Quellen-Tabelle

Am 23.07.2020 legte die Ransomware WastedLocker weltweit zentrale Dienste des Wearables-Herstellers Garmin lahm, darunter Garmin Connect, flyGarmin und das Satellitenkommunikationssystem inReach. Sicherheitsforscher ordneten die Ransomware der Gruppe Evil Corp zu, die auf der US-Sanktionsliste stand. BleepingComputer bestätigte am 01.08.2020, dass Garmin einen funktionierenden Entschlüsseler erhielt. Die ursprüngliche Lösegeldforderung lag laut einem Mitarbeiter bei rund 10 Millionen US-Dollar.

Garmin äußerte sich nie dazu, ob und in welcher Höhe tatsächlich Lösegeld gezahlt wurde. Der exakte technische Einstiegsvektor der Angreifer wurde nie offiziell bestätigt.

Die Ransomware-Gruppe Cl0p griff das in Darmstadt ansässige Softwareunternehmen Software AG am Wochenende des 03.10.2020 an. Die Angreifer forderten ein Lösegeld von 23 Millionen US-Dollar in Bitcoin und drohten mit der Veröffentlichung von rund einem Terabyte gestohlener Daten. Software AG zahlte das Lösegeld nicht, woraufhin Cl0p ab dem 09.10.2020 interne Dokumente, E-Mails und Mitarbeiterdaten veröffentlichte. Kundenseitige Cloud-Dienste blieben laut Unternehmen unberührt.

Über welchen technischen Einstiegsvektor die Angreifer eindrangen, wurde nicht öffentlich genannt. Die exakte Zahl der von den veröffentlichten Daten betroffenen Personen wurde nicht offiziell beziffert.

Am 22.12.2020 wurde die Funke Mediengruppe Opfer eines Ransomware-Angriffs mit einem Trojaner der Doppelpaymer-Familie, derselben Schadsoftware, die im September 2020 die Düsseldorfer Uniklinik betroffen hatte. Zahlreiche Computersysteme in Redaktionen und Druckhäusern wurden bundesweit verschlüsselt, betroffen waren unter anderem WAZ, Hamburger Abendblatt und Berliner Morgenpost. Die Tageszeitungen konnten am Folgetag nur als Notausgaben erscheinen, das Unternehmen deaktivierte zudem seine Paywalls.

Ob tatsächlich ein Lösegeld gezahlt wurde, ist nicht offiziell bestätigt. Eine offizielle Feststellung, welche konkrete Tätergruppe hinter dem Angriff stand, liegt öffentlich nicht vor.

Ein Ransomware-Angriff kompromittierte im Oktober 2022 persönliche Daten von 9,7 Millionen Kunden des australischen Krankenversicherers Medibank. Bei fast 500.000 Kunden wurden zusätzlich sensible Gesundheitsdaten erbeutet. Die Angreifer forderten zunächst 10, später 9,7 Millionen US-Dollar Lösegeld, was Medibank nicht zahlte. Die australische Bundespolizei ordnete die Täter dem russischsprachigen REvil-Umfeld zu, Anfang Dezember 2022 veröffentlichten sie die letzten Daten im Darknet.

Zum Zeitpunkt dieser Quelle nannten die Behörden keine konkreten Namen einzelner Täter. Ob Bank- oder Kreditkartendaten betroffen waren, blieb strittig zwischen Medibank und den Angreifern.

Royal Mail wurde am 10./11.01.2023 Opfer eines Ransomware-Angriffs eines LockBit-Partners, der den internationalen Post- und Paketversand an allen 11.500 Postfilialen lahmlegte. Die Angreifer forderten zunächst 80, später 40 Millionen US-Dollar. LockBit veröffentlichte einen 45-Gigabyte-Datensatz. Royal Mail meldete am 23.02.2023 die vollständige Wiederherstellung der internationalen Exportdienste nach rund sechs Wochen Störung.

