Quellen-Tabelle

Die Private-Equity-Firma Blackstone übernahm im August 2020 für 4,7 Milliarden US-Dollar die Mehrheit an Ancestry.com, Betreiber der weltweit größten Datenbank für genetische und genealogische Verbraucherdaten mit 24 Milliarden Datensätzen und Genom-Daten von 18 Millionen Menschen. Eine Sammelklage warf Ancestry.com vor, seine genetische Datenbank ohne die nach Illinois-Recht erforderliche schriftliche Einwilligung der Betroffenen an den erwerbenden Finanzinvestor weitergegeben zu haben; die Übernahme umfasste neben Genomdaten auch persönliche Identifikationsdaten wie Vor- und Nachnamen, E-Mail-Adressen, Wohnadressen sowie teils Alter und Geschlecht. Blackstone erklärte öffentlich, das Unternehmen habe keinen und werde keinen Zugriff auf DNA-Daten der Nutzer erhalten. Datenschutzexperten wiesen dennoch darauf hin, dass sich die Datenschutzbedingungen für Bestandskunden durch den Eigentümerwechsel nicht änderten und ein solcher Kontrollwechsel bei sensiblen Gendaten einen 'sehr besorgniserregenden Trend' darstelle, den Aufsichtsbehörden bislang unzureichend regulieren.

Ob Blackstones öffentliche Zusicherung, keinen Zugriff auf DNA-Daten zu erhalten, durch eine unabhängige Prüfung verifiziert wurde, ist aus dieser Quelle nicht belegt; sie beruht auf der Selbstauskunft des Unternehmens.

Das Unternehmen Worldcoin (Tools for Humanity) sammelte weltweit Iris-Scans gegen Kryptowährungs-Token, häufig von Menschen aus wirtschaftlich benachteiligten Gemeinschaften, ohne ausreichende Aufklärung darüber, was die Erfassung biometrischer Irisdaten bedeutet oder wie die Daten international verarbeitet werden. Die kenianische Datenschutzbehörde setzte das Programm am 02.08.2023 wegen unzureichenden Schutzes biometrischer Daten und fehlender Einwilligungsmechanismen aus; im Mai 2025 erklärte der High Court of Kenya den Betrieb der Plattform für illegal. In Deutschland ordnete das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) im Dezember 2024 nach einer DSGVO-Prüfung an, dass Worldcoin die in Deutschland erhobenen Irisdaten löschen muss. Weltweit haben mindestens acht Länder, von Spanien bis Indonesien, den Betrieb von Worldcoin verboten oder untersucht.

Ob Worldcoin die BayLDA-Löschanordnung tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht belegt.

Aadhaar ist das weltweit größte biometrisch gestützte Digitalisierungsprojekt: Eine zwölfstellige Ausweisnummer verknüpft personenbezogene und biometrische Daten jedes indischen Bürgers, darunter Iris-Scans beider Augen und alle zehn Fingerabdrücke, in einer zentralen Datenbank. Das ursprünglich freiwillige Programm ist inzwischen faktisch verpflichtend: Ohne Aadhaar lässt sich in Indien kein Bankkonto eröffnen, keine Telefonnummer oder Kreditkarte beantragen, keine Sozialleistung beziehen, keine Steuererklärung abgeben und keine Ehe schließen. Seit Einführung des Regierungsprojekts wurden über 200 Datenlecks dokumentiert; Journalisten gelang es wiederholt, gegen Bezahlung Zugriff auf die massive Datenbank zu erhalten. Kritiker bezeichnen Aadhaar als totalitär, verfassungswidrig und freiheitseinschränkend, weil zu viele sensible personenbezogene Daten relativ ungeschützt zentral gespeichert werden; zusätzlich erhielten viele der ärmsten Inder ihre lebensnotwendigen Nahrungsmittelrationen nicht, weil Geschäfte Fingerabdrücke technisch nicht korrekt lesen konnten oder keine ausreichende Internetverbindung hatten.

Die genaue Gesamtzahl der durch fehlerhafte biometrische Erkennung von Sozialleistungen ausgeschlossenen Personen ist aus dieser Quelle nicht mit einer belastbaren Statistik beziffert, nur als wiederkehrendes strukturelles Problem beschrieben.

Im Mai/Juli 2015 hackte eine Gruppe namens 'The Impact Team' den Seitensprung-Vermittlungsdienst Ashley Madison und drohte am 19.07.2015 der Betreiberfirma Avid Life Media, die Websites Ashley Madison und Established Men abzuschalten, andernfalls würden Nutzerdaten veröffentlicht. Die Hacker veröffentlichten schließlich Wohnort, Namen, Kreditkartendaten und Angaben zu sexuellen Vorlieben zahlloser Nutzer, einer der größten öffentlichen Moralpranger im Internet. Zahlreiche Ehen und langjährige Beziehungen zerbrachen abrupt; es gab unbestätigte Berichte über Suizide von Betroffenen, die im Freitod den einzigen Ausweg aus der öffentlichen Bloßstellung sahen. Der Hack löste zusätzlich eine Welle von Erpressungsverbrechen aus. Nach Berechnungen könnte theoretisch jeder fünfte Mann zwischen 20 und 74 Jahren in den USA mit dem Portal in Verbindung stehen und damit potenzielles Erpressungsopfer sein.

Die Berichte über durch das Leck ausgelöste Suizide sind laut Quelle unbestätigt, nicht durch offizielle Untersuchungen kausal nachgewiesen; die Schätzung 'jeder fünfte Mann' ist eine statistische Hochrechnung, keine belegte Nutzerzahl.

Ab dem 29.04.2023 über rund fünf Monate hinweg testete ein Angreifer bei 23andMe systematisch Kombinationen aus Nutzernamen und Passwörtern, die zuvor bei anderen Datenlecks erbeutet worden waren (Credential Stuffing), gegen die Login-Seite von 23andMe, da viele Menschen dieselben Passwörter auf mehreren Diensten wiederverwenden. Direkt kompromittiert wurden dadurch rund 14.000 Konten, weniger als 0,1 Prozent der etwa 14 Millionen 23andMe-Kunden. Weil 23andMe jedoch die Opt-in-Funktion 'DNA Relatives' anbietet, über die Nutzer Profilinformationen mit genetisch verwandten Nutzern teilen, konnte der Angreifer über die miteinander verknüpften Profile und Stammbaum-Tools von den 14.000 direkt kompromittierten Konten aus auf Daten von insgesamt 6,9 Millionen Menschen zugreifen, die 23andMe im Oktober 2023 entsprechend benachrichtigte.

