Quellen-Tabelle

Bei der am 01.09.2023 gestarteten vereinfachten digitalen Kfz-Zulassung (i-Kfz) reichten Betrüger Zulassungsanträge per E-Mail unter falscher Identität ein, mit gefälschten Kopien von Ausweisdokumenten, deren Unterschriften auf Anträgen und Vollmachten scheinbar mit den Dokumentkopien übereinstimmten. Das Kraftfahrt-Bundesamt (KBA) sperrte daraufhin rund zwei Drittel der deutschen Zulassungsstellen für die Bearbeitung von Fahrzeugzulassungen über i-Kfz, da die Computersysteme vieler Zulassungsstellen die Sicherheits-Mindeststandards nicht erfüllten. Als Reaktion wurde das Zulassungsverfahren verschärft: Zulassungsdienste und Autohäuser müssen seither bestätigen, dass ihnen das Originaldokument bei Antragstellung vorlag. Zum Schutz der Verbraucher müssen Kunden künftig zweimal persönlich bei der Zulassungsstelle erscheinen, einmal zur Antragstellung und einmal zur Abholung von Fahrzeugpapieren und Kennzeichen, was die zuvor mögliche rein digitale Einreichung der Antragsunterlagen einschränkt.

Die genaue Zahl der durch die Betrugsmasche tatsächlich erfolgreich zugelassenen Fahrzeuge unter falscher Identität ist aus dieser Quelle nicht beziffert.

Das Tracking-Tool Meta Pixel, Teil der Meta Business Tools, sammelt und wertet systematisch Nutzerdaten aus, ohne dass Betroffene sich dessen stets bewusst sind. Besonders kritisch ist der Einsatz auf Websites mit besonders sensiblen Kategorien nach Art. 9 DSGVO, etwa bei Gesundheitsportalen, Beratungsstellen sowie bei Anwaltskanzleien und Steuerberaterpraxen, deren Mandatsverhältnisse gesetzlich der Verschwiegenheitspflicht unterliegen. Mehrere Oberlandesgerichte (Jena, Dresden, Stuttgart) verurteilten Meta wegen datenschutzwidrigen Trackings; der Bundesgerichtshof stellte klar, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden begründen kann. Verbraucherschutzkanzleien reichten daraufhin hunderte Klagen ein, mit möglichem Schadensersatz von bis zu 10.000 Euro pro Betroffenem. Für Verbraucher bleibt dabei oft unklar, welche Daten genau an Meta fließen, wie lange sie gespeichert werden und mit welchen anderen Informationen sie verknüpft werden.

Ob Meta Pixel konkret auf Websites von Kanzleien oder Steuerberatern in belegter Zahl tatsächlich zu einer Verletzung der anwaltlichen Verschwiegenheitspflicht führte, ist aus dieser Quelle nicht mit Einzelfällen dokumentiert, sondern als strukturelles Risiko beschrieben.

Im April 2025 gingen bei den Berliner Verkehrsbetrieben (BVG) personenbezogene Daten von rund 180.000 Fahrgästen verloren, nachdem ein externer Dienstleister die sensiblen Informationen verarbeitet hatte. Die Berliner Datenschutzbeauftragte Meike Kamp erteilte der BVG daraufhin offiziell eine Rüge wegen Versäumnissen im Umgang mit den Fahrgastdaten. Bei der Nutzung des VBB-Handytickets entstehen bei Ticketausstellung und -kontrolle über das Verkaufssystem und die Kontrollterminals der Verkehrsunternehmen zusätzlich Datensätze, die Zeitpunkt, Ort und Art des Kommunikationsvorgangs sowie die jeweiligen Kennungen von Ticket und Verkaufs- bzw. Kontrollterminal enthalten und an die Hintergrundsysteme der Verkehrsunternehmen übermittelt werden.

Welche konkreten Daten der 180.000 betroffenen Fahrgäste verloren gingen (nur Kontaktdaten oder auch Bewegungsprofile) und ob sie in falsche Hände gerieten, ist aus dieser Quelle nicht im Detail spezifiziert.

Bundesinnenminister Alexander Dobrindt (CSU) plant, dass Bundeskriminalamt und Bundespolizei kommerzielle Gesichtssuchmaschinen wie Clearview AI und PimEyes für die Polizeiarbeit nutzen können. Das Bundesinnenministerium unter Dobrindt erarbeitete dazu ein neues 'Sicherheitspaket' mit zwei Gesetzentwürfen, die es BKA, Bundespolizei und Bundesamt für Migration und Flüchtlinge (BAMF) erlauben würden, biometrische Daten wie Gesichtsbilder oder Sprachaufnahmen aus öffentlich zugänglichen Internetquellen zu erheben und automatisiert mit polizeilichen Datenbanken abzugleichen. Auf die Frage nach einer Nutzung durch das Bundesamt für Verfassungsschutz (BfV) und den Bundesnachrichtendienst (BND) verweigerte die Bundesregierung unter Berufung auf 'Geheimhaltungsinteressen' die Antwort.

