Quellen-Tabelle

Am 30.03.2024 bestätigte AT&T, dass ein Darknet-Datensatz mit rund 73 Millionen Datensätzen echte Kundendaten enthielt, betroffen waren rund 7,6 Millionen aktuelle und 65,4 Millionen ehemalige Kundenkonten aus dem Jahr 2019 oder früher. Erbeutet wurden Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie verschlüsselte vierstellige Konto-Passcodes. Nach einem Hinweis von TechCrunch, dass die Passcodes leicht entschlüsselbar waren, setzte AT&T diese für alle aktiven Kunden zurück.

Woher der Datensatz stammt, ob aus direktem Einbruch oder von einem Drittanbieter, war bis mindestens April 2024 ungeklärt. Ein separates, im Juli 2024 bekanntes Datenleck über den Cloud-Dienst Snowflake ist davon zu unterscheiden. Ein 2025 vorläufig genehmigter Sammelklagevergleich über 177 Millionen Dollar soll beide Vorfälle abdecken.

Peiter Mudge Zatko war von November 2020 bis Januar 2022 Sicherheitschef bei Twitter, bevor ihn CEO Parag Agrawal entließ. Im Juli 2022 reichte er eine rund 200-seitige Beschwerde bei SEC, FTC und Justizministerium ein, die im August 2022 öffentlich wurde. Am 13.09.2022 sagte er vor dem Justizausschuss des US-Senats aus und warf der Twitter-Führung vor, Öffentlichkeit und Aufsichtsbehörden über Sicherheitsmängel getäuscht zu haben. Laut Zatko hatten Ingenieure weitreichenden, nicht nachvollziehbaren Zugriff auf Nutzerdaten, und mindestens ein Agent des chinesischen Ministeriums für Staatssicherheit sei bei Twitter beschäftigt gewesen.

Twitter wies die Vorwürfe als lückenhaft zurück. Für einen Großteil der Behauptungen blieb Zatko laut Medienberichten Belege schuldig. Ob ausländische Agenten tatsächlich auf Nutzerdaten zugriffen, ist nicht unabhängig bestätigt.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 27.07.2023 ein Bußgeld von 3,6 Millionen Won gegen OpenAI wegen verspäteter Meldung einer Datenpanne bei ChatGPT: Ein Fehler in der Open-Source-Bibliothek Redis machte am 20./21.03.2023 für rund neun Stunden Zahlungsdaten von ChatGPT-Plus-Abonnenten sichtbar, darunter Namen, E-Mail-Adressen und die letzten vier Ziffern von Kreditkarten. Die PIPC identifizierte anhand der IP-Adresse 687 betroffene Nutzer in Südkorea und beanstandete, dass OpenAI die Behörde nicht innerhalb der vorgeschriebenen 24 Stunden informiert hatte.

Wie viele ChatGPT-Nutzer weltweit betroffen waren, ist nicht dokumentiert. Die Zahl 687 bezieht sich nur auf per IP-Adresse identifizierte südkoreanische Nutzer. Nicht zu verwechseln mit der deutlich schärferen, zeitgleichen Reaktion der italienischen Behörde Garante auf denselben Vorfall.

Am 14.01.2020 reichte der norwegische Verbraucherrat gemeinsam mit noyb drei Beschwerden bei der Datenschutzbehörde Datatilsynet ein, gegen Grindr sowie gegen die Werbetechnikfirmen MoPub, AppNexus, OpenX, AdColony und Smaato. Der Bericht Out of Control zeigte, dass Grindr GPS-Standort, Gerätekennungen und die bloße Nutzung der App an Werbenetzwerke weitergab. Da Grindr sich an die LGBTQ-Community richtet, wertete die Behörde dies als unrechtmäßige Offenlegung von Daten zur sexuellen Orientierung. Die Beschwerde führte im Dezember 2021 zu einem Bußgeld von 65 Millionen norwegischen Kronen gegen Grindr.

Die genaue Zahl der Drittfirmen, die Daten erhielten, ist nicht abschließend dokumentiert. Die Bußgeldhöhe wurde von zunächst angekündigten rund 10 Millionen Euro auf 65 Millionen Kronen reduziert. Das Berufungsgericht Borgarting bestätigte die Geldbuße 2025.

