Quellen-Tabelle

Der Bayerische Verfassungsgerichtshof erklärte am 14. Juni 2023 den erweiterten polizeilichen Präventivgewahrsam nach Art. 20 PAG mit einer Höchstdauer von bis zu zwei Monaten für vereinbar mit der Bayerischen Verfassung. Eine Popularklage gegen mehrere PAG-Vorschriften wurde vom Gericht teils als unzulässig, teils als unbegründet abgewiesen.

Ob der Gefahrenbegriff drohende Gefahr selbst für präventive Polizeimaßnahmen mit höherrangigem Recht vereinbar ist, prüfte das Gericht nicht abschließend, da die entsprechende Rüge als nicht ausreichend begründet eingestuft wurde. Ein separates Verfahren zu genau dieser Frage läuft seit 2026 vor dem Bundesverfassungsgericht.

Das Bundesverfassungsgericht verwarf am 8. Juni 2021 eine Verfassungsbeschwerde gegen § 54 Abs. 2 des baden-württembergischen Polizeigesetzes als unzulässig, das heimliche Überwachung durch Ausnutzung von IT-Sicherheitslücken erlaubt. Der Senat stellte grundsätzlich fest, dass der Staat eine grundrechtliche Schutzpflicht für die Sicherheit informationstechnischer Systeme trägt und Behörden bei Kenntnis unbekannter Schwachstellen den Nutzen einer Ausnutzung gegen das Risiko für Dritte abwägen müssen.

Nicht entschieden wurde, ob die konkrete Schutzpflicht im vorliegenden Fall tatsächlich verletzt wurde. Offen blieb auch, wie die Abwägungspflicht zwischen Offenlegung an Hersteller und behördlicher Nutzung von Sicherheitslücken in der Praxis konkret auszugestalten ist.

Laut SEC-Meldung von Coinbase bestachen Angreifer mehrere externe Support-Mitarbeiter, um Kundendaten aus internen Systemen zu stehlen. Betroffen waren rund 69.461 Nutzer, erbeutet wurden unter anderem Namen, Adressen, maskierte Sozialversicherungsnummern und Ausweisfotos. Am 11. Mai 2025 forderten die Täter 20 Millionen Dollar Lösegeld, Coinbase lehnte die Zahlung ab und setzte stattdessen eine Belohnung von 20 Millionen Dollar für Hinweise aus.

Offen bleibt die genaue Zahl und Identität aller bestochenen Support-Mitarbeiter sowie das vollständige Ausmaß der internen Dokumente, die abgeflossen sind. Nicht abschließend beziffert ist der tatsächliche finanzielle Gesamtschaden durch Betrugsfälle bei betroffenen Kunden.

Am 13. Juni 2025 stellte die kanadische Fluggesellschaft WestJet fest, dass sich ein unbefugter Dritter Zugriff auf interne Systeme verschafft hatte, wodurch App und Website zeitweise eingeschränkt waren. Betroffen waren Daten aus einigen Buchungen sowie begrenzte Mitarbeiterdaten, jedoch keine Zahlungskartendaten oder Passwörter. WestJet informierte FBI, das kanadische Cybersicherheitszentrum und die Datenschutzbehörde.

Die genaue Zahl der betroffenen Personen wird von WestJet selbst nicht offiziell genannt, Medienberichte sprechen von rund 1,2 Millionen betroffenen Kunden. Die Identität der Angreifer und der genaue Einbruchsvektor wurden nicht veröffentlicht.

Aflac bestätigte am 20. Juni 2025, dass Angreifer am 12. Juni 2025 per Social Engineering in US-Systeme eindrangen und dabei Sozialversicherungsnummern, Gesundheitsdaten und Schadensfallinformationen abgriffen. Sicherheitsforscher ordneten den Angriff der Gruppe Scattered Spider zu, die im gleichen Zeitraum weitere US-Versicherer attackierte. Laut einer Meldung vom Februar 2026 waren fast 13,9 Millionen Personen mit betroffenen Gesundheitsdaten registriert.

