Quellen-Tabelle

Der kalifornische Generalstaatsanwalt einigte sich im August 2022 mit dem Kosmetikhändler Sephora auf eine Zahlung von 1,2 Millionen US-Dollar. Grund war der erste große CCPA-Durchsetzungsfall: Sephora ließ Drittanbieter per Tracking-Pixel und Cookies Nutzerdaten sammeln, ohne dies als Datenverkauf offenzulegen, und ignorierte Opt-out-Signale über Global Privacy Control. Sephora musste seine Datenschutzerklärung anpassen und Opt-out-Mechanismen einführen.

Sephora räumte im Vergleich keine Rechtsverletzung ein, da es sich um einen Consent Decree ohne Schuldeingeständnis handelt. Offen bleibt, wie viele Nutzer konkret betroffen waren und welche der beteiligten Drittanbieter die Daten wofür genau weiterverwendeten.

Die britische Regulierungsbehörde Ofcom hat die Plattform 4chan am 19. März 2026 unter dem UK Online Safety Act mit insgesamt 520.000 Pfund belegt. Davon entfielen 450.000 Pfund auf fehlende Altersverifikation zum Schutz von Kindern vor Pornografie, 50.000 Pfund auf eine unterlassene Risikobewertung illegaler Inhalte und 20.000 Pfund auf unzureichende Nutzungsbedingungen. Ofcom setzte eine Nachbesserungsfrist bis 2. April 2026, danach drohen weitere Tagesstrafen.

Nicht belegt ist, ob 4chan die geforderten Altersprüfungen und Risikobewertungen bis zur gesetzten Frist tatsächlich umgesetzt hat, da das Unternehmen eine Zahlung öffentlich verweigerte und in den USA rechtlich gegen Ofcoms Zuständigkeit vorging.

Sicherheitsforscher entdeckten im Januar 2024 eine offen zugängliche Datenbank mit rund 26 Milliarden Datensätzen und 12 Terabyte Umfang. Es handelt sich um eine Kompilation aus zahlreichen früheren Datenlecks, unter anderem mit Bezug zu Twitter/X, LinkedIn, Dropbox, Adobe, Weibo und Tencent, plus Datensätzen mit Bezug zu Regierungsorganisationen mehrerer Länder.

Nicht belegt ist, dass es sich um einen neuen eigenständigen Hack handelt: Die Forscher gehen davon aus, dass die Daten überwiegend aus bereits bekannten, älteren Lecks stammen und stark dupliziert sind. Wer die Datenbank zusammengestellt und online gestellt hat, blieb ungeklärt.

Der Naz.API-Datensatz umfasst 319 Dateien mit insgesamt 104 GB und enthält 70.840.771 eindeutige E-Mail-Adressen sowie rund 100 Millionen einzigartige Passwörter aus Infostealer-Malware und klassischen Credential-Stuffing-Listen. Troy Hunt integrierte die E-Mail-Adressen im Januar 2024 in Have I Been Pwned, wobei rund 65 Prozent der Adressen zuvor dort unbekannt waren.

Nicht dokumentiert ist die genaue Identität der ursprünglichen Sammler des Datensatzes oder eine vollständige Liste aller betroffenen Dienste. Unklar bleibt zudem, wie viele der enthaltenen Zugangsdaten zum Zeitpunkt der Veröffentlichung noch gültig waren.

Am 4. Juli 2024 veröffentlichte ein Nutzer namens ObamaCare in einem Hackerforum die Datei RockYou2024.txt mit 9.948.575.739 einzigartigen Klartext-Passwörtern, laut Sicherheitsforschern die bislang größte bekannte Passwort-Sammlung. Die Zusammenstellung baut auf der RockYou2021-Sammlung auf und wurde um rund 1,5 Milliarden zusätzliche Passwörter aus Datenlecks der Jahre 2021 bis 2024 erweitert.

Welches Hackerforum genau betroffen war und wer sich hinter dem Nutzernamen ObamaCare verbirgt, ist nicht öffentlich bestätigt. Aus welchen einzelnen Datenlecks die Passwörter im Detail stammen, wurde nicht vollständig offengelegt. RockYou2024 ist selbst kein neuer Einbruch bei einem Unternehmen, sondern eine Sammlung aus zahlreichen älteren Lecks.

