Die Sprache des Datenschutzes: Was sind CPNI und warum sollten Sie sich dafür interessieren?

Von massiven Datenpannen bei Netzbetreibern bis hin zu Spionagekampagnen von Nationalstaaten sind Kommunikations-Metadaten zu einem wertvollen Ziel für Cyberkriminelle, Geheimdienste und Regulierungsbehörden gleichermaßen geworden.

Die wichtigsten Erkenntnisse

• Kommunikationsmetadaten sind aufschlussreicher, als vielen Menschen bewusst ist. In Kombination mit anderen Datenquellen können Beziehungen, Routinen, Standorte und Verhaltensmuster offengelegt werden.
• Jüngste Telekommunikationsverstöße zeigen die realen Auswirkungen der CPNI-Offenlegung. Kommunikationsdaten sind ein wertvolles Ziel für sowohl finanziell motivierte Bedrohungsakteure als auch nachrichtendienstliche Operationen von Nationalstaaten.
• Regulierungsbehörden betrachten den Datenschutz im Telekommunikationsbereich als zunehmendes Security-Problem. Telekommunikationsanbieter sehen sich nun mit höheren Erwartungen hinsichtlich des Schutzes von Kundendaten, der Meldung von Datenschutzverletzungen und der Aufrechterhaltung von Sicherheitskontrollen konfrontiert.

Kundeneigene Netzwerkinformationen (Customer Proprietary Network Information, CPNI) sind Daten, die durch die Aktivitäten von Mobilfunkteilnehmern erzeugt und von Telekommunikationsunternehmen gesammelt werden. Zu den CPNI gehören die Uhrzeit, das Datum, die Dauer und die Zielnummer eines Anrufs sowie einige Abonnementinformationen wie die Anzahl der Anschlüsse eines Kontos. Die Bezeichnung CPNI-Daten umfasst keine Finanzinformationen oder sensible persönliche Informationen wie Kreditkartendaten oder Sozialversicherungsnummern.

Wir haben bereits über personenbezogene Daten (Personally Identifiable Information, PII) gesprochen, die eine breitere Datenkategorie als CPNI darstellen. Zu den PII gehören Namen, Adressen, Telefonnummern, E-Mail-Adressen und andere Daten, die zur Identifizierung einer bestimmten Person oder eines bestimmten Geräts verwendet werden können. Es gibt keine Überschneidungen zwischen den formellen Bezeichnungen CPNI und PII, aber manchmal können CPNI zu PII werden. Dies ist der Fall, wenn die CPNI-Daten über eine Telefonnummer, Kontonummer oder andere Teilnehmerinformationen mit einer bestimmten Person verknüpft sind.

CPNI-Kompromittierungen: größer, dreister und schwieriger zu ignorieren

Der AT&T-Anbieter-Verstoß 2023, der 9 Millionen Kunden betraf, war unser erstes großes Beispiel für einen CPNI-Verstoß, bei dem personenbezogene Daten betroffen waren. Das wirkt im Nachhinein bescheiden. Im Jahr 2024 gab AT&T zwei separate Vorfälle bekannt, die zusammen weit über 100 Millionen aktuelle und ehemalige Kunden betrafen.

Der erste, der im März 2024 bekannt wurde, betraf das Datenleck von 73 Millionen aktuellen und ehemaligen Abonnenten. Daten, die Berichten zufolge jahrelang in einem kriminellen Forum kursierten, bevor AT&T dies öffentlich einräumte. Das Ausmaß des zweiten Angriffs, der im Juli 2024 offengelegt wurde, war größer: Angreifer verschafften sich Zugriff auf die Snowflake-Cloud-Umgebung von AT&T und luden Anruf- und Textnachrichtenprotokolle für nahezu alle Mobilfunkkunden herunter – rund 110 Millionen Menschen. Die gestohlenen Daten umfassten einen Zeitraum von sechs Monaten im Jahr 2022 und enthielten Telefonnummern, Anrufprotokolle, Textnachrichtenprotokolle sowie für einige Kunden standortnahe Daten wie Zellstandort-Kennungen. Es wurden keine Namen, Sozialversicherungsnummern oder Finanzdaten gestohlen, aber die erbeuteten Anrufprotokolle waren ein Paradebeispiel für die CPNI-Offenlegung in großem Umfang. AT&T räumte später ein, einem Mitglied der ShinyHunters-Hackergruppe etwa 370.000 Dollar in Bitcoin gezahlt zu haben, im Austausch für die Löschung eines Teils der gestohlenen Daten. Mandiant schrieb die Snowflake-Datenschutzverletzung UNC5537 zu, einer finanziell motivierten kriminellen Gruppe.

