Quellen-Tabelle

Am 14.01.2020 reichte der norwegische Verbraucherrat gemeinsam mit noyb drei Beschwerden bei der Datenschutzbehörde Datatilsynet ein, gegen Grindr sowie gegen die Werbetechnikfirmen MoPub, AppNexus, OpenX, AdColony und Smaato. Der Bericht Out of Control zeigte, dass Grindr GPS-Standort, Gerätekennungen und die bloße Nutzung der App an Werbenetzwerke weitergab. Da Grindr sich an die LGBTQ-Community richtet, wertete die Behörde dies als unrechtmäßige Offenlegung von Daten zur sexuellen Orientierung. Die Beschwerde führte im Dezember 2021 zu einem Bußgeld von 65 Millionen norwegischen Kronen gegen Grindr.

Die genaue Zahl der Drittfirmen, die Daten erhielten, ist nicht abschließend dokumentiert. Die Bußgeldhöhe wurde von zunächst angekündigten rund 10 Millionen Euro auf 65 Millionen Kronen reduziert. Das Berufungsgericht Borgarting bestätigte die Geldbuße 2025.

Am 18.04.2022 bestätigte das US-Berufungsgericht für den Neunten Bezirk im Verfahren hiQ Labs gegen LinkedIn erneut eine einstweilige Verfügung zugunsten von hiQ Labs. Das Analyseunternehmen hatte per Bot öffentlich einsehbare LinkedIn-Profildaten ausgelesen, woraufhin LinkedIn technische Sperren einsetzte. Das Gericht entschied, automatisiertes Auslesen frei zugänglicher, nicht login-geschützter Inhalte verstoße aller Wahrscheinlichkeit nach nicht gegen den Computer Fraud and Abuse Act. Nach sechsjährigem Rechtsstreit einigten sich beide Seiten im Dezember 2022 auf einen Vergleich über 500.000 US-Dollar zulasten von hiQ.

Das Urteil betraf nur die vorläufige Verfügung, keine endgültige Entscheidung in der Hauptsache. Der Supreme Court äußerte sich nie inhaltlich zum Scraping. Die Reichweite der Entscheidung ist begrenzt auf Daten ohne jede technische Zugangsschranke.

AT&T teilte am 12.07.2024 mit, dass Unbekannte zwischen dem 14. und 25.04.2024 unbefugt auf eine Arbeitsumgebung beim Cloud-Anbieter Snowflake zugriffen und Anruf- und SMS-Verbindungsdaten herunterluden. Betroffen waren praktisch alle rund 110 Millionen AT&T-Mobilfunkkunden für Zeiträume 2022/2023, erbeutet wurden kontaktierte Rufnummern, Verbindungsdauer und teils grobe Standortangaben. Laut AT&T waren Inhalte, Sozialversicherungsnummern und Geburtsdaten nicht betroffen. Presseberichten zufolge zahlte AT&T am 17.05.2024 rund 370.000 Dollar in Bitcoin für die Löschung der Daten. Der Vorfall gehörte zur selben Snowflake-Angriffswelle wie Ticketmaster und Banco Santander.

AT&T bestätigte die kolportierte Zahlung nicht offiziell, sie stammt aus Presseberichten über einen Vermittler. Die Nennung von Snowflake als betroffenem Anbieter stammt aus unabhängiger Berichterstattung, nicht aus der AT&T-Mitteilung selbst. Diese Datenleck ist von einem separaten, früheren AT&T-Vorfall (Dark-Web-Datensatz aus alten 2019er Daten) zu unterscheiden.

Comcast/Xfinity teilte am 18.12.2023 mit, dass Angreifer zwischen dem 16. und 19.10.2023 unbefugten Zugriff auf interne Systeme erlangten, indem sie die Citrix-Schwachstelle CVE-2023-4966 (Citrix Bleed) ausnutzten. Laut Meldung an die Attorney General von Maine waren rund 35,88 Millionen Kunden betroffen. Erbeutet wurden bei allen Betroffenen Benutzernamen und gehashte Passwörter, bei einem Teil zusätzlich Namen, Kontaktdaten und die letzten vier Ziffern der Sozialversicherungsnummer.

