Ein zu schwaches VPN-Authentifizierungsverfahren und eine unzureichende Kommunikation nach einer Datenpanne haben die französischen Telekom-Anbieter Free Mobile und Free 42 Millionen Euro gekostet. Der Fall zeigt exemplarisch, wie eng Informationssicherheit und Datenschutzrecht miteinander verzahnt sind – und warum technische Nachlässigkeiten heute zu den teuersten Fehlern überhaupt zählen.
Was ist passiert?
Die französische Datenschutzaufsichtsbehörde CNIL hat Mitte Januar 2026 zwei Bußgelder gegen die Telekommunikationsunternehmen Free Mobile (27 Millionen Euro) und Free (15 Millionen Euro) verhängt. Auslöser war ein Cyberangriff, bei dem sich ein Angreifer Zugang zu den internen Systemen der Unternehmen verschafft und dabei Kundendaten in erheblichem Umfang abgegriffen hatte. Bei der anschließenden Prüfung stellte die Behörde zwei zentrale Versäumnisse fest: Zum einen war das Authentifizierungsverfahren des VPN-Zugangs, über den unter anderem Mitarbeitende remote auf die Unternehmenssysteme zugreifen konnten, technisch nicht robust genug ausgestaltet. Zum anderen hatten die Unternehmen betroffene Kundinnen und Kunden nach der Datenpanne nicht ausreichend über den Vorfall informiert – die Benachrichtigungen enthielten nicht alle Angaben, die betroffene Personen benötigt hätten, um selbst angemessen reagieren zu können.
Bemerkenswert ist dabei weniger die Höhe der Strafe an sich, sondern die Art der beanstandeten Mängel: Es handelt sich nicht um komplexe Grundsatzfragen des Datenschutzrechts, sondern um klassische, gut dokumentierte Anforderungen an IT-Sicherheit und Transparenz, die in vielen Organisationen im Alltag schlicht nicht konsequent umgesetzt werden.
Warum dieser Fall über Frankreich hinaus relevant ist
Für mittelständische Unternehmen, Kommunen und Einrichtungen im Gesundheitswesen lohnt sich ein genauer Blick auf diesen Fall aus zwei Gründen.
Erstens macht er deutlich, dass Fernzugriffe – über VPN, Remote-Desktop-Lösungen oder Cloud-Anwendungen – heute zu den häufigsten Einfallstoren für Angriffe zählen. Gerade seit der Zunahme von Homeoffice und hybriden Arbeitsmodellen setzen deutlich mehr Organisationen VPN-Lösungen ein, oft ohne die Authentifizierung im gleichen Tempo mitzuentwickeln. Eine Multi-Faktor-Authentifizierung für sämtliche Fernzugänge ist inzwischen kein „Nice-to-have“ mehr, sondern eine Grundvoraussetzung, die im Ernstfall über die Höhe eines möglichen Bußgelds mitentscheidet. Krankenhäuser mit Fernzugriffen für Ärztinnen und Ärzte oder externe Dienstleister, aber auch Kommunen mit Homeoffice-Regelungen für Verwaltungsmitarbeitende, sollten ihre Zugangsarchitektur genau in diesem Punkt kritisch prüfen.
Zweitens zeigt der Fall, dass die reine Existenz eines Meldeprozesses bei Datenpannen nicht ausreicht – entscheidend ist dessen inhaltliche Qualität. Eine Meldung an Betroffene, die zwar formal fristgerecht erfolgt, aber wesentliche Informationen (etwa zur Art der betroffenen Daten, zu möglichen Risiken oder zu empfohlenen Schutzmaßnahmen) auslässt, erfüllt die Anforderungen nicht. Gerade im Gesundheitswesen, wo Datenpannen häufig besonders sensible Informationen betreffen, ist eine sorgfältig formulierte, verständliche Betroffenenkommunikation kein bürokratischer Nebenaspekt, sondern ein zentraler Baustein der Haftungsvermeidung.
Praktische Konsequenzen für Ihre Organisation
Aus diesem Fall lassen sich drei konkrete Handlungsfelder ableiten. Zum einen sollten Organisationen ihre Authentifizierungsverfahren für alle Fernzugänge regelmäßig einem technischen Check unterziehen – nicht nur einmalig bei der Einführung, sondern wiederkehrend, da sich Angriffsmethoden stetig weiterentwickeln. Zum anderen braucht es klar definierte, geübte Prozesse für den Ernstfall einer Datenpanne, die nicht nur die Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden sicherstellen, sondern auch eine inhaltlich vollständige Information der Betroffenen. Drittens zeigt der Fall, dass Anomalie-Erkennung in IT-Systemen – also die Fähigkeit, ungewöhnliches Verhalten frühzeitig zu erkennen – zunehmend als Teil der geforderten technischen und organisatorischen Maßnahmen betrachtet wird, nicht nur als optionales Sicherheits-Add-on.
Fazit und Handlungsempfehlung
Der CNIL-Fall ist ein deutliches Signal dafür, dass Aufsichtsbehörden europaweit technische Sicherheitsmängel bei Fernzugriffen und mangelhafte Betroffenenkommunikation konsequent sanktionieren – unabhängig von der Unternehmensgröße wird hier auf die tatsächliche Wirksamkeit von Maßnahmen geschaut, nicht auf deren bloße Dokumentation. Prüfen Sie daher zeitnah, wie robust Ihre VPN- und Fernzugriffslösungen tatsächlich abgesichert sind, und stellen Sie sicher, dass Ihr Incident-Response-Prozess im Ernstfall eine vollständige und verständliche Kommunikation gegenüber Betroffenen gewährleistet.
Stand: Januar 2026. Der zugrunde liegende Bußgeldbescheid der CNIL kann von den betroffenen Unternehmen noch gerichtlich angefochten werden; eine abschließende rechtliche Bewertung steht daher noch aus.
Jetzt handeln
Sie möchten wissen, wie sicher Ihre Fernzugriffs- und Meldeprozesse tatsächlich aufgestellt sind? Wir unterstützen Sie mit einer praxisnahen Bewertung Ihrer technischen und organisatorischen Maßnahmen sowie Ihres Datenschutz-Notfallplans. Sprechen Sie uns für ein unverbindliches Erstgespräch an.