Quellen-Tabelle

Die US-Krankenhauskette Community Health Systems meldete am 18.08.2014 der SEC einen Cyberangriff auf ihre Netzwerke im April und Juni 2014. Gestohlen wurden Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern von rund 4,5 Millionen Personen, die bei mit CHS verbundenen Ärzten behandelt worden waren. Die beauftragte Sicherheitsfirma Mandiant ordnete den Angriff einer fortgeschrittenen Bedrohungsgruppe mit Ursprung in China zu, medizinische Behandlungsdaten waren laut CHS nicht betroffen.

Die offizielle SEC-Meldung nennt keine konkrete Angreifergruppe und erwähnt weder die Bezeichnung APT18 noch Heartbleed als Einfallstor, diese Details stammen aus späteren Analysen von IT-Sicherheitsfirmen. Eine direkte Steuerung des Angriffs durch die chinesische Regierung ist nicht abschließend belegt.

Der Landesbeauftragte für Datenschutz Rheinland-Pfalz schloss im Dezember 2014 ein Bußgeldverfahren gegen die Debeka einvernehmlich ab. Grundlage waren eingeräumte Listenkäufe, bei denen einzelne Mitarbeiter und Vermittler ohne Einwilligung Datensätze von Anwärtern des öffentlichen Dienstes erworben und zur Versicherungsakquise genutzt hatten. Die Debeka akzeptierte eine Geldbuße von 1,3 Millionen Euro und finanzierte zusätzlich eine mit 600.000 Euro dotierte Stiftungsprofessur für Datenschutz an der Universität Mainz.

Dieses Verfahren fand in Rheinland-Pfalz statt und wurde noch auf Grundlage des alten Bundesdatenschutzgesetzes geführt, da die DSGVO erst ab Mai 2018 galt. Wie viele einzelne Vermittler und Beamtenanwärter konkret betroffen waren, bleibt offen.

Am 15.07.2020 verschafften sich Angreifer per Social Engineering gegenüber Twitter-Mitarbeitern Zugriff auf interne Administrationswerkzeuge und übernahmen mehr als 130 verifizierte Konten, darunter Obama, Biden, Musk und Apple. Von den Konten wurden Tweets abgesetzt, die zu Bitcoin-Zahlungen aufriefen, rund 117.000 US-Dollar wurden erbeutet. Das DOJ klagte am 31.07.2020 Mason Sheppard und Nima Fazeli an, ein dritter Beteiligter war minderjährig und wurde separat in Florida verfolgt.

Die genaue technische Methode des Social-Engineering-Angriffs ist nicht durch ein unabhängiges forensisches Gutachten öffentlich im Detail belegt. Wie viele Konten neben den bekannten Prominenten betroffen waren und ob private Nachrichten eingesehen wurden, ist nicht abschließend dokumentiert.

Die FTC einigte sich am 09.11.2020 mit Zoom auf einen Vergleich, weil Zoom seit mindestens 2016 fälschlich behauptet hatte, Meetings seien durchgehend Ende-zu-Ende-verschlüsselt. Tatsächlich hielt Zoom die kryptografischen Schlüssel selbst, zudem waren aufgezeichnete Meetings bis zu 60 Tage unverschlüsselt gespeichert. Zoom verpflichtete sich zu einem umfassenden Sicherheitsprogramm. Vorausgegangen waren im Frühjahr 2020 zahlreiche Zoombombing-Vorfälle, die das FBI im April 2020 zu einer öffentlichen Warnung veranlassten.

Die FTC verhängte in diesem Fall kein Bußgeld, sondern Verhaltensauflagen und ein zwanzigjähriges Audit-Programm. Wie viele Nutzer konkret durch die falschen Verschlüsselungsangaben einen Schaden erlitten, ist nicht dokumentiert.

Die FTC leitete am 31.10.2022 ein Verfahren gegen Chegg ein und warf dem Bildungstechnologie-Anbieter vier Datenschutzverletzungen zwischen September 2017 und April 2020 vor. Betroffen waren persönliche Daten von rund 40 Millionen Nutzern, unter anderem durch einen unbefugten Zugriff auf Amazon-S3-Speicher 2018 mit rund 25 Millionen im Klartext gespeicherten Passwörtern. Laut FTC fehlten bei Chegg grundlegende Sicherheitsmaßnahmen wie Verschlüsselung und Multi-Faktor-Authentifizierung, die im Januar 2023 finalisierte Anordnung verpflichtet Chegg zu einem umfassenden Sicherheitsprogramm.

