Quellen-Tabelle

Die südkoreanische Datenschutzbehörde PIPC verhängte am 4. November 2024 ein Bußgeld von 21,6 Milliarden Won (rund 15,6 Millionen US-Dollar) gegen Meta. Meta hatte zwischen Juli 2018 und März 2022 ohne Einwilligung sensible Daten von rund 980.000 südkoreanischen Facebook-Nutzern zu Religion, politischer Meinung, sexueller Orientierung und Status als nordkoreanische Flüchtlinge gesammelt und an rund 4.000 Werbetreibende weitergegeben.

Offen bleibt, ob einzelne Nutzer durch die Datenweitergabe konkret zu Schaden kamen oder ob Werbetreibende die sensiblen Kategorien gezielt diskriminierend einsetzten. Es war bereits die zweite große PIPC-Strafe gegen Meta nach einem Bußgeld von 30,8 Milliarden Won im Jahr 2022.

Bei SK Telecom wurde im April 2025 ein Malware-Angriff auf USIM-bezogene Kundendaten bekannt, der rund 23,2 Millionen Kunden über 25 Datenkategorien betraf, darunter IMSI-Nummern und unverschlüsselte SIM-Authentifizierungsschlüssel. Die südkoreanische Datenschutzbehörde PIPC verhängte am 28.08.2025 eine Rekordstrafe von 134,8 Milliarden Won (rund 97 Millionen US-Dollar) wegen fehlender Verschlüsselung, mangelhafter Netzwerktrennung und ignorierter Warnsignale seit 2021/2022.

Offen bleibt, wie viele der Betroffenen tatsächlich Opfer von Identitätsdiebstahl oder SIM-Swapping wurden. Die Angreifer wurden bislang nicht namentlich identifiziert oder einer Gruppe zugeordnet.

Die französische Datenschutzbehörde CNIL stellte am 10. Februar 2022 fest, dass der Einsatz von Google Analytics gegen Art. 44 DSGVO verstößt, weil die Datenübermittlung an Google in die USA nicht ausreichend vor dem Zugriff US-amerikanischer Geheimdienste geschützt ist. Die CNIL erteilte einem französischen Website-Betreiber eine förmliche Mahnung und gab ihm einen Monat Zeit, entweder auf Google Analytics zu verzichten oder ein Tool ohne Datentransfer in die USA zu nutzen. Grundlage waren 101 Musterbeschwerden der Organisation noyb sowie das Schrems-II-Urteil des EuGH.

Der Name des betroffenen Website-Betreibers wurde nicht veröffentlicht, ein Bußgeld wurde in diesem Verfahren nicht verhängt. Offen bleibt, ob der Betreiber die Frist einhielt, spätere Berichte zufolge erteilte die CNIL im April 2022 mindestens drei weiteren Betreibern ähnliche Anordnungen.

Im Oktober 2024 bestätigte Internet-Archive-Gründer Brewster Kahle einen Datendiebstahl, bei dem eine Datei mit rund 31 Millionen Nutzerdatensätzen entwendet wurde. Parallel legten DDoS-Angriffe, zu denen sich die Gruppe BlackMeta bekannte, archive.org und openlibrary.org zeitweise lahm. Wenig später kam ein zweiter Vorfall hinzu: Zugriff auf das Zendesk-Supportsystem über nicht rotierte Zugangstoken.

Offen bleibt, wer genau hinter dem Datendiebstahl steckt und ob DDoS-Gruppe BlackMeta und die Datenschutzverletzung von denselben Akteuren stammen. Der genaue technische Einbruchsweg wurde von verschiedenen Quellen unterschiedlich beschrieben und ist nicht abschließend geklärt.

Roku bestätigte am 12. April 2024 einen zweiten Sicherheitsvorfall binnen zwei Monaten, bei dem Angreifer per Credential Stuffing auf rund 576.000 Nutzerkonten zugriffen. Die Angreifer nutzten bei anderen Diensten erbeutete Zugangsdaten, nicht eine eigene Sicherheitslücke bei Roku. In weniger als 400 Konten wurden hinterlegte Zahlungsdaten für betrügerische Käufe missbraucht, Roku erstattete den Betroffenen die Kosten und führte danach verpflichtend Zwei-Faktor-Authentifizierung ein.

