Quellen-Tabelle

Der Sicherheitsforscher Jeremiah Fowler entdeckte eine frei zugängliche, nicht passwortgeschützte Datenbank des New Yorker Unternehmens Real Estate Wealth Network. Die Datenbank enthielt insgesamt 1.523.776.691 Datensätze bei einer Größe von 1,16 Terabyte. Die Daten waren in Ordnern zu Themen wie Eigentumsgeschichte, Zwangsversteigerung, Insolvenz, Scheidung, Steuerpfandrechten, Erbschaften, Gerichtsurteilen und Sterbefällen organisiert. Enthalten waren zudem interne Protokolldaten mit Namen, Adressen und Telefonnummern von Nutzern sowie Angaben zu heruntergeladenen Inhalten, die den Zeitraum vom 22. April 2023 bis zum 23. Oktober 2023 abdeckten. Unter den betroffenen Personen befanden sich zahlreiche Prominente und Politiker, darunter Britney Spears, Mark Wahlberg, Floyd Mayweather, Nancy Pelosi, Donald Trump, Kylie Jenner und Elon Musk, deren Hypothekendaten, Kreditsummen und Steuerinformationen offenlagen. Fowler informierte Real Estate Wealth Network im Rahmen einer Responsible-Disclosure-Meldung, woraufhin die Datenbank kurzfristig gesichert und der öffentliche Zugriff beendet wurde. Ein Vertreter des Unternehmens bestätigte gegenüber Fowler, dass die Datenbank dem Unternehmen gehörte, und dankte ihm für den Hinweis. Der Fund wurde am 19. Dezember 2023 von vpnMentor veröffentlicht.

Unklar bleibt, wie lange die Datenbank tatsächlich frei zugänglich war und ob neben dem Sicherheitsforscher weitere, unbefugte Dritte auf die Daten zugegriffen haben. Auch das genaue Entdeckungsdatum sowie mögliche behördliche Konsequenzen oder Strafen sind aus dieser Quelle nicht belegt.

Am 17.03.2018 veröffentlichten The Observer/The Guardian und die New York Times Berichte, wonach die Datenanalysefirma Cambridge Analytica unrechtmäßig auf persönliche Daten von bis zu 87 Millionen Facebook-Nutzern zugegriffen hatte. Grundlage war die 2014 vom Cambridge-Forscher Aleksandr Kogan über seine Firma Global Science Research entwickelte App This Is Your Digital Life, die rund 270.000 Nutzer für eine Persönlichkeitsstudie installierten. Über die damalige Facebook-Plattformschnittstelle sammelte die App zugleich ohne deren Zustimmung Daten der Facebook-Freunde dieser Nutzer, wodurch die Gesamtzahl betroffener Profile auf bis zu 87 Millionen anstieg, davon rund 70,6 Millionen in den USA und schätzungsweise 310.000 in Deutschland. Kogan gab die Daten unter Verstoß gegen Facebooks Richtlinien an Cambridge Analytica weiter, das sie unter anderem für zielgerichtete politische Wahlwerbung im US-Präsidentschaftswahlkampf 2016 von Donald Trump einsetzte. Am 04.04.2018 bestätigte Facebook offiziell die Zahl von bis zu 87 Millionen betroffenen Nutzern. Am 10. und 11.04.2018 sagte Facebook-Chef Mark Zuckerberg vor dem US-Kongress aus. Cambridge Analytica meldete am 02.05.2018 Insolvenz an und stellte den Geschäftsbetrieb ein. Am 24.07.2019 verhängte die FTC gegen Facebook eine Geldstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen eine Datenschutzvereinbarung von 2012, die höchste bis dahin von der FTC gegen ein Unternehmen verhängte Strafe.

Aus der FTC-Pressemitteilung geht nicht hervor, in welchem konkreten Umfang die über Cambridge Analytica gewonnenen Daten tatsächlich Wahlentscheidungen im US-Wahlkampf 2016 oder beim Brexit-Referendum beeinflusst haben, dieser kausale Zusammenhang gilt als nicht belegt. Die individuelle strafrechtliche Verantwortlichkeit einzelner Cambridge-Analytica-Verantwortlicher blieb teilweise ungeklärt, da das Unternehmen vor Abschluss mehrerer Verfahren Insolvenz anmeldete.

Die Sicherheitsforscher Noam Rotem und Ran Locar von vpnMentor entdeckten am 05.08.2019 eine ungeschützte, unverschlüsselte Datenbank des südkoreanischen Unternehmens Suprema, das die biometrische Zugangskontrollplattform BioStar 2 betreibt. Die Datenbank enthielt rund 27,8 Millionen Datensätze mit einem Gesamtvolumen von 23 Gigabyte. Darunter befanden sich über eine Million Fingerabdrücke, Gesichtserkennungsbilder, Klartext-Benutzernamen und -Passwörter von Administratoren, Ein- und Austrittsprotokolle, Sicherheitsfreigaben sowie Namen, Wohnadressen und E-Mail-Adressen von Mitarbeitern. BioStar 2 wird nach Angaben von Suprema in über 1,5 Millionen Installationen weltweit eingesetzt, unter anderem bei Banken, Universitäten, Regierungsbehörden und der britischen Metropolitan Police. Die Forscher konnten über die offene Weboberfläche Suchparameter manipulieren und dadurch beliebige Datensätze auslesen sowie neue Administratorkonten anlegen. Nach der Kontaktaufnahme am 07.08.2019, bei der die deutsche Niederlassung von Suprema zunächst jede Zusammenarbeit verweigerte, wurde die Datenbank am 13.08.2019 über die französische Niederlassung geschlossen. Der Fall wurde am 14.08.2019 öffentlich bekannt und unter anderem von BBC und The Register aufgegriffen.

