Quellen-Tabelle

Die Deutsche Bank einigte sich 2017 mit dem US-Justizministerium auf 3,1 Mrd. Dollar Strafe plus 4,1 Mrd. Dollar Verbraucherhilfe wegen des Verkaufs fehlerhaft besicherter Hypothekenpapiere vor der Finanzkrise.

Übersichtsquelle, keine Primärquelle. Die Kernzahlen dieses Einzelfalls sind aber auch in Primärquellen des DOJ öffentlich dokumentiert.

Das Bundesaufsichtsamt für das Kreditwesen schloss die Kölner Herstatt Bank am 26.06.1974 wegen riskanter Devisenspekulationen, bei einem Eigenkapital von nur 44 Mio. D-Mark hatte sie Verluste von 470 Mio. D-Mark angehäuft.

Übersichtsquelle zu einem historischen, gut dokumentierten Fall. Der Begriff 'Herstatt-Risiko' und die Basel-Committee-Gründung als Folge sind in der Fachliteratur breit belegt.

Equifax gab im September 2017 ein Datenleck bekannt, das personenbezogene Daten von 147 Millionen Menschen offenlegte: mindestens 147 Mio. Namen und Geburtsdaten, 145,5 Mio. Sozialversicherungsnummern sowie 209.000 Zahlungskartennummern samt Ablaufdatum. Die FTC stellte fest, dass Equifax grundlegende Sicherheitsmaßnahmen versäumt hatte, u. a. das Patchen bekannter Schwachstellen, die Netzwerksegmentierung und funktionierende Angriffserkennung auf Altsystemen. Im Vergleich mit FTC, CFPB und 50 US-Bundesstaaten/Territorien zahlte Equifax mindestens 575 Mio. USD, potenziell bis zu 700 Mio. USD, davon bis zu 425 Mio. USD als Entschädigung für Betroffene.

Der Vergleich betrifft US-Recht und US-Betroffene; Aussagen zu europäischen Equifax-Kunden oder einer DSGVO-Sanktion sind aus dieser Quelle nicht belegt.

Am 23.02.2009 durchsuchten Ermittler des britischen Information Commissioner's Office (ICO) die Räume der Consulting Association und fanden Akten zu 3.213 Bauarbeitern, die als illegale schwarze Liste dienten. Auf der über mehr als 30 Jahre von großen Baufirmen finanzierten Liste standen politische Aktivisten, Umweltschützer, Betriebsräte und Arbeitsschutzbeauftragte, die deshalb keine Anstellung mehr bekamen. Der Betreiber Ian Kerr wurde wegen Verstoßes gegen das Datenschutzgesetz zu 5.000 Pfund Geldstrafe verurteilt; 44 identifizierte Baufirmen erhielten Vollzugsschreiben des ICO.

Eine spätere Entschädigungsregelung für Betroffene wurde in Großbritannien eingerichtet; deren genauer Umfang und die ausgezahlten Summen sind aus dieser Quelle nicht belegt.

FraUKe (Frankfurter Urteilskonfigurator Elektronisch) ist laut hessischem Justizministerium bundesweit das erste KI-gestützte Assistenzsystem, bei dem Künstliche Intelligenz Richterinnen und Richter aktiv bei der Urteilsfindung unterstützt, eingesetzt im Bereich der Fluggastrechte. Parallel entwickeln Nordrhein-Westfalen, Niedersachsen, Brandenburg und Hessen im Projekt MAKI (Massenverfahrens-Assistenz mittels Künstlicher Intelligenz) eine gemeinsame Grundlage für den KI-Einsatz bei Massenverfahren an Amtsgerichten; NRW und Bayern bauen zudem gemeinsam ein juristisches Sprachmodell (GSJ) auf.

Belegt ist der Einsatz bei Fluggastrechte-Massenverfahren. Wie weit die Letztentscheidung beim Menschen liegt und in welchem Umfang die KI-Textvorschläge unverändert übernommen werden, ist aus dieser Quelle nicht im Detail belegt.

