Quellen-Tabelle

Am 09.10.2024 gab eine Koalition von Generalstaatsanwälten zahlreicher US-Bundesstaaten einen Vergleich mit Marriott wegen der Starwood-Datenpannen bekannt. Marriott zahlt insgesamt 52 Millionen US-Dollar. Der Vergleich betrifft den Starwood-Datenbruch von 2014 bis 2018 mit rund 131,5 Millionen betroffenen US-Datensätzen sowie eine weitere Kompromittierung 2018 bis 2020. Marriott verpflichtet sich zu einem CISO, Verschlüsselung und Mehrfaktor-Authentifizierung.

Die genaue Zahl der beteiligten Jurisdiktionen wird unterschiedlich angegeben. Der Vergleich ist rechtlich eigenständig und nicht mit der ICO-Buße von 2020 oder dem separaten FTC-Vergleich zu verwechseln.

Die Bundesnetzagentur erklärte im Februar 2017 die vernetzte Kinderpuppe My Friend Cayla wegen ihrer Aufnahmefunktion zu einem verbotenen Spionagegerät und stufte sie als unerlaubte Sendeanlage ein. Grund war eine ungesicherte Bluetooth-Verbindung zum Mikrofon. Besitz, Herstellung und Vertrieb der Puppe wurden für illegal erklärt. Das Verwaltungsgericht Köln wies einen Eilantrag des Vertreibers im Mai 2017 zurück.

Wie viele der verkauften Puppen tatsächlich vernichtet wurden, ist offen, die Behörde verzichtete auf Kontrollen in Privathaushalten. Ob strafrechtliche Ermittlungsverfahren gegen einzelne Vertreiber durchgeführt wurden, ist nicht dokumentiert.

Zwischen dem 17. und 19.04.2011 verschaffte sich ein unbefugter Angreifer Zugang zum Sony PlayStation Network und dem Musikdienst Qriocity. Sony schaltete die Dienste am 20.04.2011 ab und informierte erst rund eine Woche später öffentlich über den Datendiebstahl. Nach Sony-Angaben wurden persönliche Daten von rund 77 Millionen Nutzerkonten entwendet, darunter Namen, Adressen, Geburtsdaten, Login-Daten und Passwörter, möglicherweise auch Kreditkartennummern. Das PlayStation Network blieb je nach Land bis zum 14.05.2011 abgeschaltet, der Gesamtausfall dauerte 23 Tage.

Die genaue Identität der Angreifer wurde nie offiziell festgestellt, Spekulationen über eine Verbindung zu Anonymous blieben unbestätigt. Wie viele der möglicherweise betroffenen Kreditkartendaten tatsächlich für Betrug missbraucht wurden, ist nicht dokumentiert. Schätzungen zu den Sony entstandenen Kosten schwanken je nach Quelle stark.

Auf dem vom Chaos Computer Club veranstalteten Remote-Kongress rC3 präsentierten Sicherheitsforscher Ende Dezember 2020 zahlreiche Schwachstellen in der deutschen Gesundheits-IT, wenige Tage vor dem geplanten Start der elektronischen Patientenakte (ePA) am 01.01.2021. Sie fanden unter anderem 29 ungeschützt im Internet erreichbare Konnektoren der Telematikinfrastruktur, unzureichend abgesicherte Server bei medizinischen Versorgungszentren und offene GUS-Boxen. Ein Forscher warnte, man hätte die ePA per Man-in-the-Middle-Angriff auslesen können, wäre sie bereits im Einsatz gewesen. Der ePA-Start erfolgte zunächst nur in wenigen Testpraxen in Berlin und Westfalen-Lippe.

Wie viele Versicherte die ePA in den ersten Monaten aktivierten, ist hier nicht dokumentiert, der Artikel entstand vor dem offiziellen Start. Ob die demonstrierten Schwachstellen die produktive ePA-Umgebung selbst betrafen oder nur angrenzende Systeme, bleibt offen. Die Vortragenden waren Sicherheitsforscher auf dem CCC-Kongress, keine offiziellen CCC-Sprecher.

In der Neujahrsnacht 2013/2014 veröffentlichte eine anonyme Gruppe unter dem Namen SnapchatDB Nutzernamen und Telefonnummern von rund 4,6 Millionen Snapchat-Nutzern. Die letzten beiden Ziffern jeder Telefonnummer wurden unkenntlich gemacht. Das Sicherheitsunternehmen Gibson Security hatte Snapchat bereits im August 2013 privat auf eine Schwachstelle in der Find-Friends-Funktion hingewiesen und die Lücke nach monatelangem Schweigen im Dezember 2013 öffentlich dokumentiert. Snapchat hatte die Schwachstelle zuvor als rein theoretisch eingestuft und nicht behoben.

Wer genau hinter SnapchatDB steckte, ist nicht abschließend bekannt. Ob die veröffentlichten Daten für Spam oder Betrug missbraucht wurden, ist nicht dokumentiert. Die Angabe von 4,6 Millionen betroffenen Konten stammt von den Angreifern selbst.

Der Bundestag verabschiedete am 28.06.2012 während des EM-Halbfinales Deutschland gegen Italien in einer sehr kurzen Abstimmung ohne Aussprache eine Neufassung des Meldegesetzes. Im Innenausschuss war die im Regierungsentwurf vorgesehene Einwilligungspflicht für die Weitergabe von Namen und Adressen an Werbefirmen kurz zuvor in eine bloße Widerspruchslösung umgewandelt worden. Nach massivem öffentlichem Protest, unter anderem einer Petition mit mehreren zehntausend Unterzeichnern, rief der Bundesrat den Vermittlungsausschuss an. Bundestag und Bundesrat billigten Ende Februar bzw. am 01.03.2013 einen Kompromiss, der die Einwilligung wieder zur Pflicht machte.

Ob die kurzfristige Änderung im Innenausschuss gezielte Lobbyeinflussnahme war, ist nicht abschließend geklärt. Die berichteten Unterzeichnerzahlen der Protestpetition schwanken je nach Quelle. Wie wirksam die 2013 beschlossene Lösung nach Inkrafttreten 2015 in der Praxis durchgesetzt wurde, ist nicht belegt.

Nach der Veröffentlichung der Ashley-Madison-Nutzerdaten im August 2015 durch die Gruppe The Impact Team setzte die Betreiberfirma Avid Life Media am 24.08.2015 eine Belohnung von 500.000 kanadischen Dollar für Hinweise zur Identifizierung der Täter aus. Mit der Ermittlung befasst waren der Toronto Police Service, die Royal Canadian Mounted Police, die Ontario Provincial Police sowie FBI und Department of Homeland Security. Ashley-Madison-CEO Noel Biderman äußerte öffentlich den Verdacht, hinter dem Hack stecke eine Person mit internem Zugang, ohne dass dieser Verdacht je zu einer Anklage führte. Laut einer Rückschau von Krebs on Security vom 26.07.2022 war trotz der Belohnung bis dahin niemand angeklagt worden, die Identität von The Impact Team blieb ungeklärt.

Ob die Belohnung jemals ausgezahlt wurde, ist nicht dokumentiert. Die These eines internen Täters stammt aus öffentlichen Äußerungen des CEO und wurde nie durch eine Anklage belegt. Unklar bleibt, ob eine Einzelperson oder eine Gruppe verantwortlich war. Die Behörden kommunizierten nach 2015 keine öffentlichen Zwischenstände mehr.

Der DCMS-Ausschuss des britischen Unterhauses veröffentlichte am 18.02.2019 nach 18-monatiger Untersuchung mit 170 schriftlichen Stellungnahmen und 73 Zeugenbefragungen seinen Abschlussbericht zu Desinformation und Fake News. Der Bericht bezeichnete Facebook als digitale Gangster und warf dem Konzern vor, Datenschutz- und Wettbewerbsrecht wissentlich verletzt zu haben. Laut Ausschuss wussten mehrere hochrangige Facebook-Manager bereits 2015 vom Datenabfluss an Cambridge Analytica, ohne dies angemessen zu eskalieren. Zu den Kernempfehlungen zählten eine unabhängige Regulierungsbehörde mit Bußgeldbefugnissen und eine Reform des Wahlrechts.

Dass Cambridge Analytica tatsächlich operativ am Brexit-Referendum mitgewirkt hat, ist nicht belegt, der Ausschuss fand dazu keine belastbaren Beweise. Der Bericht ist ein politisches Ausschussdokument mit Empfehlungscharakter, kein Gerichtsurteil. Die geforderte unabhängige Regulierungsbehörde wurde von der britischen Regierung nicht in der vorgeschlagenen Form umgesetzt. Die Zahl von rund 87 Millionen betroffenen Facebook-Nutzern stammt nicht aus diesem Bericht, sondern aus separaten ICO- und FTC-Untersuchungen.

Nach dem PSN-Hack von April 2011 reichten Betroffene in den USA 65 Sammelklagen ein, zusammengefasst als Verfahren MDL 3:11-md-02258 vor dem US-Bezirksgericht für den Südbezirk Kaliforniens. Richter Anthony J. Battaglia wies am 21.01.2014 die meisten Klagepunkte ab, ließ aber Ansprüche wegen irreführender Sicherheitswerbung nach kalifornischem Verbraucherschutzrecht zu. Die Parteien einigten sich im Juni 2014 auf einen Vergleich, den Battaglia am 04.05.2015 endgültig genehmigte, ohne dass Sony ein Fehlverhalten eingestand. Der Vergleich sah Sachleistungen im Gesamtwert von bis zu 15 Millionen US-Dollar vor sowie eine Erstattung nachgewiesener Identitätsdiebstahl-Schäden von bis zu 2500 US-Dollar pro Person.

Wie viele der rund 77 Millionen betroffenen Nutzer tatsächlich Ansprüche geltend gemacht und Leistungen erhalten haben, ist nicht dokumentiert. Je nach Quelle wird der Gesamtwert des Vergleichs unterschiedlich mit rund 15 oder rund 19 Millionen US-Dollar beziffert, wobei die höhere Zahl offenbar Anwaltshonorar und Verwaltungskosten mit einschließt.

Der australische Federal Court verurteilte Google LLC am 12.08.2022 zu einer Strafzahlung von 60 Millionen australischen Dollar wegen irreführender Angaben zur Erfassung von Standortdaten auf Android-Geräten. Google suggerierte fälschlich, allein die Einstellung Standortverlauf steuere die Erfassung, sammelte aber auch bei deaktiviertem Standortverlauf weiter Daten über die standardmäßig aktivierte Einstellung Web- und App-Aktivität. Betroffen war der Zeitraum von Januar 2017 bis Dezember 2018, in dem laut ACCC rund 1,3 Millionen Google-Konten in Australien die irreführenden Anzeigen sahen. Das Verfahren wurde von der Behörde ACCC geführt, nicht als Sammelklage privater Kläger.

Die Zahl von 1,3 Millionen betroffenen Konten ist eine Schätzung der ACCC, keine bestätigte Zahl tatsächlich geschädigter Nutzer. Die Strafhöhe wurde von ACCC und Google gemeinsam vorgeschlagen, nicht unabhängig richterlich neu berechnet. Google bestritt eine vorsätzliche Täuschungsabsicht.

Die Gesellschaft für Freiheitsrechte reichte am 25.06.2024 mit sechs Beschwerdeführenden eine neue Verfassungsbeschwerde beim Bundesverfassungsgericht gegen das 2023 novellierte Hessische Polizeigesetz ein. Zu den Beschwerdeführenden zählen die Anwältin Seda Başay-Yıldız und der Regionalvorsitzende der Humanistischen Union Franz Josef Hanke, die bereits an der erfolgreichen Beschwerde von 2019 beteiligt waren, welche zum BVerfG-Urteil vom 16.02.2023 (Az. 1 BvR 1547/19) führte. Nach Ansicht der GFF erlaubt die Neuregelung weiterhin, Daten unbeteiligter Personen ohne konkreten Verdacht in die auf Palantirs System Gotham basierende Analysesoftware hessenDATA einzuspeisen, die seit über fünf Jahren im Regelbetrieb der hessischen Polizei eingesetzt wird.

Ob und wann das Bundesverfassungsgericht über diese zweite Verfassungsbeschwerde entscheidet, ist offen, das Verfahren war zum Zeitpunkt der Recherche noch anhängig. Ob die 2023er Neuregelung tatsächlich von den Vorgaben des ersten BVerfG-Urteils abweicht, ist bislang nur die Einschätzung der Beschwerdeführerseite, noch nicht gerichtlich geprüft.

Das Bundesverfassungsgericht erklärte am 10.11.2020 (Az. 1 BvR 3214/15) die erweiterte projektbezogene Datennutzung der Antiterrordatei nach § 6a Abs. 2 Satz 1 ATDG für verfassungswidrig und nichtig. Die 2015 eingeführte Vorschrift erlaubte Data Mining aus den gespeicherten Datensätzen. Das Gericht sah einen Verstoß gegen das Recht auf informationelle Selbstbestimmung, da keine hinreichend bestimmten Eingriffsschwellen wie ein verdichteter Tatverdacht vorgesehen waren. Es war die zweite höchstrichterliche Beanstandung der 2006 eingerichteten Antiterrordatei, nach dem bereits dokumentierten Grundsatzurteil von 2013.

Wie oft die erweiterte Datennutzung seit 2015 tatsächlich angewendet wurde, ist nicht dokumentiert. Anders als beim Urteil von 2013 mit Übergangsfrist erklärte das Gericht die Vorschrift 2020 sofort für nichtig.

Zwischen März und Juni 2020 schleusten mutmaßlich russische Angreifer Schadcode (Sunburst) in Software-Updates der Netzwerkmanagement-Plattform Orion des Herstellers SolarWinds ein. Rund 18.000 Organisationen luden die kompromittierte Version herunter, davon wurden nach Angaben der stellvertretenden nationalen Sicherheitsberaterin des Weißen Hauses etwa neun US-Bundesbehörden und rund 100 private Unternehmen tatsächlich weiter kompromittiert. CISA erließ am 13.12.2020 die Notfallanweisung ED 21-01. Im Oktober 2024 einigte sich die SEC mit vier vom Hack betroffenen Unternehmen auf Vergleichszahlungen wegen irreführender Offenlegungen.

Die oft zitierte Zahl von 18.000 betrifft nur den Download der manipulierten Software, die Zahl tatsächlich kompromittierter Ziele ist kleiner, aber nie vollständig verifiziert. Die Urheberschaft ist offiziell nicht gerichtsfest bewiesen, Russland bestreitet jede Beteiligung. Die zivilrechtliche Betrugsklage der SEC gegen SolarWinds selbst wurde 2024 in den meisten Punkten abgewiesen.

Im Januar 2022 verschaffte sich Lapsus$ Zugang zum Konto eines Supportmitarbeiters des Okta-Subunternehmens Sitel. Okta entdeckte den Vorfall am 20.01.2022; der unautorisierte Zugriff erfolgte laut Untersuchung vom 16. bis 21.01.2022, der Angreifer kontrollierte eine Workstation über 25 zusammenhängende Minuten und sah Daten von zwei aktiven Okta-Kundenmandanten ein. Öffentlich bekannt wurde der Vorfall erst am 22.03.2022, als Lapsus$ Screenshots veröffentlichte; Okta hatte zuvor bis zu 366 potenziell betroffene Kunden genannt.

Warum zwischen Entdeckung und öffentlicher Bestätigung fast zwei Monate vergingen, ist nicht geklärt, Okta wurde dafür kritisiert. Ob der Zugriff tatsächlich so begrenzt war wie dargestellt, blieb umstritten, der vollständige forensische Bericht liegt nicht öffentlich vor.

Am 30.03.2024 bestätigte AT&T, dass ein Darknet-Datensatz mit rund 73 Millionen Datensätzen echte Kundendaten enthielt, betroffen waren rund 7,6 Millionen aktuelle und 65,4 Millionen ehemalige Kundenkonten aus dem Jahr 2019 oder früher. Erbeutet wurden Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie verschlüsselte vierstellige Konto-Passcodes. Nach einem Hinweis von TechCrunch, dass die Passcodes leicht entschlüsselbar waren, setzte AT&T diese für alle aktiven Kunden zurück.

Woher der Datensatz stammt, ob aus direktem Einbruch oder von einem Drittanbieter, war bis mindestens April 2024 ungeklärt. Ein separates, im Juli 2024 bekanntes Datenleck über den Cloud-Dienst Snowflake ist davon zu unterscheiden. Ein 2025 vorläufig genehmigter Sammelklagevergleich über 177 Millionen Dollar soll beide Vorfälle abdecken.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 27.07.2023 ein Bußgeld von 3,6 Millionen Won gegen OpenAI wegen verspäteter Meldung einer Datenpanne bei ChatGPT: Ein Fehler in der Open-Source-Bibliothek Redis machte am 20./21.03.2023 für rund neun Stunden Zahlungsdaten von ChatGPT-Plus-Abonnenten sichtbar, darunter Namen, E-Mail-Adressen und die letzten vier Ziffern von Kreditkarten. Die PIPC identifizierte anhand der IP-Adresse 687 betroffene Nutzer in Südkorea und beanstandete, dass OpenAI die Behörde nicht innerhalb der vorgeschriebenen 24 Stunden informiert hatte.

Wie viele ChatGPT-Nutzer weltweit betroffen waren, ist nicht dokumentiert. Die Zahl 687 bezieht sich nur auf per IP-Adresse identifizierte südkoreanische Nutzer. Nicht zu verwechseln mit der deutlich schärferen, zeitgleichen Reaktion der italienischen Behörde Garante auf denselben Vorfall.

Am 14.01.2020 reichte der norwegische Verbraucherrat gemeinsam mit noyb drei Beschwerden bei der Datenschutzbehörde Datatilsynet ein, gegen Grindr sowie gegen die Werbetechnikfirmen MoPub, AppNexus, OpenX, AdColony und Smaato. Der Bericht Out of Control zeigte, dass Grindr GPS-Standort, Gerätekennungen und die bloße Nutzung der App an Werbenetzwerke weitergab. Da Grindr sich an die LGBTQ-Community richtet, wertete die Behörde dies als unrechtmäßige Offenlegung von Daten zur sexuellen Orientierung. Die Beschwerde führte im Dezember 2021 zu einem Bußgeld von 65 Millionen norwegischen Kronen gegen Grindr.

Die genaue Zahl der Drittfirmen, die Daten erhielten, ist nicht abschließend dokumentiert. Die Bußgeldhöhe wurde von zunächst angekündigten rund 10 Millionen Euro auf 65 Millionen Kronen reduziert. Das Berufungsgericht Borgarting bestätigte die Geldbuße 2025.

Die irische DPC erklärte am 21.05.2025, sie werde Meta nicht daran hindern, ab dem 27.05.2025 öffentliche Facebook- und Instagram-Beiträge erwachsener EU-Nutzer für das Training seiner KI-Sprachmodelle zu verwenden. Meta hatte diese Pläne im Juni 2024 nach DPC-Intervention ausgesetzt und überarbeitete sein Vorgehen mit klareren Nutzerhinweisen und einem vereinfachten Widerspruchsformular. Private Inhalte und Daten Minderjähriger sind ausgenommen.

Ein Bußgeld wurde nicht verhängt, es handelte sich um eine Nichteinwandstellungnahme. Ob Metas Berufung auf berechtigtes Interesse statt Einwilligung mit der DSGVO vereinbar ist, gilt unter Datenschützern als umstritten. noyb hält das Vorgehen für rechtswidrig und kündigte mögliche EU-weite Sammelklage an.

Am 19.07.2024 verteilte CrowdStrike ein fehlerhaftes Konfigurationsupdate für seine Falcon-Sensor-Software, das auf Windows-Systemen Systemabstürze verursachte. Nach Microsoft-Angaben waren rund 8,5 Millionen Windows-Geräte betroffen, darunter Check-in-Systeme von Fluggesellschaften, Krankenhaus-IT und Notrufzentralen. Delta Air Lines strich rund 7.000 Flüge und bezifferte den eigenen Schaden auf etwa 550 Millionen US-Dollar. Bis zum 25.07.2024 waren laut CrowdStrike 97 Prozent der betroffenen Systeme wieder online.

Die Zahl von 8,5 Millionen Geräten bezieht sich nur auf Systeme mit Microsoft-Telemetrie, die tatsächliche Gesamtzahl gilt als höher. Delta-CrowdStrike streiten sich in einem laufenden Rechtsstreit über die Verantwortung, die genannten Schadenssummen sind daher nicht unabhängig bestätigt.

Der Kanadier Connor Riley Moucka bekannte sich am 05.08.2026 vor einem US-Bundesgericht in vier Anklagepunkten schuldig: Computerbetrug, Drahtbetrug, schwerer Identitätsdiebstahl und Verschwörung. Laut US-Justizministerium nutzten Moucka und Komplizen zwischen Februar und Oktober 2024 gestohlene Zugangsdaten, um Cloud-Konten von mindestens 165 Kunden eines US-Cloud-Anbieters zu kompromittieren, und erbeuteten Milliarden sensibler Datensätze. Die Täter erpressten Opfer mit Veröffentlichungsdrohungen und erhielten über 2,5 Millionen Dollar Lösegeld. Den Opferunternehmen entstand ein Schaden von mehr als 9,5 Millionen Dollar, betroffen waren Kundendaten von mindestens 100 Millionen Menschen. Moucka wurde am 30.10.2024 in Kanada festgenommen, im Juli 2025 in die USA ausgeliefert, das Urteil soll am 27.10.2026 fallen.

Die Pressemitteilung nennt den betroffenen Cloud-Anbieter nicht namentlich als Snowflake und keine einzelnen Opferfirmen. Die Zuordnung zu Ticketmaster/Live Nation, AT&T und Santander stammt aus Presseberichten, nicht aus der Mitteilung selbst. Das endgültige Strafmaß steht erst nach der Urteilsverkündung fest.

Der Hacker USDoD bot im April 2024 den Verkauf von angeblich 2,9 Milliarden Datensätzen aus der US-Hintergrundprüfungsfirma National Public Data an, darunter Namen, Adressen und Sozialversicherungsnummern. Am 06.08.2024 veröffentlichte er rund 2,7 Milliarden Datensätze kostenlos, Sicherheitsforscher zählten darin etwa 272 Millionen eindeutige Sozialversicherungsnummern. National Public Data meldete den Behörden in Maine jedoch nur 1,3 Millionen betroffene Personen. Die Muttergesellschaft Jerico Pictures meldete am 02.10.2024 Insolvenz an, unter Verweis auf mehr als 20 Sammelklagen und FTC-Ermittlungen.

Die Milliardenzahl stammt vom Angreifer selbst, nicht aus geprüfter Unternehmensbestätigung. Die Datensätze enthalten laut Analysen zahlreiche Duplikate und Einträge Verstorbener. Die Diskrepanz zur gemeldeten Zahl von 1,3 Millionen wurde öffentlich nie aufgelöst.

Am 24.04.2024 entdeckte Dropbox unautorisierten Zugriff auf die Produktionsumgebung von Dropbox Sign. Der Angreifer hatte bereits am 19./20.04.2024 ein Service-Konto im Backend-System kompromittiert und dessen Berechtigungen genutzt, um auf die Kundendatenbank zuzugreifen. Betroffen waren E-Mail-Adressen, Telefonnummern und gehashte Passwörter aller Nutzer sowie Authentifizierungsdaten wie API-Schlüssel und OAuth-Token. Dropbox informierte am 01.05.2024 öffentlich und rotierte alle API-Schlüssel und Token.

Dropbox nannte keine konkrete Gesamtzahl betroffener Konten. Ob Drittanwendungen mit gestohlenen Token missbraucht wurden, ist nicht bekannt. Die Angabe, Dokumenteninhalte seien nicht betroffen, stammt allein aus der unternehmenseigenen Untersuchung ohne unabhängige Bestätigung.

Comcast/Xfinity teilte am 18.12.2023 mit, dass Angreifer zwischen dem 16. und 19.10.2023 unbefugten Zugriff auf interne Systeme erlangten, indem sie die Citrix-Schwachstelle CVE-2023-4966 (Citrix Bleed) ausnutzten. Laut Meldung an die Attorney General von Maine waren rund 35,88 Millionen Kunden betroffen. Erbeutet wurden bei allen Betroffenen Benutzernamen und gehashte Passwörter, bei einem Teil zusätzlich Namen, Kontaktdaten und die letzten vier Ziffern der Sozialversicherungsnummer.

Wer hinter dem Angriff steckt, ist öffentlich nicht dokumentiert. In der Folge kam es zu Sammelklagen gegen Comcast, für die 2025/2026 ein Vergleich über 117,5 Millionen Dollar vorlag, dessen endgültige Genehmigung nicht verifiziert wurde.

Roku meldete 2024 zwei separate Credential-Stuffing-Vorfälle: Anfang März 2024 waren rund 15.363 Konten betroffen, bei der Untersuchung entdeckte Roku einen zweiten, größeren Angriff mit rund 576.000 weiteren Konten, gemeldet am 12.04.2024. In weniger als 400 Fällen nutzten die Angreifer den Zugriff für betrügerische Käufe von Streaming-Abos und Hardware, die das Unternehmen erstattete. Roku führte anschließend eine verpflichtende Zwei-Faktor-Authentifizierung ein.

Die verwendeten Zugangsdaten stammten laut Unternehmen aus fremden Datenlecks, nicht aus einer Kompromittierung von Roku selbst, dies lässt sich nicht unabhängig überprüfen. Die Zahl 591.000 ist eine Addition aus zwei separaten Mitteilungen, keine von dritter Seite verifizierte Gesamtzahl.

Kaiser Permanente meldete am 12.04.2024 einen Datenschutzvorfall, der rund 13,4 Millionen aktuelle und ehemalige Mitglieder betraf. Ursache waren seit dem 25.10.2023 bekannte Tracking-Pixel und Cookies auf eigenen Websites, die personenbezogene Daten an Google, Microsoft Bing und X übermittelten, darunter Namen, IP-Adressen und Suchbegriffe zu Symptomen und Medikamenten im Gesundheitslexikon. Sozialversicherungs- und Finanzdaten waren laut Kaiser nicht betroffen. Der Vorfall gilt als größte 2024 gemeldete Datenpanne im US-Gesundheitssektor.

Wie viele Betroffene tatsächlich sensible Suchbegriffe eingegeben hatten, ist nicht offengelegt. Ob die Empfängerkonzerne die Daten tatsächlich nutzten, ist nicht dokumentiert. Kaiser einigte sich 2024/2025 auf eine Vergleichszahlung von bis zu 47,5 Millionen Dollar, ohne Fehlverhalten einzuräumen.