--- title: "125 Millionen SMS von Banken, 112 und Handel: Authentifizierungscodes und persönliche Daten aus lettischer CSCTelecom-Datenbank abgeflossen" description: "Über 125 Mio. SMS von Swedbank, SEB, 112 und dem Handel sind 2022–2026 aus einer öffentlichen Datenbank des lettischen Anbieters CSCTelecom abgeflossen. Das Leck betrifft Lettland, Litauen und Estland; Banken haben die Zusammenarbeit ausgesetzt." date: 2026-11-12T10:37:53.626Z lang: de url: https://xab.info/de/posts/datenleck-125-millionen-sms-csctelecom-lettland tags: [data-breach, sms-leak, csctelecom, latvia, swedbank, seb, cybersecurity, baltics, airbaltic] author: "Alexander Buran" publisher: "XAB.info" --- # 125 Millionen SMS von Banken, 112 und Handel: Authentifizierungscodes und persönliche Daten aus lettischer CSCTelecom-Datenbank abgeflossen ## Kernpunkte - Über 125 Millionen SMS-Nachrichten aus dem Zeitraum von Oktober 2022 bis September 2026 wurden aus einer ClickHouse-Datenbank des lettischen Anbieters CSCTelecom öffentlich zugänglich - Das Leck betraf Kunden von Swedbank, SEB, 112, Versicherungen, dem Einzelhandel und AirBaltic in Lettland, Litauen und Estland - Die Datenbank wurde in Echtzeit aktualisiert, wodurch Authentifizierungscodes vor dem Erreichen des Empfängers abgefangen werden konnten - Die Swedbank setzte die Dienste von CSCTelecom aus und leitete eine Untersuchung ein; SEB erklärte, den Anbieter nur für das Pensionsfonds-Marketing genutzt zu haben Die lettische Niederlassung des Telekommunikationsanbieters CSCTelecom ist zur Quelle eines der größten SMS-Datenlecks in der Geschichte des Baltikums geworden. Nach Angaben der Forschungsgruppe Cybernews wurde aufgrund einer Sicherheitslücke eine ClickHouse-Datenbank öffentlich zugänglich, die über 125 Millionen SMS-Nachrichten enthielt, die zwischen Oktober 2022 und September 2026 versendet wurden. Das Leck betraf Kunden in Lettland, Litauen und Estland und umfasste Nachrichten von Großbanken, dem Notruf 112, Versicherungsgesellschaften, medizinischen Einrichtungen und Dutzenden von Einzelhandelsketten. ### Was genau öffentlich zugänglich wurde Laut einem Bericht von LSM.lv enthielt die kompromittierte Datenbank nicht nur die Telefonnummern der Empfänger und die Namen der Absenderunternehmen, sondern auch den vollständigen Inhalt jeder SMS: Authentifizierungscodes, temporäre Passwörter, medizinische Testergebnisse, Buchungsinformationen mit Namen und Adressen, Lieferupdates, Reisedaten und Benachrichtigungen über Banktransaktionen. Neben dem Text der Nachrichten selbst waren auch Metadaten verfügbar – Zeitstempel, Versandkosten und Routing-Informationen im Mobilfunknetz. Ein kritischer Umstand war, dass die Datenbank in Echtzeit aktualisiert wurde: Ein Angreifer mit Zugriff konnte Authentifizierungscodes und Links zum Zurücksetzen von Passwörtern abfangen, noch bevor der Empfänger die Nachricht öffnete. ### Ausmaß: Drei Millionen SMS in einem einzigen Monat Cybernews-Forscher entdeckten die verwundbare ClickHouse-Datenbank Ende September 2026. Ihren Berechnungen zufolge versendete der CSCTelecom-Dienst allein im September über drei Millionen SMS-Nachrichten. Zu den Absendern gehörten die lettischen Banken Swedbank und SEB, die Versicherungsgesellschaften ERGO, Compensa und Artea, der nationale Notruf 112, die Einzelhändler Porsche in Lettland und Litauen, die Lieferdienste CityBee und Barbora (Lettland), EuroCash (Litauen), DEPO (Litauen und Estland), die Netzwerke Akropolis (Lettland und Litauen), IKI und PerlasGo (Litauen), Autoplius (Lettland und Litauen), die medizinischen Unternehmen Sypsenos akademija und Denticija (Litauen) sowie die nationale Fluggesellschaft AirBaltic, die in allen drei baltischen Staaten tätig war. ### Reaktion der Banken: Von „Marketing für Pensionsfonds“ bis zur Aussetzung der Zusammenarbeit Anete Igaunija, Leiterin der Unternehmenskommunikation der lettischen SEB-Niederlassung, erklärte, dass die Bank die Dienste von CSCTelecom in einem begrenzten Umfang und ausschließlich für den Versand von Marketinginformationen im Bereich der Pensionsfonds genutzt habe. Ihren Angaben zufolge nutzt SEB andere Kommunikationskanäle zur Übermittlung vertraulicher Kundeninformationen, und der Vorfall selbst „beeinträchtigt weder die Sicherheit der SEB-Systeme noch stellt er eine Bedrohung für vertrauliche Kundeninformationen oder deren Gelder dar“. Gleichzeitig wies Igaunija darauf hin, dass CSCTelecom die SEB nicht direkt über den Vorfall informiert habe. Die Position der Swedbank Latvija fiel deutlich strenger aus. Banksprecherin Kristīne Čекstere teilte der Nachrichtenagentur LETA mit, dass die Swedbank nach Erhalt der Informationen über den Vorfall sofort eine Untersuchung eingeleitet, alle