Quellen-Tabelle

Im April 2025 griff die Gruppe Scattered Spider den britischen Einzelhändler Marks and Spencer per Social Engineering an, verschaffte sich Zugang zu einem Drittanbieter-Servicedesk und setzte die DragonForce-Ransomware ein, was wochenlange Ausfälle bei Online-Bestellungen und Warenregalen verursachte. M&S-Chairman Archie Norman bestätigte den Vorfall als Ransomware-Angriff vor einem Unterausschuss des britischen Parlaments am 08.07.2025 und bezifferte den Gewinneinbruch auf rund 300 Millionen Pfund. Die National Crime Agency nahm am 10.07.2025 vier Verdächtige im Zusammenhang mit den Angriffen auf M&S, Co-op und Harrods fest.

Offen bleibt, ob M&S ein Lösegeld gezahlt hat; Norman wollte sich dazu nicht äußern. Die genaue Rolle und Identität der vier festgenommenen Personen im Verhältnis zur Scattered-Spider-Gruppe war zum Zeitpunkt der Festnahme noch nicht gerichtlich geklärt.

Caesars Entertainment bestätigte in einer SEC-Pflichtmitteilung, dass ein unbefugter Akteur durch Social Engineering gegen einen externen IT-Dienstleister Zugriff auf die Datenbank des Treueprogramms erlangte. Dabei wurden Führerscheinnummern und/oder Sozialversicherungsnummern einer erheblichen Zahl von Mitgliedern gestohlen. Laut Presseberichten zahlte Caesars rund 15 Millionen US-Dollar Lösegeld, die Angriffsgruppe wird der als Scattered Spider bekannten Gruppe zugeschrieben.

Die genaue Höhe der Lösegeldzahlung und die vollständige Identität der Angreifer sind nicht Teil der offiziellen SEC-Mitteilung, sondern stammen aus Presseberichten unter Berufung auf anonyme Quellen. Ob die gestohlenen Daten nach Zahlung tatsächlich gelöscht wurden, konnte das Unternehmen selbst laut eigener Aussage nicht garantieren.

Ein US-Bundesgericht in Nordkalifornien stellte im Januar 2025 per Summary Judgment fest, dass NSO Group 2019 eine Schwachstelle in WhatsApp ausnutzte, um Pegasus-Spyware auf rund 1.400 Geräten von Journalisten, Menschenrechtlern, Diplomaten und Dissidenten zu installieren. Damit verstieß NSO gegen US-Hacking-Gesetze und WhatsApps Nutzungsbedingungen. Am 6. Mai 2025 sprach eine Jury WhatsApp/Meta rund 444.000 US-Dollar Schadenersatz und zunächst 167 Millionen US-Dollar Strafschadenersatz zu.

Die Richterin reduzierte den Strafschadenersatz später auf rund 4 Millionen US-Dollar und verhängte stattdessen eine dauerhafte Unterlassungsverfügung gegen NSO. Ob NSO die Beträge tatsächlich zahlt oder erfolgreich Rechtsmittel einlegt, war zum Zeitpunkt dieser Quelle offen.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Spyware-Hersteller NSO Group und Candiru sowie zwei weitere Firmen auf die Entity List. Begründet wurde dies damit, dass NSO Group und Candiru Spionagesoftware an ausländische Regierungen lieferten, mit der gezielt Regierungsbeamte, Journalisten, Aktivisten und Botschaftsmitarbeiter überwacht wurden. Die Listung verpflichtet US-Firmen, für Exporte oder Technologietransfers an diese Unternehmen eine Lizenz zu beantragen.

Nicht Teil dieser Maßnahme war ein strafrechtliches Verbot des Geschäftsbetriebs von NSO Group und Candiru selbst, da die Entity List nur den Export von US-Technologie einschränkt. Aus der Quelle nicht ersichtlich sind die konkreten wirtschaftlichen Folgen der Listung für NSO Group.

