Quellen-Tabelle

Als 'Sharenting' wird die Praxis bezeichnet, wenn Eltern regelmäßig Fotos oder Informationen über ihre Kinder in sozialen Medien teilen. Studien zeigen, dass viele pädokriminelle Nutzer ihre Inhalte gezielt von 'Momfluencern' beziehen, also Müttern, die ihre Elternschaft strategisch zur Follower-Generierung einsetzen. Laut Kriminologe Thomas-Gabriel Rüdiger sammeln Pädokriminelle solche öffentlich zugänglichen Bilder, kommentieren sie mit einschlägigen Texten und teilen sie in eigenen Netzwerken; Familienbilder tauchen wiederholt auf einschlägigen Darknet-Websites auf. Besonders kritisch wird es, wenn Eltern zusätzliche Informationen wie Wohnadresse, Schule oder Kindergarten veröffentlichen, weil Pädokriminelle und Stalker die Kinder dadurch vergleichsweise leicht lokalisieren können.

Wie viele der im Darknet kursierenden Familienbilder konkret aus öffentlichen Social-Media-Konten stammen im Vergleich zu anderen Quellen, ist aus dieser Quelle nicht separat beziffert.

Das am 28.03.2021 verabschiedete Registermodernisierungsgesetz macht die Steuer-Identifikationsnummer zu einer einheitlichen Personenkennziffer, die einen automatisierten Datenabgleich und -austausch zwischen 51 geplanten bzw. 56 großen öffentlichen Registern ermöglicht. Kritiker verweisen auf das Volkszählungsurteil des Bundesverfassungsgerichts von 1983, das eine 'lückenlose Registrierung und Katalogisierung der Persönlichkeit' durch Zusammenführung einzelner Lebens- und Personendaten zu Persönlichkeitsprofilen für verfassungswidrig erklärte und die Einführung eines einheitlichen Personenkennzeichens explizit als Beispiel für ein solches unzulässiges Profiling nannte. Die Bürgerrechtsorganisation Humanistische Union reichte gegen das Gesetz Verfassungsbeschwerde ein, weil es aus ihrer Sicht das Grundrecht auf informationelle Selbstbestimmung verletzt.

Der Ausgang der Verfassungsbeschwerde ist aus dieser Quelle nicht belegt.

Günstige DNA-Tests wie 23andMe haben die Ahnenforschung grundlegend verändert und machen es leichter denn je, lange verborgene Familiengeheimnisse aufzudecken. Die 'DNA Relatives'-Funktion kann unerwartet enthüllen, dass die angenommene biologische Vaterschaft nicht zutrifft ('Non-Paternity Events'), oder bislang unbekannte enge Verwandte wie Halbgeschwister aufdecken, die im Schnitt etwa 25 Prozent DNA-Übereinstimmung mit dem Nutzer teilen, im Gegensatz zu rund 50 Prozent bei Vollgeschwistern. 23andMe verbesserte seine Analysemethoden, um solche engen Verwandtschaftsverhältnisse (Halbgeschwister, Tanten, Onkel, Nichten, Neffen, Großeltern, Enkelkinder) präziser zu kennzeichnen.

Wie viele Nutzer insgesamt durch die Funktion unerwartete, potenziell belastende Familiengeheimnisse erfahren, ist aus dieser Quelle nicht mit einer Gesamtzahl belegt, nur anhand von Einzelbeispielen illustriert.

In Bayern ist die DNA-Phänotypisierung seit einer Änderung des Landespolizeigesetzes 2018 erlaubt: Aus Tatort-DNA können Ermittler auf Haar-, Augen- und Hautfarbe sowie das Alter eines Verdächtigen schließen. Eine entsprechende Erweiterung von § 81e StPO stand auch im Koalitionsvertrag von CDU, CSU und SPD auf Bundesebene. Forensiker und Rechtsexperten warnten vor einer 'übereilten Entscheidung' und forderten einen präzisen rechtlichen Rahmen; Kritiker betonen, die Trefferquote sei bei Weitem nicht so verlässlich wie oft suggeriert, und warnen vor Fehlermittlungen sowie Diskriminierung von Minderheiten. Im Gegensatz zur Schweiz, die die Erfassung der sogenannten biogeografischen Herkunft zunächst in Betracht zog, schloss Deutschland dieses Merkmal explizit aus der Auswertung aus, um Racial Profiling zu vermeiden.

Wie oft die bayerische Praxis seit 2018 tatsächlich zu falschen Verdächtigungen führte, ist aus dieser Quelle nicht mit Fallzahlen belegt.