Offen bleibt, aus welcher konkreten fremden Datenpanne die verwendeten Zugangsdaten stammten. Nicht dokumentiert ist außerdem, wie viele der 576.000 betroffenen Konten tatsächlich von Dritten eingesehen wurden im Unterschied zu bloß erfolgreichen Login-Versuchen ohne weitere Aktivität.

Der US-Pharma-Distributor Cencora (vormals AmerisourceBergen) entdeckte am 21. Februar 2024 einen Cyberangriff auf seine IT-Systeme. Mindestens 1,43 Millionen Personen wurden benachrichtigt, dass Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Gesundheitsdaten wie Diagnosen entwendet wurden. Cencora einigte sich 2025 auf eine Sammelklage-Vergleichszahlung von 40 Millionen US-Dollar.

Die tatsächliche Gesamtzahl der betroffenen Personen ist unbekannt, da nicht alle US-Bundesstaaten detaillierte Fallzahlen veröffentlichen. Kein Angreifer oder keine Ransomware-Gruppe hat sich öffentlich zu dem Angriff bekannt, sodass Täterschaft und genauer Angriffsweg ungeklärt bleiben.

HCA Healthcare gab am 10.07.2023 bekannt, dass Angreifer Daten von rund 11,27 Millionen Patienten aus 20 US-Bundesstaaten erbeutet hatten. Betroffen waren Name, Adresse, E-Mail, Telefonnummer, Geburtsdatum sowie Behandlungs- und Termindaten aus einem externen Speicherort für automatisierte Patientenkommunikation. Die Daten wurden auf einem Darknet-Marktplatz zum Verkauf angeboten, HCA schaltete den Speicherort ab.

Unklar bleibt die genaue Identität der Angreifer sowie ob und in welcher Höhe eine Erpressungsforderung gestellt oder bezahlt wurde. Nicht betroffen waren laut HCA klinische Daten und Sozialversicherungsnummern, dies stützt sich aber auf Angaben des Unternehmens selbst.

Chanel bestätigte im August 2025 einen Datendiebstahl aus einer bei einem Drittanbieter Salesforce gehosteten US-Kundendatenbank, der am 25. Juli 2025 entdeckt wurde. Erbeutet wurden Name, E-Mail-Adresse, Postanschrift und Telefonnummer von Kunden, die den US-Kundenservice kontaktiert hatten. Der Angriff wird der Erpressergruppe ShinyHunters zugeschrieben, die per Voice Phishing und betrügerischer OAuth-App-Freigabe Zugriff auf Salesforce-Umgebungen zahlreicher Unternehmen erlangte.

Die genaue Zahl der betroffenen Kunden sowie der volle Umfang der abgeflossenen Daten wurden von Chanel nicht veröffentlicht. Unklar bleibt zudem, ob und in welcher Höhe Lösegeldforderungen an Chanel gestellt wurden.

Adidas bestätigte am 23.05.2025 einen Datendiebstahl über einen externen Kundenservice-Dienstleister, nachdem Ende April 2025 verdächtige Aktivitäten in dessen Systemen entdeckt worden waren. Betroffen waren Namen, E-Mail-Adressen und Telefonnummern von Kunden, die den Support kontaktiert hatten, jedoch keine Zahlungsdaten oder Passwörter. Erste regionale Meldungen erfolgten bereits Anfang Mai 2025 für Kunden in der Türkei und Südkorea.

Die genaue Zahl der weltweit betroffenen Kunden wurde von Adidas nicht beziffert. Die Identität des angegriffenen Dienstleisters sowie der genaue Einbruchsweg in dessen Systeme wurden nicht öffentlich benannt.

