Quellen-Tabelle

Die technische Hürde für täuschend echte KI-Stimmklone ist drastisch gesunken: Betrügern genügen inzwischen oft nur wenige Sekunden Audiomaterial einer Zielperson, um mit frei zugänglicher KI-Software deren Stimme nachzuahmen. Beim modernisierten Enkeltrick ruft die geklonte, panisch klingende Stimme eines vermeintlichen Angehörigen an, berichtet von einer Krisensituation und bittet um eine Geldüberweisung. Laut einem FTC-Bericht von 2025 vervierfachten sich die gemeldeten finanziellen Verluste bei über 69-Jährigen in den USA zwischen 2020 und 2024. In München verlor im November 2025 ein Senior durch einen gefälschten Anruf des vermeintlichen Enkels einen sechsstelligen Betrag; in Rösrath erkannte eine 79-Jährige im Dezember 2025 dagegen den Betrug rechtzeitig, als ein Anrufer 75.000 Euro Kaution forderte, und schlug Alarm.

Die FTC-Zahlen zur Vervierfachung beziehen sich auf die USA; belastbare vergleichbare Gesamtstatistiken für Deutschland sind aus dieser Quelle nicht angegeben, nur Einzelfälle.

Das Baltimore Police Department testete ab Mai ein sechsmonatiges Pilotprogramm namens Aerial Investigation Research (AIR), bei dem eine mit dem Privatunternehmen Persistent Surveillance Systems betriebene Cessna mit einem 12-Kamera-Array kontinuierlich die Stadt überflog, um Verdächtige bei Gewaltverbrechen wie Morden, Schießereien und bewaffneten Raubüberfällen zu identifizieren. Die zugrunde liegende Technologie war ursprünglich für Kriegsschauplätze im Irak entwickelt und zuvor nie in diesem Umfang über einer US-Stadt eingesetzt worden. Ein Bericht des NYU Policing Project stellte fest, dass das Programm wahrscheinlich über die eigenen zugesicherten Bürgerrechtsgrenzen hinausging, indem es einzelne Personen über mehrere Tage hinweg verfolgte und Aufnahmen nicht wie zugesichert nach 45 Tagen löschte; die Polizei ließ Fahrzeuge sogar an Orten wie der 'Wohnung der Mutter einer Zielperson' verfolgen, ohne dass dort ein Tatort vorlag. Ein Bundesberufungsgericht entschied schließlich, das Luftüberwachungsprogramm sei verfassungswidrig, da der Einsatz von Flugzeugen mit hochauflösenden Weitwinkelkameras eine durchsuchungsbefehlslose Durchsuchung im Sinne des Vierten Verfassungszusatzes darstelle.

Trotz des sechsmonatigen Einsatzes und erheblicher Kosten fingen die 'Spy Planes' laut Berichterstattung nur wenige tatsächliche Straftäter; ein belegter quantitativer Nutzen für die Kriminalitätsaufklärung ist aus dieser Quelle nicht erkennbar.

Bei der Bundestagswahl 2021 setzten alle im Bundestag vertretenen Parteien politisches Microtargeting auf Facebook ein, um Wählergruppen gezielt mit personalisierter Wahlwerbung anzusprechen, darunter CDU, SPD, Bündnis 90/Die Grünen, AfD und Die Linke. Die Parteien investierten in den letzten drei Monaten vor der Wahl zusammen mehr als 6,9 Millionen Euro in Werbeanzeigen auf Meta-Plattformen, überwiegend Facebook. Die Datenschutzorganisation noyb reichte am 21.03.2023 Beschwerde gegen sechs deutsche Parteien ein, weil politische Meinungen nach DSGVO als besonders schutzwürdige Datenkategorie gelten und die praktizierte Zielgruppenansprache damit gegen geltendes Datenschutzrecht verstoße. Kritiker warnen zusätzlich, widersprüchliche, zielgruppenspezifisch zugeschnittene Wahlversprechen könnten gesellschaftliche Polarisierung verstärken, weil unterschiedliche Wählergruppen einander widersprechende politische Zusagen erhalten.

Der Ausgang der noyb-Beschwerde und ob die betroffenen Parteien ihre Microtargeting-Praxis seither änderten, ist aus dieser Quelle nicht belegt.

