Quellen-Tabelle

Im Juli 2020 wurden in einem Darknet-Hackerforum persönliche Daten von 142.479.937 Gästen der Hotelkette MGM Resorts zum Kauf angeboten. Die Daten stammen aus einem unbefugten Zugriff auf einen falsch konfigurierten Cloud-Server im Sommer 2019, den MGM Resorts im Februar 2020 zunächst nur mit einem Umfang von 10,6 Millionen betroffenen Gästen öffentlich gemacht hatte. Enthalten waren Namen, Postadressen, E-Mail-Adressen und Geburtsdaten, jedoch keine Zahlungsdaten.

Ob die im Juli 2020 angebotenen 142 Millionen Datensätze deckungsgleich mit der im Februar 2020 gemeldeten Menge von 10,6 Millionen sind, ist nicht abschließend geklärt. Eine offizielle, mit konkreten Zahlen unterlegte Stellungnahme liegt öffentlich nicht vor.

Am 21.02.2024 legte die Ransomware-Gruppe ALPHV/BlackCat mit einem Angriff auf einen Citrix-Fernzugangsserver ohne Multi-Faktor-Authentifizierung die IT-Systeme von Change Healthcare lahm, einem UnitedHealth-Tochterunternehmen, das einen Großteil der US-Rezept- und Krankenversicherungsabrechnungen verarbeitet. Der wochenlange Ausfall störte bundesweit Apotheken und Arztpraxen. Am 01.05.2024 bestätigte UnitedHealth-CEO Andrew Witty vor dem US-Senat, dass sein Unternehmen rund 22 Millionen US-Dollar in Bitcoin gezahlt hatte, und räumte ein, dass Daten von möglicherweise einem Drittel der US-Bevölkerung betroffen sein könnten.

Die exakte Gesamtzahl der letztlich betroffenen Personen ist nicht abschließend belegt, spätere behördliche Meldungen korrigierten diese Zahl mehrfach nach oben. Ob die gestohlenen Daten trotz Lösegeldzahlung tatsächlich gelöscht wurden, bleibt offen.

Der US-Ausschuss CFIUS stufte die vollständige Übernahme der Dating-App Grindr durch das chinesische Unternehmen Kunlun Tech als nationales Sicherheitsrisiko ein. Kunlun hatte Grindr 2016 und 2018 übernommen, ohne die Transaktion vorab prüfen zu lassen. Im Mai 2019 ordnete CFIUS die Veräußerung an, da Daten der rund 27 Millionen Nutzer wie Standort und HIV-Status potenziell dem chinesischen Staat zugänglich sein könnten. Am 06.03.2020 gab Kunlun bekannt, Grindr für rund 608 Millionen US-Dollar zu verkaufen.

Ob CFIUS öffentlich belegte Beweise für einen tatsächlichen Datenzugriff durch chinesische Behörden vorlegte, ist nicht ersichtlich, CFIUS-Verfahren sind grundsätzlich vertraulich. Ob der Verkauf fristgerecht vollständig abgeschlossen wurde, geht aus diesem Artikel nicht hervor.

Facebook startete am 06.11.2007 das Werbefeature Beacon, das Kaufaktivitäten von Nutzern auf rund 44 Partnerseiten automatisch im persönlichen Facebook-Newsfeed veröffentlichte, standardmäßig als Opt-out statt Opt-in. Nach breitem Nutzerprotest entschuldigte sich Gründer Mark Zuckerberg am 05.12.2007 öffentlich und führte eine vollständige Opt-out-Möglichkeit ein. Beacon wurde 2009 im Zuge einer Sammelklage endgültig eingestellt, verbunden mit einer Zahlung von 9,5 Millionen US-Dollar an eine neu gegründete Datenschutzstiftung.

Wie viele der rund 50 Millionen betroffenen Nutzer tatsächlich unfreiwillig Daten preisgaben, ist nicht dokumentiert. Die Sammelklagen-Einigung sah keine individuellen Entschädigungszahlungen an betroffene Nutzer vor.

