Quellen-Tabelle

Am 11. Dezember 2021 entdeckte der Softwarehersteller Ultimate Kronos Group (UKG) einen Ransomware-Angriff auf seine Kronos Private Cloud (KPC), eine separate Cloud-Umgebung für ältere Workforce-Management-Produkte. UKG informierte am 13. Dezember 2021 öffentlich über den Vorfall. Betroffen waren die Systeme UKG Workforce Central, UKG TeleStaff, Healthcare Extensions und Banking Scheduling Solutions, während UKG Pro, UKG Ready und UKG Dimensions in getrennten Umgebungen liefen und nicht betroffen waren. Nach Angaben von UKG konnte die vollständige Wiederherstellung mehrere Wochen dauern, einige Kunden meldeten erst Ende Januar 2022 wieder volle Funktionsfähigkeit. Mehr als 2000 Unternehmen weltweit nutzten die Kronos Private Cloud, darunter FedEx, PepsiCo, Tesla, Whole Foods, die New Yorker Metropolitan Transportation Authority sowie die britischen Firmen Sainsbury's und Boots. Schätzungen zufolge waren die Arbeitszeit- und Lohndaten von rund acht Millionen Beschäftigten betroffen, da die Systeme für Zeiterfassung, Dienstpläne und Lohnabrechnung ausfielen. Bei dem Angriff wurden zudem personenbezogene Daten von Mitarbeitern und deren Angehörigen entwendet. Im April 2023 stimmte UKG in einem Sammelklageverfahren vor dem US-Bundesgericht einer Zahlung von bis zu 6 Millionen US-Dollar an betroffene Beschäftigte zu.

Aus den verfügbaren Quellen geht nicht hervor, welche Ransomware-Gruppe für den Angriff verantwortlich war und ob ein Lösegeld gezahlt wurde; auch die exakte Zahl der von der Datenexfiltration betroffenen Personen ist nicht abschließend belegt.

In der Nacht zum 17.04.2022 griff die Ransomware-Gruppe Conti die Server des costa-ricanischen Finanzministeriums (Ministerio de Hacienda) an und infizierte in der Folge fast 30 Regierungsinstitutionen, darunter das Zoll- und das Steuersystem. Aus der Steuerplattform ATV wurden rund 1 Terabyte an Daten entwendet. Am 19.04.2022 forderte Conti ein Lösegeld von 10 Millionen US-Dollar, das die Regierung ablehnte; am 21.04.2022 bot die Gruppe einen Rabatt von 35 Prozent an. Am 08.05.2022 erklärte der neu vereidigte Präsident Rodrigo Chaves per Dekret den nationalen Notstand, eine der ersten derartigen Erklärungen eines Staates wegen eines Cyberangriffs. Die Regierung bezifferte die täglichen wirtschaftlichen Verluste auf rund 30 Millionen US-Dollar, der Ausfall des Zollsystems TICA soll rund 125 Millionen US-Dollar Schaden im Außenhandel verursacht haben. Das Steuersystem ATV ging erst am 13.06.2022 wieder in Betrieb, die Zollsysteme TICA und Exonet folgten am 24.06.2022. USA, Israel, Spanien und Microsoft leisteten technische Unterstützung bei der Bewältigung des Angriffs. Am 31.05.2022 legte zusätzlich die verwandte Ransomware-Gruppe Hive den Sozialversicherungsträger CCSS lahm und forderte 5 Millionen US-Dollar Lösegeld, was einen zweiten Notstand auslöste.

Nicht offiziell verifiziert sind die exakte Gesamthöhe des wirtschaftlichen Schadens sowie die Behauptung, Personen in Costa Rica hätten der Conti-Gruppe intern geholfen; ob letztlich ein Lösegeld gezahlt wurde, ist ebenfalls nicht dokumentiert.

Am 24.05.2019 berichtete der Sicherheitsjournalist Brian Krebs auf KrebsOnSecurity, dass die Website des US-Titelversicherers First American Financial Corp. mit Sitz in Santa Ana, Kalifornien, rund 885 Millionen Dokumente ohne jede Zugangsbeschränkung frei im Internet zugänglich gemacht hatte. Ursache war eine Webanwendung zum Dokumentenaustausch, in der einzelne Dateien über sequenziell durchnummerierte URLs abgerufen wurden; durch bloßes Ändern einer Ziffer in der Adresszeile ließ sich ohne Login oder Passwort auf beliebige weitere Dokumente zugreifen. Betroffen waren Unterlagen aus Immobilien- und Hypothekenabschlüssen, die bis ins Jahr 2003 zurückreichten, darunter Bankkontonummern und -auszüge, Hypotheken- und Steuerdokumente, Sozialversicherungsnummern, Überweisungsbelege und Führerscheinbilder. Auf die Schwachstelle aufmerksam wurde Krebs durch den Immobilienentwickler Ben Shoval, der zuvor bereits erfolglos First American kontaktiert hatte. Das Unternehmen schaltete den externen Zugriff auf die Anwendung nach der Meldung ab und bezeichnete den Vorfall als Design-Fehler, ohne die Zahl tatsächlich betroffener Datensätze oder die genaue Dauer der Verwundbarkeit zu beziffern. Die US-Börsenaufsicht SEC verhängte am 15.06.2021 wegen unzureichender Offenlegungskontrollen zur Cybersicherheit eine Strafe von 487.616 US-Dollar. Die New Yorker Finanzaufsicht NYDFS verhängte im November 2023 zusätzlich eine Strafe von 1 Million US-Dollar, ihre erste Durchsetzungsmaßnahme in diesem Bereich überhaupt.

Aus dem Artikel nicht belegt ist, wie lange die Schwachstelle exakt bestand (Webarchiv-Funde deuten auf mindestens seit März 2017 hin) und ob bzw. in welchem Umfang die frei zugänglichen Dokumente tatsächlich von Dritten missbräuchlich abgerufen oder ausgewertet wurden.

