Quellen-Tabelle

Sicherheitsforscher entdeckten ab dem 10.01.2024 die aktive Ausnutzung zweier Zero-Day-Schwachstellen in Ivanti Connect Secure und Policy Secure, CVE-2023-46805 (Authentifizierungsumgehung, CVSS 8,2) und CVE-2024-21887 (Command Injection, CVSS 9,1). In Kombination ermöglichten die Lücken unauthentifizierte Remotecodeausführung auf den Geräten, erste Ausnutzung wurde bereits auf den 03.12.2023 zurückdatiert. Betroffen waren alle unterstützten Versionen 9.x und 22.x, zum Zeitpunkt der Offenlegung waren über 15.000 Geräte weltweit erreichbar und rund 1.700 nachweislich kompromittiert.

Zum Zeitpunkt der ersten Offenlegung stand noch kein offizieller Patch zur Verfügung, Ivanti bot zunächst nur eine Mitigations-XML-Datei an. Die Identität der ursprünglichen Angreifergruppe hinter der Erstausnutzung wurde nicht abschließend öffentlich benannt.

Die italienische Datenschutzbehörde Garante verhängte am 15.01.2020 gegen den Telekommunikationskonzern TIM ein Bußgeld von 27.802.946 Euro. Grundlage waren mehrere hundert Beschwerden aus den Jahren 2017 bis Anfang 2019 über unerwünschte Werbeanrufe ohne gültige Einwilligung, Missachtung des Widerspruchsregisters sowie mangelhafte Einwilligungsverfahren in der App TIM Party. Die Behörde ordnete zusätzlich 20 Korrekturmaßnahmen an und bezeichnete die Sanktion als die bis dahin höchste in Italien verhängte Datenschutzstrafe.

Ob TIM gegen die Entscheidung Rechtsmittel eingelegt hat und ob die Bußgeldsumme später bestätigt oder reduziert wurde, geht aus der Pressemitteilung nicht hervor. Die genaue Zahl der tatsächlich betroffenen Personen wird nicht exakt beziffert.

Der Erste Senat des Bundesverfassungsgerichts entschied am 24.01.2012, dass Sicherheitsbehörden Zugangssicherungscodes wie PIN und PUK nach § 113 Absatz 1 Satz 2 TKG nur abfragen dürfen, wenn die gesetzlichen Voraussetzungen für die Nutzung dieser Codes vorliegen. Die bestehende Fassung der Norm erklärte das Gericht insoweit für verfassungswidrig. Zugleich formulierte der Senat das sogenannte Doppeltürenmodell, wonach für Datenabruf und Datenübermittlung jeweils eigene, korrespondierende Rechtsgrundlagen nötig sind.

Wie oft Sicherheitsbehörden vor diesem Beschluss tatsächlich PIN, PUK oder andere Zugangssicherungscodes abgefragt haben, geht aus der Entscheidung nicht hervor. Die als Reaktion geschaffene Neufassung des § 113 TKG wurde acht Jahre später in einem separaten Verfahren am 27.05.2020 ihrerseits vom Bundesverfassungsgericht für verfassungswidrig erklärt, dieses spätere Urteil ist nicht Gegenstand dieser Quelle.

Die Berliner Datenschutzbeauftragte verhängte im August 2019 Bußgelder von insgesamt 195.407 Euro gegen die Delivery Hero Germany GmbH, zu der die Marken Lieferheld, Pizza.de und foodora gehörten. In zehn Fällen hatte das Unternehmen Konten ehemaliger Kunden trotz jahrelanger Inaktivität nicht gelöscht, in einem Fall seit 2008. Acht Kunden erhielten trotz Widerspruchs weiter Werbe-E-Mails, in fünf Fällen kam das Unternehmen Auskunftsersuchen nicht oder erst nach Einschreiten der Behörde nach. Der neue Eigentümer Takeaway.com akzeptierte die Bescheide ohne Rechtsmittel.

Die Pressemitteilung nennt kein exaktes Tagesdatum des Bußgeldbescheids innerhalb des Monats August 2019. Wie viele Kundenkonten insgesamt von dem Löschproblem betroffen waren, ist nicht erkennbar, da die genannten Fälle auf konkreten Beschwerden beruhen.