Die Zuordnung zur Gruppe Scattered Spider stammt von Sicherheitsforschern, nicht von einer offiziellen Bestätigung Aflacs. Offen bleibt, ob und in welchem Umfang die gestohlenen Daten tatsächlich für Betrug missbraucht wurden.

Chanel bestätigte im August 2025 einen Datendiebstahl aus einer bei einem Drittanbieter Salesforce gehosteten US-Kundendatenbank, der am 25. Juli 2025 entdeckt wurde. Erbeutet wurden Name, E-Mail-Adresse, Postanschrift und Telefonnummer von Kunden, die den US-Kundenservice kontaktiert hatten. Der Angriff wird der Erpressergruppe ShinyHunters zugeschrieben, die per Voice Phishing und betrügerischer OAuth-App-Freigabe Zugriff auf Salesforce-Umgebungen zahlreicher Unternehmen erlangte.

Die genaue Zahl der betroffenen Kunden sowie der volle Umfang der abgeflossenen Daten wurden von Chanel nicht veröffentlicht. Unklar bleibt zudem, ob und in welcher Höhe Lösegeldforderungen an Chanel gestellt wurden.

Adidas bestätigte am 23.05.2025 einen Datendiebstahl über einen externen Kundenservice-Dienstleister, nachdem Ende April 2025 verdächtige Aktivitäten in dessen Systemen entdeckt worden waren. Betroffen waren Namen, E-Mail-Adressen und Telefonnummern von Kunden, die den Support kontaktiert hatten, jedoch keine Zahlungsdaten oder Passwörter. Erste regionale Meldungen erfolgten bereits Anfang Mai 2025 für Kunden in der Türkei und Südkorea.

Die genaue Zahl der weltweit betroffenen Kunden wurde von Adidas nicht beziffert. Die Identität des angegriffenen Dienstleisters sowie der genaue Einbruchsweg in dessen Systeme wurden nicht öffentlich benannt.

Der US-Modehändler Victoria's Secret nahm am 28.05.2025 seine Website sowie einige In-Store-Dienste als Vorsichtsmaßnahme nach einem Sicherheitsvorfall vom Netz. Das Unternehmen bezeichnete den Vorfall öffentlich als Sicherheitsvorfall, ohne die Art des Angriffs zu benennen. Die Filialen von Victoria's Secret und PINK blieben während der Störung geöffnet und bedienten Kunden weiter vor Ort.

Weder die Art des Angriffs noch die verantwortlichen Täter wurden von Victoria's Secret öffentlich bestätigt, Medienberichte vermuteten einen Zusammenhang mit einer Angriffswelle gegen US-Einzelhändler. Offen blieb zum Zeitpunkt der Berichterstattung, ob Kundendaten tatsächlich entwendet wurden.

Google bestätigte im August 2025 einen Datendiebstahl aus einer eigenen Salesforce-Instanz durch die Gruppe ShinyHunters, von Google als UNC6040 und UNC6240 verfolgt. Die Angreifer riefen per Voice Phishing Mitarbeitende an, gaben sich als vertrauenswürdige Kollegen aus und brachten sie dazu, eine manipulierte Version der Salesforce-Data-Loader-App zu autorisieren. Betroffen waren vor allem Kontaktdaten kleiner und mittlerer Geschäftskunden wie Firmennamen, E-Mail-Adressen und Telefonnummern, zusätzlich waren OAuth-Tokens der Drift-Plattform kompromittiert.

Passwörter oder Finanzdaten waren nach Googles eigener Darstellung nicht betroffen, diese Einschätzung stammt jedoch vom betroffenen Unternehmen selbst. Die vollständige Liste der betroffenen Google-Geschäftskunden sowie die genaue Zahl der kompromittierten Datensätze wurde nicht veröffentlicht.

