Quellen-Tabelle

Die EU-Kommission stellte am 06.02.2026 vorläufig fest, dass TikTok mit suchtfördernden Designelementen wie endlosem Scrollen und Autoplay gegen den Digital Services Act verstößt. Das förmliche Verfahren war bereits im Februar 2024 eröffnet worden. Laut Kommission ignorierte TikTok Anzeichen für zwanghafte Nutzung bei Minderjährigen, bestehende Schutzmaßnahmen seien leicht zu umgehen.

Es handelt sich um eine vorläufige Feststellung, kein rechtskräftiges Bußgeld. Eine konkrete Bußgeldhöhe wurde nicht genannt, theoretisch wären nach DSA bis zu 6 Prozent des weltweiten Jahresumsatzes möglich, dies ist aber nicht bestätigt.

Im August 2025 wurde ein Computer im Leitungsbereich der Berliner Senatsverwaltung für Justiz Ziel eines gezielten Cyberangriffs. Die Angreifer gaben sich als Vertreter des Zentralrats der Juden aus, ein Mitarbeiter klickte auf einen präparierten Link. Von diesem Computer flossen Daten ab, darunter der digitale Kalender von Justizsenatorin Felor Badenberg sowie dienstliche E-Mails seit dem 01.02.2023. LKA Berlin, Verfassungsschutz und die Datenschutzbeauftragte wurden eingeschaltet.

Es handelt sich um einen Spear-Phishing-Vorfall mit Spionage-Schadsoftware, keinen Ransomware-Angriff. Die konkrete Urheberschaft, vermutet werden iranische Hacker der Gruppe Charming Kitten, ist nicht abschließend bewiesen.

Der Landesbeauftragte für den Datenschutz Niedersachsen verhängte am 26.07.2022 ein Bußgeld von 1,1 Millionen Euro gegen Volkswagen. Anlass war ein Testfahrzeug, das 2019 bei einer Verkehrskontrolle nahe Salzburg mit nicht erkennbaren Kameras zum Training eines Fahrassistenzsystems auffiel. Die Behörde stellte Verstöße gegen Informationspflichten, das Fehlen eines Auftragsverarbeitungsvertrags sowie eine fehlende Datenschutz-Folgenabschätzung fest.

Wie viele Personen tatsächlich durch die Kameraaufnahmen erfasst wurden, ist nicht belegt. Die Bewertung, dass die Forschungsfahrten selbst unproblematisch waren, stammt von der Behörde selbst und wurde nicht gerichtlich überprüft.

Am 02.08.2026 traten die Durchsetzungsbefugnisse der EU-KI-Verordnung in Kraft. Das Europäische KI-Büro und nationale Behörden können seither Auskunftsersuchen stellen, Modelle evaluieren und Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes verhängen. Gleichzeitig traten neue Transparenzpflichten in Kraft, wonach bestimmte KI-Systeme Nutzer über KI-Interaktion informieren müssen.

Bis zum Stand dieser Recherche existiert kein tatsächlich verhängtes, rechtskräftiges Bußgeld nach dem AI Act. Was in Kraft trat, ist die rechtliche Durchsetzungsmöglichkeit, nicht ein abgeschlossener Einzelfall.

Die Staatsanwaltschaft Stuttgart stellte Anfang Juni 2024 ein Ermittlungsverfahren wegen des Verdachts der Geldwäsche im Zusammenhang mit Investitionen in hochpreisige Immobilien ein. Der Verdacht bezog sich auf mutmaßlich illegale Gewinne aus betrügerischen, mit Bestechung verbundenen Logistikverträgen für US-Militär und NATO während des Afghanistankriegs. Die Einstellung erfolgte nach Paragraf 170 Absatz 2 StPO mangels hinreichenden Tatverdachts.

Die konkreten Namen der beteiligten Immobilienunternehmen und die Höhe der mutmaßlich gewaschenen Summen sind nicht dokumentiert. Die Einstellung bedeutet ausdrücklich keinen Freispruch, sondern nur unzureichende Beweise für eine Anklage.

Im Januar 2024 stellte das LKA Sachsen im Rahmen von Ermittlungen gegen die Betreiber des illegalen Streamingportals movie2k.to rund 50.000 Bitcoin sicher, den größten jemals von einer deutschen Behörde beschlagnahmten Kryptowährungsbestand. Zwischen dem 19.06. und 12.07.2024 veräußerte der Freistaat Sachsen rund 49.858 Bitcoin und erzielte Erlöse von etwa 2,639 Milliarden Euro.

Ein Gericht in Leipzig stufte Teile der Vorwürfe gegen die Beschuldigten als verjährt ein, was Zweifel an der Rechtmäßigkeit der Einziehung aufwirft. Wie viel der über 2,6 Milliarden Euro letztlich an Staat, Geschädigte oder Beschuldigte zurückfließt, war zum Zeitpunkt der Quelle offen.

