Quellen-Tabelle

Die französische Datenschutzbehörde CNIL verhängte am 17.10.2022 gegen das US-Unternehmen Clearview AI eine Geldbuße von 20 Millionen Euro, das gesetzliche Maximum nach Artikel 83 DSGVO. Clearview AI betreibt eine Gesichtserkennungssoftware und sammelte weltweit über 20 Milliarden Fotos von Webseiten, sozialen Netzwerken und Videos, um daraus eine durchsuchbare Bilddatenbank zu erstellen, die vor allem an Strafverfolgungsbehörden vermarktet wird. Die CNIL stellte zwei DSGVO-Verstöße fest: die Verarbeitung sensibler biometrischer Daten ohne gültige Rechtsgrundlage sowie die unzureichende Berücksichtigung von Betroffenenrechten. Bereits am 26.11.2021 hatte die CNIL Clearview AI förmlich aufgefordert, die Datenerhebung französischer Bürger zu stoppen, worauf das Unternehmen nicht reagierte. Mit der Sanktion vom 17.10.2022 ordnete die CNIL zusätzlich an, dass Clearview AI die Datenerhebung von Personen in Frankreich einstellen und bereits gespeicherte Daten innerhalb von zwei Monaten löschen muss. Bei Überschreitung dieser Frist drohte ein Zwangsgeld von 100.000 Euro pro Tag. Clearview AI kooperierte während des gesamten Verfahrens nur unvollständig mit der Behörde.

Aus der Quelle nicht belegt ist, ob Clearview AI die Geldbuße tatsächlich gezahlt oder die angeordnete Löschung fristgerecht umgesetzt hat, da das Unternehmen als US-Firma ohne Niederlassung in der EU die Vollstreckbarkeit bestritt.

Am 13.08.2022 berichtete das Reiseportal View from the Wing über den Fall eines Marriott-Bonvoy-Kunden, dessen Treuepunktekonto von Unbekannten kompromittiert wurde. Aus dem Konto des Lesers verschwanden rund 100.000 Bonvoy-Punkte, wobei weder der genaue Zeitpunkt des Zugriffs noch die konkrete Zugriffsmethode öffentlich bekannt wurden. Nach der Meldung sperrte Marriott das betroffene Konto vollständig und teilte mit, die Punkte würden erst nach Abschluss einer internen Untersuchung zurückerstattet, mit einer erwarteten Bearbeitungsdauer von rund 45 Tagen. Nach 44 Tagen wurde das Konto aus der Prüfung genommen und alle 100.000 Punkte wurden dem Kunden vollständig gutgeschrieben. Während der gesamten Untersuchungsdauer hatte der rechtmäßige Kontoinhaber keinen eigenen Zugriff mehr auf sein Konto. Der Fall reiht sich in ein 2022 vielfach dokumentiertes Muster von Bonvoy-Kontoübernahmen ein. Parallel dazu bestätigte Marriott im Juni/Juli 2022 einen separaten Sicherheitsvorfall, bei dem ein Angreifer per Social Engineering Zugriff auf den Rechner eines Mitarbeiters am BWI Airport Marriott in Maryland erlangte und rund 20 Gigabyte an Daten entwendete, was rund 300 bis 400 Personen betraf.

Die Quelle belegt nur diesen dokumentierten Einzelfall; wie die Täter tatsächlich Zugang zum Bonvoy-Konto erlangten, bleibt ungeklärt. Ob gestohlene Bonvoy-Punkte systematisch im großen Stil weiterverkauft wurden, ist aus dieser Quelle nicht ersichtlich.

Optus, der zweitgrößte Telekommunikationsanbieter Australiens, entdeckte am 20.09.2022 einen unbefugten Zugriff auf seine Kundendatenbank und informierte die Öffentlichkeit am 22.09.2022. Ursache war eine seit 2019 bestehende, ungesicherte und über das Internet erreichbare API-Schnittstelle, die keine Authentifizierung verlangte und dadurch den vollständigen Abruf von Kundendatensätzen ermöglichte. Betroffen waren bis zu 9,8 Millionen aktuelle und ehemalige Kunden, etwa ein Drittel der australischen Bevölkerung. Offengelegt wurden Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen, bei rund 2,1 Millionen Kunden zusätzlich Ausweisdaten wie Reisepass-, Führerschein- oder Medicare-Nummer. Am 24.09.2022 forderte ein Angreifer 1,5 Millionen australische Dollar in Monero, zog die Erpressung jedoch innerhalb weniger Stunden zurück. Optus stellte 140 Millionen australische Dollar für Folgekosten zurück und bot betroffenen Kunden kostenlose Kreditüberwachung an. Am 08.08.2025 reichte die OAIC beim Federal Court of Australia eine Zivilklage gegen Singtel Optus ein, mit einer möglichen Strafe von bis zu 2,22 Millionen australische Dollar pro Verstoß.

Der Ausgang der im August 2025 eingereichten Zivilklage vor dem Federal Court of Australia war zum Zeitpunkt der Berichterstattung noch offen.

