Quellen-Tabelle

Die Wirtschaftsprüfungsgesellschaft Deloitte wurde nach Medienberichten spätestens im Oktober oder November 2016 Opfer eines Cyberangriffs auf ihr globales E-Mail-System, den das Unternehmen erst im März 2017 entdeckte. Die Angreifer verschafften sich Zugang über ein Administratorkonto, das nicht durch Zwei-Faktor-Authentifizierung geschützt war, und erhielten damit privilegierten Zugriff auf das komplette, bei Microsoft Azure gehostete E-Mail-System der Firma. Betroffen waren die E-Mail-Konten von rund 244.000 Deloitte-Mitarbeitern weltweit, wobei die Angreifer laut Berichten potenziell auf bis zu fünf Millionen E-Mails zugreifen konnten. Zu den kompromittierten Daten zählten Nutzernamen, Passwörter, IP-Adressen, Architekturdiagramme sowie teils Gesundheitsinformationen aus E-Mail-Anhängen. Die britische Zeitung The Guardian machte den Vorfall am 25.09.2017 öffentlich, nachdem Deloitte den Angriff zuvor nicht publik gemacht hatte. Deloitte erklärte, es seien nur sehr wenige Kunden betroffen gewesen, und bestätigte, sechs Kunden offiziell über eine Beeinträchtigung ihrer Daten informiert zu haben. Zu den laut Presseberichten möglicherweise betroffenen Organisationen zählten mehrere US-Bundesbehörden sowie internationale Konzerne aus den Bereichen Banken, Pharma und Medien.

Die genaue Gesamtzahl der tatsächlich betroffenen Kunden sowie der Umfang des tatsächlich abgeflossenen Datenvolumens sind nicht abschließend belegt, da Deloitte offiziell nur sechs Kunden als betroffen bestätigte, während Medienberichte einen deutlich größeren Kreis potenziell betroffener Organisationen nennen.

Der Sicherheitsforscher Dylan Houlihan meldete dem US-Backwarenkonzern Panera Bread am 02.08.2017 eine offene Programmierschnittstelle auf panerabread.com, über die Kundendaten ohne Anmeldung abrufbar waren. Panera reagierte zunächst nicht und stufte den Hinweis später als möglichen Betrugsversuch ein. Erst als Houlihan sich am 02.04.2018 an den Sicherheitsjournalisten Brian Krebs von KrebsOnSecurity wandte, wurde die Lücke öffentlich, fast acht Monate nach der ersten Meldung. Ursache war eine Datenbank mit fortlaufend nummerierten Kundenkonten, deren Datensätze sich ohne Authentifizierung automatisiert auslesen ließen. Offengelegt wurden Namen, E-Mail-Adressen, Postanschriften, Geburtsdaten, die letzten vier Ziffern von Kreditkartennummern sowie Kontonummern des Treueprogramms MyPanera. Erste Schätzungen gingen von mehr als 7 Millionen betroffenen Datensätzen aus, nach Einbeziehung des Großkunden- und Cateringgeschäfts von Panera stieg die Schätzung auf bis zu 37 Millionen Einträge. Nachdem KrebsOnSecurity das Unternehmen kontaktiert hatte, nahm Panera die Website zeitweise vom Netz und erklärte öffentlich, lediglich rund 10.000 Kunden seien betroffen. Diese Zahl wurde von Sicherheitsforschern als deutlich zu niedrig kritisiert.

Die genaue Gesamtzahl der betroffenen Datensätze schwankt je nach Quelle zwischen 7 und 37 Millionen und wurde von Panera nie offiziell bestätigt. Unklar bleibt zudem, ob und in welchem Umfang die Daten vor der öffentlichen Enthüllung bereits von Dritten missbräuchlich abgegriffen wurden.

Am 06.10.2021 veröffentlichte eine anonyme Gruppe über die Plattform 4chan ein Torrent-Archiv mit rund 135 Gigabyte interner Daten der Streaming-Plattform Twitch. Enthalten waren fast 6000 interne Git-Repositories mit dem Quellcode der Mobil-, Desktop- und Konsolen-Apps von Twitch sowie interne Sicherheitswerkzeuge und Unterlagen zu einem unveröffentlichten Spieleprojekt mit dem Codenamen Vapour. Zusätzlich wurden Auszahlungsdaten an Streamer veröffentlicht, die bis August 2019 zurückreichten und in einem rund 5 Gigabyte großen Ordner namens twitch_payouts lagen. Aus diesen Daten ging beispielsweise hervor, dass der Streamer MontanaBlack88 zwischen August 2019 und Oktober 2021 etwa 2,3 Millionen US-Dollar von Twitch erhielt. Die unbekannten Urheber begründeten die Veröffentlichung mit Kritik an der Twitch-Community. Twitch bestätigte den Vorfall am selben Tag über Twitter. Als wahrscheinliche Ursache identifizierte Twitch in den Folgetagen eine fehlerhafte Serverkonfiguration im internen Netzwerk. Twitch empfahl betroffenen Nutzern, vorsorglich ihre Passwörter zu ändern.

Aus der Quelle nicht abschließend belegt sind die genaue Identität und Motivation der Angreifer sowie der Umfang, in dem Zuschauer Passwörter oder Zahlungsdaten tatsächlich kompromittiert wurden, da sich der Leak primär auf Quellcode und Streamer-Auszahlungen bezog.

Zwischen dem 1. Dezember 2022 und dem 12. Dezember 2022 führten Angreifer automatisierte Credential-Stuffing-Angriffe gegen Nutzerkonten von Norton LifeLock durch, dem Passwort-Manager-Dienst des Unternehmens Gen Digital. Dabei nutzten die Täter Kombinationen aus Benutzernamen und Passwörtern, die aus früheren, anderen Datenlecks stammten und im Darknet kursierten. Am 12. Dezember 2022 registrierten die Systeme von Gen Digital ein ungewöhnlich hohes Volumen fehlgeschlagener Anmeldeversuche, die interne Untersuchung wurde am 22. Dezember 2022 abgeschlossen. Insgesamt waren rund 925.000 aktive und inaktive Konten von den automatisierten Anmeldeversuchen betroffen, bei etwa 6.450 bis 6.500 Konten gelang den Angreifern der tatsächliche Zugriff. Bei den kompromittierten Konten konnten die Angreifer nach Angaben des Unternehmens auf Vornamen, Nachnamen, Telefonnummern und Postanschriften zugreifen. Gen Digital erklärte zudem, ein Zugriff auf im Passwort-Manager gespeicherte Passwörter der betroffenen Nutzer könne nicht ausgeschlossen werden. Am 13. Januar 2023 reichte Gen Digital eine Meldung bei der Generalstaatsanwaltschaft von Vermont ein und informierte die betroffenen Kunden per Brief. Gen Digital betonte, dass die eigenen Systeme nicht kompromittiert worden seien und die Ursache in der Wiederverwendung von Passwörtern durch Nutzer lag.

Aus der Quelle geht nicht hervor, aus welchem konkreten Drittanbieter-Datenleck die verwendeten Zugangsdaten ursprünglich stammten, und es bleibt offen, ob tatsächlich im Passwort-Manager gespeicherte Passwörter ausgelesen wurden oder dies nur theoretisch möglich war.

Am 24. April 2018 verhafteten Ermittler in Sacramento, Kalifornien, den 72-jährigen ehemaligen Polizisten Joseph James DeAngelo als mutmaßlichen Golden State Killer, der von den 1970er bis in die 1980er Jahre eine Serie von Morden, Vergewaltigungen und Einbrüchen in Kalifornien begangen haben soll. Ermittler hatten DNA-Spuren von Tatorten in die öffentlich zugängliche genetische Genealogie-Datenbank GEDmatch hochgeladen und darüber entfernte Verwandte von DeAngelo bis zu dessen Ur-Ur-Großeltern identifiziert, um anschließend über Monate den Stammbaum einzugrenzen. Am 20. April 2018 ergab ein erster DNA-Abgleich mit einer aus dem Hausmüll DeAngelos gewonnenen Probe eine Übereinstimmung, ein zweiter Test am 23. April 2018 bestätigte den Treffer, woraufhin der Haftbefehl vollstreckt wurde. GEDmatch war zum Tatzeitpunkt eine von Nutzern freiwillig mit eigenen DNA-Rohdaten befüllte Plattform ohne explizite Zustimmung zur Strafverfolgungsnutzung, was nach Bekanntwerden des Falls eine Debatte über die Nutzung ziviler DNA-Datenbanken durch die Polizei auslöste. Am 29. Juni 2020 bekannte sich DeAngelo vor Gericht in Sacramento zu 13 Fällen von Mord ersten Grades und 13 Fällen von Entführung im Rahmen von insgesamt 161 zugestandenen Straftaten an 48 Opfern schuldig, im Austausch gegen den Verzicht auf die Todesstrafe. Am 21. August 2020 verurteilte ihn das Gericht zu elf aufeinanderfolgenden lebenslangen Freiheitsstrafen ohne Bewährungsmöglichkeit.

Aus der Quelle nicht eindeutig belegt sind genaue Angaben dazu, wie viele GEDmatch-Nutzerprofile im Zuge der monatelangen Stammbaumrecherche konkret ausgewertet wurden und welche internen Absprachen zwischen Ermittlern und GEDmatch-Betreibern vor der Verhaftung stattfanden. Auch die vollständige rechtliche Bewertung der Zulässigkeit einer solchen DNA-Datenbanknutzung durch Strafverfolgungsbehörden war zum Zeitpunkt des Artikels noch nicht abschließend geklärt.

Am 03.03.2017 veröffentlichte die New York Times einen Artikel des Journalisten Mike Isaac, der ein internes Uber-Programm namens Greyball öffentlich machte. Greyball war Teil eines breiteren Systems namens VTOS (Violation of Terms of Service) und wurde laut Uber seit mindestens 2014 eingesetzt, um Behördenmitarbeiter und Ermittler in Städten zu identifizieren, in denen Uber ohne Genehmigung operierte oder verboten war. Zur Identifizierung nutzte Uber unter anderem Geofencing um Behördengebäude, den Abgleich von Kreditkarten mit Polizei-Kreditgenossenschaften, Social-Media-Daten und Geräte-Fingerprinting, insgesamt rund ein Dutzend Signale. Als Behördenmitarbeiter erkannte Nutzer erhielten eine manipulierte Version der App zu sehen, etwa mit nicht existierenden Fahrzeugen oder ohne verfügbare Fahrer, teilweise wurden Fahrer telefonisch angewiesen, eine bereits begonnene Fahrt abzubrechen. Die Methode kam laut Berichten unter anderem in Portland, Boston, Paris und Las Vegas sowie in Australien, China und Südkorea zum Einsatz. Uber räumte ein, die Technik in Portland über einen Zeitraum von zwei Wochen im Jahr 2014 gegen 17 Nutzerkonten vorwiegend von Behördenmitarbeitern eingesetzt zu haben. Am 09.03.2017 erklärte Ubers Sicherheitschef Joe Sullivan, der Einsatz von Greyball gegen lokale Regulierungsbehörden werde künftig untersagt. Im Dezember 2017 wurde bekannt, dass das US-Justizministerium eine strafrechtliche Untersuchung zu Greyball eingeleitet hatte.

Der genaue Ausgang der strafrechtlichen Ermittlungen des US-Justizministeriums ist aus dieser Quelle nicht ersichtlich, ebenso wenig eine belastbare Gesamtzahl weltweit betroffener Behördenmitarbeiter jenseits der 17 dokumentierten Portland-Konten.

Der britische IT-Sicherheitsforscher Marcus Hutchins, bekannt unter dem Pseudonym MalwareTech, wurde am 02.08.2017 vom FBI in Las Vegas verhaftet, nachdem eine Grand Jury im Eastern District of Wisconsin ihn wegen Entwicklung und Verkauf des Banking-Trojaners Kronos sowie der Malware UPAS Kit angeklagt hatte. Hutchins war wenige Monate zuvor, im Mai 2017, bekannt geworden, weil er durch Registrierung einer Domain einen in der Ransomware WannaCry verborgenen Kill Switch aktivierte und damit deren weltweite Ausbreitung stoppte. Laut Anklage entwickelte und vertrieb er Kronos und UPAS Kit im Zeitraum von Juli 2012 bis September 2015, unter anderem über den inzwischen abgeschalteten Darknet-Marktplatz AlphaBay. Am 19.04.2019 bekannte sich Hutchins vor einem Bundesgericht in zwei von zehn Anklagepunkten schuldig. Am 26.07.2019 verurteilte Richter J. P. Stadtmueller ihn am US-Bezirksgericht in Milwaukee zu keiner weiteren Haftstrafe sowie einem Jahr Bewährung, obwohl theoretisch bis zu zehn Jahre Haft und 500.000 US-Dollar Geldstrafe möglich gewesen wären. Die Staatsanwaltschaft konnte keinen konkreten finanziellen Schaden durch Kronos nachweisen. Vor Gericht wurde der geringe belegte Schaden von Kronos den Folgen von WannaCry gegenübergestellt, das weltweit Schäden von über 8 Milliarden US-Dollar verursacht hatte. Wegen der Verurteilung darf Hutchins nicht mehr dauerhaft in die USA einreisen.

Aus der Quelle geht nicht hervor, welchen konkreten finanziellen Schaden oder wie viele Opfer der Kronos-Trojaner tatsächlich verursachte; die genannten Milliarden- und Millionenbeträge betreffen WannaCry, nicht Kronos. Ob Hutchins die vom Richter angeregte Präsidenten-Begnadigung je erhalten hat, ist nicht belegt.

Im Dezember 2019 übernahmen unbekannte Angreifer in den USA mehrere internetverbundene Überwachungskameras des Amazon-Tochterunternehmens Ring und sprachen über deren eingebaute Lautsprecher mit Kindern und Erwachsenen in deren Schlafzimmern. Am 04.12.2019 sprach ein Unbekannter über die Kamera der Familie LeMay in Desoto County, Mississippi, mit der achtjährigen Alyssa, spielte Musik ab und gab sich als Santa Claus und bester Freund aus. Die Kamera war nach Angaben der Mutter Ashley LeMay erst vier Tage zuvor installiert worden. Zwischen dem 09. und 11.12.2019 wurden weitere Fälle aus Cape Coral in Florida, Grand Prairie in Texas und Brookhaven in Georgia bekannt. Ring erklärte öffentlich, es habe keinen eigenen Datenschutzverstoß gegeben, die Angreifer hätten stattdessen Zugangsdaten aus früheren, fremden Datenlecks per Credential Stuffing wiederverwendet. Die Familie LeMay hatte die optionale Zwei-Faktor-Authentifizierung für ihr Ring-Konto nicht aktiviert. Die US-Handelsaufsicht FTC stellte 2023 in einer Klage fest, dass Hacker über ähnliche Methoden bis 2020 auf Konten und Kamera-Feeds von mindestens 55.000 US-Kunden zugreifen konnten, darunter Kinder und ältere Menschen. Im Rahmen der Einigung zahlte Ring eine Entschädigungssumme von 5,6 Millionen US-Dollar, die die FTC ab 2024 per PayPal an mehr als 117.000 betroffene Kunden auszahlte.

Aus der Quelle nicht belegt ist, wie viele der im Dezember 2019 gemeldeten Einzelfälle sich tatsächlich auf Credential Stuffing zurückführen lassen, da Sicherheitsforscher Rings Darstellung anhand des Formats geleakter Daten anzweifelten. Ebenfalls nicht dokumentiert ist, ob die verantwortlichen Angreifer je identifiziert oder strafrechtlich verfolgt wurden.

Die US-Kreditauskunftei Experian erwarb im März 2012 das Unternehmen Court Ventures, das über eine Vertragspartnerschaft mit dem Datenaggregator US Info Search Zugriff auf umfangreiche Verbraucherdatenbanken besaß. Ein Kunde von Court Ventures, der sich als Privatermittler mit Sitz in Singapur ausgab, war tatsächlich der 24-jährige vietnamesische Staatsbürger Hieu Minh Ngo, der unter dem Pseudonym hieupc die Identitätsdiebstahl-Dienste Superget.info und Findget.me betrieb. Ngo bezahlte den Datenzugang monatlich per Banküberweisung aus Singapur und konnte dadurch auf Sozialversicherungsnummern, Geburtsdaten, Adressen und weitere Datensätze von mehr als 200 Millionen US-Amerikanern zugreifen. Der Zugriff dauerte auch nach der Übernahme durch Experian noch rund zehn Monate an, bis der US Secret Service Experian auf die verdächtigen Aktivitäten aufmerksam machte und der Zugang im Februar 2013 beendet wurde. Nach Angaben von US-Ermittlern führte Ngos Dienst zwischen 2007 und Februar 2013 rund 3,1 Millionen Abfragen für etwa 1.300 zahlende Kunden durch und nahm dabei rund 1,9 Millionen US-Dollar ein. Das US-Justizministerium gab die strafrechtliche Anklage gegen Ngo am 19.10.2013 bekannt. Ngo bekannte sich schuldig und wurde im Juli 2015 zu 13 Jahren Haft verurteilt. Im November 2022 einigte sich die Experian-Tochter Experian Data Corp zusätzlich mit den Generalstaatsanwälten von 40 US-Bundesstaaten auf einen Vergleich über 1 Million US-Dollar.

Die genaue Zahl der tatsächlich durch Ngos Dienst geschädigten Verbraucher blieb laut US-Ermittlern zum Zeitpunkt der Anklage 2013 ungeklärt, da nur die Zahl der abrufbaren Datensätze und Abfragen bekannt war.

Am 04.10.2016 berichtete die Nachrichtenagentur Reuters unter Berufung auf mehrere ehemalige Mitarbeiter, dass der Internetkonzern Yahoo im Jahr 2015 heimlich eine Spezialsoftware entwickelt hatte, um alle eingehenden E-Mails seiner Kundinnen und Kunden zu durchsuchen. Der Auftrag ging laut Reuters auf eine geheime Anordnung der US-Regierung zurück, die entweder von der NSA oder dem FBI stammte. Die Software durchsuchte den eingehenden Mailverkehr von mehreren hundert Millionen Yahoo-Mail-Konten in Echtzeit nach einer bestimmten, nicht öffentlich bekannten Zeichenfolge. Nach Einschätzung von Überwachungsexperten war dies der erste bekannt gewordene Fall, in dem ein US-Internetunternehmen den gesamten eingehenden E-Mail-Verkehr in Echtzeit durchsuchte. Yahoos damalige Geschäftsführerin Marissa Mayer und Justiziar Ron Bell wiesen die zuständigen E-Mail-Ingenieure an, das Programm ohne Wissen des übrigen Sicherheitsteams zu bauen. Der damalige Chief Information Security Officer Alex Stamos entdeckte das Programm im Mai 2015 und verließ Yahoo im Juni 2015. Yahoo reagierte mit der Erklärung, man sei ein gesetzestreues Unternehmen, äußerte sich aber nicht näher zu Details.

Unklar bleibt, welche konkrete Zeichenfolge die Geheimdienste tatsächlich suchten, welche Behörde die Anordnung im Detail erteilte und ob beziehungsweise welche Daten Yahoo an Behörden übergab. Yahoo bestritt Teile der Reuters-Darstellung öffentlich, ohne eigene Fakten oder Zahlen zu nennen, sodass der Sachverhalt bis heute nicht offiziell bestätigt ist.

Der Sicherheitsforscher Troy Hunt veröffentlichte am 27.02.2017 seine Analyse zum Datenleck des Spielzeugherstellers Spiral Toys, dessen Produktlinie CloudPets internetverbundene Plüschtiere mit Sprachnachrichtenfunktion zwischen Eltern und Kindern umfasste. Die zugrunde liegende MongoDB-Datenbank war bereits seit dem 25.12.2016 ohne jede Authentifizierung im offenen Internet erreichbar und wurde von der Suchmaschine Shodan erfasst. Sie enthielt 821.296 Nutzerdatensätze mit E-Mail-Adressen und bcrypt-gehashten Passwörtern sowie Namen, Geburtsdaten und Profilfotos von Kindern. Zusätzlich verwies die Datenbank auf 2.182.337 bei Amazon Web Services gespeicherte Sprachaufnahmen zwischen Eltern und Kindern, die ohne Zugriffsschutz abrufbar waren. Mehrere Sicherheitsforscher versuchten ab dem 30.12.2016 vergeblich, Spiral Toys sowie den Hosting-Anbieter Linode zu erreichen, der erst am 04.01.2017 reagierte. Zwischen dem 07.01. und 13.01.2017 griffen Unbekannte mehrfach auf die ungesicherte Datenbank zu, löschten Teile davon und hinterließen Erpressernachrichten mit Bitcoin-Zahlungsaufforderungen. CloudPets verlangte laut Hunts Untersuchung keinerlei Mindestanforderungen an Passwörter. Das Unternehmen informierte die betroffenen Familien nach Hunts Angaben trotz gesetzlicher Meldepflicht im Sitzstaat Kalifornien nicht über den Vorfall.

Aus dieser Quelle nicht belegt sind spätere behördliche Konsequenzen wie Bußgelder oder ein förmliches FTC-Verfahren gegen Spiral Toys sowie der genaue Umfang tatsächlich abgeflossener Daten, da die Reaktionszeiten einzelner Angreifer nicht vollständig rekonstruierbar sind.

Am 21.11.2023 vergab NHS England den Zuschlag für die Federated Data Platform (FDP) an ein von Palantir Technologies angeführtes Konsortium, dem auch Accenture, PwC, NECS und Carnall Farrar angehören. Der Vertrag hat eine Laufzeit von bis zu sieben Jahren und ein Volumen von bis zu 330 Millionen Pfund, wobei die ursprüngliche Ausschreibung bei voller Verlängerung einen Maximalwert von bis zu 480 Millionen Pfund vorsah. Die FDP soll Patientendaten aus bis zu 240 NHS-Organisationen und 215 Krankenhaustrusts in England zusammenführen, um Wartelisten zu verwalten und die Versorgung zu koordinieren. Palantir setzte sich im Vergabeverfahren gegen Mitbewerber wie Oracle und IBM durch. Zuvor hatte Palantir bereits ohne offene Ausschreibung rund 60 Millionen Pfund von NHS-Stellen erhalten, darunter einen Pandemie-Vertrag ab 2020 zum symbolischen Preis von 1 Pfund. Der neue Vertrag enthält eine Ausstiegsklausel, deren erste Frist im Februar 2027 liegt. Menschenrechtsorganisationen wie Amnesty International UK protestierten gegen den Vertrag, unter anderem wegen Palantirs Geschäftsbeziehungen zu Geheimdiensten und zum israelischen Militär. Bis Ende 2024 nutzten laut Berichten weniger als ein Viertel der 215 englischen Krankenhaustrusts die Plattform aktiv. Im Juli 2026 räumte NHS England zudem ein, dass ein Datenschutzdokument unzutreffend angegeben hatte, wer Zugriff auf identifizierbare Patientendaten hat.

Aus dieser Quelle nicht belegt sind die genaue Zahl der von dem Offenlegungsfehler zu Palantirs Datenzugriff betroffenen Patientendatensätze sowie der endgültige Ausgang der für Februar 2027 vorgesehenen vertraglichen Ausstiegsoption.

Die französische Datenschutzbehörde CNIL verhängte am 17.10.2022 gegen das US-Unternehmen Clearview AI eine Geldbuße von 20 Millionen Euro, das gesetzliche Maximum nach Artikel 83 DSGVO. Clearview AI betreibt eine Gesichtserkennungssoftware und sammelte weltweit über 20 Milliarden Fotos von Webseiten, sozialen Netzwerken und Videos, um daraus eine durchsuchbare Bilddatenbank zu erstellen, die vor allem an Strafverfolgungsbehörden vermarktet wird. Die CNIL stellte zwei DSGVO-Verstöße fest: die Verarbeitung sensibler biometrischer Daten ohne gültige Rechtsgrundlage sowie die unzureichende Berücksichtigung von Betroffenenrechten. Bereits am 26.11.2021 hatte die CNIL Clearview AI förmlich aufgefordert, die Datenerhebung französischer Bürger zu stoppen, worauf das Unternehmen nicht reagierte. Mit der Sanktion vom 17.10.2022 ordnete die CNIL zusätzlich an, dass Clearview AI die Datenerhebung von Personen in Frankreich einstellen und bereits gespeicherte Daten innerhalb von zwei Monaten löschen muss. Bei Überschreitung dieser Frist drohte ein Zwangsgeld von 100.000 Euro pro Tag. Clearview AI kooperierte während des gesamten Verfahrens nur unvollständig mit der Behörde.

Aus der Quelle nicht belegt ist, ob Clearview AI die Geldbuße tatsächlich gezahlt oder die angeordnete Löschung fristgerecht umgesetzt hat, da das Unternehmen als US-Firma ohne Niederlassung in der EU die Vollstreckbarkeit bestritt.

Am 13.08.2022 berichtete das Reiseportal View from the Wing über den Fall eines Marriott-Bonvoy-Kunden, dessen Treuepunktekonto von Unbekannten kompromittiert wurde. Aus dem Konto des Lesers verschwanden rund 100.000 Bonvoy-Punkte, wobei weder der genaue Zeitpunkt des Zugriffs noch die konkrete Zugriffsmethode öffentlich bekannt wurden. Nach der Meldung sperrte Marriott das betroffene Konto vollständig und teilte mit, die Punkte würden erst nach Abschluss einer internen Untersuchung zurückerstattet, mit einer erwarteten Bearbeitungsdauer von rund 45 Tagen. Nach 44 Tagen wurde das Konto aus der Prüfung genommen und alle 100.000 Punkte wurden dem Kunden vollständig gutgeschrieben. Während der gesamten Untersuchungsdauer hatte der rechtmäßige Kontoinhaber keinen eigenen Zugriff mehr auf sein Konto. Der Fall reiht sich in ein 2022 vielfach dokumentiertes Muster von Bonvoy-Kontoübernahmen ein. Parallel dazu bestätigte Marriott im Juni/Juli 2022 einen separaten Sicherheitsvorfall, bei dem ein Angreifer per Social Engineering Zugriff auf den Rechner eines Mitarbeiters am BWI Airport Marriott in Maryland erlangte und rund 20 Gigabyte an Daten entwendete, was rund 300 bis 400 Personen betraf.

Die Quelle belegt nur diesen dokumentierten Einzelfall; wie die Täter tatsächlich Zugang zum Bonvoy-Konto erlangten, bleibt ungeklärt. Ob gestohlene Bonvoy-Punkte systematisch im großen Stil weiterverkauft wurden, ist aus dieser Quelle nicht ersichtlich.

Am 11. September 2023 bestätigte die Casino- und Hotelkette MGM Resorts International einen Cyberangriff auf ihre US-Systeme, nachdem die Hackergruppe Scattered Spider bereits am 10. September 2023 Zugriff auf interne Systeme erlangt hatte. Die Angreifer nutzten Social Engineering: Sie identifizierten einen MGM-Mitarbeiter über LinkedIn, gaben sich in einem rund zehnminütigen Anruf beim IT-Helpdesk als diese Person aus und erhielten so administrative Zugriffsrechte auf die Okta- und Azure-Umgebung von MGM. Die mit ALPHV/BlackCat verbundenen Angreifer legten daraufhin für etwa zehn Tage den Betrieb an mehr als 30 MGM-Standorten lahm, betroffen waren Online-Reservierungen, digitale Zimmerschlüssel, Geldautomaten und Spielautomaten. MGM Resorts bezifferte den finanziellen Schaden für das dritte Quartal 2023 auf mehr als 100 Millionen US-Dollar. MGM zahlte kein Lösegeld, während Caesars Entertainment im selben Zeitraum Berichten zufolge rund 15 Millionen US-Dollar zahlte. Die Täter erbeuteten zudem persönliche Daten von Kunden, die vor März 2019 mit MGM Geschäfte gemacht hatten.

Aus dieser Quelle nicht abschließend belegt sind die genaue Gesamtzahl der vom Datendiebstahl betroffenen Kundendatensätze sowie eine strafrechtliche Verantwortlichkeit konkreter, namentlich benannter Scattered-Spider-Mitglieder.

Am 21.02.2024 legte ein Ransomware-Angriff der Gruppe ALPHV/BlackCat den IT-Betrieb von Change Healthcare lahm, einem Tochterunternehmen von UnitedHealth Group, das rund ein Drittel aller US-Krankenversicherungsabrechnungen verarbeitet. Die Angreifer verschafften sich bereits am 12.02.2024 über ein Citrix-Fernzugangsportal Zugang, das entgegen der Unternehmensrichtlinie nicht durch Multi-Faktor-Authentifizierung geschützt war. In neun Tagen bewegten sie sich lateral durch die Systeme und exfiltrierten schätzungsweise sechs Terabyte an Daten, bevor am 21.02.2024 die Ransomware ausgelöst wurde. UnitedHealth Group zahlte im Anschluss ein Lösegeld von 22 Millionen US-Dollar, erhielt jedoch keine vollständige Zusicherung der Datenlöschung. Betroffen waren Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Krankenversicherungs-, Diagnose-, Behandlungs- und Abrechnungsdaten. Die Zahl der gemeldeten Betroffenen wurde mehrfach nach oben korrigiert, von anfänglich rund 100 Millionen auf schließlich 192,7 Millionen Individuen, fast zwei Drittel der US-Bevölkerung. UnitedHealth bezifferte die Gesamtauswirkungen des Angriffs bis Ende September 2024 auf 2,457 Milliarden US-Dollar.

Nicht abschließend geklärt sind der genaue Umfang der tatsächlich missbrauchten Daten je Betroffenem sowie der Ausgang der zivilrechtlichen Sammelklagen und der behördlichen HIPAA-Untersuchung, die zum Zeitpunkt der Recherche noch keine abschließenden Ergebnisse veröffentlicht hatte.

Am 07.05.2021 legte die Ransomware-Gruppe DarkSide die IT-Systeme von Colonial Pipeline lahm, dem Betreiber der größten Treibstoffpipeline der USA, die täglich rund 2,5 Millionen Barrel Benzin, Diesel und Kerosin von Texas an die US-Ostküste liefert. Die Angreifer verschafften sich Zugang über ein kompromittiertes Passwort eines inaktiven VPN-Kontos ohne Mehr-Faktor-Authentifizierung und erbeuteten fast 100 Gigabyte an Daten. Colonial Pipeline stellte den Betrieb vorsorglich ein, was zu Panikkäufen, Kraftstoffknappheit an bis zu rund 10.600 Tankstellen und einem von Präsident Joe Biden am 09.05.2021 verhängten Notstand führte. CEO Joseph Blount ließ innerhalb weniger Stunden 75 Bitcoin im Wert von etwa 4,4 Millionen US-Dollar an DarkSide zahlen. Der Pipelinebetrieb wurde am 12.05.2021 wieder aufgenommen. Am 07.06.2021 gab das US-Justizministerium bekannt, dass FBI-Ermittler 63,7 der gezahlten Bitcoin im damaligen Wert von rund 2,3 Millionen US-Dollar sicherstellen konnten. Präsident Biden unterzeichnete am 12.05.2021 die Executive Order 14028 zur Stärkung der nationalen Cybersicherheit.

Aus dieser Quelle nicht abschließend belegt sind die genaue Identität der individuellen Angreifer hinter dem DarkSide-Konto sowie eine strafrechtliche Verurteilung konkreter Täter.

Das US-Gentestunternehmen 23andMe bestätigte am 06.10.2023 einen Datendiebstahl, bei dem Angreifer mittels Credential Stuffing auf Nutzerkonten zugriffen. Direkt kompromittiert wurden nach Angaben des Unternehmens rund 14.000 Konten, etwa 0,1 Prozent der Kundenbasis. Über die Funktionen DNA Relatives und Family Tree griffen die Angreifer zusätzlich auf Profildaten von insgesamt rund 6,9 Millionen Nutzern zu, wie 23andMe am 04.12.2023 vollständig einräumte. Ein Hacker mit dem Pseudonym Golem bot am 06.10.2023 im Forum BreachForums einen Datensatz mit dem Titel Ashkenazi DNA Data of Celebrities an, der Angaben zu 999.998 Personen mit aschkenasisch jüdischer Abstammung sowie zu 100.000 Personen mit chinesischer Abstammung enthielt. Erbeutet wurden Namen, Geburtsjahre, Wohnorte, Familiennamen, Herkunftsangaben der Großeltern und ethnische Abstammungsschätzungen. 23andMe deaktivierte daraufhin vorübergehend die DNA-Relatives-Funktion und führte eine verpflichtende Zwei-Faktor-Authentifizierung ein. Im September 2024 stimmte das Unternehmen einem Vergleich in Höhe von 30 Millionen US-Dollar zu, um Sammelklagen in den USA wegen des Vorfalls beizulegen.

Die Quelle belegt nicht die genaue Zahl direkt kompromittierter Konten unter den jüdischen und chinesischen Nutzern und deckt nicht die spätere Insolvenz von 23andMe sowie die überarbeiteten Vergleichssummen (unter anderem eine separate Einigung mit US-Bundesstaaten über 18 Millionen US-Dollar) ab.

Der Passwort-Manager-Anbieter LastPass wurde 2022 Opfer eines zweistufigen Angriffs. Zwischen dem 8. und 12. August 2022 kompromittierten Angreifer den Laptop eines Softwareentwicklers und erbeuteten Quellcode aus 14 von rund 200 Repositories. Mit diesen Informationen griffen die Täter anschließend einen von vier DevOps-Ingenieuren mit Zugriff auf die Entschlüsselungsschlüssel an, dessen privater Rechner wegen einer ungepatchten Sicherheitslücke im dort installierten Plex Media Server verwundbar war, und erbeuteten per Keylogger dessen Zugangsdaten. Dadurch konnten die Angreifer im Zeitraum 20. August bis 16. September 2022 auf ein Cloud-Backup zugreifen und eine Kopie der Kundendatenbank sowie Kopien von Passwort-Tresoren kopieren. Betroffen waren nach LastPass-Angaben mehr als 25 Millionen Nutzerkonten; die Tresore enthielten unverschlüsselte Website-URLs sowie verschlüsselte Benutzernamen und Passwörter, zudem wurden Namen, E-Mail-Adressen, Rechnungsadressen und teilweise Kreditkartendaten erbeutet. LastPass informierte die Kunden erst am 30. November bzw. 22. Dezember 2022 vollständig über das tatsächliche Ausmaß. Die britische Datenschutzbehörde ICO verhängte am 20. November 2025 eine Geldbuße von 1.228.283 Pfund gegen LastPass UK Ltd. In den USA einigte sich LastPass zudem auf einen Sammelklage-Vergleich in Höhe von 24,5 Millionen US-Dollar.

Aus dieser Quelle nicht belegt ist, wie viele der gestohlenen Tresore mit schwachen Master-Passwörtern tatsächlich entschlüsselt wurden und in welchem Umfang die damit verknüpften Kryptowährungs-Diebstähle in Höhe von über 150 Millionen US-Dollar eindeutig auf dieses Datenleck zurückzuführen sind.

Das Datenanalyseunternehmen Palantir Technologies stellte der Polizeibehörde von New Orleans ab dem 23.02.2012 kostenlos ein auf sozialer Netzwerkanalyse basierendes Programm zur vorausschauenden Kriminalitätsbekämpfung zur Verfügung. Die Vereinbarung wurde über die private Stiftung NOLA for Life von Bürgermeister Mitch Landrieu abgewickelt und dadurch am regulären städtischen Vergabeverfahren und an der Kontrolle durch den Stadtrat vorbeigeführt. Das System wertete Kriminalitätsakten, Bandenzugehörigkeiten, soziale Medien und persönliche Verbindungen aus, um Personen mit hohem Risiko für Gewaltbeteiligung zu identifizieren; rund 3.900 Personen wurden auf diese Weise erfasst. Von 308 Personen, die zwischen Oktober 2012 und März 2017 zu Call-in-Gesprächen eingeladen wurden, schlossen lediglich sieben eine Berufsausbildung ab. Journalist Ali Winston deckte das Programm am 27.02.2018 auf. Ratspräsident Jason Williams erklärte, vor der Veröffentlichung nichts von der Zusammenarbeit gewusst zu haben. Der Vertrag war seit 2012 dreimal verlängert worden. Rund zwei Wochen nach der Veröffentlichung erklärte das Büro von Bürgermeister Landrieu, den Palantir-Vertrag nicht zu verlängern, wodurch das Programm im März 2018 endete.

Unklar bleibt, ob der vorübergehende Rückgang der Gewaltkriminalität in New Orleans tatsächlich auf den Einsatz der Palantir-Software zurückzuführen war. Diese Quelle belegt keine quantifizierten Angaben zum separaten Einsatz von Palantir Gotham bei ICE.

Die israelische Plattform vpnMentor entdeckte am 05.08.2019 durch die Forscher Noam Rotem und Ran Locar eine ungeschützte Elasticsearch-Datenbank des südkoreanischen Unternehmens Suprema. Die Datenbank gehörte zum biometrischen Zugangskontrollsystem BioStar 2 und enthielt 27,8 Millionen Datensätze mit einem Volumen von 23 Gigabyte. Betroffen waren die Fingerabdrücke von mehr als einer Million Nutzern, Gesichtserkennungsdaten, Klarnamen, unverschlüsselt gespeicherte Passwörter, Zutrittsprotokolle sowie persönliche Mitarbeiterdaten. BioStar 2 wurde laut Suprema von rund 5.700 Organisationen in 83 Ländern eingesetzt, darunter die britische Metropolitan Police sowie Banken und Behörden. Die Forscher informierten Suprema am 07.08.2019, die Sicherheitslücke wurde erst am 13.08.2019 geschlossen. Nach Bekanntwerden erklärte die britische Datenschutzbehörde ICO, sie sei sich der Medienberichte bewusst und werde Ermittlungen aufnehmen. Die US-Kanzlei Finkelstein, Blankinship, Frei Pearson and Garber kündigte im August 2019 an, eine mögliche Sammelklage wegen des Vorfalls zu prüfen. Suprema erklärte öffentlich, das tatsächliche Ausmaß sei geringer als berichtet, und verwies auf eine begrenzte Zahl betroffener Cloud-API-Nutzer.

Aus den ausgewerteten Quellen geht nicht hervor, ob die britische ICO tatsächlich ein Bußgeld gegen Suprema verhängt hat oder ob die geprüfte US-Sammelklage je formell eingereicht und entschieden wurde; der rechtliche Ausgang des Falls ist öffentlich nicht dokumentiert.

Der australische Logistikkonzern Toll Group wurde 2020 innerhalb weniger Monate zweimal von unterschiedlichen Ransomware-Gruppen angegriffen. Am 31.01.2020 entdeckte Toll eine Infektion mit einer neuen Variante der Ransomware Mailto, woraufhin das Unternehmen am 05.02.2020 öffentlich bekanntgab, aus Vorsicht zahlreiche IT-Systeme abgeschaltet zu haben. Nach Medienberichten waren bis zu 1.000 Server und rund 500 Unternehmensanwendungen betroffen, unter anderem das Active Directory, und aus einem Server wurden rund 220 Gigabyte Daten entwendet. Die vollständige Wiederherstellung der Kernsysteme dauerte mehr als sechs Wochen. Am 05.05.2020 schaltete Toll erneut vorsorglich IT-Systeme ab, diesmal verantwortlich war die Ransomware-Gruppe Nefilim. Die Angreifer entwendeten aktuelle und frühere Geschäftsvereinbarungen sowie Mitarbeiterdaten von mindestens einem Server. Der Ausfall des Kundenportals MyToll behinderte die Umleitung von Sendungen an alternative Abholstellen und störte den Lieferbetrieb. Toll-Geschäftsführer Thomas Knudsen entschuldigte sich öffentlich bei den Betroffenen und erklärte, das Unternehmen werde kein Lösegeld zahlen, und informierte das Australian Cyber Security Centre sowie die australische Bundespolizei.

Aus den verfügbaren Quellen ist nicht abschließend belegt, wie viele Kunden individuell betroffen waren, ob ein technischer Zusammenhang zwischen beiden Angriffen bestand und ob die von Nefilim angedrohte vollständige Veröffentlichung der gestohlenen Daten im Darknet tatsächlich umgesetzt wurde.

Am 23.07.2020 wurde der US-amerikanische Wearable- und Navigationshersteller Garmin Opfer eines Cyberangriffs, der Teile seiner internen IT-Systeme verschlüsselte. Betroffen waren unter anderem der Cloud-Dienst Garmin Connect, die Flugplanungs-App flyGarmin, der Satellitenkommunikationsdienst inReach sowie der gesamte Kundensupport. Nutzer konnten mehrere Tage lang keine Trainings- und Gesundheitsdaten zwischen ihren Geräten und der Garmin-Cloud synchronisieren. Als Ursache identifizierten IT-Sicherheitsmedien die Ransomware WastedLocker, die der russischen Gruppe Evil Corp zugeschrieben wird. Berichten zufolge forderten die Angreifer ein Lösegeld von rund 10 Millionen US-Dollar in Kryptowährung. Garmin bestätigte den Cyberangriff erstmals öffentlich am 27.07.2020 und erklärte, es gebe keine Hinweise darauf, dass Kundendaten einschließlich Zahlungsinformationen aus Garmin Pay abgerufen worden seien. Die Wiederherstellung der Dienste zog sich bis Ende Juli 2020 hin. Die Garmin-Aktie verlor nach Bekanntwerden des Ausfalls zeitweise rund 4 Prozent an Wert.

Ob Garmin tatsächlich Lösegeld zahlte, in welcher genauen Höhe und ob die Zuordnung zur Ransomware WastedLocker und zur Gruppe Evil Corp zutrifft, hat Garmin selbst nie offiziell bestätigt; diese zentralen Details stützen sich auf anonyme Insider-Quellen und spätere Medienberichte.

Am 07.05.2021 griff die Ransomware-as-a-Service-Gruppe DarkSide die IT-Systeme des US-Pipelinebetreibers Colonial Pipeline an, woraufhin das Unternehmen aus Vorsicht den Betrieb der wichtigsten Treibstoffpipeline der US-Ostküste einstellte. Colonial Pipeline zahlte am 08.05.2021 rund 75 Bitcoin, umgerechnet etwa 4,4 Millionen US-Dollar, Lösegeld. Am 13./14.05.2021 teilte DarkSide seinen Partnern mit, dass die Gruppe den Zugriff auf einen öffentlichen Teil ihrer Infrastruktur verloren habe, darunter Blog, Zahlungsserver und Content-Delivery-Server. Nach Angaben der Sicherheitsfirma Intel 471 wurden zudem Gelder von einem Zahlungsserver der Gruppe auf ein unbekanntes Konto abgezogen. DarkSide begründete die Einstellung ihres Affiliate-Programms mit Druck aus den USA und kündigte an, Opfern ohne erfolgte Zahlung kostenlose Entschlüsselungs-Tools bereitzustellen. Wer die Server beschlagnahmte, teilte die Gruppe nicht mit. Sicherheitsforscher gingen davon aus, dass sich Mitglieder der Gruppe unter neuem Namen reorganisieren würden.

Wer genau die DarkSide-Server beschlagnahmte und die Kryptowährungs-Gelder abzog, ist aus dieser Quelle nicht belegt und wurde von keiner Behörde offiziell bestätigt. Ebenso bleibt offen, ob es sich um eine tatsächliche Strafverfolgungsmaßnahme oder um einen Exit-Scam der Gruppenbetreiber handelte.

Die britische Datenschutzbehörde Information Commissioner's Office (ICO) verhängte am 30.10.2020 gegen Marriott International, Inc. eine Geldbuße von 18,4 Millionen Pfund wegen Verstößen gegen die DSGVO. Ursache war ein Cyberangriff auf die Reservierungsdatenbank der Starwood Hotels, die Marriott 2016 übernommen hatte; Unbekannte hatten sich bereits seit 2014 unbemerkt Zugang zum System verschafft, entdeckt erst am 08.09.2018. Betroffen waren bis zu 339 Millionen Gästedatensätze weltweit. Die ICO warf Marriott vor, keine angemessenen technischen und organisatorischen Maßnahmen nach Artikel 5(1)(f) und Artikel 32 DSGVO getroffen zu haben. Im Juli 2019 hatte die ICO zunächst eine Geldbuße von 99.200.396 Pfund angekündigt. Als Ausgangspunkt der Berechnung setzte die Behörde 28 Millionen Pfund an, reduzierte diesen Betrag wegen der Kooperation Marriotts um 20 Prozent auf 22,4 Millionen Pfund und senkte ihn wegen der wirtschaftlichen Auswirkungen der Corona-Pandemie auf die Hotelbranche weiter auf 18,4 Millionen Pfund. Die Buße betraf ausschließlich den Zeitraum ab Inkrafttreten der DSGVO am 25.05.2018.

Aus dieser Quelle nicht belegt ist, ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat und wie sich die Kosten des Unternehmens durch den Vorfall insgesamt bezifferten.