Quellen-Tabelle

Im Juli 2020 wurden in einem Darknet-Hackerforum persönliche Daten von 142.479.937 Gästen der Hotelkette MGM Resorts zum Kauf angeboten. Die Daten stammen aus einem unbefugten Zugriff auf einen falsch konfigurierten Cloud-Server im Sommer 2019, den MGM Resorts im Februar 2020 zunächst nur mit einem Umfang von 10,6 Millionen betroffenen Gästen öffentlich gemacht hatte. Enthalten waren Namen, Postadressen, E-Mail-Adressen und Geburtsdaten, jedoch keine Zahlungsdaten.

Ob die im Juli 2020 angebotenen 142 Millionen Datensätze deckungsgleich mit der im Februar 2020 gemeldeten Menge von 10,6 Millionen sind, ist nicht abschließend geklärt. Eine offizielle, mit konkreten Zahlen unterlegte Stellungnahme liegt öffentlich nicht vor.

T-Mobile US meldete der SEC am 19.01.2023, dass ein Angreifer seit rund dem 25.11.2022 unautorisiert Daten über eine einzelne API abgriff. Das Unternehmen entdeckte die Aktivität am 05.01.2023 und stoppte den Zugriff nach eigenen Angaben innerhalb eines Tages. Betroffen waren Kontodaten von schätzungsweise 37 Millionen Kunden, darunter Name, Adresse, E-Mail und Geburtsdatum, jedoch keine Sozialversicherungsnummern oder Zahlungskartendaten.

Die genaue Identität des Angreifers ist offen, T-Mobile spricht lediglich von einem bad actor. Die Zahl von 37 Millionen betroffenen Konten basiert auf einer vorläufigen Untersuchung, die T-Mobile selbst als preliminary bezeichnete.

Am 21.02.2024 legte die Ransomware-Gruppe ALPHV/BlackCat mit einem Angriff auf einen Citrix-Fernzugangsserver ohne Multi-Faktor-Authentifizierung die IT-Systeme von Change Healthcare lahm, einem UnitedHealth-Tochterunternehmen, das einen Großteil der US-Rezept- und Krankenversicherungsabrechnungen verarbeitet. Der wochenlange Ausfall störte bundesweit Apotheken und Arztpraxen. Am 01.05.2024 bestätigte UnitedHealth-CEO Andrew Witty vor dem US-Senat, dass sein Unternehmen rund 22 Millionen US-Dollar in Bitcoin gezahlt hatte, und räumte ein, dass Daten von möglicherweise einem Drittel der US-Bevölkerung betroffen sein könnten.

Die exakte Gesamtzahl der letztlich betroffenen Personen ist nicht abschließend belegt, spätere behördliche Meldungen korrigierten diese Zahl mehrfach nach oben. Ob die gestohlenen Daten trotz Lösegeldzahlung tatsächlich gelöscht wurden, bleibt offen.

Das Bundesverfassungsgericht entschied am 24.04.2013, dass die gemeinsame Antiterrordatei von Polizeibehörden und Nachrichtendiensten in ihrer Grundstruktur mit dem Grundgesetz vereinbar ist. Mehrere Einzelregelungen, darunter zu Unterstützern und der Inverssuche, wurden für verfassungswidrig erklärt. Der Gesetzgeber musste die beanstandeten Vorschriften bis 31.12.2014 neu regeln.

Wie viele Personen konkret in der Antiterrordatei erfasst waren, ist nicht dokumentiert. Wie oft die Datei zu tatsächlichen Ermittlungserfolgen beigetragen hat, geht aus der Quelle nicht hervor.

Der US-Ausschuss CFIUS stufte die vollständige Übernahme der Dating-App Grindr durch das chinesische Unternehmen Kunlun Tech als nationales Sicherheitsrisiko ein. Kunlun hatte Grindr 2016 und 2018 übernommen, ohne die Transaktion vorab prüfen zu lassen. Im Mai 2019 ordnete CFIUS die Veräußerung an, da Daten der rund 27 Millionen Nutzer wie Standort und HIV-Status potenziell dem chinesischen Staat zugänglich sein könnten. Am 06.03.2020 gab Kunlun bekannt, Grindr für rund 608 Millionen US-Dollar zu verkaufen.

