Quellen-Tabelle

Bei einer Funkzellenabfrage fordert die Polizei von Mobilfunkanbietern alle Verbindungsdaten an, die in einer bestimmten Funkzelle in einem festgelegten Zeitraum anfielen, unabhängig davon, ob die betroffenen Personen mit einer Straftat zu tun haben. In Berlin erhielt die Polizei binnen eines Jahres 112 Millionen Mobilfunkdatensätze durch Funkzellenabfragen, umgerechnet 32 Datensätze pro Einwohner; 2017 wurden 474 Funkzellenabfragen mit insgesamt 59 Millionen Einzeldatensätzen gemeldet. Bei jeder Abfrage geraten zwangsläufig auch unbeteiligte Personen ins Netz der Ermittler. Bundesweit gab es laut Berechnungen über 50 solcher Massenabfragen pro Tag; im ersten Halbjahr 2018 leitete allein das Bundeskriminalamt 20 Funkzellenabfragen ein. In Sachsen verdreifachte sich die Zahl der Funkzellenabfragen seit 2012.

Wie viele der erfassten unbeteiligten Personen tatsächlich informiert wurden, dass ihre Verbindungsdaten in einer Funkzellenabfrage erfasst wurden, ist aus dieser Quelle nicht belegt.

Das Amtsgericht Köln verurteilte einen Täter (Az. 530 Ds 265/21) am 06.10.2022 wegen digitaler Überwachung seiner (Ex-)Partnerin mittels GPS-Tracker, Mikrofonen und einer Spyware-App zu acht Monaten Freiheitsstrafe auf Bewährung, ordnete die Einziehung der Überwachungsgeräte an und legte ihm die Verfahrenskosten vollständig auf. Der neu gefasste § 238 Abs. 2 Satz 2 Nr. 4 StGB erfasst inzwischen ausdrücklich einen besonders schweren Fall der Nachstellung, wenn ein Täter ein Computerprogramm einsetzt, dessen Zweck die digitale Ausspähung anderer Personen ist, etwa sogenannte Stalkerware. Trotz rechtlicher Möglichkeit kommt es laut netzpolitik.org fast nie zu Anklagen, weil das Gesetz zu viele Schlupflöcher lässt und die Nachweisführung für Betroffene und Ermittler in der Praxis zu schwierig ist.

Wie viele Fälle mit vergleichbarem Sachverhalt mangels Beweisbarkeit gar nicht erst zur Anklage kamen, ist aus dieser Quelle naturgemäß nicht beziffert.

Mehrere deutsche Krankenkassen bezuschussen den Kauf von Fitness-Trackern und Smartwatches im Rahmen ihrer Bonusprogramme, etwa die AOK Nordost 2015 mit 50 Euro und die Techniker Krankenkasse später mit bis zu 250 Euro. Der Chaos Computer Club Stuttgart kritisierte, Wearables seien vor allem Datensammler, auch wenn der Anreiz zu mehr Bewegung an sich begrüßenswert sei. Der damalige SPD-Gesundheitspolitiker Karl Lauterbach bezeichnete den Bonus als 'fragwürdig', da Kassen damit gezielt gut gebildete, junge und gesunde Mitglieder abwerben wollten. Bundesgesundheitsminister Hermann Gröhe mahnte, persönliche Gesundheitsdaten könnten über solche Apps ins Internet gelangen, ohne ausdrücklich geschützt zu sein; ein Sprecher der Kassenärztlichen Bundesvereinigung warnte, Verbrauchern müsse bewusst sein, dass ihre Trackingdaten irgendwo gespeichert werden.

Konkrete dokumentierte Fälle, in denen über Bonusprogramme erhobene Fitnessdaten tatsächlich unautorisiert weitergegeben wurden, sind aus dieser Quelle nicht belegt; die Kritik bezieht sich auf ein strukturelles Risiko.

Das Amtsgericht Gelnhausen entschied in einem Nachbarschaftsstreit (Az. 52 C 76/24) zugunsten des Eigentümers eines Mehrfamilienhauses, der sich gegen eine auf dem Nachbargrundstück installierte Überwachungskamera wehrte. Das Gericht untersagte dem Nachbarn den Betrieb der Kamera in einer Weise, die Vorgänge auf dem klagenden Grundstück erfasst, und stufte die Videoüberwachung als unzulässigen Eingriff in die Persönlichkeitsrechte des Klägers und seiner Mieter ein; Sicherheitsinteressen allein rechtfertigen demnach grundsätzlich keine Aufzeichnung von Nachbargrundstücken. Das Gericht stellte zudem klar, dass die Kamera nicht drehbar sein darf. Das Amtsgericht Berlin-Spandau urteilte in einem vergleichbaren Fall, dass eine an der Haustür installierte Überwachungskamera das Nachbarhaus nicht erfassen darf. Ein Anspruch auf Entfernung einer Kamera kann bereits bestehen, wenn eine Person ernsthaft befürchten muss, von ihr überwacht zu werden, unabhängig davon, ob tatsächlich aufgezeichnet wird.

