Quellen-Tabelle

Ein Angreifer verschaffte sich Zugriff auf einen internen Server der Kreditauskunftei Experian, auf dem Bewerberdaten für T-Mobile US gespeichert waren. Betroffen waren rund 15 Millionen Personen in den USA, die zwischen dem 01.09.2013 und dem 16.09.2015 eine Kreditprüfung für einen T-Mobile-Vertrag durchlaufen hatten. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie Sozialversicherungs- und Ausweisnummern, Zahlungskarten- oder Bankdaten waren nicht betroffen.

Wer konkret hinter dem Angriff steckte und ob die Täter je identifiziert wurden, ist aus dieser Quelle nicht ersichtlich. In welchem Umfang die verschlüsselten Sozialversicherungsnummern tatsächlich entschlüsselt und missbraucht wurden, bleibt offen.

Die US-Krankenhauskette Community Health Systems meldete am 18.08.2014 der SEC einen Cyberangriff auf ihre Netzwerke im April und Juni 2014. Gestohlen wurden Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern von rund 4,5 Millionen Personen, die bei mit CHS verbundenen Ärzten behandelt worden waren. Die beauftragte Sicherheitsfirma Mandiant ordnete den Angriff einer fortgeschrittenen Bedrohungsgruppe mit Ursprung in China zu, medizinische Behandlungsdaten waren laut CHS nicht betroffen.

Die offizielle SEC-Meldung nennt keine konkrete Angreifergruppe und erwähnt weder die Bezeichnung APT18 noch Heartbleed als Einfallstor, diese Details stammen aus späteren Analysen von IT-Sicherheitsfirmen. Eine direkte Steuerung des Angriffs durch die chinesische Regierung ist nicht abschließend belegt.

Der Landesbeauftragte für Datenschutz Rheinland-Pfalz schloss im Dezember 2014 ein Bußgeldverfahren gegen die Debeka einvernehmlich ab. Grundlage waren eingeräumte Listenkäufe, bei denen einzelne Mitarbeiter und Vermittler ohne Einwilligung Datensätze von Anwärtern des öffentlichen Dienstes erworben und zur Versicherungsakquise genutzt hatten. Die Debeka akzeptierte eine Geldbuße von 1,3 Millionen Euro und finanzierte zusätzlich eine mit 600.000 Euro dotierte Stiftungsprofessur für Datenschutz an der Universität Mainz.

Dieses Verfahren fand in Rheinland-Pfalz statt und wurde noch auf Grundlage des alten Bundesdatenschutzgesetzes geführt, da die DSGVO erst ab Mai 2018 galt. Wie viele einzelne Vermittler und Beamtenanwärter konkret betroffen waren, bleibt offen.

Am 15.07.2020 verschafften sich Angreifer per Social Engineering gegenüber Twitter-Mitarbeitern Zugriff auf interne Administrationswerkzeuge und übernahmen mehr als 130 verifizierte Konten, darunter Obama, Biden, Musk und Apple. Von den Konten wurden Tweets abgesetzt, die zu Bitcoin-Zahlungen aufriefen, rund 117.000 US-Dollar wurden erbeutet. Das DOJ klagte am 31.07.2020 Mason Sheppard und Nima Fazeli an, ein dritter Beteiligter war minderjährig und wurde separat in Florida verfolgt.

Die genaue technische Methode des Social-Engineering-Angriffs ist nicht durch ein unabhängiges forensisches Gutachten öffentlich im Detail belegt. Wie viele Konten neben den bekannten Prominenten betroffen waren und ob private Nachrichten eingesehen wurden, ist nicht abschließend dokumentiert.

Am Abend des 03.11.2021 verschaffte sich ein Unbefugter durch telefonisches Social Engineering Zugang zu internen Kundendienstsystemen von Robinhood. Dabei wurden E-Mail-Adressen von rund fünf Millionen Personen sowie vollständige Namen von rund zwei Millionen weiteren Personen erbeutet, bei etwa 310 Kunden zusätzlich Geburtsdatum und Postleitzahl. Nach der Eindämmung forderte der Angreifer eine Erpressungszahlung, Robinhood informierte Strafverfolgungsbehörden und beauftragte Mandiant.

Ob und in welcher Höhe die geforderte Erpressungssumme gezahlt wurde, ist nicht öffentlich dokumentiert. Die Identität des Angreifers sowie Details zur genauen Angriffstechnik wurden von Robinhood nicht offengelegt.

