Quellen-Tabelle

Der Naz.API-Datensatz umfasst 319 Dateien mit insgesamt 104 GB und enthält 70.840.771 eindeutige E-Mail-Adressen sowie rund 100 Millionen einzigartige Passwörter aus Infostealer-Malware und klassischen Credential-Stuffing-Listen. Troy Hunt integrierte die E-Mail-Adressen im Januar 2024 in Have I Been Pwned, wobei rund 65 Prozent der Adressen zuvor dort unbekannt waren.

Nicht dokumentiert ist die genaue Identität der ursprünglichen Sammler des Datensatzes oder eine vollständige Liste aller betroffenen Dienste. Unklar bleibt zudem, wie viele der enthaltenen Zugangsdaten zum Zeitpunkt der Veröffentlichung noch gültig waren.

Am 4. Juli 2024 veröffentlichte ein Nutzer namens ObamaCare in einem Hackerforum die Datei RockYou2024.txt mit 9.948.575.739 einzigartigen Klartext-Passwörtern, laut Sicherheitsforschern die bislang größte bekannte Passwort-Sammlung. Die Zusammenstellung baut auf der RockYou2021-Sammlung auf und wurde um rund 1,5 Milliarden zusätzliche Passwörter aus Datenlecks der Jahre 2021 bis 2024 erweitert.

Welches Hackerforum genau betroffen war und wer sich hinter dem Nutzernamen ObamaCare verbirgt, ist nicht öffentlich bestätigt. Aus welchen einzelnen Datenlecks die Passwörter im Detail stammen, wurde nicht vollständig offengelegt. RockYou2024 ist selbst kein neuer Einbruch bei einem Unternehmen, sondern eine Sammlung aus zahlreichen älteren Lecks.

Sicherheitsforscher Troy Hunt entdeckte im Januar 2019 in einem Untergrundforum eine Sammlung namens Collection #1 mit knapp 773 Millionen einzigartigen E-Mail-Adressen und 21 Millionen einzigartigen Passwörtern im Klartext. Die insgesamt rund 2,7 Milliarden Zeilen stammten aus über 12.000 Dateien mit 87 Gigabyte Umfang und waren zuvor kurzzeitig über den Cloud-Dienst MEGA verbreitet worden.

Nicht dokumentiert ist eine einzelne verantwortliche Ursprungsquelle: Die Daten setzten sich aus rund 2.000 verschiedenen älteren Einzel-Leaks und Hacks zusammen, deren genaue Herkunft größtenteils nicht mehr zweifelsfrei zuzuordnen ist. Auch die Identität der Zusammensteller sowie das Ausmaß tatsächlicher Schäden bleiben ungeklärt.

Bei SK Telecom wurde im April 2025 ein Malware-Angriff auf USIM-bezogene Kundendaten bekannt, der rund 23,2 Millionen Kunden über 25 Datenkategorien betraf, darunter IMSI-Nummern und unverschlüsselte SIM-Authentifizierungsschlüssel. Die südkoreanische Datenschutzbehörde PIPC verhängte am 28.08.2025 eine Rekordstrafe von 134,8 Milliarden Won (rund 97 Millionen US-Dollar) wegen fehlender Verschlüsselung, mangelhafter Netzwerktrennung und ignorierter Warnsignale seit 2021/2022.

Offen bleibt, wie viele der Betroffenen tatsächlich Opfer von Identitätsdiebstahl oder SIM-Swapping wurden. Die Angreifer wurden bislang nicht namentlich identifiziert oder einer Gruppe zugeordnet.

Im Oktober 2024 bestätigte Internet-Archive-Gründer Brewster Kahle einen Datendiebstahl, bei dem eine Datei mit rund 31 Millionen Nutzerdatensätzen entwendet wurde. Parallel legten DDoS-Angriffe, zu denen sich die Gruppe BlackMeta bekannte, archive.org und openlibrary.org zeitweise lahm. Wenig später kam ein zweiter Vorfall hinzu: Zugriff auf das Zendesk-Supportsystem über nicht rotierte Zugangstoken.

Offen bleibt, wer genau hinter dem Datendiebstahl steckt und ob DDoS-Gruppe BlackMeta und die Datenschutzverletzung von denselben Akteuren stammen. Der genaue technische Einbruchsweg wurde von verschiedenen Quellen unterschiedlich beschrieben und ist nicht abschließend geklärt.

