Quellen-Tabelle

Ab dem 27.05.2023 nutzte die russischsprachige Ransomware-Gruppe Cl0p (auch Clop) eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der Dateiübertragungssoftware MOVEit Transfer des US-Herstellers Progress Software aus, um über eine eigens entwickelte Webshell Daten von den Servern betroffener Organisationen zu stehlen. Progress Software veröffentlichte den ersten Patch am 31.05.2023, in den folgenden Monaten wurden weitere Schwachstellen bekannt, darunter CVE-2023-35036 und CVE-2023-35708. Bis Mitte Juli 2023 waren mehr als 2.650 Organisationen betroffen, die Zahl stieg bis Ende 2023 nach verschiedenen Auswertungen auf über 2.700. Nach Angaben vom 18.10.2023 waren zu diesem Zeitpunkt Daten von rund 66 Millionen Menschen offengelegt, spätere Gesamtauswertungen gehen von deutlich mehr als 90 Millionen betroffenen Personen aus. Zu den namentlich bekannten Opfern zählen British Airways, die BBC, die US-Universitätsdatenclearingstelle National Student Clearinghouse, die Wirtschaftsprüfungsgesellschaften Deloitte, Ernst & Young und PwC sowie das US-Außenministerium. Progress Software bezifferte die eigenen Reaktionskosten bis zum 31.08.2023 auf 2,9 Millionen US-Dollar, gegen das Unternehmen wurden mehr als 58 Sammelklagen eingereicht, und die US-Börsenaufsicht SEC leitete am 02.10.2023 eine Untersuchung per Vorladung ein.

Die genaue Gesamtzahl betroffener Organisationen und Personen schwankt je nach Erhebungszeitpunkt und Quelle zwischen rund 2.500 und über 2.770 Organisationen sowie zwischen 66 und rund 96 Millionen Einzelpersonen. Der Ausgang der Sammelklagen gegen Progress Software war noch nicht rechtskräftig entschieden, eine SEC-Untersuchung wurde 2024 ohne Maßnahme eingestellt.

Der australische Kredit- und Finanzdienstleister Latitude Financial Services meldete am 16.03.2023 einen Cyberangriff, bei dem Angreifer mit gestohlenen Zugangsdaten eines Mitarbeiters auf Systeme zweier externer Dienstleister zugriffen, die Kundendaten von Latitude verwalteten. Zunächst nannte das Unternehmen rund 328.000 betroffene Personen, korrigierte die Zahl jedoch am 27.03.2023 drastisch auf etwa 14 Millionen Kunden in Australien und Neuseeland. Gestohlen wurden unter anderem rund 7,9 Millionen Führerscheinnummern, davon etwa 3,2 Millionen aus den letzten zehn Jahren, sowie rund 53.000 Passnummern, dazu Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen. Damit gilt der Vorfall als der bis dahin größte Diebstahl von Identitätsdokumenten in der australischen Geschichte. Die australische Datenschutzbehörde OAIC kündigte am 10.05.2023 gemeinsam mit der neuseeländischen Datenschutzbehörde eine gemeinsame Untersuchung der Datenschutzpraktiken der Latitude-Gruppe an. Latitude bezifferte die durch den Vorfall verursachten Vorsteuerkosten und Rückstellungen später auf rund 76 Millionen australische Dollar. Latitude Financial ist einer der größten Anbieter von Konsumentenkrediten und Ratenzahlungen in Australien und Neuseeland.

Aus dieser Quelle nicht belegt sind der genaue Ausgang und ein Abschlussdatum der OAIC/OPC-Untersuchung sowie etwaige später verhängte Bußgelder gegen Latitude; auch die Identität der Angreifer bzw. ein mögliches Bekennerschreiben werden hier nicht bestätigt.

Seit Juni 2022 verwehrt der US-Freizeit- und Sportkonzern Madison Square Garden Entertainment (MSGE) Anwältinnen und Anwälten von Kanzleien, die aktive Klagen gegen das Unternehmen führen, den Zutritt zu seinen Veranstaltungsorten, solange das jeweilige Verfahren läuft. Durchgesetzt wird das Betretungsverbot mit Gesichtserkennungssoftware, die MSGE nach eigenen Angaben bereits seit 2018 an den Eingängen von Madison Square Garden, Radio City Music Hall, Hulu Theater und Beacon Theatre einsetzt. Fotos der betroffenen Anwälte werden von den Webseiten ihrer Kanzleien in eine interne Sperrliste eingespeist und beim Einlass automatisch mit den erfassten Gesichtern der Besucher abgeglichen. Bundesweite Aufmerksamkeit erhielt die Praxis, nachdem die Anwältin Kelly Conlon von der New Jersey Kanzlei Davis, Saperstein and Salomon am Wochenende nach Thanksgiving Ende November 2022 beim Besuch der Rockettes-Show Christmas Spectacular in der Radio City Music Hall per Gesichtserkennung erkannt und trotz gültigem Ticket des Saals verwiesen wurde, obwohl sie eine Pfadfindergruppe ihrer Tochter begleitete. MSGE erklärte, alle betroffenen Kanzleien seien vorab über die Regelung informiert worden. Nach Recherchen der New Yorker Generalstaatsanwältin Letitia James, die MSGE am 25.01.2023 offiziell zur Stellungnahme aufforderte, betraf das Verbot Anwälte aus mehr als 90 Kanzleien. James warnte, das Verbot und der Einsatz der Gesichtserkennung zu seiner Durchsetzung könnten gegen New Yorker Bürger- und Menschenrechtsgesetze verstoßen.

Aus dem Bericht geht nicht hervor, an welchem genauen Kalendertag im November 2022 Conlon abgewiesen wurde und wie der zum Zeitpunkt der Berichterstattung noch offene Rechtsstreit letztlich ausging.