Der Fall zeigt exemplarisch, wie eine relativ kleine Zahl kompromittierter Konten (0,1 Prozent) durch eine Datenverknüpfungsfunktion einen weit größeren Personenkreis betreffen kann; die genaue Art der bei den 6,9 Millionen Betroffenen tatsächlich offengelegten Datenfelder wird in dieser Quelle nicht vollständig differenziert.

Marriott International teilte am 31.03.2020 mit, dass Unbekannte zwischen Mitte Januar 2020 und Ende Februar 2020 auf Gästedaten von schätzungsweise 5,2 Millionen Personen zugreifen konnten. Die Angreifer nutzten dabei die Login-Daten von zwei Mitarbeitern eines Franchise-Hotels der Kette, um sich Zugang zu einer Anwendung zu verschaffen, mit der Marriott-Franchisenehmer Gästeservices verwalten. Marriott entdeckte den unautorisierten Zugriff Ende Februar 2020 und deaktivierte daraufhin die betroffenen Zugangsdaten. Zu den kompromittierten Daten gehörten Namen, Geschlecht, Geburtstag und -monat, Adressen, Telefonnummern, E-Mail-Adressen, Arbeitgeberangaben, Treueprogramm-Informationen einschließlich verknüpfter Fluggesellschaftskonten sowie Präferenzen zum Hotelaufenthalt. Nach Angaben des Unternehmens waren Zahlungskartendaten, Passwörter und PINs der Bonvoy-Konten, Passnummern sowie nationale Ausweis- und Führerscheinnummern nicht betroffen. Marriott setzte anschließend die Passwörter aller Bonvoy-Mitglieder zurück, informierte die betroffenen Gäste per E-Mail, richtete ein Online-Portal zur Überprüfung des eigenen Betroffenenstatus ein und bot ein Jahr kostenloses Identitätsüberwachungs-Monitoring durch Experian IdentityWorks an. Es handelte sich um den zweiten großen Datenschutzvorfall bei Marriott nach dem Starwood-Leck von 2018 mit rund 339 Millionen betroffenen Datensätzen weltweit.

Aus dieser Quelle nicht belegt sind der genaue Name des betroffenen Franchise-Hotels sowie die exakte Zahl und Identität der involvierten Täter; auch etwaige Bußgelder oder rechtliche Konsequenzen speziell für diesen 2020er-Vorfall werden hier nicht dokumentiert.

Am 04.08.2022 stellte das US-Unternehmen Twilio Inc., ein Anbieter von Cloud-Kommunikationsdiensten, fest, dass Angreifer über eine SMS-Phishing-Kampagne (Smishing) Zugriff auf interne Systeme erlangt hatten. Ab Mitte Juli 2022 versendeten die Angreifer Textnachrichten an aktuelle und ehemalige Twilio-Mitarbeiter, die vorgaben, von der IT-Abteilung zu stammen und ein angeblich abgelaufenes Passwort zu betreffen. Die enthaltenen Links führten zu gefälschten Okta-Anmeldeseiten auf Domains wie twilio-sso.com und twilio-okta.net, auf denen Zugangsdaten abgegriffen wurden. Mit diesen Zugangsdaten verschafften sich die Angreifer Zugriff auf interne Twilio-Systeme und darüber auf Kundendaten. Laut dem am 27.10.2022 abgeschlossenen Untersuchungsbericht von Twilio waren 209 von insgesamt mehr als 270.000 Kunden betroffen. Zusätzlich griffen die Angreifer auf 93 Konten der zu Twilio gehörenden Zwei-Faktor-Authentifizierungs-App Authy zu, die rund 75 Millionen Nutzer zählt, und registrierten dort zusätzliche Geräte, um Einmalcodes für verknüpfte Konten generieren zu können. Twilio erklärte, es gebe keine Hinweise darauf, dass Konsolen-Zugangsdaten, Authentifizierungs-Token oder API-Schlüssel von Kunden kompromittiert wurden. Als Reaktion entzog Twilio kompromittierte Mitarbeiterzugänge, stattete alle Beschäftigten mit FIDO2-Hardware-Sicherheitsschlüsseln aus, verschärfte VPN-Kontrollen und führte verpflichtende Schulungen zu Social Engineering ein. Sicherheitsforscher ordneten den Angriff später der Gruppe Oktapus zu, die im gleichen Zeitraum mehr als 130 Organisationen per Smishing angriff.

Aus dieser Quelle nicht belegt sind mögliche behördliche Bußgelder oder Entschädigungszahlungen sowie das genaue Ausmaß der bei den einzelnen betroffenen Firmenkunden abgegriffenen Daten. Die Zuordnung des Angriffs zur Gruppe Oktapus stammt nicht aus dem Twilio-Bericht selbst, sondern aus unabhängigen Sicherheitsanalysen Dritter.