Der US-Modehändler Victoria's Secret nahm am 28.05.2025 seine Website sowie einige In-Store-Dienste als Vorsichtsmaßnahme nach einem Sicherheitsvorfall vom Netz. Das Unternehmen bezeichnete den Vorfall öffentlich als Sicherheitsvorfall, ohne die Art des Angriffs zu benennen. Die Filialen von Victoria's Secret und PINK blieben während der Störung geöffnet und bedienten Kunden weiter vor Ort.

Weder die Art des Angriffs noch die verantwortlichen Täter wurden von Victoria's Secret öffentlich bestätigt, Medienberichte vermuteten einen Zusammenhang mit einer Angriffswelle gegen US-Einzelhändler. Offen blieb zum Zeitpunkt der Berichterstattung, ob Kundendaten tatsächlich entwendet wurden.

Die US-Kreditauskunftei TransUnion entdeckte am 30.07.2025 einen unbefugten Zugriff auf eine bei ihr eingesetzte Drittanbieter-Anwendung, der Angriff selbst hatte am 28.07.2025 stattgefunden. Betroffen waren die Daten von mehr als 4,4 Millionen Personen in den USA, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Rechnungsadressen, E-Mail-Adressen und Telefonnummern. TransUnion ordnete den Zugriff einer über Salesforce-verbundene Apps laufenden Kampagne zu und bot Betroffenen 24 Monate kostenlose Kreditüberwachung an.

TransUnion und Salesforce betonten, dass die Kern-Salesforce-Anwendung selbst nicht kompromittiert war, der Zugriff erfolgte über eine verbundene Drittanbieter-App. Die genaue Identität der für den Angriff verantwortlichen Gruppe wurde von TransUnion nicht offiziell bestätigt, Medienberichte ordneten ihn ShinyHunters zu.

Der US-Versicherer Farmers Insurance wurde am 30.05.2025 von einem Dienstleister über verdächtige Aktivitäten informiert und schloss die Prüfung des Vorfalls am 24.07.2025 ab. Betroffen waren mehr als 1,1 Millionen Kunden, deren Namen, Adressen, Geburtsdaten, Führerscheinnummern und die letzten vier Ziffern von Sozialversicherungsnummern offengelegt wurden. Schriftliche Benachrichtigungen an die Betroffenen begannen ab dem 22.08.2025, mehrere Medien ordneten den Vorfall der Angriffswelle gegen Salesforce-Kunden durch die als UNC6040/UNC6240 bekannte Gruppe zu.

Eine offizielle Bestätigung der Salesforce-Verbindung durch Farmers Insurance selbst liegt nicht vor, die Zuordnung stammt aus Medienberichten und nachfolgenden Sammelklagen. Der genaue technische Ablauf des Zugriffs beim Dienstleister wurde nicht im Detail veröffentlicht.

Das Nachrichtenportal The Pillar veröffentlichte am 20.07.2021 eine Recherche, die kommerziell erhältliche App-Signaldaten nutzte, um Grindr-Nutzung und Besuche von Schwulenbars einem Mobilgerät zuzuordnen, das Monsignore Jeffrey Burrill, Generalsekretär der US-Bischofskonferenz, zugeschrieben wurde. The Pillar korrelierte eine Geräte-ID mit Standortmustern an Burrills Arbeitsplatz und Wohnsitz zwischen 2018 und 2020. Burrill trat noch am Tag der Veröffentlichung zurück, Grindr erklärte, nicht die Quelle der Daten gewesen zu sein.

Der Datenhändler, von dem The Pillar die App-Signaldaten tatsächlich bezog, wurde nicht öffentlich benannt. Die technische Methode der Re-Identifizierung wurde nicht unabhängig geprüft, sondern beruht allein auf Angaben von The Pillar selbst.