Sicherheitsforscher Troy Hunt entdeckte im Januar 2019 in einem Untergrundforum eine Sammlung namens Collection #1 mit knapp 773 Millionen einzigartigen E-Mail-Adressen und 21 Millionen einzigartigen Passwörtern im Klartext. Die insgesamt rund 2,7 Milliarden Zeilen stammten aus über 12.000 Dateien mit 87 Gigabyte Umfang und waren zuvor kurzzeitig über den Cloud-Dienst MEGA verbreitet worden.

Nicht dokumentiert ist eine einzelne verantwortliche Ursprungsquelle: Die Daten setzten sich aus rund 2.000 verschiedenen älteren Einzel-Leaks und Hacks zusammen, deren genaue Herkunft größtenteils nicht mehr zweifelsfrei zuzuordnen ist. Auch die Identität der Zusammensteller sowie das Ausmaß tatsächlicher Schäden bleiben ungeklärt.

Im Rahmen der vom deutschen Bundeskriminalamt geleiteten und von Europol koordinierten Operation Talent nahmen Behörden aus acht Ländern zwischen dem 28. und 30. Januar 2025 die Cybercrime-Foren Cracked und Nulled sowie den zugehörigen Zahlungsdienstleister Sellix und Hoster StarkRDP vom Netz. Die beiden Plattformen hatten zusammen über 10 Millionen registrierte Nutzerkonten. Es wurden zwei Personen in Spanien festgenommen, 12 Domains sowie 17 Server beschlagnahmt, dazu rund 300.000 Euro in Bargeld und Kryptowährungen.

Offen bleibt das genaue Gesamtausmaß der über die Foren abgewickelten kriminellen Umsätze. Nicht öffentlich dokumentiert ist, wie viele der acht identifizierten mutmaßlichen Hauptbetreiber inzwischen tatsächlich strafrechtlich verurteilt wurden, da Verfahren in mehreren Ländern noch liefen.

Der texanische Generalstaatsanwalt Ken Paxton verklagte General Motors im August 2024 wegen unrechtmäßiger Sammlung und Weitergabe von Fahrverhaltensdaten. Über das Programm OnStar Smart Driver sammelte GM in Fahrzeugen ab Modelljahr 2015 Daten wie Geschwindigkeit und Bremsverhalten und verkaufte diese an Datenmakler, die daraus Driving Scores für Versicherer erstellten.

Ob GM Kunden aktiv täuschte oder ob die Anmeldung ohne echte Zustimmung erfolgte, war zum Zeitpunkt der Klageeinreichung rechtlich noch nicht entschieden. Die Klage fordert Geldstrafen und die Löschung der gesammelten Daten, ein Urteil oder Vergleich stand noch aus.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 4. November 2024 ein Bußgeld von 21,6 Milliarden Won (rund 15,6 Millionen US-Dollar) gegen Meta. Meta hatte zwischen Juli 2018 und März 2022 ohne Einwilligung sensible Daten von rund 980.000 südkoreanischen Facebook-Nutzern zu Religion, politischer Meinung, sexueller Orientierung und Status als nordkoreanische Flüchtlinge gesammelt und an rund 4.000 Werbetreibende weitergegeben.

Offen bleibt, ob einzelne Nutzer durch die Datenweitergabe konkret zu Schaden kamen oder ob Werbetreibende die sensiblen Kategorien gezielt diskriminierend einsetzten. Es war bereits die zweite große PIPC-Strafe gegen Meta nach einem Bußgeld von 30,8 Milliarden Won im Jahr 2022.

Bei SK Telecom wurde im April 2025 ein Malware-Angriff auf USIM-bezogene Kundendaten bekannt, der rund 23,2 Millionen Kunden über 25 Datenkategorien betraf, darunter IMSI-Nummern und unverschlüsselte SIM-Authentifizierungsschlüssel. Die südkoreanische Datenschutzbehörde PIPC verhängte am 28.08.2025 eine Rekordstrafe von 134,8 Milliarden Won (rund 97 Millionen US-Dollar) wegen fehlender Verschlüsselung, mangelhafter Netzwerktrennung und ignorierter Warnsignale seit 2021/2022.

Offen bleibt, wie viele der Betroffenen tatsächlich Opfer von Identitätsdiebstahl oder SIM-Swapping wurden. Die Angreifer wurden bislang nicht namentlich identifiziert oder einer Gruppe zugeordnet.

Die französische Datenschutzbehörde CNIL stellte am 10. Februar 2022 fest, dass der Einsatz von Google Analytics gegen Art. 44 DSGVO verstößt, weil die Datenübermittlung an Google in die USA nicht ausreichend vor dem Zugriff US-amerikanischer Geheimdienste geschützt ist. Die CNIL erteilte einem französischen Website-Betreiber eine förmliche Mahnung und gab ihm einen Monat Zeit, entweder auf Google Analytics zu verzichten oder ein Tool ohne Datentransfer in die USA zu nutzen. Grundlage waren 101 Musterbeschwerden der Organisation noyb sowie das Schrems-II-Urteil des EuGH.

