Quellen-Tabelle

Das Bundeskartellamt untersagte Facebook mit Beschluss vom 06.02.2019, Nutzerdaten aus verschiedenen Quellen ohne gesonderte freiwillige Einwilligung der Nutzenden zusammenzuführen. Betroffen war die Verknüpfung von Daten aus den konzerneigenen Diensten Facebook, Instagram und WhatsApp sowie von Daten, die auf Drittanbieter-Websites außerhalb von Facebook erhoben wurden, etwa über Like-Buttons. Bis zur Entscheidung war die Nutzung des Facebook-Kontos an die Zustimmung zu dieser weitreichenden Datensammlung gekoppelt; eine echte Wahlmöglichkeit hatten Nutzende nicht. Das Amt stützte die Entscheidung auf den Vorwurf des Missbrauchs einer marktbeherrschenden Stellung, gestützt auf einen Marktanteil von Facebook beim sozialen Netzwerk in Deutschland von rund 95 Prozent bezogen auf tägliche Nutzerzahlen. Facebook erhielt Umsetzungsfristen von vier bis zwölf Monaten und legte gegen den Beschluss Beschwerde beim Oberlandesgericht Düsseldorf ein, das die Vollziehung zunächst per Eilentscheidung aussetzte, bevor der Bundesgerichtshof 2020 die kartellrechtliche Einschätzung des Bundeskartellamts vorläufig bestätigte.

Aus dieser Quelle nicht belegt sind der genaue Ausgang und Abschluss des jahrelangen gerichtlichen Rechtsstreits in allen Details sowie der exakte technische Umsetzungsstand der Datentrennung bei Meta zum jeweiligen Zeitpunkt.

Am 13.05.2014 entschied die Große Kammer des EuGH im Verfahren C-131/12, Google Spain SL und Google Inc. gegen die spanische Datenschutzbehörde AEPD und Mario Costeja Gonzalez. Auslöser war eine 1998 in der Zeitung La Vanguardia veröffentlichte Bekanntmachung über eine Zwangsversteigerung von Costejas Grundstück, die bei einer Google-Suche nach seinem Namen weiterhin erschien, obwohl das Verfahren längst abgeschlossen war. Costeja beantragte 2010 bei der AEPD, Google zur Löschung des Links aus den Suchergebnissen zu verpflichten. Der EuGH stellte fest, dass das Betreiben einer Suchmaschine als Verarbeitung personenbezogener Daten gilt und der Suchmaschinenbetreiber dafür als Verantwortlicher haftet. Betroffene Personen können demnach von Suchmaschinenbetreibern verlangen, Links zu rechtmäßig veröffentlichten, aber veralteten oder für sie nicht mehr relevanten Informationen zu entfernen, ohne dass die Ursprungsseite selbst gelöscht werden muss. Google richtete am 29.05.2014 ein Online-Formular für Löschanträge ein und erhielt in den ersten drei Monaten durchschnittlich rund 1.500 Anträge pro Tag. Bis 2018 gingen bei Google über 650.000 solcher Anträge zu rund 2,4 Millionen Links ein.

Aus dem Urteilstext selbst geht nicht hervor, wie Google die Abwägungskriterien zwischen Persönlichkeitsrecht und öffentlichem Informationsinteresse im Einzelfall genau anwendet; die späteren Fallzahlen stammen aus separaten Google-Transparenzberichten.