Am 03.11.2021 verschaffte sich ein Angreifer durch einen Social-Engineering-Anruf bei einem Kundendienstmitarbeiter des US-Aktienbrokers Robinhood Markets Zugang zu internen Support-Systemen. Robinhood informierte die Öffentlichkeit am 08.11.2021 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC sowie im eigenen Unternehmensblog über den Vorfall. Nach Unternehmensangaben wurden E-Mail-Adressen von rund fünf Millionen Kunden sowie vollständige Namen von weiteren rund zwei Millionen Kunden erbeutet, insgesamt waren damit etwa 7 Millionen Nutzer betroffen. Bei einer kleineren Gruppe von etwa 310 Kunden wurden zusätzlich Geburtsdaten und Postleitzahlen offengelegt, bei rund 10 Kunden noch umfangreichere Kontoinformationen. Am 16.11.2021 ergänzte Robinhood, dass auch Telefonnummern von mehr als 4.400 Kunden gestohlen worden waren. Sozialversicherungsnummern, Bankkontonummern und Debitkartendaten waren nach Unternehmensangaben nicht betroffen, finanzielle Verluste bei Kunden wurden nicht festgestellt. Der Angreifer forderte von Robinhood eine Erpressungszahlung, ob diese geleistet wurde, machte das Unternehmen zunächst nicht öffentlich. Im Januar 2025 verhängte die SEC gegen zwei Robinhood-Broker-Dealer-Einheiten eine Strafzahlung von insgesamt 45 Millionen US-Dollar, unter anderem wegen unzureichender Datenschutz- und Identitätsschutzmaßnahmen im Zusammenhang mit dem Vorfall.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Höhe die vom Angreifer geforderte Erpressungszahlung tatsächlich geleistet wurde; auch die Identität des Angreifers und der genaue technische Ablauf des Social-Engineering-Anrufs wurden öffentlich nicht bestätigt.

Zwischen dem 01.08.2018 und dem 30.03.2019 hatte ein unbekannter Angreifer unautorisierten Zugriff auf die Zahlungsseite des US-Inkassodienstleisters American Medical Collection Agency (AMCA), der Rechnungen für Labordienstleister wie Quest Diagnostics und LabCorp einzog. Quest Diagnostics gab am 03.06.2019 bekannt, dass über seinen Abrechnungsdienstleister Optum360 rund 11,9 Millionen Patientendaten betroffen waren. LabCorp meldete am 04.06.2019 rund 7,7 Millionen betroffene Patienten. Am 07.06.2019 kam mit BioReference Laboratories ein weiterer AMCA-Kunde mit rund 422.600 betroffenen Personen hinzu, wodurch die Gesamtzahl der Betroffenen auf 20.022.600 stieg. Nach damaligem Kenntnisstand von AMCA umfassten die kompromittierten Daten Namen, Adressen, Telefonnummern, Geburtsdaten, Behandlungsdaten, E-Mail-Adressen, Angaben zu Kostenträgern sowie teilweise Bankverbindungen, nicht jedoch Sozialversicherungsnummern, medizinische Befunde oder Passwörter. AMCA nahm die betroffene Zahlungsseite vom Netz, wechselte zu einem anderen Zahlungsdienstleister und beauftragte eine IT-Sicherheitsfirma mit der forensischen Untersuchung. Betroffenen Personen wurde eine zweijährige kostenlose Kredit- und Identitätsüberwachung angeboten. Infolge der hohen Kosten für Aufklärung und Benachrichtigung meldete AMCA im Juni 2019 Insolvenz an.

Der Quellenartikel schloss den Zugriff auf Sozialversicherungsnummern und medizinische Befunde noch ausdrücklich aus; spätere Ermittlungen und ein 2021 geschlossener Vergleich mit 41 US-Bundesstaaten gingen dagegen von bis zu 21 Millionen Betroffenen mit teils doch kompromittierten Sozialversicherungsnummern aus, sodass der genaue Umfang der betroffenen Datenkategorien zum Zeitpunkt dieses Berichts nicht abschließend geklärt war.

Am 20. Januar 2021 entdeckte das brasilianische Cybersicherheitsunternehmen PSafe im Darknet einen Datensatz mit persönlichen Informationen von mehr als 220 Millionen Menschen, mehr als die Einwohnerzahl Brasiliens von rund 210 Millionen, da auch Daten Verstorbener enthalten waren. Die rund 1 Terabyte umfassenden komprimierten Dateien enthielten vollständige Namen, Geburtsdaten, Steueridentifikationsnummern (CPF), Adressen, Telefonnummern, E-Mail-Adressen, Gehaltsangaben, Kreditwürdigkeitsbewertungen und teilweise Gesichtsbilder. Eine zweite Datensammlung betraf rund 40 Millionen brasilianische Unternehmen samt Steuernummern (CNPJ) und geschätzten Umsätzen, zusätzlich waren Daten zu mehr als 104 Millionen Fahrzeugen samt Fahrgestellnummer, Kennzeichen und technischen Details betroffen. Wegen der Art der Daten fiel der Verdacht auf die brasilianische Auskunftei Serasa Experian, eine Tochtergesellschaft des britischen Konzerns Experian, insbesondere auf deren Datenbank des Dienstes Mosaic. Serasa Experian bestritt, dass die eigenen Systeme kompromittiert wurden, und erklärte nach einer forensischen Untersuchung durch externe Spezialisten, es gebe keine Beweise für einen Einbruch. Die Verbraucherschutzbehörden Procon-SP und Senacon sowie die brasilianische Datenschutzbehörde ANPD leiteten Untersuchungen ein und bezeichneten die Erklärungen des Unternehmens als unzureichend. Der Datenschutzexperte Bruno Bioni von Data Privacy Brasil nannte den Vorfall das größte und gefährlichste Datenleck in der Geschichte Brasiliens. Die Täter boten den vollständigen Datensatz im Darknet zum Kauf an, unter anderem für rund 40.000 US-Dollar in Bitcoin.

Aus dieser Quelle ist nicht belegt, wer konkret für das Leck verantwortlich ist oder auf welchem technischen Weg die Daten abflossen; Serasa Experian bestritt eine eigene Systemkompromittierung, ohne dass zum Berichtszeitpunkt eine andere Quelle offiziell bestätigt war, und der Ausgang der behördlichen sowie gerichtlichen Verfahren blieb offen.