Die Hochschule Mainz wurde am 24.11.2025 Ziel eines Cyberangriffs. Die IT-Systeme wurden vollständig heruntergefahren, ein Krisenstab eingesetzt. Alle E-Mail-Adressen mit der Endung hs-mainz.de waren betroffen. Möglicherweise alle vom Rechenzentrum betriebenen Windows-Geräte waren betroffen und durften danach nur noch offline genutzt werden. Der Präsenzbetrieb der Lehre wurde aufrechterhalten.

Ob und in welchem Umfang personenbezogene Daten entwendet wurden, ist nicht dokumentiert. Ob es sich um Ransomware handelte, wurde nicht bestätigt.

Sicherheitsforscher des CCC demonstrierten auf dem 38C3 Ende Dezember 2024 Schwachstellen der Telematikinfrastruktur der elektronischen Patientenakte. Mit vergleichsweise geringem Aufwand ließen sich gültige Berufsausweise und Versichertenkarten Dritter beschaffen, mit denen Zugriffstoken für beliebige Patientenakten erzeugt werden konnten. Theoretisch war Zugriff auf Akten von mehr als 70 Millionen Versicherten möglich. Das Bundesgesundheitsministerium bestätigte im April 2025 die Schließung der Lücke.

Nicht belegt ist, dass die Angriffswege tatsächlich von Dritten außerhalb der CCC-Forschungsgruppe genutzt wurden. Die Zahl von 70 Millionen beschreibt die theoretische Angriffsfläche, nicht tatsächlich kompromittierte Akten.

Am 03.06.2025 warnte die Deutsche Rentenversicherung Bund vor einer bundesweiten Betrugsmasche mittels Call-ID-Spoofing. Angerufene sehen durch technische Manipulation die tatsächliche Telefonnummer der Rentenversicherung. Die Anrufer geben sich als Mitarbeiter aus und drohen mit einer angeblichen Rentenpfändung, um Zahlungen auf Auslandskonten zu erwirken.

Es handelt sich nicht um ein technisches Datenleck der DRV, sondern um eine Betrugsmasche Dritter. Wie die Täter an Telefonnummern gelangen und wie viele Personen Geld verloren haben, ist nicht beziffert.

Die BaFin ordnete am 14.04.2025 gegenüber der Ethena GmbH in Frankfurt die Abwicklung ihrer erlaubnispflichtigen Geschäfte rund um den Stablecoin USDe an. Grundlage waren Mängel in der Geschäftsorganisation, Verstöße gegen MiCAR-Vorgaben sowie unzureichende Angaben zur Kundenzahl in der EU. Bereits am 04.04.2025 hatte die BaFin ein Zwangsgeld von 600.000 Euro verhängt.

Der tatsächliche Anlegerschaden ist nicht beziffert, da die BaFin selbst von unzureichenden Unternehmensangaben zur Kundenzahl spricht. Der Ausgang der Widersprüche der Ethena GmbH war offen.

Die BaFin verhängte am 15.12.2025 gegen die N26 Bank SE zusätzliche Eigenmittelanforderungen und Geschäftsbeschränkungen und bestellte einen Sonderbeauftragten. Grundlage waren eine Sonderprüfung, die eine nicht ordnungsgemäße Geschäftsorganisation sowie Mängel im Risiko- und Beschwerdemanagement offenlegte. Der Bank ist Neugeschäft mit Hypothekenkrediten in den Niederlanden untersagt. Bereits im März 2025 hatte die BaFin ein Bußgeld von 15.000 Euro verhängt.

Die genaue Höhe der zusätzlichen Eigenmittelanforderung wird nicht genannt. Es ist bereits der zweite Sonderbeauftragte seit 2021, warum frühere Maßnahmen nicht ausreichend wirkten, ist nicht öffentlich bewertet.

Am 12.06.2023 legte die prorussische Hackergruppe NoName057(16) mit DDoS-Angriffen mehrere Websites der Schweizer Bundesverwaltung sowie den Online-Auftritt der SBB lahm. Zwischen dem 07. und 19.06.2023 registrierte das NCSC insgesamt 57 erfolgreiche DDoS-Angriffe gegen Bundesstellen, Kantone und Unternehmen. Ein besonders starker Angriff erfolgte am 15.06.2023 während der Videoansprache von Präsident Selenskyj vor dem Schweizer Parlament.

Es handelt sich um DDoS-Angriffe, keinen Datendiebstahl. Die Zurechnung zur Gruppe NoName057(16) stützt sich auf deren eigene Bekennung, eine unabhängige forensische Bestätigung liegt nicht vor.

