Quellen-Tabelle

Der Cloud-Softwareanbieter Blackbaud, dessen Systeme von tausenden gemeinnützigen Organisationen, Universitäten und Stiftungen zur Spenderverwaltung genutzt werden, wurde im Mai 2020 Opfer eines Ransomware-Angriffs auf seine selbst gehostete Cloud-Umgebung. Die Angreifer wurden vor vollständiger Verschlüsselung der Systeme gestoppt, kopierten zuvor jedoch einen Teil der Kundendaten. Rund 13.000 Kundenorganisationen weltweit waren betroffen, darunter zahlreiche britische Universitäten wie Oxford Brookes, Leeds, Manchester und Glasgow sowie US-amerikanische Hochschulen und Wohltätigkeitsorganisationen. Gestohlen wurden je nach betroffener Organisation Namen, Kontaktdaten, Geburtsdaten, Spendenhistorien, teilweise auch Sozialversicherungsnummern und Bankverbindungen von Spendern. Blackbaud teilte am 16.07.2020 öffentlich mit, Bankdaten und Sozialversicherungsnummern seien nicht zugänglich gewesen; diese Aussage stellte sich laut SEC innerhalb weniger Tage intern als falsch heraus, wurde von der Unternehmensleitung aber nicht korrigiert. Erst im September 2020 räumte Blackbaud in einer SEC-Meldung ein, dass Sozialversicherungsnummern und Bankdaten möglicherweise gestohlen worden waren. Im März 2023 einigte sich Blackbaud mit der SEC auf eine Zivilstrafe von 3 Millionen US-Dollar wegen irreführender Offenlegungspraxis. Zusätzlich zahlte Blackbaud 2023 rund 49,5 Millionen US-Dollar zur Beilegung eines Verfahrens mit den Generalstaatsanwälten von 49 US-Bundesstaaten.

Die exakte Gesamtzahl der individuell betroffenen Spender und Personen weltweit ist aus dieser Quelle nicht belegt, ebenso wenig die Identität der Angreifer oder ob Lösegeld gezahlt wurde. Die SEC-Strafe betrifft nur die irreführende Offenlegung gegenüber Investoren, nicht die Datenschutzverstöße gegenüber den betroffenen Spendern selbst.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2022 gegen Meta Platforms Ireland Limited als Betreiberin von Instagram ein Bußgeld in Höhe von 405 Millionen Euro. Die Entscheidung wurde am 15.09.2022 öffentlich bekannt gegeben und war zu diesem Zeitpunkt die höchste von der DPC verhängte Strafe. Grundlage war eine am 21.09.2020 eingeleitete Untersuchung, ausgelöst durch Hinweise des US-Datenwissenschaftlers David Stier. Die DPC stellte fest, dass Instagram bei der Nutzung von Business-Konten E-Mail-Adressen und Telefonnummern minderjähriger Nutzer öffentlich sichtbar machte und persönliche Konten von Kindern standardmäßig auf öffentlich statt privat einstellte. Die Behörde sah darin Verstöße gegen mehrere Artikel der DSGVO. Der ursprüngliche Entscheidungsentwurf der DPC von Dezember 2021 stieß auf Einwände von sechs anderen europäischen Datenschutzbehörden, weshalb der Fall gemäß Artikel 65 DSGVO an den Europäischen Datenschutzausschuss (EDPB) verwiesen wurde. Der EDPB traf am 28.07.2022 eine bindende Entscheidung und verlangte die zusätzliche Feststellung eines Verstoßes gegen Artikel 6(1), wofür allein 20 Millionen Euro der Gesamtstrafe vorgesehen wurden. Es handelte sich um die dritte Strafe gegen ein Meta-Unternehmen nach 225 Millionen Euro gegen WhatsApp im September 2021 und 17 Millionen Euro gegen Facebook im März 2022.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Kinder konkret von der öffentlichen Anzeige ihrer Kontaktdaten betroffen waren, und der Ausgang eines möglichen Rechtsmittelverfahrens von Meta gegen die Entscheidung ist darin nicht dokumentiert.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2021 gegen WhatsApp Ireland Limited eine Geldbuße von 225 Millionen Euro. Grundlage war eine Untersuchung, die die DPC am 10.12.2018 von Amts wegen eingeleitet hatte. Gegenstand war die Frage, ob WhatsApp seinen Transparenzpflichten nach der Datenschutz-Grundverordnung nachkam, insbesondere bei der Information von Nutzern und Nicht-Nutzern über die Verarbeitung und Weitergabe von Daten an andere Facebook-Unternehmen. Die DPC stellte Verstöße gegen die Artikel 12, 13 und 14 sowie gegen den Transparenzgrundsatz aus Artikel 5 Absatz 1 Buchstabe a DSGVO fest. Der ursprüngliche Bußgeldvorschlag der DPC vom Dezember 2020 hatte lediglich 30 bis 50 Millionen Euro betragen. Acht betroffene Aufsichtsbehörden aus anderen EU-Staaten erhoben Einspruch gegen diesen Entwurf. Der Europäische Datenschutzausschuss entschied daraufhin am 28.07.2021 im verbindlichen Streitbeilegungsverfahren, dass die Buße deutlich höher ausfallen muss. Neben der Geldstrafe erteilte die DPC WhatsApp einen Verweis und ordnete konkrete Maßnahmen zur Herstellung der Rechtskonformität an.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Nutzer konkret von den Transparenzmängeln betroffen waren, und ein möglicher Ausgang eines gerichtlichen Einspruchs von WhatsApp gegen die Entscheidung wird darin nicht dokumentiert.

