Quellen-Tabelle

Am 14.11.2015 wurde der Spielzeughersteller VTech Opfer eines Hackerangriffs über eine SQL-Injection-Schwachstelle. Nach VTechs Angaben waren weltweit rund 6,4 Millionen Kinderprofile und rund 4,9 Millionen Elternkonten betroffen. Der anonyme Hacker erklärte, zusätzlich mehr als 190 Gigabyte Kinderfotos sowie rund ein Jahr Chatprotokolle kopiert zu haben.

Der genaue Gesamtumfang der abgegriffenen Fotos und Chatprotokolle wurde von VTech nie offiziell beziffert. Ob die Daten über den meldenden Hacker hinaus von Dritten missbraucht wurden, ist nicht belegt.

Die Fitness-App Strava veröffentlichte im November 2017 eine globale Heatmap mit GPS-Aktivitätsdaten von über einer Milliarde Trainingseinheiten. Ende Januar 2018 machte der Student Nathan Ruser öffentlich, dass die Laufrouten von Soldaten in der Heatmap die Umrisse von US-Militärbasen in Syrien, Afghanistan und Somalia sichtbar machten. Strava erklärte, die Heatmap zeige eine anonymisierte Ansicht und kündigte eine Überprüfung der Privatsphäre-Einstellungen an.

Wie viele Militärstandorte konkret identifiziert wurden und ob daraus tatsächliche Sicherheitsvorfälle entstanden, ist nicht abschließend dokumentiert. In welchem Umfang einzelne Soldatenprofile re-identifiziert werden konnten, beruht auf Stichproben.

Optus meldete am 22.09.2022 einen Cyberangriff auf seine Kundendatenbank. Betroffen waren personenbezogene Daten von bis zu 9,8 Millionen aktuellen und ehemaligen Kunden, darunter Namen, Geburtsdaten und teils Reisepass- oder Führerscheinnummern. Ein anonymer Akteur forderte zunächst ein Lösegeld von umgerechnet rund 1 Million US-Dollar.

Die technische Ursache bleibt umstritten, Optus sprach von einem gezielten Cyberangriff, während Regierungsvertreter eine ungesicherte, öffentlich erreichbare API als Ursache nannten. Ein Gerichtsverfahren der Datenschutzbehörde OAIC war zum Zeitpunkt der Quelle noch nicht abgeschlossen.

Ein Ransomware-Angriff kompromittierte im Oktober 2022 persönliche Daten von 9,7 Millionen Kunden des australischen Krankenversicherers Medibank. Bei fast 500.000 Kunden wurden zusätzlich sensible Gesundheitsdaten erbeutet. Die Angreifer forderten zunächst 10, später 9,7 Millionen US-Dollar Lösegeld, was Medibank nicht zahlte. Die australische Bundespolizei ordnete die Täter dem russischsprachigen REvil-Umfeld zu, Anfang Dezember 2022 veröffentlichten sie die letzten Daten im Darknet.

Zum Zeitpunkt dieser Quelle nannten die Behörden keine konkreten Namen einzelner Täter. Ob Bank- oder Kreditkartendaten betroffen waren, blieb strittig zwischen Medibank und den Angreifern.

Zwischen dem 20. und 27.03.2016 wurde die Webseite der philippinischen Wahlkommission COMELEC gehackt, Angreifer luden mehrere Wählerdatenbanken herunter. Laut der Entscheidung der National Privacy Commission vom 28.12.2016 enthielten diese Namen, Geburtsdaten, Passnummern und biometrische Beschreibungen. Die Sicherheitsfirma Trend Micro bezifferte die Zahl der betroffenen Wähler auf rund 55 Millionen, die Kommission stellte fest, dass COMELEC gegen den Data Privacy Act verstieß.

Ob die geleakten Daten tatsächlich für Betrug missbraucht wurden, ist nicht dokumentiert. COMELEC bestritt öffentlich, dass biometrische Daten kompromittiert wurden, was im Widerspruch zur Trend-Micro-Analyse steht.

