Angreifer gaben sich als Support-Techniker aus. Mehr als 365.000 Kundendaten wurden entwendet. Der Fall zeigt, warum Datenschutz, IT-Sicherheit und sensibilisierte Mitarbeiter zusammengehören.
Bei einem Cyberangriff denken viele zunächst an hochkomplexe Schadsoftware, unbekannte Sicherheitslücken und Hacker, die sich mit ausgefeilten technischen Methoden Zugang zu Unternehmensnetzwerken verschaffen.
Manchmal genügt jedoch ein überzeugendes Telefonat.
Genau das geschah beim italienischen Telekommunikationsunternehmen Wind Tre.
Angreifer gaben sich gegenüber Mitarbeitern zweier Verkaufsstellen als Support-Techniker aus. Auf diesem Weg gelang es ihnen, Zugriff auf Unternehmenssysteme zu erhalten und anschließend große Mengen personenbezogener Kundendaten abzuziehen. Die italienische Datenschutzaufsicht verhängte gegen das Unternehmen ein Bußgeld von 1.715.600 Euro.
Mehr als 365.000 Kunden betroffen
Nach Angaben der Aufsichtsbehörde waren personenbezogene Daten von mehr als 365.000 Kunden betroffen. Bei 41.359 Personen befanden sich darunter zusätzlich Informationen zu verwendeten Zahlungsmitteln – beispielsweise IBAN-Daten oder teilweise maskierte Kreditkarteninformationen und deren Ablaufdatum. Die Behörde stellte erhebliche Defizite bei der Absicherung der Unternehmenssysteme fest.
Das Interessante an diesem Fall ist jedoch nicht allein die Zahl der betroffenen Datensätze. Entscheidend ist der Weg, auf dem die Täter hineingelangten.
Der Mensch als Teil des Sicherheitskonzepts
Die Angreifer nutzten sogenanntes Social Engineering.
Dabei wird nicht zuerst eine Maschine angegriffen, sondern ein Mensch beeinflusst. Der Täter versucht beispielsweise Vertrauen aufzubauen, Zeitdruck zu erzeugen oder sich als vertrauenswürdige Person auszugeben.
Typische Rollen sind:
„Ich bin vom IT-Support.“
„Wir müssen dringend ein Update installieren.“
„Ihr Zugang läuft gleich ab.“
„Ich benötige kurz Ihre Freigabe.“
Technische Schutzmaßnahmen bleiben unverzichtbar. Sie können ihre Wirkung jedoch verlieren, wenn ein Angreifer einen Mitarbeiter dazu bewegen kann, ihm selbst die Tür zu öffnen. Deshalb gehören technische und organisatorische Maßnahmen immer zusammen.
Berechtigungen sind genauso wichtig wie Passwörter
Der Fall macht noch einen zweiten Punkt deutlich: Nicht jeder erfolgreiche Zugang sollte automatisch den Zugriff auf große Datenbestände ermöglichen.
Unternehmen sollten deshalb regelmäßig hinterfragen:
Welche Mitarbeiter können auf welche Systeme zugreifen?
Benötigen sie diesen Zugriff tatsächlich für ihre Aufgabe?
Welche Datenmengen können über einen einzelnen Zugang abgerufen werden?
Sind ungewöhnlich große oder automatisierte Abrufe technisch erkennbar?
Und gibt es zusätzliche Schutzmechanismen für besonders weitreichende Zugänge?
Das Prinzip dahinter ist einfach: Ein kompromittierter Zugang sollte möglichst wenig Schaden verursachen können.
Schulungen müssen in den Arbeitsalltag passen
Ein jährliches Schulungsvideo allein verhindert keinen Social-Engineering-Angriff. Mitarbeiter benötigen klare und leicht verständliche Regeln für Situationen, die tatsächlich auftreten können.
Beispielsweise:
Darf der IT-Support telefonisch Zugangsdaten verlangen?
Wie kann ich prüfen, ob der Anrufer tatsächlich aus unserer IT kommt?
Darf ich eine Fernwartung spontan freigeben?
Was mache ich, wenn jemand außergewöhnlichen Zeitdruck erzeugt?
Und an wen wende ich mich, wenn mir ein Vorgang merkwürdig vorkommt?
Je einfacher die Antwortwege sind, desto eher werden sie im entscheidenden Moment genutzt.
Was Unternehmen aus dem Fall mitnehmen sollten
Cybersicherheit ist längst kein reines IT-Thema mehr.
Wer personenbezogene Daten verarbeitet, muss angemessene technische und organisatorische Schutzmaßnahmen treffen. Dazu gehören sichere Zugänge und Berechtigungen ebenso wie klare Prozesse und entsprechend sensibilisierte Beschäftigte. Der aktuelle Fall zeigt: Ein Unternehmen kann viel Geld in technische Sicherheit investieren – und trotzdem verwundbar bleiben, wenn jemand am Telefon die richtigen Fragen stellt. Deshalb lohnt sich ein gemeinsamer Blick auf Datenschutz, IT-Sicherheit, Berechtigungen und Mitarbeiter-Sensibilisierung. Denn häufig entscheidet nicht die spektakulärste Sicherheitslösung über den Erfolg eines Angriffs, sondern die Frage:
Weiß Ihr Mitarbeiter im richtigen Moment, was er tun darf – und was nicht?
Quelle: Italienische Datenschutzaufsicht, Newsletter vom 16. Juli 2026 zur Sanktion gegen Wind Tre.