Quellen-Tabelle

Ein von der BVG beauftragter Dienstleister wurde Opfer eines Cyberangriffs, bei dem Kundendaten von rund 180.000 BVG-Kunden offengelegt wurden, darunter Namen und Vertragsnummern, Bankdaten waren nicht betroffen. Der Dienstleister informierte die BVG am 17.04.2025, die Meldung an die Datenschutzbehörde erfolgte erst am 30.04.2025 nach der gesetzlichen 72-Stunden-Frist. Die Berliner Datenschutzbeauftragte erließ am 04.05.2026 eine Verwarnung wegen unzureichender Kontrolle der Datenlöschung beim Dienstleister.

Nicht öffentlich dokumentiert ist, welcher Dienstleister betroffen war. Die Zahl von 180.000 Betroffenen stammt aus der Behördenmitteilung ohne unabhängige forensische Bestätigung. Eine separate Diskussion um ein Tracking-Ticketsystem der BVG ließ sich in verlässlichen Quellen nicht als eigenständiger Vorgang bestätigen.

Bitmarck, IT-Dienstleister für rund 80 der 96 gesetzlichen Krankenkassen, meldete am 19.01.2023 unbefugten Zugriff auf einen Teil seiner IT-Infrastruktur. Ein Angreifer nutzte gestohlene Zugangsdaten, um ohne Zwei-Faktor-Authentifizierung auf die Plattform Jira zuzugreifen. Nach Präzisierungen waren Daten von rund 300.000 Online-Kunden betroffen. Zentrale Systeme zur Verarbeitung von Gesundheitsdaten waren laut Bitmarck nicht betroffen.

Frühe Meldungen sprachen von bis zu 25 Millionen potenziell betroffenen Versicherten, Bitmarck präzisierte später auf rund 300.000 Online-Kundenkonten. Offen bleibt, wie viele Datensätze tatsächlich kopiert oder im Darknet weiterverkauft wurden.

Western Digital identifizierte am 26.03.2023 einen Sicherheitsvorfall mit Zugriff auf mehrere Unternehmenssysteme, darunter My Cloud. Am 08.05.2023 bestätigte das Unternehmen den Diebstahl von Kundendaten, darunter Namen, Adressen und teilweise Kreditkartennummern. Die Angreifergruppe drohte am 28.04.2023 mit wöchentlichen Datenveröffentlichungen und forderte laut Medienberichten ein Lösegeld im achtstelligen Bereich, mit Drohung der Veröffentlichung auf der Leak-Seite der Ransomware-Gruppe Alphv.

Die Angreifer behaupteten, rund 10 Terabyte erbeutet zu haben, unabhängig nicht bestätigt. Western Digital nannte keine genaue Zahl betroffener Kunden. Ob ein Lösegeld gezahlt wurde, ist nicht bestätigt.

Am 03.11.2022 reichte die Joseph Saveri Law Firm im Namen mehrerer Softwareentwickler eine Sammelklage gegen GitHub, Microsoft und OpenAI ein. Die Klage wirft vor, KI-Systeme Codex und Copilot mit Milliarden Zeilen öffentlichem Code trainiert zu haben, ohne Lizenzbedingungen wie GNU GPL einzuhalten. Die Kläger bezifferten mögliche Schadensersatzansprüche theoretisch auf über 9 Milliarden US-Dollar. Der Richter wies 20 von 22 Klagepunkten ab, ließ aber Ansprüche wegen Lizenzverletzung zu.

Das Gericht stellte fest, dass die Kläger nicht nachweisen konnten, dass spezifischer Code aus spezifischen Trainingsdaten in spezifischen Copilot-Ausgaben erscheint. Die Summe von 9 Milliarden Dollar ist eine theoretische Maximalberechnung, kein zugesprochener Betrag. Der Ausgang war zum Recherchezeitpunkt nicht rechtskräftig.

Im Januar 2017 identifizierten Sicherheitsforscher, dass die chinesische Foto-App Meitu auf Android und iOS weit mehr Berechtigungen anfordert als für ihre Kernfunktion nötig, darunter genauen Standort, IMSI-Gerätekennung und WLAN-Verbindungen. Eindeutige Gerätekennungen wurden an Server in China übertragen. Meitu erklärte, die Datensammlung diene der App-Optimierung.

Nicht belegt ist, wofür Meitu die Daten konkret verwendete. Es gibt keine dokumentierten Beweise für eine Weitergabe an chinesische Behörden, dies wurde nur als mögliches Risiko benannt. Es liegt keine behördliche Untersuchung zu diesem Fall vor.

