Quellen-Tabelle

Am 04.04.2016 wurde bekannt, dass eine Datenbank mit personenbezogenen Informationen von 49,6 Millionen türkischen Bürgern im Internet veröffentlicht wurde, nahezu die gesamte damalige wahlberechtigte Bevölkerung des Landes. Die rund 6,6 Gigabyte große SQL-Datei enthielt vollständige Namen, Adressen, Namen der Eltern, Geburtsdatum und Geburtsort sowie die nationale Identifikationsnummer der Betroffenen. Die Daten stammten offenbar aus dem zentralen Bevölkerungsregister MERNIS und gingen auf einen älteren Auszug eines Wählerverzeichnisses aus den Jahren 2008 oder 2009 zurück. Unbekannte hatten die Daten zunächst gegen Bezahlung angeboten, bevor der vollständige unverschlüsselte Datensatz frei zugänglich veröffentlicht wurde. Auf der Veröffentlichungsseite protestierten die Urheber gegen die türkische Regierung unter Präsident Recep Tayyip Erdogan und zeigten dessen persönliche Daten als Beispiel. Am 06.04.2016 leitete die türkische Staatsanwaltschaft Ermittlungen wegen der Veröffentlichung ein. Justizminister Bekir Bozdag kündigte an, den Schutz der Bürgerdaten künftig gesetzlich zu verbessern. Zum Zeitpunkt der Berichterstattung hatte sich niemand öffentlich zu der Veröffentlichung bekannt.

Aus der Quelle geht nicht hervor, wer die Daten ursprünglich beschaffte oder verkaufte, wie genau der Zugriff auf MERNIS erfolgte und ob die eingeleiteten Ermittlungen zu einer Anklage oder Verurteilung führten.

Am 27.03.2016 hackten die Gruppen Anonymous Philippines und LulzSec Pilipinas die Website der philippinischen Wahlkommission COMELEC, verunstalteten sie und veröffentlichten anschließend eine rund 340 Gigabyte große Datenbank mit Informationen zu etwa 55 Millionen registrierten Wählern. Die veröffentlichten Daten enthielten vollständige Namen, Geburtsdaten, Adressen und Familienstand, außerdem Passnummern und Ablaufdaten von 1,3 Millionen im Ausland lebenden philippinischen Wählern sowie rund 15,8 Millionen Fingerabdruckdatensätze. Der Vorfall gilt als der größte Datenleck eines privaten oder staatlichen Datenbestands in der philippinischen Geschichte. Am 20.04.2016 nahmen die Behörden den 20-jährigen Paul Biteng fest, der die Verunstaltung der Website gestand, eine Beteiligung am Datendiebstahl jedoch bestritt. Am 28.04.2016 folgte die Festnahme des 23-jährigen Joenel de Asis, der den Download und die Weiterverbreitung der Wählerdatenbank einräumte; beide wurden nach dem Cybercrime Prevention Act von 2012 angeklagt. Die philippinische Datenschutzbehörde National Privacy Commission stellte am 28.12.2016 einen Verstoß der COMELEC gegen den Data Privacy Act von 2012 fest und empfahl die strafrechtliche Verfolgung des damaligen COMELEC-Vorsitzenden Andres Bautista. Die Website wehaveyourdata.com, über die die geleakten Wählerdaten abrufbar waren, wurde mit Unterstützung des US-Justizministeriums abgeschaltet.

Aus dieser Quelle nicht belegt sind der rechtskräftige Ausgang der Strafverfahren gegen Biteng und de Asis sowie etwaige finanzielle Bußgelder gegen COMELEC; die empfohlene strafrechtliche Verfolgung von Andres Bautista wird als Empfehlung der Datenschutzbehörde dokumentiert, ein tatsächliches Gerichtsverfahren gegen ihn wird nicht bestätigt.

Am 12.05.2021 bot ein Nutzer mit dem Pseudonym Kotz im Hackerforum RaidForums persönliche Daten von angeblich 279 Millionen lebenden und verstorbenen Personen aus Indonesien zum Verkauf an. Die Daten sollen aus dem System der staatlichen Gesundheits- und Sozialversicherungsanstalt BPJS Kesehatan stammen und Namen, nationale Identitätsnummern, E-Mail-Adressen, Telefonnummern, Geburtsdaten, Geburtsorte sowie Gehaltsangaben enthalten. Kotz verlangte für den vollständigen Datensatz 2 Bitcoin, umgerechnet rund 74.906 US-Dollar, und veröffentlichte zunächst etwa 1 bis 2 Millionen Datensätze kostenlos als Probe. Das indonesische Kommunikations- und Informatikministerium Kominfo bestätigte am 23.05.2021 durch Sprecher Dedy Permadi, dass die veröffentlichten Proben mit den Daten von BPJS Kesehatan übereinstimmten, stufte jedoch nur rund 100.000 der 1 Million geprüften Einträge als gültig ein. Das Ministerium sperrte daraufhin die Download-Links sowie den Zugang zu raidforums.com. BPJS Kesehatan, das zu diesem Zeitpunkt rund 224 Millionen aktive Versicherte betreute, erklärte, den Ursprung der Daten zu prüfen, und erstattete bei der indonesischen Polizeibehörde Bareskrim Anzeige wegen des mutmaßlichen Datenverkaufs durch den Account Kotz. Die tatsächliche Identität hinter dem Pseudonym Kotz wurde öffentlich nicht bekanntgegeben.

Zeitgenössische Quellen von 2021 nennen als Anbieter der Daten den Forumsaccount Kotz, nicht den erst ab September 2022 öffentlich bekannten Hacker Bjorka; eine bestätigte Verbindung zwischen Kotz und Bjorka existiert nicht. Die genaue Angriffsmethode, die reale Identität hinter dem Pseudonym Kotz und der Ausgang der polizeilichen Ermittlungen sind nicht dokumentiert.

