Quellen-Tabelle

Deutsche Bank und Postbank bestätigten Anfang Juli 2023, dass bei ihrem externen Dienstleister Majorel Deutschland GmbH, der den Kontowechselservice betrieb, Kundendaten entwendet wurden. Ursache war eine Schwachstelle in der Dateiübertragungssoftware MOVEit Transfer, ausgenutzt von der Erpressergruppe Cl0p. Betroffen waren Kunden, die zwischen 2016 und 2020 den Kontowechselservice nutzten; erbeutet wurden Namen sowie IBANs. Auch ING, Comdirect und Norisbank waren betroffen, laut Deutsche Bank global mehr als 100 Unternehmen in über 40 Ländern durch denselben MOVEit-Vorfall. Die eigenen Systeme der Deutschen Bank waren nicht kompromittiert, betroffen war ausschließlich der Dienstleister.

Die genaue Gesamtzahl der betroffenen Kunden ist nicht offiziell bestätigt. Ein Sekundärbericht nennt unbelegte Einzelzahlen von insgesamt über 144.000 Datensätzen, die in dieser Recherche nicht anhand einer offiziellen Quelle verifiziert werden konnten. Ein Bußgeld oder förmliches Aufsichtsverfahren zu diesem konkreten Vorfall wurde nicht gefunden.

Die ICO verhängte am 16.10.2020 gegen British Airways ein Bußgeld von 20 Millionen Pfund wegen des Datenlecks von 2018, bei dem Nutzer auf eine gefälschte Website umgeleitet wurden und Angreifer persönliche und Zahlungsdaten von rund 430.000 Kunden abgriffen. Die ICO hatte im Juli 2019 zunächst 183,39 Millionen Pfund angekündigt. Die finale Summe entspricht nur rund 11 Prozent des ursprünglichen Betrags, inklusive einer Reduktion von 4 Millionen Pfund wegen der Corona-Pandemie.

Die genaue Berechnungsformel für die Reduzierung veröffentlichte die ICO nicht. Ob BA das Bußgeld vollständig gezahlt hat, ist nicht abschließend ersichtlich. Eine separate zivilrechtliche Sammelklage Betroffener ist nicht Gegenstand dieses Verfahrens.

Die Deutsche Bahn glich 2002 und 2003 heimlich die Daten von rund 173.000 der damals etwa 240.000 Beschäftigten mit einem Verzeichnis von rund 80.000 Lieferanten ab, um mögliche Korruption aufzudecken. Ein konkreter Verdacht bestand nicht, Betroffene wurden nicht informiert. Öffentlich bekannt wurde die Rasterfahndung erst Ende Januar 2009. Der Berliner Datenschutzbeauftragte Alexander Dix verhängte ein Bußgeld von rund 1,1 Millionen Euro, das die Bahn im Oktober 2009 akzeptierte.

Wie viele der 173.000 abgeglichenen Datensätze zu weiteren Ermittlungen führten, ist nicht dokumentiert. Weitere, eigenständige Datenabgleiche und eine E-Mail-Überwachung bei der Bahn aus anderen Jahren sind hier nicht mitgerechnet.

Die CNIL verhängte am 27.12.2023 ein Bußgeld von 32 Millionen Euro gegen Amazon France Logistique wegen übermäßig intrusiver Überwachung der Lagerbeschäftigten: Handscanner erfassten sekundengenau Leerlaufzeiten und zu schnelle Scanvorgänge, dazu kamen mangelhafte Informationspflichten. Der Conseil d'État reduzierte das Bußgeld am 23.12.2025 auf 15 Millionen Euro: Die Scanner-Leistungsindikatoren selbst erklärte das Gericht für rechtmäßig, bestätigte aber Verstöße gegen Datenminimierung durch 31-tägige Speicherung sowie Informations- und Sicherheitsmängel.

Amazon wies die CNIL-Feststellungen teilweise als sachlich falsch zurück, eine unabhängige Prüfung liegt nicht vor. Der Fall betrifft ausschließlich französische Amazon-Logistikzentren, ob identische Systeme in deutschen Lagern eingesetzt werden, ist nicht Teil dieser Entscheidung.

Anfang Februar 2023 verschafften sich Cyberkriminelle per Phishing Zugang zu den E-Mail-Postfächern von acht Mitarbeitenden des Bayerischen Rundfunks über gefälschte Login-Masken mit BR-Logo. Sie erhielten dadurch Einblick in Kontakte und E-Mail-Verkehr. Der Sender sperrte die Angreifer rasch aus und informierte Datenschutzaufsicht sowie Betroffene gemäß Art. 34 DSGVO. Eine forensische Analyse fand keine Schadsoftware, ein Datenabfluss konnte aber nicht ausgeschlossen werden.

