Quellen-Tabelle

Die Staatsanwaltschaft Verden übergab dem BSI rund 21 Millionen sichergestellte Zugangsdaten, nach Bereinigung verblieben etwa 18 Millionen Datensätze, davon 3 Millionen deutschen Providern zuzuordnen. Die Deutsche Telekom bestätigte offiziell, dass rund 87.000 ihrer T-Online-Kunden betroffen waren und informierte diese per E-Mail über Schutzmaßnahmen. Laut BSI handelte es sich um gestohlene Benutzernamen und Passwörter, die vermutlich durch Schadsoftware auf Nutzergeräten abgegriffen wurden.

Die genaue Herkunft und der ursprüngliche Angriffsweg der gestohlenen Zugangsdaten bleiben laut BSI ungeklärt, ein Diebstahl direkt von Telekom-Servern wird aber ausgeschlossen. Nicht belegt ist, wie viele der informierten Kunden tatsächlich Opfer von Missbrauch wurden.

Bloomberg deckte am 10. April 2019 auf, dass Amazon weltweit tausende Mitarbeiter und Vertragspartner in Standorten wie Boston, Costa Rica, Indien und Rumänien beschäftigte, um Sprachaufnahmen von Echo-Alexa-Geräten manuell abzuhören und zu transkribieren. Die Aufnahmen wurden mit Kontonummer, Vornamen und Geräteseriennummer verknüpft. Reviewer sichteten pro neunstündiger Schicht bis zu 1000 Audioclips und hörten dabei teils sensible Inhalte wie medizinische Gespräche oder häusliche Konflikte.

Offen blieb, wie viele Nutzer insgesamt betroffen waren und in welchem Umfang identifizierende Daten in der Praxis tatsächlich zur Identifikation einzelner Personen genutzt wurden. Nicht abschließend dokumentiert ist zudem, ob und wie stark Amazon die Praxis nach der Veröffentlichung tatsächlich einschränkte.

Ende 2019 verschafften sich Hacker per Credential Stuffing Zugriff auf Ring-Kameras in Kinderzimmern in den USA. Sie sprachen über die eingebaute Lautsprecherfunktion mit Kindern und beschimpften sie, dokumentiert unter anderem in einem Fall in DeSoto County, Mississippi im Dezember 2019 sowie in weiteren Fällen in Florida, Georgia und Tennessee. Ring erklärte, es gebe keine Hinweise auf eine Kompromittierung der eigenen Systeme, und führte die Zugriffe auf wiederverwendete Zugangsdaten der Nutzer zurück.

Offen bleibt, wie viele Ring-Konten insgesamt betroffen waren und ob einzelne Täter identifiziert oder strafrechtlich belangt wurden. Diese Frage wurde erst 2023 in einem Verfahren der US-Handelsaufsicht FTC gegen Amazon Ring rechtlich aufgearbeitet, das mit einer Zahlung von 5,6 Millionen Dollar an betroffene Kunden endete.

Im Januar 2019 erlangte ein unbekannter Angreifer Zugriff auf die Nest-Kamera einer Familie in Orinda, Kalifornien, mithilfe eines Passworts, das zuvor bei einem fremden Datenleck offengelegt und für das Nest-Konto wiederverwendet worden war. Über die Kamera wurde eine falsche Notfallwarnung vor einem nordkoreanischen Raketenangriff auf die USA abgespielt. Google bestätigte öffentlich, dass Nest selbst nicht kompromittiert wurde, sondern wiederverwendete Passwörter die Ursache waren.

Offen bleibt, aus welchem konkreten Datenleck das verwendete Passwort stammte und wer für den Angriff verantwortlich war. Google veröffentlichte zudem keine genaue Gesamtzahl aller im Rahmen dieser Angriffswelle betroffenen Nest-Konten.

