Quellen-Tabelle

Am 29.08.2017 ordnete die FDA einen freiwilligen Rückruf von 465.000 Herzschrittmachern des Herstellers Abbott (übernommen von St. Jude Medical) an, um eine Firmware-Sicherheitslücke zu schließen. Betroffen waren sechs Modellreihen (Accent, Accent MRI, Accent ST, Allure, Anthem, Assurity). Die Schwachstelle hätte es unbefugten Personen mit handelsüblicher Ausrüstung ermöglicht, aus der Nähe auf das implantierte Gerät zuzugreifen und dessen Programmierung zu verändern, mit möglichen Folgen wie beschleunigter Batterieentladung oder fehlerhafter Herzstimulation. Der Rückruf bestand aus einem Firmware-Update beim Arzt, kein Austausch des Geräts war nötig.

Die FDA meldete zum Zeitpunkt des Rückrufs keine bekannten Verletzungsfälle durch die Schwachstelle; ob es später tatsächlich zu einem Angriff über diese Lücke kam, ist aus dieser Quelle nicht belegt.

Seit Oktober 2025 laufen in deutschen Kliniken Pilotprojekte mit Microsofts KI-Dokumentationssystem Dragon Copilot, darunter Charité Berlin, Universitätsklinikum Mannheim, Kliniken Stuttgart, Region Hannover und BG Klinikum Halle. Das System hört als 'Ambient Scribe' mit Einwilligung der Beteiligten das Arzt-Patienten-Gespräch mit, erstellt automatisch strukturierte Dokumentation und Befunde, die anschließend von Ärzten geprüft und freigegeben werden. Es kombiniert die Spracherkennung von Dragon Medical One mit den Ambient-Listening-Fähigkeiten von Dragon Ambient eXperience Copilot und generativer KI und ist seit Kurzem deutschlandweit allgemein verfügbar.

Der Anbieter beschreibt die Verarbeitung als datenschutzkonform; eine unabhängige Prüfung der konkreten Datenspeicherung und -weitergabe an Microsoft-Server ist aus dieser Herstellerquelle nicht belegt.

Am 21.04.2022 verschafften sich Angreifer der Gruppe BlackCat über einen Arbeitsplatzrechner Zugang zu den IT-Systemen des Landes Kärnten; entdeckt wurde der Angriff erst am 24.05.2022 durch Auffälligkeiten im Netzwerk. Die Angreifer erbeuteten rund 250 GB Daten, darunter Passkopien, Corona-Testergebnisse, Bankkartendaten sowie Korrespondenz des Landeshauptmanns und mehrerer Landesräte; 5,6 GB davon wurden veröffentlicht. Rund 3.000 Rechner der Landesregierung, Bezirkshauptmannschaften und Gerichte mussten vom Netz genommen werden. Die Gruppe forderte 5 Millionen Euro Lösegeld in Bitcoin; das Land zahlte nicht. Der österreichische Rechnungshof stellte 2024 weiterhin Verbesserungsbedarf bei der IT-Sicherheit des Landes fest.

Der Rechnungshofbericht bewertet den Zustand der IT-Sicherheit nach dem Vorfall; ob die Ursprungslücke seither vollständig geschlossen wurde, ist aus dieser Quelle nicht abschließend belegt.

Gouverneurin Tina Kotek unterzeichnete am 28.03.2024 mit SB 1596 das erste US-Gesetz, das die Praxis des 'Parts Pairing' verbietet: Hersteller wie Apple serialisieren Gerätekomponenten softwareseitig, sodass ein Gerät nur mit authentifizierten Originalteilen voll funktioniert. Das Gesetz verpflichtet Hersteller, Kunden die Nutzung neuer, gebrauchter oder Dritthersteller-Ersatzteile ohne Funktionseinschränkung zu ermöglichen, und gilt für alle neuen Elektronikgeräte ab 01.01.2025. Apple lobbyierte gegen das Verbot und argumentierte, Parts Pairing sei ein Sicherheitsmerkmal.

Das Gesetz gilt nur im US-Bundesstaat Oregon; eine EU-weite oder deutsche Entsprechung ist aus dieser Quelle nicht belegt.