Am 30.11.2018 gab die Hotelkette Marriott International bekannt, dass Unbekannte bereits seit Juli 2014 unbefugten Zugriff auf die Reservierungsdatenbank der 2016 von Marriott übernommenen Tochter Starwood hatten. Der Zugriff blieb bis zur Entdeckung am 08.09.2018 vier Jahre lang unbemerkt. Betroffen waren rund 339 Millionen Gästedatensätze weltweit, davon etwa 30 Millionen aus der EU und 7 Millionen aus Großbritannien. Kompromittiert wurden Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten, Geschlecht, Reservierungsdaten sowie bei rund 5,25 Millionen Personen unverschlüsselte Passnummern; teilweise waren auch Kreditkartendaten betroffen. Die britische Datenschutzbehörde ICO kündigte am 09.07.2019 wegen Verstoßes gegen Artikel 5(1)(f) und Artikel 32 der DSGVO ein Bußgeld von 99,2 Millionen Pfund (rund 110 Millionen Euro) an, das damals als eines der höchsten DSGVO-Bußgelder überhaupt galt. Am 30.10.2020 reduzierte die ICO die Strafe unter Verweis auf Marriotts Verbesserungsmaßnahmen und die wirtschaftlichen Folgen der Corona-Pandemie auf 18,4 Millionen Pfund. Marriott hatte gegen die ursprüngliche Bußgeldandrohung Widerspruch angekündigt.

Die genaue technische Ursache des Erstzugriffs 2014 (Einfallstor, Angreifergruppe) ist aus dieser Quelle nicht im Detail belegt, ebenso wenig die endgültige Zahl der tatsächlich betroffenen Einzelpersonen nach Bereinigung von Duplikaten.

Der Sportartikelhersteller Under Armour gab am 29.03.2018 bekannt, dass die Nutzerdaten der von ihm betriebenen Ernährungs- und Fitness-App MyFitnessPal kompromittiert wurden. Under Armour hatte MyFitnessPal 2015 übernommen. Das Unternehmen wurde am 25.03.2018 auf den unbefugten Zugriff aufmerksam, der bereits Ende Februar 2018 stattgefunden hatte. Betroffen waren rund 150 Millionen Nutzerkonten weltweit. Erbeutet wurden Nutzernamen, E-Mail-Adressen und gehashte Passwörter, wobei die Mehrheit der Passwörter mit dem Verfahren Bcrypt gesichert war, ein kleinerer Teil älterer Konten jedoch nur mit dem schwächeren SHA-1-Verfahren. Nicht betroffen waren nach Angaben von Under Armour Zahlungsdaten, Sozialversicherungsnummern und Ausweisdaten, da diese getrennt beziehungsweise über separate Zahlungsdienstleister verarbeitet wurden. Under Armour forderte betroffene Nutzer auf, ihr Passwort zu ändern und identische Passwörter auf anderen Plattformen ebenfalls zu aktualisieren. Das Unternehmen kündigte an, mit Ermittlungsbehörden zusammenzuarbeiten und seine Sicherheitssysteme zu überprüfen. Die Aktie von Under Armour fiel nach Bekanntwerden des Vorfalls an der Börse. Der Vorfall zählte 2018 zu den größten bekannt gewordenen Datenlecks weltweit.

Aus der Quelle nicht belegt sind die Identität der Angreifer und der genaue technische Angriffsweg sowie eventuelle spätere behördliche Bußgelder oder Entschädigungszahlungen infolge des Vorfalls.

Der Betreiber der Frage-Antwort-Plattform Quora informierte am 4. Dezember 2018 rund 100 Millionen Nutzer per E-Mail über einen Hackerangriff auf seine Systeme. Quora hatte den unautorisierten Zugriff eines Dritten bereits am Freitag, dem 30. November 2018, entdeckt und daraufhin Sicherheitsexperten sowie Strafverfolgungsbehörden eingeschaltet. Die Angreifer konnten Namen, E-Mail-Adressen, mit Bcrypt und Salt verschlüsselte Passwörter sowie aus verknüpften Netzwerken importierte Daten kopieren. Zusätzlich waren öffentliche und nicht öffentliche Inhalte betroffen, darunter Fragen, Antworten, Kommentare, Upvotes, Downvotes und private Direktnachrichten. Anonym verfasste Fragen und Antworten blieben unberührt, ebenso waren keine Kreditkartendaten oder Sozialversicherungsnummern betroffen, da Quora solche Daten grundsätzlich nicht erhebt. Als Sofortmaßnahme setzte Quora die Passwörter aller betroffenen Konten zurück und meldete die Nutzer automatisch ab, sodass beim nächsten Login ein neues Passwort vergeben werden musste. Ein Quora-Sprecher bestätigte am 12. Dezember 2018, dass die Passwörter mit dem Verfahren Bcrypt plus Salt gesichert waren, was nach damaligem Stand als sicher galt.

Aus dem Bericht geht nicht hervor, auf welchem technischen Weg die Angreifer konkret Zugriff auf die Quora-Systeme erlangten, da die Untersuchung zum Zeitpunkt der Veröffentlichung noch nicht abgeschlossen war. Auch Identität der Angreifer sowie mögliche behördliche Sanktionen gegen Quora sind aus der Quelle nicht ersichtlich.

Der US-Spieleentwickler Zynga bestätigte am 12.09.2019 einen Datendiebstahl bei Nutzerkonten mehrerer mobiler Spiele, darunter Words With Friends, Draw Something und das eingestellte OMGPOP-Portal. Ein Hacker mit dem Pseudonym Gnosticplayers hatte sich zuvor an das Onlineportal The Hacker News gewandt und behauptet, Zugriff auf mehr als 218 Millionen Words-With-Friends-Konten zu haben. Spätere forensische Auswertungen der gestohlenen Datenbank ermittelten rund 172,9 Millionen eindeutige betroffene Konten. Betroffen waren Nutzer, die die Android- oder iOS-Version des Spiels bis zum 02.09.2019 installiert hatten. Erbeutet wurden Namen, E-Mail-Adressen, Login-IDs, mit Salt versehene SHA1-Passwort-Hashes und Passwort-Reset-Token sowie teilweise Telefonnummern, Facebook-IDs und Zynga-Konto-IDs. Zynga erklärte, Finanzinformationen seien nicht betroffen gewesen. Das Unternehmen beauftragte externe Forensikfirmen, informierte Strafverfolgungsbehörden und erzwang Passwortzurücksetzungen für betroffene Konten. Im Mai 2020 reichte die Kanzlei FeganScott im Namen betroffener Nutzer eine Sammelklage gegen Zynga wegen des Vorfalls ein.