Am 12.07.2024 teilte die EU-Kommission X (vormals Twitter) vorläufige Feststellungen mit, wonach das Unternehmen gegen Artikel 25, 39 und 40 Absatz 12 des Digital Services Act verstößt. Beanstandet wurden irreführende Design-Praktiken beim bezahlten Blue Checkmark, mangelnde Transparenz im Werbe-Repository und unzureichender Datenzugang für unabhängige Forscher. Am 05.12.2025 verhängte die Kommission deswegen in ihrer ersten DSA-Bußgeldentscheidung eine Geldstrafe von 120 Millionen Euro gegen X.

Offen bleibt in den amtlichen Mitteilungen, ob und wie X gegen die Entscheidung vorgeht, etwa vor dem Gericht der EU. Die genauen technischen und organisatorischen Nachbesserungen, zu denen X verpflichtet wurde, sind in den Pressemitteilungen nur skizziert, nicht im Detail dokumentiert.

Die US-Bastelmarktkette Michaels bestätigte am 17. April 2014 offiziell, dass Schadsoftware auf den Kassensystemen ihrer Filialen installiert war und dort zwischen dem 8. Mai 2013 und dem 27. Januar 2014 Zahlungskartendaten von rund 2,6 Millionen Karten abgriff. Bei der Tochterkette Aaron Brothers waren zusätzlich zwischen dem 26. Juni 2013 und dem 27. Februar 2014 rund 400.000 Karten betroffen, insgesamt also etwa 3 Millionen Kartendatensätze. Michaels erklärte, es seien nur Kartennummern und Ablaufdaten entwendet worden, nicht jedoch Namen, Adressen oder PINs.

Die genaue Identität der Angreifer und der exakte Infektionsweg der Malware in die Kassensysteme wurden in der Quelle nicht benannt. Offen blieb zudem, ob und in welchem Umfang die gestohlenen Kartendaten tatsächlich für Betrug genutzt wurden, auch wenn Michaels vereinzelte Betrugsmeldungen von Banken erwähnte.

Der Luftfahrt-IT-Dienstleister SITA, dessen Passenger Service System rund 90 Prozent der Fluggesellschaften weltweit nutzen, bestätigte am 24. Februar 2021 einen Cyberangriff auf seine Systeme. Der Einbruch fand laut einem Lufthansa-Sprecher zwischen dem 21. Januar und 11. Februar 2021 statt und betraf unter anderem Malaysia Airlines, Finnair, Singapore Airlines, Cathay Pacific, Air New Zealand, Lufthansa, SAS, American Airlines und United. Kompromittiert wurden vor allem Vielfliegerdaten wie Mitgliedsnummern und Statuslevel.

Eine weltweite Gesamtzahl betroffener Passagiere veröffentlichte SITA nicht, einzelne Airlines nannten nur Teilzahlen wie rund 500.000 bei Singapore Airlines oder etwa 1,35 Millionen Miles-and-More-Teilnehmer bei Lufthansa. Die genaue Angriffsmethode und die Identität der Angreifer wurden von SITA öffentlich nicht bestätigt.

Am 6. Juli 2016 gab das britische Gesundheitsministerium bekannt, dass NHS England das umstrittene Programm care.data einstellt. Care.data sollte ab 2013 Patientendaten aus Hausarztpraxen in England zentral zusammenführen und für Forschung und Planung verfügbar machen, wurde aber wegen unzureichender Aufklärung der Patienten und Datenschutzbedenken nie vollständig umgesetzt. Die Einstellung folgte auf den Caldicott-Bericht der National Data Guardian sowie einen Bericht der Care Quality Commission.

Die offizielle Erklärung nennt keine konkreten Zahlen zu Kosten oder Opt-out-Quoten des Programms. Berichte anderer Medien beziffern die bereits entstandenen Kosten auf rund 8 Millionen Pfund und die Zahl der Opt-outs auf etwa 1,5 Millionen, dies stammt jedoch nicht aus der Primärquelle selbst.

