Quellen-Tabelle

Nach einer Beschwerde des norwegischen Verbraucherrats Forbrukerrådet und der Datenschutzorganisation noyb.eu im Januar 2020 verhängte die norwegische Datenschutzbehörde Datatilsynet im Dezember 2021 ein Bußgeld von 65 Millionen norwegischen Kronen (rund 6,5 Millionen Euro) gegen die Dating-App Grindr. Zwischen 2018 und 2020 gab Grindr ohne ausreichende Rechtsgrundlage Alter, Geschlecht, GPS-Standort, IP-Adresse und Werbe-ID seiner Nutzer an zahlreiche Werbeunternehmen weiter. Besonders kritisiert wurde, dass Grindr auch die Information weitergab, dass jemand Grindr-Nutzer ist: Diese Angabe allein legt bereits eine von der Mehrheit abweichende sexuelle Orientierung nahe, selbst wenn die sexuelle Orientierung nicht explizit übermittelt wird.

Grindr focht die Entscheidung an; ob das Bußgeld in voller Höhe rechtskräftig gezahlt wurde, ist aus dieser Quelle nicht abschließend belegt.

Marriott meldete am 30.11.2018, dass Angreifer bereits seit 2014 unentdeckten Zugriff auf das Reservierungssystem der 2016 übernommenen Hotelkette Starwood hatten. Betroffen waren bis zu 500 Millionen Gästeeinträge; bei 327 Millionen davon umfassten die gestohlenen Daten eine Kombination aus Name, Postanschrift, Telefonnummer, E-Mail-Adresse, Passnummer, SPG-Kontoinformationen, Geburtsdatum, Geschlecht sowie An- und Abreisedatum. Betroffen waren Gäste der Starwood-Marken W Hotels, St. Regis, Sheraton, Westin, Element, Aloft, The Luxury Collection, Tribute Portfolio, Le Méridien, Four Points by Sheraton und Design Hotels.

Der Angriff blieb laut Quelle vier Jahre lang unentdeckt; ob dies auf mangelnde Sicherheitsüberwachung bei Starwood vor der Marriott-Übernahme zurückzuführen ist, wird in dieser Quelle nicht abschließend geklärt.

Im Mai 2024 reichte das US-Justizministerium gemeinsam mit den Generalstaatsanwälten von 29 Bundesstaaten und dem District of Columbia vor dem Bundesgericht im Südbezirk von New York eine zivilrechtliche Kartellklage gegen Live Nation Entertainment und Ticketmaster ein. Der Klage zufolge nutzt der Konzern seine Monopolstellung im Bereich Primärticketverkauf, Konzertpromotion und Veranstaltungsstättenmanagement, um Wettbewerb zu unterdrücken, wobei Live Nation nach eigenen Angaben rund 80 Prozent Marktanteil bei großen US-Konzertveranstaltungsorten kontrolliert. Die Klage fordert unter anderem die Abspaltung von Ticketmaster vom Konzern, die Aufhebung bestimmter Ticketing-Verträge sowie ein Verbot wettbewerbswidriger Praktiken. Im August 2024 erweiterten die Kläger die Klage um zehn weitere Bundesstaaten.

Der Ausgang des Verfahrens (Urteil, Vergleich oder Abweisung) ist aus dieser Quelle zum Zeitpunkt der Klageeinreichung noch offen und nicht belegt.

Zusätzlich zum 2019 von der US-amerikanischen FTC verhängten Bußgeld von 508,1 Millionen US-Dollar gegen die Muttergesellschaft belegte die britische Finanzaufsicht Financial Conduct Authority (FCA) 2023 die britische Tochtergesellschaft Equifax Ltd. mit einem eigenen Bußgeld von 11 Millionen Pfund. Vom ursprünglichen Equifax-Datenleck 2017 waren auch 13,8 Millionen Briten betroffen. Die FCA stellte fest, dass Equifax seine britischen Kunden weder transparent noch wahrheitsgemäß über den Vorfall informierte: Das Unternehmen sprach zunächst lediglich von einem Cyber-Sicherheitsvorfall in den USA, obwohl es zu diesem Zeitpunkt bereits vom Diebstahl britischer Kundendaten wusste.

