Quellen-Tabelle

Der Landesbeauftragte für Datenschutz NRW verhängte am 07.05.2010 ein Bußgeld von 120.000 Euro gegen die Postbank AG. Rund 4.000 freiberufliche Handelsvertreter konnten allein mit Name und Geburtsdatum eines Kunden auf dessen komplette Girokontobewegungen zugreifen, betroffen waren mehr als eine Million Kundendatensätze. Die Vertreter nutzten die Daten, um Kunden bei größeren Geldeingängen gezielt anzusprechen. Aufgedeckt wurde die Praxis 2009 durch Finanztest, die Postbank stellte den Zugriff im November 2009 ab.

Nicht dokumentiert ist, wie viele der über eine Million Datensätze tatsächlich für Werbeansprachen genutzt wurden. Die genaue Zahl der Handelsvertreter mit tatsächlichem Zugriff bleibt unklar. Das Bußgeld gilt im Verhältnis zur Konzerngröße als vergleichsweise gering.

Am 06.06.2013 veröffentlichte die Washington Post, gestützt auf von Edward Snowden weitergegebene Dokumente, Details zum NSA-Programm PRISM. Demnach griffen NSA und FBI direkt auf zentrale Server von neun großen US-Internetfirmen zu, darunter Microsoft, Google, Facebook und Apple, und extrahierten Chats, Fotos, E-Mails und Verbindungsprotokolle zur Verfolgung ausländischer Zielpersonen. Grundlage war eine 41-seitige interne NSA-Präsentation.

Nicht abschließend geklärt ist bis heute, in welcher technischen Form der Zugriff erfolgte. Die beteiligten Unternehmen bestritten übereinstimmend einen direkten unkontrollierten Serverzugriff und erklärten, nur auf rechtlich angeordnete Anfragen zu reagieren. Die ursprüngliche Formulierung direkter Serverzugriff wurde später relativiert.

Mozilla veröffentlichte am 07.11.2024 einen Bericht über Artikel 45 der eIDAS-2.0-Verordnung, der Browser verpflichtet, staatlich benannte Qualified Website Authentication Certificates anzuerkennen. Mozilla und die EFF warnten in einem offenen Brief, staatlich kontrollierte kryptografische Schlüssel könnten zur Interception verschlüsselten Webverkehrs genutzt werden. Mehr als 500 IT-Sicherheitsexperten unterzeichneten einen Protestbrief.

Nicht belegt ist, dass es bis Ende 2024 zu einem dokumentierten Fall staatlicher Zertifikats-Interception unter eIDAS 2.0 kam. Die Kritik bezieht sich auf ein befürchtetes Risiko, nicht auf einen nachgewiesenen Missbrauchsfall. Wie wirksam vom EU-Parlament eingeführte Schutzmaßnahmen sind, war noch nicht abschließend geklärt.

Am 09.10.2024 gaben 49 US-Bundesstaaten, der District of Columbia und die FTC parallele Vergleiche mit Marriott wegen des Starwood-Datenlecks bekannt. Marriott zahlt 52 Millionen Dollar und verpflichtet sich zu einem Informationssicherheitsprogramm mit Verschlüsselung und Multi-Faktor-Authentifizierung. Grundlage war das Datenleck mit Zugriff von Juli 2014 bis September 2018, wovon rund 131,5 Millionen amerikanische Kunden betroffen waren.

Nicht dokumentiert ist die exakte Aufteilung der 52 Millionen Dollar auf die Bundesstaaten. Offen bleibt, in welchem Umfang die vereinbarten Sicherheitsmaßnahmen bereits umgesetzt wurden. Zuvor separat verhängte Bußgelder europäischer Behörden sind nicht Teil dieses Vergleichs.

Die Bundesnetzagentur untersagte am 16.02.2017 Verkauf und Besitz der Puppe My Friend Cayla und stufte sie nach Paragraf 90 TKG als verbotene Sendeanlage ein. Die Puppe verband sich per unverschlüsselter Bluetooth-Verbindung mit einer App und konnte Gespräche aus Kinderzimmern übertragen. Ein Saarbrücker Jurastudent dokumentierte, dass jedes Bluetooth-fähige Gerät im Umkreis von rund zehn Metern unbefugt zugreifen konnte. Besitz kann mit bis zu zwei Jahren Freiheitsstrafe geahndet werden.

Nicht dokumentiert ist, wie viele Puppen tatsächlich verkauft wurden. Dokumentierte Missbrauchsfälle mit realem Abhörschaden sind nicht bekannt. Die rechtliche Einordnung als verbotene Sendeanlage war unter Juristen umstritten.