Welche konkreten Daten die Angreifer tatsächlich kopierten, ist nicht öffentlich dokumentiert. Die Identität der Täter wurde nicht aufgeklärt. Ob die bayerische Datenschutzaufsicht ein förmliches Verfahren einleitete, ist nicht bekannt.

Der BGH entschied am 18.03.2026, dass die Einziehung von rund 40 Millionen Euro Tatlohn beim früheren Chef der Warburg Bank, Christian Olearius, trotz Einstellung des Strafverfahrens wegen dauerhafter Verhandlungsunfähigkeit erneut geprüft werden muss. Das Landgericht Bonn hatte das Verfahren gegen Olearius 2024 eingestellt, ohne über die Einziehung zu entscheiden. Der BGH verwies das Verfahren zur Neuentscheidung zurück. Bereits am 28.07.2021 hatte der BGH im bundesweit ersten Cum-Ex-Strafverfahren die Einziehung von rund 176 Millionen Euro gegen das Bankhaus M.M. Warburg selbst bestätigt.

Ob und in welcher Höhe die Einziehung gegen Olearius persönlich angeordnet wird, ist offen, das Landgericht Bonn muss das erst neu entscheiden. Eine strafrechtliche Verurteilung von Olearius selbst gibt es nicht, für ihn gilt die Unschuldsvermutung. Die genannten Summen werden in Presseberichten leicht abweichend beziffert.

Das FBI verhaftete Ross Ulbricht am 01.10.2013 in San Francisco und schaltete am selben Tag den Darknet-Marktplatz Silk Road ab, den er seit 2011 unter dem Pseudonym Dread Pirate Roberts betrieben hatte. Über Tor und Bitcoin wurden dort anonymisiert Drogen gehandelt. Im Februar 2015 wurde Ulbricht in allen sieben Anklagepunkten schuldig gesprochen und im Mai 2015 zu lebenslanger Haft ohne Bewährung verurteilt. Am 21.01.2025 begnadigte US-Präsident Trump Ulbricht vollständig, nach über elf Jahren Haft.

Die tatsächliche Umsatzhöhe von Silk Road ist umstritten, die Anklageschrift bezifferte sie auf rund 1,2 Milliarden Dollar. Der Vorwurf, Ulbricht habe Auftragsmorde in Auftrag gegeben, wurde nie als eigenständiger Anklagepunkt verhandelt. Trumps politische Begründung für die Begnadigung ist keine gerichtlich festgestellte Tatsache.

Am 20.06.2017 übernahm die niederländische Polizei mit richterlicher Genehmigung heimlich die Server des Darknet-Marktplatzes Hansa Market, nachdem deutsche Behörden die mutmaßlichen Betreiber festgenommen hatten. Einen Monat lang betrieben die Ermittler die Plattform verdeckt als Honeypot weiter und protokollierten Nutzerdaten. Als das FBI Anfang Juli 2017 den Konkurrenzmarktplatz AlphaBay abschaltete, wechselten dessen Kunden unwissentlich zum bereits polizeikontrollierten Hansa Market. Am 20.07.2017 gaben Europol, FBI und niederländische Polizei die öffentliche Abschaltung bekannt, mindestens 10.000 Käuferadressen wurden an Europol übergeben.

Häufig genannte Zahlen zu erfassten Nutzerkonten und beschlagnahmten Bitcoin stammen aus Sekundärquellen und ließen sich nicht direkt in einer Europol-Pressemitteilung verifizieren. Wie viele der übergebenen Käuferadressen zu Anklagen führten, ist nicht dokumentiert.

Der BGH entschied am 13.03.2025, dass Ermittlungsbehörden den Finger eines Beschuldigten gegen dessen Willen auf den Fingerabdrucksensor eines Smartphones legen dürfen, um es zu entsperren, gestützt auf § 81b Abs. 1 StPO in Verbindung mit §§ 94 ff. StPO. Anlass war ein wegen Herstellens kinderpornografischer Inhalte verurteilter Erzieher, dessen Handy die Polizei zwangsweise entsperrte und dabei über 2.000 weitere Dateien fand. Der BGH stufte das erzwungene Auflegen des Fingers als duldungspflichtige Maßnahme ein und lehnte ein Beweisverwertungsverbot ab.

