Quellen-Tabelle

Reddit bestätigte, dass Angreifer am 5. Februar 2023 mittels einer gezielten Phishing-Kampagne die Zugangsdaten eines Mitarbeiters erbeuteten, indem sie eine gefälschte Version des internen Reddit-Intranetportals nutzten. Dadurch erhielten die Angreifer Zugriff auf interne Dokumente, Quellcode sowie einige interne Dashboards und Geschäftssysteme. Der betroffene Mitarbeiter meldete den Vorfall selbst, woraufhin Reddit ihn öffentlich machte.

Nicht öffentlich dokumentiert ist, welche konkreten Quellcode-Bestandteile oder internen Dokumente im Detail abgeflossen sind. Die Identität und Zuordnung der Angreifer zu einer bekannten Gruppe wurde von Reddit nicht bestätigt.

Discord informierte im Mai 2023 Nutzer per E-Mail über ein Datenleck, nachdem Unbefugte das Konto eines externen Kundendienst-Mitarbeiters kompromittiert hatten. Betroffen waren E-Mail-Adressen, Inhalte von Support-Nachrichten und angehängte Dateien aus der Ticket-Warteschlange des Dienstleisters. Discord deaktivierte das betroffene Konto, beauftragte eine Forensik-Firma und informierte Strafverfolgungsbehörden.

Der Name des kompromittierten Support-Dienstleisters wurde von Discord nie offiziell bestätigt. Mehrere Medien vermuteten damals Zendesk als betroffenen Anbieter, dies blieb jedoch unbestätigt und ist von einem späteren, offiziell bestätigten Zendesk-Vorfall bei Discord im Jahr 2025 zu unterscheiden.

Der US-Krankenhauskonzern Ascension mit 140 Kliniken in 19 Bundesstaaten meldete am 8. Mai 2024 einen Ransomware-Angriff, der elektronische Patientenakten, Portale und Teile der klinischen IT lahmlegte und wochenlange Ausweichbetriebe erzwang. Laut Meldung an das HHS Office for Civil Rights vom Dezember 2024 waren die Daten von 5.599.699 Personen betroffen, darunter Namen, Sozialversicherungsnummern und Versicherungsdaten. Ascension gab an, dass nur 7 von 25.000 Servern kompromittiert wurden.

Die Zuordnung zur Gruppe Black Basta stützt sich laut Berichten von CNN auf vier anonyme Quellen und wurde von Ascension nie offiziell bestätigt. Ob ein Lösegeld gezahlt wurde, ist nicht öffentlich bekannt. Ascension erklärte zudem, es gebe keine Hinweise auf einen Zugriff auf klinische EHR-Systeme selbst, was im Widerspruch zu den berichteten wochenlangen EHR-Ausfällen diskutiert wurde.

Der US-Versicherungskonzern Prudential Financial meldete einen unautorisierten Zugriff auf seine Systeme am 4. Februar 2024. Die Ransomware-Gruppe Alphv/BlackCat reklamierte den Angriff für sich. In einer im Juni 2024 aktualisierten Meldung bezifferte Prudential die Zahl betroffener Personen auf 2.556.210, deutlich mehr als die zunächst im März genannten rund 36.000. Betroffen waren Namen, Adressen sowie Führerschein- und Ausweisnummern. Prudential bot den Betroffenen zwei Jahre kostenlose Kreditüberwachung an.

Wie die Angreifer ursprünglich ins Netzwerk gelangten, ist öffentlich nicht dokumentiert. Prudential selbst hat sich nie offiziell zur Urheberschaft von Alphv/BlackCat geäußert. Unklar bleibt zudem, ob und in welchem Umfang gestohlene Daten seither missbraucht wurden.