Unklar bleibt, wie lange die Datenbank vor der Entdeckung frei zugänglich war und ob Daten von Dritten heruntergeladen oder missbräuchlich verwendet wurden; Suprema erklärte lediglich, es gebe keine Hinweise auf einen Download durch Unbefugte, ohne dies technisch zu belegen. Eine offizielle Bußgeldentscheidung einer Datenschutzbehörde zu diesem Fall ist aus dieser Quelle nicht ersichtlich.

Am 05.11.2017 veröffentlichte das International Consortium of Investigative Journalists (ICIJ) die Paradise Papers, ein Datensatz von 13,4 Millionen Dokumenten mit einem Volumen von rund 1,4 Terabyte. Kernquelle war die Offshore-Kanzlei Appleby mit Sitz in Bermuda, die rund 7 Millionen Dateien beisteuerte, darunter Kreditverträge, Finanzberichte, E-Mails und Treuhandurkunden aus fast 50 Jahren. Weitere Quellen waren der Treuhandanbieter Asiaciti Trust sowie Firmenregister aus 19 Geheimhaltungsjurisdiktionen. Die Süddeutsche Zeitung erhielt die Dokumente zuerst und teilte sie mit dem ICIJ, das anschließend mit 95 Medienpartnern und mehr als 380 Journalisten in 67 Ländern zusammenarbeitete. Die Recherche legte Offshore-Aktivitäten von mehr als 120 Politikern und Staatschefs offen, darunter Königin Elizabeth II. und der damalige US-Handelsminister Wilbur Ross, sowie Steuergestaltungen von fast 100 multinationalen Konzernen wie Apple, Nike und Uber. Appleby verklagte daraufhin The Guardian und BBC wegen der Veröffentlichung gestohlener Daten, der Rechtsstreit wurde am 04.05.2018 außergerichtlich beigelegt. In der Türkei wurde die Journalistin Pelin Ünker wegen ihrer Berichterstattung zunächst zu 13 Monaten Haft verurteilt, das Urteil später im Berufungsverfahren aufgehoben. Mehrere Regierungen leiteten nach der Veröffentlichung steuerliche und politische Untersuchungen ein.

Die genaue Zahl der betroffenen natürlichen Personen variiert je nach Zählweise zwischen den ICIJ-Veröffentlichungen, und der Ausgang vieler daraus resultierender behördlicher Untersuchungen in einzelnen Ländern ist nicht abschließend dokumentiert.

Der Hosting-Anbieter GoDaddy gab am 22.11.2021 bekannt, dass Unbefugte mithilfe eines kompromittierten Passworts Zugriff auf das Provisioning-System der Legacy-Codebasis für Managed WordPress erlangt hatten. Der unautorisierte Zugriff begann laut GoDaddy am 06.09.2021 und wurde am 17.11.2021 entdeckt. Betroffen waren bis zu 1,2 Millionen aktive und inaktive Managed-WordPress-Kunden. Bei allen Betroffenen wurden E-Mail-Adressen und Kundennummern offengelegt. Bei aktiven Kunden waren zusätzlich das ursprüngliche, bei der Einrichtung vergebene WordPress-Admin-Passwort sowie sFTP- und Datenbank-Zugangsdaten kompromittiert. Bei einer Teilmenge der aktiven Kunden wurde zudem der private SSL-Schlüssel offengelegt. GoDaddy sperrte nach eigenen Angaben den unbefugten Zugriff, setzte die betroffenen Passwörter zurück und begann mit der Ausstellung neuer SSL-Zertifikate für betroffene Kunden. Chief Information Security Officer Demetrius Comes bestätigte den Vorfall in der offiziellen Mitteilung und entschuldigte sich bei den Kunden. GoDaddy meldete den Vorfall außerdem in einer Form-8-K-Mitteilung an die SEC.

Die Pressemitteilung nennt weder die Identität der Angreifer noch die genaue technische Schwachstelle im Provisioning-System. Nicht belegt sind zudem etwaige spätere Bußgelder, der Ausgang der in den USA eingereichten Sammelklagen sowie die tatsächlichen finanziellen Gesamtkosten des Vorfalls für GoDaddy.

Am 09.05.2022 einigten sich die American Civil Liberties Union (ACLU) und das Unternehmen Clearview AI auf einen gerichtlich bestätigten Vergleich (Consent Decree) vor einem Gericht in Illinois, mit dem eine am 28.05.2020 eingereichte Klage nach dem Illinois Biometric Information Privacy Act (BIPA) beendet wurde. Die Klage richtete sich gegen die Praxis von Clearview AI, ohne Zustimmung Milliarden Gesichtsbilder aus dem Internet zu sammeln; das Unternehmen hatte nach eigenen Angaben bereits mehr als 10 Milliarden biometrische Gesichtsprofile gesammelt und plante eine Ausweitung auf 100 Milliarden. Der Vergleich verbietet Clearview AI dauerhaft und landesweit, seine Gesichtsdatenbank an die meisten privaten Unternehmen und Einzelpersonen zu verkaufen oder zugänglich zu machen. Für Illinois gilt zusätzlich ein fünfjähriges Verbot, den Datenbankzugang an private oder staatliche und kommunale Stellen im Bundesstaat zu vergeben. Clearview AI muss zudem ein Formular bereitstellen, über das Einwohner Illinois' den Ausschluss ihrer Gesichtsdaten aus Suchergebnissen beantragen können, und 50.000 US-Dollar für Online-Werbung zu diesem Opt-out-Mechanismus aufwenden. Eine direkte Geldzahlung an die Kläger enthält dieser Vergleich nicht. Das Gericht unterzeichnete die entsprechende Anordnung am 11.05.2022.

Der häufig im Zusammenhang mit Clearview AI zitierte Betrag von rund 50 Millionen US-Dollar stammt nicht aus diesem Vergleich, sondern aus einer separaten Bundesgerichts-Sammelklage, in der Klägern 2024 ein Eigenkapitalanteil von 23 Prozent zugesprochen wurde. Diese spätere Einigung wurde am 20.03.2025 richterlich bestätigt, im Juli 2026 aber vom Berufungsgericht wieder aufgehoben, sodass ihr endgültiger Ausgang offen ist.

