Quellen-Tabelle

DoorDash gab am 26.09.2019 bekannt, dass ein unbefugter Dritter am 04.05.2019 auf Nutzerdaten zugegriffen hatte. Betroffen waren rund 4,9 Millionen Kunden, Lieferpartner und Händler, die sich bis zum 05.04.2018 registriert hatten. Kompromittiert wurden Namen, E-Mail-Adressen, Telefonnummern und gehashte Passwörter, bei rund 100.000 Lieferpartnern zusätzlich vollständige Führerscheinnummern.

Welcher konkrete Drittanbieter betroffen war und über welchen technischen Mechanismus der Zugriff erfolgte, hat DoorDash nie veröffentlicht. Ob die entwendeten Teildaten tatsächlich für Betrug missbraucht wurden, bleibt offen.

Zynga bestätigte am 12.09.2019, dass Unbefugte auf Nutzerkontodaten zugegriffen hatten. Der Hacker Gnosticplayers erbeutete Datensätze von Nutzern der Spiele Words With Friends, Draw Something und OMGPOP. Have I Been Pwned bestätigte im Dezember 2019 rund 173 Millionen betroffene Datensätze mit E-Mail-Adressen, Nutzernamen und gesalzenen SHA-1-Passwort-Hashes, Zynga erklärte, es gebe keine Hinweise auf den Abfluss von Finanzdaten.

Die genaue Zahl der betroffenen Personen ist nicht abschließend geklärt, der Hacker behauptete ursprünglich rund 218 Millionen Konten. Die Identität des als Gnosticplayers bekannten Angreifers ist nicht gerichtsfest belegt.

Im September 2019 wurde bekannt, dass eine Sammlung mehrerer Datenbanken mit mehr als 419 Millionen Datensätzen von Facebook-Nutzern ungeschützt auf einem MongoDB-Server erreichbar war. Die Datensätze enthielten Facebook-Nutzer-IDs und zugehörige Telefonnummern, darunter rund 133 Millionen US-Konten. Entdeckt wurde die Datenbank vom Sicherheitsforscher Sanyam Jain, der Hosting-Anbieter nahm den Server anschließend vom Netz.

Wer die Datenbank betrieben und die Daten zusammengetragen hat, ist nicht geklärt. Facebook erklärte, die Daten stammten aus Scraping vor 2018, nicht aus einem Hack der eigenen Systeme. Dieser Fall ist vom separaten, erst 2021 bekannt gewordenen Facebook-Scraping-Datenleck zu unterscheiden.

Quora teilte am 03.12.2018 mit, dass ein unbefugter Dritter Zugriff auf interne Systeme erlangt und Daten von bis zu 100 Millionen Nutzerkonten kopiert hatte. Betroffen waren Namen, E-Mail-Adressen, verschlüsselte Passwörter sowie öffentliche und nicht öffentliche Aktivitäten wie Fragen, Antworten und private Nachrichten. Quora meldete alle betroffenen Nutzer automatisch ab und setzte ihre Passwörter zurück.

Wer die Angreifer waren und auf welchem technischen Weg sie Zugang erlangten, geht aus den verfügbaren Quellen nicht hervor. Spätere behördliche Bußgelder infolge des Vorfalls sind nicht dokumentiert.

Das US-Justizministerium gab am 03.08.2017 bekannt, dass eine Grand Jury eine sechsfache Anklage gegen den britischen IT-Sicherheitsforscher Marcus Hutchins alias MalwareTech erhoben hatte, wegen Beteiligung an Entwicklung und Vertrieb des Banking-Trojaners Kronos zwischen Juli 2014 und Juli 2015. Hutchins wurde am 02.08.2017 in Las Vegas festgenommen, rund drei Monate nachdem er durch Registrierung einer Domain den Kill-Switch der WannaCry-Ransomware ausgelöst und deren Ausbreitung gestoppt hatte.

Zum Zeitpunkt der Pressemitteilung galt die Unschuldsvermutung. Hutchins bekannte sich im April 2019 in zwei Anklagepunkten schuldig und wurde im Juli 2019 zu keiner Haftstrafe, sondern zur bereits verbüßten Untersuchungshaft plus einem Jahr Bewährung verurteilt.

Der Bundesbeauftragte für den Datenschutz (BfDI) verhängte am 09.12.2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH wegen unzureichender technischer und organisatorischer Maßnahmen im telefonischen Kundenservice. Anrufer erhielten allein durch Angabe von Namen und Geburtsdatum eines Kunden Zugriff auf dessen weitere personenbezogene Daten. Auslöser war ein Stalking-Fall, in dem eine Person auf diesem Weg die neue Telefonnummer eines Opfers erlangte.

