsbehörden ausgelöst. Zugleich prägt er bereits eine neue Debatte darüber, wie Unternehmen in einer sich rasch digitalisierenden Wirtschaft personenbezogene Daten schützen.

Coupang zufolge stellte das Unternehmen am 18. November einen unbefugten Zugriff fest und meldete ihn den Behörden. Spätere Überprüfungen ergaben, dass der Angriff wahrscheinlich am 24. Juni über Server im Ausland begonnen hatte und monatelang unentdeckt geblieben war. Das Unternehmen hat sich entschuldigt und arbeitet mit den Ermittlern zusammen. Nach Angaben von Coupang wurden weder Zahlungsdaten noch Passwörter abgerufen. Offenbar betroffen waren jedoch Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Teile der Bestellhistorie.

Präsident Lee Jae Myung bezeichnete das Datenleck als Weckruf für den Datenschutz und wies die Behörden an, strengere Sanktionen vorzubereiten. Nach dem Gesetz zum Schutz personenbezogener Daten können Unternehmen, die keine angemessenen Sicherheitsmaßnahmen ergreifen, mit Geldbußen von bis zu drei Prozent ihres Jahresumsatzes belegt werden. Bei einem Unternehmen von der Größe Coupangs könnte diese Obergrenze je nach zugrunde gelegtem Umsatz nahezu eine Billion Won erreichen oder übersteigen. Die Polizei, die Korea Internet and Security Agency (KISA) und die Datenschutzkommission (PIPC) haben Ermittlungen eingeleitet. Die Behörden warnten die Öffentlichkeit zudem vor Phishing und Betrugsversuchen, bei denen die offengelegten Kontaktdaten missbraucht werden könnten.

Wie es zu dem Datenleck kam

Den Behörden zufolge begann der Eindringversuch Ende Juni über eine Infrastruktur im Ausland und dauerte an, bis er im November entdeckt wurde. Die Ermittler verfolgen die Netzwerkaktivitäten zurück und untersuchen, wie Coupangs Systeme den internen Zugriff authentifizierten. Erste Erkenntnisse deuten auf Schwachstellen bei den Authentifizierungskontrollen hin. Laut Behördenvertretern, die über den Fall informiert wurden, war ein Authentifizierungsschlüssel, der einem ehemaligen Mitarbeiter zugeordnet war, auch nach dessen Ausscheiden noch aktiv. Dadurch konnte auf Kundendaten zugegriffen werden. Die Polizei prüft, ob ein ehemaliger Entwickler, der Berichten zufolge chinesischer Staatsbürger ist und sich derzeit im Ausland aufhält, verbliebene Zugangsdaten oder Signaturschlüssel missbrauchte, die hätten gesperrt werden müssen.

Coupang zufolge hat das Unternehmen den Zugangsweg inzwischen gesperrt, die Überwachung verstärkt und unabhängige Sicherheitsexperten hinzugezogen. Außerdem informierte es KISA, PIPC und die nationale Polizeibehörde und benachrichtigt betroffene Nutzer. Parallel dazu setzte die Regierung eine gemeinsame Arbeitsgruppe ein, die den Ablauf rekonstruieren und feststellen soll, ob die vorgeschriebenen Schutzmaßnahmen vorhanden waren. Die Untersuchung umfasst auch eine Prüfung möglicher Verstöße gegen die Vorschriften zum Schutz personenbezogener Daten.

Warum inaktive Schlüssel gefährlich sind

Moderne Plattformen verwenden Schlüssel und Tokens, die Maschinen und Mitarbeitern begrenzte Berechtigungen für bestimmte Aufgaben erteilen. Bleibt ein Schlüssel gültig, nachdem ein Mitarbeiter die Stelle gewechselt oder das Unternehmen verlassen hat, kann er zu einem leicht verfügbaren Zugang für Unbefugte werden. Zu bewährten Sicherheitsmaßnahmen gehören das Prinzip der geringstmöglichen Berechtigungen, die umgehende Sperrung von Zugängen bei einem Rollenwechsel und ein regelmäßiger Austausch der Schlüssel, damit sie nicht über längere Zeit verwendbar bleiben. Langfristig gültige Schlüssel sind riskant, weil ein einziges Versäumnis bei der Sperrung oder Überwachung große Datenmengen offenlegen kann. In diesem Fall prüfen die Ermittler, ob verbliebene Zugangsdaten genutzt wurden, um sich über mehrere Monate unbemerkt durch die Systeme zu bewegen.

