Quellen-Tabelle

Sicherheitsforscher Troy Hunt entdeckte im Januar 2019 in einem Untergrundforum eine Sammlung namens Collection #1 mit knapp 773 Millionen einzigartigen E-Mail-Adressen und 21 Millionen einzigartigen Passwörtern im Klartext. Die insgesamt rund 2,7 Milliarden Zeilen stammten aus über 12.000 Dateien mit 87 Gigabyte Umfang und waren zuvor kurzzeitig über den Cloud-Dienst MEGA verbreitet worden.

Nicht dokumentiert ist eine einzelne verantwortliche Ursprungsquelle: Die Daten setzten sich aus rund 2.000 verschiedenen älteren Einzel-Leaks und Hacks zusammen, deren genaue Herkunft größtenteils nicht mehr zweifelsfrei zuzuordnen ist. Auch die Identität der Zusammensteller sowie das Ausmaß tatsächlicher Schäden bleiben ungeklärt.

Der texanische Generalstaatsanwalt Ken Paxton verklagte General Motors im August 2024 wegen unrechtmäßiger Sammlung und Weitergabe von Fahrverhaltensdaten. Über das Programm OnStar Smart Driver sammelte GM in Fahrzeugen ab Modelljahr 2015 Daten wie Geschwindigkeit und Bremsverhalten und verkaufte diese an Datenmakler, die daraus Driving Scores für Versicherer erstellten.

Ob GM Kunden aktiv täuschte oder ob die Anmeldung ohne echte Zustimmung erfolgte, war zum Zeitpunkt der Klageeinreichung rechtlich noch nicht entschieden. Die Klage fordert Geldstrafen und die Löschung der gesammelten Daten, ein Urteil oder Vergleich stand noch aus.

Bei SK Telecom wurde im April 2025 ein Malware-Angriff auf USIM-bezogene Kundendaten bekannt, der rund 23,2 Millionen Kunden über 25 Datenkategorien betraf, darunter IMSI-Nummern und unverschlüsselte SIM-Authentifizierungsschlüssel. Die südkoreanische Datenschutzbehörde PIPC verhängte am 28.08.2025 eine Rekordstrafe von 134,8 Milliarden Won (rund 97 Millionen US-Dollar) wegen fehlender Verschlüsselung, mangelhafter Netzwerktrennung und ignorierter Warnsignale seit 2021/2022.

Offen bleibt, wie viele der Betroffenen tatsächlich Opfer von Identitätsdiebstahl oder SIM-Swapping wurden. Die Angreifer wurden bislang nicht namentlich identifiziert oder einer Gruppe zugeordnet.

Die Datenschutzbehörden von Bund, Québec, British Columbia und Alberta stellten am 03.02.2021 in einer gemeinsamen Untersuchung fest, dass Clearview AI mit einer Datenbank aus über drei Milliarden aus dem Internet gescrapten Fotos gegen kanadisches Datenschutzrecht verstieß. Das Unternehmen sammelte biometrische Gesichtsdaten ohne Einwilligung, was gegen PIPEDA sowie die Datenschutzgesetze der drei Provinzen verstieß. Die Behörden forderten Clearview auf, das Angebot für kanadische Kunden einzustellen und bereits gesammelte Bilder zu löschen.

Wie viele Personen in Kanada konkret betroffen waren, blieb offen. Clearview AI wies die Empfehlungen größtenteils zurück und setzte die geforderte Löschung nicht vollständig um. Der einzige kanadische Kunde, die RCMP, hatte die Nutzung bereits im Juli 2020 eigenständig beendet.

Die französische Datenschutzbehörde CNIL verhängte am 15. Juni 2023 ein Bußgeld von 40 Millionen Euro gegen die Ad-Tech-Firma Criteo. Criteo setzte auf Partnerseiten Tracking-Cookies für verhaltensbasierte Werbung ein, konnte aber für rund 370 Millionen Nutzerprofile keine gültige Einwilligung nachweisen. Die CNIL stellte fünf DSGVO-Verstöße fest, unter anderem fehlenden Einwilligungsnachweis und mangelhafte Reaktion auf Löschanfragen. Der französische Staatsrat bestätigte die Sanktion im März 2026 endgültig.

Offen bleibt, wie viele der 370 Millionen betroffenen Identifikatoren konkret auf EU-Bürger entfielen und in welchem Umfang die gesammelten Daten tatsächlich für schädliche Zwecke genutzt wurden. Die genaue Zusammensetzung der finanziellen Vorteile, die Criteo laut CNIL erzielte, wurde nicht im Detail beziffert.