Nicht Gegenstand der Entscheidung war die erzwungene Entsperrung per Gesichtserkennung, Passwort oder PIN, dafür gilt weiterhin ein Mitwirkungsverbot. Wie oft Behörden seit dem Beschluss auf dieser Grundlage vorgegangen sind, ist nicht dokumentiert.

Am 16.01.2025 äußerte sich die LDI NRW zu Vorwürfen gegen den Wetterdienst WetterOnline, ausgelöst durch die Recherche Databroker Files: Ein Testdatensatz vom 02.07.2024 enthielt 380 Millionen Standortdatenpunkte, darunter rund 34.875 geortete deutsche Android-Geräte mit der App WetterOnline an einem Tag. Als Quelle identifizierten die Rechercheure den Datenhändler Datastream Group. Laut netzpolitik.org vom 07.04.2026 leitete die LDI NRW inzwischen ein Bußgeldverfahren gegen WetterOnline ein, weil das Unternehmen über Jahre Standortdaten ohne wirksame Einwilligung erhoben und weitergegeben habe.

Die konkrete Bußgeldhöhe steht nicht fest, das Verfahren war Anfang April 2026 noch offen. WetterOnline bestreitet, GPS-Daten verkauft zu haben. Die Zahl von rund 34.875 georteten Geräten stammt aus einem einzigen Testdatensatz und lässt keine Gesamtaussage über die Jahre zu.

Am 22.09.2025 ließ ein Ermittlungsgericht in Barcelona eine Strafanzeige gegen frühere Spitzenbeamte des spanischen Geheimdienstes CNI und der Guardia Civil sowie Führungskräfte der Spyware-Hersteller NSO Group und Saito Tech zur Untersuchung zu. Die Anzeige stammt von fünf Betroffenen des 2022 von Citizen Lab aufgedeckten CatalanGate-Skandals, die mit Pegasus- und Candiru-Spyware ausgespäht worden waren. Das Gericht ermittelt wegen Entdeckung und Offenbarung von Computergeheimnissen. Zuvor hatte die Audiencia Nacional dieselbe Anzeige mangels Zuständigkeit abgewiesen.

Es handelt sich um die Zulassung einer Ermittlung, nicht um eine Anklage oder ein Urteil. Wer den Einsatz konkret anordnete, ist bislang nicht gerichtsfest geklärt. Die spanische Regierung hat als Verschlusssache eingestufte Unterlagen bislang nicht offengelegt.

Der belgische Kontrollausschuss für die Nachrichten- und Sicherheitsdienste veröffentlichte am 17.10.2022 seinen Abschlussbericht zur Pegasus-Affäre. Als bestätigte belgische Ziele nennt der Bericht den Journalisten Peter Verlinden und seine Ehefrau, deren Infektion der Militärgeheimdienst ADIV im September 2021 feststellte, sowie die Aktivistin Maliha El Mahjoub. Auf der 2021 geleakten Pegasus-Project-Liste tauchten zudem Telefonnummern der Politiker Charles und Louis Michel auf. Der Ausschuss sprach vier Empfehlungen aus, darunter eine nationale Taskforce für digitale Sicherheit.

Ob die belgischen Dienste VSSE oder ADIV selbst Pegasus einsetzten, ist aus dem veröffentlichten Bericht nicht ersichtlich, der entsprechende Abschnitt wurde als geheim eingestuft. Wer die Infektion bei Verlinden veranlasste, ist nicht abschließend bewiesen, der ADIV vermutet Ruanda, das dies bestreitet. Für die Nummern auf der Pegasus-Liste ist nicht belegt, ob tatsächlich eine Infektion stattfand.

Die Gesellschaft für Freiheitsrechte reichte am 25.06.2024 mit sechs Beschwerdeführenden eine neue Verfassungsbeschwerde beim Bundesverfassungsgericht gegen das 2023 novellierte Hessische Polizeigesetz ein. Zu den Beschwerdeführenden zählen die Anwältin Seda Başay-Yıldız und der Regionalvorsitzende der Humanistischen Union Franz Josef Hanke, die bereits an der erfolgreichen Beschwerde von 2019 beteiligt waren, welche zum BVerfG-Urteil vom 16.02.2023 (Az. 1 BvR 1547/19) führte. Nach Ansicht der GFF erlaubt die Neuregelung weiterhin, Daten unbeteiligter Personen ohne konkreten Verdacht in die auf Palantirs System Gotham basierende Analysesoftware hessenDATA einzuspeisen, die seit über fünf Jahren im Regelbetrieb der hessischen Polizei eingesetzt wird.