Im Mai 2024 versuchten Betrüger, eine Führungskraft der Werbeholding WPP mithilfe von Deepfake-Technologie zu täuschen. Sie legten ein WhatsApp-Konto mit einem öffentlichen Foto von WPP-CEO Mark Read an und luden eine leitende Mitarbeiterin zu einem Microsoft-Teams-Meeting ein, in dem eine KI-Stimmklon-Version sowie YouTube-Aufnahmen von Read eingesetzt wurden. Ziel war die Herausgabe von Geld und persönlichen Daten für die angebliche Gründung einer neuen Firma, der Versuch scheiterte laut WPP an der Wachsamkeit der beteiligten Person.

Welche konkrete Software für die Stimmklonierung eingesetzt wurde und wer hinter dem Angriff steckt, ist nicht öffentlich bekannt. Die genaue angestrebte Schadenssumme wurde nicht beziffert, da kein Geld floss.

Die Ransomware-Gruppe Cl0p nutzte ab dem 18.01.2023 eine Zero-Day-Schwachstelle (CVE-2023-0669) in der Managed-File-Transfer-Software GoAnywhere MFT des Herstellers Fortra aus. Fortra entdeckte die Aktivität am 30.01.2023 und veröffentlichte am 07.02.2023 ein Update. Cl0p beanspruchte am 10.02.2023 die Verantwortung und gab an, Daten von rund 130 Organisationen erbeutet zu haben, darunter Hitachi Energy und Crown Resorts.

Die genaue Gesamtzahl der tatsächlich betroffenen Organisationen ist nicht unabhängig verifiziert. Dieser Fall betrifft die GoAnywhere-MFT-Software und ist von der separaten MOVEit-Transfer-Kampagne derselben Cl0p-Gruppe ab Mai 2023 zu unterscheiden.

Am 19.12.2023 gab das US-Justizministerium bekannt, die Infrastruktur der Ransomware-Gruppe ALPHV/BlackCat gestört zu haben, die zuvor mehr als 1.000 Opfer weltweit kompromittiert und rund 300 Millionen US-Dollar erbeutet hatte. Das FBI hatte 946 Schlüsselpaare für Tor-Websites der Gruppe sichergestellt und einen Entschlüsselungscode entwickelt, mit dem über 500 Opfer ihre Daten wiederherstellen konnten. Wenige Stunden nach der Ankündigung erklärte ALPHV/BlackCat, die eigene Leak-Website zurückerobert zu haben, und hob als Vergeltung das interne Verbot auf, Krankenhäuser anzugreifen.

Ob ALPHV/BlackCat die eigene Website tatsächlich zurückerlangte oder die Ankündigung eine Inszenierung war, ist unter Sicherheitsforschern umstritten. Ob der zwei Monate später erfolgte Angriff auf Change Healthcare unmittelbar auf die Aufhebung der Angriffsbeschränkungen zurückzuführen ist, wird vermutet, aber nicht belegt.

Am 17. und 18.11.2024 wurden in der Ostsee zwei Unterseekabel beschädigt, das Datenkabel C-Lion1 zwischen Finnland und Deutschland sowie die Verbindung BCS East-West zwischen Schweden und Litauen. Ermittler richteten den Verdacht auf den chinesischen Frachter Yi Peng 3, der laut Recherchen zur Tatzeit die betroffenen Streckenabschnitte passierte und dabei seinen Anker über den Meeresgrund geschleift haben soll. Am 20.12.2024 bestiegen Vertreter aus Deutschland, Schweden, Finnland und Dänemark das Schiff zur Inspektion.

Nicht bewiesen ist, ob die Kabelbeschädigung vorsätzlich erfolgte oder ein Unfall war. China bestreitet jede Verantwortung, westliche Ermittler gehen von einem möglichen Sabotageakt aus, dies aber ausdrücklich unbelegt. Die Ergebnisse der Schiffsinspektion wurden nicht veröffentlicht.

Apple reichte im November 2021 Klage gegen die NSO Group ein und warf ihr vor, Apple-Nutzer mit der Pegasus-Spyware über den FORCEDENTRY-Exploit ausgespäht zu haben. Am 12.09.2024 beantragte Apple die freiwillige Rücknahme der eigenen Klage. Als Begründung nannte Apple die Gefahr, dass eine Fortsetzung vertrauliche Bedrohungsanalyse-Daten offenlegen und damit anderen Spyware-Anbietern nützen könnte.

