Quellen-Tabelle

Am 21.02.2024 legte die Ransomware-Gruppe ALPHV/BlackCat mit einem Angriff auf einen Citrix-Fernzugangsserver ohne Multi-Faktor-Authentifizierung die IT-Systeme von Change Healthcare lahm, einem UnitedHealth-Tochterunternehmen, das einen Großteil der US-Rezept- und Krankenversicherungsabrechnungen verarbeitet. Der wochenlange Ausfall störte bundesweit Apotheken und Arztpraxen. Am 01.05.2024 bestätigte UnitedHealth-CEO Andrew Witty vor dem US-Senat, dass sein Unternehmen rund 22 Millionen US-Dollar in Bitcoin gezahlt hatte, und räumte ein, dass Daten von möglicherweise einem Drittel der US-Bevölkerung betroffen sein könnten.

Die exakte Gesamtzahl der letztlich betroffenen Personen ist nicht abschließend belegt, spätere behördliche Meldungen korrigierten diese Zahl mehrfach nach oben. Ob die gestohlenen Daten trotz Lösegeldzahlung tatsächlich gelöscht wurden, bleibt offen.

Das Berufungsgericht des Ninth Circuit bestätigte am 13.03.2025 die Verurteilung des ehemaligen Uber-Sicherheitschefs Joseph Sullivan. Eine Bundesjury hatte Sullivan im Oktober 2022 wegen Behinderung eines FTC-Verfahrens und Nichtanzeige einer Straftat verurteilt, weil er ein Ende 2016 entdecktes Datenleck mit Daten von rund 57 Millionen Uber-Nutzern vertuscht hatte. Er hatte den Hackern 100.000 US-Dollar in Bitcoin über das Bug-Bounty-Programm gezahlt und sie eine falsche Verschwiegenheitserklärung unterschreiben lassen.

Ob weitere Uber-Führungskräfte von der Vertuschung wussten, wurde strafrechtlich nie untersucht. Ob die kopierten Nutzerdaten tatsächlich vollständig gelöscht wurden, wie es die Verschwiegenheitserklärung vorsah, ist unklar.

Am 05.02.2023 wurde ein Reddit-Mitarbeiter Opfer eines gezielten Phishing-Angriffs über eine gefälschte Intranet-Anmeldeseite, die Zugangsdaten und einen Zwei-Faktor-Code abgriff. Die Angreifer erhielten dadurch Zugang zu internen Dokumenten, Quellcode sowie internen Dashboards. Reddit erklärte, es gebe keine Hinweise auf einen Einbruch in die Produktivsysteme, Passwörter und Zahlungsdaten seien nicht betroffen gewesen.

Der genaue Umfang der entwendeten Daten bleibt offen, Reddit veröffentlichte keine konkrete Datenmenge. Die spätere Täterzuordnung zur Gruppe BlackCat/ALPHV mit rund 80 Gigabyte erbeuteter Daten wurde von Reddit nicht offiziell bestätigt.

Am 18.06.2020 verweigerte die Wirtschaftsprüfungsgesellschaft EY das Testat für den Jahresabschluss von Wirecard, weil sie 1,9 Milliarden Euro auf angeblichen Treuhandkonten auf den Philippinen nicht nachweisen konnte. Wirecard räumte daraufhin ein, dass dieses Geld höchstwahrscheinlich nie existiert hatte. Vorstandschef Markus Braun wurde am 22.06.2020 festgenommen, am 25.06.2020 meldete Wirecard als erstes DAX-Unternehmen der Geschichte Insolvenz an. Vorausgegangen waren jahrelange Recherchen der Financial Times unter Reporter Dan McCrum.

Der genaue Umfang des Betrugs ist bis heute nicht abschließend gerichtlich geklärt. Der Strafprozess gegen Ex-Vorstandschef Markus Braun läuft seit Dezember 2022 am Landgericht München I und war auch im August 2026 noch nicht rechtskräftig abgeschlossen. Der ehemalige Vorstand Jan Marsalek gilt weiterhin als flüchtig.