Roku bestätigte am 12. April 2024 einen zweiten Sicherheitsvorfall binnen zwei Monaten, bei dem Angreifer per Credential Stuffing auf rund 576.000 Nutzerkonten zugriffen. Die Angreifer nutzten bei anderen Diensten erbeutete Zugangsdaten, nicht eine eigene Sicherheitslücke bei Roku. In weniger als 400 Konten wurden hinterlegte Zahlungsdaten für betrügerische Käufe missbraucht, Roku erstattete den Betroffenen die Kosten und führte danach verpflichtend Zwei-Faktor-Authentifizierung ein.

Offen bleibt, aus welcher konkreten fremden Datenpanne die verwendeten Zugangsdaten stammten. Nicht dokumentiert ist außerdem, wie viele der 576.000 betroffenen Konten tatsächlich von Dritten eingesehen wurden im Unterschied zu bloß erfolgreichen Login-Versuchen ohne weitere Aktivität.

Der US-Pharma-Distributor Cencora (vormals AmerisourceBergen) entdeckte am 21. Februar 2024 einen Cyberangriff auf seine IT-Systeme. Mindestens 1,43 Millionen Personen wurden benachrichtigt, dass Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Gesundheitsdaten wie Diagnosen entwendet wurden. Cencora einigte sich 2025 auf eine Sammelklage-Vergleichszahlung von 40 Millionen US-Dollar.

Die tatsächliche Gesamtzahl der betroffenen Personen ist unbekannt, da nicht alle US-Bundesstaaten detaillierte Fallzahlen veröffentlichen. Kein Angreifer oder keine Ransomware-Gruppe hat sich öffentlich zu dem Angriff bekannt, sodass Täterschaft und genauer Angriffsweg ungeklärt bleiben.

HCA Healthcare gab am 10.07.2023 bekannt, dass Angreifer Daten von rund 11,27 Millionen Patienten aus 20 US-Bundesstaaten erbeutet hatten. Betroffen waren Name, Adresse, E-Mail, Telefonnummer, Geburtsdatum sowie Behandlungs- und Termindaten aus einem externen Speicherort für automatisierte Patientenkommunikation. Die Daten wurden auf einem Darknet-Marktplatz zum Verkauf angeboten, HCA schaltete den Speicherort ab.

Unklar bleibt die genaue Identität der Angreifer sowie ob und in welcher Höhe eine Erpressungsforderung gestellt oder bezahlt wurde. Nicht betroffen waren laut HCA klinische Daten und Sozialversicherungsnummern, dies stützt sich aber auf Angaben des Unternehmens selbst.

Chanel bestätigte im August 2025 einen Datendiebstahl aus einer bei einem Drittanbieter Salesforce gehosteten US-Kundendatenbank, der am 25. Juli 2025 entdeckt wurde. Erbeutet wurden Name, E-Mail-Adresse, Postanschrift und Telefonnummer von Kunden, die den US-Kundenservice kontaktiert hatten. Der Angriff wird der Erpressergruppe ShinyHunters zugeschrieben, die per Voice Phishing und betrügerischer OAuth-App-Freigabe Zugriff auf Salesforce-Umgebungen zahlreicher Unternehmen erlangte.

Die genaue Zahl der betroffenen Kunden sowie der volle Umfang der abgeflossenen Daten wurden von Chanel nicht veröffentlicht. Unklar bleibt zudem, ob und in welcher Höhe Lösegeldforderungen an Chanel gestellt wurden.

Adidas bestätigte am 23.05.2025 einen Datendiebstahl über einen externen Kundenservice-Dienstleister, nachdem Ende April 2025 verdächtige Aktivitäten in dessen Systemen entdeckt worden waren. Betroffen waren Namen, E-Mail-Adressen und Telefonnummern von Kunden, die den Support kontaktiert hatten, jedoch keine Zahlungsdaten oder Passwörter. Erste regionale Meldungen erfolgten bereits Anfang Mai 2025 für Kunden in der Türkei und Südkorea.

Die genaue Zahl der weltweit betroffenen Kunden wurde von Adidas nicht beziffert. Die Identität des angegriffenen Dienstleisters sowie der genaue Einbruchsweg in dessen Systeme wurden nicht öffentlich benannt.

Der US-Modehändler Victoria's Secret nahm am 28.05.2025 seine Website sowie einige In-Store-Dienste als Vorsichtsmaßnahme nach einem Sicherheitsvorfall vom Netz. Das Unternehmen bezeichnete den Vorfall öffentlich als Sicherheitsvorfall, ohne die Art des Angriffs zu benennen. Die Filialen von Victoria's Secret und PINK blieben während der Störung geöffnet und bedienten Kunden weiter vor Ort.

