Quellen-Tabelle

Die 1762 gegründete Barings Bank brach am 26.02.1995 zusammen, nachdem Händler Nick Leeson in Singapur über Jahre unautorisierte Termingeschäfte auf den Nikkei 225 tätigte und Verluste über ein Fehlerkonto verschleierte. Die Verluste beliefen sich auf rund 827 Millionen Pfund. Barings wurde für ein Pfund von der ING Group übernommen. Leeson wurde 1995 zu sechseinhalb Jahren Haft verurteilt.

Ob interne Kontrollen und Vorgesetzte die Positionen früher hätten erkennen müssen, ist nicht abschließend geklärt. Der Anteil des Erdbebens von Kobe an der Eskalation bleibt umstritten.

Der Händler Jérôme Kerviel baute bei der Société Générale unautorisierte Positionen von rund 50 Milliarden Euro auf, obwohl sein Limit bei 125 Millionen Euro lag, und verschleierte sie durch fiktive Gegengeschäfte. Beim Auflösen der Positionen im Januar 2008 entstand ein Verlust von 4,9 Milliarden Euro. Der Cour de Cassation bestätigte 2014 seine Verurteilung.

Ob Vorgesetzte oder Kontrollabteilungen von den Positionen wussten, ist nicht abschließend geklärt. Ein Gericht reduzierte 2016 den von Kerviel geforderten Schadensersatz auf rund 1 Million Euro wegen Mitschuld der Bank.

Am 12.06.2016 beendete Walgreens seine Partnerschaft mit Theranos und schloss alle 40 Theranos Wellness Centers in Arizona, nachdem die US-Gesundheitsbehörde CMS mehrere Testergebnisse für ungültig erklärt und Theranos' Korrekturplan abgelehnt hatte. Bereits im Januar 2016 hatte Walgreens den Testbetrieb in Palo Alto eingestellt.

Die genauen finanziellen Konditionen der Trennung sind nicht dokumentiert. Walgreens klagte später separat wegen eines Investments von rund 140 Millionen Dollar, dieser Zivilprozess ist vom operativen Ende der Partnerschaft zu unterscheiden.

Am 27.01.2024 verschafften sich Unbekannte Zugang zur IT-Infrastruktur der Bezirkskliniken Mittelfranken und verschlüsselten gezielt Daten. Betroffen waren acht Kliniken und zwei Wohnheime mit rund 1700 Betten, darunter das Klinikum am Europakanal Erlangen und das Bezirksklinikum Ansbach. Die Angreifer zogen personenbezogene Daten und interne Dokumente ab, alle Systeme wurden vom Netz genommen. Ein Krisenstab arbeitete mit Polizei, Staatsanwaltschaft und der bayerischen Datenschutzaufsicht zusammen. Bis Ende Februar 2024 wurde die IT schrittweise wieder aufgebaut.

Welche Tätergruppe hinter dem Angriff steckt, ist nicht dokumentiert. Ob eine Lösegeldforderung gestellt und gezahlt wurde, ist unbekannt. Der genaue Umfang der abgezogenen Daten wird nicht beziffert.

Am 16.11.2025 fielen die zentralen IT- und Kommunikationssysteme der Stadtwerke Detmold GmbH aus. Die Generalstaatsanwaltschaft Köln führt ein Ermittlungsverfahren wegen Erpressung, übergeben an die Zentral- und Ansprechstelle Cybercrime NRW. Laut Bild-Zeitung erhielten die Stadtwerke eine Lösegeldforderung. Die Versorgung mit Erdgas, Trinkwasser, Strom und Wärme blieb gesichert, betroffen waren vor allem Kommunikationswege. Die IT-Systeme waren seit Anfang Januar 2026 wieder vollständig funktionsfähig.

Die Höhe der Lösegeldforderung, die Identität der Angreifer und die genaue Angriffsmethode sind nicht öffentlich dokumentiert. Ob ein Datenabfluss stattfand oder ein Lösegeld gezahlt wurde, ist nicht bestätigt.