NHS Digital wollte im Rahmen des Programms General Practice Data for Planning and Research (GPDPR) ab dem 1. Juli 2021 identifizierbare Gesundheitsdaten aus allen Hausarztpraxen in England zentral für Planungs- und Forschungszwecke sammeln. Nach Widerstand der Ärzteverbände BMA und Royal College of GPs, einer angekündigten Klage der Organisation Foxglove und politischem Druck der Labour-Partei verschob die britische Regierung den Starttermin am 8. Juni 2021 um zwei Monate auf den 1. September 2021.

Aus dieser Quelle nicht beziffert ist die genaue Zahl der bis zu diesem Zeitpunkt eingegangenen Patienten-Opt-outs. Offen bleibt aus diesem Artikel auch der weitere Verlauf nach der zweimonatigen Verschiebung, da das Programm späteren Berichten zufolge am 19. Juli 2021 auf unbestimmte Zeit zusätzlich pausiert wurde.

Die Schweizer IT-Sicherheitsfirma modzero deckte 2018 gravierende Sicherheitslücken in der von 14 gesetzlichen und 2 privaten Krankenkassen unterstützten Gesundheits-App Vivy auf, die rund 13,5 Millionen Versicherte digital nutzen konnten. Namen, Fotos, E-Mail-Adressen, Geburtsdaten und Versichertennummern sowie Arztdaten waren durch Schwächen bei Verschlüsselung und Schlüsselverwaltung unzureichend geschützt. modzero informierte Vivy am 21.09.2018 und veröffentlichte den Bericht am 30.10.2018 nach Ablauf einer vereinbarten Frist.

Der Bericht dokumentiert nur die technische Machbarkeit der Angriffe, keine belegten Fälle von tatsächlichem Datenmissbrauch oder Datenabfluss an Dritte. Ob die von Vivy zugesicherten Gegenmaßnahmen alle Lücken vollständig schlossen, wurde von modzero nicht unabhängig nachgeprüft.

InterContinental Hotels Group (IHG) bestätigte offiziell, dass Malware an Kassensystemen von mindestens 1175 US-Hotels zwischen dem 29. September und 29. Dezember 2016 Kreditkartendaten von Gästen abgriff. Erfasst wurden Karteninhabername, Kartennummer, Ablaufdatum und Sicherheitscode an Restaurant- und Rezeptionskassen. IHG hatte im Februar 2017 zunächst nur einen Vorfall an rund einem Dutzend Standorten eingeräumt, bevor das tatsächliche Ausmaß im April 2017 bekannt wurde.

Offen bleibt, wie die Angreifer initial in die Kassensysteme eindrangen und wer hinter dem Angriff steckt. Die genaue Zahl der betroffenen Kreditkarten bzw. Gäste wurde von IHG nicht beziffert.

LinkedIn bestätigte am 6. Juni 2012 offiziell, dass ein Teil der zuvor auf einem russischen Hackerforum veröffentlichten Passwort-Hashes zu LinkedIn-Konten gehörte. Die rund 6,5 Millionen unsalted SHA-1-Hashes stammten aus einer Datenbank, betroffene Nutzer wurden zum Passwort-Reset aufgefordert und das Unternehmen führte danach Salting für die Passwortspeicherung ein.

Wie die Angreifer Zugriff auf die Datenbank erlangten, blieb in der offiziellen Mitteilung unbeschrieben. Die tatsächliche Gesamtzahl betroffener Konten war 2012 unklar und wurde erst 2016 auf rund 117 Millionen E-Mail-Passwort-Kombinationen nach oben korrigiert.

Under Armour bestätigte am 29. März 2018 offiziell ein Datenleck bei seiner Fitness-App MyFitnessPal, von dem rund 150 Millionen Nutzerkonten betroffen waren. Kompromittiert wurden Nutzernamen, E-Mail-Adressen und größtenteils mit bcrypt gehashte Passwörter. Der unbefugte Zugriff erfolgte laut Unternehmen Ende Februar 2018 und wurde am 25. März 2018 entdeckt, Zahlungsdaten und Sozialversicherungsnummern waren nach Unternehmensangaben nicht betroffen.

