Das Ausmaß des Datenlecks
Südkoreas Ministerium für Wissenschaft und IKT bestätigte am Dienstag, dass bei einem massiven Datenleck bei Coupang, der führenden E-Commerce-Plattform des Landes und einem an der Nasdaq notierten Unternehmen, 33,67 Millionen Nutzerdatensätze kompromittiert wurden. Das entspricht rund zwei Dritteln der südkoreanischen Bevölkerung von 51 Millionen Menschen. Damit handelt es sich um eines der größten Datenlecks mit Verbraucherinformationen in der Geschichte des Landes, von dem ein erheblicher Teil der digital aktiven Bevölkerung betroffen ist.
Inhalt
Die Ermittlungen ergaben, dass ein ehemaliger Mitarbeiter Schwachstellen bei der Authentifizierung ausnutzte, um auf Namen und E-Mail-Adressen von Millionen Nutzern zuzugreifen. Darüber hinaus rief der Angreifer Seiten mit Lieferadresslisten 148 Millionen Mal auf. Dabei könnten Namen, Telefonnummern, Wohnadressen und sogar anonymisierte Passwörter für Hauseingänge offengelegt worden sein. Da Coupang Nutzern erlaubt, bis zu 20 Lieferadressen pro Konto zu speichern, könnte die tatsächliche Menge der kompromittierten Standortdaten weit über der Zahl der betroffenen Konten liegen. Möglicherweise sind auch Familienangehörige und Bekannte der Kontoinhaber betroffen.
Choi Woo-hyuk, Leiter des Büros für Cybersicherheit und Netzpolitik im Ministerium, stellte die Ergebnisse bei einer Regierungsunterrichtung in Seoul vor. Die Bestätigung erfolgte fast drei Monate, nachdem Coupang den Einbruch am 17. November 2025 erstmals festgestellt hatte, und stellt eine deutliche Verschärfung gegenüber den ersten öffentlichen Stellungnahmen des Unternehmens dar. Die verzögerte öffentliche Bestätigung hatte Spekulationen ausgelöst, die Bekanntgabe sei wegen möglicher handelspolitischer Spannungen mit den USA und der Vorwürfe amerikanischer Politiker aufgeschoben worden, die südkoreanische Regierung diskriminiere US-Unternehmen. Das Ermittlungsteam wies diese Behauptungen entschieden zurück.
Das Ermittlungsteam betonte, es habe sich stets an die Rechtsgrundsätze gehalten und kein Unternehmen anders behandelt. Man habe die Ergebnisse nach ihrem Vorliegen zeitnah und transparent offengelegt. Damit reagierte das Team auf wachsende Bedenken, der Fall könne eher von diplomatischen Erwägungen als von regulatorischen Vorgaben beeinflusst sein.
Der Ablauf des Angriffs
Der Ursprung des Datenlecks lag innerhalb des Unternehmens. Die Ermittler identifizierten den Angreifer als ehemaligen Coupang-Mitarbeiter, der während seiner Beschäftigung Software zur Nutzerauthentifizierung entwickelt hatte. Nach den Erkenntnissen der Regierung entwendete die Person einen Signaturschlüssel aus einem Authentifizierungssystem, führte zwischen dem 5. und 20. Januar 2025 erste Angriffstests durch und setzte anschließend Webcrawler ein, um systematisch Daten abzurufen.
Der Angriffszeitraum erstreckte sich vom 14. April bis zum 8. November 2025. So konnte der Täter fast sieben Monate lang unentdeckt agieren. Mit dem gestohlenen Signaturschlüssel fälschte der ehemalige Mitarbeiter nach Angaben der Behörden eine Art elektronischen Zugangsausweis und umging damit die üblichen Anmeldeverfahren vollständig. Auf diese Weise konnte er auch nach seinem Ausscheiden aus dem Unternehmen weiter auf Coupang-Dienste zugreifen.