Im Juni 2025 nutzten Betrüger eine technische Störung der pushTAN-App der Sparkassen aus, um per gefälschten SMS Kunden zur Preisgabe von Zugangsdaten und TANs zu bewegen. Zudem dokumentierte die Kanzlei Quishing-Angriffe mit gefälschten QR-Codes sowie Phishing-Mails ohne persönliche Kundenansprache. Das Landgericht Köln verurteilte 2023 eine Sparkasse zur Rückzahlung von 9.933,38 Euro, da die per Phishing veranlasste Zahlung nach Paragraf 675u BGB nicht autorisiert war.

Eine bundesweite Gesamtschadenssumme für die Phishing-Welle 2025 gegen Sparkassen-Kunden ist nicht dokumentiert. Ob die Ausnutzung der pushTAN-Störung im Juni 2025 einer koordinierten Tätergruppe zuzurechnen ist, bleibt unklar.

Am 09.10.2025 debattierte der Bundestag in einer von der AfD-Fraktion beantragten Aktuellen Stunde über die geplante EU-Chatkontrolle. Die Bundesregierung signalisierte, im EU-Rat gegen eine anlasslose Chatkontrolle zu stimmen. CDU/CSU sprachen sich für Chat-Scans nur bei konkretem Verdacht aus, Grüne und SPD kritisierten die Regelung als massiven Eingriff. Ein AfD-Antrag gegen die Chatkontrolle wurde am 17.10.2025 an Ausschüsse überwiesen.

Eine formelle, verbindliche Beschlussfassung des gesamten Bundestags gegen die EU-Chatkontrolle liegt nicht vor, die Anträge wurden nur beraten und überwiesen. Wie sich Deutschland im entscheidenden EU-Ratsvotum tatsächlich verhalten wird, bleibt offen.

Die DPC verhängte am 04.01.2023 gegen Meta Ireland zwei Bußgelder, 210 Millionen Euro für Facebook und 180 Millionen Euro für Instagram, insgesamt 390 Millionen Euro. Grundlage war die Feststellung, dass Meta sich nicht auf Vertragserfüllung nach Artikel 6 Absatz 1 DSGVO stützen darf, um personalisierte Werbung zu rechtfertigen. Die Entscheidung erging nach einem verbindlichen Beschluss des EDPB, der die ursprüngliche DPC-Position verschärfte.

Dieses Bußgeld ist nicht identisch mit dem späteren 1,2-Milliarden-Euro-Bußgeld der DPC gegen Meta von Mai 2023, das sich auf Datenübermittlungen in die USA bezog. Ob Meta seine Werbepraxis vollständig auf Nutzereinwilligung umgestellt hat, ist Gegenstand weiterer Verfahren.

Die EU-Kommission stellte am 06.02.2026 vorläufig fest, dass TikTok mit suchtfördernden Designelementen wie endlosem Scrollen und Autoplay gegen den Digital Services Act verstößt. Das förmliche Verfahren war bereits im Februar 2024 eröffnet worden. Laut Kommission ignorierte TikTok Anzeichen für zwanghafte Nutzung bei Minderjährigen, bestehende Schutzmaßnahmen seien leicht zu umgehen.

Es handelt sich um eine vorläufige Feststellung, kein rechtskräftiges Bußgeld. Eine konkrete Bußgeldhöhe wurde nicht genannt, theoretisch wären nach DSA bis zu 6 Prozent des weltweiten Jahresumsatzes möglich, dies ist aber nicht bestätigt.

Im Juli 2025 wurde der Klinikbetreiber Ameos, der mehr als 100 Einrichtungen an über 50 Standorten vor allem in Sachsen-Anhalt betreibt, Ziel eines Cyberangriffs. Ameos fuhr vorsorglich alle digitalen Systeme herunter. Nach Ermittlungsangaben erbeuteten die Täter personenbezogene Daten von Patienten und Mitarbeitern aus mehreren Standorten. Das Landeskriminalamt Sachsen-Anhalt ermittelt, zudem laufen datenschutzrechtliche Prüfverfahren mehrerer Landesdatenschutzbehörden gegen Ameos.