Die irische Datenschutzbehörde DPC verhängte am 9. Dezember 2020 ein Bußgeld von 450.000 Euro gegen Twitter International Company. Grund war ein Verstoß gegen Artikel 33 DSGVO, weil Twitter eine Datenpanne aus Dezember 2018 nicht fristgerecht innerhalb von 72 Stunden meldete. Die Panne machte durch einen Programmierfehler geschützte Tweets bestimmter Nutzer öffentlich sichtbar und betraf mindestens 88.726 Nutzer in der EU. Das Verfahren war das erste, das den Artikel-65-Streitbeilegungsmechanismus der DSGVO durchlief.

Offen bleibt, wie lange der zugrunde liegende Programmierfehler unentdeckt bestand, Berichte nennen als möglichen Beginn bereits das Jahr 2014. Nicht öffentlich dokumentiert ist der genaue interne Ablauf bei Twitter zwischen Entdeckung und Meldung an die DPC.

Die gemeinsame Untersuchung von vier kanadischen Datenschutzbehörden ergab, dass die Tim-Hortons-App den Standort von rund 1,6 Millionen Nutzern auch dann kontinuierlich alle paar Minuten erfasste, wenn die App geschlossen war. Die Daten wurden genutzt, um Wohn- und Arbeitsorte sowie Besuche bei Konkurrenzcafés abzuleiten, obwohl Tim Hortons die geplante ortsbasierte Werbung nie umsetzte. Tim Hortons stimmte zu, verbleibende Standortdaten zu löschen und ein Datenschutzprogramm einzuführen.

Die genaue Zahl der tatsächlich betroffenen Nutzer und der exakte Umfang der bereits erfolgten Datennutzung bleiben in der öffentlichen Zusammenfassung unklar. Offen bleibt zudem, ob und in welchem Umfang die gesammelten Standortdaten an Dritte weitergegeben wurden.

Im Oktober 2024 bestätigte Internet-Archive-Gründer Brewster Kahle einen Datendiebstahl, bei dem eine Datei mit rund 31 Millionen Nutzerdatensätzen entwendet wurde. Parallel legten DDoS-Angriffe, zu denen sich die Gruppe BlackMeta bekannte, archive.org und openlibrary.org zeitweise lahm. Wenig später kam ein zweiter Vorfall hinzu: Zugriff auf das Zendesk-Supportsystem über nicht rotierte Zugangstoken.

Offen bleibt, wer genau hinter dem Datendiebstahl steckt und ob DDoS-Gruppe BlackMeta und die Datenschutzverletzung von denselben Akteuren stammen. Der genaue technische Einbruchsweg wurde von verschiedenen Quellen unterschiedlich beschrieben und ist nicht abschließend geklärt.

Roku bestätigte am 12. April 2024 einen zweiten Sicherheitsvorfall binnen zwei Monaten, bei dem Angreifer per Credential Stuffing auf rund 576.000 Nutzerkonten zugriffen. Die Angreifer nutzten bei anderen Diensten erbeutete Zugangsdaten, nicht eine eigene Sicherheitslücke bei Roku. In weniger als 400 Konten wurden hinterlegte Zahlungsdaten für betrügerische Käufe missbraucht, Roku erstattete den Betroffenen die Kosten und führte danach verpflichtend Zwei-Faktor-Authentifizierung ein.

Offen bleibt, aus welcher konkreten fremden Datenpanne die verwendeten Zugangsdaten stammten. Nicht dokumentiert ist außerdem, wie viele der 576.000 betroffenen Konten tatsächlich von Dritten eingesehen wurden im Unterschied zu bloß erfolgreichen Login-Versuchen ohne weitere Aktivität.

Der US-Pharma-Distributor Cencora (vormals AmerisourceBergen) entdeckte am 21. Februar 2024 einen Cyberangriff auf seine IT-Systeme. Mindestens 1,43 Millionen Personen wurden benachrichtigt, dass Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Gesundheitsdaten wie Diagnosen entwendet wurden. Cencora einigte sich 2025 auf eine Sammelklage-Vergleichszahlung von 40 Millionen US-Dollar.

Die tatsächliche Gesamtzahl der betroffenen Personen ist unbekannt, da nicht alle US-Bundesstaaten detaillierte Fallzahlen veröffentlichen. Kein Angreifer oder keine Ransomware-Gruppe hat sich öffentlich zu dem Angriff bekannt, sodass Täterschaft und genauer Angriffsweg ungeklärt bleiben.

