Quellen-Tabelle

Der Hongkonger Spielzeughersteller VTech wurde am 14.11.2015 Opfer eines Hackerangriffs auf die Datenbanken seines App-Stores Learning Lodge und des Nachrichtendienstes Kid Connect. Die Angreifer nutzten eine SQL-Injection-Schwachstelle aus, um unverschlüsselt gespeicherte Kundendaten zu entwenden, obwohl VTechs Datenschutzrichtlinie eine Verschlüsselung zugesichert hatte. Nach Unternehmensangaben waren weltweit 6,4 Millionen Kinderprofile mit Namen, Geschlecht und Geburtsdatum sowie 4,8 Millionen zugehörige Elternkonten mit E-Mail-Adressen, Postanschriften, IP-Adressen und Passwörtern betroffen, in Deutschland rund 509.000 Kinder und 391.000 Eltern. Bei einem Teil der Konten wurden zudem Kinderfotos und Chatverläufe aus der Kid-Connect-App kompromittiert. VTech informierte die Öffentlichkeit erstmals am 27.11.2015, das volle Ausmaß von 6,4 Millionen betroffenen Kindern wurde Anfang Dezember 2015 bekannt. Die britische South East Regional Organised Crime Unit nahm im Januar 2016 einen 21 Jahre alten Mann unter Verdacht der unbefugten Computernutzung fest. Die US-Handelsaufsicht FTC verhängte am 08.01.2018 eine Geldstrafe von 650.000 US-Dollar gegen VTech wegen Verstoßes gegen den Children's Online Privacy Protection Act (COPPA). Im Rahmen der Einigung musste VTech zudem für die folgenden 20 Jahre ein umfassendes, jährlich extern geprüftes Datensicherheitsprogramm einführen.

Die zitierte heise-Meldung selbst beschreibt weder den technischen Ablauf des Angriffs per SQL-Injection noch den genauen Umfang der kompromittierten Kinderfotos und Chatverläufe im Detail, und es bleibt offen, ob der 2016 in Großbritannien festgenommene Verdächtige später tatsächlich verurteilt wurde.

Der US-Krankenversicherer Premera Blue Cross gab am 17.03.2015 ein Datenleck bekannt, bei dem Angreifer über Monate unentdeckt Zugriff auf die Unternehmensnetzwerke hatten. Der initiale Einbruch erfolgte laut den beauftragten Ermittlern Mandiant und dem FBI bereits am 05.05.2014, entdeckt wurde er von Premera erst am 29.01.2015. Betroffen waren rund 11 Millionen aktuelle und ehemalige Kunden von Premera Blue Cross, Premera Blue Cross Blue Shield of Alaska sowie der Marken Vivacity und Connexion Insurance Solutions. Die Angreifer erlangten möglicherweise Zugriff auf Namen, Geburtsdaten, E-Mail-Adressen, Anschriften, Telefonnummern, Sozialversicherungsnummern, Mitgliedsnummern, Bankverbindungen sowie klinische Behandlungsdaten der Versicherten. Als Einfallstor diente vermutlich eine Phishing-Kampagne über die gefälschte Domain prennera.com, die der echten Domain premera.com mit doppeltem n ähnelte. Sicherheitsforscher brachten den Angriff mit chinesischen staatsnahen Hackergruppen in Verbindung, eine offizielle behördliche Zuordnung blieb jedoch aus. Premera bot den betroffenen Personen zwei Jahre kostenlose Kreditüberwachung durch Experian an. Am 25.09.2020 einigte sich Premera mit dem US-Gesundheitsministerium HHS auf eine Zahlung von 6,85 Millionen US-Dollar wegen Verstößen gegen die HIPAA-Datenschutzregeln, die zweithöchste derartige Strafe bis zu jenem Zeitpunkt. In einem separaten zivilrechtlichen Sammelklageverfahren zahlte Premera zusätzlich bis zu 74 Millionen US-Dollar an Betroffene.

Unklar bleibt, ob die gestohlenen Daten tatsächlich abgeflossen oder für Identitätsdiebstahl missbraucht wurden. Premera erklärte, keine Beweise für eine tatsächliche Ausleitung oder missbräuchliche Nutzung der Daten gefunden zu haben, und die vermutete Urheberschaft chinesischer Staatshacker wurde nie offiziell bestätigt.

Der US-Krankenhausbetreiber Community Health Systems (CHS) aus Franklin, Tennessee, meldete am 18.08.2014 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC einen Datendiebstahl bei 4,5 Millionen Patienten. Die unbefugten Zugriffe auf das Firmennetzwerk fanden nach Angaben von CHS im April und Juni 2014 statt und wurden im Juli 2014 entdeckt. Betroffen waren Namen, Adressen, Geburtsdaten, Telefonnummern und Sozialversicherungsnummern von Personen, die in den vorangegangenen fünf Jahren von CHS angegliederten Ärzten behandelt oder überwiesen worden waren, medizinische Behandlungsdaten und Kreditkartendaten wurden nicht entwendet. Als Einfallstor diente laut der Sicherheitsfirma TrustedSec und der forensischen Untersuchung durch Mandiant ein Juniper-Netzwerkgerät, das trotz verfügbarer Patches weiterhin für die im April 2014 bekannt gewordene Heartbleed-Sicherheitslücke CVE-2014-0160 anfällig war; die Angreifer stahlen darüber VPN-Zugangsdaten aus dem Arbeitsspeicher des Geräts. Der Fall gilt als einer der ersten öffentlich dokumentierten Angriffe, bei denen Heartbleed aktiv zum Eindringen in ein Unternehmensnetzwerk ausgenutzt wurde. Mandiant ordnete den Angriff der aus China operierenden Gruppe APT18 zu, der Verbindungen zur chinesischen Regierung nachgesagt werden. CHS betrieb zum Zeitpunkt des Vorfalls rund 206 Krankenhäuser in 29 US-Bundesstaaten. Am 08.10.2020 einigte sich CHS mit den Generalstaatsanwälten von 28 US-Bundesstaaten auf eine Zahlung von 5 Millionen US-Dollar zur Beilegung der Untersuchung, ohne ein Fehlverhalten einzuräumen; die Behörden bezifferten die Zahl der betroffenen Patienten zu diesem Zeitpunkt auf 6,1 Millionen.

