Quellen-Tabelle

Im Oktober 2014 wurde eine 13,6 GB große Datei mit rund 90.000 Fotos und 9.000 Videos aus Snapchat veröffentlicht. Verantwortlich war nicht Snapchat selbst, sondern der Drittanbieterdienst Snapsaved.com, der von Nutzern gesendete Snaps entgegennahm und speicherte, inklusive Nutzernamen. Snapsaved.com bestätigte den Vorfall. Snapchat erklärte, die eigenen Server seien nicht kompromittiert worden.

Nicht belegt ist die genaue Zahl betroffener Nutzer, Schätzungen schwankten zwischen 90.000 und bis zu 200.000 Bildern. Unklar bleibt, wie viele abgebildete Personen minderjährig waren. Die Identität der für den Datenabfluss verantwortlichen Person ist nicht bekannt.

Im Juni 2012 wurden bei einem Angriff auf LinkedIn rund 6,5 Millionen ungesalzene SHA1-Passwort-Hashes entwendet. Im Mai 2016 bot ein Hacker unter dem Pseudonym Peace auf einem Darknet-Marktplatz Datensätze mit E-Mail-Adressen und Passwörtern von 117 Millionen LinkedIn-Nutzern zum Kauf an, angeblich aus demselben Vorfall von 2012. LinkedIn bestätigte den erweiterten Umfang und setzte die Passwörter zwangsweise zurück. Der Kaufpreis für den kompletten Datensatz wurde mit rund 5 Bitcoin beziffert.

Nicht geklärt ist, ob die 2016 angebotenen 117 Millionen Datensätze vollständig aus dem Angriff von 2012 stammen. LinkedIn hat nie bestätigt, wie der Angreifer 2012 eindrang. Die Identität hinter dem Pseudonym Peace ist bis heute nicht festgestellt.

Der New Yorker Uber-Manager Josh Mohrer nutzte im November 2014 das interne Tool God View, um den Standort der Journalistin Johana Bhuiyan ohne ihre Zustimmung zu verfolgen. Uber kündigte eine interne Untersuchung an und veröffentlichte danach erstmals eine offizielle Datenschutzrichtlinie. Im Januar 2016 einigte sich Uber mit der New Yorker Generalstaatsanwaltschaft auf eine Zahlung von 20.000 US-Dollar wegen unzureichender Zugriffskontrollen und verspäteter Meldung eines Datenlecks von 2014.

Nicht dokumentiert ist, wie viele Uber-Mitarbeiter God View für private Zwecke einsetzten. Ob Mohrer disziplinarisch belangt wurde, wurde nicht öffentlich mitgeteilt. Die Zahlung bezog sich formal auch auf ein separates Datenleck, die genaue Zuordnung zum God-View-Vorfall bleibt unklar.

Palantir Technologies wurde 2004 von Peter Thiel, Joe Lonsdale, Stephen Cohen und Nathan Gettings gegründet. Da klassische Risikokapitalgeber ablehnten, finanzierte In-Q-Tel, die Venture-Capital-Einheit der CIA, das Unternehmen mit über 2 Millionen US-Dollar. Von 2005 bis 2008 war die CIA Palantirs einziger Kunde und testete die Software in einer Alpha-Phase.

Nicht öffentlich dokumentiert ist die Aufteilung der übrigen Finanzierung von rund 30 Millionen US-Dollar. Die exakte Höhe der In-Q-Tel-Tranchen variiert je nach Quelle. Welche Datensätze die CIA in der Testphase einspeiste, ist nicht belegt.

Am 20.07.2021 veröffentlichte The Pillar eine Recherche, wonach ein Monsignore Jeffrey Burrill zugeordnetes Gerät 2018 bis 2020 nahezu täglich Grindr-Signaldaten aussandte, unter anderem an seiner Dienstwohnung. Burrill trat noch am selben Tag als Generalsekretär der USCCB zurück. The Pillar erwarb die Daten von einem kommerziellen Datenhändler. Eine separate Analyse fand zudem mindestens 16 Geräte, die an vier Tagen 2018 Grindr-Signale aus nicht öffentlichen Bereichen des Vatikanstaats aussandten.

Nicht dokumentiert ist die Methode, mit der die Daten konkreten Personen zugeordnet wurden. Grindr bestritt eine direkte Weitergabe. Welcher Datenhändler die Rohdaten lieferte, wurde nicht genannt. Die Zahl von 16 Geräten basiert auf einer begrenzten Vier-Tage-Stichprobe.

