Quellen-Tabelle

Im März 2008 deckte das Magazin Stern auf, dass Lidl Mitarbeiter in zahlreichen Filialen mit versteckten Kameras und beauftragten Detekteien überwachen ließ. Dokumentiert wurden Toilettengänge, vermutete Schwangerschaften und die private und gesundheitliche Situation von Beschäftigten. Zwölf Datenschutzbehörden ermittelten gemeinsam gegen 35 Lidl-Vertriebsgesellschaften und stellten bei 30 davon rechtswidrige Überwachung fest. Am 11.09.2008 verhängten die Behörden ein Gesamtbußgeld von 1.462.000 Euro, das bis dahin höchste in Deutschland verhängte Datenschutzbußgeld.

Wie viele Beschäftigte tatsächlich betroffen waren, ist nicht genau beziffert. Die einzelnen Bußgelder gegen die 35 Vertriebsgesellschaften reichten Presseberichten zufolge von 10.000 bis über 300.000 Euro, ohne vollständig übereinstimmende Einzelsummen. Lidl bestritt öffentlich gezielte Ausspähung und erklärte, Kameras seien vorrangig zur Diebstahlbekämpfung eingesetzt worden.

Die Deutsche Bahn glich 2002 und 2003 heimlich die Daten von rund 173.000 der damals etwa 240.000 Beschäftigten mit einem Verzeichnis von rund 80.000 Lieferanten ab, um mögliche Korruption aufzudecken. Ein konkreter Verdacht bestand nicht, Betroffene wurden nicht informiert. Öffentlich bekannt wurde die Rasterfahndung erst Ende Januar 2009. Der Berliner Datenschutzbeauftragte Alexander Dix verhängte ein Bußgeld von rund 1,1 Millionen Euro, das die Bahn im Oktober 2009 akzeptierte.

Wie viele der 173.000 abgeglichenen Datensätze zu weiteren Ermittlungen führten, ist nicht dokumentiert. Weitere, eigenständige Datenabgleiche und eine E-Mail-Überwachung bei der Bahn aus anderen Jahren sind hier nicht mitgerechnet.

Die CNIL verhängte am 27.12.2023 ein Bußgeld von 32 Millionen Euro gegen Amazon France Logistique wegen übermäßig intrusiver Überwachung der Lagerbeschäftigten: Handscanner erfassten sekundengenau Leerlaufzeiten und zu schnelle Scanvorgänge, dazu kamen mangelhafte Informationspflichten. Der Conseil d'État reduzierte das Bußgeld am 23.12.2025 auf 15 Millionen Euro: Die Scanner-Leistungsindikatoren selbst erklärte das Gericht für rechtmäßig, bestätigte aber Verstöße gegen Datenminimierung durch 31-tägige Speicherung sowie Informations- und Sicherheitsmängel.

Amazon wies die CNIL-Feststellungen teilweise als sachlich falsch zurück, eine unabhängige Prüfung liegt nicht vor. Der Fall betrifft ausschließlich französische Amazon-Logistikzentren, ob identische Systeme in deutschen Lagern eingesetzt werden, ist nicht Teil dieser Entscheidung.

Am 12.06.2022 wurde der hessische IT-Dienstleister Count+Care, eine Tochter des Energieversorgers Entega, Opfer eines Ransomware-Angriffs. Betroffen waren auch Entega selbst, die Frankfurter Entsorgungs- und Service-Gruppe FES, das Darmstädter Verkehrsunternehmen Heag sowie die Mainzer Stadtwerke. Webseiten und E-Mail-Systeme fielen aus, die Versorgung mit Strom, Gas und Wasser lief über getrennte Systeme weiter. Im Juli 2022 veröffentlichten die Angreifer Namen, Adressen und Verbrauchsdaten von Kunden und Beschäftigten im Darknet.

Wer hinter dem Angriff steckt, wurde öffentlich nicht bestätigt. Ein in Medienberichten genannter Verweis auf die Gruppe Conti bezog sich tatsächlich auf einen anderen, zeitgleichen Angriff auf Nordex. Die genaue Zahl betroffener Personen wurde nicht beziffert.

In der Nacht zum 15.10.2021 verschlüsselte die Ransomware DeepBlueMagic Server des kommunalen IT-Dienstleisters Kommunalservice Mecklenburg. Betroffen waren die Verwaltungen der Landeshauptstadt Schwerin und des Landkreises Ludwigslust-Parchim, deren gesamte IT-Infrastruktur heruntergefahren wurde. Bürgerbüros und Kfz-Zulassungsstellen blieben tagelang geschlossen. Die vollständige Wiederherstellung zog sich bis mindestens Januar 2022 hin.

