Quellen-Tabelle

Fünf von der Gesellschaft für Freiheitsrechte unterstützte Beschwerdeführer griffen Paragraf 9a des Zensusvorbereitungsgesetzes 2021 an, der die zentrale Zusammenführung nicht anonymisierter Meldedaten von bis zu 82 Millionen Einwohnern zum Stichtag 13. Januar 2019 für einen Software-Testlauf erlaubte. Das Bundesverfassungsgericht lehnte die Verfassungsbeschwerde am 20. Januar 2022 als unzulässig ab, da der fachgerichtliche Rechtsweg vor den Verwaltungsgerichten nicht ausgeschöpft worden war.

Eine inhaltliche verfassungsrechtliche Prüfung der Datenschutzfragen fand nicht statt, da das Gericht die Beschwerde allein aus formalen Gründen der Subsidiarität verwarf. Ob die zentrale, nicht anonymisierte Zusammenführung der Meldedaten mit dem Recht auf informationelle Selbstbestimmung vereinbar gewesen wäre, blieb damit gerichtlich ungeklärt.

Der US-Krankenhauskonzern Ascension mit 140 Kliniken in 19 Bundesstaaten meldete am 8. Mai 2024 einen Ransomware-Angriff, der elektronische Patientenakten, Portale und Teile der klinischen IT lahmlegte und wochenlange Ausweichbetriebe erzwang. Laut Meldung an das HHS Office for Civil Rights vom Dezember 2024 waren die Daten von 5.599.699 Personen betroffen, darunter Namen, Sozialversicherungsnummern und Versicherungsdaten. Ascension gab an, dass nur 7 von 25.000 Servern kompromittiert wurden.

Die Zuordnung zur Gruppe Black Basta stützt sich laut Berichten von CNN auf vier anonyme Quellen und wurde von Ascension nie offiziell bestätigt. Ob ein Lösegeld gezahlt wurde, ist nicht öffentlich bekannt. Ascension erklärte zudem, es gebe keine Hinweise auf einen Zugriff auf klinische EHR-Systeme selbst, was im Widerspruch zu den berichteten wochenlangen EHR-Ausfällen diskutiert wurde.

loanDepot meldete der US-Börsenaufsicht SEC im Januar 2024 einen Ransomware-Angriff der Gruppe ALPHV/BlackCat, bei dem Systeme des Hypothekenanbieters verschlüsselt und Daten entwendet wurden. Betroffen waren rund 16,9 Millionen Kunden, deren Namen, Sozialversicherungsnummern, Geburtsdaten und Finanzkontonummern offengelegt wurden. Das Unternehmen bezifferte allein für das erste Quartal 2024 Kosten von 12 bis 17 Millionen Dollar und bildete später eine Rückstellung von 25 Millionen Dollar für Sammelklagen.

Offen bleibt, wie die Angreifer ursprünglich in die Systeme eindrangen und ob loanDepot ein Lösegeld zahlte. Auch die Ermittlungen mehrerer US-Bundesstaaten sowie die Sammelklagen der betroffenen Kunden waren zum Zeitpunkt der Meldung noch nicht abgeschlossen.

Der US-Versicherungskonzern Prudential Financial meldete einen unautorisierten Zugriff auf seine Systeme am 4. Februar 2024. Die Ransomware-Gruppe Alphv/BlackCat reklamierte den Angriff für sich. In einer im Juni 2024 aktualisierten Meldung bezifferte Prudential die Zahl betroffener Personen auf 2.556.210, deutlich mehr als die zunächst im März genannten rund 36.000. Betroffen waren Namen, Adressen sowie Führerschein- und Ausweisnummern. Prudential bot den Betroffenen zwei Jahre kostenlose Kreditüberwachung an.

Wie die Angreifer ursprünglich ins Netzwerk gelangten, ist öffentlich nicht dokumentiert. Prudential selbst hat sich nie offiziell zur Urheberschaft von Alphv/BlackCat geäußert. Unklar bleibt zudem, ob und in welchem Umfang gestohlene Daten seither missbraucht wurden.

