Quellen-Tabelle

Der texanische Attorney General Ken Paxton reichte am 20.10.2022 Klage gegen Google ein, gestützt auf den Texas Capture or Use of Biometric Identifier Act (CUBI) von 2009. Die Klage wirft Google vor, seit mindestens 2015 ohne ausreichende Einwilligung biometrische Identifikatoren wie Gesichtsgeometrie und Stimmabdrücke erfasst zu haben, unter anderem über Google Photos und Google Assistant. Am 09.05.2025 einigten sich Texas und Google auf eine Zahlung von 1,375 Milliarden Dollar, die auch parallele Klagen zu Standortverfolgung und Chrome-Inkognito-Daten abdeckte.

Wie viele Texaner konkret betroffen waren, ist nicht beziffert. Welcher Anteil des Vergleichsbetrags auf die biometrischen Vorwürfe entfällt, wurde nicht veröffentlicht. Google erkannte kein Fehlverhalten an, eine gerichtliche Klärung in der Sache fand nicht statt.

Gouverneur Jay Inslee unterzeichnete den My Health My Data Act am 27.04.2023, das erste US-Bundesstaatengesetz, das Gesundheitsdaten außerhalb von HIPAA schützt, etwa aus Wellness-Apps oder Standortdaten. Es verlangt vor Sammlung eine ausdrückliche Einwilligung und verbietet Geofencing im Umkreis von rund 600 Metern um Gesundheitseinrichtungen. Verstöße können vom Attorney General und durch Betroffene über eine private Klagebefugnis verfolgt werden. Die erste Klage richtete sich im Februar 2025 gegen Amazon wegen Standortdatenerfassung.

Wie viele Unternehmen die Vorgaben umgesetzt haben, ist nicht beziffert. Über den Ausgang der Klage gegen Amazon war zum Zeitpunkt der Recherche noch nicht entschieden. Wie Gerichte den Begriff der geschützten Gesundheitsdaten im Einzelfall auslegen, ist juristisch noch nicht höchstrichterlich geklärt.

Im Juni 2021 bot ein Nutzer unter dem Pseudonym TomLiner in einem Darknet-Forum Daten zu rund 700 Millionen LinkedIn-Profilen für 5.000 US-Dollar an, etwa 92 Prozent aller LinkedIn-Nutzer. Der Datensatz enthielt Namen, E-Mail-Adressen, Telefonnummern, Geolokationsdaten und abgeleitete Gehaltsschätzungen. LinkedIn erklärte, die Daten seien nicht durch einen Einbruch in interne Systeme erlangt worden, sondern durch automatisiertes Scraping der API und aus weiteren öffentlich zugänglichen Quellen. Passwörter waren nicht Teil des Datensatzes.

Nicht belegt ist, ob der gesamte angebotene Datensatz tatsächlich authentisch war. LinkedIn stufte den Vorgang als Verstoß gegen die Nutzungsbedingungen ein, nicht als Hack. Es ist offen, wie viele der Datensätze bereits aus früheren Datenlecks stammten. Die Identität hinter dem Pseudonym TomLiner wurde nicht geklärt.

Der Chaos Computer Club deckte gemeinsam mit dem Spiegel auf, dass die VW-Softwaretochter Cariad Fahrzeug- und Bewegungsdaten von rund 800.000 Elektroautos der Marken VW, Audi, Seat und Skoda über Monate ungeschützt in einem Amazon-Cloud-Speicher zugänglich hielt. Für etwa 460.000 Fahrzeuge waren präzise Standortdaten einsehbar, teils bis auf wenige Meter genau. Die Daten ließen sich mit Kundendaten verknüpfen. CCC-Sprecher informierten Cariad, VW und Behörden vor der Veröffentlichung, Cariad schloss die Sicherheitslücke innerhalb der gesetzten Frist. Ursache war laut Cariad eine Fehlkonfiguration der Cloud-Umgebung.

Nicht abschließend geklärt ist, wie lange die Daten tatsächlich frei zugänglich waren. Die Zahl von 800.000 betroffenen Fahrzeugen bezieht sich auf alle Fahrzeugdatensätze, während präzise Standortdaten nur bei rund 460.000 Fahrzeugen vorlagen. Ungeklärt bleibt, ob Dritte die Daten vor der Meldung durch den CCC tatsächlich abgegriffen haben, sowie der Ausgang möglicher Sammelklagen gegen Volkswagen.

