Quellen-Tabelle

Cambridge Analytica und sein britisches Mutterunternehmen SCL Elections gaben am 02.05.2018 bekannt, den Geschäftsbetrieb mit sofortiger Wirkung einzustellen. SCL Elections und mehrere britische Tochtergesellschaften meldeten in Großbritannien Insolvenz an, parallel wurde für die US-Tochtergesellschaften ein Verfahren vor dem US Bankruptcy Court eingeleitet. Als Grund nannte das Unternehmen die negative Medienberichterstattung, die praktisch alle Kunden vertrieben habe.

Ob tatsächlich Nutzerdaten nach der Schließung gelöscht oder weiterverwendet wurden, ist nicht unabhängig verifiziert. Ob die Nachfolgefirma Emerdata, zu der mehrere Cambridge-Analytica-Manager wechselten, als bewusste Fortführung zu werten ist, bleibt offen.

Die CNIL verhängte am 07.12.2020 ein Bußgeld von 35 Millionen Euro gegen Amazon Europe Core, weil beim Besuch von amazon.fr rund 40 Werbe-Cookies automatisch platziert wurden, bevor Nutzer eine Wahl treffen konnten. Der Hinweisbanner informierte zudem nicht ausreichend über Zwecke und Ablehnungsmöglichkeit. Der französische Staatsrat bestätigte die Sanktion am 27.06.2022 in vollem Umfang.

Wie viele Nutzer konkret betroffen waren, ist nicht quantifiziert, die Entscheidung stellt primär auf formale Einwilligungsverstöße ab. Die genaue technische Zusammensetzung der beanstandeten Cookies ist nicht im Detail dokumentiert.

Die Europäische Kommission verhängte am 14.11.2024 gegen Meta eine Kartellstrafe von 797,72 Millionen Euro wegen automatischer Kopplung des Kleinanzeigendienstes Facebook Marketplace an das soziale Netzwerk sowie unfairer Geschäftsbedingungen für konkurrierende Anzeigenanbieter. Alle Facebook-Nutzer erhalten laut Kommission automatisch Zugang zu Marketplace, was Meta einen erheblichen Vertriebsvorteil verschaffe.

Der genaue Berechnungsweg der Bußgeldhöhe ist nicht im Detail dokumentiert. Meta kündigte Rechtsmittel vor dem Gericht der EU an, der Ausgang stand zum Recherchezeitpunkt noch aus.

Die schwedische Datenschutzbehörde IMY verhängte am 29.03.2022 gegen Klarna Bank AB ein Bußgeld von 7,5 Millionen schwedischen Kronen, umgerechnet rund 671.000 Euro. Geprüft wurde der Zeitraum Frühjahr 2020, Klarna informierte Nutzer nicht ausreichend über Zweck und Rechtsgrundlage bestimmter Datenverarbeitungen und machte unvollständige Angaben zu Empfängern personenbezogener Daten, darunter Auskunfteien.

Der spätere gerichtliche Verlauf, darunter eine zwischenzeitliche Herabsetzung und Wiederanhebung auf 7,5 Millionen Kronen durch das Kammarrätten im März 2024, ist in dieser Pressemitteilung selbst noch nicht abgebildet. Dieser Fall betrifft eine administrative Bußgeldentscheidung wegen Informationspflichten und ist getrennt vom separaten App-Datenpannen-Vorfall von Klarna 2021 zu betrachten.

Die CNIL verhängte am 31.12.2021 ein Bußgeld von insgesamt 150 Millionen Euro gegen Google (90 Mio Google LLC, 60 Mio Google Ireland), weil Nutzer auf google.fr und youtube.com Cookies mit einem Klick akzeptieren konnten, die Ablehnung aber mehrere Klicks erforderte. Die Behörde ordnete an, die Cookie-Ablehnung binnen drei Monaten so einfach wie die Annahme zu gestalten.

Ob Google innerhalb der Dreimonatsfrist vollständig compliant wurde, bleibt offen, die CNIL kam 2023 mit einer weiteren Entscheidung auf die Umsetzung zurück. Dieser Fall betrifft ausschließlich die Cookie-Bannergestaltung und ist getrennt vom späteren Google-Analytics-Verfahren zu betrachten.

