Quellen-Tabelle

Ab Anfang 2015, entdeckt im Mai 2015, wurden bei einem Hackerangriff auf das IT-System des Deutschen Bundestags rund 16 Gigabyte Daten entwendet, darunter zahlreiche E-Mails von Abgeordneten. Die Angreifer nutzten eine Phishing-E-Mail mit dem Betreff 'Ukraine conflict with Russia leaves economy in ruins' und einer gefälschten Absenderadresse mit der Endung '@un.org', um einen vermeintlichen UN-Bericht vorzutäuschen; darüber installierte Schadsoftware ermöglichte den Angreifern, Passwörter abzugreifen, Administratorkonten zu übernehmen und weitere Daten zu stehlen. Die entdeckte IP-Adresse lieferte den stärksten Hinweis auf die mutmaßlichen Täter, die Hackergruppe 'Sofacy', auch bekannt als 'Fancy Bear', 'APT28' oder 'Operation Pawn Storm'. Die Bundesregierung ordnete den Angriff einer vom russischen Staat gelenkten Operation zu; im Mai 2020 erließ die Bundesanwaltschaft Haftbefehl gegen den russischen Staatsbürger Dmitri Badin, der als APT28-Mitglied gilt.

Ob Badin jemals tatsächlich gefasst und vor ein deutsches Gericht gestellt wurde, ist aus dieser Quelle nicht belegt; ein Haftbefehl bedeutet keine erfolgte Festnahme.

Im Dezember 2020 wurde bekannt, dass Angreifer eine manipulierte Software-Aktualisierung der IT-Management-Software Orion des Herstellers SolarWinds als Einfallstor nutzten, um in Netzwerke tausender US-Unternehmen und wichtiger Regierungsbehörden einzudringen. Mehr als 18.000 SolarWinds-Kunden installierten die kompromittierten Updates; das eigentliche Zielobjekt der Angreifer umfasste laut Weißem Haus jedoch nur rund 100 Unternehmen und mindestens neun US-Bundesbehörden, die gezielt weiter kompromittiert wurden. US-Behörden ordneten den Angriff im Januar öffentlich der russischen Cyberspionage-Gruppe APT29 ('Cozy Bear') zu, nach Berichten mit Verbindungen zum russischen Auslandsgeheimdienst SWR. Als Reaktion schnitt die Biden-Regierung Russlands Staatsanleihenmarkt vom US-Bankensystem ab und leiteten US-Geheimdienste eine umfassende Überprüfung von Lieferkettenrisiken durch russische Software ein.

Welche konkreten Daten aus den neun betroffenen US-Bundesbehörden tatsächlich abflossen, ist aus dieser Quelle nicht im Detail beziffert.

Mitte Dezember 2021 wurde in der weit verbreiteten Java-Bibliothek Log4j die kritische Schwachstelle CVE-2021-44228 ('Log4Shell') entdeckt, auf der CVSS-Skala mit dem Höchstwert 10 eingestuft. Da Systemadministratoren und Entwickler weltweit die Bibliothek wegen ihrer Funktionalität in Rechenzentren, Unternehmensservern, Netzwerktechnik und Systemkomponenten einsetzen, waren potenziell mehrere Milliarden Computersysteme weltweit verwundbar. Besonders gefährlich machte die Lücke, dass keine speziellen Berechtigungen zur Ausnutzung nötig waren: Angreifer konnten Schadcode bereits über einfache Eingabefelder wie Chatboxen oder Login-Formulare einschleusen. Das BSI stufte die Bedrohungslage auf Warnstufe Rot ein; internationale Beobachtungen zeigten aktive Ausnutzung mit den USA, Großbritannien, Deutschland, der Türkei und den Niederlanden als am häufigsten angegriffenen Regionen.

Eine belastbare Gesamtzahl tatsächlich erfolgreich kompromittierter Systeme (im Unterschied zu theoretisch verwundbaren) ist aus dieser Quelle nicht beziffert.

Am 03.03.2021 veröffentlichte Microsoft ein Notfall-Sicherheitsupdate, das vier Schwachstellen in Microsoft Exchange Server (Versionen 2010 bis 2019) schloss, darunter die Server-Side-Request-Forgery-Lücke CVE-2021-26855, über die Angreifer beliebige HTTP-Anfragen senden und sich als Exchange-Server authentifizieren konnten. Microsoft schrieb die Angriffe einer mutmaßlich staatlich gelenkten, aus China operierenden Gruppe namens 'Hafnium' zu. Nach der Veröffentlichung folgte eine beispiellose weltweite Angriffswelle gegen ungepatchte Exchange-Instanzen; das BSI rief daraufhin die IT-Bedrohungsstufe 4 (Rot) aus, erst das zweite Mal in seiner Geschichte. Das BSI schätzte, dass allein in Deutschland zehntausende Exchange-Server betroffen waren, von denen viele nach eigener Einschätzung 'sehr wahrscheinlich bereits mit Schadsoftware infiziert' waren, und kontaktierte die Geschäftsführung von über 9.000 deutschen Unternehmen direkt.

Wie viele der von der BSI direkt kontaktierten 9.000 Unternehmen tatsächlich bereits kompromittiert waren im Unterschied zu nur potenziell gefährdeten, ist aus dieser Quelle nicht differenziert.