Ob CFIUS öffentlich belegte Beweise für einen tatsächlichen Datenzugriff durch chinesische Behörden vorlegte, ist nicht ersichtlich, CFIUS-Verfahren sind grundsätzlich vertraulich. Ob der Verkauf fristgerecht vollständig abgeschlossen wurde, geht aus diesem Artikel nicht hervor.

Facebook startete am 06.11.2007 das Werbefeature Beacon, das Kaufaktivitäten von Nutzern auf rund 44 Partnerseiten automatisch im persönlichen Facebook-Newsfeed veröffentlichte, standardmäßig als Opt-out statt Opt-in. Nach breitem Nutzerprotest entschuldigte sich Gründer Mark Zuckerberg am 05.12.2007 öffentlich und führte eine vollständige Opt-out-Möglichkeit ein. Beacon wurde 2009 im Zuge einer Sammelklage endgültig eingestellt, verbunden mit einer Zahlung von 9,5 Millionen US-Dollar an eine neu gegründete Datenschutzstiftung.

Wie viele der rund 50 Millionen betroffenen Nutzer tatsächlich unfreiwillig Daten preisgaben, ist nicht dokumentiert. Die Sammelklagen-Einigung sah keine individuellen Entschädigungszahlungen an betroffene Nutzer vor.

AOL veröffentlichte am 04.08.2006 versehentlich eine Datei mit rund 20 Millionen Suchanfragen von über 650.000 Nutzern, wobei Nutzernamen durch numerische IDs pseudonymisiert waren. Anhand der Suchhistorie von Nutzerin Nr. 4417749 identifizierte die New York Times die 62-jährige Thelma Arnold aus Lilburn, Georgia. AOL entfernte die Datei nach wenigen Tagen, entließ den zuständigen Forscher, und CTO Maureen Govern trat am 21.08.2006 zurück.

Wie viele der über 650.000 betroffenen Nutzer tatsächlich reidentifiziert wurden, ist nicht dokumentiert, es liegt nur der Einzelfall Thelma Arnold vollständig belegt vor. Eine 2006 eingereichte Sammelklage wurde erst 2013 mit einem Vergleich über 5 Millionen US-Dollar beigelegt.

Der Illinois Biometric Information Privacy Act wurde vom Repräsentantenhaus mit 113 zu 0 und vom Senat mit 42 zu 0 Stimmen verabschiedet. Gouverneur Rod Blagojevich unterzeichnete das Gesetz am 03.10.2008. Es war das erste US-Bundesstaatsgesetz, das private Unternehmen zu schriftlicher Zustimmung vor Erhebung biometrischer Identifikatoren verpflichtet und gewährt Betroffenen ein privates Klagerecht mit Schadenersatz von 1000 bis 5000 US-Dollar je Verstoß.

Die genaue Zahl und das Gesamtvolumen der seit 2008 auf BIPA gestützten Sammelklagen ist nicht zentral erfasst. Das Gesetz gilt ausdrücklich nur für private Unternehmen, nicht für staatliche Behörden.

Am 14.11.2015 wurde der Spielzeughersteller VTech Opfer eines Hackerangriffs über eine SQL-Injection-Schwachstelle. Nach VTechs Angaben waren weltweit rund 6,4 Millionen Kinderprofile und rund 4,9 Millionen Elternkonten betroffen. Der anonyme Hacker erklärte, zusätzlich mehr als 190 Gigabyte Kinderfotos sowie rund ein Jahr Chatprotokolle kopiert zu haben.

Der genaue Gesamtumfang der abgegriffenen Fotos und Chatprotokolle wurde von VTech nie offiziell beziffert. Ob die Daten über den meldenden Hacker hinaus von Dritten missbraucht wurden, ist nicht belegt.

Optus meldete am 22.09.2022 einen Cyberangriff auf seine Kundendatenbank. Betroffen waren personenbezogene Daten von bis zu 9,8 Millionen aktuellen und ehemaligen Kunden, darunter Namen, Geburtsdaten und teils Reisepass- oder Führerscheinnummern. Ein anonymer Akteur forderte zunächst ein Lösegeld von umgerechnet rund 1 Million US-Dollar.

