Quellen-Tabelle

Angreifer erlangten zwischen Ende Februar und Anfang März 2014 eine kleine Zahl von Mitarbeiter-Zugangsdaten und verschafften sich damit Zugriff auf eBays Firmennetzwerk und eine Kundendatenbank mit Namen, verschlüsselten Passwörtern, E-Mail-Adressen, Anschriften und Geburtsdaten. eBay informierte am 21.05.2014 öffentlich und forderte alle rund 145 Millionen aktiven Nutzerkonten zur Passwortänderung auf. Finanz- oder Kreditkartendaten waren laut Unternehmen nicht betroffen, da diese getrennt bei PayPal gespeichert waren.

Wie viele der 145 Millionen Nutzerkonten tatsächlich betroffen waren, bleibt offen, eBay nannte nur die Gesamtzahl aktiver Nutzer als Referenzgröße. Wie die Angreifer die anfänglichen Mitarbeiter-Zugangsdaten erbeuteten, ist ebenso unklar wie ihre Identität.

JPMorgan Chase teilte am 02.10.2014 der US-Börsenaufsicht SEC mit, dass ein im Sommer 2014 entdeckter Cyberangriff Kontaktdaten von rund 76 Millionen Haushalten und 7 Millionen kleinen Unternehmen kompromittiert hat, zusammen etwa 83 Millionen betroffene Kunden. Erbeutet wurden Namen, Adressen, Telefonnummern und E-Mail-Adressen. Nach Angaben von JPMorgan waren Kontonummern, Passwörter, Geburtsdaten und Sozialversicherungsnummern nicht betroffen.

Über welchen genauen technischen Weg die Angreifer erstmals in die internen Systeme eindrangen, ist in dieser Quelle offen. Wie viele der 83 Millionen Kontaktdatensätze tatsächlich für nachgelagerten Betrug missbraucht wurden, ist nicht abschließend geklärt.

Im November 2014 wurde Sony Pictures Entertainment Opfer eines Cyberangriffs, zu dem sich eine Gruppe namens Guardians of Peace bekannte. Die Angreifer löschten Daten auf tausenden Firmenrechnern und stahlen interne E-Mails, Mitarbeiterdaten sowie mehrere unveröffentlichte Kinofilme. Das FBI erklärte am 19.12.2014 offiziell, die nordkoreanische Regierung sei für den Angriff verantwortlich, der im Kontext der Sony-Komödie The Interview stand.

Das FBI legte keine detaillierten technischen Beweise offen, sondern verwies allgemein auf Ähnlichkeiten zu früherer nordkoreanischer Schadsoftware. Mehrere unabhängige Sicherheitsforscher äußerten damals Zweifel an der offiziellen Zuschreibung.

Im August 2016 wurden bei einem Hack der Kryptobörse Bitfinex rund 119.754 Bitcoin gestohlen. Am 08.02.2022 gab das US-Justizministerium bekannt, Ilya Lichtenstein und seine Ehefrau Heather Morgan verhaftet zu haben, die Behörden beschlagnahmten dabei über 3,6 Milliarden US-Dollar in Kryptowährung. Im August 2023 bekannten sich beide schuldig, Lichtenstein räumte ein, der ursprüngliche Hacker der Bitfinex-Börse gewesen zu sein.

Wie die Angreifer 2016 konkret in die Bitfinex-Systeme eindrangen, ist nicht Gegenstand dieser Pressemitteilung. Ob Lichtenstein alleiniger Täter des ursprünglichen Hacks war oder mit weiteren Personen zusammenarbeitete, ist nicht abschließend geklärt.

LastPass gab am 22.12.2022 bekannt, dass ein Angreifer mit im August 2022 aus der Entwicklungsumgebung gestohlenen Zugangsdaten einen weiteren Mitarbeiter kompromittierte und darüber auf einen Cloud-Speicherdienst zugriff. Dort kopierte er Kunden-Backup-Daten mit unverschlüsselten Metadaten wie Firmennamen und E-Mail-Adressen sowie vollständig verschlüsselten Passwort-Tresor-Feldern. Laut LastPass bleiben die verschlüsselten Felder durch 256-Bit-AES-Verschlüsselung geschützt, vollständige Kreditkartennummern waren nicht betroffen.

Die genaue Gesamtzahl der betroffenen Kundenkonten wird in der offiziellen Mitteilung nicht beziffert. Spätere Recherchen brachten mutmaßliche Kryptowährungsdiebstähle mit den gestohlenen Vaults in Verbindung, LastPass selbst bestätigte einen solchen Zusammenhang jedoch nicht offiziell.

