Quellen-Tabelle

Am 10.04.2021 berichtete das IT-Sicherheitsportal Cybernews, dass eine SQL-Datenbank mit rund 1,3 Millionen Nutzerdatensätzen der Audio-App Clubhouse kostenlos in einem bekannten Hackerforum veröffentlicht wurde. Die Datensätze enthielten unter anderem Nutzer-ID, Namen, Profilbild-URL, Nutzername, verknüpfte Twitter- und Instagram-Handles, Anzahl der Follower und Abonnements, das Erstellungsdatum des Kontos sowie den Namen der Person, die den jeweiligen Nutzer eingeladen hatte. Clubhouse dementierte am 11.04.2021 über CEO Paul Davison bei einem unternehmensinternen Townhall-Treffen, Ziel eines Hacks geworden zu sein, und bezeichnete die Berichterstattung als irreführend. Nach Darstellung des Unternehmens handelte es sich ausschließlich um öffentlich zugängliche Profildaten, die jeder Nutzer über die App oder die API von Clubhouse einsehen konnte. Die App-Analystin Jane Manchun Wong erklärte, die Daten seien mutmaßlich über eine einfache Schleifenfunktion abgegriffen worden, da Clubhouse Nutzer-IDs fortlaufend nummerierte. Kreditkartendaten, Telefonnummern oder andere sensible Identifikationsmerkmale waren nach übereinstimmenden Berichten nicht Teil der veröffentlichten Datensätze. Clubhouse befand sich zu diesem Zeitpunkt, wenige Monate nach dem pandemiebedingten Nutzerboom Anfang 2021, noch in einer geschlossenen Betaphase mit Einladungssystem.

Nicht belegt ist, ob Clubhouse wegen des Vorfalls behördlich belangt oder finanziell sanktioniert wurde, da öffentlich keine Bußgelder oder Aufsichtsverfahren bekannt wurden. Ebenfalls ungeklärt bleibt die genaue technische Vorgehensweise des Scrapings, da Clubhouse selbst keine forensische Analyse veröffentlichte.

Im September 2020 wurde der Anbieter der PDF-Software Nitro (Nitro Software) Opfer eines Datendiebstahls. Eine 14 GB große Datenbank mit 77.159.696 Nutzerdatensätzen wurde zunächst gemeinsam mit 1 TB an Dokumenten für 80.000 US-Dollar zum Kauf angeboten. Am 20.01.2021 veröffentlichte ein Akteur, der sich der Gruppe ShinyHunters zurechnete, die vollständige Datenbank kostenlos in einem Hackerforum. Die Datensätze enthielten E-Mail-Adressen, vollständige Namen, bcrypt-gehashte Passwörter, Firmennamen, Berufsbezeichnungen, IP-Adressen sowie Titel aus mit der Software konvertierten Dokumenten. Bleeping Computer bestätigte die Echtheit der Daten anhand bekannter Nitro-Konten. Nitro Software hatte den Vorfall bereits am 21.10.2020 in einer Mitteilung an die australische Börse ASX als Sicherheitsvorfall mit geringen Auswirkungen gemeldet und erklärt, es seien keine Kundendaten betroffen gewesen, was sich im Nachhinein als unzutreffend erwies. Unter den betroffenen Organisationen, deren Mitarbeiter Nitro-Konten nutzten, wurden unter anderem Google, Apple, Microsoft, Chase und Citibank genannt. Have I Been Pwned nahm den Vorfall am 19.01.2021 mit 77,2 Millionen betroffenen Konten in seine Datenbank auf.

Nicht belegt ist der genaue technische Einbruchsweg in die Nitro-Systeme sowie eine offizielle, detaillierte Bestätigung des Umfangs durch Nitro Software selbst, das den Vorfall zunächst herunterspielte. Auch die Identität des Täters beruht nur auf dessen eigener Behauptung im Hackerforum.

Im Oktober und November 2016 luden zwei Hacker aus einer AWS-Cloud-Datenbank von Uber persönliche Daten von 57 Millionen Nutzern und Fahrern herunter, darunter rund 25,6 Millionen Namen und E-Mail-Adressen sowie etwa 607.000 Führerscheinnummern US-amerikanischer Fahrer. Uber erfuhr am 14.11.2016 von dem Angriff. Der damalige Sicherheitschef Joseph Sullivan ließ den Hackern daraufhin 100.000 US-Dollar in Bitcoin zahlen und diese Zahlung über das Programm HackerOne als reguläre Bug-Bounty-Prämie tarnen, obwohl Ubers übliche Höchstprämie bei 10.000 Dollar lag; die Hacker mussten zudem eine Verschwiegenheitserklärung unterzeichnen. Der Vorfall wurde erst im November 2017 öffentlich, als der neue Uber-Chef Dara Khosrowshahi ihn offenlegte, woraufhin Sullivan entlassen wurde. Im September 2018 zahlte Uber 148 Millionen US-Dollar in einem Vergleich mit den Generalstaatsanwälten aller 50 US-Bundesstaaten und des District of Columbia wegen verspäteter Meldung der Datenpanne. Im August 2020 klagte die US-Bundesstaatsanwaltschaft Sullivan wegen Behinderung eines FTC-Verfahrens und Verschweigen einer Straftat an. Eine Bundesgeschworenenjury sprach ihn am 05.10.2022 in beiden Anklagepunkten schuldig. Am 04.05.2023 verurteilte Richter William Orrick Sullivan zu drei Jahren Bewährung, 200 Stunden gemeinnütziger Arbeit und einer Geldstrafe von 50.000 US-Dollar, ohne Haftstrafe.