Der zeitliche Abstand zwischen Kenntnis des Datenlecks und der öffentlichen Kommunikation ist aus dieser Quelle nicht mit exakten Daten beziffert.

Der Passwort-Manager LastPass wurde bereits im August 2022 Opfer eines Hackerangriffs, informierte Kunden jedoch erst im Dezember 2022 darüber, dass Angreifer dabei auch die verschlüsselten Passwort-Tresore der Kunden erbeuteten, zusätzlich zu Firmennamen, Nutzernamen, Rechnungsadressen, E-Mail-Adressen, Telefonnummern und Zugriffs-IP-Adressen. Die gestohlenen Zugangsdaten in den Tresoren sind zwar verschlüsselt und nur mit dem individuellen Master-Passwort lesbar, spätere Berichte zeigten jedoch, dass LastPass sich nicht an die Empfehlungen von OWASP hielt und nur rund ein Drittel der empfohlenen Wiederholungen der Schlüsselableitungsfunktion PBKDF2 verwendete, was das Knacken schwacher Master-Passwörter erheblich erleichterte.

Wie viele Nutzer-Tresore tatsächlich erfolgreich entschlüsselt wurden, ist aus dieser Quelle nicht mit einer belastbaren Zahl belegt.

Das akustische Schussdetektionssystem ShotSpotter war in rund 90 US-Städten im Einsatz und sollte per KI-gestützter Triangulation Schüsse erkennen und Polizei zum Ort schicken. Das MacArthur Justice Center stellte fest, dass die Polizei bei 89 Prozent der ShotSpotter-Einsätze in Chicago keinerlei waffenbezogenen Vorfall feststellte und in 85 Prozent der Fälle kein Polizeibericht erstellt wurde. Ein Bericht des Chicagoer Generalinspekteurs zeigte, dass ShotSpotter über 17 Monate (2020–2021) mehr als 50.000 Alarme auslöste, die in weniger als 10 Prozent der Fälle zu tatsächlichen Beweisen für waffenbezogene Straftaten führten. Studien belegten zudem, dass fehlerhafte Alarme zu bewaffneten Polizeieinsätzen an Orten führten, an denen keine Bedrohung bestand, wodurch unschuldige Anwohner unter Verdacht gerieten und die Überpolizierung von Vierteln mit überwiegend nicht-weißer Bevölkerung sowie verfassungswidrige Stop-and-Frisk-Kontrollen zunahmen. Mehrere Städte kündigten daraufhin an, ihre ShotSpotter-Verträge bis September 2024 zu beenden.

Nicht alle Städte, die ShotSpotter nutzten, kündigten die Verträge; die Quelle beschreibt einen Trend zur Vertragskündigung, keine flächendeckende Abschaffung.

PredPol entstand als gemeinsames Projekt der Los Angeles Police Department (LAPD) und des UCLA-Professors Jeff Brantingham, mit einem patentierten Algorithmus, der ursprünglich auf einem Modell zur Vorhersage von Erdbeben-Nachbeben basiert. Im März 2019 kam eine interne Prüfung der LAPD zu dem Ergebnis, es gebe unzureichende Daten, um festzustellen, ob die PredPol-Software tatsächlich zur Kriminalitätsreduzierung beitrug. Im April 2020 beendete die LAPD als einer der ältesten PredPol-Kunden das Programm, offiziell aus Kostengründen im Zusammenhang mit der Pandemie; Bürgerrechtler argumentierten jedoch, ihre Proteste hätten die Polizei zur Aufgabe des Programms bewogen, nicht die Pandemie. Im Dezember 2021 zeigte ein Bericht von Gizmodo und The Markup, dass PredPol rassistische Verzerrungen verstärkte, indem es überproportional auf mehrheitlich Latino- und Schwarze Nachbarschaften zielte. Bereits 2018 hatte das Smithsonian Magazine festgestellt, dass keine unabhängige, veröffentlichte Forschung die von PredPol behauptete Treffergenauigkeit der Software je bestätigt hatte.

