Quellen-Tabelle

Am 16. Dezember 2022 wurde der Laptop eines CircleCI-Mitarbeiters mit Infostealer-Malware infiziert, die eine bereits per Zwei-Faktor-Authentifizierung abgesicherte SSO-Session-Cookie stehlen konnte, wodurch der Angreifer die Zwei-Faktor-Absicherung umging und den Mitarbeiter erfolgreich imitierte. Zwischen dem 19. und 22. Dezember 2022 nutzte der Angreifer die gestohlenen Zugangsdaten, um sich Zugriff auf interne Produktionssysteme zu verschaffen und Daten aus einer Untergruppe von Datenbanken und Speichersystemen zu exfiltrieren, darunter Umgebungsvariablen, Tokens und Schlüssel von Kunden. Obwohl die Daten im Ruhezustand verschlüsselt waren, gelang es dem Angreifer, die Verschlüsselungscodes direkt aus laufenden Prozessen auszulesen. Ein Kunde meldete CircleCI am 29. Dezember 2022 verdächtige Aktivitäten bei einem GitHub-OAuth-Token, woraufhin das Unternehmen den Vorfall bestätigte und am 31. Dezember 2022 mit einer proaktiven Rotation von GitHub-OAuth-Tokens begann. Am 4. Januar 2023 informierte CircleCI seine Kunden öffentlich und forderte alle Nutzer auf, sämtliche in CircleCI gespeicherten Secrets, Tokens und Schlüssel zu rotieren. Laut CircleCI meldeten weniger als fünf Kunden einen tatsächlich bestätigten unautorisierten Zugriff Dritter auf ihre eigenen Systeme infolge des Vorfalls.

Die Gesamtzahl der betroffenen Kundenkonten und der konkrete finanzielle Schaden wurden von CircleCI nicht veröffentlicht, ebenso wenig die Identität des Angreifers oder etwaige behördliche Ermittlungsergebnisse.

Im Juli 2012 verschafften sich Angreifer Zugang zu einem internen Dropbox-Dokument, nachdem ein Dropbox-Mitarbeiter ein Passwort verwendete, das zuvor beim Einbruch bei LinkedIn kompromittiert worden war. Über dieses Dokument gelangten die Angreifer an rund 68 Millionen Dropbox-Zugangsdaten, bestehend aus E-Mail-Adressen und gehashten, gesalzenen Passwörtern. Der Vorfall blieb mehrere Jahre öffentlich weitgehend unbekannt, bis Ende August 2016 ein Datensatz mit diesen Zugangsdaten im Internet auftauchte und zum Verkauf angeboten wurde. Dropbox bestätigte den Vorfall am 25.08.2016 in einem offiziellen Blogbeitrag. Von den 68 Millionen Passwort-Hashes waren etwa 32 Millionen mit dem robusten bcrypt-Verfahren gesichert, die übrigen rund 36 Millionen mit dem schwächeren SHA-1-Algorithmus. Dropbox erzwang für alle Konten, deren Passwort seit Mitte 2012 nicht geändert worden war, einen Passwort-Reset. Als mutmaßlicher Täter wurde später der russische Staatsbürger Jewgeni Nikulin identifiziert, dem auch die Einbrüche bei LinkedIn und Formspring aus dem Jahr 2012 zugeschrieben werden. Dropbox erklärte, es gebe keine Hinweise darauf, dass Nutzerkonten durch den Vorfall unbefugt aufgerufen worden seien.

Aus der Dropbox-Mitteilung geht nicht hervor, ob die gestohlenen Passwort-Hashes tatsächlich entschlüsselt oder für unbefugte Kontozugriffe genutzt wurden, und die strafrechtliche Verantwortung von Jewgeni Nikulin für den Dropbox-Vorfall im Speziellen war zum Zeitpunkt der Quelle nicht abschließend gerichtlich geklärt.

Am 18.03.2022 bestätigte der südafrikanische Kreditauskunftsdienst TransUnion South Africa, dass ein krimineller Dritter Zugriff auf einen isolierten Unternehmensserver erlangt hatte. Die nach eigenen Angaben aus Brasilien stammende Hackergruppe N4ughtySecTU erklärte, sie habe sich per Brute-Force-Angriff Zugang zu einem SFTP-Server verschafft, dessen Konto mit dem Passwort Password gesichert war, und rund 4 Terabyte an Daten von etwa 54 Millionen Personen erbeutet, was nahezu der gesamten Bevölkerung Südafrikas entspricht. Die Angreifer forderten von TransUnion ein Lösegeld von 15 Millionen US-Dollar in Kryptowährung, um eine Veröffentlichung der Daten zu verhindern. TransUnion lehnte die Zahlung ab. Die eigene Untersuchung des Unternehmens ergab, dass tatsächlich Datensätze von rund 5 Millionen Verbrauchern vollständig offengelegt wurden, darunter Name, ID-Nummer, Geburtsdatum, Adresse und Telefonnummer, sowie bei weiteren 5,2 Millionen Verbrauchern lediglich die ID-Nummer. Zusätzlich waren Daten von rund 600.000 Unternehmen betroffen. TransUnion erklärte, die von den Angreifern behauptete Zahl von 54 Millionen Datensätzen stamme größtenteils aus älteren, von TransUnion unabhängigen Datenlecks seit 2017. Das Unternehmen bot betroffenen Personen bis zum 31.12.2023 kostenlose Kreditüberwachung an. Die südafrikanische Datenschutzbehörde Information Regulator leitete eine Untersuchung des Vorfalls ein und erließ später eine förmliche Anordnung gegen TransUnion.