Die genannten Urteile setzen einen rechtlichen Maßstab für Einzelfälle; eine flächendeckende, verlässliche Kontrolle, ob private Klingelkameras in der Praxis tatsächlich nachbarschaftskonform konfiguriert sind, ist aus dieser Quelle nicht belegt.

Bei der am 01.09.2023 gestarteten vereinfachten digitalen Kfz-Zulassung (i-Kfz) reichten Betrüger Zulassungsanträge per E-Mail unter falscher Identität ein, mit gefälschten Kopien von Ausweisdokumenten, deren Unterschriften auf Anträgen und Vollmachten scheinbar mit den Dokumentkopien übereinstimmten. Das Kraftfahrt-Bundesamt (KBA) sperrte daraufhin rund zwei Drittel der deutschen Zulassungsstellen für die Bearbeitung von Fahrzeugzulassungen über i-Kfz, da die Computersysteme vieler Zulassungsstellen die Sicherheits-Mindeststandards nicht erfüllten. Als Reaktion wurde das Zulassungsverfahren verschärft: Zulassungsdienste und Autohäuser müssen seither bestätigen, dass ihnen das Originaldokument bei Antragstellung vorlag. Zum Schutz der Verbraucher müssen Kunden künftig zweimal persönlich bei der Zulassungsstelle erscheinen, einmal zur Antragstellung und einmal zur Abholung von Fahrzeugpapieren und Kennzeichen, was die zuvor mögliche rein digitale Einreichung der Antragsunterlagen einschränkt.

Die genaue Zahl der durch die Betrugsmasche tatsächlich erfolgreich zugelassenen Fahrzeuge unter falscher Identität ist aus dieser Quelle nicht beziffert.

Das Tracking-Tool Meta Pixel, Teil der Meta Business Tools, sammelt und wertet systematisch Nutzerdaten aus, ohne dass Betroffene sich dessen stets bewusst sind. Besonders kritisch ist der Einsatz auf Websites mit besonders sensiblen Kategorien nach Art. 9 DSGVO, etwa bei Gesundheitsportalen, Beratungsstellen sowie bei Anwaltskanzleien und Steuerberaterpraxen, deren Mandatsverhältnisse gesetzlich der Verschwiegenheitspflicht unterliegen. Mehrere Oberlandesgerichte (Jena, Dresden, Stuttgart) verurteilten Meta wegen datenschutzwidrigen Trackings; der Bundesgerichtshof stellte klar, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden begründen kann. Verbraucherschutzkanzleien reichten daraufhin hunderte Klagen ein, mit möglichem Schadensersatz von bis zu 10.000 Euro pro Betroffenem. Für Verbraucher bleibt dabei oft unklar, welche Daten genau an Meta fließen, wie lange sie gespeichert werden und mit welchen anderen Informationen sie verknüpft werden.

Ob Meta Pixel konkret auf Websites von Kanzleien oder Steuerberatern in belegter Zahl tatsächlich zu einer Verletzung der anwaltlichen Verschwiegenheitspflicht führte, ist aus dieser Quelle nicht mit Einzelfällen dokumentiert, sondern als strukturelles Risiko beschrieben.

Im April 2025 gingen bei den Berliner Verkehrsbetrieben (BVG) personenbezogene Daten von rund 180.000 Fahrgästen verloren, nachdem ein externer Dienstleister die sensiblen Informationen verarbeitet hatte. Die Berliner Datenschutzbeauftragte Meike Kamp erteilte der BVG daraufhin offiziell eine Rüge wegen Versäumnissen im Umgang mit den Fahrgastdaten. Bei der Nutzung des VBB-Handytickets entstehen bei Ticketausstellung und -kontrolle über das Verkaufssystem und die Kontrollterminals der Verkehrsunternehmen zusätzlich Datensätze, die Zeitpunkt, Ort und Art des Kommunikationsvorgangs sowie die jeweiligen Kennungen von Ticket und Verkaufs- bzw. Kontrollterminal enthalten und an die Hintergrundsysteme der Verkehrsunternehmen übermittelt werden.

Welche konkreten Daten der 180.000 betroffenen Fahrgäste verloren gingen (nur Kontaktdaten oder auch Bewegungsprofile) und ob sie in falsche Hände gerieten, ist aus dieser Quelle nicht im Detail spezifiziert.