Bei der am 01.09.2023 gestarteten vereinfachten digitalen Kfz-Zulassung (i-Kfz) reichten Betrüger Zulassungsanträge per E-Mail unter falscher Identität ein, mit gefälschten Kopien von Ausweisdokumenten, deren Unterschriften auf Anträgen und Vollmachten scheinbar mit den Dokumentkopien übereinstimmten. Das Kraftfahrt-Bundesamt (KBA) sperrte daraufhin rund zwei Drittel der deutschen Zulassungsstellen für die Bearbeitung von Fahrzeugzulassungen über i-Kfz, da die Computersysteme vieler Zulassungsstellen die Sicherheits-Mindeststandards nicht erfüllten. Als Reaktion wurde das Zulassungsverfahren verschärft: Zulassungsdienste und Autohäuser müssen seither bestätigen, dass ihnen das Originaldokument bei Antragstellung vorlag. Zum Schutz der Verbraucher müssen Kunden künftig zweimal persönlich bei der Zulassungsstelle erscheinen, einmal zur Antragstellung und einmal zur Abholung von Fahrzeugpapieren und Kennzeichen, was die zuvor mögliche rein digitale Einreichung der Antragsunterlagen einschränkt.

Die genaue Zahl der durch die Betrugsmasche tatsächlich erfolgreich zugelassenen Fahrzeuge unter falscher Identität ist aus dieser Quelle nicht beziffert.

Bundesinnenminister Alexander Dobrindt (CSU) plant, dass Bundeskriminalamt und Bundespolizei kommerzielle Gesichtssuchmaschinen wie Clearview AI und PimEyes für die Polizeiarbeit nutzen können. Das Bundesinnenministerium unter Dobrindt erarbeitete dazu ein neues 'Sicherheitspaket' mit zwei Gesetzentwürfen, die es BKA, Bundespolizei und Bundesamt für Migration und Flüchtlinge (BAMF) erlauben würden, biometrische Daten wie Gesichtsbilder oder Sprachaufnahmen aus öffentlich zugänglichen Internetquellen zu erheben und automatisiert mit polizeilichen Datenbanken abzugleichen. Auf die Frage nach einer Nutzung durch das Bundesamt für Verfassungsschutz (BfV) und den Bundesnachrichtendienst (BND) verweigerte die Bundesregierung unter Berufung auf 'Geheimhaltungsinteressen' die Antwort.

Ob und in welchem Umfang BND oder BfV Clearview AI bereits vor Verabschiedung der geplanten Gesetzentwürfe informell nutzten, bleibt aus dieser Quelle mangels Antwort der Bundesregierung offen.

Der US-Lebensversicherer John Hancock entwickelte im April 2015 gemeinsam mit dem Anbieter Vitality ein Versicherungsprodukt, das Kunden bis zu 15 Prozent Prämienrabatt für das Tracking gesunder Gewohnheiten wie Sport bietet. Teilnehmer können eine Apple Watch für 25 US-Dollar erwerben und verpflichten sich im Gegenzug, die erfassten Fitnessdaten zwei Jahre lang an ihre Versicherung weiterzuleiten. Über 15.000 tägliche Schritte erhöhen das Punktekonto um 30 Punkte; wer weniger als 500 Vitality-Punkte im Monat sammelt, muss zusätzliche Gebühren für die Apple Watch zahlen, während gute Werte die Gesamtprämie senken. John Hancock erklärt, Versicherte könnten selbst entscheiden, welche Daten sie teilen, es bestehe kein Zwang zur Datenweitergabe.

Ob Kunden, die sich gegen die Datenweitergabe entscheiden, dieselben Versicherungskonditionen wie teilnehmende Kunden erhalten, ist aus dieser Quelle nicht belegt; ein faktischer Druck zur Teilnahme durch bessere Konditionen für Teilnehmer liegt nahe, wird aber nicht explizit bestätigt.

Bei einem sogenannten Keyword Warrant muss Google alle Daten zu Nutzersuchen herausgeben, die bestimmte Suchbegriffe innerhalb eines festgelegten Zeitraums enthielten, unabhängig davon, ob die suchenden Personen mit einer Straftat in Verbindung stehen. Google wird nach Schätzungen jährlich mit tausenden solcher Anordnungen konfrontiert; Keyword Warrants gelten als eine der umstrittensten Durchsuchungsmaßnahmen in den USA. In einem Fall aus dem Jahr 2016 forderte die Polizei nach der Vergewaltigung einer Frau in Pennsylvania per Durchsuchungsbeschluss von Google die Herausgabe aller Nutzer, die zuvor nach der Adresse des Opfers gesucht hatten; in einer Untersuchung aus Wisconsin 2019 verlangten Behörden Informationen zu allen Nutzern, die den Namen des Opfers, zwei Schreibweisen des Namens seiner Mutter und dessen Adresse innerhalb eines bestimmten Zeitraums gesucht hatten. Kritiker warnen, dass unschuldige Personen durch dieses 'Fischen im Trüben' ins Visier von Ermittlern geraten können, ohne selbst verdächtig zu sein.