Die Hackergruppe Lapsus$ erlangte zwischen dem 16. und 21.01.2022 per Remote-Desktop-Zugriff Kontrolle über den Laptop eines Kundensupport-Mitarbeiters des Okta-Subunternehmers Sitel. Der Angreifer hatte laut Okta insgesamt nur 25 zusammenhängende Minuten aktive Kontrolle und konnte über eingeschränkte Support-Rechte weder Nutzer anlegen noch auf Quellcode zugreifen. Nach Oktas Auswertung waren maximal 366 Kunden, rund 2,5 Prozent der Kundenbasis, potenziell betroffen.

Wie das Konto des Sitel-Mitarbeiters ursprünglich kompromittiert wurde, bleibt offen. Der vollständige forensische Bericht der von Sitel beauftragten externen Firma wurde nicht veröffentlicht, Okta erhielt ihn erst am 22.03.2022, rund zwei Monate nach dem Vorfall.

Am Abend des 03.11.2021 verschaffte sich ein Unbefugter durch telefonisches Social Engineering Zugang zu internen Kundendienstsystemen von Robinhood. Dabei wurden E-Mail-Adressen von rund fünf Millionen Personen sowie vollständige Namen von rund zwei Millionen weiteren Personen erbeutet, bei etwa 310 Kunden zusätzlich Geburtsdatum und Postleitzahl. Nach der Eindämmung forderte der Angreifer eine Erpressungszahlung, Robinhood informierte Strafverfolgungsbehörden und beauftragte Mandiant.

Ob und in welcher Höhe die geforderte Erpressungssumme gezahlt wurde, ist nicht öffentlich dokumentiert. Die Identität des Angreifers sowie Details zur genauen Angriffstechnik wurden von Robinhood nicht offengelegt.

GoDaddy legte in seinem am 16.02.2023 bei der SEC eingereichten Jahresbericht offen, dass ein im Dezember 2022 entdeckter Einbruch in die cPanel-Hosting-Umgebung Teil einer mehrjährigen Kampagne war. Das Unternehmen verknüpfte den Vorfall mit früheren Vorfällen aus März 2020 (rund 28.000 betroffene Kunden) und November 2021 (rund 1,2 Millionen betroffene Kunden). Die Angreifer installierten Malware auf Servern und erbeuteten Quellcode zu GoDaddy-Diensten.

Die Identität des oder der Angreifer ist nicht öffentlich dokumentiert. Der exakte Zeitpunkt des ursprünglichen Einbruchs innerhalb der Mehrjahresspanne sowie der vollständige Umfang des gestohlenen Quellcodes bleiben unklar.

Das US-Finanzministerium sanktionierte am 05.03.2024 erstmals gezielt zwei Einzelpersonen und fünf Unternehmen des Intellexa-Konsortiums wegen der Spähsoftware Predator, darunter Konsortiumsgründer Tal Dilian. Predator kann Smartphones per Zero-Click-Angriffen ohne Nutzerinteraktion infizieren, zu den Zielen zählten laut Treasury auch US-Regierungsbeamte und Journalisten. Im September 2024 folgten weitere Sanktionen gegen fünf zusätzliche Personen.

Wie wirksam die Sanktionen das Konsortium einschränkten, ist offen, Fachmedien berichteten von fortgesetzter Geschäftstätigkeit. Im Dezember 2025 hob das Treasury die Sanktionen gegen drei sanktionierte Personen wieder auf, die Gründe dafür sind nicht abschließend geklärt.

Am 29.08.2023 gaben FBI und DOJ die Zerschlagung des Qakbot-Botnetzes bekannt, in Zusammenarbeit mit Partnern aus sechs Ländern. Die Operation identifizierte weltweit mehr als 700.000 infizierte Computer und führte zur Beschlagnahme von 52 Servern sowie rund 8,6 Millionen US-Dollar in Kryptowährung. Laut DOJ erhielten die Qakbot-Betreiber zwischen Oktober 2021 und April 2023 rund 58 Millionen US-Dollar aus Ransomware-Zahlungen.