Der offizielle Kündigungsgrund (Kosten wegen Pandemie) und der von Aktivisten behauptete tatsächliche Grund (Proteste) widersprechen sich; welcher davon ausschlaggebend war, ist aus dieser Quelle nicht abschließend geklärt.

Im April 2021 tauchten Daten von rund 533 Millionen Facebook-Nutzern aus 106 Ländern öffentlich im Netz auf, darunter rund 6 Millionen deutsche Nutzer, mit vollständigen Nutzernamen, Geburtsdaten, E-Mail-Adressen, Telefonnummern und Angaben wie dem Beziehungsstatus. Zentraler Angriffspunkt war Facebooks 'Kontaktimport'-Funktion: Unbekannte generierten hunderte Millionen zufällige Telefonnummern und glichen sie über ein Freundschaftssuche-Tool mit Facebook-Nutzerdaten ab; fand Facebook eine passende Nummer in seiner Datenbank, lieferte es die zugehörigen Nutzerinformationen zurück. Die irische Datenschutzbehörde verhängte am 29.11.2022 ein Bußgeld von 265 Millionen Euro gegen Meta, weil das Unternehmen die Daten der Nutzer nicht ausreichend geschützt hatte. Betroffene Nutzer in Deutschland reichten daraufhin Sammelklagen auf Schadensersatz ein; ein BGH-Grundsatzurteil bejahte grundsätzlich Schadensersatzansprüche für Betroffene.

Die genaue Höhe des einzelnen Schadensersatzanspruchs pro betroffenem Nutzer variiert je nach Gerichtsentscheidung und ist aus dieser Quelle nicht einheitlich beziffert.

Das Amtsgericht Köln verurteilte einen Täter (Az. 530 Ds 265/21) am 06.10.2022 wegen digitaler Überwachung seiner (Ex-)Partnerin mittels GPS-Tracker, Mikrofonen und einer Spyware-App zu acht Monaten Freiheitsstrafe auf Bewährung, ordnete die Einziehung der Überwachungsgeräte an und legte ihm die Verfahrenskosten vollständig auf. Der neu gefasste § 238 Abs. 2 Satz 2 Nr. 4 StGB erfasst inzwischen ausdrücklich einen besonders schweren Fall der Nachstellung, wenn ein Täter ein Computerprogramm einsetzt, dessen Zweck die digitale Ausspähung anderer Personen ist, etwa sogenannte Stalkerware. Trotz rechtlicher Möglichkeit kommt es laut netzpolitik.org fast nie zu Anklagen, weil das Gesetz zu viele Schlupflöcher lässt und die Nachweisführung für Betroffene und Ermittler in der Praxis zu schwierig ist.

Wie viele Fälle mit vergleichbarem Sachverhalt mangels Beweisbarkeit gar nicht erst zur Anklage kamen, ist aus dieser Quelle naturgemäß nicht beziffert.

Die Berliner Datenschutzbehörde verhängte im Oktober 2019 gegen den Immobilienkonzern Deutsche Wohnen SE ein Bußgeld von 14,5 Millionen Euro, zum damaligen Zeitpunkt das höchste je von einer deutschen Behörde verhängte DSGVO-Bußgeld und das dritthöchste EU-weit. Ursache war ein Archivsystem, das keine Möglichkeit zur Löschung von Daten bot: Unterlagen von Wohnungsbewerbern und Mietern blieben oft Jahre über das Ende des Mietverhältnisses hinaus gespeichert, darunter Gehaltsnachweise, Kontoauszüge, Ausweisdokumente, Selbstauskünfte sowie Steuer-, Sozial- und Krankenversicherungsdaten. Die Behörde hatte das System bereits bei einer Vor-Ort-Prüfung im Juni 2017 identifiziert; bei einer erneuten Prüfung im März 2019 konnte das Unternehmen weder eine Datenbereinigung noch eine Rechtsgrundlage für die fortgesetzte Speicherung nachweisen. In einem Urteil vom 09.06.2026 reduzierte das Gericht die Strafe auf 900.000 Euro, mit der Begründung, das Unternehmen habe kooperativ an einer technischen Lösung und einem konformen System gearbeitet.