Bundesinnenminister Alexander Dobrindt (CSU) plant, dass Bundeskriminalamt und Bundespolizei kommerzielle Gesichtssuchmaschinen wie Clearview AI und PimEyes für die Polizeiarbeit nutzen können. Das Bundesinnenministerium unter Dobrindt erarbeitete dazu ein neues 'Sicherheitspaket' mit zwei Gesetzentwürfen, die es BKA, Bundespolizei und Bundesamt für Migration und Flüchtlinge (BAMF) erlauben würden, biometrische Daten wie Gesichtsbilder oder Sprachaufnahmen aus öffentlich zugänglichen Internetquellen zu erheben und automatisiert mit polizeilichen Datenbanken abzugleichen. Auf die Frage nach einer Nutzung durch das Bundesamt für Verfassungsschutz (BfV) und den Bundesnachrichtendienst (BND) verweigerte die Bundesregierung unter Berufung auf 'Geheimhaltungsinteressen' die Antwort.

Ob und in welchem Umfang BND oder BfV Clearview AI bereits vor Verabschiedung der geplanten Gesetzentwürfe informell nutzten, bleibt aus dieser Quelle mangels Antwort der Bundesregierung offen.

Zur Dopingbekämpfung müssen Athleten im Anti-Doping-Verwaltungssystem ADAMS (Anti-Doping Administration and Management System) jederzeit ihren genauen Aufenthaltsort für unangekündigte Kontrollen hinterlegen; viele Sportler fühlen sich durch diese detaillierten Standortangaben indirekt permanent überwacht. Die Datensicherheit des Systems geriet in die Kritik, nachdem ein Hackerangriff dazu führte, dass Gesundheitsdaten von Athleten im Internet auffindbar waren. Kritiker bemängeln zusätzlich, dass ein biologischer Athletenpass, der Blutparameter über die Zeit verfolgt, von Sportlern mit erfahrenen Beratern gezielt durch Mikrodosierung von Dopingsubstanzen wie EPO unterlaufen werden kann, deren minimale Verabreichung so bemessen ist, dass sie im Blutpass keinen Verdacht auslöst.

Umfang und Folgen des ADAMS-Hackerangriffs (Anzahl betroffener Athleten, welche Daten konkret veröffentlicht wurden) sind aus dieser Quelle nicht detailliert beziffert.

Autonome Robotaxis wie die von Waymo zeichnen kontinuierlich Innen- und Außenraumvideo auf und werden damit faktisch zu mobilen Überwachungskameras im Stadtraum. In einem Fall in San Francisco nutzte ein Einbrecher nach einem Überfall auf ein Yogastudio ein Waymo-Fahrzeug als Fluchtauto; als die Polizei im April eine Durchsuchungsanforderung stellte, hatte das Unternehmen die Innenraumaufnahmen bereits routinemäßig gelöscht. Waymo verpixelt Gesichter von Passanten auf seinen Aufnahmen standardmäßig, um deren Privatsphäre zu schützen. 2023 erwirkte die Polizei sowohl in San Francisco als auch in Maricopa County, Arizona, förmliche Durchsuchungsbefehle für Waymo-Videoaufnahmen; ein Waymo-Sprecher erklärte, das Unternehmen prüfe jede polizeiliche Anfrage auf ihre rechtliche Gültigkeit und weise zu weit gefasste Forderungen zurück, um die Daten der Fahrgäste zu schützen. Bei einem separaten Vorfall mit dem Waymo-Konkurrenten Cruise wurde eine Frau von einem Robotaxi erfasst und mehrere Meter mitgeschleift, woraufhin die Verkehrsbehörde San Francisco der General-Motors-Tochter die Testerlaubnis entzog.

Wie viele der bei Waymo eingegangenen Durchsuchungsanfragen das Unternehmen tatsächlich als 'zu weit gefasst' zurückwies, ist aus dieser Quelle nicht mit einer Zahl belegt; die Aussage stammt aus einer Unternehmenserklärung.

Das biometrische Grenzkontrollsystem EasyPASS wurde 2009 unter dem Namen 'GAnGes' am Flughafen Frankfurt getestet und läuft dort seit 2014 im Regelbetrieb. Reisende scannen ihren elektronischen Reisepass am eGate und blicken für die Gesichtserkennung in eine Kamera, die charakteristische Gesichtsmerkmale berechnet und mit dem im Pass gespeicherten biometrischen Foto abgleicht. Personen- und passbezogene Daten werden regulär 48 Stunden gespeichert; bei einer polizeilichen Feststellung kann die Speicherdauer manuell auf bis zu 30 Tage verlängert werden. Aktuell sind 255 EasyPASS-Kontrollspuren an acht großen deutschen Flughäfen im Einsatz (Frankfurt, München, Köln/Bonn, Düsseldorf, Berlin/Brandenburg, Stuttgart, Hannover, Hamburg), nutzbar für alle EU-Bürger ab zwölf Jahren mit gültigem elektronischem Reisepass.