Ob und wann das Bundesverfassungsgericht über diese zweite Verfassungsbeschwerde entscheidet, ist offen, das Verfahren war zum Zeitpunkt der Recherche noch anhängig. Ob die 2023er Neuregelung tatsächlich von den Vorgaben des ersten BVerfG-Urteils abweicht, ist bislang nur die Einschätzung der Beschwerdeführerseite, noch nicht gerichtlich geprüft.

Am 12.06.2022 wurde der hessische IT-Dienstleister Count+Care, eine Tochter des Energieversorgers Entega, Opfer eines Ransomware-Angriffs. Betroffen waren auch Entega selbst, die Frankfurter Entsorgungs- und Service-Gruppe FES, das Darmstädter Verkehrsunternehmen Heag sowie die Mainzer Stadtwerke. Webseiten und E-Mail-Systeme fielen aus, die Versorgung mit Strom, Gas und Wasser lief über getrennte Systeme weiter. Im Juli 2022 veröffentlichten die Angreifer Namen, Adressen und Verbrauchsdaten von Kunden und Beschäftigten im Darknet.

Wer hinter dem Angriff steckt, wurde öffentlich nicht bestätigt. Ein in Medienberichten genannter Verweis auf die Gruppe Conti bezog sich tatsächlich auf einen anderen, zeitgleichen Angriff auf Nordex. Die genaue Zahl betroffener Personen wurde nicht beziffert.

In der Nacht zum 15.10.2021 verschlüsselte die Ransomware DeepBlueMagic Server des kommunalen IT-Dienstleisters Kommunalservice Mecklenburg. Betroffen waren die Verwaltungen der Landeshauptstadt Schwerin und des Landkreises Ludwigslust-Parchim, deren gesamte IT-Infrastruktur heruntergefahren wurde. Bürgerbüros und Kfz-Zulassungsstellen blieben tagelang geschlossen. Die vollständige Wiederherstellung zog sich bis mindestens Januar 2022 hin.

Ob vor der Verschlüsselung Daten abgeflossen sind, ist nicht abschließend geklärt. Die Täterzuordnung bleibt unsicher, Sicherheitsforscher vermuteten eine Herkunft aus China, ohne dass eine Gruppe rechtskräftig identifiziert wurde.

Der italienische Energiekonzern Enel Group wurde 2020 zweimal von unterschiedlicher Ransomware getroffen. Am 07.06.2020 entdeckte Enel einen Angriff mit der Ransomware Snake/EKANS und erklärte, es sei zu keiner erfolgreichen Verschlüsselung gekommen. Ende Oktober 2020 wurde Enel von der Gruppe Netwalker ein zweites Mal angegriffen, die eine Lösegeldforderung von 14 Millionen US-Dollar stellte und behauptete, rund 5 Terabyte Firmendaten entwendet zu haben. Sicherheitsforscher führten beide Angriffe auf ungesicherte Remote-Desktop-Zugänge zurück.

Ob Enel tatsächlich Lösegeld gezahlt hat, ist nicht öffentlich belegt. Die Angabe von 5 Terabyte gestohlener Daten stammt allein von der Erpressergruppe selbst und wurde von Enel weder bestätigt noch widerlegt.

Ab Mitte Dezember 2020 nutzten Angreifer vier zuvor unbekannte Schwachstellen in der veralteten Dateiübertragungssoftware Accellion FTA aus, luden über die Webshell DEWMODE Kundendaten herunter und drohten mit Veröffentlichung. Laut gemeinsamer Sicherheitswarnung vom 24.02.2021 waren mindestens 13 Organisationen betroffen, darunter Kroger, die Kanzlei Jones Day und die University of Colorado, die eine Lösegeldforderung von zunächst 17 Millionen Dollar erhielt, aber nicht zahlte, woraufhin Daten von mehr als 310.000 Personen veröffentlicht wurden. Mandiant ordnete die Angreifer der Gruppe FIN11 und dem Umfeld der Clop-Ransomware zu.

Die Gesamtzahl betroffener Accellion-Kunden schwankt je nach Quelle zwischen unter 100 und rund 100 Firmen. Eine offizielle Gesamtsumme aller erpressten Zahlungen wurde nie beziffert.