Am 02.07.2021 verbreitete die Ransomware-Gruppe REvil über ein gefälschtes Software-Update der Fernwartungssoftware Kaseya VSA Schadsoftware an die IT-Dienstleister (Managed Service Provider), die Kaseya nutzten, und von dort weiter an deren nachgelagerte Kunden. Kaseya meldete am 05.07.2021, der Angriff habe weniger als 60 direkte Kunden betroffen, jedoch bis zu 1.500 von deren Kunden betreute Unternehmen in 17 Ländern, darunter die schwedische Supermarktkette Coop, die 800 Filialen schließen musste, weil deren Kassensysteme über einen Kaseya-nutzenden IT-Dienstleister verwaltet wurden. Die Angreifer nutzten eine bekannte Schwachstelle in Kaseya VSA aus, während der Hersteller noch an einem Patch arbeitete. Kaseya veröffentlichte am 11.07.2021 Sicherheitsupdates und erhielt am 21.07.2021 einen universellen Entschlüsselungsschlüssel.

Auf welchem Weg Kaseya den universellen Entschlüsselungsschlüssel erhielt (Zahlung, Behördenoperation gegen REvil oder anderer Weg) ist aus dieser Quelle nicht belegt.

Am 30.05.2021 wurde ein Ransomware-Angriff auf den weltgrößten Fleischverarbeiter JBS Foods entdeckt, der Server der nordamerikanischen und australischen IT-Systeme des Konzerns betraf und zur zeitweisen Stilllegung von fünf der größten US-Fleischfabriken führte. Die US-Tochter von JBS zahlte den Erpressern 11 Millionen US-Dollar in Bitcoin, nachdem diese ursprünglich 22,5 Millionen Dollar gefordert hatten. Das FBI identifizierte die russische Cyberkriminalitätsgruppe REvil, dieselbe Gruppe, die kurz darauf auch den Kaseya-Angriff verübte, als Verantwortliche. JBS USA begründete die Zahlung mit einer Abwägung in Absprache mit internen und externen IT-Sicherheitsexperten, um mögliche Risiken für Kunden zu verhindern und unvorhersehbare Folgeprobleme des Angriffs zu vermeiden.

Ob und wie die gezahlten 11 Millionen US-Dollar später ganz oder teilweise durch Behörden zurückerlangt wurden, ist aus dieser Quelle nicht belegt.

Im Oktober 2015 wurden bei einem Hack des britischen Telekommunikationsanbieters TalkTalk personenbezogene Daten von rund 157.000 Kunden gestohlen, darunter Bankkontonummern, Bankleitzahlen und Geburtsdaten; TalkTalk bezifferte den Gesamtschaden auf 60 Millionen Pfund. Ein 17-jähriger Jugendlicher bekannte sich vor dem Norwich Youth Court in sieben Anklagepunkten nach dem britischen Computer Misuse Act schuldig, zwei davon im Zusammenhang mit dem TalkTalk-Datenleck; er erklärte gegenüber den Richtern, er habe nicht an die Konsequenzen gedacht und lediglich vor Freunden angeben wollen. Der Jugendliche erhielt eine Bewährungsauflage und musste sein iPhone abgeben; das Gericht signalisierte, ihn trotz weiterer notwendiger Berichte von einer Haftstrafe verschonen zu wollen. Er hatte zuvor auch die Websites der Universitätsbibliotheken von Manchester und Cambridge angegriffen. Ein weiterer, älterer Beteiligter, Daniel Kelley, wurde später zu vier Jahren Haft verurteilt.

Die stark unterschiedlichen Strafmaße (Bewährung für den 17-Jährigen gegenüber vierjähriger Haft für Daniel Kelley) verdeutlichen, wie das Alter des Täters bei vergleichbaren Straftaten die Sanktion beeinflusst, ohne dass die Quelle den unterschiedlichen Tatbeitrag beider im Detail vergleicht.

Am 28.10.2023 meldete die British Library ab 9:54 Uhr ein "technisches Problem", das sich als Ransomware-Angriff der Gruppe Rhysida herausstellte. Die Angreifer nutzten vermutlich kompromittierte privilegierte Zugangsdaten, moeglicherweise erlangt durch Phishing, Spear-Phishing oder Brute-Force-Angriffe, da keine durchgaengige Mehrfaktor-Authentifizierung bestand. Rhysida forderte ein Loesegeld von 20 Bitcoin, umgerechnet rund 596.000 britische Pfund, das die Bibliothek gemaess der Never-pay-Politik des britischen National Cyber Security Centre nicht zahlte. Am 20.11.2023 bekannte sich Rhysida oeffentlich zu dem Angriff und startete eine siebentaegige Auktion gestohlener Daten im Darknet, die rund 490.191 Dateien beziehungsweise etwa 600 Gigabyte umfassten, darunter Personalunterlagen, Arbeitsvertraege, teilweise Passdaten sowie Nutzerdaten. Am 27.11.2023 veroeffentlichte Rhysida rund 90 Prozent der Daten oeffentlich, nachdem der Verkauf offenbar nicht vollstaendig gelungen war. Website, Online-Katalog, WLAN, Telefonanlage, Ticketverkauf und Leserregistrierung fielen monatelang aus, der Hauptkatalog wurde erst am 15.01.2024 im reinen Lesemodus wiederhergestellt. Etwa 20.000 Autoren und Uebersetzer erhielten verspaetete Public-Lending-Right-Zahlungen. Die geschaetzten Wiederherstellungskosten lagen bei 6 bis 7 Millionen britischen Pfund, etwa 40 Prozent der finanziellen Ruecklagen der Bibliothek. Am 08.03.2024 veroeffentlichte die British Library den offiziellen Bericht "Learning Lessons from the Cyber-Attack" mit Zeitverlauf und 16 Lehren aus dem Vorfall.

Der exakte initiale Angriffsvektor (welches konkrete Konto, welche Methode) ist laut Bericht nicht abschliessend geklaert, sondern nur als wahrscheinlichste Hypothese benannt. Ob und in welchem Umfang einzelne Betroffene individuell benachrichtigt wurden und wie viele Nutzerkonten konkret kompromittiert waren, bleibt in der Quelle unklar.