Die von der Hackergruppe genannte Zahl von 54 Millionen Betroffenen ist durch TransUnion nicht bestätigt und laut Unternehmen größtenteils auf fremde, ältere Datenlecks zurückzuführen. Ob TransUnion die Anordnung der Information Regulator angefochten hat und ob ein Bußgeld verhängt wurde, ist aus dieser Quelle nicht ersichtlich.

Die Electronic Frontier Foundation (EFF) veröffentlichte am 31.10.2023 den Bericht Red Flag Machine zur Schülerüberwachungssoftware GoGuardian. Die Software überwacht nach EFF-Angaben rund 27 Millionen Schüler in etwa 11.500 Schulen in den USA. GoGuardian analysiert automatisiert Suchanfragen, besuchte Webseiten und Bildschirminhalte auf Schulcomputern und meldet vermeintlich bedenkliche Inhalte an Schulpersonal. Laut den EFF-Autoren Jason Kelley und Kate Prince erzeugt das System deutlich mehr Fehlalarme als korrekt erkannte schädliche Inhalte. Zu den fälschlich als gefährlich eingestuften Inhalten zählen Bewerbungsseiten von Universitäten, Beratungs- und Therapieangebote, Informationen zu Drogenmissbrauch, LGBTQ-Themen und sexueller Gesundheit sowie Nachrichtenseiten und Bildungsmaterial. EFF-Ermittlungsdirektor Dave Maass nannte als Beispiel, dass Schüler wegen des Aufrufs des offiziellen Fitnessratgebers der US Marine Corps markiert wurden. Grundlage des Berichts waren zahlreiche Anfragen nach dem Freedom of Information Act sowie die Auswertung tausender tatsächlicher GoGuardian-Warnmeldungen. Manche großen Schulbezirke erzeugen nach GoGuardian eigenen Angaben bis zu 50.000 Alarme pro Tag.

Aus dieser Quelle nicht belegt sind eine offizielle Stellungnahme von GoGuardian zu den Vorwürfen, eine behördliche Sanktion oder Geldstrafe sowie eine exakte bundesweite Gesamtzahl aller erzeugten Fehlalarme.

Am 12.09.2018 reichten Dr. Johnny Ryan, Jim Killock (Open Rights Group) und Michael Veale (University College London) förmliche Datenschutzbeschwerden gegen das Real Time Bidding System (RTB) der Online-Werbeindustrie bei der irischen Datenschutzbehörde (Data Protection Commission, DPC) und dem britischen Information Commissioner's Office (ICO) ein. Die Beschwerde richtete sich gegen Google und das vom Interactive Advertising Bureau mitentwickelte RTB-System, bei dem persönliche Nutzerdaten in Echtzeit-Werbeauktionen an tausende Firmen versteigert werden. Am 22.05.2019 eröffnete die irische DPC eine förmliche Untersuchung gegen Google Ireland Limited wegen dessen Ad-Exchange-Datenverarbeitung. Die ICCL, die die Kampagne weiterführte, beziffert das Ausmaß auf rund 178 Billionen RTB-Datenübertragungen pro Jahr in den USA und Europa, mit durchschnittlich 747 täglichen Übertragungen pro US-Person und 376 pro europäischer Person, bei einem geschätzten Branchenwert von über 117 Milliarden US-Dollar. Zu den übertragenen Daten zählen laut ICCL unter anderem Standortangaben sowie Rückschlüsse auf sexuelle Orientierung, Gesundheitszustand, religiöse Überzeugung und politische Ansichten. Die ICCL bezeichnet RTB explizit als das größte je registrierte Datenleck. Im Januar 2020 kündigte das britische ICO an, zunächst keine unmittelbaren Durchsetzungsmaßnahmen zu ergreifen. Da die irische DPC ihre Untersuchung über Jahre nicht abschloss, verklagte die ICCL die Behörde wegen Untätigkeit vor dem irischen High Court.

Die Zahl von 178 Billionen jährlichen RTB-Datenübertragungen sowie der Branchenwert von 117 Milliarden US-Dollar stammen von der ICCL selbst und sind nicht unabhängig verifiziert. Ob RTB im rechtlichen Sinne tatsächlich ein Datenleck darstellt oder lediglich eine rechtswidrige Datenverarbeitung, war Gegenstand eines langjährigen, zum Zeitpunkt der Recherche noch nicht abschließend entschiedenen Gerichtsverfahrens.