Die genaue Zahl der tatsächlich betroffenen Konten schwankt zwischen der ersten Hacker-Angabe von 218 Millionen und der später ermittelten Zahl von rund 172,9 Millionen, eine offizielle abschließende Bestätigung durch Zynga liegt nicht vor. Der Ausgang der 2020 eingereichten Sammelklage gegen Zynga ist aus dieser Quelle nicht belegt.

Zwischen 2007 und 2015 flossen über die estnische Filiale der dänischen Danske Bank rund 200 Milliarden Euro an Zahlungen von überwiegend ausländischen Nicht-Residenten-Kunden, ein großer Teil davon als verdächtig eingestuft. Am 19.09.2018 veröffentlichte Danske Bank den Bericht einer externen Kanzlei zu dem Vorgang, woraufhin Vorstandschef Thomas Borgen noch am selben Tag zurücktrat. Die Filiale wurde von 2007 bis 2015 von Aivar Rehe geleitet, der am 25.09.2019 tot aufgefunden wurde. Der interne Whistleblower Howard Wilkinson, früherer Leiter des Baltikum-Handelsgeschäfts, hatte bereits 2013 auf die Missstände hingewiesen. Russische Kunden machten 2012 nur 8 Prozent der Kundschaft, aber 35 Prozent der Filialgewinne aus, die Gelder stammten unter anderem aus Russland, Estland, Lettland und Zypern und wurden über Briefkastenfirmen unter anderem in Großbritannien, Zypern und Neuseeland geschleust. Im Dezember 2018 wurden zehn estnische Mitarbeiter verhaftet, 2019 ordnete die estnische Regierung die Schließung der Filiale an. Im Dezember 2022 bekannte sich Danske Bank vor dem US-Justizministerium schuldig und zahlte eine Geldstrafe von 2 Milliarden US-Dollar wegen Betrugs gegenüber US-Banken. Im Februar 2024 wurden zwei Vermittler, Irene Ellert und Arunas Macenas, zu neun beziehungsweise sieben Jahren Haft verurteilt.

Der genaue Anteil tatsächlich krimineller Gelder an den 200 Milliarden Euro ist aus dieser Quelle nicht belegt, da die Summe verdächtige, nicht zwingend nachweislich illegale Transaktionen umfasst. Die strafrechtliche Verantwortung der früheren Führungsebene blieb ungeklärt, da die Anklagen gegen sie im April 2021 fallengelassen wurden.

Am 18.06.2020 verweigerte die Wirtschaftsprüfungsgesellschaft Ernst & Young dem DAX-Konzern Wirecard das Testat für den Jahresabschluss 2019, da für Bankguthaben in Höhe von 1,9 Milliarden Euro auf angeblichen philippinischen Treuhandkonten keine ausreichenden Nachweise vorlagen. Die kontoführenden Banken BDO Unibank und Bank of the Philippine Islands bestätigten anschließend, dass es diese Konten nie gegeben hatte. Der fehlende Betrag entsprach etwa einem Viertel der Bilanzsumme des Unternehmens. Vorstandschef Markus Braun trat am 19.06.2020 zurück und wurde am 22.07.2020 erneut verhaftet, nachdem er zuvor gegen eine Kaution von 5 Millionen Euro freigekommen war. Der frühere Finanzvorstand Jan Marsalek wurde am 22.06.2020 fristlos entlassen und ist seither mit internationalem Haftbefehl gesucht, sein Aufenthaltsort blieb ungeklärt. Am 25.06.2020 meldete Wirecard Insolvenz an, als erster DAX-Konzern in der Geschichte des Index. Der Aktienkurs brach binnen weniger Tage um mehr als zwei Drittel ein, am 24.08.2020 wurde Wirecard aus dem DAX ausgeschlossen. Die Bundesanstalt für Finanzdienstleistungsaufsicht geriet wegen ihrer Aufsichtspraxis in die Kritik, unter anderem wegen eines Leerverkaufsverbots vom 18.02.2019 zugunsten von Wirecard. Am 14.03.2022 erhob die Staatsanwaltschaft München I Anklage gegen Braun und zwei weitere frühere Manager wegen banden- und gewerbsmäßigen Betrugs, Untreue und Bilanzfälschung. Der Bundestag richtete am 01.10.2020 einen Untersuchungsausschuss zur Aufklärung des Aufsichtsversagens ein.

Aus dieser Quelle nicht abschließend belegt sind der Ausgang des seit Dezember 2022 laufenden Strafprozesses gegen Markus Braun vor dem Landgericht München I sowie der aktuelle Aufenthaltsort des weiterhin mit internationalem Haftbefehl gesuchten Jan Marsalek.

Am 15.07.2019 wurde bekannt, dass Unbekannte in die Server der bulgarischen Steuerbehörde National Revenue Agency (NAP/NRA) eingedrungen waren und personenbezogene Daten entwendet hatten. Betroffen waren nach ersten Angaben persönliche Daten sowie Steuer- und Sozialversicherungsinformationen von mehr als 5 Millionen der rund 7 Millionen registrierten Bürger und ausländischen Staatsangehörigen sowie Unternehmen, praktisch die gesamte erwachsene Bevölkerung Bulgariens. Die gestohlenen Datensätze umfassten Namen, nationale Identifikationsnummern, Adressen, Einkommens-, Steuer- und Rentenbeitragsdaten sowie Informationen zu Online-Glücksspielkonten aus dem Zeitraum 2007 bis Juni 2019. Als Angriffsmethode wurde eine SQL-Injection-Schwachstelle in einem selten genutzten Dienst zur Mehrwertsteuerrückerstattung identifiziert. Ein Täter, der sich als russischer Staatsbürger ausgab, verschickte E-Mails mit Download-Links zu den Daten an bulgarische Medien und drohte mit Veröffentlichung weiterer Datensätze. Innenminister Mladen Marinow und Finanzminister Wladislaw Goranow bestätigten den unbefugten Zugriff auf einen NAP-Server. Am 16.07.2019 nahm die Polizei in Sofia den 20-jährigen IT-Sicherheitsspezialisten Kristiyan Boykov fest, der am 18.07.2019 wieder freigelassen wurde; er bestritt die Tat. Am 28.08.2019 verhängte die bulgarische Datenschutzbehörde CPDP gegen die NRA eine Geldbuße von rund 5,1 Millionen Lewa (etwa 2,6 Millionen Euro) wegen unzureichender technischer und organisatorischer Schutzmaßnahmen.