Weder die Art des Angriffs noch die verantwortlichen Täter wurden von Victoria's Secret öffentlich bestätigt, Medienberichte vermuteten einen Zusammenhang mit einer Angriffswelle gegen US-Einzelhändler. Offen blieb zum Zeitpunkt der Berichterstattung, ob Kundendaten tatsächlich entwendet wurden.

Der US-Versicherer Farmers Insurance wurde am 30.05.2025 von einem Dienstleister über verdächtige Aktivitäten informiert und schloss die Prüfung des Vorfalls am 24.07.2025 ab. Betroffen waren mehr als 1,1 Millionen Kunden, deren Namen, Adressen, Geburtsdaten, Führerscheinnummern und die letzten vier Ziffern von Sozialversicherungsnummern offengelegt wurden. Schriftliche Benachrichtigungen an die Betroffenen begannen ab dem 22.08.2025, mehrere Medien ordneten den Vorfall der Angriffswelle gegen Salesforce-Kunden durch die als UNC6040/UNC6240 bekannte Gruppe zu.

Eine offizielle Bestätigung der Salesforce-Verbindung durch Farmers Insurance selbst liegt nicht vor, die Zuordnung stammt aus Medienberichten und nachfolgenden Sammelklagen. Der genaue technische Ablauf des Zugriffs beim Dienstleister wurde nicht im Detail veröffentlicht.

Das Nachrichtenportal The Pillar veröffentlichte am 20.07.2021 eine Recherche, die kommerziell erhältliche App-Signaldaten nutzte, um Grindr-Nutzung und Besuche von Schwulenbars einem Mobilgerät zuzuordnen, das Monsignore Jeffrey Burrill, Generalsekretär der US-Bischofskonferenz, zugeschrieben wurde. The Pillar korrelierte eine Geräte-ID mit Standortmustern an Burrills Arbeitsplatz und Wohnsitz zwischen 2018 und 2020. Burrill trat noch am Tag der Veröffentlichung zurück, Grindr erklärte, nicht die Quelle der Daten gewesen zu sein.

Der Datenhändler, von dem The Pillar die App-Signaldaten tatsächlich bezog, wurde nicht öffentlich benannt. Die technische Methode der Re-Identifizierung wurde nicht unabhängig geprüft, sondern beruht allein auf Angaben von The Pillar selbst.

Der baden-württembergische Landtag verabschiedete am 12.11.2025 mit grün-schwarzer Mehrheit eine Neufassung des Polizeigesetzes, die die rechtliche Grundlage für den Einsatz der Analysesoftware von Palantir bei der Polizei schafft. Das System soll laut Gesetzentwurf ab dem zweiten Quartal 2026 einsatzbereit sein und erlaubt zudem die Nutzung von Polizeidaten zum Training von KI-Systemen außerhalb rein wissenschaftlicher Forschung. Der Landesdatenschutzbeauftragte Tobias Keber äußerte mehrere Kritikpunkte an der verfassungsrechtlichen Konformität des Gesetzes.

Die konkreten Einzelpunkte von Kebers Kritik sind nicht im Wortlaut wiedergegeben. Anders als in Bayern ist zum Berichtszeitpunkt keine Verfassungsbeschwerde gegen das baden-württembergische Gesetz bekannt, eine gerichtliche Überprüfung steht noch aus.

Nintendo bestätigte am 24.04.2020 zunächst rund 160.000 kompromittierte Nintendo Network IDs durch unbefugte Anmeldungen und korrigierte die Zahl am 09.06.2020 auf insgesamt rund 300.000 betroffene Konten. Zugangsdaten wurden nach Nintendos eigener Darstellung nicht aus den eigenen Systemen, sondern anderweitig erlangt und für Fremdanmeldungen genutzt, was auf Credential Stuffing hindeutet. Bei weniger als einem Prozent der betroffenen Konten kam es zu betrügerischen Käufen, Nintendo schaltete die NNID-Anmeldemöglichkeit dauerhaft ab und erstattete betroffenen Nutzern die Kosten.

Nintendo hat den genauen Angriffsweg nie im Detail offengelegt. Ob es sich eindeutig um Credential Stuffing, Phishing oder Brute-Force-Angriffe handelte, ist nicht offiziell bestätigt, sondern beruht auf Einschätzungen von Sicherheitsjournalisten.

