Diese Geschichte kann man auf zwei Weisen erzählen.

Public Relation-Manager des Telekommunikationsriesen Vodafone verbreiten die erste Variante der Story, wenn Journalisten sich nach den Vorwürfen gegen den Konzern erkundigen, die ein gewisser Inan Koc erhebt.

Aus der Sicht von Vodafone ist Koc ein mutmaßlicher Krimineller, der versuche, Vodafone um fast eine Million Euro zu erpressen. Dazu veröffentliche Koc angebliche Sicherheitslücken, die er im Konzern entdeckt zu haben meint. Um Druck aufzubauen, bediene er sich Journalisten, die nicht wirklich verstehen, wie das Geschäft mit der Telekommunikation läuft. Die Journalisten würden Kleinigkeiten aus Skandalsucht aufbauschen. In Wirklichkeit sei aber alles nur Rauch ohne Feuer, und außerdem nicht Neues, weil der Spiegel und die WAZ schon darüber berichtet hätten.

Diese Variante lässt Vodafone gut dastehen, als Opfer.

In der anderen Variante der Geschichte berichtet eben jener Inan Koc, den die Vodafone-Manager als Erpresser darstellen, von einem Datenleck mit zehntausenden Kundendaten, kriminellen Vertragsweitergaben, systematischen Verstößen gegen den Datenschutz und von einem Konzern, der so auf Vertragsabschlüsse getrimmt ist, dass Fachhändler zum Betrug angestachelt würden. Alles unglaublich, wenn man das zum ersten Mal liest.

Inan Koc ist Experte für Telekommunikationssicherheit. Sein Büro liegt in Bottrop.

Wenn man als Reporter mit den beiden Varianten der Geschichte konfrontiert wird, ist schwierig zu beurteilen, wem man Glauben schenken soll. Auf der einen Seite stehen PR-Profis eines internationalen Telekom-Konzerns. Auf der anderen Seite ein Mann aus dem Nirgendwo, gegen den angeblich wegen Erpressung ermittelt wird.

Zu beurteilen, was stimmt, ist schwierig, weil sowohl die Technik als auch die Rechtslage im Telekommunikationsgewerbe für Laien schwer zu verstehen sind.

Zweitens ist das rechtliche Risiko für Medien groß, wenn sie Vorwürfe wie die von Inan Koc veröffentlichen. Berichten sie auf Basis der Aussagen des angeblichen Erpressers etwas Falsches, kann das den Aktienkurs von Vodafone beeinflussen. In der Konsequenz kann der Milliardenkonzern seine Juristen nicht nur auf den angeblichen Erpresser, sondern auch auf Journalisten ansetzen und Schadensersatz verlangen. Das ist nicht nur lästig, das kann unter Umständen teuer werden. Journalisten werden also versucht sein, Vodafone möglichst detailliert zu Wort kommen zu lassen und sich möglichst weit von den Darstellungen Inan Kocs zu distanzieren.

Tatsächlich haben schon etliche Medien – unter anderem Spiegel und WAZ – über Inan Koc und Vodafone geschrieben. Sie haben die Probleme im „Hätte, Könnte, Sollte“ beschrieben, sich dabei weit von Inan Koc distanziert und Vodafone ausführlich zu Wort kommen lassen. Warum soll nun die nächste Geschichte erscheinen, bei der wenig mehr herauskommt als ein neuer Bericht über eine Art unentwirrbaren Rosenkrieg zweier zerstrittener Eheleute?

Krisenkommunikatoren wissen, wie Reporter arbeiten

Vodafone kennt diese Herausforderungen für Journalisten, seine PR-Vertreter wissen, wie Krisenkommunikation funktioniert. Zudem sind im Hintergrund Juristen aktiv, die Antworten schreiben. Die Krisenkommunikatoren wissen wohl, dass es darum geht, den Eindruck zu erzeugen, die Quellen seien unzuverlässig, es lohne sich nicht zu schreiben, es sei zu gefährlich zu schreiben und es gebe nichts Neues.

