Quellen-Tabelle

Sicherheitsforscher entdeckten im Januar 2024 eine offen zugängliche Datenbank mit rund 26 Milliarden Datensätzen und 12 Terabyte Umfang. Es handelt sich um eine Kompilation aus zahlreichen früheren Datenlecks, unter anderem mit Bezug zu Twitter/X, LinkedIn, Dropbox, Adobe, Weibo und Tencent, plus Datensätzen mit Bezug zu Regierungsorganisationen mehrerer Länder.

Nicht belegt ist, dass es sich um einen neuen eigenständigen Hack handelt: Die Forscher gehen davon aus, dass die Daten überwiegend aus bereits bekannten, älteren Lecks stammen und stark dupliziert sind. Wer die Datenbank zusammengestellt und online gestellt hat, blieb ungeklärt.

Der Naz.API-Datensatz umfasst 319 Dateien mit insgesamt 104 GB und enthält 70.840.771 eindeutige E-Mail-Adressen sowie rund 100 Millionen einzigartige Passwörter aus Infostealer-Malware und klassischen Credential-Stuffing-Listen. Troy Hunt integrierte die E-Mail-Adressen im Januar 2024 in Have I Been Pwned, wobei rund 65 Prozent der Adressen zuvor dort unbekannt waren.

Nicht dokumentiert ist die genaue Identität der ursprünglichen Sammler des Datensatzes oder eine vollständige Liste aller betroffenen Dienste. Unklar bleibt zudem, wie viele der enthaltenen Zugangsdaten zum Zeitpunkt der Veröffentlichung noch gültig waren.

Am 4. Juli 2024 veröffentlichte ein Nutzer namens ObamaCare in einem Hackerforum die Datei RockYou2024.txt mit 9.948.575.739 einzigartigen Klartext-Passwörtern, laut Sicherheitsforschern die bislang größte bekannte Passwort-Sammlung. Die Zusammenstellung baut auf der RockYou2021-Sammlung auf und wurde um rund 1,5 Milliarden zusätzliche Passwörter aus Datenlecks der Jahre 2021 bis 2024 erweitert.

Welches Hackerforum genau betroffen war und wer sich hinter dem Nutzernamen ObamaCare verbirgt, ist nicht öffentlich bestätigt. Aus welchen einzelnen Datenlecks die Passwörter im Detail stammen, wurde nicht vollständig offengelegt. RockYou2024 ist selbst kein neuer Einbruch bei einem Unternehmen, sondern eine Sammlung aus zahlreichen älteren Lecks.

Sicherheitsforscher Troy Hunt entdeckte im Januar 2019 in einem Untergrundforum eine Sammlung namens Collection #1 mit knapp 773 Millionen einzigartigen E-Mail-Adressen und 21 Millionen einzigartigen Passwörtern im Klartext. Die insgesamt rund 2,7 Milliarden Zeilen stammten aus über 12.000 Dateien mit 87 Gigabyte Umfang und waren zuvor kurzzeitig über den Cloud-Dienst MEGA verbreitet worden.

Nicht dokumentiert ist eine einzelne verantwortliche Ursprungsquelle: Die Daten setzten sich aus rund 2.000 verschiedenen älteren Einzel-Leaks und Hacks zusammen, deren genaue Herkunft größtenteils nicht mehr zweifelsfrei zuzuordnen ist. Auch die Identität der Zusammensteller sowie das Ausmaß tatsächlicher Schäden bleiben ungeklärt.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 4. November 2024 ein Bußgeld von 21,6 Milliarden Won (rund 15,6 Millionen US-Dollar) gegen Meta. Meta hatte zwischen Juli 2018 und März 2022 ohne Einwilligung sensible Daten von rund 980.000 südkoreanischen Facebook-Nutzern zu Religion, politischer Meinung, sexueller Orientierung und Status als nordkoreanische Flüchtlinge gesammelt und an rund 4.000 Werbetreibende weitergegeben.

Offen bleibt, ob einzelne Nutzer durch die Datenweitergabe konkret zu Schaden kamen oder ob Werbetreibende die sensiblen Kategorien gezielt diskriminierend einsetzten. Es war bereits die zweite große PIPC-Strafe gegen Meta nach einem Bußgeld von 30,8 Milliarden Won im Jahr 2022.

Bei SK Telecom wurde im April 2025 ein Malware-Angriff auf USIM-bezogene Kundendaten bekannt, der rund 23,2 Millionen Kunden über 25 Datenkategorien betraf, darunter IMSI-Nummern und unverschlüsselte SIM-Authentifizierungsschlüssel. Die südkoreanische Datenschutzbehörde PIPC verhängte am 28.08.2025 eine Rekordstrafe von 134,8 Milliarden Won (rund 97 Millionen US-Dollar) wegen fehlender Verschlüsselung, mangelhafter Netzwerktrennung und ignorierter Warnsignale seit 2021/2022.