Ob und in welchem Umfang BND oder BfV Clearview AI bereits vor Verabschiedung der geplanten Gesetzentwürfe informell nutzten, bleibt aus dieser Quelle mangels Antwort der Bundesregierung offen.

Zur Dopingbekämpfung müssen Athleten im Anti-Doping-Verwaltungssystem ADAMS (Anti-Doping Administration and Management System) jederzeit ihren genauen Aufenthaltsort für unangekündigte Kontrollen hinterlegen; viele Sportler fühlen sich durch diese detaillierten Standortangaben indirekt permanent überwacht. Die Datensicherheit des Systems geriet in die Kritik, nachdem ein Hackerangriff dazu führte, dass Gesundheitsdaten von Athleten im Internet auffindbar waren. Kritiker bemängeln zusätzlich, dass ein biologischer Athletenpass, der Blutparameter über die Zeit verfolgt, von Sportlern mit erfahrenen Beratern gezielt durch Mikrodosierung von Dopingsubstanzen wie EPO unterlaufen werden kann, deren minimale Verabreichung so bemessen ist, dass sie im Blutpass keinen Verdacht auslöst.

Umfang und Folgen des ADAMS-Hackerangriffs (Anzahl betroffener Athleten, welche Daten konkret veröffentlicht wurden) sind aus dieser Quelle nicht detailliert beziffert.

Autonome Robotaxis wie die von Waymo zeichnen kontinuierlich Innen- und Außenraumvideo auf und werden damit faktisch zu mobilen Überwachungskameras im Stadtraum. In einem Fall in San Francisco nutzte ein Einbrecher nach einem Überfall auf ein Yogastudio ein Waymo-Fahrzeug als Fluchtauto; als die Polizei im April eine Durchsuchungsanforderung stellte, hatte das Unternehmen die Innenraumaufnahmen bereits routinemäßig gelöscht. Waymo verpixelt Gesichter von Passanten auf seinen Aufnahmen standardmäßig, um deren Privatsphäre zu schützen. 2023 erwirkte die Polizei sowohl in San Francisco als auch in Maricopa County, Arizona, förmliche Durchsuchungsbefehle für Waymo-Videoaufnahmen; ein Waymo-Sprecher erklärte, das Unternehmen prüfe jede polizeiliche Anfrage auf ihre rechtliche Gültigkeit und weise zu weit gefasste Forderungen zurück, um die Daten der Fahrgäste zu schützen. Bei einem separaten Vorfall mit dem Waymo-Konkurrenten Cruise wurde eine Frau von einem Robotaxi erfasst und mehrere Meter mitgeschleift, woraufhin die Verkehrsbehörde San Francisco der General-Motors-Tochter die Testerlaubnis entzog.

Wie viele der bei Waymo eingegangenen Durchsuchungsanfragen das Unternehmen tatsächlich als 'zu weit gefasst' zurückwies, ist aus dieser Quelle nicht mit einer Zahl belegt; die Aussage stammt aus einer Unternehmenserklärung.

Das biometrische Grenzkontrollsystem EasyPASS wurde 2009 unter dem Namen 'GAnGes' am Flughafen Frankfurt getestet und läuft dort seit 2014 im Regelbetrieb. Reisende scannen ihren elektronischen Reisepass am eGate und blicken für die Gesichtserkennung in eine Kamera, die charakteristische Gesichtsmerkmale berechnet und mit dem im Pass gespeicherten biometrischen Foto abgleicht. Personen- und passbezogene Daten werden regulär 48 Stunden gespeichert; bei einer polizeilichen Feststellung kann die Speicherdauer manuell auf bis zu 30 Tage verlängert werden. Aktuell sind 255 EasyPASS-Kontrollspuren an acht großen deutschen Flughäfen im Einsatz (Frankfurt, München, Köln/Bonn, Düsseldorf, Berlin/Brandenburg, Stuttgart, Hannover, Hamburg), nutzbar für alle EU-Bürger ab zwölf Jahren mit gültigem elektronischem Reisepass.

Wie oft die Ausnahmeregelung zur verlängerten 30-Tage-Speicherung tatsächlich angewendet wird und nach welchen konkreten Kriterien eine 'polizeiliche Feststellung' definiert ist, ist aus dieser Quelle nicht belegt.

Im Zuge der Umstellung des Rundfunkfinanzierungssystems auf den geräteunabhängigen Rundfunkbeitrag führte der Beitragsservice 2013 einen einmaligen Meldedatenabgleich durch, bei dem die Meldedaten aller rund 70 Millionen volljährigen Deutschen abgeglichen wurden, mit dem Ziel, den Abgleich bis zum 03.03.2013 abzuschließen und rund 800.000 vermutete Beitragsschuldner zu identifizieren. Übermittelt wurden dabei Name, Geburtsdatum, akademischer Titel, Familienstand sowie Anschriften aktueller und früherer Haupt- und Nebenwohnungen. Die Bundes- und Landesdatenschutzbeauftragten beäugten den Abgleich bereits im Vorfeld kritisch; Kritiker hielten den zugrunde liegenden Staatsvertrag und den Meldedatenabgleich für verfassungswidrig, weil er faktisch auf ein bundesweites Melderegister hinauslaufe.

