Quellen-Tabelle

Voice-Authentifizierungssysteme nach nur sechs Versuchen zu 99% umgehbar, bei Amazon Connect Erfolgsquote in 30 Sek. über 40%.

Erfolgsquoten teils unter Laborbedingungen.

Sicherheitsforscher fanden Schwachstelle im Governikus-Autent-SDK, mit der Angreifer sich online als beliebige Personen ausgeben konnten.

Betraf Server-Software, nicht direkt den RFID-Chip selbst.

Bestochene ausgelagerte Support-Mitarbeiter gaben KYC-Daten von Coinbase-Kunden an Kriminelle weiter, die 20 Mio. USD Lösegeld forderten.

Basiert auf Unternehmensangaben.

69.461 Nutzer betroffen laut behördlichen Meldungen, Coinbase rechnet mit 180-400 Mio. USD Kosten.

Basiert auf Coinbase-Pflichtmeldungen.

Von rund 800.000 betroffenen Fahrzeugen (300.000 in Deutschland) waren zu 460.000 präzise Standortdaten abrufbar; bei VW und Seat auf etwa 10 Zentimeter genau, bei Audi und Skoda auf etwa 10 Kilometer. Betroffen waren auch 35 E-Fahrzeuge der Hamburger Polizei.

Genauigkeitsangaben stammen aus der CCC-/Spiegel-Recherche und wurden von VW nicht im Detail bestätigt.

Cariad hatte rund 9,5 Terabyte Daten weitgehend ungeschützt in einem Amazon-Cloudspeicher liegen, darunter Fahrzeug-Identifikationsnummern, Halterinformationen und GPS-Positionen mit bis zu zehn Zentimetern Genauigkeit. Bei Mercedes-Benz fanden die Autoren rund 100 Datenarten inklusive GPS-Fahrtenbuch mit drei Monaten Speicherdauer.

Belegt Telematik- und Sensordaten, jedoch keine Übertragung von Innenraum-Kamerabildern an die Hersteller.

Standortgenauigkeit lag bei VW und Seat bei rund 10 Zentimetern, bei Audi und Skoda bei rund 10 Kilometern; betroffen waren u.a. 300.000 Fahrzeuge in Deutschland, 80.000 in Norwegen, 68.000 in Schweden.

Stützt sich vollständig auf die CCC-/Spiegel-Recherche, nennt keine exakte Anfangsdauer des Lecks.

Seit dem 31.03.2018 dürfen neue Pkw-Typen nur noch mit 112-basiertem eCall typgenehmigt werden; das System darf das Fahrzeug im Normalbetrieb nicht nachverfolgbar machen, Positionsdaten werden fortlaufend gelöscht und nur die drei letzten Positionen vorgehalten.

Regelt nur das 112-eCall-System, nicht die herstellereigenen Zusatzdienste über dieselbe Hardware.

Am 07.03.2021 lehnte die Schweizer Stimmbevölkerung mit knapp zwei Dritteln Nein-Stimmen ein E-ID-Gesetz ab, das eine private Firma mit der Ausgabe der elektronischen Identität beauftragt hätte. Das Parlament verabschiedete am 20.12.2024 ein neues E-ID-Gesetz, bei dem der Staat die technische Infrastruktur betreibt und auf Open-Source-Komponenten setzt. Über diese zweite Vorlage stimmte die Schweiz am 28.09.2025 erneut ab, nachdem ein Referendum mit 55.344 gültigen Unterschriften zustande gekommen war.

Das Ergebnis der Abstimmung vom 28.09.2025 selbst ist aus den vorliegenden Quellen nicht mit belastbarer Zahl belegt und wird hier bewusst nicht behauptet.

Der DNA-Testanbieter 23andMe meldete am 23.03.2025 Insolvenz nach Chapter 11 an, was potenziell den Verkauf von Gendaten von über 15 Millionen Nutzern zur Folge hatte. Das Pharmaunternehmen Regeneron Pharmaceuticals gewann zunächst die gerichtlich überwachte Auktion am 16.05.2025 mit einem Gebot von 256 Millionen US-Dollar. In einer überraschenden Wendung genehmigte ein Insolvenzrichter jedoch stattdessen den Verkauf des Unternehmens samt Gendaten an eine gemeinnützige Organisation unter Leitung von Mitgründerin Anne Wojcicki, als Reaktion auf verbreitete Datenschutzbedenken gegen die ursprünglich geplante Übertragung an einen Dritten wie Regeneron.

