Quellen-Tabelle

Ab Anfang 2015, entdeckt im Mai 2015, wurden bei einem Hackerangriff auf das IT-System des Deutschen Bundestags rund 16 Gigabyte Daten entwendet, darunter zahlreiche E-Mails von Abgeordneten. Die Angreifer nutzten eine Phishing-E-Mail mit dem Betreff 'Ukraine conflict with Russia leaves economy in ruins' und einer gefälschten Absenderadresse mit der Endung '@un.org', um einen vermeintlichen UN-Bericht vorzutäuschen; darüber installierte Schadsoftware ermöglichte den Angreifern, Passwörter abzugreifen, Administratorkonten zu übernehmen und weitere Daten zu stehlen. Die entdeckte IP-Adresse lieferte den stärksten Hinweis auf die mutmaßlichen Täter, die Hackergruppe 'Sofacy', auch bekannt als 'Fancy Bear', 'APT28' oder 'Operation Pawn Storm'. Die Bundesregierung ordnete den Angriff einer vom russischen Staat gelenkten Operation zu; im Mai 2020 erließ die Bundesanwaltschaft Haftbefehl gegen den russischen Staatsbürger Dmitri Badin, der als APT28-Mitglied gilt.

Ob Badin jemals tatsächlich gefasst und vor ein deutsches Gericht gestellt wurde, ist aus dieser Quelle nicht belegt; ein Haftbefehl bedeutet keine erfolgte Festnahme.

Im Dezember 2020 wurde bekannt, dass Angreifer eine manipulierte Software-Aktualisierung der IT-Management-Software Orion des Herstellers SolarWinds als Einfallstor nutzten, um in Netzwerke tausender US-Unternehmen und wichtiger Regierungsbehörden einzudringen. Mehr als 18.000 SolarWinds-Kunden installierten die kompromittierten Updates; das eigentliche Zielobjekt der Angreifer umfasste laut Weißem Haus jedoch nur rund 100 Unternehmen und mindestens neun US-Bundesbehörden, die gezielt weiter kompromittiert wurden. US-Behörden ordneten den Angriff im Januar öffentlich der russischen Cyberspionage-Gruppe APT29 ('Cozy Bear') zu, nach Berichten mit Verbindungen zum russischen Auslandsgeheimdienst SWR. Als Reaktion schnitt die Biden-Regierung Russlands Staatsanleihenmarkt vom US-Bankensystem ab und leiteten US-Geheimdienste eine umfassende Überprüfung von Lieferkettenrisiken durch russische Software ein.

Welche konkreten Daten aus den neun betroffenen US-Bundesbehörden tatsächlich abflossen, ist aus dieser Quelle nicht im Detail beziffert.

Mitte Dezember 2021 wurde in der weit verbreiteten Java-Bibliothek Log4j die kritische Schwachstelle CVE-2021-44228 ('Log4Shell') entdeckt, auf der CVSS-Skala mit dem Höchstwert 10 eingestuft. Da Systemadministratoren und Entwickler weltweit die Bibliothek wegen ihrer Funktionalität in Rechenzentren, Unternehmensservern, Netzwerktechnik und Systemkomponenten einsetzen, waren potenziell mehrere Milliarden Computersysteme weltweit verwundbar. Besonders gefährlich machte die Lücke, dass keine speziellen Berechtigungen zur Ausnutzung nötig waren: Angreifer konnten Schadcode bereits über einfache Eingabefelder wie Chatboxen oder Login-Formulare einschleusen. Das BSI stufte die Bedrohungslage auf Warnstufe Rot ein; internationale Beobachtungen zeigten aktive Ausnutzung mit den USA, Großbritannien, Deutschland, der Türkei und den Niederlanden als am häufigsten angegriffenen Regionen.

Eine belastbare Gesamtzahl tatsächlich erfolgreich kompromittierter Systeme (im Unterschied zu theoretisch verwundbaren) ist aus dieser Quelle nicht beziffert.

Am 02.07.2021 verbreitete die Ransomware-Gruppe REvil über ein gefälschtes Software-Update der Fernwartungssoftware Kaseya VSA Schadsoftware an die IT-Dienstleister (Managed Service Provider), die Kaseya nutzten, und von dort weiter an deren nachgelagerte Kunden. Kaseya meldete am 05.07.2021, der Angriff habe weniger als 60 direkte Kunden betroffen, jedoch bis zu 1.500 von deren Kunden betreute Unternehmen in 17 Ländern, darunter die schwedische Supermarktkette Coop, die 800 Filialen schließen musste, weil deren Kassensysteme über einen Kaseya-nutzenden IT-Dienstleister verwaltet wurden. Die Angreifer nutzten eine bekannte Schwachstelle in Kaseya VSA aus, während der Hersteller noch an einem Patch arbeitete. Kaseya veröffentlichte am 11.07.2021 Sicherheitsupdates und erhielt am 21.07.2021 einen universellen Entschlüsselungsschlüssel.

Auf welchem Weg Kaseya den universellen Entschlüsselungsschlüssel erhielt (Zahlung, Behördenoperation gegen REvil oder anderer Weg) ist aus dieser Quelle nicht belegt.