Am 18.10.2017 wurde die malaysische Technologie-Website Lowyat.net auf mehrere Datenbanken aufmerksam, die in Untergrundforen zum Kauf angeboten wurden. Die malaysische Regulierungsbehörde MCMC bestätigte, dass Registrierungsdatensätze von 46,2 Millionen Mobilfunk-Anschlüssen betroffen waren, mehr als die damalige Einwohnerzahl Malaysias von rund 31 Millionen. Die Daten stammten von mindestens 12 Mobilfunkanbietern und virtuellen Netzbetreibern, darunter Celcom, Maxis, DiGi, Altel, U Mobile und XOX, sowie zusätzlich vom Malaysian Medical Council, der Malaysian Medical Association, der Malaysian Dental Association und der Jobbörse Jobstreet.com. Erbeutet wurden unter anderem Namen, Wohn- und Rechnungsadressen, MyKad-Ausweisnummern, SIM-Kartennummern, IMSI- und IMEI-Kennungen sowie Handset-Modelle. Nach Angaben der Ermittler deuteten die Zeitstempel der Daten auf einen Diebstahl zwischen 2014 und 2015 hin, laut BleepingComputer wurden die Daten spätestens im Juli 2014 entwendet. Die Datensätze wurden im Untergrund unter anderem für rund 1 Bitcoin angeboten, was zum damaligen Kurs etwa 6.500 US-Dollar entsprach. Am 16.11.2017 gab die malaysische Polizei bekannt, dass als mögliche Täter Mitarbeiter einer Firma verdächtigt werden, die mit der Datenübertragung für die MCMC befasst war. Die Website SayaKenaHack.com, über die Betroffene prüfen konnten, ob ihre Daten enthalten waren, wurde von den Behörden gesperrt. Bis zur Berichterstattung Mitte November 2017 waren keine Festnahmen erfolgt.

Aus den Quellen nicht belegt sind die genaue Identität der Täter, ein abgeschlossener Ermittlungsabschluss mit Anklage oder Verurteilung sowie eine offiziell verhängte Bußgeldhöhe gegen beteiligte Unternehmen oder Behörden.

Anfang Februar 2020 entdeckten der Sicherheitsaktivist Noam Rotem und der Webentwickler Ran Bar-Zik eine Sicherheitslücke in der Website der App Elector, die von der Softwarefirma Feed-b im Auftrag der israelischen Regierungspartei Likud unter Ministerpräsident Benjamin Netanyahu betrieben wurde. Die Lücke legte das vollständige israelische Wählerregister mit Daten von 6.453.255 Wahlberechtigten offen, darunter vollständige Namen, Wohnadressen, Ausweisnummern, Geschlecht und teilweise Telefonnummern. Benutzernamen und Passwörter der Systemadministratoren waren im Quelltext der Webseite im Klartext sichtbar, sodass der Zugriff auf die gesamte Datenbank ohne besondere Hackingkenntnisse möglich war. Die Entdeckung wurde am 10.02.2020 öffentlich bekannt, rund drei Wochen vor der israelischen Parlamentswahl am 02.03.2020. Neben Likud griffen auch die Parteien Jisra'el Beitenu und Schas für ihre Wahlkampagnen auf das Register zu. Feed-b bezeichnete den Vorfall gegenüber israelischen Medien als einmaligen, sofort behobenen Zwischenfall. Die israelische Datenschutzbehörde Privacy Protection Authority leitete eine Untersuchung ein und kündigte im Oktober 2020 gegenüber Likud, Jisra'el Beitenu und der Firma Elector mögliche Bußgelder in Höhe von bis zu mehreren zehntausend Schekel an. Mehrere betroffene Bürger reichten zudem eine Sammelklage gegen Likud und Elector über eine Million Schekel ein.

Unklar bleibt, in welcher genauen Höhe die israelische Datenschutzbehörde am Ende tatsächlich Bußgelder gegen Likud, Jisra'el Beitenu und Elector verhängte und wie viele Personen die offengelegten Daten vor der Schließung der Seite tatsächlich heruntergeladen haben. Auch der endgültige Ausgang der gegen Likud und Elector eingereichten Sammelklage ist durch diese Quelle nicht abschließend belegt.

Das Sicherheitsforscherteam von vpnMentor unter Leitung von Noam Rotem und Ran Locar entdeckte im September 2019 einen frei zugänglichen, unverschlüsselten Elasticsearch-Server mit rund 18 Gigabyte an Datensätzen zu etwa 20 Millionen Personen. Der Server stand in Miami, Florida, und gehörte dem ecuadorianischen Beratungsunternehmen Novaestrat, das Dienstleistungen in Datenanalyse, Marketing und Softwareentwicklung anbietet. Da Ecuador zum Zeitpunkt des Vorfalls etwa 16,6 Millionen Einwohner zählte, waren rechnerisch mehr Datensätze betroffen als das Land Einwohner hat, weil auch verstorbene Personen und Kinder erfasst waren. Offengelegt wurden vollständige Namen, Geburtsdaten, nationale Identifikationsnummern (Cedula), Adressen, Telefonnummern, E-Mail-Adressen, Angaben zu Familienangehörigen, Arbeitgeber- und Gehaltsdaten sowie Bankkontoinformationen der Staatsbank Biess und Fahrzeugregisterdaten des Automobilverbands Aeade. Die Daten stammten offenbar aus mehreren Quellen, darunter staatliche Register, die private Bank Biess und der Automobilverband Aeade. Nach Kontaktaufnahme durch vpnMentor wurde der Server am 11.09.2019 gesichert und war nicht mehr öffentlich zugänglich. Am 16.09.2019 nahmen ecuadorianische Ermittler William Roberto G., den gesetzlichen Vertreter von Novaestrat, fest. Der Vorfall gilt als eines der größten bekannten Datenlecks Lateinamerikas gemessen an der Zahl der Betroffenen im Verhältnis zur Landesbevölkerung.

Aus der vpnMentor-Quelle nicht belegt sind das genaue Datum der Erstentdeckung des offenen Servers sowie technische Details zur Ursache der Fehlkonfiguration. Ebenfalls nicht dokumentiert sind der weitere Ausgang des Ermittlungsverfahrens gegen den Novaestrat-Vertreter und eventuelle Bußgelder oder ein späteres Gerichtsurteil.