Am 21.01.2019 verhängte die formation restreinte der französischen Datenschutzbehörde CNIL eine Geldbuße von 50 Millionen Euro gegen Google LLC. Es war die erste große Sanktion unter der seit Mai 2018 geltenden EU-Datenschutz-Grundverordnung und zum Zeitpunkt der Verhängung die höchste von einer europäischen Datenschutzbehörde ausgesprochene Strafe. Grundlage waren zwei Sammelbeschwerden der Organisationen None Of Your Business (NOYB) um Max Schrems und La Quadrature du Net vom 25. und 28.05.2018. Die CNIL stellte einen Verstoß gegen Artikel 12 und 13 DSGVO fest, weil Informationen zur Datenverarbeitung bei der Einrichtung eines Android-Kontos auf mehrere Dokumente verstreut und schwer auffindbar waren. Zudem sah die Behörde einen Verstoß gegen Artikel 6 DSGVO, da die Einwilligung zur personalisierten Werbung nicht wirksam eingeholt wurde, unter anderem weil das Zustimmungskästchen bei der Kontoerstellung bereits vorangehakt war. Google legte gegen die Entscheidung Rechtsmittel beim Conseil d'État ein. Am 19.06.2020 bestätigte der Conseil d'État die Sanktion vollständig und wies die Beschwerde von Google zurück.

Die Entscheidung betrifft primär die Einwilligung zur personalisierten Werbung bei der Einrichtung eines Android-Kontos, nicht klassische Cookie-Banner auf Webseiten; eine gesonderte CNIL-Sanktion gegen Google wegen Cookies in Höhe von 100 Millionen Euro erfolgte erst im Dezember 2020. Die genaue Zahl der in Frankreich betroffenen Nutzerkonten ist aus der Quelle nicht ersichtlich.

Am 02.12.2015 töteten Syed Rizwan Farook und Tashfeen Malik bei einem Attentat in San Bernardino, Kalifornien, 14 Menschen und verletzten 22 weitere. Ermittler sicherten ein dienstliches iPhone 5C von Farook, das mit einem vierstelligen Code und iOS-Verschlüsselung gesichert war. Am 16.02.2016 ordnete die US-Bundesrichterin Sheri Pym auf Basis des All Writs Act von 1789 an, Apple müsse dem FBI angemessene technische Unterstützung leisten, konkret eine spezielle Firmware-Version, die die automatische Löschfunktion und die Verzögerung bei Falscheingaben des Codes deaktiviert. Noch am selben Tag veröffentlichte Apple-CEO Tim Cook den offenen Brief A Message to Our Customers, in dem er die Anordnung als Aufforderung zum Bau einer Hintertür bezeichnete und vor einem Präzedenzfall für alle iPhone-Nutzer warnte. Apple legte am 25.02.2016 einen Antrag auf Aufhebung der Anordnung vor, FBI-Direktor James Comey und Apples Justiziar Bruce Sewell sagten am 01.03.2016 vor dem US-Kongress aus. Am 21.03.2016 beantragte das US-Justizministerium eine Verschiebung der Anhörung, weil ein Dritter eine mögliche Methode zum Entsperren des Telefons vorgestellt habe. Am 28.03.2016 zog das Justizministerium die Klage zurück und erklärte, das FBI habe erfolgreich auf die Daten des iPhones zugegriffen, ohne Apples Hilfe zu benötigen. FBI-Direktor Comey bezifferte die Kosten für die Entsperrmethode im April 2016 auf mehr als 1,3 Millionen US-Dollar.

Die Identität des Drittanbieters, der dem FBI beim Entsperren half, wurde nie offiziell bestätigt (kursierende Berichte nennen die israelische Firma Cellebrite), und die genaue Höhe der gezahlten Summe schwankt in Medienberichten zwischen unter 1 Million und über 1,3 Millionen US-Dollar. Ob die auf dem Telefon gefundenen Daten ermittlungsrelevant waren, ist aus dieser Quelle nicht abschließend belegt.

Am 25.05.2022 gaben das US-Justizministerium (DOJ) und die Federal Trade Commission (FTC) eine Einigung mit Twitter Inc. bekannt, wonach das Unternehmen 150 Millionen US-Dollar Zivilstrafe zahlen muss. Den Behörden zufolge forderte Twitter zwischen Mai 2013 und September 2019 Nutzer auf, Telefonnummern und E-Mail-Adressen anzugeben, offiziell zur Kontosicherheit, etwa für die Zwei-Faktor-Authentifizierung und die Passwort-Wiederherstellung. Tatsächlich nutzte Twitter diese Daten zusätzlich für zielgerichtete Werbung, ohne die Nutzer darüber zu informieren. Nach Angaben der Behörden waren mehr als 140 Millionen Twitter-Nutzer betroffen. Die FTC wertete dies als Verstoß gegen den FTC Act sowie gegen eine bereits im März 2011 gegen Twitter erlassene behördliche Anordnung zum Datenschutz. Die Einigung verpflichtet Twitter zu einem umfassenden Compliance-Programm mit 20 Jahren FTC-Aufsicht, zur Bereitstellung von Multi-Faktor-Authentifizierung ohne Telefonnummernpflicht sowie zur Benachrichtigung betroffener Nutzer über die Zweckentfremdung ihrer Daten. FTC-Vorsitzende Lina Khan bezeichnete die Strafe als Reaktion auf einen wiederholten Verstoß, da Twitter bereits 2011 eine ähnliche Anordnung erhalten hatte. Die Strafzahlung entsprach nach Medienberichten rund drei Prozent des Twitter-Jahresumsatzes von 2021.

Aus der Pressemitteilung geht nicht hervor, in welchem Umfang die Werbedaten konkret an Drittanbieter weitergegeben oder wie viel Zusatzumsatz Twitter dadurch erzielte. Ebenso unklar bleibt, ob und wie viele einzelne Nutzer individuell benachrichtigt oder entschädigt wurden.