Wer hinter dem Angriff steckt, ist öffentlich nicht dokumentiert. In der Folge kam es zu Sammelklagen gegen Comcast, für die 2025/2026 ein Vergleich über 117,5 Millionen Dollar vorlag, dessen endgültige Genehmigung nicht verifiziert wurde.

Roku meldete 2024 zwei separate Credential-Stuffing-Vorfälle: Anfang März 2024 waren rund 15.363 Konten betroffen, bei der Untersuchung entdeckte Roku einen zweiten, größeren Angriff mit rund 576.000 weiteren Konten, gemeldet am 12.04.2024. In weniger als 400 Fällen nutzten die Angreifer den Zugriff für betrügerische Käufe von Streaming-Abos und Hardware, die das Unternehmen erstattete. Roku führte anschließend eine verpflichtende Zwei-Faktor-Authentifizierung ein.

Die verwendeten Zugangsdaten stammten laut Unternehmen aus fremden Datenlecks, nicht aus einer Kompromittierung von Roku selbst, dies lässt sich nicht unabhängig überprüfen. Die Zahl 591.000 ist eine Addition aus zwei separaten Mitteilungen, keine von dritter Seite verifizierte Gesamtzahl.

DOJ und FBI gaben am 18.09.2024 eine gerichtlich genehmigte Operation bekannt, mit der sie ein Botnetz aus mehr als 260.000 kompromittierten Geräten zerschlugen. Das Botnetz wurde laut FBI von der in Peking ansässigen Integrity Technology Group betrieben, bekannt als staatsnahe Gruppe Flax Typhoon. Betroffen waren vor allem Router, IP-Kameras und Netzwerkspeicher weltweit, allein in den USA rund 126.000 Geräte. Auf Grundlage einer Rule-41-Gerichtsanordnung entfernte das FBI die Schadsoftware per Fernzugriff.

In welchem Umfang das Botnetz bereits für Sabotage oder Spionage eingesetzt wurde, ist nicht belegt. Die Zuordnung zu Integrity Technology Group stammt ausschließlich aus US-Behördenangaben, eine unabhängige gerichtliche Feststellung außerhalb der USA liegt nicht vor.

Die mit China in Verbindung gebrachte Gruppe Salt Typhoon drang 2024 in Netzwerke mehrerer großer US-Telekommunikationsanbieter ein, laut Medienberichten unter anderem AT&T, Verizon und Lumen Technologies. FBI und CISA bestätigten am 25.10.2024 den unautorisierten Zugriff, in einer aktualisierten Erklärung vom 13.11.2024 stellten sie fest, dass die Angreifer Anrufdaten gestohlen und Informationen aus gerichtlich angeordneten Überwachungsmaßnahmen (CALEA-Abhörschnittstellen) kopiert hatten.

FBI und CISA nennen keine genaue Opferzahl oder vollständige Firmenliste. Häufig zitierte Zahlen wie rund 150 Zielpersonen stammen aus Medienberichten, nicht aus den offiziellen Mitteilungen. Der Name Salt Typhoon stammt aus privater Bedrohungsanalyse, nicht aus Regierungsdokumenten.

Kaiser Permanente meldete am 12.04.2024 einen Datenschutzvorfall, der rund 13,4 Millionen aktuelle und ehemalige Mitglieder betraf. Ursache waren seit dem 25.10.2023 bekannte Tracking-Pixel und Cookies auf eigenen Websites, die personenbezogene Daten an Google, Microsoft Bing und X übermittelten, darunter Namen, IP-Adressen und Suchbegriffe zu Symptomen und Medikamenten im Gesundheitslexikon. Sozialversicherungs- und Finanzdaten waren laut Kaiser nicht betroffen. Der Vorfall gilt als größte 2024 gemeldete Datenpanne im US-Gesundheitssektor.