23andMe bestätigte im Oktober 2023, dass ein Angreifer zwischen dem 29.04. und September 2023 mittels Credential Stuffing rund 14.000 Nutzerkonten kompromittierte. Über die DNA-Relatives-Funktion erhielt der Angreifer dadurch Zugriff auf Daten von etwa 6,9 Millionen Konten, darunter Namen, genetische Abstammungsergebnisse und teils Gesundheitsprädispositionsberichte. Eine im Januar 2024 eingereichte Sammelklage warf 23andMe vor, Nutzer mit aschkenasisch-jüdischer und chinesischer Abstammung nicht gezielt gewarnt zu haben, da Angreifer offenbar gezielt nach diesen ethnischen Gruppen filterten. 23andMe einigte sich später auf eine Zahlung von 30 Millionen US-Dollar.

Nicht öffentlich dokumentiert ist, wie genau der Angreifer die Auswahl nach ethnischer Abstammung technisch vornahm und ob dies gezielte Absicht oder eine zufällige Folge der Datenstruktur war. Die Identität und Motivation des oder der Angreifer wurde nicht geklärt. Der Vergleich über 30 Millionen US-Dollar stellt keine gerichtliche Feststellung eines Verschuldens dar.

Am 07.03.2017 veröffentlichte Apache die kritische Sicherheitslücke CVE-2017-5638 im Web-Framework Apache Struts. Equifax patchte diese Schwachstelle auf einem Kundenbeschwerdeportal nicht, obwohl ein interner Scan sie hätte identifizieren sollen. Angreifer verschafften sich laut GAO-Bericht am 10.03.2017 erstmals Zugriff und exfiltrierten vom 13.05. bis 30.07.2017 über 76 Tage hinweg unbemerkt Daten mittels rund 9.000 Datenbankabfragen auf 51 verschiedene Datenbanken. Betroffen waren personenbezogene Daten von 147,9 Millionen US-Bürgern, darunter Sozialversicherungsnummern und Geburtsdaten. Ursachen waren unter anderem fehlerhafte Netzwerksegmentierung und ein abgelaufenes Sicherheitszertifikat, das die Überwachung des verschlüsselten Datenverkehrs verhinderte.

Nicht dokumentiert ist, warum der interne Equifax-Scan das betroffene Portal nicht erfasste, Equifax sprach von einem Kommunikationsversagen zwischen Teams, ohne dass dies unabhängig verifiziert wurde. Die Zahl der betroffenen Personen schwankt je nach Quelle zwischen 143 und 147,9 Millionen. Die Zuordnung der Angreifer zu chinesischen Militärangehörigen der PLA beruht auf einer Anklage, nicht auf einem Urteil, da mangels Auslieferung keine gerichtliche Verurteilung erfolgte.

Anfang April 2016 wurde eine Datenbank mit 49.611.709 Datensätzen türkischer Bürger veröffentlicht, mit nationalen Personalausweisnummern, Namen, Adressen und Elternnamen. Betroffen waren auch Präsident Recep Tayyip Erdogan und sein Vorgänger Abdullah Gül. Die Angreifer hinterließen eine politisch motivierte Botschaft. Der türkische Justizminister bestätigte eine strafrechtliche Untersuchung.

Nicht geklärt ist, wer die Datenbank entwendet hat und auf welchem Weg. Die Herkunft der Daten wurde von türkischen Behörden nie offiziell bestätigt. Die Echtheit wurde nur stichprobenartig geprüft, eine vollständige forensische Verifizierung aller rund 50 Millionen Einträge fand nicht statt.

Im Juli 2015 drang eine Gruppe namens The Impact Team in die Systeme von Avid Life Media ein, dem Betreiber der Seitensprung-Plattform Ashley Madison. Im August 2015 veröffentlichten die Angreifer Nutzerdaten von rund 36 Millionen Konten weltweit, darunter Namen, E-Mail-Adressen und sexuelle Präferenzen. Am 14.12.2016 einigte sich der Betreiber mit der FTC und 13 Bundesstaaten auf eine Zahlung von 17,5 Millionen US-Dollar wegen unzureichender Datensicherheit.