Am 14. April 2024 entdeckte der US-Telekomanbieter Frontier Communications einen unbefugten Zugriff auf Teile seiner IT-Systeme, den es in einer Pflichtmitteilung an die SEC offenlegte. Laut einer Meldung an die Generalstaatsanwaltschaft von Maine waren 751.895 Personen betroffen, deren Namen und Sozialversicherungsnummern kompromittiert wurden. Die Ransomware-Gruppe RansomHub bekannte sich zu dem Angriff und Frontier bot Betroffenen ein Jahr kostenlose Kreditüberwachung an.

Offen bleibt, wie viele Datensätze tatsächlich abgeflossen sind, denn RansomHub behauptete den Diebstahl von über 2 Millionen Kundendatensätzen, deutlich mehr als die von Frontier bestätigten rund 752.000 Betroffenen. Der genaue technische Einstiegspunkt des Angriffs und ob ein Lösegeld gezahlt wurde, sind nicht öffentlich dokumentiert.

Am 19. Juni 2024 legte die Ransomware-Gruppe BlackSuit die Systeme des Autohändler-Softwareanbieters CDK Global lahm und legte damit rund 15.000 Autohändler in den USA und Kanada wochenlang faktisch still. Die Blockchain-Analysefirma TRM Labs identifizierte eine Kryptowährungs-Wallet, die vermutlich BlackSuit zuzuordnen ist und am 21. Juni 2024 eine Zahlung von rund 387 Bitcoin im Wert von etwa 25 Millionen Dollar erhielt.

CDK Global und die Muttergesellschaft Brookfield Business Partners haben nie offiziell bestätigt, ob und von wem ein Lösegeld gezahlt wurde. Die Blockchain-Analyse liefert laut CyberScoop nur den bislang stärksten Hinweis, aber keinen zweifelsfreien Beweis dafür, dass die Zahlung tatsächlich von CDK stammt.

Der EuGH entschied am 08.12.2022 im Verfahren C-460/20 (TU und RE gegen Google), dass ein Suchmaschinenbetreiber Ergebnisse auslisten muss, wenn die betroffene Person nachweist, dass die verlinkten Inhalte offensichtlich unrichtig sind. Ein vorheriges Gerichtsurteil gegen den Webseitenbetreiber ist dafür nicht zwingend erforderlich, es reichen zumutbare Beweismittel der antragstellenden Person. Zusätzlich stellte der Gerichtshof klar, dass als Vorschaubilder angezeigte Fotos gesondert nach ihrem Informationswert abzuwägen sind.

Der Bundesgerichtshof, der die Vorlagefrage gestellt hatte, musste den konkreten Ausgangsfall der beiden Investmentmanager anhand dieser Vorgaben erst noch abschließend entscheiden, das Ergebnis ist der Pressemitteilung nicht zu entnehmen. Wie Google die Kriterien zur offensichtlichen Unrichtigkeit in der Praxis bei Millionen jährlicher Löschanträge anwendet, bleibt aus dieser Quelle offen.

Der EuGH entschied am 02.10.2018 in der Rechtssache C-207/16 (Ministerio Fiscal), dass der Zugriff auf reine Identifikationsdaten von SIM-Karten-Inhabern wie Namen und Adressen auch zur Verfolgung nicht besonders schwerer Straftaten zulässig sein kann. Anlass war ein Diebstahl einer Geldbörse und eines Mobiltelefons in Spanien. Der EuGH stellte klar, dass dieser Zugriff zwar in die Grundrechte auf Achtung des Privatlebens und Datenschutz eingreift, mangels präziser Rückschlüsse auf das Privatleben aber keinen schwerwiegenden Eingriff darstellt.

Aus der Pressemitteilung geht nicht hervor, wie der spanische Ausgangsfall zum Diebstahl der Geldbörse letztlich entschieden wurde. Offen bleibt zudem, welche konkrete Straftaten-Schwelle die Mitgliedstaaten seither für den Zugriff auf reine Bestandsdaten in ihren nationalen Gesetzen festgelegt haben.