Zwischen dem 28.09.2023 und dem 17.10.2023 verschafften sich Angreifer über einen kompromittierten Service-Account Zugriff auf das Kundensupport-System des Identitätsanbieters Okta. Ursache war, dass ein Okta-Mitarbeiter sich auf einem firmeneigenen Chrome-Browser mit einem privaten Google-Konto anmeldete, wodurch die Zugangsdaten dieses Service-Accounts in dem privaten Konto gespeichert wurden. Die Angreifer griffen im Support-System auf HAR-Dateien zu, die Kunden zur Fehlerdiagnose hochgeladen hatten und die Sitzungstoken enthielten, womit sich Nutzersitzungen kapern ließen. Damit übernahmen die Angreifer Sitzungen von 5 Kunden, darunter BeyondTrust, Cloudflare und der Passwortmanager 1Password. Okta entdeckte den Vorfall am 13.10.2023 nach einem Hinweis von BeyondTrust und informierte am 19.10.2023 zunächst über 134 betroffene Kunden. Am 29.11.2023 räumte Okta ein, dass die Angreifer bereits am 28.09.2023 einen Bericht heruntergeladen hatten, der Namen und E-Mail-Adressen praktisch aller Nutzer des Okta-Kundensupportsystems enthielt und damit nahezu alle rund 18.400 Okta-Kunden betraf. Laut Okta enthielten 99,6 Prozent der betroffenen Einträge in diesem Bericht ausschließlich Namen und E-Mail-Adresse. Als Reaktion deaktivierte Okta den kompromittierten Service-Account und blockierte die Anmeldung mit privaten Google-Konten auf firmeneigenen Chrome-Geräten.

Aus dieser Quelle nicht belegt sind die konkrete Identität oder Zuordnung der Angreifer zu einer bestimmten Gruppe sowie mögliche finanzielle Schäden, Bußgelder oder der Ausgang etwaiger regulatorischer beziehungsweise gerichtlicher Verfahren infolge des Vorfalls.

Bei der US-Luxuskaufhauskette Neiman Marcus war zwischen dem 16.07.2013 und dem 30.10.2013 Schadsoftware in den Kassensystemen von 77 Filialen in den USA aktiv, die Zahlungskartendaten von Kunden abgriff. Das Unternehmen informierte die Öffentlichkeit am 10.01.2014 über den Vorfall, nachdem es zuvor auf ungewöhnliche Transaktionsmuster aufmerksam gemacht worden war. Nach ersten Angaben von Neiman Marcus waren bis zu 1,1 Millionen Zahlungskarten der Schadsoftware potenziell ausgesetzt. Bei der abschließenden Untersuchung durch mehrere US-Bundesstaaten wurden rund 370.000 Zahlungskarten als tatsächlich kompromittiert bestätigt, davon mindestens 9.200 nachweislich betrügerisch genutzt. Am 08.01.2019 einigte sich Neiman Marcus mit den Generalstaatsanwältinnen und Generalstaatsanwälten von 43 US-Bundesstaaten und dem District of Columbia auf eine Zahlung von 1,5 Millionen US-Dollar. Im Rahmen des Vergleichs verpflichtete sich das Unternehmen unter anderem zur Einhaltung des Payment Card Industry Data Security Standard, zur laufenden Überwachung der Netzwerkaktivität sowie zur Einführung von Verschlüsselung und Tokenisierung für Zahlungskartendaten. Online-Einkäufe waren von dem Vorfall nicht betroffen.

Aus dieser Quelle geht nicht hervor, wer konkret hinter dem Angriff steckte oder wie die Angreifer technisch in die Kassensysteme eindrangen; zudem bestritt Neiman Marcus im Vergleich jedes Fehlverhalten, sodass keine rechtliche Schuldfeststellung vorliegt.

Am 20.06.2024 gab das US-Handelsministerium (Bureau of Industry and Security, BIS) eine Entscheidung bekannt, die Verkauf und Nutzung von Sicherheitssoftware der russischen Firma Kaspersky Lab in den USA verbietet. Es war die erste Anwendung der ICTS-Regulierung auf Grundlage der Executive Order 13873 zur Sicherung der Lieferkette für Informations- und Kommunikationstechnologie. Betroffen sind Kaspersky Lab Inc. in den USA sowie die russischen Muttergesellschaften AO Kaspersky Lab und OOO Kaspersky Group, die britische Kaspersky Labs Limited und verbundene Tochterunternehmen. Ab dem 20.07.2024 durfte Kaspersky in den USA keine neuen Verträge mehr abschließen oder Lizenzen verkaufen. Ab dem 29.09.2024 mussten Kaspersky und von ihm beauftragte Dritte Virensignatur- und Codebase-Updates sowie den Betrieb des Kaspersky Security Network für US-Kunden vollständig einstellen. Als Begründung nannte das BIS die Kontrolle der russischen Regierung über Kaspersky und weitreichende administrative Zugriffsrechte der Software auf Kundensysteme. Am 21.06.2024 verhängte das US-Finanzministerium zusätzlich Sanktionen gegen zwölf Führungskräfte von AO Kaspersky Lab. Nach eigenen Angaben hatte Kaspersky zu diesem Zeitpunkt weltweit mehr als 400 Millionen Nutzer und rund 270.000 Unternehmenskunden in über 200 Ländern. Kaspersky wies die Vorwürfe zurück und stellte seinen Geschäftsbetrieb in den USA zum 20.07.2024 ein.