Konzerne wissen, dass Nähe in der Krisenkommunikation wichtig ist, sie gewähren Zugang zu den Mächtigen. Vertreter von einflußreichen Medien werden zu üppigen Essen mit Verantwortlichen eingeladen. Es gilt, Beziehungen zu pflegen, schon vorab. So kann ein Interview im Juni mit dem Vorstandschef im September Raum für Einflüsterungen schaffen. Dieser Faktor Nähe wird auch als Zugangs-Einfluss beschrieben, so etwa im Buch „Der Beeinflussungs-Apparat“ von Brooke Gladstone.

Diese Methode der Krisenkommunikation funktioniert und wird daher oft eingesetzt. Sei es bei Me-Too-Fällen, bei Chemiekatastrophen oder Krebsmittelpanschern.

Aber haben die Konzern-Sprecher Recht? Ist Inan Koc wirklich ein Erpresser?

Inan Koc ist ein Sicherheitsexperte für Telekommunikation. Er zeigt Unternehmen Sicherheitslücken in ihren Systemen auf, damit die diese Lücken schließen können. Dafür will er bezahlt werden. Er kennt sich mit dem Vertrieb von Vodafone sehr gut aus. Früher hat er bei Partnerunternehmen von Vodafone gearbeitet. Er hat dort Sicherheitslücken gefunden und gemeldet. Vodafone nannte ihn in einer Stellungnahme 2021 einen Whistleblower.

Für seine Arbeit wollte Koc von Vodafone Geld. Viel Geld. Fast eine Million Euro. Das wurde ihm zunächst mündlich zugesagt, sagt er. Einen schriftlichen Vertrag über die Summe hat er nicht, aber dafür bekam Inan Koc im März 2021 eine vertragliche Zusage über eine andere ebenfalls sechsstellige Summe. Eine „Aufwandserstattungsvereinbarung“. Allerdings nur für Ergebnisse der Zusammenarbeit in der Zukunft, nicht für bereits geleistete Stunden. Diesen Vertrag unterschrieb Koc nicht. Weil er sich durch das Papier geknebelt fühlte – auch war ihm die Summe zu niedrig.

Koc legte immer wieder detaillierte Berichte mit den Details zu den Sicherheitslücken vor, die er fand. Ein Vertrag wurde trotzdem nicht geschlossen. Koc wurde schließlich sauer und machte die Sicherheitslücken jetzt öffentlich. In etlichen E-Mails: an den Vorstand, an die Aufsichtsbehörden. Damit wollte er Druck aufbauen, damit Vodafone zu seinem Wort steht. Das sagt er.

Ist das öffentlich machen von Sicherheitslücken eine Erpressung?

Eher nicht. Es gibt ein Datenleck, es gibt Betrugsvorwürfe bei Fachhändlern, Inan Koc schreibt Dinge, die weitgehend wahr sind. Er ist in seiner Wortwahl ungewöhnlich, dreist, hart. Er schreibt alle an, die er erreichen kann. Er schreibt oft und ausführlich. Das ist für die Angeschriebenen nervig. Aber es ist nicht verboten.

Es sind die Mittel, die jemand wählt, der keinen anderen Weg mehr sieht. Womit soll er erpressen, wenn alles bekannt ist?

Inan Koc hat Sicherheitstechnik nicht studiert. Aber er kennt das Telekommunikationsgewerbe und die Systeme von Vodafone aus Erfahrung bis ins letzte Detail. Er hat im Vertrieb gearbeitet, kennt etliche Tricks und sehr viele Menschen, im Konzern und dessen Umfeld. Er ist ein Magnet, zu dem alles fliegt, was schief läuft im Vodafone-Universum. Und auf Basis dieser Informationen hat er dutzende Berichte geschrieben: über Probleme, die es in sich haben und jeden Vodafone-Kunden betreffen. Wir haben über die Betrugsvorwürfe bei den Partneragenturen und Fachhändlern bei Vodafone und die Datenlecks des Konzerns geschrieben.

Doch hier geht es um etwas anderes. Vodafone hat Inan Koc bei der Staatsanwaltschaft Düsseldorf im Jahr 2021 wegen Erpressung angezeigt, nachdem dieser das Vodafone-Angebot nicht angenommen hatte. Das Verfahren liegt seither brach. Die Staatsanwaltschaft ermittelt nicht, sie prüft nur seit über 24 Monaten, ob überhaupt ein Anfangsverdacht für eine versuchte Erpressung vorliegt und ob gegebenenfalls Ermittlungen aufgenommen werden sollten. Tatsache ist: Momentan liegt gegen Inan Koc nichts weiter vor als die Anzeige von Vodafone. Wenn ein Konzernvertreter im Gespräch mit CORRECTIV sagt, Koc sei ein Erpresser, dann bezieht er sich auf diese eine Anzeige.

