Die lettische Niederlassung des Telekommunikationsanbieters CSCTelecom ist zur Quelle eines der größten SMS-Datenlecks in der Geschichte des Baltikums geworden. Nach Angaben der Forschungsgruppe Cybernews wurde aufgrund einer Sicherheitslücke eine ClickHouse-Datenbank öffentlich zugänglich, die über 125 Millionen SMS-Nachrichten enthielt, die zwischen Oktober 2022 und September 2026 versendet wurden. Das Leck betraf Kunden in Lettland, Litauen und Estland und umfasste Nachrichten von Großbanken, dem Notruf 112, Versicherungsgesellschaften, medizinischen Einrichtungen und Dutzenden von Einzelhandelsketten.
Was genau öffentlich zugänglich wurde
Laut einem Bericht von LSM.lv enthielt die kompromittierte Datenbank nicht nur die Telefonnummern der Empfänger und die Namen der Absenderunternehmen, sondern auch den vollständigen Inhalt jeder SMS: Authentifizierungscodes, temporäre Passwörter, medizinische Testergebnisse, Buchungsinformationen mit Namen und Adressen, Lieferupdates, Reisedaten und Benachrichtigungen über Banktransaktionen. Neben dem Text der Nachrichten selbst waren auch Metadaten verfügbar – Zeitstempel, Versandkosten und Routing-Informationen im Mobilfunknetz. Ein kritischer Umstand war, dass die Datenbank in Echtzeit aktualisiert wurde: Ein Angreifer mit Zugriff konnte Authentifizierungscodes und Links zum Zurücksetzen von Passwörtern abfangen, noch bevor der Empfänger die Nachricht öffnete.
Ausmaß: Drei Millionen SMS in einem einzigen Monat
Cybernews-Forscher entdeckten die verwundbare ClickHouse-Datenbank Ende September 2026. Ihren Berechnungen zufolge versendete der CSCTelecom-Dienst allein im September über drei Millionen SMS-Nachrichten. Zu den Absendern gehörten die lettischen Banken Swedbank und SEB, die Versicherungsgesellschaften ERGO, Compensa und Artea, der nationale Notruf 112, die Einzelhändler Porsche in Lettland und Litauen, die Lieferdienste CityBee und Barbora (Lettland), EuroCash (Litauen), DEPO (Litauen und Estland), die Netzwerke Akropolis (Lettland und Litauen), IKI und PerlasGo (Litauen), Autoplius (Lettland und Litauen), die medizinischen Unternehmen Sypsenos akademija und Denticija (Litauen) sowie die nationale Fluggesellschaft AirBaltic, die in allen drei baltischen Staaten tätig war.
Reaktion der Banken: Von „Marketing für Pensionsfonds“ bis zur Aussetzung der Zusammenarbeit
Anete Igaunija, Leiterin der Unternehmenskommunikation der lettischen SEB-Niederlassung, erklärte, dass die Bank die Dienste von CSCTelecom in einem begrenzten Umfang und ausschließlich für den Versand von Marketinginformationen im Bereich der Pensionsfonds genutzt habe. Ihren Angaben zufolge nutzt SEB andere Kommunikationskanäle zur Übermittlung vertraulicher Kundeninformationen, und der Vorfall selbst „beeinträchtigt weder die Sicherheit der SEB-Systeme noch stellt er eine Bedrohung für vertrauliche Kundeninformationen oder deren Gelder dar“. Gleichzeitig wies Igaunija darauf hin, dass CSCTelecom die SEB nicht direkt über den Vorfall informiert habe.
Die Position der Swedbank Latvija fiel deutlich strenger aus. Banksprecherin Kristīne Čекstere teilte der Nachrichtenagentur LETA mit, dass die Swedbank nach Erhalt der Informationen über den Vorfall sofort eine Untersuchung eingeleitet, alle gesetzlich vorgeschriebenen Maßnahmen ergriffen und die Nutzung der CSCTelecom-Dienste ausgesetzt habe. Die Bank forderte alle erforderlichen Informationen vom Anbieter an, um das Ausmaß des Vorfalls und dessen mögliche Auswirkungen auf die Kunden zu bewerten. Die Swedbank rief die Kunden zudem dazu auf, wachsam zu bleiben und keinen verdächtigen SMS, Anrufen oder E-Mails zu vertrauen, in denen nach persönlichen Daten, Passwörtern oder Authentifizierungscodes gefragt wird.
AirBaltic und andere Unternehmen: Bewertung läuft
Vertreter von AirBaltic bestätigten gegenüber LETA, dass der Fluggesellschaft die Berichte über einen möglichen Datensicherheitsvorfall in den Systemen eines externen Dienstleisters bekannt sind. Das Unternehmen nehme die Situation nach eigener Aussage „sehr ernst“, da Datensicherheit und Kundenvertraulichkeit zu seinen obersten Prioritäten gehören. AirBaltic hat eine interne Prüfung eingeleitet und arbeitet eng mit den beteiligten Dienstleistern und Aufsichtsbehörden zusammen. Ähnliche Verfahren müssen logischerweise auch von den übrigen betroffenen Organisationen – von Versicherungen bis hin zu medizinischen Einrichtungen – eingeleitet werden.
Was dies für die Nutzer bedeutet
Das Leck von 125 Millionen SMS über einen Zeitraum von fast vier Jahren deckt im Wesentlichen den digitalen Alltag von Millionen Menschen in den drei baltischen Staaten ab. Da die Datenbank Authentifizierungscodes und temporäre Passwörter enthielt, birgt deren Vorhandensein im öffentlichen Raum – selbst wenn sie bereits abgelaufen sind – ein Risiko für Social Engineering: Ein Angreifer, der weiß, dass ein bestimmter Nutzer Codes von einer bestimmten Bank oder einem bestimmten Dienst erhalten hat, kann diese Information für überzeugendere Phishing-Angriffe nutzen. Cybersicherheitsexperten empfehlen Nutzern von Bank- und Staatsdiensten in solchen Fällen, die Zwei-Faktor-Authentifizierung über andere Kanäle als SMS zu aktivieren und alle eingehenden Nachrichten, die nach persönlichen Daten fragen, sorgfältig zu prüfen. Die Aufsichtsbehörden in Lettland, Litauen und Estland werden voraussichtlich eigene Prüfungen gemäß der DSGVO und den nationalen Datenschutzgesetzen durchführen müssen.