AOL veröffentlichte am 04.08.2006 versehentlich eine Datei mit rund 20 Millionen Suchanfragen von über 650.000 Nutzern, wobei Nutzernamen durch numerische IDs pseudonymisiert waren. Anhand der Suchhistorie von Nutzerin Nr. 4417749 identifizierte die New York Times die 62-jährige Thelma Arnold aus Lilburn, Georgia. AOL entfernte die Datei nach wenigen Tagen, entließ den zuständigen Forscher, und CTO Maureen Govern trat am 21.08.2006 zurück.

Wie viele der über 650.000 betroffenen Nutzer tatsächlich reidentifiziert wurden, ist nicht dokumentiert, es liegt nur der Einzelfall Thelma Arnold vollständig belegt vor. Eine 2006 eingereichte Sammelklage wurde erst 2013 mit einem Vergleich über 5 Millionen US-Dollar beigelegt.

Am 14.11.2015 wurde der Spielzeughersteller VTech Opfer eines Hackerangriffs über eine SQL-Injection-Schwachstelle. Nach VTechs Angaben waren weltweit rund 6,4 Millionen Kinderprofile und rund 4,9 Millionen Elternkonten betroffen. Der anonyme Hacker erklärte, zusätzlich mehr als 190 Gigabyte Kinderfotos sowie rund ein Jahr Chatprotokolle kopiert zu haben.

Der genaue Gesamtumfang der abgegriffenen Fotos und Chatprotokolle wurde von VTech nie offiziell beziffert. Ob die Daten über den meldenden Hacker hinaus von Dritten missbraucht wurden, ist nicht belegt.

Optus meldete am 22.09.2022 einen Cyberangriff auf seine Kundendatenbank. Betroffen waren personenbezogene Daten von bis zu 9,8 Millionen aktuellen und ehemaligen Kunden, darunter Namen, Geburtsdaten und teils Reisepass- oder Führerscheinnummern. Ein anonymer Akteur forderte zunächst ein Lösegeld von umgerechnet rund 1 Million US-Dollar.

Die technische Ursache bleibt umstritten, Optus sprach von einem gezielten Cyberangriff, während Regierungsvertreter eine ungesicherte, öffentlich erreichbare API als Ursache nannten. Ein Gerichtsverfahren der Datenschutzbehörde OAIC war zum Zeitpunkt der Quelle noch nicht abgeschlossen.

Die australische Regierung stellte 2018 mit My Health Record allen Medicare-Karteninhabern automatisch eine zentrale elektronische Gesundheitsakte an, sofern diese nicht aktiv widersprachen. Der ursprüngliche Widerspruchsstichtag wurde nach massiver Kritik vom 15.10.2018 auf den 31.01.2019 verschoben. Bis dahin hatten laut Australian Digital Health Agency mehr als 2,5 Millionen Australier widersprochen, rund 10 Prozent der Berechtigten.

Wie viele der über 2,5 Millionen Opt-outs konkret auf Datenschutzbedenken zurückgehen im Gegensatz zu anderen Gründen, ist nicht dokumentiert. In welchem Umfang Daten aus bereits angelegten Konten an Dritte weitergegeben wurden, bleibt offen.

Apple führte am 26.04.2021 mit iOS 14.5 die Funktion App Tracking Transparency ein, die vor dem Zugriff auf die Werbekennung IDFA eine ausdrückliche Nutzererlaubnis verlangt. Facebook kritisierte die Maßnahme scharf und schaltete ganzseitige Zeitungsanzeigen gegen Apple. Nach einer frühen Erhebung von AppsFlyer stimmten zum Start nur rund 39 Prozent der Nutzer dem Tracking zu.

Unabhängig geprüfte Zahlen zu den tatsächlichen finanziellen Einbußen von Meta durch ATT liefert der Artikel nicht, er stützt sich auf frühe Schätzungen einzelner Analysefirmen. Wie sich die Opt-in-Rate im weiteren Verlauf 2021 entwickelte, ist nicht dokumentiert.