Aus der herangezogenen Quelle nicht belegt sind der genaue Grund für die spätere Erhöhung der offiziell genannten Opferzahl von 4,5 auf 6,1 Millionen im Vergleich von 2020 sowie ein bestätigtes Motiv der Gruppe APT18 für den für sie untypischen Fokus auf Patienten-Identitätsdaten statt auf geistiges Eigentum.

Am 24.11.2014 entdeckten Mitarbeiter von Sony Pictures Entertainment in Culver City, Kalifornien, dass ihre Computer von einer Gruppe namens Guardians of Peace (GOP) kompromittiert worden waren. Die Angreifer veröffentlichten in den folgenden Wochen interne E-Mails, Gehaltsdaten von Führungskräften, mehrere unveröffentlichte Spielfilme (darunter Annie, Fury und Still Alice) sowie nach Presseberichten vom 07.12.2014 rund 47.000 Sozialversicherungsnummern von Mitarbeitern und Prominenten. Die Angreifer selbst behaupteten, mehr als 100 Terabyte an Daten entwendet zu haben, diese Zahl wurde unabhängig nicht verifiziert. Die Guardians of Peace forderten die Absage des Kinostarts der Sony-Komödie The Interview, die eine fiktive Ermordung des nordkoreanischen Machthabers Kim Jong Un zeigt, und drohten mit Gewalt gegen Kinos. Sony sagte den geplanten Kinostart am 17.12.2014 ab, nachdem große Kettenbetreiber wie AMC, Regal, Cinemark und Carmike die Vorführungen zurückgezogen hatten; der Film erschien stattdessen ab dem 25.12.2014 online und in ausgewählten Kinos. Das FBI erklärte am 19.12.2014 offiziell, die nordkoreanische Regierung sei für den Angriff verantwortlich, gestützt unter anderem auf IP-Adressen und Schadsoftware-Überschneidungen mit früheren Nordkorea zugeschriebenen Angriffen. Die USA verhängten am 02.01.2015 zusätzliche Wirtschaftssanktionen gegen Nordkorea. Sony bezifferte die finanziellen Folgekosten auf rund 15 Millionen US-Dollar. Am 06.09.2018 klagte das US-Justizministerium den nordkoreanischen Staatsbürger Park Jin Hyok wegen Verschwörung zu Computerbetrug im Zusammenhang mit dem Sony-Hack sowie den Angriffen auf die Bangladesh Bank und WannaCry an.

Die von den Angreifern behauptete Datenmenge von über 100 Terabyte ist unabhängig nicht verifiziert, ebenso bleibt offen, ob Nordkorea den Angriff direkt über eigene Mitarbeiter oder ausschließlich über die mit dem Militärgeheimdienst RGB verbundene Lazarus Group ausführte. Der 2018 angeklagte Park Jin Hyok wurde nie vor ein US-Gericht gestellt, da er sich mutmaßlich in Nordkorea befindet, weshalb kein rechtskräftiges Urteil vorliegt.

Am 05.11.2017 veröffentlichte das International Consortium of Investigative Journalists (ICIJ) die Paradise Papers, ein Datensatz von 13,4 Millionen Dokumenten mit einem Volumen von rund 1,4 Terabyte. Kernquelle war die Offshore-Kanzlei Appleby mit Sitz in Bermuda, die rund 7 Millionen Dateien beisteuerte, darunter Kreditverträge, Finanzberichte, E-Mails und Treuhandurkunden aus fast 50 Jahren. Weitere Quellen waren der Treuhandanbieter Asiaciti Trust sowie Firmenregister aus 19 Geheimhaltungsjurisdiktionen. Die Süddeutsche Zeitung erhielt die Dokumente zuerst und teilte sie mit dem ICIJ, das anschließend mit 95 Medienpartnern und mehr als 380 Journalisten in 67 Ländern zusammenarbeitete. Die Recherche legte Offshore-Aktivitäten von mehr als 120 Politikern und Staatschefs offen, darunter Königin Elizabeth II. und der damalige US-Handelsminister Wilbur Ross, sowie Steuergestaltungen von fast 100 multinationalen Konzernen wie Apple, Nike und Uber. Appleby verklagte daraufhin The Guardian und BBC wegen der Veröffentlichung gestohlener Daten, der Rechtsstreit wurde am 04.05.2018 außergerichtlich beigelegt. In der Türkei wurde die Journalistin Pelin Ünker wegen ihrer Berichterstattung zunächst zu 13 Monaten Haft verurteilt, das Urteil später im Berufungsverfahren aufgehoben. Mehrere Regierungen leiteten nach der Veröffentlichung steuerliche und politische Untersuchungen ein.

Die genaue Zahl der betroffenen natürlichen Personen variiert je nach Zählweise zwischen den ICIJ-Veröffentlichungen, und der Ausgang vieler daraus resultierender behördlicher Untersuchungen in einzelnen Ländern ist nicht abschließend dokumentiert.

Am 03.10.2021 veröffentlichte das International Consortium of Investigative Journalists (ICIJ) gemeinsam mit über 600 Journalisten aus 150 Medienorganisationen in 117 Ländern die Pandora Papers, eine Sammlung von 11,9 Millionen vertraulichen Dokumenten mit einem Datenvolumen von 2,94 Terabyte. Die Unterlagen stammen aus internen Datenbanken von 14 Offshore-Dienstleistern und umfassen Verträge, E-Mails, Tabellenkalkulationen, Bilder und Präsentationen aus dem Zeitraum 1996 bis 2021. Die Auswertung deckte verdeckte Vermögen, Immobilien und Firmenbeteiligungen von 35 amtierenden oder ehemaligen Staats- und Regierungschefs sowie mehr als 330 weiteren Politikern und hohen Amtsträgern in 91 Ländern auf. Zu den genannten Personen zählten unter anderem Aserbaidschans Präsident Ilham Alijew, Jordaniens König Abdullah II. und der tschechische Premierminister Andrej Babiš. Zudem waren mehr als 130 Milliardäre aus der Forbes-Liste sowie Prominente und Sportfunktionäre in den Daten verzeichnet. Als Folge der Veröffentlichung kündigten mehrere Staaten steuerliche und strafrechtliche Ermittlungen an, in Frankreich wurde unter anderem gegen den libanesischen Zentralbankchef Riad Salameh wegen Geldwäsche ermittelt. Im Juni 2023 erwarb das Bundesland Hessen die Pandora-Papers-Daten zur Verfolgung von Steuerstraftaten in Deutschland. Die Recherche baute auf früheren ICIJ-Enthüllungen wie den Panama Papers von 2016 und den Paradise Papers von 2017 auf.

