Quellen-Tabelle

Die US-Börsenaufsicht SEC stellte fest, dass Yahoos Sicherheitsteam bereits kurz nach dem Angriff im Dezember 2014 wusste, dass mutmaßlich russische Hacker Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, verschlüsselte Passwörter und Sicherheitsfragen von mindestens 108 Millionen Konten gestohlen hatten, vermutlich sogar aus der gesamten Nutzerdatenbank mit mehreren Milliarden Einträgen. Yahoo verschwieg den Vorfall fast zwei Jahre lang gegenüber Investoren in seinen Pflichtmitteilungen. Die Nachfolgegesellschaft Altaba Inc. zahlte dafür im April 2018 eine SEC-Strafe von 35 Millionen US-Dollar, die erste Sanktion dieser Art wegen unterlassener Offenlegung eines Datenlecks.

Die oft zitierte Zahl von insgesamt 3 Milliarden betroffenen Konten stammt aus einer separaten Unternehmensmitteilung von Yahoo bzw. Verizon aus dem Jahr 2017 und wird in dieser SEC-Anordnung selbst nicht beziffert. Die SEC-Order behandelt vor allem die Offenlegungspflichten gegenüber Anlegern, nicht aber das konkrete Ausmaß des Schadens für einzelne betroffene Nutzer oder die vollständige Identität der Angreifer.

Die britische Datenschutzbehörde ICO verhängte am 23. Mai 2022 ein Bußgeld von 7.552.800 Pfund gegen Clearview AI Inc. Laut ICO hatte das Unternehmen mehr als 20 Milliarden Gesichtsbilder aus dem Internet und sozialen Medien gesammelt, ohne Wissen oder Einwilligung der Betroffenen, und daraus eine durchsuchbare Gesichtserkennungsdatenbank für Kunden wie Polizeibehörden aufgebaut. Die ICO ordnete zusätzlich an, dass Clearview die Daten britischer Bürger löscht und keine weiteren Daten von UK-Bürgern mehr sammelt.

Das First-tier Tribunal hob das Bußgeld im Oktober 2023 auf, da es die Zuständigkeit der ICO für ein US-Unternehmen ohne UK-Geschäftstätigkeit bezweifelte. Im Oktober 2025 gab das Upper Tribunal der ICO in drei von vier Berufungspunkten recht, eine endgültige rechtskräftige Klärung des Falls steht aber weiterhin aus. Offen bleibt zudem, in welchem Umfang die ursprünglich angeordnete Löschung der Daten britischer Nutzer tatsächlich durchgesetzt wurde.

Die irische Datenschutzbehörde DPC reichte am 8. August 2024 erstmals unter Section 134 des Data Protection Act 2018 eine Eilklage beim High Court gegen X ein, weil öffentliche Posts von EU/EWR-Nutzern ohne ausreichende Rechtsgrundlage zum Training der KI Grok verwendet wurden. Twitter International Unlimited Company gab eine dauerhafte Verpflichtungserklärung ab, Daten aus dem Zeitraum 7. Mai bis 1. August 2024 zu löschen und nicht mehr zu verarbeiten, woraufhin das Verfahren am 4. September 2024 eingestellt wurde.

Weder die DPC noch das Gericht haben eine konkrete Zahl betroffener EU-Nutzer oder verarbeiteter Posts genannt. Offen bleibt zudem, ob und in welchem Umfang die bereits vor dem 7. Mai 2024 gesammelten Daten tatsächlich in das Grok-Modell eingeflossen sind, da es zu keiner inhaltlichen gerichtlichen Feststellung einer DSGVO-Verletzung kam, sondern nur zu einer außergerichtlichen Unterwerfungserklärung von X.

Die US-Bundesbehörde TSA hat am 13.01.2025 per finaler Regel festgelegt, dass ab dem 07.05.2025 an US-Flughafenkontrollen nur noch REAL-ID-konforme Führerscheine oder Ausweise beziehungsweise alternative Dokumente wie Reisepässe akzeptiert werden. Das REAL ID Act wurde bereits 2005 nach Empfehlungen der 9/11-Kommission verabschiedet und legt bundesweite Mindeststandards für die Ausstellung von Ausweisdokumenten fest.