Die technische Ursache bleibt umstritten, Optus sprach von einem gezielten Cyberangriff, während Regierungsvertreter eine ungesicherte, öffentlich erreichbare API als Ursache nannten. Ein Gerichtsverfahren der Datenschutzbehörde OAIC war zum Zeitpunkt der Quelle noch nicht abgeschlossen.

Zwischen dem 20. und 27.03.2016 wurde die Webseite der philippinischen Wahlkommission COMELEC gehackt, Angreifer luden mehrere Wählerdatenbanken herunter. Laut der Entscheidung der National Privacy Commission vom 28.12.2016 enthielten diese Namen, Geburtsdaten, Passnummern und biometrische Beschreibungen. Die Sicherheitsfirma Trend Micro bezifferte die Zahl der betroffenen Wähler auf rund 55 Millionen, die Kommission stellte fest, dass COMELEC gegen den Data Privacy Act verstieß.

Ob die geleakten Daten tatsächlich für Betrug missbraucht wurden, ist nicht dokumentiert. COMELEC bestritt öffentlich, dass biometrische Daten kompromittiert wurden, was im Widerspruch zur Trend-Micro-Analyse steht.

Im August 2017 entdeckten Forscher die ROCA-Schwachstelle in RSA-Schlüsseln von Infineon-Chips in estnischen eID-Karten seit Oktober 2014. Rund 750.000 bis 800.000 Karten waren betroffen. Am 25.10.2017 veröffentlichte Estland ein Software-Update, ab dem 03.11.2017 wurden die Zertifikate von rund 760.000 Karten suspendiert, mit einer Frist zur Fernerneuerung bis 31.03.2018.

Ob die Schwachstelle vor ihrer Offenlegung tatsächlich ausgenutzt wurde, ist nicht dokumentiert. Estnische Vertreter erklärten, es seien keine Fälle von Identitätsmissbrauch bekannt, ein vollständiger forensischer Nachweis liegt aber nicht vor.

Die australische Regierung stellte 2018 mit My Health Record allen Medicare-Karteninhabern automatisch eine zentrale elektronische Gesundheitsakte an, sofern diese nicht aktiv widersprachen. Der ursprüngliche Widerspruchsstichtag wurde nach massiver Kritik vom 15.10.2018 auf den 31.01.2019 verschoben. Bis dahin hatten laut Australian Digital Health Agency mehr als 2,5 Millionen Australier widersprochen, rund 10 Prozent der Berechtigten.

Wie viele der über 2,5 Millionen Opt-outs konkret auf Datenschutzbedenken zurückgehen im Gegensatz zu anderen Gründen, ist nicht dokumentiert. In welchem Umfang Daten aus bereits angelegten Konten an Dritte weitergegeben wurden, bleibt offen.

Apple führte am 26.04.2021 mit iOS 14.5 die Funktion App Tracking Transparency ein, die vor dem Zugriff auf die Werbekennung IDFA eine ausdrückliche Nutzererlaubnis verlangt. Facebook kritisierte die Maßnahme scharf und schaltete ganzseitige Zeitungsanzeigen gegen Apple. Nach einer frühen Erhebung von AppsFlyer stimmten zum Start nur rund 39 Prozent der Nutzer dem Tracking zu.

Unabhängig geprüfte Zahlen zu den tatsächlichen finanziellen Einbußen von Meta durch ATT liefert der Artikel nicht, er stützt sich auf frühe Schätzungen einzelner Analysefirmen. Wie sich die Opt-in-Rate im weiteren Verlauf 2021 entwickelte, ist nicht dokumentiert.

Der BGH wies am 23.06.2020 Facebooks Eilantrag gegen die sofortige Vollziehbarkeit des Bundeskartellamt-Beschlusses vom 06.02.2019 zurück. Der Kartellsenat bestätigte vorläufig, dass Facebook seine marktbeherrschende Stellung missbraucht, weil es Nutzern keine Wahl zwischen einer Nutzung mit oder ohne Zusammenführung von Daten aus WhatsApp, Instagram und Drittwebseiten lässt.