Wie oft Keyword Warrants tatsächlich zur Verurteilung unbeteiligter Personen führten, ist aus dieser Quelle nicht mit Fallzahlen belegt; die Kritik bezieht sich auf das strukturelle Risiko der Methode.

Die Private-Equity-Firma Blackstone übernahm im August 2020 für 4,7 Milliarden US-Dollar die Mehrheit an Ancestry.com, Betreiber der weltweit größten Datenbank für genetische und genealogische Verbraucherdaten mit 24 Milliarden Datensätzen und Genom-Daten von 18 Millionen Menschen. Eine Sammelklage warf Ancestry.com vor, seine genetische Datenbank ohne die nach Illinois-Recht erforderliche schriftliche Einwilligung der Betroffenen an den erwerbenden Finanzinvestor weitergegeben zu haben; die Übernahme umfasste neben Genomdaten auch persönliche Identifikationsdaten wie Vor- und Nachnamen, E-Mail-Adressen, Wohnadressen sowie teils Alter und Geschlecht. Blackstone erklärte öffentlich, das Unternehmen habe keinen und werde keinen Zugriff auf DNA-Daten der Nutzer erhalten. Datenschutzexperten wiesen dennoch darauf hin, dass sich die Datenschutzbedingungen für Bestandskunden durch den Eigentümerwechsel nicht änderten und ein solcher Kontrollwechsel bei sensiblen Gendaten einen 'sehr besorgniserregenden Trend' darstelle, den Aufsichtsbehörden bislang unzureichend regulieren.

Ob Blackstones öffentliche Zusicherung, keinen Zugriff auf DNA-Daten zu erhalten, durch eine unabhängige Prüfung verifiziert wurde, ist aus dieser Quelle nicht belegt; sie beruht auf der Selbstauskunft des Unternehmens.

Zur Dopingbekämpfung müssen Athleten im Anti-Doping-Verwaltungssystem ADAMS (Anti-Doping Administration and Management System) jederzeit ihren genauen Aufenthaltsort für unangekündigte Kontrollen hinterlegen; viele Sportler fühlen sich durch diese detaillierten Standortangaben indirekt permanent überwacht. Die Datensicherheit des Systems geriet in die Kritik, nachdem ein Hackerangriff dazu führte, dass Gesundheitsdaten von Athleten im Internet auffindbar waren. Kritiker bemängeln zusätzlich, dass ein biologischer Athletenpass, der Blutparameter über die Zeit verfolgt, von Sportlern mit erfahrenen Beratern gezielt durch Mikrodosierung von Dopingsubstanzen wie EPO unterlaufen werden kann, deren minimale Verabreichung so bemessen ist, dass sie im Blutpass keinen Verdacht auslöst.

Umfang und Folgen des ADAMS-Hackerangriffs (Anzahl betroffener Athleten, welche Daten konkret veröffentlicht wurden) sind aus dieser Quelle nicht detailliert beziffert.

Seit Ende 2022 sind bei der Polizei Berlin 250 Bodycams sowie 50 beim Rettungsdienst der Berliner Feuerwehr im Einsatz; ein Evaluationsbericht der Senatsverwaltung für Inneres und Sport wurde im Oktober 2024 dem Abgeordnetenhaus vorgelegt. Die Speicherfrist für Bodycam-Aufnahmen ist je nach Bundesland sehr unterschiedlich geregelt, etwa vier Tage in Hamburg gegenüber bis zu 30 Tagen in anderen Ländern; der Hamburger Datenschutzbeauftragte kritisierte die kurze Frist, weil sie Betroffenen zu wenig Zeit lasse, sich über das Verhalten von Polizeibeamten zu beschweren, bevor die Aufnahmen automatisch gelöscht werden. Amnesty International forderte, dass die Polizei Videoaufzeichnungen vor der automatischen Löschung systematisch auf strafrechtlich relevantes Verhalten von Beamten selbst hin auswerten müsse. Eine Gesetzesänderung erlaubt seit Ende 2023 unter engen rechtlichen Voraussetzungen zusätzlich den Einsatz von Bodycams innerhalb von Wohnungen.

Ob die Polizei Aufnahmen tatsächlich systematisch auf das eigene Fehlverhalten hin auswertet, wie von Amnesty gefordert, oder überwiegend nur bei Beschwerden reaktiv genutzt wird, ist aus dieser Quelle nicht belegt.