Am Wochenende vor dem 29.12.2018 legte ein Ransomwareangriff mit der Schadsoftware Ryuk die Produktions- und Drucksysteme des US-Medienkonzerns Tribune Publishing lahm. Betroffen waren Chicago Tribune, Baltimore Sun und weitere Tribune-Titel sowie über geteilte Drucksysteme auch Los Angeles Times und San Diego Union-Tribune. Abonnenten erhielten verspätete oder gekürzte Wochenendausgaben. Nach Unternehmensangaben wurden Kundendaten nicht kompromittiert, die Malware sei von außerhalb der USA eingeschleust worden.

Eine offizielle Täterzuordnung liegt nicht vor. Sicherheitsfirmen stellten Code-Ähnlichkeiten zur Malware Hermes fest und brachten den Angriff spekulativ mit der nordkoreanischen Gruppe Lazarus in Verbindung, ohne behördliche Bestätigung. Ob eine Lösegeldforderung gestellt oder gezahlt wurde, ist nicht dokumentiert.

Am 25.06.2013 reichte Max Schrems bei der irischen Datenschutzbehörde eine Beschwerde gegen Facebook Ireland Ltd ein, ausgelöst durch die PRISM-Enthüllungen. Er argumentierte, Facebook Irland dürfe Nutzerdaten nicht an Facebook USA übermitteln, da diese dort dem NSA-Zugriff ausgesetzt seien. Der Datenschutzkommissar wies die Beschwerde im Juli 2013 als mutwillig und schikanös zurück. Schrems focht dies vor dem irischen High Court an, der am 18.06.2014 entschied, die von Snowden aufgedeckte Überwachung wäre nach irischem Verfassungsrecht unzulässig, und die EU-rechtlichen Fragen dem EuGH vorlegte (Rechtssache C-362/14).

Das genaue Datum der behördlichen Zurückweisung im Juli 2013 wird in Quellen unterschiedlich angegeben. Die oft zitierten 22 Beschwerden von Schrems beziehen sich auf ein früheres, breiteres Beschwerdepaket von 2011/2012 zu anderen Themen und sind von dieser spezifischen PRISM-Beschwerde zu unterscheiden. Der eigentliche EuGH-Richterspruch von 2015 zu Safe Harbor ist bereits gesondert dokumentiert und nicht Gegenstand dieses Eintrags.

Das Bundesverfassungsgericht erklärte am 10.11.2020 (Az. 1 BvR 3214/15) die erweiterte projektbezogene Datennutzung der Antiterrordatei nach § 6a Abs. 2 Satz 1 ATDG für verfassungswidrig und nichtig. Die 2015 eingeführte Vorschrift erlaubte Data Mining aus den gespeicherten Datensätzen. Das Gericht sah einen Verstoß gegen das Recht auf informationelle Selbstbestimmung, da keine hinreichend bestimmten Eingriffsschwellen wie ein verdichteter Tatverdacht vorgesehen waren. Es war die zweite höchstrichterliche Beanstandung der 2006 eingerichteten Antiterrordatei, nach dem bereits dokumentierten Grundsatzurteil von 2013.

Wie oft die erweiterte Datennutzung seit 2015 tatsächlich angewendet wurde, ist nicht dokumentiert. Anders als beim Urteil von 2013 mit Übergangsfrist erklärte das Gericht die Vorschrift 2020 sofort für nichtig.

Als Reaktion auf das bereits dokumentierte BVerfG-Urteil von 2016 verabschiedete der Bundestag am 27.04.2017 das Gesetz zur Neustrukturierung des BKA-Gesetzes, in Kraft seit 25.05.2018. Gegen die neuen Befugnisse zur Datenerhebung bei Kontaktpersonen reichten 2019 mehrere Betroffene mit Unterstützung der Gesellschaft für Freiheitsrechte Verfassungsbeschwerde ein. Am 01.10.2024 erklärte das BVerfG (Az. 1 BvR 1160/19) die Vorschriften zur Kontaktpersonenüberwachung sowie zur Datenspeicherung im polizeilichen Informationsverbund teilweise für unvereinbar mit dem Grundrecht auf informationelle Selbstbestimmung. Der Gesetzgeber musste die Vorschriften bis 31.07.2025 neu regeln.

Wer die Beschwerdeführer konkret sind, wird nur nach Beruf oder Gruppenzugehörigkeit benannt. Ob der Gesetzgeber die Neuregelung fristgerecht umsetzte, ist nicht Gegenstand dieser Quelle.