Am 11.06.2024 veröffentlichte der IT-Sicherheitsanbieter Kaspersky eine Studie zu 24 Sicherheitslücken in biometrischen Zugangsterminals des chinesischen Herstellers ZKTeco, die unter zahlreichen Whitelabel-Marken weltweit vertrieben werden. Das Forscherteam fand sechs SQL-Injection-Schwachstellen, sieben Stack-basierte Pufferüberläufe, fünf Command-Injection-Fehler, vier Schwachstellen für beliebiges Dateischreiben und zwei für beliebiges Dateilesen. Über manipulierte QR-Codes mit eingebetteter SQL-Injection konnten Angreifer die Authentifizierung umgehen und sich unautorisierten physischen Zutritt verschaffen. Weitere Lücken erlaubten das Auslesen und Verändern der Nutzerdatenbank samt gespeicherter Gesichtserkennungsdaten sowie das Herunterladen von Nutzerfotos, die anschließend für Fotospoofing gegen die Kamera des Geräts genutzt werden konnten. Pufferüberlauf- und Command-Injection-Fehler ermöglichten zudem die vollständige Übernahme einzelner Geräte mit Root-Rechten aus der Ferne. Die betroffenen Terminals werden laut Kaspersky unter anderem in Kernkraftwerken, Chemieanlagen, Büros und Krankenhäusern eingesetzt und können Tausende Gesichtsvorlagen speichern. Kaspersky informierte den Hersteller vor der öffentlichen Bekanntgabe der Ergebnisse.

Aus der Kaspersky-Quelle geht nicht hervor, ob und wann ZKTeco tatsächlich Patches veröffentlicht hat, und es ist nicht belegt, dass die Schwachstellen in der Praxis bereits von Angreifern ausgenutzt wurden.

Estée Lauder Cosmetics Ltd und The Estée Lauder Companies Inc. erklärten sich bereit, einen Vergleich über 1.515.000 kanadische Dollar zu zahlen, um eine kanadische Sammelklage wegen zweier Datenvorfälle aus dem Jahr 2023 beizulegen. Die Klage betrifft zwei getrennte Cybervorfälle vom 31. Mai 2023 und vom 12. Juli 2023, bei denen persönliche und finanzielle Daten von Kunden in Kanada kompromittiert oder gestohlen wurden. Der Vorfall vom Mai 2023 steht im Zusammenhang mit der massenhaften Ausnutzung der MOVEit-Schwachstelle durch die Ransomware-Gruppe Clop, während sich zu einem zweiten, separaten Angriff die Gruppe BlackCat alias ALPHV bekannte. Estée Lauder hatte den zweiten Vorfall am 18. Juli 2023 in einer Mitteilung an die US-Börsenaufsicht SEC offengelegt. Der Vergleich wurde am 20. April 2026 vereinbart und bedarf der Genehmigung durch den Superior Court of Québec. Betroffene Personen können je nach Nachweislage bis zu 5.000 kanadische Dollar für dokumentierte Schäden erhalten, oder pauschal 150 beziehungsweise 300 kanadische Dollar. Estée Lauder bestreitet in der Vergleichsvereinbarung jegliches Fehlverhalten und jede Haftung.

Aus der Quelle geht nicht hervor, wie viele Personen in Kanada tatsächlich von den beiden Vorfällen betroffen waren, und die endgültige gerichtliche Genehmigung des Vergleichs stand zum Zeitpunkt der Mitteilung noch aus.

Das Bundesverfassungsgericht erklärte am 02.03.2010 mit Urteil des Ersten Senats die Regelungen zur Vorratsdatenspeicherung in den §§ 113a und 113b Telekommunikationsgesetz sowie § 100g Strafprozessordnung für nichtig. Die Vorschriften waren durch das Gesetz zur Neuregelung der Telekommunikationsüberwachung vom 21.12.2007 eingeführt worden und setzten die EU-Richtlinie 2006/24/EG um. Sie verpflichteten Telekommunikationsanbieter, sämtliche Verkehrsdaten aus Telefonie, Fax, SMS, E-Mail und Internetnutzung sechs Monate lang anlasslos zu speichern. Gegen das Gesetz hatten 34.939 Bürgerinnen und Bürger eine vom Arbeitskreis Vorratsdatenspeicherung koordinierte Sammelverfassungsbeschwerde eingereicht, die größte in der Geschichte der Bundesrepublik. Das Gericht sah in der anlasslosen Speicherung praktisch aller Verkehrsdaten einen besonders schweren Eingriff in das Fernmeldegeheimnis nach Art. 10 Abs. 1 Grundgesetz, da sich daraus aussagekräftige Persönlichkeits- und Bewegungsprofile erstellen ließen. Als Mängel benannte der Senat unzureichende Datensicherheit, eine zu weite Zweckbindung, fehlende Transparenzpflichten und unzureichenden Rechtsschutz. Das Gericht ordnete die unverzügliche Löschung aller bereits gespeicherten Daten an.

Aus der Pressemitteilung selbst nicht belegt sind konkrete Auswirkungen des Urteils auf laufende Ermittlungsverfahren sowie die weitere gesetzgeberische Entwicklung nach 2010, etwa spätere Neuregelungen oder die EuGH-Entscheidung von 2014 zur zugrunde liegenden EU-Richtlinie.