Die genaue Zahl der vom Datendiebstahl betroffenen Personen ist nicht dokumentiert, obwohl Ameos jährlich mehr als 500.000 Patienten behandelt. Ob es sich um Ransomware handelte und ob ein Erpressungsversuch stattfand, ist nicht eindeutig belegt.

Im August 2025 wurde ein Computer im Leitungsbereich der Berliner Senatsverwaltung für Justiz Ziel eines gezielten Cyberangriffs. Die Angreifer gaben sich als Vertreter des Zentralrats der Juden aus, ein Mitarbeiter klickte auf einen präparierten Link. Von diesem Computer flossen Daten ab, darunter der digitale Kalender von Justizsenatorin Felor Badenberg sowie dienstliche E-Mails seit dem 01.02.2023. LKA Berlin, Verfassungsschutz und die Datenschutzbeauftragte wurden eingeschaltet.

Es handelt sich um einen Spear-Phishing-Vorfall mit Spionage-Schadsoftware, keinen Ransomware-Angriff. Die konkrete Urheberschaft, vermutet werden iranische Hacker der Gruppe Charming Kitten, ist nicht abschließend bewiesen.

Der Landesbeauftragte für den Datenschutz Niedersachsen verhängte am 26.07.2022 ein Bußgeld von 1,1 Millionen Euro gegen Volkswagen. Anlass war ein Testfahrzeug, das 2019 bei einer Verkehrskontrolle nahe Salzburg mit nicht erkennbaren Kameras zum Training eines Fahrassistenzsystems auffiel. Die Behörde stellte Verstöße gegen Informationspflichten, das Fehlen eines Auftragsverarbeitungsvertrags sowie eine fehlende Datenschutz-Folgenabschätzung fest.

Wie viele Personen tatsächlich durch die Kameraaufnahmen erfasst wurden, ist nicht belegt. Die Bewertung, dass die Forschungsfahrten selbst unproblematisch waren, stammt von der Behörde selbst und wurde nicht gerichtlich überprüft.

Das Landgericht Frankfurt verurteilte Samsung auf Klage der Verbraucherzentrale NRW. Samsung muss Käufer eines internetfähigen Smart-TV vor dem Kauf darauf hinweisen, dass beim Anschluss ans Internet personenbezogene Daten wie die IP-Adresse ohne vorherige Einwilligung übertragen werden können. Das Gericht untersagte zudem zahlreiche intransparente Klauseln in Samsungs AGB und Datenschutzerklärung.

Ein vollständiges Verbot der Datenerhebung ohne Einwilligung wurde vom Gericht nicht durchgesetzt, sondern nur eine Informationspflicht. Offen blieb, ob die Weitergabe der Daten an HbbTV-Betreiber und Samsungs Konzernmutter rechtmäßig war, da diese nicht Beklagte waren.

Am 02.08.2026 traten die Durchsetzungsbefugnisse der EU-KI-Verordnung in Kraft. Das Europäische KI-Büro und nationale Behörden können seither Auskunftsersuchen stellen, Modelle evaluieren und Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes verhängen. Gleichzeitig traten neue Transparenzpflichten in Kraft, wonach bestimmte KI-Systeme Nutzer über KI-Interaktion informieren müssen.

Bis zum Stand dieser Recherche existiert kein tatsächlich verhängtes, rechtskräftiges Bußgeld nach dem AI Act. Was in Kraft trat, ist die rechtliche Durchsetzungsmöglichkeit, nicht ein abgeschlossener Einzelfall.

Die dänische EU-Ratspräsidentschaft legte im Herbst 2025 einen Kompromissvorschlag zur Chatkontrolle-Verordnung vor, der die verpflichtende Chatkontrolle strich. Anstelle verpflichtender Aufdeckungsanordnungen sollen Dienste freiwillig Risikominderungsmaßnahmen ergreifen, einschließlich optionaler Chatkontrolle. Die bisher nur vorübergehende Ausnahme von der Kommunikationsvertraulichkeit soll dauerhaft festgeschrieben werden.

Ob der Vorschlag im Rat eine qualifizierte Mehrheit finden würde, war zum Berichtszeitpunkt offen. Wie sich der Vorschlag zu einem im Frühjahr 2025 gescheiterten polnischen Vorschlag verhält, ist nicht abschließend geklärt.

Telegram übermittelte 2022 erstmals Nutzerdaten an das Bundeskriminalamt und gab damit seine bisherige Verweigerungshaltung teilweise auf. Die übergebenen Daten betrafen ausschließlich Verdächtige aus den Bereichen Kindesmissbrauch und Terrorismus. Vorausgegangen waren seit Februar 2022 direkte Verhandlungen des Bundesinnenministeriums mit dem Team von Telegram-Gründer Pawel Durow.

Die genaue Anzahl der Fälle, in denen Telegram Daten übergab, ist nicht dokumentiert. Die rechtliche Grundlage der Herausgabe ist unklar, da Telegram als in den VAE ansässiges Unternehmen keiner unmittelbaren deutschen Rechtspflicht unterliegt.

Netzpolitik.org veröffentlichte am 13.12.2022 ein internes Positionspapier des Bundesinnenministeriums vom 22.11.2022 zur geplanten EU-Verordnung gegen Kindesmissbrauch im Netz. Das Papier hält am Client-Side-Scanning fest, bei dem Inhalte auf Endgeräten vor dem Versand durchsucht werden, während gleichzeitig durchgängige Ende-zu-Ende-Verschlüsselung gefordert wird, was IT-Sicherheitsexperten als technisch widersprüchlich bezeichnen.

Es handelt sich um ein Positionspapier des BMI, keine eigene öffentlich dokumentierte Stellungnahme des BKA. Die technische Vereinbarkeit von Client-Side-Scanning mit Ende-zu-Ende-Verschlüsselung gilt unter Kryptografieexperten als ungelöst.

Die Staatsanwaltschaft Stuttgart stellte Anfang Juni 2024 ein Ermittlungsverfahren wegen des Verdachts der Geldwäsche im Zusammenhang mit Investitionen in hochpreisige Immobilien ein. Der Verdacht bezog sich auf mutmaßlich illegale Gewinne aus betrügerischen, mit Bestechung verbundenen Logistikverträgen für US-Militär und NATO während des Afghanistankriegs. Die Einstellung erfolgte nach Paragraf 170 Absatz 2 StPO mangels hinreichenden Tatverdachts.

Die konkreten Namen der beteiligten Immobilienunternehmen und die Höhe der mutmaßlich gewaschenen Summen sind nicht dokumentiert. Die Einstellung bedeutet ausdrücklich keinen Freispruch, sondern nur unzureichende Beweise für eine Anklage.

Im Januar 2024 stellte das LKA Sachsen im Rahmen von Ermittlungen gegen die Betreiber des illegalen Streamingportals movie2k.to rund 50.000 Bitcoin sicher, den größten jemals von einer deutschen Behörde beschlagnahmten Kryptowährungsbestand. Zwischen dem 19.06. und 12.07.2024 veräußerte der Freistaat Sachsen rund 49.858 Bitcoin und erzielte Erlöse von etwa 2,639 Milliarden Euro.

Ein Gericht in Leipzig stufte Teile der Vorwürfe gegen die Beschuldigten als verjährt ein, was Zweifel an der Rechtmäßigkeit der Einziehung aufwirft. Wie viel der über 2,6 Milliarden Euro letztlich an Staat, Geschädigte oder Beschuldigte zurückfließt, war zum Zeitpunkt der Quelle offen.

Im Oktober 2025 wurde die Gemeindeverwaltung Untereisesheim im Landkreis Heilbronn Opfer eines Ransomware-Angriffs. Die Server wurden verschlüsselt, das Rathaus war neun Tage handlungsunfähig. Recherchen des SWR ergaben, dass anschließend sensible Bürgerdaten im Darknet auftauchten, darunter Ausweiskopien, Führungszeugnisse, Covid-19-Impflisten und psychiatrische Gutachten inklusive Medikation. Die Gemeinde zahlte kein Lösegeld und baute die IT-Infrastruktur neu auf.