Die kanadische Finanzgenossenschaft Desjardins Group gab am 20. Juni 2019 bekannt, dass ein Mitarbeiter über rund 26 Monate unbefugt persönliche Daten von Kundinnen und Kunden entwendet hatte. Nach ergänzenden Untersuchungen bezifferte Desjardins das Ausmaß 2020 auf etwa 9,7 Millionen betroffene Personen in Kanada und im Ausland, den bis dahin größten Datendiebstahl in der Geschichte des kanadischen Finanzsektors. Betroffen waren Vor- und Nachnamen, Geburtsdaten, Sozialversicherungsnummern, Adressen, Telefonnummern, E-Mail-Adressen und Transaktionshistorien. Der Täter, ein Mitarbeiter der Marketingabteilung, nutzte aus, dass Kolleginnen und Kollegen vertrauliche Kundendaten entgegen den internen Richtlinien aus geschützten Systemen auf ein für das gesamte Marketingteam zugängliches gemeinsames Laufwerk kopiert hatten. Er übertrug die Daten auf USB-Sticks und verkaufte sie über mehrere Monate hinweg an Dritte. Desjardins entdeckte den Diebstahl nicht selbst, sondern wurde Ende 2018 durch die Polizei im Rahmen einer anderen Ermittlung darauf aufmerksam. Die Bundesdatenschutzbehörde OPC und die Quebecer Aufsichtsbehörde CAI stellten in einem gemeinsamen Bericht vom November 2020 fest, dass Desjardins bekannte Sicherheitsmängel bei Zugriffskontrolle und Überwachung nicht rechtzeitig behoben hatte, und verpflichteten das Unternehmen zu externen Sicherheitsaudits sowie verbesserten Kontrollen. Im Dezember 2021 erhielt eine Sammelklage-Einigung im Umfang von bis zu rund 200 Millionen kanadischen Dollar für Entschädigung und Kreditüberwachung der Betroffenen die gerichtliche Genehmigung.

Die genaue Opferzahl wurde von Desjardins im Zeitverlauf mehrfach nach oben korrigiert (zunächst rund 2,7 bis 2,9 Millionen, später 9,7 Millionen), und das Strafverfahren gegen den 2024 verhafteten mutmaßlichen Haupttäter war zum Zeitpunkt der Recherche noch nicht rechtskräftig abgeschlossen.

Am 04.02.2015 gab der US-Krankenversicherer Anthem Inc. bekannt, Opfer eines Cyberangriffs auf seine IT-Systeme geworden zu sein. Die Angreifer hatten sich laut Unternehmensangaben bereits im Dezember 2014 Zugang zu den Systemen verschafft, ein Mitarbeiter entdeckte den unbefugten Zugriff am 27.01.2015. Betroffen waren die Daten von 78,8 Millionen aktuellen und ehemaligen Versicherten, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Adressen, E-Mail-Adressen sowie Beschäftigungs- und Einkommensangaben. Medizinische Behandlungsdaten und Zahlungsdaten wurden nach Unternehmensangaben nicht kompromittiert. Die Angreifer verschafften sich laut Ermittlungen des US-Justizministeriums über Spear-Phishing-E-Mails Zugang zum Netzwerk und wurden einer China-basierten Hackergruppe zugeordnet, gegen deren mutmaßliches Mitglied Fujie Wang im Mai 2019 Anklage erhoben wurde. Anthem einigte sich 2017 in einer Sammelklage auf eine Entschädigungssumme von 115 Millionen US-Dollar, zu diesem Zeitpunkt der größte Vergleich in einem Datenschutzfall in den USA. Zusätzlich zahlte Anthem 16 Millionen US-Dollar an das US-Gesundheitsministerium wegen HIPAA-Verstößen, die bis dahin höchste HIPAA-Strafzahlung. Der Fall gilt als der bis heute größte bekannt gewordene Datendiebstahl im US-Gesundheitswesen.

Aus dieser Quelle nicht abschließend belegt ist die exakte staatliche Urheberschaft: Ermittler stuften den Angriff als vermutlich staatlich gelenkt ein, ohne den Auftraggeber offiziell zu benennen, und der 2019 angeklagte Fujie Wang wurde bislang weder festgenommen noch verurteilt.

Am 14.05.2021 wurde der irische staatliche Gesundheitsdienst Health Service Executive (HSE) Ziel eines Ransomware-Angriffs der Gruppe Conti, der zur Abschaltung nahezu aller IT-Systeme im ganzen Land führte. Das irische National Cyber Security Centre (NCSC) hatte bereits am Vortag verdächtige Aktivität im Netzwerk des Gesundheitsministeriums festgestellt und dabei Cobalt-Strike-Beacons entdeckt, die typischerweise der lateralen Bewegung vor einem Ransomware-Einsatz dienen. Gegen 07:00 Uhr am 14.05.2021 meldete das NCSC den Angriff auf die HSE-Systeme, woraufhin die HSE vorsorglich sämtliche IT-Systeme landesweit abschaltete. Ein zeitgleicher Angriffsversuch auf das Gesundheitsministerium selbst wurde durch Antivirensoftware gestoppt. Laut dem im Dezember 2021 von PwC im Auftrag der HSE veröffentlichten Untersuchungsbericht erfolgte der erste Zugriff der Angreifer bereits am 18.03.2021 über eine mit Schadsoftware präparierte Excel-Datei aus einer Phishing-Mail, danach blieben die Angreifer rund acht Wochen unentdeckt im Netzwerk. Mehr als 80 Prozent der HSE-IT-Landschaft waren betroffen, 31 von 54 Akutkrankenhäusern mussten Operationen und Termine absagen und auf Papierdokumentation umstellen. Die Angreifer forderten späteren Berichten zufolge ein Lösegeld von rund 19.999.000 US-Dollar, das die irische Regierung nach eigener Aussage nicht zahlte. Am 20.05.2021 stellte die Conti-Gruppe dennoch kostenlos einen Entschlüsselungsschlüssel bereit. Bis September 2021 waren nach HSE-Angaben mehr als 95 Prozent der Server und Endgeräte wiederhergestellt.