Steht also Wort gegen Wort?

Inan Koc im Gespräch mit Journalisten als Erpresser darzustellen, ist der Versuch, eine sachliche Auseinandersetzung auf eine persönliche Ebene zu ziehen. Wenn man über Menschen reden kann, wer interessiert sich dann noch für Fakten?

Aber ist das richtig?

Wenn einer sagt, es regnet, und ein anderer sagt, die Sonne scheint, ist es doch nicht der Job eines Journalisten, über den offensichtlichen Streit zu schreiben, sondern aus dem Fenster zu schauen.

Worum geht es im Kern? Welche Probleme hat Vodafone?

Eigentlich kaum welche, sagt Vodafone. Zwar habe Inan Koc im Jahr 2021 als Whistleblower auf Sicherheitslücken aufmerksam gemacht, doch seien diese abgestellt worden. Vodafone sagt, der Konzern habe „hart und umgehend reagiert und seine Sicherheitsmaßnahmen erhöht“. Bislang hätte der Konzern 15 Strafanzeigen gestellt, sich von zehn Partnern getrennt und 53 Ladenlokale geschlossen. Mit den identifizierten betroffenen Kunden habe der Konzern schon damals etwaige Unstimmigkeiten im direkten Dialog geklärt – so heißt es in einem Vodafone-Statement von 2021.

Und weiter schreibt Vodafone: Die Mehrheit der von Koc übermittelten Hinweise hätten sich am Ende nicht bestätigt, seien in der Schlussfolgerung falsch, bezögen sich auf unsachliche Darstellungen oder seien unter Umständen erfunden. Was allerdings belegbar gewesen sei, würde abgestellt.

Tatsächlich aber sind die wesentlichen Vorwürfe von Inan Koc nachvollziehbar. Partneragenturen und Fachhändler haben zum Teil Schneeballsysteme betrieben, um neue Verträge für den Telefonkonzern abzuschließen. Sie haben Kunden mutmaßlich betrügerische Verträge untergeschoben. Die Staatsanwaltschaften in Essen und Darmstadt ermitteln. Und es gibt ein großes Loch in der Sicherheitsstruktur von Vodafone. Ganze Datenbanken mit tausenden Kundendaten sind unzureichend gesichert und im Internet leicht verfügbar. Mit ihnen können Identitäten gestohlen werden.

Wer ist der Whistleblower?

Inan Koc ist kein idealer Whistleblower. Kein Mensch, der nur aus höheren Motiven handelt. Er wollte für seine Aufdeckerarbeit bezahlt werden. Er hat zunächst alle Informationen allein Vodafone zur Verfügung gestellt. Fühlte sich dann ungerecht vom Konzern behandelt und wurde unangenehm. Schrieb Briefe und verschaffte sich Gehör.

Aber gibt es überhaupt ideale Whistleblower? Jeder Mensch hat ein anderes Motiv, über Missstände zu berichten. Die einen können ein Verbrechen nicht ertragen, die anderen fühlen sich betrogen. Die dritten wollen sich rächen. Der Job von Journalisten ist es, die Vorwürfe zu prüfen. Und viele Vorwürfe von Inan Koc konnten belegt werden.

Inan Koc, Jahrgang 1973, hat eine Ausbildung zum Kaufmann gemacht, seit 1994 ist er im Vertrieb von Handy-Verträgen. Zunächst bei einer Partneragentur von Mannesmann-Mobilfunk nach der Übernahme durch die Briten, bei Vodafone. „Da war das Wort ‘Datenschutz’ nicht mal erfunden”, sagt Koc. Bis 2007 war er Filialleiter im Vodafone Flagship-Store im Oberhausener Centro. Er geriet in Turbulenzen dort und schied aus.

Der Komplex Vodafone

Eine Mini-Serie über krude Geschäfte in einem der größten Mobilfunkkonzerne der Welt.