Die US-Einwanderungsbehörde ICE vergab im April 2025 einen Vertrag im Wert von 30 Millionen US-Dollar an Palantir. Die Software ImmigrationOS erweitert das seit 2014 genutzte Fallmanagementsystem und soll Auswahl, Festnahme und Abschiebung von Migranten beschleunigen. Im Juli 2025 besetzten rund 100 Aktivisten die Palantir-Büros in Seattle. Palantir-Mitarbeiter hatten bereits 2019 einen offenen Brief mit über 200 Unterschriften gegen die ICE-Nutzung verfasst.

Nicht belegt ist, in wie vielen Fällen ImmigrationOS tatsächlich zu Festnahmen führte, die Software war laut Berichten erst als Prototyp geplant. Die Zahl betroffener Visa-Widerrufe schwankt zwischen 300 und 4.000 Fällen ohne verlässliche amtliche Gesamtzahl.

Die neue Telekommunikations-Überwachungsverordnung wurde Ende Mai 2017 vom Bundesrat verabschiedet und verpflichtete Provider ab 01.07.2017 zur Speicherung von Verbindungsdaten, zehn Wochen für Internet- und Telekommunikationsmetadaten, vier Wochen für Standortdaten. Die finale technische Richtlinie wurde erst Mitte Juni veröffentlicht, nur rund zwei Wochen vor der Umsetzung. Provider kritisierten den Umsetzungsaufwand von rund 600 Millionen Euro als unverhältnismäßig.

Die Zahl von 600 Millionen Euro stammt aus Branchenschätzungen, nicht von offizieller Seite bestätigt. Die rechtliche Tragfähigkeit angesichts der EuGH-Rechtsprechung war zum Zeitpunkt der Berichterstattung ungeklärt, das Bundesverfassungsgericht setzte die Speicherpflicht 2017 vorläufig aus.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, 14 mutmaßliche Mitglieder der Ransomware-Gruppe REvil festgenommen zu haben. Bei Razzien in 25 Wohnungen in Moskau und St. Petersburg wurden umgerechnet rund 426 Millionen Rubel, 600.000 US-Dollar und 20 Fahrzeuge beschlagnahmt. Die FSB erklärte, die Operation sei auf Ersuchen der US-Behörden durchgeführt worden. Den Verdächtigen wurden Straftaten wegen illegalen Umgangs mit Zahlungsmitteln vorgeworfen, nicht wegen Ransomware-Erpressung.

Nicht belegt ist, ob die Festgenommenen tatsächlich für die großen REvil-Angriffe auf Colonial Pipeline oder Kaseya verantwortlich waren. Unklar bleibt, ob eine Auslieferung oder strafrechtliche Verfolgung in den USA möglich war, da Russland eigene Staatsbürger nicht ausliefert.

Nachdem die Conti-Ransomware-Gruppe am 25.02.2022 öffentlich ihre Unterstützung für die russische Invasion in der Ukraine erklärt hatte, leakte ein pro-ukrainischer Insider ab dem 27.02.2022 interne Chatprotokolle. Der Datensatz umfasst 393 JSON-Dateien mit 60.094 Nachrichten aus dem Zeitraum 21.01.2021 bis 27.02.2022. Zusätzlich wurden Quellcode-Bestandteile der TrickBot-Malware veröffentlicht. Die Chats zeigen, dass Conti in Scrum-artigen Sprints organisiert war.

Die Identität des Leakers ist bis heute nicht offiziell bestätigt. Die genaue Zahl von 60.094 Nachrichten stammt aus der Auswertung durch Sicherheitsforscher, nicht aus einer amtlichen forensischen Bestätigung. Unklar bleibt, wie vollständig der Leak das Kommunikationsvolumen der Gruppe abbildet.

Im November 2019 griff die Maze-Ransomware-Gruppe das US-Sicherheitsunternehmen Allied Universal an und forderte 300 Bitcoin. Als das Unternehmen nicht zahlte, veröffentlichten die Angreifer rund 700 MB gestohlener Daten als Drohmittel. Dieser Fall gilt als eine der ersten dokumentierten Anwendungen der Taktik Double Extortion, die in der Folge von Gruppen wie REvil und Clop übernommen wurde.

Nicht belegt ist die tatsächliche Gesamtmenge der gestohlenen Daten, die Behauptung von nur 10 Prozent Veröffentlichung stammt allein von den Tätern. Ob Allied Universal letztlich zahlte, ist nicht dokumentiert. Die Identität der Maze-Betreiber wurde nie offiziell festgestellt.