Verbraucherschützer warnten im Dezember 2024, der Zahlungsdienstleister Klarna analysiere im Rahmen seiner Bonitätsprüfung offenbar detailliert die Kontoauszüge seiner Nutzer, um Zahlungsverhalten und Wahrscheinlichkeitswerte für künftiges Verhalten (Scoring) zu ermitteln. Klarna erhebt und nutzt laut eigenen Datenschutzangaben Daten zum bisherigen Zahlungsverhalten der betroffenen Person zur Entscheidung über Begründung, Durchführung oder Beendigung einer Vertragsbeziehung und gibt personenbezogene Daten auch an verbundene Unternehmen der Klarna-Gruppe sowie Leistungserbringer und Subunternehmer weiter, soweit dies zur Vertragserfüllung erforderlich ist.

Der genaue technische Umfang der Kontoauszugsanalyse (welche einzelnen Datenpunkte konkret ausgewertet werden) und ob Nutzer dieser Analyse gezielt widersprechen können, ist aus dieser Quelle nicht im Detail belegt.

Autonome Robotaxis wie die von Waymo zeichnen kontinuierlich Innen- und Außenraumvideo auf und werden damit faktisch zu mobilen Überwachungskameras im Stadtraum. In einem Fall in San Francisco nutzte ein Einbrecher nach einem Überfall auf ein Yogastudio ein Waymo-Fahrzeug als Fluchtauto; als die Polizei im April eine Durchsuchungsanforderung stellte, hatte das Unternehmen die Innenraumaufnahmen bereits routinemäßig gelöscht. Waymo verpixelt Gesichter von Passanten auf seinen Aufnahmen standardmäßig, um deren Privatsphäre zu schützen. 2023 erwirkte die Polizei sowohl in San Francisco als auch in Maricopa County, Arizona, förmliche Durchsuchungsbefehle für Waymo-Videoaufnahmen; ein Waymo-Sprecher erklärte, das Unternehmen prüfe jede polizeiliche Anfrage auf ihre rechtliche Gültigkeit und weise zu weit gefasste Forderungen zurück, um die Daten der Fahrgäste zu schützen. Bei einem separaten Vorfall mit dem Waymo-Konkurrenten Cruise wurde eine Frau von einem Robotaxi erfasst und mehrere Meter mitgeschleift, woraufhin die Verkehrsbehörde San Francisco der General-Motors-Tochter die Testerlaubnis entzog.

Wie viele der bei Waymo eingegangenen Durchsuchungsanfragen das Unternehmen tatsächlich als 'zu weit gefasst' zurückwies, ist aus dieser Quelle nicht mit einer Zahl belegt; die Aussage stammt aus einer Unternehmenserklärung.

Der Europäische Datenschutzbeauftragte (EDSB) stellte bereits im September 2020 fest, dass Europol bei seiner Voranalyse zur Personenkategorisierung gegen den Grundsatz der Datenminimierung verstieß, und ordnete im Januar 2022 an, Daten zu Personen zu löschen, für die keine Verbindung zu kriminellen Aktivitäten nachgewiesen war. Laut Recherchen des Guardian umfasste die betroffene Datensammlung rund vier Petabyte, entsprechend etwa drei Millionen CD-ROMs, zu mindestens 250.000 Personen, die nationale Strafverfolgungsbehörden an Europol übermittelt hatten, darunter Angaben zu Tausenden unbeteiligten Menschen sowie Einträge aus Terrorlisten einzelner Staaten, die eigentlich hätten gelöscht werden müssen. Statt die Löschanordnung umzusetzen, verabschiedete die EU eine Verordnung, die den Datenberg rückwirkend legalisierte: Die neuen Artikel 74a und 74b erlaubten Europol rückwirkend die Verarbeitung großer Datensätze ohne nachgewiesenen Bezug zu Straftaten und traten am 28.06.2022 in Kraft, womit der Widerspruch des EDSB vom Januar 2022 überschrieben wurde. Der EDSB brachte den Fall daraufhin vor den Europäischen Gerichtshof.

Der Ausgang des Verfahrens vor dem Europäischen Gerichtshof ist aus dieser Quelle nicht belegt.