Am 30.05.2021 wurde ein Ransomware-Angriff auf den weltgrößten Fleischverarbeiter JBS Foods entdeckt, der Server der nordamerikanischen und australischen IT-Systeme des Konzerns betraf und zur zeitweisen Stilllegung von fünf der größten US-Fleischfabriken führte. Die US-Tochter von JBS zahlte den Erpressern 11 Millionen US-Dollar in Bitcoin, nachdem diese ursprünglich 22,5 Millionen Dollar gefordert hatten. Das FBI identifizierte die russische Cyberkriminalitätsgruppe REvil, dieselbe Gruppe, die kurz darauf auch den Kaseya-Angriff verübte, als Verantwortliche. JBS USA begründete die Zahlung mit einer Abwägung in Absprache mit internen und externen IT-Sicherheitsexperten, um mögliche Risiken für Kunden zu verhindern und unvorhersehbare Folgeprobleme des Angriffs zu vermeiden.

Ob und wie die gezahlten 11 Millionen US-Dollar später ganz oder teilweise durch Behörden zurückerlangt wurden, ist aus dieser Quelle nicht belegt.

Im Oktober 2015 wurden bei einem Hack des britischen Telekommunikationsanbieters TalkTalk personenbezogene Daten von rund 157.000 Kunden gestohlen, darunter Bankkontonummern, Bankleitzahlen und Geburtsdaten; TalkTalk bezifferte den Gesamtschaden auf 60 Millionen Pfund. Ein 17-jähriger Jugendlicher bekannte sich vor dem Norwich Youth Court in sieben Anklagepunkten nach dem britischen Computer Misuse Act schuldig, zwei davon im Zusammenhang mit dem TalkTalk-Datenleck; er erklärte gegenüber den Richtern, er habe nicht an die Konsequenzen gedacht und lediglich vor Freunden angeben wollen. Der Jugendliche erhielt eine Bewährungsauflage und musste sein iPhone abgeben; das Gericht signalisierte, ihn trotz weiterer notwendiger Berichte von einer Haftstrafe verschonen zu wollen. Er hatte zuvor auch die Websites der Universitätsbibliotheken von Manchester und Cambridge angegriffen. Ein weiterer, älterer Beteiligter, Daniel Kelley, wurde später zu vier Jahren Haft verurteilt.

Die stark unterschiedlichen Strafmaße (Bewährung für den 17-Jährigen gegenüber vierjähriger Haft für Daniel Kelley) verdeutlichen, wie das Alter des Täters bei vergleichbaren Straftaten die Sanktion beeinflusst, ohne dass die Quelle den unterschiedlichen Tatbeitrag beider im Detail vergleicht.

Am 10. Januar 2023 wurde der britische Postdienst Royal Mail Ziel eines Ransomware-Angriffs mit der Schadsoftware LockBit Black, der Drucksysteme fuer Zoll- und Versandetiketten am internationalen Verteilzentrum in Langley bei Heathrow sowie an weiteren Standorten verschluesselte. In der Folge kam der internationale Post- und Paketversand praktisch zum Erliegen, Kunden konnten wochenlang keine Sendungen ins Ausland aufgeben. Die Angreifer forderten zunaechst 80 Millionen US-Dollar Loesegeld, was nach ihrer eigenen Berechnung 0,5 Prozent des Jahresumsatzes von Royal Mail entsprach, und senkten die Forderung am 1. Februar 2023 auf 70 Millionen US-Dollar. Royal Mail bezeichnete die Forderung als absurd, zahlte kein Loesegeld und folgte damit dem Rat der Ermittlungsbehoerden. LockBit veroeffentlichte daraufhin im Februar 2023 Verhandlungsprotokolle sowie gestohlene Unternehmensdaten. Ab dem 19. Januar 2023 nahm Royal Mail eingeschraenkte internationale Dienste ueber Notloesungen wieder auf, vollstaendig wiederhergestellt war der Auslandsversand erst Ende Februar 2023. National Cyber Security Centre und National Crime Agency ermittelten gemeinsam zu dem Vorfall. Der Inlandsversand in Grossbritannien war von dem Angriff nicht betroffen. Nach eigenen Angaben kostete die Bewaeltigung des Vorfalls Royal Mail mehr als 10 Millionen britische Pfund.

Aus der zitierten Quelle nicht abschliessend belegt sind die genaue Anzahl und Art der tatsaechlich von LockBit abgeflossenen Datensaetze sowie die interne Verantwortlichkeit innerhalb der LockBit-Struktur, da die Gruppe selbst zeitweise bestritt, hinter dem Angriff zu stehen.

Der australische Krankenversicherer Medibank, mit rund 9,7 Millionen Kunden das groesste Unternehmen seiner Art im Land, meldete am 13.10.2022 einen Cyberangriff. Die Angreifer erlangten Zugang ueber gestohlene Zugangsdaten eines Drittanbieters, dessen Systeme keine Mehrfaktor-Authentifizierung nutzten, und exfiltrierten laut Ermittlungen rund 200 Gigabyte an Daten. Betroffen waren Namen, Geburtsdaten, Adressen, Telefonnummern, E-Mail-Adressen, teils Medicare- und Passnummern sowie Gesundheits- und Behandlungsdaten der Versicherten, darunter Diagnosecodes zu Abtreibungen, Suchtbehandlungen, HIV-Infektionen und psychischen Erkrankungen. Die mutmasslich mit der russischsprachigen Ransomware-Gruppe REvil verbundenen Taeter forderten ein Loesegeld von rund 10 Millionen US-Dollar, umgerechnet etwa einem US-Dollar pro betroffenem Kunden. Medibank lehnte die Zahlung Anfang November 2022 unter Verweis auf die australische Regierung ab. Daraufhin veroeffentlichten die Angreifer ab dem 9. und 10.11.2022 gestohlene Datensaetze im Darknet, darunter eine als "abortions.csv" bezeichnete Datei sowie eine Liste mit Daten zu Drogen-, Alkohol- und psychischen Erkrankungen. Die australische Datenschutzbehoerde OAIC reichte spaeter Klage gegen Medibank ein und wirft dem Unternehmen vor, von Maerz 2021 bis Oktober 2022 keine angemessenen Schutzmassnahmen fuer die Daten von 9,7 Millionen Australiern getroffen zu haben. Medibank bezifferte die Gesamtkosten des Vorfalls bis Mitte 2025 auf mehr als 125 Millionen australische Dollar.