HCA Healthcare gab am 10.07.2023 bekannt, dass Angreifer Daten von rund 11,27 Millionen Patienten aus 20 US-Bundesstaaten erbeutet hatten. Betroffen waren Name, Adresse, E-Mail, Telefonnummer, Geburtsdatum sowie Behandlungs- und Termindaten aus einem externen Speicherort für automatisierte Patientenkommunikation. Die Daten wurden auf einem Darknet-Marktplatz zum Verkauf angeboten, HCA schaltete den Speicherort ab.

Unklar bleibt die genaue Identität der Angreifer sowie ob und in welcher Höhe eine Erpressungsforderung gestellt oder bezahlt wurde. Nicht betroffen waren laut HCA klinische Daten und Sozialversicherungsnummern, dies stützt sich aber auf Angaben des Unternehmens selbst.

Am 02.04.2024 veröffentlichte das US-Heimatschutzministerium den Bericht des Cyber Safety Review Board zur Exchange-Online-Cyberspionage im Sommer 2023. Die mit China verbundene Gruppe Storm-0558 griff ab dem 15.05.2023 mit gefälschten Authentifizierungs-Tokens auf E-Mail-Postfächer von rund 25 Organisationen zu, darunter das US-Außenministerium. Die Angreifer nutzten einen gestohlenen Microsoft-Signaturschlüssel aus dem Jahr 2016. Der CSRB bewertete den Einbruch als vermeidbar.

Wie genau der Signaturschlüssel bei Microsoft entwendet wurde, blieb laut CSRB-Bericht ungeklärt. Microsofts eigene Erklärung, der Schlüssel sei über einen Absturzbericht abgeflossen, fand der CSRB durch keine Logs oder Beweise belegt.

Verizon meldete der Maine Attorney General am 07.02.2024 einen Vorfall vom 21.09.2023, bei dem ein eigener Mitarbeiter unbefugt auf eine Datei mit Personaldaten zugriff. Betroffen waren 63.206 aktuelle und ehemalige Mitarbeiter, deren Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern in der Datei enthalten waren. Verizon entdeckte den Vorfall am 12.12.2023 und stufte ihn als unbeabsichtigte interne Offenlegung ein.

Nicht belegt ist, ob und in welchem Umfang die Daten tatsächlich außerhalb von Verizon weiterverbreitet oder missbraucht wurden. Auch die Identität und Motivation des betroffenen Mitarbeiters wurden von Verizon nicht öffentlich benannt.

Die BfDI verhängte am 03.06.2025 gegen Vodafone Deutschland Bußgelder von insgesamt 45 Millionen Euro, das bis dahin höchste DSGVO-Bußgeld der Behörde. 15 Millionen Euro betrafen mangelhafte Kontrolle von Vertriebspartneragenturen, bei denen Mitarbeitende fingierte Verträge zulasten von Kunden abschlossen. 30 Millionen Euro betrafen Sicherheitslücken im Authentifizierungsprozess zwischen dem Portal MeinVodafone und der Kundenhotline, über die Unbefugte auf eSIM-Profile zugreifen konnten.

Offen bleibt, wie viele Kunden konkret von den Betrugsfällen oder dem unbefugten eSIM-Zugriff tatsächlich betroffen waren, da die Pressemitteilung keine genaue Fallzahl nennt. Nicht dokumentiert ist zudem, ob einzelne Kunden Schadensersatz erhielten.

Am 13. Juni 2025 stellte die kanadische Fluggesellschaft WestJet fest, dass sich ein unbefugter Dritter Zugriff auf interne Systeme verschafft hatte, wodurch App und Website zeitweise eingeschränkt waren. Betroffen waren Daten aus einigen Buchungen sowie begrenzte Mitarbeiterdaten, jedoch keine Zahlungskartendaten oder Passwörter. WestJet informierte FBI, das kanadische Cybersicherheitszentrum und die Datenschutzbehörde.

Die genaue Zahl der betroffenen Personen wird von WestJet selbst nicht offiziell genannt, Medienberichte sprechen von rund 1,2 Millionen betroffenen Kunden. Die Identität der Angreifer und der genaue Einbruchsvektor wurden nicht veröffentlicht.

Chanel bestätigte im August 2025 einen Datendiebstahl aus einer bei einem Drittanbieter Salesforce gehosteten US-Kundendatenbank, der am 25. Juli 2025 entdeckt wurde. Erbeutet wurden Name, E-Mail-Adresse, Postanschrift und Telefonnummer von Kunden, die den US-Kundenservice kontaktiert hatten. Der Angriff wird der Erpressergruppe ShinyHunters zugeschrieben, die per Voice Phishing und betrügerischer OAuth-App-Freigabe Zugriff auf Salesforce-Umgebungen zahlreicher Unternehmen erlangte.

