Datenleck bei SK Telecom: Wie Südkoreas größter Mobilfunkanbieter gehackt wurde und was das für Millionen Menschen bedeutet

Angriff auf Südkoreas Telekommunikationsriesen: Was geschah bei SK Telecom?

Bei einem der schwerwiegendsten Cybersicherheitsvorfälle in der Geschichte Südkoreas wurde SK Telecom (SKT), der größte Mobilfunkanbieter des Landes, Opfer eines massiven Datenlecks, bei dem sensible Informationen von fast allen Abonnenten offengelegt wurden. Das Leck, das bereits im August 2021 begonnen haben könnte, aber erst im April 2025 entdeckt wurde, hat die digitale Infrastruktur des Landes erschüttert und dringende Fragen zu unternehmerischer Verantwortung, nationaler Sicherheit und zur Zukunft des Datenschutzes in Südkorea aufgeworfen.

Die Behörden haben inzwischen bestätigt, dass Hacker in das Kernnetz von SKT eingedrungen sind und fast 10 Gigabyte an Daten abgegriffen haben, darunter wichtige SIM-Karten-Authentifizierungsdaten von bis zu 27 Millionen Nutzern. Die Folgen waren unmittelbar und schwerwiegend: staatliche Ermittlungen, öffentliche Entschuldigungen, eine Abwanderung von Kunden und die Gefahr von Rekordstrafen. Doch die Geschichte handelt nicht nur von technischem Versagen. Sie ist ein Weckruf für die gesamte Telekommunikationsbranche und ein Lehrstück über die sich wandelnde Bedrohungslage im Cyberraum.

Wie kam es zu dem Angriff? Zeitlicher Ablauf und Angriffsmethoden

Der Angriff auf SK Telecom war kein plötzlicher Einbruch. Vielmehr handelte es sich um eine langsame, unauffällige Infiltration, die jahrelang unentdeckt blieb. Einer gemeinsamen Untersuchung des Ministeriums für Wissenschaft und IKT sowie privater Cybersicherheitsexperten zufolge installierten die Angreifer bereits am 6. August 2021 erstmals Schadsoftware auf internen Servern von SKT, fast zehn Monate früher als zunächst angenommen. Die Schadsoftware, darunter mindestens 27 Varianten einer ausgefeilten Linux-Hintertür namens BPFDoor, ermöglichte es den Hackern, sich innerhalb des SKT-Netzwerks seitlich auszubreiten und schließlich auf den Home Subscriber Server (HSS) zuzugreifen, die zentrale Datenbank zur Verwaltung der Teilnehmerauthentifizierung und -identität.

BPFDoor ist ein Werkzeug, das häufig mit Advanced-Persistent-Threat-Gruppen (APT-Gruppen) in Verbindung gebracht wird, die meist gut finanziert sind und mitunter staatlich unterstützt werden. Da die Schadsoftware sich verbergen und herkömmliche Sicherheitsmaßnahmen umgehen kann, war sie besonders gefährlich. Ermittler fanden heraus, dass die Angreifer Schwachstellen in den Netzwerkverwaltungssystemen von SKT ausnutzten, möglicherweise unter Verwendung von Sicherheitslücken in Software von Drittanbietern wie Ivanti-VPN-Geräten. Ein solcher Angriffsvektor wurde bei anderen Vorfällen weltweit mit von China unterstützten Hackergruppen in Verbindung gebracht.

Nach dem Eindringen griffen die Hacker 9,82 Gigabyte an Daten von Universal Subscriber Identity Modules (USIM) ab. Darunter waren International-Mobile-Subscriber-Identity-Nummern (IMSI), also eindeutige Kennungen jeder SIM-Karte. Diese Daten sind für die Authentifizierung von Nutzern in Mobilfunknetzen unverzichtbar. Bei Missbrauch könnten sie das Klonen von SIM-Karten oder das Abfangen von per SMS versendeten Zwei-Faktor-Authentifizierungscodes ermöglichen.

Besonders alarmierend war die Entdeckung der Ermittler, dass viele dieser sensiblen Daten, darunter Gerätekennungen und Verbindungsdaten, im Klartext statt verschlüsselt gespeichert waren. Dieser grundlegende Mangel an Sicherheitsvorkehrungen machte den Schaden durch den Angriff deutlich größer, als er sonst hätte ausfallen können.