Das US-Office of Personnel Management gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff Datensätze von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller für Sicherheitsüberprüfungen. Erbeutet wurden Sozialversicherungsnummern, Wohnsitz- und Ausbildungsdaten sowie Gesundheits-, Straf- und Finanzdaten aus den Sicherheitsüberprüfungsformularen SF-86, SF-85 und SF-85P. Zusätzlich waren zunächst 1,1 Millionen Fingerabdruck-Datensätze betroffen, diese Zahl wurde im September 2015 auf 5,6 Millionen korrigiert. US-Geheimdienstdirektor James Clapper bezeichnete China als leading suspect für den Angriff, China wies eine Beteiligung zurück.

Eine formelle, namentliche Zurechnung des Angriffs zu chinesischen Regierungsstellen wurde von der US-Regierung nie mit Beweisführung veröffentlicht. Wie viele der 21,5 Millionen Betroffenen mit den 4,2 Millionen Betroffenen der ersten, separaten OPM-Datenpanne identisch sind, wird in Berichten unterschiedlich beziffert.

Ende Mai 2016 bot ein Hacker namens Peace auf einem Darknet-Marktplatz einen Datensatz mit rund 360 Millionen MySpace-E-Mail-Adressen und 427 Millionen Passwörtern für umgerechnet rund 2.800 US-Dollar zum Verkauf an. Der zugrunde liegende Einbruch wird von Have I Been Pwned auf etwa 2008 datiert, betroffen waren E-Mail-Adressen, Nutzernamen und unsalted SHA1-Passwort-Hashes. MySpace bestätigte 2016 lediglich, von dem Vorfall erfahren zu haben, und setzte Passwörter alter Konten zurück.

Wann genau und auf welchem technischen Weg die Daten ursprünglich bei MySpace entwendet wurden, ist bis heute nicht geklärt. Auch die tatsächliche Identität des Verkäufers Peace ist öffentlich nicht zweifelsfrei belegt.

Angreifer erlangten zwischen Ende Februar und Anfang März 2014 eine kleine Zahl von Mitarbeiter-Zugangsdaten und verschafften sich damit Zugriff auf eBays Firmennetzwerk und eine Kundendatenbank mit Namen, verschlüsselten Passwörtern, E-Mail-Adressen, Anschriften und Geburtsdaten. eBay informierte am 21.05.2014 öffentlich und forderte alle rund 145 Millionen aktiven Nutzerkonten zur Passwortänderung auf. Finanz- oder Kreditkartendaten waren laut Unternehmen nicht betroffen, da diese getrennt bei PayPal gespeichert waren.

Wie viele der 145 Millionen Nutzerkonten tatsächlich betroffen waren, bleibt offen, eBay nannte nur die Gesamtzahl aktiver Nutzer als Referenzgröße. Wie die Angreifer die anfänglichen Mitarbeiter-Zugangsdaten erbeuteten, ist ebenso unklar wie ihre Identität.

JPMorgan Chase teilte am 02.10.2014 der US-Börsenaufsicht SEC mit, dass ein im Sommer 2014 entdeckter Cyberangriff Kontaktdaten von rund 76 Millionen Haushalten und 7 Millionen kleinen Unternehmen kompromittiert hat, zusammen etwa 83 Millionen betroffene Kunden. Erbeutet wurden Namen, Adressen, Telefonnummern und E-Mail-Adressen. Nach Angaben von JPMorgan waren Kontonummern, Passwörter, Geburtsdaten und Sozialversicherungsnummern nicht betroffen.

Über welchen genauen technischen Weg die Angreifer erstmals in die internen Systeme eindrangen, ist in dieser Quelle offen. Wie viele der 83 Millionen Kontaktdatensätze tatsächlich für nachgelagerten Betrug missbraucht wurden, ist nicht abschließend geklärt.

Am 17.03.2018 veröffentlichten The Observer/The Guardian und zeitgleich die New York Times auf Basis des Whistleblowers Christopher Wylie eine Enthüllung über die britische Firma Cambridge Analytica. Wylie beschrieb, wie Cambridge Analytica über die App This Is Your Digital Life des Datenwissenschaftlers Aleksandr Kogan Facebook-Daten von bis zu 87 Millionen Nutzerprofilen ohne informierte Einwilligung abgriff. Die Daten wurden für politisches Microtargeting genutzt, unter anderem für die Kampagnen von Ted Cruz und Donald Trump 2016. Facebook hatte die Datenabschöpfung bereits Ende 2015 festgestellt, Nutzer aber nicht informiert.