Offen bleibt, wie viele der Betroffenen tatsächlich Opfer von Identitätsdiebstahl oder SIM-Swapping wurden. Die Angreifer wurden bislang nicht namentlich identifiziert oder einer Gruppe zugeordnet.

Die französische Datenschutzbehörde CNIL stellte am 10. Februar 2022 fest, dass der Einsatz von Google Analytics gegen Art. 44 DSGVO verstößt, weil die Datenübermittlung an Google in die USA nicht ausreichend vor dem Zugriff US-amerikanischer Geheimdienste geschützt ist. Die CNIL erteilte einem französischen Website-Betreiber eine förmliche Mahnung und gab ihm einen Monat Zeit, entweder auf Google Analytics zu verzichten oder ein Tool ohne Datentransfer in die USA zu nutzen. Grundlage waren 101 Musterbeschwerden der Organisation noyb sowie das Schrems-II-Urteil des EuGH.

Der Name des betroffenen Website-Betreibers wurde nicht veröffentlicht, ein Bußgeld wurde in diesem Verfahren nicht verhängt. Offen bleibt, ob der Betreiber die Frist einhielt, spätere Berichte zufolge erteilte die CNIL im April 2022 mindestens drei weiteren Betreibern ähnliche Anordnungen.

Im Oktober 2024 bestätigte Internet-Archive-Gründer Brewster Kahle einen Datendiebstahl, bei dem eine Datei mit rund 31 Millionen Nutzerdatensätzen entwendet wurde. Parallel legten DDoS-Angriffe, zu denen sich die Gruppe BlackMeta bekannte, archive.org und openlibrary.org zeitweise lahm. Wenig später kam ein zweiter Vorfall hinzu: Zugriff auf das Zendesk-Supportsystem über nicht rotierte Zugangstoken.

Offen bleibt, wer genau hinter dem Datendiebstahl steckt und ob DDoS-Gruppe BlackMeta und die Datenschutzverletzung von denselben Akteuren stammen. Der genaue technische Einbruchsweg wurde von verschiedenen Quellen unterschiedlich beschrieben und ist nicht abschließend geklärt.

Roku bestätigte am 12. April 2024 einen zweiten Sicherheitsvorfall binnen zwei Monaten, bei dem Angreifer per Credential Stuffing auf rund 576.000 Nutzerkonten zugriffen. Die Angreifer nutzten bei anderen Diensten erbeutete Zugangsdaten, nicht eine eigene Sicherheitslücke bei Roku. In weniger als 400 Konten wurden hinterlegte Zahlungsdaten für betrügerische Käufe missbraucht, Roku erstattete den Betroffenen die Kosten und führte danach verpflichtend Zwei-Faktor-Authentifizierung ein.

Offen bleibt, aus welcher konkreten fremden Datenpanne die verwendeten Zugangsdaten stammten. Nicht dokumentiert ist außerdem, wie viele der 576.000 betroffenen Konten tatsächlich von Dritten eingesehen wurden im Unterschied zu bloß erfolgreichen Login-Versuchen ohne weitere Aktivität.

Der US-Pharma-Distributor Cencora (vormals AmerisourceBergen) entdeckte am 21. Februar 2024 einen Cyberangriff auf seine IT-Systeme. Mindestens 1,43 Millionen Personen wurden benachrichtigt, dass Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Gesundheitsdaten wie Diagnosen entwendet wurden. Cencora einigte sich 2025 auf eine Sammelklage-Vergleichszahlung von 40 Millionen US-Dollar.

Die tatsächliche Gesamtzahl der betroffenen Personen ist unbekannt, da nicht alle US-Bundesstaaten detaillierte Fallzahlen veröffentlichen. Kein Angreifer oder keine Ransomware-Gruppe hat sich öffentlich zu dem Angriff bekannt, sodass Täterschaft und genauer Angriffsweg ungeklärt bleiben.

HCA Healthcare gab am 10.07.2023 bekannt, dass Angreifer Daten von rund 11,27 Millionen Patienten aus 20 US-Bundesstaaten erbeutet hatten. Betroffen waren Name, Adresse, E-Mail, Telefonnummer, Geburtsdatum sowie Behandlungs- und Termindaten aus einem externen Speicherort für automatisierte Patientenkommunikation. Die Daten wurden auf einem Darknet-Marktplatz zum Verkauf angeboten, HCA schaltete den Speicherort ab.