Am 19. Juni 2024 legte die Ransomware-Gruppe BlackSuit die Systeme des Autohändler-Softwareanbieters CDK Global lahm und legte damit rund 15.000 Autohändler in den USA und Kanada wochenlang faktisch still. Die Blockchain-Analysefirma TRM Labs identifizierte eine Kryptowährungs-Wallet, die vermutlich BlackSuit zuzuordnen ist und am 21. Juni 2024 eine Zahlung von rund 387 Bitcoin im Wert von etwa 25 Millionen Dollar erhielt.

CDK Global und die Muttergesellschaft Brookfield Business Partners haben nie offiziell bestätigt, ob und von wem ein Lösegeld gezahlt wurde. Die Blockchain-Analyse liefert laut CyberScoop nur den bislang stärksten Hinweis, aber keinen zweifelsfreien Beweis dafür, dass die Zahlung tatsächlich von CDK stammt.

Der britische Genossenschaftskonzern Co-op bestätigte im Juli 2025, dass bei einem Cyberangriff im April 2025 personenbezogene Daten aller 6,5 Millionen Mitglieder kopiert wurden, darunter Namen, Adressen, Kontaktdaten und Geburtsdaten. Die Angreifer verschafften sich per Social Engineering gegenüber dem IT-Helpdesk Zugang zu einem Mitarbeiterkonto und drangen darüber in die zentralen Systeme ein, Finanz- oder Zahlungsdaten waren nicht betroffen. Die britische National Crime Agency nahm im Juli 2025 vier mutmaßliche Tatverdächtige im Alter von 17 bis 20 Jahren fest.

Offen bleibt, ob die kopierten Daten seither im Darknet veröffentlicht oder weiterverkauft wurden. Die vier festgenommenen Verdächtigen wurden gegen Kaution freigelassen, eine gerichtliche Anklage oder Verurteilung steht bislang aus. Eine offizielle behördliche Zuordnung des Angriffs zur Gruppe Scattered Spider fehlt bisher.

Die australische Fluggesellschaft Qantas meldete am 30. Juni 2025 einen Cyberangriff auf eine Drittanbieter-Plattform ihres Callcenters. Per Social Engineering gab sich ein Angreifer als Qantas-IT-Support aus und brachte einen Mitarbeiter dazu, ein CRM-System mit einem Datenextraktionswerkzeug zu verbinden. Betroffen waren Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Vielfliegernummern von rund 5,7 Millionen Kunden; Kreditkarten-, Passdaten und Passwörter waren nicht betroffen.

Die genaue Identität und Zugehörigkeit der Angreifer sowie ob eine Lösegeldzahlung erfolgte, sind nicht abschließend öffentlich belegt. Die australische Datenschutzbehörde OAIC stellte nach vorläufigen Ermittlungen fest, dass Qantas keine Verletzung der Datenschutzpflichten vorzuwerfen sei, eine vertiefte förmliche Untersuchung blieb aus.

Der Luxuskonzern Kering (Gucci, Balenciaga, Alexander McQueen, Yves Saint Laurent) bestätigte im September 2025 einen Cyberangriff der Gruppe ShinyHunters. Erbeutet wurden Namen, E-Mail-Adressen, Telefonnummern, Wohnadressen und Angaben zu Kaufsummen von Kundinnen und Kunden, Kreditkartendaten waren laut Kering nicht betroffen. ShinyHunters gab an, Daten von mindestens 7 Millionen Personen erbeutet zu haben, Kering informierte betroffene Kunden, nannte aber keine offizielle Gesamtzahl.

Ungeklärt ist das genaue Datum des ursprünglichen Angriffs sowie ob und in welcher Höhe Lösegeldverhandlungen stattfanden. Andere Quellen berichten von einem Zugriff über kompromittierte Zugangsdaten für Salesforce-SSO-Portale bereits ab April 2025 sowie von Lösegeldforderungen um 750.000 US-Dollar, was Kering öffentlich bestreitet.