Nicht öffentlich dokumentiert sind die Identität der Angreifer und der genaue technische Einbruchsweg in die Systeme. Offen bleibt zudem, in welchem Umfang die gestohlenen Zugangsdaten später tatsächlich für Kontoübernahmen bei anderen Diensten missbraucht wurden.

Unbekannte Angreifer nutzten gestohlene Zugangs-Tokens von Slack-Mitarbeitern, um am 27. Dezember 2022 auf extern gehostete private GitHub-Repositories von Slack zuzugreifen und Code herunterzuladen. Slack bestätigte offiziell, dass die Tokens durch die Kompromittierung eines Drittanbieters entwendet wurden, und rotierte anschließend alle betroffenen Zugangsdaten.

Slack erklärte, dass keine Kundendaten, keine Zugangsmittel zu Kundendaten und nicht der primäre Produktionscode betroffen waren. Welcher Drittanbieter genau kompromittiert wurde und wie die Angreifer dort eindrangen, wurde von Slack nicht öffentlich benannt.

Anfang Oktober 2022 versendeten Angreifer Phishing-E-Mails an Dropbox-Mitarbeiter, die vorgaben, von der CI/CD-Plattform CircleCI zu stammen, und auf eine gefälschte CircleCI-Login-Seite verwiesen. Mitarbeiter gaben dort ihre Zugangsdaten ein, wodurch die Angreifer Zugriff auf ein GitHub-Konto eines Dropbox-Entwicklers erlangten. Über dieses Konto kopierten die Angreifer rund 130 interne Code-Repositories, Entwickler-API-Schlüssel sowie einige tausend Namen und E-Mail-Adressen von Mitarbeitern und Kunden. GitHub informierte Dropbox am 14.10.2022, woraufhin Dropbox den Zugriff sperrte.

Dropbox erklärte, dass Kerninhalte, Passwörter und Zahlungsinformationen von Nutzern nicht betroffen waren, ohne diese Aussage durch eine unabhängige Prüfung zu belegen. Die genaue Identität der Angreifer, die Gesamtzahl der betroffenen Personen sowie ein möglicher weiterer Missbrauch der gestohlenen API-Schlüssel gehen aus der Quelle nicht hervor.

Reddit bestätigte, dass Angreifer am 5. Februar 2023 mittels einer gezielten Phishing-Kampagne die Zugangsdaten eines Mitarbeiters erbeuteten, indem sie eine gefälschte Version des internen Reddit-Intranetportals nutzten. Dadurch erhielten die Angreifer Zugriff auf interne Dokumente, Quellcode sowie einige interne Dashboards und Geschäftssysteme. Der betroffene Mitarbeiter meldete den Vorfall selbst, woraufhin Reddit ihn öffentlich machte.

Nicht öffentlich dokumentiert ist, welche konkreten Quellcode-Bestandteile oder internen Dokumente im Detail abgeflossen sind. Die Identität und Zuordnung der Angreifer zu einer bekannten Gruppe wurde von Reddit nicht bestätigt.

Discord informierte im Mai 2023 Nutzer per E-Mail über ein Datenleck, nachdem Unbefugte das Konto eines externen Kundendienst-Mitarbeiters kompromittiert hatten. Betroffen waren E-Mail-Adressen, Inhalte von Support-Nachrichten und angehängte Dateien aus der Ticket-Warteschlange des Dienstleisters. Discord deaktivierte das betroffene Konto, beauftragte eine Forensik-Firma und informierte Strafverfolgungsbehörden.

Der Name des kompromittierten Support-Dienstleisters wurde von Discord nie offiziell bestätigt. Mehrere Medien vermuteten damals Zendesk als betroffenen Anbieter, dies blieb jedoch unbestätigt und ist von einem späteren, offiziell bestätigten Zendesk-Vorfall bei Discord im Jahr 2025 zu unterscheiden.

