Quellen-Tabelle

Erklärt den Ablauf von SIM-Swap-Betrug per Social Engineering, warnt vor SMS-TAN als Schwachpunkt.

Ratgeberartikel ohne konkrete Fallzahlen für Deutschland.

Beschreibt SIM-Swapping als Identitätsdiebstahl, der Kontoübernahmen und Kryptowallet-Diebstahl ermöglicht, empfiehlt PIN-Schutz beim Anbieter statt SMS-2FA.

Fachmedien-Ratgeberartikel ohne empirische Fallzahlen.

Der Anbieter führt Zwei-Faktor-Authentifizierung für SIM-Kartentausch und eSIM-Profilaktivierung ein, um SIM-Swapping-Betrug vorzubeugen.

Pressemitteilung eines österreichischen Anbieters, zeigt aber branchentypisches Modell.

Das BSI warnt vor SIM-Swapping als Methode, mit der Cyberkriminelle die Kontrolle über die Mobilfunknummer eines Opfers übernehmen.

Kurzer Social-Media-Warnhinweis der Behörde ohne ausführliche Fallzahlen.

Mozilla untersuchte 25 Automarken und stellte allen ein Datenschutz-Warnlabel aus, da sie exzessiv personenbezogene Daten sammeln, mehrheitlich mit Dritten teilen und kaum Löschmöglichkeiten bieten.

Basiert primär auf US-Datenschutzerklärungen, nicht auf technischer Fahrzeuganalyse.

Moderne Autos erfassen laufend Standort-, Fahrstil- und Nutzungsdaten, ohne dass Fahrer wissen, welche Daten konkret gespeichert werden.

Untersuchung deckt nur eine kleine Stichprobe von vier Modellen ab.

Fahrzeugdaten sind über die Fahrgestellnummer stets personenbezogen und können zur Erstellung von Bewegungs- und Verhaltensprofilen genutzt werden.

Meinungsinterview eines Interessenvertreters, keine unabhängige empirische Studie.

Der CCC informierte VW am 26.11.2024, das Leck bestand zuvor über mehrere Monate durch einen Konfigurationsfehler bei Cariad; abrufbar waren Standort-, Lade- und Bewegungsverhalten sowie Halterkontaktdaten.

Die Aussage, dass niemand außer dem CCC zugriff, ist eine unbelegte Selbstauskunft von VW.

Der EDPB stuft Standort, Fahrverhalten und aus dem gekoppelten Smartphone übernommene Kontakte als personenbezogene Daten ein; Nutzer müssen Dienste granular ablehnen und ihre Rechte nach Art. 15, 17 und 21 DSGVO ausüben können.

Rechtlich nicht bindend, enthält keine herstellerspezifischen Anleitungen zum Abschalten.

Die baden-württembergische Datenschutzbehörde eröffnete das weltweit erste Bußgeldverfahren gegen die aus der Karibik operierende Gesichtssuchmaschine PimEyes, die es erlaubt, mit einem hochgeladenen Foto im gesamten Internet nach optisch ähnlichen Gesichtern zu suchen. Landesdatenschutzbeauftragter Stefan Brink bewertete das Missbrauchspotenzial als hochproblematisch: Stalker könnten die Software nutzen, Personen im Sexarbeitsgewerbe könnten geoutet, Rachepornografie leichter gefunden und Demonstrationsteilnehmer im Nachhinein identifiziert werden. Eine im November 2022 eingegangene Stellungnahme von PimEyes zu Rechtsgrundlage, technischen Maßnahmen und Missbrauchsschutz bewertete die Behörde als unzureichend, da zentrale Fragen unbeantwortet blieben.

Der Ausgang des Bußgeldverfahrens und eine mögliche tatsächliche Zahlung durch das karibisch ansässige Unternehmen sind aus dieser Quelle nicht belegt.