Im August 2017 entdeckten Forscher die ROCA-Schwachstelle in RSA-Schlüsseln von Infineon-Chips in estnischen eID-Karten seit Oktober 2014. Rund 750.000 bis 800.000 Karten waren betroffen. Am 25.10.2017 veröffentlichte Estland ein Software-Update, ab dem 03.11.2017 wurden die Zertifikate von rund 760.000 Karten suspendiert, mit einer Frist zur Fernerneuerung bis 31.03.2018.

Ob die Schwachstelle vor ihrer Offenlegung tatsächlich ausgenutzt wurde, ist nicht dokumentiert. Estnische Vertreter erklärten, es seien keine Fälle von Identitätsmissbrauch bekannt, ein vollständiger forensischer Nachweis liegt aber nicht vor.

Die australische Regierung stellte 2018 mit My Health Record allen Medicare-Karteninhabern automatisch eine zentrale elektronische Gesundheitsakte an, sofern diese nicht aktiv widersprachen. Der ursprüngliche Widerspruchsstichtag wurde nach massiver Kritik vom 15.10.2018 auf den 31.01.2019 verschoben. Bis dahin hatten laut Australian Digital Health Agency mehr als 2,5 Millionen Australier widersprochen, rund 10 Prozent der Berechtigten.

Wie viele der über 2,5 Millionen Opt-outs konkret auf Datenschutzbedenken zurückgehen im Gegensatz zu anderen Gründen, ist nicht dokumentiert. In welchem Umfang Daten aus bereits angelegten Konten an Dritte weitergegeben wurden, bleibt offen.

Apple führte am 26.04.2021 mit iOS 14.5 die Funktion App Tracking Transparency ein, die vor dem Zugriff auf die Werbekennung IDFA eine ausdrückliche Nutzererlaubnis verlangt. Facebook kritisierte die Maßnahme scharf und schaltete ganzseitige Zeitungsanzeigen gegen Apple. Nach einer frühen Erhebung von AppsFlyer stimmten zum Start nur rund 39 Prozent der Nutzer dem Tracking zu.

Unabhängig geprüfte Zahlen zu den tatsächlichen finanziellen Einbußen von Meta durch ATT liefert der Artikel nicht, er stützt sich auf frühe Schätzungen einzelner Analysefirmen. Wie sich die Opt-in-Rate im weiteren Verlauf 2021 entwickelte, ist nicht dokumentiert.

Der Alphabet-Ableger Sidewalk Labs gab am 07.05.2020 die Aufgabe seines Smart-City-Projekts Quayside in Toronto bekannt, offiziell wegen wirtschaftlicher Unsicherheit durch die Covid-19-Pandemie. Dem Rückzug ging ein mehrjähriger öffentlicher Streit um die geplante Sensor- und Datensammlung voraus. Bereits 2018 trat die frühere Datenschutzbeauftragte Ontarios, Ann Cavoukian, als Beraterin zurück, da ihr zufolge keine ausreichende Anonymisierung zugesichert wurde.

Ob die jahrelange öffentliche Kritik an der Datensammlung tatsächlich mitentscheidend für die Absage war, ist nicht offiziell bestätigt. Eine förmliche behördliche Untersuchung zu den Datenschutzvorwürfen ist nicht bekannt.

Der BGH wies am 23.06.2020 Facebooks Eilantrag gegen die sofortige Vollziehbarkeit des Bundeskartellamt-Beschlusses vom 06.02.2019 zurück. Der Kartellsenat bestätigte vorläufig, dass Facebook seine marktbeherrschende Stellung missbraucht, weil es Nutzern keine Wahl zwischen einer Nutzung mit oder ohne Zusammenführung von Daten aus WhatsApp, Instagram und Drittwebseiten lässt.

Diese Pressemitteilung dokumentiert nur die vorläufige Eilentscheidung, nicht die endgültige Bestätigung in der Hauptsache. Der weitere Beschwerdeweg, der später zum EuGH-Verfahren C-252/21 führte, ist hier nicht Gegenstand.