Die Zahl der betroffenen Konten wird uneinheitlich angegeben, Medienberichte von 2015 sprachen von rund 32 Millionen, die FTC nennt 2016 offiziell 36 Millionen. Eine belastbare, verifizierte Gesamtzahl von Suiziden im Zusammenhang mit der Veröffentlichung liegt nicht vor. Die Identität der Hackergruppe The Impact Team wurde nie öffentlich aufgeklärt.

Datatilsynet stellte fest, dass die Dating-App Grindr zwischen 2018 und 2020 persönliche Daten ihrer Nutzer, darunter Standortdaten und Angaben wie HIV-Status und PrEP-Einnahme, ohne gültige Rechtsgrundlage an Werbepartner weitergab. Am 13.12.2021 verhängte die Behörde eine endgültige Geldbuße von 65 Millionen norwegischen Kronen, rund 5,7 Millionen Euro, wegen fehlender wirksamer Einwilligung nach Artikel 6 und 9 DSGVO.

Nicht geklärt ist, wie viele der weltweit rund 12,5 Millionen täglichen Nutzer tatsächlich betroffen waren. Das ursprünglich angekündigte Bußgeld von 9,6 Millionen Euro wurde nach Anhörung auf 5,7 Millionen Euro reduziert, ohne dass die Berechnungsmethode vollständig transparent gemacht wurde. Ein norwegisches Berufungsgericht bestätigte die Buße erst 2025.

Ein internes Werbedokument der SCL Group, Muttergesellschaft von Cambridge Analytica, wurde am 29.03.2018 vom Whistleblower Christopher Wylie an einen Ausschuss des britischen Unterhauses übergeben. Darin beschreibt SCL die eigene Arbeit für die nigerianische Regierung bei der Wahl 2007, unter anderem organisierte Antiwahl-Kundgebungen zur Wählerabschreckung in Oppositionshochburgen. Internationale Wahlbeobachter bewerteten die Wahl 2007 als eine der schlechtesten je beobachteten.

Nicht dokumentiert ist, in welchem Umfang die von SCL beschriebenen Taktiken tatsächlich zum Wahlausgang 2007 beitrugen. Das zentrale Beweisstück ist eine unternehmenseigene Werbebroschüre, die die eigene Wirksamkeit möglicherweise überzeichnet. Eine unabhängige Verifikation durch Dritte liegt nicht vor.

Im Oktober 2020 wurde die finnische Psychotherapie-Praxiskette Vastaamo gehackt, wobei vertrauliche Behandlungsnotizen von rund 30.000 Patienten entwendet wurden. Der Täter, später als Julius Kivimäki identifiziert, forderte zunächst rund 400.000 bis 450.000 Euro von Vastaamo. Als das Unternehmen nicht zahlte, verschickte er individuelle Erpressungs-E-Mails an tausende Patienten mit Forderungen von jeweils rund 200 Euro und veröffentlichte einen Teil der Daten dennoch. Kivimäki wurde im April 2024 zu sechs Jahren und drei Monaten Haft verurteilt.

Die Zahl der tatsächlich betroffenen Patienten schwankt zwischen rund 22.000 und über 30.000 und ist nicht abschließend amtlich bestätigt. Unklar bleibt, wie viele Patienten tatsächlich Lösegeld zahlten. Der von Medien berichtete Zusammenhang mit mindestens einem Suizid ist medial kolportiert, aber nicht gerichtlich als Kausalzusammenhang festgestellt worden.

Die FTC gab im Oktober 2018 einem erweiterten Vergleich mit Uber statt, nachdem Uber eine im November 2016 erfolgte Datenpanne mehr als ein Jahr verschwiegen hatte, während die Behörde bereits eine Untersuchung führte. Betroffen waren mehr als 25 Millionen Namen und E-Mail-Adressen sowie 600.000 Führerscheinnummern US-amerikanischer Fahrer. Uber zahlte den Angreifern über sein Bug-Bounty-Programm 100.000 US-Dollar. Der finale Beschluss verpflichtet Uber zu einem 20-jährigen Datenschutzprogramm mit regelmäßigen unabhängigen Prüfungen.