Die zitierte NCSC-Meldung dokumentiert nur die ersten Tage des Angriffs. Lösegeldforderung, Gesamtkosten und der spätere Wiederherstellungsverlauf stammen aus nachfolgenden Berichten und schwanken je nach Quelle, etwa bei den geschätzten Gesamtkosten, die zwischen zig Millionen und über 100 Millionen Euro liegen.

Am 24.05.2019 wurde bekannt, dass die australische Design-Plattform Canva Ziel eines Datendiebstahls geworden war, bei dem ein Angreifer unter dem Pseudonym GnosticPlayers Zugriff auf eine Nutzerdatenbank erlangte. Laut der Sicherheits-Datenbank Have I Been Pwned waren rund 137,3 Millionen Konten betroffen, der Angreifer selbst nannte gegenüber dem Journalisten Catalin Cimpanu von ZDNet eine Zahl von etwa 139 Millionen. Erbeutet wurden Nutzernamen, echte Namen, E-Mail-Adressen sowie Angaben zu Wohnort und Land der Nutzer. Bei einem Teil der Konten, die sich nicht per Google- oder Facebook-Login angemeldet hatten, waren zusätzlich mit bcrypt gesalzene und gehashte Passwörter betroffen, nach Angaben aus der Berichterstattung rund 61 Millionen. Der Angreifer erklärte, alle Daten bis zum 17.05.2019 heruntergeladen zu haben, bevor Canva den unbefugten Zugriff bemerkte und den betroffenen Datenbankserver abschaltete. Canva bestätigte den Vorfall öffentlich, informierte betroffene Nutzer per E-Mail und forderte zum Zurücksetzen der Passwörter auf. Im Januar 2020 wurden Medienberichten zufolge rund 4 Millionen der ursprünglich gehashten Passwörter entschlüsselt und weiterverbreitet, woraufhin Canva die Passwörter aller Nutzer zurücksetzte, die ihr Passwort seit Mai 2019 nicht geändert hatten. Der Vorfall war Teil einer größeren Angriffsserie des Hackers beziehungsweise der Hackergruppe GnosticPlayers, die 2019 gestohlene Daten aus mehreren Dutzend Online-Diensten zum Verkauf anbot.

Die genaue Zahl der betroffenen Konten schwankt je nach Quelle zwischen 137 und 139 Millionen, eine von Canva selbst bestätigte exakte Zahl liegt in den verfügbaren Quellen nicht vor. Ob Canva infolge des Vorfalls behördliche Bußgelder oder Entschädigungszahlungen leisten musste, ist aus den ausgewerteten Quellen nicht ersichtlich.

Die New York Times deckte am 11.03.2024 auf, dass General Motors über sein Telematiksystem OnStar und das Programm Smart Driver Fahrverhaltensdaten von Kunden sammelte und ohne klare Einwilligung an die Auskunfteien LexisNexis Risk Solutions und Verisk Analytics verkaufte. Erfasst wurden unter anderem Geschwindigkeit, Vollbremsungen, starke Beschleunigungen, Fahrtzeiten und gefahrene Strecken sowie teilweise Geodaten im Abstand von nur drei Sekunden. LexisNexis erstellte aus diesen Daten Risikoscores, die Versicherungsunternehmen bei der Festlegung von Prämien oder bei der Ablehnung von Kunden nutzten. Betroffen waren GM-Modelle der Marken Chevrolet, GMC, Cadillac und Buick ab Baujahr 2015. Nach dem öffentlichen Bekanntwerden stellte GM die Datenweitergabe an LexisNexis und Verisk am 20.03.2024 ein und beendete das Smart-Driver-Programm am 24.04.2024. Die Generalstaatsanwaltschaft von Texas verklagte GM im August 2024 wegen der Daten von mehr als 1,5 Millionen Fahrern im Bundesstaat. Die FTC einigte sich am 16.01.2025 mit GM auf einen Vergleich mit einem fünfjährigen Verbot der Weitergabe sensibler Standort- und Fahrverhaltensdaten an Auskunfteien sowie einer zwanzigjährigen Auflage zur Einholung ausdrücklicher Kundenzustimmung. Kalifornien schloss am 08.05.2026 einen eigenen Vergleich mit GM über eine Zivilstrafe von 12,75 Millionen US-Dollar.

Die genaue Gesamtzahl der betroffenen US-Fahrer ist nicht offiziell verifiziert; Sammelklagen sprechen von bis zu 16 Millionen Betroffenen, was durch die FTC-Dokumente nicht bestätigt wird. Ebenfalls nicht abschließend geklärt ist, in welchem Umfang einzelne Autohäuser Kunden aktiv zur Anmeldung bei Smart Driver gedrängt haben.