Wie oft die Ausnahmeregelung zur verlängerten 30-Tage-Speicherung tatsächlich angewendet wird und nach welchen konkreten Kriterien eine 'polizeiliche Feststellung' definiert ist, ist aus dieser Quelle nicht belegt.

Im Zuge der Umstellung des Rundfunkfinanzierungssystems auf den geräteunabhängigen Rundfunkbeitrag führte der Beitragsservice 2013 einen einmaligen Meldedatenabgleich durch, bei dem die Meldedaten aller rund 70 Millionen volljährigen Deutschen abgeglichen wurden, mit dem Ziel, den Abgleich bis zum 03.03.2013 abzuschließen und rund 800.000 vermutete Beitragsschuldner zu identifizieren. Übermittelt wurden dabei Name, Geburtsdatum, akademischer Titel, Familienstand sowie Anschriften aktueller und früherer Haupt- und Nebenwohnungen. Die Bundes- und Landesdatenschutzbeauftragten beäugten den Abgleich bereits im Vorfeld kritisch; Kritiker hielten den zugrunde liegenden Staatsvertrag und den Meldedatenabgleich für verfassungswidrig, weil er faktisch auf ein bundesweites Melderegister hinauslaufe.

Ob und in welcher rechtlichen Form die Kritik am Meldedatenabgleich erfolgreich angefochten wurde, ist aus dieser Quelle nicht belegt.

Die deutschen Bundesländer verfolgen beim Einsatz von Microsoft 365 an Schulen stark unterschiedliche Ansätze, von der Ablehnung als 'Datenstaubsauger für Minderjährige' bis zur Einstufung als unverzichtbares Werkzeug für digitalen Unterricht. Nach Einschätzung der deutschen Datenschutzkonferenz (DSK) ist der Einsatz von Microsoft 365 kaum DSGVO-konform möglich; die österreichische Datenschutzbehörde (DSB) entschied, dass Microsoft 365 Education Schüler unrechtmäßig trackt und Daten ohne ausreichende Rechtsgrundlage verarbeitet. Selbst bei Speicherung auf deutschen Servern innerhalb des DSGVO-Anwendungsbereichs können Daten laut Kritikern in die USA abfließen, da US-Gesetze wie der Cloud Act und FISA US-Geheimdiensten grundsätzlichen Zugriff auf Server US-amerikanischer Unternehmen erlauben, unabhängig vom physischen Serverstandort. Baden-Württemberg kündigte nach Empfehlung des damaligen Landesdatenschutzbeauftragten Stefan Brink und Protesten von Bildungsverbänden an, Microsoft Office 365 aus seiner digitalen Lernplattform an allen Schulen des Landes zu entfernen; in vielen anderen Bundesländern wird Microsoft 365 Education dagegen weiterhin problemlos mit gezielt erworbenen Lizenzen für Lehrkräfte und Schüler eingesetzt.

Die uneinheitliche Praxis zwischen den Bundesländern zeigt, dass dieselbe DSGVO-Rechtslage in Deutschland je nach Landesbehörde unterschiedlich ausgelegt wird; eine bundesweit einheitliche verbindliche Entscheidung ist aus dieser Quelle nicht belegt.

Über ungeschützte Programmierschnittstellen (APIs) der Firma Gerdes Communications, Teil der Telio Group, waren Kommunikationsdaten von mehr als 14.000 Gefangenen aus 22 deutschen Justizvollzugsanstalten frei im Internet zugänglich. Betroffen war die Software Prison Control Center; die zugehörige Webanwendung war vollständig ungeschützt, sodass jeder, der die entsprechende URL kannte, auf sensible Insassendaten zugreifen konnte, darunter Namen, Häftlingsnummern, Kontostände, PINs zur Telefonregistrierung sowie Verbindungsdaten. Besonders kritisch waren die Metadaten von Telefonaten mit Anwälten und Psychologen, deren Offenlegung zu sozialer Stigmatisierung der Gefangenen führen könnte. IT-Sicherheitsaktivistin Lilith Wittmann entdeckte die Sicherheitslücke und meldete sie umgehend den Behörden; 18 von 20 betroffenen Schnittstellen wurden innerhalb weniger Stunden nach der Meldung am 24.06.2024 behoben, alle 20 waren bis zum 25.06.2024 repariert oder abgeschaltet.