Aus der Berichterstattung nicht abschließend geklärt ist, inwieweit der damalige Uber-CEO Travis Kalanick persönlich für die Vertuschung mitverantwortlich war; er wurde strafrechtlich nicht angeklagt, obwohl der Richter ihn laut Presseberichten als ebenso schuldig bezeichnete. Der genaue Tag der Bitcoin-Zahlung im Dezember 2016 ist in den verfügbaren Quellen nicht einheitlich belegt.

Zwischen dem 17. und 19. April 2011 verschafften sich unbekannte Angreifer unbefugten Zugriff auf die Server des Sony-Unterhaltungsnetzwerks PlayStation Network (PSN) und des Musikdienstes Qriocity. Am 20. April 2011 schaltete Sony beide Dienste vollständig ab, um die Systeme zu untersuchen. Am 26. April 2011 bestätigte Sony offiziell, dass persönliche Daten von rund 77 Millionen PSN- und Qriocity-Konten kompromittiert wurden, darunter Namen, Adressen, E-Mail-Adressen, Geburtsdaten sowie Login- und Passwortdaten. Zusätzlich waren beim ebenfalls angegriffenen Dienst Sony Online Entertainment rund 24,6 Millionen weitere Konten betroffen, bei etwa 12.700 davon auch Kreditkartendaten. Die PlayStation-Network-Dienste blieben bis zum 14. Mai 2011 vollständig offline, ein Ausfall von rund drei Wochen. Am 23. Mai 2011 bezifferte Sony die Kosten des Vorfalls auf etwa 171 Millionen US-Dollar, unter anderem für Identitätsschutz-Versicherungen und kostenlose Abonnements für betroffene Nutzer. Im Januar 2013 verhängte die britische Datenschutzbehörde Information Commissioner's Office eine Geldstrafe von 250.000 britischen Pfund gegen Sony wegen unzureichender Sicherheitsvorkehrungen. Die Angreifer wurden nie zweifelsfrei identifiziert, Sony vermutete zunächst eine Beteiligung der Hacktivisten-Gruppe Anonymous, die eine Verantwortung jedoch zurückwies.

Die genaue Herkunft und Identität der Angreifer ist bis heute nicht zweifelsfrei belegt, ebenso wenig, in welchem Umfang gestohlene Kreditkartendaten tatsächlich für Betrug missbraucht wurden. Die Zahl von 12.700 betroffenen Kreditkarten bei Sony Online Entertainment stammt aus Sonys eigenen Angaben und ist unabhängig nicht überprüft.

Am 17.03.2011 informierte die IT-Sicherheitsfirma RSA, eine Sparte des Speicherkonzerns EMC, ihre Kunden über einen als Advanced Persistent Threat eingestuften Cyberangriff auf ihre Systeme. Der Angriff begann bereits am 03.03.2011, als die Angreifer an eine kleine Gruppe von RSA-Mitarbeitern eine Phishing-E-Mail mit dem Betreff 2011 Recruitment Plan und einem präparierten Excel-Anhang verschickten. Die Datei nutzte eine Zero-Day-Schwachstelle in Adobe Flash (CVE-2011-0609), um die Backdoor-Software Poison Ivy im Netzwerk von RSA zu installieren. Über diesen Zugang entwendeten die Angreifer Daten aus der Datenbank der Zwei-Faktor-Authentifizierungstechnologie SecurID, darunter nach Einschätzung von RSA vermutlich die geheimen Seed-Schlüssel und Seriennummern der Hardware-Token. Am 21.05.2011 entdeckte der US-Rüstungskonzern Lockheed Martin einen Einbruchsversuch in sein Netzwerk über den VPN-Zugang, der auf SecurID-Token basiert. RSA bestätigte am 02.06.2011 offiziell, dass die im März gestohlenen Informationen bei diesem Angriff eingesetzt wurden. RSA bot daraufhin praktisch allen der rund 30.000 SecurID-Kunden weltweit den kostenlosen Austausch ihrer Hardware-Token an. Der Mutterkonzern EMC bezifferte die Kosten für Untersuchung, Systemhärtung und Kundenbetreuung auf 66,3 Millionen US-Dollar.

Eine offizielle, amtlich bestätigte Zuschreibung der Angreifer liegt bis heute nicht vor, sie stützt sich nur auf spätere Medienrecherchen und Einschätzungen von Sicherheitsforschern. Unklar bleibt zudem, bei wie vielen der über 30.000 SecurID-Kunden gestohlene Daten tatsächlich für erfolgreiche Folgeangriffe genutzt wurden, außer im bestätigten Fall Lockheed Martin.

Der Sicherheitsforscher Dylan Houlihan meldete dem US-Backwarenkonzern Panera Bread am 02.08.2017 eine offene Programmierschnittstelle auf panerabread.com, über die Kundendaten ohne Anmeldung abrufbar waren. Panera reagierte zunächst nicht und stufte den Hinweis später als möglichen Betrugsversuch ein. Erst als Houlihan sich am 02.04.2018 an den Sicherheitsjournalisten Brian Krebs von KrebsOnSecurity wandte, wurde die Lücke öffentlich, fast acht Monate nach der ersten Meldung. Ursache war eine Datenbank mit fortlaufend nummerierten Kundenkonten, deren Datensätze sich ohne Authentifizierung automatisiert auslesen ließen. Offengelegt wurden Namen, E-Mail-Adressen, Postanschriften, Geburtsdaten, die letzten vier Ziffern von Kreditkartennummern sowie Kontonummern des Treueprogramms MyPanera. Erste Schätzungen gingen von mehr als 7 Millionen betroffenen Datensätzen aus, nach Einbeziehung des Großkunden- und Cateringgeschäfts von Panera stieg die Schätzung auf bis zu 37 Millionen Einträge. Nachdem KrebsOnSecurity das Unternehmen kontaktiert hatte, nahm Panera die Website zeitweise vom Netz und erklärte öffentlich, lediglich rund 10.000 Kunden seien betroffen. Diese Zahl wurde von Sicherheitsforschern als deutlich zu niedrig kritisiert.