Im Juli 2023 wurden IT-Systeme von zwölf norwegischen Regierungsministerien mittels einer Zero-Day-Schwachstelle in Ivanti Endpoint Manager Mobile angegriffen. Die norwegische Sicherheitsbehörde NSM identifizierte die Schwachstelle CVE-2023-35078, eine Authentifizierungsumgehung. Premierministeramt, Verteidigungs-, Justiz- und Außenministerium waren nicht betroffen.

Welche konkreten Daten die Angreifer abgezogen haben, ist nicht abschließend dokumentiert. Eine offizielle Zuordnung zu einer Gruppe oder einem Staat erfolgte nicht.

Der südkoreanische Mobilfunkanbieter KT wurde von der Datenschutzbehörde PIPC mit einer Geldstrafe von 53,9 Milliarden Won belegt. Angreifer bauten zwischen dem 08.10.2024 und 05.09.2025 illegale Basisstationen (Femtozellen) unter Verwendung gestohlener Authentifizierungszertifikate. Dadurch wurden Telefonnummern und Gerätekennungen von 16.647 KT-Kunden abgegriffen, bei 368 Betroffenen entstand ein finanzieller Schaden von rund 240 Millionen Won.

Wie die Täter in den Besitz der Zertifikate gelangten, ist nicht vollständig geklärt. Frühere Medienberichte nannten wechselnde Zwischenzahlen der Betroffenen.

Die Stadt Helsinki entdeckte am 30.04.2024 einen Datenschutzvorfall bei der Bildungsverwaltung. Angreifer nutzten eine ungepatchte Schwachstelle in einem Fernzugriffsserver aus. Betroffen sind potenziell mehr als 80.000 Schüler und Erziehungsberechtigte sowie sämtliche Stadtmitarbeiter. Erbeutet wurden Personenkennzeichen, Adressen, Angaben zur Schülerförderung und ärztliche Bescheinigungen. Die finnische Polizei ermittelt wegen schweren Computereinbruchs.

Warum das verfügbare Sicherheitsupdate nicht installiert wurde, ist nicht geklärt. Die genaue Zahl der betroffenen Personen bleibt vorläufig, ebenso wer hinter dem Angriff steckt.

Im Mai 2023 wurden in zwei Angriffswellen 22 dänische Energie- und Fernwärmeunternehmen kompromittiert, der bis dahin umfangreichste dokumentierte Cyberangriff auf Dänemarks kritische Infrastruktur. Die erste Welle nutzte die Zyxel-Firewall-Schwachstelle CVE-2023-28771, die zweite bis dahin unbekannte Schwachstellen und erreichte bei mehreren Unternehmen industrielle Steuerungssysteme. SektorCERT verwies auf technische Überschneidungen mit Infrastruktur der russischen GRU-Einheit Sandworm.

Eine eindeutige staatliche Urheberschaft ist nicht bewiesen, SektorCERT nennt nur technische Überschneidungen als Hinweis. Es kam letztlich zu keinem großflächigen Versorgungsausfall.

Die griechische Datenschutzbehörde verhängte am 28.02.2024 ein Bußgeld gegen HELLENIC POST SERVICES S.A. (ELTA). Grundlage waren ein Ransomware-Angriff mit Erpressung sowie eine spätere Veröffentlichung personenbezogener Daten im Darknet. Der eigentliche Cyberangriff fand bereits im März 2022 statt und legte über 2500 Computer sowie den Zahlungs- und Postbetrieb landesweit lahm. Das Bußgeld betrug 1 Prozent des Jahresumsatzes von ELTA.

Der genaue Bußgeldbetrag in Euro wird nicht beziffert. Die Anzahl betroffener Personen ist nicht dokumentiert, ebenso welche Datenkategorien im Darknet veröffentlicht wurden.

In der Nacht vom 11. auf den 12.02.2024 wurde das rumänische Krankenhausinformationssystem Hipocrate mit Ransomware der Variante Backmydata angegriffen. Nach Angaben des DNSC waren mehr als 100 Krankenhäuser betroffen, deren Datenbanken verschlüsselt wurden, wodurch auf Papierdokumentation umgestellt werden musste.

Die genaue Anzahl tatsächlich kompromittierter Krankenhäuser ist unklar, Angaben schwankten zwischen 21 direkt infizierten und über 100 vorsorglich abgeschalteten Einrichtungen. Ob Lösegeld gezahlt wurde, ist nicht dokumentiert.

Im Oktober 2024 verschaffte sich ein Angreifer unbefugten Zugriff auf IT-Systeme der Gesundheitsbehörde Health New Zealand Te Whatu Ora in der Central Region. Kompromittiert wurden Personaldaten aktueller und ehemaliger Mitarbeitender von 2020 bis 2024, darunter medizinische Beurteilungen. Die Polizei nahm strafrechtliche Ermittlungen auf.