Unklar bleibt die genaue Identität der Angreifer sowie ob und in welcher Höhe eine Erpressungsforderung gestellt oder bezahlt wurde. Nicht betroffen waren laut HCA klinische Daten und Sozialversicherungsnummern, dies stützt sich aber auf Angaben des Unternehmens selbst.

Chanel bestätigte im August 2025 einen Datendiebstahl aus einer bei einem Drittanbieter Salesforce gehosteten US-Kundendatenbank, der am 25. Juli 2025 entdeckt wurde. Erbeutet wurden Name, E-Mail-Adresse, Postanschrift und Telefonnummer von Kunden, die den US-Kundenservice kontaktiert hatten. Der Angriff wird der Erpressergruppe ShinyHunters zugeschrieben, die per Voice Phishing und betrügerischer OAuth-App-Freigabe Zugriff auf Salesforce-Umgebungen zahlreicher Unternehmen erlangte.

Die genaue Zahl der betroffenen Kunden sowie der volle Umfang der abgeflossenen Daten wurden von Chanel nicht veröffentlicht. Unklar bleibt zudem, ob und in welcher Höhe Lösegeldforderungen an Chanel gestellt wurden.

Adidas bestätigte am 23.05.2025 einen Datendiebstahl über einen externen Kundenservice-Dienstleister, nachdem Ende April 2025 verdächtige Aktivitäten in dessen Systemen entdeckt worden waren. Betroffen waren Namen, E-Mail-Adressen und Telefonnummern von Kunden, die den Support kontaktiert hatten, jedoch keine Zahlungsdaten oder Passwörter. Erste regionale Meldungen erfolgten bereits Anfang Mai 2025 für Kunden in der Türkei und Südkorea.

Die genaue Zahl der weltweit betroffenen Kunden wurde von Adidas nicht beziffert. Die Identität des angegriffenen Dienstleisters sowie der genaue Einbruchsweg in dessen Systeme wurden nicht öffentlich benannt.

Der US-Modehändler Victoria's Secret nahm am 28.05.2025 seine Website sowie einige In-Store-Dienste als Vorsichtsmaßnahme nach einem Sicherheitsvorfall vom Netz. Das Unternehmen bezeichnete den Vorfall öffentlich als Sicherheitsvorfall, ohne die Art des Angriffs zu benennen. Die Filialen von Victoria's Secret und PINK blieben während der Störung geöffnet und bedienten Kunden weiter vor Ort.

Weder die Art des Angriffs noch die verantwortlichen Täter wurden von Victoria's Secret öffentlich bestätigt, Medienberichte vermuteten einen Zusammenhang mit einer Angriffswelle gegen US-Einzelhändler. Offen blieb zum Zeitpunkt der Berichterstattung, ob Kundendaten tatsächlich entwendet wurden.

Die US-Kreditauskunftei TransUnion entdeckte am 30.07.2025 einen unbefugten Zugriff auf eine bei ihr eingesetzte Drittanbieter-Anwendung, der Angriff selbst hatte am 28.07.2025 stattgefunden. Betroffen waren die Daten von mehr als 4,4 Millionen Personen in den USA, darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Rechnungsadressen, E-Mail-Adressen und Telefonnummern. TransUnion ordnete den Zugriff einer über Salesforce-verbundene Apps laufenden Kampagne zu und bot Betroffenen 24 Monate kostenlose Kreditüberwachung an.

TransUnion und Salesforce betonten, dass die Kern-Salesforce-Anwendung selbst nicht kompromittiert war, der Zugriff erfolgte über eine verbundene Drittanbieter-App. Die genaue Identität der für den Angriff verantwortlichen Gruppe wurde von TransUnion nicht offiziell bestätigt, Medienberichte ordneten ihn ShinyHunters zu.

Der US-Versicherer Farmers Insurance wurde am 30.05.2025 von einem Dienstleister über verdächtige Aktivitäten informiert und schloss die Prüfung des Vorfalls am 24.07.2025 ab. Betroffen waren mehr als 1,1 Millionen Kunden, deren Namen, Adressen, Geburtsdaten, Führerscheinnummern und die letzten vier Ziffern von Sozialversicherungsnummern offengelegt wurden. Schriftliche Benachrichtigungen an die Betroffenen begannen ab dem 22.08.2025, mehrere Medien ordneten den Vorfall der Angriffswelle gegen Salesforce-Kunden durch die als UNC6040/UNC6240 bekannte Gruppe zu.

