Quellen-Tabelle

Am 17.03.2011 informierte die IT-Sicherheitsfirma RSA, eine Sparte des Speicherkonzerns EMC, ihre Kunden über einen als Advanced Persistent Threat eingestuften Cyberangriff auf ihre Systeme. Der Angriff begann bereits am 03.03.2011, als die Angreifer an eine kleine Gruppe von RSA-Mitarbeitern eine Phishing-E-Mail mit dem Betreff 2011 Recruitment Plan und einem präparierten Excel-Anhang verschickten. Die Datei nutzte eine Zero-Day-Schwachstelle in Adobe Flash (CVE-2011-0609), um die Backdoor-Software Poison Ivy im Netzwerk von RSA zu installieren. Über diesen Zugang entwendeten die Angreifer Daten aus der Datenbank der Zwei-Faktor-Authentifizierungstechnologie SecurID, darunter nach Einschätzung von RSA vermutlich die geheimen Seed-Schlüssel und Seriennummern der Hardware-Token. Am 21.05.2011 entdeckte der US-Rüstungskonzern Lockheed Martin einen Einbruchsversuch in sein Netzwerk über den VPN-Zugang, der auf SecurID-Token basiert. RSA bestätigte am 02.06.2011 offiziell, dass die im März gestohlenen Informationen bei diesem Angriff eingesetzt wurden. RSA bot daraufhin praktisch allen der rund 30.000 SecurID-Kunden weltweit den kostenlosen Austausch ihrer Hardware-Token an. Der Mutterkonzern EMC bezifferte die Kosten für Untersuchung, Systemhärtung und Kundenbetreuung auf 66,3 Millionen US-Dollar.

Eine offizielle, amtlich bestätigte Zuschreibung der Angreifer liegt bis heute nicht vor, sie stützt sich nur auf spätere Medienrecherchen und Einschätzungen von Sicherheitsforschern. Unklar bleibt zudem, bei wie vielen der über 30.000 SecurID-Kunden gestohlene Daten tatsächlich für erfolgreiche Folgeangriffe genutzt wurden, außer im bestätigten Fall Lockheed Martin.

Der Computerwurm Stuxnet wurde am 17.06.2010 von der belarussischen Sicherheitsfirma VirusBlokAda unter Sergey Ulasen entdeckt, nachdem ein iranischer Kunde wiederholte Computerabstürze gemeldet hatte. Die Schadsoftware zielte auf Siemens SIMATIC Step7 Software und S7-300 speicherprogrammierbare Steuerungen, mit denen die Frequenzumrichter der Gaszentrifugen in der iranischen Urananreicherungsanlage Natanz geregelt wurden. Stuxnet erhöhte die Rotationsgeschwindigkeit der Zentrifugen für 15 Minuten auf 1.410 Hertz und senkte sie anschließend für 50 Minuten stark ab, wodurch die Rotoren mechanisch beschädigt wurden. Nach Schätzungen des Institute for Science and International Security wurden zwischen November 2009 und Ende Januar 2010 rund 900 bis 1.000 der etwa 9.000 in Natanz installierten IR-1-Zentrifugen zerstört, etwa 10 Prozent des Bestands. Weltweit infizierte Stuxnet laut Symantec über 200.000 Computer, rund 59 Prozent der Infektionen entfielen auf Iran. Am 01.06.2012 berichtete die New York Times unter Berufung auf Regierungsvertreter, dass Stuxnet Teil der gemeinsamen US-israelischen Operation Olympic Games war, die unter Präsident George W. Bush begann und unter Barack Obama fortgesetzt wurde. Im Juni 2013 bestätigte der ehemalige NSA-Mitarbeiter Edward Snowden die gemeinsame Entwicklung durch die NSA und die israelische Einheit 8200.

Die genaue Zahl der tatsächlich zerstörten Zentrifugen bleibt eine Schätzung verschiedener Quellen zwischen rund 900 und 2.000, ebenso wie das exakte Ausmaß der dadurch verursachten Verzögerung des iranischen Atomprogramms. Eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor.

Die Wirtschaftsprüfungsgesellschaft Deloitte wurde nach Medienberichten spätestens im Oktober oder November 2016 Opfer eines Cyberangriffs auf ihr globales E-Mail-System, den das Unternehmen erst im März 2017 entdeckte. Die Angreifer verschafften sich Zugang über ein Administratorkonto, das nicht durch Zwei-Faktor-Authentifizierung geschützt war, und erhielten damit privilegierten Zugriff auf das komplette, bei Microsoft Azure gehostete E-Mail-System der Firma. Betroffen waren die E-Mail-Konten von rund 244.000 Deloitte-Mitarbeitern weltweit, wobei die Angreifer laut Berichten potenziell auf bis zu fünf Millionen E-Mails zugreifen konnten. Zu den kompromittierten Daten zählten Nutzernamen, Passwörter, IP-Adressen, Architekturdiagramme sowie teils Gesundheitsinformationen aus E-Mail-Anhängen. Die britische Zeitung The Guardian machte den Vorfall am 25.09.2017 öffentlich, nachdem Deloitte den Angriff zuvor nicht publik gemacht hatte. Deloitte erklärte, es seien nur sehr wenige Kunden betroffen gewesen, und bestätigte, sechs Kunden offiziell über eine Beeinträchtigung ihrer Daten informiert zu haben. Zu den laut Presseberichten möglicherweise betroffenen Organisationen zählten mehrere US-Bundesbehörden sowie internationale Konzerne aus den Bereichen Banken, Pharma und Medien.

Die genaue Gesamtzahl der tatsächlich betroffenen Kunden sowie der Umfang des tatsächlich abgeflossenen Datenvolumens sind nicht abschließend belegt, da Deloitte offiziell nur sechs Kunden als betroffen bestätigte, während Medienberichte einen deutlich größeren Kreis potenziell betroffener Organisationen nennen.