Das Landgericht Bonn bestätigte 2020 den DSGVO-Verstoß, reduzierte die Bußgeldhöhe im gerichtlichen Nachgang aber auf 900.000 Euro. Wie die interne technische Umstellung der Authentifizierungsverfahren bei 1&1 im Detail ablief, ist nur in groben Zügen dokumentiert.

vpnMentor-Forscher entdeckten am 05.08.2019 eine öffentlich zugängliche, größtenteils unverschlüsselte Datenbank der biometrischen Zutrittsplattform BioStar 2 des südkoreanischen Herstellers Suprema. Die Datenbank enthielt über 27,8 Millionen Einträge mit rund 23 Gigabyte Daten, darunter mehr als eine Million Fingerabdruck-Templates und Gesichtserkennungsbilder. BioStar 2 wird laut Suprema von über 5.700 Organisationen in 83 Ländern eingesetzt, der Zugriff wurde am 13.08.2019 geschlossen.

Die exakte Gesamtzahl der weltweit betroffenen Personen bleibt offen. Ob Dritte die Daten vor der Entdeckung bereits ausgelesen haben, ist nicht belegt, Suprema bestritt öffentlich das Ausmaß des Lecks ohne eigene technische Belege.

Im Juli 2020 wurden in einem Darknet-Hackerforum persönliche Daten von 142.479.937 Gästen der Hotelkette MGM Resorts zum Kauf angeboten. Die Daten stammen aus einem unbefugten Zugriff auf einen falsch konfigurierten Cloud-Server im Sommer 2019, den MGM Resorts im Februar 2020 zunächst nur mit einem Umfang von 10,6 Millionen betroffenen Gästen öffentlich gemacht hatte. Enthalten waren Namen, Postadressen, E-Mail-Adressen und Geburtsdaten, jedoch keine Zahlungsdaten.

Ob die im Juli 2020 angebotenen 142 Millionen Datensätze deckungsgleich mit der im Februar 2020 gemeldeten Menge von 10,6 Millionen sind, ist nicht abschließend geklärt. Eine offizielle, mit konkreten Zahlen unterlegte Stellungnahme liegt öffentlich nicht vor.

Die US-Kette Wawa teilte am 19.12.2019 mit, dass Kartendaten-Malware auf Zahlungssystemen und Zapfsäulen an potenziell allen rund 850 Filialen installiert war. Die Malware war bereits seit dem 04.03.2019 aktiv und wurde erst am 10.12.2019 entdeckt. Kriminelle boten ab Ende Januar 2020 im Untergrundmarktplatz Joker's Stash einen Datensatz mit rund 30 Millionen gestohlenen Kartendaten an, den Sicherheitsforscher der Wawa-Kompromittierung zuordneten.

Wer hinter dem Angriff steckt und mit welcher Schadsoftware-Variante die Systeme infiziert wurden, ist nicht öffentlich dokumentiert. Die Zahl von rund 30 Millionen Datensätzen stammt aus Analysen von Sicherheitsforschern, nicht aus einer offiziellen Bestätigung durch Wawa selbst.

T-Mobile US meldete der SEC am 19.01.2023, dass ein Angreifer seit rund dem 25.11.2022 unautorisiert Daten über eine einzelne API abgriff. Das Unternehmen entdeckte die Aktivität am 05.01.2023 und stoppte den Zugriff nach eigenen Angaben innerhalb eines Tages. Betroffen waren Kontodaten von schätzungsweise 37 Millionen Kunden, darunter Name, Adresse, E-Mail und Geburtsdatum, jedoch keine Sozialversicherungsnummern oder Zahlungskartendaten.

Die genaue Identität des Angreifers ist offen, T-Mobile spricht lediglich von einem bad actor. Die Zahl von 37 Millionen betroffenen Konten basiert auf einer vorläufigen Untersuchung, die T-Mobile selbst als preliminary bezeichnete.

Die Ransomware-Gruppe Cl0p nutzte ab dem 27.05.2023 eine zuvor unbekannte SQL-Injection-Schwachstelle (CVE-2023-34362, CVSS 9.8) in der Managed-File-Transfer-Software MOVEit Transfer aus. Über einen eingeschleusten Webshell namens LEMURLOOT griff die Gruppe auf die MOVEit-Datenbanken zu und exfiltrierte Daten, ohne die Systeme zu verschlüsseln. CISA und das FBI veröffentlichten am 07.06.2023 die gemeinsame Warnung AA23-158A. Laut Emsisoft waren bis Ende 2023 rund 2.700 Organisationen und über 90 Millionen Einzelpersonen betroffen.