Die US-Kreditauskunftei TransUnion entdeckte am 30.07.2025 einen unbefugten Zugriff auf eine bei ihr eingesetzte Drittanbieter-Anwendung, der Angriff selbst hatte am 28.07.2025 stattgefunden. Betroffen waren die Daten von mehr als 4,4 Millionen Personen in den USA, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Rechnungsadressen, E-Mail-Adressen und Telefonnummern. TransUnion ordnete den Zugriff einer über Salesforce-verbundene Apps laufenden Kampagne zu und bot Betroffenen 24 Monate kostenlose Kreditüberwachung an.

TransUnion und Salesforce betonten, dass die Kern-Salesforce-Anwendung selbst nicht kompromittiert war, der Zugriff erfolgte über eine verbundene Drittanbieter-App. Die genaue Identität der für den Angriff verantwortlichen Gruppe wurde von TransUnion nicht offiziell bestätigt, Medienberichte ordneten ihn ShinyHunters zu.

Der US-Versicherer Farmers Insurance wurde am 30.05.2025 von einem Dienstleister über verdächtige Aktivitäten informiert und schloss die Prüfung des Vorfalls am 24.07.2025 ab. Betroffen waren mehr als 1,1 Millionen Kunden, deren Namen, Adressen, Geburtsdaten, Führerscheinnummern und die letzten vier Ziffern von Sozialversicherungsnummern offengelegt wurden. Schriftliche Benachrichtigungen an die Betroffenen begannen ab dem 22.08.2025, mehrere Medien ordneten den Vorfall der Angriffswelle gegen Salesforce-Kunden durch die als UNC6040/UNC6240 bekannte Gruppe zu.

Eine offizielle Bestätigung der Salesforce-Verbindung durch Farmers Insurance selbst liegt nicht vor, die Zuordnung stammt aus Medienberichten und nachfolgenden Sammelklagen. Der genaue technische Ablauf des Zugriffs beim Dienstleister wurde nicht im Detail veröffentlicht.

Fortinet veröffentlichte am 08.02.2024 einen Sicherheitshinweis zu CVE-2024-21762, einer kritischen Out-of-Bounds-Write-Schwachstelle in FortiOS SSL-VPN mit einem CVSS-Wert von 9,6. Die Lücke erlaubt nicht authentifizierten Angreifern per präparierter HTTP-Anfrage die Ausführung beliebigen Codes auf betroffenen Firewalls. Die US-Cybersicherheitsbehörde CISA nahm die Lücke bereits am 09.02.2024 in ihren Known-Exploited-Vulnerabilities-Katalog auf, da eine Ausnutzung in freier Wildbahn beobachtet wurde.

Wie viele Geräte weltweit tatsächlich erfolgreich kompromittiert wurden, ist nicht abschließend beziffert. Die Identität der ersten ausnutzenden Angreifergruppen blieb ungeklärt, im März 2024 bot ein Akteur auf einem Untergrundforum zusätzlich einen Exploit für die Lücke zum Verkauf an.

Sicherheitsforscher entdeckten ab dem 10.01.2024 die aktive Ausnutzung zweier Zero-Day-Schwachstellen in Ivanti Connect Secure und Policy Secure, CVE-2023-46805 (Authentifizierungsumgehung, CVSS 8,2) und CVE-2024-21887 (Command Injection, CVSS 9,1). In Kombination ermöglichten die Lücken unauthentifizierte Remotecodeausführung auf den Geräten, erste Ausnutzung wurde bereits auf den 03.12.2023 zurückdatiert. Betroffen waren alle unterstützten Versionen 9.x und 22.x, zum Zeitpunkt der Offenlegung waren über 15.000 Geräte weltweit erreichbar und rund 1.700 nachweislich kompromittiert.

Zum Zeitpunkt der ersten Offenlegung stand noch kein offizieller Patch zur Verfügung, Ivanti bot zunächst nur eine Mitigations-XML-Datei an. Die Identität der ursprünglichen Angreifergruppe hinter der Erstausnutzung wurde nicht abschließend öffentlich benannt.