Die US-Handelsaufsichtsbehörde Federal Trade Commission (FTC) gab am 13. Januar 2021 einen Vergleich mit dem Unternehmen Flo Health Inc. bekannt, dem Entwickler der Perioden- und Fruchtbarkeits-Tracking-App Flo Period & Ovulation Tracker mit mehr als 100 Millionen Nutzerinnen weltweit. Die FTC warf Flo Health vor, entgegen eigener Datenschutzzusagen sensible Gesundheitsdaten wie den Eintritt der Periode, Schwangerschaftsabsichten und den Fruchtbarkeitsstatus von Nutzerinnen an Dritte weitergegeben zu haben, darunter die Analysedienste von Facebook und Google, den Facebook-Dienst App Events, Googles Fabric-Dienst sowie die Marketingfirmen AppsFlyer und Flurry. Eine Untersuchung des Wall Street Journal hatte die Praxis im Februar 2019 öffentlich gemacht, woraufhin Flo Health die Datenweitergabe einstellte. Nutzerinnen hatten laut FTC keine Möglichkeit erhalten, dieser Weitergabe zu widersprechen, obwohl die App Vertraulichkeit versprochen hatte. Der Vergleich verpflichtet Flo Health, künftig vor jeder Weitergabe von Gesundheitsdaten die ausdrückliche Einwilligung der Nutzerinnen einzuholen, eine unabhängige Überprüfung der eigenen Datenschutzpraxis durchführen zu lassen, betroffene Nutzerinnen über die frühere Offenlegung zu informieren und alle Drittfirmen anzuweisen, die erhaltenen Gesundheitsdaten zu löschen. Die FTC finalisierte die Anordnung am 22. Juni 2021.

Die genaue Zahl der tatsächlich von der Datenweitergabe betroffenen Nutzerinnen innerhalb der über 100 Millionen App-Nutzer ist aus dieser Quelle nicht ersichtlich. Der spätere zivilrechtliche Sammelklage-Vergleich über 59,5 Millionen US-Dollar aus dem Jahr 2025 ist nicht Teil dieser FTC-Anordnung und wird hier nicht behandelt.

Die IT-Sicherheitsfirma Pen Test Partners meldete Peloton Interactive am 20.01.2021 im Rahmen von dessen Bug-Bounty-Programm mehrere ungesicherte API-Endpunkte. Über den Endpunkt /api/user/search sowie eine GraphQL-Schnittstelle des Leaderboards konnten persönliche Profildaten beliebiger Peloton-Nutzer abgerufen werden, ohne dass eine Anmeldung erforderlich war. Betroffen waren Nutzer-ID, Alter, Geschlecht, Wohnort, Gewicht, Trainingsstatistiken und Instructor-ID, selbst wenn ein Nutzer sein Profil als privat eingestellt hatte. Peloton hatte zu diesem Zeitpunkt mehr als drei Millionen Abonnenten. Peloton behob den unauthentifizierten Zugriff am 02.02.2021 zunächst nur teilweise, sodass die Daten weiterhin für jeden angemeldeten Nutzer einsehbar blieben. Erst nachdem Pen Test Partners nach Ablauf der 90-tägigen Offenlegungsfrist einen Journalisten von TechCrunch einschaltete, meldete sich Pelotons neue Chief Information Security Officer direkt bei den Forschern. Die verbliebenen Schwachstellen wurden daraufhin innerhalb von rund sieben Tagen behoben, TechCrunch veröffentlichte den Fall am 05.05.2021. Finanzielle Strafen oder behördliche Sanktionen im Zusammenhang mit dem Vorfall wurden nicht bekannt.

Aus der Quelle geht keine konkrete Zahl tatsächlich abgerufener Nutzerkonten hervor, und ob Dritte die Schwachstelle vor der Behebung aktiv zum massenhaften Auslesen von Daten genutzt haben, ist nicht belegt.

Am 17.12.2020 genehmigte die Europäische Kommission unter der EU-Fusionskontrollverordnung die von Google im November 2019 angekündigte Übernahme des Wearable-Herstellers Fitbit für rund 2,1 Milliarden US-Dollar, allerdings nur unter Auflagen. Die Kommission hatte zuvor am 04.08.2020 eine vertiefte Prüfung (Phase II) eingeleitet, da sie befürchtete, Google könne durch den Zugriff auf Fitbits Gesundheits- und Fitnessdaten seine Marktmacht in der Online-Werbung weiter ausbauen. Google verpflichtete sich für die Dauer von zehn Jahren, die über Fitbit-Geräte gesammelten Gesundheits- und Standortdaten von EWR-Nutzern technisch getrennt von anderen Google-Daten in einem sogenannten Datensilo zu speichern und nicht für zielgerichtete Werbung zu verwenden. Zudem muss Google Nutzern eine echte Wahlmöglichkeit einräumen, ob ihre Fitbit- oder Google-Konto-Gesundheitsdaten für andere Google-Dienste wie Suche oder Maps genutzt werden dürfen. Google sicherte außerdem zu, den kostenlosen Zugang zur Fitbit Web API für Drittanbieter-Apps sowie zu Android-APIs für Wearable-Hersteller mindestens zehn Jahre lang aufrechtzuerhalten. Die Zusagen unterliegen der Überwachung durch einen von der Kommission bestellten Treuhänder.

Aus der Pressemitteilung nicht belegt ist, wie wirksam die Zehn-Jahres-Verpflichtungen in der Praxis durchgesetzt und kontrolliert wurden; Kritiker bezweifelten schon damals, ob die Datensilo-Lösung technisch und rechtlich ausreichend überprüft werden kann.