Am 13. und 14. September 2021 veröffentlichte das Wall Street Journal die Artikelserie The Facebook Files auf Basis interner Firmendokumente, die ihm die ehemalige Facebook-Produktmanagerin Frances Haugen zugespielt hatte. Haugen arbeitete von Juni 2019 bis Mai 2021 im Civic-Integrity-Team von Facebook und kopierte beim Ausscheiden Zehntausende interne Unterlagen. Eine Präsentationsfolie aus internen Studien von 2019 hielt fest, dass Facebook bei einem von drei Teenager-Mädchen Körperbildprobleme durch Instagram verschlimmert. Laut einer internen Erhebung vom März 2020 gaben 32 Prozent der befragten Teenager-Mädchen an, dass Instagram negative Gefühle zum eigenen Körper noch verstärkte. Unter Jugendlichen mit Suizidgedanken führten 13 Prozent der britischen und 6 Prozent der amerikanischen befragten Nutzer diese Gedanken auf Instagram zurück. Am 3. Oktober 2021 gab sich Haugen in einem Interview der CBS-Sendung 60 Minutes öffentlich als Whistleblowerin zu erkennen. Am 5. Oktober 2021 sagte sie vor dem Handelsausschuss des US-Senats aus. Am 22. Oktober 2021 veröffentlichte ein Konsortium von 17 US-Nachrichtenredaktionen weitere interne Dokumente unter dem Namen Facebook Papers. Facebook stellte daraufhin die Entwicklung einer eigenen Instagram-Version für Kinder unter 13 Jahren ein und benannte den Mutterkonzern am 28. Oktober 2021 in Meta um.

Die genaue Gesamtzahl der von Haugen kopierten Dokumente wird nur mit Zehntausenden beziffert, eine exakte Seiten- oder Dokumentenzahl ist aus dieser Quelle nicht belegt. Ob die SEC-Beschwerden zu einem förmlichen Verfahren oder zu Sanktionen gegen Meta geführt haben, geht aus dieser Quelle nicht hervor.

Am 06.06.2013 veröffentlichten The Guardian und die Washington Post erste Berichte über das geheime NSA-Programm PRISM, basierend auf Dokumenten des NSA-Vertragsmitarbeiters Edward Snowden, der zuvor für Booz Allen Hamilton tätig war. Snowden wurde am 09.06.2013 öffentlich als Quelle genannt und floh anschließend über Hongkong nach Russland. PRISM ermöglichte der NSA seit 2007 Zugriff auf Nutzerdaten von neun US-Internetkonzernen, beginnend mit Microsoft (2007), gefolgt von Yahoo (2008), Google, Facebook und Paltalk (2009), YouTube (2010), AOL und Skype (2011) sowie Apple (2012). Erfasst wurden unter anderem E-Mails, Chatprotokolle, Fotos, Videos, Videoanrufe und Verbindungsdaten. Rechtsgrundlage war Section 702 des Foreign Intelligence Surveillance Act (FISA) von 2008, der im Dezember 2012 unter Präsident Obama verlängert wurde. Laut den geleakten Unterlagen standen im April 2013 rund 117675 Zielpersonen unter aktiver Beobachtung durch die NSA. Bereits am 05.06.2013 hatte der Guardian zusätzlich eine geheime Gerichtsanordnung veröffentlicht, wonach die NSA Telefonverbindungsdaten von mehr als 120 Millionen Verizon-Kunden in den USA erhielt. Die Enthüllungen lösten weltweite Debatten über Massenüberwachung aus und führten unter anderem zu einem spürbaren Anstieg der Nutzerzahlen datenschutzfreundlicher Suchmaschinen wie DuckDuckGo.

Aus dieser Quelle nicht abschließend geklärt ist, ob die NSA tatsächlich direkten technischen Zugriff auf die Server der Unternehmen hatte, wie die ursprüngliche Berichterstattung nahelegte, oder ob Daten über separate, von den Firmen kontrollierte Übergabesysteme flossen, was die betroffenen Konzerne bestritten. Auch das exakte Gesamtvolumen der über PRISM erfassten Kommunikationsdaten bleibt unbelegt.

Der finnische Psychotherapie-Anbieter Vastaamo, mit rund 40.000 behandelten Patienten der größte private Anbieter des Landes, wurde erstmals im November 2018 gehackt; die Datenbank blieb bis März 2019 unbemerkt kompromittiert. Ursache war eine ungesicherte Datenbank ohne Verschlüsselung, deren Root-Zugang lediglich mit dem Nutzernamen und Passwort root/root gesichert war. Der Angreifer Aleksanteri (Julius) Kivimäki erbeutete Patientendaten von etwa 33.000 Personen, darunter Namen, Personenkennzeichen und detaillierte Therapienotizen. Nachdem Vastaamo eine Lösegeldforderung von 40 Bitcoin, umgerechnet rund 450.000 Euro, nicht zahlte, veröffentlichte Kivimäki ab dem 21.10.2020 Patientendaten im Darknet und schickte tausenden Patienten direkt E-Mails mit der Forderung von 200 Euro, die sich bei Nichtzahlung innerhalb von 24 Stunden auf 500 Euro erhöhte. Rund 30.000 Patienten erhielten individuelle Erpresser-Nachrichten. Vastaamo meldete infolge des Vorfalls Insolvenz an. Die finnische Datenschutzaufsicht verhängte im Dezember 2021 ein Bußgeld von 608.000 Euro gegen das Unternehmen wegen Verstößen gegen die DSGVO. Kivimäki wurde im Februar 2023 in Frankreich unter falscher Identität festgenommen und nach Finnland ausgeliefert. Am 30.04.2024 verurteilte ihn ein finnisches Bezirksgericht wegen schwerer Datenrechtsverletzung sowie rund 21.000 Fällen versuchter und 20 Fällen vollendeter schwerer Erpressung zu sechs Jahren und drei Monaten Haft.

Die genaue Zahl der individuell erpressten Patienten schwankt je nach Quelle zwischen rund 22.000 und 30.000. Der Ausgang eines späteren Berufungsverfahrens sowie tatsächlich geleistete Entschädigungen an die Betroffenen sind in dieser Quelle nicht dokumentiert.