Ob und wie das Gericht über den Rücknahmeantrag abschließend entschied, ist nicht dokumentiert. Eine konkrete finanzielle Entschädigung oder ein Vergleich zwischen den Parteien ist nicht belegt, es handelt sich um eine einseitige Klagerücknahme, kein Urteil in der Sache.

Der baden-württembergische Landtag verabschiedete am 12.11.2025 mit grün-schwarzer Mehrheit eine Neufassung des Polizeigesetzes, die die rechtliche Grundlage für den Einsatz der Analysesoftware von Palantir bei der Polizei schafft. Das System soll laut Gesetzentwurf ab dem zweiten Quartal 2026 einsatzbereit sein und erlaubt zudem die Nutzung von Polizeidaten zum Training von KI-Systemen außerhalb rein wissenschaftlicher Forschung. Der Landesdatenschutzbeauftragte Tobias Keber äußerte mehrere Kritikpunkte an der verfassungsrechtlichen Konformität des Gesetzes.

Die konkreten Einzelpunkte von Kebers Kritik sind nicht im Wortlaut wiedergegeben. Anders als in Bayern ist zum Berichtszeitpunkt keine Verfassungsbeschwerde gegen das baden-württembergische Gesetz bekannt, eine gerichtliche Überprüfung steht noch aus.

Der Bundestag verabschiedete am 25.03.2021 die Novelle des BND-Gesetzes als gesetzliche Reaktion auf das BVerfG-Urteil vom 19.05.2020, das die bisherige Ausland-Ausland-Fernmeldeaufklärung des BND für verfassungswidrig erklärt hatte. Das neue Gesetz erlaubt dem BND laut netzpolitik.org das Abhören großer Teile der weltweiten Telekommunikationsnetze sowie das Eindringen in IT-Systeme von Kommunikationsanbietern, zugleich wurde ein unabhängiger Kontrollrat als Aufsichtsbehörde eingeführt. Bundespräsident Steinmeier unterzeichnete das Gesetz am 19.04.2021.

In welchem tatsächlichen Umfang der BND die 2021 neu geschaffenen Befugnisse seither nutzt, geht aus den verfügbaren Quellen nicht hervor. Ob der neue Kontrollrat die vom Bundesverfassungsgericht geforderte wirksame Kontrolle in der Praxis sicherstellt, ist nicht belegt.

The Intercept veröffentlichte am 19.02.2015 auf Basis von Snowden-Dokumenten eine Recherche über den sogenannten Great SIM Heist. Ein 2010 gegründetes gemeinsames Team von NSA und GCHQ soll Systeme des niederländischen SIM-Kartenherstellers Gemalto gehackt haben, der jährlich rund zwei Milliarden SIM-Karten fertigt. Über das NSA-Suchsystem XKeyscore verschafften sich die Dienste Zugriff auf private E-Mail-Konten von Gemalto-Ingenieuren und erbeuteten darüber geheime SIM-Verschlüsselungsschlüssel, allein für Somalia wurden bis Juni 2010 rund 300.000 Schlüssel dokumentiert. Gemalto erklärte nach eigener Untersuchung, ein Angriff sei wahrscheinlich, ein massenhafter Diebstahl der Schlüssel selbst lasse sich jedoch nicht belegen.

Gemalto und The Intercept widersprechen sich bis heute im Kernpunkt, ob tatsächlich in großem Stil Schlüssel entwendet wurden. Die genaue Gesamtzahl der weltweit entwendeten SIM-Schlüssel sowie das Ausmaß ihrer Nutzung für konkrete Abhörmaßnahmen sind aus den Dokumenten nicht ersichtlich.