Lee Dong-geun, Leiter der Abteilung für die Abwehr digitaler Bedrohungen bei der koreanischen Internet- und Sicherheitsbehörde, erklärte, die Ermittler hätten festgestellt, dass aktuelle Coupang-Entwickler Signaturschlüssel auf privaten Laptops gespeichert hätten. Dies verstoße gegen interne Vorschriften, wonach solche Zugangsdaten in den Verwaltungssystemen verbleiben müssen. Diese Praxis schuf die Sicherheitslücke, die den Angriff ermöglichte.
Der Angreifer rief die Seite „Meine Informationen bearbeiten“ auf, um 33.673.817 Datensätze mit Namen und E-Mail-Adressen abzurufen. Außerdem wurde die Seite mit den Lieferadressen 148,05 Millionen Mal aufgerufen, während es bei der Bestellübersicht rund 100.000 unbefugte Zugriffe gab. Die Ermittler bestätigten, dass der Angreifer über Systeme verfügte, mit denen Daten an ausländische Cloudserver übertragen werden konnten. Ob solche Übertragungen tatsächlich stattfanden, konnten sie jedoch nicht feststellen.
Das Urteil der Regierung
Südkoreanische Behörden stellten der Sicherheitslage bei Coupang ein vernichtendes Zeugnis aus. Choi Woo-hyuk bezeichnete den Vorfall als klares Versagen des Managements und nicht als ausgeklügelten externen Angriff. Das Ermittlungsteam stellte gravierende Mängel bei der Verwaltung des Authentifizierungssystems und der Kontrolle der Signaturschlüssel fest.
Dies ist ein klares Versagen des Coupang-Managements und kein ausgeklügelter Angriff. Das Team stellte Mängel bei der Verwaltung der Authentifizierungssysteme und der Signaturschlüssel fest.
Die Ermittlungen deckten mehrere Verstöße auf. Coupang meldete den Vorfall nicht innerhalb der vorgeschriebenen Frist von 24 Stunden, sondern informierte die Behörden erst am 19. November statt wie vorgeschrieben am 18. November. Noch schwerer wiegt, dass das Unternehmen mutmaßlich gegen eine am 19. November erlassene Anordnung zur Beweissicherung verstieß. Trotz der Aufforderung, Beweismittel aufzubewahren, passte Coupang die automatischen Einstellungen zur Protokollspeicherung nicht an. Dadurch wurden Webzugriffsprotokolle aus dem Zeitraum von Juli bis November 2024 sowie App-Zugriffsprotokolle vom 23. Mai bis zum 2. Juni 2025 gelöscht.
Das Ministerium kündigte an, wegen der verspäteten Meldung ein Bußgeld zu verhängen, das bis zu 30 Millionen Won betragen kann. Zudem ersuchten die Behörden die Strafverfolgungsbehörden, mögliche Behinderung der Ermittlungen im Zusammenhang mit der Vernichtung von Beweismitteln zu untersuchen. Coupang muss dem Ministerium bis Ende des laufenden Monats Präventionsmaßnahmen vorlegen. Ihre Umsetzung ist für den Zeitraum von März bis Mai vorgesehen; im Juni und Juli soll die Regierung sie überprüfen.
Coupangs Darstellung und die Fakten
Während der gesamten Ermittlungen beharrte Coupang darauf, dass zwar technisch gesehen 33,7 Millionen Konten betroffen gewesen seien, der tatsächliche Schaden aber begrenzt sei. Nach Aussage des Angreifers seien lediglich rund 3.000 Datensätze auf dessen Festplatte gespeichert und anschließend gelöscht worden, erklärte das Unternehmen. Aufsichtsbehörden und Datenschützer kritisierten diese Darstellung scharf. Sie sehen darin den Versuch, den regulatorischen und den Rufschaden kleinzureden.
Choi Woo-hyuk widersprach dieser Darstellung bei seiner Unterrichtung ausdrücklich. Nach südkoreanischen Datenschutzstandards stelle bereits der unbefugte Zugriff auf Seiten mit personenbezogenen Daten ein Datenleck dar, unabhängig davon, ob die Daten lokal gespeichert oder an einen anderen Ort übertragen worden seien, betonte er.