Diese Pressemitteilung dokumentiert nur die vorläufige Eilentscheidung, nicht die endgültige Bestätigung in der Hauptsache. Der weitere Beschwerdeweg, der später zum EuGH-Verfahren C-252/21 führte, ist hier nicht Gegenstand.

Die griechische Datenschutzbehörde HDPA verhängte am 13.07.2022 ein Bußgeld von 20 Millionen Euro gegen Clearview AI wegen Sammelns von Gesichtsbildern aus öffentlich zugänglichen Quellen ohne Rechtsgrundlage. Die HDPA ordnete zusätzlich ein Verarbeitungsverbot und die Löschung der Daten griechischer Betroffener an. Auslöser war eine Beschwerde der Organisation Homo Digitalis.

Ob Clearview AI das Bußgeld tatsächlich gezahlt hat, ist nicht dokumentiert, das Unternehmen hat keine EU-Niederlassung. Ob der Löschanordnung nachgekommen wurde, ist nicht unabhängig verifiziert.

Am 15.03.2023 nahm das FBI den 20-jährigen Conor Brian Fitzpatrick alias Pompompurin fest. Ihm wurde vorgeworfen, seit März 2022 die Hackerplattform BreachForums betrieben zu haben, die mehr als 340.000 Mitglieder zählte und als Marktplatz für gestohlene Datensätze diente. Parallel zur Festnahme führten FBI und HHS-OIG eine Operation durch, die BreachForums offline nahm.

Fitzpatrick bekannte sich im Juli 2023 schuldig und wurde nach zunächst nur Bewährungsauflagen später zu einer mehrjährigen Haftstrafe nachverurteilt. BreachForums ging kurz nach der Zerschlagung unter neuer Administration wieder online.

Cambridge Analytica und sein britisches Mutterunternehmen SCL Elections gaben am 02.05.2018 bekannt, den Geschäftsbetrieb mit sofortiger Wirkung einzustellen. SCL Elections und mehrere britische Tochtergesellschaften meldeten in Großbritannien Insolvenz an, parallel wurde für die US-Tochtergesellschaften ein Verfahren vor dem US Bankruptcy Court eingeleitet. Als Grund nannte das Unternehmen die negative Medienberichterstattung, die praktisch alle Kunden vertrieben habe.

Ob tatsächlich Nutzerdaten nach der Schließung gelöscht oder weiterverwendet wurden, ist nicht unabhängig verifiziert. Ob die Nachfolgefirma Emerdata, zu der mehrere Cambridge-Analytica-Manager wechselten, als bewusste Fortführung zu werten ist, bleibt offen.

Die CNIL verhängte am 07.12.2020 ein Bußgeld von 35 Millionen Euro gegen Amazon Europe Core, weil beim Besuch von amazon.fr rund 40 Werbe-Cookies automatisch platziert wurden, bevor Nutzer eine Wahl treffen konnten. Der Hinweisbanner informierte zudem nicht ausreichend über Zwecke und Ablehnungsmöglichkeit. Der französische Staatsrat bestätigte die Sanktion am 27.06.2022 in vollem Umfang.

Wie viele Nutzer konkret betroffen waren, ist nicht quantifiziert, die Entscheidung stellt primär auf formale Einwilligungsverstöße ab. Die genaue technische Zusammensetzung der beanstandeten Cookies ist nicht im Detail dokumentiert.

Am 01.10.2023 veröffentlichte ein Hacker unter dem Pseudonym Golem im Forum BreachForums einen Datensatz mit Profildaten von rund einer Million 23andMe-Nutzern aschkenasisch-jüdischer Abstammung. Kurz darauf bot ein weiterer Nutzer einen Datensatz zu mehr als 300.000 Nutzern chinesischer Abstammung an. Insgesamt standen Profildaten von knapp 7 Millionen Nutzern zum Verkauf. 23andMe führte den Vorfall auf einen Credential-Stuffing-Angriff zurück, über den Angreifer via der Funktion DNA Relatives auch verknüpfte Profile auslesen konnten.