Im September 2020 verschlüsselte ein Ransomware-Angriff über eine Citrix-VPN-Schwachstelle (CVE-2019-19781) rund 30 Server des Universitätsklinikums Düsseldorf. In der Folge setzte die Klinik ihre Notaufnahme aus, sodass Rettungswagen umgeleitet wurden. Zwei Nächte später starb eine Patientin mit lebensbedrohlichem Zustand, die wegen der ausgesetzten Notaufnahme rund eine Stunde später in einem weiter entfernten Krankenhaus behandelt wurde. Nach eingehender Untersuchung mit medizinischen Gutachtern und Obduktion stellte die Staatsanwaltschaft fest, der Gesundheitszustand der Patientin sei zum Zeitpunkt der Abholung bereits so schwerwiegend gewesen, dass sie unabhängig vom Krankenhausort verstorben wäre; die Erkrankung sei alleinige Todesursache gewesen, unabhängig vom Cyberangriff.

Der Fall wird oft als 'erster tödlicher Hackerangriff' zitiert; die Staatsanwaltschaft stellte jedoch gerade keinen ursächlichen Zusammenhang zwischen Angriff und Tod fest. Beide Lesarten kursieren in der Berichterstattung, hier wird bewusst die Ermittlungsfeststellung wiedergegeben.

Von August 2017 bis Sommer 2018 testete das Bundesinnenministerium am Berliner Bahnhof Südkreuz biometrische Gesichtserkennungskameras der Bundespolizei. Laut Auswertung erkannte die Software in 80 Prozent der Fälle Testpersonen zuverlässig wieder, selbst mit Brille, Hut oder Schal. Das Bundesinnenministerium bewertete den Test als Erfolg; Datenschützer widersprachen und bezeichneten die Ergebnisse als 'unwissenschaftlich' und ein 'Debakel'. Der Deutsche Anwaltsverein kritisierte, das massenhafte Scannen unbescholtener Bürger stelle sie unter Generalverdacht und verletze Persönlichkeits- und Freiheitsrechte. Frankfurt am Main betreibt inzwischen dauerhafte automatisierte Gesichtserkennung im Rotlichtviertel, bei der Kamerabilder permanent nach bestimmten Personen durchsucht werden.

Die 80-Prozent-Zahl stammt aus der Auswertung des Bundesinnenministeriums selbst, das ein Eigeninteresse am Erfolg des Projekts hatte; eine methodisch unabhängige Überprüfung der Fehlerquote wird von Kritikern in dieser Quelle ausdrücklich bestritten.

Die FTC stellte fest, dass der Online-Therapieanbieter BetterHelp zwischen 2017 und 2020 E-Mail-Adressen, IP-Adressen und Angaben aus Gesundheitsfragebögen an Facebook (Meta), Snapchat, Pinterest und Criteo zu Werbezwecken weitergab, obwohl das Unternehmen Nutzern zugesichert hatte, Gesundheitsdaten nur eingeschränkt zu verwenden. BetterHelp nutzte insbesondere die Information, dass jemand bereits in Therapie gewesen war, um Facebook zur Identifizierung ähnlicher Zielgruppen für Werbung anzuweisen, was dem Unternehmen zehntausende neue zahlende Nutzer und Millionenumsätze einbrachte. Die FTC verhängte 2023 eine Zahlung von 7,8 Millionen US-Dollar, untersagte BetterHelp die Weitergabe von Gesundheitsdaten zu Werbezwecken und ordnete Rückerstattungen an Betroffene an, die ab Mai 2024 verschickt wurden.

Die Zahl der tatsächlich individuell entschädigten Nutzer und die durchschnittliche Rückerstattungssumme sind aus dieser Quelle nicht beziffert.

Die FTC leitete ein Verfahren nach ihrer Health Breach Notification Rule gegen den Online-Apotheken-Preisvergleichsdienst GoodRx ein, weil das Unternehmen es versäumte, Nutzer über unautorisierte Weitergaben ihrer Gesundheitsdaten zu informieren. GoodRx teilte sensible Angaben zu verschriebenen Medikamenten und Gesundheitszuständen wiederholt mit Werbepartnern wie Facebook, Google, Criteo sowie weiteren Dritten wie Branch und Twilio, obwohl es Nutzern zuvor Vertraulichkeit zugesichert hatte. Mit den an Facebook übermittelten Daten ließ GoodRx eigene Nutzer gezielt mit personalisierter, medikamentenspezifischer Werbung auf Facebook und Instagram ansprechen. Das Unternehmen zahlte im Rahmen des Vergleichs eine Zivilstrafe von 1,5 Millionen US-Dollar, bestritt jedoch jegliches Fehlverhalten und erklärte, die Praxis bereits rund drei Jahre vor der FTC-Untersuchung von sich aus beendet zu haben.