Der Gerichtshof der Europäischen Union entschied am 04.07.2023 in der Rechtssache C-252/21, dass nationale Wettbewerbsbehörden bei der Prüfung eines Missbrauchs einer marktbeherrschenden Stellung inzident auch Verstöße gegen die Datenschutz-Grundverordnung feststellen dürfen. Das Oberlandesgericht Düsseldorf hatte dem EuGH die zugrunde liegenden Fragen am 24.03.2021 im Rahmen der Beschwerde von Meta gegen den Bundeskartellamt-Beschluss von 2019 zur Vorabentscheidung vorgelegt. Der EuGH stellte klar, dass sich Meta für die Zusammenführung von Nutzerdaten aus Facebook, Instagram, WhatsApp und Drittwebsites weder auf die Erforderlichkeit zur Vertragserfüllung noch auf ein berechtigtes Interesse an personalisierter Werbung ohne gesonderte Einwilligung stützen kann.

Das Urteil entscheidet nicht abschließend über die Rechtmäßigkeit des Bundeskartellamt-Beschlusses von 2019 selbst, diese Prüfung blieb dem Oberlandesgericht Düsseldorf im fortgesetzten Beschwerdeverfahren vorbehalten. Aus dem Urteilstext geht nicht hervor, wie die konkrete technische Umsetzung der Datentrennung bei Meta in der Praxis auszusehen hat.

Der EuGH entschied am 27.02.2025 in der Rechtssache C-203/22, dass Betroffene bei einer ausschließlich automatisierten Bonitätsbewertung nach Artikel 15 Absatz 1 Buchstabe h DSGVO Anspruch auf eine konkrete, nachvollziehbare Erklärung des angewandten Verfahrens haben. Die bloße Offenlegung des Algorithmus oder einer mathematischen Formel genügt laut Urteil nicht. Ein pauschaler Verweis auf Geschäftsgeheimnisse darf den Auskunftsanspruch nicht von vornherein ausschließen, strittige Informationen müssen im Streitfall der Aufsichtsbehörde oder einem Gericht zur Abwägung vorgelegt werden.

Das zugrunde liegende Verfahren betraf einen österreichischen Fall bei Dun und Bradstreet Austria, nicht die deutsche Schufa. Eine unmittelbare Übertragung der Maßstäbe auf deutsche Auskunfteien liegt nahe, ist aber nicht Gegenstand dieses Urteils.

Die italienische Datenschutzbehörde Garante verhängte am 15.01.2020 gegen den Telekommunikationskonzern TIM ein Bußgeld von 27.802.946 Euro. Grundlage waren mehrere hundert Beschwerden aus den Jahren 2017 bis Anfang 2019 über unerwünschte Werbeanrufe ohne gültige Einwilligung, Missachtung des Widerspruchsregisters sowie mangelhafte Einwilligungsverfahren in der App TIM Party. Die Behörde ordnete zusätzlich 20 Korrekturmaßnahmen an und bezeichnete die Sanktion als die bis dahin höchste in Italien verhängte Datenschutzstrafe.

Ob TIM gegen die Entscheidung Rechtsmittel eingelegt hat und ob die Bußgeldsumme später bestätigt oder reduziert wurde, geht aus der Pressemitteilung nicht hervor. Die genaue Zahl der tatsächlich betroffenen Personen wird nicht exakt beziffert.

Die Organisation noyb um Max Schrems reichte am 17.08.2020 101 Beschwerden bei Datenschutzbehörden in allen 30 EWR-Mitgliedstaaten ein, gerichtet gegen europäische Unternehmen, die Google Analytics oder Facebook Connect einsetzen und dadurch Daten in die USA übertragen. Grundlage war das Schrems-II-Urteil des EuGH vom Juli 2020, das den Privacy-Shield-Rahmen für ungültig erklärte. Bei Verstößen drohen laut noyb DSGVO-Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Wie die einzelnen Datenschutzbehörden in den 30 Ländern über die jeweiligen Beschwerden entschieden haben, geht aus der Pressemitteilung nicht hervor. Ob am Ende tatsächlich Bußgelder gegen die betroffenen Unternehmen verhängt wurden, ist nicht dokumentiert.