Seit 2017 werden alle deutschen Personalausweise und elektronischen Aufenthaltstitel standardmäßig mit aktivierter eID-Funktion ausgegeben, die über die AusweisApp und einen Kartenleser oder NFC-fähiges Smartphone genutzt werden kann, etwa für die elektronische Patientenakte, BAföG-Anträge oder Rentenauskünfte. Von den seit 2010 im Kartenformat ausgegebenen Personalausweisen an 51 Millionen Bürger aktivierte jedoch nur rund ein Drittel die eID-Funktion, tatsächlich genutzt haben sie bislang nur etwa 15 Prozent bzw. rund 2,5 Millionen Bürger. Der Bundesbeauftragte für den Datenschutz äußerte 'erhebliche datenschutzrechtliche Bedenken' gegenüber Plänen für zentrale Passfoto-Datenbanken, da eine solche doppelte Datenspeicherung parallel zu den Registern der Passbehörden das Missbrauchsrisiko massiv erhöhe. Kritiker verwiesen zudem darauf, dass der RFID-Chip, auf dem die eID-Daten gespeichert sind, laut Experteneinschätzung teils bereits aus mehreren Metern Entfernung drahtlos ausgelesen werden könne.

Ob der RFID-Chip in der Praxis tatsächlich unautorisiert aus der Ferne ausgelesen wurde, ist aus dieser Quelle nicht mit dokumentierten Vorfällen belegt; es handelt sich um eine theoretische Sicherheitskritik von Experten.

Aadhaar ist das weltweit größte biometrisch gestützte Digitalisierungsprojekt: Eine zwölfstellige Ausweisnummer verknüpft personenbezogene und biometrische Daten jedes indischen Bürgers, darunter Iris-Scans beider Augen und alle zehn Fingerabdrücke, in einer zentralen Datenbank. Das ursprünglich freiwillige Programm ist inzwischen faktisch verpflichtend: Ohne Aadhaar lässt sich in Indien kein Bankkonto eröffnen, keine Telefonnummer oder Kreditkarte beantragen, keine Sozialleistung beziehen, keine Steuererklärung abgeben und keine Ehe schließen. Seit Einführung des Regierungsprojekts wurden über 200 Datenlecks dokumentiert; Journalisten gelang es wiederholt, gegen Bezahlung Zugriff auf die massive Datenbank zu erhalten. Kritiker bezeichnen Aadhaar als totalitär, verfassungswidrig und freiheitseinschränkend, weil zu viele sensible personenbezogene Daten relativ ungeschützt zentral gespeichert werden; zusätzlich erhielten viele der ärmsten Inder ihre lebensnotwendigen Nahrungsmittelrationen nicht, weil Geschäfte Fingerabdrücke technisch nicht korrekt lesen konnten oder keine ausreichende Internetverbindung hatten.

Die genaue Gesamtzahl der durch fehlerhafte biometrische Erkennung von Sozialleistungen ausgeschlossenen Personen ist aus dieser Quelle nicht mit einer belastbaren Statistik beziffert, nur als wiederkehrendes strukturelles Problem beschrieben.

Am 04.08.2022 stellte das US-Unternehmen Twilio Inc., ein Anbieter von Cloud-Kommunikationsdiensten, fest, dass Angreifer über eine SMS-Phishing-Kampagne (Smishing) Zugriff auf interne Systeme erlangt hatten. Ab Mitte Juli 2022 versendeten die Angreifer Textnachrichten an aktuelle und ehemalige Twilio-Mitarbeiter, die vorgaben, von der IT-Abteilung zu stammen und ein angeblich abgelaufenes Passwort zu betreffen. Die enthaltenen Links führten zu gefälschten Okta-Anmeldeseiten auf Domains wie twilio-sso.com und twilio-okta.net, auf denen Zugangsdaten abgegriffen wurden. Mit diesen Zugangsdaten verschafften sich die Angreifer Zugriff auf interne Twilio-Systeme und darüber auf Kundendaten. Laut dem am 27.10.2022 abgeschlossenen Untersuchungsbericht von Twilio waren 209 von insgesamt mehr als 270.000 Kunden betroffen. Zusätzlich griffen die Angreifer auf 93 Konten der zu Twilio gehörenden Zwei-Faktor-Authentifizierungs-App Authy zu, die rund 75 Millionen Nutzer zählt, und registrierten dort zusätzliche Geräte, um Einmalcodes für verknüpfte Konten generieren zu können. Twilio erklärte, es gebe keine Hinweise darauf, dass Konsolen-Zugangsdaten, Authentifizierungs-Token oder API-Schlüssel von Kunden kompromittiert wurden. Als Reaktion entzog Twilio kompromittierte Mitarbeiterzugänge, stattete alle Beschäftigten mit FIDO2-Hardware-Sicherheitsschlüsseln aus, verschärfte VPN-Kontrollen und führte verpflichtende Schulungen zu Social Engineering ein. Sicherheitsforscher ordneten den Angriff später der Gruppe Oktapus zu, die im gleichen Zeitraum mehr als 130 Organisationen per Smishing angriff.