Am 11. September 2023 bestätigte die Casino- und Hotelkette MGM Resorts International einen Cyberangriff auf ihre US-Systeme, nachdem die Hackergruppe Scattered Spider bereits am 10. September 2023 Zugriff auf interne Systeme erlangt hatte. Die Angreifer nutzten Social Engineering: Sie identifizierten einen MGM-Mitarbeiter über LinkedIn, gaben sich in einem rund zehnminütigen Anruf beim IT-Helpdesk als diese Person aus und erhielten so administrative Zugriffsrechte auf die Okta- und Azure-Umgebung von MGM. Die mit ALPHV/BlackCat verbundenen Angreifer legten daraufhin für etwa zehn Tage den Betrieb an mehr als 30 MGM-Standorten lahm, betroffen waren Online-Reservierungen, digitale Zimmerschlüssel, Geldautomaten und Spielautomaten. MGM Resorts bezifferte den finanziellen Schaden für das dritte Quartal 2023 auf mehr als 100 Millionen US-Dollar. MGM zahlte kein Lösegeld, während Caesars Entertainment im selben Zeitraum Berichten zufolge rund 15 Millionen US-Dollar zahlte. Die Täter erbeuteten zudem persönliche Daten von Kunden, die vor März 2019 mit MGM Geschäfte gemacht hatten.

Aus dieser Quelle nicht abschließend belegt sind die genaue Gesamtzahl der vom Datendiebstahl betroffenen Kundendatensätze sowie eine strafrechtliche Verantwortlichkeit konkreter, namentlich benannter Scattered-Spider-Mitglieder.

Am 21.02.2024 legte ein Ransomware-Angriff der Gruppe ALPHV/BlackCat den IT-Betrieb von Change Healthcare lahm, einem Tochterunternehmen von UnitedHealth Group, das rund ein Drittel aller US-Krankenversicherungsabrechnungen verarbeitet. Die Angreifer verschafften sich bereits am 12.02.2024 über ein Citrix-Fernzugangsportal Zugang, das entgegen der Unternehmensrichtlinie nicht durch Multi-Faktor-Authentifizierung geschützt war. In neun Tagen bewegten sie sich lateral durch die Systeme und exfiltrierten schätzungsweise sechs Terabyte an Daten, bevor am 21.02.2024 die Ransomware ausgelöst wurde. UnitedHealth Group zahlte im Anschluss ein Lösegeld von 22 Millionen US-Dollar, erhielt jedoch keine vollständige Zusicherung der Datenlöschung. Betroffen waren Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Krankenversicherungs-, Diagnose-, Behandlungs- und Abrechnungsdaten. Die Zahl der gemeldeten Betroffenen wurde mehrfach nach oben korrigiert, von anfänglich rund 100 Millionen auf schließlich 192,7 Millionen Individuen, fast zwei Drittel der US-Bevölkerung. UnitedHealth bezifferte die Gesamtauswirkungen des Angriffs bis Ende September 2024 auf 2,457 Milliarden US-Dollar.

Nicht abschließend geklärt sind der genaue Umfang der tatsächlich missbrauchten Daten je Betroffenem sowie der Ausgang der zivilrechtlichen Sammelklagen und der behördlichen HIPAA-Untersuchung, die zum Zeitpunkt der Recherche noch keine abschließenden Ergebnisse veröffentlicht hatte.

Am 07.05.2021 legte die Ransomware-Gruppe DarkSide die IT-Systeme von Colonial Pipeline lahm, dem Betreiber der größten Treibstoffpipeline der USA, die täglich rund 2,5 Millionen Barrel Benzin, Diesel und Kerosin von Texas an die US-Ostküste liefert. Die Angreifer verschafften sich Zugang über ein kompromittiertes Passwort eines inaktiven VPN-Kontos ohne Mehr-Faktor-Authentifizierung und erbeuteten fast 100 Gigabyte an Daten. Colonial Pipeline stellte den Betrieb vorsorglich ein, was zu Panikkäufen, Kraftstoffknappheit an bis zu rund 10.600 Tankstellen und einem von Präsident Joe Biden am 09.05.2021 verhängten Notstand führte. CEO Joseph Blount ließ innerhalb weniger Stunden 75 Bitcoin im Wert von etwa 4,4 Millionen US-Dollar an DarkSide zahlen. Der Pipelinebetrieb wurde am 12.05.2021 wieder aufgenommen. Am 07.06.2021 gab das US-Justizministerium bekannt, dass FBI-Ermittler 63,7 der gezahlten Bitcoin im damaligen Wert von rund 2,3 Millionen US-Dollar sicherstellen konnten. Präsident Biden unterzeichnete am 12.05.2021 die Executive Order 14028 zur Stärkung der nationalen Cybersicherheit.

Aus dieser Quelle nicht abschließend belegt sind die genaue Identität der individuellen Angreifer hinter dem DarkSide-Konto sowie eine strafrechtliche Verurteilung konkreter Täter.