Der Sicherheitsforscher Dylan Houlihan meldete dem US-Backwarenkonzern Panera Bread am 02.08.2017 eine offene Programmierschnittstelle auf panerabread.com, über die Kundendaten ohne Anmeldung abrufbar waren. Panera reagierte zunächst nicht und stufte den Hinweis später als möglichen Betrugsversuch ein. Erst als Houlihan sich am 02.04.2018 an den Sicherheitsjournalisten Brian Krebs von KrebsOnSecurity wandte, wurde die Lücke öffentlich, fast acht Monate nach der ersten Meldung. Ursache war eine Datenbank mit fortlaufend nummerierten Kundenkonten, deren Datensätze sich ohne Authentifizierung automatisiert auslesen ließen. Offengelegt wurden Namen, E-Mail-Adressen, Postanschriften, Geburtsdaten, die letzten vier Ziffern von Kreditkartennummern sowie Kontonummern des Treueprogramms MyPanera. Erste Schätzungen gingen von mehr als 7 Millionen betroffenen Datensätzen aus, nach Einbeziehung des Großkunden- und Cateringgeschäfts von Panera stieg die Schätzung auf bis zu 37 Millionen Einträge. Nachdem KrebsOnSecurity das Unternehmen kontaktiert hatte, nahm Panera die Website zeitweise vom Netz und erklärte öffentlich, lediglich rund 10.000 Kunden seien betroffen. Diese Zahl wurde von Sicherheitsforschern als deutlich zu niedrig kritisiert.

Die genaue Gesamtzahl der betroffenen Datensätze schwankt je nach Quelle zwischen 7 und 37 Millionen und wurde von Panera nie offiziell bestätigt. Unklar bleibt zudem, ob und in welchem Umfang die Daten vor der öffentlichen Enthüllung bereits von Dritten missbräuchlich abgegriffen wurden.

Zwischen dem 28.09.2023 und dem 17.10.2023 verschafften sich Angreifer über einen kompromittierten Service-Account Zugriff auf das Kundensupport-System des Identitätsanbieters Okta. Ursache war, dass ein Okta-Mitarbeiter sich auf einem firmeneigenen Chrome-Browser mit einem privaten Google-Konto anmeldete, wodurch die Zugangsdaten dieses Service-Accounts in dem privaten Konto gespeichert wurden. Die Angreifer griffen im Support-System auf HAR-Dateien zu, die Kunden zur Fehlerdiagnose hochgeladen hatten und die Sitzungstoken enthielten, womit sich Nutzersitzungen kapern ließen. Damit übernahmen die Angreifer Sitzungen von 5 Kunden, darunter BeyondTrust, Cloudflare und der Passwortmanager 1Password. Okta entdeckte den Vorfall am 13.10.2023 nach einem Hinweis von BeyondTrust und informierte am 19.10.2023 zunächst über 134 betroffene Kunden. Am 29.11.2023 räumte Okta ein, dass die Angreifer bereits am 28.09.2023 einen Bericht heruntergeladen hatten, der Namen und E-Mail-Adressen praktisch aller Nutzer des Okta-Kundensupportsystems enthielt und damit nahezu alle rund 18.400 Okta-Kunden betraf. Laut Okta enthielten 99,6 Prozent der betroffenen Einträge in diesem Bericht ausschließlich Namen und E-Mail-Adresse. Als Reaktion deaktivierte Okta den kompromittierten Service-Account und blockierte die Anmeldung mit privaten Google-Konten auf firmeneigenen Chrome-Geräten.

Aus dieser Quelle nicht belegt sind die konkrete Identität oder Zuordnung der Angreifer zu einer bestimmten Gruppe sowie mögliche finanzielle Schäden, Bußgelder oder der Ausgang etwaiger regulatorischer beziehungsweise gerichtlicher Verfahren infolge des Vorfalls.

Am 16. Dezember 2022 wurde der Laptop eines CircleCI-Mitarbeiters mit Infostealer-Malware infiziert, die eine bereits per Zwei-Faktor-Authentifizierung abgesicherte SSO-Session-Cookie stehlen konnte, wodurch der Angreifer die Zwei-Faktor-Absicherung umging und den Mitarbeiter erfolgreich imitierte. Zwischen dem 19. und 22. Dezember 2022 nutzte der Angreifer die gestohlenen Zugangsdaten, um sich Zugriff auf interne Produktionssysteme zu verschaffen und Daten aus einer Untergruppe von Datenbanken und Speichersystemen zu exfiltrieren, darunter Umgebungsvariablen, Tokens und Schlüssel von Kunden. Obwohl die Daten im Ruhezustand verschlüsselt waren, gelang es dem Angreifer, die Verschlüsselungscodes direkt aus laufenden Prozessen auszulesen. Ein Kunde meldete CircleCI am 29. Dezember 2022 verdächtige Aktivitäten bei einem GitHub-OAuth-Token, woraufhin das Unternehmen den Vorfall bestätigte und am 31. Dezember 2022 mit einer proaktiven Rotation von GitHub-OAuth-Tokens begann. Am 4. Januar 2023 informierte CircleCI seine Kunden öffentlich und forderte alle Nutzer auf, sämtliche in CircleCI gespeicherten Secrets, Tokens und Schlüssel zu rotieren. Laut CircleCI meldeten weniger als fünf Kunden einen tatsächlich bestätigten unautorisierten Zugriff Dritter auf ihre eigenen Systeme infolge des Vorfalls.

Die Gesamtzahl der betroffenen Kundenkonten und der konkrete finanzielle Schaden wurden von CircleCI nicht veröffentlicht, ebenso wenig die Identität des Angreifers oder etwaige behördliche Ermittlungsergebnisse.

Im Juli 2012 verschafften sich Angreifer Zugang zu einem internen Dropbox-Dokument, nachdem ein Dropbox-Mitarbeiter ein Passwort verwendete, das zuvor beim Einbruch bei LinkedIn kompromittiert worden war. Über dieses Dokument gelangten die Angreifer an rund 68 Millionen Dropbox-Zugangsdaten, bestehend aus E-Mail-Adressen und gehashten, gesalzenen Passwörtern. Der Vorfall blieb mehrere Jahre öffentlich weitgehend unbekannt, bis Ende August 2016 ein Datensatz mit diesen Zugangsdaten im Internet auftauchte und zum Verkauf angeboten wurde. Dropbox bestätigte den Vorfall am 25.08.2016 in einem offiziellen Blogbeitrag. Von den 68 Millionen Passwort-Hashes waren etwa 32 Millionen mit dem robusten bcrypt-Verfahren gesichert, die übrigen rund 36 Millionen mit dem schwächeren SHA-1-Algorithmus. Dropbox erzwang für alle Konten, deren Passwort seit Mitte 2012 nicht geändert worden war, einen Passwort-Reset. Als mutmaßlicher Täter wurde später der russische Staatsbürger Jewgeni Nikulin identifiziert, dem auch die Einbrüche bei LinkedIn und Formspring aus dem Jahr 2012 zugeschrieben werden. Dropbox erklärte, es gebe keine Hinweise darauf, dass Nutzerkonten durch den Vorfall unbefugt aufgerufen worden seien.