Die drastische Reduzierung von 14,5 Millionen auf 900.000 Euro zeigt, wie stark Bußgeldhöhen in Deutschland zwischen behördlicher Erstentscheidung und gerichtlicher Überprüfung schwanken können; die Gründe der Reduzierung liegen laut Quelle in der nachträglichen Kooperationsbereitschaft, nicht in einer Entkräftung des ursprünglichen Vorwurfs.

Nach einem Ransomware-Angriff zahlte das Kansas Heart Hospital im US-amerikanischen Wichita das geforderte Lösegeld, um seine verschlüsselten Dateien zurückzuerhalten. Die Angreifer entschlüsselten die Daten jedoch nicht vollständig und forderten stattdessen eine weitere Lösegeldzahlung. Das Krankenhaus erklärte daraufhin, kein weiteres Lösegeld zu zahlen; nach eigenen Angaben sei die Patientenversorgung durch den Vorfall nicht gefährdet worden. In derselben Region wurden weitere medizinische Einrichtungen Opfer ähnlicher Angriffe: Die Wichita Urology Group meldete im Dezember desselben Jahres einen Datenschutzvorfall mit potenziell über 5.000 Betroffenen, bereits die zweite derartige Verletzung innerhalb eines Jahres bei derselben Praxis; Kansas Joint and Spine Specialists meldete im Juni einen weiteren Cybersicherheitsvorfall mit möglichen Auswirkungen auf Patienten und Beschäftigte.

Der Fall widerlegt exemplarisch die verbreitete Annahme, eine Lösegeldzahlung garantiere die vollständige Wiederherstellung der Daten; ob und wie das Krankenhaus die Daten letztlich doch noch erhielt, ist aus dieser Quelle nicht belegt.

In der als 'Operation Cookie Monster' bezeichneten Aktion beschlagnahmten FBI und internationale Strafverfolgungsbehörden aus 17 Ländern am 05.04.2023 den seit 2018 aktiven Darknet-Marktplatz Genesis Market. Dort wurden 'digitale Identitäten' in Form von Browser-Fingerabdrücken gehandelt, die Käufern Zugriff auf Cookies, gespeicherte Logins und Autofill-Formulardaten von mit Schadsoftware infizierten Geräten verschafften und damit Anti-Betrugs-Erkennungssysteme vieler Websites umgingen. Genesis Market bot Zugang zu Daten von über 1,5 Millionen kompromittierten Computern weltweit mit insgesamt über 80 Millionen Zugangsdaten. Die internationale Operation führte zu rund 120 Festnahmen und 200 Durchsuchungen weltweit.

Wie viele der ursprünglich über 80 Millionen gehandelten Zugangsdaten zum Zeitpunkt der Beschlagnahmung noch aktiv nutzbar waren, ist aus dieser Quelle nicht beziffert.

Das Amtsgericht Gelnhausen entschied in einem Nachbarschaftsstreit (Az. 52 C 76/24) zugunsten des Eigentümers eines Mehrfamilienhauses, der sich gegen eine auf dem Nachbargrundstück installierte Überwachungskamera wehrte. Das Gericht untersagte dem Nachbarn den Betrieb der Kamera in einer Weise, die Vorgänge auf dem klagenden Grundstück erfasst, und stufte die Videoüberwachung als unzulässigen Eingriff in die Persönlichkeitsrechte des Klägers und seiner Mieter ein; Sicherheitsinteressen allein rechtfertigen demnach grundsätzlich keine Aufzeichnung von Nachbargrundstücken. Das Gericht stellte zudem klar, dass die Kamera nicht drehbar sein darf. Das Amtsgericht Berlin-Spandau urteilte in einem vergleichbaren Fall, dass eine an der Haustür installierte Überwachungskamera das Nachbarhaus nicht erfassen darf. Ein Anspruch auf Entfernung einer Kamera kann bereits bestehen, wenn eine Person ernsthaft befürchten muss, von ihr überwacht zu werden, unabhängig davon, ob tatsächlich aufgezeichnet wird.

