In diesem Kapitel geht es um ein Infrastrukturproblem, das von außen unscheinbar wirkt, in der Praxis jedoch weitreichende Folgen hatte. In dem Gebäude, in dem wir lebten, waren die Leitungen der drei Wohnungen nicht korrekt zugeordnet. Der einzige verfügbare Telekom-Port für das Obergeschoss war weiterhin auf die ehemalige Mieterin im Dachgeschoss registriert und wurde technisch nie abgemeldet. Dadurch gab es für unsere Wohnung keinen eigenen aktiven Anschluss – obwohl wir davon ausgehen mussten, einen zu besitzen. Trotz dieser falschen Zuordnung betrieb Vodafone über genau diesen Port weiterhin einen aktiven Hotspot aus der DG-Wohnung. Dieser Hotspot war laut Netfactory weder durch uns noch durch Vodafone selbst deaktivierbar und stellte damit eine mögliche Angriffsfläche dar. Gleichzeitig stand die Leitung im Keller offen, was der spätere Telekom-Techniker eindeutig bestätigte. Damit entstand eine ungewöhnliche, sicherheitskritische Konstellation: Ein fremdes Netzwerk lief weiterhin über die Gebäudestruktur, während wir selbst keinen funktionsfähigen Anschluss hatten und über Monate auf ein LTE-Provisorium angewiesen waren. Diese Ausgangslage bildet den Rahmen dieses Kapitels – und zeigt, wie grundlegende Infrastrukturfehler über Jahre hinweg bestehen können, ohne dass Nutzer oder Dienstleister sie sofort erkennen.

Technische Infrastrukturen von Internet-Providern gehören zu den Bereichen, die im Alltag kaum wahrgenommen werden. Ports, Leitungszuordnungen, automatische Hotspots und alte Kundenprofile laufen im Hintergrund und funktionieren jahrelang unverändert. Gerade deshalb entstehen Fehler oft dort, wo niemand hinschaut – und wo Nutzer keine Einflussmöglichkeit haben. In vielen Gebäuden sind Anschlüsse historisch gewachsen: Vormieter, alte Verträge, unvollständig abgemeldete Ports oder automatische Providerfunktionen werden über Jahre weitergeführt. Wird eine Zuordnung nicht korrekt aktualisiert oder ein Anschluss nicht vollständig getrennt, bleibt eine technische Verbindung bestehen, die niemand bewusst eingerichtet hat – aber trotzdem aktiv bleibt. Hinzu kommt, dass moderne Router und Provider-Systeme zusätzliche Netze erzeugen können, ohne dass Nutzer davon wissen: automatische Hotspots, Community-WLANs oder interne Wartungsnetzwerke. Diese Funktionen laufen eigenständig, werden zentral gesteuert und sind oft nicht vom Endkunden deaktivierbar. Solche Strukturen sind nicht zwingend böswillig, aber sie schaffen Risiken: - Ports bleiben aktiv, obwohl Verträge enden - Hotspots laufen weiter, obwohl sie niemand nutzt - technische Zuordnungen werden übernommen statt geprüft - Gebäudeverkabelungen entsprechen nicht dem realen Nutzungsstand - und kleine Fehler ziehen sich durch ganze Systeme Es sind genau diese unsichtbaren Schwachstellen, die im Hintergrund Angriffsflächen schaffen können – völlig unabhängig davon, wie vorsichtig oder sicher der Nutzer selbst arbeitet. Das Kapitel zeigt damit ein Problem, das viele Haushalte betrifft, aber selten erkannt wird: Fehler in der Grundinfrastruktur entstehen leise – und wirken dafür umso lauter.

Ein weiterer schwerer Fehler betraf unsere Mobilrufnummern. Diese Nummern waren aktiv, registriert und für verschiedene Sicherheits- und Verifizierungsverfahren im Einsatz. Genau deshalb dürfen sie nach geltenden Regeln nicht vor Ablauf einer sechsmonatigen Sperrfrist an neue Nutzer vergeben werden — insbesondere nicht während eines laufenden Sicherheitsvorfalls. Trotz mehrerer dokumentierter Hackerangriffe und mehrfacher Hinweise an Vodafone wurden die Nummern dennoch voreilig gelöscht und unmittelbar an Dritte weitergegeben. Eine Rückgabe wurde trotz eindeutiger Belege und offizieller Schreiben verweigert.

Dieser Vorgang hatte weitreichende Folgen: Accounts konnten nicht wiederhergestellt werden, Zwei-Faktor-Authentifizierungen gingen verloren, und zahlreiche digitale Dienste waren nicht mehr erreichbar. Die fehlerhafte Weitergabe der Rufnummern verstärkte die laufenden Angriffe und führte zu erheblichen Identitäts- und Sicherheitsproblemen. Bis heute ist dokumentiert: - Vodafone wurde frühzeitig mehrfach informiert - Die Bedrohungssituation war bekannt - Die Rufnummern waren nicht freigegeben - Die Weitergabe hätte nicht erfolgen dürfen - Die Folgen waren massiv und nachhaltig Und dennoch passierte nichts.

Diese Zustände sind in den E-Mails vom 04.06., 27.06. und 17.07.2024 vollständig dokumentiert. Die Beweislage war eindeutig — die Reaktion hingegen gleich null.