Am 25. und 26.01.2023 wurde ein 44,7 GB großes Archiv mit internem Yandex-Quellcode auf BreachForums veröffentlicht, angeblich bereits im Juli 2022 entwendet. Das Paket enthielt Teile des Suchalgorithmus mit rund 1.922 dokumentierten Ranking-Faktoren. Yandex bestätigte den Vorfall, erklärte aber, nicht gehackt worden zu sein, sondern verwies auf einen ehemaligen Mitarbeiter als Quelle. Keine Nutzerdaten seien betroffen gewesen.

Nicht zweifelsfrei dokumentiert ist, ob es sich tatsächlich um einen Innentäter-Diebstahl handelte, dies beruht allein auf der Darstellung von Yandex. Die genaue Zahl der Ranking-Faktoren ist umstritten, verschiedene Analysten kamen auf Werte zwischen 1.922 und über 17.000.

Ein Forscherteam mehrerer Universitäten analysierte in einem am 08.09.2017 veröffentlichten Paper Apples Implementierung von Differential Privacy. Für macOS Sierra ermittelten sie einen Datenschutzparameter Epsilon von 6, für iOS 10 von 14, kumulativ bis zu 43. Die Fachcommunity betrachtet Epsilon-Werte unter 1 als Richtschnur. Apple widersprach der Studie und verwies auf zusätzliche Schutzmaßnahmen.

Nicht geklärt ist, ob die kumulierten Epsilon-Werte die reale Re-Identifizierbarkeit widerspiegeln, Apple bestreitet, dass sich die Werte einfach addieren lassen. Die Werte stammen aus Reverse Engineering, nicht aus offizieller Apple-Dokumentation.

Die Verordnung (EU) 2024/1183 wurde am 30.04.2024 veröffentlicht und trat am 20.05.2024 in Kraft. Artikel 45 verpflichtet Browser zur Anerkennung staatlich benannter Website-Authentifizierungszertifikate (QWACs). Mehr als 500 Sicherheitsforscher und Organisationen wie Mozilla und EFF unterzeichneten offene Briefe gegen eine befürchtete Schwächung der Browser-Sicherheitsarchitektur. Das Parlament nahm die finale Fassung im Februar 2024 mit abgeschwächten Formulierungen an.

Nicht geklärt ist, ob die finale Fassung die technischen Bedenken tatsächlich entkräftet hat. Umstritten bleibt, ob Browserhersteller weiterhin eigene Vertrauensentscheidungen treffen können. Die vollständigen Auswirkungen zeigen sich erst nach Ablauf der Übergangsfristen 2026/2027.

Am 08. und 09.11.2023 wurde ICBC Financial Services, US-Tochter der weltgrößten Bank ICBC, Opfer eines Ransomware-Angriffs, für den die Gruppe LockBit verantwortlich gemacht wurde. Der Angriff legte den US-Broker-Dealer-Arm lahm und verhinderte die Abwicklung von Trades im US-Staatsanleihenmarkt. ICBC musste Handelsdetails per USB-Stick durch einen Boten übermitteln. Die Rate gescheiterter Abwicklungen stieg am 09.11. auf rund 60 Milliarden US-Dollar.

Die Zuordnung zu LockBit stützt sich auf Einschätzungen von Sicherheitsfirmen, keine offizielle behördliche Bestätigung in jeder Quelle. US-Finanzministerin Yellen erklärte später, der Hack habe keine materiellen Auswirkungen gehabt, im Spannungsverhältnis zu den anfänglichen Berichten. Ob ein Lösegeld gezahlt wurde, ist unbekannt.

Sicherheitsforscher von RedHunt Labs entdeckten Anfang Januar 2024 einen öffentlich zugänglichen GitHub-Token eines Mercedes-Benz-Mitarbeiters, der seit dem 29.09.2023 in einem öffentlichen Repository lag und unbeschränkten Zugriff auf den internen GitHub-Enterprise-Server ermöglichte, darunter Quellcode, Cloud-Zugangsschlüssel für Azure und AWS sowie SSO-Passwörter. Mercedes-Benz widerrief den Token am 24.01.2024 und fand keine Hinweise auf Missbrauch.

Ein separat kolportierter Vorfall eines Systemprompt-Lecks bei einem Mercedes-Benz-Chatbot 2024 ließ sich in der Recherche nicht bestätigen und wird häufig mit einem unabhängigen Fall eines Chevrolet-Händlers in Kalifornien verwechselt. Wie lange der Token vor der Entdeckung tatsächlich ausgenutzt wurde, ist nicht dokumentiert.