Die Hackergruppe Lapsus$ erlangte zwischen dem 16. und 21.01.2022 per Remote-Desktop-Zugriff Kontrolle über den Laptop eines Kundensupport-Mitarbeiters des Okta-Subunternehmers Sitel. Der Angreifer hatte laut Okta insgesamt nur 25 zusammenhängende Minuten aktive Kontrolle und konnte über eingeschränkte Support-Rechte weder Nutzer anlegen noch auf Quellcode zugreifen. Nach Oktas Auswertung waren maximal 366 Kunden, rund 2,5 Prozent der Kundenbasis, potenziell betroffen.

Wie das Konto des Sitel-Mitarbeiters ursprünglich kompromittiert wurde, bleibt offen. Der vollständige forensische Bericht der von Sitel beauftragten externen Firma wurde nicht veröffentlicht, Okta erhielt ihn erst am 22.03.2022, rund zwei Monate nach dem Vorfall.

Am 27.06.2017 begann sich die als Ransomware getarnte Schadsoftware NotPetya ausgehend von einem kompromittierten Update der ukrainischen Steuersoftware M.E.Doc weltweit zu verbreiten. Die Malware nutzte den NSA-Exploit EternalBlue und traf neben ukrainischen Zielen unter anderem die Reederei Maersk, den Pharmakonzern Merck und den FedEx-Ableger TNT Express. Der weltweite Gesamtschaden wird auf mehr als 10 Milliarden US-Dollar geschätzt, das Weiße Haus ordnete den Angriff am 15.02.2018 offiziell dem russischen Militär (GRU-Einheit Sandworm) zu.

Die genaue Zahl weltweit betroffener Systeme ist nicht abschließend beziffert. Eine strafrechtliche Verurteilung konkreter russischer Verantwortlicher ist öffentlich nicht bekannt, die Zuordnung stützt sich auf Geheimdienstbewertungen, nicht auf ein Gerichtsurteil.

Am 12.05.2017 verbreitete sich die Ransomware WannaCry weltweit unter Ausnutzung der Windows-Schwachstelle EternalBlue, eines von der NSA entwickelten und von der Gruppe Shadow Brokers veröffentlichten Angriffswerkzeugs. Laut National Audit Office waren mindestens 81 von 236 NHS-Trusts in England sowie 603 weitere NHS-Einrichtungen betroffen, mehr als 19.000 Termine mussten abgesagt werden. Ein Sicherheitsforscher stoppte die weitere Ausbreitung durch Aktivierung eines im Schadcode enthaltenen Kill-Switch.

Die genaue Gesamtzahl weltweit infizierter Computer wird unterschiedlich beziffert, häufig zwischen 200.000 und 300.000 Systemen. Die Zuschreibung an die nordkoreanische Lazarus-Gruppe erfolgte erst im Dezember 2017, also nach Veröffentlichung des hier zitierten Berichts.

Ein Angreifer verschaffte sich Zugriff auf einen internen Server der Kreditauskunftei Experian, auf dem Bewerberdaten für T-Mobile US gespeichert waren. Betroffen waren rund 15 Millionen Personen in den USA, die zwischen dem 01.09.2013 und dem 16.09.2015 eine Kreditprüfung für einen T-Mobile-Vertrag durchlaufen hatten. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie Sozialversicherungs- und Ausweisnummern, Zahlungskarten- oder Bankdaten waren nicht betroffen.

Wer konkret hinter dem Angriff steckte und ob die Täter je identifiziert wurden, ist aus dieser Quelle nicht ersichtlich. In welchem Umfang die verschlüsselten Sozialversicherungsnummern tatsächlich entschlüsselt und missbraucht wurden, bleibt offen.

Die US-Krankenhauskette Community Health Systems meldete am 18.08.2014 der SEC einen Cyberangriff auf ihre Netzwerke im April und Juni 2014. Gestohlen wurden Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern von rund 4,5 Millionen Personen, die bei mit CHS verbundenen Ärzten behandelt worden waren. Die beauftragte Sicherheitsfirma Mandiant ordnete den Angriff einer fortgeschrittenen Bedrohungsgruppe mit Ursprung in China zu, medizinische Behandlungsdaten waren laut CHS nicht betroffen.

Die offizielle SEC-Meldung nennt keine konkrete Angreifergruppe und erwähnt weder die Bezeichnung APT18 noch Heartbleed als Einfallstor, diese Details stammen aus späteren Analysen von IT-Sicherheitsfirmen. Eine direkte Steuerung des Angriffs durch die chinesische Regierung ist nicht abschließend belegt.

