Quellen-Tabelle

Der US-Zahlungsdienstleister CardSystems Solutions entdeckte im Mai 2005 einen Einbruch, bei dem Angreifer per SQL-Injection Schadcode in eine webbasierte Anwendung einschleusten, der alle vier Tage Kreditkartendaten sammelte und per FTP versandte. Bis zu 40 Millionen Karten von Visa, Mastercard und weiteren Anbietern waren betroffen, Visa und American Express beendeten die Zusammenarbeit mit CardSystems. Am 23.02.2006 einigte sich die FTC mit CardSystems auf ein Verfahren wegen unzureichender Datensicherheit mit unabhängigen Audits über 20 Jahre, ohne Geldbuße.

Wer konkret hinter dem Angriff auf CardSystems steckte, ist öffentlich nicht dokumentiert. Die genaue Zahl der tatsächlich exportierten und missbrauchten Datensätze bleibt unklar, öffentlich kursiert vor allem die Obergrenze von rund 40 Millionen gespeicherten Kartendatensätzen.

Kaspersky Lab teilte am 10.06.2015 mit, im eigenen Firmennetzwerk eine hochentwickelte Spionage-Malware namens Duqu 2.0 entdeckt zu haben. Die Schadsoftware residierte ausschließlich im Arbeitsspeicher und nutzte bis zu drei Zero-Day-Schwachstellen sowie gestohlene digitale Zertifikate des Foxconn-Konzerns. Nach Kaspersky-Angaben wurden auch Hotels und Veranstaltungsorte der P5+1-Verhandlungen über das iranische Atomprogramm in Österreich und der Schweiz infiziert. Kaspersky ordnete den Angriff derselben Gruppe zu, die bereits 2011 die verwandte Schadsoftware Duqu entwickelt hatte, die Code-Ähnlichkeiten mit Stuxnet aufweist.

Eine offizielle Bestätigung, dass eine bestimmte Regierung oder Militäreinheit hinter Duqu 2.0 steht, liegt bis heute nicht vor. Kaspersky bezifferte weder die genaue Zahl der weltweit betroffenen Organisationen noch das exakte Ausmaß der aus dem eigenen Netzwerk abgeflossenen Daten abschließend.

Das US-Justizministerium gab am 09.05.2019 Anklage gegen den chinesischen Staatsbürger Fujie Wang sowie einen unidentifizierten Mittäter wegen des Einbruchs bei US-Krankenversicherer Anthem im Jahr 2015 bekannt. Erbeutet wurden Daten von rund 78,8 Millionen Personen, darunter Namen, Sozialversicherungsnummern, Versichertennummern, Geburtsdaten, Adressen und Beschäftigungsangaben. Das Justizministerium ordnete die Täter einer in China ansässigen Hackergruppe zu.

Eine offizielle Verbindung der Hackergruppe zur chinesischen Regierung stellte das Justizministerium in der Anklage nicht her. Ob Fujie Wang oder der Mittäter je festgenommen wurden, ist aus dieser Quelle nicht ersichtlich, beide galten als flüchtig in China.

Der Landesbeauftragte für Datenschutz Baden-Württemberg verhängte am 25.06.2020 ein Bußgeld von 1.240.000 Euro gegen die AOK Baden-Württemberg wegen eines Verstoßes gegen Art. 32 DSGVO im Zusammenhang mit Gewinnspielen zwischen 2015 und 2019. Die technischen und organisatorischen Maßnahmen der AOK stellten nicht sicher, dass nur Daten von Teilnehmern mit wirksamer Einwilligung zu Werbezwecken genutzt wurden. Dadurch wurden personenbezogene Daten von mehr als 500 Gewinnspielteilnehmern ohne gültige Einwilligung für Werbung verwendet.

Die genaue Gesamtzahl aller Gewinnspielteilnehmer ist nicht öffentlich beziffert, die Behörde nennt nur die Mindestzahl von über 500 Betroffenen ohne wirksame Einwilligung. Versichertendaten im engeren Sinn waren laut Aufsichtsbehörde nicht betroffen, dies stützt sich allein auf deren eigene Angabe.