Die griechische Datenschutzbehörde HDPA verhängte am 13.07.2022 ein Bußgeld von 20 Millionen Euro gegen Clearview AI wegen Sammelns von Gesichtsbildern aus öffentlich zugänglichen Quellen ohne Rechtsgrundlage. Die HDPA ordnete zusätzlich ein Verarbeitungsverbot und die Löschung der Daten griechischer Betroffener an. Auslöser war eine Beschwerde der Organisation Homo Digitalis.

Ob Clearview AI das Bußgeld tatsächlich gezahlt hat, ist nicht dokumentiert, das Unternehmen hat keine EU-Niederlassung. Ob der Löschanordnung nachgekommen wurde, ist nicht unabhängig verifiziert.

Amnesty International dokumentierte im Dezember 2024, dass serbische Polizei und der Sicherheitsdienst BIA das Cellebrite-Tool UFED nutzten, um Handys von Journalisten und Aktivisten zu entsperren, und anschließend die Spyware NoviSpy installierten. Die Cellebrite-Geräte stammten aus einer 2019 über UNOPS abgewickelten norwegischen Entwicklungshilfe. Nach dem Bericht stellte Cellebrite im Februar 2025 die Nutzung durch die betroffenen serbischen Kunden ein.

Wie viele weitere Personen in Serbien überwacht wurden, ist offen. Ob Cellebrite von der konkreten Verwendung zur Spyware-Installation wusste, ist nicht belegt, das Unternehmen lieferte die Entsperrtechnik, nicht NoviSpy.

Am 06.05.2025 sprach eine Geschworenenjury am US-Bundesgericht WhatsApp und Meta gegen NSO Group Schadensersatz zu: 444.719 US-Dollar Kompensation und 167.254.000 US-Dollar Strafschadensersatz. Grundlage war die Ausnutzung einer WhatsApp-Schwachstelle 2019, über die NSO die Pegasus-Spyware auf rund 1.400 Geräten installierte. Vorausgegangen war ein Haftungsurteil von Richterin Phyllis Hamilton vom Dezember 2024.

NSO Group kündigte Rechtsmittel an. Spätere Medienberichte legen nahe, dass die Richterin den Strafschadensersatz nachträglich auf rund 4 Millionen US-Dollar reduzierte, dies stammt nicht aus der Primärquelle und sollte separat verifiziert werden.

Das US-Finanzministerium sanktionierte am 05.03.2024 erstmals gezielt zwei Einzelpersonen und fünf Unternehmen des Intellexa-Konsortiums wegen der Spähsoftware Predator, darunter Konsortiumsgründer Tal Dilian. Predator kann Smartphones per Zero-Click-Angriffen ohne Nutzerinteraktion infizieren, zu den Zielen zählten laut Treasury auch US-Regierungsbeamte und Journalisten. Im September 2024 folgten weitere Sanktionen gegen fünf zusätzliche Personen.

Wie wirksam die Sanktionen das Konsortium einschränkten, ist offen, Fachmedien berichteten von fortgesetzter Geschäftstätigkeit. Im Dezember 2025 hob das Treasury die Sanktionen gegen drei sanktionierte Personen wieder auf, die Gründe dafür sind nicht abschließend geklärt.

Am 14.09.2021 veröffentlichte das Wall Street Journal interne Facebook-Dokumente als Auftakt der Serie The Facebook Files. Eine interne Präsentation hielt fest, dass Instagram bei einem von drei Teenager-Mädchen bestehende Körperbildprobleme verschlimmert, laut einer internen Erhebung von März 2020 gaben 32 Prozent der befragten Mädchen an, Instagram verstärke negative Gefühle zum eigenen Körper. Quelle der Dokumente war die ehemalige Facebook-Produktmanagerin Frances Haugen, die sich zwei Wochen später als Whistleblowerin zu erkennen gab.

Der Artikel nannte Haugen als Quelle noch nicht namentlich, ihre Identität wurde erst am 03.10.2021 öffentlich bekannt. Ob die Ergebnisse einen ursächlichen oder nur korrelativen Zusammenhang belegen, bleibt offen.