Eine offizielle Bestätigung der Salesforce-Verbindung durch Farmers Insurance selbst liegt nicht vor, die Zuordnung stammt aus Medienberichten und nachfolgenden Sammelklagen. Der genaue technische Ablauf des Zugriffs beim Dienstleister wurde nicht im Detail veröffentlicht.

Das Nachrichtenportal The Pillar veröffentlichte am 20.07.2021 eine Recherche, die kommerziell erhältliche App-Signaldaten nutzte, um Grindr-Nutzung und Besuche von Schwulenbars einem Mobilgerät zuzuordnen, das Monsignore Jeffrey Burrill, Generalsekretär der US-Bischofskonferenz, zugeschrieben wurde. The Pillar korrelierte eine Geräte-ID mit Standortmustern an Burrills Arbeitsplatz und Wohnsitz zwischen 2018 und 2020. Burrill trat noch am Tag der Veröffentlichung zurück, Grindr erklärte, nicht die Quelle der Daten gewesen zu sein.

Der Datenhändler, von dem The Pillar die App-Signaldaten tatsächlich bezog, wurde nicht öffentlich benannt. Die technische Methode der Re-Identifizierung wurde nicht unabhängig geprüft, sondern beruht allein auf Angaben von The Pillar selbst.

Im Mai 2024 versuchten Betrüger, eine Führungskraft der Werbeholding WPP mithilfe von Deepfake-Technologie zu täuschen. Sie legten ein WhatsApp-Konto mit einem öffentlichen Foto von WPP-CEO Mark Read an und luden eine leitende Mitarbeiterin zu einem Microsoft-Teams-Meeting ein, in dem eine KI-Stimmklon-Version sowie YouTube-Aufnahmen von Read eingesetzt wurden. Ziel war die Herausgabe von Geld und persönlichen Daten für die angebliche Gründung einer neuen Firma, der Versuch scheiterte laut WPP an der Wachsamkeit der beteiligten Person.

Welche konkrete Software für die Stimmklonierung eingesetzt wurde und wer hinter dem Angriff steckt, ist nicht öffentlich bekannt. Die genaue angestrebte Schadenssumme wurde nicht beziffert, da kein Geld floss.

Die Ransomware-Gruppe Cl0p nutzte ab dem 18.01.2023 eine Zero-Day-Schwachstelle (CVE-2023-0669) in der Managed-File-Transfer-Software GoAnywhere MFT des Herstellers Fortra aus. Fortra entdeckte die Aktivität am 30.01.2023 und veröffentlichte am 07.02.2023 ein Update. Cl0p beanspruchte am 10.02.2023 die Verantwortung und gab an, Daten von rund 130 Organisationen erbeutet zu haben, darunter Hitachi Energy und Crown Resorts.

Die genaue Gesamtzahl der tatsächlich betroffenen Organisationen ist nicht unabhängig verifiziert. Dieser Fall betrifft die GoAnywhere-MFT-Software und ist von der separaten MOVEit-Transfer-Kampagne derselben Cl0p-Gruppe ab Mai 2023 zu unterscheiden.

Am 19.12.2023 gab das US-Justizministerium bekannt, die Infrastruktur der Ransomware-Gruppe ALPHV/BlackCat gestört zu haben, die zuvor mehr als 1.000 Opfer weltweit kompromittiert und rund 300 Millionen US-Dollar erbeutet hatte. Das FBI hatte 946 Schlüsselpaare für Tor-Websites der Gruppe sichergestellt und einen Entschlüsselungscode entwickelt, mit dem über 500 Opfer ihre Daten wiederherstellen konnten. Wenige Stunden nach der Ankündigung erklärte ALPHV/BlackCat, die eigene Leak-Website zurückerobert zu haben, und hob als Vergeltung das interne Verbot auf, Krankenhäuser anzugreifen.

Ob ALPHV/BlackCat die eigene Website tatsächlich zurückerlangte oder die Ankündigung eine Inszenierung war, ist unter Sicherheitsforschern umstritten. Ob der zwei Monate später erfolgte Angriff auf Change Healthcare unmittelbar auf die Aufhebung der Angriffsbeschränkungen zurückzuführen ist, wird vermutet, aber nicht belegt.

Am 17. und 18.11.2024 wurden in der Ostsee zwei Unterseekabel beschädigt, das Datenkabel C-Lion1 zwischen Finnland und Deutschland sowie die Verbindung BCS East-West zwischen Schweden und Litauen. Ermittler richteten den Verdacht auf den chinesischen Frachter Yi Peng 3, der laut Recherchen zur Tatzeit die betroffenen Streckenabschnitte passierte und dabei seinen Anker über den Meeresgrund geschleift haben soll. Am 20.12.2024 bestiegen Vertreter aus Deutschland, Schweden, Finnland und Dänemark das Schiff zur Inspektion.