Im November 2014 wurde bekannt, dass Uber-Mitarbeiter über das interne Ortungswerkzeug God View in Echtzeit die Standorte von Fahrgästen einsehen konnten, ohne dass dafür ein geschäftlicher Anlass vorlag. Der New Yorker Uber-Manager Josh Mohrer griff zunächst auf die Fahrtdaten der BuzzFeed-Journalistin Johana Bhuiyan zu und verfolgte anschließend ohne ihre Zustimmung ihre Fahrt per God View. Spätere Berichte, unter anderem eines ehemaligen Uber-Sicherheitsmitarbeiters, warfen dem Unternehmen zudem vor, dass Mitarbeiter mit dem Werkzeug auch Prominente, Politiker sowie eigene Ex-Partner unerlaubt geortet hätten. Die New Yorker Generalstaatsanwaltschaft unter Eric Schneiderman leitete im November 2014 eine rund 14 Monate dauernde Untersuchung gegen Uber ein. Parallel dazu wurde bekannt, dass ein Uber-Ingenieur im September 2014 einen Zugangsschlüssel zu einem Cloud-Dienst versehentlich auf Github veröffentlicht hatte, wodurch Namens- und Führerscheindaten von Fahrern zugänglich waren; Uber informierte die Öffentlichkeit darüber erst am 26.02.2015. Am 06.01.2016 einigte sich Uber mit der New Yorker Generalstaatsanwaltschaft auf eine Zahlung von 20.000 US-Dollar sowie auf verbindliche Sicherheitsauflagen. Uber verpflichtete sich, Geodaten von Fahrgästen zu verschlüsseln, den Mitarbeiterzugriff auf God View auf begründete Geschäftszwecke zu beschränken, eine Multi-Faktor-Authentifizierung einzuführen und Zugriffe auf Nutzerdaten zu protokollieren.

Die genaue Zahl der Personen, die Uber-Mitarbeiter unrechtmäßig über God View verfolgt haben, ist nicht offiziell beziffert und stützt sich teils auf spätere, gerichtlich nicht geprüfte Whistleblower-Aussagen. Ebenso ist aus dieser Quelle nicht ersichtlich, wie viele Fahrer vom Datenleck 2014 konkret betroffen waren oder ob einzelne Mitarbeiter strafrechtlich belangt wurden.

Am 06.12.2021 veröffentlichte das gemeinnützige Rechercheportal The Markup eine Untersuchung, wonach die Familien-Tracking-App Life360 die präzisen Standortdaten ihrer weltweit rund 33 Millionen Nutzer an etwa ein Dutzend Datenhändler verkaufte. Zu den Käufern zählten unter anderem die Unternehmen X-Mode, Cuebiq, SafeGraph und Arity, eine Tochtergesellschaft des Versicherungskonzerns Allstate. Life360 wird von Eltern genutzt, um den Aufenthaltsort ihrer Kinder zu verfolgen, verkaufte die dabei gesammelten Standortdaten jedoch gleichzeitig weiter. Im Jahr 2020 erzielte das Unternehmen durch den Verkauf von Standortdaten rund 16 Millionen US-Dollar, was fast 20 Prozent des Jahresumsatzes entsprach. Zusätzlich erhielt Life360 rund 6 Millionen US-Dollar durch eine gesonderte Vereinbarung mit Arity. Nach Veröffentlichung der Recherche kündigte Life360 am 27.01.2022 an, den Verkauf präziser Standortdaten an die meisten der bisherigen Datenhändler einzustellen. Life360 bestätigte, seit mindestens 2016 Standortdaten an Dritte verkauft zu haben. Im April 2022 berichtete The Markup, dass US-Regulierungsbehörden nach der Recherche Informationen zu den Datenpraktiken von Life360 angefordert hatten. Im Juni 2023 wurde gegen Life360 eine Klage wegen ungerechtfertigter Bereicherung eingereicht.

Nicht belegt ist, wie viele der 33 Millionen Nutzer konkret von den Datenverkäufen betroffen waren und welche einzelnen Endkunden die Datenhändler mit den Rohdaten beliefert haben; der Ausgang der 2023 eingereichten Klage sowie das Ergebnis der Regulierungsanfragen waren zum Zeitpunkt der Berichterstattung offen.

Am 19.12.2022 veröffentlichte MIT Technology Review eine Recherche zu einem Datenleck bei iRobot. Die Redaktion konnte 15 Bildschirmfotos einsehen, die von Testgeräten der Roomba J7 Serie zwischen Juni und November 2020 in den USA, Japan, Frankreich, Deutschland und Spanien aufgenommen worden waren. Eines der Bilder zeigte eine Frau auf der Toilette in ihrer eigenen Wohnung. iRobot hatte mehr als 2 Millionen Bilder aus diesen Testgeräten an das Datenannotationsunternehmen Scale AI weitergegeben, damit dessen Plattform Remotasks die Aufnahmen für das Training von Künstlicher Intelligenz kennzeichnete. Gig Worker in Venezuela, die für Remotasks tätig waren, teilten die Bilder entgegen ihrer Vertraulichkeitsvereinbarung in geschlossenen Gruppen auf Facebook, Discord und anderen Plattformen. iRobot erklärte, es habe die Zusammenarbeit mit dem betroffenen Dienstleister beendet und untersuche den Vorfall. Das Unternehmen gab an, die Testgeräte seien mit einem grünen Aufkleber gekennzeichnet gewesen, der auf laufende Videoaufnahmen hinwies. Die betroffenen Testpersonen hatten einer Datenerfassung zu Entwicklungszwecken zugestimmt, jedoch nicht damit gerechnet, dass Aufnahmen aus ihren Wohnungen im Internet öffentlich geteilt werden.

Aus der Quelle geht nicht hervor, wie viele Personen insgesamt von der Weiterverbreitung betroffen waren und welche konkreten Konsequenzen die beteiligten Gig Worker oder Scale AI trugen. Ob es zu behördlichen Ermittlungen oder Sanktionen gegen iRobot oder Scale AI kam, ist ebenfalls nicht belegt.