Die genaue Gesamtzahl der betroffenen Datensätze schwankt je nach Quelle zwischen 7 und 37 Millionen und wurde von Panera nie offiziell bestätigt. Unklar bleibt zudem, ob und in welchem Umfang die Daten vor der öffentlichen Enthüllung bereits von Dritten missbräuchlich abgegriffen wurden.

Zwischen dem 1. Dezember 2022 und dem 12. Dezember 2022 führten Angreifer automatisierte Credential-Stuffing-Angriffe gegen Nutzerkonten von Norton LifeLock durch, dem Passwort-Manager-Dienst des Unternehmens Gen Digital. Dabei nutzten die Täter Kombinationen aus Benutzernamen und Passwörtern, die aus früheren, anderen Datenlecks stammten und im Darknet kursierten. Am 12. Dezember 2022 registrierten die Systeme von Gen Digital ein ungewöhnlich hohes Volumen fehlgeschlagener Anmeldeversuche, die interne Untersuchung wurde am 22. Dezember 2022 abgeschlossen. Insgesamt waren rund 925.000 aktive und inaktive Konten von den automatisierten Anmeldeversuchen betroffen, bei etwa 6.450 bis 6.500 Konten gelang den Angreifern der tatsächliche Zugriff. Bei den kompromittierten Konten konnten die Angreifer nach Angaben des Unternehmens auf Vornamen, Nachnamen, Telefonnummern und Postanschriften zugreifen. Gen Digital erklärte zudem, ein Zugriff auf im Passwort-Manager gespeicherte Passwörter der betroffenen Nutzer könne nicht ausgeschlossen werden. Am 13. Januar 2023 reichte Gen Digital eine Meldung bei der Generalstaatsanwaltschaft von Vermont ein und informierte die betroffenen Kunden per Brief. Gen Digital betonte, dass die eigenen Systeme nicht kompromittiert worden seien und die Ursache in der Wiederverwendung von Passwörtern durch Nutzer lag.

Aus der Quelle geht nicht hervor, aus welchem konkreten Drittanbieter-Datenleck die verwendeten Zugangsdaten ursprünglich stammten, und es bleibt offen, ob tatsächlich im Passwort-Manager gespeicherte Passwörter ausgelesen wurden oder dies nur theoretisch möglich war.

Am 24. April 2018 verhafteten Ermittler in Sacramento, Kalifornien, den 72-jährigen ehemaligen Polizisten Joseph James DeAngelo als mutmaßlichen Golden State Killer, der von den 1970er bis in die 1980er Jahre eine Serie von Morden, Vergewaltigungen und Einbrüchen in Kalifornien begangen haben soll. Ermittler hatten DNA-Spuren von Tatorten in die öffentlich zugängliche genetische Genealogie-Datenbank GEDmatch hochgeladen und darüber entfernte Verwandte von DeAngelo bis zu dessen Ur-Ur-Großeltern identifiziert, um anschließend über Monate den Stammbaum einzugrenzen. Am 20. April 2018 ergab ein erster DNA-Abgleich mit einer aus dem Hausmüll DeAngelos gewonnenen Probe eine Übereinstimmung, ein zweiter Test am 23. April 2018 bestätigte den Treffer, woraufhin der Haftbefehl vollstreckt wurde. GEDmatch war zum Tatzeitpunkt eine von Nutzern freiwillig mit eigenen DNA-Rohdaten befüllte Plattform ohne explizite Zustimmung zur Strafverfolgungsnutzung, was nach Bekanntwerden des Falls eine Debatte über die Nutzung ziviler DNA-Datenbanken durch die Polizei auslöste. Am 29. Juni 2020 bekannte sich DeAngelo vor Gericht in Sacramento zu 13 Fällen von Mord ersten Grades und 13 Fällen von Entführung im Rahmen von insgesamt 161 zugestandenen Straftaten an 48 Opfern schuldig, im Austausch gegen den Verzicht auf die Todesstrafe. Am 21. August 2020 verurteilte ihn das Gericht zu elf aufeinanderfolgenden lebenslangen Freiheitsstrafen ohne Bewährungsmöglichkeit.

Aus der Quelle nicht eindeutig belegt sind genaue Angaben dazu, wie viele GEDmatch-Nutzerprofile im Zuge der monatelangen Stammbaumrecherche konkret ausgewertet wurden und welche internen Absprachen zwischen Ermittlern und GEDmatch-Betreibern vor der Verhaftung stattfanden. Auch die vollständige rechtliche Bewertung der Zulässigkeit einer solchen DNA-Datenbanknutzung durch Strafverfolgungsbehörden war zum Zeitpunkt des Artikels noch nicht abschließend geklärt.

Am 03.03.2017 veröffentlichte die New York Times einen Artikel des Journalisten Mike Isaac, der ein internes Uber-Programm namens Greyball öffentlich machte. Greyball war Teil eines breiteren Systems namens VTOS (Violation of Terms of Service) und wurde laut Uber seit mindestens 2014 eingesetzt, um Behördenmitarbeiter und Ermittler in Städten zu identifizieren, in denen Uber ohne Genehmigung operierte oder verboten war. Zur Identifizierung nutzte Uber unter anderem Geofencing um Behördengebäude, den Abgleich von Kreditkarten mit Polizei-Kreditgenossenschaften, Social-Media-Daten und Geräte-Fingerprinting, insgesamt rund ein Dutzend Signale. Als Behördenmitarbeiter erkannte Nutzer erhielten eine manipulierte Version der App zu sehen, etwa mit nicht existierenden Fahrzeugen oder ohne verfügbare Fahrer, teilweise wurden Fahrer telefonisch angewiesen, eine bereits begonnene Fahrt abzubrechen. Die Methode kam laut Berichten unter anderem in Portland, Boston, Paris und Las Vegas sowie in Australien, China und Südkorea zum Einsatz. Uber räumte ein, die Technik in Portland über einen Zeitraum von zwei Wochen im Jahr 2014 gegen 17 Nutzerkonten vorwiegend von Behördenmitarbeitern eingesetzt zu haben. Am 09.03.2017 erklärte Ubers Sicherheitschef Joe Sullivan, der Einsatz von Greyball gegen lokale Regulierungsbehörden werde künftig untersagt. Im Dezember 2017 wurde bekannt, dass das US-Justizministerium eine strafrechtliche Untersuchung zu Greyball eingeleitet hatte.