Die Quelle belegt kein konkretes, öffentlich vorgelegtes Beweismittel für tatsächlichen Datenmissbrauch oder Spionage durch Kaspersky; das Verbot beruht auf einer Risikoeinschätzung des russischen Staatseinflusses, nicht auf einem dokumentierten Vorfall. Wie viele der über 400 Millionen Nutzer konkret in den USA betroffen waren, wird von der Quelle nicht beziffert.

Am 06.08.2020 unterzeichnete US-Präsident Donald Trump die Executive Order 13943, die US-Personen Transaktionen mit dem chinesischen Konzern Tencent Holdings Ltd. im Zusammenhang mit der Messaging-App WeChat untersagte. Die Anordnung begründete das Verbot damit, dass WeChat mit weltweit über einer Milliarde Nutzern automatisch große Mengen an Nutzerdaten erfasse und dies der Kommunistischen Partei Chinas Zugriff auf persönliche und geschäftliche Informationen von Amerikanern ermöglichen könne. Als Beleg führte die Anordnung an, dass ein Forscher im März 2019 eine chinesische Datenbank mit Milliarden von WeChat-Nachrichten von Nutzern aus China, den USA, Taiwan, Südkorea und Australien entdeckt habe. Das US-Handelsministerium benannte am 18.09.2020 konkrete verbotene Transaktionen mit Wirkung zum 20.09.2020. Am 20.09.2020 blockierte US-Bundesrichterin Laurel Beeler in San Francisco das Verbot per einstweiliger Verfügung, nachdem eine Nutzervereinigung und sechs WeChat-Nutzer wegen möglicher Verletzung des ersten Verfassungszusatzes geklagt hatten. Beeler erklärte, die Regierung habe legitime Sicherheitsbedenken gegenüber China dargelegt, aber kaum Beweise dafür vorgelegt, dass ein vollständiges App-Verbot diese Bedenken adressiere. Vorangegangene Forschung des Citizen Lab der University of Toronto vom Mai 2020 hatte zuvor gezeigt, dass auch Dokumente und Bilder zwischen außerhalb Chinas registrierten WeChat-Konten inhaltlich überwacht wurden. Am 09.06.2021 hob US-Präsident Joe Biden die Executive Order 13943 wieder auf.

Die Executive Order stützt sich bei der zentralen Datenbank-Behauptung auf einen Presseberichte-Verweis statt auf eigene Beweisführung, und eine direkte, systematische Weitergabe von WeChat-Nutzerdaten an chinesische Behörden wurde in keinem der folgenden US-Gerichtsverfahren abschließend belegt. Auch das Citizen Lab stellte 2020 ausdrücklich klar, keine Beweise dafür zu haben, dass die beobachtete Überwachung direkt von der chinesischen Regierung angeordnet wurde.

Am 24.04.2024 unterzeichnete US-Präsident Joe Biden den Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA, H.R. 7521) als Teil des Hilfspakets H.R. 8038. Das Repräsentantenhaus hatte die eigenständige Fassung H.R. 7521 bereits am 13.03.2024 mit 352 zu 65 Stimmen verabschiedet, eingebracht am 05.03.2024 vom Abgeordneten Mike Gallagher. Nach Aufnahme in das Paket H.R. 8038 stimmte das Repräsentantenhaus am 20.04.2024 mit 360 zu 58 Stimmen zu, der Senat folgte am 23.04.2024 mit 79 zu 18 Stimmen. Das Gesetz verpflichtet den chinesischen Mutterkonzern ByteDance Ltd. dazu, seine Video-App TikTok innerhalb von 270 Tagen an einen Käufer außerhalb als foreign adversary eingestufter Staaten zu veräußern, mit einer möglichen einmaligen Fristverlängerung um 90 Tage durch den Präsidenten. Ohne einen solchen Verkauf sieht das Gesetz ein Verbot der Bereitstellung von TikTok über App-Stores und Webhosting-Dienste in den USA vor. Die Frist lief damit regulär bis zum 19.01.2025. Als Begründung nannte der Kongress nationale Sicherheitsbedenken wegen möglichen Zugriffs der chinesischen Regierung auf Nutzerdaten von nach TikTok-Angaben rund 170 Millionen US-Nutzern. ByteDance und TikTok kündigten an, gegen das Gesetz gerichtlich vorzugehen.

Aus der Quelle nicht belegt sind der spätere tatsächliche Verfahrensausgang nach Fristablauf sowie eine unabhängig verifizierte, offizielle Nutzerzahl für TikTok in den USA, da die 170-Millionen-Angabe von TikTok selbst stammt.

Am 14.07.2020 kündigte der britische Digitalminister Oliver Dowden an, den chinesischen Netzwerkausrüster Huawei aus den 5G-Mobilfunknetzen des Vereinigten Königreichs auszuschließen. Telekommunikationsbetreiber dürfen ab dem 31.12.2020 keine neue Huawei-5G-Ausrüstung mehr kaufen, bereits verbaute Huawei-Technik muss bis Ende 2027 vollständig aus den Netzen entfernt werden. Auslöser war eine Neubewertung durch das National Cyber Security Centre, nachdem die USA am 15.05.2020 ihre Exportregeln gegen Huawei verschärft hatten. Die Entscheidung revidierte einen Beschluss vom Januar 2020, der Huawei noch mit einer Obergrenze von 35 Prozent in nicht sicherheitskritischen Netzteilen erlaubt hatte. Die britische Regierung bezifferte die wirtschaftlichen Folgen des Kurswechsels auf zusätzliche Kosten von bis zu 2 Milliarden Pfund sowie eine Verzögerung des 5G-Ausbaus um 2 bis 3 Jahre. Grundlage der Sicherheitsbedenken war der Verdacht, Huawei-Ausrüstung könne für chinesische Spionage genutzt werden oder unterliege dem Einfluss der chinesischen Regierung. Ähnliche Ausschlüsse folgten in weiteren Ländern, etwa Schweden 2020 und Deutschland mit einer Entscheidung im September 2023 zur Entfernung kritischer Huawei- und ZTE-Komponenten aus den Kernnetzen bis 2026.