Cambridge Analytica und sein britisches Mutterunternehmen SCL Elections gaben am 02.05.2018 bekannt, den Geschäftsbetrieb mit sofortiger Wirkung einzustellen. SCL Elections und mehrere britische Tochtergesellschaften meldeten in Großbritannien Insolvenz an, parallel wurde für die US-Tochtergesellschaften ein Verfahren vor dem US Bankruptcy Court eingeleitet. Als Grund nannte das Unternehmen die negative Medienberichterstattung, die praktisch alle Kunden vertrieben habe.

Ob tatsächlich Nutzerdaten nach der Schließung gelöscht oder weiterverwendet wurden, ist nicht unabhängig verifiziert. Ob die Nachfolgefirma Emerdata, zu der mehrere Cambridge-Analytica-Manager wechselten, als bewusste Fortführung zu werten ist, bleibt offen.

Am 01.10.2023 veröffentlichte ein Hacker unter dem Pseudonym Golem im Forum BreachForums einen Datensatz mit Profildaten von rund einer Million 23andMe-Nutzern aschkenasisch-jüdischer Abstammung. Kurz darauf bot ein weiterer Nutzer einen Datensatz zu mehr als 300.000 Nutzern chinesischer Abstammung an. Insgesamt standen Profildaten von knapp 7 Millionen Nutzern zum Verkauf. 23andMe führte den Vorfall auf einen Credential-Stuffing-Angriff zurück, über den Angreifer via der Funktion DNA Relatives auch verknüpfte Profile auslesen konnten.

Die Identität hinter dem Pseudonym Golem und ein mögliches gezieltes Motiv sind nicht abschließend geklärt. Diese Quelle behandelt ausschließlich den Datendiebstahl von Oktober 2023, nicht die spätere Insolvenz von 23andMe.

Thyssenkrupp bestätigte am 08.12.2016 einen im Frühjahr 2016 begonnenen Cyberangriff auf Firmennetzwerke, der Standorte in Europa, Indien, Argentinien und den USA sowie das Stahlwalzwerk Hohenlimburg betraf. Die interne IT-Abwehr benötigte rund sechs Monate, um die Angreifer zu verdrängen, und stufte deren Ausrüstung als staatlich unterstützt ein. Die Angreifer stammten mutmaßlich aus China oder einem anderen südostasiatischen Land.

Eine eindeutige Zuordnung zu einem staatlichen Akteur oder einer bestimmten Hackergruppe ist nicht offiziell bestätigt. Thyssenkrupp machte keine genauen Angaben, welche und wie viele Daten konkret entwendet wurden.

Verizon und Yahoo gaben am 21.02.2017 bekannt, den vereinbarten Kaufpreis für Yahoos Kerngeschäft um 350 Millionen US-Dollar zu senken, von rund 4,83 auf etwa 4,48 Milliarden US-Dollar. Grund waren die zuvor bekannt gewordenen Datenlecks bei Yahoo mit rund 500 Millionen bzw. über einer Milliarde betroffenen Konten. In der geänderten Vereinbarung teilen sich Verizon und Yahoo bestimmte rechtliche Haftungsrisiken aus den Datenlecks.

Eine genaue, offiziell bestätigte Berechnungsgrundlage für die Summe von 350 Millionen Dollar ist nicht dokumentiert. Der endgültige Abschluss der Transaktion erfolgte erst im Juni 2017.

Die Bundesnetzagentur erklärte im Februar 2017 die vernetzte Kinderpuppe My Friend Cayla wegen ihrer Aufnahmefunktion zu einem verbotenen Spionagegerät und stufte sie als unerlaubte Sendeanlage ein. Grund war eine ungesicherte Bluetooth-Verbindung zum Mikrofon. Besitz, Herstellung und Vertrieb der Puppe wurden für illegal erklärt. Das Verwaltungsgericht Köln wies einen Eilantrag des Vertreibers im Mai 2017 zurück.

Wie viele der verkauften Puppen tatsächlich vernichtet wurden, ist offen, die Behörde verzichtete auf Kontrollen in Privathaushalten. Ob strafrechtliche Ermittlungsverfahren gegen einzelne Vertreiber durchgeführt wurden, ist nicht dokumentiert.