Die genaue Zahl der betroffenen Personen schwankt je nach Quelle zwischen rund 5 Millionen und den von der Datenschutzbehörde später genannten 6.074.140 Individuen, und die tatsächliche Täterschaft des mutmaßlichen Hackers blieb ungeklärt, da die Anklage gegen Boykov später abgeschwächt wurde. Der verhängte Bußgeldbescheid gegen die NRA wurde angefochten und in zweiter Instanz wegen Verjährung des Verfahrens letztlich aufgehoben, sodass keine rechtskräftige Sanktion bestehen blieb.

Am 04.04.2016 wurde bekannt, dass eine Datenbank mit personenbezogenen Informationen von 49,6 Millionen türkischen Bürgern im Internet veröffentlicht wurde, nahezu die gesamte damalige wahlberechtigte Bevölkerung des Landes. Die rund 6,6 Gigabyte große SQL-Datei enthielt vollständige Namen, Adressen, Namen der Eltern, Geburtsdatum und Geburtsort sowie die nationale Identifikationsnummer der Betroffenen. Die Daten stammten offenbar aus dem zentralen Bevölkerungsregister MERNIS und gingen auf einen älteren Auszug eines Wählerverzeichnisses aus den Jahren 2008 oder 2009 zurück. Unbekannte hatten die Daten zunächst gegen Bezahlung angeboten, bevor der vollständige unverschlüsselte Datensatz frei zugänglich veröffentlicht wurde. Auf der Veröffentlichungsseite protestierten die Urheber gegen die türkische Regierung unter Präsident Recep Tayyip Erdogan und zeigten dessen persönliche Daten als Beispiel. Am 06.04.2016 leitete die türkische Staatsanwaltschaft Ermittlungen wegen der Veröffentlichung ein. Justizminister Bekir Bozdag kündigte an, den Schutz der Bürgerdaten künftig gesetzlich zu verbessern. Zum Zeitpunkt der Berichterstattung hatte sich niemand öffentlich zu der Veröffentlichung bekannt.

Aus der Quelle geht nicht hervor, wer die Daten ursprünglich beschaffte oder verkaufte, wie genau der Zugriff auf MERNIS erfolgte und ob die eingeleiteten Ermittlungen zu einer Anklage oder Verurteilung führten.

Am 27.03.2016 hackten die Gruppen Anonymous Philippines und LulzSec Pilipinas die Website der philippinischen Wahlkommission COMELEC, verunstalteten sie und veröffentlichten anschließend eine rund 340 Gigabyte große Datenbank mit Informationen zu etwa 55 Millionen registrierten Wählern. Die veröffentlichten Daten enthielten vollständige Namen, Geburtsdaten, Adressen und Familienstand, außerdem Passnummern und Ablaufdaten von 1,3 Millionen im Ausland lebenden philippinischen Wählern sowie rund 15,8 Millionen Fingerabdruckdatensätze. Der Vorfall gilt als der größte Datenleck eines privaten oder staatlichen Datenbestands in der philippinischen Geschichte. Am 20.04.2016 nahmen die Behörden den 20-jährigen Paul Biteng fest, der die Verunstaltung der Website gestand, eine Beteiligung am Datendiebstahl jedoch bestritt. Am 28.04.2016 folgte die Festnahme des 23-jährigen Joenel de Asis, der den Download und die Weiterverbreitung der Wählerdatenbank einräumte; beide wurden nach dem Cybercrime Prevention Act von 2012 angeklagt. Die philippinische Datenschutzbehörde National Privacy Commission stellte am 28.12.2016 einen Verstoß der COMELEC gegen den Data Privacy Act von 2012 fest und empfahl die strafrechtliche Verfolgung des damaligen COMELEC-Vorsitzenden Andres Bautista. Die Website wehaveyourdata.com, über die die geleakten Wählerdaten abrufbar waren, wurde mit Unterstützung des US-Justizministeriums abgeschaltet.

Aus dieser Quelle nicht belegt sind der rechtskräftige Ausgang der Strafverfahren gegen Biteng und de Asis sowie etwaige finanzielle Bußgelder gegen COMELEC; die empfohlene strafrechtliche Verfolgung von Andres Bautista wird als Empfehlung der Datenschutzbehörde dokumentiert, ein tatsächliches Gerichtsverfahren gegen ihn wird nicht bestätigt.

Am 12.05.2021 bot ein Nutzer mit dem Pseudonym Kotz im Hackerforum RaidForums persönliche Daten von angeblich 279 Millionen lebenden und verstorbenen Personen aus Indonesien zum Verkauf an. Die Daten sollen aus dem System der staatlichen Gesundheits- und Sozialversicherungsanstalt BPJS Kesehatan stammen und Namen, nationale Identitätsnummern, E-Mail-Adressen, Telefonnummern, Geburtsdaten, Geburtsorte sowie Gehaltsangaben enthalten. Kotz verlangte für den vollständigen Datensatz 2 Bitcoin, umgerechnet rund 74.906 US-Dollar, und veröffentlichte zunächst etwa 1 bis 2 Millionen Datensätze kostenlos als Probe. Das indonesische Kommunikations- und Informatikministerium Kominfo bestätigte am 23.05.2021 durch Sprecher Dedy Permadi, dass die veröffentlichten Proben mit den Daten von BPJS Kesehatan übereinstimmten, stufte jedoch nur rund 100.000 der 1 Million geprüften Einträge als gültig ein. Das Ministerium sperrte daraufhin die Download-Links sowie den Zugang zu raidforums.com. BPJS Kesehatan, das zu diesem Zeitpunkt rund 224 Millionen aktive Versicherte betreute, erklärte, den Ursprung der Daten zu prüfen, und erstattete bei der indonesischen Polizeibehörde Bareskrim Anzeige wegen des mutmaßlichen Datenverkaufs durch den Account Kotz. Die tatsächliche Identität hinter dem Pseudonym Kotz wurde öffentlich nicht bekanntgegeben.