Im Zuge der Umstellung des Rundfunkfinanzierungssystems auf den geräteunabhängigen Rundfunkbeitrag führte der Beitragsservice 2013 einen einmaligen Meldedatenabgleich durch, bei dem die Meldedaten aller rund 70 Millionen volljährigen Deutschen abgeglichen wurden, mit dem Ziel, den Abgleich bis zum 03.03.2013 abzuschließen und rund 800.000 vermutete Beitragsschuldner zu identifizieren. Übermittelt wurden dabei Name, Geburtsdatum, akademischer Titel, Familienstand sowie Anschriften aktueller und früherer Haupt- und Nebenwohnungen. Die Bundes- und Landesdatenschutzbeauftragten beäugten den Abgleich bereits im Vorfeld kritisch; Kritiker hielten den zugrunde liegenden Staatsvertrag und den Meldedatenabgleich für verfassungswidrig, weil er faktisch auf ein bundesweites Melderegister hinauslaufe.

Ob und in welcher rechtlichen Form die Kritik am Meldedatenabgleich erfolgreich angefochten wurde, ist aus dieser Quelle nicht belegt.

Über ungeschützte Programmierschnittstellen (APIs) der Firma Gerdes Communications, Teil der Telio Group, waren Kommunikationsdaten von mehr als 14.000 Gefangenen aus 22 deutschen Justizvollzugsanstalten frei im Internet zugänglich. Betroffen war die Software Prison Control Center; die zugehörige Webanwendung war vollständig ungeschützt, sodass jeder, der die entsprechende URL kannte, auf sensible Insassendaten zugreifen konnte, darunter Namen, Häftlingsnummern, Kontostände, PINs zur Telefonregistrierung sowie Verbindungsdaten. Besonders kritisch waren die Metadaten von Telefonaten mit Anwälten und Psychologen, deren Offenlegung zu sozialer Stigmatisierung der Gefangenen führen könnte. IT-Sicherheitsaktivistin Lilith Wittmann entdeckte die Sicherheitslücke und meldete sie umgehend den Behörden; 18 von 20 betroffenen Schnittstellen wurden innerhalb weniger Stunden nach der Meldung am 24.06.2024 behoben, alle 20 waren bis zum 25.06.2024 repariert oder abgeschaltet.

Ob die offen zugänglichen Daten vor der Meldung durch Wittmann bereits von Dritten abgegriffen und missbraucht wurden, ist aus dieser Quelle nicht belegt; die schnelle Behebung deutet auf eine verantwortungsvolle Offenlegung ohne vorherigen bekannten Missbrauch hin.

Im Mai 2024 stahlen unbekannte Angreifer mehrere Millionen Kundensupport-Tickets der Überwachungs-App mSpy, einschließlich persönlicher Informationen, Support-E-Mails und Anhängen wie persönlichen Dokumenten. Das mehrere hundert Gigabyte umfassende Leck enttarnte Millionen Nutzer aus Europa, Indien, Japan sowie Nord- und Südamerika, die in den vergangenen zehn Jahren Zugang zur kommerziell erhältlichen Spyware erworben hatten; ein Mitarbeiter von Have I Been Pwned erhielt eine Liste mit 2,4 Millionen betroffenen E-Mail-Adressen. Die geleakten Zendesk-Support-Aufzeichnungen reichten bis 2014 zurück und enthielten Anfragen mehrerer hochrangiger US-Militärangehöriger, eines amtierenden US-Bundesrichters sowie eines Sheriffbüros aus Arkansas. Über einen Monat nach dem Leak hatte der ukrainische Betreiber Brainstack den Vorfall weder offiziell anerkannt noch öffentlich gemacht. Bereits 2015 und 2018 waren zuvor jeweils hunderte Gigabyte bzw. Millionen vertraulicher mSpy-Kundendaten und Überwachungsdaten von Opfern im Darknet aufgetaucht.

Dass hochrangige US-Amtsträger unter den Kunden waren, belegt die Quelle anhand der Support-Anfragen; ob sie die Software zur Überwachung Dritter tatsächlich einsetzten oder aus anderen Gründen Kontakt zum Support hatten, ist daraus nicht ersichtlich.

Bei der Versendung von Massen-E-Mails an Bürger im Rahmen der Corona-Kontaktnachverfolgung kam es bei Berliner Gesundheitsämtern zu acht dokumentierten Datenschutzverstößen seit Januar 2021, bei denen E-Mail-Adressen offengelegt wurden, mit jeweils zwischen 45 und 3.100 betroffenen Personen, insgesamt über 4.000 offengelegte Adressen. Weniger als ein Drittel der 375 deutschen Gesundheitsämter nutzte die eigentlich vom Bund geförderte Software Sormas zur Kontaktnachverfolgung; der Rest arbeitete stattdessen mit Fax, Excel-Tabellen und anderen veralteten Methoden. Obwohl die Bundesregierung die Gesundheitsämter im November aufgefordert hatte, Sormas zu installieren, lief die Software bis zum 31. Dezember desselben Jahres erst in 111 von 375 Ämtern. Sormas wurde ursprünglich vom Helmholtz-Zentrum für Infektionsforschung (HZI) in Braunschweig zur Ebola-Bekämpfung entwickelt und 2020 um ein SARS-CoV-2-Modul ergänzt; zum damaligen Zeitpunkt hatte das HZI noch keine offizielle Datenschutz-Folgenabschätzung vorgelegt.