Das US-Gentestunternehmen 23andMe bestätigte am 06.10.2023 einen Datendiebstahl, bei dem Angreifer mittels Credential Stuffing auf Nutzerkonten zugriffen. Direkt kompromittiert wurden nach Angaben des Unternehmens rund 14.000 Konten, etwa 0,1 Prozent der Kundenbasis. Über die Funktionen DNA Relatives und Family Tree griffen die Angreifer zusätzlich auf Profildaten von insgesamt rund 6,9 Millionen Nutzern zu, wie 23andMe am 04.12.2023 vollständig einräumte. Ein Hacker mit dem Pseudonym Golem bot am 06.10.2023 im Forum BreachForums einen Datensatz mit dem Titel Ashkenazi DNA Data of Celebrities an, der Angaben zu 999.998 Personen mit aschkenasisch jüdischer Abstammung sowie zu 100.000 Personen mit chinesischer Abstammung enthielt. Erbeutet wurden Namen, Geburtsjahre, Wohnorte, Familiennamen, Herkunftsangaben der Großeltern und ethnische Abstammungsschätzungen. 23andMe deaktivierte daraufhin vorübergehend die DNA-Relatives-Funktion und führte eine verpflichtende Zwei-Faktor-Authentifizierung ein. Im September 2024 stimmte das Unternehmen einem Vergleich in Höhe von 30 Millionen US-Dollar zu, um Sammelklagen in den USA wegen des Vorfalls beizulegen.

Die Quelle belegt nicht die genaue Zahl direkt kompromittierter Konten unter den jüdischen und chinesischen Nutzern und deckt nicht die spätere Insolvenz von 23andMe sowie die überarbeiteten Vergleichssummen (unter anderem eine separate Einigung mit US-Bundesstaaten über 18 Millionen US-Dollar) ab.

Der Passwort-Manager-Anbieter LastPass wurde 2022 Opfer eines zweistufigen Angriffs. Zwischen dem 8. und 12. August 2022 kompromittierten Angreifer den Laptop eines Softwareentwicklers und erbeuteten Quellcode aus 14 von rund 200 Repositories. Mit diesen Informationen griffen die Täter anschließend einen von vier DevOps-Ingenieuren mit Zugriff auf die Entschlüsselungsschlüssel an, dessen privater Rechner wegen einer ungepatchten Sicherheitslücke im dort installierten Plex Media Server verwundbar war, und erbeuteten per Keylogger dessen Zugangsdaten. Dadurch konnten die Angreifer im Zeitraum 20. August bis 16. September 2022 auf ein Cloud-Backup zugreifen und eine Kopie der Kundendatenbank sowie Kopien von Passwort-Tresoren kopieren. Betroffen waren nach LastPass-Angaben mehr als 25 Millionen Nutzerkonten; die Tresore enthielten unverschlüsselte Website-URLs sowie verschlüsselte Benutzernamen und Passwörter, zudem wurden Namen, E-Mail-Adressen, Rechnungsadressen und teilweise Kreditkartendaten erbeutet. LastPass informierte die Kunden erst am 30. November bzw. 22. Dezember 2022 vollständig über das tatsächliche Ausmaß. Die britische Datenschutzbehörde ICO verhängte am 20. November 2025 eine Geldbuße von 1.228.283 Pfund gegen LastPass UK Ltd. In den USA einigte sich LastPass zudem auf einen Sammelklage-Vergleich in Höhe von 24,5 Millionen US-Dollar.

Aus dieser Quelle nicht belegt ist, wie viele der gestohlenen Tresore mit schwachen Master-Passwörtern tatsächlich entschlüsselt wurden und in welchem Umfang die damit verknüpften Kryptowährungs-Diebstähle in Höhe von über 150 Millionen US-Dollar eindeutig auf dieses Datenleck zurückzuführen sind.

Die australische Sozialbehörde Centrelink setzte von Juli 2015 bis November 2019 das automatisierte Verfahren Robodebt ein, um vermeintliche Überzahlungen von Sozialleistungen zurückzufordern. Das System verglich jährliche Einkommensdaten der Steuerbehörde ATO mit den vierzehntägigen Einkommensangaben bei Centrelink und errechnete daraus per automatisierter Durchschnittsbildung Schulden, ohne individuelle Einkommensschwankungen zu prüfen. Die Beweislast lag bei den Betroffenen. Nach Feststellung der Royal Commission wurden unrechtmäßig Forderungen in Höhe von rund 1,76 Milliarden australischen Dollar gegen mindestens 433.000 Bürger erhoben. Am 27.11.2019 räumte die australische Bundesregierung vor dem Federal Court ein, dass allein auf Einkommensdurchschnitten basierende Forderungen rechtswidrig waren, woraufhin das Programm eingestellt wurde. Eine Sammelklage endete am 16.11.2020 mit einem Vergleich im Gesamtwert von rund 1,8 Milliarden australischen Dollar. Die 2022 eingesetzte Royal Commission unter Vorsitz von Catherine Holmes legte ihren Abschlussbericht am 07.07.2023 vor und bezeichnete das Programm als grob und grausam sowie weder fair noch rechtmäßig, mit 57 Empfehlungen.

Aus dem Bericht der Royal Commission vom Juli 2023 geht nicht hervor, ob den namentlich genannten Verantwortlichen letztlich straf- oder zivilrechtliche Konsequenzen drohten, da der entsprechende Abschnitt versiegelt war. Eine spätere Prüfung sprach zwei zentrale Verantwortliche von entsprechenden Vorwürfen frei.