Am 15.09.2022 wurde der Fahrdienstvermittler Uber Ziel eines schwerwiegenden Cyberangriffs auf seine internen Systeme. Ein Angreifer verschaffte sich per Social Engineering Zugang zum Uber-Konto eines externen Vertragspartners, dessen Zugangsdaten vermutlich zuvor im Darknet erworben worden waren, und überflutete ihn anschließend mit wiederholten Multi-Faktor-Authentifizierungsanfragen, bis dieser eine Anmeldung bestätigte (MFA-Fatigue-Angriff). Über den so erlangten VPN-Zugang fand der Angreifer in einem internen Netzwerkverzeichnis ein PowerShell-Skript mit hinterlegten Administrator-Zugangsdaten und weitete damit seine Rechte deutlich aus. Mit diesen erhöhten Rechten übernahm er unter anderem Ubers Slack-Arbeitsbereich, Google-Workspace-Konten, AWS- und Google-Cloud-Umgebungen sowie den HackerOne-Verwaltungsbereich und interne Mitarbeiter-Dashboards. Uber-Mitarbeiter bemerkten den Vorfall, als im firmenweiten Slack-Kanal eine Nachricht erschien, in der sich der Angreifer als Hacker zu erkennen gab und eine Datenschutzverletzung ankündigte. Uber und mehrere Medien ordneten den Angriff einem angeblich 18-jährigen Mitglied der Hackergruppe Lapsus$ zu, das später als Brite Arion Kurtaj identifiziert wurde. Uber erklärte, dass keine sensiblen Nutzerdaten wie Zahlungs- oder Bankdaten sowie keine Fahrtinformationen abgeflossen und der Quellcode nicht verändert worden seien; FBI und US-Justizministerium wurden in die Ermittlungen eingebunden. Im August 2023 wurde Kurtaj in London wegen mehrerer Straftaten im Zusammenhang mit den Uber- und Rockstar-Games-Hacks schuldig gesprochen und im Dezember 2023 zu unbefristeter Unterbringung in einer psychiatrischen Einrichtung verurteilt.

Aus der Quelle nicht unabhängig verifizierbar ist, ob Ubers Zusicherung, dass keine sensiblen Kunden- und Zahlungsdaten abgeflossen sind, extern geprüft wurde oder allein auf der eigenen internen Untersuchung des Unternehmens beruht. Auch die exakte Zuordnung des Angriffs zu genau einer Einzelperson statt zu mehreren Beteiligten der Lapsus$-Gruppe war zum Zeitpunkt der ersten Berichterstattung noch nicht gerichtsfest geklärt.

Der US-Kosmetikkonzern Estée Lauder wurde im Juli 2023 von zwei rivalisierenden Ransomware-Gruppen gleichzeitig angegriffen. Die Gruppe BlackCat/ALPHV gab an, erstmals am 15.07.2023 Kontakt zur Unternehmensleitung aufgenommen zu haben, und drohte mit der Veröffentlichung von mehr als 130 Gigabyte gestohlener Daten, ohne dabei das Firmennetzwerk zu verschlüsseln. Parallel dazu listete die Gruppe Clop Estée Lauder auf ihrer Leak-Seite und beanspruchte den Diebstahl von mehr als 131 Gigabyte an Daten. Clop erlangte den Zugriff nach eigenen Angaben über eine Schwachstelle in der Dateiübertragungssoftware MOVEit Transfer von Progress Software, die seit Ende Mai 2023 als Zero-Day-Lücke ausgenutzt wurde. Estée Lauder bestätigte den Vorfall am 18.07.2023 in einer Pflichtmitteilung (Form 8-K) an die US-Börsenaufsicht SEC. Der Konzern schaltete vorsorglich Teile seiner IT-Systeme ab, um eine weitere Ausbreitung im Netzwerk zu verhindern, und beauftragte externe Cybersicherheitsexperten sowie Strafverfolgungsbehörden mit der Untersuchung. Laut SEC-Mitteilung führte der Vorfall zu Störungen in Teilen des Geschäftsbetriebs, die auch über die Veröffentlichung hinaus andauern sollten. Eine konkrete Lösegeldforderung wurde von BlackCat nicht öffentlich beziffert, die Gruppe drohte jedoch mit weiterer Datenveröffentlichung bei ausbleibender Verhandlungsbereitschaft.

Aus dieser Quelle ist nicht belegt, welche konkreten Datenkategorien wie Kunden- oder Mitarbeiterdaten tatsächlich betroffen waren, ob ein Lösegeld gezahlt wurde und wie der Vorfall rechtlich oder finanziell für Estée Lauder letztlich ausging.

Equifax, eines der drei großen US-amerikanischen Kreditauskunftsunternehmen, gab am 07.09.2017 bekannt, dass Angreifer zwischen Mai und Ende Juli 2017 unbefugt auf seine Systeme zugegriffen hatten. Die Täter nutzten eine bekannte Sicherheitslücke in der Webanwendungs-Software Apache Struts (CVE-2017-5638) aus, für die bereits seit dem 07.03.2017 ein Patch verfügbar war, den Equifax jedoch nicht rechtzeitig installierte. Entdeckt wurde der Einbruch erst am 29.07.2017, als IT-Mitarbeiter ein abgelaufenes SSL-Zertifikat erneuerten und dabei verdächtigen Datenverkehr bemerkten. Betroffen waren die persönlichen Daten von rund 147,9 Millionen US-Bürgern (Namen, Sozialversicherungsnummern, Geburtsdaten, Adressen, teils Führerschein- und Kreditkartennummern) sowie zusätzlich etwa 15,2 Millionen Britinnen und Briten und rund 19.670 Kanadierinnen und Kanadier. CEO Richard Smith trat am 26.09.2017 zurück, nachdem am 15.09.2017 bereits der Chief Information Officer und der Chief Security Officer das Unternehmen verlassen hatten. Der Fall führte zu mehreren Anhörungen vor Ausschüssen des US-Kongresses, bei denen Smith menschliches Versagen und mangelnde interne Kommunikation als Ursachen für die verpasste Patch-Installation nannte. Am 22.07.2019 einigte sich Equifax mit der FTC, dem CFPB sowie 48 US-Bundesstaaten auf eine Vergleichszahlung von mindestens 575 Millionen US-Dollar, die bei hoher Zahl an Entschädigungsanträgen auf bis zu 700 Millionen US-Dollar steigen konnte. Zudem wurde bekannt, dass CFO John Gamble vor der öffentlichen Bekanntgabe Firmenaktien verkauft hatte, was separate Ermittlungen wegen möglichen Insiderhandels nach sich zog.

Aus dieser Quelle nicht abschließend belegt ist, wie viele der 147,9 Millionen Betroffenen tatsächlich Entschädigungszahlungen aus dem Vergleichsfonds erhielten. Die strafrechtliche Verantwortung bleibt teilweise offen: 2020 klagte das US-Justizministerium vier mutmaßliche chinesische Militärangehörige an, eine Verurteilung ist bislang nicht erfolgt.