Es wurden keine Festnahmen bekannt gegeben. Ob die Zerschlagung dauerhaft wirkte, ist fraglich, Sicherheitsforscher beobachteten bereits im Oktober und Dezember 2023 neue Qakbot-Phishingkampagnen.

Die Europäische Kommission verhängte am 27.06.2017 ein Bußgeld von 2,42 Milliarden Euro gegen Google wegen Missbrauchs seiner Marktmacht als Suchmaschine. Google platzierte in 13 EWR-Ländern die Ergebnisse seines eigenen Preisvergleichsdienstes Google Shopping prominent, während Konkurrenzdienste nur als einfache Links erschienen. Der Europäische Gerichtshof bestätigte die Entscheidung und die volle Bußgeldhöhe am 10.09.2024 in letzter Instanz.

Wie stark sich Googles seit 2017 geänderte Anzeigemechanismen tatsächlich auf Marktanteile konkurrierender Dienste auswirkten, ist nicht unabhängig verifiziert. Die separaten EU-Kartellverfahren zu Android und AdSense sind nicht Gegenstand dieser Entscheidung.

Die Europäische Kommission verhängte am 18.07.2018 eine Kartellstrafe von rund 4,34 Milliarden Euro gegen Google wegen Praktiken rund um Android: verpflichtende Vorinstallation von Google Search und Chrome als Play-Store-Bedingung, Zahlungen an Hersteller für exklusive Vorinstallation sowie Behinderung alternativer Android-Forks seit 2011.

Das Gericht der EU reduzierte die Strafe 2022 im Berufungsverfahren auf rund 4,125 Milliarden Euro. Ein späteres letztes Rechtsmittel vor dem EuGH im Sommer 2026 wurde für diesen Eintrag nicht anhand einer EU-Primärquelle verifiziert.

Das BSI warnte am 15.03.2022 auf Grundlage von § 7 BSI-Gesetz vor dem Einsatz von Virenschutzprodukten des russischen Herstellers Kaspersky. Begründet wurde dies mit dem Vorgehen russischer militärischer und nachrichtendienstlicher Kräfte im Kontext des Angriffskriegs gegen die Ukraine sowie den weitreichenden Systemberechtigungen von Antivirensoftware. Es war das erste Mal, dass die Behörde vor der gesamten Produktfamilie eines einzelnen Herstellers warnte statt vor einer konkreten Sicherheitslücke.

Dass Kaspersky-Software tatsächlich für Spionage im Auftrag russischer Stellen missbraucht wurde, ist nicht belegt. Das BSI räumte ein, die Warnung beruhe auf einer Risikoeinschätzung, nicht auf einem konkreten technischen Nachweis. Kaspersky bestritt die Vorwürfe und ging rechtlich gegen die Warnung vor.

Die Europäische Kommission verhängte am 14.11.2024 gegen Meta eine Kartellstrafe von 797,72 Millionen Euro wegen automatischer Kopplung des Kleinanzeigendienstes Facebook Marketplace an das soziale Netzwerk sowie unfairer Geschäftsbedingungen für konkurrierende Anzeigenanbieter. Alle Facebook-Nutzer erhalten laut Kommission automatisch Zugang zu Marketplace, was Meta einen erheblichen Vertriebsvorteil verschaffe.

Der genaue Berechnungsweg der Bußgeldhöhe ist nicht im Detail dokumentiert. Meta kündigte Rechtsmittel vor dem Gericht der EU an, der Ausgang stand zum Recherchezeitpunkt noch aus.

Die Europäische Kommission verhängte am 04.03.2024 eine Geldbuße von 1,84 Milliarden Euro gegen Apple wegen Missbrauchs seiner marktbeherrschenden Stellung beim Vertrieb von Musik-Streaming-Apps über den App Store. Grundlage war eine Beschwerde von Spotify aus 2019. Apple habe Anti-Steering-Klauseln auferlegt, die es Diensten untersagten, iOS-Nutzer über günstigere Abo-Optionen außerhalb des App Store zu informieren.