Das US-Justizministerium klagte am 11. Dezember 2024 vierzehn nordkoreanische Staatsangehörige an, die über Tarnfirmen mit gefälschten und gestohlenen US-Identitäten als Remote-IT-Mitarbeiter bei amerikanischen Firmen angeheuert wurden. Über sechs Jahre erbeuteten mindestens 130 eingesetzte IT-Arbeiter so rund 88 Millionen US-Dollar, die an das nordkoreanische Regime flossen. In mehreren Fällen drohten die Täter zusätzlich mit der Veröffentlichung gestohlenen Quellcodes.

Alle 14 Angeklagten befinden sich weiterhin auf freiem Fuß, es liegen keine bestätigten Festnahmen vor. Wie viele der über 100 betroffenen US-Unternehmen die Infiltration bereits vorher bemerkten, bleibt in der Anklage offen.

Das Oberlandesgericht Köln wies am 23.05.2025 einen Eilantrag der Verbraucherzentrale NRW gegen Meta Platforms Ireland ab, mit dem die Nutzung öffentlicher Facebook- und Instagram-Inhalte europäischer Nutzer zum Training des KI-Modells LLaMA gestoppt werden sollte. Das Gericht sah weder einen Verstoß gegen die DSGVO noch gegen den Digital Markets Act, da Meta sich auf ein berechtigtes Interesse stützen könne. Meta durfte die Datenverarbeitung deshalb ab dem 27.05.2025 wie geplant beginnen.

Der Beschluss erging nur im Eilverfahren; ein Hauptsacheverfahren zur endgültigen datenschutzrechtlichen Bewertung war zum Zeitpunkt der Quelle noch nicht abgeschlossen. Auch ein separates Dringlichkeitsverfahren des Hamburgischen Datenschutzbeauftragten lief parallel.

Die EU-Kommission verhängte am 23. April 2025 gegen Apple ein Bußgeld von 500 Millionen Euro, weil das Unternehmen gegen die Anti-Steering-Pflichten des Digital Markets Act verstoßen hat. Apple erlaubte App-Entwicklern demnach nicht ausreichend, Nutzer im App Store auf günstigere Kaufoptionen außerhalb der Plattform hinzuweisen. Es handelt sich um die erste Bußgeldentscheidung der Kommission unter dem DMA, parallel wurde Meta mit 200 Millionen Euro belegt. Apple legte im Juli 2025 Rechtsmittel gegen die Entscheidung ein.

Offen ist der Ausgang von Apples Berufung vor dem Gericht der EU, das Verfahren war zum Zeitpunkt der Recherche noch nicht entschieden. Nicht dokumentiert sind interne Abwägungen bei Apple zur Preisgestaltung der App-Store-Gebühren.

Am 08.11.2023 legte die Ransomware-Gruppe LockBit die IT-Systeme von ICBC Financial Services lahm, der US-Tochter der chinesischen Großbank ICBC. Die Angreifer nutzten eine Citrix-NetScaler-Schwachstelle aus, blockierten E-Mail-Zugänge und die Anbindung an die Clearingstelle DTCC, sodass zahlreiche Trades mit US-Staatsanleihen nicht fristgerecht abgewickelt werden konnten. Am 20.02.2024 bestätigte das US-Finanzministerium mit Sanktionen gegen zwei mutmaßliche LockBit-Mitglieder offiziell den Zusammenhang mit dem Angriff.

Ob und in welcher Höhe ICBC tatsächlich ein Lösegeld zahlte, ist offiziell nicht bestätigt, LockBit behauptete lediglich eine erfolgte Zahlung. Das genaue Ausmaß der Marktstörung bleibt umstritten, Analysen nennen einen Anstieg gescheiterter Trades auf rund 60 Milliarden US-Dollar.

Western Digital bestätigte, dass am 26. März 2023 ein unbefugter Dritter in Firmensysteme eindrang, woraufhin der My-Cloud-Dienst und der Online-Shop tagelang abgeschaltet wurden. Das Unternehmen bestätigte, dass eine Kopie der Online-Shop-Datenbank mit Kundennamen, Adressen, E-Mail-Adressen und Teilen von Kreditkartennummern entwendet wurde. Die Ransomware-Gruppe ALPHV/BlackCat reklamierte den Angriff für sich und behauptete, rund 10 Terabyte an Daten erbeutet zu haben.