Die Zahl von acht dokumentierten Vorfällen bezieht sich nur auf Berlin; ob vergleichbare E-Mail-Datenlecks auch in anderen Bundesländern auftraten, ist aus dieser Quelle nicht belegt.

Am 24.11.2014 wurde Sony Pictures gehackt, wobei tonnenweise vertrauliche Daten, Finanzzahlen, interne Kommunikation sowie hochauflösende Kopien kommender Sony-Filme öffentlich wurden. Eine Hackergruppe namens 'Guardians of Peace' bekannte sich zu dem Angriff und drohte mit Terroranschlägen auf Kinos, sollte der Nordkorea-Satirefilm 'The Interview' gezeigt werden. Das FBI beschuldigte am 19.12.2014 staatliche Stellen Nordkoreas als Urheber; mit zunehmendem zeitlichem Abstand verhärteten sich jedoch Zweifel an dieser damaligen Zuschreibung. Der Datenbruch offenbarte schwache Sicherheitspraktiken bei Sony, unter anderem waren einige Daten hinter dem Passwort 'sonypictures' hinterlegt. Durch die geleakten Informationen wurden massive Gagenunterschiede bei Sony-Produktionen bekannt, und Studiochefin Amy Pascal wurde durch unsensibel formulierte private E-Mails öffentlich bloßgestellt und musste das Studio in der Folge verlassen; der geplante breite Kinostart von 'The Interview' wurde abgesagt, was auch Kritik von US-Präsident Barack Obama einbrachte.

Die Urheberschaft Nordkoreas wird von der offiziellen FBI-Zuschreibung behauptet, ist aber laut späteren Analysen keineswegs zweifelsfrei belegt; beide Lesarten kursieren bis heute.

Die mit China verbundene Hackergruppe Salt Typhoon verschaffte sich seit mindestens 2019, mit dokumentierter Aktivität ab 2022, dauerhaften Zugang zu US-Telekommunikationsnetzen, indem sie Router und Switches großer Anbieter wie AT&T, Verizon und Lumen kompromittierte. Die Angreifer drangen dabei auch in Systeme ein, die Strafverfolgungsbehörden für die gerichtlich angeordnete Erfassung von Kundendaten nutzen, und erlangten dadurch potenziell Zugriff auf sensible Informationen wie die Identität chinesischer Zielpersonen US-amerikanischer Überwachungsmaßnahmen sowie allgemeine Anruf- und SMS-Metadaten von über einer Million Amerikanern. Zwischen Dezember 2024 und Januar 2025 führte die Gruppe eine Kampagne gegen ungepatchte Cisco-Edge-Geräte durch und versuchte, über 1.000 solcher Geräte weltweit zu kompromittieren, unter Ausnutzung der Schwachstellen CVE-2023-20198 und CVE-2023-20273. Trotz US-Sanktionen kompromittierte die Gruppe 2025 fünf weitere Telekommunikationsanbieter weltweit, darunter zwei in den USA.

Die genaue Zahl der tatsächlich erfolgreich mitgelesenen Überwachungsziele (nicht nur Metadaten) ist aus dieser Quelle nicht beziffert.

Im Herbst 2022 führte Twitter unter der neuen Führung von Elon Musk rasche Kündigungen und Massenentlassungen durch, die erheblich die Teams betrafen, die für den Schutz von Nutzerdaten zuständig waren; zentrale Datenschutz- und Sicherheitsverantwortliche verließen das Unternehmen, darunter der Chief Privacy Officer, der Chief Information Officer und der Chief Compliance Officer. 2022 wies Musk Mitarbeiter an, einer externen dritten Person 'vollständigen Zugriff auf alles bei Twitter' mit erweiterten Rechten über die eines durchschnittlichen Mitarbeiters hinaus zu gewähren; Informationssicherheits-Mitarbeiter griffen ein und implementierten Schutzmaßnahmen, um eine mögliche Offenlegung nicht-öffentlicher Nutzerdaten unter Verstoß gegen eine bestehende FTC-Anordnung zu verhindern. Die Federal Trade Commission untersuchte Musks Massenentlassungen bei Twitter und verlangte Einsicht in seine interne Kommunikation im Rahmen ihrer Aufsicht über die Datenschutz- und Cybersicherheitspraktiken des Unternehmens; das US-Justizministerium erklärte, Musk könne gegen eine 2022 verhängte FTC-Anordnung zu Datenschutz- und Sicherheitspraktiken bei Twitter verstoßen haben.