Ob und in welcher rechtlichen Form die Kritik am Meldedatenabgleich erfolgreich angefochten wurde, ist aus dieser Quelle nicht belegt.

Die deutschen Bundesländer verfolgen beim Einsatz von Microsoft 365 an Schulen stark unterschiedliche Ansätze, von der Ablehnung als 'Datenstaubsauger für Minderjährige' bis zur Einstufung als unverzichtbares Werkzeug für digitalen Unterricht. Nach Einschätzung der deutschen Datenschutzkonferenz (DSK) ist der Einsatz von Microsoft 365 kaum DSGVO-konform möglich; die österreichische Datenschutzbehörde (DSB) entschied, dass Microsoft 365 Education Schüler unrechtmäßig trackt und Daten ohne ausreichende Rechtsgrundlage verarbeitet. Selbst bei Speicherung auf deutschen Servern innerhalb des DSGVO-Anwendungsbereichs können Daten laut Kritikern in die USA abfließen, da US-Gesetze wie der Cloud Act und FISA US-Geheimdiensten grundsätzlichen Zugriff auf Server US-amerikanischer Unternehmen erlauben, unabhängig vom physischen Serverstandort. Baden-Württemberg kündigte nach Empfehlung des damaligen Landesdatenschutzbeauftragten Stefan Brink und Protesten von Bildungsverbänden an, Microsoft Office 365 aus seiner digitalen Lernplattform an allen Schulen des Landes zu entfernen; in vielen anderen Bundesländern wird Microsoft 365 Education dagegen weiterhin problemlos mit gezielt erworbenen Lizenzen für Lehrkräfte und Schüler eingesetzt.

Die uneinheitliche Praxis zwischen den Bundesländern zeigt, dass dieselbe DSGVO-Rechtslage in Deutschland je nach Landesbehörde unterschiedlich ausgelegt wird; eine bundesweit einheitliche verbindliche Entscheidung ist aus dieser Quelle nicht belegt.

Über ungeschützte Programmierschnittstellen (APIs) der Firma Gerdes Communications, Teil der Telio Group, waren Kommunikationsdaten von mehr als 14.000 Gefangenen aus 22 deutschen Justizvollzugsanstalten frei im Internet zugänglich. Betroffen war die Software Prison Control Center; die zugehörige Webanwendung war vollständig ungeschützt, sodass jeder, der die entsprechende URL kannte, auf sensible Insassendaten zugreifen konnte, darunter Namen, Häftlingsnummern, Kontostände, PINs zur Telefonregistrierung sowie Verbindungsdaten. Besonders kritisch waren die Metadaten von Telefonaten mit Anwälten und Psychologen, deren Offenlegung zu sozialer Stigmatisierung der Gefangenen führen könnte. IT-Sicherheitsaktivistin Lilith Wittmann entdeckte die Sicherheitslücke und meldete sie umgehend den Behörden; 18 von 20 betroffenen Schnittstellen wurden innerhalb weniger Stunden nach der Meldung am 24.06.2024 behoben, alle 20 waren bis zum 25.06.2024 repariert oder abgeschaltet.

Ob die offen zugänglichen Daten vor der Meldung durch Wittmann bereits von Dritten abgegriffen und missbraucht wurden, ist aus dieser Quelle nicht belegt; die schnelle Behebung deutet auf eine verantwortungsvolle Offenlegung ohne vorherigen bekannten Missbrauch hin.

Bei der Versendung von Massen-E-Mails an Bürger im Rahmen der Corona-Kontaktnachverfolgung kam es bei Berliner Gesundheitsämtern zu acht dokumentierten Datenschutzverstößen seit Januar 2021, bei denen E-Mail-Adressen offengelegt wurden, mit jeweils zwischen 45 und 3.100 betroffenen Personen, insgesamt über 4.000 offengelegte Adressen. Weniger als ein Drittel der 375 deutschen Gesundheitsämter nutzte die eigentlich vom Bund geförderte Software Sormas zur Kontaktnachverfolgung; der Rest arbeitete stattdessen mit Fax, Excel-Tabellen und anderen veralteten Methoden. Obwohl die Bundesregierung die Gesundheitsämter im November aufgefordert hatte, Sormas zu installieren, lief die Software bis zum 31. Dezember desselben Jahres erst in 111 von 375 Ämtern. Sormas wurde ursprünglich vom Helmholtz-Zentrum für Infektionsforschung (HZI) in Braunschweig zur Ebola-Bekämpfung entwickelt und 2020 um ein SARS-CoV-2-Modul ergänzt; zum damaligen Zeitpunkt hatte das HZI noch keine offizielle Datenschutz-Folgenabschätzung vorgelegt.

Die Zahl von acht dokumentierten Vorfällen bezieht sich nur auf Berlin; ob vergleichbare E-Mail-Datenlecks auch in anderen Bundesländern auftraten, ist aus dieser Quelle nicht belegt.