Ob im Rahmen des Verfahrens eine Geldstrafe verhängt wurde, ist nicht dokumentiert, öffentlich zugängliche Quellen erwähnen vor allem verhaltensbezogene Auflagen. Wie wirksam die angeordneten Maßnahmen seither umgesetzt wurden, ist nicht öffentlich im Detail nachvollziehbar.

Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens verhängte am 06.11.2018 ein Bußgeld von 600.000 Euro gegen Uber. Grund war nicht der Datendiebstahl selbst, sondern dass Uber die am 14.11.2016 entdeckte Datenpanne erst am 21.11.2017 und damit rund ein Jahr zu spät meldete, statt wie vorgeschrieben innerhalb von 72 Stunden. Von dem zugrundeliegenden Vorfall waren weltweit rund 57 Millionen Nutzer und Fahrer betroffen, darunter etwa 174.000 Personen in den Niederlanden.

Die niederländische Behörde entschied ausschließlich über die verspätete Meldepflicht nach niederländischem Recht vor der DSGVO, nicht über die parallelen US-Verfahren zum selben Datendiebstahl von 2016. Die spätere, deutlich größere Geldbuße von 290 Millionen Euro gegen Uber aus dem Jahr 2024 wegen unrechtmäßiger Datenübermittlung in die USA ist ein eigenständiges, hier nicht behandeltes Verfahren.

DoorDash gab am 26.09.2019 bekannt, dass ein unbefugter Dritter am 04.05.2019 auf Nutzerdaten zugegriffen hatte. Betroffen waren rund 4,9 Millionen Kunden, Lieferpartner und Händler, die sich bis zum 05.04.2018 registriert hatten. Kompromittiert wurden Namen, E-Mail-Adressen, Telefonnummern und gehashte Passwörter, bei rund 100.000 Lieferpartnern zusätzlich vollständige Führerscheinnummern.

Welcher konkrete Drittanbieter betroffen war und über welchen technischen Mechanismus der Zugriff erfolgte, hat DoorDash nie veröffentlicht. Ob die entwendeten Teildaten tatsächlich für Betrug missbraucht wurden, bleibt offen.

Der Bundesbeauftragte für den Datenschutz (BfDI) verhängte am 09.12.2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH wegen unzureichender technischer und organisatorischer Maßnahmen im telefonischen Kundenservice. Anrufer erhielten allein durch Angabe von Namen und Geburtsdatum eines Kunden Zugriff auf dessen weitere personenbezogene Daten. Auslöser war ein Stalking-Fall, in dem eine Person auf diesem Weg die neue Telefonnummer eines Opfers erlangte.

Das Landgericht Bonn bestätigte 2020 den DSGVO-Verstoß, reduzierte die Bußgeldhöhe im gerichtlichen Nachgang aber auf 900.000 Euro. Wie die interne technische Umstellung der Authentifizierungsverfahren bei 1&1 im Detail ablief, ist nur in groben Zügen dokumentiert.

T-Mobile US meldete der SEC am 19.01.2023, dass ein Angreifer seit rund dem 25.11.2022 unautorisiert Daten über eine einzelne API abgriff. Das Unternehmen entdeckte die Aktivität am 05.01.2023 und stoppte den Zugriff nach eigenen Angaben innerhalb eines Tages. Betroffen waren Kontodaten von schätzungsweise 37 Millionen Kunden, darunter Name, Adresse, E-Mail und Geburtsdatum, jedoch keine Sozialversicherungsnummern oder Zahlungskartendaten.

Die genaue Identität des Angreifers ist offen, T-Mobile spricht lediglich von einem bad actor. Die Zahl von 37 Millionen betroffenen Konten basiert auf einer vorläufigen Untersuchung, die T-Mobile selbst als preliminary bezeichnete.

Das Bundesverfassungsgericht entschied am 24.04.2013, dass die gemeinsame Antiterrordatei von Polizeibehörden und Nachrichtendiensten in ihrer Grundstruktur mit dem Grundgesetz vereinbar ist. Mehrere Einzelregelungen, darunter zu Unterstützern und der Inverssuche, wurden für verfassungswidrig erklärt. Der Gesetzgeber musste die beanstandeten Vorschriften bis 31.12.2014 neu regeln.