Aus der Quelle nicht abschließend belegt sind der strafrechtliche Ausgang der meisten angestoßenen Ermittlungen sowie eine vollständige, unabhängig verifizierte Liste aller in den Datensätzen genannten Personen, da die Rohdokumente nicht öffentlich einsehbar sind.

Am 20.09.2020 veröffentlichten BuzzFeed News und das International Consortium of Investigative Journalists (ICIJ) gemeinsam mit 108 weiteren Medienpartnern aus 88 Ländern die Recherche FinCEN Files. Grundlage waren mehr als 2.100 vertrauliche Verdachtsmeldungen (Suspicious Activity Reports) an die US-Finanzaufsichtsbehörde FinCEN sowie tausende weitere Dokumente aus dem Zeitraum 1999 bis 2017. Die Unterlagen zeigen über 200.000 Transaktionen im Gesamtwert von mehr als 2 Billionen US-Dollar, die Banken selbst als mutmaßlich verdächtig einstuften, aber dennoch abwickelten. Namentlich genannt wurden unter anderem JPMorgan Chase mit rund 514 Milliarden US-Dollar und die Deutsche Bank mit etwa 1,3 Billionen US-Dollar sowie einem Anteil von rund 62 Prozent aller geleakten Meldungen, zudem HSBC, Barclays, Standard Chartered und Bank of New York Mellon. Quelle der Dokumente war die frühere FinCEN-Mitarbeiterin Natalie Mayflower Sours Edwards. Mehr als 400 Journalisten werteten das Material in einer rund 16-monatigen Recherche gemeinsam aus. FinCEN kündigte am 16.09.2020, kurz vor der Veröffentlichung, eine Reform seiner Prozesse zur Geldwäschebekämpfung an. Edwards bekannte sich im Januar 2020 schuldig der unbefugten Weitergabe vertraulicher Regierungsdokumente und wurde im Juni 2021 zu sechs Monaten Haft verurteilt. Die Recherche wurde 2021 als Finalistin für den Pulitzer-Preis in der Kategorie International Reporting ausgezeichnet.

Die Quelle trifft keine abschließende juristische Bewertung, ob die gemeldeten Transaktionen tatsächlich Geldwäsche darstellten, und außer der Verurteilung der Whistleblowerin sind keine strafrechtlichen Konsequenzen gegen die genannten Banken oder deren verantwortliche Mitarbeiter belegt.

Der US-amerikanische GPS- und Wearable-Hersteller Garmin wurde am 23.07.2020 Opfer eines Ransomware-Angriffs mit der Schadsoftware WastedLocker. Der Angriff legte weltweit zentrale Dienste lahm, darunter die Plattform Garmin Connect, den Flugnavigationsdienst flyGarmin, die Kundenhotline sowie interne Kommunikationssysteme. Millionen Nutzer von Fitness-Trackern, Smartwatches und Navigationsgeräten konnten mehrere Tage lang keine Daten mehr mit den Garmin-Servern synchronisieren. Als Verursacher gilt die russische Cyberkriminellen-Gruppe Evil Corp, die auch für die Schadsoftware Dridex verantwortlich gemacht wird und seit Dezember 2019 auf der Sanktionsliste des US-Finanzministeriums steht. Laut Medienberichten forderten die Angreifer ein Lösegeld von 10 Millionen US-Dollar für die Entschlüsselung der Systeme. Ab dem 01.08.2020 begann Garmin mit der schrittweisen Wiederherstellung der Dienste, nachdem das Unternehmen offenbar einen funktionierenden Entschlüsselungscode erhalten hatte. Am 27.07.2020 bestätigte Garmin in einer offiziellen Stellungnahme den Cyberangriff, äußerte sich jedoch nicht zu einer möglichen Lösegeldzahlung. Nach Unternehmensangaben wurden keine Kundendaten, einschließlich Zahlungsinformationen des Bezahldienstes Garmin Pay, entwendet oder verloren. Die Notfallfunktion inReach blieb von dem Ausfall unberührt.

Ob und in welcher Höhe Garmin tatsächlich ein Lösegeld gezahlt hat, ist von Garmin selbst nie offiziell bestätigt worden; Berichte über eine Zahlung von rund 10 Millionen US-Dollar über einen zwischengeschalteten Dienstleister stützen sich auf anonyme Quellen und Indizien wie den erhaltenen Entschlüsselungscode, nicht auf eine Bestätigung durch Garmin oder die Angreifer.

Der US-Versicherungskonzern CNA Financial Corp. mit Sitz in Chicago wurde im März 2021 Opfer eines Ransomware-Angriffs. Ein Mitarbeiter lud am 05.03.2021 nach dem Besuch einer legitimen Website ein gefälschtes Browser-Update herunter, wodurch sich die Angreifer Zugang zum Firmennetzwerk verschafften. Zwischen dem 05.03.2021 und dem 21.03.2021 bewegten sich die Täter unentdeckt im Netzwerk und kopierten Daten, bevor sie am 21.03.2021 die Ransomware Phoenix CryptoLocker auslösten und mehr als 15.000 Geräte verschlüsselten. Die Täter, eine Gruppe namens Phoenix mit mutmaßlichen Verbindungen zur Cybercrime-Organisation Evil Corp, forderten zunächst ein Lösegeld von 999 Bitcoin, umgerechnet rund 55 bis 60 Millionen US-Dollar. Nach Verhandlungen zahlte CNA Financial Ende März 2021 rund 40 Millionen US-Dollar in Bitcoin, um wieder Zugriff auf ihre Systeme zu erhalten. Laut einem am 20.05.2021 veröffentlichten Bloomberg-Bericht war dies zu diesem Zeitpunkt die höchste öffentlich bekannt gewordene Ransomware-Zahlung eines Unternehmens. Bei dem Angriff wurden zudem persönliche Daten von 75.349 Personen entwendet, überwiegend aktuelle und ehemalige Mitarbeiter, Vertragsarbeiter und deren Angehörige. CNA bot den Betroffenen 24 Monate kostenlose Kreditüberwachung durch Experian an.

Die genaue Zahlungshöhe von 40 Millionen US-Dollar sowie Details der Lösegeldverhandlung stammen aus anonymen, mit dem Vorgang vertrauten Quellen und wurden von CNA Financial nie offiziell in dieser Form bestätigt; auch das exakte Zahlungsdatum sowie eine gerichtsfeste Attribution der Tätergruppe Phoenix zu Evil Corp gelten als nicht abschließend belegt.