Ob die offen zugänglichen Daten vor der Meldung durch Wittmann bereits von Dritten abgegriffen und missbraucht wurden, ist aus dieser Quelle nicht belegt; die schnelle Behebung deutet auf eine verantwortungsvolle Offenlegung ohne vorherigen bekannten Missbrauch hin.

Bei der Versendung von Massen-E-Mails an Bürger im Rahmen der Corona-Kontaktnachverfolgung kam es bei Berliner Gesundheitsämtern zu acht dokumentierten Datenschutzverstößen seit Januar 2021, bei denen E-Mail-Adressen offengelegt wurden, mit jeweils zwischen 45 und 3.100 betroffenen Personen, insgesamt über 4.000 offengelegte Adressen. Weniger als ein Drittel der 375 deutschen Gesundheitsämter nutzte die eigentlich vom Bund geförderte Software Sormas zur Kontaktnachverfolgung; der Rest arbeitete stattdessen mit Fax, Excel-Tabellen und anderen veralteten Methoden. Obwohl die Bundesregierung die Gesundheitsämter im November aufgefordert hatte, Sormas zu installieren, lief die Software bis zum 31. Dezember desselben Jahres erst in 111 von 375 Ämtern. Sormas wurde ursprünglich vom Helmholtz-Zentrum für Infektionsforschung (HZI) in Braunschweig zur Ebola-Bekämpfung entwickelt und 2020 um ein SARS-CoV-2-Modul ergänzt; zum damaligen Zeitpunkt hatte das HZI noch keine offizielle Datenschutz-Folgenabschätzung vorgelegt.

Die Zahl von acht dokumentierten Vorfällen bezieht sich nur auf Berlin; ob vergleichbare E-Mail-Datenlecks auch in anderen Bundesländern auftraten, ist aus dieser Quelle nicht belegt.

Im August 2021 gaben Angreifer unbefugten Zugriff auf die Netzwerke von T-Mobile US bekannt, bei dem Datensätze von über 40 Millionen ehemaligen und potenziellen Kunden, die zuvor eine Kreditprüfung beantragt hatten, sowie von 7,8 Millionen bestehenden Postpaid-Kunden entwendet wurden. Gestohlen wurden Namen, Geburtsdaten, Sozialversicherungsnummern sowie Führerschein- oder Ausweisnummern; Zahlungskartendaten waren laut T-Mobile nicht betroffen. Der Hacker John Erin Binns bekannte sich öffentlich zur Veröffentlichung der Kundendaten. T-Mobile zahlte 2022 350 Millionen US-Dollar zur Beilegung von Sammelklagen, einer der größten Datenschutz-Vergleiche in der US-Geschichte zu diesem Zeitpunkt, und wurde 2024 zusätzlich mit einem Bußgeld von 15 Millionen US-Dollar durch die US-Kommunikationsbehörde FCC belegt.

Die Motive des Hackers John Erin Binns für die Veröffentlichung der Daten sind aus dieser Quelle nicht belegt.

Am 22.06.2021 bot ein Nutzer namens 'TomLiner' im Hackerforum RaidForums Datensätze zu 700 Millionen LinkedIn-Profilen zum Verkauf an, rund 92 Prozent der damaligen LinkedIn-Nutzerbasis, darunter Namen, Geschlecht, E-Mail-Adressen, Berufsbezeichnungen und Branchenangaben. Der Verkäufer erklärte gegenüber der BBC, er habe mehrere Monate gebraucht, um die LinkedIn-API zu 'hacken', und verkaufte die Daten zunächst für rund 5.000 US-Dollar an mehrere Käufer, bevor er im September denselben Datensatz mit insgesamt 187 GB kostenlos zum Download veröffentlichte. LinkedIn erklärte, es handle sich nicht um ein echtes Datenleck, da keine privaten Nutzerdaten offengelegt worden seien; die eigene Untersuchung habe ergeben, dass alle Daten bereits öffentlich zugänglich gewesen und durch Scraping bzw. Zusammenführung von Informationen verschiedener Websites entstanden seien.

Ob 'nur öffentlich zugängliche Daten' und 'echter Datenbruch' hier eine sinnvolle Unterscheidung ist, wird kontrovers diskutiert: Für Betroffene ist die massenhafte Zusammenführung öffentlicher Einzeldaten zu durchsuchbaren Profilen praktisch mit den Folgen eines Datenlecks vergleichbar, auch wenn technisch kein Systemeinbruch stattfand.

