Quellen-Tabelle

Ein internes Werbedokument der SCL Group, Muttergesellschaft von Cambridge Analytica, wurde am 29.03.2018 vom Whistleblower Christopher Wylie an einen Ausschuss des britischen Unterhauses übergeben. Darin beschreibt SCL die eigene Arbeit für die nigerianische Regierung bei der Wahl 2007, unter anderem organisierte Antiwahl-Kundgebungen zur Wählerabschreckung in Oppositionshochburgen. Internationale Wahlbeobachter bewerteten die Wahl 2007 als eine der schlechtesten je beobachteten.

Nicht dokumentiert ist, in welchem Umfang die von SCL beschriebenen Taktiken tatsächlich zum Wahlausgang 2007 beitrugen. Das zentrale Beweisstück ist eine unternehmenseigene Werbebroschüre, die die eigene Wirksamkeit möglicherweise überzeichnet. Eine unabhängige Verifikation durch Dritte liegt nicht vor.

Im Oktober 2020 wurde die finnische Psychotherapie-Praxiskette Vastaamo gehackt, wobei vertrauliche Behandlungsnotizen von rund 30.000 Patienten entwendet wurden. Der Täter, später als Julius Kivimäki identifiziert, forderte zunächst rund 400.000 bis 450.000 Euro von Vastaamo. Als das Unternehmen nicht zahlte, verschickte er individuelle Erpressungs-E-Mails an tausende Patienten mit Forderungen von jeweils rund 200 Euro und veröffentlichte einen Teil der Daten dennoch. Kivimäki wurde im April 2024 zu sechs Jahren und drei Monaten Haft verurteilt.

Die Zahl der tatsächlich betroffenen Patienten schwankt zwischen rund 22.000 und über 30.000 und ist nicht abschließend amtlich bestätigt. Unklar bleibt, wie viele Patienten tatsächlich Lösegeld zahlten. Der von Medien berichtete Zusammenhang mit mindestens einem Suizid ist medial kolportiert, aber nicht gerichtlich als Kausalzusammenhang festgestellt worden.

Twitter bestätigte 2018, dass die Firma Global Science Research des Cambridge-Psychologen Aleksandr Kogan 2015 für einen Tag Zugang zu einer Zufallsstichprobe öffentlicher Tweets erhielt. Kogans Firma hatte zuvor 2014 von Cambridge Analytica mehr als 800.000 US-Dollar für eine Facebook-Persönlichkeits-App erhalten, die Daten von bis zu 87 Millionen Nutzern sammelte. Twitter erklärte, nur öffentliche Tweets seien betroffen gewesen, keine privaten Nutzerdaten.

Nicht belegt ist, ob die Twitter-Daten tatsächlich mit den Facebook-Daten kombiniert oder für Wahlkampfzwecke genutzt wurden. Twitter und Kogan bestreiten diesen Zusammenhang. Ein konkreter Kaufpreis für den Datenzugang wurde nicht genannt.

Im Oktober 2012 gab die South Carolina Department of Revenue bekannt, dass Angreifer bei Einbrüchen im August und September 2012 rund 3,6 Millionen Sozialversicherungsnummern sowie etwa 387.000 Kredit- und Debitkartennummern erbeuteten. Die Behörde entdeckte den Einbruch am 10.10.2012, die Sicherheitslücke wurde am 20.10.2012 geschlossen. Betroffen waren alle Personen, die seit 1998 eine Steuererklärung eingereicht hatten. Der Staat gab mehr als 20 Millionen US-Dollar für Reaktion und sechs Jahre kostenlose Kreditüberwachung aus.

Nicht dokumentiert ist die genaue Identität der Angreifer. Medienberichte sprachen von vermutetem ausländischem Ursprung, eine offizielle Zuordnung liegt nicht vor. Auch zehn Jahre später blieben zentrale Ermittlungsfragen offen, ein Abschlussbericht mit vollständiger Attribution wurde nicht veröffentlicht.