Welche Daten wurden gestohlen? Ausmaß und Risiken des Datenlecks

Das Ausmaß des Angriffs auf SKT ist erschütternd. Fast 27 Millionen IMSI-Datensätze wurden offengelegt, mehr als SKT aktive Teilnehmer hat. Das deutet darauf hin, dass auch Nutzer von Smartwatches und IoT-Geräten sowie möglicherweise ehemalige Kunden betroffen waren. Zu den kompromittierten Daten gehörten:

• IMSI-Nummern (digitale „Fingerabdrücke“ von Mobiltelefonen)
• USIM-Authentifizierungsschlüssel
• Telefonnummern
• Gerätekennungen (mit Hinweisen darauf, dass auch IMEI-Daten offengelegt wurden)
• Verbindungsdaten (CDRs), die laut SKT allerdings verschlüsselt waren

SKT zufolge wurden zwar keine Namen, Adressen oder Finanzkontodaten offengelegt, doch der Diebstahl von USIM- und IMSI-Daten ist dennoch höchst bedeutsam. Mit diesen Informationen könnten Angreifer theoretisch SIM-Karten klonen, SMS-basierte Authentifizierungscodes abfangen oder einen SIM-Swap-Betrug versuchen. Dabei übernehmen Kriminelle die Telefonnummer eines Opfers, um Zugriff auf dessen Onlinekonten zu erhalten.

Bislang gibt es keine bestätigten Berichte über weit verbreiteten Betrug oder einen Missbrauch der gestohlenen Daten. Das Risiko besteht jedoch weiterhin. Die Behörden haben alle betroffenen Nutzer aufgefordert, ihre SIM-Karten auszutauschen und zusätzliche Schutzdienste zu nutzen.

Wer steckte hinter dem Angriff? Vermutungen und internationale Ermittlungen

Wer den Angriff auf SKT orchestriert hat, ist offiziell weiterhin ungeklärt. Die zunehmenden Hinweise sprechen jedoch für einen hoch qualifizierten, möglicherweise staatlich unterstützten Akteur. Der Einsatz der Schadsoftware BPFDoor, die zuvor mit chinesischen APT-Gruppen wie Salt Typhoon und Red Mansion in Verbindung gebracht wurde, hat Spekulationen über eine ausländische Beteiligung angeheizt. Das taiwanische Cybersicherheitsunternehmen TeamT5 berichtete, dass Sicherheitslücken in Ivanti-VPN-Geräten, die von vielen südkoreanischen Unternehmen einschließlich SKT genutzt werden, etwa zur Zeit des Angriffs auf SKT weltweit von China nahestehenden Hackern ausgenutzt wurden.

Die südkoreanische Polizei untersucht den Angriff gemeinsam mit Strafverfolgungsbehörden aus fünf weiteren Ländern, darunter den Vereinigten Staaten. Mehr als 100 verdächtige IP-Adressen wurden identifiziert; außerdem wurden internationale Datenanfragen an 18 ausländische Unternehmen gestellt. Trotz der Spekulationen haben die Behörden den Angriff offiziell weder einem bestimmten Staat noch einer Gruppe zugeschrieben. Die Ermittlungen dauern an.

Cybersicherheitsexperten weisen darauf hin, dass die lang andauernde, unauffällige Vorgehensweise auf Motive hindeutet, die über den bloßen finanziellen Gewinn hinausgehen. Professor Lim Jong-in, Experte für Cyberabwehr an der Korea University, sagte, solche Operationen seien typischerweise das Werk staatlicher Akteure, die langfristigen Zugang oder Informationen anstrebten, und nicht gewöhnlicher Cyberkrimineller.

Wie reagierte SK Telecom? Entschuldigungen, Entschädigungen und umfassender Sicherheitsumbau

SK Telecom reagierte auf mehreren Ebenen, doch nicht ohne Kontroversen. Nachdem das Datenleck im April 2025 öffentlich bekannt geworden war, entschuldigte sich das Unternehmen. Vorstandschef Ryu Young-sang bezeichnete es als „schwerwiegendsten Sicherheitsvorfall in der Geschichte des Unternehmens“. Auch SK-Group-Vorsitzender Chey Tae-won entschuldigte sich und versprach, die volle Verantwortung für entstandene Schäden zu übernehmen.

Um die Folgen abzufedern, startete SKT mehrere kundenorientierte Maßnahmen:

• Kostenloser Austausch von SIM-Karten für alle 23 Millionen Nutzer in mehr als 2.600 Filialen
• 50 Prozent Rabatt auf die August-Gebühren für alle Kunden
• Zusätzliche SIM-Schutzdienste, um unerlaubte Rufnummernmitnahmen oder SIM-Kartentausche zu verhindern
• Erlass der Gebühren für eine vorzeitige Vertragskündigung für betroffene Kunden

Das Unternehmen schätzt, dass die kombinierten Verluste durch erlassene Gebühren und entgangene Einnahmen 7 Billionen Won (rund 5,1 Milliarden US-Dollar) übersteigen könnten, falls bis zu 5 Millionen Kunden den Anbieter verlassen. Bereits Hunderttausende Nutzer sind zu Konkurrenzanbietern gewechselt, und der Aktienkurs von SKT ist deutlich gefallen.