Apple kündigte an, gegen die Entscheidung vor Gericht vorzugehen, der Ausgang des Rechtsmittelverfahrens war zum Recherchezeitpunkt offen. Der endgültige Zahlungsstatus der Buße ist nicht dokumentiert.

Die IT-Sicherheit der Nordex Group stellte am 31.03.2022 fest, dass das Unternehmen Ziel eines Cybersicherheitsvorfalls war. Als Vorsichtsmaßnahme wurden IT-Systeme mehrerer Geschäftsbereiche an verschiedenen Standorten abgeschaltet und der Fernzugriff auf vertraglich betreute Windturbinen deaktiviert. Die Turbinen liefen nach ersten Erkenntnissen unbeeinträchtigt weiter.

Die genaue Zahl der betroffenen Standorte und das Ausmaß des Datenabflusses sind nicht offiziell spezifiziert. Die Ransomware-Gruppe Conti reklamierte den Angriff laut Medienberichten für sich, dies wurde von Nordex nicht explizit bestätigt.

Der EuGH entschied am 04.05.2023 in der Rechtssache C-300/21, dass ein bloßer DSGVO-Verstoß allein noch keinen Anspruch auf Schadensersatz nach Artikel 82 begründet. Der Anspruch setzt drei kumulative Voraussetzungen voraus: einen Verstoß, einen dadurch entstandenen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang. Der EuGH stellte klar, dass ein immaterieller Schaden keine bestimmte Erheblichkeitsschwelle überschreiten muss. Anlass war die Klage eines Österreichers, dem die Post AG per Algorithmus ohne Einwilligung eine Parteiaffinität zugeschrieben hatte.

Der EuGH entscheidet in Vorabentscheidungsverfahren nicht über den konkreten Streitfall, das blieb dem Obersten Gerichtshof Österreichs überlassen. Nach welchen Kriterien die Höhe eines immateriellen Schadens zu bemessen ist, ließ der EuGH offen und verwies auf die Mitgliedstaaten.

Der California Consumer Privacy Act trat am 01.01.2020 in Kraft. Das Gesetz gewährt Verbrauchern in Kalifornien ein Auskunftsrecht, ein Löschrecht und ein Widerspruchsrecht gegen den Verkauf ihrer personenbezogenen Daten. Es gilt für Unternehmen mit mehr als 25 Millionen US-Dollar Jahresumsatz oder mit Kauf/Verkauf der Daten von mindestens 50.000 Verbrauchern.

Wie viele Beschwerden oder Bußgelder es im ersten Jahr nach Inkrafttreten gab, wird hier nicht beziffert. Die spätere Verschärfung durch die California Privacy Rights Act ab 2023 ist nicht Gegenstand dieser Quelle.

Kanzleramtschef Helge Braun und Bundesgesundheitsminister Jens Spahn erklärten am 26.04.2020 gemeinsam, dass die geplante deutsche Corona-Tracing-App künftig auf eine konsequent dezentrale Softwarearchitektur setzen werde. Damit vollzog die Bundesregierung eine Kehrtwende weg vom zuvor favorisierten zentralen Speicheransatz des PEPP-PT-Konsortiums. Vorausgegangen waren wochenlange öffentliche Auseinandersetzungen, ein offener Brief des Chaos Computer Club an Braun und Spahn sowie der Umstand, dass Apple und Google ihre Schnittstellen nur für dezentrale Protokolle freigaben. Auf dieser Grundlage entwickelten SAP und die Deutsche Telekom anschließend die Corona-Warn-App, die im Juni 2020 veröffentlicht wurde.

Wie die internen Abwägungen im Kanzleramt und Gesundheitsministerium vor dem Kurswechsel im Detail abliefen, geht aus der Pressemitteilung nicht hervor. Welche Rolle informelle Gespräche mit Apple und Google spielten, ist nicht dokumentiert. Die spätere technische Umsetzung der App ist nicht Gegenstand dieser Quelle.