Das US-Unternehmen Strava veröffentlichte im November 2017 eine aktualisierte Version seiner Global Heatmap, die mehr als 1 Milliarde Aktivitäten von Nutzern weltweit aus dem Zeitraum 2015 bis September 2017 als Wärmebild auf einer Weltkarte darstellte. Am 27.01.2018 entdeckte der australische Student und Konfliktforscher Nathan Ruser von der Australian National University beim Betrachten der Karte, dass in Kriegs- und Krisengebieten wie Syrien, Afghanistan und Niger militärische Stützpunkte, Patrouillenrouten und Versorgungswege als helle Flecken auf der sonst dunklen Karte erkennbar waren, weil dort stationierte Soldaten mit aktiviertem GPS-Tracking joggten. Ruser veröffentlichte seine Beobachtungen auf Twitter, woraufhin weitere Journalisten zusätzliche und teils zuvor unbekannte Militärstandorte identifizierten. Betroffen waren unter anderem US-Stützpunkte in Afghanistan und Syrien, ein mutmaßlicher Raketenkommandostandort in Taiwan sowie Feldlager der Bundeswehr in Afghanistan. Am 29.01.2018 kündigte das US-Verteidigungsministerium unter Verteidigungsminister Jim Mattis eine Überprüfung der Sicherheitsrichtlinien für mobile Geräte und tragbare Sensorik von Soldaten an. Strava erklärte, die Karte enthalte nur Aktivitäten, die Nutzer nicht als privat markiert hatten, und verwies auf bestehende Opt-out-Einstellungen in der App. Als Reaktion kündigte Strava an, die Sichtbarkeitsoptionen für Nutzer zu vereinfachen.

Nicht belegt ist, wie viele zuvor unbekannte Stützpunkte insgesamt identifiziert wurden und ob die offengelegten Daten tatsächlich von gegnerischen Akteuren für Angriffe genutzt wurden. Ebenso ist aus dieser Quelle nicht ersichtlich, welche konkreten disziplinarischen oder organisatorischen Konsequenzen die angekündigte Pentagon-Überprüfung für einzelne Einheiten oder Soldaten letztlich hatte.

Am 29.10.2019 reichte WhatsApp beim US-Bundesgericht für den Northern District of California Klage gegen die israelische NSO Group ein. Die Klage wirft NSO Group vor, zwischen dem 29.04.2019 und dem 10.05.2019 rund 1.400 WhatsApp-Nutzer in etwa 20 Ländern mit der Spyware Pegasus infiziert zu haben. Die Angreifer nutzten dafür eine Sicherheitslücke in der VoIP-Funktion von WhatsApp, dokumentiert als CVE-2019-3568, ein Pufferüberlauf im Videoanruf-Code, der es erlaubte, durch präparierte Anrufe unbemerkt Schadcode zu übertragen, ohne dass die Betroffenen den Anruf annehmen mussten. Zu den Zielen zählten Journalisten, Menschenrechtsaktivisten, Diplomaten und Regierungsvertreter. Am 20.12.2024 entschied Richterin Phyllis Hamilton am zuständigen US-Bezirksgericht in Kalifornien, dass NSO Group gegen den Computer Fraud and Abuse Act, den California Comprehensive Computer Data Access and Fraud Act sowie gegen Vertragsbedingungen von WhatsApp verstoßen hat. Am 06.05.2025 sprach eine Geschworenenjury WhatsApp beziehungsweise dessen Mutterkonzern Meta 444.719 US-Dollar Schadenersatz sowie 167.254.000 US-Dollar Strafschadenersatz zu. Im Oktober 2025 reduzierte Richterin Hamilton den Strafschadenersatz auf rund 4 Millionen US-Dollar, verhängte zugleich aber eine dauerhafte gerichtliche Verfügung gegen NSO Group.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Höhe NSO Group die zugesprochenen Schadenersatzsummen tatsächlich gezahlt hat, da das Unternehmen Berufung eingelegt hat und der Ausgang dieses Verfahrens offen ist. Ebenfalls nicht im Detail belegt ist die vollständige Liste der betroffenen 1.400 Personen und ihrer Herkunftsländer.

Am 14.09.2020 veröffentlichte ein internationales Medienkonsortium Rechercheergebnisse zu einem Datenleck der chinesischen Firma Shenzhen Zhenhua Data Information Technology Co., Ltd. Ein anonymer Whistleblower in China hatte die Datenbank dem US-Akademiker Christopher Balding zugespielt, der sie gemeinsam mit der australischen Cybersicherheitsfirma Internet 2.0 auswertete. Die von Zhenhua betriebene Overseas Key Information Database (OKIDB) enthielt Profile von rund 2,4 Millionen Personen weltweit, von denen Internet 2.0 etwa 250.000 Datensätze wiederherstellen und analysieren konnte. Darunter waren rund 52.000 US-Amerikaner, 35.558 Australier, 9.700 Briten, 10.000 Inder und 5.000 Kanadier sowie Politiker wie der britische Premierminister Boris Johnson, der australische Premierminister Scott Morrison und der österreichische Bundespräsident Alexander Van der Bellen. Die Profile enthielten Geburtsdaten, Adressen, Familienstand, politische Verbindungen sowie Konten von Twitter, Facebook, LinkedIn, Instagram und TikTok; nach Angaben der Analysten stammten rund 20 Prozent der Daten nicht aus offen zugänglichen Quellen, sondern unter anderem aus Bankunterlagen und Bewerbungsunterlagen. Zhenhua Data wird über die China Zhenhua Electronics Group von der staatlichen China Electronics Corporation kontrolliert, und das Unternehmen nannte laut den Rechercheuren die Volksbefreiungsarmee und die Kommunistische Partei Chinas als Hauptkunden.

Ob und in welchem Umfang die chinesische Regierung oder Geheimdienste die Profile tatsächlich für konkrete nachrichtendienstliche Operationen genutzt haben, ist durch diese Quelle nicht belegt. Auch eine offizielle Stellungnahme oder Bestreitung durch Zhenhua Data beziehungsweise die chinesische Regierung sowie rechtliche oder finanzielle Konsequenzen für das Unternehmen werden im Artikel nicht dokumentiert.