Die genaue Zahl betroffener Personen ist nicht dokumentiert. Die Identität des Angreifers ist offiziell nicht bestätigt, ein Gerichtsverfahren steht noch aus.

Am 12.09.2023 wurde der Bogotá-ansässige Cloud- und Telekommunikationsanbieter IFX Networks Opfer eines Ransomware-Angriffs. Der Vorfall betraf mehr als 760 öffentliche und private Einrichtungen in 17 lateinamerikanischen Ländern. In Kolumbien waren unter anderem der Oberste Rat der Justiz sowie die Ministerien für Gesundheit und Kultur betroffen. Der Oberste Rat der Justiz setzte landesweit die gesetzlichen Fristen für rund zwei Millionen Gerichtsverfahren aus.

Die genaue Identität der Angreifergruppe ist nicht offiziell bestätigt, mehrere Medien nennen RansomHouse ohne Bestätigung. Ob und in welcher Höhe ein Lösegeld gefordert oder gezahlt wurde, bleibt unklar.

Microsoft entdeckte am 12.01.2024 einen Angriff der russischen Gruppe Midnight Blizzard (APT29/Cozy Bear) über ein Legacy-Testkonto. Die Angreifer erlangten Zugriff auf E-Mail-Konten der Führungsebene. Am 08.03.2024 bestätigte Microsoft, dass die Gruppe daraus exfiltrierte Informationen nutzte, um sich Zugang zu internen Quellcode-Repositories zu verschaffen.

Microsoft legte nicht offen, welche Quellcode-Repositories betroffen waren oder wie viele Dateien kopiert wurden. Die ursprüngliche Einschätzung von Januar 2024, es gebe keine Hinweise auf Quellcode-Zugriff, wurde im März revidiert.

Das UN-Menschenrechtsbüro veröffentlichte am 29.08.2023 einen Bericht, wonach mindestens 120.000 Menschen in Myanmar und rund 100.000 in Kambodscha in Betrugszentren festgehalten und zu Online-Betrug gezwungen werden. Die Opfer stammen aus mehr als 60 Ländern und werden zu Krypto- und Romance-Scams gezwungen, dokumentiert wurden Folter und Zwangsarbeit.

Die Opferzahlen sind Schätzungen ohne vollständige Zählung. Die tatsächliche Gesamtsumme der weltweit erbeuteten Gelder lässt sich nicht exakt beziffern.

Ende Mai 2024 wurden der japanischen Kryptobörse DMM Bitcoin 4.502,9 Bitcoin (rund 308 Millionen US-Dollar) entwendet. FBI, DC3 und NPA attribuierten den Diebstahl der nordkoreanischen Gruppe TraderTraitor. Ein Akteur kontaktierte Ende März 2024 unter dem Vorwand eines Recruiters einen Mitarbeiter der Wallet-Firma Ginco und schleuste über ein Bewerbungstest-Skript Schadcode ein.

Die konkrete Rolle einzelner nordkoreanischer Regierungsstellen ist nicht öffentlich belegt. Der genaue technische Ablauf der finalen Transaktionsmanipulation wurde nicht vollständig veröffentlicht.

US-Behörden aktualisierten am 22.07.2026 die Warnmeldung AA26-097A zu einer iranisch verbundenen Cyberkampagne gegen speicherprogrammierbare Steuerungen, zugeschrieben der Gruppe CyberAv3ngers. Zwischen dem 26. und 27.07.2026 störte ein koordinierter Angriff den Betrieb von Wasser- und Abwasserversorgern in mehr als 30 Gemeinden in Minnesota, betroffen sind mindestens sieben US-Bundesstaaten.

Das genaue Ausmaß der Kompromittierungen ist nicht abschließend belegt. Ob die iranische Regierung die Aktivität direkt anordnete, ist unklar.

NRK und der Verbraucherrat Forbrukerrådet analysierten im November 2022 die fuer die Fussball-WM in Katar verpflichtenden Apps Hayya und Ehteraz und stellten fest, dass beide Apps weitreichende Systemberechtigungen verlangten, darunter Zugriff auf Standortdaten, Telefonbuch und die Moeglichkeit, Bluetooth/WLAN zu manipulieren. Mehrere Regierungen warnten WM-Reisende, ein separates Reisetelefon zu nutzen.

Die Analyse stammt aus einer technischen Pruefung der App-Berechtigungen, nicht aus einem forensischen Nachweis tatsaechlicher Missbrauchsfaelle; katarische Stellen wiesen die Vorwuerfe zurueck.