Am 16.07.2025 verschaffte sich ein Angreifer per Social Engineering Zugriff auf ein cloudbasiertes CRM-System eines Drittanbieters (Salesforce), das von Allianz Life Insurance Company of North America genutzt wurde. Betroffen waren personenbezogene Daten von rund 1,4 Millionen Kunden, Finanzberatern und Mitarbeitern, darunter Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern. Allianz Life entdeckte den Vorfall am 17.07.2025, informierte das FBI und meldete den Vorfall offiziell beim Attorney General des US-Bundesstaats Maine.

Nicht offiziell von Allianz bestätigt ist die von mehreren Sicherheitsmedien vorgenommene Zuordnung des Angriffs zur Gruppe Scattered Spider beziehungsweise ShinyHunters. Offen bleibt zudem, wie viele der 1,4 Millionen Datensätze konkret exfiltriert wurden.

Am 11. August 2023 verschaffte sich ein Angreifer durch mehrere Anrufe beim IT-Helpdesk des Dienstleisters Cognizant Zugang zu Clorox-Systemen, weil Mitarbeiter Passwörter und MFA ohne Identitätsprüfung zurücksetzten. Der Angriff wird Sicherheitsforschern zufolge der Gruppe Scattered Spider zugeschrieben und legte Produktion und Auslieferung von Clorox-Produkten monatelang lahm. Am 23. Juli 2025 verklagte Clorox Cognizant auf 380 Millionen US-Dollar Schadensersatz.

Nicht gerichtlich geklärt ist bislang, ob Cognizant tatsächlich haftbar gemacht wird. Cognizant bestreitet die Vorwürfe und macht stattdessen unzureichende interne Sicherheitsvorkehrungen bei Clorox selbst verantwortlich. Der Ausgang des Zivilverfahrens war zum Zeitpunkt der Berichterstattung noch offen.

Am Wochenende des 23. September 2023 legte die Gruppe Dark Angels mit Ransomware Teile der IT-Infrastruktur des Gebäudetechnik-Konzerns Johnson Controls lahm und verschlüsselte unter anderem VMware-ESXi-Server. Die Gruppe forderte 51 Millionen Dollar Lösegeld und behauptete, über 27 Terabyte an Daten entwendet zu haben. Johnson Controls bestätigte den Vorfall in einer SEC-8-K-Meldung und bezifferte die finanziellen Folgen für das erste Quartal des Geschäftsjahres 2024 auf rund 27 Millionen Dollar.

Nicht offiziell bestätigt ist, ob und in welcher Höhe ein Lösegeld tatsächlich gezahlt wurde. Unklar bleibt auch der genaue Umfang und Inhalt der gestohlenen Daten. Berichte über eine mögliche Betroffenheit sensibler Daten des US-Heimatschutzministeriums stützen sich auf Spekulationen und wurden nicht amtlich bestätigt.

Ab dem 1. September 2023 war die öffentliche Webseite der deutschen Finanzaufsicht BaFin durch einen DDoS-Angriff nur eingeschränkt erreichbar. BaFin bestätigte den Angriff offiziell und erklärte, sofort Sicherheits- und Abwehrmaßnahmen eingeleitet zu haben, während alle anderen internen Systeme uneingeschränkt funktionierten. Der Vorfall reiht sich in eine Welle von DDoS-Angriffen pro-russischer Hacktivisten auf europäische Banken und Finanzaufsichtsbehörden im Jahr 2023 ein.

Wer genau hinter dem Angriff steckt, blieb ungeklärt. Laut Recorded Future News reklamierte keine der bekannten pro-russischen Gruppen wie NoName057(16), die zu dieser Zeit Banken in Polen, Tschechien und Litauen angriffen, die Tat für sich. Ein Datenabfluss oder Einbruch in interne BaFin-Systeme wurde nicht festgestellt.