Der Begriff „Zugriff“ bedeutet nicht, dass die Verantwortung geringer ist. Die Zahl von 3.000 Datensätzen ist lediglich eine Behauptung des Unternehmens und dient nur als Anhaltspunkt. Wir haben alle Unterlagen eigenständig überprüft. Wir untersuchten die Coupang-Server, um festzustellen, auf wie viele Daten externe Angreifer zugegriffen haben und wie viele abgeflossen sind.
Ein Coupang-Sprecher entgegnete auf die Erkenntnisse der Regierung, die 148 Millionen Aufrufe der Seite mit den Lieferadressen ließen keine Rückschlüsse auf das Ausmaß des Informationsabflusses zu. Dabei habe es sich um Versuche gehandelt, personenbezogene Daten einzelner Nutzer der 33,7 Millionen Konten zu sammeln, und nicht um Belege für 148 Millionen separate Datenlecks. Regierungsvertreter hielten dagegen, dass die schiere Zahl der Zugriffsanfragen zeige, dass der Angreifer umfassende Nutzerprofile habe zusammentragen können.
Die unterschiedlichen Darstellungen verdeutlichen grundlegende Differenzen zwischen Unternehmen und Aufsichtsbehörden bei der Definition von Datenlecks. Während Coupang auf den nachweislich vom Angreifer gespeicherten Daten besteht, werten die Behörden jede unbefugte Einsicht in personenbezogene Daten als Datenabfluss. Das gilt insbesondere angesichts von Hinweisen auf Systeme, die für die Übertragung von Daten ins Ausland ausgelegt waren.
Geopolitische Folgen und juristischer Druck aus den USA
Aus dem Datenleck ist ein innenpolitischer Cybersicherheitsvorfall mit erheblicher Bedeutung für die bilateralen Beziehungen zwischen Südkorea und den USA geworden. Als US-börsennotiertes Unternehmen mit zahlreichen amerikanischen Investoren steht Coupang im Fokus von US-Abgeordneten. Sie sehen in den harten Maßnahmen Südkoreas möglicherweise eine diskriminierende Behandlung eines amerikanischen Unternehmens.
Der Interims-CEO Harold Rogers sieht sich an mehreren Fronten wachsendem juristischem Druck ausgesetzt. Die südkoreanische Polizei befragte Rogers rund zwölf Stunden lang zu Vorwürfen des Meineids im Zusammenhang mit Aussagen zum Datenleck. Gleichzeitig lud der Justizausschuss des US-Repräsentantenhauses Rogers vor, am 23. Februar 2026 zu dem Vorfall auszusagen. Die Untersuchung des Kongresses befasst sich mit der Frage, ob koreanische Aufsichtsbehörden an US-Börsen notierten Unternehmen ungerechtfertigte Belastungen auferlegen.
Vor einem Bundesgericht in New York fordert eine Sammelklage Strafschadenersatz von Coupang. Sie wirft dem Unternehmen unzureichenden Datenschutz und irreführende Angaben zum Ausmaß des Datenlecks vor. Die Klage vertritt Anleger und Nutzer, die nach eigenen Angaben durch Sicherheitsmängel und die anschließende Verharmlosung des Vorfalls durch das Unternehmen Verluste erlitten haben.
Einige multinationale Unternehmen mit Sitz in Seoul warnten hinter verschlossenen Türen, dass die Reaktion mit neun Behörden und Hunderten Beamten beispiellos sei und sich von der Behandlung einheimischer Unternehmen unterscheide. Als Beleg nennen sie ein Datenleck bei SK Telecom im Jahr 2025, von dem 27 Millionen Datensätze betroffen waren und das keine vergleichbaren Ermittlungen auslöste. Das Ministerium für Wissenschaft und IKT wies jedoch entschieden zurück, von Rechtsgrundsätzen abgewichen zu sein. Coupang sei genauso behandelt worden wie jedes andere Unternehmen, dem vergleichbare Verstöße vorgeworfen würden.