Aus dieser Quelle nicht belegt: der genaue Ausgang des laufenden Zivilverfahrens der OAIC gegen Medibank sowie eine abschliessend bestaetigte Hoehe der verhaengten Strafzahlung, da das Verfahren zum Zeitpunkt der Recherche noch nicht rechtskraeftig abgeschlossen war.

Am 26.02.2022 entdeckte der japanische Toyota-Zulieferer Kojima Industries Corporation, Hersteller von Kunststoff- und Elektronikteilen, nach einem Fehler auf einem Dateiserver eine Virusinfektion samt englischsprachiger Drohbotschaft. Toyota Motor Corporation kündigte daraufhin an, wegen des dadurch ausgelösten Systemausfalls bei Kojima am 01.03.2022 alle 28 Fertigungslinien an allen 14 inländischen Werken in Japan für beide Schichten auszusetzen. Der eintägige Produktionsstopp kostete nach Reuters-Berechnungen rund 13.000 Fahrzeuge und betraf über gemeinsame Zulieferteile auch die mit Toyota verbundenen Marken Daihatsu und Hino. Zeitgleich meldete auch der Wasserpumpenhersteller GMB Corp, ein weiterer Toyota-Zulieferer, technische Probleme. Bereits am 02.03.2022 nahm Toyota die Produktion in der ersten Schicht wieder auf, nachdem der Datenaustausch zwischen Kojima und Toyota über ein Backup-Netzwerk wiederhergestellt worden war. Toyota rechnete zu diesem Zeitpunkt damit, dass die vollständige Systemwiederherstellung noch ein bis zwei Wochen dauern werde. Toyota-Präsident Akio Toyoda besuchte die Kojima-Zentrale rund vier Tage nach dem Vorfall. Mehrere Medien bezifferten den wirtschaftlichen Schaden aus dem eintägigen Produktionsausfall auf eine grobe Schätzung von etwa 375 Millionen US-Dollar auf Basis von Umsatz- und Absatzdaten.

Wer für den Angriff verantwortlich war und ob es sich tatsächlich um Ransomware oder einen Emotet-Bezug handelte, war laut Reuters-Bericht zum Zeitpunkt der Berichterstattung nicht bestätigt; die kolportierte Schadenssumme von rund 375 Mio. US-Dollar beruht auf einer externen Hochrechnung, nicht auf einer offiziellen Toyota-Angabe.

Die Ransomware-Gruppe LockBit listete den US-Flugzeughersteller Boeing am 27.10.2023 auf ihrer Darknet-Leak-Seite als Opfer und drohte mit der Veröffentlichung gestohlener Unternehmensdaten, falls Boeing nicht bis zum 02.11.2023 Kontakt aufnehme. Boeing bestätigte einen Cybervorfall, der nach eigenen Angaben Teile des Ersatzteil- und Distributionsgeschäfts betraf, jedoch keine Auswirkungen auf die Flugsicherheit gehabt habe. Nachdem Verhandlungen offenbar gescheitert waren, veröffentlichte LockBit die Daten bereits am 10.11.2023, früher als die zunächst angekündigte Frist vom 13.11.2023. Sicherheitsforscher bezifferten das veröffentlichte Datenpaket auf rund 40 bis 50 Gigabyte, es enthielt unter anderem Backup-Dateien, Konfigurationen von Software-Management-Systemen sowie Protokolle aus Citrix- und Telefonsystemen. Als möglicher Einfallsvektor wird die im Oktober 2023 bekannt gewordene Citrix-Bleed-Sicherheitslücke CVE-2023-4966 in Citrix-NetScaler-Systemen vermutet, eine offizielle Bestätigung durch Boeing dafür gibt es nicht. Boeing erklärte, Strafverfolgungs- und Aufsichtsbehörden informiert zu haben und den Vorfall zu untersuchen. Im Mai 2024 wurde im Zuge einer Anklage des US-Justizministeriums gegen den mutmaßlichen LockBit-Administrator Dmitry Khoroshev bekannt, dass die Angreifer ursprünglich 200 Millionen US-Dollar Lösegeld gefordert hatten, was Boeing bestätigte. Boeing zahlte das geforderte Lösegeld nicht.

Die genaue Menge und der Inhalt der veröffentlichten Daten sind nicht abschließend geklärt, Quellen nennen unterschiedliche Größenangaben zwischen rund 40 und 50 Gigabyte. Der technische Einfallsvektor (vermutlich Citrix Bleed) sowie die Identität der konkret verantwortlichen LockBit-Mitglieder wurden von Boeing nie offiziell bestätigt.