Nach dem Ransomware-Angriff auf Change Healthcare im Februar 2024 sind die Klagen als Multidistrict Litigation MDL 3108 in Minnesota gebündelt, bis August 2025 auf 78 Verfahren angewachsen. Am 30.04.2025 ordnete das Gericht persönliche Vergleichsgespräche an. Change Healthcare meldete zum 31.07.2025 rund 192,7 Millionen betroffene Personen, der größte je erfasste Datenschutzvorfall im US-Gesundheitswesen.

Bis zum Recherchestand im August 2025 wurde kein finaler Vergleich bekanntgegeben. Die Zahl der Betroffenen wurde mehrfach nach oben korrigiert, von anfänglich rund 100 Millionen auf 192,7 Millionen. Der Ausgang der Klageabweisungsanträge war noch nicht entschieden.

Die medizinische Inkassofirma American Medical Collection Agency wurde zwischen dem 01.08.2018 und 30.03.2019 gehackt. Betroffen waren Daten von rund 20 Millionen Patienten, darunter Name, Geburtsdatum und offene Rechnungsbeträge. Quest Diagnostics meldete 11,9 Millionen betroffene Kunden, LabCorp 7,7 Millionen. Die AMCA-Muttergesellschaft meldete am 17.06.2019 Insolvenz an.

Nicht dokumentiert ist, wie viele Betroffene tatsächlich Bankdaten preisgaben. Die technische Schwachstelle wurde nicht im Detail offengelegt. Die Identität der Angreifer ist nicht bestätigt. Die 20 Millionen sind eine Summe aus verschiedenen Kundenmeldungen, Überschneidungen sind nicht ausgeschlossen.

Die Deutsche Bahn gibt bei der Fahrpreisnacherhebung, etwa nach Fahrten ohne gültigen Fahrschein, Kundendaten an die Arvato Infoscore GmbH weiter, eine Bertelsmann-Tochter. Arvato Infoscore berechnet daraus mittels nicht offengelegter Verfahren Bonitätswerte, die über Zahlungsarten, Mobilfunkverträge und Mietwohnungsvergabe mitentscheiden können, ohne dass Betroffene informiert werden. Das Unternehmen verwaltete zum damaligen Zeitpunkt über 40 Millionen Negativmerkmale zu 7,8 Millionen Verbrauchern.

Nicht belegt ist ein spezifischer Fall, in dem die Deutsche Bahn im Zusammenhang mit Sitzplatzreservierungen unmittelbar Bonitätsprüfungen durchführt. Die dokumentierte Praxis betrifft die Fahrpreisnacherhebung bei Schwarzfahren, nicht die reguläre Ticketbuchung. Der Bericht stammt aus 2016, aktuellere Zahlen liegen nicht vor.

Bitmarck, IT-Dienstleister für rund 80 der 96 gesetzlichen Krankenkassen, meldete am 19.01.2023 unbefugten Zugriff auf einen Teil seiner IT-Infrastruktur. Ein Angreifer nutzte gestohlene Zugangsdaten, um ohne Zwei-Faktor-Authentifizierung auf die Plattform Jira zuzugreifen. Nach Präzisierungen waren Daten von rund 300.000 Online-Kunden betroffen. Zentrale Systeme zur Verarbeitung von Gesundheitsdaten waren laut Bitmarck nicht betroffen.

Frühe Meldungen sprachen von bis zu 25 Millionen potenziell betroffenen Versicherten, Bitmarck präzisierte später auf rund 300.000 Online-Kundenkonten. Offen bleibt, wie viele Datensätze tatsächlich kopiert oder im Darknet weiterverkauft wurden.

Western Digital identifizierte am 26.03.2023 einen Sicherheitsvorfall mit Zugriff auf mehrere Unternehmenssysteme, darunter My Cloud. Am 08.05.2023 bestätigte das Unternehmen den Diebstahl von Kundendaten, darunter Namen, Adressen und teilweise Kreditkartennummern. Die Angreifergruppe drohte am 28.04.2023 mit wöchentlichen Datenveröffentlichungen und forderte laut Medienberichten ein Lösegeld im achtstelligen Bereich, mit Drohung der Veröffentlichung auf der Leak-Seite der Ransomware-Gruppe Alphv.

Die Angreifer behaupteten, rund 10 Terabyte erbeutet zu haben, unabhängig nicht bestätigt. Western Digital nannte keine genaue Zahl betroffener Kunden. Ob ein Lösegeld gezahlt wurde, ist nicht bestätigt.

