Quellen-Tabelle

Die IT-Sicherheitsfirma Pen Test Partners meldete Peloton Interactive am 20.01.2021 im Rahmen von dessen Bug-Bounty-Programm mehrere ungesicherte API-Endpunkte. Über den Endpunkt /api/user/search sowie eine GraphQL-Schnittstelle des Leaderboards konnten persönliche Profildaten beliebiger Peloton-Nutzer abgerufen werden, ohne dass eine Anmeldung erforderlich war. Betroffen waren Nutzer-ID, Alter, Geschlecht, Wohnort, Gewicht, Trainingsstatistiken und Instructor-ID, selbst wenn ein Nutzer sein Profil als privat eingestellt hatte. Peloton hatte zu diesem Zeitpunkt mehr als drei Millionen Abonnenten. Peloton behob den unauthentifizierten Zugriff am 02.02.2021 zunächst nur teilweise, sodass die Daten weiterhin für jeden angemeldeten Nutzer einsehbar blieben. Erst nachdem Pen Test Partners nach Ablauf der 90-tägigen Offenlegungsfrist einen Journalisten von TechCrunch einschaltete, meldete sich Pelotons neue Chief Information Security Officer direkt bei den Forschern. Die verbliebenen Schwachstellen wurden daraufhin innerhalb von rund sieben Tagen behoben, TechCrunch veröffentlichte den Fall am 05.05.2021. Finanzielle Strafen oder behördliche Sanktionen im Zusammenhang mit dem Vorfall wurden nicht bekannt.

Aus der Quelle geht keine konkrete Zahl tatsächlich abgerufener Nutzerkonten hervor, und ob Dritte die Schwachstelle vor der Behebung aktiv zum massenhaften Auslesen von Daten genutzt haben, ist nicht belegt.

Die Nachrichtenseite The Verge veröffentlichte am 25.04.2019 einen Bericht von Colin Lecher über ein automatisiertes Leistungsüberwachungssystem im Amazon-Logistikzentrum BWI2 in Baltimore, Maryland. Grundlage waren interne Dokumente, die im Zuge einer Beschwerde beim National Labor Relations Board offengelegt wurden. Das System erfasst die Kennzahl Time Off Task, also Zeitspannen, in denen ein Mitarbeiter nicht aktiv scannt, verpackt oder Ware einlagert. Unterschreitet ein Beschäftigter die vorgegebene Produktivitätsrate, generiert das System automatisch Verwarnungen oder Kündigungen, ohne dass ein Vorgesetzter eingreifen muss. Laut den Dokumenten wurden zwischen August 2017 und September 2018 rund 300 Vollzeitkräfte am Standort BWI2 wegen Ineffizienz entlassen. Das Lager beschäftigte zu dieser Zeit etwa 2.500 Mitarbeiter, sodass die Kündigungen hochgerechnet mehr als 10 Prozent der Belegschaft pro Jahr betrafen. Amazon widersprach der Darstellung und erklärte, kein Mitarbeiter werde allein durch Software entlassen, da Vorgesetzte vor einer Kündigung eingebunden würden und Beschäftigte zuvor Coaching und Schulungen erhielten. Bußgelder, Vergleichszahlungen oder ein Gerichtsurteil im Zusammenhang mit diesem konkreten Bericht sind nicht bekannt.

Aus dem Bericht geht nicht hervor, wie oft Vorgesetzte automatisiert erzeugte Kündigungsvorschläge tatsächlich prüften oder aufhoben, und ob die geschilderte Praxis am Standort BWI2 in identischer Form auch in anderen Amazon-Lagern galt.

Der US-Hersteller von Smart-Home-Kameras Wyze Labs aus Seattle ließ die Daten von rund 2,4 Millionen Kunden ungeschützt im Internet zugänglich. Ursache war eine falsch konfigurierte Elasticsearch-Datenbank, die ein Mitarbeiter am 04.12.2019 für ein internes Analyseprojekt aus den Produktivservern kopierte und dabei ohne Zugriffsschutz beließ. Die Datenbank blieb bis zum 26.12.2019 offen einsehbar, also rund drei Wochen lang. Entdeckt wurde das Leck von der Sicherheitsfirma Twelve Security, die einen Bericht veröffentlichte, sowie zeitgleich durch die Nachfrage eines Reporters der Plattform IPVM bei Wyze. Offengelegt waren unter anderem E-Mail-Adressen von Kunden, Kamera-Spitznamen, WLAN-Netzwerknamen (SSID), Geräteinformationen sowie rund 24.000 Tokens für die Alexa-Integration. Bei einer kleinen Gruppe von Beta-Testern waren zudem Körperdaten wie Größe, Gewicht und Geschlecht betroffen. Passwörter und Zahlungsdaten waren nach Angaben von Wyze nicht in der Datenbank enthalten. Am 27.12.2019 entdeckte Wyze bei einer internen Sicherheitsüberprüfung eine zweite offen zugängliche Datenbank. Im Februar 2020 wurde beim US-Bezirksgericht für den Western District of Washington eine Sammelklage gegen Wyze Labs eingereicht.

Aus dieser Quelle nicht belegt sind die tatsächliche Zahl der von Dritten wirklich abgerufenen Datensätze sowie der Ausgang der 2020 eingereichten Sammelklage einschließlich einer möglichen Vergleichssumme oder Geldstrafe.