Am 20. September 2019 wurde das Berliner Kammergericht, eines der größten Oberlandesgerichte Deutschlands mit rund 150 Richterinnen und Richtern, Ziel eines Cyberangriffs mit den Schadprogrammen Emotet und Trickbot. Die Trojaner drangen über eine präparierte E-Mail in das ungesegmentierte Gerichtsnetzwerk ein und stahlen über mehrere Tage systematisch Zugangsdaten. Eine Verschlüsselung im Sinne klassischer Ransomware blieb aus, weil die Internetverbindung des Gerichts unterbrochen wurde, ein Datendiebstahl wurde jedoch bestätigt. Das Cyber Emergency Response Team von T-Systems empfahl einen kompletten Neuaufbau der Windows-Domäne und der gesamten IT-Infrastruktur. Neun Monate nach dem Angriff, im Juli 2020, war die Mehrheit der rund 150 Richterinnen und Richter weiterhin in ihrer Arbeit stark eingeschränkt. Neu verteilte Computer konnten mangels VPN-Zugang zunächst nur als Schreibmaschinen genutzt werden. Für die Beschaffung neuer Geräte und den Aufbau sicherer Zugänge wurden mehrere Millionen Euro veranschlagt, im Berliner Nachtragshaushalt waren insgesamt über 10 Millionen Euro für die IT-Wiederherstellung der Justiz eingeplant.

Der genaue Infektionsweg der ersten Schadsoftware-Mail konnte laut Berichten nicht abschließend rekonstruiert werden, und ob tatsächlich sensible Verfahrensdaten abgeflossen sind, blieb ungeklärt.

Zwischen Juni und Dezember 2009 griff eine aus China stammende Hackergruppe die Computernetzwerke von Google sowie mindestens 20 weiteren US-Unternehmen an, darunter Adobe Systems, Juniper Networks, Yahoo, Symantec, Northrop Grumman und Dow Chemical. Google entdeckte den Einbruch Mitte Dezember 2009 und veröffentlichte am 12.01.2010 im Official Google Blog den Beitrag A new approach to China, in dem der Angriff erstmals öffentlich gemacht wurde. Die Angreifer nutzten eine zuvor unbekannte Sicherheitslücke im Internet Explorer aus und verbreiteten den Schadcode über gezielte Phishing-E-Mails. Die Sicherheitsfirma McAfee gab den Angriffen den Namen Operation Aurora. Bei Google gelangten die Angreifer an Teile des Quellcodes sowie an Informationen zu gerichtlich angeordneten Überwachungen von Gmail-Konten und erhielten eingeschränkten Zugriff auf zwei Gmail-Konten chinesischer Menschenrechtsaktivisten. Google kündigte an, die Zensur der Suchergebnisse auf Google.cn zu beenden, und leitete im März 2010 die chinesische Suchseite auf die unzensierte Version in Hongkong um. Insgesamt sollen über 30 Organisationen betroffen gewesen sein.

Die genaue Gesamtzahl der betroffenen Unternehmen wird in verschiedenen Quellen uneinheitlich zwischen 20 und über 30 angegeben, und eine gerichtsfeste, offizielle Zuordnung der Angriffe zu einer bestimmten chinesischen Behörde ist bis heute nicht öffentlich bestätigt.

Die US-Sicherheitsfirma Mandiant veröffentlichte am 19.02.2013 den Bericht APT1: Exposing One of China's Cyber Espionage Units. Der Bericht führt die seit mindestens 2006 aktive Hackergruppe APT1 auf die Einheit 61398 der chinesischen Volksbefreiungsarmee zurück, die dem Zweiten Büro der Dritten Abteilung des Generalstabs untersteht. Mandiant lokalisierte die Einheit in einem zwölfstöckigen Gebäude an der Datong Road im Stadtteil Pudong in Shanghai. Laut Bericht kompromittierte APT1 mindestens 141 Organisationen in 20 Branchen, darunter Luft- und Raumfahrt, Rüstung, Energie und Telekommunikation. Die Gruppe stahl systematisch hunderte Terabyte an Daten, in einem Fall 6,5 Terabyte komprimierter Daten von einem einzelnen Unternehmen innerhalb von zehn Monaten. 87 Prozent der identifizierten Opfer hatten ihren Hauptsitz in englischsprachigen Ländern. Mandiant benannte auch mutmaßliche Einzelpersonen, darunter Wang Dong mit dem Decknamen UglyGorilla. Am 19.05.2014 klagte das US-Justizministerium fünf mutmaßliche Offiziere der Einheit 61398 wegen Wirtschaftsspionage an.

