Quellen-Tabelle

Live Nation meldete der US-Börsenaufsicht SEC, am 20. Mai 2024 unautorisierten Zugriff auf eine Cloud-Datenbank beim Anbieter Snowflake festgestellt zu haben, betroffen war vor allem die Tochter Ticketmaster. Die Gruppe ShinyHunters bot ab Ende Mai 2024 im Darknet-Forum BreachForums Datensätze von angeblich bis zu 560 Millionen Ticketmaster-Kunden für 500.000 US-Dollar zum Verkauf an, laut Berichten inklusive Namen, Adressen, E-Mail-Adressen, Telefonnummern und teilweise Zahlungsdaten.

Die Zahl von 560 Millionen betroffenen Datensätzen stammt allein von den Erpressern und wurde von Live Nation nie unabhängig bestätigt, das Unternehmen sprach in seiner SEC-Meldung nur allgemein von möglicherweise betroffenen Kundendaten. Offen bleibt, wie viele der zum Verkauf angebotenen Datensätze tatsächlich aktuell und echt sind und ob vollständige Zahlungskartennummern statt nur Hash-Werten erbeutet wurden.

Die Sicherheitsforscher Martin Tschirsich und Bianca Kastl demonstrierten auf dem 38C3 des Chaos Computer Club im Dezember 2024 mehrere Schwachstellen der elektronischen Patientenakte (ePA) 3.0. Sie bestellten telefonisch in 10 bis 20 Minuten elektronische Gesundheitskarten auf fremde Namen, nutzten eine SQL-Injection-Schwachstelle in einem Kartenausgabeportal aus und zeigten, dass Arztpraxen bei ePA 3.0 keine PIN mehr benötigen, sodass der bloße Kartenbesitz für den Zugriff reichte. Laut heise online hätte ein kompromittierter Praxiszugang Zugriff auf bis zu 1.500 Patientenakten erlaubt, in Kombination mit weiteren Lücken theoretisch auf die Akten aller rund 70 Millionen gesetzlich Versicherten.

Aus dem Artikel geht nicht hervor, ob die gezeigten Angriffswege tatsächlich gegen echte Patientenakten eingesetzt wurden oder rein demonstrativ blieben. Der Betreiber Gematik stufte mindestens ein Angriffsszenario als in der Praxis wenig wahrscheinlich ein, eine unabhängige Bestätigung dieser Einschätzung liegt in dieser Quelle nicht vor. Ob und wann alle beschriebenen Lücken vollständig geschlossen wurden, lässt sich aus diesem Artikel allein nicht feststellen.

Der baden-württembergische Landesbeauftragte für Datenschutz Stefan Brink leitete im Dezember 2022 das weltweit erste Bußgeldverfahren gegen die Gesichtssuchmaschine PimEyes ein. Er wirft dem Unternehmen vor, mit seinem Geschäftsmodell gegen die DSGVO zu verstoßen, da Fotos ohne ausdrückliche Einwilligung der abgebildeten Personen zur biometrischen Identifizierung verarbeitet werden. Als mögliche Strafe stand eine Geldbuße von bis zu 20 Millionen Euro beziehungsweise 4 Prozent des Jahresumsatzes im Raum.

Ob und in welcher Höhe am Ende tatsächlich ein Bußgeld verhängt wurde, geht aus den verfügbaren Quellen nicht hervor. Offen bleibt auch, wie die Durchsetzung gegen das im Ausland ansässige Unternehmen rechtlich und praktisch gelingen sollte. Spätere Berichte zeigen zudem, dass eine parallele Beschwerde bei der Hamburger Datenschutzbehörde trotz festgestellter Rechtswidrigkeit jahrelang folgenlos blieb.

The Guardian und das ICIJ-Konsortium mit mehr als 40 Medienpartnern veröffentlichten am 10. Juli 2022 die Uber Files, rund 124.000 interne Dokumente aus den Jahren 2013 bis 2017. Quelle des Leaks war der frühere Uber-Cheflobbyist für Europa, den Nahen Osten und Afrika, Mark MacGann. Belegt sind geheime Treffen mit Spitzenpolitikern in Dutzenden Ländern sowie ein technischer Kill-Switch, mit dem Uber-Mitarbeiter Behörden bei Razzien gezielt den Zugriff auf Firmendaten blockierten.