Der Chaos Computer Club veröffentlichte am 08.10.2011 unter dem Titel 0zapftis eine technische Analyse einer von deutschen Ermittlungsbehörden eingesetzten Überwachungssoftware, dem sogenannten Staatstrojaner. Dem CCC waren mehrere Programmvarianten anonym zugespielt worden, die er disassemblierte und in einem öffentlichen Report dokumentierte. Die Analyse zeigte, dass die Software weit über die vom Bundesverfassungsgericht am 27.02.2008 erlaubte reine Quellentelekommunikationsüberwachung hinausging. Nachgewiesen wurden Funktionen zum Nachladen und ferngesteuerten Ausführen beliebiger weiterer Programme, zur Anfertigung von Bildschirmfotos aus Webbrowsern samt privater Notizen und E-Mails sowie Code für den Zugriff auf Mikrofon und Kamera des infizierten Rechners. Alle untersuchten Varianten nutzten denselben fest einprogrammierten kryptografischen Schlüssel und kommunizierten mit einem Kontrollserver in den USA, wodurch auch Dritte die infizierten Computer übernehmen konnten. Recherchen ordneten die Software der hessischen Firma DigiTask zu, als öffentliche Auftraggeber wurden unter anderem das bayerische Landeskriminalamt und die Zollverwaltung genannt. Ein späteres Gerichtsurteil stellte fest, dass das bayerische LKA einen Verdächtigen monatelang ohne ausreichende Rechtsgrundlage überwacht hatte.

Aus der CCC-Pressemitteilung geht nicht hervor, wie viele Personen insgesamt mit der Software überwacht wurden und auf welchem genauen Weg der CCC die Programmkopien erhielt; auch war nicht abschließend geklärt, welche weiteren Behörden außerhalb Bayerns die Software bereits eingesetzt hatten.

Am 6. Oktober 2015 erklärte der Gerichtshof der Europäischen Union in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission vom 26. Juli 2000 für ungültig. Kläger war der österreichische Staatsbürger Maximillian Schrems, dessen Daten von der irischen Facebook-Tochtergesellschaft auf Server in den USA übertragen wurden. Schrems hatte 2013 nach den Enthüllungen Edward Snowdens über die Überwachungspraktiken der NSA bei der irischen Datenschutzbehörde Beschwerde eingelegt. Der EuGH stellte fest, dass US-Unternehmen im Rahmen des Safe-Harbor-Systems verpflichtet waren, dessen Schutzregeln zurückzustellen, sobald nationale Sicherheit entgegenstand, und dass US-Behörden selbst nicht an das System gebunden waren. Eine Regelung, die Behörden generalisierten Zugriff auf den Inhalt elektronischer Kommunikation erlaube, verletze den Wesensgehalt des Rechts auf Achtung des Privatlebens. Als Nachfolgeregelung handelte die EU-Kommission das EU-US Privacy Shield aus, das der EuGH am 16. Juli 2020 im Verfahren Schrems II ebenfalls für ungültig erklärte.

Die Pressemitteilung nennt keine Zahl der von der Ungültigkeitserklärung betroffenen Unternehmen oder Nutzer und lässt offen, wie die irische Datenschutzbehörde die Beschwerde von Schrems im Anschluss konkret entschied.

Am 19.09.2018 gab John Hancock Insurance, ein US-Lebensversicherer im Besitz des kanadischen Mutterkonzerns Manulife Financial, bekannt, dass ab sofort alle neuen Lebensversicherungspolicen in den USA automatisch und ohne Aufpreis das Vitality-Programm enthalten. Vitality ist eine gemeinsam mit der Vitality Group entwickelte Verhaltensplattform, die Bewegungs-, Ernährungs- und Achtsamkeitsdaten von Kunden erfasst. Kunden können die Daten in der kostenlosen Basisstufe Vitality GO per App eintragen oder in der Zusatzstufe Vitality PLUS für 2 US-Dollar im Monat einen Fitbit-Tracker kostenlos erhalten oder eine Apple Watch Series 3 GPS für 25 US-Dollar plus Steuer erwerben. Wer die übertragenen Bewegungsdaten und Fitnessziele erreicht, erhält Prämienrabatte von bis zu 15 Prozent auf die jährliche Versicherungsprämie sowie Einkaufsgutscheine bei Einzelhändlern. Das Unternehmen bezeichnete sich als ersten US-Lebensversicherer, der ein verhaltensbasiertes Wellness-Modell flächendeckend in alle Policen integriert. Zur Begründung verwies John Hancock auf weltweite Vitality-Daten, wonach Programmteilnehmer 13 bis 21 Jahre länger leben und 30 Prozent geringere Krankenhauskosten verursachen als traditionell Versicherte. Bereits seit 2015 hatte John Hancock eine interaktive Police mit Fitness-Tracking angeboten, ab September 2018 wurde dieses Modell zum Standard für das gesamte Neugeschäft.

Aus der unternehmenseigenen Pressemitteilung geht nicht hervor, wie die erhobenen Bewegungs- und Gesundheitsdaten technisch verarbeitet und mit Dritten geteilt werden, und es bleibt offen, wie viele Bestandskunden ihre älteren Policen freiwillig auf Vitality umgestellt haben.