Die FTC einigte sich am 09.11.2020 mit Zoom auf einen Vergleich, weil Zoom seit mindestens 2016 fälschlich behauptet hatte, Meetings seien durchgehend Ende-zu-Ende-verschlüsselt. Tatsächlich hielt Zoom die kryptografischen Schlüssel selbst, zudem waren aufgezeichnete Meetings bis zu 60 Tage unverschlüsselt gespeichert. Zoom verpflichtete sich zu einem umfassenden Sicherheitsprogramm. Vorausgegangen waren im Frühjahr 2020 zahlreiche Zoombombing-Vorfälle, die das FBI im April 2020 zu einer öffentlichen Warnung veranlassten.

Die FTC verhängte in diesem Fall kein Bußgeld, sondern Verhaltensauflagen und ein zwanzigjähriges Audit-Programm. Wie viele Nutzer konkret durch die falschen Verschlüsselungsangaben einen Schaden erlitten, ist nicht dokumentiert.

Die FTC leitete am 31.10.2022 ein Verfahren gegen Chegg ein und warf dem Bildungstechnologie-Anbieter vier Datenschutzverletzungen zwischen September 2017 und April 2020 vor. Betroffen waren persönliche Daten von rund 40 Millionen Nutzern, unter anderem durch einen unbefugten Zugriff auf Amazon-S3-Speicher 2018 mit rund 25 Millionen im Klartext gespeicherten Passwörtern. Laut FTC fehlten bei Chegg grundlegende Sicherheitsmaßnahmen wie Verschlüsselung und Multi-Faktor-Authentifizierung, die im Januar 2023 finalisierte Anordnung verpflichtet Chegg zu einem umfassenden Sicherheitsprogramm.

Ob im Rahmen des Verfahrens eine Geldstrafe verhängt wurde, ist nicht dokumentiert, öffentlich zugängliche Quellen erwähnen vor allem verhaltensbezogene Auflagen. Wie wirksam die angeordneten Maßnahmen seither umgesetzt wurden, ist nicht öffentlich im Detail nachvollziehbar.

GoDaddy legte in seinem am 16.02.2023 bei der SEC eingereichten Jahresbericht offen, dass ein im Dezember 2022 entdeckter Einbruch in die cPanel-Hosting-Umgebung Teil einer mehrjährigen Kampagne war. Das Unternehmen verknüpfte den Vorfall mit früheren Vorfällen aus März 2020 (rund 28.000 betroffene Kunden) und November 2021 (rund 1,2 Millionen betroffene Kunden). Die Angreifer installierten Malware auf Servern und erbeuteten Quellcode zu GoDaddy-Diensten.

Die Identität des oder der Angreifer ist nicht öffentlich dokumentiert. Der exakte Zeitpunkt des ursprünglichen Einbruchs innerhalb der Mehrjahresspanne sowie der vollständige Umfang des gestohlenen Quellcodes bleiben unklar.

Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens verhängte am 06.11.2018 ein Bußgeld von 600.000 Euro gegen Uber. Grund war nicht der Datendiebstahl selbst, sondern dass Uber die am 14.11.2016 entdeckte Datenpanne erst am 21.11.2017 und damit rund ein Jahr zu spät meldete, statt wie vorgeschrieben innerhalb von 72 Stunden. Von dem zugrundeliegenden Vorfall waren weltweit rund 57 Millionen Nutzer und Fahrer betroffen, darunter etwa 174.000 Personen in den Niederlanden.

Die niederländische Behörde entschied ausschließlich über die verspätete Meldepflicht nach niederländischem Recht vor der DSGVO, nicht über die parallelen US-Verfahren zum selben Datendiebstahl von 2016. Die spätere, deutlich größere Geldbuße von 290 Millionen Euro gegen Uber aus dem Jahr 2024 wegen unrechtmäßiger Datenübermittlung in die USA ist ein eigenständiges, hier nicht behandeltes Verfahren.

DoorDash gab am 26.09.2019 bekannt, dass ein unbefugter Dritter am 04.05.2019 auf Nutzerdaten zugegriffen hatte. Betroffen waren rund 4,9 Millionen Kunden, Lieferpartner und Händler, die sich bis zum 05.04.2018 registriert hatten. Kompromittiert wurden Namen, E-Mail-Adressen, Telefonnummern und gehashte Passwörter, bei rund 100.000 Lieferpartnern zusätzlich vollständige Führerscheinnummern.

Welcher konkrete Drittanbieter betroffen war und über welchen technischen Mechanismus der Zugriff erfolgte, hat DoorDash nie veröffentlicht. Ob die entwendeten Teildaten tatsächlich für Betrug missbraucht wurden, bleibt offen.