Der Cloud-Softwareanbieter Blackbaud, dessen Systeme von tausenden gemeinnützigen Organisationen, Universitäten und Stiftungen zur Spenderverwaltung genutzt werden, wurde im Mai 2020 Opfer eines Ransomware-Angriffs auf seine selbst gehostete Cloud-Umgebung. Die Angreifer wurden vor vollständiger Verschlüsselung der Systeme gestoppt, kopierten zuvor jedoch einen Teil der Kundendaten. Rund 13.000 Kundenorganisationen weltweit waren betroffen, darunter zahlreiche britische Universitäten wie Oxford Brookes, Leeds, Manchester und Glasgow sowie US-amerikanische Hochschulen und Wohltätigkeitsorganisationen. Gestohlen wurden je nach betroffener Organisation Namen, Kontaktdaten, Geburtsdaten, Spendenhistorien, teilweise auch Sozialversicherungsnummern und Bankverbindungen von Spendern. Blackbaud teilte am 16.07.2020 öffentlich mit, Bankdaten und Sozialversicherungsnummern seien nicht zugänglich gewesen; diese Aussage stellte sich laut SEC innerhalb weniger Tage intern als falsch heraus, wurde von der Unternehmensleitung aber nicht korrigiert. Erst im September 2020 räumte Blackbaud in einer SEC-Meldung ein, dass Sozialversicherungsnummern und Bankdaten möglicherweise gestohlen worden waren. Im März 2023 einigte sich Blackbaud mit der SEC auf eine Zivilstrafe von 3 Millionen US-Dollar wegen irreführender Offenlegungspraxis. Zusätzlich zahlte Blackbaud 2023 rund 49,5 Millionen US-Dollar zur Beilegung eines Verfahrens mit den Generalstaatsanwälten von 49 US-Bundesstaaten.

Die exakte Gesamtzahl der individuell betroffenen Spender und Personen weltweit ist aus dieser Quelle nicht belegt, ebenso wenig die Identität der Angreifer oder ob Lösegeld gezahlt wurde. Die SEC-Strafe betrifft nur die irreführende Offenlegung gegenüber Investoren, nicht die Datenschutzverstöße gegenüber den betroffenen Spendern selbst.

Am 10.04.2021 berichtete das IT-Sicherheitsportal Cybernews, dass eine SQL-Datenbank mit rund 1,3 Millionen Nutzerdatensätzen der Audio-App Clubhouse kostenlos in einem bekannten Hackerforum veröffentlicht wurde. Die Datensätze enthielten unter anderem Nutzer-ID, Namen, Profilbild-URL, Nutzername, verknüpfte Twitter- und Instagram-Handles, Anzahl der Follower und Abonnements, das Erstellungsdatum des Kontos sowie den Namen der Person, die den jeweiligen Nutzer eingeladen hatte. Clubhouse dementierte am 11.04.2021 über CEO Paul Davison bei einem unternehmensinternen Townhall-Treffen, Ziel eines Hacks geworden zu sein, und bezeichnete die Berichterstattung als irreführend. Nach Darstellung des Unternehmens handelte es sich ausschließlich um öffentlich zugängliche Profildaten, die jeder Nutzer über die App oder die API von Clubhouse einsehen konnte. Die App-Analystin Jane Manchun Wong erklärte, die Daten seien mutmaßlich über eine einfache Schleifenfunktion abgegriffen worden, da Clubhouse Nutzer-IDs fortlaufend nummerierte. Kreditkartendaten, Telefonnummern oder andere sensible Identifikationsmerkmale waren nach übereinstimmenden Berichten nicht Teil der veröffentlichten Datensätze. Clubhouse befand sich zu diesem Zeitpunkt, wenige Monate nach dem pandemiebedingten Nutzerboom Anfang 2021, noch in einer geschlossenen Betaphase mit Einladungssystem.

Nicht belegt ist, ob Clubhouse wegen des Vorfalls behördlich belangt oder finanziell sanktioniert wurde, da öffentlich keine Bußgelder oder Aufsichtsverfahren bekannt wurden. Ebenfalls ungeklärt bleibt die genaue technische Vorgehensweise des Scrapings, da Clubhouse selbst keine forensische Analyse veröffentlichte.

Im September 2020 wurde der Anbieter der PDF-Software Nitro (Nitro Software) Opfer eines Datendiebstahls. Eine 14 GB große Datenbank mit 77.159.696 Nutzerdatensätzen wurde zunächst gemeinsam mit 1 TB an Dokumenten für 80.000 US-Dollar zum Kauf angeboten. Am 20.01.2021 veröffentlichte ein Akteur, der sich der Gruppe ShinyHunters zurechnete, die vollständige Datenbank kostenlos in einem Hackerforum. Die Datensätze enthielten E-Mail-Adressen, vollständige Namen, bcrypt-gehashte Passwörter, Firmennamen, Berufsbezeichnungen, IP-Adressen sowie Titel aus mit der Software konvertierten Dokumenten. Bleeping Computer bestätigte die Echtheit der Daten anhand bekannter Nitro-Konten. Nitro Software hatte den Vorfall bereits am 21.10.2020 in einer Mitteilung an die australische Börse ASX als Sicherheitsvorfall mit geringen Auswirkungen gemeldet und erklärt, es seien keine Kundendaten betroffen gewesen, was sich im Nachhinein als unzutreffend erwies. Unter den betroffenen Organisationen, deren Mitarbeiter Nitro-Konten nutzten, wurden unter anderem Google, Apple, Microsoft, Chase und Citibank genannt. Have I Been Pwned nahm den Vorfall am 19.01.2021 mit 77,2 Millionen betroffenen Konten in seine Datenbank auf.

Nicht belegt ist der genaue technische Einbruchsweg in die Nitro-Systeme sowie eine offizielle, detaillierte Bestätigung des Umfangs durch Nitro Software selbst, das den Vorfall zunächst herunterspielte. Auch die Identität des Täters beruht nur auf dessen eigener Behauptung im Hackerforum.

Am 17.12.2020 genehmigte die Europäische Kommission unter der EU-Fusionskontrollverordnung die von Google im November 2019 angekündigte Übernahme des Wearable-Herstellers Fitbit für rund 2,1 Milliarden US-Dollar, allerdings nur unter Auflagen. Die Kommission hatte zuvor am 04.08.2020 eine vertiefte Prüfung (Phase II) eingeleitet, da sie befürchtete, Google könne durch den Zugriff auf Fitbits Gesundheits- und Fitnessdaten seine Marktmacht in der Online-Werbung weiter ausbauen. Google verpflichtete sich für die Dauer von zehn Jahren, die über Fitbit-Geräte gesammelten Gesundheits- und Standortdaten von EWR-Nutzern technisch getrennt von anderen Google-Daten in einem sogenannten Datensilo zu speichern und nicht für zielgerichtete Werbung zu verwenden. Zudem muss Google Nutzern eine echte Wahlmöglichkeit einräumen, ob ihre Fitbit- oder Google-Konto-Gesundheitsdaten für andere Google-Dienste wie Suche oder Maps genutzt werden dürfen. Google sicherte außerdem zu, den kostenlosen Zugang zur Fitbit Web API für Drittanbieter-Apps sowie zu Android-APIs für Wearable-Hersteller mindestens zehn Jahre lang aufrechtzuerhalten. Die Zusagen unterliegen der Überwachung durch einen von der Kommission bestellten Treuhänder.