Am 11.06.2024 veröffentlichte der IT-Sicherheitsanbieter Kaspersky eine Studie zu 24 Sicherheitslücken in biometrischen Zugangsterminals des chinesischen Herstellers ZKTeco, die unter zahlreichen Whitelabel-Marken weltweit vertrieben werden. Das Forscherteam fand sechs SQL-Injection-Schwachstellen, sieben Stack-basierte Pufferüberläufe, fünf Command-Injection-Fehler, vier Schwachstellen für beliebiges Dateischreiben und zwei für beliebiges Dateilesen. Über manipulierte QR-Codes mit eingebetteter SQL-Injection konnten Angreifer die Authentifizierung umgehen und sich unautorisierten physischen Zutritt verschaffen. Weitere Lücken erlaubten das Auslesen und Verändern der Nutzerdatenbank samt gespeicherter Gesichtserkennungsdaten sowie das Herunterladen von Nutzerfotos, die anschließend für Fotospoofing gegen die Kamera des Geräts genutzt werden konnten. Pufferüberlauf- und Command-Injection-Fehler ermöglichten zudem die vollständige Übernahme einzelner Geräte mit Root-Rechten aus der Ferne. Die betroffenen Terminals werden laut Kaspersky unter anderem in Kernkraftwerken, Chemieanlagen, Büros und Krankenhäusern eingesetzt und können Tausende Gesichtsvorlagen speichern. Kaspersky informierte den Hersteller vor der öffentlichen Bekanntgabe der Ergebnisse.

Aus der Kaspersky-Quelle geht nicht hervor, ob und wann ZKTeco tatsächlich Patches veröffentlicht hat, und es ist nicht belegt, dass die Schwachstellen in der Praxis bereits von Angreifern ausgenutzt wurden.

Das Datenanalyseunternehmen Palantir Technologies stellte der Polizeibehörde von New Orleans ab dem 23.02.2012 kostenlos ein auf sozialer Netzwerkanalyse basierendes Programm zur vorausschauenden Kriminalitätsbekämpfung zur Verfügung. Die Vereinbarung wurde über die private Stiftung NOLA for Life von Bürgermeister Mitch Landrieu abgewickelt und dadurch am regulären städtischen Vergabeverfahren und an der Kontrolle durch den Stadtrat vorbeigeführt. Das System wertete Kriminalitätsakten, Bandenzugehörigkeiten, soziale Medien und persönliche Verbindungen aus, um Personen mit hohem Risiko für Gewaltbeteiligung zu identifizieren; rund 3.900 Personen wurden auf diese Weise erfasst. Von 308 Personen, die zwischen Oktober 2012 und März 2017 zu Call-in-Gesprächen eingeladen wurden, schlossen lediglich sieben eine Berufsausbildung ab. Journalist Ali Winston deckte das Programm am 27.02.2018 auf. Ratspräsident Jason Williams erklärte, vor der Veröffentlichung nichts von der Zusammenarbeit gewusst zu haben. Der Vertrag war seit 2012 dreimal verlängert worden. Rund zwei Wochen nach der Veröffentlichung erklärte das Büro von Bürgermeister Landrieu, den Palantir-Vertrag nicht zu verlängern, wodurch das Programm im März 2018 endete.

Unklar bleibt, ob der vorübergehende Rückgang der Gewaltkriminalität in New Orleans tatsächlich auf den Einsatz der Palantir-Software zurückzuführen war. Diese Quelle belegt keine quantifizierten Angaben zum separaten Einsatz von Palantir Gotham bei ICE.

Der unabhängige IT-Sicherheitsexperte Mike Kuketz veröffentlichte am 11.04.2022 eine technische Analyse der App DB Navigator der Deutschen Bahn. Mittels einer Intercepting-Proxy-Software untersuchte er den Netzwerkverkehr der App auf einem Android-10- und einem iOS-15.4.1-Gerät. Die Analyse ergab, dass die App Reisedaten wie Start- und Zielbahnhof, Reisedatum, Bahncard-Status, Gerätemodell und Mobilfunkanbieter an bis zu zehn externe Dienstleister übermittelt, darunter Google, Adobe, Optimizely, Tealium, Qualtrics und CrossEngage. Diese Datenweitergabe erfolgte laut Kuketz auch dann, wenn Nutzer in den Cookie-Einstellungen lediglich die Option nur erforderliche Cookies ausgewählt hatten. Kuketz dokumentierte damit mögliche Verstöße gegen Paragraf 25 TTDSG sowie gegen mehrere Artikel der DSGVO, unter anderem wegen Datenübermittlungen in Drittstaaten wie die USA. Im Herbst 2022 reichte der Verein Digitalcourage aus Bielefeld wegen dieser Praxis Klage gegen die Deutsche Bahn ein. Seit dem 19.05.2025 wird die Klage vor dem Landgericht Frankfurt am Main verhandelt. Ein Urteil stand zum Zeitpunkt der Recherche noch aus.

Aus dieser Quelle nicht belegt sind eine konkrete Zahl betroffener Nutzer sowie eine Bestätigung, dass die geschilderte Datenweitergabe auch in aktuellen App-Versionen noch in gleicher Form besteht.

