CNIL verhängt 42 Millionen Euro Bußgeld gegen Free: Was der Datenleak von Oktober 2024 für Kunden bedeutet

Am 8. Januar 2026 hat die eingeschränkte Kammer der CNIL einen historischen Beschluss verkündet: ein Bußgeld in Höhe von 42 Millionen Euro gegen Free Mobile (27 Mio. €) und Free (15 Mio. €) wegen des Cyberangriffs, den sie zwischen dem 28. September und dem 22. Oktober 2024 erlitten hatten. Vierundzwanzig Millionen Verträge offengelegt, IBAN in Umlauf und ein Betreiber, der die Sanktion bis heute vor dem Staatsrat anficht. Was ist wirklich passiert — und was ändert sich für Sie?

Ein massiver Cyberangriff, 24 Tage lang verschwiegen

Alles begann mit einem stillen Eindringen in die Systeme von Free Mobile. Fast 24 Tage lang, zwischen dem 28. September und dem 22. Oktober 2024, konnte sich der Angreifer — ein Minderjähriger, der im Januar 2025 angeklagt wurde — in den internen Datenbanken bewegen. Die Ironie: Der Angreifer selbst alarmierte Free Mobile am 21. Oktober 2024 und zwang den Betreiber, die CNIL zwei Tage später zu informieren.

Die Bilanz, die durch den Beschluss SAN-2026-001 öffentlich gemacht wurde, ist atemberaubend:

Vertragsart	Anzahl betroffener Konten
Mobilfunkverträge (Free Mobile)	19.460.891
Festnetzverträge (Free)	5.172.577
Insgesamt	24.633.469 Verträge

Die gestohlenen Daten: Identität, Kontakt, Vertragsinformationen — und für «konvergente» Kunden (gleichzeitig Free Mobile- und Free-Kunden) die IBAN. Rund 100.000 IBAN wurden online veröffentlicht und dann für Banküberweisungsbetrug und gezieltes Phishing missbraucht.

Foto: Unsplash — Cybersicherheit wird zu einem zentralen Thema für die französischen Telekommunikationsbetreiber.

Drei DSGVO-Verstöße werden geahndet

Die CNIL hat drei unterschiedliche Verstöße gegen die Datenschutz-Grundverordnung festgestellt, die jeweils eigenständige Verstöße darstellen:

1. Artikel 5 Abs. 1 lit. e) — Übermäßige Speicherdauer (nur Free Mobile). Der Betreiber speicherte die Daten von mehr als 15 Millionen seit über fünf Jahren gekündigten Verträgen, davon 2.806.690 Verträge ohne jede Rechtfertigung. Ein Teil dieser Daten war über zehn Jahre alt. Für die CNIL ist dies klare Fahrlässigkeit: Ein Telekommunikationsbetreiber muss wissen, dass diese Daten nach Vertragsbeendigung keinen Nutzen mehr haben.

2. Artikel 32 — Unzureichende Sicherheitsmaßnahmen. Die Authentifizierung am VPN der Mitarbeiter stützte sich weder auf Multi-Faktor-Authentifizierung (MFA) noch auf ein Maschinenzertifikat für Remote-Endpunkte. Die Erkennung anomalen Verhaltens war unwirksam, und die Passwörter des internen MOBO-Tools wurden unsicher gespeichert. Genau diese Schwachstellen ermöglichten den anfänglichen Einbruch.

3. Artikel 34 — Zu vage Kommunikation an die Betroffenen. Die an die Kunden gesendete E-Mail wurde von der eingeschränkten Kammer als «zu allgemein und abstrakt» eingestuft: Sie erwähnte weder die Risiken eines Identitätsdiebstahls oder betrügerischer Lastschriften noch die konkreten Abhilfemaßnahmen, die ergriffen werden mussten. Für die CNIL muss eine DSGVO-Meldung operativ sein, nicht juristisch.

Free kündigte eine Beschwerde beim Staatsrat an und bezeichnete die Entscheidung als «beispiellose und unverhältnismäßige Härte» im Vergleich zu früheren Fällen von Cyberangriffen. Die Akte bleibt somit offen.

Warum diese Sanktion einen Präzedenzfall schafft

Das Bußgeld von 42 Millionen Euro ist eines der höchsten, das die CNIL jemals gegen einen Telekommunikationsbetreiber verhängt hat. Es stützt sich auf den konsolidierten Umsatz der Iliad-Gruppe (10,024 Mrd. € im Jahr 2024), entsprechend dem Begriff des «Unternehmens» im Wettbewerbsrecht (EuGH, 5. Dezember 2023, C-807/21).

Wichtiger als der Betrag ist die Methode: Die CNIL ahndete drei eigenständige Verstöße und verlangte unter Zwangsgeld von 50.000 € pro Tag Verzug die Einhaltung folgender Auflagen:

• Sechs Monate zur Sortierung und Bereinigung der personenbezogenen Daten gekündigter Verträge.
• Drei Monate zur Verstärkung der Sicherheitsmaßnahmen (MFA, Zertifikate, Anomalieerkennung).