Das FBI gab am 09.11.2011 den Abschluss der zweijährigen Ermittlung Operation Ghost Click bekannt. Sechs estnische und ein russischer Staatsbürger wurden angeklagt, seit 2007 mit der Schadsoftware DNSChanger etwa vier Millionen Computer in mehr als 100 Ländern infiziert zu haben, darunter rund 500.000 in den USA. Die Malware veränderte DNS-Einstellungen und leitete Datenverkehr auf Server der Täter um, um per Klickbetrug Werbeeinnahmen zu erzielen. Die Behörden bezifferten den illegalen Gewinn auf mindestens 14 Millionen US-Dollar.

Der genaue rechtskräftige Ausgang aller Verfahren gegen die einzelnen Angeklagten ist nicht einheitlich öffentlich dokumentiert, da mehrere in Estland ansässig blieben. Der russische Mitangeklagte Andrey Taame galt als flüchtig, sein weiterer strafrechtlicher Verbleib ist nicht abschließend belegt.

Europol meldete am 26.03.2018 die Festnahme des mutmaßlichen Anführers der Cyberkriminellen-Gruppe Carbanak/Cobalt in Alicante, Spanien. Die Gruppe soll zwischen 2013 und 2018 mehr als 100 Banken und Finanzinstitute in rund 40 Ländern angegriffen haben, Europol beziffert den Gesamtschaden auf über eine Milliarde Euro. Die Täter verschafften sich per Spear-Phishing Zugang zu Bankmitarbeiter-Rechnern und ließen Geldautomaten ferngesteuert Bargeld ausgeben oder manipulierten Kontostände direkt.

Den vollständigen Namen des in Spanien festgenommenen Verdächtigen nannte Europol offiziell nicht. Ob mit dieser einen Festnahme die gesamte Gruppenstruktur zerschlagen wurde oder weitere Mitglieder unbehelligt blieben, ist öffentlich nicht abschließend dokumentiert.

Das US-Justizministerium gab am 01.08.2018 die Festnahme dreier ukrainischer Staatsangehöriger bekannt, denen die Mitgliedschaft in der Hackergruppe FIN7 vorgeworfen wird. Seit mindestens 2015 griff FIN7 mittels Phishing und der Schadsoftware Carbanak Kassensysteme von mehr als 100 US-Unternehmen an, vor allem Restaurant- und Hotelketten wie Arby's, Chipotle und Chili's. Nach DOJ-Angaben wurden mehr als 15 Millionen Zahlungskartendaten von über 6.500 Kassenterminals an mehr als 3.600 Geschäftsstandorten entwendet.

Die genaue Gesamtschadenssumme in US-Dollar wird von der DOJ nicht beziffert. Die drei genannten Personen waren zum Zeitpunkt der Pressemitteilung erst angeklagt, nicht verurteilt, spätere Verurteilungen sind nicht Teil dieser Quelle.

Das Verwaltungsgericht Hannover entschied am 05.06.2025 über die Klage von Volkswagen gegen fünf Verwarnungen der Landesbeauftragten für den Datenschutz Niedersachsen. Die Behörde hatte VW wegen Datenschutzverstößen bei der Aufarbeitung des Dieselskandals verwarnt, unter anderem wegen unzureichender Information von Beschäftigten vor der Weitergabe ihrer Daten an einen US-Monitor und die US-Umweltbehörde EPA. Das Gericht bestätigte drei der fünf Verwarnungen und erklärte zwei für rechtswidrig, im Kern ging es um die Übermittlung von mehr als 65.000 Dokumenten mit personenbezogenen Daten an US-Stellen.