Die israelische Plattform vpnMentor entdeckte am 05.08.2019 durch die Forscher Noam Rotem und Ran Locar eine ungeschützte Elasticsearch-Datenbank des südkoreanischen Unternehmens Suprema. Die Datenbank gehörte zum biometrischen Zugangskontrollsystem BioStar 2 und enthielt 27,8 Millionen Datensätze mit einem Volumen von 23 Gigabyte. Betroffen waren die Fingerabdrücke von mehr als einer Million Nutzern, Gesichtserkennungsdaten, Klarnamen, unverschlüsselt gespeicherte Passwörter, Zutrittsprotokolle sowie persönliche Mitarbeiterdaten. BioStar 2 wurde laut Suprema von rund 5.700 Organisationen in 83 Ländern eingesetzt, darunter die britische Metropolitan Police sowie Banken und Behörden. Die Forscher informierten Suprema am 07.08.2019, die Sicherheitslücke wurde erst am 13.08.2019 geschlossen. Nach Bekanntwerden erklärte die britische Datenschutzbehörde ICO, sie sei sich der Medienberichte bewusst und werde Ermittlungen aufnehmen. Die US-Kanzlei Finkelstein, Blankinship, Frei Pearson and Garber kündigte im August 2019 an, eine mögliche Sammelklage wegen des Vorfalls zu prüfen. Suprema erklärte öffentlich, das tatsächliche Ausmaß sei geringer als berichtet, und verwies auf eine begrenzte Zahl betroffener Cloud-API-Nutzer.

Aus den ausgewerteten Quellen geht nicht hervor, ob die britische ICO tatsächlich ein Bußgeld gegen Suprema verhängt hat oder ob die geprüfte US-Sammelklage je formell eingereicht und entschieden wurde; der rechtliche Ausgang des Falls ist öffentlich nicht dokumentiert.

Der australische Logistikkonzern Toll Group wurde 2020 innerhalb weniger Monate zweimal von unterschiedlichen Ransomware-Gruppen angegriffen. Am 31.01.2020 entdeckte Toll eine Infektion mit einer neuen Variante der Ransomware Mailto, woraufhin das Unternehmen am 05.02.2020 öffentlich bekanntgab, aus Vorsicht zahlreiche IT-Systeme abgeschaltet zu haben. Nach Medienberichten waren bis zu 1.000 Server und rund 500 Unternehmensanwendungen betroffen, unter anderem das Active Directory, und aus einem Server wurden rund 220 Gigabyte Daten entwendet. Die vollständige Wiederherstellung der Kernsysteme dauerte mehr als sechs Wochen. Am 05.05.2020 schaltete Toll erneut vorsorglich IT-Systeme ab, diesmal verantwortlich war die Ransomware-Gruppe Nefilim. Die Angreifer entwendeten aktuelle und frühere Geschäftsvereinbarungen sowie Mitarbeiterdaten von mindestens einem Server. Der Ausfall des Kundenportals MyToll behinderte die Umleitung von Sendungen an alternative Abholstellen und störte den Lieferbetrieb. Toll-Geschäftsführer Thomas Knudsen entschuldigte sich öffentlich bei den Betroffenen und erklärte, das Unternehmen werde kein Lösegeld zahlen, und informierte das Australian Cyber Security Centre sowie die australische Bundespolizei.

Aus den verfügbaren Quellen ist nicht abschließend belegt, wie viele Kunden individuell betroffen waren, ob ein technischer Zusammenhang zwischen beiden Angriffen bestand und ob die von Nefilim angedrohte vollständige Veröffentlichung der gestohlenen Daten im Darknet tatsächlich umgesetzt wurde.

Am 23.07.2020 wurde der US-amerikanische Wearable- und Navigationshersteller Garmin Opfer eines Cyberangriffs, der Teile seiner internen IT-Systeme verschlüsselte. Betroffen waren unter anderem der Cloud-Dienst Garmin Connect, die Flugplanungs-App flyGarmin, der Satellitenkommunikationsdienst inReach sowie der gesamte Kundensupport. Nutzer konnten mehrere Tage lang keine Trainings- und Gesundheitsdaten zwischen ihren Geräten und der Garmin-Cloud synchronisieren. Als Ursache identifizierten IT-Sicherheitsmedien die Ransomware WastedLocker, die der russischen Gruppe Evil Corp zugeschrieben wird. Berichten zufolge forderten die Angreifer ein Lösegeld von rund 10 Millionen US-Dollar in Kryptowährung. Garmin bestätigte den Cyberangriff erstmals öffentlich am 27.07.2020 und erklärte, es gebe keine Hinweise darauf, dass Kundendaten einschließlich Zahlungsinformationen aus Garmin Pay abgerufen worden seien. Die Wiederherstellung der Dienste zog sich bis Ende Juli 2020 hin. Die Garmin-Aktie verlor nach Bekanntwerden des Ausfalls zeitweise rund 4 Prozent an Wert.

Ob Garmin tatsächlich Lösegeld zahlte, in welcher genauen Höhe und ob die Zuordnung zur Ransomware WastedLocker und zur Gruppe Evil Corp zutrifft, hat Garmin selbst nie offiziell bestätigt; diese zentralen Details stützen sich auf anonyme Insider-Quellen und spätere Medienberichte.