Am 04.02.2015 gab der US-Krankenversicherer Anthem Inc. bekannt, Opfer eines Cyberangriffs auf seine IT-Systeme geworden zu sein. Die Angreifer hatten sich laut Unternehmensangaben bereits im Dezember 2014 Zugang zu den Systemen verschafft, ein Mitarbeiter entdeckte den unbefugten Zugriff am 27.01.2015. Betroffen waren die Daten von 78,8 Millionen aktuellen und ehemaligen Versicherten, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Adressen, E-Mail-Adressen sowie Beschäftigungs- und Einkommensangaben. Medizinische Behandlungsdaten und Zahlungsdaten wurden nach Unternehmensangaben nicht kompromittiert. Die Angreifer verschafften sich laut Ermittlungen des US-Justizministeriums über Spear-Phishing-E-Mails Zugang zum Netzwerk und wurden einer China-basierten Hackergruppe zugeordnet, gegen deren mutmaßliches Mitglied Fujie Wang im Mai 2019 Anklage erhoben wurde. Anthem einigte sich 2017 in einer Sammelklage auf eine Entschädigungssumme von 115 Millionen US-Dollar, zu diesem Zeitpunkt der größte Vergleich in einem Datenschutzfall in den USA. Zusätzlich zahlte Anthem 16 Millionen US-Dollar an das US-Gesundheitsministerium wegen HIPAA-Verstößen, die bis dahin höchste HIPAA-Strafzahlung. Der Fall gilt als der bis heute größte bekannt gewordene Datendiebstahl im US-Gesundheitswesen.

Aus dieser Quelle nicht abschließend belegt ist die exakte staatliche Urheberschaft: Ermittler stuften den Angriff als vermutlich staatlich gelenkt ein, ohne den Auftraggeber offiziell zu benennen, und der 2019 angeklagte Fujie Wang wurde bislang weder festgenommen noch verurteilt.

Am 14.05.2021 wurde der irische staatliche Gesundheitsdienst Health Service Executive (HSE) Ziel eines Ransomware-Angriffs der Gruppe Conti, der zur Abschaltung nahezu aller IT-Systeme im ganzen Land führte. Das irische National Cyber Security Centre (NCSC) hatte bereits am Vortag verdächtige Aktivität im Netzwerk des Gesundheitsministeriums festgestellt und dabei Cobalt-Strike-Beacons entdeckt, die typischerweise der lateralen Bewegung vor einem Ransomware-Einsatz dienen. Gegen 07:00 Uhr am 14.05.2021 meldete das NCSC den Angriff auf die HSE-Systeme, woraufhin die HSE vorsorglich sämtliche IT-Systeme landesweit abschaltete. Ein zeitgleicher Angriffsversuch auf das Gesundheitsministerium selbst wurde durch Antivirensoftware gestoppt. Laut dem im Dezember 2021 von PwC im Auftrag der HSE veröffentlichten Untersuchungsbericht erfolgte der erste Zugriff der Angreifer bereits am 18.03.2021 über eine mit Schadsoftware präparierte Excel-Datei aus einer Phishing-Mail, danach blieben die Angreifer rund acht Wochen unentdeckt im Netzwerk. Mehr als 80 Prozent der HSE-IT-Landschaft waren betroffen, 31 von 54 Akutkrankenhäusern mussten Operationen und Termine absagen und auf Papierdokumentation umstellen. Die Angreifer forderten späteren Berichten zufolge ein Lösegeld von rund 19.999.000 US-Dollar, das die irische Regierung nach eigener Aussage nicht zahlte. Am 20.05.2021 stellte die Conti-Gruppe dennoch kostenlos einen Entschlüsselungsschlüssel bereit. Bis September 2021 waren nach HSE-Angaben mehr als 95 Prozent der Server und Endgeräte wiederhergestellt.

Die zitierte NCSC-Meldung dokumentiert nur die ersten Tage des Angriffs. Lösegeldforderung, Gesamtkosten und der spätere Wiederherstellungsverlauf stammen aus nachfolgenden Berichten und schwanken je nach Quelle, etwa bei den geschätzten Gesamtkosten, die zwischen zig Millionen und über 100 Millionen Euro liegen.

Der Cloud-Softwareanbieter Blackbaud, dessen Systeme von tausenden gemeinnützigen Organisationen, Universitäten und Stiftungen zur Spenderverwaltung genutzt werden, wurde im Mai 2020 Opfer eines Ransomware-Angriffs auf seine selbst gehostete Cloud-Umgebung. Die Angreifer wurden vor vollständiger Verschlüsselung der Systeme gestoppt, kopierten zuvor jedoch einen Teil der Kundendaten. Rund 13.000 Kundenorganisationen weltweit waren betroffen, darunter zahlreiche britische Universitäten wie Oxford Brookes, Leeds, Manchester und Glasgow sowie US-amerikanische Hochschulen und Wohltätigkeitsorganisationen. Gestohlen wurden je nach betroffener Organisation Namen, Kontaktdaten, Geburtsdaten, Spendenhistorien, teilweise auch Sozialversicherungsnummern und Bankverbindungen von Spendern. Blackbaud teilte am 16.07.2020 öffentlich mit, Bankdaten und Sozialversicherungsnummern seien nicht zugänglich gewesen; diese Aussage stellte sich laut SEC innerhalb weniger Tage intern als falsch heraus, wurde von der Unternehmensleitung aber nicht korrigiert. Erst im September 2020 räumte Blackbaud in einer SEC-Meldung ein, dass Sozialversicherungsnummern und Bankdaten möglicherweise gestohlen worden waren. Im März 2023 einigte sich Blackbaud mit der SEC auf eine Zivilstrafe von 3 Millionen US-Dollar wegen irreführender Offenlegungspraxis. Zusätzlich zahlte Blackbaud 2023 rund 49,5 Millionen US-Dollar zur Beilegung eines Verfahrens mit den Generalstaatsanwälten von 49 US-Bundesstaaten.