Aus der Pressemitteilung nicht belegt ist, wie wirksam die Zehn-Jahres-Verpflichtungen in der Praxis durchgesetzt und kontrolliert wurden; Kritiker bezweifelten schon damals, ob die Datensilo-Lösung technisch und rechtlich ausreichend überprüft werden kann.

Am 10.01.2019 veröffentlichte das Onlinemagazin The Intercept eine Recherche von Sam Biddle, wonach Amazons Tochterfirma Ring Mitarbeitern in den USA und in der Ukraine weitreichenden, teils uneingeschränkten Zugriff auf private Kundenvideos ihrer Überwachungskameras gewährte. Laut der Enthüllung hatten Ring-Ingenieure in der Ukraine seit 2016 Zugang zu einem Amazon-S3-Cloud-Ordner, der praktisch jedes von einer Ring-Kamera je aufgenommene Video enthielt. In den USA konnten zudem Mitarbeiter und Führungskräfte auf Live-Feeds von Kundenkameras zugreifen, obwohl Ring dies in seinen Nutzungsbedingungen nicht offenlegte. Quellen berichteten dem Magazin, dass Mitarbeiter sich gegenseitig Aufnahmen aus Kameras von Kollegen zeigten. Ring erklärte, Mitarbeiter hätten keinen Zugriff auf Livestreams, und verschärfte im Februar 2019 die internen Regeln, sodass ein Videozugriff fortan die Zustimmung des jeweiligen Kunden voraussetzte. Die FTC bestätigte die Vorwürfe 2023 in einer eigenen Klage und dokumentierte, dass ein einzelner Mitarbeiter über Monate hinweg tausende Videos von mindestens 81 Nutzerinnen der Ring-Kamera Stick Up Cam eingesehen hatte. Ring einigte sich im Mai 2023 mit der FTC auf eine Zahlung von 5,8 Millionen US-Dollar, aus der die Behörde ab 2024 rund 117044 Rückerstattungen an betroffene Kunden auszahlte.

Die genaue Gesamtzahl der Kunden, deren private Videos über die Jahre unbefugt von Mitarbeitern oder Vertragspartnern eingesehen wurden, ist nicht abschließend beziffert. Der Intercept-Artikel selbst stützt sich auf anonyme Quellenangaben, während das volle Ausmaß des Zugriffs erst später durch die FTC teilweise dokumentiert wurde.

Am 16. Juli 2021 verhängte die luxemburgische Datenschutzbehörde CNPD (Commission Nationale pour la Protection des Données) gegen Amazon Europe Core S.à r.l. ein Bußgeld in Höhe von 746 Millionen Euro. Bekannt wurde die Entscheidung am 30. Juli 2021, als Amazon sie in ihrem Quartalsbericht bei der US-Börsenaufsicht SEC offenlegte. Die CNPD warf Amazon vor, personenbezogene Daten seiner Kunden ohne wirksame und freiwillige Einwilligung für personalisierte Werbung zu verarbeiten und damit gegen die Grundsätze der Transparenz und Zweckbindung der DSGVO zu verstoßen. Grundlage des Verfahrens war eine Sammelbeschwerde, die die französische Bürgerrechtsorganisation La Quadrature du Net im Mai 2018 gemeinsam mit rund 10.000 Unterstützern eingereicht hatte. Mit 746 Millionen Euro war dies zum Zeitpunkt der Verhängung das höchste jemals von einer europäischen Datenschutzbehörde verhängte DSGVO-Bußgeld und übertraf die bisherige Rekordstrafe von 50 Millionen Euro gegen Google aus dem Jahr 2019 um ein Vielfaches. Amazon wies die Vorwürfe zurück und legte Rechtsmittel gegen die Entscheidung ein. Im März 2025 bestätigte das Verwaltungsgericht Luxemburg die Entscheidung der CNPD und die Bußgeldhöhe von 746 Millionen Euro in vollem Umfang.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Form Amazon nach der Bestätigung durch das Verwaltungsgericht Luxemburg im März 2025 weitere Rechtsmittel eingelegt hat und ob die Summe bereits tatsächlich gezahlt wurde.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2022 gegen Meta Platforms Ireland Limited als Betreiberin von Instagram ein Bußgeld in Höhe von 405 Millionen Euro. Die Entscheidung wurde am 15.09.2022 öffentlich bekannt gegeben und war zu diesem Zeitpunkt die höchste von der DPC verhängte Strafe. Grundlage war eine am 21.09.2020 eingeleitete Untersuchung, ausgelöst durch Hinweise des US-Datenwissenschaftlers David Stier. Die DPC stellte fest, dass Instagram bei der Nutzung von Business-Konten E-Mail-Adressen und Telefonnummern minderjähriger Nutzer öffentlich sichtbar machte und persönliche Konten von Kindern standardmäßig auf öffentlich statt privat einstellte. Die Behörde sah darin Verstöße gegen mehrere Artikel der DSGVO. Der ursprüngliche Entscheidungsentwurf der DPC von Dezember 2021 stieß auf Einwände von sechs anderen europäischen Datenschutzbehörden, weshalb der Fall gemäß Artikel 65 DSGVO an den Europäischen Datenschutzausschuss (EDPB) verwiesen wurde. Der EDPB traf am 28.07.2022 eine bindende Entscheidung und verlangte die zusätzliche Feststellung eines Verstoßes gegen Artikel 6(1), wofür allein 20 Millionen Euro der Gesamtstrafe vorgesehen wurden. Es handelte sich um die dritte Strafe gegen ein Meta-Unternehmen nach 225 Millionen Euro gegen WhatsApp im September 2021 und 17 Millionen Euro gegen Facebook im März 2022.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Kinder konkret von der öffentlichen Anzeige ihrer Kontaktdaten betroffen waren, und der Ausgang eines möglichen Rechtsmittelverfahrens von Meta gegen die Entscheidung ist darin nicht dokumentiert.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2021 gegen WhatsApp Ireland Limited eine Geldbuße von 225 Millionen Euro. Grundlage war eine Untersuchung, die die DPC am 10.12.2018 von Amts wegen eingeleitet hatte. Gegenstand war die Frage, ob WhatsApp seinen Transparenzpflichten nach der Datenschutz-Grundverordnung nachkam, insbesondere bei der Information von Nutzern und Nicht-Nutzern über die Verarbeitung und Weitergabe von Daten an andere Facebook-Unternehmen. Die DPC stellte Verstöße gegen die Artikel 12, 13 und 14 sowie gegen den Transparenzgrundsatz aus Artikel 5 Absatz 1 Buchstabe a DSGVO fest. Der ursprüngliche Bußgeldvorschlag der DPC vom Dezember 2020 hatte lediglich 30 bis 50 Millionen Euro betragen. Acht betroffene Aufsichtsbehörden aus anderen EU-Staaten erhoben Einspruch gegen diesen Entwurf. Der Europäische Datenschutzausschuss entschied daraufhin am 28.07.2021 im verbindlichen Streitbeilegungsverfahren, dass die Buße deutlich höher ausfallen muss. Neben der Geldstrafe erteilte die DPC WhatsApp einen Verweis und ordnete konkrete Maßnahmen zur Herstellung der Rechtskonformität an.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Nutzer konkret von den Transparenzmängeln betroffen waren, und ein möglicher Ausgang eines gerichtlichen Einspruchs von WhatsApp gegen die Entscheidung wird darin nicht dokumentiert.