Aus der Dropbox-Mitteilung geht nicht hervor, ob die gestohlenen Passwort-Hashes tatsächlich entschlüsselt oder für unbefugte Kontozugriffe genutzt wurden, und die strafrechtliche Verantwortung von Jewgeni Nikulin für den Dropbox-Vorfall im Speziellen war zum Zeitpunkt der Quelle nicht abschließend gerichtlich geklärt.

Am 06.10.2021 veröffentlichte eine anonyme Gruppe über die Plattform 4chan ein Torrent-Archiv mit rund 135 Gigabyte interner Daten der Streaming-Plattform Twitch. Enthalten waren fast 6000 interne Git-Repositories mit dem Quellcode der Mobil-, Desktop- und Konsolen-Apps von Twitch sowie interne Sicherheitswerkzeuge und Unterlagen zu einem unveröffentlichten Spieleprojekt mit dem Codenamen Vapour. Zusätzlich wurden Auszahlungsdaten an Streamer veröffentlicht, die bis August 2019 zurückreichten und in einem rund 5 Gigabyte großen Ordner namens twitch_payouts lagen. Aus diesen Daten ging beispielsweise hervor, dass der Streamer MontanaBlack88 zwischen August 2019 und Oktober 2021 etwa 2,3 Millionen US-Dollar von Twitch erhielt. Die unbekannten Urheber begründeten die Veröffentlichung mit Kritik an der Twitch-Community. Twitch bestätigte den Vorfall am selben Tag über Twitter. Als wahrscheinliche Ursache identifizierte Twitch in den Folgetagen eine fehlerhafte Serverkonfiguration im internen Netzwerk. Twitch empfahl betroffenen Nutzern, vorsorglich ihre Passwörter zu ändern.

Aus der Quelle nicht abschließend belegt sind die genaue Identität und Motivation der Angreifer sowie der Umfang, in dem Zuschauer Passwörter oder Zahlungsdaten tatsächlich kompromittiert wurden, da sich der Leak primär auf Quellcode und Streamer-Auszahlungen bezog.

Bei der US-Luxuskaufhauskette Neiman Marcus war zwischen dem 16.07.2013 und dem 30.10.2013 Schadsoftware in den Kassensystemen von 77 Filialen in den USA aktiv, die Zahlungskartendaten von Kunden abgriff. Das Unternehmen informierte die Öffentlichkeit am 10.01.2014 über den Vorfall, nachdem es zuvor auf ungewöhnliche Transaktionsmuster aufmerksam gemacht worden war. Nach ersten Angaben von Neiman Marcus waren bis zu 1,1 Millionen Zahlungskarten der Schadsoftware potenziell ausgesetzt. Bei der abschließenden Untersuchung durch mehrere US-Bundesstaaten wurden rund 370.000 Zahlungskarten als tatsächlich kompromittiert bestätigt, davon mindestens 9.200 nachweislich betrügerisch genutzt. Am 08.01.2019 einigte sich Neiman Marcus mit den Generalstaatsanwältinnen und Generalstaatsanwälten von 43 US-Bundesstaaten und dem District of Columbia auf eine Zahlung von 1,5 Millionen US-Dollar. Im Rahmen des Vergleichs verpflichtete sich das Unternehmen unter anderem zur Einhaltung des Payment Card Industry Data Security Standard, zur laufenden Überwachung der Netzwerkaktivität sowie zur Einführung von Verschlüsselung und Tokenisierung für Zahlungskartendaten. Online-Einkäufe waren von dem Vorfall nicht betroffen.

Aus dieser Quelle geht nicht hervor, wer konkret hinter dem Angriff steckte oder wie die Angreifer technisch in die Kassensysteme eindrangen; zudem bestritt Neiman Marcus im Vergleich jedes Fehlverhalten, sodass keine rechtliche Schuldfeststellung vorliegt.

Zwischen dem 1. Dezember 2022 und dem 12. Dezember 2022 führten Angreifer automatisierte Credential-Stuffing-Angriffe gegen Nutzerkonten von Norton LifeLock durch, dem Passwort-Manager-Dienst des Unternehmens Gen Digital. Dabei nutzten die Täter Kombinationen aus Benutzernamen und Passwörtern, die aus früheren, anderen Datenlecks stammten und im Darknet kursierten. Am 12. Dezember 2022 registrierten die Systeme von Gen Digital ein ungewöhnlich hohes Volumen fehlgeschlagener Anmeldeversuche, die interne Untersuchung wurde am 22. Dezember 2022 abgeschlossen. Insgesamt waren rund 925.000 aktive und inaktive Konten von den automatisierten Anmeldeversuchen betroffen, bei etwa 6.450 bis 6.500 Konten gelang den Angreifern der tatsächliche Zugriff. Bei den kompromittierten Konten konnten die Angreifer nach Angaben des Unternehmens auf Vornamen, Nachnamen, Telefonnummern und Postanschriften zugreifen. Gen Digital erklärte zudem, ein Zugriff auf im Passwort-Manager gespeicherte Passwörter der betroffenen Nutzer könne nicht ausgeschlossen werden. Am 13. Januar 2023 reichte Gen Digital eine Meldung bei der Generalstaatsanwaltschaft von Vermont ein und informierte die betroffenen Kunden per Brief. Gen Digital betonte, dass die eigenen Systeme nicht kompromittiert worden seien und die Ursache in der Wiederverwendung von Passwörtern durch Nutzer lag.

Aus der Quelle geht nicht hervor, aus welchem konkreten Drittanbieter-Datenleck die verwendeten Zugangsdaten ursprünglich stammten, und es bleibt offen, ob tatsächlich im Passwort-Manager gespeicherte Passwörter ausgelesen wurden oder dies nur theoretisch möglich war.