Der vollständige Wortlaut der schriftlichen Urteilsbegründung war zum Zeitpunkt der Pressemitteilung noch nicht veröffentlicht. Dieses Verfahren betrifft ausschließlich die Datenverarbeitung im Zuge der Dieselskandal-Aufklärung und ist getrennt vom späteren Fall der VW-Tochter Cariad zu Standortdaten von Elektrofahrzeugen.

Die britische Datenschutzbehörde ICO verhängte am 30.10.2020 eine Geldbuße von 18,4 Millionen Pfund gegen Marriott International wegen Verstößen gegen Artikel 5(1)(f) und Artikel 32 DSGVO. Grundlage war ein Cyberangriff auf die Reservierungsdatenbank der 2016 von Marriott übernommenen Starwood Hotels, bei dem sich Unbekannte bereits seit 2014 unbemerkt Zugang verschafft hatten. Entdeckt wurde der Angriff erst am 08.09.2018, betroffen waren bis zu 339 Millionen Gästedatensätze weltweit, darunter rund 7 Millionen mit Bezug zum Vereinigten Königreich.

Ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat, geht aus der Quelle nicht hervor. Die separate Geldbuße der US-Behörde FTC gegen Marriott aus dem Jahr 2024 ist ein eigenständiges, späteres Verfahren und nicht Gegenstand dieser Quelle.

Im November 2014 wurde Sony Pictures Entertainment Opfer eines Cyberangriffs, zu dem sich eine Gruppe namens Guardians of Peace bekannte. Die Angreifer löschten Daten auf tausenden Firmenrechnern und stahlen interne E-Mails, Mitarbeiterdaten sowie mehrere unveröffentlichte Kinofilme. Das FBI erklärte am 19.12.2014 offiziell, die nordkoreanische Regierung sei für den Angriff verantwortlich, der im Kontext der Sony-Komödie The Interview stand.

Das FBI legte keine detaillierten technischen Beweise offen, sondern verwies allgemein auf Ähnlichkeiten zu früherer nordkoreanischer Schadsoftware. Mehrere unabhängige Sicherheitsforscher äußerten damals Zweifel an der offiziellen Zuschreibung.

Im August 2016 wurden bei einem Hack der Kryptobörse Bitfinex rund 119.754 Bitcoin gestohlen. Am 08.02.2022 gab das US-Justizministerium bekannt, Ilya Lichtenstein und seine Ehefrau Heather Morgan verhaftet zu haben, die Behörden beschlagnahmten dabei über 3,6 Milliarden US-Dollar in Kryptowährung. Im August 2023 bekannten sich beide schuldig, Lichtenstein räumte ein, der ursprüngliche Hacker der Bitfinex-Börse gewesen zu sein.

Wie die Angreifer 2016 konkret in die Bitfinex-Systeme eindrangen, ist nicht Gegenstand dieser Pressemitteilung. Ob Lichtenstein alleiniger Täter des ursprünglichen Hacks war oder mit weiteren Personen zusammenarbeitete, ist nicht abschließend geklärt.

LastPass gab am 22.12.2022 bekannt, dass ein Angreifer mit im August 2022 aus der Entwicklungsumgebung gestohlenen Zugangsdaten einen weiteren Mitarbeiter kompromittierte und darüber auf einen Cloud-Speicherdienst zugriff. Dort kopierte er Kunden-Backup-Daten mit unverschlüsselten Metadaten wie Firmennamen und E-Mail-Adressen sowie vollständig verschlüsselten Passwort-Tresor-Feldern. Laut LastPass bleiben die verschlüsselten Felder durch 256-Bit-AES-Verschlüsselung geschützt, vollständige Kreditkartennummern waren nicht betroffen.

Die genaue Gesamtzahl der betroffenen Kundenkonten wird in der offiziellen Mitteilung nicht beziffert. Spätere Recherchen brachten mutmaßliche Kryptowährungsdiebstähle mit den gestohlenen Vaults in Verbindung, LastPass selbst bestätigte einen solchen Zusammenhang jedoch nicht offiziell.