Ob vor der Verschlüsselung Daten abgeflossen sind, ist nicht abschließend geklärt. Die Täterzuordnung bleibt unsicher, Sicherheitsforscher vermuteten eine Herkunft aus China, ohne dass eine Gruppe rechtskräftig identifiziert wurde.

Der italienische Energiekonzern Enel Group wurde 2020 zweimal von unterschiedlicher Ransomware getroffen. Am 07.06.2020 entdeckte Enel einen Angriff mit der Ransomware Snake/EKANS und erklärte, es sei zu keiner erfolgreichen Verschlüsselung gekommen. Ende Oktober 2020 wurde Enel von der Gruppe Netwalker ein zweites Mal angegriffen, die eine Lösegeldforderung von 14 Millionen US-Dollar stellte und behauptete, rund 5 Terabyte Firmendaten entwendet zu haben. Sicherheitsforscher führten beide Angriffe auf ungesicherte Remote-Desktop-Zugänge zurück.

Ob Enel tatsächlich Lösegeld gezahlt hat, ist nicht öffentlich belegt. Die Angabe von 5 Terabyte gestohlener Daten stammt allein von der Erpressergruppe selbst und wurde von Enel weder bestätigt noch widerlegt.

Ab Mitte Dezember 2020 nutzten Angreifer vier zuvor unbekannte Schwachstellen in der veralteten Dateiübertragungssoftware Accellion FTA aus, luden über die Webshell DEWMODE Kundendaten herunter und drohten mit Veröffentlichung. Laut gemeinsamer Sicherheitswarnung vom 24.02.2021 waren mindestens 13 Organisationen betroffen, darunter Kroger, die Kanzlei Jones Day und die University of Colorado, die eine Lösegeldforderung von zunächst 17 Millionen Dollar erhielt, aber nicht zahlte, woraufhin Daten von mehr als 310.000 Personen veröffentlicht wurden. Mandiant ordnete die Angreifer der Gruppe FIN11 und dem Umfeld der Clop-Ransomware zu.

Die Gesamtzahl betroffener Accellion-Kunden schwankt je nach Quelle zwischen unter 100 und rund 100 Firmen. Eine offizielle Gesamtsumme aller erpressten Zahlungen wurde nie beziffert.

Am Wochenende vor dem 29.12.2018 legte ein Ransomwareangriff mit der Schadsoftware Ryuk die Produktions- und Drucksysteme des US-Medienkonzerns Tribune Publishing lahm. Betroffen waren Chicago Tribune, Baltimore Sun und weitere Tribune-Titel sowie über geteilte Drucksysteme auch Los Angeles Times und San Diego Union-Tribune. Abonnenten erhielten verspätete oder gekürzte Wochenendausgaben. Nach Unternehmensangaben wurden Kundendaten nicht kompromittiert, die Malware sei von außerhalb der USA eingeschleust worden.

Eine offizielle Täterzuordnung liegt nicht vor. Sicherheitsfirmen stellten Code-Ähnlichkeiten zur Malware Hermes fest und brachten den Angriff spekulativ mit der nordkoreanischen Gruppe Lazarus in Verbindung, ohne behördliche Bestätigung. Ob eine Lösegeldforderung gestellt oder gezahlt wurde, ist nicht dokumentiert.

Am 09. und 10.12.2021 wurde die kritische Sicherheitslücke CVE-2021-44228 (Log4Shell) in der Java-Bibliothek Apache Log4j2 öffentlich bekannt, mit dem höchstmöglichen CVSS-Wert von 10,0. Über präparierte Log-Nachrichten mit JNDI-Lookups konnten Angreifer aus der Ferne beliebigen Code ausführen. Entdeckt wurde die Lücke am 24.11.2021 vom Alibaba-Cloud-Forscher Chen Zhaojun. Apache veröffentlichte am 10.12.2021 einen ersten Patch, weitere folgten bis Anfang Januar 2022. CISA, FBI und NSA warnten am 22.12.2021 vor anhaltender aktiver Ausnutzung.