Die Identität hinter dem Pseudonym Golem und ein mögliches gezieltes Motiv sind nicht abschließend geklärt. Diese Quelle behandelt ausschließlich den Datendiebstahl von Oktober 2023, nicht die spätere Insolvenz von 23andMe.

Thyssenkrupp bestätigte am 08.12.2016 einen im Frühjahr 2016 begonnenen Cyberangriff auf Firmennetzwerke, der Standorte in Europa, Indien, Argentinien und den USA sowie das Stahlwalzwerk Hohenlimburg betraf. Die interne IT-Abwehr benötigte rund sechs Monate, um die Angreifer zu verdrängen, und stufte deren Ausrüstung als staatlich unterstützt ein. Die Angreifer stammten mutmaßlich aus China oder einem anderen südostasiatischen Land.

Eine eindeutige Zuordnung zu einem staatlichen Akteur oder einer bestimmten Hackergruppe ist nicht offiziell bestätigt. Thyssenkrupp machte keine genauen Angaben, welche und wie viele Daten konkret entwendet wurden.

Google zahlte 2012 eine Rekordstrafe von 22,5 Millionen US-Dollar an die FTC wegen Umgehung der Cookie-Blockade im Safari-Browser trotz gegenteiliger Zusicherungen. Die FTC wertete dies als Verstoß gegen eine frühere Vergleichsvereinbarung von Oktober 2011 im Google-Buzz-Fall. Die Kommission stimmte am 09.08.2012 mit 4 zu 1 Stimmen für die Einigung.

Der Vergleich enthielt kein Schuldeingeständnis von Google. Wie viele Safari-Nutzer konkret betroffen waren, geht aus der Pressemitteilung nicht hervor.

Die FTC gab am 15.08.2017 einen Vergleich mit Uber bekannt. Die Behörde warf Uber vor, Nutzer getäuscht zu haben, indem das Unternehmen behauptete, den internen Mitarbeiterzugriff auf Standortdaten streng zu kontrollieren. Konkret nannte die FTC das interne Tool God View, mit dem Mitarbeiter Echtzeit-Standorte von Fahrern und Kunden einsehen konnten. Uber verpflichtete sich zu einem umfassenden Datenschutzprogramm und unabhängigen Audits über 20 Jahre.

Der Vergleich von 2017 sah keine Geldstrafe vor. Die FTC erweiterte diesen Vergleich 2018, nachdem bekannt wurde, dass Uber einen Datenschutzvorfall aus 2016 während des laufenden Verfahrens verschwiegen hatte, dieser spätere Vergleich ist nicht Gegenstand dieser Quelle.

Verizon und Yahoo gaben am 21.02.2017 bekannt, den vereinbarten Kaufpreis für Yahoos Kerngeschäft um 350 Millionen US-Dollar zu senken, von rund 4,83 auf etwa 4,48 Milliarden US-Dollar. Grund waren die zuvor bekannt gewordenen Datenlecks bei Yahoo mit rund 500 Millionen bzw. über einer Milliarde betroffenen Konten. In der geänderten Vereinbarung teilen sich Verizon und Yahoo bestimmte rechtliche Haftungsrisiken aus den Datenlecks.

Eine genaue, offiziell bestätigte Berechnungsgrundlage für die Summe von 350 Millionen Dollar ist nicht dokumentiert. Der endgültige Abschluss der Transaktion erfolgte erst im Juni 2017.

Die Verordnung (EU) 2024/1183 vom 11.04.2024 ändert die bisherige eIDAS-Verordnung und schafft den Rechtsrahmen für die European Digital Identity Wallet. Sie trat am 20.05.2024 in Kraft und verpflichtet alle EU-Mitgliedstaaten, bis Ende 2026 mindestens eine EUDI-Wallet bereitzustellen. Ab 2027 müssen öffentliche Stellen und bestimmte private Unternehmen die Wallet zur Identifizierung akzeptieren.

Viele Detailregelungen werden erst durch spätere Durchführungsrechtsakte festgelegt. Der umstrittene Artikel 45 zur Web-Browser-Vertrauensliste ist gesondert dokumentiert und nicht Gegenstand dieser Quelle.