Toyota Motor Corporation gab am 12.05.2023 bekannt, dass Fahrzeugdaten von rund 2,15 Millionen Kunden in Japan über einen Zeitraum von fast zehn Jahren öffentlich im Internet zugänglich waren. Betroffen waren Nutzer der Telematikdienste T-Connect, G-Link, G-Link Lite und G-BOOK, die sich zwischen dem 02.01.2012 und dem 17.04.2023 für diese Dienste angemeldet hatten. Ursache war eine Fehlkonfiguration einer Cloud-Datenbank bei der Toyota-Tochtergesellschaft Toyota Connected Corporation, die statt auf privaten Zugriff versehentlich auf öffentlichen Zugriff gestellt war und ohne Passwort einsehbar blieb. Die Datenbank war vom 06.11.2013 bis zum 17.04.2023 von außen erreichbar. Offengelegt wurden unter anderem Fahrgestellnummern, Geräte-IDs der Navigationssysteme sowie Standortdaten der Fahrzeuge samt Zeitstempeln. Zusätzlich waren vom 14.11.2016 bis zum 04.04.2023 auch Videoaufnahmen externer Kameras von Firmenkunden über ein separates System zugänglich. Toyota erklärte, den Zugriff nach Entdeckung des Fehlers umgehend gesperrt und keine Hinweise auf einen Missbrauch der Daten gefunden zu haben. Am 12.07.2023 erteilte die japanische Datenschutzbehörde Personal Information Protection Commission Toyota eine behördliche Anweisung, da unter anderem Schulungsmängel und ein fehlendes Bewusstsein für den Personenbezug der Daten festgestellt wurden. Es handelte sich um den zweiten bekannt gewordenen Datenvorfall bei T-Connect innerhalb weniger Monate, nachdem im Oktober 2022 bereits Daten von rund 296.000 Kunden über einen offengelegten GitHub-Zugriffsschlüssel abgeflossen waren.

Unklar bleibt, ob und in welchem Umfang die offengelegten Standort- und Videodaten tatsächlich von Dritten heruntergeladen oder missbraucht wurden, da Toyota lediglich von einer bestehenden Zugriffsmöglichkeit ohne bestätigten Missbrauchsfall spricht. Die genaue Gesamtzahl aller Betroffenen schwankt je nach Quelle und Zeitpunkt zwischen 2,15 und rund 2,3 Millionen.

Am 09.05.2022 einigten sich die American Civil Liberties Union (ACLU) und das Unternehmen Clearview AI auf einen gerichtlich bestätigten Vergleich (Consent Decree) vor einem Gericht in Illinois, mit dem eine am 28.05.2020 eingereichte Klage nach dem Illinois Biometric Information Privacy Act (BIPA) beendet wurde. Die Klage richtete sich gegen die Praxis von Clearview AI, ohne Zustimmung Milliarden Gesichtsbilder aus dem Internet zu sammeln; das Unternehmen hatte nach eigenen Angaben bereits mehr als 10 Milliarden biometrische Gesichtsprofile gesammelt und plante eine Ausweitung auf 100 Milliarden. Der Vergleich verbietet Clearview AI dauerhaft und landesweit, seine Gesichtsdatenbank an die meisten privaten Unternehmen und Einzelpersonen zu verkaufen oder zugänglich zu machen. Für Illinois gilt zusätzlich ein fünfjähriges Verbot, den Datenbankzugang an private oder staatliche und kommunale Stellen im Bundesstaat zu vergeben. Clearview AI muss zudem ein Formular bereitstellen, über das Einwohner Illinois' den Ausschluss ihrer Gesichtsdaten aus Suchergebnissen beantragen können, und 50.000 US-Dollar für Online-Werbung zu diesem Opt-out-Mechanismus aufwenden. Eine direkte Geldzahlung an die Kläger enthält dieser Vergleich nicht. Das Gericht unterzeichnete die entsprechende Anordnung am 11.05.2022.

Der häufig im Zusammenhang mit Clearview AI zitierte Betrag von rund 50 Millionen US-Dollar stammt nicht aus diesem Vergleich, sondern aus einer separaten Bundesgerichts-Sammelklage, in der Klägern 2024 ein Eigenkapitalanteil von 23 Prozent zugesprochen wurde. Diese spätere Einigung wurde am 20.03.2025 richterlich bestätigt, im Juli 2026 aber vom Berufungsgericht wieder aufgehoben, sodass ihr endgültiger Ausgang offen ist.

Die US-Nachrichtenseite BuzzFeed News berichtete am 02.04.2018, dass die Dating-App Grindr sensible Nutzerdaten an die Drittfirmen Apptimize und Localytics weitergab. Grundlage war eine Analyse des norwegischen Forschungsinstituts SINTEF im Auftrag des schwedischen Senders SVT, die von BuzzFeed News unabhängig überprüft wurde. Zu den weitergegebenen Daten gehörten der HIV-Status samt Datum des letzten Tests, die GPS-Position, die Telefon-ID, die E-Mail-Adresse, die sexuelle Orientierung, die ethnische Zugehörigkeit, der Beziehungsstatus sowie die selbst gewählte Tribe-Kategorie. Grindr gab zum Zeitpunkt der Veröffentlichung 3,6 Millionen täglich aktive Nutzer weltweit an. Der SINTEF-Forscher Antoine Pultier erklärte, das Hauptproblem sei die Verknüpfung des HIV-Status mit den übrigen persönlichen Angaben zu einer Person. Grindr-Technikchef Scott Chen bezeichnete die Weitergabe zunächst als in der App-Branche übliche Praxis unter strengen Vertragsbedingungen. Nach der Veröffentlichung kündigte Grindr an, die Übermittlung des HIV-Status an Apptimize und Localytics zu beenden. Teile der Daten waren laut dem Bericht unverschlüsselt im Klartext übertragen worden.

Der Artikel belegt nicht, wie lange die Datenweitergabe bereits vor 2018 bestand oder ob Apptimize und Localytics die HIV-Daten für eigene Zwecke auswerteten. Eine mögliche behördliche Sanktion oder ein Bußgeld wegen dieses konkreten Vorfalls wird in dieser Quelle nicht behandelt.