Nach einer Beschwerde des norwegischen Verbraucherrats Forbrukerrådet und der Datenschutzorganisation noyb.eu im Januar 2020 verhängte die norwegische Datenschutzbehörde Datatilsynet im Dezember 2021 ein Bußgeld von 65 Millionen norwegischen Kronen (rund 6,5 Millionen Euro) gegen die Dating-App Grindr. Zwischen 2018 und 2020 gab Grindr ohne ausreichende Rechtsgrundlage Alter, Geschlecht, GPS-Standort, IP-Adresse und Werbe-ID seiner Nutzer an zahlreiche Werbeunternehmen weiter. Besonders kritisiert wurde, dass Grindr auch die Information weitergab, dass jemand Grindr-Nutzer ist: Diese Angabe allein legt bereits eine von der Mehrheit abweichende sexuelle Orientierung nahe, selbst wenn die sexuelle Orientierung nicht explizit übermittelt wird.

Grindr focht die Entscheidung an; ob das Bußgeld in voller Höhe rechtskräftig gezahlt wurde, ist aus dieser Quelle nicht abschließend belegt.

Die Berliner Datenschutzbehörde verhängte im Oktober 2019 gegen den Immobilienkonzern Deutsche Wohnen SE ein Bußgeld von 14,5 Millionen Euro, zum damaligen Zeitpunkt das höchste je von einer deutschen Behörde verhängte DSGVO-Bußgeld und das dritthöchste EU-weit. Ursache war ein Archivsystem, das keine Möglichkeit zur Löschung von Daten bot: Unterlagen von Wohnungsbewerbern und Mietern blieben oft Jahre über das Ende des Mietverhältnisses hinaus gespeichert, darunter Gehaltsnachweise, Kontoauszüge, Ausweisdokumente, Selbstauskünfte sowie Steuer-, Sozial- und Krankenversicherungsdaten. Die Behörde hatte das System bereits bei einer Vor-Ort-Prüfung im Juni 2017 identifiziert; bei einer erneuten Prüfung im März 2019 konnte das Unternehmen weder eine Datenbereinigung noch eine Rechtsgrundlage für die fortgesetzte Speicherung nachweisen. In einem Urteil vom 09.06.2026 reduzierte das Gericht die Strafe auf 900.000 Euro, mit der Begründung, das Unternehmen habe kooperativ an einer technischen Lösung und einem konformen System gearbeitet.

Die drastische Reduzierung von 14,5 Millionen auf 900.000 Euro zeigt, wie stark Bußgeldhöhen in Deutschland zwischen behördlicher Erstentscheidung und gerichtlicher Überprüfung schwanken können; die Gründe der Reduzierung liegen laut Quelle in der nachträglichen Kooperationsbereitschaft, nicht in einer Entkräftung des ursprünglichen Vorwurfs.

Das Unternehmen Worldcoin (Tools for Humanity) sammelte weltweit Iris-Scans gegen Kryptowährungs-Token, häufig von Menschen aus wirtschaftlich benachteiligten Gemeinschaften, ohne ausreichende Aufklärung darüber, was die Erfassung biometrischer Irisdaten bedeutet oder wie die Daten international verarbeitet werden. Die kenianische Datenschutzbehörde setzte das Programm am 02.08.2023 wegen unzureichenden Schutzes biometrischer Daten und fehlender Einwilligungsmechanismen aus; im Mai 2025 erklärte der High Court of Kenya den Betrieb der Plattform für illegal. In Deutschland ordnete das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) im Dezember 2024 nach einer DSGVO-Prüfung an, dass Worldcoin die in Deutschland erhobenen Irisdaten löschen muss. Weltweit haben mindestens acht Länder, von Spanien bis Indonesien, den Betrieb von Worldcoin verboten oder untersucht.

Ob Worldcoin die BayLDA-Löschanordnung tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht belegt.