Das US-Justizministerium gab am 03.08.2017 bekannt, dass eine Grand Jury eine sechsfache Anklage gegen den britischen IT-Sicherheitsforscher Marcus Hutchins alias MalwareTech erhoben hatte, wegen Beteiligung an Entwicklung und Vertrieb des Banking-Trojaners Kronos zwischen Juli 2014 und Juli 2015. Hutchins wurde am 02.08.2017 in Las Vegas festgenommen, rund drei Monate nachdem er durch Registrierung einer Domain den Kill-Switch der WannaCry-Ransomware ausgelöst und deren Ausbreitung gestoppt hatte.

Zum Zeitpunkt der Pressemitteilung galt die Unschuldsvermutung. Hutchins bekannte sich im April 2019 in zwei Anklagepunkten schuldig und wurde im Juli 2019 zu keiner Haftstrafe, sondern zur bereits verbüßten Untersuchungshaft plus einem Jahr Bewährung verurteilt.

Der Bundesbeauftragte für den Datenschutz (BfDI) verhängte am 09.12.2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH wegen unzureichender technischer und organisatorischer Maßnahmen im telefonischen Kundenservice. Anrufer erhielten allein durch Angabe von Namen und Geburtsdatum eines Kunden Zugriff auf dessen weitere personenbezogene Daten. Auslöser war ein Stalking-Fall, in dem eine Person auf diesem Weg die neue Telefonnummer eines Opfers erlangte.

Das Landgericht Bonn bestätigte 2020 den DSGVO-Verstoß, reduzierte die Bußgeldhöhe im gerichtlichen Nachgang aber auf 900.000 Euro. Wie die interne technische Umstellung der Authentifizierungsverfahren bei 1&1 im Detail ablief, ist nur in groben Zügen dokumentiert.

T-Mobile US meldete der SEC am 19.01.2023, dass ein Angreifer seit rund dem 25.11.2022 unautorisiert Daten über eine einzelne API abgriff. Das Unternehmen entdeckte die Aktivität am 05.01.2023 und stoppte den Zugriff nach eigenen Angaben innerhalb eines Tages. Betroffen waren Kontodaten von schätzungsweise 37 Millionen Kunden, darunter Name, Adresse, E-Mail und Geburtsdatum, jedoch keine Sozialversicherungsnummern oder Zahlungskartendaten.

Die genaue Identität des Angreifers ist offen, T-Mobile spricht lediglich von einem bad actor. Die Zahl von 37 Millionen betroffenen Konten basiert auf einer vorläufigen Untersuchung, die T-Mobile selbst als preliminary bezeichnete.

Eine von Danske Bank beauftragte externe Untersuchung stellte fest, dass zwischen 2007 und 2015 rund 200 Milliarden Euro an Zahlungen von Nicht-Residenten-Kunden durch die estnische Filiale der Bank abgewickelt wurden. Für die Untersuchung wurden rund 15.000 Kunden und 9,5 Millionen Zahlungen geprüft. Der am 19.09.2018 veröffentlichte Bericht dokumentierte schwerwiegende Mängel in Governance und Kontrollsystemen. Danske Bank kündigte an, geschätzte Bruttoerträge von 1,5 Milliarden Dänischen Kronen gemeinnützigen Zwecken zuzuführen.

Welcher genaue Anteil der 200 Milliarden Euro tatsächlich aus krimineller Herkunft stammte, bleibt offen, da nicht jede Nicht-Residenten-Transaktion automatisch Geldwäsche bedeutet. Individuelle strafrechtliche Verantwortlichkeiten waren zum Zeitpunkt der Veröffentlichung noch Gegenstand laufender Ermittlungen in mehreren Ländern.

Der EuGH entschied am 13.05.2014 in der Rechtssache C-131/12, dass Suchmaschinenbetreiber als für die Datenverarbeitung Verantwortliche gelten. Betroffene können von Google die Entfernung von Links zu personenbezogenen Daten verlangen, wenn diese nicht mehr relevant oder unangemessen sind, auch wenn die zugrunde liegende Veröffentlichung rechtmäßig bleibt. Auslöser war eine Anzeige aus 1998 über eine Zwangsversteigerung des Klägers Mario Costeja Gonzalez.

Wie viele Löschanträge Google infolge des Urteils konkret erhielt, ist nicht dokumentiert. Die spätere Kodifizierung in Artikel 17 DSGVO 2018 ist nicht Teil dieser Quelle.