Die Gesamtzahl der betroffenen Organisationen beruht auf Zusammenstellungen einzelner Meldungen durch Sicherheitsfirmen, nicht auf einer amtlichen Gesamtstatistik. Dieser Fall betrifft ausschließlich die MOVEit-Transfer-Kampagne ab Mai 2023 und ist von der früheren, separaten GoAnywhere-MFT-Kampagne derselben Cl0p-Gruppe zu unterscheiden.

Am 21.02.2024 legte die Ransomware-Gruppe ALPHV/BlackCat mit einem Angriff auf einen Citrix-Fernzugangsserver ohne Multi-Faktor-Authentifizierung die IT-Systeme von Change Healthcare lahm, einem UnitedHealth-Tochterunternehmen, das einen Großteil der US-Rezept- und Krankenversicherungsabrechnungen verarbeitet. Der wochenlange Ausfall störte bundesweit Apotheken und Arztpraxen. Am 01.05.2024 bestätigte UnitedHealth-CEO Andrew Witty vor dem US-Senat, dass sein Unternehmen rund 22 Millionen US-Dollar in Bitcoin gezahlt hatte, und räumte ein, dass Daten von möglicherweise einem Drittel der US-Bevölkerung betroffen sein könnten.

Die exakte Gesamtzahl der letztlich betroffenen Personen ist nicht abschließend belegt, spätere behördliche Meldungen korrigierten diese Zahl mehrfach nach oben. Ob die gestohlenen Daten trotz Lösegeldzahlung tatsächlich gelöscht wurden, bleibt offen.

Das Berufungsgericht des Ninth Circuit bestätigte am 13.03.2025 die Verurteilung des ehemaligen Uber-Sicherheitschefs Joseph Sullivan. Eine Bundesjury hatte Sullivan im Oktober 2022 wegen Behinderung eines FTC-Verfahrens und Nichtanzeige einer Straftat verurteilt, weil er ein Ende 2016 entdecktes Datenleck mit Daten von rund 57 Millionen Uber-Nutzern vertuscht hatte. Er hatte den Hackern 100.000 US-Dollar in Bitcoin über das Bug-Bounty-Programm gezahlt und sie eine falsche Verschwiegenheitserklärung unterschreiben lassen.

Ob weitere Uber-Führungskräfte von der Vertuschung wussten, wurde strafrechtlich nie untersucht. Ob die kopierten Nutzerdaten tatsächlich vollständig gelöscht wurden, wie es die Verschwiegenheitserklärung vorsah, ist unklar.

Am 05.02.2023 wurde ein Reddit-Mitarbeiter Opfer eines gezielten Phishing-Angriffs über eine gefälschte Intranet-Anmeldeseite, die Zugangsdaten und einen Zwei-Faktor-Code abgriff. Die Angreifer erhielten dadurch Zugang zu internen Dokumenten, Quellcode sowie internen Dashboards. Reddit erklärte, es gebe keine Hinweise auf einen Einbruch in die Produktivsysteme, Passwörter und Zahlungsdaten seien nicht betroffen gewesen.

Der genaue Umfang der entwendeten Daten bleibt offen, Reddit veröffentlichte keine konkrete Datenmenge. Die spätere Täterzuordnung zur Gruppe BlackCat/ALPHV mit rund 80 Gigabyte erbeuteter Daten wurde von Reddit nicht offiziell bestätigt.

Eine von Danske Bank beauftragte externe Untersuchung stellte fest, dass zwischen 2007 und 2015 rund 200 Milliarden Euro an Zahlungen von Nicht-Residenten-Kunden durch die estnische Filiale der Bank abgewickelt wurden. Für die Untersuchung wurden rund 15.000 Kunden und 9,5 Millionen Zahlungen geprüft. Der am 19.09.2018 veröffentlichte Bericht dokumentierte schwerwiegende Mängel in Governance und Kontrollsystemen. Danske Bank kündigte an, geschätzte Bruttoerträge von 1,5 Milliarden Dänischen Kronen gemeinnützigen Zwecken zuzuführen.