Die exakte Gesamtzahl der individuell betroffenen Spender und Personen weltweit ist aus dieser Quelle nicht belegt, ebenso wenig die Identität der Angreifer oder ob Lösegeld gezahlt wurde. Die SEC-Strafe betrifft nur die irreführende Offenlegung gegenüber Investoren, nicht die Datenschutzverstöße gegenüber den betroffenen Spendern selbst.

Am 16. Juli 2021 verhängte die luxemburgische Datenschutzbehörde CNPD (Commission Nationale pour la Protection des Données) gegen Amazon Europe Core S.à r.l. ein Bußgeld in Höhe von 746 Millionen Euro. Bekannt wurde die Entscheidung am 30. Juli 2021, als Amazon sie in ihrem Quartalsbericht bei der US-Börsenaufsicht SEC offenlegte. Die CNPD warf Amazon vor, personenbezogene Daten seiner Kunden ohne wirksame und freiwillige Einwilligung für personalisierte Werbung zu verarbeiten und damit gegen die Grundsätze der Transparenz und Zweckbindung der DSGVO zu verstoßen. Grundlage des Verfahrens war eine Sammelbeschwerde, die die französische Bürgerrechtsorganisation La Quadrature du Net im Mai 2018 gemeinsam mit rund 10.000 Unterstützern eingereicht hatte. Mit 746 Millionen Euro war dies zum Zeitpunkt der Verhängung das höchste jemals von einer europäischen Datenschutzbehörde verhängte DSGVO-Bußgeld und übertraf die bisherige Rekordstrafe von 50 Millionen Euro gegen Google aus dem Jahr 2019 um ein Vielfaches. Amazon wies die Vorwürfe zurück und legte Rechtsmittel gegen die Entscheidung ein. Im März 2025 bestätigte das Verwaltungsgericht Luxemburg die Entscheidung der CNPD und die Bußgeldhöhe von 746 Millionen Euro in vollem Umfang.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Form Amazon nach der Bestätigung durch das Verwaltungsgericht Luxemburg im März 2025 weitere Rechtsmittel eingelegt hat und ob die Summe bereits tatsächlich gezahlt wurde.

Am 21.01.2019 verhängte die formation restreinte der französischen Datenschutzbehörde CNIL eine Geldbuße von 50 Millionen Euro gegen Google LLC. Es war die erste große Sanktion unter der seit Mai 2018 geltenden EU-Datenschutz-Grundverordnung und zum Zeitpunkt der Verhängung die höchste von einer europäischen Datenschutzbehörde ausgesprochene Strafe. Grundlage waren zwei Sammelbeschwerden der Organisationen None Of Your Business (NOYB) um Max Schrems und La Quadrature du Net vom 25. und 28.05.2018. Die CNIL stellte einen Verstoß gegen Artikel 12 und 13 DSGVO fest, weil Informationen zur Datenverarbeitung bei der Einrichtung eines Android-Kontos auf mehrere Dokumente verstreut und schwer auffindbar waren. Zudem sah die Behörde einen Verstoß gegen Artikel 6 DSGVO, da die Einwilligung zur personalisierten Werbung nicht wirksam eingeholt wurde, unter anderem weil das Zustimmungskästchen bei der Kontoerstellung bereits vorangehakt war. Google legte gegen die Entscheidung Rechtsmittel beim Conseil d'État ein. Am 19.06.2020 bestätigte der Conseil d'État die Sanktion vollständig und wies die Beschwerde von Google zurück.

Die Entscheidung betrifft primär die Einwilligung zur personalisierten Werbung bei der Einrichtung eines Android-Kontos, nicht klassische Cookie-Banner auf Webseiten; eine gesonderte CNIL-Sanktion gegen Google wegen Cookies in Höhe von 100 Millionen Euro erfolgte erst im Dezember 2020. Die genaue Zahl der in Frankreich betroffenen Nutzerkonten ist aus der Quelle nicht ersichtlich.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) verhängte am 01.10.2020 ein Bußgeld in Höhe von 35.258.707,95 Euro gegen die H&M Hennes & Mauritz Online Shop A.B. & Co. KG. Betroffen war das Servicecenter des Unternehmens in Nürnberg, wo mehrere hundert Mitarbeiterinnen und Mitarbeiter mindestens seit dem Jahr 2014 von der Centerleitung überwacht wurden. Vorgesetzte Teamleader führten nach Urlaubs- und Krankheitsabwesenheiten sogenannte Welcome-Back-Talks durch und notierten dabei unter anderem Krankheitssymptome, Diagnosen sowie konkrete Urlaubserlebnisse. Über Einzel- und Flurgespräche eigneten sich einige Vorgesetzte zusätzlich Wissen über familiäre Probleme und religiöse Bekenntnisse ihrer Mitarbeitenden an. Die Aufzeichnungen wurden dauerhaft auf einem Netzlaufwerk gespeichert und waren für bis zu 50 weitere Führungskräfte im Unternehmen einsehbar. Bekannt wurde die Praxis, weil die Notizen im Oktober 2019 infolge eines Konfigurationsfehlers für einige Stunden unternehmensweit zugänglich waren. Die Behörde ließ daraufhin rund 60 Gigabyte Daten sichern und auswerten sowie zahlreiche Zeuginnen und Zeugen vernehmen. H&M entschuldigte sich, zahlte unbürokratischen Schadenersatz und führte am Standort Nürnberg ein neues Datenschutzkonzept ein.