Warum ist ein Haufen Anrufaufzeichnungen wichtig, wenn kein Name damit verbunden ist? Weil Metadaten eine Geschichte erzählen. Wen Sie angerufen haben, wie oft und wann – kombiniert mit Teilnehmerdaten, die diese Nummern mit Identitäten verknüpfen – reicht aus, um Beziehungen, Routinen und in einigen Fällen sensible persönliche Situationen zu rekonstruieren. Ermittler, Journalisten, Anwälte, Kriminelle und Stalker haben alle Gründe, dieses Bild haben zu wollen. Bedrohungsakteure haben Gründe, es zu verkaufen.

Salt Typhoon: wenn CPNI zu einer Frage der nationalen Sicherheit wird

Die AT&T-Snowflake-Datenverletzung war kriminell und finanziell motiviert. Salt Typhoon ist etwas völlig anderes.

Salt Typhoon ist eine Gruppe für Advanced Persistent Threats (APT), die mit dem Ministerium für Staatssicherheit (MSS) der Volksrepublik China verbunden ist. Bereits ab 2021 und bis 2024 hat die Gruppe mindestens neun große US-Telekommunikationsunternehmen infiltriert, darunter AT&T, Verizon, Lumen Technologies und T-Mobile. Senator Mark Warner bezeichnete die Kompromittierung als „den schlimmsten Telekommunikationshack in der Geschichte unserer Nation“.

Salt Typhoon hat nicht nur CPNI gestohlen. Die Gruppe griff auf Metadaten von über einer Million Nutzer im Raum Washington, D.C. zu, erhielt Audioaufzeichnungen von Anrufen hochrangiger Regierungsbeamter und politischer Persönlichkeiten und – was am Beunruhigendsten ist –, zapfte die durch den Communications Assistance for Law Enforcement Act (CALEA) vorgeschriebenen Abhörsysteme an. Diese Systeme, die darauf ausgelegt waren, den Strafverfolgungsbehörden einen gerichtlich genehmigten Zugang zu Kommunikationsdaten zu gewähren, wurden zu einem Einstiegspunkt für den chinesischen Geheimdienst. Die Angreifer erfuhren, wer überwacht wurde, konnten auf abgefangene Daten zugreifen und die Kommunikationsmuster der Zielpersonen der US-Geheimdienste kartieren.

Die Kampagne hörte nach der öffentlichen Bekanntmachung nicht auf. Recorded Future dokumentierte, wie Salt Typhoon zwischen Dezember 2024 und Januar 2025 fünf weitere Telekommunikationsunternehmen angriff. Bis August 2025 bestätigte das FBI, dass die Gruppe mindestens 200 Unternehmen in 80 Ländern kompromittiert hatte. Im Juni 2025 wurde Viasat – ein Satellitenkommunikationsanbieter, auf den das US-Militär angewiesen ist – als Opfer genannt, was auf eine gezielte Ausweitung auf weltraumbasierte Infrastruktur hindeutet.

Die US-Regierung sanktionierte Sichuan Juxinhe Network Technology Co., Ltd. und verbundene Einzelpersonen im Januar 2025 aufgrund ihrer direkten Unterstützung von Salt Typhoon. Das Cyber Safety Review Board untersuchte den Vorfall, als die aktuelle Regierung es im März 2025 vor Abschluss der Untersuchung auflöste.