Angreifer verschafften sich im Oktober 2016 Zugriff auf Daten von rund 57 Millionen Uber-Nutzern und -Fahrern weltweit, darunter rund 50 Millionen Namen, E-Mail-Adressen und Telefonnummern von Fahrgästen sowie Führerscheinnummern von etwa 600.000 Fahrern. Statt Behörden oder Betroffene zu informieren, zahlte Uber den Angreifern 100.000 US-Dollar, damit diese die gestohlenen Daten löschten, und verschwieg den Vorfall über ein Jahr lang, bis er im November 2017 öffentlich bekannt wurde. Uber-Sicherheitschef Joe Sullivan und ein weiterer Manager verloren daraufhin ihre Positionen; Sullivan wurde später von US-Behörden wegen Strafvereitelung und bewusstem Verschweigen einer Straftat im Zusammenhang mit dem Datenleck belangt und zu drei Jahren Bewährungsstrafe verurteilt.

Ob die Angreifer die gestohlenen Daten nach Erhalt des Schweigegelds tatsächlich vollständig löschten oder weiterhin im Umlauf behielten, ist aus dieser Quelle nicht belegt.

Am 03.03.2021 veröffentlichte Microsoft ein Notfall-Sicherheitsupdate, das vier Schwachstellen in Microsoft Exchange Server (Versionen 2010 bis 2019) schloss, darunter die Server-Side-Request-Forgery-Lücke CVE-2021-26855, über die Angreifer beliebige HTTP-Anfragen senden und sich als Exchange-Server authentifizieren konnten. Microsoft schrieb die Angriffe einer mutmaßlich staatlich gelenkten, aus China operierenden Gruppe namens 'Hafnium' zu. Nach der Veröffentlichung folgte eine beispiellose weltweite Angriffswelle gegen ungepatchte Exchange-Instanzen; das BSI rief daraufhin die IT-Bedrohungsstufe 4 (Rot) aus, erst das zweite Mal in seiner Geschichte. Das BSI schätzte, dass allein in Deutschland zehntausende Exchange-Server betroffen waren, von denen viele nach eigener Einschätzung 'sehr wahrscheinlich bereits mit Schadsoftware infiziert' waren, und kontaktierte die Geschäftsführung von über 9.000 deutschen Unternehmen direkt.

Wie viele der von der BSI direkt kontaktierten 9.000 Unternehmen tatsächlich bereits kompromittiert waren im Unterschied zu nur potenziell gefährdeten, ist aus dieser Quelle nicht differenziert.

Am 12.09.2013 gab Vodafone Deutschland bekannt, dass bei einem Cyberangriff persönliche Daten und Kontoinformationen von zwei Millionen Kunden gestohlen wurden. Der Angriff erfolgte laut Vodafone mit hoher krimineller Energie und mutmaßlichem Insiderwissen tief in der IT-Infrastruktur des Unternehmens; gestohlen wurden Namen, Adressen, Geburtsdaten, Geschlecht sowie Bankkontonummern und Bankleitzahlen, jedoch keine Passwörter oder PINs. Vodafone entdeckte den Angriff selbst und konnte ihn stoppen; die Behörden identifizierten einen Verdächtigen und durchsuchten dessen Wohnung, woraufhin Vodafone die zwei Millionen Betroffenen per Brief informierte.

Der Verdacht auf 'Insiderwissen' als Angriffsvektor wird von Vodafone selbst geäußert; ob der später identifizierte Verdächtige tatsächlich ein Mitarbeiter oder ehemaliger Mitarbeiter war, ist aus dieser Quelle nicht belegt.

Am 28.10.2023 meldete die British Library ab 9:54 Uhr ein "technisches Problem", das sich als Ransomware-Angriff der Gruppe Rhysida herausstellte. Die Angreifer nutzten vermutlich kompromittierte privilegierte Zugangsdaten, moeglicherweise erlangt durch Phishing, Spear-Phishing oder Brute-Force-Angriffe, da keine durchgaengige Mehrfaktor-Authentifizierung bestand. Rhysida forderte ein Loesegeld von 20 Bitcoin, umgerechnet rund 596.000 britische Pfund, das die Bibliothek gemaess der Never-pay-Politik des britischen National Cyber Security Centre nicht zahlte. Am 20.11.2023 bekannte sich Rhysida oeffentlich zu dem Angriff und startete eine siebentaegige Auktion gestohlener Daten im Darknet, die rund 490.191 Dateien beziehungsweise etwa 600 Gigabyte umfassten, darunter Personalunterlagen, Arbeitsvertraege, teilweise Passdaten sowie Nutzerdaten. Am 27.11.2023 veroeffentlichte Rhysida rund 90 Prozent der Daten oeffentlich, nachdem der Verkauf offenbar nicht vollstaendig gelungen war. Website, Online-Katalog, WLAN, Telefonanlage, Ticketverkauf und Leserregistrierung fielen monatelang aus, der Hauptkatalog wurde erst am 15.01.2024 im reinen Lesemodus wiederhergestellt. Etwa 20.000 Autoren und Uebersetzer erhielten verspaetete Public-Lending-Right-Zahlungen. Die geschaetzten Wiederherstellungskosten lagen bei 6 bis 7 Millionen britischen Pfund, etwa 40 Prozent der finanziellen Ruecklagen der Bibliothek. Am 08.03.2024 veroeffentlichte die British Library den offiziellen Bericht "Learning Lessons from the Cyber-Attack" mit Zeitverlauf und 16 Lehren aus dem Vorfall.