Nicht Teil dieser FTC-Entscheidung ist der separate Strafprozess gegen den ehemaligen Uber-Sicherheitschef Joseph Sullivan, der 2022 gesondert mit einem Schuldspruch endete. Offen bleibt, in welchem Umfang die vorgeschriebenen Prüfungen seit 2018 tatsächlich durchgeführt und veröffentlicht wurden.

Digitalcourage reichte im Oktober 2022 Klage gegen die Deutsche Bahn beim Landgericht Frankfurt ein. Der Vorwurf: Die App DB Navigator übertrage personenbezogene Nutzerdaten an Drittanbieter wie Google und Adobe, auch bei eingeschränkten Cookie-Einstellungen. Am ersten Verhandlungstag am 19.05.2025 äußerte sich das Gericht kritisch gegenüber dem Argument der Bahn, die Tracker seien unverzichtbar.

Ein rechtskräftiges Urteil lag zum Recherchezeitpunkt nicht vor. Es handelt sich nicht um ein klassisches Datenleck, sondern um eine zivilrechtliche Auseinandersetzung über die Zulässigkeit von Datenübermittlungen. Die genaue Anzahl betroffener Nutzer ist nicht abschließend beziffert.

Am 27.05.2020 wurden wegen einer fehlerhaften Cache-Konfiguration im CDN der Klarna-App für rund 31 Minuten Kontodaten anderer Nutzer angezeigt. Betroffen waren laut Korrektur bis zu 9.500 Nutzer, ursprünglich war von bis zu 90.000 die Rede. Sichtbar waren Name, Postadresse, Kaufhistorie und Teile der Zahlungsmethoden. Klarna bezeichnete den Vorfall als selbst verursachten technischen Fehler, nicht als externen Angriff.

Klarna korrigierte die Zahl von bis zu 90.000 auf bis zu 9.500 Personen, ohne die Diskrepanz im Detail zu erklären. Unklar bleibt, ob tatsächlich vollständige Zahlungskartendaten sichtbar waren, da Klarna dies als nicht sensibel im Sinne der DSGVO einstufte, während Nutzer von sichtbaren Bankverbindungsdaten berichteten.

Die niederländische Datenschutzbehörde verhängte am 11.12.2023 eine Geldbuße von 10 Millionen Euro gegen Uber wegen Verstößen gegen Artikel 12, 13 und 15 DSGVO, weil Uber Fahrer nicht ausreichend über Speicherdauer und Übermittlung ihrer Daten außerhalb Europas informierte. Zudem war das Verfahren zur Ausübung der Betroffenenrechte unzumutbar kompliziert. Auslöser war eine Beschwerde im Namen von rund 170 französischen Uber-Fahrern.

Diese Buße betraf primär mangelnde Transparenz, nicht die eigentliche Rechtmäßigkeit der Datenübermittlung in die USA. Die tatsächliche Strafe wegen unzureichend abgesicherter Datenübermittlung war eine separate, deutlich spätere Buße von 290 Millionen Euro im August 2024. Ob Uber gegen die 10-Millionen-Euro-Buße erfolgreich Einspruch erhoben hat, war zum Recherchezeitpunkt nicht geklärt.

Der EuGH entschied am 07.12.2023 im Verfahren C-634/21, dass die Erstellung eines Scores durch eine Auskunftei wie die Schufa als automatisierte Einzelfallentscheidung im Sinne von Artikel 22 DSGVO einzustufen ist, wenn Dritte wie Banken diesem Score eine maßgebliche Rolle beimessen. Eine solche automatisierte Entscheidung ist grundsätzlich verboten. Das Urteil erging im Vorlageverfahren des Verwaltungsgerichts Wiesbaden. Der EuGH stellte zugleich klar, dass die Löschfrist für Restschuldbefreiungen an die kürzere gesetzliche Frist des Insolvenzregisters anzupassen ist.

Nicht bewiesen beziehungsweise offen gelassen ist, ob die konkrete Score-Vergabe im Einzelfall tatsächlich eine verbotene automatisierte Entscheidung darstellt, diese Prüfung wurde an nationale Gerichte zurückverwiesen. Umstritten bleibt, wie stark der Einfluss des Scores sein muss, um als maßgeblich zu gelten. Die genaue Berechnungsmethode des Schufa-Scores bleibt Geschäftsgeheimnis.