Salt Typhoon ist eine nützliche Erinnerung daran, dass CPNI nicht nur eine Compliance-Kategorie ist. Kommunikationsmetadaten und Abonnentendaten sind nachrichtendienstliche Ressourcen, und Nationalstaaten sind zu erheblichen Investitionen bereit, um an sie zu gelangen.

Die regulatorische Landschaft hat sich erheblich verändert

Im Jahr 2023 wurden die CPNI-Regeln in erster Linie auf der Grundlage von Vorschriften durchgesetzt, die seit 2007 in Kraft waren, mit geringfügigen Aktualisierungen im Laufe der Jahre. Das änderte sich im Februar 2024, als die FCC einen wegweisenden Report and Order (Bericht und Anordnung) herausgab, die die Anforderungen zur Benachrichtigung bei Datenschutzverletzungen für Telekommunikationsanbieter, miteinander verbundene Voice-over-Internet-Protocol (VoIP)-Anbieter und Telekommunikations-Relayservices (TRS) erheblich ausweitete.

Zu den wichtigsten Änderungen aus dem 2024 FCC Order gehören:

• Erweiterter Anwendungsbereich über CPNI hinaus: Zuvor galten die Meldepflichten bei Datenschutzverletzungen nur für CPNI. Die Anordnung von 2024 weitete den Anwendungsbereich aus, um alle personenbezogenen Daten einzuschließen, die Mobilfunkanbieter über ihre Kunden speichern, wie Namen, Adressen, amtlich ausgestellte Ausweisnummern, Benutzernamen, Passwörter und mehr.
• Versehentliche Datenschutzverletzungen zählen jetzt: Die frühere Definition von „Datenschutzverletzung“ erforderte vorsätzlichen unbefugten Zugriff. Die neue Definition umfasst versehentlichen Zugriff, die Verwendung oder Offenlegung betroffener Daten, einschließlich falsch behandelter Kundenlisten, falsch adressierter E-Mails und ähnlicher Vorfälle, und nicht nur Eingriffe von Bedrohungsakteuren.
• FCC als vorgeschriebener Benachrichtigungsempfänger hinzugefügt: Mobilfunkanbieter müssen die FCC nun innerhalb von sieben Werktagen nach der Entdeckung eines meldepflichtigen Vorfalls zusätzlich zum Secret Service und FBI benachrichtigen. Der Schwellenwert für die pflichtmäßige Benachrichtigung der Bundesbehörden liegt bei 500 oder mehr betroffenen Kunden oder bei einer begründeten Wahrscheinlichkeit eines Kundenschadens.
• Schnellere Kundenbenachrichtigung: Die alten Vorschriften sahen eine Wartezeit vor, bevor Kunden nach der Benachrichtigung der Strafverfolgungsbehörden informiert wurden. Die neuen Vorschriften erfordern eine unverzügliche Kundenbenachrichtigung. Anbieter dürfen die Benachrichtigung nur dann unterlassen, wenn sie vernünftigerweise feststellen können, dass den Kunden wahrscheinlich kein Schaden entsteht, oder wenn der Verstoß nur verschlüsselte Daten mit einem nicht kompromittierten Schlüssel betraf.

Die Mobilfunkanbieter haben die Verfügung von 2024 vor Gericht angefochten. Am 13. August 2025 bestätigte das Berufungsgericht des Sechsten Bezirks die Vorschriften in Ohio Telecom Association v. FCC und bekräftigte damit die Befugnis der FCC, die Security-Praktiken der Betreiber gemäß dem Communications Act zu regulieren. Die überarbeiteten Vorschriften sind nun geltendes Recht. Mobilfunkanbieter sollten darauf vorbereitet sein, die Anforderungen zu erfüllen, einschließlich der Aktualisierung von Programmen zur Incident Response und der Implementierung einer angemessenen Verschlüsselung sowohl für CPNI als auch für PII.