Aus dieser Quelle nicht belegt sind mögliche behördliche Bußgelder oder Entschädigungszahlungen sowie das genaue Ausmaß der bei den einzelnen betroffenen Firmenkunden abgegriffenen Daten. Die Zuordnung des Angriffs zur Gruppe Oktapus stammt nicht aus dem Twilio-Bericht selbst, sondern aus unabhängigen Sicherheitsanalysen Dritter.

Die Sicherheitsforscher Noam Rotem und Ran Locar von vpnMentor entdeckten am 05.08.2019 eine ungeschützte, unverschlüsselte Datenbank des südkoreanischen Unternehmens Suprema, das die biometrische Zugangskontrollplattform BioStar 2 betreibt. Die Datenbank enthielt rund 27,8 Millionen Datensätze mit einem Gesamtvolumen von 23 Gigabyte. Darunter befanden sich über eine Million Fingerabdrücke, Gesichtserkennungsbilder, Klartext-Benutzernamen und -Passwörter von Administratoren, Ein- und Austrittsprotokolle, Sicherheitsfreigaben sowie Namen, Wohnadressen und E-Mail-Adressen von Mitarbeitern. BioStar 2 wird nach Angaben von Suprema in über 1,5 Millionen Installationen weltweit eingesetzt, unter anderem bei Banken, Universitäten, Regierungsbehörden und der britischen Metropolitan Police. Die Forscher konnten über die offene Weboberfläche Suchparameter manipulieren und dadurch beliebige Datensätze auslesen sowie neue Administratorkonten anlegen. Nach der Kontaktaufnahme am 07.08.2019, bei der die deutsche Niederlassung von Suprema zunächst jede Zusammenarbeit verweigerte, wurde die Datenbank am 13.08.2019 über die französische Niederlassung geschlossen. Der Fall wurde am 14.08.2019 öffentlich bekannt und unter anderem von BBC und The Register aufgegriffen.

Unklar bleibt, wie lange die Datenbank vor der Entdeckung frei zugänglich war und ob Daten von Dritten heruntergeladen oder missbräuchlich verwendet wurden; Suprema erklärte lediglich, es gebe keine Hinweise auf einen Download durch Unbefugte, ohne dies technisch zu belegen. Eine offizielle Bußgeldentscheidung einer Datenschutzbehörde zu diesem Fall ist aus dieser Quelle nicht ersichtlich.

Der Hosting-Anbieter GoDaddy gab am 22.11.2021 bekannt, dass Unbefugte mithilfe eines kompromittierten Passworts Zugriff auf das Provisioning-System der Legacy-Codebasis für Managed WordPress erlangt hatten. Der unautorisierte Zugriff begann laut GoDaddy am 06.09.2021 und wurde am 17.11.2021 entdeckt. Betroffen waren bis zu 1,2 Millionen aktive und inaktive Managed-WordPress-Kunden. Bei allen Betroffenen wurden E-Mail-Adressen und Kundennummern offengelegt. Bei aktiven Kunden waren zusätzlich das ursprüngliche, bei der Einrichtung vergebene WordPress-Admin-Passwort sowie sFTP- und Datenbank-Zugangsdaten kompromittiert. Bei einer Teilmenge der aktiven Kunden wurde zudem der private SSL-Schlüssel offengelegt. GoDaddy sperrte nach eigenen Angaben den unbefugten Zugriff, setzte die betroffenen Passwörter zurück und begann mit der Ausstellung neuer SSL-Zertifikate für betroffene Kunden. Chief Information Security Officer Demetrius Comes bestätigte den Vorfall in der offiziellen Mitteilung und entschuldigte sich bei den Kunden. GoDaddy meldete den Vorfall außerdem in einer Form-8-K-Mitteilung an die SEC.

Die Pressemitteilung nennt weder die Identität der Angreifer noch die genaue technische Schwachstelle im Provisioning-System. Nicht belegt sind zudem etwaige spätere Bußgelder, der Ausgang der in den USA eingereichten Sammelklagen sowie die tatsächlichen finanziellen Gesamtkosten des Vorfalls für GoDaddy.

Am 09.05.2022 einigten sich die American Civil Liberties Union (ACLU) und das Unternehmen Clearview AI auf einen gerichtlich bestätigten Vergleich (Consent Decree) vor einem Gericht in Illinois, mit dem eine am 28.05.2020 eingereichte Klage nach dem Illinois Biometric Information Privacy Act (BIPA) beendet wurde. Die Klage richtete sich gegen die Praxis von Clearview AI, ohne Zustimmung Milliarden Gesichtsbilder aus dem Internet zu sammeln; das Unternehmen hatte nach eigenen Angaben bereits mehr als 10 Milliarden biometrische Gesichtsprofile gesammelt und plante eine Ausweitung auf 100 Milliarden. Der Vergleich verbietet Clearview AI dauerhaft und landesweit, seine Gesichtsdatenbank an die meisten privaten Unternehmen und Einzelpersonen zu verkaufen oder zugänglich zu machen. Für Illinois gilt zusätzlich ein fünfjähriges Verbot, den Datenbankzugang an private oder staatliche und kommunale Stellen im Bundesstaat zu vergeben. Clearview AI muss zudem ein Formular bereitstellen, über das Einwohner Illinois' den Ausschluss ihrer Gesichtsdaten aus Suchergebnissen beantragen können, und 50.000 US-Dollar für Online-Werbung zu diesem Opt-out-Mechanismus aufwenden. Eine direkte Geldzahlung an die Kläger enthält dieser Vergleich nicht. Das Gericht unterzeichnete die entsprechende Anordnung am 11.05.2022.