Die irische Datenschutzbehörde (Data Protection Commission, DPC) verhängte am 15.09.2023 ein Bußgeld von 345 Millionen Euro gegen TikTok Technology Limited, die europäische Tochtergesellschaft mit Sitz in Dublin. Die Entscheidung basiert auf einer Untersuchung des Zeitraums vom 31.07.2020 bis 31.12.2020 und betrifft den Umgang mit den Daten minderjähriger Nutzer im Alter von 13 bis 17 Jahren. Die DPC stellte fest, dass Nutzerkonten von Teenagern standardmäßig auf öffentlich eingestellt waren und die Funktion Family Pairing es Erwachsenen ermöglichte, für Teenager-Konten Direktnachrichten zu aktivieren, ohne dass eine familiäre Beziehung überprüft wurde. Zudem bemängelte die Behörde irreführende Voreinstellungen in zwei Pop-up-Hinweisen bei der Registrierung und beim Hochladen von Videos, sogenannte Dark Patterns. Die Entscheidung stellte Verstöße gegen mehrere Artikel der DSGVO fest. Der Verstoß gegen Artikel 5(1)(a) wurde nach einem verbindlichen Beschluss des Europäischen Datenschutzausschusses ergänzt, nachdem eine deutsche Aufsichtsbehörde Einwände zu den Dark Patterns erhoben hatte. Neben dem Bußgeld erteilte die DPC eine Rüge und ordnete an, dass TikTok die betroffenen Verarbeitungspraktiken innerhalb von drei Monaten in Einklang mit der DSGVO bringt.

Diese Entscheidung und Quelle beziehen sich ausschließlich auf die 2023 verhängte Kinderdaten-Buße; Datentransfers nach China wurden von der DPC erst in einem separaten Verfahren im Mai 2025 mit einem zusätzlichen Bußgeld von 530 Millionen Euro geahndet. Der Ausgang eines möglichen Rechtsmittelverfahrens von TikTok gegen die 345-Millionen-Euro-Entscheidung ist aus dieser Quelle nicht ersichtlich.

Am 21.01.2019 verhängte die formation restreinte der französischen Datenschutzbehörde CNIL eine Geldbuße von 50 Millionen Euro gegen Google LLC. Es war die erste große Sanktion unter der seit Mai 2018 geltenden EU-Datenschutz-Grundverordnung und zum Zeitpunkt der Verhängung die höchste von einer europäischen Datenschutzbehörde ausgesprochene Strafe. Grundlage waren zwei Sammelbeschwerden der Organisationen None Of Your Business (NOYB) um Max Schrems und La Quadrature du Net vom 25. und 28.05.2018. Die CNIL stellte einen Verstoß gegen Artikel 12 und 13 DSGVO fest, weil Informationen zur Datenverarbeitung bei der Einrichtung eines Android-Kontos auf mehrere Dokumente verstreut und schwer auffindbar waren. Zudem sah die Behörde einen Verstoß gegen Artikel 6 DSGVO, da die Einwilligung zur personalisierten Werbung nicht wirksam eingeholt wurde, unter anderem weil das Zustimmungskästchen bei der Kontoerstellung bereits vorangehakt war. Google legte gegen die Entscheidung Rechtsmittel beim Conseil d'État ein. Am 19.06.2020 bestätigte der Conseil d'État die Sanktion vollständig und wies die Beschwerde von Google zurück.