Forscher der ETH Zürich stellten auf dem USENIX Security Symposium 2023 eine Arbeit vor, die zeigte, dass sich bei kontaktlosen EMV-Transaktionen von Visa, Mastercard und Maestro die PIN-Abfrage durch Manipulation von Datenfeldern umgehen lässt. Transaktionen wurden im Labor über typischen kontaktlosen PIN-Limits erfolgreich durchgeführt. Mastercard bestätigte den Erhalt der Meldung und leitete Gegenmaßnahmen ein.

Ein konkreter, dokumentierter Fall eines ausgenutzten Girocard-NFC-Exploits in Deutschland ist durch die Quellen nicht belegt, die Forschung betrifft nachweislich internationale Systeme, nicht das eigenständige deutsche Girocard-Verfahren, das seit 2012 durchgängig auf Chip und PIN basiert.

Die Datenschutzkonferenz veröffentlichte am 16.08.2024 eine Orientierungshilfe zur Datenverarbeitung bei funkbasierten Zählern für Gebäudeeigentümer und Wohnungsunternehmen. Verbrauchsdaten dürfen ausschließlich zur Nebenkostenabrechnung und zu gesetzlich zugelassenen Zwecken erhoben werden. Eine Auswertung zur Erstellung von Nutzungs- oder Verhaltensprofilen ist ohne ausdrückliche Rechtsgrundlage unzulässig. Rechtsgrundlagen sind DSGVO, Messstellenbetriebsgesetz und Heizkostenverordnung.

Die Orientierungshilfe ist ein allgemeines Regelwerk, keine Feststellung eines konkreten Verstoßes. Es liegt kein dokumentierter Fall vor, in dem ein deutsches Wohnungsunternehmen wegen Auswertung von Smart-Meter-Daten bereits mit einem Bußgeld belegt wurde.

In der Nacht auf den 16.10.2021 wurde die Stadtverwaltung Witten Opfer eines Cyberangriffs, der rund 1.000 Computerarbeitsplätze sowie E-Mail und Telefon lahmlegte. Betroffen waren Bürgerberatung, Standesamt und Volkshochschule, während Notruf und Feuerwehr weiterliefen. Die Stadt zog zur Schadensbegrenzung die Netzstecker und schaltete Polizei und LKA ein. Die vollständige Wiederherstellung zog sich bis ins Frühjahr 2022 hin.

Nicht bestätigt wurde, ob es sich um einen klassischen Ransomware-Angriff mit Erpressung handelte. Die genaue Dauer der Wiederherstellung wird unterschiedlich angegeben, ein offizieller Abschlussbericht mit exaktem Enddatum liegt nicht vor.

Am 27.11.2022 wurde die Universität Duisburg-Essen Opfer eines Ransomware-Angriffs, bei dem rund 1.200 virtuelle Server verschlüsselt wurden. Die Hochschule trennte ihre gesamte IT-Infrastruktur vom Netz und begann mit forensischer Aufarbeitung. Für etwa 40.000 Nutzer wurden die Passwörter zurückgesetzt, E-Mail und Telefonie konnten vor Weihnachten wiederhergestellt werden.

Nicht dokumentiert ist die exakte Höhe des finanziellen Schadens. Unklar bleibt, wie die Angreifer ursprünglich Zugang erlangten. Die spätere Zuordnung zur Gruppe Vice Society wird in dieser Quelle selbst nicht erwähnt.

Die Berliner Datenschutzbeauftragte verhängte am 30.10.2019 gegen die Deutsche Wohnen SE ein Bußgeld von rund 14,5 Millionen Euro. Das Landgericht Berlin stellte das Verfahren am 18.02.2021 zunächst ein, das Kammergericht legte die Sache dem EuGH vor. Nach der EuGH-Entscheidung von Dezember 2023 verwies das Kammergericht zurück. Das Landgericht Berlin verurteilte Deutsche Wohnen SE am 09.06.2026 zu einer deutlich reduzierten Geldbuße von 900.000 Euro.

Nicht geklärt ist, ob das Urteil rechtskräftig ist oder Rechtsmittel eingelegt wurden. Die genaue rechtliche Begründung für die drastische Reduzierung geht aus der kurzen Pressemitteilung nicht im Detail hervor.