Okta bestätigte offiziell, dass Angreifer zwischen Ende September und Anfang Oktober 2023 mit einem gestohlenen Zugangsdatensatz auf das Kundensupport-System zugriffen, getrennt von der produktiven Okta-Plattform. Die Täter konnten von Kunden hochgeladene Dateien einsehen, darunter HAR-Dateien mit Cookies und Session-Tokens, die zur Identitätsübernahme missbraucht werden können. BeyondTrust entdeckte den Angriff am 2. Oktober 2023 und meldete ihn an Okta.

Wie das ursprüngliche Zugangsdatum genau gestohlen wurde, bleibt laut Okta offen. Unklar sind zudem die genaue Gesamtzahl betroffener Kunden, die volle Dauer des unautorisierten Zugriffs und ob über HAR-Dateien hinaus weitere Kundendaten eingesehen wurden.

Der EuGH entschied im Fall Google LLC gegen die französische Datenschutzbehörde CNIL, dass ein Suchmaschinenbetreiber eine Auslistung nach dem Recht auf Vergessenwerden nicht weltweit auf allen Domain-Versionen durchführen muss, sondern nur auf den Versionen, die den EU-Mitgliedstaaten entsprechen. Vorausgegangen war ein Bußgeld von 100.000 Euro, das die CNIL 2016 gegen Google verhängt hatte. Der Suchmaschinenbetreiber muss aber wirksame Maßnahmen wie Geoblocking einsetzen, damit Nutzer in der EU die gelöschten Links nicht über Nicht-EU-Versionen der Suchmaschine umgehen können.

Aus der Pressemitteilung und dem Urteil selbst geht nicht hervor, wie wirksam die von Google eingesetzten Geoblocking-Maßnahmen in der Praxis tatsächlich sind. Offen bleibt zudem, ob und wie einzelne Mitgliedstaaten seither per nationalem Recht doch eine weltweite Auslistung angeordnet haben, da der EuGH dies ausdrücklich nicht ausschließt.

Der EuGH entschied am 2. März 2021 im Fall H.K. gegen Prokuratuur (C-746/18), dass Zugriff auf gespeicherte Verkehrs- und Standortdaten nur zur Bekämpfung schwerer Kriminalität oder zur Abwehr ernster Bedrohungen der öffentlichen Sicherheit erlaubt ist. Das Unionsrecht steht einer nationalen Regelung entgegen, nach der die Staatsanwaltschaft selbst und ohne vorherige Kontrolle durch ein Gericht oder eine unabhängige Stelle über den Datenzugriff für Ermittlungsbehörden entscheiden darf. Das Urteil baut auf der Tele2/Watson-Linie des EuGH auf.

Nicht belegt ist, wie die estnische Staatsanwaltschaft und Gerichte den konkreten Ausgangsfall nach der Zurückverweisung entschieden haben. Ebenfalls offen bleibt die vollständige Umsetzungspraxis in allen EU-Mitgliedstaaten, insbesondere ob einzelne Länder ihre Zugriffsverfahren seither tatsächlich an eine unabhängige Vorabkontrolle angepasst haben.

Der EuGH entschied im Verfahren C-210/16, dass Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung der Besucherdaten verantwortlich sind, auch wenn sie selbst keinen Zugriff auf personenbezogene Rohdaten haben. Die Wirtschaftsakademie Schleswig-Holstein nutzte für ihre Fanpage die Facebook-Funktion Insights, die auf Cookies mit bis zu zwei Jahre gültigen Nutzercodes basiert. Die Datenschutzaufsichtsbehörde des Sitzlandes des Fanpage-Betreibers darf daher sowohl gegen den Betreiber als auch gegen die dortige Facebook-Niederlassung vorgehen.

Offen blieb im Urteil, wie die konkrete Verteilung der Verantwortlichkeiten und Pflichten zwischen Facebook und den einzelnen Fanpage-Betreibern im Detail auszugestalten ist. Nicht Gegenstand der Entscheidung war zudem, in welchem Umfang einzelne Fanpage-Betreiber tatsächlich Einfluss auf die konkreten Verarbeitungszwecke und -mittel bei Facebook nehmen konnten.