GoodRx bestreitet die Vorwürfe ausdrücklich, obwohl das Unternehmen die Zahlung leistete; ein gerichtliches Schuldeingeständnis liegt laut dieser Quelle nicht vor.

Die FTC stellte fest, dass die Zyklus- und Fruchtbarkeits-App Flo trotz gegenteiliger Zusicherung sensible Gesundheitsdaten von Millionen Nutzerinnen an Marketing- und Analysefirmen weitergab, darunter die Analyseabteilungen von Facebook und Google, Googles Fabric-Dienst, AppsFlyer und Flurry, unter anderem die Tatsache einer Schwangerschaft in Form von 'App-Events'. Eine Wall-Street-Journal-Recherche hatte 2019 aufgedeckt, dass mehrere Gesundheits-Apps, darunter Flo, sensible In-App-Aktivitätsdaten über eingebettete Analysetools an Facebook sendeten. Die FTC verpflichtete Flo Health per Vergleich, künftig vor jeder Weitergabe persönlicher Gesundheitsdaten eine ausdrückliche Einwilligung einzuholen und die eigene Datenschutzpraxis unabhängig prüfen zu lassen. In einem späteren Verfahren zahlten Google 48 Millionen und Flo Health 8 Millionen US-Dollar Entschädigung an Nutzerinnen, die zwischen November 2016 und Februar 2019 Menstruations- oder Schwangerschaftsdaten eingegeben hatten.

Die Entschädigungssumme betrifft nur Nutzerinnen im genannten Zeitraum; ob und wie Daten nach Aufdeckung des Falls weiterhin bei den Empfängern gespeichert blieben, ist aus dieser Quelle nicht belegt.

Die irische Datenschutzbehörde DPC verhängte gegen TikTok ein Bußgeld von 345 Millionen Euro wegen DSGVO-Verstößen im Umgang mit Daten minderjähriger Nutzer zwischen Ende Juli und Ende Dezember 2020. Konkret bot TikTok 13- bis 17-Jährigen als Voreinstellung an, ihre Beiträge standardmäßig öffentlich für alle sichtbar zu veröffentlichen, und die Kommentarfunktion in Minderjährigen-Profilen war standardmäßig für alle anderen Nutzer offen. Zusätzlich kritisierte die DPC die 'Familien-Kopplung', mit der Erwachsene ihr Konto mit dem eines Kindes verknüpfen konnten, ohne dass geprüft wurde, ob es sich tatsächlich um ein Elternteil oder eine berechtigte Person handelte, wodurch Fremde Minderjährigen Direktnachrichten senden konnten. TikTok musste die Datenverarbeitung binnen drei Monaten DSGVO-konform anpassen.

Ob TikTok die geforderten Anpassungen fristgerecht und vollständig umsetzte, ist aus dieser Quelle nicht belegt.

Körperscanner ('Nacktscanner') gehören inzwischen zur Standardausrüstung an immer mehr von der Bundespolizei betriebenen deutschen Flughäfen. Kritisiert wurde insbesondere, dass frühe Scannerbilder scharf genug waren, um nicht nur Genitalien, sondern auch Prothesen, Piercings und künstliche Stomata sichtbar zu machen. Erste Scannergenerationen nutzten Röntgenstrahlung, was gesundheitliche Bedenken bei Vielfliegern und Flughafenpersonal auslöste; die meisten Flughäfen sind inzwischen auf nicht-ionisierende Millimeterwellen-Scanner umgestiegen. Nach der EU-Verordnung 2015/1998 ist die Nutzung von Körperscannern offiziell freiwillig; wer den Scanner ablehnt, kann stattdessen eine manuelle Abtastkontrolle wählen. Die erzeugten Bilder werden laut Betreiberangaben nicht gespeichert, sondern nach der Prüfung gelöscht; in den USA wurde dagegen bekannt, dass Aufnahmen an manchen Standorten gespeichert und archiviert wurden.