Der US-Bildungssoftware-Anbieter PowerSchool mit Sitz in Folsom, Kalifornien, wurde Ende Dezember 2024 Opfer eines schwerwiegenden Datendiebstahls. Ein Angreifer verschaffte sich mit gestohlenen Zugangsdaten eines Mitarbeiters bzw. Subunternehmers Zugriff auf das Kundenportal PowerSource und blieb dabei rund neun Tage unentdeckt. Betroffen waren die Daten von mehr als 60 Millionen Schülern und rund 9,5 Millionen Lehrkräften in den USA und Kanada, darunter Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, medizinische Informationen und Angaben zu sonderpädagogischem Förderbedarf. PowerSchool zahlte den Angreifern nach eigenen Angaben rund 2,85 Millionen US-Dollar in Bitcoin, um die Veröffentlichung der Daten zu verhindern, die gestohlenen Daten wurden jedoch nicht gelöscht und einzelne Schulbezirke später zusätzlich erpresst. Als Täter wurde der damals 19-jährige Matthew Lane aus Massachusetts identifiziert, der sich schuldig bekannte. Ein US-Bundesgericht verurteilte Lane zu vier Jahren Haft, drei Jahren anschließender Bewährungsaufsicht, einer Geldstrafe von 25.000 US-Dollar sowie rund 14 Millionen US-Dollar Wiedergutmachungszahlung an PowerSchool. Die Gesamtkosten des Vorfalls für PowerSchool inklusive Identitätsschutz-Maßnahmen für Betroffene wurden mit über 14 Millionen US-Dollar beziffert.

Die genaue Zahl der tatsächlich von besonders sensiblen Daten wie Sozialversicherungsnummern betroffenen Personen ist nicht einheitlich belegt, da der Umfang je nach Schulbezirk stark variierte. Der Ausgang der laufenden Sammelklagen gegen PowerSchool sowie der Verbleib des größten Teils des gezahlten Lösegelds sind bislang nicht abschließend geklärt.

Ab dem 27.05.2023 nutzte die russischsprachige Ransomware-Gruppe Cl0p (auch Clop) eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der Dateiübertragungssoftware MOVEit Transfer des US-Herstellers Progress Software aus, um über eine eigens entwickelte Webshell Daten von den Servern betroffener Organisationen zu stehlen. Progress Software veröffentlichte den ersten Patch am 31.05.2023, in den folgenden Monaten wurden weitere Schwachstellen bekannt, darunter CVE-2023-35036 und CVE-2023-35708. Bis Mitte Juli 2023 waren mehr als 2.650 Organisationen betroffen, die Zahl stieg bis Ende 2023 nach verschiedenen Auswertungen auf über 2.700. Nach Angaben vom 18.10.2023 waren zu diesem Zeitpunkt Daten von rund 66 Millionen Menschen offengelegt, spätere Gesamtauswertungen gehen von deutlich mehr als 90 Millionen betroffenen Personen aus. Zu den namentlich bekannten Opfern zählen British Airways, die BBC, die US-Universitätsdatenclearingstelle National Student Clearinghouse, die Wirtschaftsprüfungsgesellschaften Deloitte, Ernst & Young und PwC sowie das US-Außenministerium. Progress Software bezifferte die eigenen Reaktionskosten bis zum 31.08.2023 auf 2,9 Millionen US-Dollar, gegen das Unternehmen wurden mehr als 58 Sammelklagen eingereicht, und die US-Börsenaufsicht SEC leitete am 02.10.2023 eine Untersuchung per Vorladung ein.

Die genaue Gesamtzahl betroffener Organisationen und Personen schwankt je nach Erhebungszeitpunkt und Quelle zwischen rund 2.500 und über 2.770 Organisationen sowie zwischen 66 und rund 96 Millionen Einzelpersonen. Der Ausgang der Sammelklagen gegen Progress Software war noch nicht rechtskräftig entschieden, eine SEC-Untersuchung wurde 2024 ohne Maßnahme eingestellt.

Der australische Kredit- und Finanzdienstleister Latitude Financial Services meldete am 16.03.2023 einen Cyberangriff, bei dem Angreifer mit gestohlenen Zugangsdaten eines Mitarbeiters auf Systeme zweier externer Dienstleister zugriffen, die Kundendaten von Latitude verwalteten. Zunächst nannte das Unternehmen rund 328.000 betroffene Personen, korrigierte die Zahl jedoch am 27.03.2023 drastisch auf etwa 14 Millionen Kunden in Australien und Neuseeland. Gestohlen wurden unter anderem rund 7,9 Millionen Führerscheinnummern, davon etwa 3,2 Millionen aus den letzten zehn Jahren, sowie rund 53.000 Passnummern, dazu Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen. Damit gilt der Vorfall als der bis dahin größte Diebstahl von Identitätsdokumenten in der australischen Geschichte. Die australische Datenschutzbehörde OAIC kündigte am 10.05.2023 gemeinsam mit der neuseeländischen Datenschutzbehörde eine gemeinsame Untersuchung der Datenschutzpraktiken der Latitude-Gruppe an. Latitude bezifferte die durch den Vorfall verursachten Vorsteuerkosten und Rückstellungen später auf rund 76 Millionen australische Dollar. Latitude Financial ist einer der größten Anbieter von Konsumentenkrediten und Ratenzahlungen in Australien und Neuseeland.

Aus dieser Quelle nicht belegt sind der genaue Ausgang und ein Abschlussdatum der OAIC/OPC-Untersuchung sowie etwaige später verhängte Bußgelder gegen Latitude; auch die Identität der Angreifer bzw. ein mögliches Bekennerschreiben werden hier nicht bestätigt.

Seit Juni 2022 verwehrt der US-Freizeit- und Sportkonzern Madison Square Garden Entertainment (MSGE) Anwältinnen und Anwälten von Kanzleien, die aktive Klagen gegen das Unternehmen führen, den Zutritt zu seinen Veranstaltungsorten, solange das jeweilige Verfahren läuft. Durchgesetzt wird das Betretungsverbot mit Gesichtserkennungssoftware, die MSGE nach eigenen Angaben bereits seit 2018 an den Eingängen von Madison Square Garden, Radio City Music Hall, Hulu Theater und Beacon Theatre einsetzt. Fotos der betroffenen Anwälte werden von den Webseiten ihrer Kanzleien in eine interne Sperrliste eingespeist und beim Einlass automatisch mit den erfassten Gesichtern der Besucher abgeglichen. Bundesweite Aufmerksamkeit erhielt die Praxis, nachdem die Anwältin Kelly Conlon von der New Jersey Kanzlei Davis, Saperstein and Salomon am Wochenende nach Thanksgiving Ende November 2022 beim Besuch der Rockettes-Show Christmas Spectacular in der Radio City Music Hall per Gesichtserkennung erkannt und trotz gültigem Ticket des Saals verwiesen wurde, obwohl sie eine Pfadfindergruppe ihrer Tochter begleitete. MSGE erklärte, alle betroffenen Kanzleien seien vorab über die Regelung informiert worden. Nach Recherchen der New Yorker Generalstaatsanwältin Letitia James, die MSGE am 25.01.2023 offiziell zur Stellungnahme aufforderte, betraf das Verbot Anwälte aus mehr als 90 Kanzleien. James warnte, das Verbot und der Einsatz der Gesichtserkennung zu seiner Durchsetzung könnten gegen New Yorker Bürger- und Menschenrechtsgesetze verstoßen.