Zeitgenössische Quellen von 2021 nennen als Anbieter der Daten den Forumsaccount Kotz, nicht den erst ab September 2022 öffentlich bekannten Hacker Bjorka; eine bestätigte Verbindung zwischen Kotz und Bjorka existiert nicht. Die genaue Angriffsmethode, die reale Identität hinter dem Pseudonym Kotz und der Ausgang der polizeilichen Ermittlungen sind nicht dokumentiert.

Am 18.10.2017 wurde die malaysische Technologie-Website Lowyat.net auf mehrere Datenbanken aufmerksam, die in Untergrundforen zum Kauf angeboten wurden. Die malaysische Regulierungsbehörde MCMC bestätigte, dass Registrierungsdatensätze von 46,2 Millionen Mobilfunk-Anschlüssen betroffen waren, mehr als die damalige Einwohnerzahl Malaysias von rund 31 Millionen. Die Daten stammten von mindestens 12 Mobilfunkanbietern und virtuellen Netzbetreibern, darunter Celcom, Maxis, DiGi, Altel, U Mobile und XOX, sowie zusätzlich vom Malaysian Medical Council, der Malaysian Medical Association, der Malaysian Dental Association und der Jobbörse Jobstreet.com. Erbeutet wurden unter anderem Namen, Wohn- und Rechnungsadressen, MyKad-Ausweisnummern, SIM-Kartennummern, IMSI- und IMEI-Kennungen sowie Handset-Modelle. Nach Angaben der Ermittler deuteten die Zeitstempel der Daten auf einen Diebstahl zwischen 2014 und 2015 hin, laut BleepingComputer wurden die Daten spätestens im Juli 2014 entwendet. Die Datensätze wurden im Untergrund unter anderem für rund 1 Bitcoin angeboten, was zum damaligen Kurs etwa 6.500 US-Dollar entsprach. Am 16.11.2017 gab die malaysische Polizei bekannt, dass als mögliche Täter Mitarbeiter einer Firma verdächtigt werden, die mit der Datenübertragung für die MCMC befasst war. Die Website SayaKenaHack.com, über die Betroffene prüfen konnten, ob ihre Daten enthalten waren, wurde von den Behörden gesperrt. Bis zur Berichterstattung Mitte November 2017 waren keine Festnahmen erfolgt.

Aus den Quellen nicht belegt sind die genaue Identität der Täter, ein abgeschlossener Ermittlungsabschluss mit Anklage oder Verurteilung sowie eine offiziell verhängte Bußgeldhöhe gegen beteiligte Unternehmen oder Behörden.

Anfang Februar 2020 entdeckten der Sicherheitsaktivist Noam Rotem und der Webentwickler Ran Bar-Zik eine Sicherheitslücke in der Website der App Elector, die von der Softwarefirma Feed-b im Auftrag der israelischen Regierungspartei Likud unter Ministerpräsident Benjamin Netanyahu betrieben wurde. Die Lücke legte das vollständige israelische Wählerregister mit Daten von 6.453.255 Wahlberechtigten offen, darunter vollständige Namen, Wohnadressen, Ausweisnummern, Geschlecht und teilweise Telefonnummern. Benutzernamen und Passwörter der Systemadministratoren waren im Quelltext der Webseite im Klartext sichtbar, sodass der Zugriff auf die gesamte Datenbank ohne besondere Hackingkenntnisse möglich war. Die Entdeckung wurde am 10.02.2020 öffentlich bekannt, rund drei Wochen vor der israelischen Parlamentswahl am 02.03.2020. Neben Likud griffen auch die Parteien Jisra'el Beitenu und Schas für ihre Wahlkampagnen auf das Register zu. Feed-b bezeichnete den Vorfall gegenüber israelischen Medien als einmaligen, sofort behobenen Zwischenfall. Die israelische Datenschutzbehörde Privacy Protection Authority leitete eine Untersuchung ein und kündigte im Oktober 2020 gegenüber Likud, Jisra'el Beitenu und der Firma Elector mögliche Bußgelder in Höhe von bis zu mehreren zehntausend Schekel an. Mehrere betroffene Bürger reichten zudem eine Sammelklage gegen Likud und Elector über eine Million Schekel ein.

Unklar bleibt, in welcher genauen Höhe die israelische Datenschutzbehörde am Ende tatsächlich Bußgelder gegen Likud, Jisra'el Beitenu und Elector verhängte und wie viele Personen die offengelegten Daten vor der Schließung der Seite tatsächlich heruntergeladen haben. Auch der endgültige Ausgang der gegen Likud und Elector eingereichten Sammelklage ist durch diese Quelle nicht abschließend belegt.

Das Sicherheitsforscherteam von vpnMentor unter Leitung von Noam Rotem und Ran Locar entdeckte im September 2019 einen frei zugänglichen, unverschlüsselten Elasticsearch-Server mit rund 18 Gigabyte an Datensätzen zu etwa 20 Millionen Personen. Der Server stand in Miami, Florida, und gehörte dem ecuadorianischen Beratungsunternehmen Novaestrat, das Dienstleistungen in Datenanalyse, Marketing und Softwareentwicklung anbietet. Da Ecuador zum Zeitpunkt des Vorfalls etwa 16,6 Millionen Einwohner zählte, waren rechnerisch mehr Datensätze betroffen als das Land Einwohner hat, weil auch verstorbene Personen und Kinder erfasst waren. Offengelegt wurden vollständige Namen, Geburtsdaten, nationale Identifikationsnummern (Cedula), Adressen, Telefonnummern, E-Mail-Adressen, Angaben zu Familienangehörigen, Arbeitgeber- und Gehaltsdaten sowie Bankkontoinformationen der Staatsbank Biess und Fahrzeugregisterdaten des Automobilverbands Aeade. Die Daten stammten offenbar aus mehreren Quellen, darunter staatliche Register, die private Bank Biess und der Automobilverband Aeade. Nach Kontaktaufnahme durch vpnMentor wurde der Server am 11.09.2019 gesichert und war nicht mehr öffentlich zugänglich. Am 16.09.2019 nahmen ecuadorianische Ermittler William Roberto G., den gesetzlichen Vertreter von Novaestrat, fest. Der Vorfall gilt als eines der größten bekannten Datenlecks Lateinamerikas gemessen an der Zahl der Betroffenen im Verhältnis zur Landesbevölkerung.