Zwischen dem 17. und 19.04.2011 verschaffte sich ein unbefugter Angreifer Zugang zum Sony PlayStation Network und dem Musikdienst Qriocity. Sony schaltete die Dienste am 20.04.2011 ab und informierte erst rund eine Woche später öffentlich über den Datendiebstahl. Nach Sony-Angaben wurden persönliche Daten von rund 77 Millionen Nutzerkonten entwendet, darunter Namen, Adressen, Geburtsdaten, Login-Daten und Passwörter, möglicherweise auch Kreditkartennummern. Das PlayStation Network blieb je nach Land bis zum 14.05.2011 abgeschaltet, der Gesamtausfall dauerte 23 Tage.

Die genaue Identität der Angreifer wurde nie offiziell festgestellt, Spekulationen über eine Verbindung zu Anonymous blieben unbestätigt. Wie viele der möglicherweise betroffenen Kreditkartendaten tatsächlich für Betrug missbraucht wurden, ist nicht dokumentiert. Schätzungen zu den Sony entstandenen Kosten schwanken je nach Quelle stark.

Auf dem vom Chaos Computer Club veranstalteten Remote-Kongress rC3 präsentierten Sicherheitsforscher Ende Dezember 2020 zahlreiche Schwachstellen in der deutschen Gesundheits-IT, wenige Tage vor dem geplanten Start der elektronischen Patientenakte (ePA) am 01.01.2021. Sie fanden unter anderem 29 ungeschützt im Internet erreichbare Konnektoren der Telematikinfrastruktur, unzureichend abgesicherte Server bei medizinischen Versorgungszentren und offene GUS-Boxen. Ein Forscher warnte, man hätte die ePA per Man-in-the-Middle-Angriff auslesen können, wäre sie bereits im Einsatz gewesen. Der ePA-Start erfolgte zunächst nur in wenigen Testpraxen in Berlin und Westfalen-Lippe.

Wie viele Versicherte die ePA in den ersten Monaten aktivierten, ist hier nicht dokumentiert, der Artikel entstand vor dem offiziellen Start. Ob die demonstrierten Schwachstellen die produktive ePA-Umgebung selbst betrafen oder nur angrenzende Systeme, bleibt offen. Die Vortragenden waren Sicherheitsforscher auf dem CCC-Kongress, keine offiziellen CCC-Sprecher.

In der Neujahrsnacht 2013/2014 veröffentlichte eine anonyme Gruppe unter dem Namen SnapchatDB Nutzernamen und Telefonnummern von rund 4,6 Millionen Snapchat-Nutzern. Die letzten beiden Ziffern jeder Telefonnummer wurden unkenntlich gemacht. Das Sicherheitsunternehmen Gibson Security hatte Snapchat bereits im August 2013 privat auf eine Schwachstelle in der Find-Friends-Funktion hingewiesen und die Lücke nach monatelangem Schweigen im Dezember 2013 öffentlich dokumentiert. Snapchat hatte die Schwachstelle zuvor als rein theoretisch eingestuft und nicht behoben.

Wer genau hinter SnapchatDB steckte, ist nicht abschließend bekannt. Ob die veröffentlichten Daten für Spam oder Betrug missbraucht wurden, ist nicht dokumentiert. Die Angabe von 4,6 Millionen betroffenen Konten stammt von den Angreifern selbst.

Der Bundestag verabschiedete am 28.06.2012 während des EM-Halbfinales Deutschland gegen Italien in einer sehr kurzen Abstimmung ohne Aussprache eine Neufassung des Meldegesetzes. Im Innenausschuss war die im Regierungsentwurf vorgesehene Einwilligungspflicht für die Weitergabe von Namen und Adressen an Werbefirmen kurz zuvor in eine bloße Widerspruchslösung umgewandelt worden. Nach massivem öffentlichem Protest, unter anderem einer Petition mit mehreren zehntausend Unterzeichnern, rief der Bundesrat den Vermittlungsausschuss an. Bundestag und Bundesrat billigten Ende Februar bzw. am 01.03.2013 einen Kompromiss, der die Einwilligung wieder zur Pflicht machte.