Es liegt keine strafrechtliche Verurteilung der 2014 angeklagten Offiziere vor, da China eine Auslieferung ablehnt und keine Hauptverhandlung stattfand; die exakte Gesamtmenge gestohlener Daten über alle 141 Opfer bleibt unbeziffert.

Die niederländische Zertifizierungsstelle DigiNotar wurde im Sommer 2011 kompromittiert; laut der vom niederländischen Innenministerium beauftragten Untersuchung von Fox-IT (Operation Black Tulip) verschafften sich die Angreifer bereits ab Mitte Juni 2011 Zugriff auf die internen Systeme. Am 10.07.2011 stellten sie ein betrügerisches Wildcard-Zertifikat für *.google.com aus, DigiNotar entdeckte den Einbruch erst am 19.07.2011. Insgesamt wurden mindestens 531 betrügerische SSL-Zertifikate ausgestellt, unter anderem für Google, Skype, Microsoft und Mozilla. Öffentlich bekannt wurde der Vorfall am 29./30.08.2011. Fox-IT ermittelte, dass der Angriff auf etwa 300.000 iranische Gmail-Nutzer zielte, die per Man-in-the-Middle-Angriff über das gefälschte Google-Zertifikat abgehört werden sollten; registriert wurden Verbindungsversuche von 298.140 eindeutigen IP-Adressen, davon rund 95 Prozent aus dem Iran. Am 03.09.2011 übernahm die niederländische Regierung die operative Kontrolle über DigiNotar. Die Muttergesellschaft VASCO Data Security International meldete am 20.09.2011 die Insolvenz des Unternehmens an.

Nicht abschließend belegt ist, wer genau hinter dem Angriff stand; ein iranischer Staatsakteur wird vermutet, ist aber nicht gerichtsfest nachgewiesen. Ebenso ist nicht dokumentiert, wie viele der 298.140 registrierten Verbindungsversuche tatsächlich zu einer erfolgreichen Überwachung führten.

Am 15.03.2011 wurde das Konto einer Registrierungsstelle des Zertifizierungsdiensts Comodo in Südeuropa kompromittiert, über das ein Angreifer neun betrügerische SSL-Zertifikate für sieben Domains beantragte. Betroffen waren login.live.com, mail.google.com, www.google.com, login.yahoo.com in drei Varianten, login.skype.com sowie addons.mozilla.org. Comodo entdeckte den Missbrauch am selben Tag und widerrief die Zertifikate innerhalb weniger Stunden über Sperrlisten und OCSP. Der Angriff wurde bis zu einer IP-Adresse in Teheran im Iran zurückverfolgt. Ein einzelner Hacker, der sich als Iraner bezeichnete, bekannte sich später öffentlich zu der Tat und bestritt eine Verbindung zur iranischen Regierung. Comodo äußerte hingegen den Verdacht eines staatlich gelenkten Angriffs zur Überwachung iranischer Oppositioneller. Mozilla, Google und Microsoft aktualisierten daraufhin ihre Browser mit fest einprogrammierten Sperrlisten für die Seriennummern der betroffenen Zertifikate.

Die genaue Identität des Angreifers und eine tatsächliche Beteiligung der iranischen Regierung sind nicht zweifelsfrei belegt, da sich die Zuordnung im Wesentlichen auf eine IP-Adresse und das spätere Bekenntnis eines anonymen Hackers stützt.

Live Nation meldete der US-Börsenaufsicht SEC, am 20. Mai 2024 unautorisierten Zugriff auf eine Cloud-Datenbank beim Anbieter Snowflake festgestellt zu haben, betroffen war vor allem die Tochter Ticketmaster. Die Gruppe ShinyHunters bot ab Ende Mai 2024 im Darknet-Forum BreachForums Datensätze von angeblich bis zu 560 Millionen Ticketmaster-Kunden für 500.000 US-Dollar zum Verkauf an, laut Berichten inklusive Namen, Adressen, E-Mail-Adressen, Telefonnummern und teilweise Zahlungsdaten.