Der Name des betroffenen Website-Betreibers wurde nicht veröffentlicht, ein Bußgeld wurde in diesem Verfahren nicht verhängt. Offen bleibt, ob der Betreiber die Frist einhielt, spätere Berichte zufolge erteilte die CNIL im April 2022 mindestens drei weiteren Betreibern ähnliche Anordnungen.

Die Datenschutzbehörden von Bund, Québec, British Columbia und Alberta stellten am 03.02.2021 in einer gemeinsamen Untersuchung fest, dass Clearview AI mit einer Datenbank aus über drei Milliarden aus dem Internet gescrapten Fotos gegen kanadisches Datenschutzrecht verstieß. Das Unternehmen sammelte biometrische Gesichtsdaten ohne Einwilligung, was gegen PIPEDA sowie die Datenschutzgesetze der drei Provinzen verstieß. Die Behörden forderten Clearview auf, das Angebot für kanadische Kunden einzustellen und bereits gesammelte Bilder zu löschen.

Wie viele Personen in Kanada konkret betroffen waren, blieb offen. Clearview AI wies die Empfehlungen größtenteils zurück und setzte die geforderte Löschung nicht vollständig um. Der einzige kanadische Kunde, die RCMP, hatte die Nutzung bereits im Juli 2020 eigenständig beendet.

Die französische Datenschutzbehörde CNIL verhängte am 15. Juni 2023 ein Bußgeld von 40 Millionen Euro gegen die Ad-Tech-Firma Criteo. Criteo setzte auf Partnerseiten Tracking-Cookies für verhaltensbasierte Werbung ein, konnte aber für rund 370 Millionen Nutzerprofile keine gültige Einwilligung nachweisen. Die CNIL stellte fünf DSGVO-Verstöße fest, unter anderem fehlenden Einwilligungsnachweis und mangelhafte Reaktion auf Löschanfragen. Der französische Staatsrat bestätigte die Sanktion im März 2026 endgültig.

Offen bleibt, wie viele der 370 Millionen betroffenen Identifikatoren konkret auf EU-Bürger entfielen und in welchem Umfang die gesammelten Daten tatsächlich für schädliche Zwecke genutzt wurden. Die genaue Zusammensetzung der finanziellen Vorteile, die Criteo laut CNIL erzielte, wurde nicht im Detail beziffert.

Die irische Datenschutzbehörde DPC verhängte am 9. Dezember 2020 ein Bußgeld von 450.000 Euro gegen Twitter International Company. Grund war ein Verstoß gegen Artikel 33 DSGVO, weil Twitter eine Datenpanne aus Dezember 2018 nicht fristgerecht innerhalb von 72 Stunden meldete. Die Panne machte durch einen Programmierfehler geschützte Tweets bestimmter Nutzer öffentlich sichtbar und betraf mindestens 88.726 Nutzer in der EU. Das Verfahren war das erste, das den Artikel-65-Streitbeilegungsmechanismus der DSGVO durchlief.

Offen bleibt, wie lange der zugrunde liegende Programmierfehler unentdeckt bestand, Berichte nennen als möglichen Beginn bereits das Jahr 2014. Nicht öffentlich dokumentiert ist der genaue interne Ablauf bei Twitter zwischen Entdeckung und Meldung an die DPC.

Australien verabschiedete am 6. Dezember 2018 den Telecommunications and Other Legislation Amendment (Assistance and Access) Act, der am 8. Dezember 2018 in Kraft trat. Das Gesetz verpflichtet Kommunikationsanbieter über drei Stufen zur Mithilfe bei der Entschlüsselung von Kommunikation, mit Bußgeldern bis zu 10 Millionen australischen Dollar bei Nichtbefolgung. Australien war damit das erste westliche Land mit einer solchen gesetzlichen Verpflichtung, wogegen Apple, Google, WhatsApp und weitere Unternehmen öffentlich protestierten.

Nicht öffentlich dokumentiert ist, in welchem Umfang die australische Regierung tatsächlich Technical Capability Notices erlassen hat, da diese vertraulich gehalten werden können. Offen bleibt zudem, ob einzelne Unternehmen tatsächlich systemische Schwachstellen einbauen mussten, was der Gesetzestext nominell ausschließt.