Der Landesbeauftragte für Datenschutz Rheinland-Pfalz schloss im Dezember 2014 ein Bußgeldverfahren gegen die Debeka einvernehmlich ab. Grundlage waren eingeräumte Listenkäufe, bei denen einzelne Mitarbeiter und Vermittler ohne Einwilligung Datensätze von Anwärtern des öffentlichen Dienstes erworben und zur Versicherungsakquise genutzt hatten. Die Debeka akzeptierte eine Geldbuße von 1,3 Millionen Euro und finanzierte zusätzlich eine mit 600.000 Euro dotierte Stiftungsprofessur für Datenschutz an der Universität Mainz.

Dieses Verfahren fand in Rheinland-Pfalz statt und wurde noch auf Grundlage des alten Bundesdatenschutzgesetzes geführt, da die DSGVO erst ab Mai 2018 galt. Wie viele einzelne Vermittler und Beamtenanwärter konkret betroffen waren, bleibt offen.

Am 17.03.2018 veröffentlichten The Observer/The Guardian und zeitgleich die New York Times auf Basis des Whistleblowers Christopher Wylie eine Enthüllung über die britische Firma Cambridge Analytica. Wylie beschrieb, wie Cambridge Analytica über die App This Is Your Digital Life des Datenwissenschaftlers Aleksandr Kogan Facebook-Daten von bis zu 87 Millionen Nutzerprofilen ohne informierte Einwilligung abgriff. Die Daten wurden für politisches Microtargeting genutzt, unter anderem für die Kampagnen von Ted Cruz und Donald Trump 2016. Facebook hatte die Datenabschöpfung bereits Ende 2015 festgestellt, Nutzer aber nicht informiert.

Diese Quelle behandelt ausschließlich die journalistische Erstenthüllung vom März 2018, nicht die späteren behördlichen Verfahren wie das Bußgeld der britischen Datenschutzbehörde ICO gegen Facebook, die bereits gesondert dokumentiert sind. In welchem Umfang die Daten tatsächlich für vollständige psychografische Profilbildung genutzt wurden, wie Cambridge Analytica selbst behauptete, wurde von unabhängiger Seite angezweifelt.

Die kanadische Finanzgenossenschaft Desjardins Group bestätigte am 01.11.2019, dass der im Juni 2019 bekannt gewordene Datendiebstahl durch einen Mitarbeiter tatsächlich alle 4,2 Millionen Einzelmitglieder in Quebec und Ontario betraf. Der Mitarbeiter hatte unbefugt auf geschützte Kundendaten zugegriffen und diese widerrechtlich an Dritte weitergegeben. Betroffen waren Sozialversicherungsnummern, Adressen und Angaben zu Bankgewohnheiten, nicht jedoch Passwörter oder Kontostände.

Die kanadische Datenschutzbehörde OPC korrigierte die Gesamtzahl der Betroffenen im Dezember 2020 auf rund 9,7 Millionen Personen nach oben. Ein mutmaßlicher Haupttäter wurde erst 2024 verhaftet, das Strafverfahren war noch nicht rechtskräftig abgeschlossen.

Am 15.07.2020 verschafften sich Angreifer per Social Engineering gegenüber Twitter-Mitarbeitern Zugriff auf interne Administrationswerkzeuge und übernahmen mehr als 130 verifizierte Konten, darunter Obama, Biden, Musk und Apple. Von den Konten wurden Tweets abgesetzt, die zu Bitcoin-Zahlungen aufriefen, rund 117.000 US-Dollar wurden erbeutet. Das DOJ klagte am 31.07.2020 Mason Sheppard und Nima Fazeli an, ein dritter Beteiligter war minderjährig und wurde separat in Florida verfolgt.

Die genaue technische Methode des Social-Engineering-Angriffs ist nicht durch ein unabhängiges forensisches Gutachten öffentlich im Detail belegt. Wie viele Konten neben den bekannten Prominenten betroffen waren und ob private Nachrichten eingesehen wurden, ist nicht abschließend dokumentiert.

Am Abend des 03.11.2021 verschaffte sich ein Unbefugter durch telefonisches Social Engineering Zugang zu internen Kundendienstsystemen von Robinhood. Dabei wurden E-Mail-Adressen von rund fünf Millionen Personen sowie vollständige Namen von rund zwei Millionen weiteren Personen erbeutet, bei etwa 310 Kunden zusätzlich Geburtsdatum und Postleitzahl. Nach der Eindämmung forderte der Angreifer eine Erpressungszahlung, Robinhood informierte Strafverfolgungsbehörden und beauftragte Mandiant.