Die genaue Zahl der betroffenen Beschäftigten wird in der Pressemitteilung nur als mehrere hundert angegeben, nicht exakt beziffert. Ob H&M gegen den Bußgeldbescheid rechtlich vorging oder dieser rechtskräftig wurde, geht aus der Quelle nicht hervor.

Am 21.02.2024 legte ein Ransomware-Angriff der Gruppe ALPHV/BlackCat den IT-Betrieb von Change Healthcare lahm, einem Tochterunternehmen von UnitedHealth Group, das rund ein Drittel aller US-Krankenversicherungsabrechnungen verarbeitet. Die Angreifer verschafften sich bereits am 12.02.2024 über ein Citrix-Fernzugangsportal Zugang, das entgegen der Unternehmensrichtlinie nicht durch Multi-Faktor-Authentifizierung geschützt war. In neun Tagen bewegten sie sich lateral durch die Systeme und exfiltrierten schätzungsweise sechs Terabyte an Daten, bevor am 21.02.2024 die Ransomware ausgelöst wurde. UnitedHealth Group zahlte im Anschluss ein Lösegeld von 22 Millionen US-Dollar, erhielt jedoch keine vollständige Zusicherung der Datenlöschung. Betroffen waren Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Krankenversicherungs-, Diagnose-, Behandlungs- und Abrechnungsdaten. Die Zahl der gemeldeten Betroffenen wurde mehrfach nach oben korrigiert, von anfänglich rund 100 Millionen auf schließlich 192,7 Millionen Individuen, fast zwei Drittel der US-Bevölkerung. UnitedHealth bezifferte die Gesamtauswirkungen des Angriffs bis Ende September 2024 auf 2,457 Milliarden US-Dollar.

Nicht abschließend geklärt sind der genaue Umfang der tatsächlich missbrauchten Daten je Betroffenem sowie der Ausgang der zivilrechtlichen Sammelklagen und der behördlichen HIPAA-Untersuchung, die zum Zeitpunkt der Recherche noch keine abschließenden Ergebnisse veröffentlicht hatte.

Der australische Logistikkonzern Toll Group wurde 2020 innerhalb weniger Monate zweimal von unterschiedlichen Ransomware-Gruppen angegriffen. Am 31.01.2020 entdeckte Toll eine Infektion mit einer neuen Variante der Ransomware Mailto, woraufhin das Unternehmen am 05.02.2020 öffentlich bekanntgab, aus Vorsicht zahlreiche IT-Systeme abgeschaltet zu haben. Nach Medienberichten waren bis zu 1.000 Server und rund 500 Unternehmensanwendungen betroffen, unter anderem das Active Directory, und aus einem Server wurden rund 220 Gigabyte Daten entwendet. Die vollständige Wiederherstellung der Kernsysteme dauerte mehr als sechs Wochen. Am 05.05.2020 schaltete Toll erneut vorsorglich IT-Systeme ab, diesmal verantwortlich war die Ransomware-Gruppe Nefilim. Die Angreifer entwendeten aktuelle und frühere Geschäftsvereinbarungen sowie Mitarbeiterdaten von mindestens einem Server. Der Ausfall des Kundenportals MyToll behinderte die Umleitung von Sendungen an alternative Abholstellen und störte den Lieferbetrieb. Toll-Geschäftsführer Thomas Knudsen entschuldigte sich öffentlich bei den Betroffenen und erklärte, das Unternehmen werde kein Lösegeld zahlen, und informierte das Australian Cyber Security Centre sowie die australische Bundespolizei.

Aus den verfügbaren Quellen ist nicht abschließend belegt, wie viele Kunden individuell betroffen waren, ob ein technischer Zusammenhang zwischen beiden Angriffen bestand und ob die von Nefilim angedrohte vollständige Veröffentlichung der gestohlenen Daten im Darknet tatsächlich umgesetzt wurde.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit erließ am 30.10.2019 gegen die Deutsche Wohnen SE einen Bußgeldbescheid in Höhe von rund 14,5 Millionen Euro wegen Verstößen gegen die Datenschutz-Grundverordnung. Bei Vor-Ort-Prüfungen im Juni 2017 und im März 2019 stellte die Aufsichtsbehörde fest, dass das Unternehmen für personenbezogene Daten von Mieterinnen und Mietern ein Archivsystem nutzte, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu entfernen. Betroffen waren unter anderem Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits- und Ausbildungsverträgen sowie Steuer-, Sozial- und Krankenversicherungsdaten, die teilweise Jahre alt waren. Obwohl die Behörde bereits 2017 dringend eine Umstellung des Archivsystems empfohlen hatte, konnte das Unternehmen auch bei der Nachprüfung im März 2019 weder eine Bereinigung des Datenbestands noch rechtliche Gründe für die fortdauernde Speicherung vorweisen. Grundlage für die Bußgeldhöhe war der weltweite Jahresumsatz der Deutsche Wohnen SE von über einer Milliarde Euro, woraus sich ein gesetzlicher Bußgeldrahmen von rund 28 Millionen Euro ergab. Neben der Sanktion für den strukturellen Verstoß verhängte die Behörde zusätzliche Bußgelder zwischen 6.000 und 17.000 Euro in 15 konkreten Einzelfällen unzulässiger Datenspeicherung.