Das Konzept des Onion Routing wurde ab 1995 von den Forschern Paul Syverson, Michael Reed und David Goldschlag am US Naval Research Laboratory (NRL) in Washington D.C. entwickelt, zunächst finanziert vom Office of Naval Research und ab 1997 zusätzlich von der Forschungsagentur DARPA. Ziel war der Schutz der Kommunikation von US-Geheimdienstmitarbeitern und Militärpersonal vor Verkehrsanalyse im Internet. In den frühen 2000er Jahren stießen die MIT-Absolventen Roger Dingledine und Nick Mathewson zum NRL-Projekt hinzu und entwickelten den Code zum heutigen Tor-Netzwerk weiter. Am 20.09.2002 wurde eine erste Alpha-Version veröffentlicht, im Oktober 2002 erfolgte das initiale Deployment mit Freigabe des Quellcodes unter einer freien Open-Source-Lizenz. Ende 2003 bestand das Netzwerk aus rund einem Dutzend freiwillig betriebenen Relay-Knoten. Ende 2004 reduzierte die US-Navy den Großteil ihrer Tor-Finanzierung, woraufhin die Electronic Frontier Foundation Dingledine und Mathewson von November 2004 bis Oktober 2005 mit 180.000 US-Dollar finanzierte. Im Jahr 2006 wurde The Tor Project Inc. als eigenständige gemeinnützige Organisation in den USA gegründet.

Aus dieser Quelle nicht im Detail belegt sind die genauen internen Gründe der US-Navy für die Kürzung der Finanzierung Ende 2004 sowie das exakte Ausmaß einer bis heute fortbestehenden indirekten Finanzierung von Tor durch US-Regierungsstellen.

Der US-amerikanische Programmierer Philip R. Zimmermann veröffentlichte am 05.06.1991 die Verschlüsselungssoftware PGP (Pretty Good Privacy) kostenlos im Usenet, von wo sie sich weltweit über das Internet verbreitete. Da starke Kryptografie in den USA damals nach dem Arms Export Control Act als Rüstungsgut auf der United States Munitions List galt, leitete der U.S. Customs Service im Februar 1993 strafrechtliche Ermittlungen gegen Zimmermann ein. Eine Grand Jury im Bezirk Nordkalifornien prüfte, ob die weltweite Verfügbarkeit von PGP über das Internet einen nicht genehmigten Waffenexport darstellte. Bei einer Verurteilung drohten Zimmermann bis zu fünf Jahre Haft sowie Geldstrafen von bis zu einer Million US-Dollar. Die Ermittlungen dauerten rund drei Jahre und führten nie zu einer Anklage. Am 11.01.1996 teilte Assistant U.S. Attorney William Keane mit, dass die Staatsanwaltschaft auf eine strafrechtliche Verfolgung verzichte. Zimmermann veröffentlichte diese Mitteilung am 12.01.1996 auf seiner Webseite. Die Behörden gaben keine öffentliche Begründung für die Einstellung der Ermittlungen ab. Der Fall gilt als eines der zentralen Ereignisse der sogenannten Kryptokriege der 1990er Jahre in den USA.

Aus dieser Quelle nicht belegt sind die internen Erwägungen der Staatsanwaltschaft für die Einstellung des Verfahrens sowie ob parallel auch gegen andere an der Verbreitung von PGP beteiligte Personen ermittelt wurde.

Am 07.04.2014 wurde die Sicherheitslücke Heartbleed in der Kryptografie-Bibliothek OpenSSL öffentlich bekannt gegeben und als CVE-2014-0160 registriert. Die Schwachstelle wurde unabhängig voneinander von Neel Mehta vom Google-Sicherheitsteam sowie von Codenomicon-Forschern entdeckt. Ursache war ein fehlerhaft implementierter Heartbeat-Mechanismus, den der Entwickler Robin Seggelmann am 31.12.2011 in den OpenSSL-Quellcode einfügte; der fehlerhafte Code gelangte mit der Version OpenSSL 1.0.1 am 14.03.2012 in den produktiven Einsatz. Der Fehler erlaubte es Angreifern, spurlos pro Anfrage bis zu 64 Kilobyte Arbeitsspeicher eines Servers auszulesen, darunter private Schlüssel und Passwörter. Unmittelbar mit der verwundbaren OpenSSL-Version betrieben wurden schätzungsweise rund 500.000 der weltweiten SSL-gesicherten Webserver. Zeitgleich mit der Offenlegung am 07.04.2014 veröffentlichten die OpenSSL-Entwickler die reparierte Version 1.0.1g. Die kanadische Steuerbehörde Canada Revenue Agency meldete den Diebstahl von rund 900 Sozialversicherungsnummern über die Lücke. Der IT-Branchendienst eWeek schätzte den weltweiten wirtschaftlichen Schaden auf etwa 500 Millionen US-Dollar.

Wie viele Angriffe vor der öffentlichen Offenlegung tatsächlich stattfanden, bleibt unbekannt, da ein Datenabgriff über Heartbleed keine Spuren in Server-Logs hinterlässt. Die genannte Schadenssumme ist eine grobe Branchenschätzung ohne belastbare Gesamterhebung.