Die US-Behörde Office of Personnel Management (OPM), zuständig für die Personalverwaltung der Bundesregierung, wurde Opfer zweier miteinander verknüpfter Cyberangriffe, die zwischen 2014 und Anfang 2015 liefen. Ein erster Einbruch, entdeckt am 20.03.2014, betraf Personalakten von rund 4,2 Millionen aktuellen und ehemaligen Regierungsangestellten. Ein zweiter, schwerwiegenderer Einbruch wurde am 15.04.2015 bemerkt; dabei wurden Daten aus Sicherheitsüberprüfungsformularen (Standard Form 86) von 21,5 Millionen Personen entwendet, darunter Bewerber für Sicherheitsfreigaben sowie deren Angehörige und Kontaktpersonen. Erbeutet wurden unter anderem Sozialversicherungsnummern, Wohnorts- und Beschäftigungshistorien, Finanz- und Strafregisterdaten sowie 5,6 Millionen Fingerabdrücke. OPM bestätigte das Ausmaß der zweiten Datenpanne öffentlich am 09.07.2015. Als mutmaßlicher Urheber gilt eine staatlich gelenkte Angreifergruppe aus China, offizielle Beweise wurden von der US-Regierung jedoch nicht veröffentlicht. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 unter politischem Druck zurück. Als Folge des Vorfalls bot die US-Regierung den Betroffenen kostenlose Kreditüberwachung und Identitätsschutzdienste an.

Eine offizielle strafrechtliche Anklage oder ein rechtsverbindlicher Beweis für die chinesische Urheberschaft wurde nie veröffentlicht, die Zuordnung beruht auf Einschätzungen von US-Ermittlern und Sicherheitsforschern. Auch die genaue Zahl der tatsächlich missbrauchten Identitäten sowie etwaige finanzielle Schäden bei Betroffenen sind nicht abschließend beziffert.

Die Fluggesellschaft Cathay Pacific mit Sitz in Hongkong gab am 24.10.2018 bekannt, dass unbefugte Dritte zwischen dem 14.10.2014 und Mai 2018 Zugriff auf ihre IT-Systeme hatten. Betroffen waren die persönlichen Daten von rund 9,4 Millionen Passagieren weltweit, darunter 111.578 Personen aus Großbritannien. Offengelegt wurden Namen, Nationalitäten, Geburtsdaten, Telefonnummern, E-Mail- und Postadressen, etwa 860.000 Passnummern, rund 245.000 Nummern von Hongkonger Personalausweisen sowie Vielfliegernummern und Reisehistorien. Die Angreifer drangen über einen mit dem Internet verbundenen Server ein und installierten Schadsoftware zum Abgreifen der Daten. Die britische Datenschutzbehörde ICO stellte in ihrer Untersuchung mehrere grundlegende Sicherheitsmängel fest, darunter ungeschützte Backup-Dateien, ungepatchte Server, veraltete Betriebssysteme und unzureichenden Virenschutz. Am 04.03.2020 verhängte das ICO gegen Cathay Pacific eine Geldbuße von 500.000 britischen Pfund, den zu diesem Zeitpunkt gesetzlichen Höchstbetrag nach dem alten Data Protection Act 1998. Diese Regelung galt, weil die Sicherheitslücke bereits im Mai 2018 und damit kurz vor Inkrafttreten der DSGVO am 25.05.2018 geschlossen wurde. Unter der DSGVO hätte eine Strafe von bis zu 4 Prozent des weltweiten Jahresumsatzes gedroht, was Berichten zufolge rund 470 Millionen Pfund entsprochen hätte.

Aus der Quelle geht nicht hervor, wer genau die Angreifer waren oder ob die entwendeten Daten tatsächlich für Identitätsbetrug oder finanziellen Schaden bei den Betroffenen genutzt wurden; die exakte Aufschlüsselung, wie viele der 9,4 Millionen Datensätze welche Datenkategorien enthielten, bleibt unklar.

Am 23.03.2020 wurde bekannt, dass in einem Untergrundforum ein Datensatz mit persönlichen Informationen von 538 Millionen Nutzerkonten der chinesischen Social-Media-Plattform Sina Weibo zum Kauf angeboten wurde. Der Datensatz umfasste echte Namen, Weibo-Nutzernamen, Geschlecht und Standortangaben, bei 172 Millionen der betroffenen Konten zusätzlich Mobiltelefonnummern; Passwörter waren nicht enthalten. Der Anbieter verlangte für den kompletten Datensatz 0,177 Bitcoin, zum damaligen Kurs umgerechnet rund 1.032 US-Dollar. Weibos Sicherheitsdirektorin Luo Shiyao erklärte, die Telefonnummern seien 2019 durch einen Brute-Force-Abgleich von Kontaktlisten über die Nutzersuchfunktion der Plattform gewonnen worden, weitere Profildaten seien durch automatisiertes Auslesen öffentlicher Seiten gesammelt worden; der zugrunde liegende Vorfall soll bis 2018 zurückreichen. Das Unternehmen erklärte, die genutzte Sicherheitslücke geschlossen und die Polizei eingeschaltet zu haben. Chinas Ministerium für Industrie und Informationstechnologie zitierte Weibo-Vertreter am 25.03.2020 vor und ordnete verbesserte Datenschutz- und Sicherheitsmaßnahmen sowie künftige Meldepflichten bei Sicherheitsvorfällen an. Weibo zählte zu diesem Zeitpunkt rund 516 Millionen monatlich aktive Nutzer.

Die von Weibo genannte Ursachenkombination aus Brute-Force-Abgleich und Web-Scraping wurde von unabhängigen Sicherheitsforschern nicht bestätigt und teils als unvollständige Erklärung für den Umfang der Daten kritisiert. Ob chinesische Behörden gegen Weibo Bußgelder oder weitere Sanktionen verhängt haben, ist aus dieser Quelle nicht belegt.