Im Oktober 2014 wurde eine 13,6 GB große Datei mit rund 90.000 Fotos und 9.000 Videos aus Snapchat veröffentlicht. Verantwortlich war nicht Snapchat selbst, sondern der Drittanbieterdienst Snapsaved.com, der von Nutzern gesendete Snaps entgegennahm und speicherte, inklusive Nutzernamen. Snapsaved.com bestätigte den Vorfall. Snapchat erklärte, die eigenen Server seien nicht kompromittiert worden.

Nicht belegt ist die genaue Zahl betroffener Nutzer, Schätzungen schwankten zwischen 90.000 und bis zu 200.000 Bildern. Unklar bleibt, wie viele abgebildete Personen minderjährig waren. Die Identität der für den Datenabfluss verantwortlichen Person ist nicht bekannt.

Im Juni 2012 wurden bei einem Angriff auf LinkedIn rund 6,5 Millionen ungesalzene SHA1-Passwort-Hashes entwendet. Im Mai 2016 bot ein Hacker unter dem Pseudonym Peace auf einem Darknet-Marktplatz Datensätze mit E-Mail-Adressen und Passwörtern von 117 Millionen LinkedIn-Nutzern zum Kauf an, angeblich aus demselben Vorfall von 2012. LinkedIn bestätigte den erweiterten Umfang und setzte die Passwörter zwangsweise zurück. Der Kaufpreis für den kompletten Datensatz wurde mit rund 5 Bitcoin beziffert.

Nicht geklärt ist, ob die 2016 angebotenen 117 Millionen Datensätze vollständig aus dem Angriff von 2012 stammen. LinkedIn hat nie bestätigt, wie der Angreifer 2012 eindrang. Die Identität hinter dem Pseudonym Peace ist bis heute nicht festgestellt.

Der New Yorker Uber-Manager Josh Mohrer nutzte im November 2014 das interne Tool God View, um den Standort der Journalistin Johana Bhuiyan ohne ihre Zustimmung zu verfolgen. Uber kündigte eine interne Untersuchung an und veröffentlichte danach erstmals eine offizielle Datenschutzrichtlinie. Im Januar 2016 einigte sich Uber mit der New Yorker Generalstaatsanwaltschaft auf eine Zahlung von 20.000 US-Dollar wegen unzureichender Zugriffskontrollen und verspäteter Meldung eines Datenlecks von 2014.

Nicht dokumentiert ist, wie viele Uber-Mitarbeiter God View für private Zwecke einsetzten. Ob Mohrer disziplinarisch belangt wurde, wurde nicht öffentlich mitgeteilt. Die Zahlung bezog sich formal auch auf ein separates Datenleck, die genaue Zuordnung zum God-View-Vorfall bleibt unklar.

Palantir Technologies wurde 2004 von Peter Thiel, Joe Lonsdale, Stephen Cohen und Nathan Gettings gegründet. Da klassische Risikokapitalgeber ablehnten, finanzierte In-Q-Tel, die Venture-Capital-Einheit der CIA, das Unternehmen mit über 2 Millionen US-Dollar. Von 2005 bis 2008 war die CIA Palantirs einziger Kunde und testete die Software in einer Alpha-Phase.

Nicht öffentlich dokumentiert ist die Aufteilung der übrigen Finanzierung von rund 30 Millionen US-Dollar. Die exakte Höhe der In-Q-Tel-Tranchen variiert je nach Quelle. Welche Datensätze die CIA in der Testphase einspeiste, ist nicht belegt.

Am 20.07.2021 veröffentlichte The Pillar eine Recherche, wonach ein Monsignore Jeffrey Burrill zugeordnetes Gerät 2018 bis 2020 nahezu täglich Grindr-Signaldaten aussandte, unter anderem an seiner Dienstwohnung. Burrill trat noch am selben Tag als Generalsekretär der USCCB zurück. The Pillar erwarb die Daten von einem kommerziellen Datenhändler. Eine separate Analyse fand zudem mindestens 16 Geräte, die an vier Tagen 2018 Grindr-Signale aus nicht öffentlichen Bereichen des Vatikanstaats aussandten.

Nicht dokumentiert ist die Methode, mit der die Daten konkreten Personen zugeordnet wurden. Grindr bestritt eine direkte Weitergabe. Welcher Datenhändler die Rohdaten lieferte, wurde nicht genannt. Die Zahl von 16 Geräten basiert auf einer begrenzten Vier-Tage-Stichprobe.