Die gemeinsame Untersuchung von vier kanadischen Datenschutzbehörden ergab, dass die Tim-Hortons-App den Standort von rund 1,6 Millionen Nutzern auch dann kontinuierlich alle paar Minuten erfasste, wenn die App geschlossen war. Die Daten wurden genutzt, um Wohn- und Arbeitsorte sowie Besuche bei Konkurrenzcafés abzuleiten, obwohl Tim Hortons die geplante ortsbasierte Werbung nie umsetzte. Tim Hortons stimmte zu, verbleibende Standortdaten zu löschen und ein Datenschutzprogramm einzuführen.

Die genaue Zahl der tatsächlich betroffenen Nutzer und der exakte Umfang der bereits erfolgten Datennutzung bleiben in der öffentlichen Zusammenfassung unklar. Offen bleibt zudem, ob und in welchem Umfang die gesammelten Standortdaten an Dritte weitergegeben wurden.

Im Oktober 2024 bestätigte Internet-Archive-Gründer Brewster Kahle einen Datendiebstahl, bei dem eine Datei mit rund 31 Millionen Nutzerdatensätzen entwendet wurde. Parallel legten DDoS-Angriffe, zu denen sich die Gruppe BlackMeta bekannte, archive.org und openlibrary.org zeitweise lahm. Wenig später kam ein zweiter Vorfall hinzu: Zugriff auf das Zendesk-Supportsystem über nicht rotierte Zugangstoken.

Offen bleibt, wer genau hinter dem Datendiebstahl steckt und ob DDoS-Gruppe BlackMeta und die Datenschutzverletzung von denselben Akteuren stammen. Der genaue technische Einbruchsweg wurde von verschiedenen Quellen unterschiedlich beschrieben und ist nicht abschließend geklärt.

Roku bestätigte am 12. April 2024 einen zweiten Sicherheitsvorfall binnen zwei Monaten, bei dem Angreifer per Credential Stuffing auf rund 576.000 Nutzerkonten zugriffen. Die Angreifer nutzten bei anderen Diensten erbeutete Zugangsdaten, nicht eine eigene Sicherheitslücke bei Roku. In weniger als 400 Konten wurden hinterlegte Zahlungsdaten für betrügerische Käufe missbraucht, Roku erstattete den Betroffenen die Kosten und führte danach verpflichtend Zwei-Faktor-Authentifizierung ein.

Offen bleibt, aus welcher konkreten fremden Datenpanne die verwendeten Zugangsdaten stammten. Nicht dokumentiert ist außerdem, wie viele der 576.000 betroffenen Konten tatsächlich von Dritten eingesehen wurden im Unterschied zu bloß erfolgreichen Login-Versuchen ohne weitere Aktivität.

Der US-Pharma-Distributor Cencora (vormals AmerisourceBergen) entdeckte am 21. Februar 2024 einen Cyberangriff auf seine IT-Systeme. Mindestens 1,43 Millionen Personen wurden benachrichtigt, dass Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Gesundheitsdaten wie Diagnosen entwendet wurden. Cencora einigte sich 2025 auf eine Sammelklage-Vergleichszahlung von 40 Millionen US-Dollar.

Die tatsächliche Gesamtzahl der betroffenen Personen ist unbekannt, da nicht alle US-Bundesstaaten detaillierte Fallzahlen veröffentlichen. Kein Angreifer oder keine Ransomware-Gruppe hat sich öffentlich zu dem Angriff bekannt, sodass Täterschaft und genauer Angriffsweg ungeklärt bleiben.

HCA Healthcare gab am 10.07.2023 bekannt, dass Angreifer Daten von rund 11,27 Millionen Patienten aus 20 US-Bundesstaaten erbeutet hatten. Betroffen waren Name, Adresse, E-Mail, Telefonnummer, Geburtsdatum sowie Behandlungs- und Termindaten aus einem externen Speicherort für automatisierte Patientenkommunikation. Die Daten wurden auf einem Darknet-Marktplatz zum Verkauf angeboten, HCA schaltete den Speicherort ab.

Unklar bleibt die genaue Identität der Angreifer sowie ob und in welcher Höhe eine Erpressungsforderung gestellt oder bezahlt wurde. Nicht betroffen waren laut HCA klinische Daten und Sozialversicherungsnummern, dies stützt sich aber auf Angaben des Unternehmens selbst.