Die genaue Gesamtzahl der Dokumente und der betroffenen Länder wird in verschiedenen Berichten leicht unterschiedlich beziffert. Offen bleibt, ob und in welchem Umfang einzelne Manager oder beteiligte Amtsträger strafrechtliche Konsequenzen aus den Enthüllungen trugen. Uber räumte Fehler der früheren Führung vor 2017 ein, bestritt aber eine Fortsetzung dieser Praktiken unter dem seitdem neuen Management.

Ende Juni 2021 bot ein Nutzer mit dem Pseudonym TomLiner in einem Darknet-Forum einen Datensatz mit persönlichen Daten von rund 700 Millionen LinkedIn-Accounts zum Kauf an, was mehr als 90 Prozent aller LinkedIn-Nutzer entspricht. Ein von heise Security geprüftes Sample enthielt vollständige Namen, E-Mail-Adressen, Telefonnummern, Wohnadressen, Standortdaten sowie LinkedIn-Profilinformationen. LinkedIn bestätigte, dass keine Passwörter betroffen waren, und erklärte, es handle sich um durch Scraping öffentlich einsehbarer Profildaten kombiniert mit Daten aus anderen Quellen, nicht um einen internen Einbruch in seine Systeme.

Nicht belegt ist, wie der Verkäufer eigentlich nicht öffentliche Daten wie Telefonnummern und private E-Mail-Adressen erlangte, wenn LinkedIn zugleich behauptet, es handle sich nur um öffentlich einsehbare Informationen. Offen bleibt auch, ob tatsächlich alle 700 Millionen Datensätze echt sind, da nur eine Stichprobe von rund einer Million Einträgen verifiziert wurde. Die wahre Identität von TomLiner ist bis heute nicht bekannt.

Am 4. Januar 2023 wurden im Hackerforum Breached E-Mail-Adressen und Profildaten von angeblich über 200 Millionen Twitter-Konten veröffentlicht, laut Have I Been Pwned rund 211,5 Millionen einzigartige Adressen. BleepingComputer und Sicherheitsforscher bestätigten die Echtheit vieler Adressen im Datensatz. Als ursprüngliche Quelle gilt eine Twitter-API-Schwachstelle, die von Juni 2021 bis Januar 2022 aktiv war und die Zuordnung von E-Mail-Adressen oder Telefonnummern zu Twitter-Konten erlaubte.

Twitter bestritt öffentlich, dass der 200-Millionen-Datensatz aus einer Kompromittierung eigener Systeme oder der bekannten API-Schwachstelle stamme, und erklärte, es handle sich um bereits anderweitig öffentlich verfügbare Daten. Eine unabhängige, abschließende Klärung der genauen Herkunft und der tatsächlichen Zahl einzigartig betroffener Nutzer steht bis heute aus.

Rockstar Games bestätigte am 19.09.2022 offiziell einen Netzwerkeinbruch, bei dem ein Unbekannter vertrauliche Daten herunterlud, darunter frühe Entwicklungsaufnahmen zum nächsten Grand Theft Auto. Ein Nutzer hatte zuvor rund 90 Videoclips im Forum GTAForums veröffentlicht und erklärt, sich per Social Engineering Zugang zum Slack-Konto eines Rockstar-Mitarbeiters verschafft zu haben. Der Täter wurde später mit der Gruppe Lapsus$ in Verbindung gebracht; ein Gericht in London stellte 2023 fest, dass der britische Teenager Arion Kurtaj dafür verantwortlich war.

Ob GTA 6 zum Leckzeitpunkt offiziell in Entwicklung war, hatte Rockstar zuvor nicht öffentlich bestätigt. Der genaue Umfang der entwendeten Daten, etwa ob wie vom Hacker behauptet auch Quellcode betroffen war, ist aus Rockstars eigener Stellungnahme nicht abschließend belegt.

Bei einem im Oktober 2016 über eine Local-File-Inclusion-Lücke ausgeführten Hack von FriendFinder Networks (AdultFriendFinder, Penthouse.com, Cams.com, Stripshow.com, iCams.com) wurden rund 412 Millionen Nutzerkonten kompromittiert. Der Sicherheitsdienst LeakedSource stellte den vollen Umfang am 13. November 2016 öffentlich fest. 99 Prozent der Passwörter waren im Klartext oder nur schwach mit SHA1 gehasht gespeichert und ließen sich knacken, betroffen waren auch Daten von Millionen bereits gelöschter Konten.