Reaktion der Regierung und mögliche rechtliche Folgen

Das Datenleck hat sich rasch von einem Unternehmensvorfall zu einer Angelegenheit von nationaler Bedeutung entwickelt. Das Präsidialamt berief hochrangige Amtsträger ein und forderte Vorschläge für höhere Sanktionen und einen besseren Verbraucherschutz. Das Ministerium für Wissenschaft und IKT, die PIPC und die Polizei führen gemeinsame Ermittlungen durch, die sich sowohl auf die technische Forensik als auch auf die Einhaltung der Datenschutzgesetze erstrecken. KISA veröffentlichte öffentliche Warnungen und rief die Bürger dazu auf, bei Betrugsversuchen mit offengelegten Kontaktdaten und Lieferinformationen wachsam zu sein.

Bei einer Kabinettssitzung kritisierte Präsident Lee den langen Zeitraum zwischen Beginn des Eindringversuchs und dessen Entdeckung. Er forderte rasche Verantwortungsübernahme und einen grundlegenden Wandel darin, welchen Stellenwert große Unternehmen dem Schutz von Nutzerdaten einräumen.

Präsident Lee erklärte, es sei nicht hinnehmbar, dass das monatelange Datenleck unentdeckt geblieben sei, und die Standards für den Datenschutz müssten sich ändern. Er forderte härtere Sanktionen und eine schnellere Übernahme von Verantwortung. Anschließend warnte er grundsätzlich vor der Unternehmenskultur im Umgang mit dem Datenschutz.

Es ist erschütternd, dass Coupang den Angriff fünf Monate lang nicht einmal selbst erkannt hat. Die falsche Praxis und die Haltung, dem Schutz personenbezogener Daten nicht die nötige Aufmerksamkeit zu schenken, müssen sich grundlegend ändern. In Zeiten künstlicher Intelligenz und der Digitalisierung sind diese Daten ein wichtiges Gut.

Die rechtlichen Folgen könnten erheblich sein. Nach geltendem Recht droht eine maximale Geldbuße von drei Prozent des Umsatzes, wenn die Aufsichtsbehörden feststellen, dass keine angemessenen Sicherheitsmaßnahmen getroffen wurden. Coupang erzielt nach eigenen Angaben jährlich einen Umsatz von mehreren zehn Milliarden Dollar. Eine Strafe von drei Prozent auf dieser Grundlage könnte sich auf mehrere hundert Milliarden Won belaufen und bei Umrechnung zu den jüngsten Wechselkursen möglicherweise eine Billion Won übersteigen. Die Aufsichtsbehörden prüfen außerdem die Vorschriften zu Strafschadenersatz und die Frage, ob die Sanktionen bei wiederholten oder groß angelegten Verstößen weiter erhöht werden sollten.

Die Finanzmärkte reagierten, als das Ausmaß des Vorfalls bekannt wurde. Die Coupang-Aktie fiel, nachdem die Polizei den Umfang des Datenlecks bestätigt und erklärt hatte, sie verfolge IP-Adressen zurück und untersuche technische Schwachstellen. Analysten rechnen damit, dass die Kundenabwanderung angesichts der Marktstärke Coupangs begrenzt bleibt. Sie warnen jedoch, dass Entschädigungen für Betroffene und mögliche Sanktionen hohe einmalige Kosten verursachen könnten.

