So, hats mich nun also auch mal erwischt.

Vodafone Deutschland ist Ziel eines kriminellen Angriffs geworden
Vodafone Deutschland ist kürzlich Ziel eines illegalen Daten-Angriffs auf einen seiner Server geworden. Dieser Angriff war nur mit hoher krimineller Energie sowie Insiderwissen möglich und fand tief versteckt in der IT-Infrastruktur des Unternehmens statt. Dabei erlangte der Täter Zugang zu Stammdaten von 2 Millionen Personen. Er entwendete Angaben zu Name, Adresse, Geburtsdatum, Geschlecht, Bankleitzahl und Kontonummer. Sicher ist, dass der Täter keinen Zugang zu Kreditkarten-Daten, Passwörtern, PIN-Nummern, Mobiltelefonnummern oder Verbindungsdaten hatte.

Offenbar sind auch meine Kontodaten, Geburtsdatum, Name und Anschrift einer Partei mit krimineller Energie in die Hände gefallen.

vodafon

Das für mich interessante an dieser Geschichte: Ich bin seit einem Jahr gar kein Kunde mehr bei Vodafone und hätte erwartet, dass meine Kundendaten gelöscht wurden.

Entsprechend verwundert tweetete ich @vodafone_de vorhin an und erhielt -- wie andere mit einer ähnlichen Verwunderung -- die Antwort

Aha. Meine darauf erfolgte Frage nach der Aufbewahrungszeit der Daten wurde noch nicht beantwortet, schaumerma.

Was mich aber noch mehr verwundert: Nicht nur hat Vodafone also offenbar meine Daten auch noch ein Jahr nach der Kündigung in ihrem System, es funktioniert auch noch mein damaliger Login für "mein Vodafone", also den Kundenbereich. Vodafone hat also neben den Stammdaten auch noch die User/Passwort Daten für die ehemlige Rechnungs- und Vertragsverwaltung aktiv - für einen Ex-Kunden. Nach einem Jahr. O_o

vodafonelogin

Nach dem ersten Schreck habe ich dann ein wenig in dem Bereich herumgeklickt, die ganzen Menupunkte zu Vertragsdaten und Rechnung etc sind alle nicht mehr funktional, also ist wenigstens dort irgendwas durch die Kündigung verschwunden.

Tja, Diskspace Is Cheap und warum Löschen, wenn man es doch vielleicht noch irgendwann mal gebrauchen kann? Und auch die Aussage, dass keine Passworte zugänglich gemacht wurden, beruhigt mich nicht wirklich, denn ich frage mich: Wenn die User/Passwortdaten unabhängig von den geklauten Stammdaten aufgehoben wurden, ist die Erläuterung mit den Handels/Steueraufbewahrungspflichten Käse. Wenn sie zusammen mit den Stammdaten aufbewahrt wurden, dann sind sie auch geklaut worden. Ich interpretiere die Aussage erstmal so, dass die Passworte nicht im Klartext vorlagen.
Selbst wenn Stammdaten vielleicht aus Handels/Steuergründen aufgehoben werden müssen -- welchen Grund gibt es, User/PW Daten von Exkunden auch noch ein Jahr später nicht gelöscht zu haben?

:-(

Siehe auch:
Vodafone Datendiebstahl: Bekennerschreiben taucht auf, verrät Vorgehensweise und Umfang der Daten