Ob deutsche Körperscanner-Standorte die Nicht-Speicherung tatsächlich lückenlos einhalten, ist aus dieser Quelle nicht unabhängig überprüft, sondern beruht auf Betreiberangaben; der US-Präzedenzfall zeigt, dass eine solche Zusicherung nicht zwingend verlässlich ist.

Die französische Datenschutzbehörde CNIL verhängte am 10.12.2020 nach Online-Kontrollen auf google.fr und amazon.fr Bußgelder von insgesamt 135 Millionen Euro: 100 Millionen Euro gegen Google (60 Mio. gegen Google LLC, 40 Mio. gegen Google Ireland Ltd.) und 35 Millionen Euro gegen Amazon. Beide Unternehmen platzierten automatisch personalisierte Werbe-Cookies auf den Endgeräten der Nutzer, ohne vorab deren Einwilligung einzuholen; zusätzlich bewertete die CNIL die bereitgestellten Informationen zu den Cookies als unzureichend. Die Unternehmen erhielten drei Monate Zeit zur Anpassung, andernfalls drohten weitere 100.000 Euro Strafe pro zusätzlichem Verzögerungstag. Der französische Conseil d'État bestätigte die Entscheidung gegen Amazon später in der Berufung.

Ob die tatsächlich verhängten Nachfrist-Strafzahlungen von 100.000 Euro pro Tag jemals fällig wurden, ist aus dieser Quelle nicht belegt.

Der Passwort-Manager LastPass wurde bereits im August 2022 Opfer eines Hackerangriffs, informierte Kunden jedoch erst im Dezember 2022 darüber, dass Angreifer dabei auch die verschlüsselten Passwort-Tresore der Kunden erbeuteten, zusätzlich zu Firmennamen, Nutzernamen, Rechnungsadressen, E-Mail-Adressen, Telefonnummern und Zugriffs-IP-Adressen. Die gestohlenen Zugangsdaten in den Tresoren sind zwar verschlüsselt und nur mit dem individuellen Master-Passwort lesbar, spätere Berichte zeigten jedoch, dass LastPass sich nicht an die Empfehlungen von OWASP hielt und nur rund ein Drittel der empfohlenen Wiederholungen der Schlüsselableitungsfunktion PBKDF2 verwendete, was das Knacken schwacher Master-Passwörter erheblich erleichterte.

Wie viele Nutzer-Tresore tatsächlich erfolgreich entschlüsselt wurden, ist aus dieser Quelle nicht mit einer belastbaren Zahl belegt.

Im April 2021 tauchten Daten von rund 533 Millionen Facebook-Nutzern aus 106 Ländern öffentlich im Netz auf, darunter rund 6 Millionen deutsche Nutzer, mit vollständigen Nutzernamen, Geburtsdaten, E-Mail-Adressen, Telefonnummern und Angaben wie dem Beziehungsstatus. Zentraler Angriffspunkt war Facebooks 'Kontaktimport'-Funktion: Unbekannte generierten hunderte Millionen zufällige Telefonnummern und glichen sie über ein Freundschaftssuche-Tool mit Facebook-Nutzerdaten ab; fand Facebook eine passende Nummer in seiner Datenbank, lieferte es die zugehörigen Nutzerinformationen zurück. Die irische Datenschutzbehörde verhängte am 29.11.2022 ein Bußgeld von 265 Millionen Euro gegen Meta, weil das Unternehmen die Daten der Nutzer nicht ausreichend geschützt hatte. Betroffene Nutzer in Deutschland reichten daraufhin Sammelklagen auf Schadensersatz ein; ein BGH-Grundsatzurteil bejahte grundsätzlich Schadensersatzansprüche für Betroffene.

Die genaue Höhe des einzelnen Schadensersatzanspruchs pro betroffenem Nutzer variiert je nach Gerichtsentscheidung und ist aus dieser Quelle nicht einheitlich beziffert.