Die Zahl von 560 Millionen betroffenen Datensätzen stammt allein von den Erpressern und wurde von Live Nation nie unabhängig bestätigt, das Unternehmen sprach in seiner SEC-Meldung nur allgemein von möglicherweise betroffenen Kundendaten. Offen bleibt, wie viele der zum Verkauf angebotenen Datensätze tatsächlich aktuell und echt sind und ob vollständige Zahlungskartennummern statt nur Hash-Werten erbeutet wurden.

Die bayerische Datenschutzaufsicht BayLDA stellte nach einer seit April 2023 laufenden Untersuchung amtlich fest, dass die Worldcoin-Betreiberfirma Tools for Humanity Iris- und Gesichtsdaten teilweise ohne ausreichende Rechtsgrundlage verarbeitet hat. Die Behörde ordnete an, dass Nutzer ihre Iris-Daten uneingeschränkt löschen lassen können und Worldcoin künftig für bestimmte Verarbeitungsschritte eine ausdrückliche Einwilligung einholen muss. Die Entscheidung wurde im DSGVO-Kohärenzverfahren mit anderen europäischen Datenschutzbehörden abgestimmt.

Offen bleibt, ob und in welchem Umfang Worldcoin die angeordneten Löschungen der Iris-Daten tatsächlich vollständig umgesetzt hat. Das Unternehmen kündigte an, rechtlich gegen Teile der Entscheidung vorzugehen, sodass der endgültige juristische Ausgang zum Zeitpunkt der Veröffentlichung nicht feststand. Die BayLDA adressierte nur einzelne festgestellte Verstöße und traf keine abschließende Aussage zur generellen DSGVO-Konformität des gesamten Geschäftsmodells.

Sicherheitsforscher des CCC demonstrierten 2010, dass Angreifer per Schadsoftware auf dem PC die PIN-Eingabe am einfachen Basis-Lesegerät des neuen Personalausweises abfangen konnten, da dieses keine eigene Tastatur besitzt. Mit der abgefangenen PIN ließ sich der Ausweis fernsteuern und missbrauchen, solange er im Lesegerät verblieb. Das BSI bestätigte öffentlich die grundsätzliche technische Möglichkeit eines solchen Angriffs.

Offen blieb, wie realistisch der Angriff für durchschnittliche Kriminelle in der breiten Praxis war und wie viele Personen tatsächlich betroffen waren. Laut BSI blieben die eigentlichen persönlichen Daten verschlüsselt und für Angreifer nicht direkt einsehbar. Eine dokumentierte offizielle Stellungnahme des Bundesinnenministeriums zur Kritik des CCC liegt in den ausgewerteten Quellen nicht vor.

Die Sicherheitsforscher Martin Tschirsich und Bianca Kastl demonstrierten auf dem 38C3 des Chaos Computer Club im Dezember 2024 mehrere Schwachstellen der elektronischen Patientenakte (ePA) 3.0. Sie bestellten telefonisch in 10 bis 20 Minuten elektronische Gesundheitskarten auf fremde Namen, nutzten eine SQL-Injection-Schwachstelle in einem Kartenausgabeportal aus und zeigten, dass Arztpraxen bei ePA 3.0 keine PIN mehr benötigen, sodass der bloße Kartenbesitz für den Zugriff reichte. Laut heise online hätte ein kompromittierter Praxiszugang Zugriff auf bis zu 1.500 Patientenakten erlaubt, in Kombination mit weiteren Lücken theoretisch auf die Akten aller rund 70 Millionen gesetzlich Versicherten.

Aus dem Artikel geht nicht hervor, ob die gezeigten Angriffswege tatsächlich gegen echte Patientenakten eingesetzt wurden oder rein demonstrativ blieben. Der Betreiber Gematik stufte mindestens ein Angriffsszenario als in der Praxis wenig wahrscheinlich ein, eine unabhängige Bestätigung dieser Einschätzung liegt in dieser Quelle nicht vor. Ob und wann alle beschriebenen Lücken vollständig geschlossen wurden, lässt sich aus diesem Artikel allein nicht feststellen.