Welche Daten offengelegt wurden und wie Sie sich schützen können

Coupang zufolge umfasst der offengelegte Datensatz grundlegende Kontakt- und Lieferdaten sowie Teile der Bestellhistorie. Das Unternehmen erklärt, es gebe keine Hinweise darauf, dass Kreditkartennummern, Bankdaten oder Passwörter kompromittiert wurden. Das verringert das unmittelbare Risiko eines direkten finanziellen Schadens. Die offengelegten Kontakt- und Adressdaten sind jedoch für Betrüger wertvoll, die sich überzeugend als andere ausgeben können.

Welche Daten betroffen waren

Den Mitteilungen des Unternehmens und den offiziellen Angaben zufolge wurden folgende Daten offengelegt:

• Vollständiger Name
• E-Mail-Adresse
• Mobilfunk- und andere Telefonnummern
• Lieferadresse
• Teile der Bestellhistorie

Kriminelle können diese Kombination nutzen, um Phishing-Nachrichten und Anrufe überzeugend wirken zu lassen. Eine gefälschte Lieferbenachrichtigung, die Ihren Namen und die richtige Adresse enthält, verleitet Menschen eher dazu, auf einen schädlichen Link zu klicken oder Zahlungsdaten preiszugeben. KISA hat Verbraucher dazu aufgerufen, bei Anrufen, SMS und E-Mails, die scheinbar von Coupang oder Lieferdiensten stammen, wachsam zu bleiben und keine Links in unaufgefordert zugesandten Nachrichten anzuklicken.

Praktische Maßnahmen für Kunden

• Seien Sie vorsichtig bei unerwarteten E-Mails, SMS oder Anrufen, in denen auf Ihre Bestellungen oder Probleme bei der Lieferung Bezug genommen wird. Klicken Sie nicht auf Links. Öffnen Sie stattdessen direkt die offizielle App oder Website und prüfen Sie dort Ihre Benachrichtigungen.
• Aktivieren Sie, sofern verfügbar, die Zwei-Faktor-Authentifizierung für Ihre Konten. Eine stärkere Anmeldungskontrolle begrenzt den Schaden, wenn andere Informationen missbraucht werden.
• Prüfen Sie Ihre jüngsten Bestellungen und Kontoaktivitäten auf Unbekanntes. Melden Sie Verdächtiges dem Kundendienst.
• Seien Sie misstrauisch, wenn Sie zur Lösung von Lieferproblemen um eine Zahlung gebeten werden. Seriöse Plattformen fragen nicht per SMS oder Telefon nach Kartendaten.
• Verwenden Sie einen Passwortmanager und für jeden Dienst ein eigenes Passwort. So sinkt das Risiko, dass wiederverwendete Passwörter auf anderen Websites missbraucht werden.
• Wenn Sie glauben, dass Ihre Identität missbraucht wird, erstatten Sie Anzeige bei den Behörden und bitten Sie das Unternehmen um Unterlagen, die Sie für mögliche Meldungen benötigen.

Coupang hat erklärt, betroffene Nutzer zu benachrichtigen und den Zugangsweg, über den der Eindringversuch möglich war, gesperrt zu haben. Außerdem hat das Unternehmen die interne Überwachung verstärkt und unabhängige Experten hinzugezogen, die bei der Reaktion auf den Vorfall und seiner Behebung helfen.

Folgen für Coupang und den Onlinehandel

Coupang ist ein Schwergewicht im südkoreanischen Einzelhandel und hatte in den vergangenen Quartalen knapp 25 Millionen aktive Nutzer. Das Unternehmen hat sein Angebot um die schnelle Lieferung von Lebensmitteln, Logistik und Streaming erweitert und ist auch in Japan und Taiwan tätig. Coupang zufolge gibt es keine Hinweise darauf, dass Daten der taiwanischen Sparte oder anderer verbundener Dienste außerhalb Südkoreas betroffen sind. Die Folgen im Inland sind dennoch gravierend, weil das Datenleck so viele Haushalte erreichte.

