CASE FILE #03: Odido: 6,39 Millionen digitale Identitäten

Warum personenbezogene Daten Schutz auf Datenebene brauchen

Name, Geburtsdatum, Telefonnummer, Bankverbindung und Ausweisdaten: Werden solche Informationen kombiniert, entsteht ein detailliertes digitales Identitätsprofil.

Beim niederländischen Telekommunikationsanbieter Odido waren 2026 rund 6,39 Millionen Menschen von einem Cyberangriff betroffen.

Der Fall zeigt: Viele personenbezogene Merkmale können nach einem Datenleck nicht einfach ausgetauscht werden.

1. Was ist passiert?

Am Wochenende des 7. und 8. Februar 2026 stellte Odido verdächtige Aktivitäten in einem für die Kundenkommunikation verwendeten System fest.

Unbefugte hatten Zugriff auf personenbezogene Kundendaten erhalten. Odido stoppte den unautorisierten Zugriff und meldete den Vorfall der niederländischen Datenschutzbehörde.

Nach weitergehenden Untersuchungen bezifferte das Unternehmen die Zahl der Betroffenen auf rund 6,39 Millionen Personen.

2. Wie konnte es passieren?

Öffentlich bestätigt wurde der unberechtigte Zugriff auf ein System für die Kundenkommunikation.

Eine abschließend bestätigte technische Beschreibung des ursprünglichen Angriffswegs lag in den zunächst veröffentlichten Informationen jedoch nicht vor.

Auch hier gilt: Aus dem Datenabfluss selbst lässt sich nicht zuverlässig auf eine bestimmte Schwachstelle schließen.

3. Welche Daten waren betroffen?

Zu den potenziell betroffenen Informationen gehörten unter anderem Namen, Adressen, Telefonnummern, E-Mail-Adressen und Kundennummern.

Hinzu kamen je nach Person Geburtsdaten, Bankverbindungen beziehungsweise IBANs sowie Angaben aus Reisepässen oder Führerscheinen.

Nicht jede betroffene Person war von jeder Datenkategorie betroffen.

4. Welche Folgen und Risiken entstehen?

Besonders problematisch ist die Kombination verschiedener personenbezogener Merkmale.

Name, Geburtsdatum, Adresse, Telefonnummer und Bankinformationen können gemeinsam ein detailliertes Identitätsprofil ergeben.

Solche Daten können für personalisiertes Phishing, Social Engineering, Identitätsmissbrauch oder andere Betrugsversuche genutzt werden. Viele Merkmale lassen sich zudem nicht einfach ändern.

5. Welche klassischen Schutzmaßnahmen sind notwendig?

Große Kundendatenbanken benötigen starke Authentifizierung, Least Privilege, Schwachstellenmanagement, Monitoring und Incident Response.

Zusätzlich ist Datenminimierung entscheidend.

Unternehmen sollten regelmäßig prüfen, welche personenbezogenen Informationen tatsächlich benötigt werden, wie lange sie gespeichert werden und welche Benutzer oder Systeme darauf zugreifen müssen.

6. Warum reichen diese Maßnahmen allein nicht aus?

Auch ein berechtigter Account, eine Anwendung oder eine Datenbank kann kompromittiert werden.

Die entscheidende Frage lautet deshalb: Muss jeder Benutzer oder Prozess mit Systemzugriff automatisch sämtliche personenbezogenen Daten im Klartext erreichen können?

Gerade bei langfristig gültigen Identitätsmerkmalen sollte die Antwort differenziert ausfallen.

7. Wie hilft Data-Centric Security?

Data-Centric Security schützt besonders sensible personenbezogene Informationen direkt auf Datenebene.

Abhängig vom Anwendungsfall können Daten verschlüsselt, tokenisiert, pseudonymisiert oder maskiert werden.

Dadurch kann der Zugriff auf eine Anwendung vom Zugriff auf bestimmte Originalinformationen getrennt werden.

8. Wie hätte eperi sEcure die Daten schützen können?

eperi sEcure kann definierte sensible Datenfelder in unterstützten Anwendungen und Datenflüssen verschlüsseln oder tokenisieren.

Dazu können beispielsweise Namen, E-Mail-Adressen, IBANs oder Identifikationsmerkmale gehören.

Die kryptografischen Schlüssel können getrennt von der Zielanwendung und unter Kontrolle des Unternehmens bleiben.

9. Was ist die zentrale Lektion aus dem Fall?

Personenbezogene Informationen bleiben sensibel, unabhängig davon, ob sie innerhalb einer vermeintlich geschützten Anwendung liegen.

Je dauerhafter ein Identitätsmerkmal ist, desto wichtiger ist es, seinen Schutz nicht ausschließlich an einen Benutzeraccount oder eine Anwendung zu koppeln.

Die Lektion aus CASE FILE #03: Der Besitz einer Datenbank oder eines kompromittierten Accounts sollte nicht automatisch den Besitz der darin enthaltenen digitalen Identitäten bedeuten.

The eperi Lesson: Assume Breach. Protect the Data.