Im Juni 2025 verhängte der Bundesdatenschutzbeauftragte (BfDI) ein Bußgeld in Höhe von 45 Millionen Euro gegen Vodafone. Die Begründung: mangelnde Sicherheitsmaßnahmen, mangelhafte Auftragskontrolle, unzureichende Authentifizierungssysteme und strukturelle Datenschutzverstöße, die Kunden unmittelbar gefährden. Die Begründung der Datenschutzbeauftragten wirkte wie ein Spiegel dessen, was wir schon seit Monaten dokumentiert hatten: - fehlerhafte Kundenprofile, - veraltete Daten, - ungesicherte Strukturen, - fehlende Zugangskontrolle, - technische Systeme, die weiterlaufen, obwohl sie längst deaktiviert sein müssten, - und Support-Prozesse, die Sicherheitsbedenken ignorierten. Die offizielle Formulierung der BfDI lautete in Teilen auffällig ähnlich zu dem, was wir selbst mehrfach gemeldet hatten: „unzureichende technische und organisatorische Maßnahmen“ und „Verstöße gegen die Grundsätze der Datenminimierung und Datensicherheit“. Während Vodafone öffentlich versicherte, man nehme Datenschutz „sehr ernst“, lag bei uns zu exakt derselben Zeit eine technische Situation vor, die diesem Anspruch in keiner Weise entsprach: - ein aktiver, fremder Hotspot, - eine nicht existierende Leitung für unsere Wohnung, - veraltete Kundendaten, - Rufnummern, die während eines laufenden Hackerangriffs weitergegeben wurden, - Sicherheitshinweise, die ignoriert wurden. Das Bußgeld zeigte: Die Probleme existierten nicht nur bei uns. Sie waren systemisch.

Am selben Tag, an dem die hohe Strafe öffentlich bekanntgegeben wurde, reichten wir eine ausführliche, belegte und technisch präzise Beschwerde ein. Diese Beschwerde verwies ausdrücklich auf: - die fehlende Trennung des Hausanschlusses, - den unabschaltbaren Hotspot, - die falschen Vertragsdaten, - die kompromittierte E-Mail-Adresse, - und die vorzeitig weitergegebenen Mobilnummern

Wir legten Nachweise bei, Dokumente, technische Berichte, Polizeivorgänge und E-Mails. Die Sachverhalte deckten sich inhaltlich exakt mit den Gründen, aus denen Vodafone gerade zur Verantwortung gezogen worden war. Trotzdem: - keine Antwort, - keine Prüfung, - kein Eingreifen, -kein Hinweis auf weitere Schritte. Ein offizielles Verfahren wurde eingeleitet — aber nicht für die Betroffenen, die die Probleme dokumentiert hatten.

Während die Behörden öffentlich das Fehlverhalten von Vodafone sanktionierten, blieb unser eigener Fall trotz klarer Parallelen vollständig unbearbeitet. - Die Struktur blieb offen. - Die Fehler wurden nicht korrigiert. - Die Hotspot-Problematik blieb bestehen. - Die Rufnummern blieben verloren. - Die Behördenschreiben blieben unbeantwortet. Am Ende stand eine Entscheidung, die niemand treffen sollte: Wir konnten die Wohnung verlassen — aber nicht das Problem.

Der schwerste Aspekt dieser gesamten Situation liegt nicht nur darin, dass Vodafone grundlegende Sicherheitsmaßnahmen ignorierte. Das wirklich Gefährliche war, was diese offenen Strukturen ermöglicht haben. - Eine falsch geführte Leitung. - Ein fremder, unabschaltbarer Hotspot. - fehlerhafte Identitätsdaten. - Ungeprüft weitergegebene Rufnummern. - Passwörter, die trotz „Gehackt“-Hinweis nicht geändert wurden. - Eine nicht wechselnde IP-Adresse inmitten eines Sicherheitsvorfalls. - Und unsere Daten, die an Stellen auftauchten, an die sie nie hätten gelangen dürfen. Diese Summe aus Nachlässigkeiten erzeugte eine technische Umgebung, die für Angriffe wie geschaffen war. Und genau das geschah.

Dritte nutzten diese offenen Strukturen aus – und griffen auf Bereiche zu, die eigentlich sicher sein müssten:

- Meine Software wurde abgegriffen und ohne Zustimmung veröffentlicht. - Ein Microsoft-Tenant wurde angelegt und kontrolliert, ohne dass du ihn je selbst erstellt hast. - Apple-ID und Mobilnummern wurden kompromittiert. - Konten wurden übernommen, verändert oder blockiert. - Mein gesamte digitale Fußabdruck wurde verfälscht. Und selbst sicherheitsrelevante Systeme liefen weiter über eine Infrastruktur, die mir nicht zugeordnet war. Keiner dieser Vorgänge wäre in dieser Form möglich gewesen, wenn Vodafone seine Basisinfrastruktur korrekt geführt, seine Hotspot-Systeme kontrolliert, seine Identitätssysteme sauber gepflegt und seine Kundendaten korrekt abgesichert hätte.

Dass dies nicht geschah — trotz jahrelanger Hinweise — machte aus einem technischen Fehler eine vollwertige Sicherheitskatastrophe. Die offenen Leitungen waren nicht nur ein Problem. Sie waren das Tor. Und andere gingen hindurch. Was bleibt, ist die nüchterne Erkenntnis: Wenn Infrastruktur nicht geschützt wird, wird sie zum Werkzeug für genau die Menschen, vor denen man geschützt werden müsste.