Der genaue Ausgang der strafrechtlichen Ermittlungen des US-Justizministeriums ist aus dieser Quelle nicht ersichtlich, ebenso wenig eine belastbare Gesamtzahl weltweit betroffener Behördenmitarbeiter jenseits der 17 dokumentierten Portland-Konten.

Die US-Kreditauskunftei Experian erwarb im März 2012 das Unternehmen Court Ventures, das über eine Vertragspartnerschaft mit dem Datenaggregator US Info Search Zugriff auf umfangreiche Verbraucherdatenbanken besaß. Ein Kunde von Court Ventures, der sich als Privatermittler mit Sitz in Singapur ausgab, war tatsächlich der 24-jährige vietnamesische Staatsbürger Hieu Minh Ngo, der unter dem Pseudonym hieupc die Identitätsdiebstahl-Dienste Superget.info und Findget.me betrieb. Ngo bezahlte den Datenzugang monatlich per Banküberweisung aus Singapur und konnte dadurch auf Sozialversicherungsnummern, Geburtsdaten, Adressen und weitere Datensätze von mehr als 200 Millionen US-Amerikanern zugreifen. Der Zugriff dauerte auch nach der Übernahme durch Experian noch rund zehn Monate an, bis der US Secret Service Experian auf die verdächtigen Aktivitäten aufmerksam machte und der Zugang im Februar 2013 beendet wurde. Nach Angaben von US-Ermittlern führte Ngos Dienst zwischen 2007 und Februar 2013 rund 3,1 Millionen Abfragen für etwa 1.300 zahlende Kunden durch und nahm dabei rund 1,9 Millionen US-Dollar ein. Das US-Justizministerium gab die strafrechtliche Anklage gegen Ngo am 19.10.2013 bekannt. Ngo bekannte sich schuldig und wurde im Juli 2015 zu 13 Jahren Haft verurteilt. Im November 2022 einigte sich die Experian-Tochter Experian Data Corp zusätzlich mit den Generalstaatsanwälten von 40 US-Bundesstaaten auf einen Vergleich über 1 Million US-Dollar.

Die genaue Zahl der tatsächlich durch Ngos Dienst geschädigten Verbraucher blieb laut US-Ermittlern zum Zeitpunkt der Anklage 2013 ungeklärt, da nur die Zahl der abrufbaren Datensätze und Abfragen bekannt war.

Die französische Datenschutzbehörde CNIL verhängte am 17.10.2022 gegen das US-Unternehmen Clearview AI eine Geldbuße von 20 Millionen Euro, das gesetzliche Maximum nach Artikel 83 DSGVO. Clearview AI betreibt eine Gesichtserkennungssoftware und sammelte weltweit über 20 Milliarden Fotos von Webseiten, sozialen Netzwerken und Videos, um daraus eine durchsuchbare Bilddatenbank zu erstellen, die vor allem an Strafverfolgungsbehörden vermarktet wird. Die CNIL stellte zwei DSGVO-Verstöße fest: die Verarbeitung sensibler biometrischer Daten ohne gültige Rechtsgrundlage sowie die unzureichende Berücksichtigung von Betroffenenrechten. Bereits am 26.11.2021 hatte die CNIL Clearview AI förmlich aufgefordert, die Datenerhebung französischer Bürger zu stoppen, worauf das Unternehmen nicht reagierte. Mit der Sanktion vom 17.10.2022 ordnete die CNIL zusätzlich an, dass Clearview AI die Datenerhebung von Personen in Frankreich einstellen und bereits gespeicherte Daten innerhalb von zwei Monaten löschen muss. Bei Überschreitung dieser Frist drohte ein Zwangsgeld von 100.000 Euro pro Tag. Clearview AI kooperierte während des gesamten Verfahrens nur unvollständig mit der Behörde.

Aus der Quelle nicht belegt ist, ob Clearview AI die Geldbuße tatsächlich gezahlt oder die angeordnete Löschung fristgerecht umgesetzt hat, da das Unternehmen als US-Firma ohne Niederlassung in der EU die Vollstreckbarkeit bestritt.

Am 13.08.2022 berichtete das Reiseportal View from the Wing über den Fall eines Marriott-Bonvoy-Kunden, dessen Treuepunktekonto von Unbekannten kompromittiert wurde. Aus dem Konto des Lesers verschwanden rund 100.000 Bonvoy-Punkte, wobei weder der genaue Zeitpunkt des Zugriffs noch die konkrete Zugriffsmethode öffentlich bekannt wurden. Nach der Meldung sperrte Marriott das betroffene Konto vollständig und teilte mit, die Punkte würden erst nach Abschluss einer internen Untersuchung zurückerstattet, mit einer erwarteten Bearbeitungsdauer von rund 45 Tagen. Nach 44 Tagen wurde das Konto aus der Prüfung genommen und alle 100.000 Punkte wurden dem Kunden vollständig gutgeschrieben. Während der gesamten Untersuchungsdauer hatte der rechtmäßige Kontoinhaber keinen eigenen Zugriff mehr auf sein Konto. Der Fall reiht sich in ein 2022 vielfach dokumentiertes Muster von Bonvoy-Kontoübernahmen ein. Parallel dazu bestätigte Marriott im Juni/Juli 2022 einen separaten Sicherheitsvorfall, bei dem ein Angreifer per Social Engineering Zugriff auf den Rechner eines Mitarbeiters am BWI Airport Marriott in Maryland erlangte und rund 20 Gigabyte an Daten entwendete, was rund 300 bis 400 Personen betraf.