Offen bleibt, warum FriendFinder Networks weiterhin Kundendaten von Penthouse.com vorhielt, obwohl die Seite bereits im Februar 2016 verkauft worden war. Auch die genaue Bedeutung der als gelöscht markierten Konten sowie ob und wie vollständig alle betroffenen Nutzer benachrichtigt wurden, ist den Berichten zufolge unklar geblieben.

Das US-Justizministerium klagte am 10.02.2020 vier Mitglieder der chinesischen Volksbefreiungsarmee wegen des Equifax-Hacks von 2017 an. Laut Anklage nutzten die Hacker die ungepatchte Apache-Struts-Sicherheitslücke im Streitbeilegungsportal von Equifax aus, verschleierten ihre Herkunft über rund 34 Server in fast 20 Ländern und erbeuteten Namen, Geburtsdaten und Sozialversicherungsnummern von knapp 150 Millionen US-Bürgern sowie Führerscheinnummern von mindestens 10 Millionen Betroffenen.

Da die USA kein Auslieferungsabkommen mit China haben, befinden sich die vier Angeklagten weiterhin auf freiem Fuß in China und wurden bislang nicht vor Gericht gestellt. Ob sie im direkten staatlichen Auftrag handelten oder wozu die gestohlenen Daten letztlich verwendet wurden, ist dadurch gerichtlich nie geprüft worden.

Yahoo bzw. die Verizon-Tochter Oath bestätigte im Oktober 2017, dass ein im August 2013 verübter Hackerangriff sämtliche zu diesem Zeitpunkt bestehenden 3 Milliarden Yahoo-Nutzerkonten betraf. Erst im Dezember 2016 war der Vorfall mit geschätzten 1 Milliarde betroffenen Konten bekannt geworden, die neue Zahl kam erst während forensischer Untersuchungen im Rahmen der Verizon-Übernahme zustande. Erbeutet wurden Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten sowie MD5-gehashte Passwörter und teils unverschlüsselte Sicherheitsfragen, jedoch keine Klartext-Passwörter oder Zahlungsdaten.

Wer genau hinter dem Angriff steckt, ist nicht abschließend öffentlich geklärt, auch wenn spätere US-Anklagen mutmaßlich staatlich unterstützte Akteure aus Russland benannten. Offen bleibt zudem, warum die volle Größenordnung von 3 Milliarden Konten erst 2017 erkannt wurde und ob frühere Angaben bewusst zu niedrig kommuniziert wurden.

Der britische Geheimdienst GCHQ betrieb mit technischer Unterstützung der NSA das Programm Optic Nerve, das zwischen 2008 und mindestens 2012 automatisch alle fünf Minuten Standbilder aus Yahoo-Messenger-Webcam-Chats abgriff und in einer durchsuchbaren Datenbank speicherte. Allein in einem Sechsmonatszeitraum wurden Bilder von rund 1,8 Millionen Yahoo-Nutzerkonten weltweit erfasst, unabhängig davon, ob die Betroffenen Zielpersonen der Geheimdienste waren.

Nicht öffentlich belegt ist, wie viele der gespeicherten Bilder tatsächlich für Gesichtserkennungsexperimente oder konkrete Ermittlungen genutzt wurden und was mit dem Datenbestand langfristig geschah. Offen bleibt zudem, in welchem Umfang die NSA selbst auf die gesammelten Bilder zugriff und ob das Programm nach 2012 fortgeführt wurde.

Vodafone Deutschland bestätigte am 12. September 2013 einen Angriff auf einen internen Server, bei dem Name, Adresse, Geburtsdatum, Geschlecht, Bankleitzahl und Kontonummer von rund zwei Millionen Kunden entwendet wurden. Vodafone erklärte, der Angriff sei nur mit hoher krimineller Energie und Insiderwissen möglich gewesen. Die Polizei identifizierte einen tatverdächtigen Mitarbeiter, während eine Hackergruppe namens Team_L4w sich in einem Bekennerschreiben zu der Tat bekannte.