Am 27.02.2019 gab die US-amerikanische Federal Trade Commission (FTC) eine Einigung mit dem Unternehmen hinter der Video-App Musical.ly bekannt, die inzwischen mit TikTok fusioniert war. Musical.ly zahlte 5,7 Millionen Dollar Zivilstrafe wegen Verstößen gegen den Children's Online Privacy Protection Act (COPPA). Die FTC warf dem Unternehmen vor, keine elterliche Zustimmung eingeholt zu haben, bevor personenbezogene Daten von Nutzern unter 13 Jahren gesammelt wurden. Zur Registrierung mussten Nutzer E-Mail-Adresse, Telefonnummer, vollständigen Namen, Nutzernamen, ein Profilbild und eine kurze Biografie angeben. Laut FTC-Beschwerde war dem Unternehmen bekannt, dass ein erheblicher Anteil der Nutzer jünger als 13 Jahre war, zudem gingen tausende Elternbeschwerden über Konten minderjähriger Kinder ein. Die Strafe war zum Zeitpunkt der Verhängung die höchste jemals von der FTC in einem Kinderschutzfall erzielte Zivilstrafe. Die Einigung verpflichtete das Unternehmen, künftig COPPA einzuhalten und alle von Nutzern unter 13 Jahren erstellten Videos offline zu nehmen. Die App firmierte zum Zeitpunkt der Ankündigung bereits unter der Marke TikTok, nachdem ByteDance Musical.ly im August 2018 übernommen und integriert hatte.

Aus der Pressemitteilung geht nicht hervor, wie viele Kinderkonten oder Videos konkret betroffen waren, und die genaue Zahl der eingegangenen Elternbeschwerden wird nur als tausende beziffert, nicht exakt. Ebenfalls nicht belegt ist eine detaillierte Aufschlüsselung, welcher Anteil der Gesamtnutzerschaft unter 13 Jahre alt war.

Der Cloud-Softwareanbieter Blackbaud, dessen Systeme von tausenden gemeinnützigen Organisationen, Universitäten und Stiftungen zur Spenderverwaltung genutzt werden, wurde im Mai 2020 Opfer eines Ransomware-Angriffs auf seine selbst gehostete Cloud-Umgebung. Die Angreifer wurden vor vollständiger Verschlüsselung der Systeme gestoppt, kopierten zuvor jedoch einen Teil der Kundendaten. Rund 13.000 Kundenorganisationen weltweit waren betroffen, darunter zahlreiche britische Universitäten wie Oxford Brookes, Leeds, Manchester und Glasgow sowie US-amerikanische Hochschulen und Wohltätigkeitsorganisationen. Gestohlen wurden je nach betroffener Organisation Namen, Kontaktdaten, Geburtsdaten, Spendenhistorien, teilweise auch Sozialversicherungsnummern und Bankverbindungen von Spendern. Blackbaud teilte am 16.07.2020 öffentlich mit, Bankdaten und Sozialversicherungsnummern seien nicht zugänglich gewesen; diese Aussage stellte sich laut SEC innerhalb weniger Tage intern als falsch heraus, wurde von der Unternehmensleitung aber nicht korrigiert. Erst im September 2020 räumte Blackbaud in einer SEC-Meldung ein, dass Sozialversicherungsnummern und Bankdaten möglicherweise gestohlen worden waren. Im März 2023 einigte sich Blackbaud mit der SEC auf eine Zivilstrafe von 3 Millionen US-Dollar wegen irreführender Offenlegungspraxis. Zusätzlich zahlte Blackbaud 2023 rund 49,5 Millionen US-Dollar zur Beilegung eines Verfahrens mit den Generalstaatsanwälten von 49 US-Bundesstaaten.

Die exakte Gesamtzahl der individuell betroffenen Spender und Personen weltweit ist aus dieser Quelle nicht belegt, ebenso wenig die Identität der Angreifer oder ob Lösegeld gezahlt wurde. Die SEC-Strafe betrifft nur die irreführende Offenlegung gegenüber Investoren, nicht die Datenschutzverstöße gegenüber den betroffenen Spendern selbst.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2022 gegen Meta Platforms Ireland Limited als Betreiberin von Instagram ein Bußgeld in Höhe von 405 Millionen Euro. Die Entscheidung wurde am 15.09.2022 öffentlich bekannt gegeben und war zu diesem Zeitpunkt die höchste von der DPC verhängte Strafe. Grundlage war eine am 21.09.2020 eingeleitete Untersuchung, ausgelöst durch Hinweise des US-Datenwissenschaftlers David Stier. Die DPC stellte fest, dass Instagram bei der Nutzung von Business-Konten E-Mail-Adressen und Telefonnummern minderjähriger Nutzer öffentlich sichtbar machte und persönliche Konten von Kindern standardmäßig auf öffentlich statt privat einstellte. Die Behörde sah darin Verstöße gegen mehrere Artikel der DSGVO. Der ursprüngliche Entscheidungsentwurf der DPC von Dezember 2021 stieß auf Einwände von sechs anderen europäischen Datenschutzbehörden, weshalb der Fall gemäß Artikel 65 DSGVO an den Europäischen Datenschutzausschuss (EDPB) verwiesen wurde. Der EDPB traf am 28.07.2022 eine bindende Entscheidung und verlangte die zusätzliche Feststellung eines Verstoßes gegen Artikel 6(1), wofür allein 20 Millionen Euro der Gesamtstrafe vorgesehen wurden. Es handelte sich um die dritte Strafe gegen ein Meta-Unternehmen nach 225 Millionen Euro gegen WhatsApp im September 2021 und 17 Millionen Euro gegen Facebook im März 2022.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Kinder konkret von der öffentlichen Anzeige ihrer Kontaktdaten betroffen waren, und der Ausgang eines möglichen Rechtsmittelverfahrens von Meta gegen die Entscheidung ist darin nicht dokumentiert.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2021 gegen WhatsApp Ireland Limited eine Geldbuße von 225 Millionen Euro. Grundlage war eine Untersuchung, die die DPC am 10.12.2018 von Amts wegen eingeleitet hatte. Gegenstand war die Frage, ob WhatsApp seinen Transparenzpflichten nach der Datenschutz-Grundverordnung nachkam, insbesondere bei der Information von Nutzern und Nicht-Nutzern über die Verarbeitung und Weitergabe von Daten an andere Facebook-Unternehmen. Die DPC stellte Verstöße gegen die Artikel 12, 13 und 14 sowie gegen den Transparenzgrundsatz aus Artikel 5 Absatz 1 Buchstabe a DSGVO fest. Der ursprüngliche Bußgeldvorschlag der DPC vom Dezember 2020 hatte lediglich 30 bis 50 Millionen Euro betragen. Acht betroffene Aufsichtsbehörden aus anderen EU-Staaten erhoben Einspruch gegen diesen Entwurf. Der Europäische Datenschutzausschuss entschied daraufhin am 28.07.2021 im verbindlichen Streitbeilegungsverfahren, dass die Buße deutlich höher ausfallen muss. Neben der Geldstrafe erteilte die DPC WhatsApp einen Verweis und ordnete konkrete Maßnahmen zur Herstellung der Rechtskonformität an.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Nutzer konkret von den Transparenzmängeln betroffen waren, und ein möglicher Ausgang eines gerichtlichen Einspruchs von WhatsApp gegen die Entscheidung wird darin nicht dokumentiert.