DOJ und FBI gaben am 26.01.2023 bekannt, seit Ende Juli 2022 monatelang verdeckt in die Infrastruktur der Ransomware-Gruppe Hive eingedrungen zu sein und fortlaufend Entschlüsselungscodes gesammelt zu haben. Diese wurden an über 300 aktuell angegriffene sowie mehr als 1000 frühere Opfer verteilt und verhinderten Lösegeldforderungen von rund 130 Millionen US-Dollar. Gemeinsam mit deutschen und niederländischen Behörden sowie Europol beschlagnahmten die Ermittler anschließend Hives Server.

Diese Operation wurde von beteiligten Behörden als Operation Dawnbreaker bezeichnet, nicht Operation Duck Hunt (das war die spätere, separate Qakbot-Zerschlagung im August 2023). Ob und wie viele Hive-Mitglieder identifiziert wurden, ist nicht dokumentiert.

Am 15.03.2023 nahm das FBI den 20-jährigen Conor Brian Fitzpatrick alias Pompompurin fest. Ihm wurde vorgeworfen, seit März 2022 die Hackerplattform BreachForums betrieben zu haben, die mehr als 340.000 Mitglieder zählte und als Marktplatz für gestohlene Datensätze diente. Parallel zur Festnahme führten FBI und HHS-OIG eine Operation durch, die BreachForums offline nahm.

Fitzpatrick bekannte sich im Juli 2023 schuldig und wurde nach zunächst nur Bewährungsauflagen später zu einer mehrjährigen Haftstrafe nachverurteilt. BreachForums ging kurz nach der Zerschlagung unter neuer Administration wieder online.

Am 12.04.2022 gaben US-Behörden im Rahmen von Operation TOURNIQUET die Beschlagnahme des Cybercrime-Forums RaidForums bekannt. Der mutmaßliche Gründer Diogo Santos Coelho alias Omnipotent war bereits am 31.01.2022 in Großbritannien festgenommen worden. Das seit 2015 bestehende Forum hatte mehr als 500.000 registrierte Nutzer und bot über 10 Milliarden Datensätze aus Datenlecks zum Verkauf an.

Der weitere Verlauf des Strafverfahrens gegen Coelho, insbesondere Ausgang der Auslieferung und ein mögliches Urteil, ist in dieser Quelle nicht dokumentiert.

Am 29.08.2023 gaben FBI und DOJ die Zerschlagung des Qakbot-Botnetzes bekannt, in Zusammenarbeit mit Partnern aus sechs Ländern. Die Operation identifizierte weltweit mehr als 700.000 infizierte Computer und führte zur Beschlagnahme von 52 Servern sowie rund 8,6 Millionen US-Dollar in Kryptowährung. Laut DOJ erhielten die Qakbot-Betreiber zwischen Oktober 2021 und April 2023 rund 58 Millionen US-Dollar aus Ransomware-Zahlungen.

Es wurden keine Festnahmen bekannt gegeben. Ob die Zerschlagung dauerhaft wirkte, ist fraglich, Sicherheitsforscher beobachteten bereits im Oktober und Dezember 2023 neue Qakbot-Phishingkampagnen.

Das US-Justizministerium gab am 20.07.2017 die Abschaltung des Darknet-Marktplatzes AlphaBay bekannt, den zu diesem Zeitpunkt größten illegalen Online-Marktplatz. Der mutmaßliche kanadische Betreiber Alexandre Cazes alias Alpha02 wurde am 05.07.2017 in Bangkok festgenommen und starb am 12.07.2017 mutmaßlich durch Suizid in Haft. Auf AlphaBay wurden über 250.000 Angebote für illegale Drogen sowie mehr als 100.000 Angebote für gestohlene Identitätsdokumente gelistet.

Ob Cazes tatsächlich Suizid beging, ist nicht unabhängig untersucht, die Einschätzung stammt von der thailändischen Polizei. Die ihm vorgeworfenen Straftaten wurden nie vor einem US-Gericht verhandelt.