Am 11. Dezember 2021 entdeckte der Softwarehersteller Ultimate Kronos Group (UKG) einen Ransomware-Angriff auf seine Kronos Private Cloud (KPC), eine separate Cloud-Umgebung für ältere Workforce-Management-Produkte. UKG informierte am 13. Dezember 2021 öffentlich über den Vorfall. Betroffen waren die Systeme UKG Workforce Central, UKG TeleStaff, Healthcare Extensions und Banking Scheduling Solutions, während UKG Pro, UKG Ready und UKG Dimensions in getrennten Umgebungen liefen und nicht betroffen waren. Nach Angaben von UKG konnte die vollständige Wiederherstellung mehrere Wochen dauern, einige Kunden meldeten erst Ende Januar 2022 wieder volle Funktionsfähigkeit. Mehr als 2000 Unternehmen weltweit nutzten die Kronos Private Cloud, darunter FedEx, PepsiCo, Tesla, Whole Foods, die New Yorker Metropolitan Transportation Authority sowie die britischen Firmen Sainsbury's und Boots. Schätzungen zufolge waren die Arbeitszeit- und Lohndaten von rund acht Millionen Beschäftigten betroffen, da die Systeme für Zeiterfassung, Dienstpläne und Lohnabrechnung ausfielen. Bei dem Angriff wurden zudem personenbezogene Daten von Mitarbeitern und deren Angehörigen entwendet. Im April 2023 stimmte UKG in einem Sammelklageverfahren vor dem US-Bundesgericht einer Zahlung von bis zu 6 Millionen US-Dollar an betroffene Beschäftigte zu.

Aus den verfügbaren Quellen geht nicht hervor, welche Ransomware-Gruppe für den Angriff verantwortlich war und ob ein Lösegeld gezahlt wurde; auch die exakte Zahl der von der Datenexfiltration betroffenen Personen ist nicht abschließend belegt.

Am 14.05.2021 wurde der irische staatliche Gesundheitsdienst Health Service Executive (HSE) Ziel eines Ransomware-Angriffs der Gruppe Conti, der zur Abschaltung nahezu aller IT-Systeme im ganzen Land führte. Das irische National Cyber Security Centre (NCSC) hatte bereits am Vortag verdächtige Aktivität im Netzwerk des Gesundheitsministeriums festgestellt und dabei Cobalt-Strike-Beacons entdeckt, die typischerweise der lateralen Bewegung vor einem Ransomware-Einsatz dienen. Gegen 07:00 Uhr am 14.05.2021 meldete das NCSC den Angriff auf die HSE-Systeme, woraufhin die HSE vorsorglich sämtliche IT-Systeme landesweit abschaltete. Ein zeitgleicher Angriffsversuch auf das Gesundheitsministerium selbst wurde durch Antivirensoftware gestoppt. Laut dem im Dezember 2021 von PwC im Auftrag der HSE veröffentlichten Untersuchungsbericht erfolgte der erste Zugriff der Angreifer bereits am 18.03.2021 über eine mit Schadsoftware präparierte Excel-Datei aus einer Phishing-Mail, danach blieben die Angreifer rund acht Wochen unentdeckt im Netzwerk. Mehr als 80 Prozent der HSE-IT-Landschaft waren betroffen, 31 von 54 Akutkrankenhäusern mussten Operationen und Termine absagen und auf Papierdokumentation umstellen. Die Angreifer forderten späteren Berichten zufolge ein Lösegeld von rund 19.999.000 US-Dollar, das die irische Regierung nach eigener Aussage nicht zahlte. Am 20.05.2021 stellte die Conti-Gruppe dennoch kostenlos einen Entschlüsselungsschlüssel bereit. Bis September 2021 waren nach HSE-Angaben mehr als 95 Prozent der Server und Endgeräte wiederhergestellt.

Die zitierte NCSC-Meldung dokumentiert nur die ersten Tage des Angriffs. Lösegeldforderung, Gesamtkosten und der spätere Wiederherstellungsverlauf stammen aus nachfolgenden Berichten und schwanken je nach Quelle, etwa bei den geschätzten Gesamtkosten, die zwischen zig Millionen und über 100 Millionen Euro liegen.

In der Nacht zum 17.04.2022 griff die Ransomware-Gruppe Conti die Server des costa-ricanischen Finanzministeriums (Ministerio de Hacienda) an und infizierte in der Folge fast 30 Regierungsinstitutionen, darunter das Zoll- und das Steuersystem. Aus der Steuerplattform ATV wurden rund 1 Terabyte an Daten entwendet. Am 19.04.2022 forderte Conti ein Lösegeld von 10 Millionen US-Dollar, das die Regierung ablehnte; am 21.04.2022 bot die Gruppe einen Rabatt von 35 Prozent an. Am 08.05.2022 erklärte der neu vereidigte Präsident Rodrigo Chaves per Dekret den nationalen Notstand, eine der ersten derartigen Erklärungen eines Staates wegen eines Cyberangriffs. Die Regierung bezifferte die täglichen wirtschaftlichen Verluste auf rund 30 Millionen US-Dollar, der Ausfall des Zollsystems TICA soll rund 125 Millionen US-Dollar Schaden im Außenhandel verursacht haben. Das Steuersystem ATV ging erst am 13.06.2022 wieder in Betrieb, die Zollsysteme TICA und Exonet folgten am 24.06.2022. USA, Israel, Spanien und Microsoft leisteten technische Unterstützung bei der Bewältigung des Angriffs. Am 31.05.2022 legte zusätzlich die verwandte Ransomware-Gruppe Hive den Sozialversicherungsträger CCSS lahm und forderte 5 Millionen US-Dollar Lösegeld, was einen zweiten Notstand auslöste.

Nicht offiziell verifiziert sind die exakte Gesamthöhe des wirtschaftlichen Schadens sowie die Behauptung, Personen in Costa Rica hätten der Conti-Gruppe intern geholfen; ob letztlich ein Lösegeld gezahlt wurde, ist ebenfalls nicht dokumentiert.