Die Pressemitteilung nennt keine Gesamtzahl der insgesamt betroffenen Mieterinnen und Mieter; der weitere Rechtsweg mit späteren gerichtlichen Reduzierungen des Bußgelds, unter anderem durch das Landgericht Berlin und ein EuGH-Urteil vom 05.12.2023, ist in dieser Quelle nicht erfasst.

Der GDPR Enforcement Tracker, eine von der internationalen Anwaltskanzlei CMS betriebene Datenbank, dokumentiert seit Inkrafttreten der Datenschutz-Grundverordnung am 25.05.2018 alle öffentlich bekannt gewordenen Bußgelder europäischer Datenschutzbehörden. Stand 19.08.2026 verzeichnet die Datenbank 3.206 Bußgeldverfahren aus 32 Ländern mit einer kumulierten Gesamtsumme von rund 6,31 Milliarden Euro. Irland führt die Rangliste nach Gesamtsumme deutlich an, unter anderem wegen der bisher höchsten Einzelstrafe von 1,2 Milliarden Euro gegen Meta Platforms Ireland Limited vom 12.05.2023. Nach Anzahl der Verfahren liegt Spanien mit 1.079 Fällen an der Spitze, gefolgt von Italien und Rumänien. Nach Branchen entfallen die höchsten Bußgeldsummen auf den Sektor Medien, Telekommunikation und Rundfunk. Die Datenbank wird fortlaufend aktualisiert, sodass sich Fallzahlen und Gesamtsumme täglich verändern können.

Die Datenbank erfasst nur öffentlich bekannt gewordene Bußgelder; informelle Verwarnungen, nicht-monetäre Anordnungen und unveröffentlichte Verfahren fehlen, und einzelne Großstrafen wie die Meta-Buße sind wegen laufender Rechtsmittel noch nicht rechtskräftig.

In der Nacht zum 10. September 2020 wurden rund 30 Server des Universitätsklinikums Düsseldorf durch eine Ransomware verschlüsselt, die über eine seit Dezember 2019 bekannte, ungepatchte Sicherheitslücke in einer Citrix-Anwendung ins Kliniknetzwerk gelangt war. Wegen des IT-Ausfalls musste die Notaufnahme vorübergehend geschlossen werden. In der Nacht zum 11. September 2020 wurde deshalb eine 78-jährige Patientin mit einem lebensbedrohlichen Aneurysma per Rettungswagen in eine rund 32 Kilometer entfernte Klinik in Wuppertal umgeleitet, wodurch sich ihre Behandlung um etwa eine Stunde verzögerte. Die Frau starb kurz darauf. Die Staatsanwaltschaft Köln leitete Ermittlungen wegen fahrlässiger Tötung gegen die unbekannten Angreifer ein, der weltweit erste dokumentierte Verdachtsfall eines Todes durch einen Ransomware-Angriff. Nachdem die Polizei den Erpressern mitgeteilt hatte, dass sie statt der eigentlich als Ziel vorgesehenen Heinrich-Heine-Universität die Uniklinik getroffen hatten, zogen die Täter ihre Lösegeldforderung zurück und übermittelten kostenlos einen Entschlüsselungsschlüssel. Am 17. November 2020 stellte die Staatsanwaltschaft Köln die Ermittlungen wegen des Todesfalls ein, da eine Obduktion ergeben hatte, dass die Patientin wahrscheinlich auch ohne die Verzögerung gestorben wäre.

Aus dieser Quelle nicht belegt ist die genaue Identität der Angreifer sowie ob ihr tatsächlicher Standort in Russland zweifelsfrei feststeht. Offen bleibt zudem, ob weitere Patienten durch die tagelange Einschränkung der Notaufnahme gesundheitliche Nachteile erlitten.

Am 08.06.2013 veröffentlichte The Guardian auf Basis von durch Edward Snowden geleakten Dokumenten Berichte über das interne NSA-Tool Boundless Informant, ein Big-Data-Analyse- und Visualisierungswerkzeug, mit dem die NSA weltweit gesammelte Metadaten aus Telefon- und Internetverkehr länderweise kartiert und quantifiziert. Laut den Dokumenten sammelte die NSA in einem 30-Tage-Zeitraum bis März 2013 weltweit rund 97 Milliarden Internet-Datensätze und 125 Milliarden Telefon-Metadatensätze. Die meisten Datensätze im März 2013 stammten aus dem Iran mit über 14 Milliarden, gefolgt von Pakistan mit 13,5 Milliarden und Jordanien mit 12,7 Milliarden. Aus den USA selbst wurden im gleichen Zeitraum fast 3 Milliarden Datensätze erfasst. Für Deutschland wiesen die Unterlagen rund 552 Millionen erfasste Telefon- und Internet-Metadatensätze im Zeitraum vom 10.12.2012 bis 08.01.2013 aus. NSA-Direktor Keith Alexander bezeichnete daraus abgeleitete Vorwürfe einer Massenüberwachung eigener Bürger als völlig falsch.

Aus dieser Quelle nicht abschließend belegt ist, ob und in welchem Umfang die als deutsche Metadaten interpretierten 552 Millionen Datensätze tatsächlich innerdeutsche Kommunikation betrafen oder auf gemeinsamer Erhebung mit dem BND beruhten.