Welcher genaue Anteil der 200 Milliarden Euro tatsächlich aus krimineller Herkunft stammte, bleibt offen, da nicht jede Nicht-Residenten-Transaktion automatisch Geldwäsche bedeutet. Individuelle strafrechtliche Verantwortlichkeiten waren zum Zeitpunkt der Veröffentlichung noch Gegenstand laufender Ermittlungen in mehreren Ländern.

Am 18.06.2020 verweigerte die Wirtschaftsprüfungsgesellschaft EY das Testat für den Jahresabschluss von Wirecard, weil sie 1,9 Milliarden Euro auf angeblichen Treuhandkonten auf den Philippinen nicht nachweisen konnte. Wirecard räumte daraufhin ein, dass dieses Geld höchstwahrscheinlich nie existiert hatte. Vorstandschef Markus Braun wurde am 22.06.2020 festgenommen, am 25.06.2020 meldete Wirecard als erstes DAX-Unternehmen der Geschichte Insolvenz an. Vorausgegangen waren jahrelange Recherchen der Financial Times unter Reporter Dan McCrum.

Der genaue Umfang des Betrugs ist bis heute nicht abschließend gerichtlich geklärt. Der Strafprozess gegen Ex-Vorstandschef Markus Braun läuft seit Dezember 2022 am Landgericht München I und war auch im August 2026 noch nicht rechtskräftig abgeschlossen. Der ehemalige Vorstand Jan Marsalek gilt weiterhin als flüchtig.

In der Nacht vom 29. auf den 30.10.2023 griff die Ransomware-Gruppe Akira den kommunalen IT-Dienstleister Südwestfalen-IT an und verschlüsselte Teile der IT-Infrastruktur. Der Angriff legte die IT-Systeme von rund 72 Mitgliedskommunen in mehreren nordrhein-westfälischen Kreisen lahm, betroffen waren rund 1,7 Millionen Einwohner. Wochenlang fielen zahlreiche Bürgerdienste wie Kfz-Zulassung und Sozialleistungen aus. Nach ersten Erkenntnissen erfolgte der Zugriff über eine VPN-Lösung ohne Multifaktor-Authentifizierung.

Welche konkreten Personen oder Strukturen hinter der Gruppierung Akira stehen, ist nicht öffentlich dokumentiert. Ob eine Lösegeldforderung gestellt oder eine Zahlung geleistet wurde, wird in dieser Quelle nicht abschließend geklärt.

Ab dem Abend des 24.09.2019 legte ein Malware-Angriff die IT-Systeme mehrerer Werke der Rheinmetall-Automotive-Sparte in Brasilien, Mexiko und den USA lahm. Die Produktion an diesen Standorten war erheblich gestört. Rheinmetall bezifferte den möglichen wöchentlichen Ergebnisschaden ab der zweiten Woche auf 3 bis 4 Millionen Euro und rechnete mit einer Wiederherstellung innerhalb von zwei bis vier Wochen. Die übrigen Konzern-IT-Systeme sowie die Rüstungssparte blieben laut Unternehmensangaben unberührt.

Rheinmetall bestätigte weder die genaue Art der Schadsoftware noch, ob es sich um verschlüsselnde Ransomware handelte. Ein separater, ähnlich gelagerter Ransomware-Angriff auf Rheinmetall im Jahr 2020 ließ sich in der Recherche nicht verifizieren, dieser 2019er Fall ist die dokumentierte Entsprechung.

Am 23.07.2020 legte die Ransomware WastedLocker weltweit zentrale Dienste des Wearables-Herstellers Garmin lahm, darunter Garmin Connect, flyGarmin und das Satellitenkommunikationssystem inReach. Sicherheitsforscher ordneten die Ransomware der Gruppe Evil Corp zu, die auf der US-Sanktionsliste stand. BleepingComputer bestätigte am 01.08.2020, dass Garmin einen funktionierenden Entschlüsseler erhielt. Die ursprüngliche Lösegeldforderung lag laut einem Mitarbeiter bei rund 10 Millionen US-Dollar.

Garmin äußerte sich nie dazu, ob und in welcher Höhe tatsächlich Lösegeld gezahlt wurde. Der exakte technische Einstiegsvektor der Angreifer wurde nie offiziell bestätigt.

Die Ransomware-Gruppe Cl0p griff das in Darmstadt ansässige Softwareunternehmen Software AG am Wochenende des 03.10.2020 an. Die Angreifer forderten ein Lösegeld von 23 Millionen US-Dollar in Bitcoin und drohten mit der Veröffentlichung von rund einem Terabyte gestohlener Daten. Software AG zahlte das Lösegeld nicht, woraufhin Cl0p ab dem 09.10.2020 interne Dokumente, E-Mails und Mitarbeiterdaten veröffentlichte. Kundenseitige Cloud-Dienste blieben laut Unternehmen unberührt.