Anleger ließen die Aktie zunächst fallen, als das Ausmaß des Datenlecks öffentlich wurde und die Polizei formelle Ermittlungen einleitete. Die unmittelbaren Auswirkungen auf den Umsatz könnten begrenzt bleiben, wenn die meisten Kunden dem Unternehmen treu bleiben. Die Kosten für die Aufarbeitung des Vorfalls, mögliche Entschädigungen und etwaige Sanktionen könnten jedoch hoch ausfallen. Falls die Aufsichtsbehörden den maximalen Prozentsatz ansetzen, könnte allein die Geldbuße je nach zugrunde gelegtem Umsatz annähernd eine Billion Won betragen.

Der Vorfall ereignet sich zudem in einem Jahr mit mehreren aufsehenerregenden Cyberangriffen in Südkorea. In einem anderen Fall wurde SK Telecom nach einem Datenleck, von dem mehrere zehn Millionen Kunden betroffen waren, mit einer hohen Geldbuße belegt. Ein weiterer Fall bei Lotte Card machte deutlich, wie Kriminelle Unternehmen mit umfangreichen Identitäts- und Kaufdaten ins Visier nehmen. Diese Fälle gingen dem Datenleck bei Coupang voraus und bilden einen strengeren Hintergrund für regulatorische Maßnahmen.

Warum es in Südkorea immer wieder zu großen Datenlecks kommt

Ein wiederkehrendes Muster entsteht aus umfangreichen Datensammlungen, komplexen internen Systemen und dem Druck, sich in wettbewerbsintensiven Onlinemärkten schnell zu bewegen. Wenn ein Unternehmen auf zahlreiche interne und externe Entwickler angewiesen ist und viele miteinander kommunizierende Dienste nutzt, kann die Aufsicht darunter leiden. Schlüssel und Tokens können sich ansammeln und nicht rechtzeitig ablaufen. Der Zugriff ist möglicherweise nicht immer auf das notwendige Minimum beschränkt. Unter solchen Bedingungen kann ein einziger nicht gesperrter Schlüssel oder ein falsch konfigurierter Server Angreifern einen freien Weg eröffnen.

Behördenvertreter erklärten, wiederholte große Datenlecks seit 2021 deuteten auf strukturelle Schwächen beim Schutz personenbezogener Daten hin. Die PIPC verhängte vor Kurzem gegen einen Telekommunikationsanbieter eine Rekordstrafe, nachdem ein Datenleck jahrelang unentdeckt geblieben war. Im Fall Coupang prüfen die Ermittler, ob die interne Unternehmensführung und die Zugangskontrollen trotz erheblicher Ausgaben für Sicherheit und IT unzureichend waren. Stimmen aus der Branche argumentieren, Ausgaben allein garantierten keinen wirksamen Schutz, wenn Schlüsselrotation, konsequente Prüfungen und die Verwaltung des gesamten Lebenszyklus von Zugangsdaten nicht im Alltag durchgesetzt würden.

Die Regierung hat eine Überprüfung von Strafschadenersatz und Sanktionen angeordnet. Das signalisiert den Druck, über ein einzelnes Unternehmen hinaus Veränderungen herbeizuführen. Andere Plattformen haben interne Sicherheitsprüfungen und Audits eingeleitet. Die Debatte umfasst inzwischen auch grenzüberschreitende Entwicklungsteams, die lokale Speicherung von Daten und die Frage, ob Unternehmen mit Entwicklungsstandorten im Ausland strengere Kontrollen benötigen, wenn sie Daten inländischer Nutzer verarbeiten.