Am 07.05.2021 griff die Ransomware-as-a-Service-Gruppe DarkSide die IT-Systeme des US-Pipelinebetreibers Colonial Pipeline an, woraufhin das Unternehmen aus Vorsicht den Betrieb der wichtigsten Treibstoffpipeline der US-Ostküste einstellte. Colonial Pipeline zahlte am 08.05.2021 rund 75 Bitcoin, umgerechnet etwa 4,4 Millionen US-Dollar, Lösegeld. Am 13./14.05.2021 teilte DarkSide seinen Partnern mit, dass die Gruppe den Zugriff auf einen öffentlichen Teil ihrer Infrastruktur verloren habe, darunter Blog, Zahlungsserver und Content-Delivery-Server. Nach Angaben der Sicherheitsfirma Intel 471 wurden zudem Gelder von einem Zahlungsserver der Gruppe auf ein unbekanntes Konto abgezogen. DarkSide begründete die Einstellung ihres Affiliate-Programms mit Druck aus den USA und kündigte an, Opfern ohne erfolgte Zahlung kostenlose Entschlüsselungs-Tools bereitzustellen. Wer die Server beschlagnahmte, teilte die Gruppe nicht mit. Sicherheitsforscher gingen davon aus, dass sich Mitglieder der Gruppe unter neuem Namen reorganisieren würden.

Wer genau die DarkSide-Server beschlagnahmte und die Kryptowährungs-Gelder abzog, ist aus dieser Quelle nicht belegt und wurde von keiner Behörde offiziell bestätigt. Ebenso bleibt offen, ob es sich um eine tatsächliche Strafverfolgungsmaßnahme oder um einen Exit-Scam der Gruppenbetreiber handelte.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit erließ am 30.10.2019 gegen die Deutsche Wohnen SE einen Bußgeldbescheid in Höhe von rund 14,5 Millionen Euro wegen Verstößen gegen die Datenschutz-Grundverordnung. Bei Vor-Ort-Prüfungen im Juni 2017 und im März 2019 stellte die Aufsichtsbehörde fest, dass das Unternehmen für personenbezogene Daten von Mieterinnen und Mietern ein Archivsystem nutzte, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu entfernen. Betroffen waren unter anderem Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits- und Ausbildungsverträgen sowie Steuer-, Sozial- und Krankenversicherungsdaten, die teilweise Jahre alt waren. Obwohl die Behörde bereits 2017 dringend eine Umstellung des Archivsystems empfohlen hatte, konnte das Unternehmen auch bei der Nachprüfung im März 2019 weder eine Bereinigung des Datenbestands noch rechtliche Gründe für die fortdauernde Speicherung vorweisen. Grundlage für die Bußgeldhöhe war der weltweite Jahresumsatz der Deutsche Wohnen SE von über einer Milliarde Euro, woraus sich ein gesetzlicher Bußgeldrahmen von rund 28 Millionen Euro ergab. Neben der Sanktion für den strukturellen Verstoß verhängte die Behörde zusätzliche Bußgelder zwischen 6.000 und 17.000 Euro in 15 konkreten Einzelfällen unzulässiger Datenspeicherung.

Die Pressemitteilung nennt keine Gesamtzahl der insgesamt betroffenen Mieterinnen und Mieter; der weitere Rechtsweg mit späteren gerichtlichen Reduzierungen des Bußgelds, unter anderem durch das Landgericht Berlin und ein EuGH-Urteil vom 05.12.2023, ist in dieser Quelle nicht erfasst.

Die britische Datenschutzbehörde Information Commissioner's Office (ICO) verhängte am 30.10.2020 gegen Marriott International, Inc. eine Geldbuße von 18,4 Millionen Pfund wegen Verstößen gegen die DSGVO. Ursache war ein Cyberangriff auf die Reservierungsdatenbank der Starwood Hotels, die Marriott 2016 übernommen hatte; Unbekannte hatten sich bereits seit 2014 unbemerkt Zugang zum System verschafft, entdeckt erst am 08.09.2018. Betroffen waren bis zu 339 Millionen Gästedatensätze weltweit. Die ICO warf Marriott vor, keine angemessenen technischen und organisatorischen Maßnahmen nach Artikel 5(1)(f) und Artikel 32 DSGVO getroffen zu haben. Im Juli 2019 hatte die ICO zunächst eine Geldbuße von 99.200.396 Pfund angekündigt. Als Ausgangspunkt der Berechnung setzte die Behörde 28 Millionen Pfund an, reduzierte diesen Betrag wegen der Kooperation Marriotts um 20 Prozent auf 22,4 Millionen Pfund und senkte ihn wegen der wirtschaftlichen Auswirkungen der Corona-Pandemie auf die Hotelbranche weiter auf 18,4 Millionen Pfund. Die Buße betraf ausschließlich den Zeitraum ab Inkrafttreten der DSGVO am 25.05.2018.

Aus dieser Quelle nicht belegt ist, ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat und wie sich die Kosten des Unternehmens durch den Vorfall insgesamt bezifferten.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 15.03.2022 gegen Meta Platforms Ireland Limited, vormals Facebook Ireland Limited, eine Geldbuße von 17 Millionen Euro. Grundlage war eine Untersuchung von zwölf Datenschutzverletzungen, die Facebook der DPC zwischen dem 07.06.2018 und dem 04.12.2018 gemeldet hatte. Die DPC stellte fest, dass Meta gegen Artikel 5(2) und Artikel 24(1) DSGVO verstoßen hatte, weil das Unternehmen keine geeigneten technischen und organisatorischen Maßnahmen vorhalten konnte, um die tatsächlich umgesetzten Sicherheitsmaßnahmen zum Schutz der Nutzerdaten nachzuweisen. Zu den zwölf gemeldeten Vorfällen zählte unter anderem eine im September 2018 bekannt gewordene Sicherheitslücke im View-As-Feature, durch die Zugriffstoken von bis zu 30 Millionen Facebook-Konten kompromittiert wurden, wobei die zugrunde liegende Schwachstelle laut Unternehmensangaben bereits seit Juli 2017 bestand. Die Entscheidung erging im Kooperationsverfahren nach Artikel 60 DSGVO gemeinsam mit den übrigen europäischen Aufsichtsbehörden, von denen zwei zunächst Einwände gegen den Entscheidungsentwurf der DPC erhoben hatten.