Am 24.05.2019 berichtete der Sicherheitsjournalist Brian Krebs auf KrebsOnSecurity, dass die Website des US-Titelversicherers First American Financial Corp. mit Sitz in Santa Ana, Kalifornien, rund 885 Millionen Dokumente ohne jede Zugangsbeschränkung frei im Internet zugänglich gemacht hatte. Ursache war eine Webanwendung zum Dokumentenaustausch, in der einzelne Dateien über sequenziell durchnummerierte URLs abgerufen wurden; durch bloßes Ändern einer Ziffer in der Adresszeile ließ sich ohne Login oder Passwort auf beliebige weitere Dokumente zugreifen. Betroffen waren Unterlagen aus Immobilien- und Hypothekenabschlüssen, die bis ins Jahr 2003 zurückreichten, darunter Bankkontonummern und -auszüge, Hypotheken- und Steuerdokumente, Sozialversicherungsnummern, Überweisungsbelege und Führerscheinbilder. Auf die Schwachstelle aufmerksam wurde Krebs durch den Immobilienentwickler Ben Shoval, der zuvor bereits erfolglos First American kontaktiert hatte. Das Unternehmen schaltete den externen Zugriff auf die Anwendung nach der Meldung ab und bezeichnete den Vorfall als Design-Fehler, ohne die Zahl tatsächlich betroffener Datensätze oder die genaue Dauer der Verwundbarkeit zu beziffern. Die US-Börsenaufsicht SEC verhängte am 15.06.2021 wegen unzureichender Offenlegungskontrollen zur Cybersicherheit eine Strafe von 487.616 US-Dollar. Die New Yorker Finanzaufsicht NYDFS verhängte im November 2023 zusätzlich eine Strafe von 1 Million US-Dollar, ihre erste Durchsetzungsmaßnahme in diesem Bereich überhaupt.

Aus dem Artikel nicht belegt ist, wie lange die Schwachstelle exakt bestand (Webarchiv-Funde deuten auf mindestens seit März 2017 hin) und ob bzw. in welchem Umfang die frei zugänglichen Dokumente tatsächlich von Dritten missbräuchlich abgerufen oder ausgewertet wurden.

Am 03.11.2021 verschaffte sich ein Angreifer durch einen Social-Engineering-Anruf bei einem Kundendienstmitarbeiter des US-Aktienbrokers Robinhood Markets Zugang zu internen Support-Systemen. Robinhood informierte die Öffentlichkeit am 08.11.2021 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC sowie im eigenen Unternehmensblog über den Vorfall. Nach Unternehmensangaben wurden E-Mail-Adressen von rund fünf Millionen Kunden sowie vollständige Namen von weiteren rund zwei Millionen Kunden erbeutet, insgesamt waren damit etwa 7 Millionen Nutzer betroffen. Bei einer kleineren Gruppe von etwa 310 Kunden wurden zusätzlich Geburtsdaten und Postleitzahlen offengelegt, bei rund 10 Kunden noch umfangreichere Kontoinformationen. Am 16.11.2021 ergänzte Robinhood, dass auch Telefonnummern von mehr als 4.400 Kunden gestohlen worden waren. Sozialversicherungsnummern, Bankkontonummern und Debitkartendaten waren nach Unternehmensangaben nicht betroffen, finanzielle Verluste bei Kunden wurden nicht festgestellt. Der Angreifer forderte von Robinhood eine Erpressungszahlung, ob diese geleistet wurde, machte das Unternehmen zunächst nicht öffentlich. Im Januar 2025 verhängte die SEC gegen zwei Robinhood-Broker-Dealer-Einheiten eine Strafzahlung von insgesamt 45 Millionen US-Dollar, unter anderem wegen unzureichender Datenschutz- und Identitätsschutzmaßnahmen im Zusammenhang mit dem Vorfall.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Höhe die vom Angreifer geforderte Erpressungszahlung tatsächlich geleistet wurde; auch die Identität des Angreifers und der genaue technische Ablauf des Social-Engineering-Anrufs wurden öffentlich nicht bestätigt.

Der Hosting-Anbieter GoDaddy gab am 22.11.2021 bekannt, dass Unbefugte mithilfe eines kompromittierten Passworts Zugriff auf das Provisioning-System der Legacy-Codebasis für Managed WordPress erlangt hatten. Der unautorisierte Zugriff begann laut GoDaddy am 06.09.2021 und wurde am 17.11.2021 entdeckt. Betroffen waren bis zu 1,2 Millionen aktive und inaktive Managed-WordPress-Kunden. Bei allen Betroffenen wurden E-Mail-Adressen und Kundennummern offengelegt. Bei aktiven Kunden waren zusätzlich das ursprüngliche, bei der Einrichtung vergebene WordPress-Admin-Passwort sowie sFTP- und Datenbank-Zugangsdaten kompromittiert. Bei einer Teilmenge der aktiven Kunden wurde zudem der private SSL-Schlüssel offengelegt. GoDaddy sperrte nach eigenen Angaben den unbefugten Zugriff, setzte die betroffenen Passwörter zurück und begann mit der Ausstellung neuer SSL-Zertifikate für betroffene Kunden. Chief Information Security Officer Demetrius Comes bestätigte den Vorfall in der offiziellen Mitteilung und entschuldigte sich bei den Kunden. GoDaddy meldete den Vorfall außerdem in einer Form-8-K-Mitteilung an die SEC.

Die Pressemitteilung nennt weder die Identität der Angreifer noch die genaue technische Schwachstelle im Provisioning-System. Nicht belegt sind zudem etwaige spätere Bußgelder, der Ausgang der in den USA eingereichten Sammelklagen sowie die tatsächlichen finanziellen Gesamtkosten des Vorfalls für GoDaddy.

Zwischen dem 01.08.2018 und dem 30.03.2019 hatte ein unbekannter Angreifer unautorisierten Zugriff auf die Zahlungsseite des US-Inkassodienstleisters American Medical Collection Agency (AMCA), der Rechnungen für Labordienstleister wie Quest Diagnostics und LabCorp einzog. Quest Diagnostics gab am 03.06.2019 bekannt, dass über seinen Abrechnungsdienstleister Optum360 rund 11,9 Millionen Patientendaten betroffen waren. LabCorp meldete am 04.06.2019 rund 7,7 Millionen betroffene Patienten. Am 07.06.2019 kam mit BioReference Laboratories ein weiterer AMCA-Kunde mit rund 422.600 betroffenen Personen hinzu, wodurch die Gesamtzahl der Betroffenen auf 20.022.600 stieg. Nach damaligem Kenntnisstand von AMCA umfassten die kompromittierten Daten Namen, Adressen, Telefonnummern, Geburtsdaten, Behandlungsdaten, E-Mail-Adressen, Angaben zu Kostenträgern sowie teilweise Bankverbindungen, nicht jedoch Sozialversicherungsnummern, medizinische Befunde oder Passwörter. AMCA nahm die betroffene Zahlungsseite vom Netz, wechselte zu einem anderen Zahlungsdienstleister und beauftragte eine IT-Sicherheitsfirma mit der forensischen Untersuchung. Betroffenen Personen wurde eine zweijährige kostenlose Kredit- und Identitätsüberwachung angeboten. Infolge der hohen Kosten für Aufklärung und Benachrichtigung meldete AMCA im Juni 2019 Insolvenz an.