Kapitel 1: Das Agentursystem (erschienen am 25. September)

Kapitel 2: Das Datenleck (erschienen am 29. September)

Kapitel 3: Der Whistleblower (erschienen am 5. Oktober)

Kapitel 4: Sammelklagen und andere Sorgen (erschienen am 13. März)

Inan Koc führte zunächst eine Vodafone-Filiale im Centro in Oberhausen. Ab 2007 war er im Vertrieb einer anderen Partneragentur von Vodafone. Dort erlebte er nach seiner Aussage dubiose Geschäfte, zerstritt sich mit dem Eigentümer der Agentur und schied im Dezember 2019 auch dort aus dem Betrieb aus. Danach fing er an, die Missstände an Vodafone und die Staatsanwaltschaft zu berichten. Es gab eine Razzia gegen seinen früheren Arbeitgeber, dessen Verträge mit Vodafone wurden gekündigt.

Inan Koc erfuhr in der Folge von mehr Betrügereien und informierte immer wieder Vodafone. Arbeitet mit der Compliance-Abteilung zusammen, hilft den Sicherheitstechnikern, mögliche Lücken im System zu identifizieren.

Schließlich beauftragt Vodafone die Wirtschaftsprüfer der KPMG, die Aussagen von Koc aufzunehmen und Recherchen anzustellen. Es kommt zu dem mündlichen Versprechen an ihn, ihn für seine Arbeit zu bezahlen – und dann zum Streit um den Vertrag.

Schließlich zeigt Vodafone Inan Koc wegen Erpressung an und streut die Vorwürfe bei Nachfragen zu dem Thema breit.

Inan Koc sagt: „Ich wurde immer stärker belastet. Durch die Vorwürfe, ich würde erpressen, haben die Journalisten sich nicht mehr mit den Themen befasst. Es ging nur noch um die Frage: Erpresst Inan Koc oder erpresst er nicht? Wem sollen die Leute glauben?“.

Und weiter: „Mir ging es mental schlecht. Ich habe versucht, mich mit Vodafone zu einigen. Sie haben auf mich immer mehr Druck aufgebaut, mehr Informationen zu liefern. Die haben sich mein Wissen einverleibt, ohne mich zu berücksichtigen. Ich habe die Zeugen in die Zentrale gebracht. Habe Zeugen für die Betrügereinen zu den Ombusleuten von Vodafone gebracht. Die haben mich ständig gefragt, wie das alles funktioniert und wer betrügt. Dann haben sie mich abgehängt und beschuldigt. Das war frustrierend.”

*Unterdessen hat die Staatsanwaltschaft Düsseldorf nach jahrelangen Prüfungen beschlossen, dass sie tatsächlich Ermittlungen aufnehmen will. Seit 2021 lief die Prüfung, ob überhaupt ein Anfangsverdacht vorliegt. Erst Ende 2023 wurde darüber beschieden. Inan Koc schrieb zuvor der Staatsanwaltschaft und wollte wissen, was los ist. Er wendete sich an den Generalstaatsanwalt. Dieser leiten den Schriftverkehr weiter. Der zuständige Beamte antwortete: „Es ist richtig, dass die Prüfung des Anfangsverdacht ungewöhnlich lange andauert. Dies ist aber im Wesentlichen darauf zurückzuführen, dass ihr Verhalten, der Umfang der Anlagen zur Strafanzeige (Ihre Emails) und der Eingaben eines Verfahrensbeteiligten (Ihre Emails) zum Verfahren deutlich normabweichend sind. Staatsanwältin (…) hatte weitere Verfahren zu bearbeiten, denen ich Priorität eingeräumt habe.“

Nachdem die Staatsanwaltschaft nun entschieden hat, Ermittlungen aufzunehmen, geht es in die nächsten Runden. Anwälte werden weitere Briefe schreiben, diese werden beantwortet und dann geht es von vorne los.

Es scheint keine schnelle Lösung für Inan Koc zu geben. Ein Ergebnis der Ermittlungen ist nicht abzusehen.

—
*Der Artikel wurde auf den neusten Stand gesetzt, nachdem die Staatsanwaltschaft Ende 2023 beschlossen hat, offizielle Ermittlungen aufzunehmen.