Die Entscheidung betrifft primär die Einwilligung zur personalisierten Werbung bei der Einrichtung eines Android-Kontos, nicht klassische Cookie-Banner auf Webseiten; eine gesonderte CNIL-Sanktion gegen Google wegen Cookies in Höhe von 100 Millionen Euro erfolgte erst im Dezember 2020. Die genaue Zahl der in Frankreich betroffenen Nutzerkonten ist aus der Quelle nicht ersichtlich.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) verhängte am 01.10.2020 ein Bußgeld in Höhe von 35.258.707,95 Euro gegen die H&M Hennes & Mauritz Online Shop A.B. & Co. KG. Betroffen war das Servicecenter des Unternehmens in Nürnberg, wo mehrere hundert Mitarbeiterinnen und Mitarbeiter mindestens seit dem Jahr 2014 von der Centerleitung überwacht wurden. Vorgesetzte Teamleader führten nach Urlaubs- und Krankheitsabwesenheiten sogenannte Welcome-Back-Talks durch und notierten dabei unter anderem Krankheitssymptome, Diagnosen sowie konkrete Urlaubserlebnisse. Über Einzel- und Flurgespräche eigneten sich einige Vorgesetzte zusätzlich Wissen über familiäre Probleme und religiöse Bekenntnisse ihrer Mitarbeitenden an. Die Aufzeichnungen wurden dauerhaft auf einem Netzlaufwerk gespeichert und waren für bis zu 50 weitere Führungskräfte im Unternehmen einsehbar. Bekannt wurde die Praxis, weil die Notizen im Oktober 2019 infolge eines Konfigurationsfehlers für einige Stunden unternehmensweit zugänglich waren. Die Behörde ließ daraufhin rund 60 Gigabyte Daten sichern und auswerten sowie zahlreiche Zeuginnen und Zeugen vernehmen. H&M entschuldigte sich, zahlte unbürokratischen Schadenersatz und führte am Standort Nürnberg ein neues Datenschutzkonzept ein.

Die genaue Zahl der betroffenen Beschäftigten wird in der Pressemitteilung nur als mehrere hundert angegeben, nicht exakt beziffert. Ob H&M gegen den Bußgeldbescheid rechtlich vorging oder dieser rechtskräftig wurde, geht aus der Quelle nicht hervor.

Am 02.12.2015 töteten Syed Rizwan Farook und Tashfeen Malik bei einem Attentat in San Bernardino, Kalifornien, 14 Menschen und verletzten 22 weitere. Ermittler sicherten ein dienstliches iPhone 5C von Farook, das mit einem vierstelligen Code und iOS-Verschlüsselung gesichert war. Am 16.02.2016 ordnete die US-Bundesrichterin Sheri Pym auf Basis des All Writs Act von 1789 an, Apple müsse dem FBI angemessene technische Unterstützung leisten, konkret eine spezielle Firmware-Version, die die automatische Löschfunktion und die Verzögerung bei Falscheingaben des Codes deaktiviert. Noch am selben Tag veröffentlichte Apple-CEO Tim Cook den offenen Brief A Message to Our Customers, in dem er die Anordnung als Aufforderung zum Bau einer Hintertür bezeichnete und vor einem Präzedenzfall für alle iPhone-Nutzer warnte. Apple legte am 25.02.2016 einen Antrag auf Aufhebung der Anordnung vor, FBI-Direktor James Comey und Apples Justiziar Bruce Sewell sagten am 01.03.2016 vor dem US-Kongress aus. Am 21.03.2016 beantragte das US-Justizministerium eine Verschiebung der Anhörung, weil ein Dritter eine mögliche Methode zum Entsperren des Telefons vorgestellt habe. Am 28.03.2016 zog das Justizministerium die Klage zurück und erklärte, das FBI habe erfolgreich auf die Daten des iPhones zugegriffen, ohne Apples Hilfe zu benötigen. FBI-Direktor Comey bezifferte die Kosten für die Entsperrmethode im April 2016 auf mehr als 1,3 Millionen US-Dollar.

Die Identität des Drittanbieters, der dem FBI beim Entsperren half, wurde nie offiziell bestätigt (kursierende Berichte nennen die israelische Firma Cellebrite), und die genaue Höhe der gezahlten Summe schwankt in Medienberichten zwischen unter 1 Million und über 1,3 Millionen US-Dollar. Ob die auf dem Telefon gefundenen Daten ermittlungsrelevant waren, ist aus dieser Quelle nicht abschließend belegt.

Zwischen April und Mai 2024 verschaffte sich die Angreifergruppe UNC5537 unbefugten Zugriff auf mindestens 165 Kundenkonten der Cloud-Datenplattform Snowflake. Snowflake teilte am 30.05.2024 mit, am 23.05.2024 von dem unbefugten Zugriff erfahren zu haben, nachdem die Erpressergruppe ShinyHunters am 28.05.2024 den Verkauf von 560 Millionen Ticketmaster-Kundendatensätzen in einem Cyberkriminalitätsforum angekündigt hatte. Laut dem am 10.06.2024 veröffentlichten Bericht des IT-Sicherheitsunternehmens Mandiant nutzten die Angreifer gestohlene Zugangsdaten aus Infostealer-Malware wie Vidar, Redline, Raccoon Stealer und Lumma, die teils seit November 2020 nicht mehr geändert worden waren. Mindestens 79,7 Prozent der missbrauchten Konten wiesen bereits zuvor kompromittierte Zugangsdaten auf. Ursächlich für den Erfolg der Angriffe waren das Fehlen von Mehrfaktor-Authentifizierung sowie fehlende Netzwerk-Zugriffsbeschränkungen auf den betroffenen Snowflake-Konten. Zu den betroffenen Organisationen zählten unter anderem Ticketmaster/Live Nation, die Santander Bank, AT&T, Advance Auto Parts und Neiman Marcus. AT&T bestätigte im Juli 2024 den Diebstahl von Anruf- und SMS-Metadaten von rund 110 Millionen Kunden. Am 30.10.2024 wurde der mutmaßliche Haupttäter Connor Riley Moucka in Kitchener, Ontario, festgenommen. Im November 2024 erhob das US-Justizministerium Anklage gegen ihn und einen weiteren Mann wegen Computerbetrugs, Erpressung und schweren Identitätsdiebstahls.

Die genaue Gesamtzahl der betroffenen Einzelpersonen sowie die Höhe tatsächlich gezahlter Lösegelder einzelner Opferunternehmen sind aus dieser Quelle nicht abschließend bestätigt. Der juristische Ausgang des Verfahrens gegen die mutmaßlichen Täter war zum Zeitpunkt der zitierten Berichterstattung noch offen.