Das Amtsgericht Köln verurteilte einen Täter (Az. 530 Ds 265/21) am 06.10.2022 wegen digitaler Überwachung seiner (Ex-)Partnerin mittels GPS-Tracker, Mikrofonen und einer Spyware-App zu acht Monaten Freiheitsstrafe auf Bewährung, ordnete die Einziehung der Überwachungsgeräte an und legte ihm die Verfahrenskosten vollständig auf. Der neu gefasste § 238 Abs. 2 Satz 2 Nr. 4 StGB erfasst inzwischen ausdrücklich einen besonders schweren Fall der Nachstellung, wenn ein Täter ein Computerprogramm einsetzt, dessen Zweck die digitale Ausspähung anderer Personen ist, etwa sogenannte Stalkerware. Trotz rechtlicher Möglichkeit kommt es laut netzpolitik.org fast nie zu Anklagen, weil das Gesetz zu viele Schlupflöcher lässt und die Nachweisführung für Betroffene und Ermittler in der Praxis zu schwierig ist.

Wie viele Fälle mit vergleichbarem Sachverhalt mangels Beweisbarkeit gar nicht erst zur Anklage kamen, ist aus dieser Quelle naturgemäß nicht beziffert.

Das Amtsgericht Gelnhausen entschied in einem Nachbarschaftsstreit (Az. 52 C 76/24) zugunsten des Eigentümers eines Mehrfamilienhauses, der sich gegen eine auf dem Nachbargrundstück installierte Überwachungskamera wehrte. Das Gericht untersagte dem Nachbarn den Betrieb der Kamera in einer Weise, die Vorgänge auf dem klagenden Grundstück erfasst, und stufte die Videoüberwachung als unzulässigen Eingriff in die Persönlichkeitsrechte des Klägers und seiner Mieter ein; Sicherheitsinteressen allein rechtfertigen demnach grundsätzlich keine Aufzeichnung von Nachbargrundstücken. Das Gericht stellte zudem klar, dass die Kamera nicht drehbar sein darf. Das Amtsgericht Berlin-Spandau urteilte in einem vergleichbaren Fall, dass eine an der Haustür installierte Überwachungskamera das Nachbarhaus nicht erfassen darf. Ein Anspruch auf Entfernung einer Kamera kann bereits bestehen, wenn eine Person ernsthaft befürchten muss, von ihr überwacht zu werden, unabhängig davon, ob tatsächlich aufgezeichnet wird.

Die genannten Urteile setzen einen rechtlichen Maßstab für Einzelfälle; eine flächendeckende, verlässliche Kontrolle, ob private Klingelkameras in der Praxis tatsächlich nachbarschaftskonform konfiguriert sind, ist aus dieser Quelle nicht belegt.

Im April 2025 gingen bei den Berliner Verkehrsbetrieben (BVG) personenbezogene Daten von rund 180.000 Fahrgästen verloren, nachdem ein externer Dienstleister die sensiblen Informationen verarbeitet hatte. Die Berliner Datenschutzbeauftragte Meike Kamp erteilte der BVG daraufhin offiziell eine Rüge wegen Versäumnissen im Umgang mit den Fahrgastdaten. Bei der Nutzung des VBB-Handytickets entstehen bei Ticketausstellung und -kontrolle über das Verkaufssystem und die Kontrollterminals der Verkehrsunternehmen zusätzlich Datensätze, die Zeitpunkt, Ort und Art des Kommunikationsvorgangs sowie die jeweiligen Kennungen von Ticket und Verkaufs- bzw. Kontrollterminal enthalten und an die Hintergrundsysteme der Verkehrsunternehmen übermittelt werden.

Welche konkreten Daten der 180.000 betroffenen Fahrgäste verloren gingen (nur Kontaktdaten oder auch Bewegungsprofile) und ob sie in falsche Hände gerieten, ist aus dieser Quelle nicht im Detail spezifiziert.