Die genannten Urteile setzen einen rechtlichen Maßstab für Einzelfälle; eine flächendeckende, verlässliche Kontrolle, ob private Klingelkameras in der Praxis tatsächlich nachbarschaftskonform konfiguriert sind, ist aus dieser Quelle nicht belegt.

Das australische Regierungsprogramm Robodebt verglich automatisiert zweimonatliche Sozialleistungsdaten von Centrelink mit jährlichen Einkommensdaten der australischen Steuerbehörde, um vermeintliche Überzahlungen an Sozialleistungsempfänger zu identifizieren. Der zugrunde liegende methodische Fehler bestand darin, ein Jahreseinkommen gleichmäßig auf Monate herunterzurechnen, was für die tatsächliche zweimonatliche Einkommenssituation ungenau war. Über eine halbe Million Australier waren von dem fehlerhaften Programm betroffen, das Betroffenen Briefe mit angeblichen Schulden von teils Tausenden Dollar zustellte. Eine Regierungsuntersuchung stellte fest, dass Robodebt vulnerable Menschen weiter in Schulden trieb und mehrere Suizide verursachte. Die australische Regierung sagte zusätzlich zu bereits geleisteten Rückzahlungen eine weitere Entschädigung von 475 Millionen australischen Dollar zu; die gesamten Rückzahlungs- und Entschädigungskosten der Regierung belaufen sich damit auf 2,4 Milliarden australische Dollar.

Die genaue Zahl der durch Robodebt verursachten Suizide wird von der Regierungsuntersuchung nicht als exakte Zahl benannt, sondern als ursächlicher Faktor unter mehreren beschrieben.

Im April 2025 gingen bei den Berliner Verkehrsbetrieben (BVG) personenbezogene Daten von rund 180.000 Fahrgästen verloren, nachdem ein externer Dienstleister die sensiblen Informationen verarbeitet hatte. Die Berliner Datenschutzbeauftragte Meike Kamp erteilte der BVG daraufhin offiziell eine Rüge wegen Versäumnissen im Umgang mit den Fahrgastdaten. Bei der Nutzung des VBB-Handytickets entstehen bei Ticketausstellung und -kontrolle über das Verkaufssystem und die Kontrollterminals der Verkehrsunternehmen zusätzlich Datensätze, die Zeitpunkt, Ort und Art des Kommunikationsvorgangs sowie die jeweiligen Kennungen von Ticket und Verkaufs- bzw. Kontrollterminal enthalten und an die Hintergrundsysteme der Verkehrsunternehmen übermittelt werden.

Welche konkreten Daten der 180.000 betroffenen Fahrgäste verloren gingen (nur Kontaktdaten oder auch Bewegungsprofile) und ob sie in falsche Hände gerieten, ist aus dieser Quelle nicht im Detail spezifiziert.

Google kündigte im November 2019 die Übernahme des Wearable-Herstellers Fitbit im Wert von 2,1 Milliarden US-Dollar an, um sein stagnierendes Wearable-Geschäft anzukurbeln. Kritiker warnten, Google erhielte damit Zugriff auf die Gesundheitsdaten von Millionen Fitbit-Nutzern, die für personalisierte Werbung genutzt werden könnten. Die EU-Wettbewerbshüter genehmigten die Übernahme im Dezember 2020 nur unter der Bedingung, dass Google die Fitnessdaten der Nutzer nicht für Werbeprofile verwendet und Fitbit-Daten technisch nicht mit anderen Google-Diensten wie Google Maps oder YouTube verknüpft. Google musste diese Auflagen für mindestens zehn Jahre einhalten, überwacht durch einen Treuhänder mit weitreichenden Kontrollbefugnissen.