Am 24.11.2019 veröffentlichte das International Consortium of Investigative Journalists (ICIJ) gemeinsam mit 17 Medienpartnern aus 14 Ländern und mehr als 75 Journalisten die sogenannten China Cables, geheime chinesische Regierungsdokumente aus dem Jahr 2017. Die Dokumente waren ICIJ über eine Kette exilierter Uiguren zugespielt worden und umfassen ein neunseitiges Betriebshandbuch vom November 2017, vier elfseitige Geheimdienstbulletins vom Juni 2017 sowie ein Gerichtsdokument von 2018. Das Betriebshandbuch, laut den Unterlagen abgezeichnet vom damaligen stellvertretenden Parteisekretär Xinjiangs Zhu Hailun, beschreibt erstmals detailliert den Betrieb der Internierungslager für Angehörige der uigurischen Minderheit in der Region Xinjiang. Die Bulletins belegen den Einsatz der Überwachungsplattform Integrated Joint Operations Platform (IJOP), die auf Basis von Big-Data-Analysen automatisch Personen als verdächtig einstuft. Laut einem der Bulletins generierte die IJOP-Software allein in einer Woche im Juni 2017 eine Liste von 24.412 als verdächtig markierten Personen, von denen 15.683 in derselben Woche interniert wurden. Menschenrechtsorganisationen und Forscher gehen von Hunderttausenden bis über einer Million Inhaftierten in den Lagern der Region aus. Die Echtheit der Dokumente wurde unter anderem von den China-Experten Adrian Zenz und James Mulvenon bestätigt. Die chinesische Botschaft in London bezeichnete die Dokumente als Fälschung und stellte die Einrichtungen als freiwillige Berufsbildungszentren dar.

Die genaue Gesamtzahl der Internierten in Xinjiang sowie die vollständige Befehlskette bis zur Zentralregierung in Peking sind aus den veröffentlichten Dokumenten allein nicht abschließend belegt, und Peking bestreitet die Echtheit der China Cables bis heute.

Cellebrite ist ein israelisches Unternehmen, das mit dem Universal Forensic Extraction Device (UFED) Software zur Entsperrung und Datenextraktion aus Smartphones herstellt. Am 12.01.2017 erbeuteten Hacker rund 900 GB interne Daten von Cellebrite-Servern, darunter Zugangsdaten zu Firmendatenbanken und Auswertungsdateien beschlagnahmter Telefone. Die erbeuteten Daten belegten Verkäufe der Entsperrtechnik an die Türkei, die Vereinigten Arabischen Emirate und Russland. Weitere Recherchen zeigten, dass Cellebrite-Produkte zwischen 2013 und 2019 auch an das belarussische Untersuchungskomitee geliefert wurden, das sie gegen die demokratische Opposition einsetzte. Laut Haaretz vom 16.09.2020 bot Cellebrite zudem Saudi-Arabien Entsperrdienste an, wofür ein Firmenvertreter im November 2019 nach Riad reiste. Im August 2020 berichtete MIT Technology Review, dass die Polizei Hongkongs Cellebrite-Geräte einsetzte, um Handys von während der Proteste 2019/2020 festgenommenen Demonstranten zu entsperren. Laut Gerichtsakten nutzte auch die myanmarische Polizei Cellebrite-Technik zur Auswertung der Telefone zweier 2018 verurteilter Reuters-Journalisten, die über den Rohingya-Genozid berichtet hatten. Am 07.10.2020 kündigte Cellebrite wegen geänderter US-Exportvorschriften an, keine Produkte mehr an Hongkong und China zu verkaufen.

Der genaue Umfang der weltweiten Cellebrite-Kundenliste sowie die tatsächliche Zahl betroffener Staaten und Einzelpersonen sind aus dieser Quelle nicht vollständig belegt. Unklar bleibt zudem, ob die angekündigten Lieferstopps an Russland, Belarus, Hongkong und China tatsächlich eingehalten wurden, da spätere Berichte weiterhin Nutzung der Technik in diesen Ländern nahelegen.

Die britische Gesundheitsbehörde NHSX testete ab dem 05.05.2020 auf der Isle of Wight eine Bluetooth-basierte Corona-Kontaktverfolgungs-App mit zentralisiertem Datenmodell, bei dem Kontaktdaten auf einem zentralen NHS-Server gespeichert wurden. Bis zum 11.05.2020 wurde die App rund 55.000 Mal heruntergeladen. Datenschutzexperten kritisierten das zentralisierte Modell wegen des Risikos einer Ausweitung der Datennutzung und forderten stattdessen ein dezentrales Modell nach Vorbild der von Apple und Google entwickelten Exposure-Notification-Schnittstelle. Tests zeigten zudem technische Probleme: Wegen Apples Beschränkungen für Bluetooth-Hintergrundprozesse erkannte die zentralisierte App nur etwa 4 Prozent der iPhones und rund 75 Prozent der Android-Geräte zuverlässig, während das Apple-Google-Modell 99 Prozent beider Gerätetypen erfasste. Am 18.06.2020 gab Gesundheitsminister Matt Hancock bekannt, dass die Regierung das zentralisierte Modell aufgibt und künftig mit Apple und Google an einer dezentralen Lösung arbeitet. Die neue, auf der Apple-Google-Schnittstelle basierende NHS-COVID-19-App wurde am 24.09.2020 in England und Wales veröffentlicht und am ersten Tag sechs Millionen Mal heruntergeladen. Eine 2023 veröffentlichte Studie schätzte, dass die App im ersten Betriebsjahr rund eine Million Infektionsfälle und etwa 9.600 Todesfälle verhindert habe. Die App wurde am 27.04.2023 endgültig abgeschaltet.

Aus dieser Quelle nicht belegt sind die genauen Entwicklungskosten der ursprünglichen zentralisierten App sowie die Details der internen Entscheidungsprozesse. Ebenfalls unklar bleibt, ob letztlich die technischen Bluetooth-Probleme mit iPhones oder die Datenschutzbedenken den Ausschlag für den Wechsel gaben.