Technisch hat SKT ein umfassendes „Rechenschafts- und Verpflichtungsprogramm“ angekündigt. Über fünf Jahre will das Unternehmen 700 Milliarden Won (514 Millionen US-Dollar) investieren, um seine Informationsschutzsysteme neu aufzubauen. Dazu gehören:

• Verdopplung des Cybersicherheitsteams
• Direkte Berichtslinie des Chief Information Security Officer (CISO) an den Vorstandschef
• Vierteljährliche Sicherheitsaudits und regelmäßige Penetrationstests
• Vollständige Verschlüsselung der USIM-Authentifizierungsschlüssel, ein Standard, den die Wettbewerber KT und LG Uplus bereits eingeführt haben
• Einführung fortschrittlicher Lösungen zur Erkennung und Abwehr von Angriffen auf Endgeräte
• Einrichtung eines „Red Teams“, das gezielt nach Schwachstellen sucht

SKT hat außerdem einen Fonds über 10 Milliarden Won (7,3 Millionen US-Dollar) eingerichtet, um Fachkräfte für Cybersicherheit in Südkorea zu fördern. Dazu kooperiert das Unternehmen mit Universitäten und unterstützt Start-ups in diesem Bereich.

Wie reagierte die Regierung? Aufsichtsmaßnahmen und Strafen

Die südkoreanische Regierung ist nach dem Angriff auf SKT hart vorgegangen. Nach einer gründlichen Untersuchung kam das Ministerium für Wissenschaft und IKT zu dem Schluss, dass SKT seiner Pflicht zum Schutz der Teilnehmerdaten nicht nachgekommen war. Vizeminister Ryu Je-myung erklärte, SKT habe seine Sicherheitsverpflichtungen verletzt und gegen Meldepflichten verstoßen, weil das Unternehmen den Angriff nicht innerhalb der gesetzlich vorgeschriebenen Frist von 24 Stunden gemeldet hatte.

Daraufhin verhängten die Behörden mehrere Strafen und Auflagen:

• Geldbuße von bis zu 30 Millionen Won wegen Verstößen gegen Auflagen; nach dem Gesetz zum Schutz personenbezogener Daten sind deutlich höhere Strafen möglich
• Verpflichtende vierteljährliche Sicherheitsprüfungen und eine Aufbewahrung der Protokolle für mindestens sechs Monate
• Verpflichtung, betroffenen Kunden eine Vertragskündigung ohne Strafgebühr zu ermöglichen
• Weiterleitung zur strafrechtlichen Untersuchung wegen mutmaßlicher Missachtung von Anordnungen zur Beweissicherung

Die Datenschutzkommission (PIPC) erwägt eine Rekordstrafe von bis zu 3 Prozent des Jahresumsatzes von SKT. Diese könnte 530 Milliarden Won übersteigen. Die PIPC kritisierte außerdem die allgemein zu geringen Investitionen großer südkoreanischer Konzerne in Cybersicherheit und forderte die Branche zu stärkeren Zusagen bei Personal und Budget auf.

Warum war SKT so anfällig? Strukturelle Probleme bei der Cybersicherheit in Südkorea

Der Angriff auf SKT war kein Einzelfall. Er steht für umfassendere Herausforderungen im Bereich Cybersicherheit, mit denen Südkorea konfrontiert ist. Obwohl das Land zu den digital fortschrittlichsten Gesellschaften der Welt zählt, haben viele südkoreanische Unternehmen in der Vergangenheit zu wenig in Cybersicherheit investiert. Eine Regierungsumfrage aus dem Jahr 2024 ergab, dass nur 8,7 Prozent der Unternehmen eigenen Angaben zufolge fest angestellte Cybersicherheitsfachkräfte benötigten. Selbst bei großen Unternehmen sahen nur 14 Prozent das Thema als Priorität. Die Gehälter von Cybersicherheitsfachkräften in Südkorea liegen weit unter dem internationalen Niveau. Das erschwert es, Spitzenkräfte zu gewinnen und zu halten.

Die meisten Unternehmen verlassen sich auf IT-Mitarbeiter, die mehrere Aufgaben gleichzeitig übernehmen. Nur eine Minderheit beschäftigt Vollzeit-Sicherheitsexperten. Diese strukturelle Unterfinanzierung hat dazu geführt, dass selbst Betreiber kritischer Infrastruktur wie SKT ausgefeilten Angriffen ausgesetzt sind. Die Regierung hat diese Defizite eingeräumt und drängt auf branchenweite Reformen. Der Vorfall bei SKT macht jedoch deutlich, wie dringend Veränderungen sind.