Am 4. und 5. April 2023 wurde der Darknet- und Clearweb-Marktplatz Genesis Market im Rahmen der international koordinierten Operation Cookie Monster abgeschaltet. Federführend waren FBI, Europol, Eurojust und die niederländische Polizei, unterstützt von Behörden aus 14 Ländern, mit mehr als 100 Festnahmen und über 200 Durchsuchungen bei Käufern der Plattform. Genesis Market verkaufte seit 2018 durch Malware gestohlene Zugangsdaten, Cookies und digitale Fingerabdrücke; zum Zeitpunkt der Abschaltung waren Daten von rund 460.000 infizierten Geräten im Angebot.

Genaue Opferzahlen und Schadenshöhe variieren stark je nach Quelle, andere Medienberichte nennen bis zu 1,5 Millionen Bot-Listings oder 2 Millionen betroffene Identitäten. Die Hauptbetreiber der Plattform wurden bislang nicht öffentlich namentlich identifiziert oder angeklagt. Der Ausgang der Verfahren gegen die festgenommenen Käufer ist nicht einzeln öffentlich nachvollziehbar.

Das Citizen Lab dokumentierte forensisch mindestens 65 Personen aus dem katalanischen Unabhängigkeitsumfeld, die zwischen 2017 und 2020 mit der Pegasus-Software von NSO Group oder mit Candiru-Spyware angegriffen oder infiziert wurden. Darunter waren der ehemalige Präsident Carles Puigdemont, weitere Politiker, Anwälte und Aktivisten. Amnesty Internationals Security Lab bestätigte die forensische Methodik unabhängig bei vier Betroffenen.

Citizen Lab spricht nur von starken Indizien für eine Verantwortung spanischer Behörden, nennt aber keine abschließende offizielle Zuschreibung an eine konkrete Stelle. Offen bleibt zudem, wie die abgegriffenen Daten tatsächlich verwendet wurden, und die reale Opferzahl könnte wegen eingeschränkter Android-Forensik höher liegen als die bestätigten Fälle.

Der baden-württembergische Landesbeauftragte für Datenschutz Stefan Brink leitete im Dezember 2022 das weltweit erste Bußgeldverfahren gegen die Gesichtssuchmaschine PimEyes ein. Er wirft dem Unternehmen vor, mit seinem Geschäftsmodell gegen die DSGVO zu verstoßen, da Fotos ohne ausdrückliche Einwilligung der abgebildeten Personen zur biometrischen Identifizierung verarbeitet werden. Als mögliche Strafe stand eine Geldbuße von bis zu 20 Millionen Euro beziehungsweise 4 Prozent des Jahresumsatzes im Raum.

Ob und in welcher Höhe am Ende tatsächlich ein Bußgeld verhängt wurde, geht aus den verfügbaren Quellen nicht hervor. Offen bleibt auch, wie die Durchsetzung gegen das im Ausland ansässige Unternehmen rechtlich und praktisch gelingen sollte. Spätere Berichte zeigen zudem, dass eine parallele Beschwerde bei der Hamburger Datenschutzbehörde trotz festgestellter Rechtswidrigkeit jahrelang folgenlos blieb.

Die italienische Datenschutzbehörde Garante verhängte am 9. März 2022 ein Bußgeld von 20 Millionen Euro gegen das US-Unternehmen Clearview AI. Clearview AI hatte über 10 Milliarden Gesichtsbilder per Web Scraping gesammelt und daraus biometrische Profile erstellt, auch von Personen in Italien, ohne angemessene Rechtsgrundlage. Der Garante ordnete zusätzlich die Löschung der Daten italienischer Betroffener an, untersagte die weitere Datenerhebung und verpflichtete das Unternehmen zur Benennung eines EU-Vertreters.