Der EuGH entschied am 1. Oktober 2019 in der Rechtssache C-673/17 (Bundesverband der Verbraucherzentralen gegen Planet49 GmbH), dass eine wirksame Einwilligung zur Speicherung von Cookies eine aktive Handlung des Nutzers erfordert. Ein bereits angekreuztes Kästchen, das der Nutzer aktiv abwählen müsste, genügt dafür nicht. Anlass war ein Online-Gewinnspiel von Planet49, bei dem Teilnehmer per vorangekreuztem Kästchen der Setzung von Werbe-Cookies zustimmen sollten.

Offen blieb im Urteil selbst die konkrete technische Umsetzung von Cookie-Bannern in der Praxis, die erst durch nationale Gerichte und Aufsichtsbehörden nachfolgend konkretisiert wurde. Nicht Gegenstand des EuGH-Verfahrens waren mögliche Bußgelder gegen Planet49, da es sich um ein Vorabentscheidungsverfahren auf Vorlage des BGH handelte.

Der EuGH entschied in der Rechtssache C-40/17, dass der Betreiber einer Webseite, der einen Facebook-Like-Button einbindet, gemeinsam mit Facebook Ireland für die Erhebung und Übermittlung der personenbezogenen Daten der Webseitenbesucher verantwortlich ist. Konkret hatte der Modehändler Fashion ID den Like-Button eingebunden, wodurch IP-Adresse und Browserdaten der Besucher automatisch an Facebook übertragen wurden, auch ohne Klick auf den Button.

Der EuGH stellte klar, dass sich die Mitverantwortung von Fashion ID nur auf die Phase der Erhebung und Übermittlung der Daten bezieht, nicht auf die nachfolgende alleinige Verarbeitung durch Facebook. Offen blieb im Urteil die konkrete Ausgestaltung, wie Einwilligung und Informationspflichten in der Praxis technisch umzusetzen sind.

Das Bundesverfassungsgericht entschied mit Beschluss vom 4. April 2006 (1 BvR 518/02), dass die nach dem 11. September 2001 bundesweit angeordnete präventive Rasterfahndung gegen mutmaßliche Schläfer teilweise verfassungswidrig war. Eine solche Rasterfahndung greift in das Recht auf informationelle Selbstbestimmung ein und ist nur zulässig, wenn eine konkrete Gefahr für hochrangige Rechtsgüter vorliegt. Eine bloß allgemeine, durch die Anschläge vom 11. September ausgelöste Bedrohungslage genügt dafür nicht.

Offen bleibt in der Entscheidung, ob und wie konkret eine Gefahr im Einzelfall künftig belegt werden muss, damit eine Rasterfahndung rechtmäßig angeordnet werden kann. Nicht dokumentiert ist, wie viele der zuvor bundesweit erfassten rund 32.000 bis 40.000 Personendatensätze aus der Rasterfahndung 2001/2002 nach dem Urteil tatsächlich gelöscht wurden.

Der Bundesgerichtshof entschied am 27.07.2020 im Verfahren VI ZR 405/18, dass ein ehemaliger Geschäftsführer eines Wohlfahrtsverbandes keinen Anspruch auf Auslistung kritischer Presseartikel aus der Google-Suche hat. Die Artikel von 2011 hatten über ein Millionendefizit seiner Regionalgeschäftsstelle und seine Krankmeldung berichtet. Der Senat verlangte eine umfassende Abwägung zwischen dem Persönlichkeitsrecht des Betroffenen und der Meinungs- sowie Informationsfreiheit nach der EU-Grundrechtecharta, ohne pauschale Vermutung zugunsten der Löschung.

Aus der Pressemitteilung geht nicht hervor, wie der Senat die einzelnen Abwägungskriterien im Detail gewichtete und welche konkrete Rolle der seit 2011 verstrichene Zeitraum spielte. Im am selben Tag verhandelten Parallelverfahren VI ZR 476/18 legte der BGH dem EuGH Fragen zur Vorabentscheidung vor, dessen Ausgang aus dieser Quelle nicht ersichtlich ist.