Am 02.04.2024 veröffentlichte das US-Heimatschutzministerium den Bericht des Cyber Safety Review Board zur Exchange-Online-Cyberspionage im Sommer 2023. Die mit China verbundene Gruppe Storm-0558 griff ab dem 15.05.2023 mit gefälschten Authentifizierungs-Tokens auf E-Mail-Postfächer von rund 25 Organisationen zu, darunter das US-Außenministerium. Die Angreifer nutzten einen gestohlenen Microsoft-Signaturschlüssel aus dem Jahr 2016. Der CSRB bewertete den Einbruch als vermeidbar.

Wie genau der Signaturschlüssel bei Microsoft entwendet wurde, blieb laut CSRB-Bericht ungeklärt. Microsofts eigene Erklärung, der Schlüssel sei über einen Absturzbericht abgeflossen, fand der CSRB durch keine Logs oder Beweise belegt.

Verizon meldete der Maine Attorney General am 07.02.2024 einen Vorfall vom 21.09.2023, bei dem ein eigener Mitarbeiter unbefugt auf eine Datei mit Personaldaten zugriff. Betroffen waren 63.206 aktuelle und ehemalige Mitarbeiter, deren Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern in der Datei enthalten waren. Verizon entdeckte den Vorfall am 12.12.2023 und stufte ihn als unbeabsichtigte interne Offenlegung ein.

Nicht belegt ist, ob und in welchem Umfang die Daten tatsächlich außerhalb von Verizon weiterverbreitet oder missbraucht wurden. Auch die Identität und Motivation des betroffenen Mitarbeiters wurden von Verizon nicht öffentlich benannt.

Die BfDI verhängte am 03.06.2025 gegen Vodafone Deutschland Bußgelder von insgesamt 45 Millionen Euro, das bis dahin höchste DSGVO-Bußgeld der Behörde. 15 Millionen Euro betrafen mangelhafte Kontrolle von Vertriebspartneragenturen, bei denen Mitarbeitende fingierte Verträge zulasten von Kunden abschlossen. 30 Millionen Euro betrafen Sicherheitslücken im Authentifizierungsprozess zwischen dem Portal MeinVodafone und der Kundenhotline, über die Unbefugte auf eSIM-Profile zugreifen konnten.

Offen bleibt, wie viele Kunden konkret von den Betrugsfällen oder dem unbefugten eSIM-Zugriff tatsächlich betroffen waren, da die Pressemitteilung keine genaue Fallzahl nennt. Nicht dokumentiert ist zudem, ob einzelne Kunden Schadensersatz erhielten.

Der EuGH entschied am 27.02.2025 in der Rechtssache C-203/22, dass Betroffene bei automatisiertem Bonitätsscoring einen Anspruch auf präzise und verständliche Erläuterung der konkret angewandten Verfahren haben. Ausgangspunkt war eine Beschwerde gegen die Auskunftei Dun & Bradstreet Austria (vormals Bisnode Austria), die einem Mobilfunkkunden per automatisierter Bewertung die Bonität abgesprochen hatte. Geschäftsgeheimnisse rechtfertigen laut Urteil keine pauschale Auskunftsverweigerung.

Das Urteil ist eine Vorabentscheidung zur DSGVO-Auslegung, kein Bußgeldbescheid. Ob die österreichische Datenschutzbehörde am Ende ein Bußgeld gegen die Auskunftei verhängte, geht aus dieser Quelle nicht hervor. Wie der ursprüngliche Fall nach Zurückverweisung konkret endete, bleibt offen.

Der EuGH entschied am 20.09.2022 in den verbundenen Rechtssachen C-793/19 (SpaceNet) und C-794/19 (Telekom Deutschland), dass Unionsrecht einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten entgegensteht, außer bei ernster Bedrohung der nationalen Sicherheit. Die Internetanbieter SpaceNet AG und Telekom Deutschland hatten die Speicherpflicht nach dem deutschen Telekommunikationsgesetz vor deutschen Gerichten angefochten. Das Bundesverwaltungsgericht hatte den Fall im September 2019 dem EuGH zur Vorabentscheidung vorgelegt.

Die tatsächliche Eilaussetzung der Vollzugspraxis erfolgte bereits 2017 durch das OVG Münster, während das Bundesverwaltungsgericht erst am 14.08.2023 endgültig über die Unionsrechtswidrigkeit der deutschen Regelung entschied. Offen blieb nach dem EuGH-Urteil zunächst, wie der deutsche Gesetzgeber die zulässigen Ausnahmen wie IP-Adressenspeicherung oder Quick-Freeze-Verfahren konkret umsetzt.