Der von den Angreifern behauptete Umfang von rund 10 Terabyte gestohlener Daten ist nicht unabhängig verifiziert, ebenso wenig eine tatsächliche Lösegeldzahlung. Western Digital bestätigte offiziell nur den Diebstahl der Online-Shop-Kundendatenbank.

Am 3. November 2022 reichten anonyme Programmierer beim US-Bezirksgericht in Nordkalifornien eine Sammelklage gegen GitHub, Microsoft und OpenAI ein. Sie werfen den Firmen vor, den KI-Assistenten Copilot mit Milliarden Zeilen öffentlichem Code trainiert und dabei Lizenzpflichten wie Namensnennung aus Open-Source-Lizenzen wie GPL und MIT verletzt zu haben. Am 22. Januar 2024 wies der zuständige Richter 20 von 22 Klagepunkten ab, ließ aber die Vertragsbruchklage und Teile der DMCA-Klage zu.

Ob Copilot tatsächlich urheberrechtlich geschützten Code unzulässig reproduziert und ob sich die Firmen erfolgreich auf Fair Use berufen können, ist gerichtlich bisher nicht entschieden. Das Verfahren läuft weiter, ein Endurteil oder Vergleich steht noch aus.

Der US Supreme Court entschied am 22. Juni 2018 mit 5 zu 4 Stimmen, dass der Zugriff von Ermittlungsbehörden auf historische Handystandortdaten (Cell Site Location Information) eine Durchsuchung im Sinne des vierten Verfassungszusatzes darstellt und daher grundsätzlich einen richterlichen Durchsuchungsbefehl erfordert. Grundlage war der Fall Timothy Carpenter, dessen Bewegungsprofil über 127 Tage mit rund 12.898 Standortpunkten ohne Durchsuchungsbefehl beim Mobilfunkanbieter angefordert worden war. Die Mehrheitsmeinung lehnte eine Anwendung der bisherigen Third Party Doctrine auf diese Datenkategorie ab.

Offen bleibt, wie die Regel auf andere Formen der Standort- oder Metadatenerhebung anzuwenden ist, etwa Echtzeit-Tracking, Kameranetzwerke oder Datensammlungen unter sieben Tagen. Das Urteil äußert sich ausdrücklich nicht zu Notfallsituationen, nationaler Sicherheit oder Echtzeitüberwachung.

Der US Supreme Court entschied am 25. Juni 2014 einstimmig im Fall Riley v. California (573 U.S. 373), dass die Polizei bei einer Festnahme grundsätzlich einen Durchsuchungsbefehl braucht, um die digitalen Inhalte eines beschlagnahmten Mobiltelefons zu durchsuchen. Auslöser war der Fall des Angeklagten David Riley, dessen Handy nach seiner Festnahme 2009 ohne Durchsuchungsbefehl ausgewertet wurde, wobei gefundene Daten ihn mit einer Schießerei und Gangaktivität in Verbindung brachten. Das Gericht stellte klar, dass die bisherige Ausnahme für Durchsuchungen bei Festnahmen wegen der riesigen Datenmenge auf modernen Smartphones nicht automatisch gilt.

Offen bleibt, wie die Grundsatzentscheidung in der Praxis auf Grenzfälle wie Cloud-Daten, verschlüsselte Geräte oder Notfallsituationen angewendet wird. Nicht Teil des Urteils sind spätere technische Entwicklungen wie biometrische Entsperrung oder die genaue Reichweite bei Grenzkontrollen.

Der US Supreme Court entschied am 23. Januar 2012 einstimmig im Fall United States v. Jones, dass das heimliche Anbringen eines GPS-Senders an einem Fahrzeug durch die Polizei und die anschließende Standortüberwachung eine Durchsuchung im Sinne des Vierten Verfassungszusatzes darstellen. Ermittler hatten den Sender außerhalb der im Durchsuchungsbefehl erlaubten Frist angebracht und die Fahrzeugbewegungen 28 Tage lang aufgezeichnet, was über 2000 Seiten Standortdaten ergab.