Ob Google die zehnjährigen Auflagen in der Praxis lückenlos einhält, kann aus dieser Quelle zum Zeitpunkt der Genehmigung naturgemäß nicht rückblickend beurteilt werden.

Im September 2022 meldete der australische Telekommunikationsanbieter Optus einen Cyberangriff, bei dem Daten von fast 10 Millionen aktuellen und ehemaligen Kunden zugänglich wurden. Betroffen waren Namen, Geburtsdaten, Wohnadressen, Telefonnummern, E-Mail-Adressen sowie amtliche Ausweisdaten wie Reisepassnummern, Führerscheinnummern und Medicare-Kartennummern. Nach Angaben eines Insiders bei Optus und der australischen Regierung war menschliches Versagen bei einer offenen, nicht durch Authentifizierung geschützten Datenbank-Schnittstelle (API) die Ursache, während Optus selbst den Vorfall öffentlich als komplexen Angriff darstellte. Ein Angreifer unter dem Namen 'optusdata' bekannte sich zu dem Hack und forderte zunächst eine Million US-Dollar Lösegeld, um die Daten nicht im Netz zu verkaufen. Der australische Datenschutzbeauftragte (Australian Information Commissioner) leitete daraufhin ein zivilrechtliches Verfahren gegen Optus ein.

Die widersprüchlichen Darstellungen von Optus (komplexer Angriff) und Insidern/Regierung (einfaches menschliches Versagen bei ungesicherter API) lassen sich aus dieser Quelle nicht abschließend auflösen.

Das biometrische Grenzkontrollsystem EasyPASS wurde 2009 unter dem Namen 'GAnGes' am Flughafen Frankfurt getestet und läuft dort seit 2014 im Regelbetrieb. Reisende scannen ihren elektronischen Reisepass am eGate und blicken für die Gesichtserkennung in eine Kamera, die charakteristische Gesichtsmerkmale berechnet und mit dem im Pass gespeicherten biometrischen Foto abgleicht. Personen- und passbezogene Daten werden regulär 48 Stunden gespeichert; bei einer polizeilichen Feststellung kann die Speicherdauer manuell auf bis zu 30 Tage verlängert werden. Aktuell sind 255 EasyPASS-Kontrollspuren an acht großen deutschen Flughäfen im Einsatz (Frankfurt, München, Köln/Bonn, Düsseldorf, Berlin/Brandenburg, Stuttgart, Hannover, Hamburg), nutzbar für alle EU-Bürger ab zwölf Jahren mit gültigem elektronischem Reisepass.

Wie oft die Ausnahmeregelung zur verlängerten 30-Tage-Speicherung tatsächlich angewendet wird und nach welchen konkreten Kriterien eine 'polizeiliche Feststellung' definiert ist, ist aus dieser Quelle nicht belegt.

Das Unternehmen Worldcoin (Tools for Humanity) sammelte weltweit Iris-Scans gegen Kryptowährungs-Token, häufig von Menschen aus wirtschaftlich benachteiligten Gemeinschaften, ohne ausreichende Aufklärung darüber, was die Erfassung biometrischer Irisdaten bedeutet oder wie die Daten international verarbeitet werden. Die kenianische Datenschutzbehörde setzte das Programm am 02.08.2023 wegen unzureichenden Schutzes biometrischer Daten und fehlender Einwilligungsmechanismen aus; im Mai 2025 erklärte der High Court of Kenya den Betrieb der Plattform für illegal. In Deutschland ordnete das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) im Dezember 2024 nach einer DSGVO-Prüfung an, dass Worldcoin die in Deutschland erhobenen Irisdaten löschen muss. Weltweit haben mindestens acht Länder, von Spanien bis Indonesien, den Betrieb von Worldcoin verboten oder untersucht.