Der exakte initiale Angriffsvektor (welches konkrete Konto, welche Methode) ist laut Bericht nicht abschliessend geklaert, sondern nur als wahrscheinlichste Hypothese benannt. Ob und in welchem Umfang einzelne Betroffene individuell benachrichtigt wurden und wie viele Nutzerkonten konkret kompromittiert waren, bleibt in der Quelle unklar.

Am 20.02.2024 gab die britische National Crime Agency (NCA) gemeinsam mit dem FBI, Europol, Eurojust und Strafverfolgungsbehörden aus insgesamt zehn Ländern die Zerschlagung der Ransomware-Gruppe LockBit im Rahmen der "Operation Cronos" bekannt. Die Ermittler übernahmen die Kontrolle über die Darknet-Infrastruktur von LockBit, darunter die Leak-Website, und ersetzten sie durch eigene Mitteilungen. Insgesamt wurden 34 Server in den Niederlanden, Deutschland, Finnland, Frankreich, der Schweiz, Australien, den USA und Großbritannien beschlagnahmt. Von den beschlagnahmten Servern sicherten die Ermittler mehr als 1.000 Entschlüsselungsschlüssel, mit denen Opfer ihre verschlüsselten Daten wiederherstellen können. Zudem wurden mehr als 14.000 für den Betrieb von LockBit genutzte Nutzerkonten identifiziert und mehr als 200 Kryptowährungskonten eingefroren. Zwei mutmaßliche LockBit-Mitglieder wurden in Polen und der Ukraine festgenommen, an der Operation waren unter anderem auch das deutsche Bundeskriminalamt (BKA) und das LKA Schleswig-Holstein beteiligt. LockBit galt zu diesem Zeitpunkt als eine der aktivsten Ransomware-Gruppen weltweit mit mehreren tausend Opfern seit 2019.

Aus dieser Quelle nicht belegt sind die genaue Gesamtsumme der von LockBit erpressten Zahlungen sowie die vollständige Identität des Hauptbetreibers, der erst Monate später (Mai 2024) namentlich benannt wurde; auch der langfristige Erfolg der Zerschlagung ist unklar, da LockBit nach der Operation Teile seiner Aktivitäten wiederaufnahm.

Der US-amerikanische GPS- und Wearable-Hersteller Garmin wurde am 23.07.2020 Opfer eines Ransomware-Angriffs mit der Schadsoftware WastedLocker. Der Angriff legte weltweit zentrale Dienste lahm, darunter die Plattform Garmin Connect, den Flugnavigationsdienst flyGarmin, die Kundenhotline sowie interne Kommunikationssysteme. Millionen Nutzer von Fitness-Trackern, Smartwatches und Navigationsgeräten konnten mehrere Tage lang keine Daten mehr mit den Garmin-Servern synchronisieren. Als Verursacher gilt die russische Cyberkriminellen-Gruppe Evil Corp, die auch für die Schadsoftware Dridex verantwortlich gemacht wird und seit Dezember 2019 auf der Sanktionsliste des US-Finanzministeriums steht. Laut Medienberichten forderten die Angreifer ein Lösegeld von 10 Millionen US-Dollar für die Entschlüsselung der Systeme. Ab dem 01.08.2020 begann Garmin mit der schrittweisen Wiederherstellung der Dienste, nachdem das Unternehmen offenbar einen funktionierenden Entschlüsselungscode erhalten hatte. Am 27.07.2020 bestätigte Garmin in einer offiziellen Stellungnahme den Cyberangriff, äußerte sich jedoch nicht zu einer möglichen Lösegeldzahlung. Nach Unternehmensangaben wurden keine Kundendaten, einschließlich Zahlungsinformationen des Bezahldienstes Garmin Pay, entwendet oder verloren. Die Notfallfunktion inReach blieb von dem Ausfall unberührt.