Diese Quelle behandelt ausschließlich die journalistische Erstenthüllung vom März 2018, nicht die späteren behördlichen Verfahren wie das Bußgeld der britischen Datenschutzbehörde ICO gegen Facebook, die bereits gesondert dokumentiert sind. In welchem Umfang die Daten tatsächlich für vollständige psychografische Profilbildung genutzt wurden, wie Cambridge Analytica selbst behauptete, wurde von unabhängiger Seite angezweifelt.

Im März 2021 wurde bei der Parkraum-App ParkMobile ein Datenleck bekannt, das persönliche Daten von rund 21 Millionen Nutzern betraf. Ursache war laut ParkMobile eine Sicherheitslücke in Software eines Drittanbieters. Betroffen waren E-Mail-Adressen, Telefonnummern, Kennzeichennummern, Geburtsdaten und mit bcrypt gehashte Passwörter, Zahlungsdaten waren verschlüsselt und nicht betroffen.

Welche konkrete Drittanbieter-Software und Schwachstelle die Angreifer ausnutzten, blieb offen. ParkMobile informierte betroffene Nutzer nicht aktiv, viele erfuhren erst durch Medienberichte davon.

Die Sicherheitsfirma Group-IB dokumentierte im Sommer 2022 eine SMS-Phishing-Kampagne gegen mehr als 130 Unternehmen, bekannt als 0ktapus beziehungsweise Scatter Swine. Am 27.07., 02.08. und 07.08.2022 fielen mindestens vier Twilio-Mitarbeiter auf gefälschte Okta-Login-Seiten herein, eingegebene Zugangsdaten wurden per Telegram-Bot in Echtzeit an die Angreifer weitergeleitet. In der Folge wurden auch Telefonnummern von 1.900 Nutzern des Messengers Signal offengelegt, da Twilio dessen SMS-Verifizierung bereitstellt.

Welche Person, Gruppe oder Nation hinter der Kampagne steckt, ist nicht öffentlich belegt. Die Gesamtzahl betroffener Organisationen wird je nach Quelle zwischen rund 130 und über 160 beziffert.

Zynga bestätigte am 12.09.2019, dass Unbefugte auf Nutzerkontodaten zugegriffen hatten. Der Hacker Gnosticplayers erbeutete Datensätze von Nutzern der Spiele Words With Friends, Draw Something und OMGPOP. Have I Been Pwned bestätigte im Dezember 2019 rund 173 Millionen betroffene Datensätze mit E-Mail-Adressen, Nutzernamen und gesalzenen SHA-1-Passwort-Hashes, Zynga erklärte, es gebe keine Hinweise auf den Abfluss von Finanzdaten.

Die genaue Zahl der betroffenen Personen ist nicht abschließend geklärt, der Hacker behauptete ursprünglich rund 218 Millionen Konten. Die Identität des als Gnosticplayers bekannten Angreifers ist nicht gerichtsfest belegt.

Im September 2019 wurde bekannt, dass eine Sammlung mehrerer Datenbanken mit mehr als 419 Millionen Datensätzen von Facebook-Nutzern ungeschützt auf einem MongoDB-Server erreichbar war. Die Datensätze enthielten Facebook-Nutzer-IDs und zugehörige Telefonnummern, darunter rund 133 Millionen US-Konten. Entdeckt wurde die Datenbank vom Sicherheitsforscher Sanyam Jain, der Hosting-Anbieter nahm den Server anschließend vom Netz.

Wer die Datenbank betrieben und die Daten zusammengetragen hat, ist nicht geklärt. Facebook erklärte, die Daten stammten aus Scraping vor 2018, nicht aus einem Hack der eigenen Systeme. Dieser Fall ist vom separaten, erst 2021 bekannt gewordenen Facebook-Scraping-Datenleck zu unterscheiden.

Quora teilte am 03.12.2018 mit, dass ein unbefugter Dritter Zugriff auf interne Systeme erlangt und Daten von bis zu 100 Millionen Nutzerkonten kopiert hatte. Betroffen waren Namen, E-Mail-Adressen, verschlüsselte Passwörter sowie öffentliche und nicht öffentliche Aktivitäten wie Fragen, Antworten und private Nachrichten. Quora meldete alle betroffenen Nutzer automatisch ab und setzte ihre Passwörter zurück.

Wer die Angreifer waren und auf welchem technischen Weg sie Zugang erlangten, geht aus den verfügbaren Quellen nicht hervor. Spätere behördliche Bußgelder infolge des Vorfalls sind nicht dokumentiert.