Das Bundesverfassungsgericht wies mit Beschluss vom 01.11.2024 eine Verfassungsbeschwerde gegen eine Verurteilung ab, die auf in Frankreich erhobenen Encrochat-Daten beruhte. Das Gericht bestätigte die Rechtsprechung des BGH, wonach kein Beweisverwertungsverbot besteht, da die zugrunde liegende Europäische Ermittlungsanordnung rechtmäßig war. Der BGH hatte bereits am 02.03.2022 grundsätzlich entschieden.

Umstritten bleibt, wie die französische Überwachungsmaßnahme selbst rechtlich einzuordnen war, deutsche Gerichte prüfen nur die Rechtmäßigkeit der Übermittlung. Wie viele Verfahren insgesamt auf Encrochat-Daten gestützt wurden, ist nicht bundesweit einheitlich erfasst.

Am 02.06.2016 unterzeichneten EU und USA das Umbrella Agreement, einen Rahmenvertrag zum Datenschutz für den Austausch personenbezogener Daten zwischen Strafverfolgungsbehörden. Das Abkommen erfasst Daten wie Namen und Vorstrafen zur Straftatverfolgung einschließlich Terrorismus und räumt EU-Bürgern erstmals ein gerichtliches Rechtsmittel vor US-Gerichten ein, gleichgestellt mit US-Bürgern. Das Europäische Parlament stimmte am 01.12.2016 zu.

Nicht dokumentiert ist, wie oft US-Gerichte entsprechende Klagen von EU-Bürgern tatsächlich zuließen. Umstritten blieb, ob der zugrunde liegende Judicial Redress Act dauerhaft Bestand hat, da er per einfachem Gesetz verankert ist.

Am 14.05.2021 legte ein Ransomware-Angriff mit der Schadsoftware Conti die zentralen IT-Systeme des irischen Gesundheitsdienstes HSE landesweit lahm. Ausgangspunkt war eine Phishing-E-Mail vom 16.03.2021, wodurch die Angreifer rund acht Wochen unbemerkt agieren konnten. Der 157-seitige PwC-Untersuchungsbericht dokumentiert veraltete Windows-7-Systeme. Die Wiederherstellung dauerte rund vier Monate, geschätzte Kosten belaufen sich auf etwa 100 Millionen US-Dollar.

Die exakte Höhe des Gesamtschadens ist nicht abschließend belegt, Schätzungen schwanken zwischen 80 und über 100 Millionen. Die Angreifer forderten Presseberichten zufolge rund 20 Millionen US-Dollar, die HSE zahlte nicht.

Ab dem 17.04.2022 griff die Ransomware-Gruppe Conti mehrere costa-ricanische Ministerien an, darunter Finanzen, Arbeit und Wissenschaft. Präsident Rodrigo Chaves erklärte am 08.05.2022 als erstes Staatsoberhaupt weltweit wegen eines Cyberangriffs den nationalen Notstand. Conti forderte zunächst 10 Millionen US-Dollar, später bis zu 20 Millionen, Costa Rica zahlte nicht. Der Zoll- und Steuerbetrieb war wochenlang gestört, kurz darauf griff die verwandte Gruppe HIVE zusätzlich das Gesundheitssystem CCSS an.

Die genaue Gesamtzahl der kompromittierten Behördensysteme wurde nie vollständig veröffentlicht. Unklar bleibt, ob und wie viele costa-ricanische Institutionen doch inoffizielle Zahlungen leisteten. Der wirtschaftliche Gesamtschaden ist nicht abschließend beziffert, Schätzungen bewegen sich im Bereich mehrerer hundert Millionen US-Dollar.

Nach dem 2020 bekannt gewordenen Hack der finnischen Psychotherapiekette Vastaamo, bei dem Patientenakten von rund 33.000 Betroffenen entwendet und teils veröffentlicht wurden, meldeten sich tausende Patienten mit Schadensersatzforderungen gegen den mittlerweile insolventen Betreiber. Ein finnisches Gericht verurteilte den Täter Julius Kivimäki im April 2024 zu einer Haftstrafe von sechs Jahren und drei Monaten wegen Datenerpressung und Offenlegung von Patientendaten. Die Konkursmasse Vastaamos reichte für Entschädigungszahlungen nicht annähernd aus.

Nicht abschließend geklärt ist, wie viele Betroffene tatsächlich eine Entschädigung erhielten, da die Insolvenzmasse begrenzt war. Die genaue Zahl der veröffentlichten Patientenakten schwankt in Berichten zwischen rund 2.000 und weit höheren Schätzungen.