Am 29.08.2017 ordnete die FDA einen freiwilligen Rückruf von 465.000 Herzschrittmachern des Herstellers Abbott (übernommen von St. Jude Medical) an, um eine Firmware-Sicherheitslücke zu schließen. Betroffen waren sechs Modellreihen (Accent, Accent MRI, Accent ST, Allure, Anthem, Assurity). Die Schwachstelle hätte es unbefugten Personen mit handelsüblicher Ausrüstung ermöglicht, aus der Nähe auf das implantierte Gerät zuzugreifen und dessen Programmierung zu verändern, mit möglichen Folgen wie beschleunigter Batterieentladung oder fehlerhafter Herzstimulation. Der Rückruf bestand aus einem Firmware-Update beim Arzt, kein Austausch des Geräts war nötig.

Die FDA meldete zum Zeitpunkt des Rückrufs keine bekannten Verletzungsfälle durch die Schwachstelle; ob es später tatsächlich zu einem Angriff über diese Lücke kam, ist aus dieser Quelle nicht belegt.

Seit Oktober 2025 laufen in deutschen Kliniken Pilotprojekte mit Microsofts KI-Dokumentationssystem Dragon Copilot, darunter Charité Berlin, Universitätsklinikum Mannheim, Kliniken Stuttgart, Region Hannover und BG Klinikum Halle. Das System hört als 'Ambient Scribe' mit Einwilligung der Beteiligten das Arzt-Patienten-Gespräch mit, erstellt automatisch strukturierte Dokumentation und Befunde, die anschließend von Ärzten geprüft und freigegeben werden. Es kombiniert die Spracherkennung von Dragon Medical One mit den Ambient-Listening-Fähigkeiten von Dragon Ambient eXperience Copilot und generativer KI und ist seit Kurzem deutschlandweit allgemein verfügbar.

Der Anbieter beschreibt die Verarbeitung als datenschutzkonform; eine unabhängige Prüfung der konkreten Datenspeicherung und -weitergabe an Microsoft-Server ist aus dieser Herstellerquelle nicht belegt.

Am 21.04.2022 verschafften sich Angreifer der Gruppe BlackCat über einen Arbeitsplatzrechner Zugang zu den IT-Systemen des Landes Kärnten; entdeckt wurde der Angriff erst am 24.05.2022 durch Auffälligkeiten im Netzwerk. Die Angreifer erbeuteten rund 250 GB Daten, darunter Passkopien, Corona-Testergebnisse, Bankkartendaten sowie Korrespondenz des Landeshauptmanns und mehrerer Landesräte; 5,6 GB davon wurden veröffentlicht. Rund 3.000 Rechner der Landesregierung, Bezirkshauptmannschaften und Gerichte mussten vom Netz genommen werden. Die Gruppe forderte 5 Millionen Euro Lösegeld in Bitcoin; das Land zahlte nicht. Der österreichische Rechnungshof stellte 2024 weiterhin Verbesserungsbedarf bei der IT-Sicherheit des Landes fest.

Der Rechnungshofbericht bewertet den Zustand der IT-Sicherheit nach dem Vorfall; ob die Ursprungslücke seither vollständig geschlossen wurde, ist aus dieser Quelle nicht abschließend belegt.

In Deutschland gibt es zwei etablierte Robinsonlisten (ichhabediewahl.de und robinsonliste.de), in die sich Verbraucher gegen unerwünschte Werbepost eintragen können. Unternehmen sind jedoch rechtlich nicht verpflichtet, ihre Adressbestände gegen diese Listen abzugleichen; der Abgleich ist freiwillig und kostenpflichtig. Größere Firmen, insbesondere Mitglieder des Deutschen Dialogmarketing Verbands, gleichen meist freiwillig ab, während kleinere oder ausländische Versender den Abgleich häufig aus Kosten- oder Organisationsgründen auslassen. Ein individueller Werbewiderspruch gegenüber einem Adresshändler muss dagegen unverzüglich befolgt werden; danach ist die weitere Nutzung der Daten für Werbezwecke untersagt.