Wie viele Betroffene tatsächlich sensible Suchbegriffe eingegeben hatten, ist nicht offengelegt. Ob die Empfängerkonzerne die Daten tatsächlich nutzten, ist nicht dokumentiert. Kaiser einigte sich 2024/2025 auf eine Vergleichszahlung von bis zu 47,5 Millionen Dollar, ohne Fehlverhalten einzuräumen.

Ein Angreifer verschaffte sich am 19.12.2024 mit gestohlenen Zugangsdaten eines Subunternehmers Zugang zum PowerSource-Kundenportal von PowerSchool und exfiltrierte bis zum 28.12.2024 Schulverwaltungsdaten tausender Schulbezirke in den USA und Kanada. Laut späteren Ermittlungsangaben waren rund 62,4 Millionen Schüler und 9,5 Millionen Lehrkräfte an 6.505 Schulbezirken betroffen. PowerSchool zahlte ein Lösegeld, um eine Veröffentlichung zu verhindern. Der 19-jährige Matthew D. Lane wurde 2025 zu vier Jahren Haft und 14 Millionen Dollar Wiedergutmachung verurteilt.

Die tatsächlich gezahlte Lösegeldsumme ist nicht öffentlich beziffert, belegt ist nur eine Forderung von rund 2,85 Millionen Dollar. Im Mai 2025 tauchten trotz Zahlung erneut Datenproben bei Erpressungsversuchen gegen einzelne Schulbezirke auf.

Im Oktober 2024 wurde bekannt, dass ein Hacker unter dem Pseudonym xenZen über Telegram-Chatbots Kundendaten des indischen Krankenversicherers Star Health Insurance verbreitete. Der Angreifer behauptete, 7,24 Terabyte Daten von mehr als 31 Millionen Kunden erbeutet zu haben, darunter Namen, Adressen, Ausweiskopien und medizinische Befunde. Star Health bestätigte unbefugten Zugriff auf Teile seiner Daten und erhob vor dem Madras High Court Klage gegen Telegram, Cloudflare und den Hacker, woraufhin das Gericht eine einstweilige Verfügung erließ.

Die Zahl von über 31 Millionen Betroffenen stammt allein vom Hacker und wurde von Star Health nicht in dieser Größenordnung bestätigt. Der Hacker behauptete, die Daten vom Sicherheitschef von Star Health erhalten zu haben, was das Unternehmen als gefälscht zurückwies. Ob indische Behörden ein Bußgeld verhängen, ist offen.

Der US Supreme Court entschied am 29.06.2026 in der Sache Trump v. Slaughter mit sechs zu drei Stimmen, dass der Präsident FTC-Mitglieder auch ohne gesetzlich verlangten wichtigen Grund entlassen darf, und kippte damit den fast 90 Jahre alten Präzedenzfall Humphrey's Executor. noyb erklärte, die FTC gelte dadurch nicht mehr als unabhängige Aufsichtsbehörde im Sinne des EU-Rechts, und verwies darauf, dass sich der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023 an 259 Stellen auf die FTC-Unabhängigkeit stütze. noyb forderte die EU-Kommission zum geordneten Widerruf auf und kündigte andernfalls eine EuGH-Klage an.

Ob die EU-Kommission dem Widerrufswunsch folgt, war zum Recherchezeitpunkt offen. Die Zahl von 259 FTC-Nennungen stammt aus noybs eigener Auswertung, nicht von einer EU-Institution bestätigt. Praktische Folgen für die zertifizierten US-Unternehmen sind unklar.

Am 10.10.2023 unterzeichnete Gouverneur Gavin Newsom den California Delete Act (SB 362). Das Gesetz verpflichtet die CPPA, bis zum 01.01.2026 eine zentrale Löschplattform namens DROP einzurichten, über die Verbraucher mit einem einzigen Antrag die Löschung ihrer Daten bei allen registrierten Datenhändlern verlangen können. Datenhändler müssen sich seit Januar 2024 jährlich registrieren und ab dem 01.08.2026 Löschanfragen mindestens alle 45 Tage bearbeiten. Ab 2028 sind zusätzlich unabhängige Audits im Dreijahresrhythmus vorgeschrieben.

Die genaue Zahl verhängter Bußgelder gegen säumige Datenhändler ist nicht belegt. Die oft genannte Strafhöhe von 200 Dollar pro Löschantrag und Tag stammt aus Compliance-Quellen, nicht aus der offiziellen CPPA-Mitteilung. Wie viele Löschanträge zu tatsächlichen Löschungen führten, ist offen.

Gouverneur Jay Inslee unterzeichnete den My Health My Data Act am 27.04.2023, das erste US-Bundesstaatengesetz, das Gesundheitsdaten außerhalb von HIPAA schützt, etwa aus Wellness-Apps oder Standortdaten. Es verlangt vor Sammlung eine ausdrückliche Einwilligung und verbietet Geofencing im Umkreis von rund 600 Metern um Gesundheitseinrichtungen. Verstöße können vom Attorney General und durch Betroffene über eine private Klagebefugnis verfolgt werden. Die erste Klage richtete sich im Februar 2025 gegen Amazon wegen Standortdatenerfassung.

Wie viele Unternehmen die Vorgaben umgesetzt haben, ist nicht beziffert. Über den Ausgang der Klage gegen Amazon war zum Zeitpunkt der Recherche noch nicht entschieden. Wie Gerichte den Begriff der geschützten Gesundheitsdaten im Einzelfall auslegen, ist juristisch noch nicht höchstrichterlich geklärt.

Das US-Justizministerium klagte den malaysischen Finanzier Low Taek Jho, bekannt als Jho Low, am 01.11.2018 wegen Verschwörung zur Geldwäsche und gegen den Foreign Corrupt Practices Act an. Laut Anklage soll Low mehr als 2,7 Milliarden US-Dollar aus dem Staatsfonds 1MDB veruntreut und teils zur Bestechung von Beamten sowie für Luxusimmobilien und die Finanzierung von Hollywoodfilmen wie The Wolf of Wall Street verwendet haben. Bereits am 24.08.2018 hatte die malaysische Staatsanwaltschaft Low in Abwesenheit angeklagt, Interpol stellte am 11.06.2018 eine Red Notice gegen ihn aus.

Jho Lows genauer Aufenthaltsort ist bis heute nicht offiziell bestätigt, malaysische Behörden vermuteten wiederholt China, was chinesische Stellen mehrfach dementierten. Da Low nie festgenommen wurde, gibt es gegen ihn persönlich kein Strafurteil. Diese Anklage bezieht sich nur auf einen Teilbetrag von 2,7 Milliarden Dollar der insgesamt veruntreuten rund 4,5 Milliarden Dollar. Eine Auslieferung fand bis heute nicht statt.

Rabobank National Association, die kalifornische Tochtergesellschaft der niederländischen Cooperatieve Rabobank, bekannte sich im Februar 2018 vor einem US-Bundesgericht schuldig, die Aufsichtsbehörde OCC bei einer Prüfung getäuscht zu haben, und stimmte einer Zahlung von rund 369 Millionen US-Dollar zu. Zwischen 2009 und 2012 ließen mangelhafte Programme an den Filialen in Calexico und Tecate hunderte Millionen Dollar an nicht nachverfolgbarem Bargeld aus Mexiko unbeanstandet passieren. Als das OCC dies 2013 aufzudecken drohte, sollen Bankmitarbeiter der Aufsicht falsche Angaben gemacht und Unterlagen zurückgehalten haben.

Nicht abschließend geklärt ist, in welchem Umfang das durchgeleitete Bargeld tatsächlich aus Drogenhandel mexikanischer Kartelle stammte, die Angabe hunderte Millionen Dollar ist eine Näherung. Der genaue Anteil der 369 Millionen Dollar als strafrechtliche Vermögensabschöpfung versus zivilrechtliche Bußgelder anderer Behörden wird in Presseberichten unterschiedlich aufgeschlüsselt. Die Rolle einzelner früherer Führungskräfte ist in den ausgewerteten Quellen nur unvollständig dargestellt.

Standard Chartered Bank zahlte zwischen 2012 und 2019 wiederholt Bußgelder an US- und britische Behörden wegen Umgehung von Iran-Sanktionen. Im Dezember 2012 zahlte die Bank rund 667 Millionen Dollar wegen verschleierter Iran-Transaktionen aus 2001 bis 2007. 2014 verhängte die New Yorker Finanzaufsicht DFS eine weitere Strafe von 300 Millionen Dollar. Am 09.04.2019 bekannte sich die Bank schuldig, zwischen 2007 und 2011 rund 9.500 Transaktionen im Wert von etwa 240 Millionen Dollar für iranische Institutionen abgewickelt zu haben, und zahlte zusammen mit mehreren Behörden insgesamt rund 1,1 Milliarden Dollar.

Die genaue Aufschlüsselung der Transaktionssummen variiert je nach Quelle und Behörde, ob und wie stark sich verschiedene Zeiträume und Summen überschneiden, lässt sich aus öffentlich zugänglichen Quellen nicht vollständig auflösen. Bei den Verfahren handelt es sich überwiegend um Deferred Prosecution Agreements und aufsichtsrechtliche Vergleiche, nicht um Urteile nach vollständigem Strafprozess. Eine individuelle strafrechtliche Verantwortung einzelner Manager ist öffentlich nicht dokumentiert.

Am 19.02.2019 kündigte Danske Bank an, ihre verbliebenen Geschäftsaktivitäten in Lettland, Litauen und Russland vollständig einzustellen. Anders als bei der estnischen Filiale, die wegen verdächtiger Transaktionen im Zeitraum 2007 bis 2015 in Höhe von rund 200 Milliarden Euro zur Schließung gezwungen wurde, begründete Danske Bank den Rückzug aus Lettland und Litauen als eigene strategische Entscheidung. Bereits 2015 hatte die Bank das Privatkundengeschäft in Litauen und Lettland an Swedbank verkauft. Die litauische Zentralbank erklärte, mit dänischen Behörden zu kooperieren, ohne dass ein eigenes Bußgeld gegen Danske Bank in Litauen bekannt wurde.

Nicht belegt ist, dass die lettische oder litauische Finanzaufsicht ein eigenständiges Bußgeld speziell für die Filialen in Riga oder Vilnius verhängt haben, wie es für Estland dokumentiert ist. Es bleibt unklar, ob und in welchem Umfang die 2 Milliarden US-Dollar schwere Gesamteinigung von Danske Bank aus dem Jahr 2022 auch Sachverhalte aus Lettland oder Litauen mit abdeckte.

Die Ransomware-Gruppe Clop, auch bekannt als TA505, begann ab dem 27.05.2023, eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der Software MOVEit Transfer von Progress Software auszunutzen. CISA und FBI veröffentlichten am 07.06.2023 eine gemeinsame Sicherheitswarnung. Progress Software veröffentlichte am 31.05.2023 einen Patch. Nach Angaben von Emsisoft waren bis Januar 2024 über 2.700 Organisationen und mehr als 93 Millionen betroffene Personen erfasst, darunter die BBC, British Airways und Aer Lingus.

Nicht abschließend geklärt ist die exakte Gesamtzahl der betroffenen Organisationen, da die erhobenen Zahlen auf Meldepflichten und Angaben auf der Leak-Seite von Clop beruhen und sich fortlaufend nach oben korrigierten. Es ist nicht bewiesen, wie viele der behaupteten Datendiebstähle tatsächlich vollständige, verwertbare Datensätze betrafen, da die Gruppe bekannt dafür ist, Opferzahlen zu übertreiben.

Am 07.05.2021 legte die Ransomware-Gruppe DarkSide die IT-Systeme von Colonial Pipeline lahm, dem größten Treibstoffpipelinebetreiber der US-Ostküste, was zu tagelangen Kraftstoffengpässen führte. Colonial Pipeline zahlte am selben Tag ein Lösegeld von 75 Bitcoin, damals rund 4,4 Millionen US-Dollar wert. Am 07.06.2021 gab das US-Justizministerium bekannt, dass FBI-Ermittler durch Verfolgung der Blockchain-Transaktionen 63,7 Bitcoin, damals rund 2,3 Millionen US-Dollar wert, aus einer DarkSide-Wallet sicherstellen konnten. Die Pipeline nahm den regulären Betrieb am 12.05.2021 wieder auf.

Nicht öffentlich dokumentiert ist, wie die FBI-Ermittler technisch an den privaten Schlüssel der DarkSide-Wallet gelangten. Offen blieb, ob und in welchem Umfang einzelne DarkSide-Mitglieder identifiziert oder strafrechtlich verfolgt wurden, die Gruppe kündigte kurz danach an, ihre Infrastruktur abzuschalten, ob dies das Ende der Gruppe oder nur einen Rebrand darstellte, ist nicht geklärt.

Am 30.05.2021 wurde der weltweit größte Fleischverarbeiter JBS Opfer eines Ransomware-Angriffs, der Server in Nordamerika und Australien betraf und zur vorübergehenden Schließung von Verarbeitungsanlagen führte. Das FBI ordnete den Angriff der russischsprachigen Gruppe REvil zu. JBS zahlte nach eigenen Angaben ein Lösegeld von 11 Millionen US-Dollar in Kryptowährung, obwohl zum Zeitpunkt der Zahlung bereits der Großteil der Anlagen wieder arbeitsfähig war.

Nicht öffentlich dokumentiert ist, welche Daten bei dem Angriff tatsächlich exfiltriert wurden. Ob die Zahlung von 11 Millionen US-Dollar tatsächlich notwendig war, bleibt eine Einschätzung des Unternehmens und ist nicht unabhängig verifiziert. REvil löste sich Sommer 2021 größtenteils auf, sodass eine vollständige strafrechtliche Aufarbeitung bislang nicht abgeschlossen ist.

Der Chaos Computer Club deckte gemeinsam mit dem Spiegel auf, dass die VW-Softwaretochter Cariad Fahrzeug- und Bewegungsdaten von rund 800.000 Elektroautos der Marken VW, Audi, Seat und Skoda über Monate ungeschützt in einem Amazon-Cloud-Speicher zugänglich hielt. Für etwa 460.000 Fahrzeuge waren präzise Standortdaten einsehbar, teils bis auf wenige Meter genau. Die Daten ließen sich mit Kundendaten verknüpfen. CCC-Sprecher informierten Cariad, VW und Behörden vor der Veröffentlichung, Cariad schloss die Sicherheitslücke innerhalb der gesetzten Frist. Ursache war laut Cariad eine Fehlkonfiguration der Cloud-Umgebung.

Nicht abschließend geklärt ist, wie lange die Daten tatsächlich frei zugänglich waren. Die Zahl von 800.000 betroffenen Fahrzeugen bezieht sich auf alle Fahrzeugdatensätze, während präzise Standortdaten nur bei rund 460.000 Fahrzeugen vorlagen. Ungeklärt bleibt, ob Dritte die Daten vor der Meldung durch den CCC tatsächlich abgegriffen haben, sowie der Ausgang möglicher Sammelklagen gegen Volkswagen.

Marriott gab am 30.11.2018 bekannt, dass die Reservierungsdatenbank der 2016 übernommenen Hotelkette Starwood bereits seit 2014 kompromittiert war, also rund vier Jahre unentdeckt blieb. Betroffen waren Daten von bis zu 500 Millionen Gästen, darunter Namen, Passnummern und teilweise verschlüsselte Zahlungskartendaten. Die britische ICO verhängte 2020 eine Buße von 18,4 Millionen Pfund. Im Oktober 2024 einigten sich Marriott und Starwood mit der FTC auf eine Zahlung von 52 Millionen US-Dollar wegen dieses und eines weiteren Datenlecks 2020.

Marriott korrigierte die Schätzung von 500 Millionen im Januar 2019 auf etwa 383 Millionen eindeutige Datensätze, da Duplikate enthalten waren. Die Zuschreibung des Angriffs an einen chinesischen Staatsakteur stützt sich vor allem auf Medienberichte ohne namentlich genannte Ermittler, eine öffentliche behördliche Bestätigung liegt nicht vor, China wies die Vorwürfe zurück.

Am 01.06.2017 beschloss der Bundestag einstimmig die Aufhebung von Paragraf 103 StGB, der Strafbarkeit der Beleidigung ausländischer Staatsoberhäupter. Auslöser war die Strafanzeige des türkischen Präsidenten Recep Tayyip Erdogan gegen Jan Böhmermann wegen dessen Schmähgedicht vom März 2016, für dessen Verfolgung die Bundesregierung im April 2016 die Ermächtigung nach Paragraf 104a StGB erteilt hatte. Die Streichung trat zum Januar 2018 in Kraft, mit der Begründung, die allgemeinen Beleidigungsvorschriften seien ausreichend.

Nicht dokumentiert im Bundestagsartikel ist der Ausgang des Strafverfahrens gegen Böhmermann. Die Staatsanwaltschaft Mainz stellte das Ermittlungsverfahren im Oktober 2016 mangels Tatverdachts ein, dies stammt aus anderen Quellen. Zivilrechtliche Verfahren zwischen Böhmermann und Erdogan sind nicht Gegenstand dieser Quelle.

Im Juli 2015 drang eine Gruppe namens The Impact Team in die Systeme von Avid Life Media ein, dem Betreiber der Seitensprung-Plattform Ashley Madison. Im August 2015 veröffentlichten die Angreifer Nutzerdaten von rund 36 Millionen Konten weltweit, darunter Namen, E-Mail-Adressen und sexuelle Präferenzen. Am 14.12.2016 einigte sich der Betreiber mit der FTC und 13 Bundesstaaten auf eine Zahlung von 17,5 Millionen US-Dollar wegen unzureichender Datensicherheit.

Die Zahl der betroffenen Konten wird uneinheitlich angegeben, Medienberichte von 2015 sprachen von rund 32 Millionen, die FTC nennt 2016 offiziell 36 Millionen. Eine belastbare, verifizierte Gesamtzahl von Suiziden im Zusammenhang mit der Veröffentlichung liegt nicht vor. Die Identität der Hackergruppe The Impact Team wurde nie öffentlich aufgeklärt.

Am 25.06.2024 bekannte sich Julian Assange vor einem US-Bundesgericht in Saipan schuldig, mit Chelsea Manning zur unrechtmäßigen Beschaffung und Veröffentlichung geheimer Verteidigungsdokumente verschworen zu haben. Nach Jahren in der ecuadorianischen Botschaft, Festnahme 2019 und Haft im Gefängnis Belmarsh wurde ihm eine Haftstrafe von 62 Monaten zugemessen, die der bereits verbüßten Zeit entsprach, sodass er ohne weitere Haft freikam und nach Australien zurückkehrte.

Nicht dokumentiert ist, welche konkreten Verhandlungen zwischen Assanges Verteidigung, der australischen Regierung und dem US-Justizministerium im Vorfeld stattfanden. Die genaue Zahl der durch die Veröffentlichungen 2010/2011 gefährdeten Personen ist nicht abschließend verifiziert. Es kam durch den Deal nicht zu einem abschließenden britischen Gerichtsurteil in der Sache.