Ob die kurzfristige Änderung im Innenausschuss gezielte Lobbyeinflussnahme war, ist nicht abschließend geklärt. Die berichteten Unterzeichnerzahlen der Protestpetition schwanken je nach Quelle. Wie wirksam die 2013 beschlossene Lösung nach Inkrafttreten 2015 in der Praxis durchgesetzt wurde, ist nicht belegt.

Nach dem PSN-Hack von April 2011 reichten Betroffene in den USA 65 Sammelklagen ein, zusammengefasst als Verfahren MDL 3:11-md-02258 vor dem US-Bezirksgericht für den Südbezirk Kaliforniens. Richter Anthony J. Battaglia wies am 21.01.2014 die meisten Klagepunkte ab, ließ aber Ansprüche wegen irreführender Sicherheitswerbung nach kalifornischem Verbraucherschutzrecht zu. Die Parteien einigten sich im Juni 2014 auf einen Vergleich, den Battaglia am 04.05.2015 endgültig genehmigte, ohne dass Sony ein Fehlverhalten eingestand. Der Vergleich sah Sachleistungen im Gesamtwert von bis zu 15 Millionen US-Dollar vor sowie eine Erstattung nachgewiesener Identitätsdiebstahl-Schäden von bis zu 2500 US-Dollar pro Person.

Wie viele der rund 77 Millionen betroffenen Nutzer tatsächlich Ansprüche geltend gemacht und Leistungen erhalten haben, ist nicht dokumentiert. Je nach Quelle wird der Gesamtwert des Vergleichs unterschiedlich mit rund 15 oder rund 19 Millionen US-Dollar beziffert, wobei die höhere Zahl offenbar Anwaltshonorar und Verwaltungskosten mit einschließt.

Der australische Federal Court verurteilte Google LLC am 12.08.2022 zu einer Strafzahlung von 60 Millionen australischen Dollar wegen irreführender Angaben zur Erfassung von Standortdaten auf Android-Geräten. Google suggerierte fälschlich, allein die Einstellung Standortverlauf steuere die Erfassung, sammelte aber auch bei deaktiviertem Standortverlauf weiter Daten über die standardmäßig aktivierte Einstellung Web- und App-Aktivität. Betroffen war der Zeitraum von Januar 2017 bis Dezember 2018, in dem laut ACCC rund 1,3 Millionen Google-Konten in Australien die irreführenden Anzeigen sahen. Das Verfahren wurde von der Behörde ACCC geführt, nicht als Sammelklage privater Kläger.

Die Zahl von 1,3 Millionen betroffenen Konten ist eine Schätzung der ACCC, keine bestätigte Zahl tatsächlich geschädigter Nutzer. Die Strafhöhe wurde von ACCC und Google gemeinsam vorgeschlagen, nicht unabhängig richterlich neu berechnet. Google bestritt eine vorsätzliche Täuschungsabsicht.

Der Hacker USDoD bot im April 2024 den Verkauf von angeblich 2,9 Milliarden Datensätzen aus der US-Hintergrundprüfungsfirma National Public Data an, darunter Namen, Adressen und Sozialversicherungsnummern. Am 06.08.2024 veröffentlichte er rund 2,7 Milliarden Datensätze kostenlos, Sicherheitsforscher zählten darin etwa 272 Millionen eindeutige Sozialversicherungsnummern. National Public Data meldete den Behörden in Maine jedoch nur 1,3 Millionen betroffene Personen. Die Muttergesellschaft Jerico Pictures meldete am 02.10.2024 Insolvenz an, unter Verweis auf mehr als 20 Sammelklagen und FTC-Ermittlungen.

Die Milliardenzahl stammt vom Angreifer selbst, nicht aus geprüfter Unternehmensbestätigung. Die Datensätze enthalten laut Analysen zahlreiche Duplikate und Einträge Verstorbener. Die Diskrepanz zur gemeldeten Zahl von 1,3 Millionen wurde öffentlich nie aufgelöst.