Am 07.04.2014 wurde die Sicherheitslücke Heartbleed in der Kryptografie-Bibliothek OpenSSL öffentlich bekannt gegeben und als CVE-2014-0160 registriert. Die Schwachstelle wurde unabhängig voneinander von Neel Mehta vom Google-Sicherheitsteam sowie von Codenomicon-Forschern entdeckt. Ursache war ein fehlerhaft implementierter Heartbeat-Mechanismus, den der Entwickler Robin Seggelmann am 31.12.2011 in den OpenSSL-Quellcode einfügte; der fehlerhafte Code gelangte mit der Version OpenSSL 1.0.1 am 14.03.2012 in den produktiven Einsatz. Der Fehler erlaubte es Angreifern, spurlos pro Anfrage bis zu 64 Kilobyte Arbeitsspeicher eines Servers auszulesen, darunter private Schlüssel und Passwörter. Unmittelbar mit der verwundbaren OpenSSL-Version betrieben wurden schätzungsweise rund 500.000 der weltweiten SSL-gesicherten Webserver. Zeitgleich mit der Offenlegung am 07.04.2014 veröffentlichten die OpenSSL-Entwickler die reparierte Version 1.0.1g. Die kanadische Steuerbehörde Canada Revenue Agency meldete den Diebstahl von rund 900 Sozialversicherungsnummern über die Lücke. Der IT-Branchendienst eWeek schätzte den weltweiten wirtschaftlichen Schaden auf etwa 500 Millionen US-Dollar.

Wie viele Angriffe vor der öffentlichen Offenlegung tatsächlich stattfanden, bleibt unbekannt, da ein Datenabgriff über Heartbleed keine Spuren in Server-Logs hinterlässt. Die genannte Schadenssumme ist eine grobe Branchenschätzung ohne belastbare Gesamterhebung.

Am 27.06.2017 begann sich die als Ransomware getarnte Schadsoftware Petya/NotPetya über ein kompromittiertes Update der ukrainischen Steuersoftware M.E.Doc weltweit auszubreiten und Windows-Systeme zu verschlüsseln. Am 28.06.2017 veröffentlichten die Kaspersky-Forscher Anton Ivanov und Orkhan Mamedov eine technische Analyse mit dem Titel ExPetr/Petya/NotPetya is a Wiper, Not Ransomware. Die Analyse zeigte, dass die auf dem Erpresserbildschirm angezeigte Installations-ID mit der Windows-Funktion CryptGenRandom erzeugt wird und somit aus rein zufälligen Daten besteht. Bei echter Ransomware enthält diese ID verschlüsselte Informationen, aus denen die Angreifer mittels ihres privaten Schlüssels den passenden Entschlüsselungsschlüssel ableiten können. Da die von NotPetya angezeigte ID keinen Bezug zum tatsächlichen Verschlüsselungsschlüssel hat, können die Angreifer selbst nach Zahlung des Lösegelds keine funktionierende Entschlüsselung liefern. Kaspersky folgerte daraus, dass die Software auf dauerhafte Datenzerstörung ausgelegt war. Diese Unterscheidung veränderte die öffentliche und politische Einordnung des Angriffs, der später von Geheimdiensten mehrerer Staaten dem russischen Militärgeheimdienst GRU zugeschrieben wurde.

Die Kaspersky-Analyse belegt die technische Unmöglichkeit der Entschlüsselung, macht aber keine Aussage zur Täterschaft oder zum genauen Gesamtschaden; die spätere Zuschreibung an den russischen GRU sowie die Schadenssumme von über 10 Milliarden US-Dollar stammen aus separaten, späteren Quellen.

Am 24. Oktober 2017 begann eine Ransomware-Angriffswelle namens Bad Rabbit, die vor allem Russland und die Ukraine traf, mit vereinzelten Meldungen auch aus der Türkei, Bulgarien, Deutschland und Japan. Zu den bekanntesten Opfern zählten die russische Nachrichtenagentur Interfax, die Kiewer Metro, der Flughafen Odessa sowie das ukrainische Infrastruktur- und Finanzministerium. Die Schadsoftware wurde über kompromittierte, überwiegend russische Nachrichten-Websites per Drive-by-Download verbreitet und gab sich als gefälschtes Adobe-Flash-Installationsprogramm aus. Innerhalb von Firmennetzwerken verbreitete sich Bad Rabbit zusätzlich über den Exploit EternalRomance, der auf durchgesickerten NSA-Werkzeugen basiert. Die Ransomware verschlüsselte Dateien mit AES-128 und ganze Festplattenpartitionen mittels DiskCryptor-Treiber. Die Angreifer forderten ein Lösegeld von 0,05 Bitcoin, umgerechnet rund 280 US-Dollar. Laut Telemetriedaten von Kaspersky wurden knapp 200 Ziele registriert. Sicherheitsforscher von Kaspersky und ESET stellten Code-Überschneidungen zwischen Bad Rabbit und NotPetya fest. Im Oktober 2018 ordnete die britische Regierung den Angriff gemeinsam mit NotPetya dem russischen Militärgeheimdienst GRU zu.

Die genaue Zahl tatsächlich verschlüsselter Systeme sowie der finanzielle Gesamtschaden sind aus dieser Quelle nicht beziffert. Die spätere Zuschreibung an den russischen Militärgeheimdienst GRU wurde von Russland zurückgewiesen und nie in einem Gerichtsverfahren festgestellt.