Der Ausgang der FTC-Untersuchung gegen Musk und Twitter/X ist aus dieser Quelle nicht belegt.

Nachdem Change Healthcare Berichten zufolge 22 Millionen US-Dollar Lösegeld an die Ransomware-Gruppe ALPHV/BlackCat gezahlt hatte, um nach dem am 21.02.2024 bekanntgewordenen Angriff wieder Zugriff auf seine Systeme zu erhalten, meldete sich am 08.04.2024 eine zweite Gruppe namens RansomHub und behauptete, im Besitz derselben bereits erpressten Daten zu sein. RansomHub gab an, über 4 Terabyte sensibler Daten aus dem Netzwerk des Unternehmens erbeutet zu haben, darunter personenbezogene Daten aktiver US-Militärangehöriger und anderer Patienten, medizinische Unterlagen, Versicherungsdaten, Zahlungsinformationen sowie über 3.000 Quellcode-Dateien von Change-Healthcare-Software, und drohte mit Veröffentlichung, sollte keine weitere Zahlung erfolgen. Es kursieren drei Theorien zur Identität von RansomHub: ein Rebranding von ALPHV mit tatsächlichem Zugriff auf die Daten, ein ehemaliges ALPHV-Mitglied mit Zugriff, oder ein bluffender Akteur ohne echten Datenzugriff.

Welche der drei Theorien zur Identität von RansomHub zutrifft und ob eine zweite Zahlung tatsächlich erfolgte, ist aus dieser Quelle nicht abschließend geklärt.

Am 12.09.2013 gab Vodafone Deutschland bekannt, dass bei einem Cyberangriff persönliche Daten und Kontoinformationen von zwei Millionen Kunden gestohlen wurden. Der Angriff erfolgte laut Vodafone mit hoher krimineller Energie und mutmaßlichem Insiderwissen tief in der IT-Infrastruktur des Unternehmens; gestohlen wurden Namen, Adressen, Geburtsdaten, Geschlecht sowie Bankkontonummern und Bankleitzahlen, jedoch keine Passwörter oder PINs. Vodafone entdeckte den Angriff selbst und konnte ihn stoppen; die Behörden identifizierten einen Verdächtigen und durchsuchten dessen Wohnung, woraufhin Vodafone die zwei Millionen Betroffenen per Brief informierte.

Der Verdacht auf 'Insiderwissen' als Angriffsvektor wird von Vodafone selbst geäußert; ob der später identifizierte Verdächtige tatsächlich ein Mitarbeiter oder ehemaliger Mitarbeiter war, ist aus dieser Quelle nicht belegt.

Am 10. Januar 2023 wurde der britische Postdienst Royal Mail Ziel eines Ransomware-Angriffs mit der Schadsoftware LockBit Black, der Drucksysteme fuer Zoll- und Versandetiketten am internationalen Verteilzentrum in Langley bei Heathrow sowie an weiteren Standorten verschluesselte. In der Folge kam der internationale Post- und Paketversand praktisch zum Erliegen, Kunden konnten wochenlang keine Sendungen ins Ausland aufgeben. Die Angreifer forderten zunaechst 80 Millionen US-Dollar Loesegeld, was nach ihrer eigenen Berechnung 0,5 Prozent des Jahresumsatzes von Royal Mail entsprach, und senkten die Forderung am 1. Februar 2023 auf 70 Millionen US-Dollar. Royal Mail bezeichnete die Forderung als absurd, zahlte kein Loesegeld und folgte damit dem Rat der Ermittlungsbehoerden. LockBit veroeffentlichte daraufhin im Februar 2023 Verhandlungsprotokolle sowie gestohlene Unternehmensdaten. Ab dem 19. Januar 2023 nahm Royal Mail eingeschraenkte internationale Dienste ueber Notloesungen wieder auf, vollstaendig wiederhergestellt war der Auslandsversand erst Ende Februar 2023. National Cyber Security Centre und National Crime Agency ermittelten gemeinsam zu dem Vorfall. Der Inlandsversand in Grossbritannien war von dem Angriff nicht betroffen. Nach eigenen Angaben kostete die Bewaeltigung des Vorfalls Royal Mail mehr als 10 Millionen britische Pfund.