Der häufig im Zusammenhang mit Clearview AI zitierte Betrag von rund 50 Millionen US-Dollar stammt nicht aus diesem Vergleich, sondern aus einer separaten Bundesgerichts-Sammelklage, in der Klägern 2024 ein Eigenkapitalanteil von 23 Prozent zugesprochen wurde. Diese spätere Einigung wurde am 20.03.2025 richterlich bestätigt, im Juli 2026 aber vom Berufungsgericht wieder aufgehoben, sodass ihr endgültiger Ausgang offen ist.

Die IT-Sicherheitsfirma Pen Test Partners meldete Peloton Interactive am 20.01.2021 im Rahmen von dessen Bug-Bounty-Programm mehrere ungesicherte API-Endpunkte. Über den Endpunkt /api/user/search sowie eine GraphQL-Schnittstelle des Leaderboards konnten persönliche Profildaten beliebiger Peloton-Nutzer abgerufen werden, ohne dass eine Anmeldung erforderlich war. Betroffen waren Nutzer-ID, Alter, Geschlecht, Wohnort, Gewicht, Trainingsstatistiken und Instructor-ID, selbst wenn ein Nutzer sein Profil als privat eingestellt hatte. Peloton hatte zu diesem Zeitpunkt mehr als drei Millionen Abonnenten. Peloton behob den unauthentifizierten Zugriff am 02.02.2021 zunächst nur teilweise, sodass die Daten weiterhin für jeden angemeldeten Nutzer einsehbar blieben. Erst nachdem Pen Test Partners nach Ablauf der 90-tägigen Offenlegungsfrist einen Journalisten von TechCrunch einschaltete, meldete sich Pelotons neue Chief Information Security Officer direkt bei den Forschern. Die verbliebenen Schwachstellen wurden daraufhin innerhalb von rund sieben Tagen behoben, TechCrunch veröffentlichte den Fall am 05.05.2021. Finanzielle Strafen oder behördliche Sanktionen im Zusammenhang mit dem Vorfall wurden nicht bekannt.

Aus der Quelle geht keine konkrete Zahl tatsächlich abgerufener Nutzerkonten hervor, und ob Dritte die Schwachstelle vor der Behebung aktiv zum massenhaften Auslesen von Daten genutzt haben, ist nicht belegt.

Am 17.12.2020 genehmigte die Europäische Kommission unter der EU-Fusionskontrollverordnung die von Google im November 2019 angekündigte Übernahme des Wearable-Herstellers Fitbit für rund 2,1 Milliarden US-Dollar, allerdings nur unter Auflagen. Die Kommission hatte zuvor am 04.08.2020 eine vertiefte Prüfung (Phase II) eingeleitet, da sie befürchtete, Google könne durch den Zugriff auf Fitbits Gesundheits- und Fitnessdaten seine Marktmacht in der Online-Werbung weiter ausbauen. Google verpflichtete sich für die Dauer von zehn Jahren, die über Fitbit-Geräte gesammelten Gesundheits- und Standortdaten von EWR-Nutzern technisch getrennt von anderen Google-Daten in einem sogenannten Datensilo zu speichern und nicht für zielgerichtete Werbung zu verwenden. Zudem muss Google Nutzern eine echte Wahlmöglichkeit einräumen, ob ihre Fitbit- oder Google-Konto-Gesundheitsdaten für andere Google-Dienste wie Suche oder Maps genutzt werden dürfen. Google sicherte außerdem zu, den kostenlosen Zugang zur Fitbit Web API für Drittanbieter-Apps sowie zu Android-APIs für Wearable-Hersteller mindestens zehn Jahre lang aufrechtzuerhalten. Die Zusagen unterliegen der Überwachung durch einen von der Kommission bestellten Treuhänder.

Aus der Pressemitteilung nicht belegt ist, wie wirksam die Zehn-Jahres-Verpflichtungen in der Praxis durchgesetzt und kontrolliert wurden; Kritiker bezweifelten schon damals, ob die Datensilo-Lösung technisch und rechtlich ausreichend überprüft werden kann.