Am 24. April 2018 verhafteten Ermittler in Sacramento, Kalifornien, den 72-jährigen ehemaligen Polizisten Joseph James DeAngelo als mutmaßlichen Golden State Killer, der von den 1970er bis in die 1980er Jahre eine Serie von Morden, Vergewaltigungen und Einbrüchen in Kalifornien begangen haben soll. Ermittler hatten DNA-Spuren von Tatorten in die öffentlich zugängliche genetische Genealogie-Datenbank GEDmatch hochgeladen und darüber entfernte Verwandte von DeAngelo bis zu dessen Ur-Ur-Großeltern identifiziert, um anschließend über Monate den Stammbaum einzugrenzen. Am 20. April 2018 ergab ein erster DNA-Abgleich mit einer aus dem Hausmüll DeAngelos gewonnenen Probe eine Übereinstimmung, ein zweiter Test am 23. April 2018 bestätigte den Treffer, woraufhin der Haftbefehl vollstreckt wurde. GEDmatch war zum Tatzeitpunkt eine von Nutzern freiwillig mit eigenen DNA-Rohdaten befüllte Plattform ohne explizite Zustimmung zur Strafverfolgungsnutzung, was nach Bekanntwerden des Falls eine Debatte über die Nutzung ziviler DNA-Datenbanken durch die Polizei auslöste. Am 29. Juni 2020 bekannte sich DeAngelo vor Gericht in Sacramento zu 13 Fällen von Mord ersten Grades und 13 Fällen von Entführung im Rahmen von insgesamt 161 zugestandenen Straftaten an 48 Opfern schuldig, im Austausch gegen den Verzicht auf die Todesstrafe. Am 21. August 2020 verurteilte ihn das Gericht zu elf aufeinanderfolgenden lebenslangen Freiheitsstrafen ohne Bewährungsmöglichkeit.

Aus der Quelle nicht eindeutig belegt sind genaue Angaben dazu, wie viele GEDmatch-Nutzerprofile im Zuge der monatelangen Stammbaumrecherche konkret ausgewertet wurden und welche internen Absprachen zwischen Ermittlern und GEDmatch-Betreibern vor der Verhaftung stattfanden. Auch die vollständige rechtliche Bewertung der Zulässigkeit einer solchen DNA-Datenbanknutzung durch Strafverfolgungsbehörden war zum Zeitpunkt des Artikels noch nicht abschließend geklärt.

Am 03.03.2017 veröffentlichte die New York Times einen Artikel des Journalisten Mike Isaac, der ein internes Uber-Programm namens Greyball öffentlich machte. Greyball war Teil eines breiteren Systems namens VTOS (Violation of Terms of Service) und wurde laut Uber seit mindestens 2014 eingesetzt, um Behördenmitarbeiter und Ermittler in Städten zu identifizieren, in denen Uber ohne Genehmigung operierte oder verboten war. Zur Identifizierung nutzte Uber unter anderem Geofencing um Behördengebäude, den Abgleich von Kreditkarten mit Polizei-Kreditgenossenschaften, Social-Media-Daten und Geräte-Fingerprinting, insgesamt rund ein Dutzend Signale. Als Behördenmitarbeiter erkannte Nutzer erhielten eine manipulierte Version der App zu sehen, etwa mit nicht existierenden Fahrzeugen oder ohne verfügbare Fahrer, teilweise wurden Fahrer telefonisch angewiesen, eine bereits begonnene Fahrt abzubrechen. Die Methode kam laut Berichten unter anderem in Portland, Boston, Paris und Las Vegas sowie in Australien, China und Südkorea zum Einsatz. Uber räumte ein, die Technik in Portland über einen Zeitraum von zwei Wochen im Jahr 2014 gegen 17 Nutzerkonten vorwiegend von Behördenmitarbeitern eingesetzt zu haben. Am 09.03.2017 erklärte Ubers Sicherheitschef Joe Sullivan, der Einsatz von Greyball gegen lokale Regulierungsbehörden werde künftig untersagt. Im Dezember 2017 wurde bekannt, dass das US-Justizministerium eine strafrechtliche Untersuchung zu Greyball eingeleitet hatte.

Der genaue Ausgang der strafrechtlichen Ermittlungen des US-Justizministeriums ist aus dieser Quelle nicht ersichtlich, ebenso wenig eine belastbare Gesamtzahl weltweit betroffener Behördenmitarbeiter jenseits der 17 dokumentierten Portland-Konten.

Am 18.03.2022 bestätigte der südafrikanische Kreditauskunftsdienst TransUnion South Africa, dass ein krimineller Dritter Zugriff auf einen isolierten Unternehmensserver erlangt hatte. Die nach eigenen Angaben aus Brasilien stammende Hackergruppe N4ughtySecTU erklärte, sie habe sich per Brute-Force-Angriff Zugang zu einem SFTP-Server verschafft, dessen Konto mit dem Passwort Password gesichert war, und rund 4 Terabyte an Daten von etwa 54 Millionen Personen erbeutet, was nahezu der gesamten Bevölkerung Südafrikas entspricht. Die Angreifer forderten von TransUnion ein Lösegeld von 15 Millionen US-Dollar in Kryptowährung, um eine Veröffentlichung der Daten zu verhindern. TransUnion lehnte die Zahlung ab. Die eigene Untersuchung des Unternehmens ergab, dass tatsächlich Datensätze von rund 5 Millionen Verbrauchern vollständig offengelegt wurden, darunter Name, ID-Nummer, Geburtsdatum, Adresse und Telefonnummer, sowie bei weiteren 5,2 Millionen Verbrauchern lediglich die ID-Nummer. Zusätzlich waren Daten von rund 600.000 Unternehmen betroffen. TransUnion erklärte, die von den Angreifern behauptete Zahl von 54 Millionen Datensätzen stamme größtenteils aus älteren, von TransUnion unabhängigen Datenlecks seit 2017. Das Unternehmen bot betroffenen Personen bis zum 31.12.2023 kostenlose Kreditüberwachung an. Die südafrikanische Datenschutzbehörde Information Regulator leitete eine Untersuchung des Vorfalls ein und erließ später eine förmliche Anordnung gegen TransUnion.