gesetzlich vorgeschriebenen Maßnahmen ergriffen und die Nutzung der CSCTelecom-Dienste ausgesetzt habe. Die Bank forderte alle erforderlichen Informationen vom Anbieter an, um das Ausmaß des Vorfalls und dessen mögliche Auswirkungen auf die Kunden zu bewerten. Die Swedbank rief die Kunden zudem dazu auf, wachsam zu bleiben und keinen verdächtigen SMS, Anrufen oder E-Mails zu vertrauen, in denen nach persönlichen Daten, Passwörtern oder Authentifizierungscodes gefragt wird. ### AirBaltic und andere Unternehmen: Bewertung läuft Vertreter von AirBaltic bestätigten gegenüber LETA, dass der Fluggesellschaft die Berichte über einen möglichen Datensicherheitsvorfall in den Systemen eines externen Dienstleisters bekannt sind. Das Unternehmen nehme die Situation nach eigener Aussage „sehr ernst“, da Datensicherheit und Kundenvertraulichkeit zu seinen obersten Prioritäten gehören. AirBaltic hat eine interne Prüfung eingeleitet und arbeitet eng mit den beteiligten Dienstleistern und Aufsichtsbehörden zusammen. Ähnliche Verfahren müssen logischerweise auch von den übrigen betroffenen Organisationen – von Versicherungen bis hin zu medizinischen Einrichtungen – eingeleitet werden. ### Was dies für die Nutzer bedeutet Das Leck von 125 Millionen SMS über einen Zeitraum von fast vier Jahren deckt im Wesentlichen den digitalen Alltag von Millionen Menschen in den drei baltischen Staaten ab. Da die Datenbank Authentifizierungscodes und temporäre Passwörter enthielt, birgt deren Vorhandensein im öffentlichen Raum – selbst wenn sie bereits abgelaufen sind – ein Risiko für Social Engineering: Ein Angreifer, der weiß, dass ein bestimmter Nutzer Codes von einer bestimmten Bank oder einem bestimmten Dienst erhalten hat, kann diese Information für überzeugendere Phishing-Angriffe nutzen. Cybersicherheitsexperten empfehlen Nutzern von Bank- und Staatsdiensten in solchen Fällen, die Zwei-Faktor-Authentifizierung über andere Kanäle als SMS zu aktivieren und alle eingehenden Nachrichten, die nach persönlichen Daten fragen, sorgfältig zu prüfen. Die Aufsichtsbehörden in Lettland, Litauen und Estland werden voraussichtlich eigene Prüfungen gemäß der DSGVO und den nationalen Datenschutzgesetzen durchführen müssen. ## Faktencheck und Quellen - [Из базы данных CSCTelecom в Латвии могли утечь 125 млн SMS-сообщений клиентам](https://rus.err.ee/1610193136/iz-bazy-dannyh-csctelecom-v-latvii-mogli-utech-125-mln-sms-soobwenij-klientam) - Primärquelle: Vollständige Details zum Leck, Liste der betroffenen Unternehmen, Kommentare von SEB, Swedbank, AirBaltic. Die Daten stimmen mit dem Kern des Artikels überein. - [Из базы данных CSCTelecom в Латвии могли утечь 125 миллионов SMS клиентам, в том числе от банков и ...](https://rus.lsm.lv/statja/novosti/obschestvo/11.11.2026-iz-bazy-dannyx-csctelecom-v-latvii-mogli-utec-125-millionov-sms-klientam-v-tom-cisle-ot-bankov-i-torgovcev-izdanie.a671536/) - Das unabhängige lettische Medium LSM.lv bestätigt die Tatsache des Lecks, den Zeitraum (Oktober 2022 – September 2026), die Liste der Absender und den Echtzeit-Mechanismus. Die Daten stimmen mit Quelle 1 überein. ## Häufige Fragen ### Welches Datenvolumen ist aus der CSCTelecom-Datenbank abgeflossen? Laut Cybernews wurden über 125 Millionen SMS-Nachrichten öffentlich zugänglich, die zwischen Oktober 2022 und September 2026 versendet wurden. Allein im September 2026 verschickte der Dienst über drei Millionen Nachrichten. ### Welche Unternehmen und Dienste waren von dem Leck betroffen? Zu den Absendern gehörten die Banken Swedbank und SEB, die Versicherungen ERGO, Compensa, Artea, der Notdienst 112, Porsche, CityBee, Barbora, EuroCash, DEPO, Akropolis, IKI, PerlasGo, Autoplius, AirBaltic sowie die litauischen Medizinunternehmen Sypsenos akademija und Denticija. ### Was genau war in den abgeflossenen Daten enthalten? Die Datenbank enthielt Empfängertelefonnummern, Absendernamen, den vollständigen Inhalt von SMS (Authentifizierungscodes, temporäre Passwörter, medizinische Testergebnisse, Buchungsdaten, Banktransaktionsbenachrichtigungen) sowie Metadaten: Zeitstempel, Kosten und Routing-Informationen. ### Wie haben Swedbank und SEB reagiert? Die Swedbank setzte die Nutzung der CSCTelecom-Dienste aus, leitete Ermittlungen ein und rief Kunden zur Wachsamkeit auf. SEB gab an, den Anbieter nur für Marketing-Mailings zu Pensionsfonds genutzt zu haben, und betonte, dass der Vorfall weder die Kundendatensicherheit noch Gelder beeinträchtigt. ### Hat das Leck auch andere Länder als Lettland betroffen? Ja. Obwohl CSCTelecom hauptsächlich in Lettland tätig ist, betraf das Leck auch Unternehmen und Privatpersonen in Litauen und Estland, darunter Kunden von DEPO, IKI, PerlasGo, EuroCash, Porsche und AirBaltic.