Im August 2021 gaben Angreifer unbefugten Zugriff auf die Netzwerke von T-Mobile US bekannt, bei dem Datensätze von über 40 Millionen ehemaligen und potenziellen Kunden, die zuvor eine Kreditprüfung beantragt hatten, sowie von 7,8 Millionen bestehenden Postpaid-Kunden entwendet wurden. Gestohlen wurden Namen, Geburtsdaten, Sozialversicherungsnummern sowie Führerschein- oder Ausweisnummern; Zahlungskartendaten waren laut T-Mobile nicht betroffen. Der Hacker John Erin Binns bekannte sich öffentlich zur Veröffentlichung der Kundendaten. T-Mobile zahlte 2022 350 Millionen US-Dollar zur Beilegung von Sammelklagen, einer der größten Datenschutz-Vergleiche in der US-Geschichte zu diesem Zeitpunkt, und wurde 2024 zusätzlich mit einem Bußgeld von 15 Millionen US-Dollar durch die US-Kommunikationsbehörde FCC belegt.

Die Motive des Hackers John Erin Binns für die Veröffentlichung der Daten sind aus dieser Quelle nicht belegt.

Am 22.06.2021 bot ein Nutzer namens 'TomLiner' im Hackerforum RaidForums Datensätze zu 700 Millionen LinkedIn-Profilen zum Verkauf an, rund 92 Prozent der damaligen LinkedIn-Nutzerbasis, darunter Namen, Geschlecht, E-Mail-Adressen, Berufsbezeichnungen und Branchenangaben. Der Verkäufer erklärte gegenüber der BBC, er habe mehrere Monate gebraucht, um die LinkedIn-API zu 'hacken', und verkaufte die Daten zunächst für rund 5.000 US-Dollar an mehrere Käufer, bevor er im September denselben Datensatz mit insgesamt 187 GB kostenlos zum Download veröffentlichte. LinkedIn erklärte, es handle sich nicht um ein echtes Datenleck, da keine privaten Nutzerdaten offengelegt worden seien; die eigene Untersuchung habe ergeben, dass alle Daten bereits öffentlich zugänglich gewesen und durch Scraping bzw. Zusammenführung von Informationen verschiedener Websites entstanden seien.

Ob 'nur öffentlich zugängliche Daten' und 'echter Datenbruch' hier eine sinnvolle Unterscheidung ist, wird kontrovers diskutiert: Für Betroffene ist die massenhafte Zusammenführung öffentlicher Einzeldaten zu durchsuchbaren Profilen praktisch mit den Folgen eines Datenlecks vergleichbar, auch wenn technisch kein Systemeinbruch stattfand.

Angreifer verschafften sich im Oktober 2016 Zugriff auf Daten von rund 57 Millionen Uber-Nutzern und -Fahrern weltweit, darunter rund 50 Millionen Namen, E-Mail-Adressen und Telefonnummern von Fahrgästen sowie Führerscheinnummern von etwa 600.000 Fahrern. Statt Behörden oder Betroffene zu informieren, zahlte Uber den Angreifern 100.000 US-Dollar, damit diese die gestohlenen Daten löschten, und verschwieg den Vorfall über ein Jahr lang, bis er im November 2017 öffentlich bekannt wurde. Uber-Sicherheitschef Joe Sullivan und ein weiterer Manager verloren daraufhin ihre Positionen; Sullivan wurde später von US-Behörden wegen Strafvereitelung und bewusstem Verschweigen einer Straftat im Zusammenhang mit dem Datenleck belangt und zu drei Jahren Bewährungsstrafe verurteilt.

Ob die Angreifer die gestohlenen Daten nach Erhalt des Schweigegelds tatsächlich vollständig löschten oder weiterhin im Umlauf behielten, ist aus dieser Quelle nicht belegt.

Am 03.03.2021 veröffentlichte Microsoft ein Notfall-Sicherheitsupdate, das vier Schwachstellen in Microsoft Exchange Server (Versionen 2010 bis 2019) schloss, darunter die Server-Side-Request-Forgery-Lücke CVE-2021-26855, über die Angreifer beliebige HTTP-Anfragen senden und sich als Exchange-Server authentifizieren konnten. Microsoft schrieb die Angriffe einer mutmaßlich staatlich gelenkten, aus China operierenden Gruppe namens 'Hafnium' zu. Nach der Veröffentlichung folgte eine beispiellose weltweite Angriffswelle gegen ungepatchte Exchange-Instanzen; das BSI rief daraufhin die IT-Bedrohungsstufe 4 (Rot) aus, erst das zweite Mal in seiner Geschichte. Das BSI schätzte, dass allein in Deutschland zehntausende Exchange-Server betroffen waren, von denen viele nach eigener Einschätzung 'sehr wahrscheinlich bereits mit Schadsoftware infiziert' waren, und kontaktierte die Geschäftsführung von über 9.000 deutschen Unternehmen direkt.

Wie viele der von der BSI direkt kontaktierten 9.000 Unternehmen tatsächlich bereits kompromittiert waren im Unterschied zu nur potenziell gefährdeten, ist aus dieser Quelle nicht differenziert.

