Zweifacher Datenmissbrauch und Vertragsabschluss

An dieser Stelle möchte ich meine Erfahrungen mit o2 schildern, um andere Kunden auf mögliche Risiken hinzuweisen. Gleichzeitig hoffe ich, dass jemand noch einen Tipp für mich hat, wie ich mich künftig besser schützen kann.

Der erste Vorfall im Juni 2026

Im Juni 2026 kam es zum Missbrauch meiner persönlichen Daten. Unbekannte schlossen in meinem Namen einen Mobilfunkvertrag inklusive eines Samsung Galaxy Ultra ab.

Ich entdeckte die Auftragsbestätigung sehr schnell in meinem E-Mail-Postfach und konnte den Auftrag telefonisch stornieren.

Dabei sind mir zwei Dinge aufgefallen:

• Meiner Erinnerung nach habe ich nie selbst einen Online-Account bei o2 angelegt.

• Laut einer Mitarbeiterin wurde die in meinem Kundenkonto hinterlegte Telefonnummer bereits einige Tage zuvor geändert.

Daraufhin verschaffte ich mir Zugang zu meinem Online-Kundenkonto, änderte das Passwort und korrigierte die hinterlegte Telefonnummer.

Weitere Auskünfte darüber, wie die Legitimation erfolgte, welche Authentifizierungsverfahren eingesetzt wurden oder wie die Telefonnummer geändert werden konnte, erhielt ich von o2 nicht.

Ich erstattete Strafanzeige.

Der zweite Vorfall im Oktober 2026

Jetzt, im Oktober, wurden erneut zwei Mobilfunkverträge mit insgesamt zwei iPhone 18 Pro in meinem Namen abgeschlossen.

Diesmal erfolgten die Bestellungen an einem Sonntagabend. Ich konnte die Aufträge daher nicht mehr rechtzeitig stornieren, bevor die Geräte in den Versand gingen.

Um eine Zustellung der Hardware zu verhindern, musste ich die Annahme über DHL digital verweigern. Ein Anruf bei o2 reichte diesmal nicht mehr aus.

Anschließend habe ich das Formular zum Datenmissbrauch ausgefüllt und an o2 übermittelt. Zusätzlich habe ich eine Auskunft nach Art. 15 DSGVO beantragt und das LKA über den erneuten Vorfall informiert.

Die Reaktion von o2

Heute erhielt ich eine erste Rückmeldung auf meine Meldung zum Datenmissbrauch.

Und hier enttäuscht mich o2 auf ganzer Linie!

Statt einer nachvollziehbaren Erklärung erhielt ich lediglich eine standardisierte Antwort. Keinerlei Informationen darüber, wie sich die unbekannte Person legitimieren konnte, wie das Kundenkonto ursprünglich erstellt wurde oder auf welchem Weg die Telefonnummer geändert werden konnte.

Solange ich nicht nachvollziehen kann, wie diese Vertragsabschlüsse möglich waren, kann ich auch keine gezielten weiteren Schutzmaßnahmen ergreifen.

Immerhin bot mir eine Mitarbeiterin diesmal zwei zusätzliche Maßnahmen an:

• Änderung der persönlichen Kundenkennzahl

• Hinterlegung einer Sperre für Online-Vertragsabschlüsse im System

Ich frage mich allerdings, warum mir diese Möglichkeiten nicht bereits nach dem ersten Vorfall angeboten wurden und warum die PKK ohne Brief o.ä direkt am Telefon angepasst wurde. 

Ein weiterer Punkt, der mich irritiert:

Ich bin auch Tage nach dem Vorfall noch immer in meiner Mein-o2-App angemeldet. Meine bestehende Sitzung wurde offenbar nicht ungültig gesetzt.

Ich würde zumindest erwarten, dass nach einem gemeldeten Identitätsmissbrauch sämtliche aktiven Sitzungen und Authentifizierungstoken eines Kundenkontos serverseitig ungültig gesetzt werden, insbesondere wenn die betrügerischen Vertragsabschlüsse online erfolgt sind.

Zur Sicherheit meiner eigenen Konten und Geräte

Die bei o2 hinterlegte Kontaktadresse ist eine Apple-E-Mail-Adresse.

• Mein Apple-Account ist durch Zwei-Faktor-Authentifizierung geschützt.

• In meinem Apple-Account sind keine unbekannten Geräte hinterlegt.

• Ich verwende für jeden Account ein individuelles, starkes Passwort. Das gilt auch für o2.

• Sämtliche Apple-Geräte befinden sich in meinem Besitz und sind auf dem aktuellen Softwarestand, Backups und die iCloud sind verschlüsselt.

• Eine Kompromittierung meiner Geräte halte ich daher für sehr unwahrscheinlich, auch wenn ich sie nicht vollständig ausschließen kann.

Meine Fragen an euch:

1. Übersehe ich möglicherweise einen Angriffsweg, über den die Täter trotz dieser Sicherheitsmaßnahmen wiederholt Verträge in meinem Namen abschließen können?

2. Wie kann ich o2 zeitnah dazu bewegen, konkret offenzulegen, über welche Legitimations- und Authentifizierungsverfahren die Verträge abgeschlossen wurden?

3. Hat jemand ähnliche Erfahrungen mit o2 gemacht und konnte die Ursache herausfinden?

Besonders beunruhigend finde ich, dass es innerhalb weniger Monate gleich zweimal zu einem solchen Vorfall gekommen ist, obwohl ich nach dem ersten Vorfall bereits meine Zugangsdaten geändert hatte.

Ich möchte vor allem verstehen, wie das wiederholt passieren konnte und wie ich einen dritten Vorfall verhindern kann.

Viele Grüße