Die genaue Zahl der betroffenen Kunden sowie der volle Umfang der abgeflossenen Daten wurden von Chanel nicht veröffentlicht. Unklar bleibt zudem, ob und in welcher Höhe Lösegeldforderungen an Chanel gestellt wurden.

Adidas bestätigte am 23.05.2025 einen Datendiebstahl über einen externen Kundenservice-Dienstleister, nachdem Ende April 2025 verdächtige Aktivitäten in dessen Systemen entdeckt worden waren. Betroffen waren Namen, E-Mail-Adressen und Telefonnummern von Kunden, die den Support kontaktiert hatten, jedoch keine Zahlungsdaten oder Passwörter. Erste regionale Meldungen erfolgten bereits Anfang Mai 2025 für Kunden in der Türkei und Südkorea.

Die genaue Zahl der weltweit betroffenen Kunden wurde von Adidas nicht beziffert. Die Identität des angegriffenen Dienstleisters sowie der genaue Einbruchsweg in dessen Systeme wurden nicht öffentlich benannt.

Der US-Modehändler Victoria's Secret nahm am 28.05.2025 seine Website sowie einige In-Store-Dienste als Vorsichtsmaßnahme nach einem Sicherheitsvorfall vom Netz. Das Unternehmen bezeichnete den Vorfall öffentlich als Sicherheitsvorfall, ohne die Art des Angriffs zu benennen. Die Filialen von Victoria's Secret und PINK blieben während der Störung geöffnet und bedienten Kunden weiter vor Ort.

Weder die Art des Angriffs noch die verantwortlichen Täter wurden von Victoria's Secret öffentlich bestätigt, Medienberichte vermuteten einen Zusammenhang mit einer Angriffswelle gegen US-Einzelhändler. Offen blieb zum Zeitpunkt der Berichterstattung, ob Kundendaten tatsächlich entwendet wurden.

Google bestätigte im August 2025 einen Datendiebstahl aus einer eigenen Salesforce-Instanz durch die Gruppe ShinyHunters, von Google als UNC6040 und UNC6240 verfolgt. Die Angreifer riefen per Voice Phishing Mitarbeitende an, gaben sich als vertrauenswürdige Kollegen aus und brachten sie dazu, eine manipulierte Version der Salesforce-Data-Loader-App zu autorisieren. Betroffen waren vor allem Kontaktdaten kleiner und mittlerer Geschäftskunden wie Firmennamen, E-Mail-Adressen und Telefonnummern, zusätzlich waren OAuth-Tokens der Drift-Plattform kompromittiert.

Passwörter oder Finanzdaten waren nach Googles eigener Darstellung nicht betroffen, diese Einschätzung stammt jedoch vom betroffenen Unternehmen selbst. Die vollständige Liste der betroffenen Google-Geschäftskunden sowie die genaue Zahl der kompromittierten Datensätze wurde nicht veröffentlicht.

Der US-Versicherer Farmers Insurance wurde am 30.05.2025 von einem Dienstleister über verdächtige Aktivitäten informiert und schloss die Prüfung des Vorfalls am 24.07.2025 ab. Betroffen waren mehr als 1,1 Millionen Kunden, deren Namen, Adressen, Geburtsdaten, Führerscheinnummern und die letzten vier Ziffern von Sozialversicherungsnummern offengelegt wurden. Schriftliche Benachrichtigungen an die Betroffenen begannen ab dem 22.08.2025, mehrere Medien ordneten den Vorfall der Angriffswelle gegen Salesforce-Kunden durch die als UNC6040/UNC6240 bekannte Gruppe zu.

Eine offizielle Bestätigung der Salesforce-Verbindung durch Farmers Insurance selbst liegt nicht vor, die Zuordnung stammt aus Medienberichten und nachfolgenden Sammelklagen. Der genaue technische Ablauf des Zugriffs beim Dienstleister wurde nicht im Detail veröffentlicht.

Der Gerichtshof der Europäischen Union entschied am 04.07.2023 in der Rechtssache C-252/21, dass nationale Wettbewerbsbehörden bei der Prüfung eines Missbrauchs einer marktbeherrschenden Stellung inzident auch Verstöße gegen die Datenschutz-Grundverordnung feststellen dürfen. Das Oberlandesgericht Düsseldorf hatte dem EuGH die zugrunde liegenden Fragen am 24.03.2021 im Rahmen der Beschwerde von Meta gegen den Bundeskartellamt-Beschluss von 2019 zur Vorabentscheidung vorgelegt. Der EuGH stellte klar, dass sich Meta für die Zusammenführung von Nutzerdaten aus Facebook, Instagram, WhatsApp und Drittwebsites weder auf die Erforderlichkeit zur Vertragserfüllung noch auf ein berechtigtes Interesse an personalisierter Werbung ohne gesonderte Einwilligung stützen kann.