Ob und wie sich die Datenschutzbedingungen für Bestandskunden durch den Eigentümerwechsel an die Stiftung tatsächlich änderten, ist aus dieser Quelle nicht im Detail belegt.

Im April 2018 wurde der sogenannte 'Golden State Killer' Joseph James DeAngelo mithilfe genetischer Genealogie identifiziert: Ermittler luden eine an einem Tatort von 1980 gesicherte DNA-Probe bei GEDmatch hoch, einer kostenlosen Plattform, auf der Nutzer ihre bei kommerziellen Anbietern wie 23andMe oder Ancestry erstellten DNA-Profile hochladen können, um entfernte Verwandte zu finden. Anders als 23andMe und Ancestry, die für Strafverfolgungsanfragen einen förmlichen Durchsuchungsbefehl oder Gerichtsbeschluss verlangen, benötigten die Behörden für den Zugriff auf die GEDmatch-Datenbank keinen Gerichtsbeschluss. Über Ururgroßeltern und Cousins dritten Grades rekonstruierten Genealogen einen Stammbaum, der zum Verdächtigen führte. Eine spätere wissenschaftliche Analyse zeigte, dass diese Methode etwa 60 Prozent der weißen US-Bevölkerung über verwandtschaftliche Treffer identifizierbar macht, selbst wenn die Person selbst nie einen DNA-Test gemacht hat.

Die 60-Prozent-Schätzung bezieht sich auf die weiße US-Bevölkerung und stammt aus einer wissenschaftlichen Modellrechnung, nicht aus einer Vollerhebung; Übertragbarkeit auf andere Bevölkerungsgruppen oder Länder ist aus dieser Quelle nicht belegt.

Das Ausländerzentralregister (AZR) ist mit 35,3 Millionen personenbezogenen Datensätzen (Stand 31.12.2025) eines der größten automatisierten Register der deutschen Verwaltung. Datenschutzbehörden kritisieren seit Jahren, dass sich das AZR von einem Register für rein ausländerrechtliche Zwecke zu einer umfassenden behördenübergreifenden Informationsinfrastruktur entwickelt hat; das zugrunde liegende Gesetz wurde seit Inkrafttreten 40-mal geändert, stets mit erweiterten Zugriffsrechten für Behörden, ohne dass Betroffene mehr Rechte erhielten. Am 09.07.2026 beschloss der Bundestag das Gesetz zur 'Weiterentwicklung der Digitalisierung in der Migrationsverwaltung' (MDWG), der Bundesrat stimmte am Folgetag zu. Danach soll das Register bestimmte Daten künftig automatisiert unmittelbar nach der Speicherung an festgelegte Empfängerbehörden übermitteln. Bereits 2019 warnte die Datenschutzkonferenz von Bund und Ländern, die dauerhaft vergebene AZR-Nummer könne sich zu einem bereichsübergreifenden Personenkennzeichen entwickeln, das Daten aus verschiedenen Lebensbereichen leichter verknüpfbar macht.

Die konkrete Liste der künftig automatisch empfangsberechtigten Behörden sowie eine erste Praxisauswertung nach Inkrafttreten des MDWG sind aus dieser Quelle nicht belegt, da das Gesetz zum Zeitpunkt der Quelle gerade erst beschlossen wurde.

An der Adolph-Schönfelder-Grundschule in Hamburg sowie 15 weiteren Schulen entschied ein Catering-Unternehmen, dass Grundschulkinder ihren Fingerabdruck zeigen mussten, um Zugang zur Schulkantine zu erhalten. Die IT-Firma People & Project GmbH aus Schleswig-Holstein hatte das biometrische Bezahlsystem den Schulbehörden im Oktober 2012 angeboten, eingeführt wurde es zu Schuljahresbeginn. Das Unternehmen ignorierte laut Piratenpartei Hamburg die Einwände zahlreicher Eltern; Kritik kam zusätzlich von der Opposition und Datenschutzinstitutionen, die betonten, Schulen hätten die pädagogische Aufgabe, Kinder für den Umgang mit ihren persönlichen Daten zu sensibilisieren, statt sie zur biometrischen Erfassung zu zwingen.

Ob das System nach den Protesten tatsächlich wieder abgeschafft wurde, ist aus dieser Quelle nicht belegt.