Wie viele Personen konkret in der Antiterrordatei erfasst waren, ist nicht dokumentiert. Wie oft die Datei zu tatsächlichen Ermittlungserfolgen beigetragen hat, geht aus der Quelle nicht hervor.

Der Illinois Biometric Information Privacy Act wurde vom Repräsentantenhaus mit 113 zu 0 und vom Senat mit 42 zu 0 Stimmen verabschiedet. Gouverneur Rod Blagojevich unterzeichnete das Gesetz am 03.10.2008. Es war das erste US-Bundesstaatsgesetz, das private Unternehmen zu schriftlicher Zustimmung vor Erhebung biometrischer Identifikatoren verpflichtet und gewährt Betroffenen ein privates Klagerecht mit Schadenersatz von 1000 bis 5000 US-Dollar je Verstoß.

Die genaue Zahl und das Gesamtvolumen der seit 2008 auf BIPA gestützten Sammelklagen ist nicht zentral erfasst. Das Gesetz gilt ausdrücklich nur für private Unternehmen, nicht für staatliche Behörden.

Zwischen dem 20. und 27.03.2016 wurde die Webseite der philippinischen Wahlkommission COMELEC gehackt, Angreifer luden mehrere Wählerdatenbanken herunter. Laut der Entscheidung der National Privacy Commission vom 28.12.2016 enthielten diese Namen, Geburtsdaten, Passnummern und biometrische Beschreibungen. Die Sicherheitsfirma Trend Micro bezifferte die Zahl der betroffenen Wähler auf rund 55 Millionen, die Kommission stellte fest, dass COMELEC gegen den Data Privacy Act verstieß.

Ob die geleakten Daten tatsächlich für Betrug missbraucht wurden, ist nicht dokumentiert. COMELEC bestritt öffentlich, dass biometrische Daten kompromittiert wurden, was im Widerspruch zur Trend-Micro-Analyse steht.

Im August 2017 entdeckten Forscher die ROCA-Schwachstelle in RSA-Schlüsseln von Infineon-Chips in estnischen eID-Karten seit Oktober 2014. Rund 750.000 bis 800.000 Karten waren betroffen. Am 25.10.2017 veröffentlichte Estland ein Software-Update, ab dem 03.11.2017 wurden die Zertifikate von rund 760.000 Karten suspendiert, mit einer Frist zur Fernerneuerung bis 31.03.2018.

Ob die Schwachstelle vor ihrer Offenlegung tatsächlich ausgenutzt wurde, ist nicht dokumentiert. Estnische Vertreter erklärten, es seien keine Fälle von Identitätsmissbrauch bekannt, ein vollständiger forensischer Nachweis liegt aber nicht vor.

Der BGH wies am 23.06.2020 Facebooks Eilantrag gegen die sofortige Vollziehbarkeit des Bundeskartellamt-Beschlusses vom 06.02.2019 zurück. Der Kartellsenat bestätigte vorläufig, dass Facebook seine marktbeherrschende Stellung missbraucht, weil es Nutzern keine Wahl zwischen einer Nutzung mit oder ohne Zusammenführung von Daten aus WhatsApp, Instagram und Drittwebseiten lässt.

Diese Pressemitteilung dokumentiert nur die vorläufige Eilentscheidung, nicht die endgültige Bestätigung in der Hauptsache. Der weitere Beschwerdeweg, der später zum EuGH-Verfahren C-252/21 führte, ist hier nicht Gegenstand.

Die griechische Datenschutzbehörde HDPA verhängte am 13.07.2022 ein Bußgeld von 20 Millionen Euro gegen Clearview AI wegen Sammelns von Gesichtsbildern aus öffentlich zugänglichen Quellen ohne Rechtsgrundlage. Die HDPA ordnete zusätzlich ein Verarbeitungsverbot und die Löschung der Daten griechischer Betroffener an. Auslöser war eine Beschwerde der Organisation Homo Digitalis.

Ob Clearview AI das Bußgeld tatsächlich gezahlt hat, ist nicht dokumentiert, das Unternehmen hat keine EU-Niederlassung. Ob der Löschanordnung nachgekommen wurde, ist nicht unabhängig verifiziert.

Am 15.03.2023 nahm das FBI den 20-jährigen Conor Brian Fitzpatrick alias Pompompurin fest. Ihm wurde vorgeworfen, seit März 2022 die Hackerplattform BreachForums betrieben zu haben, die mehr als 340.000 Mitglieder zählte und als Marktplatz für gestohlene Datensätze diente. Parallel zur Festnahme führten FBI und HHS-OIG eine Operation durch, die BreachForums offline nahm.