Am 27.06.2017 legte die Schadsoftware NotPetya die globale IT-Infrastruktur der Reederei Maersk lahm. Ausgangspunkt war ein einzelner Rechner im Maersk-Büro in Odessa mit einem manipulierten Update der ukrainischen Buchhaltungssoftware M.E.Doc. Maersk musste binnen zehn Tagen rund 4.000 Server, 45.000 PCs und 2.500 Anwendungen neu aufsetzen, das Frachtvolumen brach zeitweise um rund 20 Prozent ein. Maersk bezifferte die finanziellen Folgen im Quartalsbericht auf 200 bis 300 Millionen US-Dollar. Großbritannien und die USA machten später den russischen Militärgeheimdienst GRU verantwortlich.

Die genaue Schadenssumme bei Maersk ist nicht abschließend beziffert, das Unternehmen nannte nur eine Bandbreite ohne detaillierte Kostenaufschlüsselung. Der oft zitierte globale Gesamtschaden von rund 10 Milliarden US-Dollar betrifft alle betroffenen Unternehmen zusammen, nicht allein Maersk. Die Zuschreibung an Russland beruht auf politischen Erklärungen, nicht auf einem Gerichtsurteil.

Am 14.10.2014 veröffentlichten Google-Sicherheitsforscher die Schwachstelle POODLE (Padding Oracle On Downgraded Legacy Encryption), registriert als CVE-2014-3566. Die Lücke betrifft das veraltete Verschlüsselungsprotokoll SSL 3.0. Ein Angreifer in Man-in-the-Middle-Position kann Clients zu einem Downgrade auf SSL 3.0 zwingen und benötigt im Schnitt rund 256 Anfragen, um ein Byte verschlüsselter Daten wie Authentifizierungs-Cookies auszulesen. Als Gegenmaßnahme empfahlen die Entdecker sowie CISA am 17.10.2014 die vollständige Deaktivierung von SSL 3.0. In den Folgemonaten deaktivierten Chrome, Firefox und weitere Anbieter die SSL-3.0-Unterstützung standardmäßig.

Nicht belegt ist, in welchem Umfang POODLE vor der Offenlegung bereits für reale Angriffe genutzt wurde, da ein Downgrade-Angriff kaum nachweisbar ist. Die Schätzung, wonach rund zehn Prozent der Server für eine spätere TLS-Variante der Schwachstelle anfällig waren, stammt aus Analysen einzelner Sicherheitsfirmen. Ein konkreter finanzieller Gesamtschaden wird nicht beziffert.

Am 28.02.2018 zwischen 17:21 und 17:30 UTC traf ein volumetrischer DDoS-Angriff GitHub.com mit einer Spitze von 1,35 Terabit pro Sekunde, dem damals größten dokumentierten DDoS-Angriff. Die Angreifer nutzten Memcached-Reflection: UDP-Anfragen mit gefälschter Absenderadresse an offen erreichbare Memcached-Server wurden um bis zu Faktor 51.000 verstärkt und an GitHub umgeleitet. GitHub.com war von 17:21 bis 17:26 UTC durchgehend nicht erreichbar. GitHub leitete den Verkehr per BGP-Umleitung an Akamai/Prolexic um, wodurch der Angriff eingedämmt wurde.

Wer hinter dem Angriff steckte, wurde nie veröffentlicht, es gab keine strafrechtlichen Ermittlungsergebnisse. Die genaue Zahl der missbrauchten Memcached-Server variiert je nach Quelle. Die exakte Dauer der Beeinträchtigung wird in Sekundärquellen unterschiedlich mit 5 bis 9 Minuten angegeben.

Am 21.10.2016 traf ein massiver DDoS-Angriff den DNS-Anbieter Dyn in drei Wellen zwischen etwa 11:10 und 22:10 UTC. Die Angreifer nutzten das Mirai-Botnet aus gekaperten IoT-Geräten wie Überwachungskameras und DVRs mit werkseitigen Standardpasswörtern. In der Folge waren zeitweise über 70 große Webdienste in Nordamerika und Europa nicht erreichbar, darunter Twitter, Netflix, Reddit, Amazon und PayPal. Die drei Entwickler des Mirai-Quellcodes bekannten sich im Dezember 2017 vor einem US-Bundesgericht schuldig, für den Dyn-Angriff selbst wurden sie jedoch nicht angeklagt.