Für rund 9 US-Dollar im Monat können Eltern die App Bark mit den Geräten ihrer Kinder verbinden, um Textnachrichten, E-Mails sowie Social-Media-Beiträge auf über 30 Plattformen (u. a. Instagram, Snapchat, TikTok, Discord) automatisiert per KI auf Anzeichen von Mobbing, Grooming, Selbstverletzung, Suizidgedanken oder anderen Risiken zu durchsuchen; die App hat nach eigenen Angaben bereits über 2 Millionen Smartphones gescannt. Eine Kinderschutzexpertin von UNICEF wies auf Datenschutzbedenken hin, insbesondere wenn Kinder nicht wissen, dass eine solche App installiert ist. Zahlreiche Nutzer, darunter Teenager selbst, beschweren sich über die Verletzung ihrer Privatsphäre und berichten, dass die Überwachung das Vertrauen innerhalb der Familie beschädigt; Kritiker bezeichnen das Bark-Monitoring als De-facto-Überwachung des Privatlebens von Kindern im Namen ihrer Sicherheit.

Bark selbst wirbt damit, nur bei tatsächlich erkannten Risiken zu alarmieren statt alle Nachrichten offenzulegen; ob dieses Versprechen technisch zuverlässig eingehalten wird, ist aus dieser Quelle nicht unabhängig geprüft.

Die Nachbarschafts-App Nextdoor, gedacht für Themen wie Flohmärkte oder gestohlene Fahrräder, geriet in den Ruf, zu einer Plattform für Racial Profiling geworden zu sein: Nutzer posteten wiederholt Warnungen vor 'verdächtigen' Personen, oft People of Color, mit Formulierungen wie 'Dunkelhäutiger Mann bricht in Auto ein' oder 'Hispanischer Mann läuft verdächtig durch die Nachbarschaft', teils ohne jedes weitere Merkmal außer Hautfarbe. Gemeinschaftsgruppen in Oakland, Kalifornien, machten das Unternehmen auf entsprechende Beiträge aufmerksam. Nextdoor wurde zusätzlich für seine enge Zusammenarbeit mit Polizeibehörden kritisiert und entfernte im Juni 2020 die umstrittene Funktion 'Forward to Police', mit der Nutzer Beiträge direkt an die lokale Polizei weiterleiten konnten. Im August 2020 kündigte das Unternehmen eine algorithmische Lösung gegen reines Rassenprofiling in Beiträgen an, ergänzt um Bias-Schulungen für Moderatoren und die Rekrutierung weiterer Schwarzer Moderatoren.

Neun Monate nach der Ankündigung der algorithmischen Lösung bestand das Problem laut derselben Quelle weiterhin fort; die Wirksamkeit der Gegenmaßnahmen war zum Berichtszeitpunkt also nicht belegt.

Ab dem 01.01.2027 soll in Deutschland ein antragsloses Kindergeld eingeführt werden, mit automatischer Auszahlung ab etwa März 2027 zunächst für Eltern, die bereits für ein älteres Kind Kindergeld beziehen. Kern des neuen Verfahrens ist ein automatisierter Datenabgleich zwischen Behörden: Nach der Geburt eines Kindes meldet das Standesamt Daten an die Meldebehörde, die sie an das Bundeszentralamt für Steuern (BZSt) weiterleitet, welches eine Steuer-Identifikationsnummer für das Kind vergibt und die Familienkasse informiert. Der Deutsche Familienverband begrüßte den Schritt als spürbare Entlastung für Eltern. Für einen erheblichen Teil der Eltern greift die Automatik jedoch nicht, weil technische oder rechtliche Voraussetzungen fehlen: neu zugezogene Eltern ohne Steuerhistorie, Bedarfsgemeinschaften mit abweichender bürokratischer Logik, getrennt lebende Eltern bei Sorgerechtsstreit (das Melderegister kann Haushaltswechsel nach Trennung nicht automatisch auflösen) sowie im Ausland lebende Eltern, die weiterhin einen vorausgefüllten Antrag selbst einreichen müssen.

Die Reform löst das Antragsproblem primär für Eltern mit stabiler, unkomplizierter Familien- und Aufenthaltssituation; gerade Familien in komplexeren Lebenslagen bleiben laut dieser Quelle vom automatisierten Verfahren ausgeschlossen.