Ob Royal Mail ein Lösegeld zahlte, ist nicht öffentlich bestätigt. Laut Royal Mail enthielt der Datensatz keine Finanzdaten, jedoch mindestens einen Fall mit Impfstatusdaten eines Mitarbeiters.

Die Ransomware-Gruppe LockBit behauptete im Oktober 2023, in Systeme von Boeing eingedrungen zu sein. Boeing bestätigte Anfang November 2023 einen Cybervorfall, die Flugsicherheit sei nicht betroffen. Ab dem 08.11.2023 veröffentlichte LockBit rund 43 Gigabyte Daten. Eine 2024 unversiegelte DOJ-Anklage bezifferte die ursprüngliche Lösegeldforderung auf 200 Millionen US-Dollar.

Der genaue Zeitpunkt des Ersteinbruchs und der vollständige Umfang der abgeflossenen Daten sind nicht öffentlich belegt. Die vermutete Ausnutzung der Citrix-Bleed-Schwachstelle wurde von Boeing nicht offiziell bestätigt.

In der Nacht zum 11.12.2021 entdeckte der HR-Software-Anbieter UKG einen Ransomware-Angriff auf die Kronos Private Cloud. Betroffen waren UKG Workforce Central, TeleStaff, Healthcare Extensions und Banking Scheduling Solutions. Unternehmen wie Tesla, Temple University und die San Francisco Municipal Transit Authority mussten auf manuelle Prozesse für Lohnabrechnung und Zeiterfassung ausweichen.

Der Erstzugriffsvektor war zum Zeitpunkt dieser Meldung nicht bekannt. Die tatsächliche Ausfalldauer betrug bei manchen Kunden letztlich mehrere Monate, was in dieser frühen Quelle noch nicht dokumentiert ist.

Die Gruppe Conti verschaffte sich am 11.04.2022 über kompromittierte VPN-Zugangsdaten Zugang zum costa-ricanischen Finanzministerium und exfiltrierte rund 672 GB Daten, bevor sie die Systeme verschlüsselte. Der Angriff weitete sich auf mehrere Regierungsbehörden aus. Conti forderte zunächst 10, später 20 Millionen US-Dollar. Am 08.05.2022 rief Präsident Rodrigo Chaves als erstes Staatsoberhaupt weltweit wegen eines Cyberangriffs den nationalen Notstand aus.

Wie viele Regierungsbehörden konkret betroffen waren, wird unterschiedlich beziffert. Der zeitgleiche, separate Angriff der Gruppe Hive auf die Sozialversicherung CCSS ist ein eigenständiges Ereignis, das in Berichten teils vermischt wird.

Das FBI vergab den Codenamen Titan Rain für eine Serie von Cyberangriffen auf US-Netzwerke, die laut TIME-Recherche im September 2003 mit einem Einbruch bei Lockheed Martin begann und sich bis mindestens 2005 fortsetzte. Als betroffene Ziele nennt die Quelle unter anderem die Sandia National Laboratories, die NASA und das Arsenal Redstone. Die Angreifer kopierten gezielt Dateien und leiteten sie über Zwischenstationen in Südkorea, Hongkong und Taiwan nach Festlandchina weiter.

Ob die Angriffe direkt von der chinesischen Regierung gesteuert wurden, blieb ausdrücklich offen. Der genaue Gesamtumfang der entwendeten Daten sowie eine vollständige Liste aller betroffenen Behörden ist nicht abschließend beziffert.

Am 27.11.2016 fielen bei der Deutschen Telekom zeitweise rund 900.000 Internetanschlüsse aus, betroffen waren vor allem Speedport-Router. Ursache war eine weltweite Angriffswelle über das Fernwartungsprotokoll TR-069/TR-064 auf Port 7547, basierend auf einer modifizierten Mirai-Variante. Die Speedport-Router waren für die Lücke nicht anfällig, brachen aber unter der Last der Angriffsanfragen zusammen.