Die Sicherheitsforscher Noam Rotem und Ran Locar von vpnMentor entdeckten am 05.08.2019 eine ungeschützte, unverschlüsselte Datenbank des südkoreanischen Unternehmens Suprema, das die biometrische Zugangskontrollplattform BioStar 2 betreibt. Die Datenbank enthielt rund 27,8 Millionen Datensätze mit einem Gesamtvolumen von 23 Gigabyte. Darunter befanden sich über eine Million Fingerabdrücke, Gesichtserkennungsbilder, Klartext-Benutzernamen und -Passwörter von Administratoren, Ein- und Austrittsprotokolle, Sicherheitsfreigaben sowie Namen, Wohnadressen und E-Mail-Adressen von Mitarbeitern. BioStar 2 wird nach Angaben von Suprema in über 1,5 Millionen Installationen weltweit eingesetzt, unter anderem bei Banken, Universitäten, Regierungsbehörden und der britischen Metropolitan Police. Die Forscher konnten über die offene Weboberfläche Suchparameter manipulieren und dadurch beliebige Datensätze auslesen sowie neue Administratorkonten anlegen. Nach der Kontaktaufnahme am 07.08.2019, bei der die deutsche Niederlassung von Suprema zunächst jede Zusammenarbeit verweigerte, wurde die Datenbank am 13.08.2019 über die französische Niederlassung geschlossen. Der Fall wurde am 14.08.2019 öffentlich bekannt und unter anderem von BBC und The Register aufgegriffen.

Unklar bleibt, wie lange die Datenbank vor der Entdeckung frei zugänglich war und ob Daten von Dritten heruntergeladen oder missbräuchlich verwendet wurden; Suprema erklärte lediglich, es gebe keine Hinweise auf einen Download durch Unbefugte, ohne dies technisch zu belegen. Eine offizielle Bußgeldentscheidung einer Datenschutzbehörde zu diesem Fall ist aus dieser Quelle nicht ersichtlich.

Zwischen Ende Februar und Anfang März 2014 verschafften sich Angreifer mit gestohlenen Zugangsdaten mehrerer eBay-Mitarbeiter Zugriff auf das Firmennetzwerk und in der Folge auf die zentrale Kundendatenbank. eBay entdeckte den Einbruch erst rund zwei Wochen vor der öffentlichen Bekanntgabe am 21.05.2014. Betroffen waren die Datensätze von etwa 145 Millionen Nutzerkonten, praktisch die gesamte damalige Nutzerbasis des Unternehmens. Kopiert wurden Namen, Benutzernamen, E-Mail-Adressen, Postadressen, Telefonnummern, Geburtsdaten sowie gehashte und gesalzene Passwörter. Zahlungsdaten wie Kreditkarteninformationen lagen laut eBay in einer getrennten Datenbank und waren nicht betroffen. eBay forderte daraufhin alle Nutzer weltweit auf, ihr Passwort zu ändern, und zog die IT-Forensikfirma Mandiant sowie Strafverfolgungsbehörden zur Untersuchung hinzu. Im Juli 2014 reichte ein Nutzer in den USA eine Sammelklage wegen unzureichender Sicherheitsvorkehrungen ein, die ein Bundesrichter später mangels Nachweis eines konkreten Schadens abwies. Eine Geldstrafe einer US-Aufsichtsbehörde wie der FTC im Zusammenhang mit dem Vorfall ist nicht bekannt.

Aus der Quelle nicht belegt sind die genaue Zahl der ursprünglich kompromittierten Mitarbeiterkonten sowie ob und in welcher Höhe Aufsichtsbehörden außerhalb der USA Bußgelder gegen eBay verhängt haben.

Adobe entdeckte am 17.09.2013 einen unautorisierten Zugriff auf sein Netzwerk und informierte am 03.10.2013 erstmals öffentlich über den Vorfall. Die Angreifer waren über einen öffentlich zugänglichen Webserver eingedrungen und bewegten sich anschließend lateral durch Adobes interne Systeme. Dabei erbeuteten sie Quellcode zu Produkten wie Acrobat, ColdFusion und Photoshop sowie eine Kundendatenbank. Adobe bestätigte zunächst 2,9 Millionen betroffene Konten, korrigierte die Zahl aber wenige Wochen später auf rund 38 Millionen aktive Nutzerkonten mit gültigen verschlüsselten Passwörtern. Ende Oktober 2013 tauchte im Internet eine Datei mit mehr als 150 Millionen Benutzername-Passwort-Paaren aus der betroffenen Datenbank auf, weshalb häufig von rund 153 Millionen kompromittierten Datensätzen die Rede ist. Zusätzlich waren nach Adobes eigenen Angaben knapp 3 Millionen verschlüsselte Kredit- und Debitkartennummern samt Ablaufdatum betroffen. Adobe hatte die Passwörter nicht einzeln gehasht, sondern mit demselben 3DES-Schlüssel im ECB-Modus verschlüsselt, wodurch identische Passwörter identische Chiffretexte erzeugten und sich Muster erkennen ließen. Im Klartext gespeicherte Passworthinweise erleichterten Angreifern zusätzlich das Erraten vieler Passwörter. Adobe setzte daraufhin die Passwörter betroffener Konten zurück und bot Kunden mit betroffenen Kartendaten ein Jahr kostenlose Kreditüberwachung durch Experian an. Im November 2016 einigte sich Adobe mit Justizbehörden von 15 US-Bundesstaaten auf eine Zahlung von 1 Million US-Dollar sowie verbesserte Sicherheitsmaßnahmen.

Aus dieser Quelle geht nicht eindeutig hervor, wie viele der über 150 Millionen Datensätze tatsächlich aktive, echte Nutzerkonten betrafen, da Adobe einen erheblichen Teil als ungültige, doppelte oder zu Testzwecken angelegte Einträge bezeichnete. Ebenso bleibt offen, wer die Angreifer waren, da sie nie öffentlich identifiziert oder strafrechtlich belangt wurden.