Was sollten Kunden tun? Praktische Schutzmaßnahmen

Für die Millionen betroffenen SKT-Kunden empfehlen Experten und Behörden mehrere Sofortmaßnahmen, um das Risiko von Betrug oder unbefugtem Zugriff zu verringern:

• SIM-Karte austauschen: SKT bietet kostenlosen Ersatz an. Dadurch werden die kompromittierten Authentifizierungsschlüssel ungültig.
• SIM-Schutzdienste nutzen: Damit wird die Telefonnummer elektronisch an die aktuelle SIM-Karte gebunden, um unerlaubte Rufnummernmitnahmen oder SIM-Kartentausche zu verhindern.
• Vorsicht vor Phishing: Vertrauen Sie nur offiziellen Mitteilungen von SKT. Klicken Sie nicht auf verdächtige Links und geben Sie keine persönlichen Daten als Antwort auf unaufgeforderte Nachrichten weiter.
• Konten neu authentifizieren und überwachen: Melden Sie sich bei wichtigen Apps ab und wieder an, prüfen Sie Finanzkonten auf ungewöhnliche Aktivitäten und ändern Sie Ihre Passwörter. Aktivieren Sie, wo möglich, die Mehr-Faktor-Authentifizierung, möglichst nicht per SMS.
• Informiert bleiben: Verfolgen Sie die offiziellen Mitteilungen von SKT und Behörden, um aktuelle Hinweise und Anlaufstellen zu erhalten.

Mit diesen Maßnahmen lässt sich das Risiko von SIM-Swap-Betrug und anderen möglichen Missbrauchsfällen infolge des Datenlecks deutlich verringern.

Weiterreichende Folgen: Nationale Sicherheit und die Zukunft der Telekommunikation

Der Angriff auf SKT ist mehr als eine Unternehmenskrise. Er betrifft die nationale Sicherheit. Als führender Mobilfunkanbieter ist SKT ein Grundpfeiler der digitalen Infrastruktur Südkoreas. Das Unternehmen ermöglicht nicht nur mobile Kommunikation, sondern unterstützt auch Finanztransaktionen, Identitätsprüfungen und wichtige Dienstleistungen. Der Angriff hat Schwachstellen offengelegt, die für Spionage, Überwachung oder die Störung wichtiger Systeme ausgenutzt werden könnten.

Regierungsvertreter und Cybersicherheitsexperten warnen, der Vorfall müsse der gesamten Branche als Weckruf dienen. Wissenschaftsminister Yoo Sang-im sagte:

Dieser Angriff auf SKT ist ein Weckruf für die gesamte Telekommunikationsbranche und die nationale Netzinfrastruktur. Als führender Mobilfunkanbieter Koreas muss SKT der Cybersicherheit höchste Priorität einräumen.

Die Regierung prüft nun strengere Vorschriften, höhere Geldbußen und verbindliche Sicherheitsstandards für alle Telekommunikationsanbieter. Erneut stärker in den Fokus rückt auch die internationale Zusammenarbeit, denn Cyberbedrohungen machen zunehmend nicht an Landesgrenzen halt und erfordern koordinierte Gegenmaßnahmen.

Zusammenfassung

• Bei SK Telecom kam es zu einem massiven Datenleck, bei dem sensible SIM-Authentifizierungsdaten von bis zu 27 Millionen Nutzern offengelegt wurden.
• Der Angriff begann im August 2021, wurde aber erst im April 2025 entdeckt. Das zeigt erhebliche Defizite bei Erkennung und Reaktion.
• Die Hacker setzten ausgefeilte Schadsoftware ein, wahrscheinlich BPFDoor, die mit Advanced-Persistent-Threat-Gruppen und möglicherweise mit China in Verbindung steht.
• Zu den gestohlenen Daten gehörten IMSI-Nummern, USIM-Schlüssel und Telefonnummern. Dadurch steigt das Risiko von SIM-Kartenklonen und Betrug.
• SKT bietet kostenlose SIM-Karten, Gebührenerlasse und hohe Investitionen in Cybersicherheit an, muss aber mit Rekordstrafen und Kundenverlusten rechnen.
• Die Regierung hat Strafen verhängt, Reformen angeordnet und strafrechtliche Ermittlungen zum Umgang von SKT mit dem Angriff eingeleitet.
• Der Vorfall macht strukturelle Schwächen bei der Cybersicherheit in Südkorea deutlich, insbesondere bei großen Unternehmen.
• Kunden werden aufgefordert, ihre SIM-Karten auszutauschen, Schutzdienste zu nutzen und sich vor Betrug zu hüten.
• Der Angriff hat Folgen für die nationale Sicherheit und führt zu branchenweiten Reformen sowie verstärkter internationaler Zusammenarbeit.