Die Quelle belegt nur diesen dokumentierten Einzelfall; wie die Täter tatsächlich Zugang zum Bonvoy-Konto erlangten, bleibt ungeklärt. Ob gestohlene Bonvoy-Punkte systematisch im großen Stil weiterverkauft wurden, ist aus dieser Quelle nicht ersichtlich.

Am 11. September 2023 bestätigte die Casino- und Hotelkette MGM Resorts International einen Cyberangriff auf ihre US-Systeme, nachdem die Hackergruppe Scattered Spider bereits am 10. September 2023 Zugriff auf interne Systeme erlangt hatte. Die Angreifer nutzten Social Engineering: Sie identifizierten einen MGM-Mitarbeiter über LinkedIn, gaben sich in einem rund zehnminütigen Anruf beim IT-Helpdesk als diese Person aus und erhielten so administrative Zugriffsrechte auf die Okta- und Azure-Umgebung von MGM. Die mit ALPHV/BlackCat verbundenen Angreifer legten daraufhin für etwa zehn Tage den Betrieb an mehr als 30 MGM-Standorten lahm, betroffen waren Online-Reservierungen, digitale Zimmerschlüssel, Geldautomaten und Spielautomaten. MGM Resorts bezifferte den finanziellen Schaden für das dritte Quartal 2023 auf mehr als 100 Millionen US-Dollar. MGM zahlte kein Lösegeld, während Caesars Entertainment im selben Zeitraum Berichten zufolge rund 15 Millionen US-Dollar zahlte. Die Täter erbeuteten zudem persönliche Daten von Kunden, die vor März 2019 mit MGM Geschäfte gemacht hatten.

Aus dieser Quelle nicht abschließend belegt sind die genaue Gesamtzahl der vom Datendiebstahl betroffenen Kundendatensätze sowie eine strafrechtliche Verantwortlichkeit konkreter, namentlich benannter Scattered-Spider-Mitglieder.

Das US-Gentestunternehmen 23andMe bestätigte am 06.10.2023 einen Datendiebstahl, bei dem Angreifer mittels Credential Stuffing auf Nutzerkonten zugriffen. Direkt kompromittiert wurden nach Angaben des Unternehmens rund 14.000 Konten, etwa 0,1 Prozent der Kundenbasis. Über die Funktionen DNA Relatives und Family Tree griffen die Angreifer zusätzlich auf Profildaten von insgesamt rund 6,9 Millionen Nutzern zu, wie 23andMe am 04.12.2023 vollständig einräumte. Ein Hacker mit dem Pseudonym Golem bot am 06.10.2023 im Forum BreachForums einen Datensatz mit dem Titel Ashkenazi DNA Data of Celebrities an, der Angaben zu 999.998 Personen mit aschkenasisch jüdischer Abstammung sowie zu 100.000 Personen mit chinesischer Abstammung enthielt. Erbeutet wurden Namen, Geburtsjahre, Wohnorte, Familiennamen, Herkunftsangaben der Großeltern und ethnische Abstammungsschätzungen. 23andMe deaktivierte daraufhin vorübergehend die DNA-Relatives-Funktion und führte eine verpflichtende Zwei-Faktor-Authentifizierung ein. Im September 2024 stimmte das Unternehmen einem Vergleich in Höhe von 30 Millionen US-Dollar zu, um Sammelklagen in den USA wegen des Vorfalls beizulegen.

Die Quelle belegt nicht die genaue Zahl direkt kompromittierter Konten unter den jüdischen und chinesischen Nutzern und deckt nicht die spätere Insolvenz von 23andMe sowie die überarbeiteten Vergleichssummen (unter anderem eine separate Einigung mit US-Bundesstaaten über 18 Millionen US-Dollar) ab.

Der Passwort-Manager-Anbieter LastPass wurde 2022 Opfer eines zweistufigen Angriffs. Zwischen dem 8. und 12. August 2022 kompromittierten Angreifer den Laptop eines Softwareentwicklers und erbeuteten Quellcode aus 14 von rund 200 Repositories. Mit diesen Informationen griffen die Täter anschließend einen von vier DevOps-Ingenieuren mit Zugriff auf die Entschlüsselungsschlüssel an, dessen privater Rechner wegen einer ungepatchten Sicherheitslücke im dort installierten Plex Media Server verwundbar war, und erbeuteten per Keylogger dessen Zugangsdaten. Dadurch konnten die Angreifer im Zeitraum 20. August bis 16. September 2022 auf ein Cloud-Backup zugreifen und eine Kopie der Kundendatenbank sowie Kopien von Passwort-Tresoren kopieren. Betroffen waren nach LastPass-Angaben mehr als 25 Millionen Nutzerkonten; die Tresore enthielten unverschlüsselte Website-URLs sowie verschlüsselte Benutzernamen und Passwörter, zudem wurden Namen, E-Mail-Adressen, Rechnungsadressen und teilweise Kreditkartendaten erbeutet. LastPass informierte die Kunden erst am 30. November bzw. 22. Dezember 2022 vollständig über das tatsächliche Ausmaß. Die britische Datenschutzbehörde ICO verhängte am 20. November 2025 eine Geldbuße von 1.228.283 Pfund gegen LastPass UK Ltd. In den USA einigte sich LastPass zudem auf einen Sammelklage-Vergleich in Höhe von 24,5 Millionen US-Dollar.