Die Europäische Kommission verhängte am 04.03.2024 eine Geldbuße von 1,84 Milliarden Euro gegen Apple wegen Missbrauchs seiner marktbeherrschenden Stellung beim Vertrieb von Musik-Streaming-Apps über den App Store. Grundlage war eine Beschwerde von Spotify aus 2019. Apple habe Anti-Steering-Klauseln auferlegt, die es Diensten untersagten, iOS-Nutzer über günstigere Abo-Optionen außerhalb des App Store zu informieren.

Apple kündigte an, gegen die Entscheidung vor Gericht vorzugehen, der Ausgang des Rechtsmittelverfahrens war zum Recherchezeitpunkt offen. Der endgültige Zahlungsstatus der Buße ist nicht dokumentiert.

Royal Mail wurde am 10./11.01.2023 Opfer eines Ransomware-Angriffs eines LockBit-Partners, der den internationalen Post- und Paketversand an allen 11.500 Postfilialen lahmlegte. Die Angreifer forderten zunächst 80, später 40 Millionen US-Dollar. LockBit veröffentlichte einen 45-Gigabyte-Datensatz. Royal Mail meldete am 23.02.2023 die vollständige Wiederherstellung der internationalen Exportdienste nach rund sechs Wochen Störung.

Ob Royal Mail ein Lösegeld zahlte, ist nicht öffentlich bestätigt. Laut Royal Mail enthielt der Datensatz keine Finanzdaten, jedoch mindestens einen Fall mit Impfstatusdaten eines Mitarbeiters.

Die Ransomware-Gruppe LockBit behauptete im Oktober 2023, in Systeme von Boeing eingedrungen zu sein. Boeing bestätigte Anfang November 2023 einen Cybervorfall, die Flugsicherheit sei nicht betroffen. Ab dem 08.11.2023 veröffentlichte LockBit rund 43 Gigabyte Daten. Eine 2024 unversiegelte DOJ-Anklage bezifferte die ursprüngliche Lösegeldforderung auf 200 Millionen US-Dollar.

Der genaue Zeitpunkt des Ersteinbruchs und der vollständige Umfang der abgeflossenen Daten sind nicht öffentlich belegt. Die vermutete Ausnutzung der Citrix-Bleed-Schwachstelle wurde von Boeing nicht offiziell bestätigt.

Die Gruppe Scattered Spider verschaffte sich am 11.09.2023 per Social-Engineering-Anruf beim IT-Helpdesk Administratorzugriff auf die Okta- und Azure-Umgebung von MGM Resorts. Die Angreifer verschlüsselten mehr als 100 ESXi-Server mit BlackCat/ALPHV-Ransomware, wodurch Spielautomaten und Kreditkartenterminals tagelang ausfielen. Laut SEC-Mitteilung vom 05.10.2023 entstand ein geschätzter Verlust von rund 100 Millionen US-Dollar. Zusätzlich wurden persönliche Daten von Kunden mit MGM-Kontakt vor März 2019 entwendet.

Ob MGM tatsächlich kein Lösegeld zahlte, lässt sich nicht unabhängig verifizieren. Dieser Vorfall vom September 2023 ist getrennt vom früher dokumentierten MGM-Resorts-Datenleck 2019/2020 zu betrachten.

In der Nacht zum 11.12.2021 entdeckte der HR-Software-Anbieter UKG einen Ransomware-Angriff auf die Kronos Private Cloud. Betroffen waren UKG Workforce Central, TeleStaff, Healthcare Extensions und Banking Scheduling Solutions. Unternehmen wie Tesla, Temple University und die San Francisco Municipal Transit Authority mussten auf manuelle Prozesse für Lohnabrechnung und Zeiterfassung ausweichen.

Der Erstzugriffsvektor war zum Zeitpunkt dieser Meldung nicht bekannt. Die tatsächliche Ausfalldauer betrug bei manchen Kunden letztlich mehrere Monate, was in dieser frühen Quelle noch nicht dokumentiert ist.