Das genaue weltweite Ausmaß der Kompromittierungen ist nicht abschließend geklärt, Angaben stammen überwiegend von einzelnen Sicherheitsfirmen. Berichte über chinesische Sanktionen gegen Alibaba Cloud wegen verspäteter Meldung sind nicht offiziell bestätigt. Ein amtlich bezifferter Gesamtschaden liegt nicht vor.

Am 20. und 21.03.2022 veröffentlichte die von Microsoft als DEV-0537 geführte Gruppe Lapsus$ Archive mit Quellcode aus über 250 internen Projekten, darunter rund 90 Prozent des Bing-Quellcodes sowie Teile von Bing Maps und Cortana. Microsoft bestätigte den Vorfall am 22.03.2022 und erklärte, es sei lediglich ein einzelnes Mitarbeiterkonto kompromittiert worden, Kundendaten seien nicht betroffen gewesen. Microsoft beschrieb die typische Vorgehensweise der Gruppe: Kauf gestohlener Zugangsdaten, SIM-Swapping, Anrufe bei Support-Helpdesks und Erzwingen von Multi-Faktor-Freigaben durch wiederholte Anmeldeanfragen.

Wie das Mitarbeiterkonto ursprünglich erbeutet wurde, hat Microsoft nicht öffentlich benannt. Die Zahlenangaben zu Archivgröße und Quellcodeanteilen stammen aus externen Auswertungen, nicht aus einer von Microsoft bestätigten Gesamtmenge. Eine strafrechtliche Verurteilung speziell für den Microsoft-Vorfall ist nicht dokumentiert.

Ryan Mitchell Kramer aus Santa Clarita verschaffte sich Anfang 2024 über als KI-Bildgenerator getarnte Schadsoftware auf GitHub Zugriff auf den privaten Computer eines Disney-Mitarbeiters. Mit dessen Zugangsdaten drang er in den beruflichen Slack-Account ein und lud im Mai 2024 rund 1,1 Terabyte Daten aus fast 10.000 internen Disney-Slack-Kanälen herunter. Unter der erfundenen Identität NullBulge veröffentlichte er die Daten am 12.07.2024. Kramer bekannte sich am 01.05.2025 schuldig und wurde am 15.05.2026 zu 15 Monaten Haft verurteilt.

Die Angaben zu Kanalzahl und Datenmenge stammen aus Ermittlungsunterlagen, ohne unabhängige Bestätigung durch Disney. Ursprüngliche Medienberichte ordneten den Angriff fälschlich einer real existierenden russischen Hacktivistengruppe zu, erst die Anklage stellte klar, dass Kramer allein handelte.

Am 03.06.2024 griff die Ransomware-Gruppe Qilin den Labordienstleister Synnovis an, der Bluttests für NHS-Krankenhäuser in Südost-London durchführt. Der Angriff führte zu über 10.000 abgesagten Terminen und rund 1.700 verschobenen Operationen sowie einem Engpass bei Blutkonserven. Am 25.06.2025 bestätigte das King's College Hospital, dass eine verzögerte Bluttest-Auswertung ein Faktor beim Tod eines Patienten war, der erste bestätigte Todesfall im Zusammenhang mit einem Ransomware-Angriff in Großbritannien. Qilin veröffentlichte zudem Patientendaten von mehr als 900.000 Personen.

Die Identität des verstorbenen Patienten sowie die vollständige Liste der beitragenden Faktoren wurden aus Datenschutzgründen nicht veröffentlicht. Ein förmliches Coroner-Verfahren mit bindender Todesursachenfeststellung liegt bislang nicht vor. Die Zahl von über 900.000 Betroffenen gilt laut NHS England als vorläufige Schätzung.

Der Lieferketten-Softwareanbieter Blue Yonder meldete am 21.11.2024 einen Ransomwareangriff auf seine gehostete Managed-Services-Umgebung. Betroffen waren Starbucks, dessen rund 11.000 nordamerikanische Filialen auf Stift und Papier für Dienstplanung zurückgriffen, sowie die britischen Supermarktketten Morrisons und Sainsbury's. Die Erpressergruppe Termite bekannte sich zu dem Angriff und behauptete, rund 680 GB Daten erbeutet zu haben, darunter über 16.000 E-Mail-Adressen und mehr als 200.000 Dokumente. Blue Yonder meldete Anfang Dezember 2024 Fortschritte bei der Wiederherstellung.