Die Robinsonliste wirkt nur gegenüber den Unternehmen, die freiwillig abgleichen; sie ist kein rechtlich durchsetzbares generelles Werbeverbot.

Gouverneurin Tina Kotek unterzeichnete am 28.03.2024 mit SB 1596 das erste US-Gesetz, das die Praxis des 'Parts Pairing' verbietet: Hersteller wie Apple serialisieren Gerätekomponenten softwareseitig, sodass ein Gerät nur mit authentifizierten Originalteilen voll funktioniert. Das Gesetz verpflichtet Hersteller, Kunden die Nutzung neuer, gebrauchter oder Dritthersteller-Ersatzteile ohne Funktionseinschränkung zu ermöglichen, und gilt für alle neuen Elektronikgeräte ab 01.01.2025. Apple lobbyierte gegen das Verbot und argumentierte, Parts Pairing sei ein Sicherheitsmerkmal.

Das Gesetz gilt nur im US-Bundesstaat Oregon; eine EU-weite oder deutsche Entsprechung ist aus dieser Quelle nicht belegt.

Wahlberechtigte können das Wählerverzeichnis in Deutschland üblicherweise vom 20. bis zum 16. Tag vor der Wahl einsehen, allerdings nur die eigenen Daten uneingeschränkt. Die Einsicht in die Daten anderer Personen ist nur zulässig, wenn ein möglicher Fehler im Wählerverzeichnis plausibel dargelegt wird. Aus Datenschutzgründen geht die Praxis zunehmend dazu über, statt vollständiger Listen nur gezielte Einzelabfragen zuzulassen. Für Personen mit eingetragener Auskunftssperre nach § 51 Bundesmeldegesetz gilt das Einsichtsrecht Dritter gar nicht erst.

Die genaue Ausgestaltung der Einsichtsregeln kann je nach Bundesland und Kommune leicht variieren; eine bundesweit einheitliche Verwaltungspraxis ist aus dieser Quelle nicht belegt.

Im September 2020 verschlüsselte ein Ransomware-Angriff über eine Citrix-VPN-Schwachstelle (CVE-2019-19781) rund 30 Server des Universitätsklinikums Düsseldorf. In der Folge setzte die Klinik ihre Notaufnahme aus, sodass Rettungswagen umgeleitet wurden. Zwei Nächte später starb eine Patientin mit lebensbedrohlichem Zustand, die wegen der ausgesetzten Notaufnahme rund eine Stunde später in einem weiter entfernten Krankenhaus behandelt wurde. Nach eingehender Untersuchung mit medizinischen Gutachtern und Obduktion stellte die Staatsanwaltschaft fest, der Gesundheitszustand der Patientin sei zum Zeitpunkt der Abholung bereits so schwerwiegend gewesen, dass sie unabhängig vom Krankenhausort verstorben wäre; die Erkrankung sei alleinige Todesursache gewesen, unabhängig vom Cyberangriff.

Der Fall wird oft als 'erster tödlicher Hackerangriff' zitiert; die Staatsanwaltschaft stellte jedoch gerade keinen ursächlichen Zusammenhang zwischen Angriff und Tod fest. Beide Lesarten kursieren in der Berichterstattung, hier wird bewusst die Ermittlungsfeststellung wiedergegeben.

Von August 2017 bis Sommer 2018 testete das Bundesinnenministerium am Berliner Bahnhof Südkreuz biometrische Gesichtserkennungskameras der Bundespolizei. Laut Auswertung erkannte die Software in 80 Prozent der Fälle Testpersonen zuverlässig wieder, selbst mit Brille, Hut oder Schal. Das Bundesinnenministerium bewertete den Test als Erfolg; Datenschützer widersprachen und bezeichneten die Ergebnisse als 'unwissenschaftlich' und ein 'Debakel'. Der Deutsche Anwaltsverein kritisierte, das massenhafte Scannen unbescholtener Bürger stelle sie unter Generalverdacht und verletze Persönlichkeits- und Freiheitsrechte. Frankfurt am Main betreibt inzwischen dauerhafte automatisierte Gesichtserkennung im Rotlichtviertel, bei der Kamerabilder permanent nach bestimmten Personen durchsucht werden.