Der Anteil der direkt durch die Schadsoftware ausgefallenen Anschlüsse gegenüber netzwerküberlastungsbedingten Ausfällen ist nicht abschließend quantifizierbar. Spätere Entwicklungen wie eine Festnahme in Großbritannien Anfang 2017 sind nicht Bestandteil dieser Quelle.

Der Bundestag verabschiedete am 13.11.2025 das NIS2-Umsetzungsgesetz. Die EU-Umsetzungsfrist war bereits am 17.10.2024 abgelaufen, sodass Deutschland über ein Jahr im Verzug war und die EU-Kommission ein Vertragsverletzungsverfahren einleitete. Nach Zustimmung des Bundesrats am 21.11.2025 trat das Gesetz am 06.12.2025 in Kraft und verpflichtet rund 29.850 Unternehmen aus kritischen Sektoren zu verstärkten Cybersicherheitsmaßnahmen.

Ob die EU-Kommission das Vertragsverletzungsverfahren nach Inkrafttreten formell einstellte, ist offen. Die vollständige praktische Umsetzung durch die betroffenen Unternehmen war zum Recherchezeitpunkt noch nicht abschließend belegt.

Ende Dezember 2011 drangen Aktivisten von Anonymous unter dem Namen der Operation Antisec in die Server der US-Sicherheitsberatung Stratfor ein und erbeuteten nach eigenen Angaben mehr als 200 Gigabyte Daten, darunter Kreditkartendaten und interne E-Mails von Kunden und Mitarbeitern. Eine heise online vorliegende Liste umfasste rund 4.000 Einträge vertraulicher Geschäftskunden, darunter die Deutsche Bank, DHL und der Spiegel. Die Angreifer erklärten, mit den erbeuteten Kreditkartendaten mehr als eine Million US-Dollar an Hilfsorganisationen spenden zu wollen.

Der Artikel nennt kein exaktes Einbruchsdatum und keine belastbare Gesamtzahl der betroffenen Konten. Spätere Berichte und die US-Anklage nannten deutlich höhere, teils schwankende Zahlen, die hier nicht überprüft wurden. Die spätere Verurteilung von Jeremy Hammond und die Rolle des FBI-Informanten Hector Monsegur sind nicht Gegenstand dieses Artikels.

Die Hackergruppe LulzSec griff im Mai und Juni 2011 innerhalb weniger Wochen mehrere hochrangige Ziele an, darunter Sony Pictures, den US-Sender PBS und die FBI-Partnerorganisation InfraGard. Bei Sony Pictures erbeuteten die Angreifer per SQL-Injection Nutzerdaten, bei PBS schleusten sie eine gefälschte Meldung ein und veröffentlichten eine Mitarbeiterdatenbank, bei InfraGard legten sie Zugangsdaten offen. LulzSec bezeichnete diese Angriffsserie als 50 Tage Lulz und kündigte Ende Juni 2011 die Auflösung der Gruppe an.

Wie viele Nutzerkonten bei Sony Pictures betroffen waren, ist umstritten, die Angaben schwanken je nach Quelle stark. Die genaue Mitgliederzahl der bei InfraGard offengelegten Accounts wird unterschiedlich beziffert. Die Identität aller beteiligten Hacker war zum Zeitpunkt dieser Berichterstattung nicht bekannt.

Die britische Datenschutzbehörde ICO verhängte am 05.10.2016 eine Geldbuße von 400.000 Pfund gegen den Telekommunikationsanbieter TalkTalk, die bis dahin höchste von der ICO verhängte Strafe. Ursache war ein Cyberangriff vom Oktober 2015, bei dem Angreifer über SQL-Injection-Schwachstellen auf drei Webseiten personenbezogene Daten von 156.959 Kunden zugriffen, in 15.656 Fällen einschließlich Bankkontonummern und Bankleitzahlen. Die verwundbaren Seiten stammten aus der 2009 übernommenen Tiscali-Infrastruktur, TalkTalk hatte zwei frühere Angriffswarnungen im Juli und September 2015 nicht ausreichend beachtet.