Nicht bewiesen ist, ob die Kabelbeschädigung vorsätzlich erfolgte oder ein Unfall war. China bestreitet jede Verantwortung, westliche Ermittler gehen von einem möglichen Sabotageakt aus, dies aber ausdrücklich unbelegt. Die Ergebnisse der Schiffsinspektion wurden nicht veröffentlicht.

Apple reichte im November 2021 Klage gegen die NSO Group ein und warf ihr vor, Apple-Nutzer mit der Pegasus-Spyware über den FORCEDENTRY-Exploit ausgespäht zu haben. Am 12.09.2024 beantragte Apple die freiwillige Rücknahme der eigenen Klage. Als Begründung nannte Apple die Gefahr, dass eine Fortsetzung vertrauliche Bedrohungsanalyse-Daten offenlegen und damit anderen Spyware-Anbietern nützen könnte.

Ob und wie das Gericht über den Rücknahmeantrag abschließend entschied, ist nicht dokumentiert. Eine konkrete finanzielle Entschädigung oder ein Vergleich zwischen den Parteien ist nicht belegt, es handelt sich um eine einseitige Klagerücknahme, kein Urteil in der Sache.

Der baden-württembergische Landtag verabschiedete am 12.11.2025 mit grün-schwarzer Mehrheit eine Neufassung des Polizeigesetzes, die die rechtliche Grundlage für den Einsatz der Analysesoftware von Palantir bei der Polizei schafft. Das System soll laut Gesetzentwurf ab dem zweiten Quartal 2026 einsatzbereit sein und erlaubt zudem die Nutzung von Polizeidaten zum Training von KI-Systemen außerhalb rein wissenschaftlicher Forschung. Der Landesdatenschutzbeauftragte Tobias Keber äußerte mehrere Kritikpunkte an der verfassungsrechtlichen Konformität des Gesetzes.

Die konkreten Einzelpunkte von Kebers Kritik sind nicht im Wortlaut wiedergegeben. Anders als in Bayern ist zum Berichtszeitpunkt keine Verfassungsbeschwerde gegen das baden-württembergische Gesetz bekannt, eine gerichtliche Überprüfung steht noch aus.

Der Bundestag verabschiedete am 25.03.2021 die Novelle des BND-Gesetzes als gesetzliche Reaktion auf das BVerfG-Urteil vom 19.05.2020, das die bisherige Ausland-Ausland-Fernmeldeaufklärung des BND für verfassungswidrig erklärt hatte. Das neue Gesetz erlaubt dem BND laut netzpolitik.org das Abhören großer Teile der weltweiten Telekommunikationsnetze sowie das Eindringen in IT-Systeme von Kommunikationsanbietern, zugleich wurde ein unabhängiger Kontrollrat als Aufsichtsbehörde eingeführt. Bundespräsident Steinmeier unterzeichnete das Gesetz am 19.04.2021.

In welchem tatsächlichen Umfang der BND die 2021 neu geschaffenen Befugnisse seither nutzt, geht aus den verfügbaren Quellen nicht hervor. Ob der neue Kontrollrat die vom Bundesverfassungsgericht geforderte wirksame Kontrolle in der Praxis sicherstellt, ist nicht belegt.

The Intercept veröffentlichte am 19.02.2015 auf Basis von Snowden-Dokumenten eine Recherche über den sogenannten Great SIM Heist. Ein 2010 gegründetes gemeinsames Team von NSA und GCHQ soll Systeme des niederländischen SIM-Kartenherstellers Gemalto gehackt haben, der jährlich rund zwei Milliarden SIM-Karten fertigt. Über das NSA-Suchsystem XKeyscore verschafften sich die Dienste Zugriff auf private E-Mail-Konten von Gemalto-Ingenieuren und erbeuteten darüber geheime SIM-Verschlüsselungsschlüssel, allein für Somalia wurden bis Juni 2010 rund 300.000 Schlüssel dokumentiert. Gemalto erklärte nach eigener Untersuchung, ein Angriff sei wahrscheinlich, ein massenhafter Diebstahl der Schlüssel selbst lasse sich jedoch nicht belegen.

Gemalto und The Intercept widersprechen sich bis heute im Kernpunkt, ob tatsächlich in großem Stil Schlüssel entwendet wurden. Die genaue Gesamtzahl der weltweit entwendeten SIM-Schlüssel sowie das Ausmaß ihrer Nutzung für konkrete Abhörmaßnahmen sind aus den Dokumenten nicht ersichtlich.