Der Hongkonger Spielzeughersteller VTech wurde am 14.11.2015 Opfer eines Hackerangriffs auf die Datenbanken seines App-Stores Learning Lodge und des Nachrichtendienstes Kid Connect. Die Angreifer nutzten eine SQL-Injection-Schwachstelle aus, um unverschlüsselt gespeicherte Kundendaten zu entwenden, obwohl VTechs Datenschutzrichtlinie eine Verschlüsselung zugesichert hatte. Nach Unternehmensangaben waren weltweit 6,4 Millionen Kinderprofile mit Namen, Geschlecht und Geburtsdatum sowie 4,8 Millionen zugehörige Elternkonten mit E-Mail-Adressen, Postanschriften, IP-Adressen und Passwörtern betroffen, in Deutschland rund 509.000 Kinder und 391.000 Eltern. Bei einem Teil der Konten wurden zudem Kinderfotos und Chatverläufe aus der Kid-Connect-App kompromittiert. VTech informierte die Öffentlichkeit erstmals am 27.11.2015, das volle Ausmaß von 6,4 Millionen betroffenen Kindern wurde Anfang Dezember 2015 bekannt. Die britische South East Regional Organised Crime Unit nahm im Januar 2016 einen 21 Jahre alten Mann unter Verdacht der unbefugten Computernutzung fest. Die US-Handelsaufsicht FTC verhängte am 08.01.2018 eine Geldstrafe von 650.000 US-Dollar gegen VTech wegen Verstoßes gegen den Children's Online Privacy Protection Act (COPPA). Im Rahmen der Einigung musste VTech zudem für die folgenden 20 Jahre ein umfassendes, jährlich extern geprüftes Datensicherheitsprogramm einführen.

Die zitierte heise-Meldung selbst beschreibt weder den technischen Ablauf des Angriffs per SQL-Injection noch den genauen Umfang der kompromittierten Kinderfotos und Chatverläufe im Detail, und es bleibt offen, ob der 2016 in Großbritannien festgenommene Verdächtige später tatsächlich verurteilt wurde.

Der US-Krankenversicherer Premera Blue Cross gab am 17.03.2015 ein Datenleck bekannt, bei dem Angreifer über Monate unentdeckt Zugriff auf die Unternehmensnetzwerke hatten. Der initiale Einbruch erfolgte laut den beauftragten Ermittlern Mandiant und dem FBI bereits am 05.05.2014, entdeckt wurde er von Premera erst am 29.01.2015. Betroffen waren rund 11 Millionen aktuelle und ehemalige Kunden von Premera Blue Cross, Premera Blue Cross Blue Shield of Alaska sowie der Marken Vivacity und Connexion Insurance Solutions. Die Angreifer erlangten möglicherweise Zugriff auf Namen, Geburtsdaten, E-Mail-Adressen, Anschriften, Telefonnummern, Sozialversicherungsnummern, Mitgliedsnummern, Bankverbindungen sowie klinische Behandlungsdaten der Versicherten. Als Einfallstor diente vermutlich eine Phishing-Kampagne über die gefälschte Domain prennera.com, die der echten Domain premera.com mit doppeltem n ähnelte. Sicherheitsforscher brachten den Angriff mit chinesischen staatsnahen Hackergruppen in Verbindung, eine offizielle behördliche Zuordnung blieb jedoch aus. Premera bot den betroffenen Personen zwei Jahre kostenlose Kreditüberwachung durch Experian an. Am 25.09.2020 einigte sich Premera mit dem US-Gesundheitsministerium HHS auf eine Zahlung von 6,85 Millionen US-Dollar wegen Verstößen gegen die HIPAA-Datenschutzregeln, die zweithöchste derartige Strafe bis zu jenem Zeitpunkt. In einem separaten zivilrechtlichen Sammelklageverfahren zahlte Premera zusätzlich bis zu 74 Millionen US-Dollar an Betroffene.

Unklar bleibt, ob die gestohlenen Daten tatsächlich abgeflossen oder für Identitätsdiebstahl missbraucht wurden. Premera erklärte, keine Beweise für eine tatsächliche Ausleitung oder missbräuchliche Nutzung der Daten gefunden zu haben, und die vermutete Urheberschaft chinesischer Staatshacker wurde nie offiziell bestätigt.

Der US-Krankenhausbetreiber Community Health Systems (CHS) aus Franklin, Tennessee, meldete am 18.08.2014 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC einen Datendiebstahl bei 4,5 Millionen Patienten. Die unbefugten Zugriffe auf das Firmennetzwerk fanden nach Angaben von CHS im April und Juni 2014 statt und wurden im Juli 2014 entdeckt. Betroffen waren Namen, Adressen, Geburtsdaten, Telefonnummern und Sozialversicherungsnummern von Personen, die in den vorangegangenen fünf Jahren von CHS angegliederten Ärzten behandelt oder überwiesen worden waren, medizinische Behandlungsdaten und Kreditkartendaten wurden nicht entwendet. Als Einfallstor diente laut der Sicherheitsfirma TrustedSec und der forensischen Untersuchung durch Mandiant ein Juniper-Netzwerkgerät, das trotz verfügbarer Patches weiterhin für die im April 2014 bekannt gewordene Heartbleed-Sicherheitslücke CVE-2014-0160 anfällig war; die Angreifer stahlen darüber VPN-Zugangsdaten aus dem Arbeitsspeicher des Geräts. Der Fall gilt als einer der ersten öffentlich dokumentierten Angriffe, bei denen Heartbleed aktiv zum Eindringen in ein Unternehmensnetzwerk ausgenutzt wurde. Mandiant ordnete den Angriff der aus China operierenden Gruppe APT18 zu, der Verbindungen zur chinesischen Regierung nachgesagt werden. CHS betrieb zum Zeitpunkt des Vorfalls rund 206 Krankenhäuser in 29 US-Bundesstaaten. Am 08.10.2020 einigte sich CHS mit den Generalstaatsanwälten von 28 US-Bundesstaaten auf eine Zahlung von 5 Millionen US-Dollar zur Beilegung der Untersuchung, ohne ein Fehlverhalten einzuräumen; die Behörden bezifferten die Zahl der betroffenen Patienten zu diesem Zeitpunkt auf 6,1 Millionen.

Aus der herangezogenen Quelle nicht belegt sind der genaue Grund für die spätere Erhöhung der offiziell genannten Opferzahl von 4,5 auf 6,1 Millionen im Vergleich von 2020 sowie ein bestätigtes Motiv der Gruppe APT18 für den für sie untypischen Fokus auf Patienten-Identitätsdaten statt auf geistiges Eigentum.