Am 12.09.2013 gab Vodafone Deutschland bekannt, dass bei einem Cyberangriff persönliche Daten und Kontoinformationen von zwei Millionen Kunden gestohlen wurden. Der Angriff erfolgte laut Vodafone mit hoher krimineller Energie und mutmaßlichem Insiderwissen tief in der IT-Infrastruktur des Unternehmens; gestohlen wurden Namen, Adressen, Geburtsdaten, Geschlecht sowie Bankkontonummern und Bankleitzahlen, jedoch keine Passwörter oder PINs. Vodafone entdeckte den Angriff selbst und konnte ihn stoppen; die Behörden identifizierten einen Verdächtigen und durchsuchten dessen Wohnung, woraufhin Vodafone die zwei Millionen Betroffenen per Brief informierte.

Der Verdacht auf 'Insiderwissen' als Angriffsvektor wird von Vodafone selbst geäußert; ob der später identifizierte Verdächtige tatsächlich ein Mitarbeiter oder ehemaliger Mitarbeiter war, ist aus dieser Quelle nicht belegt.

Am 28.10.2023 meldete die British Library ab 9:54 Uhr ein "technisches Problem", das sich als Ransomware-Angriff der Gruppe Rhysida herausstellte. Die Angreifer nutzten vermutlich kompromittierte privilegierte Zugangsdaten, moeglicherweise erlangt durch Phishing, Spear-Phishing oder Brute-Force-Angriffe, da keine durchgaengige Mehrfaktor-Authentifizierung bestand. Rhysida forderte ein Loesegeld von 20 Bitcoin, umgerechnet rund 596.000 britische Pfund, das die Bibliothek gemaess der Never-pay-Politik des britischen National Cyber Security Centre nicht zahlte. Am 20.11.2023 bekannte sich Rhysida oeffentlich zu dem Angriff und startete eine siebentaegige Auktion gestohlener Daten im Darknet, die rund 490.191 Dateien beziehungsweise etwa 600 Gigabyte umfassten, darunter Personalunterlagen, Arbeitsvertraege, teilweise Passdaten sowie Nutzerdaten. Am 27.11.2023 veroeffentlichte Rhysida rund 90 Prozent der Daten oeffentlich, nachdem der Verkauf offenbar nicht vollstaendig gelungen war. Website, Online-Katalog, WLAN, Telefonanlage, Ticketverkauf und Leserregistrierung fielen monatelang aus, der Hauptkatalog wurde erst am 15.01.2024 im reinen Lesemodus wiederhergestellt. Etwa 20.000 Autoren und Uebersetzer erhielten verspaetete Public-Lending-Right-Zahlungen. Die geschaetzten Wiederherstellungskosten lagen bei 6 bis 7 Millionen britischen Pfund, etwa 40 Prozent der finanziellen Ruecklagen der Bibliothek. Am 08.03.2024 veroeffentlichte die British Library den offiziellen Bericht "Learning Lessons from the Cyber-Attack" mit Zeitverlauf und 16 Lehren aus dem Vorfall.

Der exakte initiale Angriffsvektor (welches konkrete Konto, welche Methode) ist laut Bericht nicht abschliessend geklaert, sondern nur als wahrscheinlichste Hypothese benannt. Ob und in welchem Umfang einzelne Betroffene individuell benachrichtigt wurden und wie viele Nutzerkonten konkret kompromittiert waren, bleibt in der Quelle unklar.

Am 20.02.2024 gab die britische National Crime Agency (NCA) gemeinsam mit dem FBI, Europol, Eurojust und Strafverfolgungsbehörden aus insgesamt zehn Ländern die Zerschlagung der Ransomware-Gruppe LockBit im Rahmen der "Operation Cronos" bekannt. Die Ermittler übernahmen die Kontrolle über die Darknet-Infrastruktur von LockBit, darunter die Leak-Website, und ersetzten sie durch eigene Mitteilungen. Insgesamt wurden 34 Server in den Niederlanden, Deutschland, Finnland, Frankreich, der Schweiz, Australien, den USA und Großbritannien beschlagnahmt. Von den beschlagnahmten Servern sicherten die Ermittler mehr als 1.000 Entschlüsselungsschlüssel, mit denen Opfer ihre verschlüsselten Daten wiederherstellen können. Zudem wurden mehr als 14.000 für den Betrieb von LockBit genutzte Nutzerkonten identifiziert und mehr als 200 Kryptowährungskonten eingefroren. Zwei mutmaßliche LockBit-Mitglieder wurden in Polen und der Ukraine festgenommen, an der Operation waren unter anderem auch das deutsche Bundeskriminalamt (BKA) und das LKA Schleswig-Holstein beteiligt. LockBit galt zu diesem Zeitpunkt als eine der aktivsten Ransomware-Gruppen weltweit mit mehreren tausend Opfern seit 2019.

Aus dieser Quelle nicht belegt sind die genaue Gesamtsumme der von LockBit erpressten Zahlungen sowie die vollständige Identität des Hauptbetreibers, der erst Monate später (Mai 2024) namentlich benannt wurde; auch der langfristige Erfolg der Zerschlagung ist unklar, da LockBit nach der Operation Teile seiner Aktivitäten wiederaufnahm.