Die von der Hackergruppe genannte Zahl von 54 Millionen Betroffenen ist durch TransUnion nicht bestätigt und laut Unternehmen größtenteils auf fremde, ältere Datenlecks zurückzuführen. Ob TransUnion die Anordnung der Information Regulator angefochten hat und ob ein Bußgeld verhängt wurde, ist aus dieser Quelle nicht ersichtlich.

Am 20.06.2024 gab das US-Handelsministerium (Bureau of Industry and Security, BIS) eine Entscheidung bekannt, die Verkauf und Nutzung von Sicherheitssoftware der russischen Firma Kaspersky Lab in den USA verbietet. Es war die erste Anwendung der ICTS-Regulierung auf Grundlage der Executive Order 13873 zur Sicherung der Lieferkette für Informations- und Kommunikationstechnologie. Betroffen sind Kaspersky Lab Inc. in den USA sowie die russischen Muttergesellschaften AO Kaspersky Lab und OOO Kaspersky Group, die britische Kaspersky Labs Limited und verbundene Tochterunternehmen. Ab dem 20.07.2024 durfte Kaspersky in den USA keine neuen Verträge mehr abschließen oder Lizenzen verkaufen. Ab dem 29.09.2024 mussten Kaspersky und von ihm beauftragte Dritte Virensignatur- und Codebase-Updates sowie den Betrieb des Kaspersky Security Network für US-Kunden vollständig einstellen. Als Begründung nannte das BIS die Kontrolle der russischen Regierung über Kaspersky und weitreichende administrative Zugriffsrechte der Software auf Kundensysteme. Am 21.06.2024 verhängte das US-Finanzministerium zusätzlich Sanktionen gegen zwölf Führungskräfte von AO Kaspersky Lab. Nach eigenen Angaben hatte Kaspersky zu diesem Zeitpunkt weltweit mehr als 400 Millionen Nutzer und rund 270.000 Unternehmenskunden in über 200 Ländern. Kaspersky wies die Vorwürfe zurück und stellte seinen Geschäftsbetrieb in den USA zum 20.07.2024 ein.

Die Quelle belegt kein konkretes, öffentlich vorgelegtes Beweismittel für tatsächlichen Datenmissbrauch oder Spionage durch Kaspersky; das Verbot beruht auf einer Risikoeinschätzung des russischen Staatseinflusses, nicht auf einem dokumentierten Vorfall. Wie viele der über 400 Millionen Nutzer konkret in den USA betroffen waren, wird von der Quelle nicht beziffert.

Der britische IT-Sicherheitsforscher Marcus Hutchins, bekannt unter dem Pseudonym MalwareTech, wurde am 02.08.2017 vom FBI in Las Vegas verhaftet, nachdem eine Grand Jury im Eastern District of Wisconsin ihn wegen Entwicklung und Verkauf des Banking-Trojaners Kronos sowie der Malware UPAS Kit angeklagt hatte. Hutchins war wenige Monate zuvor, im Mai 2017, bekannt geworden, weil er durch Registrierung einer Domain einen in der Ransomware WannaCry verborgenen Kill Switch aktivierte und damit deren weltweite Ausbreitung stoppte. Laut Anklage entwickelte und vertrieb er Kronos und UPAS Kit im Zeitraum von Juli 2012 bis September 2015, unter anderem über den inzwischen abgeschalteten Darknet-Marktplatz AlphaBay. Am 19.04.2019 bekannte sich Hutchins vor einem Bundesgericht in zwei von zehn Anklagepunkten schuldig. Am 26.07.2019 verurteilte Richter J. P. Stadtmueller ihn am US-Bezirksgericht in Milwaukee zu keiner weiteren Haftstrafe sowie einem Jahr Bewährung, obwohl theoretisch bis zu zehn Jahre Haft und 500.000 US-Dollar Geldstrafe möglich gewesen wären. Die Staatsanwaltschaft konnte keinen konkreten finanziellen Schaden durch Kronos nachweisen. Vor Gericht wurde der geringe belegte Schaden von Kronos den Folgen von WannaCry gegenübergestellt, das weltweit Schäden von über 8 Milliarden US-Dollar verursacht hatte. Wegen der Verurteilung darf Hutchins nicht mehr dauerhaft in die USA einreisen.

Aus der Quelle geht nicht hervor, welchen konkreten finanziellen Schaden oder wie viele Opfer der Kronos-Trojaner tatsächlich verursachte; die genannten Milliarden- und Millionenbeträge betreffen WannaCry, nicht Kronos. Ob Hutchins die vom Richter angeregte Präsidenten-Begnadigung je erhalten hat, ist nicht belegt.

Die Electronic Frontier Foundation (EFF) veröffentlichte am 31.10.2023 den Bericht Red Flag Machine zur Schülerüberwachungssoftware GoGuardian. Die Software überwacht nach EFF-Angaben rund 27 Millionen Schüler in etwa 11.500 Schulen in den USA. GoGuardian analysiert automatisiert Suchanfragen, besuchte Webseiten und Bildschirminhalte auf Schulcomputern und meldet vermeintlich bedenkliche Inhalte an Schulpersonal. Laut den EFF-Autoren Jason Kelley und Kate Prince erzeugt das System deutlich mehr Fehlalarme als korrekt erkannte schädliche Inhalte. Zu den fälschlich als gefährlich eingestuften Inhalten zählen Bewerbungsseiten von Universitäten, Beratungs- und Therapieangebote, Informationen zu Drogenmissbrauch, LGBTQ-Themen und sexueller Gesundheit sowie Nachrichtenseiten und Bildungsmaterial. EFF-Ermittlungsdirektor Dave Maass nannte als Beispiel, dass Schüler wegen des Aufrufs des offiziellen Fitnessratgebers der US Marine Corps markiert wurden. Grundlage des Berichts waren zahlreiche Anfragen nach dem Freedom of Information Act sowie die Auswertung tausender tatsächlicher GoGuardian-Warnmeldungen. Manche großen Schulbezirke erzeugen nach GoGuardian eigenen Angaben bis zu 50.000 Alarme pro Tag.