Aus dieser Quelle nicht belegt sind konkrete technische Nachweise für Spionagefunktionen in Huawei-Geräten; die Entscheidung stützte sich auf eine veränderte Risikobewertung infolge der US-Sanktionen, nicht auf eine veröffentlichte technische Sicherheitslücke. Ebenso unbelegt bleibt das genaue Ausmaß einer möglichen Einflussnahme der chinesischen Regierung auf Huawei, was das Unternehmen selbst bestreitet.

Optus, der zweitgrößte Telekommunikationsanbieter Australiens, entdeckte am 20.09.2022 einen unbefugten Zugriff auf seine Kundendatenbank und informierte die Öffentlichkeit am 22.09.2022. Ursache war eine seit 2019 bestehende, ungesicherte und über das Internet erreichbare API-Schnittstelle, die keine Authentifizierung verlangte und dadurch den vollständigen Abruf von Kundendatensätzen ermöglichte. Betroffen waren bis zu 9,8 Millionen aktuelle und ehemalige Kunden, etwa ein Drittel der australischen Bevölkerung. Offengelegt wurden Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen, bei rund 2,1 Millionen Kunden zusätzlich Ausweisdaten wie Reisepass-, Führerschein- oder Medicare-Nummer. Am 24.09.2022 forderte ein Angreifer 1,5 Millionen australische Dollar in Monero, zog die Erpressung jedoch innerhalb weniger Stunden zurück. Optus stellte 140 Millionen australische Dollar für Folgekosten zurück und bot betroffenen Kunden kostenlose Kreditüberwachung an. Am 08.08.2025 reichte die OAIC beim Federal Court of Australia eine Zivilklage gegen Singtel Optus ein, mit einer möglichen Strafe von bis zu 2,22 Millionen australische Dollar pro Verstoß.

Der Ausgang der im August 2025 eingereichten Zivilklage vor dem Federal Court of Australia war zum Zeitpunkt der Berichterstattung noch offen.

Die australische Sozialbehörde Centrelink setzte von Juli 2015 bis November 2019 das automatisierte Verfahren Robodebt ein, um vermeintliche Überzahlungen von Sozialleistungen zurückzufordern. Das System verglich jährliche Einkommensdaten der Steuerbehörde ATO mit den vierzehntägigen Einkommensangaben bei Centrelink und errechnete daraus per automatisierter Durchschnittsbildung Schulden, ohne individuelle Einkommensschwankungen zu prüfen. Die Beweislast lag bei den Betroffenen. Nach Feststellung der Royal Commission wurden unrechtmäßig Forderungen in Höhe von rund 1,76 Milliarden australischen Dollar gegen mindestens 433.000 Bürger erhoben. Am 27.11.2019 räumte die australische Bundesregierung vor dem Federal Court ein, dass allein auf Einkommensdurchschnitten basierende Forderungen rechtswidrig waren, woraufhin das Programm eingestellt wurde. Eine Sammelklage endete am 16.11.2020 mit einem Vergleich im Gesamtwert von rund 1,8 Milliarden australischen Dollar. Die 2022 eingesetzte Royal Commission unter Vorsitz von Catherine Holmes legte ihren Abschlussbericht am 07.07.2023 vor und bezeichnete das Programm als grob und grausam sowie weder fair noch rechtmäßig, mit 57 Empfehlungen.

Aus dem Bericht der Royal Commission vom Juli 2023 geht nicht hervor, ob den namentlich genannten Verantwortlichen letztlich straf- oder zivilrechtliche Konsequenzen drohten, da der entsprechende Abschnitt versiegelt war. Eine spätere Prüfung sprach zwei zentrale Verantwortliche von entsprechenden Vorwürfen frei.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit erließ am 30.10.2019 gegen die Deutsche Wohnen SE einen Bußgeldbescheid in Höhe von rund 14,5 Millionen Euro wegen Verstößen gegen die Datenschutz-Grundverordnung. Bei Vor-Ort-Prüfungen im Juni 2017 und im März 2019 stellte die Aufsichtsbehörde fest, dass das Unternehmen für personenbezogene Daten von Mieterinnen und Mietern ein Archivsystem nutzte, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu entfernen. Betroffen waren unter anderem Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits- und Ausbildungsverträgen sowie Steuer-, Sozial- und Krankenversicherungsdaten, die teilweise Jahre alt waren. Obwohl die Behörde bereits 2017 dringend eine Umstellung des Archivsystems empfohlen hatte, konnte das Unternehmen auch bei der Nachprüfung im März 2019 weder eine Bereinigung des Datenbestands noch rechtliche Gründe für die fortdauernde Speicherung vorweisen. Grundlage für die Bußgeldhöhe war der weltweite Jahresumsatz der Deutsche Wohnen SE von über einer Milliarde Euro, woraus sich ein gesetzlicher Bußgeldrahmen von rund 28 Millionen Euro ergab. Neben der Sanktion für den strukturellen Verstoß verhängte die Behörde zusätzliche Bußgelder zwischen 6.000 und 17.000 Euro in 15 konkreten Einzelfällen unzulässiger Datenspeicherung.