Über welchen technischen Einstiegsvektor die Angreifer eindrangen, wurde nicht öffentlich genannt. Die exakte Zahl der von den veröffentlichten Daten betroffenen Personen wurde nicht offiziell beziffert.

Am 22.12.2020 wurde die Funke Mediengruppe Opfer eines Ransomware-Angriffs mit einem Trojaner der Doppelpaymer-Familie, derselben Schadsoftware, die im September 2020 die Düsseldorfer Uniklinik betroffen hatte. Zahlreiche Computersysteme in Redaktionen und Druckhäusern wurden bundesweit verschlüsselt, betroffen waren unter anderem WAZ, Hamburger Abendblatt und Berliner Morgenpost. Die Tageszeitungen konnten am Folgetag nur als Notausgaben erscheinen, das Unternehmen deaktivierte zudem seine Paywalls.

Ob tatsächlich ein Lösegeld gezahlt wurde, ist nicht offiziell bestätigt. Eine offizielle Feststellung, welche konkrete Tätergruppe hinter dem Angriff stand, liegt öffentlich nicht vor.

Der EuGH entschied am 13.05.2014 in der Rechtssache C-131/12, dass Suchmaschinenbetreiber als für die Datenverarbeitung Verantwortliche gelten. Betroffene können von Google die Entfernung von Links zu personenbezogenen Daten verlangen, wenn diese nicht mehr relevant oder unangemessen sind, auch wenn die zugrunde liegende Veröffentlichung rechtmäßig bleibt. Auslöser war eine Anzeige aus 1998 über eine Zwangsversteigerung des Klägers Mario Costeja Gonzalez.

Wie viele Löschanträge Google infolge des Urteils konkret erhielt, ist nicht dokumentiert. Die spätere Kodifizierung in Artikel 17 DSGVO 2018 ist nicht Teil dieser Quelle.

Der EuGH erklärte am 06.10.2015 in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission von 2000 für ungültig. Grundlage war eine Beschwerde von Max Schrems gegen die irische Datenschutzbehörde, weil Facebook Ireland Nutzerdaten in die USA übermittelte, wo sie nach den Snowden-Enthüllungen dem Zugriff von US-Geheimdiensten ausgesetzt waren. Der EuGH stellte klar, dass nationale Datenschutzbehörden die Angemessenheit von Datentransfers eigenständig prüfen dürfen.

Wie ein Nachfolgeregime konkret ausgestaltet werden würde, war zum Urteilszeitpunkt offen, die Nachfolgevereinbarung Privacy Shield trat erst 2016 in Kraft. Das spätere Schrems-II-Urteil von 2020 ist nicht Gegenstand dieser Quelle.

Das Bundesverfassungsgericht entschied am 24.04.2013, dass die gemeinsame Antiterrordatei von Polizeibehörden und Nachrichtendiensten in ihrer Grundstruktur mit dem Grundgesetz vereinbar ist. Mehrere Einzelregelungen, darunter zu Unterstützern und der Inverssuche, wurden für verfassungswidrig erklärt. Der Gesetzgeber musste die beanstandeten Vorschriften bis 31.12.2014 neu regeln.

Wie viele Personen konkret in der Antiterrordatei erfasst waren, ist nicht dokumentiert. Wie oft die Datei zu tatsächlichen Ermittlungserfolgen beigetragen hat, geht aus der Quelle nicht hervor.

Das Bundesverfassungsgericht entschied am 20.04.2016 über Verfassungsbeschwerden gegen BKA-Befugnisse zur Terrorismusabwehr. Die Ermächtigung zu heimlichen Überwachungsmaßnahmen wie Online-Durchsuchung und Wohnraumüberwachung ist grundsätzlich mit dem Grundgesetz vereinbar. Mehrere konkrete Vorschriften erfüllten jedoch nicht die Verhältnismäßigkeitsanforderungen und wurden für teilweise verfassungswidrig erklärt, der Gesetzgeber musste bis 30.06.2018 nachbessern.

Wer konkret die Beschwerdeführer waren, geht aus der Pressemitteilung nicht hervor. Die genaue gesetzgeberische Umsetzung der Neuregelung bis 2018 ist nicht Gegenstand dieser Quelle.