Offen bleibt, ob Reisende ohne konformen Ausweis komplett von Flügen ausgeschlossen werden oder nur zusätzliche Kontrollen und Verzögerungen erfahren. Spätere Aussagen der Heimatschutzministerin deuteten auf Kulanz mit Zusatzprüfung hin. Die Pressemitteilung nennt keine verpflichtende biometrische Gesichtserkennung als Bestandteil der Kontrolle selbst, sondern nur höhere Dokumentensicherheitsstandards bei der Ausstellung durch die Bundesstaaten.

Dokumentiert ist, dass die TSA seit 2018 an inzwischen rund 25 bis knapp 30 US-Flughäfen Gesichtserkennung zur Identitätsprüfung testet (CAT-2-System des Anbieters Idemia) und eine Ausweitung auf bis zu 430 Flughäfen plant. Mehrere US-Senatoren brachten deshalb am 29.11.2023 den Traveler Privacy Protection Act (S. 3361) ein, der das Programm stoppen, die Löschung gespeicherter Gesichtsdaten erzwingen und eine künftige Nutzung an eine ausdrückliche Zustimmung des Kongresses binden soll. Die TSA bestätigt, dass die Teilnahme freiwillig ist und Reisende der Gesichtserkennung widersprechen können.

Offen bleibt, wie viele Reisende die Opt-out-Möglichkeit tatsächlich kennen oder nutzen, da Senator Merkley der TSA vorwarf, diese Option am Checkpoint nicht klar zu kommunizieren. Nicht abschließend belegt ist zudem, ob die von der NIST dokumentierten höheren Fehlerraten bei nicht-weißen Reisenden in der TSA-Praxis konkret zu Fehlidentifikationen geführt haben, und der Gesetzentwurf wurde im Kongress bislang nicht verabschiedet.

Am 2. Juli 2021 nutzte die Gruppe REvil eine Schwachstelle (CVE-2021-30116) in der Kaseya-VSA-Software aus, um über ein manipuliertes Update Ransomware an IT-Dienstleister und deren Kunden zu verteilen. CISA und FBI bestätigten den Vorfall offiziell und Kaseya selbst gab an, dass bis zu etwa 60 direkte Kunden und in der Folge bis zu 1500 nachgelagerte Unternehmen betroffen waren. REvil forderte öffentlich 70 Millionen US-Dollar Lösegeld, und Kaseya erhielt am 23. Juli 2021 von einer nicht näher benannten Quelle einen universellen Entschlüsselungscode, ohne nach eigenen Angaben zu zahlen.

Offen bleibt, wie genau der universelle Entschlüsselungscode zustande kam und ob im Hintergrund doch eine Zahlung floss, da Kaseya dies nur allgemein dementierte. Die genaue Gesamtzahl der tatsächlich verschlüsselten Endkunden weltweit wurde nie abschließend verifiziert. Auch die exakte Schadenssumme bei den betroffenen Unternehmen wurde nicht offiziell beziffert.

Capital One bestätigte am 29. Juli 2019 offiziell, dass am 22. und 23. März 2019 eine Außenstehende eine falsch konfigurierte Firewall einer Cloud-Infrastruktur ausnutzte und Daten von rund 100 Millionen US-Kunden sowie 6 Millionen kanadischen Kunden erlangte, darunter Namen, Adressen, Geburtsdaten, Kreditwerte sowie etwa 140.000 Sozialversicherungsnummern und 80.000 Bankverbindungen. Die vom FBI festgenommene Täterin, die ehemalige AWS-Mitarbeiterin Paige Thompson, wurde im Juni 2022 von einer Jury wegen Wire Fraud und unbefugten Zugriffs auf geschützte Computer für schuldig befunden.