Die Europäische Kommission verhängte am 27.06.2017 ein Bußgeld von 2,42 Milliarden Euro gegen Google wegen Missbrauchs seiner Marktmacht als Suchmaschine. Google platzierte in 13 EWR-Ländern die Ergebnisse seines eigenen Preisvergleichsdienstes Google Shopping prominent, während Konkurrenzdienste nur als einfache Links erschienen. Der Europäische Gerichtshof bestätigte die Entscheidung und die volle Bußgeldhöhe am 10.09.2024 in letzter Instanz.

Wie stark sich Googles seit 2017 geänderte Anzeigemechanismen tatsächlich auf Marktanteile konkurrierender Dienste auswirkten, ist nicht unabhängig verifiziert. Die separaten EU-Kartellverfahren zu Android und AdSense sind nicht Gegenstand dieser Entscheidung.

Die Europäische Kommission verhängte am 18.07.2018 eine Kartellstrafe von rund 4,34 Milliarden Euro gegen Google wegen Praktiken rund um Android: verpflichtende Vorinstallation von Google Search und Chrome als Play-Store-Bedingung, Zahlungen an Hersteller für exklusive Vorinstallation sowie Behinderung alternativer Android-Forks seit 2011.

Das Gericht der EU reduzierte die Strafe 2022 im Berufungsverfahren auf rund 4,125 Milliarden Euro. Ein späteres letztes Rechtsmittel vor dem EuGH im Sommer 2026 wurde für diesen Eintrag nicht anhand einer EU-Primärquelle verifiziert.

Die Europäische Kommission verhängte am 20.03.2019 eine Kartellstrafe von 1,49 Milliarden Euro gegen Google wegen restriktiver Klauseln in AdSense-for-Search-Verträgen mit Drittwebsites, darunter Exklusivitätsvorgaben und Genehmigungsvorbehalte für Konkurrenzanzeigen, festgestellt für den Zeitraum 2006 bis 2016.

Das Gericht der EU hob die Entscheidung samt Bußgeld am 18.09.2024 auf, weil die Kommission die wettbewerbsschädigende Wirkung nach Ansicht des Gerichts nicht ausreichend nachgewiesen hatte. Der weitere Verfahrensausgang danach wurde hier nicht recherchiert.

Die französische Wettbewerbsbehörde verhängte am 07.06.2021 ein Bußgeld von 220 Millionen Euro gegen Google wegen Missbrauchs einer marktbeherrschenden Stellung bei Ad-Servern, indem Google seine eigenen Dienste DoubleClick for Publishers und AdX bevorzugte. Auslöser war eine Beschwerde von News Corp aus 2019. Google ging im Vergleichsverfahren Verpflichtungen zur Interoperabilität mit Dritt-SSPs ein.

Ob die Interoperabilitäts-Verpflichtungen in der Praxis tatsächlich Wettbewerb wiederherstellten, ist nicht im Detail nachgezeichnet. Das Verhältnis zu späteren, umfassenderen EU-Kommissionsverfahren gegen Googles Adtech-Geschäft bleibt offen.

Das BSI warnte am 15.03.2022 auf Grundlage von § 7 BSI-Gesetz vor dem Einsatz von Virenschutzprodukten des russischen Herstellers Kaspersky. Begründet wurde dies mit dem Vorgehen russischer militärischer und nachrichtendienstlicher Kräfte im Kontext des Angriffskriegs gegen die Ukraine sowie den weitreichenden Systemberechtigungen von Antivirensoftware. Es war das erste Mal, dass die Behörde vor der gesamten Produktfamilie eines einzelnen Herstellers warnte statt vor einer konkreten Sicherheitslücke.

Dass Kaspersky-Software tatsächlich für Spionage im Auftrag russischer Stellen missbraucht wurde, ist nicht belegt. Das BSI räumte ein, die Warnung beruhe auf einer Risikoeinschätzung, nicht auf einem konkreten technischen Nachweis. Kaspersky bestritt die Vorwürfe und ging rechtlich gegen die Warnung vor.