Ob und in welcher Höhe die geforderte Erpressungssumme gezahlt wurde, ist nicht öffentlich dokumentiert. Die Identität des Angreifers sowie Details zur genauen Angriffstechnik wurden von Robinhood nicht offengelegt.

Die FTC einigte sich am 09.11.2020 mit Zoom auf einen Vergleich, weil Zoom seit mindestens 2016 fälschlich behauptet hatte, Meetings seien durchgehend Ende-zu-Ende-verschlüsselt. Tatsächlich hielt Zoom die kryptografischen Schlüssel selbst, zudem waren aufgezeichnete Meetings bis zu 60 Tage unverschlüsselt gespeichert. Zoom verpflichtete sich zu einem umfassenden Sicherheitsprogramm. Vorausgegangen waren im Frühjahr 2020 zahlreiche Zoombombing-Vorfälle, die das FBI im April 2020 zu einer öffentlichen Warnung veranlassten.

Die FTC verhängte in diesem Fall kein Bußgeld, sondern Verhaltensauflagen und ein zwanzigjähriges Audit-Programm. Wie viele Nutzer konkret durch die falschen Verschlüsselungsangaben einen Schaden erlitten, ist nicht dokumentiert.

Im März 2021 wurde bei der Parkraum-App ParkMobile ein Datenleck bekannt, das persönliche Daten von rund 21 Millionen Nutzern betraf. Ursache war laut ParkMobile eine Sicherheitslücke in Software eines Drittanbieters. Betroffen waren E-Mail-Adressen, Telefonnummern, Kennzeichennummern, Geburtsdaten und mit bcrypt gehashte Passwörter, Zahlungsdaten waren verschlüsselt und nicht betroffen.

Welche konkrete Drittanbieter-Software und Schwachstelle die Angreifer ausnutzten, blieb offen. ParkMobile informierte betroffene Nutzer nicht aktiv, viele erfuhren erst durch Medienberichte davon.

Die FTC leitete am 31.10.2022 ein Verfahren gegen Chegg ein und warf dem Bildungstechnologie-Anbieter vier Datenschutzverletzungen zwischen September 2017 und April 2020 vor. Betroffen waren persönliche Daten von rund 40 Millionen Nutzern, unter anderem durch einen unbefugten Zugriff auf Amazon-S3-Speicher 2018 mit rund 25 Millionen im Klartext gespeicherten Passwörtern. Laut FTC fehlten bei Chegg grundlegende Sicherheitsmaßnahmen wie Verschlüsselung und Multi-Faktor-Authentifizierung, die im Januar 2023 finalisierte Anordnung verpflichtet Chegg zu einem umfassenden Sicherheitsprogramm.

Ob im Rahmen des Verfahrens eine Geldstrafe verhängt wurde, ist nicht dokumentiert, öffentlich zugängliche Quellen erwähnen vor allem verhaltensbezogene Auflagen. Wie wirksam die angeordneten Maßnahmen seither umgesetzt wurden, ist nicht öffentlich im Detail nachvollziehbar.

Am 19.03.2019 wurde der norwegische Aluminiumkonzern Norsk Hydro von der Ransomware LockerGoga getroffen. Der Angriff betraf alle rund 35.000 Mitarbeitenden in 40 Ländern und zwang mehrere Werke zu manuellem Betrieb, Produktionsausfälle dauerten teils fast eine Woche. Das Unternehmen zahlte kein Lösegeld, stellte Systeme aus Backups wieder her und kommunizierte öffentlich ungewöhnlich offen mit täglichen Pressekonferenzen.

Eine zweifelsfrei bestätigte Zuordnung des Angriffs zu einer bestimmten Tätergruppe liegt öffentlich nicht vor. Die konkrete finanzielle Gesamtschadenshöhe schwankt je nach Quelle zwischen rund 50 und über 70 Millionen US-Dollar.

Die Sicherheitsfirma Group-IB dokumentierte im Sommer 2022 eine SMS-Phishing-Kampagne gegen mehr als 130 Unternehmen, bekannt als 0ktapus beziehungsweise Scatter Swine. Am 27.07., 02.08. und 07.08.2022 fielen mindestens vier Twilio-Mitarbeiter auf gefälschte Okta-Login-Seiten herein, eingegebene Zugangsdaten wurden per Telegram-Bot in Echtzeit an die Angreifer weitergeleitet. In der Folge wurden auch Telefonnummern von 1.900 Nutzern des Messengers Signal offengelegt, da Twilio dessen SMS-Verifizierung bereitstellt.

Welche Person, Gruppe oder Nation hinter der Kampagne steckt, ist nicht öffentlich belegt. Die Gesamtzahl betroffener Organisationen wird je nach Quelle zwischen rund 130 und über 160 beziffert.