Nicht abschließend geklärt bzw. von Capital One selbst als unwahrscheinlich eingestuft ist, ob die abgegriffenen Daten tatsächlich für Betrug genutzt oder weiterverbreitet wurden. Die Jury sprach Thompson zudem vom Vorwurf des Access Device Fraud und der schweren Identitätsfälschung frei, was zeigt, dass nicht alle Anklagepunkte gerichtlich bestätigt wurden.

Die britische Datenschutzbehörde ICO stellte fest, dass British Airways bei einem Cyberangriff im Juni bis September 2018 personenbezogene Daten von mehr als 400.000 Kunden nicht ausreichend gegen unbefugten Zugriff geschützt hatte, ein Verstoß gegen Art. 5(1)(f) und Art. 32 DSGVO. Die ICO verhängte deswegen am 16. Oktober 2020 ein Bußgeld von 20 Millionen Pfund gegen British Airways, nachdem der ursprünglich angekündigte Betrag von 183,39 Millionen Pfund im Verfahren deutlich reduziert worden war.

Offen bleibt in der öffentlichen ICO-Dokumentation, welche einzelnen technischen Schwachstellen die Angreifer konkret ausnutzten und wer die Täter waren. Ebenso nicht abschließend belegt ist, in welchem Umfang Kunden durch die Datenweitergabe tatsächlich finanziellen Schaden erlitten, etwa durch Kreditkartenmissbrauch.

Die britische Datenschutzbehörde ICO stellte fest, dass Angreifer ab Februar 2018 über ein auf der Zahlungsseite von Ticketmaster eingebundenes Chatbot-Skript eines Drittanbieters Schadcode der Magecart-Gruppe einschleusten und so Zahlungskartendaten von Kunden abgriffen. Betroffen waren bis zu 9,4 Millionen Kunden europaweit, davon 1,5 Millionen in Großbritannien. Die ICO verhängte am 13.11.2020 eine Geldbuße von 1,25 Millionen Pfund, nachdem Ticketmaster erst rund neun Wochen nach ersten Betrugsmeldungen von Banken reagierte.

Offen bzw. strittig blieb, wer die Verantwortung für die Sicherheitslücke im Chatbot-Code trug. Ticketmaster machte den Drittanbieter Inbenta verantwortlich, während Inbenta erklärte, Ticketmaster habe den Code entgegen den Vorgaben eingesetzt. Die genaue technische Angriffskette der Magecart-Täter sowie deren Identität wurden nicht öffentlich im Detail rekonstruiert.

Ein Angreifer kaufte das kompromittierte Passwort eines externen Uber-Vertragspartners im Darknet und erzwang per MFA-Fatigue-Angriff sowie einer als IT-Support getarnten WhatsApp-Nachricht die Freigabe eines Zwei-Faktor-Logins. Damit erlangte er Zugriff auf interne Systeme wie Slack, G-Suite, das Finanz-Tool und HackerOne-Berichte und postete eine Nachricht im firmenweiten Slack-Kanal. Uber bestätigte die Zuordnung zur Gruppe Lapsus$ sowie den Zugriff auf interne Kommunikation und Finanzdaten, erklärte aber, dass Produktivsysteme, Nutzerkonten, Kreditkarten- und Fahrtdaten sowie AWS-S3-Speicher nicht betroffen waren.

Offen bleibt, ob die eingesehenen HackerOne-Schwachstellenberichte vom Angreifer weiterverkauft oder an Dritte weitergegeben wurden. Die genaue Identität des Angreifers sowie eine feste organisatorische Zugehörigkeit zu Lapsus$ sind nicht abschließend gerichtlich geklärt. Das volle Ausmaß der eingesehenen internen Daten jenseits der von Uber benannten Kategorien ist nicht unabhängig verifiziert.

Die FTC stellte fest, dass der Online-Therapieanbieter BetterHelp E-Mail-Adressen, IP-Adressen und Antworten aus Gesundheitsfragebögen seiner Nutzer an Facebook, Snapchat, Criteo und Pinterest zu Werbezwecken weitergab, obwohl das Unternehmen in seiner Datenschutzerklärung Vertraulichkeit zugesichert hatte. Am 2. März 2023 wurde eine Einigung bekanntgegeben, die die FTC am 14. Juli 2023 endgültig bestätigte. BetterHelp muss 7,8 Millionen US-Dollar zur Rückerstattung an betroffene Nutzer zahlen und darf Nutzerdaten künftig nicht mehr für zielgerichtete Werbung an Dritte weitergeben.