Offen blieb, wer die Tat tatsächlich beging und ob der festgenommene Verdächtige allein oder im Zusammenwirken mit der Hackergruppe handelte. Unklar blieb auch der genaue Verschlüsselungsstatus der Kundendaten sowie der volle Umfang des Datenbankzugriffs.

Bloomberg deckte am 10. April 2019 auf, dass Amazon weltweit tausende Mitarbeiter und Vertragspartner in Standorten wie Boston, Costa Rica, Indien und Rumänien beschäftigte, um Sprachaufnahmen von Echo-Alexa-Geräten manuell abzuhören und zu transkribieren. Die Aufnahmen wurden mit Kontonummer, Vornamen und Geräteseriennummer verknüpft. Reviewer sichteten pro neunstündiger Schicht bis zu 1000 Audioclips und hörten dabei teils sensible Inhalte wie medizinische Gespräche oder häusliche Konflikte.

Offen blieb, wie viele Nutzer insgesamt betroffen waren und in welchem Umfang identifizierende Daten in der Praxis tatsächlich zur Identifikation einzelner Personen genutzt wurden. Nicht abschließend dokumentiert ist zudem, ob und wie stark Amazon die Praxis nach der Veröffentlichung tatsächlich einschränkte.

NHS Digital wollte im Rahmen des Programms General Practice Data for Planning and Research (GPDPR) ab dem 1. Juli 2021 identifizierbare Gesundheitsdaten aus allen Hausarztpraxen in England zentral für Planungs- und Forschungszwecke sammeln. Nach Widerstand der Ärzteverbände BMA und Royal College of GPs, einer angekündigten Klage der Organisation Foxglove und politischem Druck der Labour-Partei verschob die britische Regierung den Starttermin am 8. Juni 2021 um zwei Monate auf den 1. September 2021.

Aus dieser Quelle nicht beziffert ist die genaue Zahl der bis zu diesem Zeitpunkt eingegangenen Patienten-Opt-outs. Offen bleibt aus diesem Artikel auch der weitere Verlauf nach der zweimonatigen Verschiebung, da das Programm späteren Berichten zufolge am 19. Juli 2021 auf unbestimmte Zeit zusätzlich pausiert wurde.

Discord informierte im Mai 2023 Nutzer per E-Mail über ein Datenleck, nachdem Unbefugte das Konto eines externen Kundendienst-Mitarbeiters kompromittiert hatten. Betroffen waren E-Mail-Adressen, Inhalte von Support-Nachrichten und angehängte Dateien aus der Ticket-Warteschlange des Dienstleisters. Discord deaktivierte das betroffene Konto, beauftragte eine Forensik-Firma und informierte Strafverfolgungsbehörden.

Der Name des kompromittierten Support-Dienstleisters wurde von Discord nie offiziell bestätigt. Mehrere Medien vermuteten damals Zendesk als betroffenen Anbieter, dies blieb jedoch unbestätigt und ist von einem späteren, offiziell bestätigten Zendesk-Vorfall bei Discord im Jahr 2025 zu unterscheiden.

Der britische Genossenschaftskonzern Co-op bestätigte im Juli 2025, dass bei einem Cyberangriff im April 2025 personenbezogene Daten aller 6,5 Millionen Mitglieder kopiert wurden, darunter Namen, Adressen, Kontaktdaten und Geburtsdaten. Die Angreifer verschafften sich per Social Engineering gegenüber dem IT-Helpdesk Zugang zu einem Mitarbeiterkonto und drangen darüber in die zentralen Systeme ein, Finanz- oder Zahlungsdaten waren nicht betroffen. Die britische National Crime Agency nahm im Juli 2025 vier mutmaßliche Tatverdächtige im Alter von 17 bis 20 Jahren fest.

Offen bleibt, ob die kopierten Daten seither im Darknet veröffentlicht oder weiterverkauft wurden. Die vier festgenommenen Verdächtigen wurden gegen Kaution freigelassen, eine gerichtliche Anklage oder Verurteilung steht bislang aus. Eine offizielle behördliche Zuordnung des Angriffs zur Gruppe Scattered Spider fehlt bisher.