Im Januar 2017 identifizierten Sicherheitsforscher, dass die chinesische Foto-App Meitu auf Android und iOS weit mehr Berechtigungen anfordert als für ihre Kernfunktion nötig, darunter genauen Standort, IMSI-Gerätekennung und WLAN-Verbindungen. Eindeutige Gerätekennungen wurden an Server in China übertragen. Meitu erklärte, die Datensammlung diene der App-Optimierung.

Nicht belegt ist, wofür Meitu die Daten konkret verwendete. Es gibt keine dokumentierten Beweise für eine Weitergabe an chinesische Behörden, dies wurde nur als mögliches Risiko benannt. Es liegt keine behördliche Untersuchung zu diesem Fall vor.

Am 25. und 26.01.2023 wurde ein 44,7 GB großes Archiv mit internem Yandex-Quellcode auf BreachForums veröffentlicht, angeblich bereits im Juli 2022 entwendet. Das Paket enthielt Teile des Suchalgorithmus mit rund 1.922 dokumentierten Ranking-Faktoren. Yandex bestätigte den Vorfall, erklärte aber, nicht gehackt worden zu sein, sondern verwies auf einen ehemaligen Mitarbeiter als Quelle. Keine Nutzerdaten seien betroffen gewesen.

Nicht zweifelsfrei dokumentiert ist, ob es sich tatsächlich um einen Innentäter-Diebstahl handelte, dies beruht allein auf der Darstellung von Yandex. Die genaue Zahl der Ranking-Faktoren ist umstritten, verschiedene Analysten kamen auf Werte zwischen 1.922 und über 17.000.

Ein Forscherteam mehrerer Universitäten analysierte in einem am 08.09.2017 veröffentlichten Paper Apples Implementierung von Differential Privacy. Für macOS Sierra ermittelten sie einen Datenschutzparameter Epsilon von 6, für iOS 10 von 14, kumulativ bis zu 43. Die Fachcommunity betrachtet Epsilon-Werte unter 1 als Richtschnur. Apple widersprach der Studie und verwies auf zusätzliche Schutzmaßnahmen.

Nicht geklärt ist, ob die kumulierten Epsilon-Werte die reale Re-Identifizierbarkeit widerspiegeln, Apple bestreitet, dass sich die Werte einfach addieren lassen. Die Werte stammen aus Reverse Engineering, nicht aus offizieller Apple-Dokumentation.

Am 08. und 09.11.2023 wurde ICBC Financial Services, US-Tochter der weltgrößten Bank ICBC, Opfer eines Ransomware-Angriffs, für den die Gruppe LockBit verantwortlich gemacht wurde. Der Angriff legte den US-Broker-Dealer-Arm lahm und verhinderte die Abwicklung von Trades im US-Staatsanleihenmarkt. ICBC musste Handelsdetails per USB-Stick durch einen Boten übermitteln. Die Rate gescheiterter Abwicklungen stieg am 09.11. auf rund 60 Milliarden US-Dollar.

Die Zuordnung zu LockBit stützt sich auf Einschätzungen von Sicherheitsfirmen, keine offizielle behördliche Bestätigung in jeder Quelle. US-Finanzministerin Yellen erklärte später, der Hack habe keine materiellen Auswirkungen gehabt, im Spannungsverhältnis zu den anfänglichen Berichten. Ob ein Lösegeld gezahlt wurde, ist unbekannt.

Sicherheitsforscher von RedHunt Labs entdeckten Anfang Januar 2024 einen öffentlich zugänglichen GitHub-Token eines Mercedes-Benz-Mitarbeiters, der seit dem 29.09.2023 in einem öffentlichen Repository lag und unbeschränkten Zugriff auf den internen GitHub-Enterprise-Server ermöglichte, darunter Quellcode, Cloud-Zugangsschlüssel für Azure und AWS sowie SSO-Passwörter. Mercedes-Benz widerrief den Token am 24.01.2024 und fand keine Hinweise auf Missbrauch.

Ein separat kolportierter Vorfall eines Systemprompt-Lecks bei einem Mercedes-Benz-Chatbot 2024 ließ sich in der Recherche nicht bestätigen und wird häufig mit einem unabhängigen Fall eines Chevrolet-Händlers in Kalifornien verwechselt. Wie lange der Token vor der Entdeckung tatsächlich ausgenutzt wurde, ist nicht dokumentiert.