Der US-amerikanische GPS- und Wearable-Hersteller Garmin wurde am 23.07.2020 Opfer eines Ransomware-Angriffs mit der Schadsoftware WastedLocker. Der Angriff legte weltweit zentrale Dienste lahm, darunter die Plattform Garmin Connect, den Flugnavigationsdienst flyGarmin, die Kundenhotline sowie interne Kommunikationssysteme. Millionen Nutzer von Fitness-Trackern, Smartwatches und Navigationsgeräten konnten mehrere Tage lang keine Daten mehr mit den Garmin-Servern synchronisieren. Als Verursacher gilt die russische Cyberkriminellen-Gruppe Evil Corp, die auch für die Schadsoftware Dridex verantwortlich gemacht wird und seit Dezember 2019 auf der Sanktionsliste des US-Finanzministeriums steht. Laut Medienberichten forderten die Angreifer ein Lösegeld von 10 Millionen US-Dollar für die Entschlüsselung der Systeme. Ab dem 01.08.2020 begann Garmin mit der schrittweisen Wiederherstellung der Dienste, nachdem das Unternehmen offenbar einen funktionierenden Entschlüsselungscode erhalten hatte. Am 27.07.2020 bestätigte Garmin in einer offiziellen Stellungnahme den Cyberangriff, äußerte sich jedoch nicht zu einer möglichen Lösegeldzahlung. Nach Unternehmensangaben wurden keine Kundendaten, einschließlich Zahlungsinformationen des Bezahldienstes Garmin Pay, entwendet oder verloren. Die Notfallfunktion inReach blieb von dem Ausfall unberührt.

Ob und in welcher Höhe Garmin tatsächlich ein Lösegeld gezahlt hat, ist von Garmin selbst nie offiziell bestätigt worden; Berichte über eine Zahlung von rund 10 Millionen US-Dollar über einen zwischengeschalteten Dienstleister stützen sich auf anonyme Quellen und Indizien wie den erhaltenen Entschlüsselungscode, nicht auf eine Bestätigung durch Garmin oder die Angreifer.

Das US-Unternehmen Strava veröffentlichte im November 2017 eine aktualisierte Version seiner Global Heatmap, die mehr als 1 Milliarde Aktivitäten von Nutzern weltweit aus dem Zeitraum 2015 bis September 2017 als Wärmebild auf einer Weltkarte darstellte. Am 27.01.2018 entdeckte der australische Student und Konfliktforscher Nathan Ruser von der Australian National University beim Betrachten der Karte, dass in Kriegs- und Krisengebieten wie Syrien, Afghanistan und Niger militärische Stützpunkte, Patrouillenrouten und Versorgungswege als helle Flecken auf der sonst dunklen Karte erkennbar waren, weil dort stationierte Soldaten mit aktiviertem GPS-Tracking joggten. Ruser veröffentlichte seine Beobachtungen auf Twitter, woraufhin weitere Journalisten zusätzliche und teils zuvor unbekannte Militärstandorte identifizierten. Betroffen waren unter anderem US-Stützpunkte in Afghanistan und Syrien, ein mutmaßlicher Raketenkommandostandort in Taiwan sowie Feldlager der Bundeswehr in Afghanistan. Am 29.01.2018 kündigte das US-Verteidigungsministerium unter Verteidigungsminister Jim Mattis eine Überprüfung der Sicherheitsrichtlinien für mobile Geräte und tragbare Sensorik von Soldaten an. Strava erklärte, die Karte enthalte nur Aktivitäten, die Nutzer nicht als privat markiert hatten, und verwies auf bestehende Opt-out-Einstellungen in der App. Als Reaktion kündigte Strava an, die Sichtbarkeitsoptionen für Nutzer zu vereinfachen.

Nicht belegt ist, wie viele zuvor unbekannte Stützpunkte insgesamt identifiziert wurden und ob die offengelegten Daten tatsächlich von gegnerischen Akteuren für Angriffe genutzt wurden. Ebenso ist aus dieser Quelle nicht ersichtlich, welche konkreten disziplinarischen oder organisatorischen Konsequenzen die angekündigte Pentagon-Überprüfung für einzelne Einheiten oder Soldaten letztlich hatte.