Der Quellenartikel schloss den Zugriff auf Sozialversicherungsnummern und medizinische Befunde noch ausdrücklich aus; spätere Ermittlungen und ein 2021 geschlossener Vergleich mit 41 US-Bundesstaaten gingen dagegen von bis zu 21 Millionen Betroffenen mit teils doch kompromittierten Sozialversicherungsnummern aus, sodass der genaue Umfang der betroffenen Datenkategorien zum Zeitpunkt dieses Berichts nicht abschließend geklärt war.

Am 20. Januar 2021 entdeckte das brasilianische Cybersicherheitsunternehmen PSafe im Darknet einen Datensatz mit persönlichen Informationen von mehr als 220 Millionen Menschen, mehr als die Einwohnerzahl Brasiliens von rund 210 Millionen, da auch Daten Verstorbener enthalten waren. Die rund 1 Terabyte umfassenden komprimierten Dateien enthielten vollständige Namen, Geburtsdaten, Steueridentifikationsnummern (CPF), Adressen, Telefonnummern, E-Mail-Adressen, Gehaltsangaben, Kreditwürdigkeitsbewertungen und teilweise Gesichtsbilder. Eine zweite Datensammlung betraf rund 40 Millionen brasilianische Unternehmen samt Steuernummern (CNPJ) und geschätzten Umsätzen, zusätzlich waren Daten zu mehr als 104 Millionen Fahrzeugen samt Fahrgestellnummer, Kennzeichen und technischen Details betroffen. Wegen der Art der Daten fiel der Verdacht auf die brasilianische Auskunftei Serasa Experian, eine Tochtergesellschaft des britischen Konzerns Experian, insbesondere auf deren Datenbank des Dienstes Mosaic. Serasa Experian bestritt, dass die eigenen Systeme kompromittiert wurden, und erklärte nach einer forensischen Untersuchung durch externe Spezialisten, es gebe keine Beweise für einen Einbruch. Die Verbraucherschutzbehörden Procon-SP und Senacon sowie die brasilianische Datenschutzbehörde ANPD leiteten Untersuchungen ein und bezeichneten die Erklärungen des Unternehmens als unzureichend. Der Datenschutzexperte Bruno Bioni von Data Privacy Brasil nannte den Vorfall das größte und gefährlichste Datenleck in der Geschichte Brasiliens. Die Täter boten den vollständigen Datensatz im Darknet zum Kauf an, unter anderem für rund 40.000 US-Dollar in Bitcoin.

Aus dieser Quelle ist nicht belegt, wer konkret für das Leck verantwortlich ist oder auf welchem technischen Weg die Daten abflossen; Serasa Experian bestritt eine eigene Systemkompromittierung, ohne dass zum Berichtszeitpunkt eine andere Quelle offiziell bestätigt war, und der Ausgang der behördlichen sowie gerichtlichen Verfahren blieb offen.

Am 30.11.2018 gab die Hotelkette Marriott International bekannt, dass Unbekannte bereits seit Juli 2014 unbefugten Zugriff auf die Reservierungsdatenbank der 2016 von Marriott übernommenen Tochter Starwood hatten. Der Zugriff blieb bis zur Entdeckung am 08.09.2018 vier Jahre lang unbemerkt. Betroffen waren rund 339 Millionen Gästedatensätze weltweit, davon etwa 30 Millionen aus der EU und 7 Millionen aus Großbritannien. Kompromittiert wurden Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten, Geschlecht, Reservierungsdaten sowie bei rund 5,25 Millionen Personen unverschlüsselte Passnummern; teilweise waren auch Kreditkartendaten betroffen. Die britische Datenschutzbehörde ICO kündigte am 09.07.2019 wegen Verstoßes gegen Artikel 5(1)(f) und Artikel 32 der DSGVO ein Bußgeld von 99,2 Millionen Pfund (rund 110 Millionen Euro) an, das damals als eines der höchsten DSGVO-Bußgelder überhaupt galt. Am 30.10.2020 reduzierte die ICO die Strafe unter Verweis auf Marriotts Verbesserungsmaßnahmen und die wirtschaftlichen Folgen der Corona-Pandemie auf 18,4 Millionen Pfund. Marriott hatte gegen die ursprüngliche Bußgeldandrohung Widerspruch angekündigt.

Die genaue technische Ursache des Erstzugriffs 2014 (Einfallstor, Angreifergruppe) ist aus dieser Quelle nicht im Detail belegt, ebenso wenig die endgültige Zahl der tatsächlich betroffenen Einzelpersonen nach Bereinigung von Duplikaten.

Der Sportartikelhersteller Under Armour gab am 29.03.2018 bekannt, dass die Nutzerdaten der von ihm betriebenen Ernährungs- und Fitness-App MyFitnessPal kompromittiert wurden. Under Armour hatte MyFitnessPal 2015 übernommen. Das Unternehmen wurde am 25.03.2018 auf den unbefugten Zugriff aufmerksam, der bereits Ende Februar 2018 stattgefunden hatte. Betroffen waren rund 150 Millionen Nutzerkonten weltweit. Erbeutet wurden Nutzernamen, E-Mail-Adressen und gehashte Passwörter, wobei die Mehrheit der Passwörter mit dem Verfahren Bcrypt gesichert war, ein kleinerer Teil älterer Konten jedoch nur mit dem schwächeren SHA-1-Verfahren. Nicht betroffen waren nach Angaben von Under Armour Zahlungsdaten, Sozialversicherungsnummern und Ausweisdaten, da diese getrennt beziehungsweise über separate Zahlungsdienstleister verarbeitet wurden. Under Armour forderte betroffene Nutzer auf, ihr Passwort zu ändern und identische Passwörter auf anderen Plattformen ebenfalls zu aktualisieren. Das Unternehmen kündigte an, mit Ermittlungsbehörden zusammenzuarbeiten und seine Sicherheitssysteme zu überprüfen. Die Aktie von Under Armour fiel nach Bekanntwerden des Vorfalls an der Börse. Der Vorfall zählte 2018 zu den größten bekannt gewordenen Datenlecks weltweit.