Offen bleibt, ob und in welcher Höhe Clearview AI das Bußgeld tatsächlich gezahlt hat, da das Unternehmen keinen Sitz in der EU hat und die grenzüberschreitende Durchsetzbarkeit unklar ist. Nicht öffentlich dokumentiert ist der genaue Umfang der betroffenen italienischen Nutzerdaten sowie ob die angeordnete Löschung vollständig umgesetzt wurde.

Der US Supreme Court bestätigte am 17.01.2025 einstimmig per curiam den Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA), der im April 2024 von Präsident Biden unterzeichnet wurde. Das Gesetz verpflichtet den chinesischen ByteDance-Konzern, TikTok bis zum 19.01.2025 zu verkaufen, andernfalls drohen US-Anbietern Verbote von Vertrieb, Hosting und Updates der App. Das Gericht stufte das Gesetz als inhaltsneutral ein und begründete es mit dem staatlichen Interesse, den Zugriff einer als feindlich eingestuften Auslandsmacht auf die Nutzerdaten von Millionen Amerikanern zu verhindern.

Offen blieb im Urteil, ob und in welchem Umfang China tatsächlich TikTok-Nutzerdaten abgegriffen hat; das Gericht stützte sich auf die abstrakte Gefahr durch die Kontrollmöglichkeit von ByteDance, nicht auf einen nachgewiesenen konkreten Datenmissbrauch. Ebenfalls nicht Teil der gerichtlichen Feststellung war der genaue weitere wirtschaftliche und politische Ausgang des Falls.

The Guardian und das ICIJ-Konsortium mit mehr als 40 Medienpartnern veröffentlichten am 10. Juli 2022 die Uber Files, rund 124.000 interne Dokumente aus den Jahren 2013 bis 2017. Quelle des Leaks war der frühere Uber-Cheflobbyist für Europa, den Nahen Osten und Afrika, Mark MacGann. Belegt sind geheime Treffen mit Spitzenpolitikern in Dutzenden Ländern sowie ein technischer Kill-Switch, mit dem Uber-Mitarbeiter Behörden bei Razzien gezielt den Zugriff auf Firmendaten blockierten.

Die genaue Gesamtzahl der Dokumente und der betroffenen Länder wird in verschiedenen Berichten leicht unterschiedlich beziffert. Offen bleibt, ob und in welchem Umfang einzelne Manager oder beteiligte Amtsträger strafrechtliche Konsequenzen aus den Enthüllungen trugen. Uber räumte Fehler der früheren Führung vor 2017 ein, bestritt aber eine Fortsetzung dieser Praktiken unter dem seitdem neuen Management.

Human Rights Watch hat zusammen mit der Berliner Sicherheitsfirma Cure53 eine Version der Polizei-App der Integrated Joint Operations Platform (IJOP) aus Xinjiang reverse engineered. Die App fordert Beamte auf, umfangreiche persönliche Daten der Bevölkerung zu erfassen, darunter Bewegungsprofile, Fahrzeug- und Telefondaten, Bankinformationen, Familienbeziehungen sowie die Nutzung von VPNs und Messenger-Apps. Als verdächtig eingestufte Personen werden von der App automatisch an die Behörden gemeldet.

Wie die zentrale IJOP-Plattform im Detail mit weiteren landesweiten Überwachungssystemen verknüpft ist und nach welchen genauen Kriterien die Verdachtsalgorithmen entscheiden, bleibt laut Human Rights Watch eine Black Box. Auch vollständige Angaben zu Speicherung, Weitergabe und Löschung der gesammelten Daten sowie der aktuelle technische Stand der App nach 2018 sind nicht öffentlich dokumentiert.