Welche Regeln für Unternehmen gelten und was sich ändern könnte

Nach dem Gesetz zum Schutz personenbezogener Daten müssen Unternehmen personenbezogene Daten mit geeigneten technischen und organisatorischen Maßnahmen schützen. Verstöße, die zu Datenlecks führen, können Anordnungen zur Abhilfe, Geldbußen und Schadenersatzforderungen nach sich ziehen. Die Obergrenze für Geldbußen liegt bei drei Prozent des Umsatzes. Neue Vorschläge könnten die Haftung bei schwerwiegenden Schäden oder wiederholter Fahrlässigkeit erhöhen. Die Behörden prüfen außerdem, ob sie Meldefristen verkürzen, verpflichtende Tests von Zugangskontrollen ausweiten und stärkere Nachweise für die Schlüsselverwaltung sowie die Sperrung von Zugängen bei einem Ausscheiden oder Rollenwechsel von Mitarbeitern verlangen sollten.

Für große Plattformen sind die Lehren klar, auch wenn ihre Umsetzung schwierig ist. Schlüssel und Tokens sollten nur kurz gültig sein. Zugriffsrechte sollten auf das notwendige Minimum beschränkt werden. Zugänge sollten bei einem Rollenwechsel automatisch und unverzüglich gesperrt werden. Warn- und Erkennungssysteme sollten ungewöhnliche Abfragen von Nutzerdatenbanken melden. Regelmäßige interne Angriffssimulationen und unabhängige Prüfungen können helfen, blinde Flecken aufzudecken. Die Aufsichtsbehörden werden im Rahmen jedes Maßnahmenplans zur Behebung der Mängel voraussichtlich sichtbare Fortschritte bei diesen grundlegenden Schutzmaßnahmen erwarten.

Für Nutzer besteht das unmittelbare Risiko nach den bisherigen Erkenntnissen vor allem in gezielten Betrugsversuchen und nicht im direkten Diebstahl von Zahlungsdaten. Auch das kann erheblichen Schaden anrichten, insbesondere bei Menschen, die im Alltag auf Liefernachrichten und mobile Benachrichtigungen angewiesen sind. Die Kombination aus richtigem Namen, Adresse und Einzelheiten zu einer kürzlich getätigten Bestellung ergibt eine überzeugende Täuschung. Aufklärung und einfache Bestätigungsschritte in der App können solche Angriffe eindämmen, wenn Nutzer wissen, worauf sie achten müssen.

Auf einen Blick

• Von dem Datenleck waren rund 33,7 Millionen Coupang-Kundenkonten betroffen. Es ist das größte Datenleck in Südkorea seit mehr als einem Jahrzehnt.
• Zu den offengelegten Daten zählen Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Teile der Bestellhistorie. Zahlungsdaten und Passwörter waren dem Unternehmen zufolge nicht betroffen.
• Der unbefugte Zugriff soll am 24. Juni begonnen und am 18. November entdeckt worden sein.
• Die Behörden untersuchen Schwachstellen bei der Authentifizierung und die Frage, ob ein ehemaliger Mitarbeiter verbliebene Zugangsschlüssel nutzte.
• Präsident Lee Jae Myung ordnete härtere Sanktionen und eine schnellere Verantwortungsübernahme an. Die monatelange Verzögerung bis zur Entdeckung bezeichnete er als erschütternd.
• Die Aufsichtsbehörden können nach geltendem Recht Geldbußen von bis zu drei Prozent des Umsatzes verhängen. Das könnte mehrere hundert Milliarden Won oder mehr bedeuten.
• KISA veröffentlichte öffentliche Warnungen vor Phishing und Betrugsversuchen, bei denen die offengelegten Kontaktdaten missbraucht werden könnten.
• Die Polizei, KISA und die PIPC haben gemeinsame Ermittlungen eingeleitet. Coupang zufolge wurde der Zugangsweg gesperrt und externe Experten wurden hinzugezogen.
• Kanzleien bereiten Sammelklagen vor. Analysten rechnen mit erheblichen einmaligen Kosten durch Entschädigungen und mögliche Sanktionen.
• Der Fall kommt zu den zahlreichen großen Datenlecks in Südkorea in diesem Jahr hinzu und dürfte Änderungen bei Datenschutz und internen Zugangskontrollen beschleunigen.