Aus dieser Quelle nicht belegt sind eine offizielle Stellungnahme von GoGuardian zu den Vorwürfen, eine behördliche Sanktion oder Geldstrafe sowie eine exakte bundesweite Gesamtzahl aller erzeugten Fehlalarme.

Im Dezember 2019 übernahmen unbekannte Angreifer in den USA mehrere internetverbundene Überwachungskameras des Amazon-Tochterunternehmens Ring und sprachen über deren eingebaute Lautsprecher mit Kindern und Erwachsenen in deren Schlafzimmern. Am 04.12.2019 sprach ein Unbekannter über die Kamera der Familie LeMay in Desoto County, Mississippi, mit der achtjährigen Alyssa, spielte Musik ab und gab sich als Santa Claus und bester Freund aus. Die Kamera war nach Angaben der Mutter Ashley LeMay erst vier Tage zuvor installiert worden. Zwischen dem 09. und 11.12.2019 wurden weitere Fälle aus Cape Coral in Florida, Grand Prairie in Texas und Brookhaven in Georgia bekannt. Ring erklärte öffentlich, es habe keinen eigenen Datenschutzverstoß gegeben, die Angreifer hätten stattdessen Zugangsdaten aus früheren, fremden Datenlecks per Credential Stuffing wiederverwendet. Die Familie LeMay hatte die optionale Zwei-Faktor-Authentifizierung für ihr Ring-Konto nicht aktiviert. Die US-Handelsaufsicht FTC stellte 2023 in einer Klage fest, dass Hacker über ähnliche Methoden bis 2020 auf Konten und Kamera-Feeds von mindestens 55.000 US-Kunden zugreifen konnten, darunter Kinder und ältere Menschen. Im Rahmen der Einigung zahlte Ring eine Entschädigungssumme von 5,6 Millionen US-Dollar, die die FTC ab 2024 per PayPal an mehr als 117.000 betroffene Kunden auszahlte.

Aus der Quelle nicht belegt ist, wie viele der im Dezember 2019 gemeldeten Einzelfälle sich tatsächlich auf Credential Stuffing zurückführen lassen, da Sicherheitsforscher Rings Darstellung anhand des Formats geleakter Daten anzweifelten. Ebenfalls nicht dokumentiert ist, ob die verantwortlichen Angreifer je identifiziert oder strafrechtlich verfolgt wurden.

Am 06.08.2020 unterzeichnete US-Präsident Donald Trump die Executive Order 13943, die US-Personen Transaktionen mit dem chinesischen Konzern Tencent Holdings Ltd. im Zusammenhang mit der Messaging-App WeChat untersagte. Die Anordnung begründete das Verbot damit, dass WeChat mit weltweit über einer Milliarde Nutzern automatisch große Mengen an Nutzerdaten erfasse und dies der Kommunistischen Partei Chinas Zugriff auf persönliche und geschäftliche Informationen von Amerikanern ermöglichen könne. Als Beleg führte die Anordnung an, dass ein Forscher im März 2019 eine chinesische Datenbank mit Milliarden von WeChat-Nachrichten von Nutzern aus China, den USA, Taiwan, Südkorea und Australien entdeckt habe. Das US-Handelsministerium benannte am 18.09.2020 konkrete verbotene Transaktionen mit Wirkung zum 20.09.2020. Am 20.09.2020 blockierte US-Bundesrichterin Laurel Beeler in San Francisco das Verbot per einstweiliger Verfügung, nachdem eine Nutzervereinigung und sechs WeChat-Nutzer wegen möglicher Verletzung des ersten Verfassungszusatzes geklagt hatten. Beeler erklärte, die Regierung habe legitime Sicherheitsbedenken gegenüber China dargelegt, aber kaum Beweise dafür vorgelegt, dass ein vollständiges App-Verbot diese Bedenken adressiere. Vorangegangene Forschung des Citizen Lab der University of Toronto vom Mai 2020 hatte zuvor gezeigt, dass auch Dokumente und Bilder zwischen außerhalb Chinas registrierten WeChat-Konten inhaltlich überwacht wurden. Am 09.06.2021 hob US-Präsident Joe Biden die Executive Order 13943 wieder auf.

Die Executive Order stützt sich bei der zentralen Datenbank-Behauptung auf einen Presseberichte-Verweis statt auf eigene Beweisführung, und eine direkte, systematische Weitergabe von WeChat-Nutzerdaten an chinesische Behörden wurde in keinem der folgenden US-Gerichtsverfahren abschließend belegt. Auch das Citizen Lab stellte 2020 ausdrücklich klar, keine Beweise dafür zu haben, dass die beobachtete Überwachung direkt von der chinesischen Regierung angeordnet wurde.

Am 24.04.2024 unterzeichnete US-Präsident Joe Biden den Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA, H.R. 7521) als Teil des Hilfspakets H.R. 8038. Das Repräsentantenhaus hatte die eigenständige Fassung H.R. 7521 bereits am 13.03.2024 mit 352 zu 65 Stimmen verabschiedet, eingebracht am 05.03.2024 vom Abgeordneten Mike Gallagher. Nach Aufnahme in das Paket H.R. 8038 stimmte das Repräsentantenhaus am 20.04.2024 mit 360 zu 58 Stimmen zu, der Senat folgte am 23.04.2024 mit 79 zu 18 Stimmen. Das Gesetz verpflichtet den chinesischen Mutterkonzern ByteDance Ltd. dazu, seine Video-App TikTok innerhalb von 270 Tagen an einen Käufer außerhalb als foreign adversary eingestufter Staaten zu veräußern, mit einer möglichen einmaligen Fristverlängerung um 90 Tage durch den Präsidenten. Ohne einen solchen Verkauf sieht das Gesetz ein Verbot der Bereitstellung von TikTok über App-Stores und Webhosting-Dienste in den USA vor. Die Frist lief damit regulär bis zum 19.01.2025. Als Begründung nannte der Kongress nationale Sicherheitsbedenken wegen möglichen Zugriffs der chinesischen Regierung auf Nutzerdaten von nach TikTok-Angaben rund 170 Millionen US-Nutzern. ByteDance und TikTok kündigten an, gegen das Gesetz gerichtlich vorzugehen.