Die Nachrichtenseite The Verge veröffentlichte am 25.04.2019 einen Bericht von Colin Lecher über ein automatisiertes Leistungsüberwachungssystem im Amazon-Logistikzentrum BWI2 in Baltimore, Maryland. Grundlage waren interne Dokumente, die im Zuge einer Beschwerde beim National Labor Relations Board offengelegt wurden. Das System erfasst die Kennzahl Time Off Task, also Zeitspannen, in denen ein Mitarbeiter nicht aktiv scannt, verpackt oder Ware einlagert. Unterschreitet ein Beschäftigter die vorgegebene Produktivitätsrate, generiert das System automatisch Verwarnungen oder Kündigungen, ohne dass ein Vorgesetzter eingreifen muss. Laut den Dokumenten wurden zwischen August 2017 und September 2018 rund 300 Vollzeitkräfte am Standort BWI2 wegen Ineffizienz entlassen. Das Lager beschäftigte zu dieser Zeit etwa 2.500 Mitarbeiter, sodass die Kündigungen hochgerechnet mehr als 10 Prozent der Belegschaft pro Jahr betrafen. Amazon widersprach der Darstellung und erklärte, kein Mitarbeiter werde allein durch Software entlassen, da Vorgesetzte vor einer Kündigung eingebunden würden und Beschäftigte zuvor Coaching und Schulungen erhielten. Bußgelder, Vergleichszahlungen oder ein Gerichtsurteil im Zusammenhang mit diesem konkreten Bericht sind nicht bekannt.

Aus dem Bericht geht nicht hervor, wie oft Vorgesetzte automatisiert erzeugte Kündigungsvorschläge tatsächlich prüften oder aufhoben, und ob die geschilderte Praxis am Standort BWI2 in identischer Form auch in anderen Amazon-Lagern galt.

Der US-Hersteller von Smart-Home-Kameras Wyze Labs aus Seattle ließ die Daten von rund 2,4 Millionen Kunden ungeschützt im Internet zugänglich. Ursache war eine falsch konfigurierte Elasticsearch-Datenbank, die ein Mitarbeiter am 04.12.2019 für ein internes Analyseprojekt aus den Produktivservern kopierte und dabei ohne Zugriffsschutz beließ. Die Datenbank blieb bis zum 26.12.2019 offen einsehbar, also rund drei Wochen lang. Entdeckt wurde das Leck von der Sicherheitsfirma Twelve Security, die einen Bericht veröffentlichte, sowie zeitgleich durch die Nachfrage eines Reporters der Plattform IPVM bei Wyze. Offengelegt waren unter anderem E-Mail-Adressen von Kunden, Kamera-Spitznamen, WLAN-Netzwerknamen (SSID), Geräteinformationen sowie rund 24.000 Tokens für die Alexa-Integration. Bei einer kleinen Gruppe von Beta-Testern waren zudem Körperdaten wie Größe, Gewicht und Geschlecht betroffen. Passwörter und Zahlungsdaten waren nach Angaben von Wyze nicht in der Datenbank enthalten. Am 27.12.2019 entdeckte Wyze bei einer internen Sicherheitsüberprüfung eine zweite offen zugängliche Datenbank. Im Februar 2020 wurde beim US-Bezirksgericht für den Western District of Washington eine Sammelklage gegen Wyze Labs eingereicht.

Aus dieser Quelle nicht belegt sind die tatsächliche Zahl der von Dritten wirklich abgerufenen Datensätze sowie der Ausgang der 2020 eingereichten Sammelklage einschließlich einer möglichen Vergleichssumme oder Geldstrafe.

Am 10.04.2021 berichtete das IT-Sicherheitsportal Cybernews, dass eine SQL-Datenbank mit rund 1,3 Millionen Nutzerdatensätzen der Audio-App Clubhouse kostenlos in einem bekannten Hackerforum veröffentlicht wurde. Die Datensätze enthielten unter anderem Nutzer-ID, Namen, Profilbild-URL, Nutzername, verknüpfte Twitter- und Instagram-Handles, Anzahl der Follower und Abonnements, das Erstellungsdatum des Kontos sowie den Namen der Person, die den jeweiligen Nutzer eingeladen hatte. Clubhouse dementierte am 11.04.2021 über CEO Paul Davison bei einem unternehmensinternen Townhall-Treffen, Ziel eines Hacks geworden zu sein, und bezeichnete die Berichterstattung als irreführend. Nach Darstellung des Unternehmens handelte es sich ausschließlich um öffentlich zugängliche Profildaten, die jeder Nutzer über die App oder die API von Clubhouse einsehen konnte. Die App-Analystin Jane Manchun Wong erklärte, die Daten seien mutmaßlich über eine einfache Schleifenfunktion abgegriffen worden, da Clubhouse Nutzer-IDs fortlaufend nummerierte. Kreditkartendaten, Telefonnummern oder andere sensible Identifikationsmerkmale waren nach übereinstimmenden Berichten nicht Teil der veröffentlichten Datensätze. Clubhouse befand sich zu diesem Zeitpunkt, wenige Monate nach dem pandemiebedingten Nutzerboom Anfang 2021, noch in einer geschlossenen Betaphase mit Einladungssystem.

Nicht belegt ist, ob Clubhouse wegen des Vorfalls behördlich belangt oder finanziell sanktioniert wurde, da öffentlich keine Bußgelder oder Aufsichtsverfahren bekannt wurden. Ebenfalls ungeklärt bleibt die genaue technische Vorgehensweise des Scrapings, da Clubhouse selbst keine forensische Analyse veröffentlichte.

Im September 2020 wurde der Anbieter der PDF-Software Nitro (Nitro Software) Opfer eines Datendiebstahls. Eine 14 GB große Datenbank mit 77.159.696 Nutzerdatensätzen wurde zunächst gemeinsam mit 1 TB an Dokumenten für 80.000 US-Dollar zum Kauf angeboten. Am 20.01.2021 veröffentlichte ein Akteur, der sich der Gruppe ShinyHunters zurechnete, die vollständige Datenbank kostenlos in einem Hackerforum. Die Datensätze enthielten E-Mail-Adressen, vollständige Namen, bcrypt-gehashte Passwörter, Firmennamen, Berufsbezeichnungen, IP-Adressen sowie Titel aus mit der Software konvertierten Dokumenten. Bleeping Computer bestätigte die Echtheit der Daten anhand bekannter Nitro-Konten. Nitro Software hatte den Vorfall bereits am 21.10.2020 in einer Mitteilung an die australische Börse ASX als Sicherheitsvorfall mit geringen Auswirkungen gemeldet und erklärt, es seien keine Kundendaten betroffen gewesen, was sich im Nachhinein als unzutreffend erwies. Unter den betroffenen Organisationen, deren Mitarbeiter Nitro-Konten nutzten, wurden unter anderem Google, Apple, Microsoft, Chase und Citibank genannt. Have I Been Pwned nahm den Vorfall am 19.01.2021 mit 77,2 Millionen betroffenen Konten in seine Datenbank auf.