Zwei Tage nach dem Börsengang von Didi Global an der NYSE am 30.06.2021 eröffnete die chinesische Cyberspace Administration of China (CAC) am 02.07.2021 eine Cybersicherheitsprüfung gegen das Unternehmen und ließ die Didi-App aus allen chinesischen App-Stores entfernen. Nach einjähriger Untersuchung verhängte die CAC am 21.07.2022 eine Rekordstrafe von 8,026 Milliarden Yuan (rund 1,2 Milliarden US-Dollar) sowie persönliche Bußgelder gegen CEO Cheng Wei und Präsidentin Liu Qing. Die Behörde dokumentierte 16 Rechtsverstöße, darunter die widerrechtliche Erhebung von Gesichtserkennungsdaten, Standortdaten und Ausweisnummern über sieben Jahre seit 2015.

Nicht öffentlich dokumentiert ist der vollständige interne Entscheidungsprozess der chinesischen Führung, ob die Untersuchung primär der Datensicherheit oder der politischen Sanktionierung des eigenmächtigen New-Yorker Börsengangs diente. Offen bleibt zudem, in welchem Umfang die gesammelten Daten tatsächlich missbräuchlich verwendet wurden.

Der Oberste Gerichtshof Indiens setzte am 27. Oktober 2021 im Verfahren Manohar Lal Sharma gegen Union of India ein unabhängiges technisches Komitee ein, das den Einsatz der Pegasus-Spyware gegen Journalisten, Oppositionspolitiker, Aktivisten und Richter untersuchen sollte. Das Komitee prüfte 29 vorgelegte Mobiltelefone und legte Ende Juli 2022 seinen Bericht vor. Auf fünf Geräten wurde Malware gefunden, ein eindeutiger Nachweis von Pegasus gelang jedoch nicht.

Offen blieb, ob und von wem Pegasus tatsächlich gegen die betroffenen Personen eingesetzt wurde, da die Zentralregierung die Kooperation verweigerte. Der vollständige Abschlussbericht wurde nie öffentlich gemacht. Der Oberste Gerichtshof bestätigte 2025 erneut, dass Teile mit Bezug zur nationalen Sicherheit nicht offengelegt würden.

Ein Nutzer mit dem Pseudonym FreeSpeechEnthusiast veröffentlichte ab Anfang Januar 2023 über mehrere Wochen hinweg Teile des internen Twitter-Quellcodes und interner Tools auf GitHub. Twitter forderte am 24. März 2023 per DMCA-Meldung die Entfernung, GitHub löschte den Code noch am selben Tag. Twitter beantragte anschließend gerichtlich bei GitHub die Herausgabe von Nutzerdaten der Hochlader und Downloader.

Die tatsächliche Identität von FreeSpeechEnthusiast wurde nie öffentlich bekannt, ebenso wenig ob ein Insider oder Ex-Mitarbeiter verantwortlich war. Der genaue Umfang des zugänglichen Codes und ob sensible Nutzerdaten oder Sicherheitslücken konkret ausgenutzt wurden, blieb ungeklärt.

Am 25. Januar 2023 wurde auf einem Hackerforum ein 44,7 GB großes Datenpaket mit internem Yandex-Quellcode als Torrent veröffentlicht, das Code zu mehr als 13 Diensten enthielt, darunter Suche, Karten, Taxi, Mail und Cloud. Yandex bestätigte den Vorfall offiziell und erklärte, das Unternehmen sei nicht gehackt worden, sondern ein ehemaliger Mitarbeiter habe Fragmente eines internen Repositorys veröffentlicht.

Nicht öffentlich belegt ist, ob der geleakte Code der aktuell produktiv genutzten Version entspricht. Yandex erklärte, er unterscheide sich vom aktuellen Stand, während ein Sicherheitsforscher rund 90 Prozent Übereinstimmung schätzte. Offen bleiben zudem die genaue Identität des ehemaligen Mitarbeiters und ein etwaiges politisches Motiv.

Mehr als 300 Sicherheitsforscher sowie Organisationen wie Mozilla, die EFF, Cloudflare und die Linux Foundation warnten in offenen Briefen vor Artikel 45 der eIDAS-2.0-Verordnung. Die Vorschrift verpflichtet Webbrowser, von EU-Staaten benannte Zertifizierungsstellen für qualifizierte Website-Zertifikate (QWAC) anzuerkennen, ohne dass Browser diese bei Sicherheitsproblemen eigenständig entfernen können. Die Verordnung (EU) 2024/1183 trat am 20.05.2024 in Kraft, Artikel 45 blieb im finalen Text inhaltlich unverändert.