Aus der zitierten Quelle nicht abschliessend belegt sind die genaue Anzahl und Art der tatsaechlich von LockBit abgeflossenen Datensaetze sowie die interne Verantwortlichkeit innerhalb der LockBit-Struktur, da die Gruppe selbst zeitweise bestritt, hinter dem Angriff zu stehen.

Der australische Krankenversicherer Medibank, mit rund 9,7 Millionen Kunden das groesste Unternehmen seiner Art im Land, meldete am 13.10.2022 einen Cyberangriff. Die Angreifer erlangten Zugang ueber gestohlene Zugangsdaten eines Drittanbieters, dessen Systeme keine Mehrfaktor-Authentifizierung nutzten, und exfiltrierten laut Ermittlungen rund 200 Gigabyte an Daten. Betroffen waren Namen, Geburtsdaten, Adressen, Telefonnummern, E-Mail-Adressen, teils Medicare- und Passnummern sowie Gesundheits- und Behandlungsdaten der Versicherten, darunter Diagnosecodes zu Abtreibungen, Suchtbehandlungen, HIV-Infektionen und psychischen Erkrankungen. Die mutmasslich mit der russischsprachigen Ransomware-Gruppe REvil verbundenen Taeter forderten ein Loesegeld von rund 10 Millionen US-Dollar, umgerechnet etwa einem US-Dollar pro betroffenem Kunden. Medibank lehnte die Zahlung Anfang November 2022 unter Verweis auf die australische Regierung ab. Daraufhin veroeffentlichten die Angreifer ab dem 9. und 10.11.2022 gestohlene Datensaetze im Darknet, darunter eine als "abortions.csv" bezeichnete Datei sowie eine Liste mit Daten zu Drogen-, Alkohol- und psychischen Erkrankungen. Die australische Datenschutzbehoerde OAIC reichte spaeter Klage gegen Medibank ein und wirft dem Unternehmen vor, von Maerz 2021 bis Oktober 2022 keine angemessenen Schutzmassnahmen fuer die Daten von 9,7 Millionen Australiern getroffen zu haben. Medibank bezifferte die Gesamtkosten des Vorfalls bis Mitte 2025 auf mehr als 125 Millionen australische Dollar.

Aus dieser Quelle nicht belegt: der genaue Ausgang des laufenden Zivilverfahrens der OAIC gegen Medibank sowie eine abschliessend bestaetigte Hoehe der verhaengten Strafzahlung, da das Verfahren zum Zeitpunkt der Recherche noch nicht rechtskraeftig abgeschlossen war.

Marriott International teilte am 31.03.2020 mit, dass Unbekannte zwischen Mitte Januar 2020 und Ende Februar 2020 auf Gästedaten von schätzungsweise 5,2 Millionen Personen zugreifen konnten. Die Angreifer nutzten dabei die Login-Daten von zwei Mitarbeitern eines Franchise-Hotels der Kette, um sich Zugang zu einer Anwendung zu verschaffen, mit der Marriott-Franchisenehmer Gästeservices verwalten. Marriott entdeckte den unautorisierten Zugriff Ende Februar 2020 und deaktivierte daraufhin die betroffenen Zugangsdaten. Zu den kompromittierten Daten gehörten Namen, Geschlecht, Geburtstag und -monat, Adressen, Telefonnummern, E-Mail-Adressen, Arbeitgeberangaben, Treueprogramm-Informationen einschließlich verknüpfter Fluggesellschaftskonten sowie Präferenzen zum Hotelaufenthalt. Nach Angaben des Unternehmens waren Zahlungskartendaten, Passwörter und PINs der Bonvoy-Konten, Passnummern sowie nationale Ausweis- und Führerscheinnummern nicht betroffen. Marriott setzte anschließend die Passwörter aller Bonvoy-Mitglieder zurück, informierte die betroffenen Gäste per E-Mail, richtete ein Online-Portal zur Überprüfung des eigenen Betroffenenstatus ein und bot ein Jahr kostenloses Identitätsüberwachungs-Monitoring durch Experian IdentityWorks an. Es handelte sich um den zweiten großen Datenschutzvorfall bei Marriott nach dem Starwood-Leck von 2018 mit rund 339 Millionen betroffenen Datensätzen weltweit.

Aus dieser Quelle nicht belegt sind der genaue Name des betroffenen Franchise-Hotels sowie die exakte Zahl und Identität der involvierten Täter; auch etwaige Bußgelder oder rechtliche Konsequenzen speziell für diesen 2020er-Vorfall werden hier nicht dokumentiert.