Die Pressemitteilung nennt keine Gesamtzahl der insgesamt betroffenen Mieterinnen und Mieter; der weitere Rechtsweg mit späteren gerichtlichen Reduzierungen des Bußgelds, unter anderem durch das Landgericht Berlin und ein EuGH-Urteil vom 05.12.2023, ist in dieser Quelle nicht erfasst.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 15.03.2022 gegen Meta Platforms Ireland Limited, vormals Facebook Ireland Limited, eine Geldbuße von 17 Millionen Euro. Grundlage war eine Untersuchung von zwölf Datenschutzverletzungen, die Facebook der DPC zwischen dem 07.06.2018 und dem 04.12.2018 gemeldet hatte. Die DPC stellte fest, dass Meta gegen Artikel 5(2) und Artikel 24(1) DSGVO verstoßen hatte, weil das Unternehmen keine geeigneten technischen und organisatorischen Maßnahmen vorhalten konnte, um die tatsächlich umgesetzten Sicherheitsmaßnahmen zum Schutz der Nutzerdaten nachzuweisen. Zu den zwölf gemeldeten Vorfällen zählte unter anderem eine im September 2018 bekannt gewordene Sicherheitslücke im View-As-Feature, durch die Zugriffstoken von bis zu 30 Millionen Facebook-Konten kompromittiert wurden, wobei die zugrunde liegende Schwachstelle laut Unternehmensangaben bereits seit Juli 2017 bestand. Die Entscheidung erging im Kooperationsverfahren nach Artikel 60 DSGVO gemeinsam mit den übrigen europäischen Aufsichtsbehörden, von denen zwei zunächst Einwände gegen den Entscheidungsentwurf der DPC erhoben hatten.

Aus der DPC-Pressemitteilung geht nicht hervor, wie sich die Bußgeldhöhe von 17 Millionen Euro rechnerisch auf die zwölf Einzelverstöße verteilt, und es bleibt offen, ob und mit welchem Ergebnis Meta gegen die Entscheidung Rechtsmittel eingelegt hat.

Am 21.11.2023 veröffentlichten die US-Behörde CISA, das FBI und weitere Partner den gemeinsamen Sicherheitshinweis AA23-325A zur Ausnutzung der Citrix-Bleed-Schwachstelle CVE-2023-4966 durch Affiliates der Ransomware-Gruppe LockBit 3.0. Die Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway erlaubte das Auslesen aktiver Sitzungstoken und damit die Umgehung der Multi-Faktor-Authentifizierung. Laut Advisory beobachtete der Flugzeughersteller Boeing als eine der ersten Organisationen, wie LockBit-3.0-Affiliates die Schwachstelle nutzten, um Zugang zu Boeing Distribution Inc. zu erlangen. Die Ausnutzung der Schwachstelle als Zero-Day begann laut Advisory bereits im August 2023, Citrix veröffentlichte am 10.10.2023 einen Patch. LockBit hatte Boeing zuvor am 27.10.2023 auf seiner Leak-Seite gelistet und 200 Millionen US-Dollar Lösegeld gefordert. Boeing zahlte nicht, woraufhin LockBit Anfang November 2023 rund 43 Gigabyte an Unternehmensdaten veröffentlichte. Der Advisory nennt neben Boeing weitere Betroffene derselben Angriffswelle, darunter die Kanzlei Allen & Overy, die Industrial and Commercial Bank of China und das Logistikunternehmen DP World.

Aus dem Advisory geht nicht hervor, welche konkreten Fluggesellschaften oder Zulieferer in der Boeing-Lieferkette durch die geleakten Zulieferdaten selbst kompromittiert wurden, und die Gesamtzahl weltweit betroffener Organisationen der Citrix-Bleed-Kampagne bleibt unbeziffert.

Die US-Börsenaufsicht SEC erhob am 14.03.2018 Anklage gegen Jun Ying, ehemaliger Chief Information Officer der Equifax-Geschäftseinheit Equifax US Information Solutions, wegen Insiderhandels. Equifax hatte am 07.09.2017 bekanntgegeben, dass bei einem Cyberangriff persönliche Daten von rund 147 Millionen US-Kunden entwendet wurden, verursacht durch eine ungepatchte Sicherheitslücke in der Software Apache Struts. Ying, der als nächster globaler CIO von Equifax vorgesehen war, erhielt vertrauliche interne Informationen und kam bereits am 25.08.2017, vor der öffentlichen Bekanntgabe, zu dem Schluss, dass Equifax gehackt worden war. Er übte daraufhin sämtliche Aktienoptionen aus und verkaufte 6.815 Aktien für rund 950.000 US-Dollar, wodurch er einen Verlust von mehr als 117.000 US-Dollar vermied. Parallel zur zivilrechtlichen SEC-Klage erhob die US-Staatsanwaltschaft für den Northern District of Georgia strafrechtliche Anklage gegen Ying. Vorausgegangen waren im Oktober 2017 Anhörungen von Ex-CEO Richard Smith vor mehreren Kongressausschüssen, der bereits am 26.09.2017 unter Verzicht auf seinen Jahresbonus zurückgetreten war. Ying wurde am 07.03.2019 schuldig gesprochen und zu vier Monaten Haft, einem Jahr Bewährung, einer Geldstrafe von 55.000 US-Dollar sowie einer Rückzahlung von 117.117,61 US-Dollar verurteilt.

Der genaue Zeitpunkt der Haftstrafe schwankt in Sekundärquellen zwischen März und Juni 2019. Ob weitere Equifax-Führungskräfte, die kurz nach Entdeckung des Angriffs ebenfalls Aktien verkauften, tatsächlich kein Wissen über die Sicherheitsverletzung hatten, ist nicht unabhängig verifiziert.