Am 18.04.2022 bestätigte das US-Berufungsgericht für den Neunten Bezirk im Verfahren hiQ Labs gegen LinkedIn erneut eine einstweilige Verfügung zugunsten von hiQ Labs. Das Analyseunternehmen hatte per Bot öffentlich einsehbare LinkedIn-Profildaten ausgelesen, woraufhin LinkedIn technische Sperren einsetzte. Das Gericht entschied, automatisiertes Auslesen frei zugänglicher, nicht login-geschützter Inhalte verstoße aller Wahrscheinlichkeit nach nicht gegen den Computer Fraud and Abuse Act. Nach sechsjährigem Rechtsstreit einigten sich beide Seiten im Dezember 2022 auf einen Vergleich über 500.000 US-Dollar zulasten von hiQ.

Das Urteil betraf nur die vorläufige Verfügung, keine endgültige Entscheidung in der Hauptsache. Der Supreme Court äußerte sich nie inhaltlich zum Scraping. Die Reichweite der Entscheidung ist begrenzt auf Daten ohne jede technische Zugangsschranke.

Die irische DPC erklärte am 21.05.2025, sie werde Meta nicht daran hindern, ab dem 27.05.2025 öffentliche Facebook- und Instagram-Beiträge erwachsener EU-Nutzer für das Training seiner KI-Sprachmodelle zu verwenden. Meta hatte diese Pläne im Juni 2024 nach DPC-Intervention ausgesetzt und überarbeitete sein Vorgehen mit klareren Nutzerhinweisen und einem vereinfachten Widerspruchsformular. Private Inhalte und Daten Minderjähriger sind ausgenommen.

Ein Bußgeld wurde nicht verhängt, es handelte sich um eine Nichteinwandstellungnahme. Ob Metas Berufung auf berechtigtes Interesse statt Einwilligung mit der DSGVO vereinbar ist, gilt unter Datenschützern als umstritten. noyb hält das Vorgehen für rechtswidrig und kündigte mögliche EU-weite Sammelklage an.

Am 19.07.2024 verteilte CrowdStrike ein fehlerhaftes Konfigurationsupdate für seine Falcon-Sensor-Software, das auf Windows-Systemen Systemabstürze verursachte. Nach Microsoft-Angaben waren rund 8,5 Millionen Windows-Geräte betroffen, darunter Check-in-Systeme von Fluggesellschaften, Krankenhaus-IT und Notrufzentralen. Delta Air Lines strich rund 7.000 Flüge und bezifferte den eigenen Schaden auf etwa 550 Millionen US-Dollar. Bis zum 25.07.2024 waren laut CrowdStrike 97 Prozent der betroffenen Systeme wieder online.

Die Zahl von 8,5 Millionen Geräten bezieht sich nur auf Systeme mit Microsoft-Telemetrie, die tatsächliche Gesamtzahl gilt als höher. Delta-CrowdStrike streiten sich in einem laufenden Rechtsstreit über die Verantwortung, die genannten Schadenssummen sind daher nicht unabhängig bestätigt.

Richter Alexandre de Moraes ordnete am 30.08.2024 die landesweite Sperrung von X in Brasilien an, nachdem der Konzern eine Frist zur Benennung eines gesetzlich vorgeschriebenen Rechtsvertreters verstreichen ließ. X hatte am 17.08.2024 sein Büro in Brasilien geschlossen. Rund 40 Millionen Brasilianer nutzten X monatlich. Die vom 30.08. bis 08.10.2024 dauernde Sperre wurde aufgehoben, nachdem X einen Vertreter benannt und ausstehende Bußgelder von rund 5,2 Millionen Dollar bezahlt hatte.

Wie viele Nutzer die Sperre per VPN umgingen, ist nicht dokumentiert. Ob Moraes als Einzelrichter ohne vorherige Plenumsanhörung befugt war, die Sperre anzuordnen, blieb unter brasilianischen Juristen umstritten. Musks Vorwurf illegaler Zensur ist eine politische Bewertung ohne gerichtliche Feststellung.