Die Hackergruppe Lapsus$ erlangte zwischen dem 16. und 21.01.2022 per Remote-Desktop-Zugriff Kontrolle über den Laptop eines Kundensupport-Mitarbeiters des Okta-Subunternehmers Sitel. Der Angreifer hatte laut Okta insgesamt nur 25 zusammenhängende Minuten aktive Kontrolle und konnte über eingeschränkte Support-Rechte weder Nutzer anlegen noch auf Quellcode zugreifen. Nach Oktas Auswertung waren maximal 366 Kunden, rund 2,5 Prozent der Kundenbasis, potenziell betroffen.

Wie das Konto des Sitel-Mitarbeiters ursprünglich kompromittiert wurde, bleibt offen. Der vollständige forensische Bericht der von Sitel beauftragten externen Firma wurde nicht veröffentlicht, Okta erhielt ihn erst am 22.03.2022, rund zwei Monate nach dem Vorfall.

Ein Angreifer verschaffte sich Zugriff auf einen internen Server der Kreditauskunftei Experian, auf dem Bewerberdaten für T-Mobile US gespeichert waren. Betroffen waren rund 15 Millionen Personen in den USA, die zwischen dem 01.09.2013 und dem 16.09.2015 eine Kreditprüfung für einen T-Mobile-Vertrag durchlaufen hatten. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie Sozialversicherungs- und Ausweisnummern, Zahlungskarten- oder Bankdaten waren nicht betroffen.

Wer konkret hinter dem Angriff steckte und ob die Täter je identifiziert wurden, ist aus dieser Quelle nicht ersichtlich. In welchem Umfang die verschlüsselten Sozialversicherungsnummern tatsächlich entschlüsselt und missbraucht wurden, bleibt offen.

Die US-Krankenhauskette Community Health Systems meldete am 18.08.2014 der SEC einen Cyberangriff auf ihre Netzwerke im April und Juni 2014. Gestohlen wurden Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern von rund 4,5 Millionen Personen, die bei mit CHS verbundenen Ärzten behandelt worden waren. Die beauftragte Sicherheitsfirma Mandiant ordnete den Angriff einer fortgeschrittenen Bedrohungsgruppe mit Ursprung in China zu, medizinische Behandlungsdaten waren laut CHS nicht betroffen.

Die offizielle SEC-Meldung nennt keine konkrete Angreifergruppe und erwähnt weder die Bezeichnung APT18 noch Heartbleed als Einfallstor, diese Details stammen aus späteren Analysen von IT-Sicherheitsfirmen. Eine direkte Steuerung des Angriffs durch die chinesische Regierung ist nicht abschließend belegt.

Der Landesbeauftragte für Datenschutz Rheinland-Pfalz schloss im Dezember 2014 ein Bußgeldverfahren gegen die Debeka einvernehmlich ab. Grundlage waren eingeräumte Listenkäufe, bei denen einzelne Mitarbeiter und Vermittler ohne Einwilligung Datensätze von Anwärtern des öffentlichen Dienstes erworben und zur Versicherungsakquise genutzt hatten. Die Debeka akzeptierte eine Geldbuße von 1,3 Millionen Euro und finanzierte zusätzlich eine mit 600.000 Euro dotierte Stiftungsprofessur für Datenschutz an der Universität Mainz.

Dieses Verfahren fand in Rheinland-Pfalz statt und wurde noch auf Grundlage des alten Bundesdatenschutzgesetzes geführt, da die DSGVO erst ab Mai 2018 galt. Wie viele einzelne Vermittler und Beamtenanwärter konkret betroffen waren, bleibt offen.

Am 15.07.2020 verschafften sich Angreifer per Social Engineering gegenüber Twitter-Mitarbeitern Zugriff auf interne Administrationswerkzeuge und übernahmen mehr als 130 verifizierte Konten, darunter Obama, Biden, Musk und Apple. Von den Konten wurden Tweets abgesetzt, die zu Bitcoin-Zahlungen aufriefen, rund 117.000 US-Dollar wurden erbeutet. Das DOJ klagte am 31.07.2020 Mason Sheppard und Nima Fazeli an, ein dritter Beteiligter war minderjährig und wurde separat in Florida verfolgt.