Offen blieb im Mehrheitsvotum, ob auch eine rein elektronische Standortverfolgung ohne physisches Anbringen eines Geräts künftig einen Durchsuchungsbefehl erfordert. Nur die Sondervoten thematisierten Grenzen für die Dauer verdachtsunabhängiger Langzeitüberwachung, ohne dass die Mehrheit dazu eine verbindliche Regel aufstellte.

Der Court of Appeal entschied am 11. August 2020 im Fall R (Bridges) gegen Chief Constable of South Wales Police, dass der Einsatz automatisierter Gesichtserkennung (AFR Locate) durch die South Wales Police zwischen 2017 und 2019 rechtswidrig war. Das Gericht stellte einen Verstoß gegen Artikel 8 EMRK fest, weil die Rechtsgrundlage zu viel Ermessen bei Ort und Auswahl der Überwachten ließ. Zusätzlich fehlte eine ordnungsgemäße Datenschutz-Folgenabschätzung.

Offen blieb, ob der eingesetzte Algorithmus tatsächlich rassistisch oder geschlechtsspezifisch verzerrte Ergebnisse lieferte. Das Gericht bemängelte nur das Fehlen einer entsprechenden Prüfung, nicht einen nachgewiesenen Bias. Das Urteil erklärte Gesichtserkennung durch die Polizei nicht grundsätzlich für unzulässig.

Die US-Bank Evolve Bank & Trust bestätigte einen Ransomware-Angriff der Gruppe LockBit zwischen Februar und Mai 2024, ausgelöst durch einen Mitarbeiter, der auf einen schädlichen Link klickte. Die Täter erbeuteten Namen, Sozialversicherungsnummern, Kontodaten und Kontaktinformationen von Kunden der Bank sowie von Kunden ihrer Fintech-Partner. Nach der Weigerung, Lösegeld zu zahlen, veröffentlichte LockBit die Daten.

Die Angaben zur Gesamtzahl der Betroffenen schwanken je nach Quelle zwischen 7,6 Millionen und rund 18 Millionen Personen. Ein Vergleich über rund 11,85 Millionen US-Dollar wurde im Dezember 2025 gerichtlich final bestätigt. Nicht öffentlich dokumentiert ist, in welchem Umfang die gestohlenen Daten tatsächlich für Identitätsdiebstahl missbraucht wurden.

Am 22.09.2017 teilte Transport for London mit, dass die Betriebslizenz von Uber London Limited nach Ablauf nicht verlängert wird, weil das Unternehmen nicht als geeignet gilt. TfL nannte vier Gründe: den Umgang mit der Meldung schwerer Straftaten von Fahrern, die Art der Beschaffung ärztlicher Bescheinigungen und Führungszeugnisse sowie den Einsatz der Software Greyball, mit der Behördenmitarbeitern der volle App-Zugriff verwehrt werden konnte.

TfL bezifferte keine konkrete Zahl betroffener Fahrer oder Fahrgäste und stützte die Entscheidung auf Unternehmensverhalten, nicht auf einen einzelnen nachgewiesenen Datenschutzvorfall. Am 26.06.2018 erteilte das Westminster Magistrates' Court Uber unter Auflagen eine befristete neue Lizenz, sodass der ursprüngliche Entzug nicht dauerhaft wirksam wurde.

Der US Supreme Court entschied am 11. Juni 2001 mit 5 zu 4 Stimmen im Fall Kyllo gegen USA, dass der Einsatz einer Wärmebildkamera durch Bundesagenten am Wohnhaus eines Verdächtigen ohne Durchsuchungsbefehl eine unzulässige Durchsuchung im Sinne des vierten Verfassungszusatzes darstellte. Das Wärmebild diente als Grundlage für einen späteren Durchsuchungsbefehl, bei dem eine Marihuana-Plantage im Haus gefunden wurde. Die Mehrheitsmeinung stellte den Grundsatz auf, dass der Einsatz nicht allgemein verbreiteter Technologie zur Erfassung von Details eines Privathauses einen Durchsuchungsbefehl erfordert.