Am 15.09.2022 verschaffte sich ein mit der Gruppe Lapsus\$ verbundener Angreifer per Social Engineering und MFA-Fatigue Zugriff auf einen Uber-Mitarbeiter-Account und darüber auf interne Systeme wie Slack, AWS, Google Workspace und den HackerOne-Bug-Bounty-Bereich. Der Angreifer postierte eine Nachricht im firmeninternen Slack-Kanal und veränderte die Startseite interner Tools. Uber bestätigte den Vorfall am 16.09.2022 offiziell.

Nicht abschließend belegt ist, in welchem Umfang Kundendaten tatsächlich eingesehen wurden, Uber erklärte, keine sensiblen Nutzerdaten seien exfiltriert worden, eine unabhängige vollständige Bestätigung dafür liegt öffentlich nicht vor. Ein separater Vorwurf, frühere Uber-Führungskräfte hätten einen Vorgängervorfall 2016 vertuscht, ist Gegenstand eines eigenen, hier nicht behandelten Verfahrens.

Der ehemalige Uber-Sicherheitschef Joe Sullivan war 2022 wegen Vertuschung eines Datenlecks aus dem Jahr 2016 verurteilt worden, weil er den Vorfall nicht der US-Handelsaufsicht FTC meldete und stattdessen Schweigegeld an die Angreifer zahlte. Das Berufungsgericht des Ninth Circuit bestätigte am 24.06.2025 die Verurteilung. Sullivan war zu drei Jahren Bewährung verurteilt worden, blieb aber während des Verfahrens ohne Haftstrafe.

Nicht Teil dieser Quelle ist der ursprüngliche Hack von 2016 selbst, der von den hier nicht identischen Angreifern der Lapsus\$-Attacke 2022 zu unterscheiden ist. Ob Sullivan weitere Rechtsmittel wie eine Revision vor dem Supreme Court einlegte, ist nicht dokumentiert.

Bei der Sitzung der EU-Innenminister am 12.06.2025 fand der Vorschlag zur verpflichtenden serverseitigen Chatkontrolle unter dänischer Ratspräsidentschaft erneut keine ausreichende Mehrheit unter den EU-Mitgliedstaaten. Deutschland positionierte sich gegen eine anlasslose Chatkontrolle. Der Vorschlag zur CSAM-Verordnung (Chatkontrolle) wurde damit zum wiederholten Mal vertagt, nachdem bereits 2023 und 2024 keine Einigung erzielt worden war.

Der endgültige Ausgang der Verhandlungen war zum Zeitpunkt dieser Quelle offen, spätere Ratspräsidentschaften könnten das Thema erneut aufgreifen. Die genaue Stimmenverteilung der einzelnen Mitgliedstaaten wurde nicht in allen Details veröffentlicht.

Die Bundesregierung machte am 03.05.2024 die russische Hackergruppe APT28, die dem Militärgeheimdienst GRU zugeordnet wird, für einen Cyberangriff auf die IT-Systeme der SPD-Bundesgeschäftsstelle im Jahr 2023 verantwortlich. Zusätzlich betroffen waren Unternehmen der Logistik-, Rüstungs- und Luft- und Raumfahrtbranche. Das Auswärtige Amt bestellte den russischen Botschafter ein, die EU verurteilte den Angriff gemeinsam mit mehreren Partnerstaaten.

Nicht öffentlich beziffert wurde der konkrete Umfang der abgeflossenen Daten bei der SPD oder den betroffenen Unternehmen. Die genaue Zahl und Namen aller betroffenen Rüstungsunternehmen wurden aus Sicherheitsgründen nicht vollständig veröffentlicht.

Der australische Krankenversicherer Medibank meldete der OAIC am 25.10.2022 einen Cyberangriff, bei dem Gesundheitsdaten von 9,7 Millionen Australiern kompromittiert wurden. Die Angreifer veröffentlichten Teile der Daten im Darknet, nachdem Medibank sich geweigert hatte, Lösegeld zu zahlen. Am 05.06.2024 erhob die OAIC vor dem Federal Court Zivilklage wegen unzureichender technischer Schutzmaßnahmen im Zeitraum März 2021 bis Oktober 2022, mit Bußgeldern bis zu 2,22 Millionen australischen Dollar pro Verstoß.

Nicht geklärt ist, wie die Angreifer ursprünglich Zugang erlangten, dies ist Gegenstand des laufenden Verfahrens. Die tatsächliche Bußgeldhöhe steht offen, da die theoretische Gesamtsumme je nach Zählung der Verstöße kontrovers diskutiert wird. Der Ausgang des Gerichtsverfahrens war zum Zeitpunkt der Quelle nicht entschieden.