Aus der DPC-Pressemitteilung geht nicht hervor, wie sich die Bußgeldhöhe von 17 Millionen Euro rechnerisch auf die zwölf Einzelverstöße verteilt, und es bleibt offen, ob und mit welchem Ergebnis Meta gegen die Entscheidung Rechtsmittel eingelegt hat.

Am 19.05.2020 informierte die britische Fluggesellschaft EasyJet öffentlich über einen Cyberangriff auf ihre IT-Systeme, bei dem persönliche Daten von rund 9 Millionen Kunden abgeflossen waren. Betroffen waren E-Mail-Adressen und Reisedaten aus Buchungen im Zeitraum vom 17.10.2019 bis zum 04.03.2020. Bei 2.208 Kunden wurden zudem vollständige Kreditkartendaten einschließlich der Sicherheitscodes offengelegt. EasyJet entdeckte den Angriff Ende Januar 2020 und bezeichnete ihn als hochentwickelten Angriff. Kunden mit gestohlenen Zahlungsdaten wurden ab April 2020 informiert, die Benachrichtigung aller 9 Millionen betroffenen Kunden sollte bis zum 26.05.2020 abgeschlossen sein. EasyJet meldete den Vorfall an die britische Datenschutzbehörde ICO sowie an das National Cyber Security Centre. Passwörter und Passdaten der Kunden waren nach Angaben von EasyJet nicht betroffen. Die Kanzlei PGMBM reichte im Mai 2020 beim High Court in London eine Sammelklage mit einem möglichen Streitwert von bis zu 18 Milliarden britischen Pfund ein. Die ICO stellte ihre Untersuchung des Vorfalls im August 2023 offiziell ein und verwies dabei auf begrenzte Ressourcen der Behörde.

Aus der Quelle geht nicht hervor, ob die 2020 eingereichte Sammelklage inzwischen zu einem Urteil oder Vergleich geführt hat, und die genaue technische Ursache des Einbruchs bleibt ungeklärt.

Estée Lauder Cosmetics Ltd und The Estée Lauder Companies Inc. erklärten sich bereit, einen Vergleich über 1.515.000 kanadische Dollar zu zahlen, um eine kanadische Sammelklage wegen zweier Datenvorfälle aus dem Jahr 2023 beizulegen. Die Klage betrifft zwei getrennte Cybervorfälle vom 31. Mai 2023 und vom 12. Juli 2023, bei denen persönliche und finanzielle Daten von Kunden in Kanada kompromittiert oder gestohlen wurden. Der Vorfall vom Mai 2023 steht im Zusammenhang mit der massenhaften Ausnutzung der MOVEit-Schwachstelle durch die Ransomware-Gruppe Clop, während sich zu einem zweiten, separaten Angriff die Gruppe BlackCat alias ALPHV bekannte. Estée Lauder hatte den zweiten Vorfall am 18. Juli 2023 in einer Mitteilung an die US-Börsenaufsicht SEC offengelegt. Der Vergleich wurde am 20. April 2026 vereinbart und bedarf der Genehmigung durch den Superior Court of Québec. Betroffene Personen können je nach Nachweislage bis zu 5.000 kanadische Dollar für dokumentierte Schäden erhalten, oder pauschal 150 beziehungsweise 300 kanadische Dollar. Estée Lauder bestreitet in der Vergleichsvereinbarung jegliches Fehlverhalten und jede Haftung.

Aus der Quelle geht nicht hervor, wie viele Personen in Kanada tatsächlich von den beiden Vorfällen betroffen waren, und die endgültige gerichtliche Genehmigung des Vergleichs stand zum Zeitpunkt der Mitteilung noch aus.

Der Brite Arion Kurtaj aus Oxford, Mitglied der Hackergruppe Lapsus$, verübte im September 2022 während laufender Kaution für frühere Straftaten eine Serie von Cyberangriffen. Er drang zunächst in Systeme der Fintech-Firma Revolut ein, wo laut Anklage rund 5.000 Kundendatensätze kompromittiert wurden. Zwei Tage später hackte er den Fahrdienstvermittler Uber und verursachte nach Angaben der Anklage einen Schaden von knapp 3 Millionen US-Dollar. Zudem drang Kurtaj in Systeme des Spieleentwicklers Rockstar Games ein, entwendete rund 90 unveröffentlichte Clips und Quellcode zu Grand Theft Auto VI und drohte mit deren Veröffentlichung. Da bei Kurtaj eine schwere Autismus-Diagnose seine Verhandlungsfähigkeit ausschloss, klärte eine Jury im Rahmen eines trial of the facts nur, ob er die Taten begangen hatte. Die Jury am Southwark Crown Court in London stellte am 23.08.2023 fest, dass Kurtaj zwölf Taten begangen hatte. Am 22.12.2023 ordnete Richterin Patricia Lees eine unbefristete Unterbringung Kurtajs in einer geschlossenen psychiatrischen Klinik an. Ein mitangeklagter 17-Jähriger, der an Angriffen auf Nvidia und BT/EE beteiligt war, erhielt eine 18-monatige Youth Rehabilitation Order.