Ob die Klarstellung in Erwägungsgrund 32 die von Forschern befürchteten Risiken wie erzwungene Man-in-the-Middle-Zertifikate durch Mitgliedstaaten tatsächlich verhindert, war zum Zeitpunkt der Quelle nicht abschließend geklärt. Ein dokumentierter Fall, in dem ein EU-Staat ein QWAC bereits missbraucht hat, liegt nicht vor.

Der Sicherheitsdienstleister RedHunt Labs entdeckte am 11.01.2024 ein seit dem 29.09.2023 in einem öffentlichen GitHub-Repository eines Mercedes-Benz-Mitarbeiters abgelegtes Zugriffstoken. Das Token gewährte unbeschränkten Zugriff auf den internen GitHub-Enterprise-Server des Konzerns, darunter Quellcode, Cloud-Zugangsschlüssel für Azure und AWS, Datenbank-Verbindungszeichenketten und API-Schlüssel. Mercedes-Benz widerrief das Token am 24.01.2024 und bestätigte öffentlich, dass interner Quellcode durch menschliches Versagen frei zugänglich war.

Unklar bleibt, ob das rund vier Monate lang öffentlich einsehbare Token in dieser Zeit von Dritten gefunden oder missbraucht wurde. Mercedes-Benz erklärte, Kundendaten seien nach damaligem Kenntnisstand nicht betroffen, legte dazu aber keine überprüfbaren technischen Belege offen.

Truist Bank bestätigte im Juni 2024 einen Cyberangriff, der bereits im Oktober 2023 stattgefunden hatte. Der Hacker Sp1d3r bot im Darknet Daten von rund 65.000 Truist-Mitarbeitern sowie Kundendaten wie Kontonummern und Transaktionsdetails zum Kauf an, zusammen mit dem Quellcode des telefonischen Überweisungssystems. Die Bank begann erst ab Mai 2024 mit der Benachrichtigung betroffener Kunden, rund sieben Monate nach dem eigentlichen Vorfall.

Wie viele Kunden neben den 65.000 Mitarbeitern konkret betroffen waren, wurde nicht abschließend beziffert. Ob die im Darknet angebotenen Daten tatsächlich verkauft oder für Betrug missbraucht wurden, ist nicht belegt.

LexisNexis Risk Solutions bestätigte, dass ein Unbekannter am 25.12.2024 über ein kompromittiertes Konto auf GitHub Zugriff auf Softwareartefakte und personenbezogene Daten von 364.333 Menschen erlangte. Betroffen waren Namen, Kontaktdaten, Sozialversicherungsnummern, Führerscheinnummern und Geburtsdaten; LNRS entdeckte den Vorfall erst am 01.04.2025 und informierte die Betroffenen ab dem 24./28.05.2025.

Die Identität des Angreifers sowie der genaue Weg, wie das GitHub-Konto kompromittiert wurde, blieben ungeklärt. Offen blieb zudem, ob und in welchem Umfang die entwendeten Daten tatsächlich für Identitätsdiebstahl oder Betrug missbraucht wurden.

Santander bestätigte am 14. Mai 2024 offiziell den unbefugten Zugriff auf eine bei einem Drittanbieter gehostete Datenbank, die Teil der breiteren Snowflake-Angriffswelle war. Betroffen waren Kundendaten aus Spanien, Chile und Uruguay sowie Daten aller aktuellen und einiger ehemaliger Mitarbeiter der Gruppe weltweit. Laut Santander enthielt die Datenbank keine Transaktionsdaten und keine Zugangsdaten wie Online-Banking-Passwörter.