Die Gruppe Conti verschaffte sich am 11.04.2022 über kompromittierte VPN-Zugangsdaten Zugang zum costa-ricanischen Finanzministerium und exfiltrierte rund 672 GB Daten, bevor sie die Systeme verschlüsselte. Der Angriff weitete sich auf mehrere Regierungsbehörden aus. Conti forderte zunächst 10, später 20 Millionen US-Dollar. Am 08.05.2022 rief Präsident Rodrigo Chaves als erstes Staatsoberhaupt weltweit wegen eines Cyberangriffs den nationalen Notstand aus.

Wie viele Regierungsbehörden konkret betroffen waren, wird unterschiedlich beziffert. Der zeitgleiche, separate Angriff der Gruppe Hive auf die Sozialversicherung CCSS ist ein eigenständiges Ereignis, das in Berichten teils vermischt wird.

Am 01.10.2023 veröffentlichte ein Hacker unter dem Pseudonym Golem im Forum BreachForums einen Datensatz mit Profildaten von rund einer Million 23andMe-Nutzern aschkenasisch-jüdischer Abstammung. Kurz darauf bot ein weiterer Nutzer einen Datensatz zu mehr als 300.000 Nutzern chinesischer Abstammung an. Insgesamt standen Profildaten von knapp 7 Millionen Nutzern zum Verkauf. 23andMe führte den Vorfall auf einen Credential-Stuffing-Angriff zurück, über den Angreifer via der Funktion DNA Relatives auch verknüpfte Profile auslesen konnten.

Die Identität hinter dem Pseudonym Golem und ein mögliches gezieltes Motiv sind nicht abschließend geklärt. Diese Quelle behandelt ausschließlich den Datendiebstahl von Oktober 2023, nicht die spätere Insolvenz von 23andMe.

Das FBI vergab den Codenamen Titan Rain für eine Serie von Cyberangriffen auf US-Netzwerke, die laut TIME-Recherche im September 2003 mit einem Einbruch bei Lockheed Martin begann und sich bis mindestens 2005 fortsetzte. Als betroffene Ziele nennt die Quelle unter anderem die Sandia National Laboratories, die NASA und das Arsenal Redstone. Die Angreifer kopierten gezielt Dateien und leiteten sie über Zwischenstationen in Südkorea, Hongkong und Taiwan nach Festlandchina weiter.

Ob die Angriffe direkt von der chinesischen Regierung gesteuert wurden, blieb ausdrücklich offen. Der genaue Gesamtumfang der entwendeten Daten sowie eine vollständige Liste aller betroffenen Behörden ist nicht abschließend beziffert.

Der Bericht Tracking GhostNet dokumentiert nach zehnmonatiger Untersuchung ein Cyberspionage-Netzwerk mit über 1.295 infizierten Rechnern in 103 Ländern. Rund 30 Prozent der betroffenen Systeme galten als hochwertige Ziele, darunter Außenministerien und Botschaften. Die Angreifer erlangten Zugriff auf Dokumente aus dem privaten Büro des Dalai Lama, die Schadsoftware erlaubte auch die Fernsteuerung von Webcams und Mikrofonen.

Die Verfasser stellen ausdrücklich klar, dass die genaue Identität der Angreifer nicht bekannt ist. Die technischen Spuren führten mehrheitlich zu Servern in China, eine gesicherte staatliche Urheberschaft wurde jedoch nicht nachgewiesen und von China zurückgewiesen.

Die IT-Sicherheit der Nordex Group stellte am 31.03.2022 fest, dass das Unternehmen Ziel eines Cybersicherheitsvorfalls war. Als Vorsichtsmaßnahme wurden IT-Systeme mehrerer Geschäftsbereiche an verschiedenen Standorten abgeschaltet und der Fernzugriff auf vertraglich betreute Windturbinen deaktiviert. Die Turbinen liefen nach ersten Erkenntnissen unbeeinträchtigt weiter.

Die genaue Zahl der betroffenen Standorte und das Ausmaß des Datenabflusses sind nicht offiziell spezifiziert. Die Ransomware-Gruppe Conti reklamierte den Angriff laut Medienberichten für sich, dies wurde von Nordex nicht explizit bestätigt.