Das Alter und die Identität des Haupttäters bleiben in der Berichterstattung uneinheitlich. Verhaftet wurde zunächst ein 15-Jähriger aus County Antrim, später bekannte sich ein 17-Jähriger aus Norwich vor Gericht schuldig, ob es sich um dieselbe Person handelt, ist unklar. Die genaue Höhe des von TalkTalk ursprünglich genannten Gesamtschadens wird an anderer Stelle unterschiedlich beziffert.

Der Chaos Computer Club kritisierte die deutsche Corona-Kontaktverfolgungs-App Luca am 13.04.2021 wegen mehrerer Sicherheitslücken, darunter eine fehlerhafte SMS-Validierung und die Möglichkeit, über gescannte QR-Codes die zentral gespeicherte Standorthistorie einzelner Nutzer auszulesen. Nach dem Sturz eines Mannes vor einer Mainzer Gaststätte in der Nacht vom 29. auf den 30.11.2021, der später an seinen Verletzungen starb, forderte die Mainzer Polizei vom Gesundheitsamt die über Luca erfassten Kontaktdaten der Gaststättenbesucher an. Das Gesundheitsamt übermittelte die Daten von 21 Personen, die daraufhin als Zeugen befragt wurden, obwohl § 28a Abs. 4 Satz 3 Infektionsschutzgesetz eine Nutzung nur zur Kontaktnachverfolgung erlaubt. Die Staatsanwaltschaft Mainz räumte die Rechtswidrigkeit im Nachhinein ein.

Ob und welche dienst- oder strafrechtlichen Konsequenzen die Beteiligten trugen, ist nicht belegt. Das Ergebnis des vom Landesdatenschutzbeauftragten Rheinland-Pfalz eingeleiteten Verfahrens ist nicht dokumentiert. Ob vergleichbare rechtswidrige Datenabfragen bei anderen Behörden stattfanden, ist unklar.

Am 20.09.2021 legte die vermutlich russischsprachige Ransomware-Gruppe BlackMatter, laut CISA ein möglicher Nachfolger von DarkSide, Teile der IT-Systeme der Agrargenossenschaft New Cooperative aus Iowa lahm, die Getreide-, Dünger- und Futterlogistik für einen großen Teil des mittleren Westens der USA verwaltet. Die Angreifer forderten 5,9 Millionen US-Dollar Lösegeld. New Cooperative nahm betroffene Systeme vorsorglich offline und zahlte nach eigenen Angaben kein Lösegeld. Am 18.10.2021 veröffentlichten CISA, FBI und NSA eine gemeinsame Sicherheitswarnung zu BlackMatter.

Die Angaben von BlackMatter selbst zur erbeuteten Datenmenge sind nicht unabhängig verifiziert. Die vielzitierte Aussage, 40 Prozent der US-Getreideproduktion liefen über Software des Unternehmens, stammt von New Cooperative selbst und wurde von Sicherheitsforschern angezweifelt. Der genaue technische Einstiegsvektor der Angreifer ist nicht ersichtlich.

Die Datenschutz-Grundverordnung wurde am 27.04.2016 verabschiedet, am 04.05.2016 im EU-Amtsblatt veröffentlicht und trat am 24.05.2016 formal in Kraft. Nach zweijähriger Übergangsfrist wurde sie ab dem 25.05.2018 in allen EU-Mitgliedstaaten unmittelbar anwendbar und ersetzte die Richtlinie 95/46/EG. Die Verordnung erlaubt Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Laut einer Bitkom-Befragung von 505 deutschen Unternehmen fühlten sich acht Tage vor dem Stichtag lediglich 25 Prozent ausreichend vorbereitet.

Eine verlässliche Gesamtzahl zu den EU-weiten Umsetzungskosten der Unternehmen liegt nicht vor. Die Bitkom-Zahl von 25 Prozent stammt aus einer Stichprobe, andere Umfragen kamen auf abweichende Werte. Die vielfach befürchtete Abmahnwelle gegen kleine Unternehmen blieb nach mehreren Berichten weitgehend aus.