Die australische Fluggesellschaft Qantas meldete am 30. Juni 2025 einen Cyberangriff auf eine Drittanbieter-Plattform ihres Callcenters. Per Social Engineering gab sich ein Angreifer als Qantas-IT-Support aus und brachte einen Mitarbeiter dazu, ein CRM-System mit einem Datenextraktionswerkzeug zu verbinden. Betroffen waren Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Vielfliegernummern von rund 5,7 Millionen Kunden; Kreditkarten-, Passdaten und Passwörter waren nicht betroffen.

Die genaue Identität und Zugehörigkeit der Angreifer sowie ob eine Lösegeldzahlung erfolgte, sind nicht abschließend öffentlich belegt. Die australische Datenschutzbehörde OAIC stellte nach vorläufigen Ermittlungen fest, dass Qantas keine Verletzung der Datenschutzpflichten vorzuwerfen sei, eine vertiefte förmliche Untersuchung blieb aus.

Der Luxuskonzern Kering (Gucci, Balenciaga, Alexander McQueen, Yves Saint Laurent) bestätigte im September 2025 einen Cyberangriff der Gruppe ShinyHunters. Erbeutet wurden Namen, E-Mail-Adressen, Telefonnummern, Wohnadressen und Angaben zu Kaufsummen von Kundinnen und Kunden, Kreditkartendaten waren laut Kering nicht betroffen. ShinyHunters gab an, Daten von mindestens 7 Millionen Personen erbeutet zu haben, Kering informierte betroffene Kunden, nannte aber keine offizielle Gesamtzahl.

Ungeklärt ist das genaue Datum des ursprünglichen Angriffs sowie ob und in welcher Höhe Lösegeldverhandlungen stattfanden. Andere Quellen berichten von einem Zugriff über kompromittierte Zugangsdaten für Salesforce-SSO-Portale bereits ab April 2025 sowie von Lösegeldforderungen um 750.000 US-Dollar, was Kering öffentlich bestreitet.

Zwei Tage nach dem Börsengang von Didi Global an der NYSE am 30.06.2021 eröffnete die chinesische Cyberspace Administration of China (CAC) am 02.07.2021 eine Cybersicherheitsprüfung gegen das Unternehmen und ließ die Didi-App aus allen chinesischen App-Stores entfernen. Nach einjähriger Untersuchung verhängte die CAC am 21.07.2022 eine Rekordstrafe von 8,026 Milliarden Yuan (rund 1,2 Milliarden US-Dollar) sowie persönliche Bußgelder gegen CEO Cheng Wei und Präsidentin Liu Qing. Die Behörde dokumentierte 16 Rechtsverstöße, darunter die widerrechtliche Erhebung von Gesichtserkennungsdaten, Standortdaten und Ausweisnummern über sieben Jahre seit 2015.

Nicht öffentlich dokumentiert ist der vollständige interne Entscheidungsprozess der chinesischen Führung, ob die Untersuchung primär der Datensicherheit oder der politischen Sanktionierung des eigenmächtigen New-Yorker Börsengangs diente. Offen bleibt zudem, in welchem Umfang die gesammelten Daten tatsächlich missbräuchlich verwendet wurden.

Der Oberste Gerichtshof Indiens setzte am 27. Oktober 2021 im Verfahren Manohar Lal Sharma gegen Union of India ein unabhängiges technisches Komitee ein, das den Einsatz der Pegasus-Spyware gegen Journalisten, Oppositionspolitiker, Aktivisten und Richter untersuchen sollte. Das Komitee prüfte 29 vorgelegte Mobiltelefone und legte Ende Juli 2022 seinen Bericht vor. Auf fünf Geräten wurde Malware gefunden, ein eindeutiger Nachweis von Pegasus gelang jedoch nicht.

Offen blieb, ob und von wem Pegasus tatsächlich gegen die betroffenen Personen eingesetzt wurde, da die Zentralregierung die Kooperation verweigerte. Der vollständige Abschlussbericht wurde nie öffentlich gemacht. Der Oberste Gerichtshof bestätigte 2025 erneut, dass Teile mit Bezug zur nationalen Sicherheit nicht offengelegt würden.