Die US-Einwanderungsbehörde ICE vergab im April 2025 einen Vertrag im Wert von 30 Millionen US-Dollar an Palantir. Die Software ImmigrationOS erweitert das seit 2014 genutzte Fallmanagementsystem und soll Auswahl, Festnahme und Abschiebung von Migranten beschleunigen. Im Juli 2025 besetzten rund 100 Aktivisten die Palantir-Büros in Seattle. Palantir-Mitarbeiter hatten bereits 2019 einen offenen Brief mit über 200 Unterschriften gegen die ICE-Nutzung verfasst.

Nicht belegt ist, in wie vielen Fällen ImmigrationOS tatsächlich zu Festnahmen führte, die Software war laut Berichten erst als Prototyp geplant. Die Zahl betroffener Visa-Widerrufe schwankt zwischen 300 und 4.000 Fällen ohne verlässliche amtliche Gesamtzahl.

Der CCC veröffentlichte am 08.10.2011 den Bericht Analyse einer Regierungs-Malware, eine technische Zerlegung eines von DigiTask entwickelten Staatstrojaners. Die Software kommunizierte über TCP Port 443 mit einem hartcodierten Command-and-Control-Server. Der CCC dokumentierte Funktionen wie das Nachladen beliebigen weiteren Codes sowie Screenshot- und Mikrofonzugriff, die über die vom Bundesverfassungsgericht 2008 gezogenen engen Grenzen der Quellen-Telekommunikationsüberwachung hinausgingen.

Nicht belegt ist, in wie vielen Einsatzfällen bundesweit genau diese DigiTask-Version zum Einsatz kam. Umstritten blieb, ob die nachladbare Funktion tatsächlich für Funktionen jenseits der Quellen-TKÜ genutzt wurde oder nur technisch möglich war. Die genaue Herkunft der Samples wurde aus Quellenschutzgründen nicht vollständig offengelegt.

Die neue Telekommunikations-Überwachungsverordnung wurde Ende Mai 2017 vom Bundesrat verabschiedet und verpflichtete Provider ab 01.07.2017 zur Speicherung von Verbindungsdaten, zehn Wochen für Internet- und Telekommunikationsmetadaten, vier Wochen für Standortdaten. Die finale technische Richtlinie wurde erst Mitte Juni veröffentlicht, nur rund zwei Wochen vor der Umsetzung. Provider kritisierten den Umsetzungsaufwand von rund 600 Millionen Euro als unverhältnismäßig.

Die Zahl von 600 Millionen Euro stammt aus Branchenschätzungen, nicht von offizieller Seite bestätigt. Die rechtliche Tragfähigkeit angesichts der EuGH-Rechtsprechung war zum Zeitpunkt der Berichterstattung ungeklärt, das Bundesverfassungsgericht setzte die Speicherpflicht 2017 vorläufig aus.

Facebook startete im November 2007 das Werbeprogramm Beacon, das Kaufaktivitäten von Nutzern auf Partnerseiten ohne wirksame Zustimmung erfasste und an Facebook-Freunde weitergab. Nutzer reichten die Sammelklage Lane v. Facebook ein. Im September 2009 einigten sich die Parteien: Facebook stellte Beacon ein und zahlte 9,5 Millionen Dollar, davon rund 6,5 Millionen an die neu gegründete Stiftung Digital Trust Foundation. Das Berufungsgericht bestätigte den Vergleich am 20.09.2012 für rund 3,6 Millionen betroffene Nutzer.

Nicht dokumentiert ist, wie viele Nutzer konkret geschädigt wurden. Umstritten blieb die Angemessenheit des Vergleichs, da Klassenmitglieder keine direkte Geldzahlung erhielten, sondern das Geld an eine von Facebook mitgegründete Stiftung floss.

Die FTC erhob am 30.03.2011 Anklage gegen Google wegen täuschender Datenschutzpraktiken beim Start von Google Buzz im Februar 2010. Google hatte Gmail-Nutzer ohne ausreichende Zustimmung automatisch eingeschrieben und deren häufigste E-Mail-Kontakte öffentlich sichtbar gemacht. Google einigte sich mit der FTC auf ein umfassendes Datenschutzprogramm mit unabhängigen Audits für 20 Jahre, die endgültige Genehmigung erfolgte am 24.10.2011.