Am 06.09.2023 erklärte das Gericht der EU die Nichtigkeitsklage des Europäischen Datenschutzbeauftragten (EDSB) gegen die Artikel 74a und 74b der geänderten Europol-Verordnung für unzulässig. Diese Artikel hatten rückwirkend legalisiert, was der EDSB in seiner Entscheidung vom 03.01.2022 als rechtswidrig eingestuft hatte: die Speicherung riesiger, nicht kategorisierter Datensätze bei Europol. Der EDSB legte am 16.11.2023 Rechtsmittel ein. Generalanwalt Manuel Campos Sánchez-Bordona empfahl dem Gerichtshof am 08.05.2025, das Rechtsmittel zuzulassen und die Sache zurückzuverweisen.

Ein abschließendes Urteil des EuGH lag zum Zeitpunkt der Recherche noch nicht vor, Schlussanträge eines Generalanwalts sind rechtlich nicht bindend. Wie viele der ursprünglich rund vier Petabyte Daten zu mindestens 250.000 Personen Europol inzwischen gelöscht hat, ist nicht dokumentiert.

Die Deutsche Bahn glich 2002 und 2003 heimlich die Daten von rund 173.000 der damals etwa 240.000 Beschäftigten mit einem Verzeichnis von rund 80.000 Lieferanten ab, um mögliche Korruption aufzudecken. Ein konkreter Verdacht bestand nicht, Betroffene wurden nicht informiert. Öffentlich bekannt wurde die Rasterfahndung erst Ende Januar 2009. Der Berliner Datenschutzbeauftragte Alexander Dix verhängte ein Bußgeld von rund 1,1 Millionen Euro, das die Bahn im Oktober 2009 akzeptierte.

Wie viele der 173.000 abgeglichenen Datensätze zu weiteren Ermittlungen führten, ist nicht dokumentiert. Weitere, eigenständige Datenabgleiche und eine E-Mail-Überwachung bei der Bahn aus anderen Jahren sind hier nicht mitgerechnet.

Am 12.06.2022 wurde der hessische IT-Dienstleister Count+Care, eine Tochter des Energieversorgers Entega, Opfer eines Ransomware-Angriffs. Betroffen waren auch Entega selbst, die Frankfurter Entsorgungs- und Service-Gruppe FES, das Darmstädter Verkehrsunternehmen Heag sowie die Mainzer Stadtwerke. Webseiten und E-Mail-Systeme fielen aus, die Versorgung mit Strom, Gas und Wasser lief über getrennte Systeme weiter. Im Juli 2022 veröffentlichten die Angreifer Namen, Adressen und Verbrauchsdaten von Kunden und Beschäftigten im Darknet.

Wer hinter dem Angriff steckt, wurde öffentlich nicht bestätigt. Ein in Medienberichten genannter Verweis auf die Gruppe Conti bezog sich tatsächlich auf einen anderen, zeitgleichen Angriff auf Nordex. Die genaue Zahl betroffener Personen wurde nicht beziffert.

In der Nacht zum 15.10.2021 verschlüsselte die Ransomware DeepBlueMagic Server des kommunalen IT-Dienstleisters Kommunalservice Mecklenburg. Betroffen waren die Verwaltungen der Landeshauptstadt Schwerin und des Landkreises Ludwigslust-Parchim, deren gesamte IT-Infrastruktur heruntergefahren wurde. Bürgerbüros und Kfz-Zulassungsstellen blieben tagelang geschlossen. Die vollständige Wiederherstellung zog sich bis mindestens Januar 2022 hin.

Ob vor der Verschlüsselung Daten abgeflossen sind, ist nicht abschließend geklärt. Die Täterzuordnung bleibt unsicher, Sicherheitsforscher vermuteten eine Herkunft aus China, ohne dass eine Gruppe rechtskräftig identifiziert wurde.