Der IT-Sicherheitsforscher Mike Kuketz dokumentierte am 05.05.2022, dass die BahnBonus-App bereits vor jeglicher Nutzereinwilligung Verbindungen zu Drittanbietern wie Adobe Analytics und Instabug in den USA aufbaute, dabei wurden Gerätekennungen und weitere Daten übertragen. Kuketz bewertete dies als Verstoß gegen das TTDSG. Die Deutsche Bahn hatte die App im Rahmen der BahnBonus-Umstellung im Juni 2022 eingeführt, deren Rollout laut heise online mit zahlreichen weiteren Fehlern verbunden war.

Die Behauptung, ein technischer Fehler habe fremde Kundendaten anderer Nutzer sichtbar gemacht, ließ sich nicht als eigenständig dokumentierter Vorfall verifizieren. Belegt sind stattdessen Datenschutzmängel durch Tracking ohne Einwilligung. Ein Bußgeld im Zusammenhang mit einem solchen spezifischen Vorfall ist nicht dokumentiert.

Im Oktober 2014 wurde eine 13,6 GB große Datei mit rund 90.000 Fotos und 9.000 Videos aus Snapchat veröffentlicht. Verantwortlich war nicht Snapchat selbst, sondern der Drittanbieterdienst Snapsaved.com, der von Nutzern gesendete Snaps entgegennahm und speicherte, inklusive Nutzernamen. Snapsaved.com bestätigte den Vorfall. Snapchat erklärte, die eigenen Server seien nicht kompromittiert worden.

Nicht belegt ist die genaue Zahl betroffener Nutzer, Schätzungen schwankten zwischen 90.000 und bis zu 200.000 Bildern. Unklar bleibt, wie viele abgebildete Personen minderjährig waren. Die Identität der für den Datenabfluss verantwortlichen Person ist nicht bekannt.

Im Juni 2012 wurden bei einem Angriff auf LinkedIn rund 6,5 Millionen ungesalzene SHA1-Passwort-Hashes entwendet. Im Mai 2016 bot ein Hacker unter dem Pseudonym Peace auf einem Darknet-Marktplatz Datensätze mit E-Mail-Adressen und Passwörtern von 117 Millionen LinkedIn-Nutzern zum Kauf an, angeblich aus demselben Vorfall von 2012. LinkedIn bestätigte den erweiterten Umfang und setzte die Passwörter zwangsweise zurück. Der Kaufpreis für den kompletten Datensatz wurde mit rund 5 Bitcoin beziffert.

Nicht geklärt ist, ob die 2016 angebotenen 117 Millionen Datensätze vollständig aus dem Angriff von 2012 stammen. LinkedIn hat nie bestätigt, wie der Angreifer 2012 eindrang. Die Identität hinter dem Pseudonym Peace ist bis heute nicht festgestellt.

Am 20.07.2021 veröffentlichte The Pillar eine Recherche, wonach ein Monsignore Jeffrey Burrill zugeordnetes Gerät 2018 bis 2020 nahezu täglich Grindr-Signaldaten aussandte, unter anderem an seiner Dienstwohnung. Burrill trat noch am selben Tag als Generalsekretär der USCCB zurück. The Pillar erwarb die Daten von einem kommerziellen Datenhändler. Eine separate Analyse fand zudem mindestens 16 Geräte, die an vier Tagen 2018 Grindr-Signale aus nicht öffentlichen Bereichen des Vatikanstaats aussandten.

Nicht dokumentiert ist die Methode, mit der die Daten konkreten Personen zugeordnet wurden. Grindr bestritt eine direkte Weitergabe. Welcher Datenhändler die Rohdaten lieferte, wurde nicht genannt. Die Zahl von 16 Geräten basiert auf einer begrenzten Vier-Tage-Stichprobe.