Im Mai/Juli 2015 hackte eine Gruppe namens 'The Impact Team' den Seitensprung-Vermittlungsdienst Ashley Madison und drohte am 19.07.2015 der Betreiberfirma Avid Life Media, die Websites Ashley Madison und Established Men abzuschalten, andernfalls würden Nutzerdaten veröffentlicht. Die Hacker veröffentlichten schließlich Wohnort, Namen, Kreditkartendaten und Angaben zu sexuellen Vorlieben zahlloser Nutzer, einer der größten öffentlichen Moralpranger im Internet. Zahlreiche Ehen und langjährige Beziehungen zerbrachen abrupt; es gab unbestätigte Berichte über Suizide von Betroffenen, die im Freitod den einzigen Ausweg aus der öffentlichen Bloßstellung sahen. Der Hack löste zusätzlich eine Welle von Erpressungsverbrechen aus. Nach Berechnungen könnte theoretisch jeder fünfte Mann zwischen 20 und 74 Jahren in den USA mit dem Portal in Verbindung stehen und damit potenzielles Erpressungsopfer sein.

Die Berichte über durch das Leck ausgelöste Suizide sind laut Quelle unbestätigt, nicht durch offizielle Untersuchungen kausal nachgewiesen; die Schätzung 'jeder fünfte Mann' ist eine statistische Hochrechnung, keine belegte Nutzerzahl.

Ab dem 29.04.2023 über rund fünf Monate hinweg testete ein Angreifer bei 23andMe systematisch Kombinationen aus Nutzernamen und Passwörtern, die zuvor bei anderen Datenlecks erbeutet worden waren (Credential Stuffing), gegen die Login-Seite von 23andMe, da viele Menschen dieselben Passwörter auf mehreren Diensten wiederverwenden. Direkt kompromittiert wurden dadurch rund 14.000 Konten, weniger als 0,1 Prozent der etwa 14 Millionen 23andMe-Kunden. Weil 23andMe jedoch die Opt-in-Funktion 'DNA Relatives' anbietet, über die Nutzer Profilinformationen mit genetisch verwandten Nutzern teilen, konnte der Angreifer über die miteinander verknüpften Profile und Stammbaum-Tools von den 14.000 direkt kompromittierten Konten aus auf Daten von insgesamt 6,9 Millionen Menschen zugreifen, die 23andMe im Oktober 2023 entsprechend benachrichtigte.

Der Fall zeigt exemplarisch, wie eine relativ kleine Zahl kompromittierter Konten (0,1 Prozent) durch eine Datenverknüpfungsfunktion einen weit größeren Personenkreis betreffen kann; die genaue Art der bei den 6,9 Millionen Betroffenen tatsächlich offengelegten Datenfelder wird in dieser Quelle nicht vollständig differenziert.

Am 24.05.2019 wurde bekannt, dass die australische Design-Plattform Canva Ziel eines Datendiebstahls geworden war, bei dem ein Angreifer unter dem Pseudonym GnosticPlayers Zugriff auf eine Nutzerdatenbank erlangte. Laut der Sicherheits-Datenbank Have I Been Pwned waren rund 137,3 Millionen Konten betroffen, der Angreifer selbst nannte gegenüber dem Journalisten Catalin Cimpanu von ZDNet eine Zahl von etwa 139 Millionen. Erbeutet wurden Nutzernamen, echte Namen, E-Mail-Adressen sowie Angaben zu Wohnort und Land der Nutzer. Bei einem Teil der Konten, die sich nicht per Google- oder Facebook-Login angemeldet hatten, waren zusätzlich mit bcrypt gesalzene und gehashte Passwörter betroffen, nach Angaben aus der Berichterstattung rund 61 Millionen. Der Angreifer erklärte, alle Daten bis zum 17.05.2019 heruntergeladen zu haben, bevor Canva den unbefugten Zugriff bemerkte und den betroffenen Datenbankserver abschaltete. Canva bestätigte den Vorfall öffentlich, informierte betroffene Nutzer per E-Mail und forderte zum Zurücksetzen der Passwörter auf. Im Januar 2020 wurden Medienberichten zufolge rund 4 Millionen der ursprünglich gehashten Passwörter entschlüsselt und weiterverbreitet, woraufhin Canva die Passwörter aller Nutzer zurücksetzte, die ihr Passwort seit Mai 2019 nicht geändert hatten. Der Vorfall war Teil einer größeren Angriffsserie des Hackers beziehungsweise der Hackergruppe GnosticPlayers, die 2019 gestohlene Daten aus mehreren Dutzend Online-Diensten zum Verkauf anbot.