Fitzpatrick bekannte sich im Juli 2023 schuldig und wurde nach zunächst nur Bewährungsauflagen später zu einer mehrjährigen Haftstrafe nachverurteilt. BreachForums ging kurz nach der Zerschlagung unter neuer Administration wieder online.

Die CNIL verhängte am 07.12.2020 ein Bußgeld von 35 Millionen Euro gegen Amazon Europe Core, weil beim Besuch von amazon.fr rund 40 Werbe-Cookies automatisch platziert wurden, bevor Nutzer eine Wahl treffen konnten. Der Hinweisbanner informierte zudem nicht ausreichend über Zwecke und Ablehnungsmöglichkeit. Der französische Staatsrat bestätigte die Sanktion am 27.06.2022 in vollem Umfang.

Wie viele Nutzer konkret betroffen waren, ist nicht quantifiziert, die Entscheidung stellt primär auf formale Einwilligungsverstöße ab. Die genaue technische Zusammensetzung der beanstandeten Cookies ist nicht im Detail dokumentiert.

Google zahlte 2012 eine Rekordstrafe von 22,5 Millionen US-Dollar an die FTC wegen Umgehung der Cookie-Blockade im Safari-Browser trotz gegenteiliger Zusicherungen. Die FTC wertete dies als Verstoß gegen eine frühere Vergleichsvereinbarung von Oktober 2011 im Google-Buzz-Fall. Die Kommission stimmte am 09.08.2012 mit 4 zu 1 Stimmen für die Einigung.

Der Vergleich enthielt kein Schuldeingeständnis von Google. Wie viele Safari-Nutzer konkret betroffen waren, geht aus der Pressemitteilung nicht hervor.

Die FTC gab am 15.08.2017 einen Vergleich mit Uber bekannt. Die Behörde warf Uber vor, Nutzer getäuscht zu haben, indem das Unternehmen behauptete, den internen Mitarbeiterzugriff auf Standortdaten streng zu kontrollieren. Konkret nannte die FTC das interne Tool God View, mit dem Mitarbeiter Echtzeit-Standorte von Fahrern und Kunden einsehen konnten. Uber verpflichtete sich zu einem umfassenden Datenschutzprogramm und unabhängigen Audits über 20 Jahre.

Der Vergleich von 2017 sah keine Geldstrafe vor. Die FTC erweiterte diesen Vergleich 2018, nachdem bekannt wurde, dass Uber einen Datenschutzvorfall aus 2016 während des laufenden Verfahrens verschwiegen hatte, dieser spätere Vergleich ist nicht Gegenstand dieser Quelle.

Die Verordnung (EU) 2024/1183 vom 11.04.2024 ändert die bisherige eIDAS-Verordnung und schafft den Rechtsrahmen für die European Digital Identity Wallet. Sie trat am 20.05.2024 in Kraft und verpflichtet alle EU-Mitgliedstaaten, bis Ende 2026 mindestens eine EUDI-Wallet bereitzustellen. Ab 2027 müssen öffentliche Stellen und bestimmte private Unternehmen die Wallet zur Identifizierung akzeptieren.

Viele Detailregelungen werden erst durch spätere Durchführungsrechtsakte festgelegt. Der umstrittene Artikel 45 zur Web-Browser-Vertrauensliste ist gesondert dokumentiert und nicht Gegenstand dieser Quelle.

Am 09.10.2024 gab eine Koalition von Generalstaatsanwälten zahlreicher US-Bundesstaaten einen Vergleich mit Marriott wegen der Starwood-Datenpannen bekannt. Marriott zahlt insgesamt 52 Millionen US-Dollar. Der Vergleich betrifft den Starwood-Datenbruch von 2014 bis 2018 mit rund 131,5 Millionen betroffenen US-Datensätzen sowie eine weitere Kompromittierung 2018 bis 2020. Marriott verpflichtet sich zu einem CISO, Verschlüsselung und Mehrfaktor-Authentifizierung.

Die genaue Zahl der beteiligten Jurisdiktionen wird unterschiedlich angegeben. Der Vergleich ist rechtlich eigenständig und nicht mit der ICO-Buße von 2020 oder dem separaten FTC-Vergleich zu verwechseln.