Die genaue Zahl der betroffenen Kunden und Mitarbeiter sowie der vollständige Umfang der gestohlenen Datenfelder wurden von Santander nicht abschließend beziffert, Medienschätzungen reichten bis zu rund 30 Millionen Kundendatensätzen. Offen blieb zudem, ob und in welcher Höhe Regulierungsbehörden Bußgelder verhängten.

Advance Auto Parts meldete im Juli 2024 einen Datendiebstahl aus seiner Snowflake-Cloud-Umgebung, der zwischen dem 14. April und 24. Mai 2024 stattfand. Betroffen waren die persönlichen Daten von rund 2,3 Millionen aktuellen und ehemaligen Bewerbern und Mitarbeitern, darunter Namen, Sozialversicherungsnummern, Führerscheinnummern und Geburtsdaten. Der Angriff war Teil einer größeren Kampagne gegen über 160 Snowflake-Kunden, darunter Ticketmaster und Santander.

Unklar bleibt die Bewertung einer zusätzlich kursierenden Hacker-Behauptung, wonach eine Datenbank mit 380 Millionen Kundendatensätzen existiere. Das Unternehmen erklärte lediglich, die Angaben zu prüfen. Auch die genaue Identität der Angreifer wurde nie abschließend gerichtsfest geklärt.

Am 15. Oktober 2022 brach ein Brand im Batterieraum des SK-C&C-Rechenzentrums in Pangyo bei Seoul aus, wodurch die Stromversorgung ausfiel und alle dort gehosteten Server offline gingen. Betroffen waren zahlreiche Kakao-Dienste wie der Messenger KakaoTalk, Kakao T, Kakao Map, Kakao Bank sowie das Portal Daum, wobei zentrale Chatfunktionen erst nach über zehn Stunden wieder liefen. Kakao-Co-CEO Nam-goong Whon trat infolge der öffentlichen Kritik zurück, und der Vorfall führte in Südkorea zur Verabschiedung von Gesetzesänderungen für georedundante Backups.

Die genaue technische Ursache des Brandausbruchs im Batterieraum wurde in den gesichteten Berichten nicht abschließend geklärt. Angaben zur exakten Gesamtdauer bis zur vollständigen Wiederherstellung aller Einzeldienste schwanken zwischen den Quellen.

Nach Recherchen der Zeitung Estadão lagen monatelang Zugangsdaten zur zentralen Gesundheitsdatenbank SUS Base64-codiert im öffentlich einsehbaren Quellcode der Website des brasilianischen Gesundheitsministeriums. Dadurch waren persönliche und medizinische Daten von rund 243 Millionen Menschen, darunter auch Verstorbene, frei zugänglich, inklusive Namen, Adressen, Telefonnummern und Gesundheitsdaten.

Aus den Berichten geht nicht hervor, ob und in welchem Umfang Dritte die offenliegenden Zugangsdaten tatsächlich zum Abruf der Datenbank genutzt haben. Auch bleibt unklar, ob eine Behörde ein Bußgeld verhängte oder wer konkret für die fehlerhafte Programmierung verantwortlich gemacht wurde.

Die britische Regulierungsbehörde Ofcom hat die Plattform 4chan am 19. März 2026 unter dem UK Online Safety Act mit insgesamt 520.000 Pfund belegt. Davon entfielen 450.000 Pfund auf fehlende Altersverifikation zum Schutz von Kindern vor Pornografie, 50.000 Pfund auf eine unterlassene Risikobewertung illegaler Inhalte und 20.000 Pfund auf unzureichende Nutzungsbedingungen. Ofcom setzte eine Nachbesserungsfrist bis 2. April 2026, danach drohen weitere Tagesstrafen.

Nicht belegt ist, ob 4chan die geforderten Altersprüfungen und Risikobewertungen bis zur gesetzten Frist tatsächlich umgesetzt hat, da das Unternehmen eine Zahlung öffentlich verweigerte und in den USA rechtlich gegen Ofcoms Zuständigkeit vorging.