Aus dieser Quelle nicht belegt ist, wie viele der gestohlenen Tresore mit schwachen Master-Passwörtern tatsächlich entschlüsselt wurden und in welchem Umfang die damit verknüpften Kryptowährungs-Diebstähle in Höhe von über 150 Millionen US-Dollar eindeutig auf dieses Datenleck zurückzuführen sind.

Die israelische Plattform vpnMentor entdeckte am 05.08.2019 durch die Forscher Noam Rotem und Ran Locar eine ungeschützte Elasticsearch-Datenbank des südkoreanischen Unternehmens Suprema. Die Datenbank gehörte zum biometrischen Zugangskontrollsystem BioStar 2 und enthielt 27,8 Millionen Datensätze mit einem Volumen von 23 Gigabyte. Betroffen waren die Fingerabdrücke von mehr als einer Million Nutzern, Gesichtserkennungsdaten, Klarnamen, unverschlüsselt gespeicherte Passwörter, Zutrittsprotokolle sowie persönliche Mitarbeiterdaten. BioStar 2 wurde laut Suprema von rund 5.700 Organisationen in 83 Ländern eingesetzt, darunter die britische Metropolitan Police sowie Banken und Behörden. Die Forscher informierten Suprema am 07.08.2019, die Sicherheitslücke wurde erst am 13.08.2019 geschlossen. Nach Bekanntwerden erklärte die britische Datenschutzbehörde ICO, sie sei sich der Medienberichte bewusst und werde Ermittlungen aufnehmen. Die US-Kanzlei Finkelstein, Blankinship, Frei Pearson and Garber kündigte im August 2019 an, eine mögliche Sammelklage wegen des Vorfalls zu prüfen. Suprema erklärte öffentlich, das tatsächliche Ausmaß sei geringer als berichtet, und verwies auf eine begrenzte Zahl betroffener Cloud-API-Nutzer.

Aus den ausgewerteten Quellen geht nicht hervor, ob die britische ICO tatsächlich ein Bußgeld gegen Suprema verhängt hat oder ob die geprüfte US-Sammelklage je formell eingereicht und entschieden wurde; der rechtliche Ausgang des Falls ist öffentlich nicht dokumentiert.

Die britische Datenschutzbehörde Information Commissioner's Office (ICO) verhängte am 30.10.2020 gegen Marriott International, Inc. eine Geldbuße von 18,4 Millionen Pfund wegen Verstößen gegen die DSGVO. Ursache war ein Cyberangriff auf die Reservierungsdatenbank der Starwood Hotels, die Marriott 2016 übernommen hatte; Unbekannte hatten sich bereits seit 2014 unbemerkt Zugang zum System verschafft, entdeckt erst am 08.09.2018. Betroffen waren bis zu 339 Millionen Gästedatensätze weltweit. Die ICO warf Marriott vor, keine angemessenen technischen und organisatorischen Maßnahmen nach Artikel 5(1)(f) und Artikel 32 DSGVO getroffen zu haben. Im Juli 2019 hatte die ICO zunächst eine Geldbuße von 99.200.396 Pfund angekündigt. Als Ausgangspunkt der Berechnung setzte die Behörde 28 Millionen Pfund an, reduzierte diesen Betrag wegen der Kooperation Marriotts um 20 Prozent auf 22,4 Millionen Pfund und senkte ihn wegen der wirtschaftlichen Auswirkungen der Corona-Pandemie auf die Hotelbranche weiter auf 18,4 Millionen Pfund. Die Buße betraf ausschließlich den Zeitraum ab Inkrafttreten der DSGVO am 25.05.2018.

Aus dieser Quelle nicht belegt ist, ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat und wie sich die Kosten des Unternehmens durch den Vorfall insgesamt bezifferten.

Der Brite Arion Kurtaj aus Oxford, Mitglied der Hackergruppe Lapsus$, verübte im September 2022 während laufender Kaution für frühere Straftaten eine Serie von Cyberangriffen. Er drang zunächst in Systeme der Fintech-Firma Revolut ein, wo laut Anklage rund 5.000 Kundendatensätze kompromittiert wurden. Zwei Tage später hackte er den Fahrdienstvermittler Uber und verursachte nach Angaben der Anklage einen Schaden von knapp 3 Millionen US-Dollar. Zudem drang Kurtaj in Systeme des Spieleentwicklers Rockstar Games ein, entwendete rund 90 unveröffentlichte Clips und Quellcode zu Grand Theft Auto VI und drohte mit deren Veröffentlichung. Da bei Kurtaj eine schwere Autismus-Diagnose seine Verhandlungsfähigkeit ausschloss, klärte eine Jury im Rahmen eines trial of the facts nur, ob er die Taten begangen hatte. Die Jury am Southwark Crown Court in London stellte am 23.08.2023 fest, dass Kurtaj zwölf Taten begangen hatte. Am 22.12.2023 ordnete Richterin Patricia Lees eine unbefristete Unterbringung Kurtajs in einer geschlossenen psychiatrischen Klinik an. Ein mitangeklagter 17-Jähriger, der an Angriffen auf Nvidia und BT/EE beteiligt war, erhielt eine 18-monatige Youth Rehabilitation Order.

Die genaue Zahl der betroffenen Revolut-Kunden ist unklar, da die Anklage von rund 5.000 sprach, während Revolut selbst gegenüber litauischen Behörden 50.150 betroffene Kunden meldete.