Die genaue Zahl der betroffenen Bürger sowie die konkrete Ransomware-Variante und die verantwortliche Erpressergruppe sind nicht öffentlich dokumentiert. Der Infektionsweg bleibt unklar.

In der ersten Januarwoche 2024 wurde ein gemeinsamer IT-Dienstleister mehrerer deutscher Handwerkskammern Ziel eines Cyberangriffs. Betroffen waren mehr als 30 von bundesweit 53 Handwerkskammern, darunter Düsseldorf, Köln, Trier, Stuttgart und München. Wegen möglicher Gefahr eines Datenabflusses wurde der Landesbeauftragte für den Datenschutz Rheinland-Pfalz informiert.

Ob tatsächlich personenbezogene oder geschäftliche Daten abgeflossen sind, war zum Zeitpunkt der Berichterstattung nicht bestätigt. Die Identität der Angreifer ist nicht dokumentiert.

Die Hochschule Mainz wurde am 24.11.2025 Ziel eines Cyberangriffs. Die IT-Systeme wurden vollständig heruntergefahren, ein Krisenstab eingesetzt. Alle E-Mail-Adressen mit der Endung hs-mainz.de waren betroffen. Möglicherweise alle vom Rechenzentrum betriebenen Windows-Geräte waren betroffen und durften danach nur noch offline genutzt werden. Der Präsenzbetrieb der Lehre wurde aufrechterhalten.

Ob und in welchem Umfang personenbezogene Daten entwendet wurden, ist nicht dokumentiert. Ob es sich um Ransomware handelte, wurde nicht bestätigt.

Sicherheitsforscher des CCC demonstrierten auf dem 38C3 Ende Dezember 2024 Schwachstellen der Telematikinfrastruktur der elektronischen Patientenakte. Mit vergleichsweise geringem Aufwand ließen sich gültige Berufsausweise und Versichertenkarten Dritter beschaffen, mit denen Zugriffstoken für beliebige Patientenakten erzeugt werden konnten. Theoretisch war Zugriff auf Akten von mehr als 70 Millionen Versicherten möglich. Das Bundesgesundheitsministerium bestätigte im April 2025 die Schließung der Lücke.

Nicht belegt ist, dass die Angriffswege tatsächlich von Dritten außerhalb der CCC-Forschungsgruppe genutzt wurden. Die Zahl von 70 Millionen beschreibt die theoretische Angriffsfläche, nicht tatsächlich kompromittierte Akten.

D-Trust, eine Tochtergesellschaft der Bundesdruckerei, entdeckte am 13.01.2025 einen Angriff auf ihr Antragsportal für Signatur- und Siegelkarten. Betroffen waren Namen, E-Mail-Adressen, Geburtsdaten sowie teils Adress- und Ausweisdaten von Antragstellern, unter anderem elektronischer Heilberufsausweise. Der CCC teilte mit, dass die Daten von einem anonymen Sicherheitsforscher über eine offene API ohne Umgehung von Zugangsschutz abgegriffen wurden.

Die genaue Anzahl betroffener Personen wurde nicht offiziell beziffert. Ob es sich um einen Hackerangriff oder eine fahrlässig offene Schnittstelle handelte, blieb zunächst unklar.

Am 03.06.2025 warnte die Deutsche Rentenversicherung Bund vor einer bundesweiten Betrugsmasche mittels Call-ID-Spoofing. Angerufene sehen durch technische Manipulation die tatsächliche Telefonnummer der Rentenversicherung. Die Anrufer geben sich als Mitarbeiter aus und drohen mit einer angeblichen Rentenpfändung, um Zahlungen auf Auslandskonten zu erwirken.

Es handelt sich nicht um ein technisches Datenleck der DRV, sondern um eine Betrugsmasche Dritter. Wie die Täter an Telefonnummern gelangen und wie viele Personen Geld verloren haben, ist nicht beziffert.