Die genaue Zahl der betroffenen Revolut-Kunden ist unklar, da die Anklage von rund 5.000 sprach, während Revolut selbst gegenüber litauischen Behörden 50.150 betroffene Kunden meldete.

Am 21.11.2023 veröffentlichten die US-Behörde CISA, das FBI und weitere Partner den gemeinsamen Sicherheitshinweis AA23-325A zur Ausnutzung der Citrix-Bleed-Schwachstelle CVE-2023-4966 durch Affiliates der Ransomware-Gruppe LockBit 3.0. Die Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway erlaubte das Auslesen aktiver Sitzungstoken und damit die Umgehung der Multi-Faktor-Authentifizierung. Laut Advisory beobachtete der Flugzeughersteller Boeing als eine der ersten Organisationen, wie LockBit-3.0-Affiliates die Schwachstelle nutzten, um Zugang zu Boeing Distribution Inc. zu erlangen. Die Ausnutzung der Schwachstelle als Zero-Day begann laut Advisory bereits im August 2023, Citrix veröffentlichte am 10.10.2023 einen Patch. LockBit hatte Boeing zuvor am 27.10.2023 auf seiner Leak-Seite gelistet und 200 Millionen US-Dollar Lösegeld gefordert. Boeing zahlte nicht, woraufhin LockBit Anfang November 2023 rund 43 Gigabyte an Unternehmensdaten veröffentlichte. Der Advisory nennt neben Boeing weitere Betroffene derselben Angriffswelle, darunter die Kanzlei Allen & Overy, die Industrial and Commercial Bank of China und das Logistikunternehmen DP World.

Aus dem Advisory geht nicht hervor, welche konkreten Fluggesellschaften oder Zulieferer in der Boeing-Lieferkette durch die geleakten Zulieferdaten selbst kompromittiert wurden, und die Gesamtzahl weltweit betroffener Organisationen der Citrix-Bleed-Kampagne bleibt unbeziffert.

Der GDPR Enforcement Tracker, eine von der internationalen Anwaltskanzlei CMS betriebene Datenbank, dokumentiert seit Inkrafttreten der Datenschutz-Grundverordnung am 25.05.2018 alle öffentlich bekannt gewordenen Bußgelder europäischer Datenschutzbehörden. Stand 19.08.2026 verzeichnet die Datenbank 3.206 Bußgeldverfahren aus 32 Ländern mit einer kumulierten Gesamtsumme von rund 6,31 Milliarden Euro. Irland führt die Rangliste nach Gesamtsumme deutlich an, unter anderem wegen der bisher höchsten Einzelstrafe von 1,2 Milliarden Euro gegen Meta Platforms Ireland Limited vom 12.05.2023. Nach Anzahl der Verfahren liegt Spanien mit 1.079 Fällen an der Spitze, gefolgt von Italien und Rumänien. Nach Branchen entfallen die höchsten Bußgeldsummen auf den Sektor Medien, Telekommunikation und Rundfunk. Die Datenbank wird fortlaufend aktualisiert, sodass sich Fallzahlen und Gesamtsumme täglich verändern können.

Die Datenbank erfasst nur öffentlich bekannt gewordene Bußgelder; informelle Verwarnungen, nicht-monetäre Anordnungen und unveröffentlichte Verfahren fehlen, und einzelne Großstrafen wie die Meta-Buße sind wegen laufender Rechtsmittel noch nicht rechtskräftig.

Am 19. März 2020 wurde bekannt, dass im chinesischen sozialen Netzwerk Sina Weibo Datensätze von rund 538 Millionen Nutzerkonten im Darknet zum Verkauf angeboten wurden. Bei etwa 172 Millionen dieser Datensätze waren zusätzlich die mit dem jeweiligen Konto verknüpften Telefonnummern enthalten, hinzu kamen Nutzernamen, Geschlecht, Standortangaben und Followerzahlen. Passwörter und Ausweisdaten waren nach Angaben von Weibo nicht betroffen. Weibos Sicherheitsdirektor Luo Shiyao erklärte, die Telefonnummern seien 2018/2019 durch eine automatisierte Massenabfrage der Kontaktabgleich-Schnittstelle der App unrechtmäßig mit Konten verknüpft worden. Am 21. März 2020 bestellte das Büro für Netzwerksicherheitsverwaltung des chinesischen Ministeriums für Industrie und Informationstechnologie (MIIT) Verantwortliche von Sina Weibo zu einem Gespräch ein. Das Ministerium verlangte, die Datenschutzrichtlinie zu überarbeiten und die Abfrage-Schnittstellen besser gegen Missbrauch abzusichern. Weibo erklärte, man habe die Sicherheitsstrategie der betroffenen Schnittstelle bereits aktualisiert.

Aus den verfügbaren Quellen geht nicht hervor, ob gegen Sina Weibo im Zusammenhang mit diesem konkreten Datenleck ein förmliches Bußgeld verhängt wurde, dokumentiert ist lediglich eine Ermahnung ohne bezifferte Sanktion.