Die medizinische Inkassofirma American Medical Collection Agency wurde zwischen dem 01.08.2018 und 30.03.2019 gehackt. Betroffen waren Daten von rund 20 Millionen Patienten, darunter Name, Geburtsdatum und offene Rechnungsbeträge. Quest Diagnostics meldete 11,9 Millionen betroffene Kunden, LabCorp 7,7 Millionen. Die AMCA-Muttergesellschaft meldete am 17.06.2019 Insolvenz an.

Nicht dokumentiert ist, wie viele Betroffene tatsächlich Bankdaten preisgaben. Die technische Schwachstelle wurde nicht im Detail offengelegt. Die Identität der Angreifer ist nicht bestätigt. Die 20 Millionen sind eine Summe aus verschiedenen Kundenmeldungen, Überschneidungen sind nicht ausgeschlossen.

Im Januar 2017 identifizierten Sicherheitsforscher, dass die chinesische Foto-App Meitu auf Android und iOS weit mehr Berechtigungen anfordert als für ihre Kernfunktion nötig, darunter genauen Standort, IMSI-Gerätekennung und WLAN-Verbindungen. Eindeutige Gerätekennungen wurden an Server in China übertragen. Meitu erklärte, die Datensammlung diene der App-Optimierung.

Nicht belegt ist, wofür Meitu die Daten konkret verwendete. Es gibt keine dokumentierten Beweise für eine Weitergabe an chinesische Behörden, dies wurde nur als mögliches Risiko benannt. Es liegt keine behördliche Untersuchung zu diesem Fall vor.

Ein Forscherteam mehrerer Universitäten analysierte in einem am 08.09.2017 veröffentlichten Paper Apples Implementierung von Differential Privacy. Für macOS Sierra ermittelten sie einen Datenschutzparameter Epsilon von 6, für iOS 10 von 14, kumulativ bis zu 43. Die Fachcommunity betrachtet Epsilon-Werte unter 1 als Richtschnur. Apple widersprach der Studie und verwies auf zusätzliche Schutzmaßnahmen.

Nicht geklärt ist, ob die kumulierten Epsilon-Werte die reale Re-Identifizierbarkeit widerspiegeln, Apple bestreitet, dass sich die Werte einfach addieren lassen. Die Werte stammen aus Reverse Engineering, nicht aus offizieller Apple-Dokumentation.

Nach dem 2020 bekannt gewordenen Hack der finnischen Psychotherapiekette Vastaamo, bei dem Patientenakten von rund 33.000 Betroffenen entwendet und teils veröffentlicht wurden, meldeten sich tausende Patienten mit Schadensersatzforderungen gegen den mittlerweile insolventen Betreiber. Ein finnisches Gericht verurteilte den Täter Julius Kivimäki im April 2024 zu einer Haftstrafe von sechs Jahren und drei Monaten wegen Datenerpressung und Offenlegung von Patientendaten. Die Konkursmasse Vastaamos reichte für Entschädigungszahlungen nicht annähernd aus.

Nicht abschließend geklärt ist, wie viele Betroffene tatsächlich eine Entschädigung erhielten, da die Insolvenzmasse begrenzt war. Die genaue Zahl der veröffentlichten Patientenakten schwankt in Berichten zwischen rund 2.000 und weit höheren Schätzungen.

Am 20.03.2025 genehmigte eine US-Bezirksrichterin in Chicago den Vergleich in der Sammelklage gegen Clearview AI wegen Verstoßes gegen den Illinois Biometric Information Privacy Act (BIPA). Statt Barzahlung erhalten die Klassenmitglieder einen Anteil von 23 Prozent an Clearview AI, auf Basis einer Bewertung von 225 Millionen US-Dollar mit rund 51,75 Millionen US-Dollar beziffert. Clearview verpflichtet sich zudem zu einem Opt-Out-System und Löschung bestimmter biometrischer Daten für Einwohner Illinois.

Der tatsächliche Marktwert des Aktienanteils ist nicht abschließend geklärt, da Clearview nicht börsennotiert ist. 22 US-Bundesstaaten legten Einspruch gegen die Konstruktion ein. Wie viele der potenziell Millionen Betroffenen tatsächlich Ansprüche anmelden, ist offen.