Das Bundeskartellamt untersagte Facebook mit Beschluss vom 06.02.2019, Nutzerdaten aus verschiedenen Quellen ohne gesonderte freiwillige Einwilligung der Nutzenden zusammenzuführen. Betroffen war die Verknüpfung von Daten aus den konzerneigenen Diensten Facebook, Instagram und WhatsApp sowie von Daten, die auf Drittanbieter-Websites außerhalb von Facebook erhoben wurden, etwa über Like-Buttons. Bis zur Entscheidung war die Nutzung des Facebook-Kontos an die Zustimmung zu dieser weitreichenden Datensammlung gekoppelt; eine echte Wahlmöglichkeit hatten Nutzende nicht. Das Amt stützte die Entscheidung auf den Vorwurf des Missbrauchs einer marktbeherrschenden Stellung, gestützt auf einen Marktanteil von Facebook beim sozialen Netzwerk in Deutschland von rund 95 Prozent bezogen auf tägliche Nutzerzahlen. Facebook erhielt Umsetzungsfristen von vier bis zwölf Monaten und legte gegen den Beschluss Beschwerde beim Oberlandesgericht Düsseldorf ein, das die Vollziehung zunächst per Eilentscheidung aussetzte, bevor der Bundesgerichtshof 2020 die kartellrechtliche Einschätzung des Bundeskartellamts vorläufig bestätigte.

Aus dieser Quelle nicht belegt sind der genaue Ausgang und Abschluss des jahrelangen gerichtlichen Rechtsstreits in allen Details sowie der exakte technische Umsetzungsstand der Datentrennung bei Meta zum jeweiligen Zeitpunkt.

Am 13.05.2014 entschied die Große Kammer des EuGH im Verfahren C-131/12, Google Spain SL und Google Inc. gegen die spanische Datenschutzbehörde AEPD und Mario Costeja Gonzalez. Auslöser war eine 1998 in der Zeitung La Vanguardia veröffentlichte Bekanntmachung über eine Zwangsversteigerung von Costejas Grundstück, die bei einer Google-Suche nach seinem Namen weiterhin erschien, obwohl das Verfahren längst abgeschlossen war. Costeja beantragte 2010 bei der AEPD, Google zur Löschung des Links aus den Suchergebnissen zu verpflichten. Der EuGH stellte fest, dass das Betreiben einer Suchmaschine als Verarbeitung personenbezogener Daten gilt und der Suchmaschinenbetreiber dafür als Verantwortlicher haftet. Betroffene Personen können demnach von Suchmaschinenbetreibern verlangen, Links zu rechtmäßig veröffentlichten, aber veralteten oder für sie nicht mehr relevanten Informationen zu entfernen, ohne dass die Ursprungsseite selbst gelöscht werden muss. Google richtete am 29.05.2014 ein Online-Formular für Löschanträge ein und erhielt in den ersten drei Monaten durchschnittlich rund 1.500 Anträge pro Tag. Bis 2018 gingen bei Google über 650.000 solcher Anträge zu rund 2,4 Millionen Links ein.

Aus dem Urteilstext selbst geht nicht hervor, wie Google die Abwägungskriterien zwischen Persönlichkeitsrecht und öffentlichem Informationsinteresse im Einzelfall genau anwendet; die späteren Fallzahlen stammen aus separaten Google-Transparenzberichten.

Das Bundesverfassungsgericht entschied am 03.03.2004 mit Urteil des Ersten Senats über Verfassungsbeschwerden gegen die akustische Wohnraumüberwachung, den sogenannten Großen Lauschangriff. Der Bundestag hatte die zugrunde liegende Grundgesetzänderung, Artikel 13 Absatz 3 bis 6 GG, am 16.01.1998 mit 452 Ja-Stimmen gegen 184 Nein-Stimmen beschlossen. Beschwerdeführer waren unter anderem die FDP-Politiker Burkhard Hirsch, Sabine Leutheusser-Schnarrenberger und Gerhart Baum, die im März 1999 Verfassungsbeschwerde eingelegt hatten. Das Gericht erklärte die Grundgesetzänderung selbst für vereinbar mit der Ewigkeitsklausel des Artikel 79 Absatz 3 GG, stufte aber zentrale Ausführungsvorschriften der Strafprozessordnung als verfassungswidrig ein wegen unzureichenden Schutzes des Kernbereichs privater Lebensgestaltung. Das Gericht verpflichtete den Gesetzgeber, bis zum 30.06.2005 eine verfassungsgemäße Neuregelung zu schaffen, was der Bundestag am 24.06.2005 umsetzte. Zentrale Begründung war, dass höchstpersönliche Gespräche, etwa mit engsten Familienangehörigen, absolut geschützt sind und von einer akustischen Überwachung ausgenommen bleiben müssen, da sonst die durch Artikel 1 GG geschützte Menschenwürde verletzt würde.

Aus der Quelle nicht belegt ist, wie viele konkrete Überwachungsmaßnahmen bundesweit bereits auf Grundlage der für nichtig erklärten Vorschriften durchgeführt wurden und in welchem Umfang dadurch gewonnene Beweise nachträglich unverwertbar wurden.

Das britische Department of Health and Social Care (DHSC) veröffentlichte am 11.10.2018 einen Bericht mit einer offiziellen Kostenschätzung des WannaCry-Ransomware-Angriffs auf den National Health Service. Der Angriff selbst ereignete sich vom 12. bis 18.05.2017 und legte den Betrieb in rund einem Drittel der Krankenhaus-Trusts sowie in etwa 8 Prozent der Hausarztpraxen teilweise lahm. Als Folge wurden mehr als 19.000 Termine abgesagt. Das DHSC beziffert die Gesamtkosten auf 92 Millionen Pfund, davon rund 19 Millionen Pfund für entgangene Versorgungsleistung während der Angriffswoche und rund 73 Millionen Pfund für zusätzliche IT-Unterstützung zur Wiederherstellung von Daten und Systemen, wovon 72 Millionen Pfund erst in der Nachbereitungsphase bis Juni/Juli 2017 anfielen. Grundlage der Schätzung ist die Annahme, dass in der betroffenen Woche etwa 1 Prozent der NHS-Versorgungsleistung ausfiel. Das DHSC betont im Bericht ausdrücklich, dass zum Zeitpunkt des Angriffs keine systematische Datenerhebung zu den tatsächlichen Wiederherstellungskosten stattfand. Im selben Bericht kündigte das DHSC zusätzliche Investitionen von über 150 Millionen Pfund für die Jahre 2018/19 bis 2020/21 zur Verbesserung der Cybersicherheit im Gesundheitswesen an.