Die US-Börsenaufsicht SEC stellte fest, dass Yahoos Sicherheitsteam bereits kurz nach dem Angriff im Dezember 2014 wusste, dass mutmaßlich russische Hacker Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, verschlüsselte Passwörter und Sicherheitsfragen von mindestens 108 Millionen Konten gestohlen hatten, vermutlich sogar aus der gesamten Nutzerdatenbank mit mehreren Milliarden Einträgen. Yahoo verschwieg den Vorfall fast zwei Jahre lang gegenüber Investoren in seinen Pflichtmitteilungen. Die Nachfolgegesellschaft Altaba Inc. zahlte dafür im April 2018 eine SEC-Strafe von 35 Millionen US-Dollar, die erste Sanktion dieser Art wegen unterlassener Offenlegung eines Datenlecks.

Die oft zitierte Zahl von insgesamt 3 Milliarden betroffenen Konten stammt aus einer separaten Unternehmensmitteilung von Yahoo bzw. Verizon aus dem Jahr 2017 und wird in dieser SEC-Anordnung selbst nicht beziffert. Die SEC-Order behandelt vor allem die Offenlegungspflichten gegenüber Anlegern, nicht aber das konkrete Ausmaß des Schadens für einzelne betroffene Nutzer oder die vollständige Identität der Angreifer.

Ende Juni 2021 bot ein Nutzer mit dem Pseudonym TomLiner in einem Darknet-Forum einen Datensatz mit persönlichen Daten von rund 700 Millionen LinkedIn-Accounts zum Kauf an, was mehr als 90 Prozent aller LinkedIn-Nutzer entspricht. Ein von heise Security geprüftes Sample enthielt vollständige Namen, E-Mail-Adressen, Telefonnummern, Wohnadressen, Standortdaten sowie LinkedIn-Profilinformationen. LinkedIn bestätigte, dass keine Passwörter betroffen waren, und erklärte, es handle sich um durch Scraping öffentlich einsehbarer Profildaten kombiniert mit Daten aus anderen Quellen, nicht um einen internen Einbruch in seine Systeme.

Nicht belegt ist, wie der Verkäufer eigentlich nicht öffentliche Daten wie Telefonnummern und private E-Mail-Adressen erlangte, wenn LinkedIn zugleich behauptet, es handle sich nur um öffentlich einsehbare Informationen. Offen bleibt auch, ob tatsächlich alle 700 Millionen Datensätze echt sind, da nur eine Stichprobe von rund einer Million Einträgen verifiziert wurde. Die wahre Identität von TomLiner ist bis heute nicht bekannt.

Am 4. Januar 2023 wurden im Hackerforum Breached E-Mail-Adressen und Profildaten von angeblich über 200 Millionen Twitter-Konten veröffentlicht, laut Have I Been Pwned rund 211,5 Millionen einzigartige Adressen. BleepingComputer und Sicherheitsforscher bestätigten die Echtheit vieler Adressen im Datensatz. Als ursprüngliche Quelle gilt eine Twitter-API-Schwachstelle, die von Juni 2021 bis Januar 2022 aktiv war und die Zuordnung von E-Mail-Adressen oder Telefonnummern zu Twitter-Konten erlaubte.

Twitter bestritt öffentlich, dass der 200-Millionen-Datensatz aus einer Kompromittierung eigener Systeme oder der bekannten API-Schwachstelle stamme, und erklärte, es handle sich um bereits anderweitig öffentlich verfügbare Daten. Eine unabhängige, abschließende Klärung der genauen Herkunft und der tatsächlichen Zahl einzigartig betroffener Nutzer steht bis heute aus.

Die britische Datenschutzbehörde ICO verhängte am 23. Mai 2022 ein Bußgeld von 7.552.800 Pfund gegen Clearview AI Inc. Laut ICO hatte das Unternehmen mehr als 20 Milliarden Gesichtsbilder aus dem Internet und sozialen Medien gesammelt, ohne Wissen oder Einwilligung der Betroffenen, und daraus eine durchsuchbare Gesichtserkennungsdatenbank für Kunden wie Polizeibehörden aufgebaut. Die ICO ordnete zusätzlich an, dass Clearview die Daten britischer Bürger löscht und keine weiteren Daten von UK-Bürgern mehr sammelt.