Der Kuketz-Blog analysierte die Android-App des Verkehrsverbunds Rhein-Ruhr mit über 500.000 Installationen. Bereits vor jeder Einwilligung wurden Gerätedaten an Google Firebase Crashlytics und den Tracking-Dienstleister Adjust übertragen. Der Consent-Banner erschien laut Analyse erst nach den Datenübertragungen, ein Verstoß gegen Paragraf 25 Absatz 1 TTDSG und Artikel 6 Absatz 1a DSGVO.

Die Analyse untersuchte nur ein Testgerät, keine flächendeckende Messung. Eine offizielle Stellungnahme des VRR oder ein förmliches Aufsichtsverfahren ist nicht dokumentiert.

Am 09.10.2023 bot ein Akteur namens pwn0001 auf BreachForums 815 Millionen Datensätze mit Namen, Adressen und Aadhaar-Nummern indischer Bürger für 80.000 US-Dollar an. Die Daten stammten aus COVID-19-Testdatenbanken des Indian Council of Medical Research. Die Behörde CERT-In bestätigte die Authentizität, das ICMR erstattete Anzeige.

Wie die Angreifer Zugang zu den ICMR-Systemen erlangten, ist nicht geklärt. Die Zahl von 815 Millionen wurde nur stichprobenartig, nicht vollständig verifiziert.

Mitte September 2024 bot ein Akteur im Darknet einen angeblichen Datensatz von 177,9 Millionen Zeilen aus Datasus an, der Datenbank hinter dem brasilianischen Gesundheitssystem SUS. Das 90 Gigabyte große Archiv soll Steuernummern, Namen und Gesundheitskartennummern enthalten. Die Datenschutzbehörde ANPD erhielt Löschanfragen für die hostenden Cloud-Links.

Keine brasilianische Behörde bestätigte den Vorfall offiziell. Die Zahl von 177,9 Millionen Datensätzen stammt allein von der Behauptung des Darknet-Anbieters.

Anfang April 2025 veröffentlichte die Gruppe Jabaroot im Darknet vertrauliche Daten der marokkanischen Sozialversicherungskasse CNSS. Betroffen waren rund 2 Millionen Einzelpersonen und 40.000 Unternehmen mit fast 4 Millionen Beschäftigten. Geleakt wurden Namen, Identifikationsnummern und Gehaltsangaben. Als Motiv nannten die Angreifer politische Vergeltung im Kontext marokkanisch-algerischer Spannungen.

Der genaue Zugangsweg der Angreifer ist nicht geklärt. Die CNSS bezeichnete Teile der Dokumente als teilweise falsch, ohne dies zu belegen, sodass die genaue Zahl korrekt betroffener Personen umstritten bleibt.

Eine gemeinsame Ermittlungsgruppe der pakistanischen Federal Investigation Agency stellte im März 2024 fest, dass zwischen 2019 und 2023 Daten von rund 2,7 Millionen Bürgern aus der National Database and Registration Authority (NADRA) entwendet wurden. Die Daten wurden über NADRA-Büros in Karachi, Multan und Peshawar nach Dubai weitergeleitet und in Argentinien und Rumänien zum Verkauf angeboten.

Wie viele der 2,7 Millionen Datensätze tatsächlich im Umlauf gelangten, ist nicht geklärt. Die technische Vorgehensweise des Datenabflusses wurde nicht im Detail offengelegt.

Im Juni 2025 wurden Daten von 7,4 Millionen paraguayischen Bürgern im Darknet veröffentlicht. Sicherheitsfirmen führten den Ursprung auf eine Infostealer-Malware zurück, die im April 2023 ein Gerät eines Mitarbeiters des Gesundheitsministeriums infizierte. Die Gruppe Brigada Cyber PMC forderte 7,4 Millionen US-Dollar Lösegeld, die Regierung lehnte ab.