Anbieter kommerzieller Gentests wie 23andMe locken Kunden mit dem Versprechen, mehr über ihre Abstammung zu erfahren, verkaufen die gewonnenen genetischen Daten jedoch zugleich an die Pharmaforschung. 2018 ging 23andMe eine großangelegte, zunächst bis mindestens 2022 angelegte Kooperation mit dem Pharmakonzern GlaxoSmithKline (GSK) ein, um auf Basis der Gendaten von 23andMe-Kunden Zielstrukturen für neuartige Medikamente zu identifizieren; GSK investierte im Zuge der Kooperation 300 Millionen US-Dollar in Unternehmensanteile von 23andMe. Zu Beginn der Zusammenarbeit hatten die Firmen acht Forschungsziele definiert, inzwischen waren es bereits mehr als dreißig.

Ob und in welcher Form einzelne 23andMe-Kunden aktiv über die Weitergabe ihrer Daten an GSK informiert wurden bzw. der Nutzung ausdrücklich zustimmen mussten, ist aus dieser Quelle nicht im Detail beschrieben.

Die Private-Equity-Firma Blackstone übernahm im August 2020 für 4,7 Milliarden US-Dollar die Mehrheit an Ancestry.com, Betreiber der weltweit größten Datenbank für genetische und genealogische Verbraucherdaten mit 24 Milliarden Datensätzen und Genom-Daten von 18 Millionen Menschen. Eine Sammelklage warf Ancestry.com vor, seine genetische Datenbank ohne die nach Illinois-Recht erforderliche schriftliche Einwilligung der Betroffenen an den erwerbenden Finanzinvestor weitergegeben zu haben; die Übernahme umfasste neben Genomdaten auch persönliche Identifikationsdaten wie Vor- und Nachnamen, E-Mail-Adressen, Wohnadressen sowie teils Alter und Geschlecht. Blackstone erklärte öffentlich, das Unternehmen habe keinen und werde keinen Zugriff auf DNA-Daten der Nutzer erhalten. Datenschutzexperten wiesen dennoch darauf hin, dass sich die Datenschutzbedingungen für Bestandskunden durch den Eigentümerwechsel nicht änderten und ein solcher Kontrollwechsel bei sensiblen Gendaten einen 'sehr besorgniserregenden Trend' darstelle, den Aufsichtsbehörden bislang unzureichend regulieren.

Ob Blackstones öffentliche Zusicherung, keinen Zugriff auf DNA-Daten zu erhalten, durch eine unabhängige Prüfung verifiziert wurde, ist aus dieser Quelle nicht belegt; sie beruht auf der Selbstauskunft des Unternehmens.

Marriott International teilte am 31.03.2020 mit, dass Unbekannte zwischen Mitte Januar 2020 und Ende Februar 2020 auf Gästedaten von schätzungsweise 5,2 Millionen Personen zugreifen konnten. Die Angreifer nutzten dabei die Login-Daten von zwei Mitarbeitern eines Franchise-Hotels der Kette, um sich Zugang zu einer Anwendung zu verschaffen, mit der Marriott-Franchisenehmer Gästeservices verwalten. Marriott entdeckte den unautorisierten Zugriff Ende Februar 2020 und deaktivierte daraufhin die betroffenen Zugangsdaten. Zu den kompromittierten Daten gehörten Namen, Geschlecht, Geburtstag und -monat, Adressen, Telefonnummern, E-Mail-Adressen, Arbeitgeberangaben, Treueprogramm-Informationen einschließlich verknüpfter Fluggesellschaftskonten sowie Präferenzen zum Hotelaufenthalt. Nach Angaben des Unternehmens waren Zahlungskartendaten, Passwörter und PINs der Bonvoy-Konten, Passnummern sowie nationale Ausweis- und Führerscheinnummern nicht betroffen. Marriott setzte anschließend die Passwörter aller Bonvoy-Mitglieder zurück, informierte die betroffenen Gäste per E-Mail, richtete ein Online-Portal zur Überprüfung des eigenen Betroffenenstatus ein und bot ein Jahr kostenloses Identitätsüberwachungs-Monitoring durch Experian IdentityWorks an. Es handelte sich um den zweiten großen Datenschutzvorfall bei Marriott nach dem Starwood-Leck von 2018 mit rund 339 Millionen betroffenen Datensätzen weltweit.