Am 21.01.2019 verhängte die formation restreinte der französischen Datenschutzbehörde CNIL eine Geldbuße von 50 Millionen Euro gegen Google LLC. Es war die erste große Sanktion unter der seit Mai 2018 geltenden EU-Datenschutz-Grundverordnung und zum Zeitpunkt der Verhängung die höchste von einer europäischen Datenschutzbehörde ausgesprochene Strafe. Grundlage waren zwei Sammelbeschwerden der Organisationen None Of Your Business (NOYB) um Max Schrems und La Quadrature du Net vom 25. und 28.05.2018. Die CNIL stellte einen Verstoß gegen Artikel 12 und 13 DSGVO fest, weil Informationen zur Datenverarbeitung bei der Einrichtung eines Android-Kontos auf mehrere Dokumente verstreut und schwer auffindbar waren. Zudem sah die Behörde einen Verstoß gegen Artikel 6 DSGVO, da die Einwilligung zur personalisierten Werbung nicht wirksam eingeholt wurde, unter anderem weil das Zustimmungskästchen bei der Kontoerstellung bereits vorangehakt war. Google legte gegen die Entscheidung Rechtsmittel beim Conseil d'État ein. Am 19.06.2020 bestätigte der Conseil d'État die Sanktion vollständig und wies die Beschwerde von Google zurück.

Die Entscheidung betrifft primär die Einwilligung zur personalisierten Werbung bei der Einrichtung eines Android-Kontos, nicht klassische Cookie-Banner auf Webseiten; eine gesonderte CNIL-Sanktion gegen Google wegen Cookies in Höhe von 100 Millionen Euro erfolgte erst im Dezember 2020. Die genaue Zahl der in Frankreich betroffenen Nutzerkonten ist aus der Quelle nicht ersichtlich.

Am 02.12.2015 töteten Syed Rizwan Farook und Tashfeen Malik bei einem Attentat in San Bernardino, Kalifornien, 14 Menschen und verletzten 22 weitere. Ermittler sicherten ein dienstliches iPhone 5C von Farook, das mit einem vierstelligen Code und iOS-Verschlüsselung gesichert war. Am 16.02.2016 ordnete die US-Bundesrichterin Sheri Pym auf Basis des All Writs Act von 1789 an, Apple müsse dem FBI angemessene technische Unterstützung leisten, konkret eine spezielle Firmware-Version, die die automatische Löschfunktion und die Verzögerung bei Falscheingaben des Codes deaktiviert. Noch am selben Tag veröffentlichte Apple-CEO Tim Cook den offenen Brief A Message to Our Customers, in dem er die Anordnung als Aufforderung zum Bau einer Hintertür bezeichnete und vor einem Präzedenzfall für alle iPhone-Nutzer warnte. Apple legte am 25.02.2016 einen Antrag auf Aufhebung der Anordnung vor, FBI-Direktor James Comey und Apples Justiziar Bruce Sewell sagten am 01.03.2016 vor dem US-Kongress aus. Am 21.03.2016 beantragte das US-Justizministerium eine Verschiebung der Anhörung, weil ein Dritter eine mögliche Methode zum Entsperren des Telefons vorgestellt habe. Am 28.03.2016 zog das Justizministerium die Klage zurück und erklärte, das FBI habe erfolgreich auf die Daten des iPhones zugegriffen, ohne Apples Hilfe zu benötigen. FBI-Direktor Comey bezifferte die Kosten für die Entsperrmethode im April 2016 auf mehr als 1,3 Millionen US-Dollar.

Die Identität des Drittanbieters, der dem FBI beim Entsperren half, wurde nie offiziell bestätigt (kursierende Berichte nennen die israelische Firma Cellebrite), und die genaue Höhe der gezahlten Summe schwankt in Medienberichten zwischen unter 1 Million und über 1,3 Millionen US-Dollar. Ob die auf dem Telefon gefundenen Daten ermittlungsrelevant waren, ist aus dieser Quelle nicht abschließend belegt.