Am 24. Oktober 2017 begann eine Ransomware-Angriffswelle namens Bad Rabbit, die vor allem Russland und die Ukraine traf, mit vereinzelten Meldungen auch aus der Türkei, Bulgarien, Deutschland und Japan. Zu den bekanntesten Opfern zählten die russische Nachrichtenagentur Interfax, die Kiewer Metro, der Flughafen Odessa sowie das ukrainische Infrastruktur- und Finanzministerium. Die Schadsoftware wurde über kompromittierte, überwiegend russische Nachrichten-Websites per Drive-by-Download verbreitet und gab sich als gefälschtes Adobe-Flash-Installationsprogramm aus. Innerhalb von Firmennetzwerken verbreitete sich Bad Rabbit zusätzlich über den Exploit EternalRomance, der auf durchgesickerten NSA-Werkzeugen basiert. Die Ransomware verschlüsselte Dateien mit AES-128 und ganze Festplattenpartitionen mittels DiskCryptor-Treiber. Die Angreifer forderten ein Lösegeld von 0,05 Bitcoin, umgerechnet rund 280 US-Dollar. Laut Telemetriedaten von Kaspersky wurden knapp 200 Ziele registriert. Sicherheitsforscher von Kaspersky und ESET stellten Code-Überschneidungen zwischen Bad Rabbit und NotPetya fest. Im Oktober 2018 ordnete die britische Regierung den Angriff gemeinsam mit NotPetya dem russischen Militärgeheimdienst GRU zu.

Die genaue Zahl tatsächlich verschlüsselter Systeme sowie der finanzielle Gesamtschaden sind aus dieser Quelle nicht beziffert. Die spätere Zuschreibung an den russischen Militärgeheimdienst GRU wurde von Russland zurückgewiesen und nie in einem Gerichtsverfahren festgestellt.

Am 28.05.2012 gab Kaspersky Lab gemeinsam mit dem iranischen CERT-Zentrum MAHER und dem CrySyS Lab der Budapest University of Technology and Economics die Entdeckung der Schadsoftware Flame bekannt. Die Untersuchung war von der Internationalen Fernmeldeunion ITU initiiert worden, nachdem die zerstörerische Malware Wiper zuvor Computer des iranischen Ölministeriums beschädigt hatte. Flame ist mit rund 20 Megabyte etwa 20-mal größer als Stuxnet und war nach Kaspersky-Angaben seit mindestens März 2010 aktiv, bevor sie entdeckt wurde. Die Schadsoftware konnte Bildschirminhalte, Tastatureingaben, Netzwerkverkehr und Audioaufnahmen aufzeichnen, Skype-Gespräche mitschneiden und infizierte Rechner per Bluetooth zu Sendern für Kontaktdaten nahegelegener Geräte machen. Nach Kaspersky-Schätzungen waren zunächst etwa 1000 Rechner betroffen, rund 65 Prozent davon im Nahen Osten und Nordafrika, mit dem größten Anteil im Iran. Zur Verbreitung nutzten die Angreifer unter anderem ein gefälschtes Microsoft-Zertifikat auf Basis einer schwachen MD5-Verschlüsselung. Die Washington Post berichtete am 19.06.2012 unter Berufung auf anonyme Quellen, die NSA, die CIA und das israelische Militär hätten Flame gemeinsam im Rahmen der Operation Olympic Games entwickelt. Kurz nach der öffentlichen Enttarnung sendeten die Kontrollserver im Juni 2012 einen Selbstlöschbefehl an die infizierten Systeme.

Die Urheberschaft durch NSA, CIA und Israels Militär stützt sich allein auf anonyme Quellen der Washington Post und wurde von den USA und Israel nie offiziell bestätigt. Die genaue weltweite Gesamtzahl infizierter Rechner sowie das exakte Ausmaß der abgeflossenen Daten blieben ungeklärt.

Zwischen Juni und Dezember 2009 griff eine aus China stammende Hackergruppe die Computernetzwerke von Google sowie mindestens 20 weiteren US-Unternehmen an, darunter Adobe Systems, Juniper Networks, Yahoo, Symantec, Northrop Grumman und Dow Chemical. Google entdeckte den Einbruch Mitte Dezember 2009 und veröffentlichte am 12.01.2010 im Official Google Blog den Beitrag A new approach to China, in dem der Angriff erstmals öffentlich gemacht wurde. Die Angreifer nutzten eine zuvor unbekannte Sicherheitslücke im Internet Explorer aus und verbreiteten den Schadcode über gezielte Phishing-E-Mails. Die Sicherheitsfirma McAfee gab den Angriffen den Namen Operation Aurora. Bei Google gelangten die Angreifer an Teile des Quellcodes sowie an Informationen zu gerichtlich angeordneten Überwachungen von Gmail-Konten und erhielten eingeschränkten Zugriff auf zwei Gmail-Konten chinesischer Menschenrechtsaktivisten. Google kündigte an, die Zensur der Suchergebnisse auf Google.cn zu beenden, und leitete im März 2010 die chinesische Suchseite auf die unzensierte Version in Hongkong um. Insgesamt sollen über 30 Organisationen betroffen gewesen sein.

Die genaue Gesamtzahl der betroffenen Unternehmen wird in verschiedenen Quellen uneinheitlich zwischen 20 und über 30 angegeben, und eine gerichtsfeste, offizielle Zuordnung der Angriffe zu einer bestimmten chinesischen Behörde ist bis heute nicht öffentlich bestätigt.