Zwischen März und Juni 2020 schleusten mutmaßlich russische Angreifer Schadcode (Sunburst) in Software-Updates der Netzwerkmanagement-Plattform Orion des Herstellers SolarWinds ein. Rund 18.000 Organisationen luden die kompromittierte Version herunter, davon wurden nach Angaben der stellvertretenden nationalen Sicherheitsberaterin des Weißen Hauses etwa neun US-Bundesbehörden und rund 100 private Unternehmen tatsächlich weiter kompromittiert. CISA erließ am 13.12.2020 die Notfallanweisung ED 21-01. Im Oktober 2024 einigte sich die SEC mit vier vom Hack betroffenen Unternehmen auf Vergleichszahlungen wegen irreführender Offenlegungen.

Die oft zitierte Zahl von 18.000 betrifft nur den Download der manipulierten Software, die Zahl tatsächlich kompromittierter Ziele ist kleiner, aber nie vollständig verifiziert. Die Urheberschaft ist offiziell nicht gerichtsfest bewiesen, Russland bestreitet jede Beteiligung. Die zivilrechtliche Betrugsklage der SEC gegen SolarWinds selbst wurde 2024 in den meisten Punkten abgewiesen.

Am 09. und 10.12.2021 wurde die kritische Sicherheitslücke CVE-2021-44228 (Log4Shell) in der Java-Bibliothek Apache Log4j2 öffentlich bekannt, mit dem höchstmöglichen CVSS-Wert von 10,0. Über präparierte Log-Nachrichten mit JNDI-Lookups konnten Angreifer aus der Ferne beliebigen Code ausführen. Entdeckt wurde die Lücke am 24.11.2021 vom Alibaba-Cloud-Forscher Chen Zhaojun. Apache veröffentlichte am 10.12.2021 einen ersten Patch, weitere folgten bis Anfang Januar 2022. CISA, FBI und NSA warnten am 22.12.2021 vor anhaltender aktiver Ausnutzung.

Das genaue weltweite Ausmaß der Kompromittierungen ist nicht abschließend geklärt, Angaben stammen überwiegend von einzelnen Sicherheitsfirmen. Berichte über chinesische Sanktionen gegen Alibaba Cloud wegen verspäteter Meldung sind nicht offiziell bestätigt. Ein amtlich bezifferter Gesamtschaden liegt nicht vor.

Am 20. und 21.03.2022 veröffentlichte die von Microsoft als DEV-0537 geführte Gruppe Lapsus$ Archive mit Quellcode aus über 250 internen Projekten, darunter rund 90 Prozent des Bing-Quellcodes sowie Teile von Bing Maps und Cortana. Microsoft bestätigte den Vorfall am 22.03.2022 und erklärte, es sei lediglich ein einzelnes Mitarbeiterkonto kompromittiert worden, Kundendaten seien nicht betroffen gewesen. Microsoft beschrieb die typische Vorgehensweise der Gruppe: Kauf gestohlener Zugangsdaten, SIM-Swapping, Anrufe bei Support-Helpdesks und Erzwingen von Multi-Faktor-Freigaben durch wiederholte Anmeldeanfragen.

Wie das Mitarbeiterkonto ursprünglich erbeutet wurde, hat Microsoft nicht öffentlich benannt. Die Zahlenangaben zu Archivgröße und Quellcodeanteilen stammen aus externen Auswertungen, nicht aus einer von Microsoft bestätigten Gesamtmenge. Eine strafrechtliche Verurteilung speziell für den Microsoft-Vorfall ist nicht dokumentiert.

Im Januar 2022 verschaffte sich Lapsus$ Zugang zum Konto eines Supportmitarbeiters des Okta-Subunternehmens Sitel. Okta entdeckte den Vorfall am 20.01.2022; der unautorisierte Zugriff erfolgte laut Untersuchung vom 16. bis 21.01.2022, der Angreifer kontrollierte eine Workstation über 25 zusammenhängende Minuten und sah Daten von zwei aktiven Okta-Kundenmandanten ein. Öffentlich bekannt wurde der Vorfall erst am 22.03.2022, als Lapsus$ Screenshots veröffentlichte; Okta hatte zuvor bis zu 366 potenziell betroffene Kunden genannt.

Warum zwischen Entdeckung und öffentlicher Bestätigung fast zwei Monate vergingen, ist nicht geklärt, Okta wurde dafür kritisiert. Ob der Zugriff tatsächlich so begrenzt war wie dargestellt, blieb umstritten, der vollständige forensische Bericht liegt nicht öffentlich vor.