Die genaue technische Methode des Social-Engineering-Angriffs ist nicht durch ein unabhängiges forensisches Gutachten öffentlich im Detail belegt. Wie viele Konten neben den bekannten Prominenten betroffen waren und ob private Nachrichten eingesehen wurden, ist nicht abschließend dokumentiert.

Am Abend des 03.11.2021 verschaffte sich ein Unbefugter durch telefonisches Social Engineering Zugang zu internen Kundendienstsystemen von Robinhood. Dabei wurden E-Mail-Adressen von rund fünf Millionen Personen sowie vollständige Namen von rund zwei Millionen weiteren Personen erbeutet, bei etwa 310 Kunden zusätzlich Geburtsdatum und Postleitzahl. Nach der Eindämmung forderte der Angreifer eine Erpressungszahlung, Robinhood informierte Strafverfolgungsbehörden und beauftragte Mandiant.

Ob und in welcher Höhe die geforderte Erpressungssumme gezahlt wurde, ist nicht öffentlich dokumentiert. Die Identität des Angreifers sowie Details zur genauen Angriffstechnik wurden von Robinhood nicht offengelegt.

Die FTC einigte sich am 09.11.2020 mit Zoom auf einen Vergleich, weil Zoom seit mindestens 2016 fälschlich behauptet hatte, Meetings seien durchgehend Ende-zu-Ende-verschlüsselt. Tatsächlich hielt Zoom die kryptografischen Schlüssel selbst, zudem waren aufgezeichnete Meetings bis zu 60 Tage unverschlüsselt gespeichert. Zoom verpflichtete sich zu einem umfassenden Sicherheitsprogramm. Vorausgegangen waren im Frühjahr 2020 zahlreiche Zoombombing-Vorfälle, die das FBI im April 2020 zu einer öffentlichen Warnung veranlassten.

Die FTC verhängte in diesem Fall kein Bußgeld, sondern Verhaltensauflagen und ein zwanzigjähriges Audit-Programm. Wie viele Nutzer konkret durch die falschen Verschlüsselungsangaben einen Schaden erlitten, ist nicht dokumentiert.

Die FTC leitete am 31.10.2022 ein Verfahren gegen Chegg ein und warf dem Bildungstechnologie-Anbieter vier Datenschutzverletzungen zwischen September 2017 und April 2020 vor. Betroffen waren persönliche Daten von rund 40 Millionen Nutzern, unter anderem durch einen unbefugten Zugriff auf Amazon-S3-Speicher 2018 mit rund 25 Millionen im Klartext gespeicherten Passwörtern. Laut FTC fehlten bei Chegg grundlegende Sicherheitsmaßnahmen wie Verschlüsselung und Multi-Faktor-Authentifizierung, die im Januar 2023 finalisierte Anordnung verpflichtet Chegg zu einem umfassenden Sicherheitsprogramm.

Ob im Rahmen des Verfahrens eine Geldstrafe verhängt wurde, ist nicht dokumentiert, öffentlich zugängliche Quellen erwähnen vor allem verhaltensbezogene Auflagen. Wie wirksam die angeordneten Maßnahmen seither umgesetzt wurden, ist nicht öffentlich im Detail nachvollziehbar.

GoDaddy legte in seinem am 16.02.2023 bei der SEC eingereichten Jahresbericht offen, dass ein im Dezember 2022 entdeckter Einbruch in die cPanel-Hosting-Umgebung Teil einer mehrjährigen Kampagne war. Das Unternehmen verknüpfte den Vorfall mit früheren Vorfällen aus März 2020 (rund 28.000 betroffene Kunden) und November 2021 (rund 1,2 Millionen betroffene Kunden). Die Angreifer installierten Malware auf Servern und erbeuteten Quellcode zu GoDaddy-Diensten.