Die genaue Zahl der betroffenen Konten schwankt je nach Quelle zwischen 137 und 139 Millionen, eine von Canva selbst bestätigte exakte Zahl liegt in den verfügbaren Quellen nicht vor. Ob Canva infolge des Vorfalls behördliche Bußgelder oder Entschädigungszahlungen leisten musste, ist aus den ausgewerteten Quellen nicht ersichtlich.

Am 27.02.2019 gab die US-amerikanische Federal Trade Commission (FTC) eine Einigung mit dem Unternehmen hinter der Video-App Musical.ly bekannt, die inzwischen mit TikTok fusioniert war. Musical.ly zahlte 5,7 Millionen Dollar Zivilstrafe wegen Verstößen gegen den Children's Online Privacy Protection Act (COPPA). Die FTC warf dem Unternehmen vor, keine elterliche Zustimmung eingeholt zu haben, bevor personenbezogene Daten von Nutzern unter 13 Jahren gesammelt wurden. Zur Registrierung mussten Nutzer E-Mail-Adresse, Telefonnummer, vollständigen Namen, Nutzernamen, ein Profilbild und eine kurze Biografie angeben. Laut FTC-Beschwerde war dem Unternehmen bekannt, dass ein erheblicher Anteil der Nutzer jünger als 13 Jahre war, zudem gingen tausende Elternbeschwerden über Konten minderjähriger Kinder ein. Die Strafe war zum Zeitpunkt der Verhängung die höchste jemals von der FTC in einem Kinderschutzfall erzielte Zivilstrafe. Die Einigung verpflichtete das Unternehmen, künftig COPPA einzuhalten und alle von Nutzern unter 13 Jahren erstellten Videos offline zu nehmen. Die App firmierte zum Zeitpunkt der Ankündigung bereits unter der Marke TikTok, nachdem ByteDance Musical.ly im August 2018 übernommen und integriert hatte.

Aus der Pressemitteilung geht nicht hervor, wie viele Kinderkonten oder Videos konkret betroffen waren, und die genaue Zahl der eingegangenen Elternbeschwerden wird nur als tausende beziffert, nicht exakt. Ebenfalls nicht belegt ist eine detaillierte Aufschlüsselung, welcher Anteil der Gesamtnutzerschaft unter 13 Jahre alt war.

Am 25.05.2022 gaben das US-Justizministerium (DOJ) und die Federal Trade Commission (FTC) eine Einigung mit Twitter Inc. bekannt, wonach das Unternehmen 150 Millionen US-Dollar Zivilstrafe zahlen muss. Den Behörden zufolge forderte Twitter zwischen Mai 2013 und September 2019 Nutzer auf, Telefonnummern und E-Mail-Adressen anzugeben, offiziell zur Kontosicherheit, etwa für die Zwei-Faktor-Authentifizierung und die Passwort-Wiederherstellung. Tatsächlich nutzte Twitter diese Daten zusätzlich für zielgerichtete Werbung, ohne die Nutzer darüber zu informieren. Nach Angaben der Behörden waren mehr als 140 Millionen Twitter-Nutzer betroffen. Die FTC wertete dies als Verstoß gegen den FTC Act sowie gegen eine bereits im März 2011 gegen Twitter erlassene behördliche Anordnung zum Datenschutz. Die Einigung verpflichtet Twitter zu einem umfassenden Compliance-Programm mit 20 Jahren FTC-Aufsicht, zur Bereitstellung von Multi-Faktor-Authentifizierung ohne Telefonnummernpflicht sowie zur Benachrichtigung betroffener Nutzer über die Zweckentfremdung ihrer Daten. FTC-Vorsitzende Lina Khan bezeichnete die Strafe als Reaktion auf einen wiederholten Verstoß, da Twitter bereits 2011 eine ähnliche Anordnung erhalten hatte. Die Strafzahlung entsprach nach Medienberichten rund drei Prozent des Twitter-Jahresumsatzes von 2021.