Aus dieser Quelle nicht belegt sind der genaue Name des betroffenen Franchise-Hotels sowie die exakte Zahl und Identität der involvierten Täter; auch etwaige Bußgelder oder rechtliche Konsequenzen speziell für diesen 2020er-Vorfall werden hier nicht dokumentiert.

Am 15.09.2022 wurde der Fahrdienstvermittler Uber Ziel eines schwerwiegenden Cyberangriffs auf seine internen Systeme. Ein Angreifer verschaffte sich per Social Engineering Zugang zum Uber-Konto eines externen Vertragspartners, dessen Zugangsdaten vermutlich zuvor im Darknet erworben worden waren, und überflutete ihn anschließend mit wiederholten Multi-Faktor-Authentifizierungsanfragen, bis dieser eine Anmeldung bestätigte (MFA-Fatigue-Angriff). Über den so erlangten VPN-Zugang fand der Angreifer in einem internen Netzwerkverzeichnis ein PowerShell-Skript mit hinterlegten Administrator-Zugangsdaten und weitete damit seine Rechte deutlich aus. Mit diesen erhöhten Rechten übernahm er unter anderem Ubers Slack-Arbeitsbereich, Google-Workspace-Konten, AWS- und Google-Cloud-Umgebungen sowie den HackerOne-Verwaltungsbereich und interne Mitarbeiter-Dashboards. Uber-Mitarbeiter bemerkten den Vorfall, als im firmenweiten Slack-Kanal eine Nachricht erschien, in der sich der Angreifer als Hacker zu erkennen gab und eine Datenschutzverletzung ankündigte. Uber und mehrere Medien ordneten den Angriff einem angeblich 18-jährigen Mitglied der Hackergruppe Lapsus$ zu, das später als Brite Arion Kurtaj identifiziert wurde. Uber erklärte, dass keine sensiblen Nutzerdaten wie Zahlungs- oder Bankdaten sowie keine Fahrtinformationen abgeflossen und der Quellcode nicht verändert worden seien; FBI und US-Justizministerium wurden in die Ermittlungen eingebunden. Im August 2023 wurde Kurtaj in London wegen mehrerer Straftaten im Zusammenhang mit den Uber- und Rockstar-Games-Hacks schuldig gesprochen und im Dezember 2023 zu unbefristeter Unterbringung in einer psychiatrischen Einrichtung verurteilt.

Aus der Quelle nicht unabhängig verifizierbar ist, ob Ubers Zusicherung, dass keine sensiblen Kunden- und Zahlungsdaten abgeflossen sind, extern geprüft wurde oder allein auf der eigenen internen Untersuchung des Unternehmens beruht. Auch die exakte Zuordnung des Angriffs zu genau einer Einzelperson statt zu mehreren Beteiligten der Lapsus$-Gruppe war zum Zeitpunkt der ersten Berichterstattung noch nicht gerichtsfest geklärt.

Der US-Kosmetikkonzern Estée Lauder wurde im Juli 2023 von zwei rivalisierenden Ransomware-Gruppen gleichzeitig angegriffen. Die Gruppe BlackCat/ALPHV gab an, erstmals am 15.07.2023 Kontakt zur Unternehmensleitung aufgenommen zu haben, und drohte mit der Veröffentlichung von mehr als 130 Gigabyte gestohlener Daten, ohne dabei das Firmennetzwerk zu verschlüsseln. Parallel dazu listete die Gruppe Clop Estée Lauder auf ihrer Leak-Seite und beanspruchte den Diebstahl von mehr als 131 Gigabyte an Daten. Clop erlangte den Zugriff nach eigenen Angaben über eine Schwachstelle in der Dateiübertragungssoftware MOVEit Transfer von Progress Software, die seit Ende Mai 2023 als Zero-Day-Lücke ausgenutzt wurde. Estée Lauder bestätigte den Vorfall am 18.07.2023 in einer Pflichtmitteilung (Form 8-K) an die US-Börsenaufsicht SEC. Der Konzern schaltete vorsorglich Teile seiner IT-Systeme ab, um eine weitere Ausbreitung im Netzwerk zu verhindern, und beauftragte externe Cybersicherheitsexperten sowie Strafverfolgungsbehörden mit der Untersuchung. Laut SEC-Mitteilung führte der Vorfall zu Störungen in Teilen des Geschäftsbetriebs, die auch über die Veröffentlichung hinaus andauern sollten. Eine konkrete Lösegeldforderung wurde von BlackCat nicht öffentlich beziffert, die Gruppe drohte jedoch mit weiterer Datenveröffentlichung bei ausbleibender Verhandlungsbereitschaft.