Die 80-Prozent-Zahl stammt aus der Auswertung des Bundesinnenministeriums selbst, das ein Eigeninteresse am Erfolg des Projekts hatte; eine methodisch unabhängige Überprüfung der Fehlerquote wird von Kritikern in dieser Quelle ausdrücklich bestritten.

Die Gesichtserkennungsfirma Clearview AI wurde 2022 von den Datenschutzbehörden Italiens (Februar), Frankreichs und Griechenlands (Juli) jeweils mit einem Bußgeld von 20 Millionen Euro belegt, der jeweiligen gesetzlichen Höchststrafe. Die Behörden stellten fest, dass Clearview biometrische Daten ohne Rechtsgrundlage verarbeitete, da weder eine Einwilligung der abgebildeten Personen noch ein berechtigtes Interesse vorlag. Gerichte wiesen Clearviews Argument zurück, als US-Unternehmen nicht an die DSGVO gebunden zu sein, da das Unternehmen Daten von Personen in Europa sammelte. Griechenland untersagte zusätzlich jede weitere Erhebung oder Verarbeitung von Daten griechischer Staatsbürger und ordnete deren Löschung an.

Ob Clearview die verhängten Bußgelder tatsächlich gezahlt hat, ist aus dieser Quelle nicht belegt; das Unternehmen operiert primär in den USA außerhalb direkter EU-Vollstreckungsmöglichkeiten.

Die baden-württembergische Datenschutzbehörde eröffnete das weltweit erste Bußgeldverfahren gegen die aus der Karibik operierende Gesichtssuchmaschine PimEyes, die es erlaubt, mit einem hochgeladenen Foto im gesamten Internet nach optisch ähnlichen Gesichtern zu suchen. Landesdatenschutzbeauftragter Stefan Brink bewertete das Missbrauchspotenzial als hochproblematisch: Stalker könnten die Software nutzen, Personen im Sexarbeitsgewerbe könnten geoutet, Rachepornografie leichter gefunden und Demonstrationsteilnehmer im Nachhinein identifiziert werden. Eine im November 2022 eingegangene Stellungnahme von PimEyes zu Rechtsgrundlage, technischen Maßnahmen und Missbrauchsschutz bewertete die Behörde als unzureichend, da zentrale Fragen unbeantwortet blieben.

Der Ausgang des Bußgeldverfahrens und eine mögliche tatsächliche Zahlung durch das karibisch ansässige Unternehmen sind aus dieser Quelle nicht belegt.

Die FTC stellte fest, dass der Online-Therapieanbieter BetterHelp zwischen 2017 und 2020 E-Mail-Adressen, IP-Adressen und Angaben aus Gesundheitsfragebögen an Facebook (Meta), Snapchat, Pinterest und Criteo zu Werbezwecken weitergab, obwohl das Unternehmen Nutzern zugesichert hatte, Gesundheitsdaten nur eingeschränkt zu verwenden. BetterHelp nutzte insbesondere die Information, dass jemand bereits in Therapie gewesen war, um Facebook zur Identifizierung ähnlicher Zielgruppen für Werbung anzuweisen, was dem Unternehmen zehntausende neue zahlende Nutzer und Millionenumsätze einbrachte. Die FTC verhängte 2023 eine Zahlung von 7,8 Millionen US-Dollar, untersagte BetterHelp die Weitergabe von Gesundheitsdaten zu Werbezwecken und ordnete Rückerstattungen an Betroffene an, die ab Mai 2024 verschickt wurden.

Die Zahl der tatsächlich individuell entschädigten Nutzer und die durchschnittliche Rückerstattungssumme sind aus dieser Quelle nicht beziffert.