Nintendo bestätigte am 24.04.2020 zunächst rund 160.000 kompromittierte Nintendo Network IDs durch unbefugte Anmeldungen und korrigierte die Zahl am 09.06.2020 auf insgesamt rund 300.000 betroffene Konten. Zugangsdaten wurden nach Nintendos eigener Darstellung nicht aus den eigenen Systemen, sondern anderweitig erlangt und für Fremdanmeldungen genutzt, was auf Credential Stuffing hindeutet. Bei weniger als einem Prozent der betroffenen Konten kam es zu betrügerischen Käufen, Nintendo schaltete die NNID-Anmeldemöglichkeit dauerhaft ab und erstattete betroffenen Nutzern die Kosten.

Nintendo hat den genauen Angriffsweg nie im Detail offengelegt. Ob es sich eindeutig um Credential Stuffing, Phishing oder Brute-Force-Angriffe handelte, ist nicht offiziell bestätigt, sondern beruht auf Einschätzungen von Sicherheitsjournalisten.

Das ICIJ veröffentlichte am 19.01.2020 die Luanda Leaks, basierend auf mehr als 715.000 geleakten Dokumenten zur früheren Sonangol-Chefin Isabel dos Santos, Tochter des langjährigen angolanischen Präsidenten. An der Auswertung waren 36 Medienpartner und mehr als 120 Journalisten aus rund 20 Ländern beteiligt. Die Dokumente zeigten ein Netzwerk von mehr als 400 Firmen in 41 Ländern, über das öffentliche Gelder aus Angola abgeflossen sein sollen. Als Folge fror die Schweiz im August 2020 Vermögenswerte von rund 900 Millionen US-Dollar ein, Angola erhob im Januar 2024 in zwölf Anklagepunkten Vorwürfe gegen dos Santos, Großbritannien verhängte im November 2024 Sanktionen.

Isabel dos Santos bestreitet über ihre Anwälte jegliches Fehlverhalten. Gegen sie liegt seit 2022 eine Interpol-Red-Notice vor, eine tatsächliche Festnahme oder Auslieferung aus den Vereinigten Arabischen Emiraten ist bislang nicht erfolgt.

Das ICIJ veröffentlichte am 05.11.2017 die Paradise Papers, basierend auf 13,4 Millionen geleakten Dateien überwiegend von der Offshore-Kanzlei Appleby mit Sitz in Bermuda, ergänzt um Unterlagen des Dienstleisters Asiaciti Trust und Firmenregister aus 19 Geheimhaltungsjurisdiktionen. Die Süddeutsche Zeitung erhielt die Dateien zuerst und teilte sie mit dem ICIJ und 95 Medienpartnern weltweit. Die Auswertung deckte Offshore-Aktivitäten von mehr als 120 Politikern und Staatschefs sowie Steuerplanung von rund 100 multinationalen Konzernen auf.

Wie die Süddeutsche Zeitung ursprünglich Zugang zu den Appleby-Dateien erhielt, ist nicht öffentlich dokumentiert. Nicht alle genannten Politiker und Unternehmen wurden individuell strafrechtlich verfolgt, die Nennung in den Papieren allein belegt keine Rechtswidrigkeit der jeweiligen Offshore-Strukturen.

Die New York Times berichtete am 01.06.2012 unter Berufung auf zahlreiche Regierungsvertreter über ein gemeinsames US-israelisches Cybersabotage-Programm gegen die iranische Urananreicherungsanlage Natanz mit dem Codenamen Olympic Games. Im Sommer 2010 entkam ein Teil der eingesetzten Schadsoftware durch einen Programmierfehler aus der Anlage und verbreitete sich weltweit im Internet, Sicherheitsforscher benannten den Wurm Stuxnet. Die letzte im Artikel beschriebene Angriffswelle legte vorübergehend fast 1.000 der rund 5.000 zu diesem Zeitpunkt in Natanz laufenden Zentrifugen lahm.

Der Bericht stützt sich auf anonyme Insider-Quellen, eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor. Wie viele Zentrifugen dauerhaft zerstört statt nur vorübergehend gestoppt wurden, bleibt unter Experten umstritten.