Am 24.11.2014 entdeckten Mitarbeiter von Sony Pictures Entertainment in Culver City, Kalifornien, dass ihre Computer von einer Gruppe namens Guardians of Peace (GOP) kompromittiert worden waren. Die Angreifer veröffentlichten in den folgenden Wochen interne E-Mails, Gehaltsdaten von Führungskräften, mehrere unveröffentlichte Spielfilme (darunter Annie, Fury und Still Alice) sowie nach Presseberichten vom 07.12.2014 rund 47.000 Sozialversicherungsnummern von Mitarbeitern und Prominenten. Die Angreifer selbst behaupteten, mehr als 100 Terabyte an Daten entwendet zu haben, diese Zahl wurde unabhängig nicht verifiziert. Die Guardians of Peace forderten die Absage des Kinostarts der Sony-Komödie The Interview, die eine fiktive Ermordung des nordkoreanischen Machthabers Kim Jong Un zeigt, und drohten mit Gewalt gegen Kinos. Sony sagte den geplanten Kinostart am 17.12.2014 ab, nachdem große Kettenbetreiber wie AMC, Regal, Cinemark und Carmike die Vorführungen zurückgezogen hatten; der Film erschien stattdessen ab dem 25.12.2014 online und in ausgewählten Kinos. Das FBI erklärte am 19.12.2014 offiziell, die nordkoreanische Regierung sei für den Angriff verantwortlich, gestützt unter anderem auf IP-Adressen und Schadsoftware-Überschneidungen mit früheren Nordkorea zugeschriebenen Angriffen. Die USA verhängten am 02.01.2015 zusätzliche Wirtschaftssanktionen gegen Nordkorea. Sony bezifferte die finanziellen Folgekosten auf rund 15 Millionen US-Dollar. Am 06.09.2018 klagte das US-Justizministerium den nordkoreanischen Staatsbürger Park Jin Hyok wegen Verschwörung zu Computerbetrug im Zusammenhang mit dem Sony-Hack sowie den Angriffen auf die Bangladesh Bank und WannaCry an.

Die von den Angreifern behauptete Datenmenge von über 100 Terabyte ist unabhängig nicht verifiziert, ebenso bleibt offen, ob Nordkorea den Angriff direkt über eigene Mitarbeiter oder ausschließlich über die mit dem Militärgeheimdienst RGB verbundene Lazarus Group ausführte. Der 2018 angeklagte Park Jin Hyok wurde nie vor ein US-Gericht gestellt, da er sich mutmaßlich in Nordkorea befindet, weshalb kein rechtskräftiges Urteil vorliegt.

Am 03.11.2021 verschaffte sich ein Angreifer durch einen Social-Engineering-Anruf bei einem Kundendienstmitarbeiter des US-Aktienbrokers Robinhood Markets Zugang zu internen Support-Systemen. Robinhood informierte die Öffentlichkeit am 08.11.2021 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC sowie im eigenen Unternehmensblog über den Vorfall. Nach Unternehmensangaben wurden E-Mail-Adressen von rund fünf Millionen Kunden sowie vollständige Namen von weiteren rund zwei Millionen Kunden erbeutet, insgesamt waren damit etwa 7 Millionen Nutzer betroffen. Bei einer kleineren Gruppe von etwa 310 Kunden wurden zusätzlich Geburtsdaten und Postleitzahlen offengelegt, bei rund 10 Kunden noch umfangreichere Kontoinformationen. Am 16.11.2021 ergänzte Robinhood, dass auch Telefonnummern von mehr als 4.400 Kunden gestohlen worden waren. Sozialversicherungsnummern, Bankkontonummern und Debitkartendaten waren nach Unternehmensangaben nicht betroffen, finanzielle Verluste bei Kunden wurden nicht festgestellt. Der Angreifer forderte von Robinhood eine Erpressungszahlung, ob diese geleistet wurde, machte das Unternehmen zunächst nicht öffentlich. Im Januar 2025 verhängte die SEC gegen zwei Robinhood-Broker-Dealer-Einheiten eine Strafzahlung von insgesamt 45 Millionen US-Dollar, unter anderem wegen unzureichender Datenschutz- und Identitätsschutzmaßnahmen im Zusammenhang mit dem Vorfall.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Höhe die vom Angreifer geforderte Erpressungszahlung tatsächlich geleistet wurde; auch die Identität des Angreifers und der genaue technische Ablauf des Social-Engineering-Anrufs wurden öffentlich nicht bestätigt.

Der Hosting-Anbieter GoDaddy gab am 22.11.2021 bekannt, dass Unbefugte mithilfe eines kompromittierten Passworts Zugriff auf das Provisioning-System der Legacy-Codebasis für Managed WordPress erlangt hatten. Der unautorisierte Zugriff begann laut GoDaddy am 06.09.2021 und wurde am 17.11.2021 entdeckt. Betroffen waren bis zu 1,2 Millionen aktive und inaktive Managed-WordPress-Kunden. Bei allen Betroffenen wurden E-Mail-Adressen und Kundennummern offengelegt. Bei aktiven Kunden waren zusätzlich das ursprüngliche, bei der Einrichtung vergebene WordPress-Admin-Passwort sowie sFTP- und Datenbank-Zugangsdaten kompromittiert. Bei einer Teilmenge der aktiven Kunden wurde zudem der private SSL-Schlüssel offengelegt. GoDaddy sperrte nach eigenen Angaben den unbefugten Zugriff, setzte die betroffenen Passwörter zurück und begann mit der Ausstellung neuer SSL-Zertifikate für betroffene Kunden. Chief Information Security Officer Demetrius Comes bestätigte den Vorfall in der offiziellen Mitteilung und entschuldigte sich bei den Kunden. GoDaddy meldete den Vorfall außerdem in einer Form-8-K-Mitteilung an die SEC.

Die Pressemitteilung nennt weder die Identität der Angreifer noch die genaue technische Schwachstelle im Provisioning-System. Nicht belegt sind zudem etwaige spätere Bußgelder, der Ausgang der in den USA eingereichten Sammelklagen sowie die tatsächlichen finanziellen Gesamtkosten des Vorfalls für GoDaddy.