Präsident Lee Jae-myung hat öffentlich versprochen, Südkorea zum weltweit attraktivsten Investitionsstandort zu machen. Das schafft Spannungen zwischen dem Anspruch, den Datenschutz konsequent durchzusetzen, und dem Ziel, ausländisches Kapital anzuziehen. Der Fall Coupang ist nun ein Test dafür, wie Seoul den Schutz der Privatsphäre von Verbrauchern mit internationalen Handelsbeziehungen in Einklang bringt.
Regulatorische Folgen und Geschäftsrisiken
Zusätzlich zu den unmittelbaren Bußgeldern wegen der verspäteten Meldung drohen Coupang schwerwiegende regulatorische Konsequenzen. Die Wettbewerbsbehörde hat vor einer möglichen Betriebsaussetzung gewarnt, einer drastischen Maßnahme, die den Geschäftsbetrieb des Unternehmens vollständig zum Erliegen bringen würde. Die Behörde führt außerdem eine Steuerprüfung durch und hat eine parlamentarische Beschwerde gegen den Gründer Bom Kim und ehemalige Führungskräfte erhalten.
Am 5. Februar 2026 wurde zudem ein separates Datenleck mit weiteren 165.000 betroffenen Nutzerdatensätzen bekannt. Diese zusätzliche Meldung verstärkte die Empörung in der Öffentlichkeit und festigte den Eindruck, das Unternehmen habe den Schaden in ersten Einschätzungen heruntergespielt.
Branchenanalysten zufolge setzt der Fall neue Maßstäbe für die Einhaltung von Vorschriften durch südkoreanische Verbraucherplattformen. Die detaillierte Rekonstruktion des Angriffs durch die Regierung, einschließlich konkreter Zugriffszahlen und einer Analyse des zeitlichen Ablaufs, signalisiert den Willen, verbindliche Kontrollvorgaben für andere Unternehmen einzuführen, die große Mengen personenbezogener Daten verarbeiten.
Für Coupang-Nutzer ergeben sich aus den kompromittierten Daten konkrete Sicherheitsrisiken. Lieferadressen, Telefonnummern und Zugangscodes für Hauseingänge können Kunden der Gefahr von Nachstellungen, gezieltem Betrug und körperlichen Bedrohungen aussetzen. Anders als bei Datenlecks von Zahlungskarten, deren Folgen Finanzinstitute durch Sperrung und Überwachung eindämmen können, bleiben Adress- und Kontaktdaten dauerhaft sensible Informationen. Da auch Adressen Dritter betroffen sein können, etwa von Familienmitgliedern oder Freunden, die in Nutzerkonten gespeichert sind, reicht der Kreis der Betroffenen über die direkten Coupang-Kunden hinaus.
Die wichtigsten Punkte
- Der Abfluss von Daten zu 33,67 Millionen Coupang-Nutzerkonten wurde bestätigt; betroffen sind rund zwei Drittel der südkoreanischen Bevölkerung.
- Ein ehemaliger Mitarbeiter stahl Signaturschlüssel zur Authentifizierung und griff zwischen April und November 2025 unbefugt auf Daten zu.
- Der Angreifer rief Seiten mit Lieferadresslisten 148 Millionen Mal auf. Dabei könnten Adressen, Telefonnummern und Zugangscodes für Hauseingänge offengelegt worden sein.
- Das Ministerium für Wissenschaft und IKT bezeichnete den Vorfall als klares Versagen des Managements und warf Coupang verspätete Meldung und Beweismittelvernichtung vor.
- Interims-CEO Harold Rogers wurde in Südkorea von der Polizei befragt und soll am 23. Februar 2026 vor einem Ausschuss des US-Kongresses aussagen.
- Vor einem Bundesgericht in New York fordert eine US-Sammelklage Strafschadenersatz.
- Die Wettbewerbsbehörde hat vor einer möglichen Betriebsaussetzung gewarnt und führt eine Steuerprüfung durch.
- Am 5. Februar 2026 wurden weitere 165.000 Datensätze bekannt, getrennt vom Hauptvorfall.
- Coupang muss bis Monatsende Präventionsmaßnahmen vorlegen. Eine Überprüfung durch die Regierung ist für Juni und Juli geplant.