Der texanische Attorney General Ken Paxton reichte am 20.10.2022 Klage gegen Google ein, gestützt auf den Texas Capture or Use of Biometric Identifier Act (CUBI) von 2009. Die Klage wirft Google vor, seit mindestens 2015 ohne ausreichende Einwilligung biometrische Identifikatoren wie Gesichtsgeometrie und Stimmabdrücke erfasst zu haben, unter anderem über Google Photos und Google Assistant. Am 09.05.2025 einigten sich Texas und Google auf eine Zahlung von 1,375 Milliarden Dollar, die auch parallele Klagen zu Standortverfolgung und Chrome-Inkognito-Daten abdeckte.

Wie viele Texaner konkret betroffen waren, ist nicht beziffert. Welcher Anteil des Vergleichsbetrags auf die biometrischen Vorwürfe entfällt, wurde nicht veröffentlicht. Google erkannte kein Fehlverhalten an, eine gerichtliche Klärung in der Sache fand nicht statt.

Im Juni 2021 bot ein Nutzer unter dem Pseudonym TomLiner in einem Darknet-Forum Daten zu rund 700 Millionen LinkedIn-Profilen für 5.000 US-Dollar an, etwa 92 Prozent aller LinkedIn-Nutzer. Der Datensatz enthielt Namen, E-Mail-Adressen, Telefonnummern, Geolokationsdaten und abgeleitete Gehaltsschätzungen. LinkedIn erklärte, die Daten seien nicht durch einen Einbruch in interne Systeme erlangt worden, sondern durch automatisiertes Scraping der API und aus weiteren öffentlich zugänglichen Quellen. Passwörter waren nicht Teil des Datensatzes.

Nicht belegt ist, ob der gesamte angebotene Datensatz tatsächlich authentisch war. LinkedIn stufte den Vorgang als Verstoß gegen die Nutzungsbedingungen ein, nicht als Hack. Es ist offen, wie viele der Datensätze bereits aus früheren Datenlecks stammten. Die Identität hinter dem Pseudonym TomLiner wurde nicht geklärt.

23andMe bestätigte im Oktober 2023, dass ein Angreifer zwischen dem 29.04. und September 2023 mittels Credential Stuffing rund 14.000 Nutzerkonten kompromittierte. Über die DNA-Relatives-Funktion erhielt der Angreifer dadurch Zugriff auf Daten von etwa 6,9 Millionen Konten, darunter Namen, genetische Abstammungsergebnisse und teils Gesundheitsprädispositionsberichte. Eine im Januar 2024 eingereichte Sammelklage warf 23andMe vor, Nutzer mit aschkenasisch-jüdischer und chinesischer Abstammung nicht gezielt gewarnt zu haben, da Angreifer offenbar gezielt nach diesen ethnischen Gruppen filterten. 23andMe einigte sich später auf eine Zahlung von 30 Millionen US-Dollar.

Nicht öffentlich dokumentiert ist, wie genau der Angreifer die Auswahl nach ethnischer Abstammung technisch vornahm und ob dies gezielte Absicht oder eine zufällige Folge der Datenstruktur war. Die Identität und Motivation des oder der Angreifer wurde nicht geklärt. Der Vergleich über 30 Millionen US-Dollar stellt keine gerichtliche Feststellung eines Verschuldens dar.

Anfang April 2016 wurde eine Datenbank mit 49.611.709 Datensätzen türkischer Bürger veröffentlicht, mit nationalen Personalausweisnummern, Namen, Adressen und Elternnamen. Betroffen waren auch Präsident Recep Tayyip Erdogan und sein Vorgänger Abdullah Gül. Die Angreifer hinterließen eine politisch motivierte Botschaft. Der türkische Justizminister bestätigte eine strafrechtliche Untersuchung.

Nicht geklärt ist, wer die Datenbank entwendet hat und auf welchem Weg. Die Herkunft der Daten wurde von türkischen Behörden nie offiziell bestätigt. Die Echtheit wurde nur stichprobenartig geprüft, eine vollständige forensische Verifizierung aller rund 50 Millionen Einträge fand nicht statt.