Im Oktober und November 2016 luden zwei Hacker aus einer AWS-Cloud-Datenbank von Uber persönliche Daten von 57 Millionen Nutzern und Fahrern herunter, darunter rund 25,6 Millionen Namen und E-Mail-Adressen sowie etwa 607.000 Führerscheinnummern US-amerikanischer Fahrer. Uber erfuhr am 14.11.2016 von dem Angriff. Der damalige Sicherheitschef Joseph Sullivan ließ den Hackern daraufhin 100.000 US-Dollar in Bitcoin zahlen und diese Zahlung über das Programm HackerOne als reguläre Bug-Bounty-Prämie tarnen, obwohl Ubers übliche Höchstprämie bei 10.000 Dollar lag; die Hacker mussten zudem eine Verschwiegenheitserklärung unterzeichnen. Der Vorfall wurde erst im November 2017 öffentlich, als der neue Uber-Chef Dara Khosrowshahi ihn offenlegte, woraufhin Sullivan entlassen wurde. Im September 2018 zahlte Uber 148 Millionen US-Dollar in einem Vergleich mit den Generalstaatsanwälten aller 50 US-Bundesstaaten und des District of Columbia wegen verspäteter Meldung der Datenpanne. Im August 2020 klagte die US-Bundesstaatsanwaltschaft Sullivan wegen Behinderung eines FTC-Verfahrens und Verschweigen einer Straftat an. Eine Bundesgeschworenenjury sprach ihn am 05.10.2022 in beiden Anklagepunkten schuldig. Am 04.05.2023 verurteilte Richter William Orrick Sullivan zu drei Jahren Bewährung, 200 Stunden gemeinnütziger Arbeit und einer Geldstrafe von 50.000 US-Dollar, ohne Haftstrafe.

Aus der Berichterstattung nicht abschließend geklärt ist, inwieweit der damalige Uber-CEO Travis Kalanick persönlich für die Vertuschung mitverantwortlich war; er wurde strafrechtlich nicht angeklagt, obwohl der Richter ihn laut Presseberichten als ebenso schuldig bezeichnete. Der genaue Tag der Bitcoin-Zahlung im Dezember 2016 ist in den verfügbaren Quellen nicht einheitlich belegt.

Am 25.05.2022 gaben das US-Justizministerium (DOJ) und die Federal Trade Commission (FTC) eine Einigung mit Twitter Inc. bekannt, wonach das Unternehmen 150 Millionen US-Dollar Zivilstrafe zahlen muss. Den Behörden zufolge forderte Twitter zwischen Mai 2013 und September 2019 Nutzer auf, Telefonnummern und E-Mail-Adressen anzugeben, offiziell zur Kontosicherheit, etwa für die Zwei-Faktor-Authentifizierung und die Passwort-Wiederherstellung. Tatsächlich nutzte Twitter diese Daten zusätzlich für zielgerichtete Werbung, ohne die Nutzer darüber zu informieren. Nach Angaben der Behörden waren mehr als 140 Millionen Twitter-Nutzer betroffen. Die FTC wertete dies als Verstoß gegen den FTC Act sowie gegen eine bereits im März 2011 gegen Twitter erlassene behördliche Anordnung zum Datenschutz. Die Einigung verpflichtet Twitter zu einem umfassenden Compliance-Programm mit 20 Jahren FTC-Aufsicht, zur Bereitstellung von Multi-Faktor-Authentifizierung ohne Telefonnummernpflicht sowie zur Benachrichtigung betroffener Nutzer über die Zweckentfremdung ihrer Daten. FTC-Vorsitzende Lina Khan bezeichnete die Strafe als Reaktion auf einen wiederholten Verstoß, da Twitter bereits 2011 eine ähnliche Anordnung erhalten hatte. Die Strafzahlung entsprach nach Medienberichten rund drei Prozent des Twitter-Jahresumsatzes von 2021.

Aus der Pressemitteilung geht nicht hervor, in welchem Umfang die Werbedaten konkret an Drittanbieter weitergegeben oder wie viel Zusatzumsatz Twitter dadurch erzielte. Ebenso unklar bleibt, ob und wie viele einzelne Nutzer individuell benachrichtigt oder entschädigt wurden.

JPMorgan Chase, die größte Bank der USA, teilte am 02.10.2014 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC mit, dass Angreifer persönliche Kontaktdaten von 76 Millionen Haushalten und 7 Millionen kleinen Unternehmen erbeutet hatten. Die Angreifer verschafften sich im Juni 2014 mithilfe gestohlener Zugangsdaten eines Mitarbeiters Zugang zu einem internen Server, der nicht durch Zwei-Faktor-Authentifizierung gesichert war, und drangen anschließend in mehr als 90 weitere Server des Konzerns ein. JPMorgan entdeckte den Einbruch Mitte August 2014 und beendete ihn kurz darauf. Erbeutet wurden Namen, Postadressen, Telefonnummern und E-Mail-Adressen. Nach Angaben der Bank fanden sich keine Hinweise auf den Diebstahl von Kontonummern, Passwörtern, Geburtsdaten oder Sozialversicherungsnummern. Im November 2015 klagte die US-Staatsanwaltschaft für den Südlichen Bezirk von New York die Israelis Gery Shalon und Ziv Orenstein sowie den US-Amerikaner Joshua Samuel Aaron im Rahmen eines größeren Betrugs- und Marktmanipulationsschemas an, das neben JPMorgan mindestens neun weitere Finanzunternehmen betraf. Shalon bekannte sich 2017 in allen 23 Anklagepunkten schuldig und musste Vermögenswerte von mehr als 400 Millionen US-Dollar abtreten. Der russische Mitangeklagte Andrei Tyurin wurde 2018 ausgeliefert und 2021 zu zwölf Jahren Haft verurteilt. JPMorgan verdoppelte in der Folge sein jährliches Cybersicherheitsbudget von rund 250 Millionen auf 500 Millionen US-Dollar.

Ob wirklich keine Konto- oder Sozialversicherungsdaten abflossen, beruht allein auf der eigenen Einschätzung von JPMorgan und wurde nicht unabhängig verifiziert. Der genaue strafrechtliche Ausgang gegen den mutmaßlichen Mitorganisator Joshua Samuel Aaron ist mit dieser Quelle nicht abschließend belegt.