Aus der Quelle nicht belegt sind die Identität der Angreifer und der genaue technische Angriffsweg sowie eventuelle spätere behördliche Bußgelder oder Entschädigungszahlungen infolge des Vorfalls.

Der Betreiber der Frage-Antwort-Plattform Quora informierte am 4. Dezember 2018 rund 100 Millionen Nutzer per E-Mail über einen Hackerangriff auf seine Systeme. Quora hatte den unautorisierten Zugriff eines Dritten bereits am Freitag, dem 30. November 2018, entdeckt und daraufhin Sicherheitsexperten sowie Strafverfolgungsbehörden eingeschaltet. Die Angreifer konnten Namen, E-Mail-Adressen, mit Bcrypt und Salt verschlüsselte Passwörter sowie aus verknüpften Netzwerken importierte Daten kopieren. Zusätzlich waren öffentliche und nicht öffentliche Inhalte betroffen, darunter Fragen, Antworten, Kommentare, Upvotes, Downvotes und private Direktnachrichten. Anonym verfasste Fragen und Antworten blieben unberührt, ebenso waren keine Kreditkartendaten oder Sozialversicherungsnummern betroffen, da Quora solche Daten grundsätzlich nicht erhebt. Als Sofortmaßnahme setzte Quora die Passwörter aller betroffenen Konten zurück und meldete die Nutzer automatisch ab, sodass beim nächsten Login ein neues Passwort vergeben werden musste. Ein Quora-Sprecher bestätigte am 12. Dezember 2018, dass die Passwörter mit dem Verfahren Bcrypt plus Salt gesichert waren, was nach damaligem Stand als sicher galt.

Aus dem Bericht geht nicht hervor, auf welchem technischen Weg die Angreifer konkret Zugriff auf die Quora-Systeme erlangten, da die Untersuchung zum Zeitpunkt der Veröffentlichung noch nicht abgeschlossen war. Auch Identität der Angreifer sowie mögliche behördliche Sanktionen gegen Quora sind aus der Quelle nicht ersichtlich.

Der US-Spieleentwickler Zynga bestätigte am 12.09.2019 einen Datendiebstahl bei Nutzerkonten mehrerer mobiler Spiele, darunter Words With Friends, Draw Something und das eingestellte OMGPOP-Portal. Ein Hacker mit dem Pseudonym Gnosticplayers hatte sich zuvor an das Onlineportal The Hacker News gewandt und behauptet, Zugriff auf mehr als 218 Millionen Words-With-Friends-Konten zu haben. Spätere forensische Auswertungen der gestohlenen Datenbank ermittelten rund 172,9 Millionen eindeutige betroffene Konten. Betroffen waren Nutzer, die die Android- oder iOS-Version des Spiels bis zum 02.09.2019 installiert hatten. Erbeutet wurden Namen, E-Mail-Adressen, Login-IDs, mit Salt versehene SHA1-Passwort-Hashes und Passwort-Reset-Token sowie teilweise Telefonnummern, Facebook-IDs und Zynga-Konto-IDs. Zynga erklärte, Finanzinformationen seien nicht betroffen gewesen. Das Unternehmen beauftragte externe Forensikfirmen, informierte Strafverfolgungsbehörden und erzwang Passwortzurücksetzungen für betroffene Konten. Im Mai 2020 reichte die Kanzlei FeganScott im Namen betroffener Nutzer eine Sammelklage gegen Zynga wegen des Vorfalls ein.

Die genaue Zahl der tatsächlich betroffenen Konten schwankt zwischen der ersten Hacker-Angabe von 218 Millionen und der später ermittelten Zahl von rund 172,9 Millionen, eine offizielle abschließende Bestätigung durch Zynga liegt nicht vor. Der Ausgang der 2020 eingereichten Sammelklage gegen Zynga ist aus dieser Quelle nicht belegt.

Am 24.05.2019 wurde bekannt, dass die australische Design-Plattform Canva Ziel eines Datendiebstahls geworden war, bei dem ein Angreifer unter dem Pseudonym GnosticPlayers Zugriff auf eine Nutzerdatenbank erlangte. Laut der Sicherheits-Datenbank Have I Been Pwned waren rund 137,3 Millionen Konten betroffen, der Angreifer selbst nannte gegenüber dem Journalisten Catalin Cimpanu von ZDNet eine Zahl von etwa 139 Millionen. Erbeutet wurden Nutzernamen, echte Namen, E-Mail-Adressen sowie Angaben zu Wohnort und Land der Nutzer. Bei einem Teil der Konten, die sich nicht per Google- oder Facebook-Login angemeldet hatten, waren zusätzlich mit bcrypt gesalzene und gehashte Passwörter betroffen, nach Angaben aus der Berichterstattung rund 61 Millionen. Der Angreifer erklärte, alle Daten bis zum 17.05.2019 heruntergeladen zu haben, bevor Canva den unbefugten Zugriff bemerkte und den betroffenen Datenbankserver abschaltete. Canva bestätigte den Vorfall öffentlich, informierte betroffene Nutzer per E-Mail und forderte zum Zurücksetzen der Passwörter auf. Im Januar 2020 wurden Medienberichten zufolge rund 4 Millionen der ursprünglich gehashten Passwörter entschlüsselt und weiterverbreitet, woraufhin Canva die Passwörter aller Nutzer zurücksetzte, die ihr Passwort seit Mai 2019 nicht geändert hatten. Der Vorfall war Teil einer größeren Angriffsserie des Hackers beziehungsweise der Hackergruppe GnosticPlayers, die 2019 gestohlene Daten aus mehreren Dutzend Online-Diensten zum Verkauf anbot.

Die genaue Zahl der betroffenen Konten schwankt je nach Quelle zwischen 137 und 139 Millionen, eine von Canva selbst bestätigte exakte Zahl liegt in den verfügbaren Quellen nicht vor. Ob Canva infolge des Vorfalls behördliche Bußgelder oder Entschädigungszahlungen leisten musste, ist aus den ausgewerteten Quellen nicht ersichtlich.

