Eine im Mai 2025 aufgedeckte Schwachstelle in der Netzinfrastruktur des britischen Mobilfunkanbieters ermöglichte Fremden den Zugriff auf Standortdaten und persönliche Identifikationsmerkmale. Die Lücke bestand seit Februar 2023.
Standortdaten ungeschützt preisgegeben
Millionen Mobilfunkkunden verlassen sich täglich auf die Sicherheit ihres Geräts, doch oft sind sensible Daten wie der Standort oder Identifikationsmerkmale ohne Schutz. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Maßnahmen, mit denen Sie Ihr Android-Smartphone sofort gegen Hacker und Datenmissbrauch absichern. 5 Schutzmaßnahmen jetzt entdecken
Cybersicherheitsforscher Daniel Williams entdeckte einen schwerwiegenden Fehler in der Implementierung von VoLTE (Sprache über LTE) und Wi-Fi Calling. Bei aktiven Telefonaten wurden sogenannte SIP-Header mit übermäßig detaillierten Informationen versendet. Die Folge: Angreifer konnten die International Mobile Subscriber Identity (IMSI), die International Mobile Equipment Identity (IMEI) sowie genaue Zellstandortdaten abfangen.
Besonders brisant: In urbanen Gebieten mit hoher Funkmastdichte ließ sich der Standort betroffener Kunden auf 100 Quadratmeter genau bestimmen. Experten sprachen von einem „verbose signaling“-Fehler – einer übermäßig auskunftsfreudigen Signalisierung. O2, das unter dem Dach von Virgin Media O2 rund 23 Millionen Mobilfunkkunden betreut, schloss die Sicherheitslücke Mitte Mai 2025. Die britische Datenschutzbehörde ICO und die Regulierungsbehörde Ofcom wurden eingeschaltet.
Ein wiederkehrendes Problem
Der Vorfall reiht sich in eine Serie von Sicherheitspannen ein. Bereits im Januar 2012 führte ein Routine-Update dazu, dass O2-Kundennummern an jede besuchte Website weitergegeben wurden – zwei Wochen lang. Ein „Header-Enrichment“-Fehler umging damals sämtliche Datenschutzprotokolle.
Im April 2024 kamen neue Probleme ans Licht: IMEI-Nummern wurden in den Kommunikationsdaten nicht zuverlässig erfasst. Die fehlerhaften Aufzeichnungen reichten bis Mitte 2022 zurück. Für die Strafverfolgung bedeutet das: Digitale Beweise verloren an Aussagekraft, weil sich Aktivitäten nicht mehr eindeutig einem bestimmten Gerät zuordnen ließen.
Priority-Programm im Fadenkreuz
Das O2 Priority-Programm, mit über drei Millionen Nutzern eines der größten Treueprogramme Europas, gerät durch diese Schwachstellen besonders ins Visier von Angreifern. Die Plattform kombiniert Verhaltensdaten, Standortinformationen und demografische Merkmale, um personalisierte Angebote zu erstellen. Sind erst einmal die zugrundeliegenden Netzidentifikatoren wie IMSI oder Standortdaten kompromittiert, steht die gesamte Sicherheitsarchitektur der Kunden-App infrage.
Veraltete Systeme und fehlende Sicherheits-Updates sind wie eine offene Haustür für Cyberkriminelle, die es auf Ihre persönlichen Daten abgesehen haben. Erfahren Sie in diesem kostenlosen PDF-Ratgeber, wie Sie Ihr Android-Gerät durch regelmäßige Updates und die richtigen Einstellungen rund um die Uhr schützen. Kostenlosen Sicherheits-Report herunterladen
App-Sicherheit: Jede dritte Anwendung verwundbar
Die Analyse von 2NS Cybersecurity aus Februar 2026 zeigt ein düsteres Gesamtbild: Bei fast 30 Prozent aller getesteten Anwendungen fanden die Forscher Schwachstellen durch Broken Access Control – fehlerhafte Zugriffskontrollen. Diese Kategorie hat sich zum häufigsten Sicherheitsrisiko entwickelt.
Für Treueprogramme wie O2 Priority bedeutet das eine erhöhte Gefahr durch Credential-Stuffing-Angriffe. Dabei versuchen Kriminelle, gestohlene Zugangsdaten von Drittplattformen auf Mobilfunkkonten zu verwenden. Gelingt der Einbruch, haben Angreifer Zugriff auf Namen, Geburtsdaten und E-Mail-Adressen.
Der aktuelle OWASP Top 10-Bericht für 2025 bestätigt den Trend: Security Misconfiguration – Sicherheitsfehlkonfiguration – kletterte auf Platz zwei der häufigsten Anwendungsrisiken. Genau diese Kategorie beschreibt das Kernproblem bei O2: falsch konfigurierte Signalisierungs-Header, die sensible Metadaten preisgaben.
Kostenexplosion bei Cyberangriffen
Der globale Durchschnittsschaden eines Datenlecks liegt laut Telefónica Tech vom November 2025 bei über vier Millionen Euro. Die Zahl der Cyberangriffe stieg im Vergleich zum Vorjahr um 50 Prozent. Allein im ersten Quartal 2025 verzeichneten Unternehmen durchschnittlich fast 2.000 Angriffe pro Woche.
Virgin Media O2 reagierte mit einer gebündelten Sicherheitsstrategie: Echtzeit-Überwachung kombiniert mit automatisierten Abwehrsystemen. Hunderttausende Endpoint Detection and Response (EDR) -Agenten wurden im Netzwerk installiert. Doch der jüngste Cyber Security Breaches Survey der britischen Regierung vom April 2026 zeigt: 38 Prozent der Unternehmen nennen Phishing weiterhin als häufigste Bedrohung.
Ausblick: Null Vertrauen als neues Prinzip
Die Branche setzt zunehmend auf proaktive Sicherheitstests – Pentesting und Red-Team-Übungen sollen Schwachstellen aufdecken, bevor Angreifer sie ausnutzen. Experten sehen die Zukunft des Kundendatenschutzes in der Telekommunikation in der Einführung von Zero Trust Network Access (ZTNA) und verbesserter Multi-Faktor-Authentifizierung (MFA).
Bis Ende 2026, so die Erwartung, werden KI-gestützte Sicherheitstools unverzichtbar sein, um die Flut an Sicherheitswarnungen zu bewältigen. Doch die Lehre aus den jüngsten Vorfällen bleibt ernüchternd: Die Wurzel der Datenlecks liegt meist in grundlegenden Konfigurationsfehlern und der komplexen Altlast integrierter Netzwerktechnologien. Für die Millionen Nutzer von O2 Priority und des gesamten O2-Netzwerks bedeutet das: Die Sicherheitslücke von 2025 wird die Entwicklung sichererer Kommunikationsstandards noch lange prägen.
