Quellen-Tabelle

Am 07.03.2017 veröffentlichte Apache die kritische Sicherheitslücke CVE-2017-5638 im Web-Framework Apache Struts. Equifax patchte diese Schwachstelle auf einem Kundenbeschwerdeportal nicht, obwohl ein interner Scan sie hätte identifizieren sollen. Angreifer verschafften sich laut GAO-Bericht am 10.03.2017 erstmals Zugriff und exfiltrierten vom 13.05. bis 30.07.2017 über 76 Tage hinweg unbemerkt Daten mittels rund 9.000 Datenbankabfragen auf 51 verschiedene Datenbanken. Betroffen waren personenbezogene Daten von 147,9 Millionen US-Bürgern, darunter Sozialversicherungsnummern und Geburtsdaten. Ursachen waren unter anderem fehlerhafte Netzwerksegmentierung und ein abgelaufenes Sicherheitszertifikat, das die Überwachung des verschlüsselten Datenverkehrs verhinderte.

Nicht dokumentiert ist, warum der interne Equifax-Scan das betroffene Portal nicht erfasste, Equifax sprach von einem Kommunikationsversagen zwischen Teams, ohne dass dies unabhängig verifiziert wurde. Die Zahl der betroffenen Personen schwankt je nach Quelle zwischen 143 und 147,9 Millionen. Die Zuordnung der Angreifer zu chinesischen Militärangehörigen der PLA beruht auf einer Anklage, nicht auf einem Urteil, da mangels Auslieferung keine gerichtliche Verurteilung erfolgte.

Der EuGH entschied am 07.12.2023 im Verfahren C-634/21, dass die Erstellung eines Scores durch eine Auskunftei wie die Schufa als automatisierte Einzelfallentscheidung im Sinne von Artikel 22 DSGVO einzustufen ist, wenn Dritte wie Banken diesem Score eine maßgebliche Rolle beimessen. Eine solche automatisierte Entscheidung ist grundsätzlich verboten. Das Urteil erging im Vorlageverfahren des Verwaltungsgerichts Wiesbaden. Der EuGH stellte zugleich klar, dass die Löschfrist für Restschuldbefreiungen an die kürzere gesetzliche Frist des Insolvenzregisters anzupassen ist.

Nicht bewiesen beziehungsweise offen gelassen ist, ob die konkrete Score-Vergabe im Einzelfall tatsächlich eine verbotene automatisierte Entscheidung darstellt, diese Prüfung wurde an nationale Gerichte zurückverwiesen. Umstritten bleibt, wie stark der Einfluss des Scores sein muss, um als maßgeblich zu gelten. Die genaue Berechnungsmethode des Schufa-Scores bleibt Geschäftsgeheimnis.

Die ACLU reichte am 28.05.2020 Klage gegen Clearview AI wegen Verstoßes gegen den Illinois Biometric Information Privacy Act ein. Am 11.05.2022 wurde ein Vergleich geschlossen, der es Clearview dauerhaft untersagt, die Gesichtsdatenbank landesweit an die meisten privaten Unternehmen zu verkaufen. Für fünf Jahre erhalten staatliche und kommunale Polizeibehörden in Illinois keinen neuen Zugang. Bewohner erhielten ein Opt-out-Recht, Clearview zahlte 50.000 US-Dollar zur Bewerbung des Programms sowie 250.000 US-Dollar Anwaltskosten.

Der Vergleich ist kein Schuldeingeständnis, Clearview bestreitet weiterhin einen Verstoß. Es wurden keine direkten Zahlungen an einzelne Kläger geleistet. Der Vergleich betrifft nicht den Zugang von Bundesbehörden, sodass Clearview sein Geschäft mit Behörden anderer US-Bundesstaaten unverändert fortsetzen konnte.

Facebook startete im November 2007 das Werbeprogramm Beacon, das Kaufaktivitäten von Nutzern auf Partnerseiten ohne wirksame Zustimmung erfasste und an Facebook-Freunde weitergab. Nutzer reichten die Sammelklage Lane v. Facebook ein. Im September 2009 einigten sich die Parteien: Facebook stellte Beacon ein und zahlte 9,5 Millionen Dollar, davon rund 6,5 Millionen an die neu gegründete Stiftung Digital Trust Foundation. Das Berufungsgericht bestätigte den Vergleich am 20.09.2012 für rund 3,6 Millionen betroffene Nutzer.

Nicht dokumentiert ist, wie viele Nutzer konkret geschädigt wurden. Umstritten blieb die Angemessenheit des Vergleichs, da Klassenmitglieder keine direkte Geldzahlung erhielten, sondern das Geld an eine von Facebook mitgegründete Stiftung floss.

Das Landgericht Frankfurt verurteilte Samsung auf Klage der Verbraucherzentrale NRW. Samsung muss Käufer eines internetfähigen Smart-TV vor dem Kauf darauf hinweisen, dass beim Anschluss ans Internet personenbezogene Daten wie die IP-Adresse ohne vorherige Einwilligung übertragen werden können. Das Gericht untersagte zudem zahlreiche intransparente Klauseln in Samsungs AGB und Datenschutzerklärung.

Ein vollständiges Verbot der Datenerhebung ohne Einwilligung wurde vom Gericht nicht durchgesetzt, sondern nur eine Informationspflicht. Offen blieb, ob die Weitergabe der Daten an HbbTV-Betreiber und Samsungs Konzernmutter rechtmäßig war, da diese nicht Beklagte waren.

Der staatliche malaysische Nahverkehrsbetreiber Prasarana Malaysia Berhad wurde Opfer eines Ransomware-Angriffs; die Gruppe RansomHub veroeffentlichte am 25. August 2024 gestohlene Daten im Darknet, Berichten zufolge rund 316 GB an Unternehmensdaten. Der malaysische Personal Data Protection Commissioner ordnete eine offizielle Data-Breach-Notification an.

Die offizielle Behoerdenmitteilung nennt keinen genauen Umfang oder Typ der betroffenen personenbezogenen Daten; die Zahl von 316 GB stammt aus Sekundaerquellen, nicht aus der offiziellen Erklaerung selbst.