Aus dem Bericht geht nicht hervor, an welchem genauen Kalendertag im November 2022 Conlon abgewiesen wurde und wie der zum Zeitpunkt der Berichterstattung noch offene Rechtsstreit letztlich ausging.

Die New York Times deckte am 11.03.2024 auf, dass General Motors über sein Telematiksystem OnStar und das Programm Smart Driver Fahrverhaltensdaten von Kunden sammelte und ohne klare Einwilligung an die Auskunfteien LexisNexis Risk Solutions und Verisk Analytics verkaufte. Erfasst wurden unter anderem Geschwindigkeit, Vollbremsungen, starke Beschleunigungen, Fahrtzeiten und gefahrene Strecken sowie teilweise Geodaten im Abstand von nur drei Sekunden. LexisNexis erstellte aus diesen Daten Risikoscores, die Versicherungsunternehmen bei der Festlegung von Prämien oder bei der Ablehnung von Kunden nutzten. Betroffen waren GM-Modelle der Marken Chevrolet, GMC, Cadillac und Buick ab Baujahr 2015. Nach dem öffentlichen Bekanntwerden stellte GM die Datenweitergabe an LexisNexis und Verisk am 20.03.2024 ein und beendete das Smart-Driver-Programm am 24.04.2024. Die Generalstaatsanwaltschaft von Texas verklagte GM im August 2024 wegen der Daten von mehr als 1,5 Millionen Fahrern im Bundesstaat. Die FTC einigte sich am 16.01.2025 mit GM auf einen Vergleich mit einem fünfjährigen Verbot der Weitergabe sensibler Standort- und Fahrverhaltensdaten an Auskunfteien sowie einer zwanzigjährigen Auflage zur Einholung ausdrücklicher Kundenzustimmung. Kalifornien schloss am 08.05.2026 einen eigenen Vergleich mit GM über eine Zivilstrafe von 12,75 Millionen US-Dollar.

Die genaue Gesamtzahl der betroffenen US-Fahrer ist nicht offiziell verifiziert; Sammelklagen sprechen von bis zu 16 Millionen Betroffenen, was durch die FTC-Dokumente nicht bestätigt wird. Ebenfalls nicht abschließend geklärt ist, in welchem Umfang einzelne Autohäuser Kunden aktiv zur Anmeldung bei Smart Driver gedrängt haben.

Am 13. und 14. September 2021 veröffentlichte das Wall Street Journal die Artikelserie The Facebook Files auf Basis interner Firmendokumente, die ihm die ehemalige Facebook-Produktmanagerin Frances Haugen zugespielt hatte. Haugen arbeitete von Juni 2019 bis Mai 2021 im Civic-Integrity-Team von Facebook und kopierte beim Ausscheiden Zehntausende interne Unterlagen. Eine Präsentationsfolie aus internen Studien von 2019 hielt fest, dass Facebook bei einem von drei Teenager-Mädchen Körperbildprobleme durch Instagram verschlimmert. Laut einer internen Erhebung vom März 2020 gaben 32 Prozent der befragten Teenager-Mädchen an, dass Instagram negative Gefühle zum eigenen Körper noch verstärkte. Unter Jugendlichen mit Suizidgedanken führten 13 Prozent der britischen und 6 Prozent der amerikanischen befragten Nutzer diese Gedanken auf Instagram zurück. Am 3. Oktober 2021 gab sich Haugen in einem Interview der CBS-Sendung 60 Minutes öffentlich als Whistleblowerin zu erkennen. Am 5. Oktober 2021 sagte sie vor dem Handelsausschuss des US-Senats aus. Am 22. Oktober 2021 veröffentlichte ein Konsortium von 17 US-Nachrichtenredaktionen weitere interne Dokumente unter dem Namen Facebook Papers. Facebook stellte daraufhin die Entwicklung einer eigenen Instagram-Version für Kinder unter 13 Jahren ein und benannte den Mutterkonzern am 28. Oktober 2021 in Meta um.

Die genaue Gesamtzahl der von Haugen kopierten Dokumente wird nur mit Zehntausenden beziffert, eine exakte Seiten- oder Dokumentenzahl ist aus dieser Quelle nicht belegt. Ob die SEC-Beschwerden zu einem förmlichen Verfahren oder zu Sanktionen gegen Meta geführt haben, geht aus dieser Quelle nicht hervor.

Am 06.06.2013 veröffentlichten The Guardian und die Washington Post erste Berichte über das geheime NSA-Programm PRISM, basierend auf Dokumenten des NSA-Vertragsmitarbeiters Edward Snowden, der zuvor für Booz Allen Hamilton tätig war. Snowden wurde am 09.06.2013 öffentlich als Quelle genannt und floh anschließend über Hongkong nach Russland. PRISM ermöglichte der NSA seit 2007 Zugriff auf Nutzerdaten von neun US-Internetkonzernen, beginnend mit Microsoft (2007), gefolgt von Yahoo (2008), Google, Facebook und Paltalk (2009), YouTube (2010), AOL und Skype (2011) sowie Apple (2012). Erfasst wurden unter anderem E-Mails, Chatprotokolle, Fotos, Videos, Videoanrufe und Verbindungsdaten. Rechtsgrundlage war Section 702 des Foreign Intelligence Surveillance Act (FISA) von 2008, der im Dezember 2012 unter Präsident Obama verlängert wurde. Laut den geleakten Unterlagen standen im April 2013 rund 117675 Zielpersonen unter aktiver Beobachtung durch die NSA. Bereits am 05.06.2013 hatte der Guardian zusätzlich eine geheime Gerichtsanordnung veröffentlicht, wonach die NSA Telefonverbindungsdaten von mehr als 120 Millionen Verizon-Kunden in den USA erhielt. Die Enthüllungen lösten weltweite Debatten über Massenüberwachung aus und führten unter anderem zu einem spürbaren Anstieg der Nutzerzahlen datenschutzfreundlicher Suchmaschinen wie DuckDuckGo.