Die Zahl von 7,4 Millionen entspricht nahezu der gesamten Bevölkerung, ob es Dubletten oder veraltete Datensätze enthält, ist unklar. Die Identität der Gruppe Brigada Cyber PMC ist nicht zweifelsfrei belegt.

Im September 2024 entdeckte das türkische USOM, dass Daten von über 108 Millionen Bürgern auf Google Drive hochgeladen worden waren, darunter Personalausweisnummern, Adressen und Mobilfunknummern. USOM meldete den Vorfall im Juli und September 2024 an Google und forderte die Entfernung.

Aus welcher Behörde die Daten stammen und wer sie hochlud, ist nicht geklärt. Die Zahl von 108 Millionen wurde nicht unabhängig forensisch bestätigt.

Im Oktober 2023 bestaetigte der staatliche Telekommunikationsanbieter TSTT, dass Kundendaten kompromittiert wurden, nachdem eine Hackergruppe behauptet hatte, Zugriff auf rund 76.000 Kundendatensaetze erlangt zu haben, darunter Namen, Adressen und Kontodaten.

Die genaue Zahl der betroffenen Datensaetze sowie die Identitaet der Angreifer sind nicht abschliessend forensisch bestaetigt; es handelt sich um ein staatsnahes Unternehmen, nicht direkt um eine Regierungsbehoerde.

Ende 2019, inmitten der libanesischen Finanz- und Protestkrise, drang eine Hackergruppe, die sich "SpiderZ" nannte, in Systeme der Societe Generale de Banque au Liban (SGBL) ein und veroeffentlichte interne Kontodaten von Politikern, hochrangigen Beamten und Geschaeftsleuten als Protest gegen Korruption und Kapitalkontrollen.

Der genaue Umfang der kompromittierten Daten, die technische Angriffsmethode sowie die Identitaet der Taeter hinter "SpiderZ" wurden nie unabhaengig verifiziert oder offiziell bestaetigt.

Im Oktober 2021 bot ein Angreifer Ausweisfotos und persoenliche Daten von 44 Fussballspielern (darunter Lionel Messi) aus der argentinischen Regierungsdatenbank RENAPER zum Verkauf an, als Beweis fuer einen umfassenderen Zugriff auf die Datenbank mit den Identitaetsdaten praktisch aller rund 45 Millionen Einwohner Argentiniens.

Dieser Fall stammt aus 2021, nicht aus dem angefragten Zeitraum 2023-2025; ein vergleichbar dokumentierter argentinischer Regierungs-Cybervorfall speziell aus 2023-2025 liess sich nicht mit belastbaren Quellen verifizieren.

Der Sicherheitsforscher Anurag Sen entdeckte eine oeffentlich zugaengliche, unpassword-geschuetzte Datenbank mit personenbezogenen Daten von rund 5,3 Millionen Waehlern der Dominikanischen Republik, darunter vollstaendige Namen, Geburtsdaten, Ausweisnummern und Adressen. Die Daten stammten offenbar aus einem Datensatz im Umfeld einer Wahlkampagne und lagen ungesichert auf einem Elasticsearch-Server.

Unklar bleibt, wie lange die Datenbank oeffentlich zugaenglich war und ob Dritte vor der Entdeckung durch den Forscher bereits Daten abgegriffen haben; ein tatsaechlicher Missbrauch der Daten ist journalistisch nicht belegt.

Der Oberste Gerichtshof Jamaikas erklärte im April 2019 das National Identification and Registration Act (NIDS-Gesetz) für verfassungswidrig, das die verpflichtende Erfassung biometrischer Daten aller Bürger in einer zentralen staatlichen Datenbank vorsah. Kläger Julian Robinson argumentierte erfolgreich, das Gesetz verletze das Recht auf Privatsphäre.

Es handelt sich um ein Gerichtsverfahren zu einem geplanten Identifikationssystem, nicht um einen tatsächlichen Cyberangriff; konkrete Zahlen zu betroffenen Personen liegen nicht vor, da das System vor Vollbetrieb gestoppt wurde.