Das Nachrichtenportal The Pillar veröffentlichte am 20.07.2021 eine Recherche, die kommerziell erhältliche App-Signaldaten nutzte, um Grindr-Nutzung und Besuche von Schwulenbars einem Mobilgerät zuzuordnen, das Monsignore Jeffrey Burrill, Generalsekretär der US-Bischofskonferenz, zugeschrieben wurde. The Pillar korrelierte eine Geräte-ID mit Standortmustern an Burrills Arbeitsplatz und Wohnsitz zwischen 2018 und 2020. Burrill trat noch am Tag der Veröffentlichung zurück, Grindr erklärte, nicht die Quelle der Daten gewesen zu sein.

Der Datenhändler, von dem The Pillar die App-Signaldaten tatsächlich bezog, wurde nicht öffentlich benannt. Die technische Methode der Re-Identifizierung wurde nicht unabhängig geprüft, sondern beruht allein auf Angaben von The Pillar selbst.

Im Mai 2024 versuchten Betrüger, eine Führungskraft der Werbeholding WPP mithilfe von Deepfake-Technologie zu täuschen. Sie legten ein WhatsApp-Konto mit einem öffentlichen Foto von WPP-CEO Mark Read an und luden eine leitende Mitarbeiterin zu einem Microsoft-Teams-Meeting ein, in dem eine KI-Stimmklon-Version sowie YouTube-Aufnahmen von Read eingesetzt wurden. Ziel war die Herausgabe von Geld und persönlichen Daten für die angebliche Gründung einer neuen Firma, der Versuch scheiterte laut WPP an der Wachsamkeit der beteiligten Person.

Welche konkrete Software für die Stimmklonierung eingesetzt wurde und wer hinter dem Angriff steckt, ist nicht öffentlich bekannt. Die genaue angestrebte Schadenssumme wurde nicht beziffert, da kein Geld floss.

Die Ransomware-Gruppe Cl0p nutzte ab dem 18.01.2023 eine Zero-Day-Schwachstelle (CVE-2023-0669) in der Managed-File-Transfer-Software GoAnywhere MFT des Herstellers Fortra aus. Fortra entdeckte die Aktivität am 30.01.2023 und veröffentlichte am 07.02.2023 ein Update. Cl0p beanspruchte am 10.02.2023 die Verantwortung und gab an, Daten von rund 130 Organisationen erbeutet zu haben, darunter Hitachi Energy und Crown Resorts.

Die genaue Gesamtzahl der tatsächlich betroffenen Organisationen ist nicht unabhängig verifiziert. Dieser Fall betrifft die GoAnywhere-MFT-Software und ist von der separaten MOVEit-Transfer-Kampagne derselben Cl0p-Gruppe ab Mai 2023 zu unterscheiden.

Am 19.12.2023 gab das US-Justizministerium bekannt, die Infrastruktur der Ransomware-Gruppe ALPHV/BlackCat gestört zu haben, die zuvor mehr als 1.000 Opfer weltweit kompromittiert und rund 300 Millionen US-Dollar erbeutet hatte. Das FBI hatte 946 Schlüsselpaare für Tor-Websites der Gruppe sichergestellt und einen Entschlüsselungscode entwickelt, mit dem über 500 Opfer ihre Daten wiederherstellen konnten. Wenige Stunden nach der Ankündigung erklärte ALPHV/BlackCat, die eigene Leak-Website zurückerobert zu haben, und hob als Vergeltung das interne Verbot auf, Krankenhäuser anzugreifen.