Nicht Gegenstand des Urteils war, ob die Polizei auch ohne die Wärmebilddaten ausreichenden Tatverdacht gehabt hätte. Offen blieb zudem, wie der Maßstab der nicht allgemein verbreiteten Technologie bei künftigen technischen Entwicklungen anzuwenden ist.

Im Verfahren In re Facebook Biometric Information Privacy Litigation genehmigte das Gericht am 26.02.2021 einen Vergleich über 650 Millionen US-Dollar. Grundlage war der Vorwurf, Facebooks Funktion Tag Suggestions habe per Gesichtserkennung biometrische Gesichtsdaten von Nutzern in Illinois gespeichert, ohne die vom Illinois Biometric Information Privacy Act (BIPA) vorgeschriebene schriftliche Einwilligung einzuholen. Rund 1,6 Millionen Facebook-Nutzer aus Illinois waren anspruchsberechtigt und erhielten mindestens 345 US-Dollar pro Person, es handelte sich um den bis dahin höchsten Vergleichsbetrag in einem Datenschutzverfahren in den USA.

Aus den Quellen geht nicht hervor, dass Facebook im Vergleich ein Fehlverhalten eingeräumt hat, das Unternehmen bestritt die Vorwürfe weiterhin. Nicht abschließend belegt ist, wie viele der 1,6 Millionen Berechtigten tatsächlich einen Antrag stellten, Berichten zufolge lag die Abrufquote bei etwa 22 Prozent.

Im Juni 2024 einigte sich Clearview AI mit den Klägern der Sammelklage In re Clearview AI Consumer Privacy Litigation auf einen Vergleich, wonach die Klassenmitglieder statt einer Geldzahlung einen Anteil von 23 Prozent an Clearview AI erhalten sollten, damals mit rund 51,75 Millionen US-Dollar bewertet. Die zuständige US-Bezirksrichterin bestätigte den Vergleich am 20.03.2025 endgültig. Am 13.07.2026 hob das US-Berufungsgericht für den Siebten Bezirk die Genehmigung wieder auf, weil für die bundesweite Klasse kein eigener Klassenvertreter mitgewirkt hatte.

Offen bleibt, ob und wann ein neuer Vergleich mit separater Vertretung der bundesweiten Klasse zustande kommt und welchen tatsächlichen Geldwert die Klassenmitglieder am Ende erhalten, da der Wert weiterhin an einen ungewissen Börsengang oder Verkauf von Clearview AI gebunden wäre.

Der kalifornische Generalstaatsanwalt einigte sich im August 2022 mit dem Kosmetikhändler Sephora auf eine Zahlung von 1,2 Millionen US-Dollar. Grund war der erste große CCPA-Durchsetzungsfall: Sephora ließ Drittanbieter per Tracking-Pixel und Cookies Nutzerdaten sammeln, ohne dies als Datenverkauf offenzulegen, und ignorierte Opt-out-Signale über Global Privacy Control. Sephora musste seine Datenschutzerklärung anpassen und Opt-out-Mechanismen einführen.

Sephora räumte im Vergleich keine Rechtsverletzung ein, da es sich um einen Consent Decree ohne Schuldeingeständnis handelt. Offen bleibt, wie viele Nutzer konkret betroffen waren und welche der beteiligten Drittanbieter die Daten wofür genau weiterverwendeten.

Im Rahmen der vom deutschen Bundeskriminalamt geleiteten und von Europol koordinierten Operation Talent nahmen Behörden aus acht Ländern zwischen dem 28. und 30. Januar 2025 die Cybercrime-Foren Cracked und Nulled sowie den zugehörigen Zahlungsdienstleister Sellix und Hoster StarkRDP vom Netz. Die beiden Plattformen hatten zusammen über 10 Millionen registrierte Nutzerkonten. Es wurden zwei Personen in Spanien festgenommen, 12 Domains sowie 17 Server beschlagnahmt, dazu rund 300.000 Euro in Bargeld und Kryptowährungen.