Am 19. März 2020 wurde bekannt, dass im chinesischen sozialen Netzwerk Sina Weibo Datensätze von rund 538 Millionen Nutzerkonten im Darknet zum Verkauf angeboten wurden. Bei etwa 172 Millionen dieser Datensätze waren zusätzlich die mit dem jeweiligen Konto verknüpften Telefonnummern enthalten, hinzu kamen Nutzernamen, Geschlecht, Standortangaben und Followerzahlen. Passwörter und Ausweisdaten waren nach Angaben von Weibo nicht betroffen. Weibos Sicherheitsdirektor Luo Shiyao erklärte, die Telefonnummern seien 2018/2019 durch eine automatisierte Massenabfrage der Kontaktabgleich-Schnittstelle der App unrechtmäßig mit Konten verknüpft worden. Am 21. März 2020 bestellte das Büro für Netzwerksicherheitsverwaltung des chinesischen Ministeriums für Industrie und Informationstechnologie (MIIT) Verantwortliche von Sina Weibo zu einem Gespräch ein. Das Ministerium verlangte, die Datenschutzrichtlinie zu überarbeiten und die Abfrage-Schnittstellen besser gegen Missbrauch abzusichern. Weibo erklärte, man habe die Sicherheitsstrategie der betroffenen Schnittstelle bereits aktualisiert.

Aus den verfügbaren Quellen geht nicht hervor, ob gegen Sina Weibo im Zusammenhang mit diesem konkreten Datenleck ein förmliches Bußgeld verhängt wurde, dokumentiert ist lediglich eine Ermahnung ohne bezifferte Sanktion.

Am 19.07.2015 gab die Hackergruppe The Impact Team bekannt, in die Systeme der kanadischen Seitensprung-Plattform Ashley Madison und der Schwesterseite Established Men eingedrungen zu sein, betrieben vom Unternehmen Avid Life Media mit CEO Noel Biderman. Die Gruppe forderte die dauerhafte Abschaltung beider Portale und drohte andernfalls mit der Veröffentlichung aller Nutzerdaten. Nachdem das Unternehmen der Forderung nicht nachkam, veröffentlichte The Impact Team am 18.08.2015 ein rund 9,7 Gigabyte großes Datenpaket im Tor-Netzwerk, dem am 20.08.2015 ein zweites, größeres Datenpaket folgte. Betroffen waren nach verbreiteten Angaben rund 32 Millionen Nutzerkonten (die US-Handelsaufsicht FTC nannte später 36 Millionen), darunter Namen, Adressen, Telefonnummern, sieben Jahre zurückreichende Kreditkartentransaktionsdaten sowie teils sexuelle Präferenzen; Passwörter waren per bcrypt gehasht. Unter den Adressen fanden sich mehr als 15.000 E-Mail-Konten von US-Regierungs- und Militärangehörigen. Die Toronto Police Service bestätigte im August 2015 zwei bislang unbestätigte Suizide, die mit dem Datenleck in Verbindung gebracht wurden. CEO Noel Biderman trat am 28.08.2015 zurück. Im Dezember 2016 einigte sich das Unternehmen mit der FTC auf eine Zahlung von 1,657 Millionen US-Dollar; im Juli 2017 folgte ein Sammelklage-Vergleich über 11,2 Millionen US-Dollar.

Die genaue Zahl betroffener Konten schwankt je nach Quelle zwischen 32 und 36 Millionen, und die von mehreren Medien berichteten Suizide im Zusammenhang mit dem Leak wurden von der Polizei nie offiziell als direkte Folge des Hacks bestätigt. Die Identität der Angreifer hinter The Impact Team wurde nie aufgeklärt.

Am 05.09.2017 bestätigte die estnische Behörde RIA eine Sicherheitslücke in der estnischen elektronischen Identitätskarte, die rund 750.000 seit Oktober 2014 ausgegebene Chipkarten betraf, darunter auch Karten von E-Residency-Nutzern. Ursache war die ROCA-Schwachstelle in der RSA-Schlüsselerzeugung von Kryptochips des Herstellers Infineon, die in den vom Kartenhersteller Gemalto produzierten estnischen ID-Karten verbaut waren. Die Lücke erlaubte theoretisch die Berechnung des privaten RSA-Schlüssels aus dem öffentlichen Schlüssel und damit die Fälschung digitaler Identitäten. Laut RIA gab es zum Zeitpunkt der Bekanntgabe keine Hinweise auf tatsächlichen Missbrauch. Am 03.11.2017 setzte die estnische Regierung die betroffenen Zertifikate aus; Karteninhaber konnten sie bis zum 31.03.2018 erneuern, nicht erneuerte Zertifikate wurden zum 01.04.2018 widerrufen. Die ROCA-Schwachstelle betraf weltweit schätzungsweise über eine Milliarde Krypto-Chips. Im Februar 2021 einigten sich die estnische Grenzschutzbehörde und der Kartenhersteller Gemalto, inzwischen Teil von Thales, auf eine Zahlung von 2,2 Millionen Euro Entschädigung, nachdem der estnische Staat zunächst 152 Millionen Euro Schadensersatz gefordert hatte.

Aus der Quelle geht nicht hervor, ob es je zu einem konkreten Missbrauchsfall kam oder wer die Schwachstelle ursprünglich entdeckte; die Angaben zur Zertifikatssperrung sowie zum Gemalto-Vergleich 2021 stammen aus späteren, ergänzenden Quellen.

Die Journalistin Rachna Khaira berichtete am 04.01.2018 in der indischen Zeitung The Tribune, dass sie über einen anonymen Verkäufer auf WhatsApp gegen Zahlung von 500 Rupien, umgerechnet rund 6 Euro, per Paytm binnen zehn Minuten Zugangsdaten zu einem Portal der Unique Identification Authority of India (UIDAI) erhielt. Über dieses Portal ließen sich zu jeder der mehr als 1,1 Milliarden vergebenen Aadhaar-Nummern Name, Adresse, Postleitzahl, Foto, Telefonnummer und E-Mail-Adresse abrufen. Gegen weitere 300 Rupien bot derselbe Verkäufer zusätzlich eine Software an, mit der sich Aadhaar-Ausweise beliebiger Personen ausdrucken ließen. Laut Recherche der Tribune hatten mehr als 100.000 staatlich beauftragte Village-Level-Enterprise-Operatoren unrechtmäßigen Zugriff auf das Portal erlangt und diesen zum Weiterverkauf genutzt. Die UIDAI wies einen Leak oder eine Datenpanne der Aadhaar-Datenbank offiziell zurück und sprach von Fehlberichterstattung. Ein UIDAI-Mitarbeiter erstattete daraufhin Strafanzeige gegen die Reporterin Khaira wegen angeblich unbefugten Zugriffs auf die Datenbank. Die Delhi Police stellte dieses Verfahren gegen Khaira später mangels Beweisen ein.