Thyssenkrupp bestätigte am 08.12.2016 einen im Frühjahr 2016 begonnenen Cyberangriff auf Firmennetzwerke, der Standorte in Europa, Indien, Argentinien und den USA sowie das Stahlwalzwerk Hohenlimburg betraf. Die interne IT-Abwehr benötigte rund sechs Monate, um die Angreifer zu verdrängen, und stufte deren Ausrüstung als staatlich unterstützt ein. Die Angreifer stammten mutmaßlich aus China oder einem anderen südostasiatischen Land.

Eine eindeutige Zuordnung zu einem staatlichen Akteur oder einer bestimmten Hackergruppe ist nicht offiziell bestätigt. Thyssenkrupp machte keine genauen Angaben, welche und wie viele Daten konkret entwendet wurden.

Am 27.11.2016 fielen bei der Deutschen Telekom zeitweise rund 900.000 Internetanschlüsse aus, betroffen waren vor allem Speedport-Router. Ursache war eine weltweite Angriffswelle über das Fernwartungsprotokoll TR-069/TR-064 auf Port 7547, basierend auf einer modifizierten Mirai-Variante. Die Speedport-Router waren für die Lücke nicht anfällig, brachen aber unter der Last der Angriffsanfragen zusammen.

Der Anteil der direkt durch die Schadsoftware ausgefallenen Anschlüsse gegenüber netzwerküberlastungsbedingten Ausfällen ist nicht abschließend quantifizierbar. Spätere Entwicklungen wie eine Festnahme in Großbritannien Anfang 2017 sind nicht Bestandteil dieser Quelle.

Am 23.12.2015 kam es in der Westukraine zu einem Cyberangriff auf drei regionale Energieversorger. Angreifer nutzten die Schadsoftware BlackEnergy 3, die per Spearphishing platziert worden war. Rund 30 Umspannwerke wurden ferngesteuert abgeschaltet, wodurch etwa 230.000 Menschen für ein bis sechs Stunden ohne Strom waren, der weltweit erste bekannte erfolgreiche Cyberangriff auf ein Stromnetz.

Die konkrete Urheberschaft ist nicht gerichtsfest bewiesen. Sicherheitsforscher ordnen den Angriff der Gruppe Sandworm zu, die mit dem russischen Militärgeheimdienst GRU in Verbindung gebracht wird, der Bericht selbst nimmt keine offizielle Attribution vor.

Der Bundestag verabschiedete am 13.11.2025 das NIS2-Umsetzungsgesetz. Die EU-Umsetzungsfrist war bereits am 17.10.2024 abgelaufen, sodass Deutschland über ein Jahr im Verzug war und die EU-Kommission ein Vertragsverletzungsverfahren einleitete. Nach Zustimmung des Bundesrats am 21.11.2025 trat das Gesetz am 06.12.2025 in Kraft und verpflichtet rund 29.850 Unternehmen aus kritischen Sektoren zu verstärkten Cybersicherheitsmaßnahmen.

Ob die EU-Kommission das Vertragsverletzungsverfahren nach Inkrafttreten formell einstellte, ist offen. Die vollständige praktische Umsetzung durch die betroffenen Unternehmen war zum Recherchezeitpunkt noch nicht abschließend belegt.

Der EuGH entschied am 04.05.2023 in der Rechtssache C-300/21, dass ein bloßer DSGVO-Verstoß allein noch keinen Anspruch auf Schadensersatz nach Artikel 82 begründet. Der Anspruch setzt drei kumulative Voraussetzungen voraus: einen Verstoß, einen dadurch entstandenen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang. Der EuGH stellte klar, dass ein immaterieller Schaden keine bestimmte Erheblichkeitsschwelle überschreiten muss. Anlass war die Klage eines Österreichers, dem die Post AG per Algorithmus ohne Einwilligung eine Parteiaffinität zugeschrieben hatte.

Der EuGH entscheidet in Vorabentscheidungsverfahren nicht über den konkreten Streitfall, das blieb dem Obersten Gerichtshof Österreichs überlassen. Nach welchen Kriterien die Höhe eines immateriellen Schadens zu bemessen ist, ließ der EuGH offen und verwies auf die Mitgliedstaaten.