Die von Termite behauptete Datenmenge ist nicht unabhängig verifiziert, Blue Yonder bestätigte weder Umfang noch Art der Daten offiziell. Morrisons erklärte, das eigene Netzwerk sei nicht kompromittiert gewesen. Ob ein Lösegeld gezahlt wurde, ist nicht bekannt.

Halliburton wurde am 21.08.2024 Opfer eines Cyberangriffs, woraufhin das Unternehmen vorsorglich mehrere IT-Systeme abschaltete. Es meldete den Vorfall am 23.08.2024 bei der SEC. Technische Analysen einer gefundenen Schadsoftware ordneten den Angriff der seit Februar 2024 aktiven Gruppe RansomHub zu. Bei der Quartalsergebnispräsentation am 08.11.2024 bezifferte Halliburton die Kosten auf rund 35 Millionen Dollar, Rechnungsstellung und Zahlungseinzug waren zeitweise gestört.

Der Erstzugriffsweg und eine etwaige Lösegeldzahlung sind nicht öffentlich bestätigt. Halliburton nennt in seinen SEC-Meldungen weder die Tätergruppe noch das Wort Ransomware. Die 35-Millionen-Dollar-Angabe deckt nur im dritten Quartal 2024 verbuchte Kosten ab.

DOJ und FBI gaben am 18.09.2024 eine gerichtlich genehmigte Operation bekannt, mit der sie ein Botnetz aus mehr als 260.000 kompromittierten Geräten zerschlugen. Das Botnetz wurde laut FBI von der in Peking ansässigen Integrity Technology Group betrieben, bekannt als staatsnahe Gruppe Flax Typhoon. Betroffen waren vor allem Router, IP-Kameras und Netzwerkspeicher weltweit, allein in den USA rund 126.000 Geräte. Auf Grundlage einer Rule-41-Gerichtsanordnung entfernte das FBI die Schadsoftware per Fernzugriff.

In welchem Umfang das Botnetz bereits für Sabotage oder Spionage eingesetzt wurde, ist nicht belegt. Die Zuordnung zu Integrity Technology Group stammt ausschließlich aus US-Behördenangaben, eine unabhängige gerichtliche Feststellung außerhalb der USA liegt nicht vor.

Ab spätestens 03.12.2023 nutzte die mutmaßlich chinesische Gruppe UNC5221 zwei unbekannte Schwachstellen in Ivanti Connect Secure und Policy Secure VPN-Gateways aus. Ivanti veröffentlichte die Schwachstellen am 10.01.2024, Mandiant ordnete die Angriffe UNC5221 zu und dokumentierte eigens entwickelte Schadsoftware. Volexity zählte bis Mitte Januar 2024 mehr als 2.100 kompromittierte Geräte weltweit. CISA ordnete am 19.01.2024 per Notfallanweisung an, betroffene Geräte in Bundesbehörden bis zum 02.02.2024 vom Netz zu nehmen.

Mandiant stuft die Zuordnung zu China nur als moderate confidence ein, gestützt auf Indizien, nicht auf direkte Beweise. Eine mögliche Verbindung zur Gruppe Volt Typhoon wurde ausdrücklich nicht bestätigt. Eine vollständige Opferliste ist nicht öffentlich dokumentiert.

Am 01.03.2024 ging eine Bitcoin-Zahlung von rund 22 Millionen Dollar an eine Wallet der Gruppe ALPHV/BlackCat, ausgelöst durch deren Angriff auf Change Healthcare. Ein Affiliate namens Notchy beschwerte sich, seinen Anteil nicht erhalten zu haben. Die Leak-Website der Gruppe zeigte daraufhin ein vermutlich gefälschtes Beschlagnahmungsbanner, die Infrastruktur ging offline. Notchy gab eine Kopie der Daten an die Gruppe RansomHub weiter, die Change Healthcare erneut erpresste; UnitedHealth-CEO Andrew Witty bestätigte die Zahlung am 01.05.2024 vor dem Senat.

Ob das Beschlagnahmungsbanner echt oder von der ALPHV-Führung selbst inszeniert war, ist nicht offiziell bestätigt, das FBI äußerte sich dazu nicht. Die reale Identität von Notchy ist nicht bekannt. Ob RansomHub organisatorisch mit ALPHV verbunden ist, wird unterschiedlich eingeschätzt.