Der EuGH erklärte am 06.10.2015 in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission von 2000 für ungültig. Grundlage war eine Beschwerde von Max Schrems gegen die irische Datenschutzbehörde, weil Facebook Ireland Nutzerdaten in die USA übermittelte, wo sie nach den Snowden-Enthüllungen dem Zugriff von US-Geheimdiensten ausgesetzt waren. Der EuGH stellte klar, dass nationale Datenschutzbehörden die Angemessenheit von Datentransfers eigenständig prüfen dürfen.

Wie ein Nachfolgeregime konkret ausgestaltet werden würde, war zum Urteilszeitpunkt offen, die Nachfolgevereinbarung Privacy Shield trat erst 2016 in Kraft. Das spätere Schrems-II-Urteil von 2020 ist nicht Gegenstand dieser Quelle.

Das Bundesverfassungsgericht entschied am 24.04.2013, dass die gemeinsame Antiterrordatei von Polizeibehörden und Nachrichtendiensten in ihrer Grundstruktur mit dem Grundgesetz vereinbar ist. Mehrere Einzelregelungen, darunter zu Unterstützern und der Inverssuche, wurden für verfassungswidrig erklärt. Der Gesetzgeber musste die beanstandeten Vorschriften bis 31.12.2014 neu regeln.

Wie viele Personen konkret in der Antiterrordatei erfasst waren, ist nicht dokumentiert. Wie oft die Datei zu tatsächlichen Ermittlungserfolgen beigetragen hat, geht aus der Quelle nicht hervor.

Das Bundesverfassungsgericht entschied am 20.04.2016 über Verfassungsbeschwerden gegen BKA-Befugnisse zur Terrorismusabwehr. Die Ermächtigung zu heimlichen Überwachungsmaßnahmen wie Online-Durchsuchung und Wohnraumüberwachung ist grundsätzlich mit dem Grundgesetz vereinbar. Mehrere konkrete Vorschriften erfüllten jedoch nicht die Verhältnismäßigkeitsanforderungen und wurden für teilweise verfassungswidrig erklärt, der Gesetzgeber musste bis 30.06.2018 nachbessern.

Wer konkret die Beschwerdeführer waren, geht aus der Pressemitteilung nicht hervor. Die genaue gesetzgeberische Umsetzung der Neuregelung bis 2018 ist nicht Gegenstand dieser Quelle.

Das Auswärtige Amt teilte am 28.05.2020 mit, dass der russische Staatsangehörige Dmitrij Badin verdächtig sei, als Mitglied der Gruppe APT28 für den Cyberangriff auf den Deutschen Bundestag im April und Mai 2015 verantwortlich zu sein. Der Ermittlungsrichter des BGH erließ am 29.04.2020 einen Haftbefehl gegen Badin, dem geheimdienstliche Agententätigkeit vorgeworfen wird. Es gibt Hinweise, dass Badin zum Zeitpunkt des Angriffs dem russischen Militärgeheimdienst GRU angehörte.

Die Mitteilung ist eine politische Zuschreibung der Bundesregierung und kein rechtskräftiges Gerichtsurteil. Badin wurde nie festgenommen oder ausgeliefert, da Russland eigene Staatsangehörige grundsätzlich nicht ausliefert.

Am 27.01.2021 gaben die Generalstaatsanwaltschaft Frankfurt am Main und das BKA bekannt, dass die Infrastruktur der Schadsoftware Emotet in einer international koordinierten Aktion übernommen und zerschlagen wurde. Das BKA beschlagnahmte 17 Server in Deutschland, weitere in den Niederlanden, Litauen und der Ukraine. Beteiligt waren Behörden aus acht Ländern, koordiniert durch Europol und Eurojust. Der in Deutschland verursachte Schaden wird mit mindestens 14,5 Millionen Euro beziffert, betroffen waren unter anderem das Klinikum Fürth und das Kammergericht Berlin.

Die Identität der mutmaßlichen Betreiber und Drahtzieher hinter Emotet ist nicht dokumentiert, es wurde keine konkrete Festnahme einer Kernperson in Deutschland vermeldet. Die Schadenssumme bezieht sich nur auf bekannt gewordene Fälle in Deutschland.