Zwischen April und Mai 2024 verschaffte sich die Angreifergruppe UNC5537 unbefugten Zugriff auf mindestens 165 Kundenkonten der Cloud-Datenplattform Snowflake. Snowflake teilte am 30.05.2024 mit, am 23.05.2024 von dem unbefugten Zugriff erfahren zu haben, nachdem die Erpressergruppe ShinyHunters am 28.05.2024 den Verkauf von 560 Millionen Ticketmaster-Kundendatensätzen in einem Cyberkriminalitätsforum angekündigt hatte. Laut dem am 10.06.2024 veröffentlichten Bericht des IT-Sicherheitsunternehmens Mandiant nutzten die Angreifer gestohlene Zugangsdaten aus Infostealer-Malware wie Vidar, Redline, Raccoon Stealer und Lumma, die teils seit November 2020 nicht mehr geändert worden waren. Mindestens 79,7 Prozent der missbrauchten Konten wiesen bereits zuvor kompromittierte Zugangsdaten auf. Ursächlich für den Erfolg der Angriffe waren das Fehlen von Mehrfaktor-Authentifizierung sowie fehlende Netzwerk-Zugriffsbeschränkungen auf den betroffenen Snowflake-Konten. Zu den betroffenen Organisationen zählten unter anderem Ticketmaster/Live Nation, die Santander Bank, AT&T, Advance Auto Parts und Neiman Marcus. AT&T bestätigte im Juli 2024 den Diebstahl von Anruf- und SMS-Metadaten von rund 110 Millionen Kunden. Am 30.10.2024 wurde der mutmaßliche Haupttäter Connor Riley Moucka in Kitchener, Ontario, festgenommen. Im November 2024 erhob das US-Justizministerium Anklage gegen ihn und einen weiteren Mann wegen Computerbetrugs, Erpressung und schweren Identitätsdiebstahls.

Die genaue Gesamtzahl der betroffenen Einzelpersonen sowie die Höhe tatsächlich gezahlter Lösegelder einzelner Opferunternehmen sind aus dieser Quelle nicht abschließend bestätigt. Der juristische Ausgang des Verfahrens gegen die mutmaßlichen Täter war zum Zeitpunkt der zitierten Berichterstattung noch offen.

Am 16. Dezember 2022 wurde der Laptop eines CircleCI-Mitarbeiters mit Infostealer-Malware infiziert, die eine bereits per Zwei-Faktor-Authentifizierung abgesicherte SSO-Session-Cookie stehlen konnte, wodurch der Angreifer die Zwei-Faktor-Absicherung umging und den Mitarbeiter erfolgreich imitierte. Zwischen dem 19. und 22. Dezember 2022 nutzte der Angreifer die gestohlenen Zugangsdaten, um sich Zugriff auf interne Produktionssysteme zu verschaffen und Daten aus einer Untergruppe von Datenbanken und Speichersystemen zu exfiltrieren, darunter Umgebungsvariablen, Tokens und Schlüssel von Kunden. Obwohl die Daten im Ruhezustand verschlüsselt waren, gelang es dem Angreifer, die Verschlüsselungscodes direkt aus laufenden Prozessen auszulesen. Ein Kunde meldete CircleCI am 29. Dezember 2022 verdächtige Aktivitäten bei einem GitHub-OAuth-Token, woraufhin das Unternehmen den Vorfall bestätigte und am 31. Dezember 2022 mit einer proaktiven Rotation von GitHub-OAuth-Tokens begann. Am 4. Januar 2023 informierte CircleCI seine Kunden öffentlich und forderte alle Nutzer auf, sämtliche in CircleCI gespeicherten Secrets, Tokens und Schlüssel zu rotieren. Laut CircleCI meldeten weniger als fünf Kunden einen tatsächlich bestätigten unautorisierten Zugriff Dritter auf ihre eigenen Systeme infolge des Vorfalls.

Die Gesamtzahl der betroffenen Kundenkonten und der konkrete finanzielle Schaden wurden von CircleCI nicht veröffentlicht, ebenso wenig die Identität des Angreifers oder etwaige behördliche Ermittlungsergebnisse.

Im Juli 2012 verschafften sich Angreifer Zugang zu einem internen Dropbox-Dokument, nachdem ein Dropbox-Mitarbeiter ein Passwort verwendete, das zuvor beim Einbruch bei LinkedIn kompromittiert worden war. Über dieses Dokument gelangten die Angreifer an rund 68 Millionen Dropbox-Zugangsdaten, bestehend aus E-Mail-Adressen und gehashten, gesalzenen Passwörtern. Der Vorfall blieb mehrere Jahre öffentlich weitgehend unbekannt, bis Ende August 2016 ein Datensatz mit diesen Zugangsdaten im Internet auftauchte und zum Verkauf angeboten wurde. Dropbox bestätigte den Vorfall am 25.08.2016 in einem offiziellen Blogbeitrag. Von den 68 Millionen Passwort-Hashes waren etwa 32 Millionen mit dem robusten bcrypt-Verfahren gesichert, die übrigen rund 36 Millionen mit dem schwächeren SHA-1-Algorithmus. Dropbox erzwang für alle Konten, deren Passwort seit Mitte 2012 nicht geändert worden war, einen Passwort-Reset. Als mutmaßlicher Täter wurde später der russische Staatsbürger Jewgeni Nikulin identifiziert, dem auch die Einbrüche bei LinkedIn und Formspring aus dem Jahr 2012 zugeschrieben werden. Dropbox erklärte, es gebe keine Hinweise darauf, dass Nutzerkonten durch den Vorfall unbefugt aufgerufen worden seien.