Das biometrische Grenzkontrollsystem EasyPASS wurde 2009 unter dem Namen 'GAnGes' am Flughafen Frankfurt getestet und läuft dort seit 2014 im Regelbetrieb. Reisende scannen ihren elektronischen Reisepass am eGate und blicken für die Gesichtserkennung in eine Kamera, die charakteristische Gesichtsmerkmale berechnet und mit dem im Pass gespeicherten biometrischen Foto abgleicht. Personen- und passbezogene Daten werden regulär 48 Stunden gespeichert; bei einer polizeilichen Feststellung kann die Speicherdauer manuell auf bis zu 30 Tage verlängert werden. Aktuell sind 255 EasyPASS-Kontrollspuren an acht großen deutschen Flughäfen im Einsatz (Frankfurt, München, Köln/Bonn, Düsseldorf, Berlin/Brandenburg, Stuttgart, Hannover, Hamburg), nutzbar für alle EU-Bürger ab zwölf Jahren mit gültigem elektronischem Reisepass.

Wie oft die Ausnahmeregelung zur verlängerten 30-Tage-Speicherung tatsächlich angewendet wird und nach welchen konkreten Kriterien eine 'polizeiliche Feststellung' definiert ist, ist aus dieser Quelle nicht belegt.

Im August 2021 gaben Angreifer unbefugten Zugriff auf die Netzwerke von T-Mobile US bekannt, bei dem Datensätze von über 40 Millionen ehemaligen und potenziellen Kunden, die zuvor eine Kreditprüfung beantragt hatten, sowie von 7,8 Millionen bestehenden Postpaid-Kunden entwendet wurden. Gestohlen wurden Namen, Geburtsdaten, Sozialversicherungsnummern sowie Führerschein- oder Ausweisnummern; Zahlungskartendaten waren laut T-Mobile nicht betroffen. Der Hacker John Erin Binns bekannte sich öffentlich zur Veröffentlichung der Kundendaten. T-Mobile zahlte 2022 350 Millionen US-Dollar zur Beilegung von Sammelklagen, einer der größten Datenschutz-Vergleiche in der US-Geschichte zu diesem Zeitpunkt, und wurde 2024 zusätzlich mit einem Bußgeld von 15 Millionen US-Dollar durch die US-Kommunikationsbehörde FCC belegt.

Die Motive des Hackers John Erin Binns für die Veröffentlichung der Daten sind aus dieser Quelle nicht belegt.

Am 22.06.2021 bot ein Nutzer namens 'TomLiner' im Hackerforum RaidForums Datensätze zu 700 Millionen LinkedIn-Profilen zum Verkauf an, rund 92 Prozent der damaligen LinkedIn-Nutzerbasis, darunter Namen, Geschlecht, E-Mail-Adressen, Berufsbezeichnungen und Branchenangaben. Der Verkäufer erklärte gegenüber der BBC, er habe mehrere Monate gebraucht, um die LinkedIn-API zu 'hacken', und verkaufte die Daten zunächst für rund 5.000 US-Dollar an mehrere Käufer, bevor er im September denselben Datensatz mit insgesamt 187 GB kostenlos zum Download veröffentlichte. LinkedIn erklärte, es handle sich nicht um ein echtes Datenleck, da keine privaten Nutzerdaten offengelegt worden seien; die eigene Untersuchung habe ergeben, dass alle Daten bereits öffentlich zugänglich gewesen und durch Scraping bzw. Zusammenführung von Informationen verschiedener Websites entstanden seien.

Ob 'nur öffentlich zugängliche Daten' und 'echter Datenbruch' hier eine sinnvolle Unterscheidung ist, wird kontrovers diskutiert: Für Betroffene ist die massenhafte Zusammenführung öffentlicher Einzeldaten zu durchsuchbaren Profilen praktisch mit den Folgen eines Datenlecks vergleichbar, auch wenn technisch kein Systemeinbruch stattfand.

Angreifer verschafften sich im Oktober 2016 Zugriff auf Daten von rund 57 Millionen Uber-Nutzern und -Fahrern weltweit, darunter rund 50 Millionen Namen, E-Mail-Adressen und Telefonnummern von Fahrgästen sowie Führerscheinnummern von etwa 600.000 Fahrern. Statt Behörden oder Betroffene zu informieren, zahlte Uber den Angreifern 100.000 US-Dollar, damit diese die gestohlenen Daten löschten, und verschwieg den Vorfall über ein Jahr lang, bis er im November 2017 öffentlich bekannt wurde. Uber-Sicherheitschef Joe Sullivan und ein weiterer Manager verloren daraufhin ihre Positionen; Sullivan wurde später von US-Behörden wegen Strafvereitelung und bewusstem Verschweigen einer Straftat im Zusammenhang mit dem Datenleck belangt und zu drei Jahren Bewährungsstrafe verurteilt.