In der Nacht auf den 16.10.2021 wurde die Stadtverwaltung Witten Opfer eines Cyberangriffs, der rund 1.000 Computerarbeitsplätze sowie E-Mail und Telefon lahmlegte. Betroffen waren Bürgerberatung, Standesamt und Volkshochschule, während Notruf und Feuerwehr weiterliefen. Die Stadt zog zur Schadensbegrenzung die Netzstecker und schaltete Polizei und LKA ein. Die vollständige Wiederherstellung zog sich bis ins Frühjahr 2022 hin.

Nicht bestätigt wurde, ob es sich um einen klassischen Ransomware-Angriff mit Erpressung handelte. Die genaue Dauer der Wiederherstellung wird unterschiedlich angegeben, ein offizieller Abschlussbericht mit exaktem Enddatum liegt nicht vor.

Ab dem 17.04.2022 griff die Ransomware-Gruppe Conti mehrere costa-ricanische Ministerien an, darunter Finanzen, Arbeit und Wissenschaft. Präsident Rodrigo Chaves erklärte am 08.05.2022 als erstes Staatsoberhaupt weltweit wegen eines Cyberangriffs den nationalen Notstand. Conti forderte zunächst 10 Millionen US-Dollar, später bis zu 20 Millionen, Costa Rica zahlte nicht. Der Zoll- und Steuerbetrieb war wochenlang gestört, kurz darauf griff die verwandte Gruppe HIVE zusätzlich das Gesundheitssystem CCSS an.

Die genaue Gesamtzahl der kompromittierten Behördensysteme wurde nie vollständig veröffentlicht. Unklar bleibt, ob und wie viele costa-ricanische Institutionen doch inoffizielle Zahlungen leisteten. Der wirtschaftliche Gesamtschaden ist nicht abschließend beziffert, Schätzungen bewegen sich im Bereich mehrerer hundert Millionen US-Dollar.

Nach dem 2020 bekannt gewordenen Hack der finnischen Psychotherapiekette Vastaamo, bei dem Patientenakten von rund 33.000 Betroffenen entwendet und teils veröffentlicht wurden, meldeten sich tausende Patienten mit Schadensersatzforderungen gegen den mittlerweile insolventen Betreiber. Ein finnisches Gericht verurteilte den Täter Julius Kivimäki im April 2024 zu einer Haftstrafe von sechs Jahren und drei Monaten wegen Datenerpressung und Offenlegung von Patientendaten. Die Konkursmasse Vastaamos reichte für Entschädigungszahlungen nicht annähernd aus.

Nicht abschließend geklärt ist, wie viele Betroffene tatsächlich eine Entschädigung erhielten, da die Insolvenzmasse begrenzt war. Die genaue Zahl der veröffentlichten Patientenakten schwankt in Berichten zwischen rund 2.000 und weit höheren Schätzungen.

Am 15.09.2022 verschaffte sich ein mit der Gruppe Lapsus\$ verbundener Angreifer per Social Engineering und MFA-Fatigue Zugriff auf einen Uber-Mitarbeiter-Account und darüber auf interne Systeme wie Slack, AWS, Google Workspace und den HackerOne-Bug-Bounty-Bereich. Der Angreifer postierte eine Nachricht im firmeninternen Slack-Kanal und veränderte die Startseite interner Tools. Uber bestätigte den Vorfall am 16.09.2022 offiziell.

Nicht abschließend belegt ist, in welchem Umfang Kundendaten tatsächlich eingesehen wurden, Uber erklärte, keine sensiblen Nutzerdaten seien exfiltriert worden, eine unabhängige vollständige Bestätigung dafür liegt öffentlich nicht vor. Ein separater Vorwurf, frühere Uber-Führungskräfte hätten einen Vorgängervorfall 2016 vertuscht, ist Gegenstand eines eigenen, hier nicht behandelten Verfahrens.

Die Bundesregierung machte am 03.05.2024 die russische Hackergruppe APT28, die dem Militärgeheimdienst GRU zugeordnet wird, für einen Cyberangriff auf die IT-Systeme der SPD-Bundesgeschäftsstelle im Jahr 2023 verantwortlich. Zusätzlich betroffen waren Unternehmen der Logistik-, Rüstungs- und Luft- und Raumfahrtbranche. Das Auswärtige Amt bestellte den russischen Botschafter ein, die EU verurteilte den Angriff gemeinsam mit mehreren Partnerstaaten.

Nicht öffentlich beziffert wurde der konkrete Umfang der abgeflossenen Daten bei der SPD oder den betroffenen Unternehmen. Die genaue Zahl und Namen aller betroffenen Rüstungsunternehmen wurden aus Sicherheitsgründen nicht vollständig veröffentlicht.