Aus der Pressemitteilung geht nicht hervor, in welchem Umfang die Werbedaten konkret an Drittanbieter weitergegeben oder wie viel Zusatzumsatz Twitter dadurch erzielte. Ebenso unklar bleibt, ob und wie viele einzelne Nutzer individuell benachrichtigt oder entschädigt wurden.

Zwischen dem 28.09.2023 und dem 17.10.2023 verschafften sich Angreifer über einen kompromittierten Service-Account Zugriff auf das Kundensupport-System des Identitätsanbieters Okta. Ursache war, dass ein Okta-Mitarbeiter sich auf einem firmeneigenen Chrome-Browser mit einem privaten Google-Konto anmeldete, wodurch die Zugangsdaten dieses Service-Accounts in dem privaten Konto gespeichert wurden. Die Angreifer griffen im Support-System auf HAR-Dateien zu, die Kunden zur Fehlerdiagnose hochgeladen hatten und die Sitzungstoken enthielten, womit sich Nutzersitzungen kapern ließen. Damit übernahmen die Angreifer Sitzungen von 5 Kunden, darunter BeyondTrust, Cloudflare und der Passwortmanager 1Password. Okta entdeckte den Vorfall am 13.10.2023 nach einem Hinweis von BeyondTrust und informierte am 19.10.2023 zunächst über 134 betroffene Kunden. Am 29.11.2023 räumte Okta ein, dass die Angreifer bereits am 28.09.2023 einen Bericht heruntergeladen hatten, der Namen und E-Mail-Adressen praktisch aller Nutzer des Okta-Kundensupportsystems enthielt und damit nahezu alle rund 18.400 Okta-Kunden betraf. Laut Okta enthielten 99,6 Prozent der betroffenen Einträge in diesem Bericht ausschließlich Namen und E-Mail-Adresse. Als Reaktion deaktivierte Okta den kompromittierten Service-Account und blockierte die Anmeldung mit privaten Google-Konten auf firmeneigenen Chrome-Geräten.

Aus dieser Quelle nicht belegt sind die konkrete Identität oder Zuordnung der Angreifer zu einer bestimmten Gruppe sowie mögliche finanzielle Schäden, Bußgelder oder der Ausgang etwaiger regulatorischer beziehungsweise gerichtlicher Verfahren infolge des Vorfalls.

Am 21.11.2023 veröffentlichten die US-Behörde CISA, das FBI und weitere Partner den gemeinsamen Sicherheitshinweis AA23-325A zur Ausnutzung der Citrix-Bleed-Schwachstelle CVE-2023-4966 durch Affiliates der Ransomware-Gruppe LockBit 3.0. Die Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway erlaubte das Auslesen aktiver Sitzungstoken und damit die Umgehung der Multi-Faktor-Authentifizierung. Laut Advisory beobachtete der Flugzeughersteller Boeing als eine der ersten Organisationen, wie LockBit-3.0-Affiliates die Schwachstelle nutzten, um Zugang zu Boeing Distribution Inc. zu erlangen. Die Ausnutzung der Schwachstelle als Zero-Day begann laut Advisory bereits im August 2023, Citrix veröffentlichte am 10.10.2023 einen Patch. LockBit hatte Boeing zuvor am 27.10.2023 auf seiner Leak-Seite gelistet und 200 Millionen US-Dollar Lösegeld gefordert. Boeing zahlte nicht, woraufhin LockBit Anfang November 2023 rund 43 Gigabyte an Unternehmensdaten veröffentlichte. Der Advisory nennt neben Boeing weitere Betroffene derselben Angriffswelle, darunter die Kanzlei Allen & Overy, die Industrial and Commercial Bank of China und das Logistikunternehmen DP World.