Aus dieser Quelle ist nicht belegt, welche konkreten Datenkategorien wie Kunden- oder Mitarbeiterdaten tatsächlich betroffen waren, ob ein Lösegeld gezahlt wurde und wie der Vorfall rechtlich oder finanziell für Estée Lauder letztlich ausging.

Equifax, eines der drei großen US-amerikanischen Kreditauskunftsunternehmen, gab am 07.09.2017 bekannt, dass Angreifer zwischen Mai und Ende Juli 2017 unbefugt auf seine Systeme zugegriffen hatten. Die Täter nutzten eine bekannte Sicherheitslücke in der Webanwendungs-Software Apache Struts (CVE-2017-5638) aus, für die bereits seit dem 07.03.2017 ein Patch verfügbar war, den Equifax jedoch nicht rechtzeitig installierte. Entdeckt wurde der Einbruch erst am 29.07.2017, als IT-Mitarbeiter ein abgelaufenes SSL-Zertifikat erneuerten und dabei verdächtigen Datenverkehr bemerkten. Betroffen waren die persönlichen Daten von rund 147,9 Millionen US-Bürgern (Namen, Sozialversicherungsnummern, Geburtsdaten, Adressen, teils Führerschein- und Kreditkartennummern) sowie zusätzlich etwa 15,2 Millionen Britinnen und Briten und rund 19.670 Kanadierinnen und Kanadier. CEO Richard Smith trat am 26.09.2017 zurück, nachdem am 15.09.2017 bereits der Chief Information Officer und der Chief Security Officer das Unternehmen verlassen hatten. Der Fall führte zu mehreren Anhörungen vor Ausschüssen des US-Kongresses, bei denen Smith menschliches Versagen und mangelnde interne Kommunikation als Ursachen für die verpasste Patch-Installation nannte. Am 22.07.2019 einigte sich Equifax mit der FTC, dem CFPB sowie 48 US-Bundesstaaten auf eine Vergleichszahlung von mindestens 575 Millionen US-Dollar, die bei hoher Zahl an Entschädigungsanträgen auf bis zu 700 Millionen US-Dollar steigen konnte. Zudem wurde bekannt, dass CFO John Gamble vor der öffentlichen Bekanntgabe Firmenaktien verkauft hatte, was separate Ermittlungen wegen möglichen Insiderhandels nach sich zog.

Aus dieser Quelle nicht abschließend belegt ist, wie viele der 147,9 Millionen Betroffenen tatsächlich Entschädigungszahlungen aus dem Vergleichsfonds erhielten. Die strafrechtliche Verantwortung bleibt teilweise offen: 2020 klagte das US-Justizministerium vier mutmaßliche chinesische Militärangehörige an, eine Verurteilung ist bislang nicht erfolgt.

Die US-Behörde Office of Personnel Management (OPM), zuständig für die Personalverwaltung der Bundesregierung, wurde Opfer zweier miteinander verknüpfter Cyberangriffe, die zwischen 2014 und Anfang 2015 liefen. Ein erster Einbruch, entdeckt am 20.03.2014, betraf Personalakten von rund 4,2 Millionen aktuellen und ehemaligen Regierungsangestellten. Ein zweiter, schwerwiegenderer Einbruch wurde am 15.04.2015 bemerkt; dabei wurden Daten aus Sicherheitsüberprüfungsformularen (Standard Form 86) von 21,5 Millionen Personen entwendet, darunter Bewerber für Sicherheitsfreigaben sowie deren Angehörige und Kontaktpersonen. Erbeutet wurden unter anderem Sozialversicherungsnummern, Wohnorts- und Beschäftigungshistorien, Finanz- und Strafregisterdaten sowie 5,6 Millionen Fingerabdrücke. OPM bestätigte das Ausmaß der zweiten Datenpanne öffentlich am 09.07.2015. Als mutmaßlicher Urheber gilt eine staatlich gelenkte Angreifergruppe aus China, offizielle Beweise wurden von der US-Regierung jedoch nicht veröffentlicht. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 unter politischem Druck zurück. Als Folge des Vorfalls bot die US-Regierung den Betroffenen kostenlose Kreditüberwachung und Identitätsschutzdienste an.