In der Nacht vom 29. auf den 30.10.2023 griff die Ransomware-Gruppe Akira den kommunalen IT-Dienstleister Südwestfalen-IT an und verschlüsselte Teile der IT-Infrastruktur. Der Angriff legte die IT-Systeme von rund 72 Mitgliedskommunen in mehreren nordrhein-westfälischen Kreisen lahm, betroffen waren rund 1,7 Millionen Einwohner. Wochenlang fielen zahlreiche Bürgerdienste wie Kfz-Zulassung und Sozialleistungen aus. Nach ersten Erkenntnissen erfolgte der Zugriff über eine VPN-Lösung ohne Multifaktor-Authentifizierung.

Welche konkreten Personen oder Strukturen hinter der Gruppierung Akira stehen, ist nicht öffentlich dokumentiert. Ob eine Lösegeldforderung gestellt oder eine Zahlung geleistet wurde, wird in dieser Quelle nicht abschließend geklärt.

Ab dem Abend des 24.09.2019 legte ein Malware-Angriff die IT-Systeme mehrerer Werke der Rheinmetall-Automotive-Sparte in Brasilien, Mexiko und den USA lahm. Die Produktion an diesen Standorten war erheblich gestört. Rheinmetall bezifferte den möglichen wöchentlichen Ergebnisschaden ab der zweiten Woche auf 3 bis 4 Millionen Euro und rechnete mit einer Wiederherstellung innerhalb von zwei bis vier Wochen. Die übrigen Konzern-IT-Systeme sowie die Rüstungssparte blieben laut Unternehmensangaben unberührt.

Rheinmetall bestätigte weder die genaue Art der Schadsoftware noch, ob es sich um verschlüsselnde Ransomware handelte. Ein separater, ähnlich gelagerter Ransomware-Angriff auf Rheinmetall im Jahr 2020 ließ sich in der Recherche nicht verifizieren, dieser 2019er Fall ist die dokumentierte Entsprechung.

Am 23.07.2020 legte die Ransomware WastedLocker weltweit zentrale Dienste des Wearables-Herstellers Garmin lahm, darunter Garmin Connect, flyGarmin und das Satellitenkommunikationssystem inReach. Sicherheitsforscher ordneten die Ransomware der Gruppe Evil Corp zu, die auf der US-Sanktionsliste stand. BleepingComputer bestätigte am 01.08.2020, dass Garmin einen funktionierenden Entschlüsseler erhielt. Die ursprüngliche Lösegeldforderung lag laut einem Mitarbeiter bei rund 10 Millionen US-Dollar.

Garmin äußerte sich nie dazu, ob und in welcher Höhe tatsächlich Lösegeld gezahlt wurde. Der exakte technische Einstiegsvektor der Angreifer wurde nie offiziell bestätigt.

Die Ransomware-Gruppe Cl0p griff das in Darmstadt ansässige Softwareunternehmen Software AG am Wochenende des 03.10.2020 an. Die Angreifer forderten ein Lösegeld von 23 Millionen US-Dollar in Bitcoin und drohten mit der Veröffentlichung von rund einem Terabyte gestohlener Daten. Software AG zahlte das Lösegeld nicht, woraufhin Cl0p ab dem 09.10.2020 interne Dokumente, E-Mails und Mitarbeiterdaten veröffentlichte. Kundenseitige Cloud-Dienste blieben laut Unternehmen unberührt.

Über welchen technischen Einstiegsvektor die Angreifer eindrangen, wurde nicht öffentlich genannt. Die exakte Zahl der von den veröffentlichten Daten betroffenen Personen wurde nicht offiziell beziffert.

Am 22.12.2020 wurde die Funke Mediengruppe Opfer eines Ransomware-Angriffs mit einem Trojaner der Doppelpaymer-Familie, derselben Schadsoftware, die im September 2020 die Düsseldorfer Uniklinik betroffen hatte. Zahlreiche Computersysteme in Redaktionen und Druckhäusern wurden bundesweit verschlüsselt, betroffen waren unter anderem WAZ, Hamburger Abendblatt und Berliner Morgenpost. Die Tageszeitungen konnten am Folgetag nur als Notausgaben erscheinen, das Unternehmen deaktivierte zudem seine Paywalls.

Ob tatsächlich ein Lösegeld gezahlt wurde, ist nicht offiziell bestätigt. Eine offizielle Feststellung, welche konkrete Tätergruppe hinter dem Angriff stand, liegt öffentlich nicht vor.