Nicht belegt ist der genaue technische Einbruchsweg in die Nitro-Systeme sowie eine offizielle, detaillierte Bestätigung des Umfangs durch Nitro Software selbst, das den Vorfall zunächst herunterspielte. Auch die Identität des Täters beruht nur auf dessen eigener Behauptung im Hackerforum.

Am 10.01.2019 veröffentlichte das Onlinemagazin The Intercept eine Recherche von Sam Biddle, wonach Amazons Tochterfirma Ring Mitarbeitern in den USA und in der Ukraine weitreichenden, teils uneingeschränkten Zugriff auf private Kundenvideos ihrer Überwachungskameras gewährte. Laut der Enthüllung hatten Ring-Ingenieure in der Ukraine seit 2016 Zugang zu einem Amazon-S3-Cloud-Ordner, der praktisch jedes von einer Ring-Kamera je aufgenommene Video enthielt. In den USA konnten zudem Mitarbeiter und Führungskräfte auf Live-Feeds von Kundenkameras zugreifen, obwohl Ring dies in seinen Nutzungsbedingungen nicht offenlegte. Quellen berichteten dem Magazin, dass Mitarbeiter sich gegenseitig Aufnahmen aus Kameras von Kollegen zeigten. Ring erklärte, Mitarbeiter hätten keinen Zugriff auf Livestreams, und verschärfte im Februar 2019 die internen Regeln, sodass ein Videozugriff fortan die Zustimmung des jeweiligen Kunden voraussetzte. Die FTC bestätigte die Vorwürfe 2023 in einer eigenen Klage und dokumentierte, dass ein einzelner Mitarbeiter über Monate hinweg tausende Videos von mindestens 81 Nutzerinnen der Ring-Kamera Stick Up Cam eingesehen hatte. Ring einigte sich im Mai 2023 mit der FTC auf eine Zahlung von 5,8 Millionen US-Dollar, aus der die Behörde ab 2024 rund 117044 Rückerstattungen an betroffene Kunden auszahlte.

Die genaue Gesamtzahl der Kunden, deren private Videos über die Jahre unbefugt von Mitarbeitern oder Vertragspartnern eingesehen wurden, ist nicht abschließend beziffert. Der Intercept-Artikel selbst stützt sich auf anonyme Quellenangaben, während das volle Ausmaß des Zugriffs erst später durch die FTC teilweise dokumentiert wurde.

Am 16. Juli 2021 verhängte die luxemburgische Datenschutzbehörde CNPD (Commission Nationale pour la Protection des Données) gegen Amazon Europe Core S.à r.l. ein Bußgeld in Höhe von 746 Millionen Euro. Bekannt wurde die Entscheidung am 30. Juli 2021, als Amazon sie in ihrem Quartalsbericht bei der US-Börsenaufsicht SEC offenlegte. Die CNPD warf Amazon vor, personenbezogene Daten seiner Kunden ohne wirksame und freiwillige Einwilligung für personalisierte Werbung zu verarbeiten und damit gegen die Grundsätze der Transparenz und Zweckbindung der DSGVO zu verstoßen. Grundlage des Verfahrens war eine Sammelbeschwerde, die die französische Bürgerrechtsorganisation La Quadrature du Net im Mai 2018 gemeinsam mit rund 10.000 Unterstützern eingereicht hatte. Mit 746 Millionen Euro war dies zum Zeitpunkt der Verhängung das höchste jemals von einer europäischen Datenschutzbehörde verhängte DSGVO-Bußgeld und übertraf die bisherige Rekordstrafe von 50 Millionen Euro gegen Google aus dem Jahr 2019 um ein Vielfaches. Amazon wies die Vorwürfe zurück und legte Rechtsmittel gegen die Entscheidung ein. Im März 2025 bestätigte das Verwaltungsgericht Luxemburg die Entscheidung der CNPD und die Bußgeldhöhe von 746 Millionen Euro in vollem Umfang.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Form Amazon nach der Bestätigung durch das Verwaltungsgericht Luxemburg im März 2025 weitere Rechtsmittel eingelegt hat und ob die Summe bereits tatsächlich gezahlt wurde.

Am 24.11.2019 veröffentlichte das International Consortium of Investigative Journalists (ICIJ) gemeinsam mit 17 Medienpartnern aus 14 Ländern und mehr als 75 Journalisten die sogenannten China Cables, geheime chinesische Regierungsdokumente aus dem Jahr 2017. Die Dokumente waren ICIJ über eine Kette exilierter Uiguren zugespielt worden und umfassen ein neunseitiges Betriebshandbuch vom November 2017, vier elfseitige Geheimdienstbulletins vom Juni 2017 sowie ein Gerichtsdokument von 2018. Das Betriebshandbuch, laut den Unterlagen abgezeichnet vom damaligen stellvertretenden Parteisekretär Xinjiangs Zhu Hailun, beschreibt erstmals detailliert den Betrieb der Internierungslager für Angehörige der uigurischen Minderheit in der Region Xinjiang. Die Bulletins belegen den Einsatz der Überwachungsplattform Integrated Joint Operations Platform (IJOP), die auf Basis von Big-Data-Analysen automatisch Personen als verdächtig einstuft. Laut einem der Bulletins generierte die IJOP-Software allein in einer Woche im Juni 2017 eine Liste von 24.412 als verdächtig markierten Personen, von denen 15.683 in derselben Woche interniert wurden. Menschenrechtsorganisationen und Forscher gehen von Hunderttausenden bis über einer Million Inhaftierten in den Lagern der Region aus. Die Echtheit der Dokumente wurde unter anderem von den China-Experten Adrian Zenz und James Mulvenon bestätigt. Die chinesische Botschaft in London bezeichnete die Dokumente als Fälschung und stellte die Einrichtungen als freiwillige Berufsbildungszentren dar.

Die genaue Gesamtzahl der Internierten in Xinjiang sowie die vollständige Befehlskette bis zur Zentralregierung in Peking sind aus den veröffentlichten Dokumenten allein nicht abschließend belegt, und Peking bestreitet die Echtheit der China Cables bis heute.