Das First-tier Tribunal hob das Bußgeld im Oktober 2023 auf, da es die Zuständigkeit der ICO für ein US-Unternehmen ohne UK-Geschäftstätigkeit bezweifelte. Im Oktober 2025 gab das Upper Tribunal der ICO in drei von vier Berufungspunkten recht, eine endgültige rechtskräftige Klärung des Falls steht aber weiterhin aus. Offen bleibt zudem, in welchem Umfang die ursprünglich angeordnete Löschung der Daten britischer Nutzer tatsächlich durchgesetzt wurde.

Die US-Bundesbehörde TSA hat am 13.01.2025 per finaler Regel festgelegt, dass ab dem 07.05.2025 an US-Flughafenkontrollen nur noch REAL-ID-konforme Führerscheine oder Ausweise beziehungsweise alternative Dokumente wie Reisepässe akzeptiert werden. Das REAL ID Act wurde bereits 2005 nach Empfehlungen der 9/11-Kommission verabschiedet und legt bundesweite Mindeststandards für die Ausstellung von Ausweisdokumenten fest.

Offen bleibt, ob Reisende ohne konformen Ausweis komplett von Flügen ausgeschlossen werden oder nur zusätzliche Kontrollen und Verzögerungen erfahren. Spätere Aussagen der Heimatschutzministerin deuteten auf Kulanz mit Zusatzprüfung hin. Die Pressemitteilung nennt keine verpflichtende biometrische Gesichtserkennung als Bestandteil der Kontrolle selbst, sondern nur höhere Dokumentensicherheitsstandards bei der Ausstellung durch die Bundesstaaten.

Dokumentiert ist, dass die TSA seit 2018 an inzwischen rund 25 bis knapp 30 US-Flughäfen Gesichtserkennung zur Identitätsprüfung testet (CAT-2-System des Anbieters Idemia) und eine Ausweitung auf bis zu 430 Flughäfen plant. Mehrere US-Senatoren brachten deshalb am 29.11.2023 den Traveler Privacy Protection Act (S. 3361) ein, der das Programm stoppen, die Löschung gespeicherter Gesichtsdaten erzwingen und eine künftige Nutzung an eine ausdrückliche Zustimmung des Kongresses binden soll. Die TSA bestätigt, dass die Teilnahme freiwillig ist und Reisende der Gesichtserkennung widersprechen können.

Offen bleibt, wie viele Reisende die Opt-out-Möglichkeit tatsächlich kennen oder nutzen, da Senator Merkley der TSA vorwarf, diese Option am Checkpoint nicht klar zu kommunizieren. Nicht abschließend belegt ist zudem, ob die von der NIST dokumentierten höheren Fehlerraten bei nicht-weißen Reisenden in der TSA-Praxis konkret zu Fehlidentifikationen geführt haben, und der Gesetzentwurf wurde im Kongress bislang nicht verabschiedet.

Rockstar Games bestätigte am 19.09.2022 offiziell einen Netzwerkeinbruch, bei dem ein Unbekannter vertrauliche Daten herunterlud, darunter frühe Entwicklungsaufnahmen zum nächsten Grand Theft Auto. Ein Nutzer hatte zuvor rund 90 Videoclips im Forum GTAForums veröffentlicht und erklärt, sich per Social Engineering Zugang zum Slack-Konto eines Rockstar-Mitarbeiters verschafft zu haben. Der Täter wurde später mit der Gruppe Lapsus$ in Verbindung gebracht; ein Gericht in London stellte 2023 fest, dass der britische Teenager Arion Kurtaj dafür verantwortlich war.

Ob GTA 6 zum Leckzeitpunkt offiziell in Entwicklung war, hatte Rockstar zuvor nicht öffentlich bestätigt. Der genaue Umfang der entwendeten Daten, etwa ob wie vom Hacker behauptet auch Quellcode betroffen war, ist aus Rockstars eigener Stellungnahme nicht abschließend belegt.