Offen bleibt das genaue Gesamtausmaß der über die Foren abgewickelten kriminellen Umsätze. Nicht öffentlich dokumentiert ist, wie viele der acht identifizierten mutmaßlichen Hauptbetreiber inzwischen tatsächlich strafrechtlich verurteilt wurden, da Verfahren in mehreren Ländern noch liefen.

Der texanische Generalstaatsanwalt Ken Paxton verklagte General Motors im August 2024 wegen unrechtmäßiger Sammlung und Weitergabe von Fahrverhaltensdaten. Über das Programm OnStar Smart Driver sammelte GM in Fahrzeugen ab Modelljahr 2015 Daten wie Geschwindigkeit und Bremsverhalten und verkaufte diese an Datenmakler, die daraus Driving Scores für Versicherer erstellten.

Ob GM Kunden aktiv täuschte oder ob die Anmeldung ohne echte Zustimmung erfolgte, war zum Zeitpunkt der Klageeinreichung rechtlich noch nicht entschieden. Die Klage fordert Geldstrafen und die Löschung der gesammelten Daten, ein Urteil oder Vergleich stand noch aus.

Die Datenschutzbehörden von Bund, Québec, British Columbia und Alberta stellten am 03.02.2021 in einer gemeinsamen Untersuchung fest, dass Clearview AI mit einer Datenbank aus über drei Milliarden aus dem Internet gescrapten Fotos gegen kanadisches Datenschutzrecht verstieß. Das Unternehmen sammelte biometrische Gesichtsdaten ohne Einwilligung, was gegen PIPEDA sowie die Datenschutzgesetze der drei Provinzen verstieß. Die Behörden forderten Clearview auf, das Angebot für kanadische Kunden einzustellen und bereits gesammelte Bilder zu löschen.

Wie viele Personen in Kanada konkret betroffen waren, blieb offen. Clearview AI wies die Empfehlungen größtenteils zurück und setzte die geforderte Löschung nicht vollständig um. Der einzige kanadische Kunde, die RCMP, hatte die Nutzung bereits im Juli 2020 eigenständig beendet.

Die französische Datenschutzbehörde CNIL verhängte am 15. Juni 2023 ein Bußgeld von 40 Millionen Euro gegen die Ad-Tech-Firma Criteo. Criteo setzte auf Partnerseiten Tracking-Cookies für verhaltensbasierte Werbung ein, konnte aber für rund 370 Millionen Nutzerprofile keine gültige Einwilligung nachweisen. Die CNIL stellte fünf DSGVO-Verstöße fest, unter anderem fehlenden Einwilligungsnachweis und mangelhafte Reaktion auf Löschanfragen. Der französische Staatsrat bestätigte die Sanktion im März 2026 endgültig.

Offen bleibt, wie viele der 370 Millionen betroffenen Identifikatoren konkret auf EU-Bürger entfielen und in welchem Umfang die gesammelten Daten tatsächlich für schädliche Zwecke genutzt wurden. Die genaue Zusammensetzung der finanziellen Vorteile, die Criteo laut CNIL erzielte, wurde nicht im Detail beziffert.

Die irische Datenschutzbehörde DPC verhängte am 9. Dezember 2020 ein Bußgeld von 450.000 Euro gegen Twitter International Company. Grund war ein Verstoß gegen Artikel 33 DSGVO, weil Twitter eine Datenpanne aus Dezember 2018 nicht fristgerecht innerhalb von 72 Stunden meldete. Die Panne machte durch einen Programmierfehler geschützte Tweets bestimmter Nutzer öffentlich sichtbar und betraf mindestens 88.726 Nutzer in der EU. Das Verfahren war das erste, das den Artikel-65-Streitbeilegungsmechanismus der DSGVO durchlief.

Offen bleibt, wie lange der zugrunde liegende Programmierfehler unentdeckt bestand, Berichte nennen als möglichen Beginn bereits das Jahr 2014. Nicht öffentlich dokumentiert ist der genaue interne Ablauf bei Twitter zwischen Entdeckung und Meldung an die DPC.