Cellebrite ist ein israelisches Unternehmen, das mit dem Universal Forensic Extraction Device (UFED) Software zur Entsperrung und Datenextraktion aus Smartphones herstellt. Am 12.01.2017 erbeuteten Hacker rund 900 GB interne Daten von Cellebrite-Servern, darunter Zugangsdaten zu Firmendatenbanken und Auswertungsdateien beschlagnahmter Telefone. Die erbeuteten Daten belegten Verkäufe der Entsperrtechnik an die Türkei, die Vereinigten Arabischen Emirate und Russland. Weitere Recherchen zeigten, dass Cellebrite-Produkte zwischen 2013 und 2019 auch an das belarussische Untersuchungskomitee geliefert wurden, das sie gegen die demokratische Opposition einsetzte. Laut Haaretz vom 16.09.2020 bot Cellebrite zudem Saudi-Arabien Entsperrdienste an, wofür ein Firmenvertreter im November 2019 nach Riad reiste. Im August 2020 berichtete MIT Technology Review, dass die Polizei Hongkongs Cellebrite-Geräte einsetzte, um Handys von während der Proteste 2019/2020 festgenommenen Demonstranten zu entsperren. Laut Gerichtsakten nutzte auch die myanmarische Polizei Cellebrite-Technik zur Auswertung der Telefone zweier 2018 verurteilter Reuters-Journalisten, die über den Rohingya-Genozid berichtet hatten. Am 07.10.2020 kündigte Cellebrite wegen geänderter US-Exportvorschriften an, keine Produkte mehr an Hongkong und China zu verkaufen.

Der genaue Umfang der weltweiten Cellebrite-Kundenliste sowie die tatsächliche Zahl betroffener Staaten und Einzelpersonen sind aus dieser Quelle nicht vollständig belegt. Unklar bleibt zudem, ob die angekündigten Lieferstopps an Russland, Belarus, Hongkong und China tatsächlich eingehalten wurden, da spätere Berichte weiterhin Nutzung der Technik in diesen Ländern nahelegen.

Die britische Gesundheitsbehörde NHSX testete ab dem 05.05.2020 auf der Isle of Wight eine Bluetooth-basierte Corona-Kontaktverfolgungs-App mit zentralisiertem Datenmodell, bei dem Kontaktdaten auf einem zentralen NHS-Server gespeichert wurden. Bis zum 11.05.2020 wurde die App rund 55.000 Mal heruntergeladen. Datenschutzexperten kritisierten das zentralisierte Modell wegen des Risikos einer Ausweitung der Datennutzung und forderten stattdessen ein dezentrales Modell nach Vorbild der von Apple und Google entwickelten Exposure-Notification-Schnittstelle. Tests zeigten zudem technische Probleme: Wegen Apples Beschränkungen für Bluetooth-Hintergrundprozesse erkannte die zentralisierte App nur etwa 4 Prozent der iPhones und rund 75 Prozent der Android-Geräte zuverlässig, während das Apple-Google-Modell 99 Prozent beider Gerätetypen erfasste. Am 18.06.2020 gab Gesundheitsminister Matt Hancock bekannt, dass die Regierung das zentralisierte Modell aufgibt und künftig mit Apple und Google an einer dezentralen Lösung arbeitet. Die neue, auf der Apple-Google-Schnittstelle basierende NHS-COVID-19-App wurde am 24.09.2020 in England und Wales veröffentlicht und am ersten Tag sechs Millionen Mal heruntergeladen. Eine 2023 veröffentlichte Studie schätzte, dass die App im ersten Betriebsjahr rund eine Million Infektionsfälle und etwa 9.600 Todesfälle verhindert habe. Die App wurde am 27.04.2023 endgültig abgeschaltet.

Aus dieser Quelle nicht belegt sind die genauen Entwicklungskosten der ursprünglichen zentralisierten App sowie die Details der internen Entscheidungsprozesse. Ebenfalls unklar bleibt, ob letztlich die technischen Bluetooth-Probleme mit iPhones oder die Datenschutzbedenken den Ausschlag für den Wechsel gaben.

Im Oktober und November 2016 luden zwei Hacker aus einer AWS-Cloud-Datenbank von Uber persönliche Daten von 57 Millionen Nutzern und Fahrern herunter, darunter rund 25,6 Millionen Namen und E-Mail-Adressen sowie etwa 607.000 Führerscheinnummern US-amerikanischer Fahrer. Uber erfuhr am 14.11.2016 von dem Angriff. Der damalige Sicherheitschef Joseph Sullivan ließ den Hackern daraufhin 100.000 US-Dollar in Bitcoin zahlen und diese Zahlung über das Programm HackerOne als reguläre Bug-Bounty-Prämie tarnen, obwohl Ubers übliche Höchstprämie bei 10.000 Dollar lag; die Hacker mussten zudem eine Verschwiegenheitserklärung unterzeichnen. Der Vorfall wurde erst im November 2017 öffentlich, als der neue Uber-Chef Dara Khosrowshahi ihn offenlegte, woraufhin Sullivan entlassen wurde. Im September 2018 zahlte Uber 148 Millionen US-Dollar in einem Vergleich mit den Generalstaatsanwälten aller 50 US-Bundesstaaten und des District of Columbia wegen verspäteter Meldung der Datenpanne. Im August 2020 klagte die US-Bundesstaatsanwaltschaft Sullivan wegen Behinderung eines FTC-Verfahrens und Verschweigen einer Straftat an. Eine Bundesgeschworenenjury sprach ihn am 05.10.2022 in beiden Anklagepunkten schuldig. Am 04.05.2023 verurteilte Richter William Orrick Sullivan zu drei Jahren Bewährung, 200 Stunden gemeinnütziger Arbeit und einer Geldstrafe von 50.000 US-Dollar, ohne Haftstrafe.

Aus der Berichterstattung nicht abschließend geklärt ist, inwieweit der damalige Uber-CEO Travis Kalanick persönlich für die Vertuschung mitverantwortlich war; er wurde strafrechtlich nicht angeklagt, obwohl der Richter ihn laut Presseberichten als ebenso schuldig bezeichnete. Der genaue Tag der Bitcoin-Zahlung im Dezember 2016 ist in den verfügbaren Quellen nicht einheitlich belegt.