Zwischen dem 01.08.2018 und dem 30.03.2019 hatte ein unbekannter Angreifer unautorisierten Zugriff auf die Zahlungsseite des US-Inkassodienstleisters American Medical Collection Agency (AMCA), der Rechnungen für Labordienstleister wie Quest Diagnostics und LabCorp einzog. Quest Diagnostics gab am 03.06.2019 bekannt, dass über seinen Abrechnungsdienstleister Optum360 rund 11,9 Millionen Patientendaten betroffen waren. LabCorp meldete am 04.06.2019 rund 7,7 Millionen betroffene Patienten. Am 07.06.2019 kam mit BioReference Laboratories ein weiterer AMCA-Kunde mit rund 422.600 betroffenen Personen hinzu, wodurch die Gesamtzahl der Betroffenen auf 20.022.600 stieg. Nach damaligem Kenntnisstand von AMCA umfassten die kompromittierten Daten Namen, Adressen, Telefonnummern, Geburtsdaten, Behandlungsdaten, E-Mail-Adressen, Angaben zu Kostenträgern sowie teilweise Bankverbindungen, nicht jedoch Sozialversicherungsnummern, medizinische Befunde oder Passwörter. AMCA nahm die betroffene Zahlungsseite vom Netz, wechselte zu einem anderen Zahlungsdienstleister und beauftragte eine IT-Sicherheitsfirma mit der forensischen Untersuchung. Betroffenen Personen wurde eine zweijährige kostenlose Kredit- und Identitätsüberwachung angeboten. Infolge der hohen Kosten für Aufklärung und Benachrichtigung meldete AMCA im Juni 2019 Insolvenz an.

Der Quellenartikel schloss den Zugriff auf Sozialversicherungsnummern und medizinische Befunde noch ausdrücklich aus; spätere Ermittlungen und ein 2021 geschlossener Vergleich mit 41 US-Bundesstaaten gingen dagegen von bis zu 21 Millionen Betroffenen mit teils doch kompromittierten Sozialversicherungsnummern aus, sodass der genaue Umfang der betroffenen Datenkategorien zum Zeitpunkt dieses Berichts nicht abschließend geklärt war.

Am 20. Januar 2021 entdeckte das brasilianische Cybersicherheitsunternehmen PSafe im Darknet einen Datensatz mit persönlichen Informationen von mehr als 220 Millionen Menschen, mehr als die Einwohnerzahl Brasiliens von rund 210 Millionen, da auch Daten Verstorbener enthalten waren. Die rund 1 Terabyte umfassenden komprimierten Dateien enthielten vollständige Namen, Geburtsdaten, Steueridentifikationsnummern (CPF), Adressen, Telefonnummern, E-Mail-Adressen, Gehaltsangaben, Kreditwürdigkeitsbewertungen und teilweise Gesichtsbilder. Eine zweite Datensammlung betraf rund 40 Millionen brasilianische Unternehmen samt Steuernummern (CNPJ) und geschätzten Umsätzen, zusätzlich waren Daten zu mehr als 104 Millionen Fahrzeugen samt Fahrgestellnummer, Kennzeichen und technischen Details betroffen. Wegen der Art der Daten fiel der Verdacht auf die brasilianische Auskunftei Serasa Experian, eine Tochtergesellschaft des britischen Konzerns Experian, insbesondere auf deren Datenbank des Dienstes Mosaic. Serasa Experian bestritt, dass die eigenen Systeme kompromittiert wurden, und erklärte nach einer forensischen Untersuchung durch externe Spezialisten, es gebe keine Beweise für einen Einbruch. Die Verbraucherschutzbehörden Procon-SP und Senacon sowie die brasilianische Datenschutzbehörde ANPD leiteten Untersuchungen ein und bezeichneten die Erklärungen des Unternehmens als unzureichend. Der Datenschutzexperte Bruno Bioni von Data Privacy Brasil nannte den Vorfall das größte und gefährlichste Datenleck in der Geschichte Brasiliens. Die Täter boten den vollständigen Datensatz im Darknet zum Kauf an, unter anderem für rund 40.000 US-Dollar in Bitcoin.

Aus dieser Quelle ist nicht belegt, wer konkret für das Leck verantwortlich ist oder auf welchem technischen Weg die Daten abflossen; Serasa Experian bestritt eine eigene Systemkompromittierung, ohne dass zum Berichtszeitpunkt eine andere Quelle offiziell bestätigt war, und der Ausgang der behördlichen sowie gerichtlichen Verfahren blieb offen.

Am 30.11.2018 gab die Hotelkette Marriott International bekannt, dass Unbekannte bereits seit Juli 2014 unbefugten Zugriff auf die Reservierungsdatenbank der 2016 von Marriott übernommenen Tochter Starwood hatten. Der Zugriff blieb bis zur Entdeckung am 08.09.2018 vier Jahre lang unbemerkt. Betroffen waren rund 339 Millionen Gästedatensätze weltweit, davon etwa 30 Millionen aus der EU und 7 Millionen aus Großbritannien. Kompromittiert wurden Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten, Geschlecht, Reservierungsdaten sowie bei rund 5,25 Millionen Personen unverschlüsselte Passnummern; teilweise waren auch Kreditkartendaten betroffen. Die britische Datenschutzbehörde ICO kündigte am 09.07.2019 wegen Verstoßes gegen Artikel 5(1)(f) und Artikel 32 der DSGVO ein Bußgeld von 99,2 Millionen Pfund (rund 110 Millionen Euro) an, das damals als eines der höchsten DSGVO-Bußgelder überhaupt galt. Am 30.10.2020 reduzierte die ICO die Strafe unter Verweis auf Marriotts Verbesserungsmaßnahmen und die wirtschaftlichen Folgen der Corona-Pandemie auf 18,4 Millionen Pfund. Marriott hatte gegen die ursprüngliche Bußgeldandrohung Widerspruch angekündigt.

Die genaue technische Ursache des Erstzugriffs 2014 (Einfallstor, Angreifergruppe) ist aus dieser Quelle nicht im Detail belegt, ebenso wenig die endgültige Zahl der tatsächlich betroffenen Einzelpersonen nach Bereinigung von Duplikaten.