Die FTC leitete ein Verfahren nach ihrer Health Breach Notification Rule gegen den Online-Apotheken-Preisvergleichsdienst GoodRx ein, weil das Unternehmen es versäumte, Nutzer über unautorisierte Weitergaben ihrer Gesundheitsdaten zu informieren. GoodRx teilte sensible Angaben zu verschriebenen Medikamenten und Gesundheitszuständen wiederholt mit Werbepartnern wie Facebook, Google, Criteo sowie weiteren Dritten wie Branch und Twilio, obwohl es Nutzern zuvor Vertraulichkeit zugesichert hatte. Mit den an Facebook übermittelten Daten ließ GoodRx eigene Nutzer gezielt mit personalisierter, medikamentenspezifischer Werbung auf Facebook und Instagram ansprechen. Das Unternehmen zahlte im Rahmen des Vergleichs eine Zivilstrafe von 1,5 Millionen US-Dollar, bestritt jedoch jegliches Fehlverhalten und erklärte, die Praxis bereits rund drei Jahre vor der FTC-Untersuchung von sich aus beendet zu haben.

GoodRx bestreitet die Vorwürfe ausdrücklich, obwohl das Unternehmen die Zahlung leistete; ein gerichtliches Schuldeingeständnis liegt laut dieser Quelle nicht vor.

Die FTC stellte fest, dass die Zyklus- und Fruchtbarkeits-App Flo trotz gegenteiliger Zusicherung sensible Gesundheitsdaten von Millionen Nutzerinnen an Marketing- und Analysefirmen weitergab, darunter die Analyseabteilungen von Facebook und Google, Googles Fabric-Dienst, AppsFlyer und Flurry, unter anderem die Tatsache einer Schwangerschaft in Form von 'App-Events'. Eine Wall-Street-Journal-Recherche hatte 2019 aufgedeckt, dass mehrere Gesundheits-Apps, darunter Flo, sensible In-App-Aktivitätsdaten über eingebettete Analysetools an Facebook sendeten. Die FTC verpflichtete Flo Health per Vergleich, künftig vor jeder Weitergabe persönlicher Gesundheitsdaten eine ausdrückliche Einwilligung einzuholen und die eigene Datenschutzpraxis unabhängig prüfen zu lassen. In einem späteren Verfahren zahlten Google 48 Millionen und Flo Health 8 Millionen US-Dollar Entschädigung an Nutzerinnen, die zwischen November 2016 und Februar 2019 Menstruations- oder Schwangerschaftsdaten eingegeben hatten.

Die Entschädigungssumme betrifft nur Nutzerinnen im genannten Zeitraum; ob und wie Daten nach Aufdeckung des Falls weiterhin bei den Empfängern gespeichert blieben, ist aus dieser Quelle nicht belegt.

Die irische Datenschutzbehörde DPC verhängte gegen TikTok ein Bußgeld von 345 Millionen Euro wegen DSGVO-Verstößen im Umgang mit Daten minderjähriger Nutzer zwischen Ende Juli und Ende Dezember 2020. Konkret bot TikTok 13- bis 17-Jährigen als Voreinstellung an, ihre Beiträge standardmäßig öffentlich für alle sichtbar zu veröffentlichen, und die Kommentarfunktion in Minderjährigen-Profilen war standardmäßig für alle anderen Nutzer offen. Zusätzlich kritisierte die DPC die 'Familien-Kopplung', mit der Erwachsene ihr Konto mit dem eines Kindes verknüpfen konnten, ohne dass geprüft wurde, ob es sich tatsächlich um ein Elternteil oder eine berechtigte Person handelte, wodurch Fremde Minderjährigen Direktnachrichten senden konnten. TikTok musste die Datenverarbeitung binnen drei Monaten DSGVO-konform anpassen.

Ob TikTok die geforderten Anpassungen fristgerecht und vollständig umsetzte, ist aus dieser Quelle nicht belegt.