GoDaddy legte in seinem am 16.02.2023 bei der SEC eingereichten Jahresbericht offen, dass ein im Dezember 2022 entdeckter Einbruch in die cPanel-Hosting-Umgebung Teil einer mehrjährigen Kampagne war. Das Unternehmen verknüpfte den Vorfall mit früheren Vorfällen aus März 2020 (rund 28.000 betroffene Kunden) und November 2021 (rund 1,2 Millionen betroffene Kunden). Die Angreifer installierten Malware auf Servern und erbeuteten Quellcode zu GoDaddy-Diensten.

Die Identität des oder der Angreifer ist nicht öffentlich dokumentiert. Der exakte Zeitpunkt des ursprünglichen Einbruchs innerhalb der Mehrjahresspanne sowie der vollständige Umfang des gestohlenen Quellcodes bleiben unklar.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, die Ransomware-Gruppe REvil alias Sodinokibi zerschlagen zu haben. Bei Razzien an 25 Adressen in Russland wurden 14 mutmaßliche Mitglieder festgenommen und mehr als 426 Millionen Rubel, 600.000 US-Dollar und 20 Luxusfahrzeuge beschlagnahmt. Laut FSB erfolgte die Aktion auf Ersuchen der US-Behörden, die Hinweise zum Anführer der Gruppe geliefert hatten.

Ob alle 14 Festgenommenen tatsächlich zum Kern von REvil gehörten, ist nicht öffentlich dokumentiert. Spätere Berichte deuten darauf hin, dass mehrere Festgenommene nur wegen geringerer Vorwürfe verurteilt oder wieder freigelassen wurden, eine umfassende strafrechtliche Aufarbeitung ist nicht belegt.

Ab dem 27.02.2022 veröffentlichte ein anonymer Account namens ContiLeaks über mehrere Tage Archive mit internen Chatnachrichten und Quellcode der Ransomware-Gruppe Conti. Die Daten stammten von einem ukrainischen Sicherheitsforscher, geleakt wurden 393 JSON-Dateien mit rund 60.000 internen Nachrichten aus dem Zeitraum Januar 2021 bis Februar 2022. Auslöser war eine öffentliche Erklärung der Conti-Gruppe, sich nach dem russischen Angriff auf die Ukraine auf die Seite Russlands zu stellen.

Die genaue Identität des Sicherheitsforschers hinter ContiLeaks wurde nie offiziell bestätigt. Wie lange der Zugriff auf die internen Systeme bereits vor der Veröffentlichung bestand, bleibt unklar.

Ende Juli 2021, rund zwei Monate nach der Einstellung von DarkSide im Zuge des Colonial-Pipeline-Angriffs, tauchte die neue Ransomware-Gruppe BlackMatter auf. Ein Sicherheitsforscher stellte fest, dass die Verschlüsselungsroutinen des BlackMatter-Entschlüsselers eine zuvor nur bei DarkSide bekannte benutzerdefinierte Matrix enthielten. Sicherheitsfirmen wie Recorded Future stuften BlackMatter als direkten Nachfolger von DarkSide ein, ein BlackMatter-Vertreter bestritt, dieselbe Gruppe zu sein, räumte aber eine frühere Zusammenarbeit mit DarkSide-Leuten ein.

Ob BlackMatter tatsächlich von denselben Kernpersonen wie DarkSide betrieben wurde, ist nicht abschließend bewiesen und wird von Sicherheitsfirmen unterschiedlich bewertet. Die genauen Gründe für das plötzliche Verschwinden von DarkSide im Mai 2021 sind unklar.

Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens verhängte am 06.11.2018 ein Bußgeld von 600.000 Euro gegen Uber. Grund war nicht der Datendiebstahl selbst, sondern dass Uber die am 14.11.2016 entdeckte Datenpanne erst am 21.11.2017 und damit rund ein Jahr zu spät meldete, statt wie vorgeschrieben innerhalb von 72 Stunden. Von dem zugrundeliegenden Vorfall waren weltweit rund 57 Millionen Nutzer und Fahrer betroffen, darunter etwa 174.000 Personen in den Niederlanden.

Die niederländische Behörde entschied ausschließlich über die verspätete Meldepflicht nach niederländischem Recht vor der DSGVO, nicht über die parallelen US-Verfahren zum selben Datendiebstahl von 2016. Die spätere, deutlich größere Geldbuße von 290 Millionen Euro gegen Uber aus dem Jahr 2024 wegen unrechtmäßiger Datenübermittlung in die USA ist ein eigenständiges, hier nicht behandeltes Verfahren.