JPMorgan Chase, die größte Bank der USA, teilte am 02.10.2014 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC mit, dass Angreifer persönliche Kontaktdaten von 76 Millionen Haushalten und 7 Millionen kleinen Unternehmen erbeutet hatten. Die Angreifer verschafften sich im Juni 2014 mithilfe gestohlener Zugangsdaten eines Mitarbeiters Zugang zu einem internen Server, der nicht durch Zwei-Faktor-Authentifizierung gesichert war, und drangen anschließend in mehr als 90 weitere Server des Konzerns ein. JPMorgan entdeckte den Einbruch Mitte August 2014 und beendete ihn kurz darauf. Erbeutet wurden Namen, Postadressen, Telefonnummern und E-Mail-Adressen. Nach Angaben der Bank fanden sich keine Hinweise auf den Diebstahl von Kontonummern, Passwörtern, Geburtsdaten oder Sozialversicherungsnummern. Im November 2015 klagte die US-Staatsanwaltschaft für den Südlichen Bezirk von New York die Israelis Gery Shalon und Ziv Orenstein sowie den US-Amerikaner Joshua Samuel Aaron im Rahmen eines größeren Betrugs- und Marktmanipulationsschemas an, das neben JPMorgan mindestens neun weitere Finanzunternehmen betraf. Shalon bekannte sich 2017 in allen 23 Anklagepunkten schuldig und musste Vermögenswerte von mehr als 400 Millionen US-Dollar abtreten. Der russische Mitangeklagte Andrei Tyurin wurde 2018 ausgeliefert und 2021 zu zwölf Jahren Haft verurteilt. JPMorgan verdoppelte in der Folge sein jährliches Cybersicherheitsbudget von rund 250 Millionen auf 500 Millionen US-Dollar.

Ob wirklich keine Konto- oder Sozialversicherungsdaten abflossen, beruht allein auf der eigenen Einschätzung von JPMorgan und wurde nicht unabhängig verifiziert. Der genaue strafrechtliche Ausgang gegen den mutmaßlichen Mitorganisator Joshua Samuel Aaron ist mit dieser Quelle nicht abschließend belegt.

Zwischen dem 17. und 19. April 2011 verschafften sich unbekannte Angreifer unbefugten Zugriff auf die Server des Sony-Unterhaltungsnetzwerks PlayStation Network (PSN) und des Musikdienstes Qriocity. Am 20. April 2011 schaltete Sony beide Dienste vollständig ab, um die Systeme zu untersuchen. Am 26. April 2011 bestätigte Sony offiziell, dass persönliche Daten von rund 77 Millionen PSN- und Qriocity-Konten kompromittiert wurden, darunter Namen, Adressen, E-Mail-Adressen, Geburtsdaten sowie Login- und Passwortdaten. Zusätzlich waren beim ebenfalls angegriffenen Dienst Sony Online Entertainment rund 24,6 Millionen weitere Konten betroffen, bei etwa 12.700 davon auch Kreditkartendaten. Die PlayStation-Network-Dienste blieben bis zum 14. Mai 2011 vollständig offline, ein Ausfall von rund drei Wochen. Am 23. Mai 2011 bezifferte Sony die Kosten des Vorfalls auf etwa 171 Millionen US-Dollar, unter anderem für Identitätsschutz-Versicherungen und kostenlose Abonnements für betroffene Nutzer. Im Januar 2013 verhängte die britische Datenschutzbehörde Information Commissioner's Office eine Geldstrafe von 250.000 britischen Pfund gegen Sony wegen unzureichender Sicherheitsvorkehrungen. Die Angreifer wurden nie zweifelsfrei identifiziert, Sony vermutete zunächst eine Beteiligung der Hacktivisten-Gruppe Anonymous, die eine Verantwortung jedoch zurückwies.

Die genaue Herkunft und Identität der Angreifer ist bis heute nicht zweifelsfrei belegt, ebenso wenig, in welchem Umfang gestohlene Kreditkartendaten tatsächlich für Betrug missbraucht wurden. Die Zahl von 12.700 betroffenen Kreditkarten bei Sony Online Entertainment stammt aus Sonys eigenen Angaben und ist unabhängig nicht überprüft.

Die US-Einzelhandelskette TJX Companies, Betreiber von T.J. Maxx, Marshalls und weiteren Ketten, entdeckte am 18.12.2006 einen seit Juli 2005 andauernden Einbruch in ihre IT-Systeme und informierte die Öffentlichkeit am 17.01.2007. Die Angreifer verschafften sich Zugang über ein mit dem veralteten WEP-Standard gesichertes WLAN einer Marshalls-Filiale in St. Paul, Minnesota, das sie per Wardriving vom Parkplatz aus knackten, und bewegten sich anschließend monatelang unbemerkt im zentralen Zahlungsverkehrsnetz. In einer Mitteilung an die US-Börsenaufsicht SEC bezifferte TJX im März 2007 die Zahl betroffener Karten auf 45,7 Millionen. In einer Gerichtseingabe vom 24.10.2007 gaben klagende Bankenverbände die tatsächliche Zahl mit rund 94 Millionen Karten an, davon etwa 65 Millionen von Visa und 29 Millionen von MasterCard. Zusätzlich wurden persönliche Daten von rund 451.000 Kunden entwendet, die Waren ohne Kassenbon zurückgegeben hatten. TJX zahlte im November 2007 bis zu 40,9 Millionen US-Dollar an Visa und im April 2008 rund 24 Millionen US-Dollar an MasterCard. Am 01.08.2008 verpflichtete sich TJX gegenüber der FTC per Vergleich zu 20 Jahren regelmäßiger unabhängiger Sicherheitsaudits. Der als Haupttäter identifizierte Albert Gonzalez wurde im August 2008 zusammen mit zehn weiteren Personen angeklagt und später zu 20 Jahren Haft verurteilt.

Die exakte Gesamtzahl betroffener Karten ist nicht abschließend geklärt: TJX bestätigte offiziell nur 45,7 Millionen, während die höhere Zahl von 94 Millionen auf einer Schätzung klagender Bankenverbände beruht. Auch die genaue Rolle einzelner Mitangeklagter neben Albert Gonzalez ist aus dieser Quelle nicht im Detail belegt.