Die US-Sicherheitsfirma Mandiant veröffentlichte am 19.02.2013 den Bericht APT1: Exposing One of China's Cyber Espionage Units. Der Bericht führt die seit mindestens 2006 aktive Hackergruppe APT1 auf die Einheit 61398 der chinesischen Volksbefreiungsarmee zurück, die dem Zweiten Büro der Dritten Abteilung des Generalstabs untersteht. Mandiant lokalisierte die Einheit in einem zwölfstöckigen Gebäude an der Datong Road im Stadtteil Pudong in Shanghai. Laut Bericht kompromittierte APT1 mindestens 141 Organisationen in 20 Branchen, darunter Luft- und Raumfahrt, Rüstung, Energie und Telekommunikation. Die Gruppe stahl systematisch hunderte Terabyte an Daten, in einem Fall 6,5 Terabyte komprimierter Daten von einem einzelnen Unternehmen innerhalb von zehn Monaten. 87 Prozent der identifizierten Opfer hatten ihren Hauptsitz in englischsprachigen Ländern. Mandiant benannte auch mutmaßliche Einzelpersonen, darunter Wang Dong mit dem Decknamen UglyGorilla. Am 19.05.2014 klagte das US-Justizministerium fünf mutmaßliche Offiziere der Einheit 61398 wegen Wirtschaftsspionage an.

Es liegt keine strafrechtliche Verurteilung der 2014 angeklagten Offiziere vor, da China eine Auslieferung ablehnt und keine Hauptverhandlung stattfand; die exakte Gesamtmenge gestohlener Daten über alle 141 Opfer bleibt unbeziffert.

Am 17.12.2016 kurz vor Mitternacht wurde die 330-kV-Umspannstation Pivnichna des ukrainischen Netzbetreibers Ukrenergo bei Kiew Ziel eines Cyberangriffs mit der Schadsoftware Industroyer, auch CrashOverride genannt. Die Malware öffnete ferngesteuert Leistungsschalter der Umspannstation und trennte sie vom Netz, wodurch rund ein Fünftel des nächtlichen Stromverbrauchs der Stadt Kiew für etwa eine Stunde ausfiel. Die slowakische IT-Sicherheitsfirma ESET veröffentlichte am 12.06.2017 die erste detaillierte technische Analyse und bezeichnete Industroyer als die größte Bedrohung für industrielle Steuerungssysteme seit Stuxnet 2010. Industroyer ist ein modulares Framework, das Industrieprotokolle nutzt, um direkt mit Schaltanlagen und Schutzrelais zu kommunizieren, ergänzt um ein Löschmodul zur Verschleierung der Spuren. Es handelte sich um den zweiten dokumentierten Cyberangriff auf das ukrainische Stromnetz nach dem Vorfall vom 23.12.2015. Ukrenergo bestätigte offiziell, dass der Stromausfall auf einen Cyberangriff zurückzuführen war. Ein Versuch, zusätzlich vier Siemens-Schutzrelais dauerhaft zu deaktivieren, scheiterte, da die Datenpakete an eine falsche IP-Adresse gesendet wurden.

Aus der ESET-Quelle geht keine offizielle staatliche Zuordnung zu einem Täter oder Land hervor; eine Verbindung zur russischen Gruppe Sandworm wurde erst später von anderen Stellen hergestellt. Auch die genaue Zahl der betroffenen Haushalte wird nicht beziffert.

Der Bundestag beschloss am 20.05.2021 das Zweite Gesetz zur Änderung mautrechtlicher Vorschriften, mit dem erstmals eine Ausnahme von der bis dahin strikten Zweckbindung der Lkw-Mautdaten eingeführt wurde. Erfasste Kennzeichen und Positionsdaten aus der Mauterhebung dürfen seither auch zur Verfolgung von Kabotage-Verstößen genutzt werden. Der Bundesdatenschutzbeauftragte Ulrich Kelber kritisierte die Änderung öffentlich als Dammbruch und bezweifelte zudem die Eignung der Daten für diesen Zweck.

Nicht dokumentiert ist, in welchem Umfang die neue Ausnahme in der Praxis tatsächlich zur Kabotage-Verfolgung genutzt wurde. Die seit Jahren separat geführte politische Debatte um eine weitergehende Öffnung der Mautdaten für die Verfolgung schwerer Straftaten wie Mord ließ sich in den verfügbaren Quellen nicht als tatsächlich verabschiedete Gesetzesänderung von 2023/2024 bestätigen, sie blieb bislang Gegenstand von Forderungen einzelner Landesjustizminister.

CISA, NSA und FBI bestätigten gemeinsam mit internationalen Partnern, dass die chinesische staatlich gesteuerte Gruppe Volt Typhoon seit mindestens 2021 in IT-Netzwerke kritischer US-Infrastruktur eingedrungen ist, darunter Kommunikation, Energie, Transport sowie Wasser und Abwasser. Die Gruppe nutzt fast ausschließlich bereits vorhandene Systemwerkzeuge und kompromittierte Router und VPN-Gateways von Herstellern wie Fortinet, Ivanti und Cisco, um sich als legitimer Administrationsverkehr zu tarnen. Laut Behörden diente der Zugriff der Vorbereitung auf mögliche disruptive Angriffe im Falle einer größeren Krise oder eines Konflikts mit den USA.