Eine offizielle strafrechtliche Anklage oder ein rechtsverbindlicher Beweis für die chinesische Urheberschaft wurde nie veröffentlicht, die Zuordnung beruht auf Einschätzungen von US-Ermittlern und Sicherheitsforschern. Auch die genaue Zahl der tatsächlich missbrauchten Identitäten sowie etwaige finanzielle Schäden bei Betroffenen sind nicht abschließend beziffert.

Die Fluggesellschaft Cathay Pacific mit Sitz in Hongkong gab am 24.10.2018 bekannt, dass unbefugte Dritte zwischen dem 14.10.2014 und Mai 2018 Zugriff auf ihre IT-Systeme hatten. Betroffen waren die persönlichen Daten von rund 9,4 Millionen Passagieren weltweit, darunter 111.578 Personen aus Großbritannien. Offengelegt wurden Namen, Nationalitäten, Geburtsdaten, Telefonnummern, E-Mail- und Postadressen, etwa 860.000 Passnummern, rund 245.000 Nummern von Hongkonger Personalausweisen sowie Vielfliegernummern und Reisehistorien. Die Angreifer drangen über einen mit dem Internet verbundenen Server ein und installierten Schadsoftware zum Abgreifen der Daten. Die britische Datenschutzbehörde ICO stellte in ihrer Untersuchung mehrere grundlegende Sicherheitsmängel fest, darunter ungeschützte Backup-Dateien, ungepatchte Server, veraltete Betriebssysteme und unzureichenden Virenschutz. Am 04.03.2020 verhängte das ICO gegen Cathay Pacific eine Geldbuße von 500.000 britischen Pfund, den zu diesem Zeitpunkt gesetzlichen Höchstbetrag nach dem alten Data Protection Act 1998. Diese Regelung galt, weil die Sicherheitslücke bereits im Mai 2018 und damit kurz vor Inkrafttreten der DSGVO am 25.05.2018 geschlossen wurde. Unter der DSGVO hätte eine Strafe von bis zu 4 Prozent des weltweiten Jahresumsatzes gedroht, was Berichten zufolge rund 470 Millionen Pfund entsprochen hätte.

Aus der Quelle geht nicht hervor, wer genau die Angreifer waren oder ob die entwendeten Daten tatsächlich für Identitätsbetrug oder finanziellen Schaden bei den Betroffenen genutzt wurden; die exakte Aufschlüsselung, wie viele der 9,4 Millionen Datensätze welche Datenkategorien enthielten, bleibt unklar.

Am 23.03.2020 wurde bekannt, dass in einem Untergrundforum ein Datensatz mit persönlichen Informationen von 538 Millionen Nutzerkonten der chinesischen Social-Media-Plattform Sina Weibo zum Kauf angeboten wurde. Der Datensatz umfasste echte Namen, Weibo-Nutzernamen, Geschlecht und Standortangaben, bei 172 Millionen der betroffenen Konten zusätzlich Mobiltelefonnummern; Passwörter waren nicht enthalten. Der Anbieter verlangte für den kompletten Datensatz 0,177 Bitcoin, zum damaligen Kurs umgerechnet rund 1.032 US-Dollar. Weibos Sicherheitsdirektorin Luo Shiyao erklärte, die Telefonnummern seien 2019 durch einen Brute-Force-Abgleich von Kontaktlisten über die Nutzersuchfunktion der Plattform gewonnen worden, weitere Profildaten seien durch automatisiertes Auslesen öffentlicher Seiten gesammelt worden; der zugrunde liegende Vorfall soll bis 2018 zurückreichen. Das Unternehmen erklärte, die genutzte Sicherheitslücke geschlossen und die Polizei eingeschaltet zu haben. Chinas Ministerium für Industrie und Informationstechnologie zitierte Weibo-Vertreter am 25.03.2020 vor und ordnete verbesserte Datenschutz- und Sicherheitsmaßnahmen sowie künftige Meldepflichten bei Sicherheitsvorfällen an. Weibo zählte zu diesem Zeitpunkt rund 516 Millionen monatlich aktive Nutzer.

Die von Weibo genannte Ursachenkombination aus Brute-Force-Abgleich und Web-Scraping wurde von unabhängigen Sicherheitsforschern nicht bestätigt und teils als unvollständige Erklärung für den Umfang der Daten kritisiert. Ob chinesische Behörden gegen Weibo Bußgelder oder weitere Sanktionen verhängt haben, ist aus dieser Quelle nicht belegt.