Offen bleibt, wie viele Nutzer konkret betroffen waren und in welchem Umfang die weitergegebenen Daten von den Werbeplattformen tatsächlich für individuelle Zielgruppenansprache genutzt wurden. BetterHelp räumte im Rahmen der Einigung kein Fehlverhalten ein, ein gerichtliches Urteil zur Schuldfrage liegt nicht vor.

Die FTC einigte sich am 19.12.2023 mit der US-Drogeriekette Rite Aid darauf, dass diese für fünf Jahre keine Gesichtserkennung zur Ladenüberwachung einsetzen darf. Laut FTC-Beschwerde nutzte Rite Aid die Technik von 2012 bis 2020 in hunderten Filialen, wobei Mitarbeitende tausende Fehlalarme erhielten und Kunden fälschlich des Ladendiebstahls beschuldigt wurden. Die Fehlerquote war in Stadtteilen mit überwiegend Schwarzer, asiatischer und lateinamerikanischer Bevölkerung nachweislich höher als in mehrheitlich weißen Gegenden.

Offen bleibt die genaue Zahl der fälschlich beschuldigten Personen sowie individuelle Schadensersatzforderungen, da die Vereinbarung eine zivilrechtliche Einigung ohne Schuldeingeständnis ist. Rite Aid bestritt die Vorwürfe und verwies darauf, das System bereits Jahre vor der FTC-Untersuchung eingestellt zu haben.

T-Mobile bestätigte offiziell, dass bei einem Cyberangriff im August 2021 Daten von rund 40 Millionen ehemaligen und potenziellen Kunden sowie 7,8 Millionen bestehenden Postpaid-Kunden gestohlen wurden. Erbeutet wurden Namen, Geburtsdaten, Sozialversicherungsnummern sowie Führerschein- beziehungsweise ID-Daten, jedoch nach Unternehmensangaben keine Finanz- oder Kreditkartendaten. Insgesamt waren nach T-Mobiles eigener Zählung Datensätze von fast 50 Millionen Personen betroffen.

Zum Zeitpunkt der Veröffentlichung war die Untersuchung noch nicht abgeschlossen, sodass der genaue Gesamtumfang offenblieb. Nicht dokumentiert ist, in welchem Umfang die gestohlenen Daten tatsächlich für konkreten Identitätsdiebstahl oder Kreditbetrug missbraucht wurden.

Die Große Kammer des Europäischen Gerichtshofs für Menschenrechte urteilte am 14.02.2023 mit 12 zu 5 Stimmen, dass die strafrechtliche Verurteilung des LuxLeaks-Whistleblowers Raphaël Halet gegen die Meinungsfreiheit nach Artikel 10 EMRK verstieß. Halet hatte als PwC-Mitarbeiter Steuerdokumente weitergegeben, die 2014 im Rahmen der LuxLeaks-Enthüllungen des ICIJ Geheimabsprachen Luxemburgs mit Konzernen wie Amazon, Apple und IKEA offenlegten. Luxemburg musste ihm 15.000 Euro Entschädigung und 40.000 Euro Kostenerstattung zahlen.

Offen bleibt, welche konkreten Steuerausfälle den einzelnen EU-Staaten durch die rund 340 in LuxLeaks genannten Konzerne tatsächlich entstanden sind. Die vollständige juristische Aufarbeitung aller rund 28.000 geleakten PwC-Dokumente sowie mögliche weitere Konsequenzen für beteiligte Unternehmen sind aus dieser Quelle nicht ersichtlich.