Aus der Dropbox-Mitteilung geht nicht hervor, ob die gestohlenen Passwort-Hashes tatsächlich entschlüsselt oder für unbefugte Kontozugriffe genutzt wurden, und die strafrechtliche Verantwortung von Jewgeni Nikulin für den Dropbox-Vorfall im Speziellen war zum Zeitpunkt der Quelle nicht abschließend gerichtlich geklärt.

Am 18.03.2022 bestätigte der südafrikanische Kreditauskunftsdienst TransUnion South Africa, dass ein krimineller Dritter Zugriff auf einen isolierten Unternehmensserver erlangt hatte. Die nach eigenen Angaben aus Brasilien stammende Hackergruppe N4ughtySecTU erklärte, sie habe sich per Brute-Force-Angriff Zugang zu einem SFTP-Server verschafft, dessen Konto mit dem Passwort Password gesichert war, und rund 4 Terabyte an Daten von etwa 54 Millionen Personen erbeutet, was nahezu der gesamten Bevölkerung Südafrikas entspricht. Die Angreifer forderten von TransUnion ein Lösegeld von 15 Millionen US-Dollar in Kryptowährung, um eine Veröffentlichung der Daten zu verhindern. TransUnion lehnte die Zahlung ab. Die eigene Untersuchung des Unternehmens ergab, dass tatsächlich Datensätze von rund 5 Millionen Verbrauchern vollständig offengelegt wurden, darunter Name, ID-Nummer, Geburtsdatum, Adresse und Telefonnummer, sowie bei weiteren 5,2 Millionen Verbrauchern lediglich die ID-Nummer. Zusätzlich waren Daten von rund 600.000 Unternehmen betroffen. TransUnion erklärte, die von den Angreifern behauptete Zahl von 54 Millionen Datensätzen stamme größtenteils aus älteren, von TransUnion unabhängigen Datenlecks seit 2017. Das Unternehmen bot betroffenen Personen bis zum 31.12.2023 kostenlose Kreditüberwachung an. Die südafrikanische Datenschutzbehörde Information Regulator leitete eine Untersuchung des Vorfalls ein und erließ später eine förmliche Anordnung gegen TransUnion.

Die von der Hackergruppe genannte Zahl von 54 Millionen Betroffenen ist durch TransUnion nicht bestätigt und laut Unternehmen größtenteils auf fremde, ältere Datenlecks zurückzuführen. Ob TransUnion die Anordnung der Information Regulator angefochten hat und ob ein Bußgeld verhängt wurde, ist aus dieser Quelle nicht ersichtlich.

Am 11.06.2024 veröffentlichte der IT-Sicherheitsanbieter Kaspersky eine Studie zu 24 Sicherheitslücken in biometrischen Zugangsterminals des chinesischen Herstellers ZKTeco, die unter zahlreichen Whitelabel-Marken weltweit vertrieben werden. Das Forscherteam fand sechs SQL-Injection-Schwachstellen, sieben Stack-basierte Pufferüberläufe, fünf Command-Injection-Fehler, vier Schwachstellen für beliebiges Dateischreiben und zwei für beliebiges Dateilesen. Über manipulierte QR-Codes mit eingebetteter SQL-Injection konnten Angreifer die Authentifizierung umgehen und sich unautorisierten physischen Zutritt verschaffen. Weitere Lücken erlaubten das Auslesen und Verändern der Nutzerdatenbank samt gespeicherter Gesichtserkennungsdaten sowie das Herunterladen von Nutzerfotos, die anschließend für Fotospoofing gegen die Kamera des Geräts genutzt werden konnten. Pufferüberlauf- und Command-Injection-Fehler ermöglichten zudem die vollständige Übernahme einzelner Geräte mit Root-Rechten aus der Ferne. Die betroffenen Terminals werden laut Kaspersky unter anderem in Kernkraftwerken, Chemieanlagen, Büros und Krankenhäusern eingesetzt und können Tausende Gesichtsvorlagen speichern. Kaspersky informierte den Hersteller vor der öffentlichen Bekanntgabe der Ergebnisse.

Aus der Kaspersky-Quelle geht nicht hervor, ob und wann ZKTeco tatsächlich Patches veröffentlicht hat, und es ist nicht belegt, dass die Schwachstellen in der Praxis bereits von Angreifern ausgenutzt wurden.