Die schwedische Datenschutzbehörde IMY verhängte im März 2022 gegen den Zahlungsdienst Klarna ein Bußgeld von 7,5 Millionen schwedischen Kronen (rund 671.000 Euro). Klarna informierte Nutzer nicht ausreichend über Zweck und Rechtsgrundlage bestimmter Datenverarbeitungen und machte unvollständige beziehungsweise irreführende Angaben darüber, an welche Empfänger, darunter schwedische und ausländische Auskunfteien, personenbezogene Daten weitergegeben wurden. Zudem fehlten Informationen darüber, in welche Länder außerhalb des Europäischen Wirtschaftsraums Klarna Daten übermittelt und wie Betroffene entsprechende Auskünfte erhalten können. Während der laufenden Untersuchung änderte Klarna wiederholt seine Angaben zum Umgang mit personenbezogenen Daten. Ein Berufungsgericht in Stockholm bestätigte das ursprüngliche Bußgeld in vollem Umfang.

Die untersuchten Angaben betreffen den Stand von Frühjahr 2020; ob Klarnas Praxis inzwischen vollständig DSGVO-konform ist, ist aus dieser Quelle nicht belegt.

Körperscanner ('Nacktscanner') gehören inzwischen zur Standardausrüstung an immer mehr von der Bundespolizei betriebenen deutschen Flughäfen. Kritisiert wurde insbesondere, dass frühe Scannerbilder scharf genug waren, um nicht nur Genitalien, sondern auch Prothesen, Piercings und künstliche Stomata sichtbar zu machen. Erste Scannergenerationen nutzten Röntgenstrahlung, was gesundheitliche Bedenken bei Vielfliegern und Flughafenpersonal auslöste; die meisten Flughäfen sind inzwischen auf nicht-ionisierende Millimeterwellen-Scanner umgestiegen. Nach der EU-Verordnung 2015/1998 ist die Nutzung von Körperscannern offiziell freiwillig; wer den Scanner ablehnt, kann stattdessen eine manuelle Abtastkontrolle wählen. Die erzeugten Bilder werden laut Betreiberangaben nicht gespeichert, sondern nach der Prüfung gelöscht; in den USA wurde dagegen bekannt, dass Aufnahmen an manchen Standorten gespeichert und archiviert wurden.

Ob deutsche Körperscanner-Standorte die Nicht-Speicherung tatsächlich lückenlos einhalten, ist aus dieser Quelle nicht unabhängig überprüft, sondern beruht auf Betreiberangaben; der US-Präzedenzfall zeigt, dass eine solche Zusicherung nicht zwingend verlässlich ist.

Wer sich vor Bedrohung, Beleidigung oder unrechtmäßiger Nachstellung (Stalking) schützen will, kann nach § 51 Abs. 1 Bundesmeldegesetz eine Auskunftssperre im Melderegister formlos beantragen und muss dabei die Gründe glaubhaft machen. Eine zentrale Einschränkung: Die Auskunftssperre verhindert ausschließlich Melderegisterauskünfte an private Dritte; Behörden und andere öffentliche Stellen erhalten die erforderlichen Datenübermittlungen weiterhin uneingeschränkt. Die Sperre gilt zudem stets nur befristet auf zwei Jahre, und selbst innerhalb der Sperrfrist kann eine Auskunft erteilt werden, wenn eine Anfrage den konkreten Schutzzweck nicht berührt. Nach Eintragung einer Auskunftssperre muss die Meldebehörde die betroffene Person über jede eingehende Auskunftsanfrage informieren; Daten können zusätzlich bei anderen öffentlichen Stellen wie Finanzamt, Jugendamt und Gerichten gespeichert bleiben, wo eigene, separate Sperrmöglichkeiten bestehen.

Wie oft Behörden trotz aktiver Auskunftssperre versehentlich Daten an Dritte weitergeben, ist aus dieser Quelle nicht mit Fallzahlen belegt; die beschriebenen Grenzen sind rechtlich-strukturelle Lücken, keine dokumentierten Einzelvorfälle.