Ob und in welcher Höhe Garmin tatsächlich ein Lösegeld gezahlt hat, ist von Garmin selbst nie offiziell bestätigt worden; Berichte über eine Zahlung von rund 10 Millionen US-Dollar über einen zwischengeschalteten Dienstleister stützen sich auf anonyme Quellen und Indizien wie den erhaltenen Entschlüsselungscode, nicht auf eine Bestätigung durch Garmin oder die Angreifer.

Das US-Unternehmen Strava veröffentlichte im November 2017 eine aktualisierte Version seiner Global Heatmap, die mehr als 1 Milliarde Aktivitäten von Nutzern weltweit aus dem Zeitraum 2015 bis September 2017 als Wärmebild auf einer Weltkarte darstellte. Am 27.01.2018 entdeckte der australische Student und Konfliktforscher Nathan Ruser von der Australian National University beim Betrachten der Karte, dass in Kriegs- und Krisengebieten wie Syrien, Afghanistan und Niger militärische Stützpunkte, Patrouillenrouten und Versorgungswege als helle Flecken auf der sonst dunklen Karte erkennbar waren, weil dort stationierte Soldaten mit aktiviertem GPS-Tracking joggten. Ruser veröffentlichte seine Beobachtungen auf Twitter, woraufhin weitere Journalisten zusätzliche und teils zuvor unbekannte Militärstandorte identifizierten. Betroffen waren unter anderem US-Stützpunkte in Afghanistan und Syrien, ein mutmaßlicher Raketenkommandostandort in Taiwan sowie Feldlager der Bundeswehr in Afghanistan. Am 29.01.2018 kündigte das US-Verteidigungsministerium unter Verteidigungsminister Jim Mattis eine Überprüfung der Sicherheitsrichtlinien für mobile Geräte und tragbare Sensorik von Soldaten an. Strava erklärte, die Karte enthalte nur Aktivitäten, die Nutzer nicht als privat markiert hatten, und verwies auf bestehende Opt-out-Einstellungen in der App. Als Reaktion kündigte Strava an, die Sichtbarkeitsoptionen für Nutzer zu vereinfachen.

Nicht belegt ist, wie viele zuvor unbekannte Stützpunkte insgesamt identifiziert wurden und ob die offengelegten Daten tatsächlich von gegnerischen Akteuren für Angriffe genutzt wurden. Ebenso ist aus dieser Quelle nicht ersichtlich, welche konkreten disziplinarischen oder organisatorischen Konsequenzen die angekündigte Pentagon-Überprüfung für einzelne Einheiten oder Soldaten letztlich hatte.

Am 29.10.2019 reichte WhatsApp beim US-Bundesgericht für den Northern District of California Klage gegen die israelische NSO Group ein. Die Klage wirft NSO Group vor, zwischen dem 29.04.2019 und dem 10.05.2019 rund 1.400 WhatsApp-Nutzer in etwa 20 Ländern mit der Spyware Pegasus infiziert zu haben. Die Angreifer nutzten dafür eine Sicherheitslücke in der VoIP-Funktion von WhatsApp, dokumentiert als CVE-2019-3568, ein Pufferüberlauf im Videoanruf-Code, der es erlaubte, durch präparierte Anrufe unbemerkt Schadcode zu übertragen, ohne dass die Betroffenen den Anruf annehmen mussten. Zu den Zielen zählten Journalisten, Menschenrechtsaktivisten, Diplomaten und Regierungsvertreter. Am 20.12.2024 entschied Richterin Phyllis Hamilton am zuständigen US-Bezirksgericht in Kalifornien, dass NSO Group gegen den Computer Fraud and Abuse Act, den California Comprehensive Computer Data Access and Fraud Act sowie gegen Vertragsbedingungen von WhatsApp verstoßen hat. Am 06.05.2025 sprach eine Geschworenenjury WhatsApp beziehungsweise dessen Mutterkonzern Meta 444.719 US-Dollar Schadenersatz sowie 167.254.000 US-Dollar Strafschadenersatz zu. Im Oktober 2025 reduzierte Richterin Hamilton den Strafschadenersatz auf rund 4 Millionen US-Dollar, verhängte zugleich aber eine dauerhafte gerichtliche Verfügung gegen NSO Group.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Höhe NSO Group die zugesprochenen Schadenersatzsummen tatsächlich gezahlt hat, da das Unternehmen Berufung eingelegt hat und der Ausgang dieses Verfahrens offen ist. Ebenfalls nicht im Detail belegt ist die vollständige Liste der betroffenen 1.400 Personen und ihrer Herkunftsländer.