Der BGH entschied am 18.11.2024 (Az. VI ZR 10/24) im ersten Leitentscheidungsverfahren über Ansprüche aus dem Facebook-Scraping-Vorfall von 2021, bei dem Daten von rund 533 Millionen Nutzern offengelegt wurden. Der BGH bestätigte, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden nach Art. 82 DSGVO begründen kann, ohne konkreten Missbrauch nachweisen zu müssen. Der Vorsitzende Richter nannte für den bloßen Kontrollverlust eine Größenordnung von etwa 100 Euro und verwies die Sache zurück an das OLG Köln.

Der Betrag von rund 100 Euro ist eine richterliche Orientierungsgröße, keine feste Summe für alle Fälle. Wie sich die Entscheidung auf tausende weitere anhängige Parallelverfahren auswirkt, ist nicht abschließend geklärt, da diese jeweils neu bewertet werden müssen.

Seit dem 02.02.2025 gelten die Verbote aus Artikel 5 der EU-KI-Verordnung. Darunter fällt der Einsatz biometrischer Echtzeit-Fernidentifizierung im öffentlichen Raum durch Strafverfolgungsbehörden, der grundsätzlich untersagt ist. Ausnahmen bestehen nur eng begrenzt, etwa bei der Suche nach vermissten Kindern. Verstöße können mit Bußgeldern bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden.

Nicht vom Verbot erfasst ist die nachträgliche biometrische Fernidentifizierung, wofür bereits ein begründeter Tatverdacht genügt, was Bürgerrechtsorganisationen als Schlupfloch kritisieren. Belastbare Zahlen zu tatsächlichen Anwendungsfällen liegen nicht vor.

NHS England vergab im November 2023 den Vertrag für die landesweite Federated Data Platform an ein von Palantir Technologies UK geführtes Konsortium mit Accenture, PwC und weiteren Partnern. Der Vertrag hat eine Laufzeit von bis zu sieben Jahren und ein Investitionsvolumen von bis zu 330 Millionen Pfund. Die Plattform soll Daten aus bis zu 240 NHS-Organisationen zusammenführen, um Wartelisten zu verkürzen.

Wie hoch der tatsächlich ausgezahlte Betrag im Vergleich zum Maximalvolumen ausfällt, ist offen. Dieser Eintrag betrifft ausdrücklich den 2023 abgeschlossenen Langzeitvertrag, nicht den früheren Notfallvertrag von 2020 zum COVID-19 Data Store.

Der CLOUD Act wurde am 23.03.2018 von Präsident Trump unterzeichnet. Er verpflichtet US-Technologieunternehmen, gespeicherte Nutzerdaten auf richterliche Anordnung herauszugeben, unabhängig davon, ob die Server in den USA oder im Ausland stehen. Anlass war der Rechtsstreit USA gegen Microsoft. Microsoft, Apple, Google und Facebook unterstützten die Ausarbeitung des Gesetzes, das zugleich bilaterale Abkommen für den Datenzugriff ermöglicht.

Wie oft US-Behörden seit 2018 tatsächlich per CLOUD-Act-Anordnung auf im Ausland gespeicherte Daten zugegriffen haben, ist nicht dokumentiert. Der Konflikt mit der DSGVO ist bislang nicht abschließend gerichtlich geklärt.

Im Dezember 2013 verlangte ein US-Bundesrichter von Microsoft die Herausgabe von E-Mail-Inhalten, die in einem Rechenzentrum in Dublin gespeichert waren. Microsoft focht dies an, am 14.07.2016 entschied das Berufungsgericht des Zweiten Bezirks zugunsten von Microsoft. Am 17.04.2018 erklärte der Supreme Court den Fall für gegenstandslos, nachdem der CLOUD Act eine neue gesetzliche Grundlage geschaffen hatte und das Justizministerium einen neuen Durchsuchungsbeschluss erwirkte.

Da der Supreme Court den Fall wegen Gegenstandslosigkeit nicht in der Sache entschied, bleibt offen, wie er über die extraterritoriale Reichweite von US-Durchsuchungsbeschlüssen geurteilt hätte.