Aus dem Advisory geht nicht hervor, welche konkreten Fluggesellschaften oder Zulieferer in der Boeing-Lieferkette durch die geleakten Zulieferdaten selbst kompromittiert wurden, und die Gesamtzahl weltweit betroffener Organisationen der Citrix-Bleed-Kampagne bleibt unbeziffert.

Das Bundeskartellamt untersagte Facebook mit Beschluss vom 06.02.2019, Nutzerdaten aus verschiedenen Quellen ohne gesonderte freiwillige Einwilligung der Nutzenden zusammenzuführen. Betroffen war die Verknüpfung von Daten aus den konzerneigenen Diensten Facebook, Instagram und WhatsApp sowie von Daten, die auf Drittanbieter-Websites außerhalb von Facebook erhoben wurden, etwa über Like-Buttons. Bis zur Entscheidung war die Nutzung des Facebook-Kontos an die Zustimmung zu dieser weitreichenden Datensammlung gekoppelt; eine echte Wahlmöglichkeit hatten Nutzende nicht. Das Amt stützte die Entscheidung auf den Vorwurf des Missbrauchs einer marktbeherrschenden Stellung, gestützt auf einen Marktanteil von Facebook beim sozialen Netzwerk in Deutschland von rund 95 Prozent bezogen auf tägliche Nutzerzahlen. Facebook erhielt Umsetzungsfristen von vier bis zwölf Monaten und legte gegen den Beschluss Beschwerde beim Oberlandesgericht Düsseldorf ein, das die Vollziehung zunächst per Eilentscheidung aussetzte, bevor der Bundesgerichtshof 2020 die kartellrechtliche Einschätzung des Bundeskartellamts vorläufig bestätigte.

Aus dieser Quelle nicht belegt sind der genaue Ausgang und Abschluss des jahrelangen gerichtlichen Rechtsstreits in allen Details sowie der exakte technische Umsetzungsstand der Datentrennung bei Meta zum jeweiligen Zeitpunkt.

Am 13.05.2014 entschied die Große Kammer des EuGH im Verfahren C-131/12, Google Spain SL und Google Inc. gegen die spanische Datenschutzbehörde AEPD und Mario Costeja Gonzalez. Auslöser war eine 1998 in der Zeitung La Vanguardia veröffentlichte Bekanntmachung über eine Zwangsversteigerung von Costejas Grundstück, die bei einer Google-Suche nach seinem Namen weiterhin erschien, obwohl das Verfahren längst abgeschlossen war. Costeja beantragte 2010 bei der AEPD, Google zur Löschung des Links aus den Suchergebnissen zu verpflichten. Der EuGH stellte fest, dass das Betreiben einer Suchmaschine als Verarbeitung personenbezogener Daten gilt und der Suchmaschinenbetreiber dafür als Verantwortlicher haftet. Betroffene Personen können demnach von Suchmaschinenbetreibern verlangen, Links zu rechtmäßig veröffentlichten, aber veralteten oder für sie nicht mehr relevanten Informationen zu entfernen, ohne dass die Ursprungsseite selbst gelöscht werden muss. Google richtete am 29.05.2014 ein Online-Formular für Löschanträge ein und erhielt in den ersten drei Monaten durchschnittlich rund 1.500 Anträge pro Tag. Bis 2018 gingen bei Google über 650.000 solcher Anträge zu rund 2,4 Millionen Links ein.