Der EuGH entschied am 21.12.2016 in den verbundenen Rechtssachen C-203/15 (Tele2 Sverige) und C-698/15 (gegen Tom Watson u.a.), dass eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten aller Nutzer elektronischer Kommunikationsdienste gegen EU-Recht verstößt. Zulässig bleibt nur eine gezielte, auf das absolut Notwendige begrenzte Speicherung zur Bekämpfung schwerer Kriminalität, wobei der Datenzugriff einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Stelle unterliegen muss.

Offen blieb im Urteil selbst, wie die Grenze zwischen unzulässiger generischer und erlaubter gezielter Speicherung in der Praxis exakt zu ziehen ist. Diese Konkretisierung erfolgte erst in späteren Verfahren vor nationalen Gerichten und weiteren EuGH-Entscheidungen.

Im April 2025 griff die Gruppe Scattered Spider den britischen Einzelhändler Marks and Spencer per Social Engineering an, verschaffte sich Zugang zu einem Drittanbieter-Servicedesk und setzte die DragonForce-Ransomware ein, was wochenlange Ausfälle bei Online-Bestellungen und Warenregalen verursachte. M&S-Chairman Archie Norman bestätigte den Vorfall als Ransomware-Angriff vor einem Unterausschuss des britischen Parlaments am 08.07.2025 und bezifferte den Gewinneinbruch auf rund 300 Millionen Pfund. Die National Crime Agency nahm am 10.07.2025 vier Verdächtige im Zusammenhang mit den Angriffen auf M&S, Co-op und Harrods fest.

Offen bleibt, ob M&S ein Lösegeld gezahlt hat; Norman wollte sich dazu nicht äußern. Die genaue Rolle und Identität der vier festgenommenen Personen im Verhältnis zur Scattered-Spider-Gruppe war zum Zeitpunkt der Festnahme noch nicht gerichtlich geklärt.

Der britische Genossenschaftskonzern Co-op bestätigte im Juli 2025, dass bei einem Cyberangriff im April 2025 personenbezogene Daten aller 6,5 Millionen Mitglieder kopiert wurden, darunter Namen, Adressen, Kontaktdaten und Geburtsdaten. Die Angreifer verschafften sich per Social Engineering gegenüber dem IT-Helpdesk Zugang zu einem Mitarbeiterkonto und drangen darüber in die zentralen Systeme ein, Finanz- oder Zahlungsdaten waren nicht betroffen. Die britische National Crime Agency nahm im Juli 2025 vier mutmaßliche Tatverdächtige im Alter von 17 bis 20 Jahren fest.

Offen bleibt, ob die kopierten Daten seither im Darknet veröffentlicht oder weiterverkauft wurden. Die vier festgenommenen Verdächtigen wurden gegen Kaution freigelassen, eine gerichtliche Anklage oder Verurteilung steht bislang aus. Eine offizielle behördliche Zuordnung des Angriffs zur Gruppe Scattered Spider fehlt bisher.

Am 31. August 2025 wurde der britische Automobilhersteller Jaguar Land Rover Opfer eines Cyberangriffs, der ab 1. September zur Einstellung der Produktion in den Hauptwerken führte. Die Produktion stand rund fünf Wochen still, das unabhängige britische Cyber Monitoring Centre stufte den Vorfall als systemisches Ereignis mit einem geschätzten volkswirtschaftlichen Schaden von 1,9 Milliarden Pfund ein. Eine Gruppe namens Scattered Lapsus Hunters bekannte sich zu dem Angriff, die britische Regierung sicherte JLR eine Kreditgarantie zu.

Offen bleibt, ob die operative Technik (OT) der Fabriken kompromittiert wurde und ob ein Lösegeld gefordert oder gezahlt wurde. Die genaue technische Angriffsmethode und die endgültige Wiederherstellungsdauer waren zum Zeitpunkt der Einschätzung noch nicht abschließend geklärt.

Die australische Fluggesellschaft Qantas meldete am 30. Juni 2025 einen Cyberangriff auf eine Drittanbieter-Plattform ihres Callcenters. Per Social Engineering gab sich ein Angreifer als Qantas-IT-Support aus und brachte einen Mitarbeiter dazu, ein CRM-System mit einem Datenextraktionswerkzeug zu verbinden. Betroffen waren Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Vielfliegernummern von rund 5,7 Millionen Kunden; Kreditkarten-, Passdaten und Passwörter waren nicht betroffen.