Die Identität des oder der Angreifer ist nicht öffentlich dokumentiert. Der exakte Zeitpunkt des ursprünglichen Einbruchs innerhalb der Mehrjahresspanne sowie der vollständige Umfang des gestohlenen Quellcodes bleiben unklar.

Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens verhängte am 06.11.2018 ein Bußgeld von 600.000 Euro gegen Uber. Grund war nicht der Datendiebstahl selbst, sondern dass Uber die am 14.11.2016 entdeckte Datenpanne erst am 21.11.2017 und damit rund ein Jahr zu spät meldete, statt wie vorgeschrieben innerhalb von 72 Stunden. Von dem zugrundeliegenden Vorfall waren weltweit rund 57 Millionen Nutzer und Fahrer betroffen, darunter etwa 174.000 Personen in den Niederlanden.

Die niederländische Behörde entschied ausschließlich über die verspätete Meldepflicht nach niederländischem Recht vor der DSGVO, nicht über die parallelen US-Verfahren zum selben Datendiebstahl von 2016. Die spätere, deutlich größere Geldbuße von 290 Millionen Euro gegen Uber aus dem Jahr 2024 wegen unrechtmäßiger Datenübermittlung in die USA ist ein eigenständiges, hier nicht behandeltes Verfahren.

DoorDash gab am 26.09.2019 bekannt, dass ein unbefugter Dritter am 04.05.2019 auf Nutzerdaten zugegriffen hatte. Betroffen waren rund 4,9 Millionen Kunden, Lieferpartner und Händler, die sich bis zum 05.04.2018 registriert hatten. Kompromittiert wurden Namen, E-Mail-Adressen, Telefonnummern und gehashte Passwörter, bei rund 100.000 Lieferpartnern zusätzlich vollständige Führerscheinnummern.

Welcher konkrete Drittanbieter betroffen war und über welchen technischen Mechanismus der Zugriff erfolgte, hat DoorDash nie veröffentlicht. Ob die entwendeten Teildaten tatsächlich für Betrug missbraucht wurden, bleibt offen.

Das US-Justizministerium gab am 03.08.2017 bekannt, dass eine Grand Jury eine sechsfache Anklage gegen den britischen IT-Sicherheitsforscher Marcus Hutchins alias MalwareTech erhoben hatte, wegen Beteiligung an Entwicklung und Vertrieb des Banking-Trojaners Kronos zwischen Juli 2014 und Juli 2015. Hutchins wurde am 02.08.2017 in Las Vegas festgenommen, rund drei Monate nachdem er durch Registrierung einer Domain den Kill-Switch der WannaCry-Ransomware ausgelöst und deren Ausbreitung gestoppt hatte.

Zum Zeitpunkt der Pressemitteilung galt die Unschuldsvermutung. Hutchins bekannte sich im April 2019 in zwei Anklagepunkten schuldig und wurde im Juli 2019 zu keiner Haftstrafe, sondern zur bereits verbüßten Untersuchungshaft plus einem Jahr Bewährung verurteilt.

Der Bundesbeauftragte für den Datenschutz (BfDI) verhängte am 09.12.2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH wegen unzureichender technischer und organisatorischer Maßnahmen im telefonischen Kundenservice. Anrufer erhielten allein durch Angabe von Namen und Geburtsdatum eines Kunden Zugriff auf dessen weitere personenbezogene Daten. Auslöser war ein Stalking-Fall, in dem eine Person auf diesem Weg die neue Telefonnummer eines Opfers erlangte.

Das Landgericht Bonn bestätigte 2020 den DSGVO-Verstoß, reduzierte die Bußgeldhöhe im gerichtlichen Nachgang aber auf 900.000 Euro. Wie die interne technische Umstellung der Authentifizierungsverfahren bei 1&1 im Detail ablief, ist nur in groben Zügen dokumentiert.