Am 29.10.2019 reichte WhatsApp beim US-Bundesgericht für den Northern District of California Klage gegen die israelische NSO Group ein. Die Klage wirft NSO Group vor, zwischen dem 29.04.2019 und dem 10.05.2019 rund 1.400 WhatsApp-Nutzer in etwa 20 Ländern mit der Spyware Pegasus infiziert zu haben. Die Angreifer nutzten dafür eine Sicherheitslücke in der VoIP-Funktion von WhatsApp, dokumentiert als CVE-2019-3568, ein Pufferüberlauf im Videoanruf-Code, der es erlaubte, durch präparierte Anrufe unbemerkt Schadcode zu übertragen, ohne dass die Betroffenen den Anruf annehmen mussten. Zu den Zielen zählten Journalisten, Menschenrechtsaktivisten, Diplomaten und Regierungsvertreter. Am 20.12.2024 entschied Richterin Phyllis Hamilton am zuständigen US-Bezirksgericht in Kalifornien, dass NSO Group gegen den Computer Fraud and Abuse Act, den California Comprehensive Computer Data Access and Fraud Act sowie gegen Vertragsbedingungen von WhatsApp verstoßen hat. Am 06.05.2025 sprach eine Geschworenenjury WhatsApp beziehungsweise dessen Mutterkonzern Meta 444.719 US-Dollar Schadenersatz sowie 167.254.000 US-Dollar Strafschadenersatz zu. Im Oktober 2025 reduzierte Richterin Hamilton den Strafschadenersatz auf rund 4 Millionen US-Dollar, verhängte zugleich aber eine dauerhafte gerichtliche Verfügung gegen NSO Group.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Höhe NSO Group die zugesprochenen Schadenersatzsummen tatsächlich gezahlt hat, da das Unternehmen Berufung eingelegt hat und der Ausgang dieses Verfahrens offen ist. Ebenfalls nicht im Detail belegt ist die vollständige Liste der betroffenen 1.400 Personen und ihrer Herkunftsländer.

Toyota Motor Corporation gab am 12.05.2023 bekannt, dass Fahrzeugdaten von rund 2,15 Millionen Kunden in Japan über einen Zeitraum von fast zehn Jahren öffentlich im Internet zugänglich waren. Betroffen waren Nutzer der Telematikdienste T-Connect, G-Link, G-Link Lite und G-BOOK, die sich zwischen dem 02.01.2012 und dem 17.04.2023 für diese Dienste angemeldet hatten. Ursache war eine Fehlkonfiguration einer Cloud-Datenbank bei der Toyota-Tochtergesellschaft Toyota Connected Corporation, die statt auf privaten Zugriff versehentlich auf öffentlichen Zugriff gestellt war und ohne Passwort einsehbar blieb. Die Datenbank war vom 06.11.2013 bis zum 17.04.2023 von außen erreichbar. Offengelegt wurden unter anderem Fahrgestellnummern, Geräte-IDs der Navigationssysteme sowie Standortdaten der Fahrzeuge samt Zeitstempeln. Zusätzlich waren vom 14.11.2016 bis zum 04.04.2023 auch Videoaufnahmen externer Kameras von Firmenkunden über ein separates System zugänglich. Toyota erklärte, den Zugriff nach Entdeckung des Fehlers umgehend gesperrt und keine Hinweise auf einen Missbrauch der Daten gefunden zu haben. Am 12.07.2023 erteilte die japanische Datenschutzbehörde Personal Information Protection Commission Toyota eine behördliche Anweisung, da unter anderem Schulungsmängel und ein fehlendes Bewusstsein für den Personenbezug der Daten festgestellt wurden. Es handelte sich um den zweiten bekannt gewordenen Datenvorfall bei T-Connect innerhalb weniger Monate, nachdem im Oktober 2022 bereits Daten von rund 296.000 Kunden über einen offengelegten GitHub-Zugriffsschlüssel abgeflossen waren.

Unklar bleibt, ob und in welchem Umfang die offengelegten Standort- und Videodaten tatsächlich von Dritten heruntergeladen oder missbraucht wurden, da Toyota lediglich von einer bestehenden Zugriffsmöglichkeit ohne bestätigten Missbrauchsfall spricht. Die genaue Gesamtzahl aller Betroffenen schwankt je nach Quelle und Zeitpunkt zwischen 2,15 und rund 2,3 Millionen.

Die New York Times deckte am 11.03.2024 auf, dass General Motors über sein Telematiksystem OnStar und das Programm Smart Driver Fahrverhaltensdaten von Kunden sammelte und ohne klare Einwilligung an die Auskunfteien LexisNexis Risk Solutions und Verisk Analytics verkaufte. Erfasst wurden unter anderem Geschwindigkeit, Vollbremsungen, starke Beschleunigungen, Fahrtzeiten und gefahrene Strecken sowie teilweise Geodaten im Abstand von nur drei Sekunden. LexisNexis erstellte aus diesen Daten Risikoscores, die Versicherungsunternehmen bei der Festlegung von Prämien oder bei der Ablehnung von Kunden nutzten. Betroffen waren GM-Modelle der Marken Chevrolet, GMC, Cadillac und Buick ab Baujahr 2015. Nach dem öffentlichen Bekanntwerden stellte GM die Datenweitergabe an LexisNexis und Verisk am 20.03.2024 ein und beendete das Smart-Driver-Programm am 24.04.2024. Die Generalstaatsanwaltschaft von Texas verklagte GM im August 2024 wegen der Daten von mehr als 1,5 Millionen Fahrern im Bundesstaat. Die FTC einigte sich am 16.01.2025 mit GM auf einen Vergleich mit einem fünfjährigen Verbot der Weitergabe sensibler Standort- und Fahrverhaltensdaten an Auskunfteien sowie einer zwanzigjährigen Auflage zur Einholung ausdrücklicher Kundenzustimmung. Kalifornien schloss am 08.05.2026 einen eigenen Vergleich mit GM über eine Zivilstrafe von 12,75 Millionen US-Dollar.