Der Kanadier Connor Riley Moucka bekannte sich am 05.08.2026 vor einem US-Bundesgericht in vier Anklagepunkten schuldig: Computerbetrug, Drahtbetrug, schwerer Identitätsdiebstahl und Verschwörung. Laut US-Justizministerium nutzten Moucka und Komplizen zwischen Februar und Oktober 2024 gestohlene Zugangsdaten, um Cloud-Konten von mindestens 165 Kunden eines US-Cloud-Anbieters zu kompromittieren, und erbeuteten Milliarden sensibler Datensätze. Die Täter erpressten Opfer mit Veröffentlichungsdrohungen und erhielten über 2,5 Millionen Dollar Lösegeld. Den Opferunternehmen entstand ein Schaden von mehr als 9,5 Millionen Dollar, betroffen waren Kundendaten von mindestens 100 Millionen Menschen. Moucka wurde am 30.10.2024 in Kanada festgenommen, im Juli 2025 in die USA ausgeliefert, das Urteil soll am 27.10.2026 fallen.

Die Pressemitteilung nennt den betroffenen Cloud-Anbieter nicht namentlich als Snowflake und keine einzelnen Opferfirmen. Die Zuordnung zu Ticketmaster/Live Nation, AT&T und Santander stammt aus Presseberichten, nicht aus der Mitteilung selbst. Das endgültige Strafmaß steht erst nach der Urteilsverkündung fest.

AT&T teilte am 12.07.2024 mit, dass Unbekannte zwischen dem 14. und 25.04.2024 unbefugt auf eine Arbeitsumgebung beim Cloud-Anbieter Snowflake zugriffen und Anruf- und SMS-Verbindungsdaten herunterluden. Betroffen waren praktisch alle rund 110 Millionen AT&T-Mobilfunkkunden für Zeiträume 2022/2023, erbeutet wurden kontaktierte Rufnummern, Verbindungsdauer und teils grobe Standortangaben. Laut AT&T waren Inhalte, Sozialversicherungsnummern und Geburtsdaten nicht betroffen. Presseberichten zufolge zahlte AT&T am 17.05.2024 rund 370.000 Dollar in Bitcoin für die Löschung der Daten. Der Vorfall gehörte zur selben Snowflake-Angriffswelle wie Ticketmaster und Banco Santander.

AT&T bestätigte die kolportierte Zahlung nicht offiziell, sie stammt aus Presseberichten über einen Vermittler. Die Nennung von Snowflake als betroffenem Anbieter stammt aus unabhängiger Berichterstattung, nicht aus der AT&T-Mitteilung selbst. Diese Datenleck ist von einem separaten, früheren AT&T-Vorfall (Dark-Web-Datensatz aus alten 2019er Daten) zu unterscheiden.

Der Hacker USDoD bot im April 2024 den Verkauf von angeblich 2,9 Milliarden Datensätzen aus der US-Hintergrundprüfungsfirma National Public Data an, darunter Namen, Adressen und Sozialversicherungsnummern. Am 06.08.2024 veröffentlichte er rund 2,7 Milliarden Datensätze kostenlos, Sicherheitsforscher zählten darin etwa 272 Millionen eindeutige Sozialversicherungsnummern. National Public Data meldete den Behörden in Maine jedoch nur 1,3 Millionen betroffene Personen. Die Muttergesellschaft Jerico Pictures meldete am 02.10.2024 Insolvenz an, unter Verweis auf mehr als 20 Sammelklagen und FTC-Ermittlungen.

Die Milliardenzahl stammt vom Angreifer selbst, nicht aus geprüfter Unternehmensbestätigung. Die Datensätze enthalten laut Analysen zahlreiche Duplikate und Einträge Verstorbener. Die Diskrepanz zur gemeldeten Zahl von 1,3 Millionen wurde öffentlich nie aufgelöst.

Am 24.04.2024 entdeckte Dropbox unautorisierten Zugriff auf die Produktionsumgebung von Dropbox Sign. Der Angreifer hatte bereits am 19./20.04.2024 ein Service-Konto im Backend-System kompromittiert und dessen Berechtigungen genutzt, um auf die Kundendatenbank zuzugreifen. Betroffen waren E-Mail-Adressen, Telefonnummern und gehashte Passwörter aller Nutzer sowie Authentifizierungsdaten wie API-Schlüssel und OAuth-Token. Dropbox informierte am 01.05.2024 öffentlich und rotierte alle API-Schlüssel und Token.

Dropbox nannte keine konkrete Gesamtzahl betroffener Konten. Ob Drittanwendungen mit gestohlenen Token missbraucht wurden, ist nicht bekannt. Die Angabe, Dokumenteninhalte seien nicht betroffen, stammt allein aus der unternehmenseigenen Untersuchung ohne unabhängige Bestätigung.