Die genaue Identität und Zugehörigkeit der Angreifer sowie ob eine Lösegeldzahlung erfolgte, sind nicht abschließend öffentlich belegt. Die australische Datenschutzbehörde OAIC stellte nach vorläufigen Ermittlungen fest, dass Qantas keine Verletzung der Datenschutzpflichten vorzuwerfen sei, eine vertiefte förmliche Untersuchung blieb aus.

Zwischen 8. und 18. August 2025 nutzte die als UNC6395 verfolgte Angreifergruppe gestohlene OAuth-Zugriffstoken der Chatbot-Integration Salesloft Drift, um systematisch Daten aus Salesforce-Instanzen von mehr als 700 Organisationen abzugreifen, darunter Cloudflare, Google, Palo Alto Networks und Zscaler. Die Angreifer suchten gezielt nach weiterverwertbaren Zugangsdaten wie AWS-Schlüsseln, Snowflake-Token und Passwörtern. Am 20. August 2025 widerriefen Salesloft und Salesforce alle Drift-OAuth-Token und entfernten die Anwendung aus dem Salesforce AppExchange.

Wie die OAuth-Token bei Salesloft ursprünglich entwendet wurden, ist öffentlich nicht im Detail dokumentiert. Eine vollständige Liste aller betroffenen Kunden sowie das genaue Ausmaß der bei einzelnen Organisationen abgeflossenen Daten wurden nicht vollständig veröffentlicht. Eine Zuordnung von UNC6395 zu einem bekannten Staat oder einer bereits bekannten Gruppierung liegt bislang nicht vor.

Der Luxuskonzern Kering (Gucci, Balenciaga, Alexander McQueen, Yves Saint Laurent) bestätigte im September 2025 einen Cyberangriff der Gruppe ShinyHunters. Erbeutet wurden Namen, E-Mail-Adressen, Telefonnummern, Wohnadressen und Angaben zu Kaufsummen von Kundinnen und Kunden, Kreditkartendaten waren laut Kering nicht betroffen. ShinyHunters gab an, Daten von mindestens 7 Millionen Personen erbeutet zu haben, Kering informierte betroffene Kunden, nannte aber keine offizielle Gesamtzahl.

Ungeklärt ist das genaue Datum des ursprünglichen Angriffs sowie ob und in welcher Höhe Lösegeldverhandlungen stattfanden. Andere Quellen berichten von einem Zugriff über kompromittierte Zugangsdaten für Salesforce-SSO-Portale bereits ab April 2025 sowie von Lösegeldforderungen um 750.000 US-Dollar, was Kering öffentlich bestreitet.

Am 16.07.2025 verschaffte sich ein Angreifer per Social Engineering Zugriff auf ein cloudbasiertes CRM-System eines Drittanbieters (Salesforce), das von Allianz Life Insurance Company of North America genutzt wurde. Betroffen waren personenbezogene Daten von rund 1,4 Millionen Kunden, Finanzberatern und Mitarbeitern, darunter Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern. Allianz Life entdeckte den Vorfall am 17.07.2025, informierte das FBI und meldete den Vorfall offiziell beim Attorney General des US-Bundesstaats Maine.

Nicht offiziell von Allianz bestätigt ist die von mehreren Sicherheitsmedien vorgenommene Zuordnung des Angriffs zur Gruppe Scattered Spider beziehungsweise ShinyHunters. Offen bleibt zudem, wie viele der 1,4 Millionen Datensätze konkret exfiltriert wurden.

Am 11. August 2023 verschaffte sich ein Angreifer durch mehrere Anrufe beim IT-Helpdesk des Dienstleisters Cognizant Zugang zu Clorox-Systemen, weil Mitarbeiter Passwörter und MFA ohne Identitätsprüfung zurücksetzten. Der Angriff wird Sicherheitsforschern zufolge der Gruppe Scattered Spider zugeschrieben und legte Produktion und Auslieferung von Clorox-Produkten monatelang lahm. Am 23. Juli 2025 verklagte Clorox Cognizant auf 380 Millionen US-Dollar Schadensersatz.