Zwischen 2007 und 2015 flossen über die estnische Filiale der dänischen Danske Bank rund 200 Milliarden Euro an Zahlungen von überwiegend ausländischen Nicht-Residenten-Kunden, ein großer Teil davon als verdächtig eingestuft. Am 19.09.2018 veröffentlichte Danske Bank den Bericht einer externen Kanzlei zu dem Vorgang, woraufhin Vorstandschef Thomas Borgen noch am selben Tag zurücktrat. Die Filiale wurde von 2007 bis 2015 von Aivar Rehe geleitet, der am 25.09.2019 tot aufgefunden wurde. Der interne Whistleblower Howard Wilkinson, früherer Leiter des Baltikum-Handelsgeschäfts, hatte bereits 2013 auf die Missstände hingewiesen. Russische Kunden machten 2012 nur 8 Prozent der Kundschaft, aber 35 Prozent der Filialgewinne aus, die Gelder stammten unter anderem aus Russland, Estland, Lettland und Zypern und wurden über Briefkastenfirmen unter anderem in Großbritannien, Zypern und Neuseeland geschleust. Im Dezember 2018 wurden zehn estnische Mitarbeiter verhaftet, 2019 ordnete die estnische Regierung die Schließung der Filiale an. Im Dezember 2022 bekannte sich Danske Bank vor dem US-Justizministerium schuldig und zahlte eine Geldstrafe von 2 Milliarden US-Dollar wegen Betrugs gegenüber US-Banken. Im Februar 2024 wurden zwei Vermittler, Irene Ellert und Arunas Macenas, zu neun beziehungsweise sieben Jahren Haft verurteilt.

Der genaue Anteil tatsächlich krimineller Gelder an den 200 Milliarden Euro ist aus dieser Quelle nicht belegt, da die Summe verdächtige, nicht zwingend nachweislich illegale Transaktionen umfasst. Die strafrechtliche Verantwortung der früheren Führungsebene blieb ungeklärt, da die Anklagen gegen sie im April 2021 fallengelassen wurden.

Am 18.06.2020 verweigerte die Wirtschaftsprüfungsgesellschaft Ernst & Young dem DAX-Konzern Wirecard das Testat für den Jahresabschluss 2019, da für Bankguthaben in Höhe von 1,9 Milliarden Euro auf angeblichen philippinischen Treuhandkonten keine ausreichenden Nachweise vorlagen. Die kontoführenden Banken BDO Unibank und Bank of the Philippine Islands bestätigten anschließend, dass es diese Konten nie gegeben hatte. Der fehlende Betrag entsprach etwa einem Viertel der Bilanzsumme des Unternehmens. Vorstandschef Markus Braun trat am 19.06.2020 zurück und wurde am 22.07.2020 erneut verhaftet, nachdem er zuvor gegen eine Kaution von 5 Millionen Euro freigekommen war. Der frühere Finanzvorstand Jan Marsalek wurde am 22.06.2020 fristlos entlassen und ist seither mit internationalem Haftbefehl gesucht, sein Aufenthaltsort blieb ungeklärt. Am 25.06.2020 meldete Wirecard Insolvenz an, als erster DAX-Konzern in der Geschichte des Index. Der Aktienkurs brach binnen weniger Tage um mehr als zwei Drittel ein, am 24.08.2020 wurde Wirecard aus dem DAX ausgeschlossen. Die Bundesanstalt für Finanzdienstleistungsaufsicht geriet wegen ihrer Aufsichtspraxis in die Kritik, unter anderem wegen eines Leerverkaufsverbots vom 18.02.2019 zugunsten von Wirecard. Am 14.03.2022 erhob die Staatsanwaltschaft München I Anklage gegen Braun und zwei weitere frühere Manager wegen banden- und gewerbsmäßigen Betrugs, Untreue und Bilanzfälschung. Der Bundestag richtete am 01.10.2020 einen Untersuchungsausschuss zur Aufklärung des Aufsichtsversagens ein.

Aus dieser Quelle nicht abschließend belegt sind der Ausgang des seit Dezember 2022 laufenden Strafprozesses gegen Markus Braun vor dem Landgericht München I sowie der aktuelle Aufenthaltsort des weiterhin mit internationalem Haftbefehl gesuchten Jan Marsalek.

Am 15.07.2019 wurde bekannt, dass Unbekannte in die Server der bulgarischen Steuerbehörde National Revenue Agency (NAP/NRA) eingedrungen waren und personenbezogene Daten entwendet hatten. Betroffen waren nach ersten Angaben persönliche Daten sowie Steuer- und Sozialversicherungsinformationen von mehr als 5 Millionen der rund 7 Millionen registrierten Bürger und ausländischen Staatsangehörigen sowie Unternehmen, praktisch die gesamte erwachsene Bevölkerung Bulgariens. Die gestohlenen Datensätze umfassten Namen, nationale Identifikationsnummern, Adressen, Einkommens-, Steuer- und Rentenbeitragsdaten sowie Informationen zu Online-Glücksspielkonten aus dem Zeitraum 2007 bis Juni 2019. Als Angriffsmethode wurde eine SQL-Injection-Schwachstelle in einem selten genutzten Dienst zur Mehrwertsteuerrückerstattung identifiziert. Ein Täter, der sich als russischer Staatsbürger ausgab, verschickte E-Mails mit Download-Links zu den Daten an bulgarische Medien und drohte mit Veröffentlichung weiterer Datensätze. Innenminister Mladen Marinow und Finanzminister Wladislaw Goranow bestätigten den unbefugten Zugriff auf einen NAP-Server. Am 16.07.2019 nahm die Polizei in Sofia den 20-jährigen IT-Sicherheitsspezialisten Kristiyan Boykov fest, der am 18.07.2019 wieder freigelassen wurde; er bestritt die Tat. Am 28.08.2019 verhängte die bulgarische Datenschutzbehörde CPDP gegen die NRA eine Geldbuße von rund 5,1 Millionen Lewa (etwa 2,6 Millionen Euro) wegen unzureichender technischer und organisatorischer Schutzmaßnahmen.

Die genaue Zahl der betroffenen Personen schwankt je nach Quelle zwischen rund 5 Millionen und den von der Datenschutzbehörde später genannten 6.074.140 Individuen, und die tatsächliche Täterschaft des mutmaßlichen Hackers blieb ungeklärt, da die Anklage gegen Boykov später abgeschwächt wurde. Der verhängte Bußgeldbescheid gegen die NRA wurde angefochten und in zweiter Instanz wegen Verjährung des Verfahrens letztlich aufgehoben, sodass keine rechtskräftige Sanktion bestehen blieb.