Ryan Mitchell Kramer aus Santa Clarita verschaffte sich Anfang 2024 über als KI-Bildgenerator getarnte Schadsoftware auf GitHub Zugriff auf den privaten Computer eines Disney-Mitarbeiters. Mit dessen Zugangsdaten drang er in den beruflichen Slack-Account ein und lud im Mai 2024 rund 1,1 Terabyte Daten aus fast 10.000 internen Disney-Slack-Kanälen herunter. Unter der erfundenen Identität NullBulge veröffentlichte er die Daten am 12.07.2024. Kramer bekannte sich am 01.05.2025 schuldig und wurde am 15.05.2026 zu 15 Monaten Haft verurteilt.

Die Angaben zu Kanalzahl und Datenmenge stammen aus Ermittlungsunterlagen, ohne unabhängige Bestätigung durch Disney. Ursprüngliche Medienberichte ordneten den Angriff fälschlich einer real existierenden russischen Hacktivistengruppe zu, erst die Anklage stellte klar, dass Kramer allein handelte.

Am 03.06.2024 griff die Ransomware-Gruppe Qilin den Labordienstleister Synnovis an, der Bluttests für NHS-Krankenhäuser in Südost-London durchführt. Der Angriff führte zu über 10.000 abgesagten Terminen und rund 1.700 verschobenen Operationen sowie einem Engpass bei Blutkonserven. Am 25.06.2025 bestätigte das King's College Hospital, dass eine verzögerte Bluttest-Auswertung ein Faktor beim Tod eines Patienten war, der erste bestätigte Todesfall im Zusammenhang mit einem Ransomware-Angriff in Großbritannien. Qilin veröffentlichte zudem Patientendaten von mehr als 900.000 Personen.

Die Identität des verstorbenen Patienten sowie die vollständige Liste der beitragenden Faktoren wurden aus Datenschutzgründen nicht veröffentlicht. Ein förmliches Coroner-Verfahren mit bindender Todesursachenfeststellung liegt bislang nicht vor. Die Zahl von über 900.000 Betroffenen gilt laut NHS England als vorläufige Schätzung.

Der Lieferketten-Softwareanbieter Blue Yonder meldete am 21.11.2024 einen Ransomwareangriff auf seine gehostete Managed-Services-Umgebung. Betroffen waren Starbucks, dessen rund 11.000 nordamerikanische Filialen auf Stift und Papier für Dienstplanung zurückgriffen, sowie die britischen Supermarktketten Morrisons und Sainsbury's. Die Erpressergruppe Termite bekannte sich zu dem Angriff und behauptete, rund 680 GB Daten erbeutet zu haben, darunter über 16.000 E-Mail-Adressen und mehr als 200.000 Dokumente. Blue Yonder meldete Anfang Dezember 2024 Fortschritte bei der Wiederherstellung.

Die von Termite behauptete Datenmenge ist nicht unabhängig verifiziert, Blue Yonder bestätigte weder Umfang noch Art der Daten offiziell. Morrisons erklärte, das eigene Netzwerk sei nicht kompromittiert gewesen. Ob ein Lösegeld gezahlt wurde, ist nicht bekannt.

Halliburton wurde am 21.08.2024 Opfer eines Cyberangriffs, woraufhin das Unternehmen vorsorglich mehrere IT-Systeme abschaltete. Es meldete den Vorfall am 23.08.2024 bei der SEC. Technische Analysen einer gefundenen Schadsoftware ordneten den Angriff der seit Februar 2024 aktiven Gruppe RansomHub zu. Bei der Quartalsergebnispräsentation am 08.11.2024 bezifferte Halliburton die Kosten auf rund 35 Millionen Dollar, Rechnungsstellung und Zahlungseinzug waren zeitweise gestört.

Der Erstzugriffsweg und eine etwaige Lösegeldzahlung sind nicht öffentlich bestätigt. Halliburton nennt in seinen SEC-Meldungen weder die Tätergruppe noch das Wort Ransomware. Die 35-Millionen-Dollar-Angabe deckt nur im dritten Quartal 2024 verbuchte Kosten ab.