Aus der Quelle nicht belegt sind der spätere tatsächliche Verfahrensausgang nach Fristablauf sowie eine unabhängig verifizierte, offizielle Nutzerzahl für TikTok in den USA, da die 170-Millionen-Angabe von TikTok selbst stammt.

Am 12.09.2018 reichten Dr. Johnny Ryan, Jim Killock (Open Rights Group) und Michael Veale (University College London) förmliche Datenschutzbeschwerden gegen das Real Time Bidding System (RTB) der Online-Werbeindustrie bei der irischen Datenschutzbehörde (Data Protection Commission, DPC) und dem britischen Information Commissioner's Office (ICO) ein. Die Beschwerde richtete sich gegen Google und das vom Interactive Advertising Bureau mitentwickelte RTB-System, bei dem persönliche Nutzerdaten in Echtzeit-Werbeauktionen an tausende Firmen versteigert werden. Am 22.05.2019 eröffnete die irische DPC eine förmliche Untersuchung gegen Google Ireland Limited wegen dessen Ad-Exchange-Datenverarbeitung. Die ICCL, die die Kampagne weiterführte, beziffert das Ausmaß auf rund 178 Billionen RTB-Datenübertragungen pro Jahr in den USA und Europa, mit durchschnittlich 747 täglichen Übertragungen pro US-Person und 376 pro europäischer Person, bei einem geschätzten Branchenwert von über 117 Milliarden US-Dollar. Zu den übertragenen Daten zählen laut ICCL unter anderem Standortangaben sowie Rückschlüsse auf sexuelle Orientierung, Gesundheitszustand, religiöse Überzeugung und politische Ansichten. Die ICCL bezeichnet RTB explizit als das größte je registrierte Datenleck. Im Januar 2020 kündigte das britische ICO an, zunächst keine unmittelbaren Durchsetzungsmaßnahmen zu ergreifen. Da die irische DPC ihre Untersuchung über Jahre nicht abschloss, verklagte die ICCL die Behörde wegen Untätigkeit vor dem irischen High Court.

Die Zahl von 178 Billionen jährlichen RTB-Datenübertragungen sowie der Branchenwert von 117 Milliarden US-Dollar stammen von der ICCL selbst und sind nicht unabhängig verifiziert. Ob RTB im rechtlichen Sinne tatsächlich ein Datenleck darstellt oder lediglich eine rechtswidrige Datenverarbeitung, war Gegenstand eines langjährigen, zum Zeitpunkt der Recherche noch nicht abschließend entschiedenen Gerichtsverfahrens.

Am 14.07.2020 kündigte der britische Digitalminister Oliver Dowden an, den chinesischen Netzwerkausrüster Huawei aus den 5G-Mobilfunknetzen des Vereinigten Königreichs auszuschließen. Telekommunikationsbetreiber dürfen ab dem 31.12.2020 keine neue Huawei-5G-Ausrüstung mehr kaufen, bereits verbaute Huawei-Technik muss bis Ende 2027 vollständig aus den Netzen entfernt werden. Auslöser war eine Neubewertung durch das National Cyber Security Centre, nachdem die USA am 15.05.2020 ihre Exportregeln gegen Huawei verschärft hatten. Die Entscheidung revidierte einen Beschluss vom Januar 2020, der Huawei noch mit einer Obergrenze von 35 Prozent in nicht sicherheitskritischen Netzteilen erlaubt hatte. Die britische Regierung bezifferte die wirtschaftlichen Folgen des Kurswechsels auf zusätzliche Kosten von bis zu 2 Milliarden Pfund sowie eine Verzögerung des 5G-Ausbaus um 2 bis 3 Jahre. Grundlage der Sicherheitsbedenken war der Verdacht, Huawei-Ausrüstung könne für chinesische Spionage genutzt werden oder unterliege dem Einfluss der chinesischen Regierung. Ähnliche Ausschlüsse folgten in weiteren Ländern, etwa Schweden 2020 und Deutschland mit einer Entscheidung im September 2023 zur Entfernung kritischer Huawei- und ZTE-Komponenten aus den Kernnetzen bis 2026.

Aus dieser Quelle nicht belegt sind konkrete technische Nachweise für Spionagefunktionen in Huawei-Geräten; die Entscheidung stützte sich auf eine veränderte Risikobewertung infolge der US-Sanktionen, nicht auf eine veröffentlichte technische Sicherheitslücke. Ebenso unbelegt bleibt das genaue Ausmaß einer möglichen Einflussnahme der chinesischen Regierung auf Huawei, was das Unternehmen selbst bestreitet.

Die US-Kreditauskunftei Experian erwarb im März 2012 das Unternehmen Court Ventures, das über eine Vertragspartnerschaft mit dem Datenaggregator US Info Search Zugriff auf umfangreiche Verbraucherdatenbanken besaß. Ein Kunde von Court Ventures, der sich als Privatermittler mit Sitz in Singapur ausgab, war tatsächlich der 24-jährige vietnamesische Staatsbürger Hieu Minh Ngo, der unter dem Pseudonym hieupc die Identitätsdiebstahl-Dienste Superget.info und Findget.me betrieb. Ngo bezahlte den Datenzugang monatlich per Banküberweisung aus Singapur und konnte dadurch auf Sozialversicherungsnummern, Geburtsdaten, Adressen und weitere Datensätze von mehr als 200 Millionen US-Amerikanern zugreifen. Der Zugriff dauerte auch nach der Übernahme durch Experian noch rund zehn Monate an, bis der US Secret Service Experian auf die verdächtigen Aktivitäten aufmerksam machte und der Zugang im Februar 2013 beendet wurde. Nach Angaben von US-Ermittlern führte Ngos Dienst zwischen 2007 und Februar 2013 rund 3,1 Millionen Abfragen für etwa 1.300 zahlende Kunden durch und nahm dabei rund 1,9 Millionen US-Dollar ein. Das US-Justizministerium gab die strafrechtliche Anklage gegen Ngo am 19.10.2013 bekannt. Ngo bekannte sich schuldig und wurde im Juli 2015 zu 13 Jahren Haft verurteilt. Im November 2022 einigte sich die Experian-Tochter Experian Data Corp zusätzlich mit den Generalstaatsanwälten von 40 US-Bundesstaaten auf einen Vergleich über 1 Million US-Dollar.