Das Urteil entscheidet nicht abschließend über die Rechtmäßigkeit des Bundeskartellamt-Beschlusses von 2019 selbst, diese Prüfung blieb dem Oberlandesgericht Düsseldorf im fortgesetzten Beschwerdeverfahren vorbehalten. Aus dem Urteilstext geht nicht hervor, wie die konkrete technische Umsetzung der Datentrennung bei Meta in der Praxis auszusehen hat.

Das Nachrichtenportal The Pillar veröffentlichte am 20.07.2021 eine Recherche, die kommerziell erhältliche App-Signaldaten nutzte, um Grindr-Nutzung und Besuche von Schwulenbars einem Mobilgerät zuzuordnen, das Monsignore Jeffrey Burrill, Generalsekretär der US-Bischofskonferenz, zugeschrieben wurde. The Pillar korrelierte eine Geräte-ID mit Standortmustern an Burrills Arbeitsplatz und Wohnsitz zwischen 2018 und 2020. Burrill trat noch am Tag der Veröffentlichung zurück, Grindr erklärte, nicht die Quelle der Daten gewesen zu sein.

Der Datenhändler, von dem The Pillar die App-Signaldaten tatsächlich bezog, wurde nicht öffentlich benannt. Die technische Methode der Re-Identifizierung wurde nicht unabhängig geprüft, sondern beruht allein auf Angaben von The Pillar selbst.

Der baden-württembergische Landtag verabschiedete am 12.11.2025 mit grün-schwarzer Mehrheit eine Neufassung des Polizeigesetzes, die die rechtliche Grundlage für den Einsatz der Analysesoftware von Palantir bei der Polizei schafft. Das System soll laut Gesetzentwurf ab dem zweiten Quartal 2026 einsatzbereit sein und erlaubt zudem die Nutzung von Polizeidaten zum Training von KI-Systemen außerhalb rein wissenschaftlicher Forschung. Der Landesdatenschutzbeauftragte Tobias Keber äußerte mehrere Kritikpunkte an der verfassungsrechtlichen Konformität des Gesetzes.

Die konkreten Einzelpunkte von Kebers Kritik sind nicht im Wortlaut wiedergegeben. Anders als in Bayern ist zum Berichtszeitpunkt keine Verfassungsbeschwerde gegen das baden-württembergische Gesetz bekannt, eine gerichtliche Überprüfung steht noch aus.

Die italienische Datenschutzbehörde Garante verhängte am 22.07.2021 ein Bußgeld von 2,5 Millionen Euro gegen den Lieferdienst Deliveroo Italy. Betroffen waren rund 8.000 Rider, deren Standort über die Arbeits-App alle 12 Sekunden erfasst und bis zu sechs Monate gespeichert wurde. Die Behörde bemängelte zudem intransparente Algorithmen zur Auftrags- und Schichtvergabe sowie eine unzureichende Datenschutz-Folgenabschätzung.

Ob Deliveroo gegen den Bescheid gerichtlich vorging, ist aus den verfügbaren Quellen nicht ersichtlich. Die betroffenen Rider galten in Italien nicht als klassische Angestellte, sondern als Plattform-Beschäftigte mit besonderem Status.

Nintendo bestätigte am 24.04.2020 zunächst rund 160.000 kompromittierte Nintendo Network IDs durch unbefugte Anmeldungen und korrigierte die Zahl am 09.06.2020 auf insgesamt rund 300.000 betroffene Konten. Zugangsdaten wurden nach Nintendos eigener Darstellung nicht aus den eigenen Systemen, sondern anderweitig erlangt und für Fremdanmeldungen genutzt, was auf Credential Stuffing hindeutet. Bei weniger als einem Prozent der betroffenen Konten kam es zu betrügerischen Käufen, Nintendo schaltete die NNID-Anmeldemöglichkeit dauerhaft ab und erstattete betroffenen Nutzern die Kosten.

Nintendo hat den genauen Angriffsweg nie im Detail offengelegt. Ob es sich eindeutig um Credential Stuffing, Phishing oder Brute-Force-Angriffe handelte, ist nicht offiziell bestätigt, sondern beruht auf Einschätzungen von Sicherheitsjournalisten.