Comcast/Xfinity teilte am 18.12.2023 mit, dass Angreifer zwischen dem 16. und 19.10.2023 unbefugten Zugriff auf interne Systeme erlangten, indem sie die Citrix-Schwachstelle CVE-2023-4966 (Citrix Bleed) ausnutzten. Laut Meldung an die Attorney General von Maine waren rund 35,88 Millionen Kunden betroffen. Erbeutet wurden bei allen Betroffenen Benutzernamen und gehashte Passwörter, bei einem Teil zusätzlich Namen, Kontaktdaten und die letzten vier Ziffern der Sozialversicherungsnummer.

Wer hinter dem Angriff steckt, ist öffentlich nicht dokumentiert. In der Folge kam es zu Sammelklagen gegen Comcast, für die 2025/2026 ein Vergleich über 117,5 Millionen Dollar vorlag, dessen endgültige Genehmigung nicht verifiziert wurde.

Evolve Bank and Trust wurde Anfang 2024 Opfer eines LockBit-Ransomwareangriffs, nachdem ein Mitarbeiter auf einen manipulierten Link geklickt hatte. Die Täter luden Datenbanken herunter und veröffentlichten die Daten im Juni 2024, nachdem Evolve kein Lösegeld gezahlt hatte. Betroffen waren Namen, Sozialversicherungsnummern und Kontonummern von Privat- und Hypothekenkunden sowie von Partnerunternehmen. Evolve meldete der Generalstaatsanwaltschaft von Maine rund 7,64 Millionen betroffene Personen.

Spätere Unterlagen zur Sammelklage sprechen von rund 18 Millionen Betroffenen, ohne dass diese höhere Zahl öffentlich erklärt wurde. LockBits Behauptung, es handle sich um Daten der US-Notenbank Federal Reserve, war falsch.

Am 20.06.2024 legte die Ransomware Brain Cipher, eine Weiterentwicklung von LockBit 3.0, das temporäre Nationale Rechenzentrum Indonesiens in Surabaya lahm. Betroffen waren mehr als 200 Regierungsbehörden, darunter Einwanderungs- und Passdienste, was zu langen Warteschlangen an Flughäfen führte. Die Angreifer forderten rund 8 Millionen Dollar, die indonesische Regierung lehnte eine Zahlung ab. Am 03.07.2024 veröffentlichte Brain Cipher unaufgefordert den Entschlüsselungscode kostenlos.

Die genaue Zahl betroffener Behörden schwankt je nach Quelle. Der genaue Anfangsvektor des Einbruchs ist nicht abschließend geklärt, Berichte verweisen auf deaktivierte Windows-Defender-Schutzfunktionen. Ob tatsächlich Daten exfiltriert wurden, ist nicht unabhängig verifiziert.

Roku meldete 2024 zwei separate Credential-Stuffing-Vorfälle: Anfang März 2024 waren rund 15.363 Konten betroffen, bei der Untersuchung entdeckte Roku einen zweiten, größeren Angriff mit rund 576.000 weiteren Konten, gemeldet am 12.04.2024. In weniger als 400 Fällen nutzten die Angreifer den Zugriff für betrügerische Käufe von Streaming-Abos und Hardware, die das Unternehmen erstattete. Roku führte anschließend eine verpflichtende Zwei-Faktor-Authentifizierung ein.

Die verwendeten Zugangsdaten stammten laut Unternehmen aus fremden Datenlecks, nicht aus einer Kompromittierung von Roku selbst, dies lässt sich nicht unabhängig überprüfen. Die Zahl 591.000 ist eine Addition aus zwei separaten Mitteilungen, keine von dritter Seite verifizierte Gesamtzahl.

Am 07.05.2024 identifizierten NCA, FBI, US-Justizministerium sowie Partnerbehörden aus USA, Großbritannien und Australien den Russen Dmitry Khoroshev als Entwickler und Administrator der Ransomware-Gruppe LockBit, bekannt unter dem Pseudonym LockBitSupp. US-, britische und australische Sanktionsbehörden verhängten Vermögenssperren und Einreiseverbote gegen ihn. Eine Grand Jury in New Jersey erhob Anklage in 26 Punkten, Höchststrafe 185 Jahre Haft. Das US-Außenministerium setzte eine Belohnung von bis zu 10 Millionen Dollar aus. LockBit soll zwischen 2019 und 2024 mehr als 2.500 Opfer in mindestens 120 Ländern angegriffen haben.