Die ACLU reichte am 28.05.2020 Klage gegen Clearview AI wegen Verstoßes gegen den Illinois Biometric Information Privacy Act ein. Am 11.05.2022 wurde ein Vergleich geschlossen, der es Clearview dauerhaft untersagt, die Gesichtsdatenbank landesweit an die meisten privaten Unternehmen zu verkaufen. Für fünf Jahre erhalten staatliche und kommunale Polizeibehörden in Illinois keinen neuen Zugang. Bewohner erhielten ein Opt-out-Recht, Clearview zahlte 50.000 US-Dollar zur Bewerbung des Programms sowie 250.000 US-Dollar Anwaltskosten.

Der Vergleich ist kein Schuldeingeständnis, Clearview bestreitet weiterhin einen Verstoß. Es wurden keine direkten Zahlungen an einzelne Kläger geleistet. Der Vergleich betrifft nicht den Zugang von Bundesbehörden, sodass Clearview sein Geschäft mit Behörden anderer US-Bundesstaaten unverändert fortsetzen konnte.

Twitter bestätigte 2018, dass die Firma Global Science Research des Cambridge-Psychologen Aleksandr Kogan 2015 für einen Tag Zugang zu einer Zufallsstichprobe öffentlicher Tweets erhielt. Kogans Firma hatte zuvor 2014 von Cambridge Analytica mehr als 800.000 US-Dollar für eine Facebook-Persönlichkeits-App erhalten, die Daten von bis zu 87 Millionen Nutzern sammelte. Twitter erklärte, nur öffentliche Tweets seien betroffen gewesen, keine privaten Nutzerdaten.

Nicht belegt ist, ob die Twitter-Daten tatsächlich mit den Facebook-Daten kombiniert oder für Wahlkampfzwecke genutzt wurden. Twitter und Kogan bestreiten diesen Zusammenhang. Ein konkreter Kaufpreis für den Datenzugang wurde nicht genannt.

Am 14.11.2022 einigte sich Google mit 40 US-Generalstaatsanwälten auf einen Vergleich über 391,5 Millionen US-Dollar wegen irreführender Standortverfolgung. Die Untersuchung ergab, dass Google zwischen 2014 und 2020 Nutzer im Unklaren ließ, dass das Deaktivieren des Standortverlaufs die Standorterfassung nicht vollständig stoppte, da über die separate Einstellung Web und App Aktivität weiter Daten gesammelt wurden. Die Behörden bezeichneten es als größten mehrstaatlichen Datenschutzvergleich der US-Geschichte.

Der Vergleich stellt keine gerichtliche Feststellung eines Rechtsverstoßes dar, Google bestreitet weiterhin Fehlverhalten. Offen bleibt, in welchem Umfang die Summe einzelnen Nutzern zugutekam, da sie an die Bundesstaaten floss, nicht als direkte Entschädigung an Verbraucher.

Im Oktober 2012 gab die South Carolina Department of Revenue bekannt, dass Angreifer bei Einbrüchen im August und September 2012 rund 3,6 Millionen Sozialversicherungsnummern sowie etwa 387.000 Kredit- und Debitkartennummern erbeuteten. Die Behörde entdeckte den Einbruch am 10.10.2012, die Sicherheitslücke wurde am 20.10.2012 geschlossen. Betroffen waren alle Personen, die seit 1998 eine Steuererklärung eingereicht hatten. Der Staat gab mehr als 20 Millionen US-Dollar für Reaktion und sechs Jahre kostenlose Kreditüberwachung aus.

Nicht dokumentiert ist die genaue Identität der Angreifer. Medienberichte sprachen von vermutetem ausländischem Ursprung, eine offizielle Zuordnung liegt nicht vor. Auch zehn Jahre später blieben zentrale Ermittlungsfragen offen, ein Abschlussbericht mit vollständiger Attribution wurde nicht veröffentlicht.

Das OPM gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff die Daten von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller einer Sicherheitsüberprüfung. Erbeutet wurden Sozialversicherungsnummern, Gesundheits-, Finanz- und Strafregisterdaten, 1,1 Millionen Datensätze enthielten zusätzlich Fingerabdrücke. Die Angreifer waren zwischen Juni 2014 und Januar 2015 im Netzwerk aktiv. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 zurück.