Ob Worldcoin die BayLDA-Löschanordnung tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht belegt.

Ein Bericht des UN-Expertengremiums für Libyen dokumentierte im März 2021 den möglichen Einsatz tödlicher autonomer Waffensysteme wie der türkischen Kampfdrohne Kargu-2 des Herstellers STM bei einer Offensive nahe Tripolis im März 2020. Die Drohnen waren so programmiert, dass sie Ziele angreifen konnten, ohne eine Datenverbindung zwischen Bediener und Munition zu benötigen, eine echte 'Feuern-Vergessen-Finden'-Fähigkeit. Laut dem Bericht wurden Logistikkonvois und sich zurückziehende, mit General Khalifa Haftar verbündete Kräfte anschließend von unbemannten Kampfflugzeugen bzw. den letalen autonomen Waffensystemen wie der Kargu-2 aufgespürt und aus der Ferne angegriffen. Die Drohne nutzt Echtzeit-Bildverarbeitung und in die Plattform integrierte maschinelle Lernalgorithmen, um sowohl statische als auch bewegliche Ziele zu identifizieren, und explodiert bei Aufprall oder Annäherung an das KI-identifizierte Ziel.

Der UN-Bericht stellt nicht mit Sicherheit fest, dass tatsächlich Menschen durch ein ohne menschliche Aufsicht operierendes System getötet wurden; er beschreibt den möglichen Einsatz und löste eine intensive Debatte über autonome Waffen aus, ohne den Vorfall abschließend zu bestätigen.

Im Mai/Juli 2015 hackte eine Gruppe namens 'The Impact Team' den Seitensprung-Vermittlungsdienst Ashley Madison und drohte am 19.07.2015 der Betreiberfirma Avid Life Media, die Websites Ashley Madison und Established Men abzuschalten, andernfalls würden Nutzerdaten veröffentlicht. Die Hacker veröffentlichten schließlich Wohnort, Namen, Kreditkartendaten und Angaben zu sexuellen Vorlieben zahlloser Nutzer, einer der größten öffentlichen Moralpranger im Internet. Zahlreiche Ehen und langjährige Beziehungen zerbrachen abrupt; es gab unbestätigte Berichte über Suizide von Betroffenen, die im Freitod den einzigen Ausweg aus der öffentlichen Bloßstellung sahen. Der Hack löste zusätzlich eine Welle von Erpressungsverbrechen aus. Nach Berechnungen könnte theoretisch jeder fünfte Mann zwischen 20 und 74 Jahren in den USA mit dem Portal in Verbindung stehen und damit potenzielles Erpressungsopfer sein.

Die Berichte über durch das Leck ausgelöste Suizide sind laut Quelle unbestätigt, nicht durch offizielle Untersuchungen kausal nachgewiesen; die Schätzung 'jeder fünfte Mann' ist eine statistische Hochrechnung, keine belegte Nutzerzahl.

Am 07.05.2021 nahm Colonial Pipeline, Betreiberin der größten Raffinerieprodukt-Pipeline der USA mit über 100 Millionen Litern täglich transportiertem Treibstoff zwischen Houston, Texas, und Linden, New Jersey, ihre Systeme vorsorglich vom Netz, nachdem die Ransomware-Gruppe DarkSide über ein kompromittiertes VPN-Passwort Zugang zum Firmennetzwerk erlangt hatte. Der Angriff störte die Treibstoffversorgung an der gesamten US-Ostküste erheblich, löste Panikkäufe aus und trieb die durchschnittlichen Benzinpreise auf den höchsten Stand seit 2014, über 3 US-Dollar pro Gallone. Colonial Pipeline zahlte 4,4 Millionen US-Dollar Lösegeld; Präsident Biden erklärte den nationalen Notstand und hob vorübergehende Beschränkungen für den Inlandstransport von Erdölprodukten auf. Die Pipeline blieb vom 07. bis 12.05.2021 abgeschaltet, der Normalbetrieb wurde am 15.05.2021 wiederhergestellt.