Aus der vpnMentor-Quelle nicht belegt sind das genaue Datum der Erstentdeckung des offenen Servers sowie technische Details zur Ursache der Fehlkonfiguration. Ebenfalls nicht dokumentiert sind der weitere Ausgang des Ermittlungsverfahrens gegen den Novaestrat-Vertreter und eventuelle Bußgelder oder ein späteres Gerichtsurteil.

Das US-Unternehmen Strava veröffentlichte im November 2017 eine aktualisierte Version seiner Global Heatmap, die mehr als 1 Milliarde Aktivitäten von Nutzern weltweit aus dem Zeitraum 2015 bis September 2017 als Wärmebild auf einer Weltkarte darstellte. Am 27.01.2018 entdeckte der australische Student und Konfliktforscher Nathan Ruser von der Australian National University beim Betrachten der Karte, dass in Kriegs- und Krisengebieten wie Syrien, Afghanistan und Niger militärische Stützpunkte, Patrouillenrouten und Versorgungswege als helle Flecken auf der sonst dunklen Karte erkennbar waren, weil dort stationierte Soldaten mit aktiviertem GPS-Tracking joggten. Ruser veröffentlichte seine Beobachtungen auf Twitter, woraufhin weitere Journalisten zusätzliche und teils zuvor unbekannte Militärstandorte identifizierten. Betroffen waren unter anderem US-Stützpunkte in Afghanistan und Syrien, ein mutmaßlicher Raketenkommandostandort in Taiwan sowie Feldlager der Bundeswehr in Afghanistan. Am 29.01.2018 kündigte das US-Verteidigungsministerium unter Verteidigungsminister Jim Mattis eine Überprüfung der Sicherheitsrichtlinien für mobile Geräte und tragbare Sensorik von Soldaten an. Strava erklärte, die Karte enthalte nur Aktivitäten, die Nutzer nicht als privat markiert hatten, und verwies auf bestehende Opt-out-Einstellungen in der App. Als Reaktion kündigte Strava an, die Sichtbarkeitsoptionen für Nutzer zu vereinfachen.

Nicht belegt ist, wie viele zuvor unbekannte Stützpunkte insgesamt identifiziert wurden und ob die offengelegten Daten tatsächlich von gegnerischen Akteuren für Angriffe genutzt wurden. Ebenso ist aus dieser Quelle nicht ersichtlich, welche konkreten disziplinarischen oder organisatorischen Konsequenzen die angekündigte Pentagon-Überprüfung für einzelne Einheiten oder Soldaten letztlich hatte.

Am 29.10.2019 reichte WhatsApp beim US-Bundesgericht für den Northern District of California Klage gegen die israelische NSO Group ein. Die Klage wirft NSO Group vor, zwischen dem 29.04.2019 und dem 10.05.2019 rund 1.400 WhatsApp-Nutzer in etwa 20 Ländern mit der Spyware Pegasus infiziert zu haben. Die Angreifer nutzten dafür eine Sicherheitslücke in der VoIP-Funktion von WhatsApp, dokumentiert als CVE-2019-3568, ein Pufferüberlauf im Videoanruf-Code, der es erlaubte, durch präparierte Anrufe unbemerkt Schadcode zu übertragen, ohne dass die Betroffenen den Anruf annehmen mussten. Zu den Zielen zählten Journalisten, Menschenrechtsaktivisten, Diplomaten und Regierungsvertreter. Am 20.12.2024 entschied Richterin Phyllis Hamilton am zuständigen US-Bezirksgericht in Kalifornien, dass NSO Group gegen den Computer Fraud and Abuse Act, den California Comprehensive Computer Data Access and Fraud Act sowie gegen Vertragsbedingungen von WhatsApp verstoßen hat. Am 06.05.2025 sprach eine Geschworenenjury WhatsApp beziehungsweise dessen Mutterkonzern Meta 444.719 US-Dollar Schadenersatz sowie 167.254.000 US-Dollar Strafschadenersatz zu. Im Oktober 2025 reduzierte Richterin Hamilton den Strafschadenersatz auf rund 4 Millionen US-Dollar, verhängte zugleich aber eine dauerhafte gerichtliche Verfügung gegen NSO Group.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Höhe NSO Group die zugesprochenen Schadenersatzsummen tatsächlich gezahlt hat, da das Unternehmen Berufung eingelegt hat und der Ausgang dieses Verfahrens offen ist. Ebenfalls nicht im Detail belegt ist die vollständige Liste der betroffenen 1.400 Personen und ihrer Herkunftsländer.

Am 14.09.2020 veröffentlichte ein internationales Medienkonsortium Rechercheergebnisse zu einem Datenleck der chinesischen Firma Shenzhen Zhenhua Data Information Technology Co., Ltd. Ein anonymer Whistleblower in China hatte die Datenbank dem US-Akademiker Christopher Balding zugespielt, der sie gemeinsam mit der australischen Cybersicherheitsfirma Internet 2.0 auswertete. Die von Zhenhua betriebene Overseas Key Information Database (OKIDB) enthielt Profile von rund 2,4 Millionen Personen weltweit, von denen Internet 2.0 etwa 250.000 Datensätze wiederherstellen und analysieren konnte. Darunter waren rund 52.000 US-Amerikaner, 35.558 Australier, 9.700 Briten, 10.000 Inder und 5.000 Kanadier sowie Politiker wie der britische Premierminister Boris Johnson, der australische Premierminister Scott Morrison und der österreichische Bundespräsident Alexander Van der Bellen. Die Profile enthielten Geburtsdaten, Adressen, Familienstand, politische Verbindungen sowie Konten von Twitter, Facebook, LinkedIn, Instagram und TikTok; nach Angaben der Analysten stammten rund 20 Prozent der Daten nicht aus offen zugänglichen Quellen, sondern unter anderem aus Bankunterlagen und Bewerbungsunterlagen. Zhenhua Data wird über die China Zhenhua Electronics Group von der staatlichen China Electronics Corporation kontrolliert, und das Unternehmen nannte laut den Rechercheuren die Volksbefreiungsarmee und die Kommunistische Partei Chinas als Hauptkunden.