Nordrhein-Westfalen kaufte insgesamt vier Steuer-CDs aus der Schweiz an. Im Februar 2010 wurde eine CD mit Namen und Kontodaten von Credit-Suisse-Kunden für 2,5 Millionen Euro erworben; 2012 kaufte der damalige NRW-Finanzminister Norbert Walter-Borjans weitere CDs, darunter eine der Schweizer Bank UBS mit Informationen zu rund 750 Stiftungen und 550 weiteren Fällen mit einem Anlagevolumen von über 2,9 Milliarden Euro. Die Auswertung der Steuer-CDs löste eine Welle freiwilliger Selbstanzeigen sowie zahlreiche Steuerstrafverfahren aus; laut einer Statista-Umfrage bei den Landesfinanzbehörden stieg die Zahl der Selbstanzeigen 2013 um über 200 Prozent. Allein in Nordrhein-Westfalen kamen rund 70 Millionen Euro an Mehreinnahmen aus der Auswertung der Steuer-CDs zusammen, weitere rund 400 Millionen Euro an Mehreinnahmen wurden bundesweit auf durch die Ankäufe ausgelöste Selbstanzeigen zurückgeführt.

Der Ankauf gestohlener Bankdaten durch den Staat blieb rechtlich und politisch umstritten; ob die Käufe rechtmäßig waren, wurde in Deutschland kontrovers diskutiert und ist aus dieser Quelle nicht abschließend geklärt.

Am 21.02.2024 wurde ein Ransomware-Angriff auf Change Healthcare entdeckt, einen der größten Abrechnungsdienstleister im US-Gesundheitssystem, nachdem Angreifer der mit BlackCat/ALPHV verbundenen Gruppe neun Tage lang unbemerkt im Netzwerk operiert hatten. Zugang erhielten sie über ein Citrix-Fernzugriffsportal ohne Multi-Faktor-Authentifizierung. Die Muttergesellschaft UnitedHealth zahlte über ihre Tochter Optum ein Lösegeld von 22 Millionen US-Dollar. Nach anfänglichen Schätzungen von 100 Millionen Betroffenen korrigierte UnitedHealth die Zahl später auf 190 Millionen betroffene Amerikaner, fast die Hälfte der US-Bevölkerung, deren persönliche und Gesundheitsdaten gestohlen wurden. Der Angriff verursachte monatelange Ausfälle im US-Gesundheitssystem; UnitedHealth gab 2024 insgesamt 3,1 Milliarden US-Dollar für die Bewältigung der Attacke aus.

UnitedHealth verzögerte laut Medienberichten die Benachrichtigung Betroffener über mehrere Monate; die genauen Gründe für die Verzögerung sind aus dieser Quelle nicht abschließend geklärt.

Die französische Datenschutzbehörde CNIL verhängte am 10.12.2020 nach Online-Kontrollen auf google.fr und amazon.fr Bußgelder von insgesamt 135 Millionen Euro: 100 Millionen Euro gegen Google (60 Mio. gegen Google LLC, 40 Mio. gegen Google Ireland Ltd.) und 35 Millionen Euro gegen Amazon. Beide Unternehmen platzierten automatisch personalisierte Werbe-Cookies auf den Endgeräten der Nutzer, ohne vorab deren Einwilligung einzuholen; zusätzlich bewertete die CNIL die bereitgestellten Informationen zu den Cookies als unzureichend. Die Unternehmen erhielten drei Monate Zeit zur Anpassung, andernfalls drohten weitere 100.000 Euro Strafe pro zusätzlichem Verzögerungstag. Der französische Conseil d'État bestätigte die Entscheidung gegen Amazon später in der Berufung.

Ob die tatsächlich verhängten Nachfrist-Strafzahlungen von 100.000 Euro pro Tag jemals fällig wurden, ist aus dieser Quelle nicht belegt.