Ob die Angreifer die gestohlenen Daten nach Erhalt des Schweigegelds tatsächlich vollständig löschten oder weiterhin im Umlauf behielten, ist aus dieser Quelle nicht belegt.

Am 03.03.2021 veröffentlichte Microsoft ein Notfall-Sicherheitsupdate, das vier Schwachstellen in Microsoft Exchange Server (Versionen 2010 bis 2019) schloss, darunter die Server-Side-Request-Forgery-Lücke CVE-2021-26855, über die Angreifer beliebige HTTP-Anfragen senden und sich als Exchange-Server authentifizieren konnten. Microsoft schrieb die Angriffe einer mutmaßlich staatlich gelenkten, aus China operierenden Gruppe namens 'Hafnium' zu. Nach der Veröffentlichung folgte eine beispiellose weltweite Angriffswelle gegen ungepatchte Exchange-Instanzen; das BSI rief daraufhin die IT-Bedrohungsstufe 4 (Rot) aus, erst das zweite Mal in seiner Geschichte. Das BSI schätzte, dass allein in Deutschland zehntausende Exchange-Server betroffen waren, von denen viele nach eigener Einschätzung 'sehr wahrscheinlich bereits mit Schadsoftware infiziert' waren, und kontaktierte die Geschäftsführung von über 9.000 deutschen Unternehmen direkt.

Wie viele der von der BSI direkt kontaktierten 9.000 Unternehmen tatsächlich bereits kompromittiert waren im Unterschied zu nur potenziell gefährdeten, ist aus dieser Quelle nicht differenziert.

Am 28.10.2023 meldete die British Library ab 9:54 Uhr ein "technisches Problem", das sich als Ransomware-Angriff der Gruppe Rhysida herausstellte. Die Angreifer nutzten vermutlich kompromittierte privilegierte Zugangsdaten, moeglicherweise erlangt durch Phishing, Spear-Phishing oder Brute-Force-Angriffe, da keine durchgaengige Mehrfaktor-Authentifizierung bestand. Rhysida forderte ein Loesegeld von 20 Bitcoin, umgerechnet rund 596.000 britische Pfund, das die Bibliothek gemaess der Never-pay-Politik des britischen National Cyber Security Centre nicht zahlte. Am 20.11.2023 bekannte sich Rhysida oeffentlich zu dem Angriff und startete eine siebentaegige Auktion gestohlener Daten im Darknet, die rund 490.191 Dateien beziehungsweise etwa 600 Gigabyte umfassten, darunter Personalunterlagen, Arbeitsvertraege, teilweise Passdaten sowie Nutzerdaten. Am 27.11.2023 veroeffentlichte Rhysida rund 90 Prozent der Daten oeffentlich, nachdem der Verkauf offenbar nicht vollstaendig gelungen war. Website, Online-Katalog, WLAN, Telefonanlage, Ticketverkauf und Leserregistrierung fielen monatelang aus, der Hauptkatalog wurde erst am 15.01.2024 im reinen Lesemodus wiederhergestellt. Etwa 20.000 Autoren und Uebersetzer erhielten verspaetete Public-Lending-Right-Zahlungen. Die geschaetzten Wiederherstellungskosten lagen bei 6 bis 7 Millionen britischen Pfund, etwa 40 Prozent der finanziellen Ruecklagen der Bibliothek. Am 08.03.2024 veroeffentlichte die British Library den offiziellen Bericht "Learning Lessons from the Cyber-Attack" mit Zeitverlauf und 16 Lehren aus dem Vorfall.

Der exakte initiale Angriffsvektor (welches konkrete Konto, welche Methode) ist laut Bericht nicht abschliessend geklaert, sondern nur als wahrscheinlichste Hypothese benannt. Ob und in welchem Umfang einzelne Betroffene individuell benachrichtigt wurden und wie viele Nutzerkonten konkret kompromittiert waren, bleibt in der Quelle unklar.