Eine offizielle, gerichtsfeste Zuordnung der Täter für den konkreten Dyn-Angriff steht bis heute aus. Mehrere Gruppen reklamierten den Angriff für sich, Sicherheitsforscher hielten diese Bekennerclaims für nicht belegt. Die genaue Zahl beteiligter Geräte ist umstritten, eine bestätigte Zahl wurde nie veröffentlicht.

Die ehemalige NSA-Vertragsangestellte Reality Winner druckte im Mai 2017 bei ihrem Arbeitgeber Pluribus International auf dem Militärstützpunkt Fort Gordon ein als geheim eingestuftes NSA-Dokument aus und schickte es anonym an das Onlinemedium The Intercept. Das Dokument beschrieb einen Cyberangriff des russischen Militärgeheimdienstes GRU auf einen Wahlsoftware-Anbieter in Florida sowie mehrere lokale Wahlbehörden kurz vor der Präsidentschaftswahl 2016. Das FBI verhaftete Winner am 03.06.2017. Sie bekannte sich am 26.06.2018 in einem Anklagepunkt nach dem Espionage Act schuldig und wurde am 23.08.2018 zu 63 Monaten Haft verurteilt, laut US-Justizministerium die längste je verhängte Strafe für die Weitergabe von Regierungsinformationen an Medien. Sie kam am 14.06.2021 vorzeitig frei.

Nicht offiziell bestätigt ist, auf welchem genauen Weg das FBI Winner als Quelle identifizierte. Vielfach berichtet wird eine Rolle gelber Mikropunkte im Druckerausdruck, eine offizielle behördliche Bestätigung dieser Rekonstruktion liegt jedoch nicht vor. Ob die Veröffentlichung tatsächlich laufende Ermittlungen gefährdete, wurde nie vor Gericht geprüft.

Im März 2008 deckte das Magazin Stern auf, dass Lidl Mitarbeiter in zahlreichen Filialen mit versteckten Kameras und beauftragten Detekteien überwachen ließ. Dokumentiert wurden Toilettengänge, vermutete Schwangerschaften und die private und gesundheitliche Situation von Beschäftigten. Zwölf Datenschutzbehörden ermittelten gemeinsam gegen 35 Lidl-Vertriebsgesellschaften und stellten bei 30 davon rechtswidrige Überwachung fest. Am 11.09.2008 verhängten die Behörden ein Gesamtbußgeld von 1.462.000 Euro, das bis dahin höchste in Deutschland verhängte Datenschutzbußgeld.

Wie viele Beschäftigte tatsächlich betroffen waren, ist nicht genau beziffert. Die einzelnen Bußgelder gegen die 35 Vertriebsgesellschaften reichten Presseberichten zufolge von 10.000 bis über 300.000 Euro, ohne vollständig übereinstimmende Einzelsummen. Lidl bestritt öffentlich gezielte Ausspähung und erklärte, Kameras seien vorrangig zur Diebstahlbekämpfung eingesetzt worden.

Die CNIL verhängte am 27.12.2023 ein Bußgeld von 32 Millionen Euro gegen Amazon France Logistique wegen übermäßig intrusiver Überwachung der Lagerbeschäftigten: Handscanner erfassten sekundengenau Leerlaufzeiten und zu schnelle Scanvorgänge, dazu kamen mangelhafte Informationspflichten. Der Conseil d'État reduzierte das Bußgeld am 23.12.2025 auf 15 Millionen Euro: Die Scanner-Leistungsindikatoren selbst erklärte das Gericht für rechtmäßig, bestätigte aber Verstöße gegen Datenminimierung durch 31-tägige Speicherung sowie Informations- und Sicherheitsmängel.

Amazon wies die CNIL-Feststellungen teilweise als sachlich falsch zurück, eine unabhängige Prüfung liegt nicht vor. Der Fall betrifft ausschließlich französische Amazon-Logistikzentren, ob identische Systeme in deutschen Lagern eingesetzt werden, ist nicht Teil dieser Entscheidung.