Nicht belegt ist, dass über das genutzte Portal tatsächlich biometrische Daten wie Fingerabdrücke abrufbar waren, bestätigt wurden nur demografische Daten. Die Zahl von 1,1 Milliarden bezieht sich auf die theoretisch erreichbare Gesamtmenge, nicht auf nachgewiesene tatsächlich abgerufene Einzeldatensätze, zudem blieben die Hintermänner unidentifiziert.

Am 20. September 2019 wurde das Berliner Kammergericht, eines der größten Oberlandesgerichte Deutschlands mit rund 150 Richterinnen und Richtern, Ziel eines Cyberangriffs mit den Schadprogrammen Emotet und Trickbot. Die Trojaner drangen über eine präparierte E-Mail in das ungesegmentierte Gerichtsnetzwerk ein und stahlen über mehrere Tage systematisch Zugangsdaten. Eine Verschlüsselung im Sinne klassischer Ransomware blieb aus, weil die Internetverbindung des Gerichts unterbrochen wurde, ein Datendiebstahl wurde jedoch bestätigt. Das Cyber Emergency Response Team von T-Systems empfahl einen kompletten Neuaufbau der Windows-Domäne und der gesamten IT-Infrastruktur. Neun Monate nach dem Angriff, im Juli 2020, war die Mehrheit der rund 150 Richterinnen und Richter weiterhin in ihrer Arbeit stark eingeschränkt. Neu verteilte Computer konnten mangels VPN-Zugang zunächst nur als Schreibmaschinen genutzt werden. Für die Beschaffung neuer Geräte und den Aufbau sicherer Zugänge wurden mehrere Millionen Euro veranschlagt, im Berliner Nachtragshaushalt waren insgesamt über 10 Millionen Euro für die IT-Wiederherstellung der Justiz eingeplant.

Der genaue Infektionsweg der ersten Schadsoftware-Mail konnte laut Berichten nicht abschließend rekonstruiert werden, und ob tatsächlich sensible Verfahrensdaten abgeflossen sind, blieb ungeklärt.

Die niederländische Zertifizierungsstelle DigiNotar wurde im Sommer 2011 kompromittiert; laut der vom niederländischen Innenministerium beauftragten Untersuchung von Fox-IT (Operation Black Tulip) verschafften sich die Angreifer bereits ab Mitte Juni 2011 Zugriff auf die internen Systeme. Am 10.07.2011 stellten sie ein betrügerisches Wildcard-Zertifikat für *.google.com aus, DigiNotar entdeckte den Einbruch erst am 19.07.2011. Insgesamt wurden mindestens 531 betrügerische SSL-Zertifikate ausgestellt, unter anderem für Google, Skype, Microsoft und Mozilla. Öffentlich bekannt wurde der Vorfall am 29./30.08.2011. Fox-IT ermittelte, dass der Angriff auf etwa 300.000 iranische Gmail-Nutzer zielte, die per Man-in-the-Middle-Angriff über das gefälschte Google-Zertifikat abgehört werden sollten; registriert wurden Verbindungsversuche von 298.140 eindeutigen IP-Adressen, davon rund 95 Prozent aus dem Iran. Am 03.09.2011 übernahm die niederländische Regierung die operative Kontrolle über DigiNotar. Die Muttergesellschaft VASCO Data Security International meldete am 20.09.2011 die Insolvenz des Unternehmens an.

Nicht abschließend belegt ist, wer genau hinter dem Angriff stand; ein iranischer Staatsakteur wird vermutet, ist aber nicht gerichtsfest nachgewiesen. Ebenso ist nicht dokumentiert, wie viele der 298.140 registrierten Verbindungsversuche tatsächlich zu einer erfolgreichen Überwachung führten.

Am 15.03.2011 wurde das Konto einer Registrierungsstelle des Zertifizierungsdiensts Comodo in Südeuropa kompromittiert, über das ein Angreifer neun betrügerische SSL-Zertifikate für sieben Domains beantragte. Betroffen waren login.live.com, mail.google.com, www.google.com, login.yahoo.com in drei Varianten, login.skype.com sowie addons.mozilla.org. Comodo entdeckte den Missbrauch am selben Tag und widerrief die Zertifikate innerhalb weniger Stunden über Sperrlisten und OCSP. Der Angriff wurde bis zu einer IP-Adresse in Teheran im Iran zurückverfolgt. Ein einzelner Hacker, der sich als Iraner bezeichnete, bekannte sich später öffentlich zu der Tat und bestritt eine Verbindung zur iranischen Regierung. Comodo äußerte hingegen den Verdacht eines staatlich gelenkten Angriffs zur Überwachung iranischer Oppositioneller. Mozilla, Google und Microsoft aktualisierten daraufhin ihre Browser mit fest einprogrammierten Sperrlisten für die Seriennummern der betroffenen Zertifikate.

Die genaue Identität des Angreifers und eine tatsächliche Beteiligung der iranischen Regierung sind nicht zweifelsfrei belegt, da sich die Zuordnung im Wesentlichen auf eine IP-Adresse und das spätere Bekenntnis eines anonymen Hackers stützt.