Der Beschluss wird zwei Jahre lang auf der Website der CNIL und im Journal officiel veröffentlicht — ein Imageschaden für die Gruppe. Es ist ein Signal an alle Betreiber: Die «standardmäßige» Aufbewahrung von Daten gekündigter Kunden wird nicht mehr geduldet, und die Sicherheit eines VPN kann sich nicht mehr auf ein einfaches Benutzername-/Passwort-Paar stützen.

Was Kunden tun (und nicht tun) sollten

Wenn Sie Free- oder Free Mobile-Kunde sind oder waren, finden Sie hier die sofortige Checkliste, die wir auch in unserem Leitfaden zum Schutz der Privatsphäre Ihrer SMS zusammenstellen:

1. Beobachten Sie Ihre Kontoauszüge. Wenn Ihre IBAN geleakt wurde, können betrügerische Lastschriften Monate nach dem Angriff auftauchen. Melden Sie jede unbekannte Buchung sofort Ihrer Bank.
2. Misstrauen Sie Phishing per SMS und E-Mail. Hacker kreuzen heute Daten aus mehreren Leaks. Eine Nachricht, die Ihren Namen, Ihren Betreiber und Ihre IBAN kennt, wirkt extrem glaubwürdig. Wir haben dies in unserem Artikel über Smishing in Frankreich 2026 ausführlich behandelt.
3. Ändern Sie die Passwörter Ihrer sensiblen Konten (Bank, Finanzamt, Haupt-E-Mail), insbesondere wenn Sie dasselbe Passwort wie bei einem Free-Konto verwenden. Credential Stuffing ist die erste Nutzung gestohlener Zugangsdatenbanken.
4. Zahlen Sie kein «Abmelde-Lösegeld». Kein offizielles Verfahren verlangt eine Zahlung, um Ihre Daten aus einem Leak zu «entfernen»: Das ist ein Betrug.
5. Konsultieren Sie die spezielle Free-Seite und reichen Sie im Zweifelsfall Beschwerde auf der THESEE-Plattform des Innenministeriums oder bei der CNIL ein.

Foto: Unsplash — 24 Millionen Verträge, 100.000 veröffentlichte IBAN: Das Ausmaß des Leaks erfordert individuelle Wachsamkeit.

Die Rolle der Betreiber in der Vertrauenskette

Dieser Fall wirft eine grundlegende Frage auf: die Vertrauenskette zwischen einem Kunden und seinem Betreiber. Wenn Sie einen Tarif abschließen, vertrauen Sie einem Dritten empfindliche Daten an: Identität, IBAN, Nutzung, Geolokalisierung. Dieses Vertrauen erfordert im Gegenzug makellose Sicherheitshygiene und eine automatische Bereinigung der Daten nach Vertragsbeendigung.

Die DSGVO legt in Artikel 5 bereits dieses Prinzip der Speicherbegrenzung fest. Der Beschluss der CNIL stellt nun null Toleranz klar: Ein Betreiber, der fünfzehn Millionen Kundendatensätze fünf Jahre lang ohne operative Rechtfertigung aufbewahrt, geht ein erhebliches finanzielles Risiko ein.

Es ist indirekt auch eine gute Nachricht für das Ökosystem. Die anderen Betreiber — Orange, SFR, Bouygues Telecom — sind nun gezwungen, ihre eigenen Verfahren zu überprüfen, andernfalls droht eine vergleichbare Sanktion. Und die Aufsichtsbehörde verfügt über einen soliden Präzedenzfall.

Das Wichtigste zum Mitnehmen

• 42 Millionen Euro Bußgeld (27 Mio. € für Free Mobile, 15 Mio. € für Free) verhängt von der CNIL am 8. Januar 2026.
• Der Leak betrifft 24.633.469 Verträge, darunter 19,4 Millionen Mobilfunk- und 5,2 Millionen Festnetzverträge.
• Drei DSGVO-Verstöße geahndet: übermäßige Aufbewahrung, unzureichende VPN-Sicherheit, zu vage Benachrichtigung.
• Free hat Beschwerde beim Staatsrat eingelegt, der Fall ist nicht abgeschlossen.
• Für Kunden: Konten überwachen, vor gezieltem Phishing hüten, Passwörter verstärken.

Um eine kostenlose und anonyme SMS an einen Nahestehenden zu senden, ohne Ihre Daten an einen Drittanbieter weiterzugeben, bleibt unser Versandformular überall verfügbar, ohne Registrierung und ohne Spuren. Bei Fragen zu Ihren personenbezogenen Daten können Sie auch unsere FAQ, unsere rechtlichen Hinweise lesen oder uns kontaktieren.