Der EuGH (Große Kammer) erklärte am 08.04.2014 in den verbundenen Rechtssachen C-293/12 und C-594/12 die Richtlinie 2006/24/EG über die Vorratsspeicherung von Telekommunikationsdaten für ungültig. Klägerin war unter anderem Digital Rights Ireland Ltd. Der EuGH sah einen schwerwiegenden Eingriff in die Grundrechte auf Achtung des Privatlebens und Datenschutz, da die Richtlinie unterschiedslos alle Personen erfasste, keine objektiven Kriterien für den Datenzugriff vorsah und keine ausreichenden Sicherheitsgarantien enthielt.

Wie einzelne EU-Mitgliedstaaten ihre nationalen Umsetzungsgesetze anpassten, ist nicht Gegenstand dieser Pressemitteilung. Die spätere Rechtsprechung zu Tele2/Watson 2016 oder La Quadrature du Net 2020 stellt eigene, spätere Fälle dar.

Die Große Kammer des EGMR entschied am 04.12.2008, dass die zeitlich unbegrenzte Aufbewahrung von Fingerabdrücken, Zellproben und DNA-Profilen nicht verurteilter Personen gegen Artikel 8 EMRK verstößt. Kläger waren ein freigesprochener Jugendlicher und Michael Marper, gegen den ein Verfahren eingestellt worden war. Die South Yorkshire Police hatte ihre Daten trotz fehlender Verurteilung unbegrenzt gespeichert. Das Gericht urteilte einstimmig, die pauschale Speicherungspraxis sei unverhältnismäßig.

Der EGMR sprach keine finanzielle Entschädigung zu, die Feststellung der Konventionsverletzung selbst galt als ausreichende Genugtuung. Wie schnell das Vereinigte Königreich das Urteil praktisch umsetzte, bleibt offen.

Die Große Kammer des EGMR entschied am 25.05.2021 im Fall Big Brother Watch u.a. gegen das Vereinigte Königreich, dass die britische Regelung zur Massenerfassung von Kommunikation (Bulk Interception nach RIPA) sowie die Regeln zur Herausgabe von Kommunikationsdaten gegen Artikel 8 und Artikel 10 EMRK verstießen, da ausreichende gesetzliche Kontrollmechanismen fehlten. Mit 12 zu 5 Stimmen entschied das Gericht, dass der Austausch von Geheimdienstinformationen mit ausländischen Regierungen keinen Konventionsverstoß darstellte. Der Fall geht auf die Snowden-Enthüllungen 2013 über GCHQ zurück.

Das Urteil erklärt Massenüberwachung nicht grundsätzlich für konventionswidrig, sondern formuliert acht Mindestkriterien. Wie das seit 2016 geltende Investigatory Powers Act an diesen Kriterien zu messen ist, bleibt offen, da sich das Urteil noch auf die alte Rechtslage (RIPA) bezog.

Der EGMR entschied am 06.09.1978 im Fall Klass u.a. gegen Deutschland über das deutsche G10-Gesetz von 1968 zur geheimen Überwachung von Post und Telekommunikation. Fünf deutsche Juristen hatten die Regelung angefochten, ohne dass eine konkrete Überwachung ihrer eigenen Person nachgewiesen war. Das Gericht stellte fest, dass keine Verletzung von Artikel 8 oder 13 EMRK vorlag, da das G10-Gesetz mit der G10-Kommission ausreichende Kontrollmechanismen vorsehe. Es war das erste EGMR-Urteil zur grundsätzlichen Vereinbarkeit geheimer Überwachungsgesetze mit der Menschenrechtskonvention.

Das Urteil erklärte nicht pauschal jede Form geheimer Überwachung für konventionskonform, sondern nur die damalige Fassung des G10-Gesetzes. Ob die Beschwerdeführer selbst tatsächlich abgehört wurden, blieb offen.

Die Große Kammer des EGMR urteilte am 04.12.2015 einstimmig, dass das russische Überwachungssystem SORM gegen Artikel 8 EMRK verstößt. Russische Mobilfunkanbieter sind verpflichtet, Technik zu installieren, die Sicherheitsbehörden direkten Zugriff auf die Telekommunikation aller Nutzer ermöglicht, ohne wirksame vorherige richterliche Kontrolle. Der Gerichtshof ließ die Beschwerde bereits wegen der abstrakten Möglichkeit der Erfassung als Mobilfunknutzer zu, ohne dass eine konkrete eigene Überwachung nachgewiesen werden musste.

Ob Roman Zakharov selbst tatsächlich überwacht wurde, ist nicht belegt, die Beschwerde richtete sich abstrakt gegen die Rechtslage. Russland erkennt seit dem Ausschluss aus dem Europarat 2022 keine Bindung an EGMR-Entscheidungen mehr an.