Nicht gerichtlich geklärt ist bislang, ob Cognizant tatsächlich haftbar gemacht wird. Cognizant bestreitet die Vorwürfe und macht stattdessen unzureichende interne Sicherheitsvorkehrungen bei Clorox selbst verantwortlich. Der Ausgang des Zivilverfahrens war zum Zeitpunkt der Berichterstattung noch offen.

Am Wochenende des 23. September 2023 legte die Gruppe Dark Angels mit Ransomware Teile der IT-Infrastruktur des Gebäudetechnik-Konzerns Johnson Controls lahm und verschlüsselte unter anderem VMware-ESXi-Server. Die Gruppe forderte 51 Millionen Dollar Lösegeld und behauptete, über 27 Terabyte an Daten entwendet zu haben. Johnson Controls bestätigte den Vorfall in einer SEC-8-K-Meldung und bezifferte die finanziellen Folgen für das erste Quartal des Geschäftsjahres 2024 auf rund 27 Millionen Dollar.

Nicht offiziell bestätigt ist, ob und in welcher Höhe ein Lösegeld tatsächlich gezahlt wurde. Unklar bleibt auch der genaue Umfang und Inhalt der gestohlenen Daten. Berichte über eine mögliche Betroffenheit sensibler Daten des US-Heimatschutzministeriums stützen sich auf Spekulationen und wurden nicht amtlich bestätigt.

Caesars Entertainment bestätigte in einer SEC-Pflichtmitteilung, dass ein unbefugter Akteur durch Social Engineering gegen einen externen IT-Dienstleister Zugriff auf die Datenbank des Treueprogramms erlangte. Dabei wurden Führerscheinnummern und/oder Sozialversicherungsnummern einer erheblichen Zahl von Mitgliedern gestohlen. Laut Presseberichten zahlte Caesars rund 15 Millionen US-Dollar Lösegeld, die Angriffsgruppe wird der als Scattered Spider bekannten Gruppe zugeschrieben.

Die genaue Höhe der Lösegeldzahlung und die vollständige Identität der Angreifer sind nicht Teil der offiziellen SEC-Mitteilung, sondern stammen aus Presseberichten unter Berufung auf anonyme Quellen. Ob die gestohlenen Daten nach Zahlung tatsächlich gelöscht wurden, konnte das Unternehmen selbst laut eigener Aussage nicht garantieren.

Ab dem 1. September 2023 war die öffentliche Webseite der deutschen Finanzaufsicht BaFin durch einen DDoS-Angriff nur eingeschränkt erreichbar. BaFin bestätigte den Angriff offiziell und erklärte, sofort Sicherheits- und Abwehrmaßnahmen eingeleitet zu haben, während alle anderen internen Systeme uneingeschränkt funktionierten. Der Vorfall reiht sich in eine Welle von DDoS-Angriffen pro-russischer Hacktivisten auf europäische Banken und Finanzaufsichtsbehörden im Jahr 2023 ein.

Wer genau hinter dem Angriff steckt, blieb ungeklärt. Laut Recorded Future News reklamierte keine der bekannten pro-russischen Gruppen wie NoName057(16), die zu dieser Zeit Banken in Polen, Tschechien und Litauen angriffen, die Tat für sich. Ein Datenabfluss oder Einbruch in interne BaFin-Systeme wurde nicht festgestellt.

Zwei Tage nach dem Börsengang von Didi Global an der NYSE am 30.06.2021 eröffnete die chinesische Cyberspace Administration of China (CAC) am 02.07.2021 eine Cybersicherheitsprüfung gegen das Unternehmen und ließ die Didi-App aus allen chinesischen App-Stores entfernen. Nach einjähriger Untersuchung verhängte die CAC am 21.07.2022 eine Rekordstrafe von 8,026 Milliarden Yuan (rund 1,2 Milliarden US-Dollar) sowie persönliche Bußgelder gegen CEO Cheng Wei und Präsidentin Liu Qing. Die Behörde dokumentierte 16 Rechtsverstöße, darunter die widerrechtliche Erhebung von Gesichtserkennungsdaten, Standortdaten und Ausweisnummern über sieben Jahre seit 2015.