Nicht Teil dieses Vergleichs ist eine Geldstrafe, anders als später der Safari-Fall 2012 mit 22,5 Millionen US-Dollar. Wie viele Nutzer konkret betroffen waren, ist in der FTC-Mitteilung nicht genannt.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, 14 mutmaßliche Mitglieder der Ransomware-Gruppe REvil festgenommen zu haben. Bei Razzien in 25 Wohnungen in Moskau und St. Petersburg wurden umgerechnet rund 426 Millionen Rubel, 600.000 US-Dollar und 20 Fahrzeuge beschlagnahmt. Die FSB erklärte, die Operation sei auf Ersuchen der US-Behörden durchgeführt worden. Den Verdächtigen wurden Straftaten wegen illegalen Umgangs mit Zahlungsmitteln vorgeworfen, nicht wegen Ransomware-Erpressung.

Nicht belegt ist, ob die Festgenommenen tatsächlich für die großen REvil-Angriffe auf Colonial Pipeline oder Kaseya verantwortlich waren. Unklar bleibt, ob eine Auslieferung oder strafrechtliche Verfolgung in den USA möglich war, da Russland eigene Staatsbürger nicht ausliefert.

Nachdem die Conti-Ransomware-Gruppe am 25.02.2022 öffentlich ihre Unterstützung für die russische Invasion in der Ukraine erklärt hatte, leakte ein pro-ukrainischer Insider ab dem 27.02.2022 interne Chatprotokolle. Der Datensatz umfasst 393 JSON-Dateien mit 60.094 Nachrichten aus dem Zeitraum 21.01.2021 bis 27.02.2022. Zusätzlich wurden Quellcode-Bestandteile der TrickBot-Malware veröffentlicht. Die Chats zeigen, dass Conti in Scrum-artigen Sprints organisiert war.

Die Identität des Leakers ist bis heute nicht offiziell bestätigt. Die genaue Zahl von 60.094 Nachrichten stammt aus der Auswertung durch Sicherheitsforscher, nicht aus einer amtlichen forensischen Bestätigung. Unklar bleibt, wie vollständig der Leak das Kommunikationsvolumen der Gruppe abbildet.

Microsoft erwirkte am 06.10.2020 einen Gerichtsbeschluss gegen das Trickbot-Botnetz und leitete gemeinsam mit Partnern technische Maßnahmen ein. Von 69 identifizierten Command-and-Control-Servern konnten 62 abgeschaltet werden. Parallel führte das US Cyber Command eine eigene Operation gegen die Trickbot-Infrastruktur durch, kurz vor den US-Präsidentschaftswahlen im November 2020, um Ransomware-Risiken für Wahlinfrastruktur zu verringern.

Nicht belegt ist, wie viele Rechner weltweit tatsächlich infiziert waren. Microsoft und US Cyber Command bezeichneten ihre Aktionen als Störung, nicht als vollständige Zerschlagung. Bereits wenige Wochen später gab es Berichte über teilweise Wiederherstellung der Infrastruktur.

Am 29.08.2023 gaben FBI und DOJ den Abschluss der multinationalen Operation Duck Hunt gegen das Qakbot-Botnetz bekannt, an der Behörden aus sieben Ländern beteiligt waren. Qakbot hatte weltweit mehr als 700.000 Computer infiziert. Die Strafverfolgung verschaffte sich Zugriff auf die Infrastruktur und ließ auf infizierten Rechnern eine Deinstallationsdatei ausführen. Es wurden 52 Server beschlagnahmt und mehr als 8,6 Millionen US-Dollar in Kryptowährung sichergestellt.

Nicht dokumentiert ist, wer hinter der Qakbot-Infrastruktur stand, zum Zeitpunkt der Bekanntgabe wurden keine Festnahmen gemeldet. Sicherheitsforscher berichteten bereits Ende 2023 über neue Qakbot-Kampagnen, was zeigt, dass die technische Zerschlagung die Akteure nicht dauerhaft ausschaltete.

Am 05.04.2022 sicherten BKA und ZIT Frankfurt die in Deutschland befindliche Serverinfrastruktur des russischsprachigen Darknet-Marktplatzes Hydra Market und schalteten ihn ab, dabei wurden 543 Bitcoin im Gegenwert von rund 23 Millionen Euro beschlagnahmt. Hydra Market galt als weltweit umsatzstärkster illegaler Online-Marktplatz mit mindestens 1,23 Milliarden Euro Umsatz allein 2020, gehandelt wurden vor allem Betäubungsmittel. Den Ermittlungen seit August 2021 gingen internationale Kooperationen voraus.

Nicht dokumentiert ist die Identität der eigentlichen Hauptbetreiber, auch wenn US-Behörden parallel Anklage gegen einen mutmaßlichen russischen Staatsangehörigen erhoben. Unklar bleibt, in welchem Umfang der Handel durch die Abschaltung tatsächlich zurückging, da Nachfolgeplattformen bald entstanden.