Die schwedische Finanzaufsicht Finansinspektionen verhängte am 19.03.2020 gegen die Swedbank AB eine Verwarnung und eine Bußgeldstrafe von 4 Milliarden SEK wegen schwerer Mängel bei der Geldwäscheprävention in den baltischen Tochtergesellschaften. Untersucht wurden die Konzernsteuerung von 2015 bis Anfang 2019 sowie die schwedischen Aktivitäten von April bis November 2018. Parallel stellte die estnische Aufsicht fest, dass die estnische Tochter Hochrisikokunden ohne funktionierende Geldwäsche-Kontrollsysteme bediente.

Offen bleibt, in welcher Gesamthöhe tatsächlich Geld gewaschen wurde; die vielzitierte Zahl von rund 20 Milliarden Euro Jahresvolumen aus Hochrisiko-Nichtresidentenkunden stammt aus einer Recherche des schwedischen Senders SVT und nicht aus dem Bußgeldbescheid selbst. Individuelle Straftäter oder konkrete kriminelle Herkunft der Gelder wurden von der Aufsichtsbehörde nicht benannt, da es sich um ein aufsichtsrechtliches, kein strafrechtliches Verfahren handelte.

Das Landgericht München I verurteilte am 05.09.2024 drei ehemalige Wirecard-Vorstandsmitglieder, darunter den früheren Vorstandsvorsitzenden Markus Braun, im Zivilverfahren zur Zahlung von insgesamt 140 Millionen Euro Schadensersatz plus 5 Prozentpunkten Zinsen an den Insolvenzverwalter. Das Gericht sah eine Pflichtverletzung durch die Vergabe eines unbesicherten Darlehens über 100 Millionen Euro an einen finanzschwachen Vertragspartner sowie durch die Zeichnung von Schuldverschreibungen über weitere 100 Millionen Euro ohne vorherige Financial Due Diligence. Ein viertes Mitglied wurde mangels nachgewiesener Kausalität von der Haftung freigesprochen.

Das Urteil war laut Pressemitteilung des Gerichts nicht rechtskräftig, Berufungen wurden erwartet, sodass der endgültige Ausgang offenblieb. Ob und in welcher Höhe die Verurteilten die Summe tatsächlich zahlen konnten, ist aus dieser Quelle nicht ersichtlich. Der separate Strafprozess gegen Markus Braun war zum Zeitpunkt dieser Zivilentscheidung weiterhin nicht abgeschlossen.

Das US-Justizministerium bestätigte offiziell, dass sich die malaysische Goldman-Sachs-Tochter wegen Verschwörung zur Bestechung ausländischer Amtsträger schuldig bekannte. Die Bank zahlte weltweit über 2,9 Milliarden US-Dollar Strafe, weil sie mehr als eine Milliarde Dollar Bestechungsgelder an malaysische und Abu-Dhabi-Beamte zahlte, um Anleihegeschäfte für den Staatsfonds 1MDB zu gewinnen. Laut DOJ wurden insgesamt rund 4,5 Milliarden US-Dollar aus dem Fonds veruntreut.

Der mutmaßliche Drahtzieher Jho Low blieb zum Zeitpunkt der Mitteilung flüchtig und wurde nie persönlich strafrechtlich verurteilt. Wie viel der veruntreuten Gelder tatsächlich zurückgeholt werden kann, war zum Zeitpunkt der Mitteilung nicht abschließend geklärt. Weitere Gerichtsverfahren gegen beteiligte Personen liefen zu diesem Zeitpunkt noch parallel weiter.

Die New Yorker Finanzaufsichtsbehörde NYDFS verhängte am 7. Juli 2020 eine Strafe von 150 Millionen US-Dollar gegen die Deutsche Bank wegen unzureichender Geldwäsche-Kontrollen. Betroffen waren mehr als 40 Konten für Jeffrey Epstein zwischen 2013 und 2018 sowie mangelhaft überwachte Korrespondenzbankbeziehungen zur estnischen Danske-Bank-Filiale und zur FBME Bank mit hunderten verdächtigen Transaktionen. Es war die erste behördliche Sanktion gegen ein Finanzinstitut wegen seiner Geschäftsbeziehung zu Epstein.