Ob und in welchem Umfang die chinesische Regierung oder Geheimdienste die Profile tatsächlich für konkrete nachrichtendienstliche Operationen genutzt haben, ist durch diese Quelle nicht belegt. Auch eine offizielle Stellungnahme oder Bestreitung durch Zhenhua Data beziehungsweise die chinesische Regierung sowie rechtliche oder finanzielle Konsequenzen für das Unternehmen werden im Artikel nicht dokumentiert.

Toyota Motor Corporation gab am 12.05.2023 bekannt, dass Fahrzeugdaten von rund 2,15 Millionen Kunden in Japan über einen Zeitraum von fast zehn Jahren öffentlich im Internet zugänglich waren. Betroffen waren Nutzer der Telematikdienste T-Connect, G-Link, G-Link Lite und G-BOOK, die sich zwischen dem 02.01.2012 und dem 17.04.2023 für diese Dienste angemeldet hatten. Ursache war eine Fehlkonfiguration einer Cloud-Datenbank bei der Toyota-Tochtergesellschaft Toyota Connected Corporation, die statt auf privaten Zugriff versehentlich auf öffentlichen Zugriff gestellt war und ohne Passwort einsehbar blieb. Die Datenbank war vom 06.11.2013 bis zum 17.04.2023 von außen erreichbar. Offengelegt wurden unter anderem Fahrgestellnummern, Geräte-IDs der Navigationssysteme sowie Standortdaten der Fahrzeuge samt Zeitstempeln. Zusätzlich waren vom 14.11.2016 bis zum 04.04.2023 auch Videoaufnahmen externer Kameras von Firmenkunden über ein separates System zugänglich. Toyota erklärte, den Zugriff nach Entdeckung des Fehlers umgehend gesperrt und keine Hinweise auf einen Missbrauch der Daten gefunden zu haben. Am 12.07.2023 erteilte die japanische Datenschutzbehörde Personal Information Protection Commission Toyota eine behördliche Anweisung, da unter anderem Schulungsmängel und ein fehlendes Bewusstsein für den Personenbezug der Daten festgestellt wurden. Es handelte sich um den zweiten bekannt gewordenen Datenvorfall bei T-Connect innerhalb weniger Monate, nachdem im Oktober 2022 bereits Daten von rund 296.000 Kunden über einen offengelegten GitHub-Zugriffsschlüssel abgeflossen waren.

Unklar bleibt, ob und in welchem Umfang die offengelegten Standort- und Videodaten tatsächlich von Dritten heruntergeladen oder missbraucht wurden, da Toyota lediglich von einer bestehenden Zugriffsmöglichkeit ohne bestätigten Missbrauchsfall spricht. Die genaue Gesamtzahl aller Betroffenen schwankt je nach Quelle und Zeitpunkt zwischen 2,15 und rund 2,3 Millionen.

Die US-Nachrichtenseite BuzzFeed News berichtete am 02.04.2018, dass die Dating-App Grindr sensible Nutzerdaten an die Drittfirmen Apptimize und Localytics weitergab. Grundlage war eine Analyse des norwegischen Forschungsinstituts SINTEF im Auftrag des schwedischen Senders SVT, die von BuzzFeed News unabhängig überprüft wurde. Zu den weitergegebenen Daten gehörten der HIV-Status samt Datum des letzten Tests, die GPS-Position, die Telefon-ID, die E-Mail-Adresse, die sexuelle Orientierung, die ethnische Zugehörigkeit, der Beziehungsstatus sowie die selbst gewählte Tribe-Kategorie. Grindr gab zum Zeitpunkt der Veröffentlichung 3,6 Millionen täglich aktive Nutzer weltweit an. Der SINTEF-Forscher Antoine Pultier erklärte, das Hauptproblem sei die Verknüpfung des HIV-Status mit den übrigen persönlichen Angaben zu einer Person. Grindr-Technikchef Scott Chen bezeichnete die Weitergabe zunächst als in der App-Branche übliche Praxis unter strengen Vertragsbedingungen. Nach der Veröffentlichung kündigte Grindr an, die Übermittlung des HIV-Status an Apptimize und Localytics zu beenden. Teile der Daten waren laut dem Bericht unverschlüsselt im Klartext übertragen worden.

Der Artikel belegt nicht, wie lange die Datenweitergabe bereits vor 2018 bestand oder ob Apptimize und Localytics die HIV-Daten für eigene Zwecke auswerteten. Eine mögliche behördliche Sanktion oder ein Bußgeld wegen dieses konkreten Vorfalls wird in dieser Quelle nicht behandelt.

Der US-Bildungssoftware-Anbieter PowerSchool mit Sitz in Folsom, Kalifornien, wurde Ende Dezember 2024 Opfer eines schwerwiegenden Datendiebstahls. Ein Angreifer verschaffte sich mit gestohlenen Zugangsdaten eines Mitarbeiters bzw. Subunternehmers Zugriff auf das Kundenportal PowerSource und blieb dabei rund neun Tage unentdeckt. Betroffen waren die Daten von mehr als 60 Millionen Schülern und rund 9,5 Millionen Lehrkräften in den USA und Kanada, darunter Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, medizinische Informationen und Angaben zu sonderpädagogischem Förderbedarf. PowerSchool zahlte den Angreifern nach eigenen Angaben rund 2,85 Millionen US-Dollar in Bitcoin, um die Veröffentlichung der Daten zu verhindern, die gestohlenen Daten wurden jedoch nicht gelöscht und einzelne Schulbezirke später zusätzlich erpresst. Als Täter wurde der damals 19-jährige Matthew Lane aus Massachusetts identifiziert, der sich schuldig bekannte. Ein US-Bundesgericht verurteilte Lane zu vier Jahren Haft, drei Jahren anschließender Bewährungsaufsicht, einer Geldstrafe von 25.000 US-Dollar sowie rund 14 Millionen US-Dollar Wiedergutmachungszahlung an PowerSchool. Die Gesamtkosten des Vorfalls für PowerSchool inklusive Identitätsschutz-Maßnahmen für Betroffene wurden mit über 14 Millionen US-Dollar beziffert.

Die genaue Zahl der tatsächlich von besonders sensiblen Daten wie Sozialversicherungsnummern betroffenen Personen ist nicht einheitlich belegt, da der Umfang je nach Schulbezirk stark variierte. Der Ausgang der laufenden Sammelklagen gegen PowerSchool sowie der Verbleib des größten Teils des gezahlten Lösegelds sind bislang nicht abschließend geklärt.