Quellen-Tabelle

Die FTC gab am 29.11.2011 bekannt, sich mit Facebook auf einen Vergleich wegen acht Anklagepunkten irreführender Datenschutzpraktiken geeinigt zu haben, insbesondere im Zuge der Änderungen der Privatsphäre-Einstellungen im Dezember 2009. Die endgültige Konsent Order wurde am 10.08.2012 bestätigt. Facebook verpflichtete sich zu einer 20-jährigen Aufsichtsperiode mit zweijährlichen unabhängigen Datenschutzaudits, eine der ersten großen föderalen Datenschutz-Konsent-Orders vor dem Cambridge-Analytica-Skandal 2018.

Die Vereinbarung sah keine Geldstrafe vor, sondern Verhaltensauflagen. Erst die spätere FTC-Untersuchung im Zusammenhang mit Cambridge Analytica führte 2019 zu einer Rekordstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen genau diese Order. Umstritten ist, ob die Auflagen in der Praxis wirksam durchgesetzt wurden.

Der IT-Sicherheitsforscher Mike Kuketz dokumentierte am 05.05.2022, dass die BahnBonus-App bereits vor jeglicher Nutzereinwilligung Verbindungen zu Drittanbietern wie Adobe Analytics und Instabug in den USA aufbaute, dabei wurden Gerätekennungen und weitere Daten übertragen. Kuketz bewertete dies als Verstoß gegen das TTDSG. Die Deutsche Bahn hatte die App im Rahmen der BahnBonus-Umstellung im Juni 2022 eingeführt, deren Rollout laut heise online mit zahlreichen weiteren Fehlern verbunden war.

Die Behauptung, ein technischer Fehler habe fremde Kundendaten anderer Nutzer sichtbar gemacht, ließ sich nicht als eigenständig dokumentierter Vorfall verifizieren. Belegt sind stattdessen Datenschutzmängel durch Tracking ohne Einwilligung. Ein Bußgeld im Zusammenhang mit einem solchen spezifischen Vorfall ist nicht dokumentiert.

Mozilla veröffentlichte am 07.11.2024 einen Bericht über Artikel 45 der eIDAS-2.0-Verordnung, der Browser verpflichtet, staatlich benannte Qualified Website Authentication Certificates anzuerkennen. Mozilla und die EFF warnten in einem offenen Brief, staatlich kontrollierte kryptografische Schlüssel könnten zur Interception verschlüsselten Webverkehrs genutzt werden. Mehr als 500 IT-Sicherheitsexperten unterzeichneten einen Protestbrief.

Nicht belegt ist, dass es bis Ende 2024 zu einem dokumentierten Fall staatlicher Zertifikats-Interception unter eIDAS 2.0 kam. Die Kritik bezieht sich auf ein befürchtetes Risiko, nicht auf einen nachgewiesenen Missbrauchsfall. Wie wirksam vom EU-Parlament eingeführte Schutzmaßnahmen sind, war noch nicht abschließend geklärt.

Am 09.10.2024 gaben 49 US-Bundesstaaten, der District of Columbia und die FTC parallele Vergleiche mit Marriott wegen des Starwood-Datenlecks bekannt. Marriott zahlt 52 Millionen Dollar und verpflichtet sich zu einem Informationssicherheitsprogramm mit Verschlüsselung und Multi-Faktor-Authentifizierung. Grundlage war das Datenleck mit Zugriff von Juli 2014 bis September 2018, wovon rund 131,5 Millionen amerikanische Kunden betroffen waren.

Nicht dokumentiert ist die exakte Aufteilung der 52 Millionen Dollar auf die Bundesstaaten. Offen bleibt, in welchem Umfang die vereinbarten Sicherheitsmaßnahmen bereits umgesetzt wurden. Zuvor separat verhängte Bußgelder europäischer Behörden sind nicht Teil dieses Vergleichs.

Im Oktober 2014 wurde eine 13,6 GB große Datei mit rund 90.000 Fotos und 9.000 Videos aus Snapchat veröffentlicht. Verantwortlich war nicht Snapchat selbst, sondern der Drittanbieterdienst Snapsaved.com, der von Nutzern gesendete Snaps entgegennahm und speicherte, inklusive Nutzernamen. Snapsaved.com bestätigte den Vorfall. Snapchat erklärte, die eigenen Server seien nicht kompromittiert worden.

Nicht belegt ist die genaue Zahl betroffener Nutzer, Schätzungen schwankten zwischen 90.000 und bis zu 200.000 Bildern. Unklar bleibt, wie viele abgebildete Personen minderjährig waren. Die Identität der für den Datenabfluss verantwortlichen Person ist nicht bekannt.

Im Juni 2012 wurden bei einem Angriff auf LinkedIn rund 6,5 Millionen ungesalzene SHA1-Passwort-Hashes entwendet. Im Mai 2016 bot ein Hacker unter dem Pseudonym Peace auf einem Darknet-Marktplatz Datensätze mit E-Mail-Adressen und Passwörtern von 117 Millionen LinkedIn-Nutzern zum Kauf an, angeblich aus demselben Vorfall von 2012. LinkedIn bestätigte den erweiterten Umfang und setzte die Passwörter zwangsweise zurück. Der Kaufpreis für den kompletten Datensatz wurde mit rund 5 Bitcoin beziffert.

Nicht geklärt ist, ob die 2016 angebotenen 117 Millionen Datensätze vollständig aus dem Angriff von 2012 stammen. LinkedIn hat nie bestätigt, wie der Angreifer 2012 eindrang. Die Identität hinter dem Pseudonym Peace ist bis heute nicht festgestellt.

Am 20.07.2021 veröffentlichte The Pillar eine Recherche, wonach ein Monsignore Jeffrey Burrill zugeordnetes Gerät 2018 bis 2020 nahezu täglich Grindr-Signaldaten aussandte, unter anderem an seiner Dienstwohnung. Burrill trat noch am selben Tag als Generalsekretär der USCCB zurück. The Pillar erwarb die Daten von einem kommerziellen Datenhändler. Eine separate Analyse fand zudem mindestens 16 Geräte, die an vier Tagen 2018 Grindr-Signale aus nicht öffentlichen Bereichen des Vatikanstaats aussandten.

Nicht dokumentiert ist die Methode, mit der die Daten konkreten Personen zugeordnet wurden. Grindr bestritt eine direkte Weitergabe. Welcher Datenhändler die Rohdaten lieferte, wurde nicht genannt. Die Zahl von 16 Geräten basiert auf einer begrenzten Vier-Tage-Stichprobe.

Facebook startete im November 2007 das Werbeprogramm Beacon, das Kaufaktivitäten von Nutzern auf Partnerseiten ohne wirksame Zustimmung erfasste und an Facebook-Freunde weitergab. Nutzer reichten die Sammelklage Lane v. Facebook ein. Im September 2009 einigten sich die Parteien: Facebook stellte Beacon ein und zahlte 9,5 Millionen Dollar, davon rund 6,5 Millionen an die neu gegründete Stiftung Digital Trust Foundation. Das Berufungsgericht bestätigte den Vergleich am 20.09.2012 für rund 3,6 Millionen betroffene Nutzer.

Nicht dokumentiert ist, wie viele Nutzer konkret geschädigt wurden. Umstritten blieb die Angemessenheit des Vergleichs, da Klassenmitglieder keine direkte Geldzahlung erhielten, sondern das Geld an eine von Facebook mitgegründete Stiftung floss.

Die FTC erhob am 30.03.2011 Anklage gegen Google wegen täuschender Datenschutzpraktiken beim Start von Google Buzz im Februar 2010. Google hatte Gmail-Nutzer ohne ausreichende Zustimmung automatisch eingeschrieben und deren häufigste E-Mail-Kontakte öffentlich sichtbar gemacht. Google einigte sich mit der FTC auf ein umfassendes Datenschutzprogramm mit unabhängigen Audits für 20 Jahre, die endgültige Genehmigung erfolgte am 24.10.2011.

Nicht Teil dieses Vergleichs ist eine Geldstrafe, anders als später der Safari-Fall 2012 mit 22,5 Millionen US-Dollar. Wie viele Nutzer konkret betroffen waren, ist in der FTC-Mitteilung nicht genannt.

Die medizinische Inkassofirma American Medical Collection Agency wurde zwischen dem 01.08.2018 und 30.03.2019 gehackt. Betroffen waren Daten von rund 20 Millionen Patienten, darunter Name, Geburtsdatum und offene Rechnungsbeträge. Quest Diagnostics meldete 11,9 Millionen betroffene Kunden, LabCorp 7,7 Millionen. Die AMCA-Muttergesellschaft meldete am 17.06.2019 Insolvenz an.

Nicht dokumentiert ist, wie viele Betroffene tatsächlich Bankdaten preisgaben. Die technische Schwachstelle wurde nicht im Detail offengelegt. Die Identität der Angreifer ist nicht bestätigt. Die 20 Millionen sind eine Summe aus verschiedenen Kundenmeldungen, Überschneidungen sind nicht ausgeschlossen.

Ein von der BVG beauftragter Dienstleister wurde Opfer eines Cyberangriffs, bei dem Kundendaten von rund 180.000 BVG-Kunden offengelegt wurden, darunter Namen und Vertragsnummern, Bankdaten waren nicht betroffen. Der Dienstleister informierte die BVG am 17.04.2025, die Meldung an die Datenschutzbehörde erfolgte erst am 30.04.2025 nach der gesetzlichen 72-Stunden-Frist. Die Berliner Datenschutzbeauftragte erließ am 04.05.2026 eine Verwarnung wegen unzureichender Kontrolle der Datenlöschung beim Dienstleister.

Nicht öffentlich dokumentiert ist, welcher Dienstleister betroffen war. Die Zahl von 180.000 Betroffenen stammt aus der Behördenmitteilung ohne unabhängige forensische Bestätigung. Eine separate Diskussion um ein Tracking-Ticketsystem der BVG ließ sich in verlässlichen Quellen nicht als eigenständiger Vorgang bestätigen.

Im Januar 2017 identifizierten Sicherheitsforscher, dass die chinesische Foto-App Meitu auf Android und iOS weit mehr Berechtigungen anfordert als für ihre Kernfunktion nötig, darunter genauen Standort, IMSI-Gerätekennung und WLAN-Verbindungen. Eindeutige Gerätekennungen wurden an Server in China übertragen. Meitu erklärte, die Datensammlung diene der App-Optimierung.

Nicht belegt ist, wofür Meitu die Daten konkret verwendete. Es gibt keine dokumentierten Beweise für eine Weitergabe an chinesische Behörden, dies wurde nur als mögliches Risiko benannt. Es liegt keine behördliche Untersuchung zu diesem Fall vor.

Ein Forscherteam mehrerer Universitäten analysierte in einem am 08.09.2017 veröffentlichten Paper Apples Implementierung von Differential Privacy. Für macOS Sierra ermittelten sie einen Datenschutzparameter Epsilon von 6, für iOS 10 von 14, kumulativ bis zu 43. Die Fachcommunity betrachtet Epsilon-Werte unter 1 als Richtschnur. Apple widersprach der Studie und verwies auf zusätzliche Schutzmaßnahmen.

Nicht geklärt ist, ob die kumulierten Epsilon-Werte die reale Re-Identifizierbarkeit widerspiegeln, Apple bestreitet, dass sich die Werte einfach addieren lassen. Die Werte stammen aus Reverse Engineering, nicht aus offizieller Apple-Dokumentation.

Die Berliner Datenschutzbeauftragte verhängte am 30.10.2019 gegen die Deutsche Wohnen SE ein Bußgeld von rund 14,5 Millionen Euro. Das Landgericht Berlin stellte das Verfahren am 18.02.2021 zunächst ein, das Kammergericht legte die Sache dem EuGH vor. Nach der EuGH-Entscheidung von Dezember 2023 verwies das Kammergericht zurück. Das Landgericht Berlin verurteilte Deutsche Wohnen SE am 09.06.2026 zu einer deutlich reduzierten Geldbuße von 900.000 Euro.

Nicht geklärt ist, ob das Urteil rechtskräftig ist oder Rechtsmittel eingelegt wurden. Die genaue rechtliche Begründung für die drastische Reduzierung geht aus der kurzen Pressemitteilung nicht im Detail hervor.

Am 02.06.2016 unterzeichneten EU und USA das Umbrella Agreement, einen Rahmenvertrag zum Datenschutz für den Austausch personenbezogener Daten zwischen Strafverfolgungsbehörden. Das Abkommen erfasst Daten wie Namen und Vorstrafen zur Straftatverfolgung einschließlich Terrorismus und räumt EU-Bürgern erstmals ein gerichtliches Rechtsmittel vor US-Gerichten ein, gleichgestellt mit US-Bürgern. Das Europäische Parlament stimmte am 01.12.2016 zu.

Nicht dokumentiert ist, wie oft US-Gerichte entsprechende Klagen von EU-Bürgern tatsächlich zuließen. Umstritten blieb, ob der zugrunde liegende Judicial Redress Act dauerhaft Bestand hat, da er per einfachem Gesetz verankert ist.

Nach dem 2020 bekannt gewordenen Hack der finnischen Psychotherapiekette Vastaamo, bei dem Patientenakten von rund 33.000 Betroffenen entwendet und teils veröffentlicht wurden, meldeten sich tausende Patienten mit Schadensersatzforderungen gegen den mittlerweile insolventen Betreiber. Ein finnisches Gericht verurteilte den Täter Julius Kivimäki im April 2024 zu einer Haftstrafe von sechs Jahren und drei Monaten wegen Datenerpressung und Offenlegung von Patientendaten. Die Konkursmasse Vastaamos reichte für Entschädigungszahlungen nicht annähernd aus.

Nicht abschließend geklärt ist, wie viele Betroffene tatsächlich eine Entschädigung erhielten, da die Insolvenzmasse begrenzt war. Die genaue Zahl der veröffentlichten Patientenakten schwankt in Berichten zwischen rund 2.000 und weit höheren Schätzungen.

Am 20.03.2025 genehmigte eine US-Bezirksrichterin in Chicago den Vergleich in der Sammelklage gegen Clearview AI wegen Verstoßes gegen den Illinois Biometric Information Privacy Act (BIPA). Statt Barzahlung erhalten die Klassenmitglieder einen Anteil von 23 Prozent an Clearview AI, auf Basis einer Bewertung von 225 Millionen US-Dollar mit rund 51,75 Millionen US-Dollar beziffert. Clearview verpflichtet sich zudem zu einem Opt-Out-System und Löschung bestimmter biometrischer Daten für Einwohner Illinois.

Der tatsächliche Marktwert des Aktienanteils ist nicht abschließend geklärt, da Clearview nicht börsennotiert ist. 22 US-Bundesstaaten legten Einspruch gegen die Konstruktion ein. Wie viele der potenziell Millionen Betroffenen tatsächlich Ansprüche anmelden, ist offen.

Die DPC verhängte am 04.01.2023 gegen Meta Ireland zwei Bußgelder, 210 Millionen Euro für Facebook und 180 Millionen Euro für Instagram, insgesamt 390 Millionen Euro. Grundlage war die Feststellung, dass Meta sich nicht auf Vertragserfüllung nach Artikel 6 Absatz 1 DSGVO stützen darf, um personalisierte Werbung zu rechtfertigen. Die Entscheidung erging nach einem verbindlichen Beschluss des EDPB, der die ursprüngliche DPC-Position verschärfte.

Dieses Bußgeld ist nicht identisch mit dem späteren 1,2-Milliarden-Euro-Bußgeld der DPC gegen Meta von Mai 2023, das sich auf Datenübermittlungen in die USA bezog. Ob Meta seine Werbepraxis vollständig auf Nutzereinwilligung umgestellt hat, ist Gegenstand weiterer Verfahren.

Das Landgericht Frankfurt verurteilte Samsung auf Klage der Verbraucherzentrale NRW. Samsung muss Käufer eines internetfähigen Smart-TV vor dem Kauf darauf hinweisen, dass beim Anschluss ans Internet personenbezogene Daten wie die IP-Adresse ohne vorherige Einwilligung übertragen werden können. Das Gericht untersagte zudem zahlreiche intransparente Klauseln in Samsungs AGB und Datenschutzerklärung.

Ein vollständiges Verbot der Datenerhebung ohne Einwilligung wurde vom Gericht nicht durchgesetzt, sondern nur eine Informationspflicht. Offen blieb, ob die Weitergabe der Daten an HbbTV-Betreiber und Samsungs Konzernmutter rechtmäßig war, da diese nicht Beklagte waren.

D-Trust, eine Tochtergesellschaft der Bundesdruckerei, entdeckte am 13.01.2025 einen Angriff auf ihr Antragsportal für Signatur- und Siegelkarten. Betroffen waren Namen, E-Mail-Adressen, Geburtsdaten sowie teils Adress- und Ausweisdaten von Antragstellern, unter anderem elektronischer Heilberufsausweise. Der CCC teilte mit, dass die Daten von einem anonymen Sicherheitsforscher über eine offene API ohne Umgehung von Zugangsschutz abgegriffen wurden.

Die genaue Anzahl betroffener Personen wurde nicht offiziell beziffert. Ob es sich um einen Hackerangriff oder eine fahrlässig offene Schnittstelle handelte, blieb zunächst unklar.

Der Kuketz-Blog analysierte die Android-App des Verkehrsverbunds Rhein-Ruhr mit über 500.000 Installationen. Bereits vor jeder Einwilligung wurden Gerätedaten an Google Firebase Crashlytics und den Tracking-Dienstleister Adjust übertragen. Der Consent-Banner erschien laut Analyse erst nach den Datenübertragungen, ein Verstoß gegen Paragraf 25 Absatz 1 TTDSG und Artikel 6 Absatz 1a DSGVO.

Die Analyse untersuchte nur ein Testgerät, keine flächendeckende Messung. Eine offizielle Stellungnahme des VRR oder ein förmliches Aufsichtsverfahren ist nicht dokumentiert.

Am 09.10.2023 bot ein Akteur namens pwn0001 auf BreachForums 815 Millionen Datensätze mit Namen, Adressen und Aadhaar-Nummern indischer Bürger für 80.000 US-Dollar an. Die Daten stammten aus COVID-19-Testdatenbanken des Indian Council of Medical Research. Die Behörde CERT-In bestätigte die Authentizität, das ICMR erstattete Anzeige.

Wie die Angreifer Zugang zu den ICMR-Systemen erlangten, ist nicht geklärt. Die Zahl von 815 Millionen wurde nur stichprobenartig, nicht vollständig verifiziert.

Mitte September 2024 bot ein Akteur im Darknet einen angeblichen Datensatz von 177,9 Millionen Zeilen aus Datasus an, der Datenbank hinter dem brasilianischen Gesundheitssystem SUS. Das 90 Gigabyte große Archiv soll Steuernummern, Namen und Gesundheitskartennummern enthalten. Die Datenschutzbehörde ANPD erhielt Löschanfragen für die hostenden Cloud-Links.

Keine brasilianische Behörde bestätigte den Vorfall offiziell. Die Zahl von 177,9 Millionen Datensätzen stammt allein von der Behauptung des Darknet-Anbieters.

Die Stadt Helsinki entdeckte am 30.04.2024 einen Datenschutzvorfall bei der Bildungsverwaltung. Angreifer nutzten eine ungepatchte Schwachstelle in einem Fernzugriffsserver aus. Betroffen sind potenziell mehr als 80.000 Schüler und Erziehungsberechtigte sowie sämtliche Stadtmitarbeiter. Erbeutet wurden Personenkennzeichen, Adressen, Angaben zur Schülerförderung und ärztliche Bescheinigungen. Die finnische Polizei ermittelt wegen schweren Computereinbruchs.

Warum das verfügbare Sicherheitsupdate nicht installiert wurde, ist nicht geklärt. Die genaue Zahl der betroffenen Personen bleibt vorläufig, ebenso wer hinter dem Angriff steckt.

Die griechische Datenschutzbehörde verhängte am 28.02.2024 ein Bußgeld gegen HELLENIC POST SERVICES S.A. (ELTA). Grundlage waren ein Ransomware-Angriff mit Erpressung sowie eine spätere Veröffentlichung personenbezogener Daten im Darknet. Der eigentliche Cyberangriff fand bereits im März 2022 statt und legte über 2500 Computer sowie den Zahlungs- und Postbetrieb landesweit lahm. Das Bußgeld betrug 1 Prozent des Jahresumsatzes von ELTA.

Der genaue Bußgeldbetrag in Euro wird nicht beziffert. Die Anzahl betroffener Personen ist nicht dokumentiert, ebenso welche Datenkategorien im Darknet veröffentlicht wurden.