Die genauen Wiederherstellungskosten einzelner Trusts wurden laut DHSC nie systematisch erhoben, weshalb die 92 Millionen Pfund selbst vom Ministerium ausdrücklich nur als grobe Näherung ohne belastbare Fehlermarge bezeichnet werden.

Der Deutsche Bundestag setzte am 20. März 2014 den 1. Untersuchungsausschuss der 18. Wahlperiode ein, um Ausmaß und Hintergründe der Überwachung durch die Five-Eyes-Geheimdienste in Deutschland sowie die Rolle der deutschen Nachrichtendienste aufzuklären. Anlass waren die 2013 von Edward Snowden veröffentlichten Dokumente, die unter anderem das Abhören des Mobiltelefons von Bundeskanzlerin Angela Merkel durch die NSA belegten. Der Ausschuss tagte zwischen April 2014 und Juni 2017 in 134 Sitzungen, davon 66 öffentlich. Zentrales Ergebnis war die Aufdeckung der Operation Eikonal, einer gemeinsamen Kooperation von BND und NSA am Internetknoten DE-CIX in Frankfurt von 2004 bis 2008, bei der monatlich hunderte Millionen Metadaten erfasst wurden. Der BND identifizierte im Spätsommer 2013 in Bad Aibling rund 40.000 NSA-Selektoren, die auf europäische Regierungen und Unternehmen zielten und gegen deutsches Recht verstießen. Das Bundesverfassungsgericht entschied am 13. Oktober 2016, dass die Bundesregierung dem Ausschuss die vollständige NSA-Selektorenliste nicht vorlegen muss. Am 28. Juni 2017 übergab Ausschussvorsitzender Patrick Sensburg den 1.800 Seiten umfassenden Abschlussbericht an Bundestagspräsident Norbert Lammert.

Die genaue Gesamtzahl der unrechtmäßig erfassten Selektoren wird in verschiedenen Quellen uneinheitlich zwischen rund 40.000 und 459.000 angegeben, und ob einzelne Verantwortliche in BND oder Kanzleramt vorsätzlich handelten, blieb umstritten.

Am 05.03.1946 unterzeichneten Colonel Patrick Marr-Johnson für das britische London Signals Intelligence Board und Lieutenant General Hoyt Vandenberg für das US State-Army-Navy Communication Intelligence Board das UKUSA-Abkommen zur Zusammenarbeit bei der Signalaufklärung. Vorläufer war das am 17.05.1943 geschlossene BRUSA-Abkommen zwischen dem US-Kriegsministerium und der britischen Government Code and Cypher School. Das UKUSA-Abkommen regelte den Austausch von Ergebnissen aus Funkverkehrserfassung, Kryptoanalyse und Entschlüsselung zwischen den Nachrichtendiensten beider Staaten, später NSA und GCHQ. 1948 trat Kanada dem Abkommen bei, 1956 folgten Australien und Neuseeland, wodurch die als Five Eyes bekannte Allianz aus fünf Staaten entstand. Die Existenz des Abkommens blieb jahrzehntelang geheim und wurde erstmals 2005 öffentlich bestätigt. Der vollständige Text wurde am 25.06.2010 von den Regierungen Großbritanniens und der USA offiziell freigegeben.

Aus dieser Übersichtsquelle nicht belegt sind die genauen operativen Umfangszahlen der heutigen Datenerfassung; einzelne Sekundärquellen nennen für die formale Ratifizierung teils abweichend das Jahr 1947 statt 1946.

Der PC-Hersteller Lenovo installierte zwischen dem 01.09.2014 und dem 28.02.2015 auf zahlreichen Consumer-Notebooks werksseitig die Adware VisualDiscovery des Unternehmens Superfish vor. Die Software blendete Werbung in Suchergebnisse und Webseiten ein und nutzte dafür ein selbstsigniertes Root-Zertifikat, das auf allen betroffenen Geräten denselben privaten Schlüssel verwendete. Dadurch konnte die Software auch verschlüsselte HTTPS-Verbindungen entschlüsseln, wodurch zugleich jeder Angreifer mit Kenntnis des Schlüssels sich als beliebige Website ausgeben und Man-in-the-Middle-Angriffe durchführen konnte. Am 19.02.2015 wurde das Sicherheitsproblem öffentlich bekannt, am 20.02.2015 warnte das US-Heimatschutzministerium offiziell vor der Software. Laut FTC hatte Superfish Lenovo durch die Vorinstallation Einnahmen von bis zu 250.000 US-Dollar eingebracht. Am 05.09.2017 einigte sich Lenovo mit der FTC und 32 US-Bundesstaaten auf einen Vergleich über 3,5 Millionen US-Dollar sowie ein 20-jähriges verpflichtendes Softwaresicherheitsprogramm. Im November 2018 einigte sich Lenovo zusätzlich in einer Sammelklage auf eine Zahlung von 7,3 Millionen US-Dollar an betroffene Kunden.

Die genaue Anzahl der betroffenen Laptops ist offiziell nicht beziffert, Quellen sprechen lediglich von Hunderttausenden Geräten. Ob die Schwachstelle vor ihrer öffentlichen Aufdeckung bereits von Dritten aktiv zum Abfangen von Daten ausgenutzt wurde, ist nicht belegt.