Am 12.12.2024 fand im Rat der EU erneut keine ausreichende Mehrheit für die geplante Chatkontrolle-Verordnung zustande. Deutschland enthielt sich bei der Abstimmung, ebenso Belgien, Luxemburg, Polen, Tschechien, Slowenien, Estland, Finnland, Österreich und die Niederlande, zusammen eine Sperrminorität von mehr als 35 Prozent der EU-Bevölkerung. Damit scheiterte auch die ungarische Ratspräsidentschaft mit ihrem Kompromissvorschlag, nachdem zuvor bereits die belgische Präsidentschaft im Juni 2024 an derselben Hürde gescheitert war.

Eine ursprünglich vermutete Ratsabstimmung im September 2024 mit deutscher Enthaltung ließ sich nicht verifizieren, im September fanden nur Arbeitsgruppentreffen statt. Die hier dokumentierte Abstimmung fand nachweislich erst am 12.12.2024 statt.

Der US-Ausschuss CFIUS stufte die vollständige Übernahme der Dating-App Grindr durch das chinesische Unternehmen Kunlun Tech als nationales Sicherheitsrisiko ein. Kunlun hatte Grindr 2016 und 2018 übernommen, ohne die Transaktion vorab prüfen zu lassen. Im Mai 2019 ordnete CFIUS die Veräußerung an, da Daten der rund 27 Millionen Nutzer wie Standort und HIV-Status potenziell dem chinesischen Staat zugänglich sein könnten. Am 06.03.2020 gab Kunlun bekannt, Grindr für rund 608 Millionen US-Dollar zu verkaufen.

Ob CFIUS öffentlich belegte Beweise für einen tatsächlichen Datenzugriff durch chinesische Behörden vorlegte, ist nicht ersichtlich, CFIUS-Verfahren sind grundsätzlich vertraulich. Ob der Verkauf fristgerecht vollständig abgeschlossen wurde, geht aus diesem Artikel nicht hervor.

Nach der Übernahme von Twitter durch Elon Musk im Oktober 2022 gewährte dieser ab Dezember 2022 ausgewählten Journalisten Zugang zu internen Firmendokumenten. Die Auszüge betreffen unter anderem die Sperrung des Hunter-Biden-Laptop-Berichts im Oktober 2020 und die Sperrung von Donald Trumps Account im Januar 2021. Laut den Dokumenten tauschte der frühere Twitter-Sicherheitschef Yoel Roth zwischen Januar 2020 und November 2022 mehr als 150 E-Mails mit dem FBI aus.

Ob die dokumentierten Kontakte zwischen Twitter und Behörden tatsächlich konkrete Moderationsentscheidungen erzwungen haben, bleibt offen. Mehrere Medien kritisierten die Veröffentlichungen als lückenhaft und gezielt ausgewählt.

Facebook startete am 06.11.2007 das Werbefeature Beacon, das Kaufaktivitäten von Nutzern auf rund 44 Partnerseiten automatisch im persönlichen Facebook-Newsfeed veröffentlichte, standardmäßig als Opt-out statt Opt-in. Nach breitem Nutzerprotest entschuldigte sich Gründer Mark Zuckerberg am 05.12.2007 öffentlich und führte eine vollständige Opt-out-Möglichkeit ein. Beacon wurde 2009 im Zuge einer Sammelklage endgültig eingestellt, verbunden mit einer Zahlung von 9,5 Millionen US-Dollar an eine neu gegründete Datenschutzstiftung.

Wie viele der rund 50 Millionen betroffenen Nutzer tatsächlich unfreiwillig Daten preisgaben, ist nicht dokumentiert. Die Sammelklagen-Einigung sah keine individuellen Entschädigungszahlungen an betroffene Nutzer vor.

AOL veröffentlichte am 04.08.2006 versehentlich eine Datei mit rund 20 Millionen Suchanfragen von über 650.000 Nutzern, wobei Nutzernamen durch numerische IDs pseudonymisiert waren. Anhand der Suchhistorie von Nutzerin Nr. 4417749 identifizierte die New York Times die 62-jährige Thelma Arnold aus Lilburn, Georgia. AOL entfernte die Datei nach wenigen Tagen, entließ den zuständigen Forscher, und CTO Maureen Govern trat am 21.08.2006 zurück.

Wie viele der über 650.000 betroffenen Nutzer tatsächlich reidentifiziert wurden, ist nicht dokumentiert, es liegt nur der Einzelfall Thelma Arnold vollständig belegt vor. Eine 2006 eingereichte Sammelklage wurde erst 2013 mit einem Vergleich über 5 Millionen US-Dollar beigelegt.