Offen bleibt, ob einzelne Deutsche-Bank-Mitarbeiter persönlich zur Verantwortung gezogen wurden, die Strafe traf nur die Bank als Institution. Nicht belegt ist, wie viel die Bank tatsächlich über Epsteins mutmaßliche Straftaten wusste. Zivilklagen von Epstein-Opfern gegen die Bank wurden erst Jahre später und in separaten Verfahren verhandelt.

Die Ransomware-Gruppe DarkSide legte am 7. Mai 2021 mit einem Cyberangriff den Betrieb der Colonial Pipeline lahm, die etwa 45 Prozent des Treibstoffs für die US-Ostküste liefert und rund 8800 Kilometer lang ist. Colonial Pipeline zahlte ein Lösegeld von 75 Bitcoin, umgerechnet rund 4,4 Millionen US-Dollar. Das US-Justizministerium gab am 7. Juni 2021 bekannt, per gerichtlich genehmigtem Beschluss 63,7 Bitcoin (rund 2,3 Millionen US-Dollar) davon sichergestellt zu haben.

Offen bleibt, wer die einzelnen Mitglieder der DarkSide-Gruppe konkret sind und wie genau die Ermittler an den privaten Schlüssel der genutzten Bitcoin-Wallet gelangten. Unklar ist auch, ob der plötzliche Ausfall der DarkSide-Infrastruktur wenige Tage nach dem Angriff auf Behördenmaßnahmen oder auf einen freiwilligen Rückzug der Täter zurückgeht. Der Verbleib des nicht sichergestellten Teils des Lösegelds ist nicht dokumentiert.

Im April 2022 entdeckten CERT-UA und ESET einen geplanten Cyberangriff der Gruppe Sandworm auf einen ukrainischen Energieversorger mit der Schadsoftware Industroyer2, die auf Umspannwerke mit dem Protokoll IEC-104 zielte. Die Ausführung war für den 08.04.2022 um 16:10 UTC geplant, wurde aber vor Eintritt eines tatsächlichen Stromausfalls gestoppt. Zusätzlich setzten die Angreifer die Löschsoftware CaddyWiper sowie weitere Wiper-Varianten ein; ESET ordnete den Angriff mit hoher Zuversicht der Gruppe Sandworm zu.

Aus dieser Quelle nicht bekannt ist, wie die Angreifer ursprünglich in das Netzwerk des Energieversorgers eindrangen und wie sie von der IT-Umgebung ins industrielle Steuerungssystem gelangten. Der Name des betroffenen Unternehmens und die genaue Zahl der potenziell betroffenen Kunden werden in der Quelle nicht genannt, ebenso fehlt eine formelle juristische Zurechnung zu Russland.

Die kanadische Datenschutzbehörde OPC und die australische OAIC veröffentlichten am 23.08.2016 die Ergebnisse ihrer gemeinsamen Untersuchung zum Ashley-Madison-Datenleck von 2015. Die Behörden stellten bei der Betreiberfirma Avid Life Media gravierende Sicherheitsmängel fest, darunter fehlende dokumentierte Sicherheitsrichtlinien, unzureichend abgesicherter Fernzugriff auf interne Systeme und im Klartext gespeicherte Verschlüsselungsschlüssel und Passwörter. Zudem bestätigten die Behörden, dass die Firma auf ihrer Startseite ein gefälschtes Sicherheits-Gütesiegel zeigte und Nutzerdaten auch nach kostenpflichtiger Löschung des Profils weiter speicherte.

Der Bericht verhängte keine Geldstrafe gegen das Unternehmen, sondern setzte auf verbindliche Verbesserungszusagen. Ob und in welchem Umfang die zugesagten Sicherheitsmaßnahmen tatsächlich fristgerecht umgesetzt wurden, geht aus der Quelle nicht abschließend hervor.

CERT/CC dokumentierte am 4. Januar 2018 die Hardware-Sicherheitslücken Meltdown (CVE-2017-5754) und Spectre (CVE-2017-5753, CVE-2017-5715), die spekulative Ausführung in Prozessoren ausnutzen, um geschützte Speicherinhalte auszulesen. Entdeckt wurden sie unabhängig voneinander von Googles Project Zero, der TU Graz, dem Forscher Paul Kocher und weiteren Teams. Betroffen waren praktisch alle modernen CPUs von Intel, AMD, ARM und weiteren Herstellern, teils seit Mitte der 1990er Jahre gebaut.