Zwischen Juni und Dezember 2009 griff eine aus China stammende Hackergruppe die Computernetzwerke von Google sowie mindestens 20 weiteren US-Unternehmen an, darunter Adobe Systems, Juniper Networks, Yahoo, Symantec, Northrop Grumman und Dow Chemical. Google entdeckte den Einbruch Mitte Dezember 2009 und veröffentlichte am 12.01.2010 im Official Google Blog den Beitrag A new approach to China, in dem der Angriff erstmals öffentlich gemacht wurde. Die Angreifer nutzten eine zuvor unbekannte Sicherheitslücke im Internet Explorer aus und verbreiteten den Schadcode über gezielte Phishing-E-Mails. Die Sicherheitsfirma McAfee gab den Angriffen den Namen Operation Aurora. Bei Google gelangten die Angreifer an Teile des Quellcodes sowie an Informationen zu gerichtlich angeordneten Überwachungen von Gmail-Konten und erhielten eingeschränkten Zugriff auf zwei Gmail-Konten chinesischer Menschenrechtsaktivisten. Google kündigte an, die Zensur der Suchergebnisse auf Google.cn zu beenden, und leitete im März 2010 die chinesische Suchseite auf die unzensierte Version in Hongkong um. Insgesamt sollen über 30 Organisationen betroffen gewesen sein.

Die genaue Gesamtzahl der betroffenen Unternehmen wird in verschiedenen Quellen uneinheitlich zwischen 20 und über 30 angegeben, und eine gerichtsfeste, offizielle Zuordnung der Angriffe zu einer bestimmten chinesischen Behörde ist bis heute nicht öffentlich bestätigt.

Die US-Sicherheitsfirma Mandiant veröffentlichte am 19.02.2013 den Bericht APT1: Exposing One of China's Cyber Espionage Units. Der Bericht führt die seit mindestens 2006 aktive Hackergruppe APT1 auf die Einheit 61398 der chinesischen Volksbefreiungsarmee zurück, die dem Zweiten Büro der Dritten Abteilung des Generalstabs untersteht. Mandiant lokalisierte die Einheit in einem zwölfstöckigen Gebäude an der Datong Road im Stadtteil Pudong in Shanghai. Laut Bericht kompromittierte APT1 mindestens 141 Organisationen in 20 Branchen, darunter Luft- und Raumfahrt, Rüstung, Energie und Telekommunikation. Die Gruppe stahl systematisch hunderte Terabyte an Daten, in einem Fall 6,5 Terabyte komprimierter Daten von einem einzelnen Unternehmen innerhalb von zehn Monaten. 87 Prozent der identifizierten Opfer hatten ihren Hauptsitz in englischsprachigen Ländern. Mandiant benannte auch mutmaßliche Einzelpersonen, darunter Wang Dong mit dem Decknamen UglyGorilla. Am 19.05.2014 klagte das US-Justizministerium fünf mutmaßliche Offiziere der Einheit 61398 wegen Wirtschaftsspionage an.

Es liegt keine strafrechtliche Verurteilung der 2014 angeklagten Offiziere vor, da China eine Auslieferung ablehnt und keine Hauptverhandlung stattfand; die exakte Gesamtmenge gestohlener Daten über alle 141 Opfer bleibt unbeziffert.

Die bayerische Datenschutzaufsicht BayLDA stellte nach einer seit April 2023 laufenden Untersuchung amtlich fest, dass die Worldcoin-Betreiberfirma Tools for Humanity Iris- und Gesichtsdaten teilweise ohne ausreichende Rechtsgrundlage verarbeitet hat. Die Behörde ordnete an, dass Nutzer ihre Iris-Daten uneingeschränkt löschen lassen können und Worldcoin künftig für bestimmte Verarbeitungsschritte eine ausdrückliche Einwilligung einholen muss. Die Entscheidung wurde im DSGVO-Kohärenzverfahren mit anderen europäischen Datenschutzbehörden abgestimmt.

Offen bleibt, ob und in welchem Umfang Worldcoin die angeordneten Löschungen der Iris-Daten tatsächlich vollständig umgesetzt hat. Das Unternehmen kündigte an, rechtlich gegen Teile der Entscheidung vorzugehen, sodass der endgültige juristische Ausgang zum Zeitpunkt der Veröffentlichung nicht feststand. Die BayLDA adressierte nur einzelne festgestellte Verstöße und traf keine abschließende Aussage zur generellen DSGVO-Konformität des gesamten Geschäftsmodells.

Sicherheitsforscher des CCC demonstrierten 2010, dass Angreifer per Schadsoftware auf dem PC die PIN-Eingabe am einfachen Basis-Lesegerät des neuen Personalausweises abfangen konnten, da dieses keine eigene Tastatur besitzt. Mit der abgefangenen PIN ließ sich der Ausweis fernsteuern und missbrauchen, solange er im Lesegerät verblieb. Das BSI bestätigte öffentlich die grundsätzliche technische Möglichkeit eines solchen Angriffs.