Aus dieser Quelle nicht abschließend geklärt ist, ob die NSA tatsächlich direkten technischen Zugriff auf die Server der Unternehmen hatte, wie die ursprüngliche Berichterstattung nahelegte, oder ob Daten über separate, von den Firmen kontrollierte Übergabesysteme flossen, was die betroffenen Konzerne bestritten. Auch das exakte Gesamtvolumen der über PRISM erfassten Kommunikationsdaten bleibt unbelegt.

Der finnische Psychotherapie-Anbieter Vastaamo, mit rund 40.000 behandelten Patienten der größte private Anbieter des Landes, wurde erstmals im November 2018 gehackt; die Datenbank blieb bis März 2019 unbemerkt kompromittiert. Ursache war eine ungesicherte Datenbank ohne Verschlüsselung, deren Root-Zugang lediglich mit dem Nutzernamen und Passwort root/root gesichert war. Der Angreifer Aleksanteri (Julius) Kivimäki erbeutete Patientendaten von etwa 33.000 Personen, darunter Namen, Personenkennzeichen und detaillierte Therapienotizen. Nachdem Vastaamo eine Lösegeldforderung von 40 Bitcoin, umgerechnet rund 450.000 Euro, nicht zahlte, veröffentlichte Kivimäki ab dem 21.10.2020 Patientendaten im Darknet und schickte tausenden Patienten direkt E-Mails mit der Forderung von 200 Euro, die sich bei Nichtzahlung innerhalb von 24 Stunden auf 500 Euro erhöhte. Rund 30.000 Patienten erhielten individuelle Erpresser-Nachrichten. Vastaamo meldete infolge des Vorfalls Insolvenz an. Die finnische Datenschutzaufsicht verhängte im Dezember 2021 ein Bußgeld von 608.000 Euro gegen das Unternehmen wegen Verstößen gegen die DSGVO. Kivimäki wurde im Februar 2023 in Frankreich unter falscher Identität festgenommen und nach Finnland ausgeliefert. Am 30.04.2024 verurteilte ihn ein finnisches Bezirksgericht wegen schwerer Datenrechtsverletzung sowie rund 21.000 Fällen versuchter und 20 Fällen vollendeter schwerer Erpressung zu sechs Jahren und drei Monaten Haft.

Die genaue Zahl der individuell erpressten Patienten schwankt je nach Quelle zwischen rund 22.000 und 30.000. Der Ausgang eines späteren Berufungsverfahrens sowie tatsächlich geleistete Entschädigungen an die Betroffenen sind in dieser Quelle nicht dokumentiert.

Im November 2014 wurde bekannt, dass Uber-Mitarbeiter über das interne Ortungswerkzeug God View in Echtzeit die Standorte von Fahrgästen einsehen konnten, ohne dass dafür ein geschäftlicher Anlass vorlag. Der New Yorker Uber-Manager Josh Mohrer griff zunächst auf die Fahrtdaten der BuzzFeed-Journalistin Johana Bhuiyan zu und verfolgte anschließend ohne ihre Zustimmung ihre Fahrt per God View. Spätere Berichte, unter anderem eines ehemaligen Uber-Sicherheitsmitarbeiters, warfen dem Unternehmen zudem vor, dass Mitarbeiter mit dem Werkzeug auch Prominente, Politiker sowie eigene Ex-Partner unerlaubt geortet hätten. Die New Yorker Generalstaatsanwaltschaft unter Eric Schneiderman leitete im November 2014 eine rund 14 Monate dauernde Untersuchung gegen Uber ein. Parallel dazu wurde bekannt, dass ein Uber-Ingenieur im September 2014 einen Zugangsschlüssel zu einem Cloud-Dienst versehentlich auf Github veröffentlicht hatte, wodurch Namens- und Führerscheindaten von Fahrern zugänglich waren; Uber informierte die Öffentlichkeit darüber erst am 26.02.2015. Am 06.01.2016 einigte sich Uber mit der New Yorker Generalstaatsanwaltschaft auf eine Zahlung von 20.000 US-Dollar sowie auf verbindliche Sicherheitsauflagen. Uber verpflichtete sich, Geodaten von Fahrgästen zu verschlüsseln, den Mitarbeiterzugriff auf God View auf begründete Geschäftszwecke zu beschränken, eine Multi-Faktor-Authentifizierung einzuführen und Zugriffe auf Nutzerdaten zu protokollieren.

Die genaue Zahl der Personen, die Uber-Mitarbeiter unrechtmäßig über God View verfolgt haben, ist nicht offiziell beziffert und stützt sich teils auf spätere, gerichtlich nicht geprüfte Whistleblower-Aussagen. Ebenso ist aus dieser Quelle nicht ersichtlich, wie viele Fahrer vom Datenleck 2014 konkret betroffen waren oder ob einzelne Mitarbeiter strafrechtlich belangt wurden.

Am 27.02.2019 gab die US-amerikanische Federal Trade Commission (FTC) eine Einigung mit dem Unternehmen hinter der Video-App Musical.ly bekannt, die inzwischen mit TikTok fusioniert war. Musical.ly zahlte 5,7 Millionen Dollar Zivilstrafe wegen Verstößen gegen den Children's Online Privacy Protection Act (COPPA). Die FTC warf dem Unternehmen vor, keine elterliche Zustimmung eingeholt zu haben, bevor personenbezogene Daten von Nutzern unter 13 Jahren gesammelt wurden. Zur Registrierung mussten Nutzer E-Mail-Adresse, Telefonnummer, vollständigen Namen, Nutzernamen, ein Profilbild und eine kurze Biografie angeben. Laut FTC-Beschwerde war dem Unternehmen bekannt, dass ein erheblicher Anteil der Nutzer jünger als 13 Jahre war, zudem gingen tausende Elternbeschwerden über Konten minderjähriger Kinder ein. Die Strafe war zum Zeitpunkt der Verhängung die höchste jemals von der FTC in einem Kinderschutzfall erzielte Zivilstrafe. Die Einigung verpflichtete das Unternehmen, künftig COPPA einzuhalten und alle von Nutzern unter 13 Jahren erstellten Videos offline zu nehmen. Die App firmierte zum Zeitpunkt der Ankündigung bereits unter der Marke TikTok, nachdem ByteDance Musical.ly im August 2018 übernommen und integriert hatte.