Der italienische Energiekonzern Enel Group wurde 2020 zweimal von unterschiedlicher Ransomware getroffen. Am 07.06.2020 entdeckte Enel einen Angriff mit der Ransomware Snake/EKANS und erklärte, es sei zu keiner erfolgreichen Verschlüsselung gekommen. Ende Oktober 2020 wurde Enel von der Gruppe Netwalker ein zweites Mal angegriffen, die eine Lösegeldforderung von 14 Millionen US-Dollar stellte und behauptete, rund 5 Terabyte Firmendaten entwendet zu haben. Sicherheitsforscher führten beide Angriffe auf ungesicherte Remote-Desktop-Zugänge zurück.

Ob Enel tatsächlich Lösegeld gezahlt hat, ist nicht öffentlich belegt. Die Angabe von 5 Terabyte gestohlener Daten stammt allein von der Erpressergruppe selbst und wurde von Enel weder bestätigt noch widerlegt.

Am Wochenende vor dem 29.12.2018 legte ein Ransomwareangriff mit der Schadsoftware Ryuk die Produktions- und Drucksysteme des US-Medienkonzerns Tribune Publishing lahm. Betroffen waren Chicago Tribune, Baltimore Sun und weitere Tribune-Titel sowie über geteilte Drucksysteme auch Los Angeles Times und San Diego Union-Tribune. Abonnenten erhielten verspätete oder gekürzte Wochenendausgaben. Nach Unternehmensangaben wurden Kundendaten nicht kompromittiert, die Malware sei von außerhalb der USA eingeschleust worden.

Eine offizielle Täterzuordnung liegt nicht vor. Sicherheitsfirmen stellten Code-Ähnlichkeiten zur Malware Hermes fest und brachten den Angriff spekulativ mit der nordkoreanischen Gruppe Lazarus in Verbindung, ohne behördliche Bestätigung. Ob eine Lösegeldforderung gestellt oder gezahlt wurde, ist nicht dokumentiert.

Am 03.06.2024 griff die Ransomware-Gruppe Qilin den Labordienstleister Synnovis an, der Bluttests für NHS-Krankenhäuser in Südost-London durchführt. Der Angriff führte zu über 10.000 abgesagten Terminen und rund 1.700 verschobenen Operationen sowie einem Engpass bei Blutkonserven. Am 25.06.2025 bestätigte das King's College Hospital, dass eine verzögerte Bluttest-Auswertung ein Faktor beim Tod eines Patienten war, der erste bestätigte Todesfall im Zusammenhang mit einem Ransomware-Angriff in Großbritannien. Qilin veröffentlichte zudem Patientendaten von mehr als 900.000 Personen.

Die Identität des verstorbenen Patienten sowie die vollständige Liste der beitragenden Faktoren wurden aus Datenschutzgründen nicht veröffentlicht. Ein förmliches Coroner-Verfahren mit bindender Todesursachenfeststellung liegt bislang nicht vor. Die Zahl von über 900.000 Betroffenen gilt laut NHS England als vorläufige Schätzung.

Der Lieferketten-Softwareanbieter Blue Yonder meldete am 21.11.2024 einen Ransomwareangriff auf seine gehostete Managed-Services-Umgebung. Betroffen waren Starbucks, dessen rund 11.000 nordamerikanische Filialen auf Stift und Papier für Dienstplanung zurückgriffen, sowie die britischen Supermarktketten Morrisons und Sainsbury's. Die Erpressergruppe Termite bekannte sich zu dem Angriff und behauptete, rund 680 GB Daten erbeutet zu haben, darunter über 16.000 E-Mail-Adressen und mehr als 200.000 Dokumente. Blue Yonder meldete Anfang Dezember 2024 Fortschritte bei der Wiederherstellung.

Die von Termite behauptete Datenmenge ist nicht unabhängig verifiziert, Blue Yonder bestätigte weder Umfang noch Art der Daten offiziell. Morrisons erklärte, das eigene Netzwerk sei nicht kompromittiert gewesen. Ob ein Lösegeld gezahlt wurde, ist nicht bekannt.