Die genaue Gesamtzahl der betroffenen US-Fahrer ist nicht offiziell verifiziert; Sammelklagen sprechen von bis zu 16 Millionen Betroffenen, was durch die FTC-Dokumente nicht bestätigt wird. Ebenfalls nicht abschließend geklärt ist, in welchem Umfang einzelne Autohäuser Kunden aktiv zur Anmeldung bei Smart Driver gedrängt haben.

Im November 2014 wurde bekannt, dass Uber-Mitarbeiter über das interne Ortungswerkzeug God View in Echtzeit die Standorte von Fahrgästen einsehen konnten, ohne dass dafür ein geschäftlicher Anlass vorlag. Der New Yorker Uber-Manager Josh Mohrer griff zunächst auf die Fahrtdaten der BuzzFeed-Journalistin Johana Bhuiyan zu und verfolgte anschließend ohne ihre Zustimmung ihre Fahrt per God View. Spätere Berichte, unter anderem eines ehemaligen Uber-Sicherheitsmitarbeiters, warfen dem Unternehmen zudem vor, dass Mitarbeiter mit dem Werkzeug auch Prominente, Politiker sowie eigene Ex-Partner unerlaubt geortet hätten. Die New Yorker Generalstaatsanwaltschaft unter Eric Schneiderman leitete im November 2014 eine rund 14 Monate dauernde Untersuchung gegen Uber ein. Parallel dazu wurde bekannt, dass ein Uber-Ingenieur im September 2014 einen Zugangsschlüssel zu einem Cloud-Dienst versehentlich auf Github veröffentlicht hatte, wodurch Namens- und Führerscheindaten von Fahrern zugänglich waren; Uber informierte die Öffentlichkeit darüber erst am 26.02.2015. Am 06.01.2016 einigte sich Uber mit der New Yorker Generalstaatsanwaltschaft auf eine Zahlung von 20.000 US-Dollar sowie auf verbindliche Sicherheitsauflagen. Uber verpflichtete sich, Geodaten von Fahrgästen zu verschlüsseln, den Mitarbeiterzugriff auf God View auf begründete Geschäftszwecke zu beschränken, eine Multi-Faktor-Authentifizierung einzuführen und Zugriffe auf Nutzerdaten zu protokollieren.

Die genaue Zahl der Personen, die Uber-Mitarbeiter unrechtmäßig über God View verfolgt haben, ist nicht offiziell beziffert und stützt sich teils auf spätere, gerichtlich nicht geprüfte Whistleblower-Aussagen. Ebenso ist aus dieser Quelle nicht ersichtlich, wie viele Fahrer vom Datenleck 2014 konkret betroffen waren oder ob einzelne Mitarbeiter strafrechtlich belangt wurden.

Die US-Handelsaufsichtsbehörde Federal Trade Commission (FTC) gab am 13. Januar 2021 einen Vergleich mit dem Unternehmen Flo Health Inc. bekannt, dem Entwickler der Perioden- und Fruchtbarkeits-Tracking-App Flo Period & Ovulation Tracker mit mehr als 100 Millionen Nutzerinnen weltweit. Die FTC warf Flo Health vor, entgegen eigener Datenschutzzusagen sensible Gesundheitsdaten wie den Eintritt der Periode, Schwangerschaftsabsichten und den Fruchtbarkeitsstatus von Nutzerinnen an Dritte weitergegeben zu haben, darunter die Analysedienste von Facebook und Google, den Facebook-Dienst App Events, Googles Fabric-Dienst sowie die Marketingfirmen AppsFlyer und Flurry. Eine Untersuchung des Wall Street Journal hatte die Praxis im Februar 2019 öffentlich gemacht, woraufhin Flo Health die Datenweitergabe einstellte. Nutzerinnen hatten laut FTC keine Möglichkeit erhalten, dieser Weitergabe zu widersprechen, obwohl die App Vertraulichkeit versprochen hatte. Der Vergleich verpflichtet Flo Health, künftig vor jeder Weitergabe von Gesundheitsdaten die ausdrückliche Einwilligung der Nutzerinnen einzuholen, eine unabhängige Überprüfung der eigenen Datenschutzpraxis durchführen zu lassen, betroffene Nutzerinnen über die frühere Offenlegung zu informieren und alle Drittfirmen anzuweisen, die erhaltenen Gesundheitsdaten zu löschen. Die FTC finalisierte die Anordnung am 22. Juni 2021.

Die genaue Zahl der tatsächlich von der Datenweitergabe betroffenen Nutzerinnen innerhalb der über 100 Millionen App-Nutzer ist aus dieser Quelle nicht ersichtlich. Der spätere zivilrechtliche Sammelklage-Vergleich über 59,5 Millionen US-Dollar aus dem Jahr 2025 ist nicht Teil dieser FTC-Anordnung und wird hier nicht behandelt.