Die genaue Zahl der tatsächlich durch Ngos Dienst geschädigten Verbraucher blieb laut US-Ermittlern zum Zeitpunkt der Anklage 2013 ungeklärt, da nur die Zahl der abrufbaren Datensätze und Abfragen bekannt war.

Am 04.10.2016 berichtete die Nachrichtenagentur Reuters unter Berufung auf mehrere ehemalige Mitarbeiter, dass der Internetkonzern Yahoo im Jahr 2015 heimlich eine Spezialsoftware entwickelt hatte, um alle eingehenden E-Mails seiner Kundinnen und Kunden zu durchsuchen. Der Auftrag ging laut Reuters auf eine geheime Anordnung der US-Regierung zurück, die entweder von der NSA oder dem FBI stammte. Die Software durchsuchte den eingehenden Mailverkehr von mehreren hundert Millionen Yahoo-Mail-Konten in Echtzeit nach einer bestimmten, nicht öffentlich bekannten Zeichenfolge. Nach Einschätzung von Überwachungsexperten war dies der erste bekannt gewordene Fall, in dem ein US-Internetunternehmen den gesamten eingehenden E-Mail-Verkehr in Echtzeit durchsuchte. Yahoos damalige Geschäftsführerin Marissa Mayer und Justiziar Ron Bell wiesen die zuständigen E-Mail-Ingenieure an, das Programm ohne Wissen des übrigen Sicherheitsteams zu bauen. Der damalige Chief Information Security Officer Alex Stamos entdeckte das Programm im Mai 2015 und verließ Yahoo im Juni 2015. Yahoo reagierte mit der Erklärung, man sei ein gesetzestreues Unternehmen, äußerte sich aber nicht näher zu Details.

Unklar bleibt, welche konkrete Zeichenfolge die Geheimdienste tatsächlich suchten, welche Behörde die Anordnung im Detail erteilte und ob beziehungsweise welche Daten Yahoo an Behörden übergab. Yahoo bestritt Teile der Reuters-Darstellung öffentlich, ohne eigene Fakten oder Zahlen zu nennen, sodass der Sachverhalt bis heute nicht offiziell bestätigt ist.

Der Sicherheitsforscher Troy Hunt veröffentlichte am 27.02.2017 seine Analyse zum Datenleck des Spielzeugherstellers Spiral Toys, dessen Produktlinie CloudPets internetverbundene Plüschtiere mit Sprachnachrichtenfunktion zwischen Eltern und Kindern umfasste. Die zugrunde liegende MongoDB-Datenbank war bereits seit dem 25.12.2016 ohne jede Authentifizierung im offenen Internet erreichbar und wurde von der Suchmaschine Shodan erfasst. Sie enthielt 821.296 Nutzerdatensätze mit E-Mail-Adressen und bcrypt-gehashten Passwörtern sowie Namen, Geburtsdaten und Profilfotos von Kindern. Zusätzlich verwies die Datenbank auf 2.182.337 bei Amazon Web Services gespeicherte Sprachaufnahmen zwischen Eltern und Kindern, die ohne Zugriffsschutz abrufbar waren. Mehrere Sicherheitsforscher versuchten ab dem 30.12.2016 vergeblich, Spiral Toys sowie den Hosting-Anbieter Linode zu erreichen, der erst am 04.01.2017 reagierte. Zwischen dem 07.01. und 13.01.2017 griffen Unbekannte mehrfach auf die ungesicherte Datenbank zu, löschten Teile davon und hinterließen Erpressernachrichten mit Bitcoin-Zahlungsaufforderungen. CloudPets verlangte laut Hunts Untersuchung keinerlei Mindestanforderungen an Passwörter. Das Unternehmen informierte die betroffenen Familien nach Hunts Angaben trotz gesetzlicher Meldepflicht im Sitzstaat Kalifornien nicht über den Vorfall.

Aus dieser Quelle nicht belegt sind spätere behördliche Konsequenzen wie Bußgelder oder ein förmliches FTC-Verfahren gegen Spiral Toys sowie der genaue Umfang tatsächlich abgeflossener Daten, da die Reaktionszeiten einzelner Angreifer nicht vollständig rekonstruierbar sind.

Am 21.11.2023 vergab NHS England den Zuschlag für die Federated Data Platform (FDP) an ein von Palantir Technologies angeführtes Konsortium, dem auch Accenture, PwC, NECS und Carnall Farrar angehören. Der Vertrag hat eine Laufzeit von bis zu sieben Jahren und ein Volumen von bis zu 330 Millionen Pfund, wobei die ursprüngliche Ausschreibung bei voller Verlängerung einen Maximalwert von bis zu 480 Millionen Pfund vorsah. Die FDP soll Patientendaten aus bis zu 240 NHS-Organisationen und 215 Krankenhaustrusts in England zusammenführen, um Wartelisten zu verwalten und die Versorgung zu koordinieren. Palantir setzte sich im Vergabeverfahren gegen Mitbewerber wie Oracle und IBM durch. Zuvor hatte Palantir bereits ohne offene Ausschreibung rund 60 Millionen Pfund von NHS-Stellen erhalten, darunter einen Pandemie-Vertrag ab 2020 zum symbolischen Preis von 1 Pfund. Der neue Vertrag enthält eine Ausstiegsklausel, deren erste Frist im Februar 2027 liegt. Menschenrechtsorganisationen wie Amnesty International UK protestierten gegen den Vertrag, unter anderem wegen Palantirs Geschäftsbeziehungen zu Geheimdiensten und zum israelischen Militär. Bis Ende 2024 nutzten laut Berichten weniger als ein Viertel der 215 englischen Krankenhaustrusts die Plattform aktiv. Im Juli 2026 räumte NHS England zudem ein, dass ein Datenschutzdokument unzutreffend angegeben hatte, wer Zugriff auf identifizierbare Patientendaten hat.

Aus dieser Quelle nicht belegt sind die genaue Zahl der von dem Offenlegungsfehler zu Palantirs Datenzugriff betroffenen Patientendatensätze sowie der endgültige Ausgang der für Februar 2027 vorgesehenen vertraglichen Ausstiegsoption.