Am 01.05.2024 sagte UnitedHealth-CEO Andrew Witty vor dem Senate Finance Committee zum Angriff auf Change Healthcare aus und bestätigte erstmals öffentlich die Zahlung von rund 22 Millionen Dollar an BlackCat/ALPHV. Als Ursache nannte er einen extern erreichbaren Citrix-Server ohne Multi-Faktor-Authentifizierung, kompromittiert mit gestohlenen Zugangsdaten. Witty gab an, möglicherweise sei ein Drittel der US-Bevölkerung betroffen. Mehrere Senatoren, darunter Elizabeth Warren, kritisierten das Sicherheitsversagen scharf.

Die Schätzung eines Drittels der US-Bevölkerung war vorläufig, die spätere endgültige Zahl von rund 190 Millionen Betroffenen wurde in dieser Anhörung noch nicht genannt. Ob die Zahlung tatsächlich zur vollständigen Löschung der Daten führte, blieb offen.

Am 12.02.2024 verschafften sich Angreifer der Gruppe ALPHV/BlackCat mit kompromittierten Zugangsdaten Zugang zu einem Citrix-Fernzugriffsportal von Change Healthcare, das keine Multi-Faktor-Authentifizierung besaß. Die Angreifer bewegten sich rund neun Tage lang lateral durch die Systeme, bevor am 21.02.2024 die Ransomware ausgelöst wurde. Change Healthcare bedient mehr als 30.000 Apotheken in den USA, die Störung betraf Abrechnung und Zahlungsabwicklung über Monate. UnitedHealth Group bezifferte die finanziellen Kosten im ersten Quartal 2024 auf 872 Millionen US-Dollar.

Die hier genannten Fakten stammen größtenteils aus der Kongressaussage von UnitedHealth-CEO Andrew Witty vom 01.05.2024 und wurden nicht unabhängig durch forensische Berichte Dritter bestätigt. Die genaue Menge der exfiltrierten Daten, teils mit rund 6 Terabyte beziffert, sowie die Zahl von etwa 190 Millionen betroffenen Personen basieren auf späteren HHS-Meldungen und können sich noch ändern. Die Höhe der an ALPHV/BlackCat gezahlten Lösegeldsumme wurde von UnitedHealth nie offiziell bestätigt.

Die Ransomware-Gruppe Clop, auch bekannt als TA505, begann ab dem 27.05.2023, eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der Software MOVEit Transfer von Progress Software auszunutzen. CISA und FBI veröffentlichten am 07.06.2023 eine gemeinsame Sicherheitswarnung. Progress Software veröffentlichte am 31.05.2023 einen Patch. Nach Angaben von Emsisoft waren bis Januar 2024 über 2.700 Organisationen und mehr als 93 Millionen betroffene Personen erfasst, darunter die BBC, British Airways und Aer Lingus.

Nicht abschließend geklärt ist die exakte Gesamtzahl der betroffenen Organisationen, da die erhobenen Zahlen auf Meldepflichten und Angaben auf der Leak-Seite von Clop beruhen und sich fortlaufend nach oben korrigierten. Es ist nicht bewiesen, wie viele der behaupteten Datendiebstähle tatsächlich vollständige, verwertbare Datensätze betrafen, da die Gruppe bekannt dafür ist, Opferzahlen zu übertreiben.

Am 06.10.2021 veröffentlichte ein anonymer Angreifer einen 125 Gigabyte großen Torrent mit internen Twitch-Daten auf 4chan. Enthalten waren der komplette Quellcode der Plattform, Code aus fast 6.000 internen GitHub-Repositories und Auszahlungsberichte von 2019 für knapp 2,4 Millionen Streamer. Zusätzlich wurden Client-Software und ein unveröffentlichter Steam-Konkurrent von Amazon Game Studios geleakt. Twitch bestätigte den Vorfall am selben Tag, Ursache war eine Fehlkonfiguration eines Servers. Der Angreifer kündigte an, die Veröffentlichung sei nur Teil eins.

Nicht dokumentiert ist, ob Nutzerpasswörter, Adressen oder Bankdaten im Leak enthalten waren. Die Identität des Angreifers wurde nie offiziell bestätigt. Ob der angekündigte zweite Teil des Datensatzes jemals veröffentlicht wurde, ist nicht abschließend geklärt. Die genaue Dauer des unbefugten Zugriffs wurde von Twitch nicht im Detail offengelegt.