Die irische Datenschutzbehörde (Data Protection Commission, DPC) verhängte am 15.09.2023 ein Bußgeld von 345 Millionen Euro gegen TikTok Technology Limited, die europäische Tochtergesellschaft mit Sitz in Dublin. Die Entscheidung basiert auf einer Untersuchung des Zeitraums vom 31.07.2020 bis 31.12.2020 und betrifft den Umgang mit den Daten minderjähriger Nutzer im Alter von 13 bis 17 Jahren. Die DPC stellte fest, dass Nutzerkonten von Teenagern standardmäßig auf öffentlich eingestellt waren und die Funktion Family Pairing es Erwachsenen ermöglichte, für Teenager-Konten Direktnachrichten zu aktivieren, ohne dass eine familiäre Beziehung überprüft wurde. Zudem bemängelte die Behörde irreführende Voreinstellungen in zwei Pop-up-Hinweisen bei der Registrierung und beim Hochladen von Videos, sogenannte Dark Patterns. Die Entscheidung stellte Verstöße gegen mehrere Artikel der DSGVO fest. Der Verstoß gegen Artikel 5(1)(a) wurde nach einem verbindlichen Beschluss des Europäischen Datenschutzausschusses ergänzt, nachdem eine deutsche Aufsichtsbehörde Einwände zu den Dark Patterns erhoben hatte. Neben dem Bußgeld erteilte die DPC eine Rüge und ordnete an, dass TikTok die betroffenen Verarbeitungspraktiken innerhalb von drei Monaten in Einklang mit der DSGVO bringt.

Diese Entscheidung und Quelle beziehen sich ausschließlich auf die 2023 verhängte Kinderdaten-Buße; Datentransfers nach China wurden von der DPC erst in einem separaten Verfahren im Mai 2025 mit einem zusätzlichen Bußgeld von 530 Millionen Euro geahndet. Der Ausgang eines möglichen Rechtsmittelverfahrens von TikTok gegen die 345-Millionen-Euro-Entscheidung ist aus dieser Quelle nicht ersichtlich.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) verhängte am 01.10.2020 ein Bußgeld in Höhe von 35.258.707,95 Euro gegen die H&M Hennes & Mauritz Online Shop A.B. & Co. KG. Betroffen war das Servicecenter des Unternehmens in Nürnberg, wo mehrere hundert Mitarbeiterinnen und Mitarbeiter mindestens seit dem Jahr 2014 von der Centerleitung überwacht wurden. Vorgesetzte Teamleader führten nach Urlaubs- und Krankheitsabwesenheiten sogenannte Welcome-Back-Talks durch und notierten dabei unter anderem Krankheitssymptome, Diagnosen sowie konkrete Urlaubserlebnisse. Über Einzel- und Flurgespräche eigneten sich einige Vorgesetzte zusätzlich Wissen über familiäre Probleme und religiöse Bekenntnisse ihrer Mitarbeitenden an. Die Aufzeichnungen wurden dauerhaft auf einem Netzlaufwerk gespeichert und waren für bis zu 50 weitere Führungskräfte im Unternehmen einsehbar. Bekannt wurde die Praxis, weil die Notizen im Oktober 2019 infolge eines Konfigurationsfehlers für einige Stunden unternehmensweit zugänglich waren. Die Behörde ließ daraufhin rund 60 Gigabyte Daten sichern und auswerten sowie zahlreiche Zeuginnen und Zeugen vernehmen. H&M entschuldigte sich, zahlte unbürokratischen Schadenersatz und führte am Standort Nürnberg ein neues Datenschutzkonzept ein.

Die genaue Zahl der betroffenen Beschäftigten wird in der Pressemitteilung nur als mehrere hundert angegeben, nicht exakt beziffert. Ob H&M gegen den Bußgeldbescheid rechtlich vorging oder dieser rechtskräftig wurde, geht aus der Quelle nicht hervor.

Zwischen April und Mai 2024 verschaffte sich die Angreifergruppe UNC5537 unbefugten Zugriff auf mindestens 165 Kundenkonten der Cloud-Datenplattform Snowflake. Snowflake teilte am 30.05.2024 mit, am 23.05.2024 von dem unbefugten Zugriff erfahren zu haben, nachdem die Erpressergruppe ShinyHunters am 28.05.2024 den Verkauf von 560 Millionen Ticketmaster-Kundendatensätzen in einem Cyberkriminalitätsforum angekündigt hatte. Laut dem am 10.06.2024 veröffentlichten Bericht des IT-Sicherheitsunternehmens Mandiant nutzten die Angreifer gestohlene Zugangsdaten aus Infostealer-Malware wie Vidar, Redline, Raccoon Stealer und Lumma, die teils seit November 2020 nicht mehr geändert worden waren. Mindestens 79,7 Prozent der missbrauchten Konten wiesen bereits zuvor kompromittierte Zugangsdaten auf. Ursächlich für den Erfolg der Angriffe waren das Fehlen von Mehrfaktor-Authentifizierung sowie fehlende Netzwerk-Zugriffsbeschränkungen auf den betroffenen Snowflake-Konten. Zu den betroffenen Organisationen zählten unter anderem Ticketmaster/Live Nation, die Santander Bank, AT&T, Advance Auto Parts und Neiman Marcus. AT&T bestätigte im Juli 2024 den Diebstahl von Anruf- und SMS-Metadaten von rund 110 Millionen Kunden. Am 30.10.2024 wurde der mutmaßliche Haupttäter Connor Riley Moucka in Kitchener, Ontario, festgenommen. Im November 2024 erhob das US-Justizministerium Anklage gegen ihn und einen weiteren Mann wegen Computerbetrugs, Erpressung und schweren Identitätsdiebstahls.

Die genaue Gesamtzahl der betroffenen Einzelpersonen sowie die Höhe tatsächlich gezahlter Lösegelder einzelner Opferunternehmen sind aus dieser Quelle nicht abschließend bestätigt. Der juristische Ausgang des Verfahrens gegen die mutmaßlichen Täter war zum Zeitpunkt der zitierten Berichterstattung noch offen.

Am 16. Dezember 2022 wurde der Laptop eines CircleCI-Mitarbeiters mit Infostealer-Malware infiziert, die eine bereits per Zwei-Faktor-Authentifizierung abgesicherte SSO-Session-Cookie stehlen konnte, wodurch der Angreifer die Zwei-Faktor-Absicherung umging und den Mitarbeiter erfolgreich imitierte. Zwischen dem 19. und 22. Dezember 2022 nutzte der Angreifer die gestohlenen Zugangsdaten, um sich Zugriff auf interne Produktionssysteme zu verschaffen und Daten aus einer Untergruppe von Datenbanken und Speichersystemen zu exfiltrieren, darunter Umgebungsvariablen, Tokens und Schlüssel von Kunden. Obwohl die Daten im Ruhezustand verschlüsselt waren, gelang es dem Angreifer, die Verschlüsselungscodes direkt aus laufenden Prozessen auszulesen. Ein Kunde meldete CircleCI am 29. Dezember 2022 verdächtige Aktivitäten bei einem GitHub-OAuth-Token, woraufhin das Unternehmen den Vorfall bestätigte und am 31. Dezember 2022 mit einer proaktiven Rotation von GitHub-OAuth-Tokens begann. Am 4. Januar 2023 informierte CircleCI seine Kunden öffentlich und forderte alle Nutzer auf, sämtliche in CircleCI gespeicherten Secrets, Tokens und Schlüssel zu rotieren. Laut CircleCI meldeten weniger als fünf Kunden einen tatsächlich bestätigten unautorisierten Zugriff Dritter auf ihre eigenen Systeme infolge des Vorfalls.

Die Gesamtzahl der betroffenen Kundenkonten und der konkrete finanzielle Schaden wurden von CircleCI nicht veröffentlicht, ebenso wenig die Identität des Angreifers oder etwaige behördliche Ermittlungsergebnisse.

Im Juli 2012 verschafften sich Angreifer Zugang zu einem internen Dropbox-Dokument, nachdem ein Dropbox-Mitarbeiter ein Passwort verwendete, das zuvor beim Einbruch bei LinkedIn kompromittiert worden war. Über dieses Dokument gelangten die Angreifer an rund 68 Millionen Dropbox-Zugangsdaten, bestehend aus E-Mail-Adressen und gehashten, gesalzenen Passwörtern. Der Vorfall blieb mehrere Jahre öffentlich weitgehend unbekannt, bis Ende August 2016 ein Datensatz mit diesen Zugangsdaten im Internet auftauchte und zum Verkauf angeboten wurde. Dropbox bestätigte den Vorfall am 25.08.2016 in einem offiziellen Blogbeitrag. Von den 68 Millionen Passwort-Hashes waren etwa 32 Millionen mit dem robusten bcrypt-Verfahren gesichert, die übrigen rund 36 Millionen mit dem schwächeren SHA-1-Algorithmus. Dropbox erzwang für alle Konten, deren Passwort seit Mitte 2012 nicht geändert worden war, einen Passwort-Reset. Als mutmaßlicher Täter wurde später der russische Staatsbürger Jewgeni Nikulin identifiziert, dem auch die Einbrüche bei LinkedIn und Formspring aus dem Jahr 2012 zugeschrieben werden. Dropbox erklärte, es gebe keine Hinweise darauf, dass Nutzerkonten durch den Vorfall unbefugt aufgerufen worden seien.

Aus der Dropbox-Mitteilung geht nicht hervor, ob die gestohlenen Passwort-Hashes tatsächlich entschlüsselt oder für unbefugte Kontozugriffe genutzt wurden, und die strafrechtliche Verantwortung von Jewgeni Nikulin für den Dropbox-Vorfall im Speziellen war zum Zeitpunkt der Quelle nicht abschließend gerichtlich geklärt.

Am 18.03.2022 bestätigte der südafrikanische Kreditauskunftsdienst TransUnion South Africa, dass ein krimineller Dritter Zugriff auf einen isolierten Unternehmensserver erlangt hatte. Die nach eigenen Angaben aus Brasilien stammende Hackergruppe N4ughtySecTU erklärte, sie habe sich per Brute-Force-Angriff Zugang zu einem SFTP-Server verschafft, dessen Konto mit dem Passwort Password gesichert war, und rund 4 Terabyte an Daten von etwa 54 Millionen Personen erbeutet, was nahezu der gesamten Bevölkerung Südafrikas entspricht. Die Angreifer forderten von TransUnion ein Lösegeld von 15 Millionen US-Dollar in Kryptowährung, um eine Veröffentlichung der Daten zu verhindern. TransUnion lehnte die Zahlung ab. Die eigene Untersuchung des Unternehmens ergab, dass tatsächlich Datensätze von rund 5 Millionen Verbrauchern vollständig offengelegt wurden, darunter Name, ID-Nummer, Geburtsdatum, Adresse und Telefonnummer, sowie bei weiteren 5,2 Millionen Verbrauchern lediglich die ID-Nummer. Zusätzlich waren Daten von rund 600.000 Unternehmen betroffen. TransUnion erklärte, die von den Angreifern behauptete Zahl von 54 Millionen Datensätzen stamme größtenteils aus älteren, von TransUnion unabhängigen Datenlecks seit 2017. Das Unternehmen bot betroffenen Personen bis zum 31.12.2023 kostenlose Kreditüberwachung an. Die südafrikanische Datenschutzbehörde Information Regulator leitete eine Untersuchung des Vorfalls ein und erließ später eine förmliche Anordnung gegen TransUnion.

Die von der Hackergruppe genannte Zahl von 54 Millionen Betroffenen ist durch TransUnion nicht bestätigt und laut Unternehmen größtenteils auf fremde, ältere Datenlecks zurückzuführen. Ob TransUnion die Anordnung der Information Regulator angefochten hat und ob ein Bußgeld verhängt wurde, ist aus dieser Quelle nicht ersichtlich.