Offen blieb bei Bekanntgabe, wie stark die nötigen Software-Patches die Systemleistung dauerhaft beeinträchtigen würden und ob konkrete Nutzer je tatsächlich Opfer eines Datendiebstahls über diese Lücken wurden. Öffentlich belegte Angriffsfälle blieben die Ausnahme. Auch das vollständige Ausmaß weiterer Varianten der zugrunde liegenden Architekturschwäche war 2018 noch nicht absehbar.

Hacker erbeuteten 2016 Daten von 57 Millionen Uber-Nutzern und Fahrern, darunter rund 600.000 US-Führerscheinnummern. Uber-Sicherheitschef Joe Sullivan zahlte den Erpressern 100.000 US-Dollar in Bitcoin über das Bug-Bounty-Programm und ließ sie eine falsche Verschwiegenheitserklärung unterschreiben, die den Datenabfluss verneinte. Ein Bundesgericht in San Francisco verurteilte Sullivan am 5. Oktober 2022 wegen Behinderung eines FTC-Verfahrens und Nichtanzeige einer Straftat, im Mai 2023 folgten drei Jahre Bewährung, 50.000 Dollar Geldstrafe und 200 Stunden gemeinnützige Arbeit.

Ob weitere Uber-Führungskräfte, etwa der damalige CEO Travis Kalanick, von der Vertuschung wussten oder sie billigten, wurde strafrechtlich nicht verfolgt. Unklar bleibt zudem, ob die von den Hackern kopierten Daten tatsächlich vollständig gelöscht wurden, obwohl dies vertraglich zugesichert war.

Am 21.02.2025 wurde die Kryptobörse Bybit angegriffen. Während eines geplanten Transfers von einer Cold Wallet in eine Hot Wallet manipulierten die Angreifer die Transaktion und leiteten rund 400.000 bis 500.000 ETH im Wert von etwa 1,5 Milliarden US-Dollar auf von ihnen kontrollierte Adressen um. Grundlage war eine kompromittierte Entwicklermaschine der Multisig-Plattform Safe Wallet. Das FBI bestätigte am 26.02.2025 offiziell, dass Nordkorea verantwortlich war, und ordnete den Angriff der als TraderTraitor bezeichneten Aktivität der Lazarus Group zu.

Das FBI nennt keine technischen Details dazu, wie die Entwicklermaschine bei Safe Wallet ursprünglich kompromittiert wurde. Laut Bybit-CEO waren bis April 2025 etwa 28 Prozent der gestohlenen Gelder über Mixer und Cross-Chain-Bridges verschleiert und galten als nicht mehr nachverfolgbar. Eine vollständige Rückgewinnung der Gelder oder eine strafrechtliche Verurteilung einzelner Täter ist bislang nicht dokumentiert.

Die FTC gab am 09.10.2024 einen Vergleich mit Marriott International und der Tochter Starwood Hotels wegen dreier Datenlecks zwischen 2014 und 2020 bekannt, von denen weltweit mehr als 344 Millionen Kunden betroffen waren. Laut FTC-Beschwerde fehlten bei Marriott und Starwood angemessene Passwort- und Zugriffskontrollen, Netzwerksegmentierung, aktuelle Software-Patches und eine ausreichende Mehrfaktor-Authentifizierung. Der Vergleich verpflichtet die Unternehmen zu einem umfassenden Informationssicherheitsprogramm; parallel zahlte Marriott 52 Millionen Dollar an 49 US-Bundesstaaten.

Der Vergleich beruht auf einer vorgeschlagenen FTC-Anordnung, ein Schuldeingeständnis von Marriott geht aus dieser Quelle nicht hervor. Offen bleibt, in welchem Umfang sich die 344 Millionen genannten Datensätze mit den bereits 2018 gemeldeten rund 339 Millionen Starwood-Datensätzen überschneiden.