Am 25.05.2022 gaben das US-Justizministerium (DOJ) und die Federal Trade Commission (FTC) eine Einigung mit Twitter Inc. bekannt, wonach das Unternehmen 150 Millionen US-Dollar Zivilstrafe zahlen muss. Den Behörden zufolge forderte Twitter zwischen Mai 2013 und September 2019 Nutzer auf, Telefonnummern und E-Mail-Adressen anzugeben, offiziell zur Kontosicherheit, etwa für die Zwei-Faktor-Authentifizierung und die Passwort-Wiederherstellung. Tatsächlich nutzte Twitter diese Daten zusätzlich für zielgerichtete Werbung, ohne die Nutzer darüber zu informieren. Nach Angaben der Behörden waren mehr als 140 Millionen Twitter-Nutzer betroffen. Die FTC wertete dies als Verstoß gegen den FTC Act sowie gegen eine bereits im März 2011 gegen Twitter erlassene behördliche Anordnung zum Datenschutz. Die Einigung verpflichtet Twitter zu einem umfassenden Compliance-Programm mit 20 Jahren FTC-Aufsicht, zur Bereitstellung von Multi-Faktor-Authentifizierung ohne Telefonnummernpflicht sowie zur Benachrichtigung betroffener Nutzer über die Zweckentfremdung ihrer Daten. FTC-Vorsitzende Lina Khan bezeichnete die Strafe als Reaktion auf einen wiederholten Verstoß, da Twitter bereits 2011 eine ähnliche Anordnung erhalten hatte. Die Strafzahlung entsprach nach Medienberichten rund drei Prozent des Twitter-Jahresumsatzes von 2021.

Aus der Pressemitteilung geht nicht hervor, in welchem Umfang die Werbedaten konkret an Drittanbieter weitergegeben oder wie viel Zusatzumsatz Twitter dadurch erzielte. Ebenso unklar bleibt, ob und wie viele einzelne Nutzer individuell benachrichtigt oder entschädigt wurden.

Zwischen dem 28.09.2023 und dem 17.10.2023 verschafften sich Angreifer über einen kompromittierten Service-Account Zugriff auf das Kundensupport-System des Identitätsanbieters Okta. Ursache war, dass ein Okta-Mitarbeiter sich auf einem firmeneigenen Chrome-Browser mit einem privaten Google-Konto anmeldete, wodurch die Zugangsdaten dieses Service-Accounts in dem privaten Konto gespeichert wurden. Die Angreifer griffen im Support-System auf HAR-Dateien zu, die Kunden zur Fehlerdiagnose hochgeladen hatten und die Sitzungstoken enthielten, womit sich Nutzersitzungen kapern ließen. Damit übernahmen die Angreifer Sitzungen von 5 Kunden, darunter BeyondTrust, Cloudflare und der Passwortmanager 1Password. Okta entdeckte den Vorfall am 13.10.2023 nach einem Hinweis von BeyondTrust und informierte am 19.10.2023 zunächst über 134 betroffene Kunden. Am 29.11.2023 räumte Okta ein, dass die Angreifer bereits am 28.09.2023 einen Bericht heruntergeladen hatten, der Namen und E-Mail-Adressen praktisch aller Nutzer des Okta-Kundensupportsystems enthielt und damit nahezu alle rund 18.400 Okta-Kunden betraf. Laut Okta enthielten 99,6 Prozent der betroffenen Einträge in diesem Bericht ausschließlich Namen und E-Mail-Adresse. Als Reaktion deaktivierte Okta den kompromittierten Service-Account und blockierte die Anmeldung mit privaten Google-Konten auf firmeneigenen Chrome-Geräten.

Aus dieser Quelle nicht belegt sind die konkrete Identität oder Zuordnung der Angreifer zu einer bestimmten Gruppe sowie mögliche finanzielle Schäden, Bußgelder oder der Ausgang etwaiger regulatorischer beziehungsweise gerichtlicher Verfahren infolge des Vorfalls.

Bei der US-Luxuskaufhauskette Neiman Marcus war zwischen dem 16.07.2013 und dem 30.10.2013 Schadsoftware in den Kassensystemen von 77 Filialen in den USA aktiv, die Zahlungskartendaten von Kunden abgriff. Das Unternehmen informierte die Öffentlichkeit am 10.01.2014 über den Vorfall, nachdem es zuvor auf ungewöhnliche Transaktionsmuster aufmerksam gemacht worden war. Nach ersten Angaben von Neiman Marcus waren bis zu 1,1 Millionen Zahlungskarten der Schadsoftware potenziell ausgesetzt. Bei der abschließenden Untersuchung durch mehrere US-Bundesstaaten wurden rund 370.000 Zahlungskarten als tatsächlich kompromittiert bestätigt, davon mindestens 9.200 nachweislich betrügerisch genutzt. Am 08.01.2019 einigte sich Neiman Marcus mit den Generalstaatsanwältinnen und Generalstaatsanwälten von 43 US-Bundesstaaten und dem District of Columbia auf eine Zahlung von 1,5 Millionen US-Dollar. Im Rahmen des Vergleichs verpflichtete sich das Unternehmen unter anderem zur Einhaltung des Payment Card Industry Data Security Standard, zur laufenden Überwachung der Netzwerkaktivität sowie zur Einführung von Verschlüsselung und Tokenisierung für Zahlungskartendaten. Online-Einkäufe waren von dem Vorfall nicht betroffen.

Aus dieser Quelle geht nicht hervor, wer konkret hinter dem Angriff steckte oder wie die Angreifer technisch in die Kassensysteme eindrangen; zudem bestritt Neiman Marcus im Vergleich jedes Fehlverhalten, sodass keine rechtliche Schuldfeststellung vorliegt.

Am 20.06.2024 gab das US-Handelsministerium (Bureau of Industry and Security, BIS) eine Entscheidung bekannt, die Verkauf und Nutzung von Sicherheitssoftware der russischen Firma Kaspersky Lab in den USA verbietet. Es war die erste Anwendung der ICTS-Regulierung auf Grundlage der Executive Order 13873 zur Sicherung der Lieferkette für Informations- und Kommunikationstechnologie. Betroffen sind Kaspersky Lab Inc. in den USA sowie die russischen Muttergesellschaften AO Kaspersky Lab und OOO Kaspersky Group, die britische Kaspersky Labs Limited und verbundene Tochterunternehmen. Ab dem 20.07.2024 durfte Kaspersky in den USA keine neuen Verträge mehr abschließen oder Lizenzen verkaufen. Ab dem 29.09.2024 mussten Kaspersky und von ihm beauftragte Dritte Virensignatur- und Codebase-Updates sowie den Betrieb des Kaspersky Security Network für US-Kunden vollständig einstellen. Als Begründung nannte das BIS die Kontrolle der russischen Regierung über Kaspersky und weitreichende administrative Zugriffsrechte der Software auf Kundensysteme. Am 21.06.2024 verhängte das US-Finanzministerium zusätzlich Sanktionen gegen zwölf Führungskräfte von AO Kaspersky Lab. Nach eigenen Angaben hatte Kaspersky zu diesem Zeitpunkt weltweit mehr als 400 Millionen Nutzer und rund 270.000 Unternehmenskunden in über 200 Ländern. Kaspersky wies die Vorwürfe zurück und stellte seinen Geschäftsbetrieb in den USA zum 20.07.2024 ein.

Die Quelle belegt kein konkretes, öffentlich vorgelegtes Beweismittel für tatsächlichen Datenmissbrauch oder Spionage durch Kaspersky; das Verbot beruht auf einer Risikoeinschätzung des russischen Staatseinflusses, nicht auf einem dokumentierten Vorfall. Wie viele der über 400 Millionen Nutzer konkret in den USA betroffen waren, wird von der Quelle nicht beziffert.

Am 06.08.2020 unterzeichnete US-Präsident Donald Trump die Executive Order 13943, die US-Personen Transaktionen mit dem chinesischen Konzern Tencent Holdings Ltd. im Zusammenhang mit der Messaging-App WeChat untersagte. Die Anordnung begründete das Verbot damit, dass WeChat mit weltweit über einer Milliarde Nutzern automatisch große Mengen an Nutzerdaten erfasse und dies der Kommunistischen Partei Chinas Zugriff auf persönliche und geschäftliche Informationen von Amerikanern ermöglichen könne. Als Beleg führte die Anordnung an, dass ein Forscher im März 2019 eine chinesische Datenbank mit Milliarden von WeChat-Nachrichten von Nutzern aus China, den USA, Taiwan, Südkorea und Australien entdeckt habe. Das US-Handelsministerium benannte am 18.09.2020 konkrete verbotene Transaktionen mit Wirkung zum 20.09.2020. Am 20.09.2020 blockierte US-Bundesrichterin Laurel Beeler in San Francisco das Verbot per einstweiliger Verfügung, nachdem eine Nutzervereinigung und sechs WeChat-Nutzer wegen möglicher Verletzung des ersten Verfassungszusatzes geklagt hatten. Beeler erklärte, die Regierung habe legitime Sicherheitsbedenken gegenüber China dargelegt, aber kaum Beweise dafür vorgelegt, dass ein vollständiges App-Verbot diese Bedenken adressiere. Vorangegangene Forschung des Citizen Lab der University of Toronto vom Mai 2020 hatte zuvor gezeigt, dass auch Dokumente und Bilder zwischen außerhalb Chinas registrierten WeChat-Konten inhaltlich überwacht wurden. Am 09.06.2021 hob US-Präsident Joe Biden die Executive Order 13943 wieder auf.

Die Executive Order stützt sich bei der zentralen Datenbank-Behauptung auf einen Presseberichte-Verweis statt auf eigene Beweisführung, und eine direkte, systematische Weitergabe von WeChat-Nutzerdaten an chinesische Behörden wurde in keinem der folgenden US-Gerichtsverfahren abschließend belegt. Auch das Citizen Lab stellte 2020 ausdrücklich klar, keine Beweise dafür zu haben, dass die beobachtete Überwachung direkt von der chinesischen Regierung angeordnet wurde.

Am 24.04.2024 unterzeichnete US-Präsident Joe Biden den Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA, H.R. 7521) als Teil des Hilfspakets H.R. 8038. Das Repräsentantenhaus hatte die eigenständige Fassung H.R. 7521 bereits am 13.03.2024 mit 352 zu 65 Stimmen verabschiedet, eingebracht am 05.03.2024 vom Abgeordneten Mike Gallagher. Nach Aufnahme in das Paket H.R. 8038 stimmte das Repräsentantenhaus am 20.04.2024 mit 360 zu 58 Stimmen zu, der Senat folgte am 23.04.2024 mit 79 zu 18 Stimmen. Das Gesetz verpflichtet den chinesischen Mutterkonzern ByteDance Ltd. dazu, seine Video-App TikTok innerhalb von 270 Tagen an einen Käufer außerhalb als foreign adversary eingestufter Staaten zu veräußern, mit einer möglichen einmaligen Fristverlängerung um 90 Tage durch den Präsidenten. Ohne einen solchen Verkauf sieht das Gesetz ein Verbot der Bereitstellung von TikTok über App-Stores und Webhosting-Dienste in den USA vor. Die Frist lief damit regulär bis zum 19.01.2025. Als Begründung nannte der Kongress nationale Sicherheitsbedenken wegen möglichen Zugriffs der chinesischen Regierung auf Nutzerdaten von nach TikTok-Angaben rund 170 Millionen US-Nutzern. ByteDance und TikTok kündigten an, gegen das Gesetz gerichtlich vorzugehen.

Aus der Quelle nicht belegt sind der spätere tatsächliche Verfahrensausgang nach Fristablauf sowie eine unabhängig verifizierte, offizielle Nutzerzahl für TikTok in den USA, da die 170-Millionen-Angabe von TikTok selbst stammt.