Die Electronic Frontier Foundation (EFF) veröffentlichte am 31.10.2023 den Bericht Red Flag Machine zur Schülerüberwachungssoftware GoGuardian. Die Software überwacht nach EFF-Angaben rund 27 Millionen Schüler in etwa 11.500 Schulen in den USA. GoGuardian analysiert automatisiert Suchanfragen, besuchte Webseiten und Bildschirminhalte auf Schulcomputern und meldet vermeintlich bedenkliche Inhalte an Schulpersonal. Laut den EFF-Autoren Jason Kelley und Kate Prince erzeugt das System deutlich mehr Fehlalarme als korrekt erkannte schädliche Inhalte. Zu den fälschlich als gefährlich eingestuften Inhalten zählen Bewerbungsseiten von Universitäten, Beratungs- und Therapieangebote, Informationen zu Drogenmissbrauch, LGBTQ-Themen und sexueller Gesundheit sowie Nachrichtenseiten und Bildungsmaterial. EFF-Ermittlungsdirektor Dave Maass nannte als Beispiel, dass Schüler wegen des Aufrufs des offiziellen Fitnessratgebers der US Marine Corps markiert wurden. Grundlage des Berichts waren zahlreiche Anfragen nach dem Freedom of Information Act sowie die Auswertung tausender tatsächlicher GoGuardian-Warnmeldungen. Manche großen Schulbezirke erzeugen nach GoGuardian eigenen Angaben bis zu 50.000 Alarme pro Tag.

Aus dieser Quelle nicht belegt sind eine offizielle Stellungnahme von GoGuardian zu den Vorwürfen, eine behördliche Sanktion oder Geldstrafe sowie eine exakte bundesweite Gesamtzahl aller erzeugten Fehlalarme.

Am 12.09.2018 reichten Dr. Johnny Ryan, Jim Killock (Open Rights Group) und Michael Veale (University College London) förmliche Datenschutzbeschwerden gegen das Real Time Bidding System (RTB) der Online-Werbeindustrie bei der irischen Datenschutzbehörde (Data Protection Commission, DPC) und dem britischen Information Commissioner's Office (ICO) ein. Die Beschwerde richtete sich gegen Google und das vom Interactive Advertising Bureau mitentwickelte RTB-System, bei dem persönliche Nutzerdaten in Echtzeit-Werbeauktionen an tausende Firmen versteigert werden. Am 22.05.2019 eröffnete die irische DPC eine förmliche Untersuchung gegen Google Ireland Limited wegen dessen Ad-Exchange-Datenverarbeitung. Die ICCL, die die Kampagne weiterführte, beziffert das Ausmaß auf rund 178 Billionen RTB-Datenübertragungen pro Jahr in den USA und Europa, mit durchschnittlich 747 täglichen Übertragungen pro US-Person und 376 pro europäischer Person, bei einem geschätzten Branchenwert von über 117 Milliarden US-Dollar. Zu den übertragenen Daten zählen laut ICCL unter anderem Standortangaben sowie Rückschlüsse auf sexuelle Orientierung, Gesundheitszustand, religiöse Überzeugung und politische Ansichten. Die ICCL bezeichnet RTB explizit als das größte je registrierte Datenleck. Im Januar 2020 kündigte das britische ICO an, zunächst keine unmittelbaren Durchsetzungsmaßnahmen zu ergreifen. Da die irische DPC ihre Untersuchung über Jahre nicht abschloss, verklagte die ICCL die Behörde wegen Untätigkeit vor dem irischen High Court.

Die Zahl von 178 Billionen jährlichen RTB-Datenübertragungen sowie der Branchenwert von 117 Milliarden US-Dollar stammen von der ICCL selbst und sind nicht unabhängig verifiziert. Ob RTB im rechtlichen Sinne tatsächlich ein Datenleck darstellt oder lediglich eine rechtswidrige Datenverarbeitung, war Gegenstand eines langjährigen, zum Zeitpunkt der Recherche noch nicht abschließend entschiedenen Gerichtsverfahrens.

Am 11.06.2024 veröffentlichte der IT-Sicherheitsanbieter Kaspersky eine Studie zu 24 Sicherheitslücken in biometrischen Zugangsterminals des chinesischen Herstellers ZKTeco, die unter zahlreichen Whitelabel-Marken weltweit vertrieben werden. Das Forscherteam fand sechs SQL-Injection-Schwachstellen, sieben Stack-basierte Pufferüberläufe, fünf Command-Injection-Fehler, vier Schwachstellen für beliebiges Dateischreiben und zwei für beliebiges Dateilesen. Über manipulierte QR-Codes mit eingebetteter SQL-Injection konnten Angreifer die Authentifizierung umgehen und sich unautorisierten physischen Zutritt verschaffen. Weitere Lücken erlaubten das Auslesen und Verändern der Nutzerdatenbank samt gespeicherter Gesichtserkennungsdaten sowie das Herunterladen von Nutzerfotos, die anschließend für Fotospoofing gegen die Kamera des Geräts genutzt werden konnten. Pufferüberlauf- und Command-Injection-Fehler ermöglichten zudem die vollständige Übernahme einzelner Geräte mit Root-Rechten aus der Ferne. Die betroffenen Terminals werden laut Kaspersky unter anderem in Kernkraftwerken, Chemieanlagen, Büros und Krankenhäusern eingesetzt und können Tausende Gesichtsvorlagen speichern. Kaspersky informierte den Hersteller vor der öffentlichen Bekanntgabe der Ergebnisse.

Aus der Kaspersky-Quelle geht nicht hervor, ob und wann ZKTeco tatsächlich Patches veröffentlicht hat, und es ist nicht belegt, dass die Schwachstellen in der Praxis bereits von Angreifern ausgenutzt wurden.

Estée Lauder Cosmetics Ltd und The Estée Lauder Companies Inc. erklärten sich bereit, einen Vergleich über 1.515.000 kanadische Dollar zu zahlen, um eine kanadische Sammelklage wegen zweier Datenvorfälle aus dem Jahr 2023 beizulegen. Die Klage betrifft zwei getrennte Cybervorfälle vom 31. Mai 2023 und vom 12. Juli 2023, bei denen persönliche und finanzielle Daten von Kunden in Kanada kompromittiert oder gestohlen wurden. Der Vorfall vom Mai 2023 steht im Zusammenhang mit der massenhaften Ausnutzung der MOVEit-Schwachstelle durch die Ransomware-Gruppe Clop, während sich zu einem zweiten, separaten Angriff die Gruppe BlackCat alias ALPHV bekannte. Estée Lauder hatte den zweiten Vorfall am 18. Juli 2023 in einer Mitteilung an die US-Börsenaufsicht SEC offengelegt. Der Vergleich wurde am 20. April 2026 vereinbart und bedarf der Genehmigung durch den Superior Court of Québec. Betroffene Personen können je nach Nachweislage bis zu 5.000 kanadische Dollar für dokumentierte Schäden erhalten, oder pauschal 150 beziehungsweise 300 kanadische Dollar. Estée Lauder bestreitet in der Vergleichsvereinbarung jegliches Fehlverhalten und jede Haftung.

Aus der Quelle geht nicht hervor, wie viele Personen in Kanada tatsächlich von den beiden Vorfällen betroffen waren, und die endgültige gerichtliche Genehmigung des Vergleichs stand zum Zeitpunkt der Mitteilung noch aus.

Das Bundesverfassungsgericht erklärte am 02.03.2010 mit Urteil des Ersten Senats die Regelungen zur Vorratsdatenspeicherung in den §§ 113a und 113b Telekommunikationsgesetz sowie § 100g Strafprozessordnung für nichtig. Die Vorschriften waren durch das Gesetz zur Neuregelung der Telekommunikationsüberwachung vom 21.12.2007 eingeführt worden und setzten die EU-Richtlinie 2006/24/EG um. Sie verpflichteten Telekommunikationsanbieter, sämtliche Verkehrsdaten aus Telefonie, Fax, SMS, E-Mail und Internetnutzung sechs Monate lang anlasslos zu speichern. Gegen das Gesetz hatten 34.939 Bürgerinnen und Bürger eine vom Arbeitskreis Vorratsdatenspeicherung koordinierte Sammelverfassungsbeschwerde eingereicht, die größte in der Geschichte der Bundesrepublik. Das Gericht sah in der anlasslosen Speicherung praktisch aller Verkehrsdaten einen besonders schweren Eingriff in das Fernmeldegeheimnis nach Art. 10 Abs. 1 Grundgesetz, da sich daraus aussagekräftige Persönlichkeits- und Bewegungsprofile erstellen ließen. Als Mängel benannte der Senat unzureichende Datensicherheit, eine zu weite Zweckbindung, fehlende Transparenzpflichten und unzureichenden Rechtsschutz. Das Gericht ordnete die unverzügliche Löschung aller bereits gespeicherten Daten an.

Aus der Pressemitteilung selbst nicht belegt sind konkrete Auswirkungen des Urteils auf laufende Ermittlungsverfahren sowie die weitere gesetzgeberische Entwicklung nach 2010, etwa spätere Neuregelungen oder die EuGH-Entscheidung von 2014 zur zugrunde liegenden EU-Richtlinie.

Der Chaos Computer Club veröffentlichte am 08.10.2011 unter dem Titel 0zapftis eine technische Analyse einer von deutschen Ermittlungsbehörden eingesetzten Überwachungssoftware, dem sogenannten Staatstrojaner. Dem CCC waren mehrere Programmvarianten anonym zugespielt worden, die er disassemblierte und in einem öffentlichen Report dokumentierte. Die Analyse zeigte, dass die Software weit über die vom Bundesverfassungsgericht am 27.02.2008 erlaubte reine Quellentelekommunikationsüberwachung hinausging. Nachgewiesen wurden Funktionen zum Nachladen und ferngesteuerten Ausführen beliebiger weiterer Programme, zur Anfertigung von Bildschirmfotos aus Webbrowsern samt privater Notizen und E-Mails sowie Code für den Zugriff auf Mikrofon und Kamera des infizierten Rechners. Alle untersuchten Varianten nutzten denselben fest einprogrammierten kryptografischen Schlüssel und kommunizierten mit einem Kontrollserver in den USA, wodurch auch Dritte die infizierten Computer übernehmen konnten. Recherchen ordneten die Software der hessischen Firma DigiTask zu, als öffentliche Auftraggeber wurden unter anderem das bayerische Landeskriminalamt und die Zollverwaltung genannt. Ein späteres Gerichtsurteil stellte fest, dass das bayerische LKA einen Verdächtigen monatelang ohne ausreichende Rechtsgrundlage überwacht hatte.

Aus der CCC-Pressemitteilung geht nicht hervor, wie viele Personen insgesamt mit der Software überwacht wurden und auf welchem genauen Weg der CCC die Programmkopien erhielt; auch war nicht abschließend geklärt, welche weiteren Behörden außerhalb Bayerns die Software bereits eingesetzt hatten.

Am 6. Oktober 2015 erklärte der Gerichtshof der Europäischen Union in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission vom 26. Juli 2000 für ungültig. Kläger war der österreichische Staatsbürger Maximillian Schrems, dessen Daten von der irischen Facebook-Tochtergesellschaft auf Server in den USA übertragen wurden. Schrems hatte 2013 nach den Enthüllungen Edward Snowdens über die Überwachungspraktiken der NSA bei der irischen Datenschutzbehörde Beschwerde eingelegt. Der EuGH stellte fest, dass US-Unternehmen im Rahmen des Safe-Harbor-Systems verpflichtet waren, dessen Schutzregeln zurückzustellen, sobald nationale Sicherheit entgegenstand, und dass US-Behörden selbst nicht an das System gebunden waren. Eine Regelung, die Behörden generalisierten Zugriff auf den Inhalt elektronischer Kommunikation erlaube, verletze den Wesensgehalt des Rechts auf Achtung des Privatlebens. Als Nachfolgeregelung handelte die EU-Kommission das EU-US Privacy Shield aus, das der EuGH am 16. Juli 2020 im Verfahren Schrems II ebenfalls für ungültig erklärte.