Der US-Zahlungsdienstleister Heartland Payment Systems wurde ab etwa Dezember 2007/2008 Opfer eines Cyberangriffs, der am 20.01.2009 von Firmenchef Robert Carr öffentlich bekanntgegeben wurde. Angreifer nutzten eine SQL-Injection-Schwachstelle in einer webbasierten Anwendung, um in das Zahlungsabwicklungsnetzwerk einzudringen, und installierten dort ein Sniffer-Programm, das unverschlüsselte Kartendaten während der Transaktionsautorisierung abfing. Betroffen waren Kartennummern, Ablaufdaten und teils Magnetstreifendaten sowie Karteninhabernamen von schätzungsweise 134 Millionen Zahlungskarten, was den Vorfall zum damals größten bekannten Kreditkartendiebstahl der Geschichte machte. Visa alarmierte Heartland im Oktober 2008 auf verdächtige Transaktionsmuster, woraufhin die Untersuchung begann. Die Drahtzieherschaft wurde dem US-Hacker Albert Gonzalez zugeschrieben, der im März 2010 zu 20 Jahren Haft verurteilt wurde, die zum damaligen Zeitpunkt höchste je in den USA für Hacking verhängte Strafe. Zwei russische Mitangeklagte wurden im Februar 2018 verurteilt. Heartland zahlte insgesamt rund 145 Millionen US-Dollar an Entschädigungen, darunter etwa 60 Millionen US-Dollar an Visa und 41 Millionen US-Dollar an Mastercard, und verlor vorübergehend seinen PCI-DSS-Compliance-Status, bevor Visa die Wiederzulassung am 01.05.2009 bestätigte.

Die exakte Gesamtzahl der finanziellen Folgekosten (teils 140, teils 145 Millionen US-Dollar in verschiedenen Quellen) sowie der genaue Zeitpunkt des Einbruchsbeginns sind je nach Quelle uneinheitlich; Wikipedia selbst nennt an einer Stelle abweichend 100 Millionen Karten und über 650 betroffene Finanzdienstleister als alternative Schätzung.

Am 17.03.2011 informierte die IT-Sicherheitsfirma RSA, eine Sparte des Speicherkonzerns EMC, ihre Kunden über einen als Advanced Persistent Threat eingestuften Cyberangriff auf ihre Systeme. Der Angriff begann bereits am 03.03.2011, als die Angreifer an eine kleine Gruppe von RSA-Mitarbeitern eine Phishing-E-Mail mit dem Betreff 2011 Recruitment Plan und einem präparierten Excel-Anhang verschickten. Die Datei nutzte eine Zero-Day-Schwachstelle in Adobe Flash (CVE-2011-0609), um die Backdoor-Software Poison Ivy im Netzwerk von RSA zu installieren. Über diesen Zugang entwendeten die Angreifer Daten aus der Datenbank der Zwei-Faktor-Authentifizierungstechnologie SecurID, darunter nach Einschätzung von RSA vermutlich die geheimen Seed-Schlüssel und Seriennummern der Hardware-Token. Am 21.05.2011 entdeckte der US-Rüstungskonzern Lockheed Martin einen Einbruchsversuch in sein Netzwerk über den VPN-Zugang, der auf SecurID-Token basiert. RSA bestätigte am 02.06.2011 offiziell, dass die im März gestohlenen Informationen bei diesem Angriff eingesetzt wurden. RSA bot daraufhin praktisch allen der rund 30.000 SecurID-Kunden weltweit den kostenlosen Austausch ihrer Hardware-Token an. Der Mutterkonzern EMC bezifferte die Kosten für Untersuchung, Systemhärtung und Kundenbetreuung auf 66,3 Millionen US-Dollar.

Eine offizielle, amtlich bestätigte Zuschreibung der Angreifer liegt bis heute nicht vor, sie stützt sich nur auf spätere Medienrecherchen und Einschätzungen von Sicherheitsforschern. Unklar bleibt zudem, bei wie vielen der über 30.000 SecurID-Kunden gestohlene Daten tatsächlich für erfolgreiche Folgeangriffe genutzt wurden, außer im bestätigten Fall Lockheed Martin.

Der Computerwurm Stuxnet wurde am 17.06.2010 von der belarussischen Sicherheitsfirma VirusBlokAda unter Sergey Ulasen entdeckt, nachdem ein iranischer Kunde wiederholte Computerabstürze gemeldet hatte. Die Schadsoftware zielte auf Siemens SIMATIC Step7 Software und S7-300 speicherprogrammierbare Steuerungen, mit denen die Frequenzumrichter der Gaszentrifugen in der iranischen Urananreicherungsanlage Natanz geregelt wurden. Stuxnet erhöhte die Rotationsgeschwindigkeit der Zentrifugen für 15 Minuten auf 1.410 Hertz und senkte sie anschließend für 50 Minuten stark ab, wodurch die Rotoren mechanisch beschädigt wurden. Nach Schätzungen des Institute for Science and International Security wurden zwischen November 2009 und Ende Januar 2010 rund 900 bis 1.000 der etwa 9.000 in Natanz installierten IR-1-Zentrifugen zerstört, etwa 10 Prozent des Bestands. Weltweit infizierte Stuxnet laut Symantec über 200.000 Computer, rund 59 Prozent der Infektionen entfielen auf Iran. Am 01.06.2012 berichtete die New York Times unter Berufung auf Regierungsvertreter, dass Stuxnet Teil der gemeinsamen US-israelischen Operation Olympic Games war, die unter Präsident George W. Bush begann und unter Barack Obama fortgesetzt wurde. Im Juni 2013 bestätigte der ehemalige NSA-Mitarbeiter Edward Snowden die gemeinsame Entwicklung durch die NSA und die israelische Einheit 8200.

Die genaue Zahl der tatsächlich zerstörten Zentrifugen bleibt eine Schätzung verschiedener Quellen zwischen rund 900 und 2.000, ebenso wie das exakte Ausmaß der dadurch verursachten Verzögerung des iranischen Atomprogramms. Eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor.