Quellen-Tabelle

Zwischen dem 17. und 19. April 2011 verschafften sich unbekannte Angreifer unbefugten Zugriff auf die Server des Sony-Unterhaltungsnetzwerks PlayStation Network (PSN) und des Musikdienstes Qriocity. Am 20. April 2011 schaltete Sony beide Dienste vollständig ab, um die Systeme zu untersuchen. Am 26. April 2011 bestätigte Sony offiziell, dass persönliche Daten von rund 77 Millionen PSN- und Qriocity-Konten kompromittiert wurden, darunter Namen, Adressen, E-Mail-Adressen, Geburtsdaten sowie Login- und Passwortdaten. Zusätzlich waren beim ebenfalls angegriffenen Dienst Sony Online Entertainment rund 24,6 Millionen weitere Konten betroffen, bei etwa 12.700 davon auch Kreditkartendaten. Die PlayStation-Network-Dienste blieben bis zum 14. Mai 2011 vollständig offline, ein Ausfall von rund drei Wochen. Am 23. Mai 2011 bezifferte Sony die Kosten des Vorfalls auf etwa 171 Millionen US-Dollar, unter anderem für Identitätsschutz-Versicherungen und kostenlose Abonnements für betroffene Nutzer. Im Januar 2013 verhängte die britische Datenschutzbehörde Information Commissioner's Office eine Geldstrafe von 250.000 britischen Pfund gegen Sony wegen unzureichender Sicherheitsvorkehrungen. Die Angreifer wurden nie zweifelsfrei identifiziert, Sony vermutete zunächst eine Beteiligung der Hacktivisten-Gruppe Anonymous, die eine Verantwortung jedoch zurückwies.

Die genaue Herkunft und Identität der Angreifer ist bis heute nicht zweifelsfrei belegt, ebenso wenig, in welchem Umfang gestohlene Kreditkartendaten tatsächlich für Betrug missbraucht wurden. Die Zahl von 12.700 betroffenen Kreditkarten bei Sony Online Entertainment stammt aus Sonys eigenen Angaben und ist unabhängig nicht überprüft.

Am 17.03.2011 informierte die IT-Sicherheitsfirma RSA, eine Sparte des Speicherkonzerns EMC, ihre Kunden über einen als Advanced Persistent Threat eingestuften Cyberangriff auf ihre Systeme. Der Angriff begann bereits am 03.03.2011, als die Angreifer an eine kleine Gruppe von RSA-Mitarbeitern eine Phishing-E-Mail mit dem Betreff 2011 Recruitment Plan und einem präparierten Excel-Anhang verschickten. Die Datei nutzte eine Zero-Day-Schwachstelle in Adobe Flash (CVE-2011-0609), um die Backdoor-Software Poison Ivy im Netzwerk von RSA zu installieren. Über diesen Zugang entwendeten die Angreifer Daten aus der Datenbank der Zwei-Faktor-Authentifizierungstechnologie SecurID, darunter nach Einschätzung von RSA vermutlich die geheimen Seed-Schlüssel und Seriennummern der Hardware-Token. Am 21.05.2011 entdeckte der US-Rüstungskonzern Lockheed Martin einen Einbruchsversuch in sein Netzwerk über den VPN-Zugang, der auf SecurID-Token basiert. RSA bestätigte am 02.06.2011 offiziell, dass die im März gestohlenen Informationen bei diesem Angriff eingesetzt wurden. RSA bot daraufhin praktisch allen der rund 30.000 SecurID-Kunden weltweit den kostenlosen Austausch ihrer Hardware-Token an. Der Mutterkonzern EMC bezifferte die Kosten für Untersuchung, Systemhärtung und Kundenbetreuung auf 66,3 Millionen US-Dollar.

Eine offizielle, amtlich bestätigte Zuschreibung der Angreifer liegt bis heute nicht vor, sie stützt sich nur auf spätere Medienrecherchen und Einschätzungen von Sicherheitsforschern. Unklar bleibt zudem, bei wie vielen der über 30.000 SecurID-Kunden gestohlene Daten tatsächlich für erfolgreiche Folgeangriffe genutzt wurden, außer im bestätigten Fall Lockheed Martin.

Der Sicherheitsforscher Dylan Houlihan meldete dem US-Backwarenkonzern Panera Bread am 02.08.2017 eine offene Programmierschnittstelle auf panerabread.com, über die Kundendaten ohne Anmeldung abrufbar waren. Panera reagierte zunächst nicht und stufte den Hinweis später als möglichen Betrugsversuch ein. Erst als Houlihan sich am 02.04.2018 an den Sicherheitsjournalisten Brian Krebs von KrebsOnSecurity wandte, wurde die Lücke öffentlich, fast acht Monate nach der ersten Meldung. Ursache war eine Datenbank mit fortlaufend nummerierten Kundenkonten, deren Datensätze sich ohne Authentifizierung automatisiert auslesen ließen. Offengelegt wurden Namen, E-Mail-Adressen, Postanschriften, Geburtsdaten, die letzten vier Ziffern von Kreditkartennummern sowie Kontonummern des Treueprogramms MyPanera. Erste Schätzungen gingen von mehr als 7 Millionen betroffenen Datensätzen aus, nach Einbeziehung des Großkunden- und Cateringgeschäfts von Panera stieg die Schätzung auf bis zu 37 Millionen Einträge. Nachdem KrebsOnSecurity das Unternehmen kontaktiert hatte, nahm Panera die Website zeitweise vom Netz und erklärte öffentlich, lediglich rund 10.000 Kunden seien betroffen. Diese Zahl wurde von Sicherheitsforschern als deutlich zu niedrig kritisiert.

Die genaue Gesamtzahl der betroffenen Datensätze schwankt je nach Quelle zwischen 7 und 37 Millionen und wurde von Panera nie offiziell bestätigt. Unklar bleibt zudem, ob und in welchem Umfang die Daten vor der öffentlichen Enthüllung bereits von Dritten missbräuchlich abgegriffen wurden.

Zwischen dem 28.09.2023 und dem 17.10.2023 verschafften sich Angreifer über einen kompromittierten Service-Account Zugriff auf das Kundensupport-System des Identitätsanbieters Okta. Ursache war, dass ein Okta-Mitarbeiter sich auf einem firmeneigenen Chrome-Browser mit einem privaten Google-Konto anmeldete, wodurch die Zugangsdaten dieses Service-Accounts in dem privaten Konto gespeichert wurden. Die Angreifer griffen im Support-System auf HAR-Dateien zu, die Kunden zur Fehlerdiagnose hochgeladen hatten und die Sitzungstoken enthielten, womit sich Nutzersitzungen kapern ließen. Damit übernahmen die Angreifer Sitzungen von 5 Kunden, darunter BeyondTrust, Cloudflare und der Passwortmanager 1Password. Okta entdeckte den Vorfall am 13.10.2023 nach einem Hinweis von BeyondTrust und informierte am 19.10.2023 zunächst über 134 betroffene Kunden. Am 29.11.2023 räumte Okta ein, dass die Angreifer bereits am 28.09.2023 einen Bericht heruntergeladen hatten, der Namen und E-Mail-Adressen praktisch aller Nutzer des Okta-Kundensupportsystems enthielt und damit nahezu alle rund 18.400 Okta-Kunden betraf. Laut Okta enthielten 99,6 Prozent der betroffenen Einträge in diesem Bericht ausschließlich Namen und E-Mail-Adresse. Als Reaktion deaktivierte Okta den kompromittierten Service-Account und blockierte die Anmeldung mit privaten Google-Konten auf firmeneigenen Chrome-Geräten.

Aus dieser Quelle nicht belegt sind die konkrete Identität oder Zuordnung der Angreifer zu einer bestimmten Gruppe sowie mögliche finanzielle Schäden, Bußgelder oder der Ausgang etwaiger regulatorischer beziehungsweise gerichtlicher Verfahren infolge des Vorfalls.

Am 16. Dezember 2022 wurde der Laptop eines CircleCI-Mitarbeiters mit Infostealer-Malware infiziert, die eine bereits per Zwei-Faktor-Authentifizierung abgesicherte SSO-Session-Cookie stehlen konnte, wodurch der Angreifer die Zwei-Faktor-Absicherung umging und den Mitarbeiter erfolgreich imitierte. Zwischen dem 19. und 22. Dezember 2022 nutzte der Angreifer die gestohlenen Zugangsdaten, um sich Zugriff auf interne Produktionssysteme zu verschaffen und Daten aus einer Untergruppe von Datenbanken und Speichersystemen zu exfiltrieren, darunter Umgebungsvariablen, Tokens und Schlüssel von Kunden. Obwohl die Daten im Ruhezustand verschlüsselt waren, gelang es dem Angreifer, die Verschlüsselungscodes direkt aus laufenden Prozessen auszulesen. Ein Kunde meldete CircleCI am 29. Dezember 2022 verdächtige Aktivitäten bei einem GitHub-OAuth-Token, woraufhin das Unternehmen den Vorfall bestätigte und am 31. Dezember 2022 mit einer proaktiven Rotation von GitHub-OAuth-Tokens begann. Am 4. Januar 2023 informierte CircleCI seine Kunden öffentlich und forderte alle Nutzer auf, sämtliche in CircleCI gespeicherten Secrets, Tokens und Schlüssel zu rotieren. Laut CircleCI meldeten weniger als fünf Kunden einen tatsächlich bestätigten unautorisierten Zugriff Dritter auf ihre eigenen Systeme infolge des Vorfalls.

Die Gesamtzahl der betroffenen Kundenkonten und der konkrete finanzielle Schaden wurden von CircleCI nicht veröffentlicht, ebenso wenig die Identität des Angreifers oder etwaige behördliche Ermittlungsergebnisse.

Im Juli 2012 verschafften sich Angreifer Zugang zu einem internen Dropbox-Dokument, nachdem ein Dropbox-Mitarbeiter ein Passwort verwendete, das zuvor beim Einbruch bei LinkedIn kompromittiert worden war. Über dieses Dokument gelangten die Angreifer an rund 68 Millionen Dropbox-Zugangsdaten, bestehend aus E-Mail-Adressen und gehashten, gesalzenen Passwörtern. Der Vorfall blieb mehrere Jahre öffentlich weitgehend unbekannt, bis Ende August 2016 ein Datensatz mit diesen Zugangsdaten im Internet auftauchte und zum Verkauf angeboten wurde. Dropbox bestätigte den Vorfall am 25.08.2016 in einem offiziellen Blogbeitrag. Von den 68 Millionen Passwort-Hashes waren etwa 32 Millionen mit dem robusten bcrypt-Verfahren gesichert, die übrigen rund 36 Millionen mit dem schwächeren SHA-1-Algorithmus. Dropbox erzwang für alle Konten, deren Passwort seit Mitte 2012 nicht geändert worden war, einen Passwort-Reset. Als mutmaßlicher Täter wurde später der russische Staatsbürger Jewgeni Nikulin identifiziert, dem auch die Einbrüche bei LinkedIn und Formspring aus dem Jahr 2012 zugeschrieben werden. Dropbox erklärte, es gebe keine Hinweise darauf, dass Nutzerkonten durch den Vorfall unbefugt aufgerufen worden seien.

Aus der Dropbox-Mitteilung geht nicht hervor, ob die gestohlenen Passwort-Hashes tatsächlich entschlüsselt oder für unbefugte Kontozugriffe genutzt wurden, und die strafrechtliche Verantwortung von Jewgeni Nikulin für den Dropbox-Vorfall im Speziellen war zum Zeitpunkt der Quelle nicht abschließend gerichtlich geklärt.

Zwischen dem 1. Dezember 2022 und dem 12. Dezember 2022 führten Angreifer automatisierte Credential-Stuffing-Angriffe gegen Nutzerkonten von Norton LifeLock durch, dem Passwort-Manager-Dienst des Unternehmens Gen Digital. Dabei nutzten die Täter Kombinationen aus Benutzernamen und Passwörtern, die aus früheren, anderen Datenlecks stammten und im Darknet kursierten. Am 12. Dezember 2022 registrierten die Systeme von Gen Digital ein ungewöhnlich hohes Volumen fehlgeschlagener Anmeldeversuche, die interne Untersuchung wurde am 22. Dezember 2022 abgeschlossen. Insgesamt waren rund 925.000 aktive und inaktive Konten von den automatisierten Anmeldeversuchen betroffen, bei etwa 6.450 bis 6.500 Konten gelang den Angreifern der tatsächliche Zugriff. Bei den kompromittierten Konten konnten die Angreifer nach Angaben des Unternehmens auf Vornamen, Nachnamen, Telefonnummern und Postanschriften zugreifen. Gen Digital erklärte zudem, ein Zugriff auf im Passwort-Manager gespeicherte Passwörter der betroffenen Nutzer könne nicht ausgeschlossen werden. Am 13. Januar 2023 reichte Gen Digital eine Meldung bei der Generalstaatsanwaltschaft von Vermont ein und informierte die betroffenen Kunden per Brief. Gen Digital betonte, dass die eigenen Systeme nicht kompromittiert worden seien und die Ursache in der Wiederverwendung von Passwörtern durch Nutzer lag.

Aus der Quelle geht nicht hervor, aus welchem konkreten Drittanbieter-Datenleck die verwendeten Zugangsdaten ursprünglich stammten, und es bleibt offen, ob tatsächlich im Passwort-Manager gespeicherte Passwörter ausgelesen wurden oder dies nur theoretisch möglich war.

Am 24. April 2018 verhafteten Ermittler in Sacramento, Kalifornien, den 72-jährigen ehemaligen Polizisten Joseph James DeAngelo als mutmaßlichen Golden State Killer, der von den 1970er bis in die 1980er Jahre eine Serie von Morden, Vergewaltigungen und Einbrüchen in Kalifornien begangen haben soll. Ermittler hatten DNA-Spuren von Tatorten in die öffentlich zugängliche genetische Genealogie-Datenbank GEDmatch hochgeladen und darüber entfernte Verwandte von DeAngelo bis zu dessen Ur-Ur-Großeltern identifiziert, um anschließend über Monate den Stammbaum einzugrenzen. Am 20. April 2018 ergab ein erster DNA-Abgleich mit einer aus dem Hausmüll DeAngelos gewonnenen Probe eine Übereinstimmung, ein zweiter Test am 23. April 2018 bestätigte den Treffer, woraufhin der Haftbefehl vollstreckt wurde. GEDmatch war zum Tatzeitpunkt eine von Nutzern freiwillig mit eigenen DNA-Rohdaten befüllte Plattform ohne explizite Zustimmung zur Strafverfolgungsnutzung, was nach Bekanntwerden des Falls eine Debatte über die Nutzung ziviler DNA-Datenbanken durch die Polizei auslöste. Am 29. Juni 2020 bekannte sich DeAngelo vor Gericht in Sacramento zu 13 Fällen von Mord ersten Grades und 13 Fällen von Entführung im Rahmen von insgesamt 161 zugestandenen Straftaten an 48 Opfern schuldig, im Austausch gegen den Verzicht auf die Todesstrafe. Am 21. August 2020 verurteilte ihn das Gericht zu elf aufeinanderfolgenden lebenslangen Freiheitsstrafen ohne Bewährungsmöglichkeit.

Aus der Quelle nicht eindeutig belegt sind genaue Angaben dazu, wie viele GEDmatch-Nutzerprofile im Zuge der monatelangen Stammbaumrecherche konkret ausgewertet wurden und welche internen Absprachen zwischen Ermittlern und GEDmatch-Betreibern vor der Verhaftung stattfanden. Auch die vollständige rechtliche Bewertung der Zulässigkeit einer solchen DNA-Datenbanknutzung durch Strafverfolgungsbehörden war zum Zeitpunkt des Artikels noch nicht abschließend geklärt.

Am 03.03.2017 veröffentlichte die New York Times einen Artikel des Journalisten Mike Isaac, der ein internes Uber-Programm namens Greyball öffentlich machte. Greyball war Teil eines breiteren Systems namens VTOS (Violation of Terms of Service) und wurde laut Uber seit mindestens 2014 eingesetzt, um Behördenmitarbeiter und Ermittler in Städten zu identifizieren, in denen Uber ohne Genehmigung operierte oder verboten war. Zur Identifizierung nutzte Uber unter anderem Geofencing um Behördengebäude, den Abgleich von Kreditkarten mit Polizei-Kreditgenossenschaften, Social-Media-Daten und Geräte-Fingerprinting, insgesamt rund ein Dutzend Signale. Als Behördenmitarbeiter erkannte Nutzer erhielten eine manipulierte Version der App zu sehen, etwa mit nicht existierenden Fahrzeugen oder ohne verfügbare Fahrer, teilweise wurden Fahrer telefonisch angewiesen, eine bereits begonnene Fahrt abzubrechen. Die Methode kam laut Berichten unter anderem in Portland, Boston, Paris und Las Vegas sowie in Australien, China und Südkorea zum Einsatz. Uber räumte ein, die Technik in Portland über einen Zeitraum von zwei Wochen im Jahr 2014 gegen 17 Nutzerkonten vorwiegend von Behördenmitarbeitern eingesetzt zu haben. Am 09.03.2017 erklärte Ubers Sicherheitschef Joe Sullivan, der Einsatz von Greyball gegen lokale Regulierungsbehörden werde künftig untersagt. Im Dezember 2017 wurde bekannt, dass das US-Justizministerium eine strafrechtliche Untersuchung zu Greyball eingeleitet hatte.

Der genaue Ausgang der strafrechtlichen Ermittlungen des US-Justizministeriums ist aus dieser Quelle nicht ersichtlich, ebenso wenig eine belastbare Gesamtzahl weltweit betroffener Behördenmitarbeiter jenseits der 17 dokumentierten Portland-Konten.

Am 18.03.2022 bestätigte der südafrikanische Kreditauskunftsdienst TransUnion South Africa, dass ein krimineller Dritter Zugriff auf einen isolierten Unternehmensserver erlangt hatte. Die nach eigenen Angaben aus Brasilien stammende Hackergruppe N4ughtySecTU erklärte, sie habe sich per Brute-Force-Angriff Zugang zu einem SFTP-Server verschafft, dessen Konto mit dem Passwort Password gesichert war, und rund 4 Terabyte an Daten von etwa 54 Millionen Personen erbeutet, was nahezu der gesamten Bevölkerung Südafrikas entspricht. Die Angreifer forderten von TransUnion ein Lösegeld von 15 Millionen US-Dollar in Kryptowährung, um eine Veröffentlichung der Daten zu verhindern. TransUnion lehnte die Zahlung ab. Die eigene Untersuchung des Unternehmens ergab, dass tatsächlich Datensätze von rund 5 Millionen Verbrauchern vollständig offengelegt wurden, darunter Name, ID-Nummer, Geburtsdatum, Adresse und Telefonnummer, sowie bei weiteren 5,2 Millionen Verbrauchern lediglich die ID-Nummer. Zusätzlich waren Daten von rund 600.000 Unternehmen betroffen. TransUnion erklärte, die von den Angreifern behauptete Zahl von 54 Millionen Datensätzen stamme größtenteils aus älteren, von TransUnion unabhängigen Datenlecks seit 2017. Das Unternehmen bot betroffenen Personen bis zum 31.12.2023 kostenlose Kreditüberwachung an. Die südafrikanische Datenschutzbehörde Information Regulator leitete eine Untersuchung des Vorfalls ein und erließ später eine förmliche Anordnung gegen TransUnion.

Die von der Hackergruppe genannte Zahl von 54 Millionen Betroffenen ist durch TransUnion nicht bestätigt und laut Unternehmen größtenteils auf fremde, ältere Datenlecks zurückzuführen. Ob TransUnion die Anordnung der Information Regulator angefochten hat und ob ein Bußgeld verhängt wurde, ist aus dieser Quelle nicht ersichtlich.

Die US-Kreditauskunftei Experian erwarb im März 2012 das Unternehmen Court Ventures, das über eine Vertragspartnerschaft mit dem Datenaggregator US Info Search Zugriff auf umfangreiche Verbraucherdatenbanken besaß. Ein Kunde von Court Ventures, der sich als Privatermittler mit Sitz in Singapur ausgab, war tatsächlich der 24-jährige vietnamesische Staatsbürger Hieu Minh Ngo, der unter dem Pseudonym hieupc die Identitätsdiebstahl-Dienste Superget.info und Findget.me betrieb. Ngo bezahlte den Datenzugang monatlich per Banküberweisung aus Singapur und konnte dadurch auf Sozialversicherungsnummern, Geburtsdaten, Adressen und weitere Datensätze von mehr als 200 Millionen US-Amerikanern zugreifen. Der Zugriff dauerte auch nach der Übernahme durch Experian noch rund zehn Monate an, bis der US Secret Service Experian auf die verdächtigen Aktivitäten aufmerksam machte und der Zugang im Februar 2013 beendet wurde. Nach Angaben von US-Ermittlern führte Ngos Dienst zwischen 2007 und Februar 2013 rund 3,1 Millionen Abfragen für etwa 1.300 zahlende Kunden durch und nahm dabei rund 1,9 Millionen US-Dollar ein. Das US-Justizministerium gab die strafrechtliche Anklage gegen Ngo am 19.10.2013 bekannt. Ngo bekannte sich schuldig und wurde im Juli 2015 zu 13 Jahren Haft verurteilt. Im November 2022 einigte sich die Experian-Tochter Experian Data Corp zusätzlich mit den Generalstaatsanwälten von 40 US-Bundesstaaten auf einen Vergleich über 1 Million US-Dollar.

Die genaue Zahl der tatsächlich durch Ngos Dienst geschädigten Verbraucher blieb laut US-Ermittlern zum Zeitpunkt der Anklage 2013 ungeklärt, da nur die Zahl der abrufbaren Datensätze und Abfragen bekannt war.

Die französische Datenschutzbehörde CNIL verhängte am 17.10.2022 gegen das US-Unternehmen Clearview AI eine Geldbuße von 20 Millionen Euro, das gesetzliche Maximum nach Artikel 83 DSGVO. Clearview AI betreibt eine Gesichtserkennungssoftware und sammelte weltweit über 20 Milliarden Fotos von Webseiten, sozialen Netzwerken und Videos, um daraus eine durchsuchbare Bilddatenbank zu erstellen, die vor allem an Strafverfolgungsbehörden vermarktet wird. Die CNIL stellte zwei DSGVO-Verstöße fest: die Verarbeitung sensibler biometrischer Daten ohne gültige Rechtsgrundlage sowie die unzureichende Berücksichtigung von Betroffenenrechten. Bereits am 26.11.2021 hatte die CNIL Clearview AI förmlich aufgefordert, die Datenerhebung französischer Bürger zu stoppen, worauf das Unternehmen nicht reagierte. Mit der Sanktion vom 17.10.2022 ordnete die CNIL zusätzlich an, dass Clearview AI die Datenerhebung von Personen in Frankreich einstellen und bereits gespeicherte Daten innerhalb von zwei Monaten löschen muss. Bei Überschreitung dieser Frist drohte ein Zwangsgeld von 100.000 Euro pro Tag. Clearview AI kooperierte während des gesamten Verfahrens nur unvollständig mit der Behörde.

Aus der Quelle nicht belegt ist, ob Clearview AI die Geldbuße tatsächlich gezahlt oder die angeordnete Löschung fristgerecht umgesetzt hat, da das Unternehmen als US-Firma ohne Niederlassung in der EU die Vollstreckbarkeit bestritt.

Am 13.08.2022 berichtete das Reiseportal View from the Wing über den Fall eines Marriott-Bonvoy-Kunden, dessen Treuepunktekonto von Unbekannten kompromittiert wurde. Aus dem Konto des Lesers verschwanden rund 100.000 Bonvoy-Punkte, wobei weder der genaue Zeitpunkt des Zugriffs noch die konkrete Zugriffsmethode öffentlich bekannt wurden. Nach der Meldung sperrte Marriott das betroffene Konto vollständig und teilte mit, die Punkte würden erst nach Abschluss einer internen Untersuchung zurückerstattet, mit einer erwarteten Bearbeitungsdauer von rund 45 Tagen. Nach 44 Tagen wurde das Konto aus der Prüfung genommen und alle 100.000 Punkte wurden dem Kunden vollständig gutgeschrieben. Während der gesamten Untersuchungsdauer hatte der rechtmäßige Kontoinhaber keinen eigenen Zugriff mehr auf sein Konto. Der Fall reiht sich in ein 2022 vielfach dokumentiertes Muster von Bonvoy-Kontoübernahmen ein. Parallel dazu bestätigte Marriott im Juni/Juli 2022 einen separaten Sicherheitsvorfall, bei dem ein Angreifer per Social Engineering Zugriff auf den Rechner eines Mitarbeiters am BWI Airport Marriott in Maryland erlangte und rund 20 Gigabyte an Daten entwendete, was rund 300 bis 400 Personen betraf.

Die Quelle belegt nur diesen dokumentierten Einzelfall; wie die Täter tatsächlich Zugang zum Bonvoy-Konto erlangten, bleibt ungeklärt. Ob gestohlene Bonvoy-Punkte systematisch im großen Stil weiterverkauft wurden, ist aus dieser Quelle nicht ersichtlich.

Am 11. September 2023 bestätigte die Casino- und Hotelkette MGM Resorts International einen Cyberangriff auf ihre US-Systeme, nachdem die Hackergruppe Scattered Spider bereits am 10. September 2023 Zugriff auf interne Systeme erlangt hatte. Die Angreifer nutzten Social Engineering: Sie identifizierten einen MGM-Mitarbeiter über LinkedIn, gaben sich in einem rund zehnminütigen Anruf beim IT-Helpdesk als diese Person aus und erhielten so administrative Zugriffsrechte auf die Okta- und Azure-Umgebung von MGM. Die mit ALPHV/BlackCat verbundenen Angreifer legten daraufhin für etwa zehn Tage den Betrieb an mehr als 30 MGM-Standorten lahm, betroffen waren Online-Reservierungen, digitale Zimmerschlüssel, Geldautomaten und Spielautomaten. MGM Resorts bezifferte den finanziellen Schaden für das dritte Quartal 2023 auf mehr als 100 Millionen US-Dollar. MGM zahlte kein Lösegeld, während Caesars Entertainment im selben Zeitraum Berichten zufolge rund 15 Millionen US-Dollar zahlte. Die Täter erbeuteten zudem persönliche Daten von Kunden, die vor März 2019 mit MGM Geschäfte gemacht hatten.

Aus dieser Quelle nicht abschließend belegt sind die genaue Gesamtzahl der vom Datendiebstahl betroffenen Kundendatensätze sowie eine strafrechtliche Verantwortlichkeit konkreter, namentlich benannter Scattered-Spider-Mitglieder.

Das US-Gentestunternehmen 23andMe bestätigte am 06.10.2023 einen Datendiebstahl, bei dem Angreifer mittels Credential Stuffing auf Nutzerkonten zugriffen. Direkt kompromittiert wurden nach Angaben des Unternehmens rund 14.000 Konten, etwa 0,1 Prozent der Kundenbasis. Über die Funktionen DNA Relatives und Family Tree griffen die Angreifer zusätzlich auf Profildaten von insgesamt rund 6,9 Millionen Nutzern zu, wie 23andMe am 04.12.2023 vollständig einräumte. Ein Hacker mit dem Pseudonym Golem bot am 06.10.2023 im Forum BreachForums einen Datensatz mit dem Titel Ashkenazi DNA Data of Celebrities an, der Angaben zu 999.998 Personen mit aschkenasisch jüdischer Abstammung sowie zu 100.000 Personen mit chinesischer Abstammung enthielt. Erbeutet wurden Namen, Geburtsjahre, Wohnorte, Familiennamen, Herkunftsangaben der Großeltern und ethnische Abstammungsschätzungen. 23andMe deaktivierte daraufhin vorübergehend die DNA-Relatives-Funktion und führte eine verpflichtende Zwei-Faktor-Authentifizierung ein. Im September 2024 stimmte das Unternehmen einem Vergleich in Höhe von 30 Millionen US-Dollar zu, um Sammelklagen in den USA wegen des Vorfalls beizulegen.

Die Quelle belegt nicht die genaue Zahl direkt kompromittierter Konten unter den jüdischen und chinesischen Nutzern und deckt nicht die spätere Insolvenz von 23andMe sowie die überarbeiteten Vergleichssummen (unter anderem eine separate Einigung mit US-Bundesstaaten über 18 Millionen US-Dollar) ab.

Der Passwort-Manager-Anbieter LastPass wurde 2022 Opfer eines zweistufigen Angriffs. Zwischen dem 8. und 12. August 2022 kompromittierten Angreifer den Laptop eines Softwareentwicklers und erbeuteten Quellcode aus 14 von rund 200 Repositories. Mit diesen Informationen griffen die Täter anschließend einen von vier DevOps-Ingenieuren mit Zugriff auf die Entschlüsselungsschlüssel an, dessen privater Rechner wegen einer ungepatchten Sicherheitslücke im dort installierten Plex Media Server verwundbar war, und erbeuteten per Keylogger dessen Zugangsdaten. Dadurch konnten die Angreifer im Zeitraum 20. August bis 16. September 2022 auf ein Cloud-Backup zugreifen und eine Kopie der Kundendatenbank sowie Kopien von Passwort-Tresoren kopieren. Betroffen waren nach LastPass-Angaben mehr als 25 Millionen Nutzerkonten; die Tresore enthielten unverschlüsselte Website-URLs sowie verschlüsselte Benutzernamen und Passwörter, zudem wurden Namen, E-Mail-Adressen, Rechnungsadressen und teilweise Kreditkartendaten erbeutet. LastPass informierte die Kunden erst am 30. November bzw. 22. Dezember 2022 vollständig über das tatsächliche Ausmaß. Die britische Datenschutzbehörde ICO verhängte am 20. November 2025 eine Geldbuße von 1.228.283 Pfund gegen LastPass UK Ltd. In den USA einigte sich LastPass zudem auf einen Sammelklage-Vergleich in Höhe von 24,5 Millionen US-Dollar.

Aus dieser Quelle nicht belegt ist, wie viele der gestohlenen Tresore mit schwachen Master-Passwörtern tatsächlich entschlüsselt wurden und in welchem Umfang die damit verknüpften Kryptowährungs-Diebstähle in Höhe von über 150 Millionen US-Dollar eindeutig auf dieses Datenleck zurückzuführen sind.

Am 11.06.2024 veröffentlichte der IT-Sicherheitsanbieter Kaspersky eine Studie zu 24 Sicherheitslücken in biometrischen Zugangsterminals des chinesischen Herstellers ZKTeco, die unter zahlreichen Whitelabel-Marken weltweit vertrieben werden. Das Forscherteam fand sechs SQL-Injection-Schwachstellen, sieben Stack-basierte Pufferüberläufe, fünf Command-Injection-Fehler, vier Schwachstellen für beliebiges Dateischreiben und zwei für beliebiges Dateilesen. Über manipulierte QR-Codes mit eingebetteter SQL-Injection konnten Angreifer die Authentifizierung umgehen und sich unautorisierten physischen Zutritt verschaffen. Weitere Lücken erlaubten das Auslesen und Verändern der Nutzerdatenbank samt gespeicherter Gesichtserkennungsdaten sowie das Herunterladen von Nutzerfotos, die anschließend für Fotospoofing gegen die Kamera des Geräts genutzt werden konnten. Pufferüberlauf- und Command-Injection-Fehler ermöglichten zudem die vollständige Übernahme einzelner Geräte mit Root-Rechten aus der Ferne. Die betroffenen Terminals werden laut Kaspersky unter anderem in Kernkraftwerken, Chemieanlagen, Büros und Krankenhäusern eingesetzt und können Tausende Gesichtsvorlagen speichern. Kaspersky informierte den Hersteller vor der öffentlichen Bekanntgabe der Ergebnisse.

Aus der Kaspersky-Quelle geht nicht hervor, ob und wann ZKTeco tatsächlich Patches veröffentlicht hat, und es ist nicht belegt, dass die Schwachstellen in der Praxis bereits von Angreifern ausgenutzt wurden.

Die israelische Plattform vpnMentor entdeckte am 05.08.2019 durch die Forscher Noam Rotem und Ran Locar eine ungeschützte Elasticsearch-Datenbank des südkoreanischen Unternehmens Suprema. Die Datenbank gehörte zum biometrischen Zugangskontrollsystem BioStar 2 und enthielt 27,8 Millionen Datensätze mit einem Volumen von 23 Gigabyte. Betroffen waren die Fingerabdrücke von mehr als einer Million Nutzern, Gesichtserkennungsdaten, Klarnamen, unverschlüsselt gespeicherte Passwörter, Zutrittsprotokolle sowie persönliche Mitarbeiterdaten. BioStar 2 wurde laut Suprema von rund 5.700 Organisationen in 83 Ländern eingesetzt, darunter die britische Metropolitan Police sowie Banken und Behörden. Die Forscher informierten Suprema am 07.08.2019, die Sicherheitslücke wurde erst am 13.08.2019 geschlossen. Nach Bekanntwerden erklärte die britische Datenschutzbehörde ICO, sie sei sich der Medienberichte bewusst und werde Ermittlungen aufnehmen. Die US-Kanzlei Finkelstein, Blankinship, Frei Pearson and Garber kündigte im August 2019 an, eine mögliche Sammelklage wegen des Vorfalls zu prüfen. Suprema erklärte öffentlich, das tatsächliche Ausmaß sei geringer als berichtet, und verwies auf eine begrenzte Zahl betroffener Cloud-API-Nutzer.

Aus den ausgewerteten Quellen geht nicht hervor, ob die britische ICO tatsächlich ein Bußgeld gegen Suprema verhängt hat oder ob die geprüfte US-Sammelklage je formell eingereicht und entschieden wurde; der rechtliche Ausgang des Falls ist öffentlich nicht dokumentiert.

Die britische Datenschutzbehörde Information Commissioner's Office (ICO) verhängte am 30.10.2020 gegen Marriott International, Inc. eine Geldbuße von 18,4 Millionen Pfund wegen Verstößen gegen die DSGVO. Ursache war ein Cyberangriff auf die Reservierungsdatenbank der Starwood Hotels, die Marriott 2016 übernommen hatte; Unbekannte hatten sich bereits seit 2014 unbemerkt Zugang zum System verschafft, entdeckt erst am 08.09.2018. Betroffen waren bis zu 339 Millionen Gästedatensätze weltweit. Die ICO warf Marriott vor, keine angemessenen technischen und organisatorischen Maßnahmen nach Artikel 5(1)(f) und Artikel 32 DSGVO getroffen zu haben. Im Juli 2019 hatte die ICO zunächst eine Geldbuße von 99.200.396 Pfund angekündigt. Als Ausgangspunkt der Berechnung setzte die Behörde 28 Millionen Pfund an, reduzierte diesen Betrag wegen der Kooperation Marriotts um 20 Prozent auf 22,4 Millionen Pfund und senkte ihn wegen der wirtschaftlichen Auswirkungen der Corona-Pandemie auf die Hotelbranche weiter auf 18,4 Millionen Pfund. Die Buße betraf ausschließlich den Zeitraum ab Inkrafttreten der DSGVO am 25.05.2018.

Aus dieser Quelle nicht belegt ist, ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat und wie sich die Kosten des Unternehmens durch den Vorfall insgesamt bezifferten.

Der Brite Arion Kurtaj aus Oxford, Mitglied der Hackergruppe Lapsus$, verübte im September 2022 während laufender Kaution für frühere Straftaten eine Serie von Cyberangriffen. Er drang zunächst in Systeme der Fintech-Firma Revolut ein, wo laut Anklage rund 5.000 Kundendatensätze kompromittiert wurden. Zwei Tage später hackte er den Fahrdienstvermittler Uber und verursachte nach Angaben der Anklage einen Schaden von knapp 3 Millionen US-Dollar. Zudem drang Kurtaj in Systeme des Spieleentwicklers Rockstar Games ein, entwendete rund 90 unveröffentlichte Clips und Quellcode zu Grand Theft Auto VI und drohte mit deren Veröffentlichung. Da bei Kurtaj eine schwere Autismus-Diagnose seine Verhandlungsfähigkeit ausschloss, klärte eine Jury im Rahmen eines trial of the facts nur, ob er die Taten begangen hatte. Die Jury am Southwark Crown Court in London stellte am 23.08.2023 fest, dass Kurtaj zwölf Taten begangen hatte. Am 22.12.2023 ordnete Richterin Patricia Lees eine unbefristete Unterbringung Kurtajs in einer geschlossenen psychiatrischen Klinik an. Ein mitangeklagter 17-Jähriger, der an Angriffen auf Nvidia und BT/EE beteiligt war, erhielt eine 18-monatige Youth Rehabilitation Order.

Die genaue Zahl der betroffenen Revolut-Kunden ist unklar, da die Anklage von rund 5.000 sprach, während Revolut selbst gegenüber litauischen Behörden 50.150 betroffene Kunden meldete.

Am 21.11.2023 veröffentlichten die US-Behörde CISA, das FBI und weitere Partner den gemeinsamen Sicherheitshinweis AA23-325A zur Ausnutzung der Citrix-Bleed-Schwachstelle CVE-2023-4966 durch Affiliates der Ransomware-Gruppe LockBit 3.0. Die Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway erlaubte das Auslesen aktiver Sitzungstoken und damit die Umgehung der Multi-Faktor-Authentifizierung. Laut Advisory beobachtete der Flugzeughersteller Boeing als eine der ersten Organisationen, wie LockBit-3.0-Affiliates die Schwachstelle nutzten, um Zugang zu Boeing Distribution Inc. zu erlangen. Die Ausnutzung der Schwachstelle als Zero-Day begann laut Advisory bereits im August 2023, Citrix veröffentlichte am 10.10.2023 einen Patch. LockBit hatte Boeing zuvor am 27.10.2023 auf seiner Leak-Seite gelistet und 200 Millionen US-Dollar Lösegeld gefordert. Boeing zahlte nicht, woraufhin LockBit Anfang November 2023 rund 43 Gigabyte an Unternehmensdaten veröffentlichte. Der Advisory nennt neben Boeing weitere Betroffene derselben Angriffswelle, darunter die Kanzlei Allen & Overy, die Industrial and Commercial Bank of China und das Logistikunternehmen DP World.

Aus dem Advisory geht nicht hervor, welche konkreten Fluggesellschaften oder Zulieferer in der Boeing-Lieferkette durch die geleakten Zulieferdaten selbst kompromittiert wurden, und die Gesamtzahl weltweit betroffener Organisationen der Citrix-Bleed-Kampagne bleibt unbeziffert.

Am 19. März 2020 wurde bekannt, dass im chinesischen sozialen Netzwerk Sina Weibo Datensätze von rund 538 Millionen Nutzerkonten im Darknet zum Verkauf angeboten wurden. Bei etwa 172 Millionen dieser Datensätze waren zusätzlich die mit dem jeweiligen Konto verknüpften Telefonnummern enthalten, hinzu kamen Nutzernamen, Geschlecht, Standortangaben und Followerzahlen. Passwörter und Ausweisdaten waren nach Angaben von Weibo nicht betroffen. Weibos Sicherheitsdirektor Luo Shiyao erklärte, die Telefonnummern seien 2018/2019 durch eine automatisierte Massenabfrage der Kontaktabgleich-Schnittstelle der App unrechtmäßig mit Konten verknüpft worden. Am 21. März 2020 bestellte das Büro für Netzwerksicherheitsverwaltung des chinesischen Ministeriums für Industrie und Informationstechnologie (MIIT) Verantwortliche von Sina Weibo zu einem Gespräch ein. Das Ministerium verlangte, die Datenschutzrichtlinie zu überarbeiten und die Abfrage-Schnittstellen besser gegen Missbrauch abzusichern. Weibo erklärte, man habe die Sicherheitsstrategie der betroffenen Schnittstelle bereits aktualisiert.

Aus den verfügbaren Quellen geht nicht hervor, ob gegen Sina Weibo im Zusammenhang mit diesem konkreten Datenleck ein förmliches Bußgeld verhängt wurde, dokumentiert ist lediglich eine Ermahnung ohne bezifferte Sanktion.

Am 19.07.2015 gab die Hackergruppe The Impact Team bekannt, in die Systeme der kanadischen Seitensprung-Plattform Ashley Madison und der Schwesterseite Established Men eingedrungen zu sein, betrieben vom Unternehmen Avid Life Media mit CEO Noel Biderman. Die Gruppe forderte die dauerhafte Abschaltung beider Portale und drohte andernfalls mit der Veröffentlichung aller Nutzerdaten. Nachdem das Unternehmen der Forderung nicht nachkam, veröffentlichte The Impact Team am 18.08.2015 ein rund 9,7 Gigabyte großes Datenpaket im Tor-Netzwerk, dem am 20.08.2015 ein zweites, größeres Datenpaket folgte. Betroffen waren nach verbreiteten Angaben rund 32 Millionen Nutzerkonten (die US-Handelsaufsicht FTC nannte später 36 Millionen), darunter Namen, Adressen, Telefonnummern, sieben Jahre zurückreichende Kreditkartentransaktionsdaten sowie teils sexuelle Präferenzen; Passwörter waren per bcrypt gehasht. Unter den Adressen fanden sich mehr als 15.000 E-Mail-Konten von US-Regierungs- und Militärangehörigen. Die Toronto Police Service bestätigte im August 2015 zwei bislang unbestätigte Suizide, die mit dem Datenleck in Verbindung gebracht wurden. CEO Noel Biderman trat am 28.08.2015 zurück. Im Dezember 2016 einigte sich das Unternehmen mit der FTC auf eine Zahlung von 1,657 Millionen US-Dollar; im Juli 2017 folgte ein Sammelklage-Vergleich über 11,2 Millionen US-Dollar.

Die genaue Zahl betroffener Konten schwankt je nach Quelle zwischen 32 und 36 Millionen, und die von mehreren Medien berichteten Suizide im Zusammenhang mit dem Leak wurden von der Polizei nie offiziell als direkte Folge des Hacks bestätigt. Die Identität der Angreifer hinter The Impact Team wurde nie aufgeklärt.

Am 05.09.2017 bestätigte die estnische Behörde RIA eine Sicherheitslücke in der estnischen elektronischen Identitätskarte, die rund 750.000 seit Oktober 2014 ausgegebene Chipkarten betraf, darunter auch Karten von E-Residency-Nutzern. Ursache war die ROCA-Schwachstelle in der RSA-Schlüsselerzeugung von Kryptochips des Herstellers Infineon, die in den vom Kartenhersteller Gemalto produzierten estnischen ID-Karten verbaut waren. Die Lücke erlaubte theoretisch die Berechnung des privaten RSA-Schlüssels aus dem öffentlichen Schlüssel und damit die Fälschung digitaler Identitäten. Laut RIA gab es zum Zeitpunkt der Bekanntgabe keine Hinweise auf tatsächlichen Missbrauch. Am 03.11.2017 setzte die estnische Regierung die betroffenen Zertifikate aus; Karteninhaber konnten sie bis zum 31.03.2018 erneuern, nicht erneuerte Zertifikate wurden zum 01.04.2018 widerrufen. Die ROCA-Schwachstelle betraf weltweit schätzungsweise über eine Milliarde Krypto-Chips. Im Februar 2021 einigten sich die estnische Grenzschutzbehörde und der Kartenhersteller Gemalto, inzwischen Teil von Thales, auf eine Zahlung von 2,2 Millionen Euro Entschädigung, nachdem der estnische Staat zunächst 152 Millionen Euro Schadensersatz gefordert hatte.

Aus der Quelle geht nicht hervor, ob es je zu einem konkreten Missbrauchsfall kam oder wer die Schwachstelle ursprünglich entdeckte; die Angaben zur Zertifikatssperrung sowie zum Gemalto-Vergleich 2021 stammen aus späteren, ergänzenden Quellen.

Die Journalistin Rachna Khaira berichtete am 04.01.2018 in der indischen Zeitung The Tribune, dass sie über einen anonymen Verkäufer auf WhatsApp gegen Zahlung von 500 Rupien, umgerechnet rund 6 Euro, per Paytm binnen zehn Minuten Zugangsdaten zu einem Portal der Unique Identification Authority of India (UIDAI) erhielt. Über dieses Portal ließen sich zu jeder der mehr als 1,1 Milliarden vergebenen Aadhaar-Nummern Name, Adresse, Postleitzahl, Foto, Telefonnummer und E-Mail-Adresse abrufen. Gegen weitere 300 Rupien bot derselbe Verkäufer zusätzlich eine Software an, mit der sich Aadhaar-Ausweise beliebiger Personen ausdrucken ließen. Laut Recherche der Tribune hatten mehr als 100.000 staatlich beauftragte Village-Level-Enterprise-Operatoren unrechtmäßigen Zugriff auf das Portal erlangt und diesen zum Weiterverkauf genutzt. Die UIDAI wies einen Leak oder eine Datenpanne der Aadhaar-Datenbank offiziell zurück und sprach von Fehlberichterstattung. Ein UIDAI-Mitarbeiter erstattete daraufhin Strafanzeige gegen die Reporterin Khaira wegen angeblich unbefugten Zugriffs auf die Datenbank. Die Delhi Police stellte dieses Verfahren gegen Khaira später mangels Beweisen ein.

Nicht belegt ist, dass über das genutzte Portal tatsächlich biometrische Daten wie Fingerabdrücke abrufbar waren, bestätigt wurden nur demografische Daten. Die Zahl von 1,1 Milliarden bezieht sich auf die theoretisch erreichbare Gesamtmenge, nicht auf nachgewiesene tatsächlich abgerufene Einzeldatensätze, zudem blieben die Hintermänner unidentifiziert.