Aus der Pressemitteilung geht nicht hervor, wie viele Kinderkonten oder Videos konkret betroffen waren, und die genaue Zahl der eingegangenen Elternbeschwerden wird nur als tausende beziffert, nicht exakt. Ebenfalls nicht belegt ist eine detaillierte Aufschlüsselung, welcher Anteil der Gesamtnutzerschaft unter 13 Jahre alt war.

Die US-Handelsaufsichtsbehörde Federal Trade Commission (FTC) gab am 13. Januar 2021 einen Vergleich mit dem Unternehmen Flo Health Inc. bekannt, dem Entwickler der Perioden- und Fruchtbarkeits-Tracking-App Flo Period & Ovulation Tracker mit mehr als 100 Millionen Nutzerinnen weltweit. Die FTC warf Flo Health vor, entgegen eigener Datenschutzzusagen sensible Gesundheitsdaten wie den Eintritt der Periode, Schwangerschaftsabsichten und den Fruchtbarkeitsstatus von Nutzerinnen an Dritte weitergegeben zu haben, darunter die Analysedienste von Facebook und Google, den Facebook-Dienst App Events, Googles Fabric-Dienst sowie die Marketingfirmen AppsFlyer und Flurry. Eine Untersuchung des Wall Street Journal hatte die Praxis im Februar 2019 öffentlich gemacht, woraufhin Flo Health die Datenweitergabe einstellte. Nutzerinnen hatten laut FTC keine Möglichkeit erhalten, dieser Weitergabe zu widersprechen, obwohl die App Vertraulichkeit versprochen hatte. Der Vergleich verpflichtet Flo Health, künftig vor jeder Weitergabe von Gesundheitsdaten die ausdrückliche Einwilligung der Nutzerinnen einzuholen, eine unabhängige Überprüfung der eigenen Datenschutzpraxis durchführen zu lassen, betroffene Nutzerinnen über die frühere Offenlegung zu informieren und alle Drittfirmen anzuweisen, die erhaltenen Gesundheitsdaten zu löschen. Die FTC finalisierte die Anordnung am 22. Juni 2021.

Die genaue Zahl der tatsächlich von der Datenweitergabe betroffenen Nutzerinnen innerhalb der über 100 Millionen App-Nutzer ist aus dieser Quelle nicht ersichtlich. Der spätere zivilrechtliche Sammelklage-Vergleich über 59,5 Millionen US-Dollar aus dem Jahr 2025 ist nicht Teil dieser FTC-Anordnung und wird hier nicht behandelt.

Am 06.12.2021 veröffentlichte das gemeinnützige Rechercheportal The Markup eine Untersuchung, wonach die Familien-Tracking-App Life360 die präzisen Standortdaten ihrer weltweit rund 33 Millionen Nutzer an etwa ein Dutzend Datenhändler verkaufte. Zu den Käufern zählten unter anderem die Unternehmen X-Mode, Cuebiq, SafeGraph und Arity, eine Tochtergesellschaft des Versicherungskonzerns Allstate. Life360 wird von Eltern genutzt, um den Aufenthaltsort ihrer Kinder zu verfolgen, verkaufte die dabei gesammelten Standortdaten jedoch gleichzeitig weiter. Im Jahr 2020 erzielte das Unternehmen durch den Verkauf von Standortdaten rund 16 Millionen US-Dollar, was fast 20 Prozent des Jahresumsatzes entsprach. Zusätzlich erhielt Life360 rund 6 Millionen US-Dollar durch eine gesonderte Vereinbarung mit Arity. Nach Veröffentlichung der Recherche kündigte Life360 am 27.01.2022 an, den Verkauf präziser Standortdaten an die meisten der bisherigen Datenhändler einzustellen. Life360 bestätigte, seit mindestens 2016 Standortdaten an Dritte verkauft zu haben. Im April 2022 berichtete The Markup, dass US-Regulierungsbehörden nach der Recherche Informationen zu den Datenpraktiken von Life360 angefordert hatten. Im Juni 2023 wurde gegen Life360 eine Klage wegen ungerechtfertigter Bereicherung eingereicht.

Nicht belegt ist, wie viele der 33 Millionen Nutzer konkret von den Datenverkäufen betroffen waren und welche einzelnen Endkunden die Datenhändler mit den Rohdaten beliefert haben; der Ausgang der 2023 eingereichten Klage sowie das Ergebnis der Regulierungsanfragen waren zum Zeitpunkt der Berichterstattung offen.

Am 19.12.2022 veröffentlichte MIT Technology Review eine Recherche zu einem Datenleck bei iRobot. Die Redaktion konnte 15 Bildschirmfotos einsehen, die von Testgeräten der Roomba J7 Serie zwischen Juni und November 2020 in den USA, Japan, Frankreich, Deutschland und Spanien aufgenommen worden waren. Eines der Bilder zeigte eine Frau auf der Toilette in ihrer eigenen Wohnung. iRobot hatte mehr als 2 Millionen Bilder aus diesen Testgeräten an das Datenannotationsunternehmen Scale AI weitergegeben, damit dessen Plattform Remotasks die Aufnahmen für das Training von Künstlicher Intelligenz kennzeichnete. Gig Worker in Venezuela, die für Remotasks tätig waren, teilten die Bilder entgegen ihrer Vertraulichkeitsvereinbarung in geschlossenen Gruppen auf Facebook, Discord und anderen Plattformen. iRobot erklärte, es habe die Zusammenarbeit mit dem betroffenen Dienstleister beendet und untersuche den Vorfall. Das Unternehmen gab an, die Testgeräte seien mit einem grünen Aufkleber gekennzeichnet gewesen, der auf laufende Videoaufnahmen hinwies. Die betroffenen Testpersonen hatten einer Datenerfassung zu Entwicklungszwecken zugestimmt, jedoch nicht damit gerechnet, dass Aufnahmen aus ihren Wohnungen im Internet öffentlich geteilt werden.

Aus der Quelle geht nicht hervor, wie viele Personen insgesamt von der Weiterverbreitung betroffen waren und welche konkreten Konsequenzen die beteiligten Gig Worker oder Scale AI trugen. Ob es zu behördlichen Ermittlungen oder Sanktionen gegen iRobot oder Scale AI kam, ist ebenfalls nicht belegt.