Ob die gezahlten 4,4 Millionen US-Dollar später teilweise durch Behörden zurückerlangt wurden, ist aus dieser Quelle nicht belegt.

Im August 2021 gaben Angreifer unbefugten Zugriff auf die Netzwerke von T-Mobile US bekannt, bei dem Datensätze von über 40 Millionen ehemaligen und potenziellen Kunden, die zuvor eine Kreditprüfung beantragt hatten, sowie von 7,8 Millionen bestehenden Postpaid-Kunden entwendet wurden. Gestohlen wurden Namen, Geburtsdaten, Sozialversicherungsnummern sowie Führerschein- oder Ausweisnummern; Zahlungskartendaten waren laut T-Mobile nicht betroffen. Der Hacker John Erin Binns bekannte sich öffentlich zur Veröffentlichung der Kundendaten. T-Mobile zahlte 2022 350 Millionen US-Dollar zur Beilegung von Sammelklagen, einer der größten Datenschutz-Vergleiche in der US-Geschichte zu diesem Zeitpunkt, und wurde 2024 zusätzlich mit einem Bußgeld von 15 Millionen US-Dollar durch die US-Kommunikationsbehörde FCC belegt.

Die Motive des Hackers John Erin Binns für die Veröffentlichung der Daten sind aus dieser Quelle nicht belegt.

Am 22.06.2021 bot ein Nutzer namens 'TomLiner' im Hackerforum RaidForums Datensätze zu 700 Millionen LinkedIn-Profilen zum Verkauf an, rund 92 Prozent der damaligen LinkedIn-Nutzerbasis, darunter Namen, Geschlecht, E-Mail-Adressen, Berufsbezeichnungen und Branchenangaben. Der Verkäufer erklärte gegenüber der BBC, er habe mehrere Monate gebraucht, um die LinkedIn-API zu 'hacken', und verkaufte die Daten zunächst für rund 5.000 US-Dollar an mehrere Käufer, bevor er im September denselben Datensatz mit insgesamt 187 GB kostenlos zum Download veröffentlichte. LinkedIn erklärte, es handle sich nicht um ein echtes Datenleck, da keine privaten Nutzerdaten offengelegt worden seien; die eigene Untersuchung habe ergeben, dass alle Daten bereits öffentlich zugänglich gewesen und durch Scraping bzw. Zusammenführung von Informationen verschiedener Websites entstanden seien.

Ob 'nur öffentlich zugängliche Daten' und 'echter Datenbruch' hier eine sinnvolle Unterscheidung ist, wird kontrovers diskutiert: Für Betroffene ist die massenhafte Zusammenführung öffentlicher Einzeldaten zu durchsuchbaren Profilen praktisch mit den Folgen eines Datenlecks vergleichbar, auch wenn technisch kein Systemeinbruch stattfand.

Angreifer verschafften sich im Oktober 2016 Zugriff auf Daten von rund 57 Millionen Uber-Nutzern und -Fahrern weltweit, darunter rund 50 Millionen Namen, E-Mail-Adressen und Telefonnummern von Fahrgästen sowie Führerscheinnummern von etwa 600.000 Fahrern. Statt Behörden oder Betroffene zu informieren, zahlte Uber den Angreifern 100.000 US-Dollar, damit diese die gestohlenen Daten löschten, und verschwieg den Vorfall über ein Jahr lang, bis er im November 2017 öffentlich bekannt wurde. Uber-Sicherheitschef Joe Sullivan und ein weiterer Manager verloren daraufhin ihre Positionen; Sullivan wurde später von US-Behörden wegen Strafvereitelung und bewusstem Verschweigen einer Straftat im Zusammenhang mit dem Datenleck belangt und zu drei Jahren Bewährungsstrafe verurteilt.

Ob die Angreifer die gestohlenen Daten nach Erhalt des Schweigegelds tatsächlich vollständig löschten oder weiterhin im Umlauf behielten, ist aus dieser Quelle nicht belegt.