Am 07.05.2021 legte die Ransomware-Gruppe DarkSide die IT-Systeme von Colonial Pipeline lahm, dem größten Treibstoffpipelinebetreiber der US-Ostküste, was zu tagelangen Kraftstoffengpässen führte. Colonial Pipeline zahlte am selben Tag ein Lösegeld von 75 Bitcoin, damals rund 4,4 Millionen US-Dollar wert. Am 07.06.2021 gab das US-Justizministerium bekannt, dass FBI-Ermittler durch Verfolgung der Blockchain-Transaktionen 63,7 Bitcoin, damals rund 2,3 Millionen US-Dollar wert, aus einer DarkSide-Wallet sicherstellen konnten. Die Pipeline nahm den regulären Betrieb am 12.05.2021 wieder auf.

Nicht öffentlich dokumentiert ist, wie die FBI-Ermittler technisch an den privaten Schlüssel der DarkSide-Wallet gelangten. Offen blieb, ob und in welchem Umfang einzelne DarkSide-Mitglieder identifiziert oder strafrechtlich verfolgt wurden, die Gruppe kündigte kurz danach an, ihre Infrastruktur abzuschalten, ob dies das Ende der Gruppe oder nur einen Rebrand darstellte, ist nicht geklärt.

Am 30.05.2021 wurde der weltweit größte Fleischverarbeiter JBS Opfer eines Ransomware-Angriffs, der Server in Nordamerika und Australien betraf und zur vorübergehenden Schließung von Verarbeitungsanlagen führte. Das FBI ordnete den Angriff der russischsprachigen Gruppe REvil zu. JBS zahlte nach eigenen Angaben ein Lösegeld von 11 Millionen US-Dollar in Kryptowährung, obwohl zum Zeitpunkt der Zahlung bereits der Großteil der Anlagen wieder arbeitsfähig war.

Nicht öffentlich dokumentiert ist, welche Daten bei dem Angriff tatsächlich exfiltriert wurden. Ob die Zahlung von 11 Millionen US-Dollar tatsächlich notwendig war, bleibt eine Einschätzung des Unternehmens und ist nicht unabhängig verifiziert. REvil löste sich Sommer 2021 größtenteils auf, sodass eine vollständige strafrechtliche Aufarbeitung bislang nicht abgeschlossen ist.

Am 02.07.2021 nutzte die Ransomware-Gruppe REvil eine Zero-Day-Schwachstelle in der Software Kaseya VSA aus, die von Managed Service Providern zur Fernwartung genutzt wird. Über rund 60 direkt betroffene Kaseya-Kunden wurden schätzungsweise 800 bis 1.500 nachgelagerte Unternehmen weltweit infiziert. REvil forderte zunächst 70 Millionen US-Dollar in Bitcoin, senkte die Forderung später auf 50 Millionen. Am 23.07.2021 gab Kaseya bekannt, von einem nicht näher benannten Dritten einen Generalschlüssel erhalten zu haben, ohne Lösegeld gezahlt zu haben.

Nicht offiziell bestätigt ist die genaue Zahl der betroffenen Endkunden, Schätzungen schwanken zwischen 800 und über 2.000 Organisationen. Unklar bleibt, wer der von Kaseya genannte Dritte war, der den Generalschlüssel lieferte. Berichte über eine mögliche FBI-Zahlung wurden nie offiziell bestätigt.

LastPass wurde 2022 in zwei zusammenhängenden Vorfällen kompromittiert. Am 08.08.2022 drangen Angreifer über den Firmenlaptop eines Softwareentwicklers in die Entwicklungsumgebung ein und entwendeten Quellcode. In einem zweiten Vorfall nutzten die Angreifer diese Informationen, um mittels Keylogger auf dem privaten Heimcomputer eines DevOps-Ingenieurs dessen Zugangsdaten abzugreifen und auf AWS-S3-Speicher mit Kundendaten-Backups zuzugreifen. Am 22.12.2022 bestätigte LastPass, dass die Angreifer eine Cloud-Sicherung der Kundentresore mit verschlüsselten Passwörtern kopiert hatten.

Nicht öffentlich dokumentiert ist die exakte Zahl der betroffenen Nutzerkonten, LastPass nannte nie eine offizielle Gesamtzahl. Umstritten ist, wie viele Master-Passwörter tatsächlich durch nachfolgendes Brute-Forcing entschlüsselt wurden. Die genaue Zahl der aus den gestohlenen Tresoren für Kryptowährungsdiebstähle genutzten Zugangsdaten ist nicht offiziell verifiziert.