Mehr als 300 Sicherheitsforscher sowie Organisationen wie Mozilla, die EFF, Cloudflare und die Linux Foundation warnten in offenen Briefen vor Artikel 45 der eIDAS-2.0-Verordnung. Die Vorschrift verpflichtet Webbrowser, von EU-Staaten benannte Zertifizierungsstellen für qualifizierte Website-Zertifikate (QWAC) anzuerkennen, ohne dass Browser diese bei Sicherheitsproblemen eigenständig entfernen können. Die Verordnung (EU) 2024/1183 trat am 20.05.2024 in Kraft, Artikel 45 blieb im finalen Text inhaltlich unverändert.

Ob die Klarstellung in Erwägungsgrund 32 die von Forschern befürchteten Risiken wie erzwungene Man-in-the-Middle-Zertifikate durch Mitgliedstaaten tatsächlich verhindert, war zum Zeitpunkt der Quelle nicht abschließend geklärt. Ein dokumentierter Fall, in dem ein EU-Staat ein QWAC bereits missbraucht hat, liegt nicht vor.

LexisNexis Risk Solutions bestätigte, dass ein Unbekannter am 25.12.2024 über ein kompromittiertes Konto auf GitHub Zugriff auf Softwareartefakte und personenbezogene Daten von 364.333 Menschen erlangte. Betroffen waren Namen, Kontaktdaten, Sozialversicherungsnummern, Führerscheinnummern und Geburtsdaten; LNRS entdeckte den Vorfall erst am 01.04.2025 und informierte die Betroffenen ab dem 24./28.05.2025.

Die Identität des Angreifers sowie der genaue Weg, wie das GitHub-Konto kompromittiert wurde, blieben ungeklärt. Offen blieb zudem, ob und in welchem Umfang die entwendeten Daten tatsächlich für Identitätsdiebstahl oder Betrug missbraucht wurden.

Santander bestätigte am 14. Mai 2024 offiziell den unbefugten Zugriff auf eine bei einem Drittanbieter gehostete Datenbank, die Teil der breiteren Snowflake-Angriffswelle war. Betroffen waren Kundendaten aus Spanien, Chile und Uruguay sowie Daten aller aktuellen und einiger ehemaliger Mitarbeiter der Gruppe weltweit. Laut Santander enthielt die Datenbank keine Transaktionsdaten und keine Zugangsdaten wie Online-Banking-Passwörter.

Die genaue Zahl der betroffenen Kunden und Mitarbeiter sowie der vollständige Umfang der gestohlenen Datenfelder wurden von Santander nicht abschließend beziffert, Medienschätzungen reichten bis zu rund 30 Millionen Kundendatensätzen. Offen blieb zudem, ob und in welcher Höhe Regulierungsbehörden Bußgelder verhängten.

Advance Auto Parts meldete im Juli 2024 einen Datendiebstahl aus seiner Snowflake-Cloud-Umgebung, der zwischen dem 14. April und 24. Mai 2024 stattfand. Betroffen waren die persönlichen Daten von rund 2,3 Millionen aktuellen und ehemaligen Bewerbern und Mitarbeitern, darunter Namen, Sozialversicherungsnummern, Führerscheinnummern und Geburtsdaten. Der Angriff war Teil einer größeren Kampagne gegen über 160 Snowflake-Kunden, darunter Ticketmaster und Santander.

Unklar bleibt die Bewertung einer zusätzlich kursierenden Hacker-Behauptung, wonach eine Datenbank mit 380 Millionen Kundendatensätzen existiere. Das Unternehmen erklärte lediglich, die Angaben zu prüfen. Auch die genaue Identität der Angreifer wurde nie abschließend gerichtsfest geklärt.

Nach Recherchen der Zeitung Estadão lagen monatelang Zugangsdaten zur zentralen Gesundheitsdatenbank SUS Base64-codiert im öffentlich einsehbaren Quellcode der Website des brasilianischen Gesundheitsministeriums. Dadurch waren persönliche und medizinische Daten von rund 243 Millionen Menschen, darunter auch Verstorbene, frei zugänglich, inklusive Namen, Adressen, Telefonnummern und Gesundheitsdaten.

Aus den Berichten geht nicht hervor, ob und in welchem Umfang Dritte die offenliegenden Zugangsdaten tatsächlich zum Abruf der Datenbank genutzt haben. Auch bleibt unklar, ob eine Behörde ein Bußgeld verhängte oder wer konkret für die fehlerhafte Programmierung verantwortlich gemacht wurde.