Offen blieb, wie realistisch der Angriff für durchschnittliche Kriminelle in der breiten Praxis war und wie viele Personen tatsächlich betroffen waren. Laut BSI blieben die eigentlichen persönlichen Daten verschlüsselt und für Angreifer nicht direkt einsehbar. Eine dokumentierte offizielle Stellungnahme des Bundesinnenministeriums zur Kritik des CCC liegt in den ausgewerteten Quellen nicht vor.

Am 4. und 5. April 2023 wurde der Darknet- und Clearweb-Marktplatz Genesis Market im Rahmen der international koordinierten Operation Cookie Monster abgeschaltet. Federführend waren FBI, Europol, Eurojust und die niederländische Polizei, unterstützt von Behörden aus 14 Ländern, mit mehr als 100 Festnahmen und über 200 Durchsuchungen bei Käufern der Plattform. Genesis Market verkaufte seit 2018 durch Malware gestohlene Zugangsdaten, Cookies und digitale Fingerabdrücke; zum Zeitpunkt der Abschaltung waren Daten von rund 460.000 infizierten Geräten im Angebot.

Genaue Opferzahlen und Schadenshöhe variieren stark je nach Quelle, andere Medienberichte nennen bis zu 1,5 Millionen Bot-Listings oder 2 Millionen betroffene Identitäten. Die Hauptbetreiber der Plattform wurden bislang nicht öffentlich namentlich identifiziert oder angeklagt. Der Ausgang der Verfahren gegen die festgenommenen Käufer ist nicht einzeln öffentlich nachvollziehbar.

Die italienische Datenschutzbehörde Garante verhängte am 9. März 2022 ein Bußgeld von 20 Millionen Euro gegen das US-Unternehmen Clearview AI. Clearview AI hatte über 10 Milliarden Gesichtsbilder per Web Scraping gesammelt und daraus biometrische Profile erstellt, auch von Personen in Italien, ohne angemessene Rechtsgrundlage. Der Garante ordnete zusätzlich die Löschung der Daten italienischer Betroffener an, untersagte die weitere Datenerhebung und verpflichtete das Unternehmen zur Benennung eines EU-Vertreters.

Offen bleibt, ob und in welcher Höhe Clearview AI das Bußgeld tatsächlich gezahlt hat, da das Unternehmen keinen Sitz in der EU hat und die grenzüberschreitende Durchsetzbarkeit unklar ist. Nicht öffentlich dokumentiert ist der genaue Umfang der betroffenen italienischen Nutzerdaten sowie ob die angeordnete Löschung vollständig umgesetzt wurde.

Der US Supreme Court bestätigte am 17.01.2025 einstimmig per curiam den Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA), der im April 2024 von Präsident Biden unterzeichnet wurde. Das Gesetz verpflichtet den chinesischen ByteDance-Konzern, TikTok bis zum 19.01.2025 zu verkaufen, andernfalls drohen US-Anbietern Verbote von Vertrieb, Hosting und Updates der App. Das Gericht stufte das Gesetz als inhaltsneutral ein und begründete es mit dem staatlichen Interesse, den Zugriff einer als feindlich eingestuften Auslandsmacht auf die Nutzerdaten von Millionen Amerikanern zu verhindern.

Offen blieb im Urteil, ob und in welchem Umfang China tatsächlich TikTok-Nutzerdaten abgegriffen hat; das Gericht stützte sich auf die abstrakte Gefahr durch die Kontrollmöglichkeit von ByteDance, nicht auf einen nachgewiesenen konkreten Datenmissbrauch. Ebenfalls nicht Teil der gerichtlichen Feststellung war der genaue weitere wirtschaftliche und politische Ausgang des Falls.

Die US-Börsenaufsicht SEC stellte fest, dass Yahoos Sicherheitsteam bereits kurz nach dem Angriff im Dezember 2014 wusste, dass mutmaßlich russische Hacker Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, verschlüsselte Passwörter und Sicherheitsfragen von mindestens 108 Millionen Konten gestohlen hatten, vermutlich sogar aus der gesamten Nutzerdatenbank mit mehreren Milliarden Einträgen. Yahoo verschwieg den Vorfall fast zwei Jahre lang gegenüber Investoren in seinen Pflichtmitteilungen. Die Nachfolgegesellschaft Altaba Inc. zahlte dafür im April 2018 eine SEC-Strafe von 35 Millionen US-Dollar, die erste Sanktion dieser Art wegen unterlassener Offenlegung eines Datenlecks.

Die oft zitierte Zahl von insgesamt 3 Milliarden betroffenen Konten stammt aus einer separaten Unternehmensmitteilung von Yahoo bzw. Verizon aus dem Jahr 2017 und wird in dieser SEC-Anordnung selbst nicht beziffert. Die SEC-Order behandelt vor allem die Offenlegungspflichten gegenüber Anlegern, nicht aber das konkrete Ausmaß des Schadens für einzelne betroffene Nutzer oder die vollständige Identität der Angreifer.