Zwischen dem 17. und 19. April 2011 verschafften sich unbekannte Angreifer unbefugten Zugriff auf die Server des Sony-Unterhaltungsnetzwerks PlayStation Network (PSN) und des Musikdienstes Qriocity. Am 20. April 2011 schaltete Sony beide Dienste vollständig ab, um die Systeme zu untersuchen. Am 26. April 2011 bestätigte Sony offiziell, dass persönliche Daten von rund 77 Millionen PSN- und Qriocity-Konten kompromittiert wurden, darunter Namen, Adressen, E-Mail-Adressen, Geburtsdaten sowie Login- und Passwortdaten. Zusätzlich waren beim ebenfalls angegriffenen Dienst Sony Online Entertainment rund 24,6 Millionen weitere Konten betroffen, bei etwa 12.700 davon auch Kreditkartendaten. Die PlayStation-Network-Dienste blieben bis zum 14. Mai 2011 vollständig offline, ein Ausfall von rund drei Wochen. Am 23. Mai 2011 bezifferte Sony die Kosten des Vorfalls auf etwa 171 Millionen US-Dollar, unter anderem für Identitätsschutz-Versicherungen und kostenlose Abonnements für betroffene Nutzer. Im Januar 2013 verhängte die britische Datenschutzbehörde Information Commissioner's Office eine Geldstrafe von 250.000 britischen Pfund gegen Sony wegen unzureichender Sicherheitsvorkehrungen. Die Angreifer wurden nie zweifelsfrei identifiziert, Sony vermutete zunächst eine Beteiligung der Hacktivisten-Gruppe Anonymous, die eine Verantwortung jedoch zurückwies.

Die genaue Herkunft und Identität der Angreifer ist bis heute nicht zweifelsfrei belegt, ebenso wenig, in welchem Umfang gestohlene Kreditkartendaten tatsächlich für Betrug missbraucht wurden. Die Zahl von 12.700 betroffenen Kreditkarten bei Sony Online Entertainment stammt aus Sonys eigenen Angaben und ist unabhängig nicht überprüft.

Die US-Einzelhandelskette TJX Companies, Betreiber von T.J. Maxx, Marshalls und weiteren Ketten, entdeckte am 18.12.2006 einen seit Juli 2005 andauernden Einbruch in ihre IT-Systeme und informierte die Öffentlichkeit am 17.01.2007. Die Angreifer verschafften sich Zugang über ein mit dem veralteten WEP-Standard gesichertes WLAN einer Marshalls-Filiale in St. Paul, Minnesota, das sie per Wardriving vom Parkplatz aus knackten, und bewegten sich anschließend monatelang unbemerkt im zentralen Zahlungsverkehrsnetz. In einer Mitteilung an die US-Börsenaufsicht SEC bezifferte TJX im März 2007 die Zahl betroffener Karten auf 45,7 Millionen. In einer Gerichtseingabe vom 24.10.2007 gaben klagende Bankenverbände die tatsächliche Zahl mit rund 94 Millionen Karten an, davon etwa 65 Millionen von Visa und 29 Millionen von MasterCard. Zusätzlich wurden persönliche Daten von rund 451.000 Kunden entwendet, die Waren ohne Kassenbon zurückgegeben hatten. TJX zahlte im November 2007 bis zu 40,9 Millionen US-Dollar an Visa und im April 2008 rund 24 Millionen US-Dollar an MasterCard. Am 01.08.2008 verpflichtete sich TJX gegenüber der FTC per Vergleich zu 20 Jahren regelmäßiger unabhängiger Sicherheitsaudits. Der als Haupttäter identifizierte Albert Gonzalez wurde im August 2008 zusammen mit zehn weiteren Personen angeklagt und später zu 20 Jahren Haft verurteilt.

Die exakte Gesamtzahl betroffener Karten ist nicht abschließend geklärt: TJX bestätigte offiziell nur 45,7 Millionen, während die höhere Zahl von 94 Millionen auf einer Schätzung klagender Bankenverbände beruht. Auch die genaue Rolle einzelner Mitangeklagter neben Albert Gonzalez ist aus dieser Quelle nicht im Detail belegt.

Der US-Zahlungsdienstleister Heartland Payment Systems wurde ab etwa Dezember 2007/2008 Opfer eines Cyberangriffs, der am 20.01.2009 von Firmenchef Robert Carr öffentlich bekanntgegeben wurde. Angreifer nutzten eine SQL-Injection-Schwachstelle in einer webbasierten Anwendung, um in das Zahlungsabwicklungsnetzwerk einzudringen, und installierten dort ein Sniffer-Programm, das unverschlüsselte Kartendaten während der Transaktionsautorisierung abfing. Betroffen waren Kartennummern, Ablaufdaten und teils Magnetstreifendaten sowie Karteninhabernamen von schätzungsweise 134 Millionen Zahlungskarten, was den Vorfall zum damals größten bekannten Kreditkartendiebstahl der Geschichte machte. Visa alarmierte Heartland im Oktober 2008 auf verdächtige Transaktionsmuster, woraufhin die Untersuchung begann. Die Drahtzieherschaft wurde dem US-Hacker Albert Gonzalez zugeschrieben, der im März 2010 zu 20 Jahren Haft verurteilt wurde, die zum damaligen Zeitpunkt höchste je in den USA für Hacking verhängte Strafe. Zwei russische Mitangeklagte wurden im Februar 2018 verurteilt. Heartland zahlte insgesamt rund 145 Millionen US-Dollar an Entschädigungen, darunter etwa 60 Millionen US-Dollar an Visa und 41 Millionen US-Dollar an Mastercard, und verlor vorübergehend seinen PCI-DSS-Compliance-Status, bevor Visa die Wiederzulassung am 01.05.2009 bestätigte.

Die exakte Gesamtzahl der finanziellen Folgekosten (teils 140, teils 145 Millionen US-Dollar in verschiedenen Quellen) sowie der genaue Zeitpunkt des Einbruchsbeginns sind je nach Quelle uneinheitlich; Wikipedia selbst nennt an einer Stelle abweichend 100 Millionen Karten und über 650 betroffene Finanzdienstleister als alternative Schätzung.