Khoroshev wurde nach der Anklage nicht festgenommen und hält sich vermutlich in Russland auf, das keine Auslieferungsabkommen mit den USA hat. Ein Gerichtsurteil steht aus, es gilt die Unschuldsvermutung. Angaben zur Gesamtschadenssumme schwanken zwischen über 500 Millionen und über 1 Milliarde Dollar.

DOJ und FBI gaben am 18.09.2024 eine gerichtlich genehmigte Operation bekannt, mit der sie ein Botnetz aus mehr als 260.000 kompromittierten Geräten zerschlugen. Das Botnetz wurde laut FBI von der in Peking ansässigen Integrity Technology Group betrieben, bekannt als staatsnahe Gruppe Flax Typhoon. Betroffen waren vor allem Router, IP-Kameras und Netzwerkspeicher weltweit, allein in den USA rund 126.000 Geräte. Auf Grundlage einer Rule-41-Gerichtsanordnung entfernte das FBI die Schadsoftware per Fernzugriff.

In welchem Umfang das Botnetz bereits für Sabotage oder Spionage eingesetzt wurde, ist nicht belegt. Die Zuordnung zu Integrity Technology Group stammt ausschließlich aus US-Behördenangaben, eine unabhängige gerichtliche Feststellung außerhalb der USA liegt nicht vor.

Die mit China in Verbindung gebrachte Gruppe Salt Typhoon drang 2024 in Netzwerke mehrerer großer US-Telekommunikationsanbieter ein, laut Medienberichten unter anderem AT&T, Verizon und Lumen Technologies. FBI und CISA bestätigten am 25.10.2024 den unautorisierten Zugriff, in einer aktualisierten Erklärung vom 13.11.2024 stellten sie fest, dass die Angreifer Anrufdaten gestohlen und Informationen aus gerichtlich angeordneten Überwachungsmaßnahmen (CALEA-Abhörschnittstellen) kopiert hatten.

FBI und CISA nennen keine genaue Opferzahl oder vollständige Firmenliste. Häufig zitierte Zahlen wie rund 150 Zielpersonen stammen aus Medienberichten, nicht aus den offiziellen Mitteilungen. Der Name Salt Typhoon stammt aus privater Bedrohungsanalyse, nicht aus Regierungsdokumenten.

Ab spätestens 03.12.2023 nutzte die mutmaßlich chinesische Gruppe UNC5221 zwei unbekannte Schwachstellen in Ivanti Connect Secure und Policy Secure VPN-Gateways aus. Ivanti veröffentlichte die Schwachstellen am 10.01.2024, Mandiant ordnete die Angriffe UNC5221 zu und dokumentierte eigens entwickelte Schadsoftware. Volexity zählte bis Mitte Januar 2024 mehr als 2.100 kompromittierte Geräte weltweit. CISA ordnete am 19.01.2024 per Notfallanweisung an, betroffene Geräte in Bundesbehörden bis zum 02.02.2024 vom Netz zu nehmen.

Mandiant stuft die Zuordnung zu China nur als moderate confidence ein, gestützt auf Indizien, nicht auf direkte Beweise. Eine mögliche Verbindung zur Gruppe Volt Typhoon wurde ausdrücklich nicht bestätigt. Eine vollständige Opferliste ist nicht öffentlich dokumentiert.

Kaiser Permanente meldete am 12.04.2024 einen Datenschutzvorfall, der rund 13,4 Millionen aktuelle und ehemalige Mitglieder betraf. Ursache waren seit dem 25.10.2023 bekannte Tracking-Pixel und Cookies auf eigenen Websites, die personenbezogene Daten an Google, Microsoft Bing und X übermittelten, darunter Namen, IP-Adressen und Suchbegriffe zu Symptomen und Medikamenten im Gesundheitslexikon. Sozialversicherungs- und Finanzdaten waren laut Kaiser nicht betroffen. Der Vorfall gilt als größte 2024 gemeldete Datenpanne im US-Gesundheitssektor.

Wie viele Betroffene tatsächlich sensible Suchbegriffe eingegeben hatten, ist nicht offengelegt. Ob die Empfängerkonzerne die Daten tatsächlich nutzten, ist nicht dokumentiert. Kaiser einigte sich 2024/2025 auf eine Vergleichszahlung von bis zu 47,5 Millionen Dollar, ohne Fehlverhalten einzuräumen.