Die New York Times deckte am 11.03.2024 auf, dass General Motors über sein Telematiksystem OnStar und das Programm Smart Driver Fahrverhaltensdaten von Kunden sammelte und ohne klare Einwilligung an die Auskunfteien LexisNexis Risk Solutions und Verisk Analytics verkaufte. Erfasst wurden unter anderem Geschwindigkeit, Vollbremsungen, starke Beschleunigungen, Fahrtzeiten und gefahrene Strecken sowie teilweise Geodaten im Abstand von nur drei Sekunden. LexisNexis erstellte aus diesen Daten Risikoscores, die Versicherungsunternehmen bei der Festlegung von Prämien oder bei der Ablehnung von Kunden nutzten. Betroffen waren GM-Modelle der Marken Chevrolet, GMC, Cadillac und Buick ab Baujahr 2015. Nach dem öffentlichen Bekanntwerden stellte GM die Datenweitergabe an LexisNexis und Verisk am 20.03.2024 ein und beendete das Smart-Driver-Programm am 24.04.2024. Die Generalstaatsanwaltschaft von Texas verklagte GM im August 2024 wegen der Daten von mehr als 1,5 Millionen Fahrern im Bundesstaat. Die FTC einigte sich am 16.01.2025 mit GM auf einen Vergleich mit einem fünfjährigen Verbot der Weitergabe sensibler Standort- und Fahrverhaltensdaten an Auskunfteien sowie einer zwanzigjährigen Auflage zur Einholung ausdrücklicher Kundenzustimmung. Kalifornien schloss am 08.05.2026 einen eigenen Vergleich mit GM über eine Zivilstrafe von 12,75 Millionen US-Dollar.

Die genaue Gesamtzahl der betroffenen US-Fahrer ist nicht offiziell verifiziert; Sammelklagen sprechen von bis zu 16 Millionen Betroffenen, was durch die FTC-Dokumente nicht bestätigt wird. Ebenfalls nicht abschließend geklärt ist, in welchem Umfang einzelne Autohäuser Kunden aktiv zur Anmeldung bei Smart Driver gedrängt haben.

Am 02.12.2015 töteten Syed Rizwan Farook und Tashfeen Malik bei einem Attentat in San Bernardino, Kalifornien, 14 Menschen und verletzten 22 weitere. Ermittler sicherten ein dienstliches iPhone 5C von Farook, das mit einem vierstelligen Code und iOS-Verschlüsselung gesichert war. Am 16.02.2016 ordnete die US-Bundesrichterin Sheri Pym auf Basis des All Writs Act von 1789 an, Apple müsse dem FBI angemessene technische Unterstützung leisten, konkret eine spezielle Firmware-Version, die die automatische Löschfunktion und die Verzögerung bei Falscheingaben des Codes deaktiviert. Noch am selben Tag veröffentlichte Apple-CEO Tim Cook den offenen Brief A Message to Our Customers, in dem er die Anordnung als Aufforderung zum Bau einer Hintertür bezeichnete und vor einem Präzedenzfall für alle iPhone-Nutzer warnte. Apple legte am 25.02.2016 einen Antrag auf Aufhebung der Anordnung vor, FBI-Direktor James Comey und Apples Justiziar Bruce Sewell sagten am 01.03.2016 vor dem US-Kongress aus. Am 21.03.2016 beantragte das US-Justizministerium eine Verschiebung der Anhörung, weil ein Dritter eine mögliche Methode zum Entsperren des Telefons vorgestellt habe. Am 28.03.2016 zog das Justizministerium die Klage zurück und erklärte, das FBI habe erfolgreich auf die Daten des iPhones zugegriffen, ohne Apples Hilfe zu benötigen. FBI-Direktor Comey bezifferte die Kosten für die Entsperrmethode im April 2016 auf mehr als 1,3 Millionen US-Dollar.

Die Identität des Drittanbieters, der dem FBI beim Entsperren half, wurde nie offiziell bestätigt (kursierende Berichte nennen die israelische Firma Cellebrite), und die genaue Höhe der gezahlten Summe schwankt in Medienberichten zwischen unter 1 Million und über 1,3 Millionen US-Dollar. Ob die auf dem Telefon gefundenen Daten ermittlungsrelevant waren, ist aus dieser Quelle nicht abschließend belegt.