Offen bleibt, wie lange genau und in welchem Umfang Volt Typhoon in einzelnen konkreten Anlagen aktiv war, da die Behörden aus Sicherheitsgründen keine vollständige Liste betroffener Betreiber veröffentlichten. Nicht belegt ist, dass es tatsächlich zu einer Sabotage oder Störung von Stromnetz, Wasser- oder Transportsystemen kam. China bestreitet die Vorwürfe offiziell weiterhin, eine unabhängige gerichtliche Feststellung der Urheberschaft steht aus.

CrowdStrike verteilte am 19. Juli 2024 um 04:09 UTC ein fehlerhaftes Konfigurationsupdate für den Windows-Sensor seiner Falcon-Sicherheitssoftware, das durch einen Speicherzugriffsfehler massenhafte Systemabstürze mit Bluescreen auslöste. Betroffen waren Windows-Hosts mit Sensor-Version 7.11 oder neuer, die bis zur Rücknahme des Updates um 05:27 UTC online waren; Mac- und Linux-Systeme blieben verschont. Microsoft bezifferte die Zahl betroffener Windows-Geräte separat auf rund 8,5 Millionen, was weltweit Fluggesellschaften, Krankenhäuser und Banken lahmlegte.

CrowdStrikes eigener vorläufiger Bericht nennt selbst keine Gesamtzahl betroffener Geräte oder Unternehmen; die vielzitierte Zahl von 8,5 Millionen Geräten stammt von Microsoft, nicht von CrowdStrike. Der wirtschaftliche Gesamtschaden sowie mögliche Todesfälle im Zusammenhang mit ausgefallenen Krankenhaus- oder Notrufsystemen sind aus dieser Quelle nicht beziffert oder belegt.

AT&T bestätigte am 12.07.2024 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC, dass Angreifer zwischen dem 14. und 25.04.2024 unbefugt auf einen AT&T-Arbeitsbereich bei einem Cloud-Anbieter zugriffen. Sie entwendeten Anruf- und SMS-Verbindungsdaten von nahezu allen rund 109 Millionen AT&T-Mobilfunkkunden aus dem Zeitraum Mai bis Oktober 2022 sowie vom 02.01.2023. Erfasst waren Telefonnummern, Kontakthäufigkeit, Gesprächsdauer und teils Mobilfunkmasten-Kennungen, laut AT&T aber keine Namen, Sozialversicherungsnummern oder Gesprächsinhalte.

Die SEC-Mitteilung selbst nennt nicht, wer hinter dem Angriff steckt oder ob die gestohlenen Daten inzwischen veröffentlicht wurden. Eine später von Journalisten berichtete Lösegeldzahlung von AT&T an die Gruppe ShinyHunters ist in der Pflichtmitteilung nicht erwähnt und stützt sich auf andere Quellen. Der genaue Zusammenhang mit dem umfassenderen Sicherheitsvorfall beim Cloud-Anbieter Snowflake bleibt in der AT&T-Mitteilung offen.

Die bayerische Datenschutzaufsicht BayLDA stellte nach einer seit April 2023 laufenden Untersuchung amtlich fest, dass die Worldcoin-Betreiberfirma Tools for Humanity Iris- und Gesichtsdaten teilweise ohne ausreichende Rechtsgrundlage verarbeitet hat. Die Behörde ordnete an, dass Nutzer ihre Iris-Daten uneingeschränkt löschen lassen können und Worldcoin künftig für bestimmte Verarbeitungsschritte eine ausdrückliche Einwilligung einholen muss. Die Entscheidung wurde im DSGVO-Kohärenzverfahren mit anderen europäischen Datenschutzbehörden abgestimmt.

Offen bleibt, ob und in welchem Umfang Worldcoin die angeordneten Löschungen der Iris-Daten tatsächlich vollständig umgesetzt hat. Das Unternehmen kündigte an, rechtlich gegen Teile der Entscheidung vorzugehen, sodass der endgültige juristische Ausgang zum Zeitpunkt der Veröffentlichung nicht feststand. Die BayLDA adressierte nur einzelne festgestellte Verstöße und traf keine abschließende Aussage zur generellen DSGVO-Konformität des gesamten Geschäftsmodells.

Sicherheitsforscher des CCC demonstrierten 2010, dass Angreifer per Schadsoftware auf dem PC die PIN-Eingabe am einfachen Basis-Lesegerät des neuen Personalausweises abfangen konnten, da dieses keine eigene Tastatur besitzt. Mit der abgefangenen PIN ließ sich der Ausweis fernsteuern und missbrauchen, solange er im Lesegerät verblieb. Das BSI bestätigte öffentlich die grundsätzliche technische Möglichkeit eines solchen Angriffs.

Offen blieb, wie realistisch der Angriff für durchschnittliche Kriminelle in der breiten Praxis war und wie viele Personen tatsächlich betroffen waren. Laut BSI blieben die eigentlichen persönlichen Daten verschlüsselt und für Angreifer nicht direkt einsehbar. Eine dokumentierte offizielle Stellungnahme des Bundesinnenministeriums zur Kritik des CCC liegt in den ausgewerteten Quellen nicht vor.