Nicht gerichtsfest bewiesen ist die Urheberschaft, US-Behörden verwiesen wiederholt auf chinesische Akteure, China bestreitet dies. Unklar bleibt, ob die gestohlenen Daten tatsächlich für Spionage genutzt wurden. Die Gesamtzahl der Betroffenen wurde im Verlauf mehrfach nach oben korrigiert.

Angreifer verschafften sich ab dem 02.12.2014 durch eine Phishing-Mail Zugriff auf die IT-Systeme von Anthem und blieben bis zum 27.01.2015 unentdeckt. Betroffen waren die Gesundheitsdaten von rund 78,8 Millionen Personen, der bis dahin größte bekannte Datendiebstahl im US-Gesundheitswesen. Am 15.10.2018 einigten sich Anthem und HHS OCR auf eine Zahlung von 16 Millionen US-Dollar, die bis dahin höchste HIPAA-Vergleichszahlung.

Nicht dokumentiert ist, welche konkrete Gruppe hinter dem Angriff stand, Medienberichte brachten den Fall mit chinesischen Akteuren in Verbindung, eine formelle Anklage erfolgte erst Jahre später. Unklar bleibt, in welchem Umfang die gestohlenen Daten tatsächlich missbraucht wurden.

Die FTC gab am 29.11.2011 bekannt, sich mit Facebook auf einen Vergleich wegen acht Anklagepunkten irreführender Datenschutzpraktiken geeinigt zu haben, insbesondere im Zuge der Änderungen der Privatsphäre-Einstellungen im Dezember 2009. Die endgültige Konsent Order wurde am 10.08.2012 bestätigt. Facebook verpflichtete sich zu einer 20-jährigen Aufsichtsperiode mit zweijährlichen unabhängigen Datenschutzaudits, eine der ersten großen föderalen Datenschutz-Konsent-Orders vor dem Cambridge-Analytica-Skandal 2018.

Die Vereinbarung sah keine Geldstrafe vor, sondern Verhaltensauflagen. Erst die spätere FTC-Untersuchung im Zusammenhang mit Cambridge Analytica führte 2019 zu einer Rekordstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen genau diese Order. Umstritten ist, ob die Auflagen in der Praxis wirksam durchgesetzt wurden.

Der IT-Sicherheitsforscher Mike Kuketz dokumentierte am 05.05.2022, dass die BahnBonus-App bereits vor jeglicher Nutzereinwilligung Verbindungen zu Drittanbietern wie Adobe Analytics und Instabug in den USA aufbaute, dabei wurden Gerätekennungen und weitere Daten übertragen. Kuketz bewertete dies als Verstoß gegen das TTDSG. Die Deutsche Bahn hatte die App im Rahmen der BahnBonus-Umstellung im Juni 2022 eingeführt, deren Rollout laut heise online mit zahlreichen weiteren Fehlern verbunden war.

Die Behauptung, ein technischer Fehler habe fremde Kundendaten anderer Nutzer sichtbar gemacht, ließ sich nicht als eigenständig dokumentierter Vorfall verifizieren. Belegt sind stattdessen Datenschutzmängel durch Tracking ohne Einwilligung. Ein Bußgeld im Zusammenhang mit einem solchen spezifischen Vorfall ist nicht dokumentiert.

Mozilla veröffentlichte am 07.11.2024 einen Bericht über Artikel 45 der eIDAS-2.0-Verordnung, der Browser verpflichtet, staatlich benannte Qualified Website Authentication Certificates anzuerkennen. Mozilla und die EFF warnten in einem offenen Brief, staatlich kontrollierte kryptografische Schlüssel könnten zur Interception verschlüsselten Webverkehrs genutzt werden. Mehr als 500 IT-Sicherheitsexperten unterzeichneten einen Protestbrief.

Nicht belegt ist, dass es bis Ende 2024 zu einem dokumentierten Fall staatlicher Zertifikats-Interception unter eIDAS 2.0 kam. Die Kritik bezieht sich auf ein befürchtetes Risiko, nicht auf einen nachgewiesenen Missbrauchsfall. Wie wirksam vom EU-Parlament eingeführte Schutzmaßnahmen sind, war noch nicht abschließend geklärt.