Ob ALPHV/BlackCat die eigene Website tatsächlich zurückerlangte oder die Ankündigung eine Inszenierung war, ist unter Sicherheitsforschern umstritten. Ob der zwei Monate später erfolgte Angriff auf Change Healthcare unmittelbar auf die Aufhebung der Angriffsbeschränkungen zurückzuführen ist, wird vermutet, aber nicht belegt.

Am 17. und 18.11.2024 wurden in der Ostsee zwei Unterseekabel beschädigt, das Datenkabel C-Lion1 zwischen Finnland und Deutschland sowie die Verbindung BCS East-West zwischen Schweden und Litauen. Ermittler richteten den Verdacht auf den chinesischen Frachter Yi Peng 3, der laut Recherchen zur Tatzeit die betroffenen Streckenabschnitte passierte und dabei seinen Anker über den Meeresgrund geschleift haben soll. Am 20.12.2024 bestiegen Vertreter aus Deutschland, Schweden, Finnland und Dänemark das Schiff zur Inspektion.

Nicht bewiesen ist, ob die Kabelbeschädigung vorsätzlich erfolgte oder ein Unfall war. China bestreitet jede Verantwortung, westliche Ermittler gehen von einem möglichen Sabotageakt aus, dies aber ausdrücklich unbelegt. Die Ergebnisse der Schiffsinspektion wurden nicht veröffentlicht.

Im Februar 2021 reichten openDemocracy und die Rechtskampagne Foxglove eine Klage auf gerichtliche Überprüfung gegen die britische Regierung ein. Anlass war die im Dezember 2020 ohne öffentliche Ausschreibung erfolgte Verlängerung des ursprünglich zum symbolischen Preis von 1 Pfund vergebenen Notfallvertrags mit Palantir zum britischen COVID-19 Data Store, nun mit einem Volumen von 23 Millionen Pfund über zwei Jahre. Ende März 2021 sicherte die Regierung zu, Palantirs Rolle im NHS-Datenspeicher nicht ohne vorherige öffentliche Konsultation über die Pandemie hinaus auszuweiten.

Ob es in der Folge zu einer gerichtlichen Entscheidung über die Rechtmäßigkeit des ursprünglichen Vertrags kam, ist nicht belegt, da das Verfahren durch die Zusagen der Regierung beendet wurde. Ob die zugesagten Bürgerjurys tatsächlich stattfanden, bleibt offen.

Meta kündigte im Mai 2024 an, ab dem 26.06.2024 öffentliche Inhalte volljähriger Facebook- und Instagram-Nutzer aus der EU auf Grundlage eines berechtigten Interesses für das KI-Training zu verwenden. Die Organisation noyb reichte daraufhin Beschwerden in elf europäischen Ländern ein. Am 14.06.2024 teilte die irische Datenschutzbehörde DPC mit, dass Meta zugesagt habe, die geplante KI-Trainingsnutzung öffentlicher Inhalte erwachsener Nutzer in der EU vorerst auszusetzen.

Ob Metas Zusage rechtlich bindend war, geht aus der Pressemitteilung nicht hervor. Ob und wann Meta das KI-Training mit europäischen Nutzerdaten später wieder aufnahm, ist aus dieser Quelle nicht dokumentiert.

Apple reichte im November 2021 Klage gegen die NSO Group ein und warf ihr vor, Apple-Nutzer mit der Pegasus-Spyware über den FORCEDENTRY-Exploit ausgespäht zu haben. Am 12.09.2024 beantragte Apple die freiwillige Rücknahme der eigenen Klage. Als Begründung nannte Apple die Gefahr, dass eine Fortsetzung vertrauliche Bedrohungsanalyse-Daten offenlegen und damit anderen Spyware-Anbietern nützen könnte.

Ob und wie das Gericht über den Rücknahmeantrag abschließend entschied, ist nicht dokumentiert. Eine konkrete finanzielle Entschädigung oder ein Vergleich zwischen den Parteien ist nicht belegt, es handelt sich um eine einseitige Klagerücknahme, kein Urteil in der Sache.