Die Pressemitteilung nennt keine Zahl der von der Ungültigkeitserklärung betroffenen Unternehmen oder Nutzer und lässt offen, wie die irische Datenschutzbehörde die Beschwerde von Schrems im Anschluss konkret entschied.

Am 19.09.2018 gab John Hancock Insurance, ein US-Lebensversicherer im Besitz des kanadischen Mutterkonzerns Manulife Financial, bekannt, dass ab sofort alle neuen Lebensversicherungspolicen in den USA automatisch und ohne Aufpreis das Vitality-Programm enthalten. Vitality ist eine gemeinsam mit der Vitality Group entwickelte Verhaltensplattform, die Bewegungs-, Ernährungs- und Achtsamkeitsdaten von Kunden erfasst. Kunden können die Daten in der kostenlosen Basisstufe Vitality GO per App eintragen oder in der Zusatzstufe Vitality PLUS für 2 US-Dollar im Monat einen Fitbit-Tracker kostenlos erhalten oder eine Apple Watch Series 3 GPS für 25 US-Dollar plus Steuer erwerben. Wer die übertragenen Bewegungsdaten und Fitnessziele erreicht, erhält Prämienrabatte von bis zu 15 Prozent auf die jährliche Versicherungsprämie sowie Einkaufsgutscheine bei Einzelhändlern. Das Unternehmen bezeichnete sich als ersten US-Lebensversicherer, der ein verhaltensbasiertes Wellness-Modell flächendeckend in alle Policen integriert. Zur Begründung verwies John Hancock auf weltweite Vitality-Daten, wonach Programmteilnehmer 13 bis 21 Jahre länger leben und 30 Prozent geringere Krankenhauskosten verursachen als traditionell Versicherte. Bereits seit 2015 hatte John Hancock eine interaktive Police mit Fitness-Tracking angeboten, ab September 2018 wurde dieses Modell zum Standard für das gesamte Neugeschäft.

Aus der unternehmenseigenen Pressemitteilung geht nicht hervor, wie die erhobenen Bewegungs- und Gesundheitsdaten technisch verarbeitet und mit Dritten geteilt werden, und es bleibt offen, wie viele Bestandskunden ihre älteren Policen freiwillig auf Vitality umgestellt haben.

Das Konzept des Onion Routing wurde ab 1995 von den Forschern Paul Syverson, Michael Reed und David Goldschlag am US Naval Research Laboratory (NRL) in Washington D.C. entwickelt, zunächst finanziert vom Office of Naval Research und ab 1997 zusätzlich von der Forschungsagentur DARPA. Ziel war der Schutz der Kommunikation von US-Geheimdienstmitarbeitern und Militärpersonal vor Verkehrsanalyse im Internet. In den frühen 2000er Jahren stießen die MIT-Absolventen Roger Dingledine und Nick Mathewson zum NRL-Projekt hinzu und entwickelten den Code zum heutigen Tor-Netzwerk weiter. Am 20.09.2002 wurde eine erste Alpha-Version veröffentlicht, im Oktober 2002 erfolgte das initiale Deployment mit Freigabe des Quellcodes unter einer freien Open-Source-Lizenz. Ende 2003 bestand das Netzwerk aus rund einem Dutzend freiwillig betriebenen Relay-Knoten. Ende 2004 reduzierte die US-Navy den Großteil ihrer Tor-Finanzierung, woraufhin die Electronic Frontier Foundation Dingledine und Mathewson von November 2004 bis Oktober 2005 mit 180.000 US-Dollar finanzierte. Im Jahr 2006 wurde The Tor Project Inc. als eigenständige gemeinnützige Organisation in den USA gegründet.

Aus dieser Quelle nicht im Detail belegt sind die genauen internen Gründe der US-Navy für die Kürzung der Finanzierung Ende 2004 sowie das exakte Ausmaß einer bis heute fortbestehenden indirekten Finanzierung von Tor durch US-Regierungsstellen.

Der US-amerikanische Programmierer Philip R. Zimmermann veröffentlichte am 05.06.1991 die Verschlüsselungssoftware PGP (Pretty Good Privacy) kostenlos im Usenet, von wo sie sich weltweit über das Internet verbreitete. Da starke Kryptografie in den USA damals nach dem Arms Export Control Act als Rüstungsgut auf der United States Munitions List galt, leitete der U.S. Customs Service im Februar 1993 strafrechtliche Ermittlungen gegen Zimmermann ein. Eine Grand Jury im Bezirk Nordkalifornien prüfte, ob die weltweite Verfügbarkeit von PGP über das Internet einen nicht genehmigten Waffenexport darstellte. Bei einer Verurteilung drohten Zimmermann bis zu fünf Jahre Haft sowie Geldstrafen von bis zu einer Million US-Dollar. Die Ermittlungen dauerten rund drei Jahre und führten nie zu einer Anklage. Am 11.01.1996 teilte Assistant U.S. Attorney William Keane mit, dass die Staatsanwaltschaft auf eine strafrechtliche Verfolgung verzichte. Zimmermann veröffentlichte diese Mitteilung am 12.01.1996 auf seiner Webseite. Die Behörden gaben keine öffentliche Begründung für die Einstellung der Ermittlungen ab. Der Fall gilt als eines der zentralen Ereignisse der sogenannten Kryptokriege der 1990er Jahre in den USA.

Aus dieser Quelle nicht belegt sind die internen Erwägungen der Staatsanwaltschaft für die Einstellung des Verfahrens sowie ob parallel auch gegen andere an der Verbreitung von PGP beteiligte Personen ermittelt wurde.