Nicht öffentlich dokumentiert ist der vollständige interne Entscheidungsprozess der chinesischen Führung, ob die Untersuchung primär der Datensicherheit oder der politischen Sanktionierung des eigenmächtigen New-Yorker Börsengangs diente. Offen bleibt zudem, in welchem Umfang die gesammelten Daten tatsächlich missbräuchlich verwendet wurden.

Ein US-Bundesgericht in Nordkalifornien stellte im Januar 2025 per Summary Judgment fest, dass NSO Group 2019 eine Schwachstelle in WhatsApp ausnutzte, um Pegasus-Spyware auf rund 1.400 Geräten von Journalisten, Menschenrechtlern, Diplomaten und Dissidenten zu installieren. Damit verstieß NSO gegen US-Hacking-Gesetze und WhatsApps Nutzungsbedingungen. Am 6. Mai 2025 sprach eine Jury WhatsApp/Meta rund 444.000 US-Dollar Schadenersatz und zunächst 167 Millionen US-Dollar Strafschadenersatz zu.

Die Richterin reduzierte den Strafschadenersatz später auf rund 4 Millionen US-Dollar und verhängte stattdessen eine dauerhafte Unterlassungsverfügung gegen NSO. Ob NSO die Beträge tatsächlich zahlt oder erfolgreich Rechtsmittel einlegt, war zum Zeitpunkt dieser Quelle offen.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Spyware-Hersteller NSO Group und Candiru sowie zwei weitere Firmen auf die Entity List. Begründet wurde dies damit, dass NSO Group und Candiru Spionagesoftware an ausländische Regierungen lieferten, mit der gezielt Regierungsbeamte, Journalisten, Aktivisten und Botschaftsmitarbeiter überwacht wurden. Die Listung verpflichtet US-Firmen, für Exporte oder Technologietransfers an diese Unternehmen eine Lizenz zu beantragen.

Nicht Teil dieser Maßnahme war ein strafrechtliches Verbot des Geschäftsbetriebs von NSO Group und Candiru selbst, da die Entity List nur den Export von US-Technologie einschränkt. Aus der Quelle nicht ersichtlich sind die konkreten wirtschaftlichen Folgen der Listung für NSO Group.

Der Oberste Gerichtshof Indiens setzte am 27. Oktober 2021 im Verfahren Manohar Lal Sharma gegen Union of India ein unabhängiges technisches Komitee ein, das den Einsatz der Pegasus-Spyware gegen Journalisten, Oppositionspolitiker, Aktivisten und Richter untersuchen sollte. Das Komitee prüfte 29 vorgelegte Mobiltelefone und legte Ende Juli 2022 seinen Bericht vor. Auf fünf Geräten wurde Malware gefunden, ein eindeutiger Nachweis von Pegasus gelang jedoch nicht.

Offen blieb, ob und von wem Pegasus tatsächlich gegen die betroffenen Personen eingesetzt wurde, da die Zentralregierung die Kooperation verweigerte. Der vollständige Abschlussbericht wurde nie öffentlich gemacht. Der Oberste Gerichtshof bestätigte 2025 erneut, dass Teile mit Bezug zur nationalen Sicherheit nicht offengelegt würden.

Das US-Justizministerium klagte am 11. Dezember 2024 vierzehn nordkoreanische Staatsangehörige an, die über Tarnfirmen mit gefälschten und gestohlenen US-Identitäten als Remote-IT-Mitarbeiter bei amerikanischen Firmen angeheuert wurden. Über sechs Jahre erbeuteten mindestens 130 eingesetzte IT-Arbeiter so rund 88 Millionen US-Dollar, die an das nordkoreanische Regime flossen. In mehreren Fällen drohten die Täter zusätzlich mit der Veröffentlichung gestohlenen Quellcodes.

Alle 14 Angeklagten befinden sich weiterhin auf freiem Fuß, es liegen keine bestätigten Festnahmen vor. Wie viele der über 100 betroffenen US-Unternehmen die Infiltration bereits vorher bemerkten, bleibt in der Anklage offen.