Aus dem Urteilstext selbst geht nicht hervor, wie Google die Abwägungskriterien zwischen Persönlichkeitsrecht und öffentlichem Informationsinteresse im Einzelfall genau anwendet; die späteren Fallzahlen stammen aus separaten Google-Transparenzberichten.

Nach der Veröffentlichung der Ashley-Madison-Nutzerdaten im August 2015 durch die Gruppe The Impact Team setzte die Betreiberfirma Avid Life Media am 24.08.2015 eine Belohnung von 500.000 kanadischen Dollar für Hinweise zur Identifizierung der Täter aus. Mit der Ermittlung befasst waren der Toronto Police Service, die Royal Canadian Mounted Police, die Ontario Provincial Police sowie FBI und Department of Homeland Security. Ashley-Madison-CEO Noel Biderman äußerte öffentlich den Verdacht, hinter dem Hack stecke eine Person mit internem Zugang, ohne dass dieser Verdacht je zu einer Anklage führte. Laut einer Rückschau von Krebs on Security vom 26.07.2022 war trotz der Belohnung bis dahin niemand angeklagt worden, die Identität von The Impact Team blieb ungeklärt.

Ob die Belohnung jemals ausgezahlt wurde, ist nicht dokumentiert. Die These eines internen Täters stammt aus öffentlichen Äußerungen des CEO und wurde nie durch eine Anklage belegt. Unklar bleibt, ob eine Einzelperson oder eine Gruppe verantwortlich war. Die Behörden kommunizierten nach 2015 keine öffentlichen Zwischenstände mehr.

Der Kanadier Connor Riley Moucka bekannte sich am 05.08.2026 vor einem US-Bundesgericht in vier Anklagepunkten schuldig: Computerbetrug, Drahtbetrug, schwerer Identitätsdiebstahl und Verschwörung. Laut US-Justizministerium nutzten Moucka und Komplizen zwischen Februar und Oktober 2024 gestohlene Zugangsdaten, um Cloud-Konten von mindestens 165 Kunden eines US-Cloud-Anbieters zu kompromittieren, und erbeuteten Milliarden sensibler Datensätze. Die Täter erpressten Opfer mit Veröffentlichungsdrohungen und erhielten über 2,5 Millionen Dollar Lösegeld. Den Opferunternehmen entstand ein Schaden von mehr als 9,5 Millionen Dollar, betroffen waren Kundendaten von mindestens 100 Millionen Menschen. Moucka wurde am 30.10.2024 in Kanada festgenommen, im Juli 2025 in die USA ausgeliefert, das Urteil soll am 27.10.2026 fallen.

Die Pressemitteilung nennt den betroffenen Cloud-Anbieter nicht namentlich als Snowflake und keine einzelnen Opferfirmen. Die Zuordnung zu Ticketmaster/Live Nation, AT&T und Santander stammt aus Presseberichten, nicht aus der Mitteilung selbst. Das endgültige Strafmaß steht erst nach der Urteilsverkündung fest.

Am 24.04.2024 entdeckte Dropbox unautorisierten Zugriff auf die Produktionsumgebung von Dropbox Sign. Der Angreifer hatte bereits am 19./20.04.2024 ein Service-Konto im Backend-System kompromittiert und dessen Berechtigungen genutzt, um auf die Kundendatenbank zuzugreifen. Betroffen waren E-Mail-Adressen, Telefonnummern und gehashte Passwörter aller Nutzer sowie Authentifizierungsdaten wie API-Schlüssel und OAuth-Token. Dropbox informierte am 01.05.2024 öffentlich und rotierte alle API-Schlüssel und Token.

Dropbox nannte keine konkrete Gesamtzahl betroffener Konten. Ob Drittanwendungen mit gestohlenen Token missbraucht wurden, ist nicht bekannt. Die Angabe, Dokumenteninhalte seien nicht betroffen, stammt allein aus der unternehmenseigenen Untersuchung ohne unabhängige Bestätigung.