Wie immer haben einige Bundesstaaten strengere Regeln. Arizona erfordert eine Zustimmung des Abonnenten, bevor Mobilfunkanbieter CPNI für Marketingzwecke verwenden können. Kalifornien verlangt umfassendere Informationen gegenüber Verbrauchern. Diese Anforderungen gelten zusätzlich zu den bundesstaatlichen Vorschriften. Im Zweifelsfall lesen Sie die Durchsetzungsrichtlinien der FCC oder ziehen Sie einen Rechtsanwalt hinzu.

Was können Sie eigentlich dagegen tun?

Sie können einen Angriff im Ausmaß von Salt Typhoon auf die Infrastruktur Ihres Netzbetreibers nicht verhindern. Aber Sie können Ihre Gefährdung verringern und einschränken, wie Ihre Daten verwendet und weitergegeben werden.

• Starke, einzigartige Zugangsdaten mit Multi-Faktor-Authentifizierung (MFA) verwenden. Der AT&T Snowflake-Breach war zum Teil erfolgreich, weil bei Cloud-Datenbankkonten keine Multifaktor-Authentifizierung zum Einsatz kam. Dasselbe Prinzip gilt für Ihre eigenen Konten – Ihr Mobilfunkkonto, Ihre E-Mail, alles.
• Weitergabe von CPNI-Daten ablehnen. Mobilfunkanbieter nutzen und teilen Ihre Daten standardmäßig, sofern Sie nicht widersprechen. Setzen Sie sich direkt mit Ihrem Mobilfunkanbieter in Verbindung oder besuchen Sie deren Opt-out-Seiten. Die führenden Mobilfunkanbieter haben Informationen darüber veröffentlicht, wie Sie die Nutzung Ihrer Daten einschränken können:
• Verizon CPNI und Opt-out-Informationen
• T-Mobile Datenschutz und Opt-out-Informationen
• AT&T CPNI und Opt-out-Informationen
• VPN über Mobilfunk statt öffentliches WLAN nutzen. Öffentliche Netzwerke legen Ihre Geräteaktivitäten und Daten offen. Ein VPN über eine Mobilfunk- oder vertrauenswürdige WLAN-Verbindung reduziert diese Exposition erheblich.
• Auf Aktualisierungen der Datenschutzerklärung achten. Mobilfunkanbieter können jederzeit ändern, wie sie Ihre Daten verwenden, und Ihre weitere Nutzung des Dienstes gilt in der Regel als Zustimmung. Überprüfen Sie Hinweise, wenn Sie sie erhalten.
• Ende-zu-Ende-verschlüsselte Nachrichten berücksichtigen. Die Salt-Typhoon-Kampagne hat gezeigt, dass herkömmliche SMS und Telefonanrufe auf Infrastrukturebene abgefangen werden können. Apps, die Ende-zu-Ende-Verschlüsselung verwenden (wie Signal), schützen den Nachrichteninhalt davor, abgefangen zu werden, selbst wenn das Betreibernetzwerk kompromittiert ist.

CPNI ist nicht mehr nur ein Telekommunikationsproblem

Als dieser Blog zum ersten Mal geschrieben wurde, wirkte CPNI wie eine enge, technische Regulierungskategorie. Die letzten zwei Jahre haben gezeigt, dass Kommunikationsmetadaten – Anrufaufzeichnungen, Abonnentendaten, Nutzungsmuster – an der Schnittstelle von Verbraucherdatenschutz, Finanzkriminalität und nationaler Sicherheit stehen. Der Regulierungsrahmen hat zumindest teilweise Schritt gehalten. Die FCC-Vorschriften von 2024 sind nun bestätigt und in Kraft. Aber Vorschriften halten entschlossene staatliche Akteure nicht auf, und sie verhindern auch nicht, dass Mobilfunkanbieter Ihre Daten auf eine Weise monetarisieren, die Sie nicht explizit eingeschränkt haben.

Der beste Tag, um sich mit Ihrem Mobilfunkanbieter in Verbindung zu setzen und die Verwendung Ihrer CPNI abzulehnen, war vor zwei Jahren. Der zweitbeste Tag ist heute.