Die Gesellschaft für Freiheitsrechte reichte am 25.06.2024 mit sechs Beschwerdeführenden eine neue Verfassungsbeschwerde beim Bundesverfassungsgericht gegen das 2023 novellierte Hessische Polizeigesetz ein. Zu den Beschwerdeführenden zählen die Anwältin Seda Başay-Yıldız und der Regionalvorsitzende der Humanistischen Union Franz Josef Hanke, die bereits an der erfolgreichen Beschwerde von 2019 beteiligt waren, welche zum BVerfG-Urteil vom 16.02.2023 (Az. 1 BvR 1547/19) führte. Nach Ansicht der GFF erlaubt die Neuregelung weiterhin, Daten unbeteiligter Personen ohne konkreten Verdacht in die auf Palantirs System Gotham basierende Analysesoftware hessenDATA einzuspeisen, die seit über fünf Jahren im Regelbetrieb der hessischen Polizei eingesetzt wird.

Ob und wann das Bundesverfassungsgericht über diese zweite Verfassungsbeschwerde entscheidet, ist offen, das Verfahren war zum Zeitpunkt der Recherche noch anhängig. Ob die 2023er Neuregelung tatsächlich von den Vorgaben des ersten BVerfG-Urteils abweicht, ist bislang nur die Einschätzung der Beschwerdeführerseite, noch nicht gerichtlich geprüft.

Das Bundesverfassungsgericht erklärte am 10.11.2020 (Az. 1 BvR 3214/15) die erweiterte projektbezogene Datennutzung der Antiterrordatei nach § 6a Abs. 2 Satz 1 ATDG für verfassungswidrig und nichtig. Die 2015 eingeführte Vorschrift erlaubte Data Mining aus den gespeicherten Datensätzen. Das Gericht sah einen Verstoß gegen das Recht auf informationelle Selbstbestimmung, da keine hinreichend bestimmten Eingriffsschwellen wie ein verdichteter Tatverdacht vorgesehen waren. Es war die zweite höchstrichterliche Beanstandung der 2006 eingerichteten Antiterrordatei, nach dem bereits dokumentierten Grundsatzurteil von 2013.

Wie oft die erweiterte Datennutzung seit 2015 tatsächlich angewendet wurde, ist nicht dokumentiert. Anders als beim Urteil von 2013 mit Übergangsfrist erklärte das Gericht die Vorschrift 2020 sofort für nichtig.

Am 30.03.2024 bestätigte AT&T, dass ein Darknet-Datensatz mit rund 73 Millionen Datensätzen echte Kundendaten enthielt, betroffen waren rund 7,6 Millionen aktuelle und 65,4 Millionen ehemalige Kundenkonten aus dem Jahr 2019 oder früher. Erbeutet wurden Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie verschlüsselte vierstellige Konto-Passcodes. Nach einem Hinweis von TechCrunch, dass die Passcodes leicht entschlüsselbar waren, setzte AT&T diese für alle aktiven Kunden zurück.

Woher der Datensatz stammt, ob aus direktem Einbruch oder von einem Drittanbieter, war bis mindestens April 2024 ungeklärt. Ein separates, im Juli 2024 bekanntes Datenleck über den Cloud-Dienst Snowflake ist davon zu unterscheiden. Ein 2025 vorläufig genehmigter Sammelklagevergleich über 177 Millionen Dollar soll beide Vorfälle abdecken.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 27.07.2023 ein Bußgeld von 3,6 Millionen Won gegen OpenAI wegen verspäteter Meldung einer Datenpanne bei ChatGPT: Ein Fehler in der Open-Source-Bibliothek Redis machte am 20./21.03.2023 für rund neun Stunden Zahlungsdaten von ChatGPT-Plus-Abonnenten sichtbar, darunter Namen, E-Mail-Adressen und die letzten vier Ziffern von Kreditkarten. Die PIPC identifizierte anhand der IP-Adresse 687 betroffene Nutzer in Südkorea und beanstandete, dass OpenAI die Behörde nicht innerhalb der vorgeschriebenen 24 Stunden informiert hatte.

Wie viele ChatGPT-Nutzer weltweit betroffen waren, ist nicht dokumentiert. Die Zahl 687 bezieht sich nur auf per IP-Adresse identifizierte südkoreanische Nutzer. Nicht zu verwechseln mit der deutlich schärferen, zeitgleichen Reaktion der italienischen Behörde Garante auf denselben Vorfall.