Im November 2019 griff die Maze-Ransomware-Gruppe das US-Sicherheitsunternehmen Allied Universal an und forderte 300 Bitcoin. Als das Unternehmen nicht zahlte, veröffentlichten die Angreifer rund 700 MB gestohlener Daten als Drohmittel. Dieser Fall gilt als eine der ersten dokumentierten Anwendungen der Taktik Double Extortion, die in der Folge von Gruppen wie REvil und Clop übernommen wurde.

Nicht belegt ist die tatsächliche Gesamtmenge der gestohlenen Daten, die Behauptung von nur 10 Prozent Veröffentlichung stammt allein von den Tätern. Ob Allied Universal letztlich zahlte, ist nicht dokumentiert. Die Identität der Maze-Betreiber wurde nie offiziell festgestellt.

Zwei Tage nach dem DarkSide-Ransomware-Angriff auf Colonial Pipeline unterzeichnete Präsident Biden am 12.05.2021 die Executive Order 14028 zur Verbesserung der nationalen Cybersicherheit, mit Vorgaben zu Multi-Faktor-Authentifizierung, Zero-Trust-Architektur und Software-Lieferkette für Bundesbehörden. Ergänzend erließ die TSA am 27.05.2021 eine Direktive, die Pipelinebetreiber erstmals zur Meldung von Cybervorfällen an die CISA verpflichtete.

Die Executive Order richtet sich primär an Bundesbehörden, keine direkte gesetzliche Pflicht für private Pipelinebetreiber, diese ergeben sich erst aus den TSA-Direktiven. Die technische Ursache des Erstzugriffs bei Colonial Pipeline, ein kompromittiertes VPN-Passwort ohne Zwei-Faktor-Authentifizierung, ist nicht unabhängig vollständig bestätigt.

Nach dem Ransomware-Angriff auf Change Healthcare im Februar 2024 sind die Klagen als Multidistrict Litigation MDL 3108 in Minnesota gebündelt, bis August 2025 auf 78 Verfahren angewachsen. Am 30.04.2025 ordnete das Gericht persönliche Vergleichsgespräche an. Change Healthcare meldete zum 31.07.2025 rund 192,7 Millionen betroffene Personen, der größte je erfasste Datenschutzvorfall im US-Gesundheitswesen.

Bis zum Recherchestand im August 2025 wurde kein finaler Vergleich bekanntgegeben. Die Zahl der Betroffenen wurde mehrfach nach oben korrigiert, von anfänglich rund 100 Millionen auf 192,7 Millionen. Der Ausgang der Klageabweisungsanträge war noch nicht entschieden.

Die medizinische Inkassofirma American Medical Collection Agency wurde zwischen dem 01.08.2018 und 30.03.2019 gehackt. Betroffen waren Daten von rund 20 Millionen Patienten, darunter Name, Geburtsdatum und offene Rechnungsbeträge. Quest Diagnostics meldete 11,9 Millionen betroffene Kunden, LabCorp 7,7 Millionen. Die AMCA-Muttergesellschaft meldete am 17.06.2019 Insolvenz an.

Nicht dokumentiert ist, wie viele Betroffene tatsächlich Bankdaten preisgaben. Die technische Schwachstelle wurde nicht im Detail offengelegt. Die Identität der Angreifer ist nicht bestätigt. Die 20 Millionen sind eine Summe aus verschiedenen Kundenmeldungen, Überschneidungen sind nicht ausgeschlossen.

Die Deutsche Bahn gibt bei der Fahrpreisnacherhebung, etwa nach Fahrten ohne gültigen Fahrschein, Kundendaten an die Arvato Infoscore GmbH weiter, eine Bertelsmann-Tochter. Arvato Infoscore berechnet daraus mittels nicht offengelegter Verfahren Bonitätswerte, die über Zahlungsarten, Mobilfunkverträge und Mietwohnungsvergabe mitentscheiden können, ohne dass Betroffene informiert werden. Das Unternehmen verwaltete zum damaligen Zeitpunkt über 40 Millionen Negativmerkmale zu 7,8 Millionen Verbrauchern.

Nicht belegt ist ein spezifischer Fall, in dem die Deutsche Bahn im Zusammenhang mit Sitzplatzreservierungen unmittelbar Bonitätsprüfungen durchführt. Die dokumentierte Praxis betrifft die Fahrpreisnacherhebung bei Schwarzfahren, nicht die reguläre Ticketbuchung. Der Bericht stammt aus 2016, aktuellere Zahlen liegen nicht vor.