Die Pandora Papers wurden ab dem 03.10.2021 vom ICIJ veröffentlicht, basierend auf rund 11,9 Millionen Dokumenten aus 14 Offshore-Dienstleistern. Mehr als 600 Journalisten aus 117 Ländern werteten die Daten aus. Die Recherche deckte geheime Offshore-Vermögen von über 330 Politikern und Amtsträgern in mehr als 90 Ländern auf, darunter 35 Staats- und Regierungschefs, sowie Vermögenswerte von mehr als 130 Milliardären aus 45 Ländern einschließlich 46 russischer Oligarchen.

Ob die aufgedeckten Offshore-Strukturen im Einzelfall illegal waren, ist nicht dokumentiert, der Besitz von Offshore-Firmen ist für sich genommen in vielen Rechtsordnungen legal. Die vollständige Liste aller betroffenen Personen wurde nicht in Gänze veröffentlicht.

Am 20.09.2020 veröffentlichten ICIJ und BuzzFeed News die FinCEN Files, basierend auf mehr als 2100 vertraulichen Suspicious Activity Reports großer internationaler Banken an die US-Finanzaufsichtsbehörde FinCEN zwischen 1999 und 2017, die verdächtige Transaktionen im Wert von über 2 Billionen US-Dollar dokumentieren. Genannt werden unter anderem JPMorgan Chase, HSBC, Deutsche Bank und Standard Chartered. Quelle war die frühere FinCEN-Mitarbeiterin Natalie Mayflower Sours Edwards, die im Juni 2021 zu sechs Monaten Haft verurteilt wurde.

Eine Suspicious Activity Report ist eine interne Verdachtsmeldung und kein Beweis für tatsächliches Fehlverhalten. Welche aufsichtsrechtlichen Maßnahmen sich direkt auf die FinCEN Files zurückführen lassen, ist unklar, da spätere Bußgelder oft auf eigenständigen Ermittlungen beruhen.

Am 14.11.2015 wurde der Spielzeughersteller VTech Opfer eines Hackerangriffs über eine SQL-Injection-Schwachstelle. Nach VTechs Angaben waren weltweit rund 6,4 Millionen Kinderprofile und rund 4,9 Millionen Elternkonten betroffen. Der anonyme Hacker erklärte, zusätzlich mehr als 190 Gigabyte Kinderfotos sowie rund ein Jahr Chatprotokolle kopiert zu haben.

Der genaue Gesamtumfang der abgegriffenen Fotos und Chatprotokolle wurde von VTech nie offiziell beziffert. Ob die Daten über den meldenden Hacker hinaus von Dritten missbraucht wurden, ist nicht belegt.

Die Fitness-App Strava veröffentlichte im November 2017 eine globale Heatmap mit GPS-Aktivitätsdaten von über einer Milliarde Trainingseinheiten. Ende Januar 2018 machte der Student Nathan Ruser öffentlich, dass die Laufrouten von Soldaten in der Heatmap die Umrisse von US-Militärbasen in Syrien, Afghanistan und Somalia sichtbar machten. Strava erklärte, die Heatmap zeige eine anonymisierte Ansicht und kündigte eine Überprüfung der Privatsphäre-Einstellungen an.

Wie viele Militärstandorte konkret identifiziert wurden und ob daraus tatsächliche Sicherheitsvorfälle entstanden, ist nicht abschließend dokumentiert. In welchem Umfang einzelne Soldatenprofile re-identifiziert werden konnten, beruht auf Stichproben.

Optus meldete am 22.09.2022 einen Cyberangriff auf seine Kundendatenbank. Betroffen waren personenbezogene Daten von bis zu 9,8 Millionen aktuellen und ehemaligen Kunden, darunter Namen, Geburtsdaten und teils Reisepass- oder Führerscheinnummern. Ein anonymer Akteur forderte zunächst ein Lösegeld von umgerechnet rund 1 Million US-Dollar.

Die technische Ursache bleibt umstritten, Optus sprach von einem gezielten Cyberangriff, während Regierungsvertreter eine ungesicherte, öffentlich erreichbare API als Ursache nannten. Ein Gerichtsverfahren der Datenschutzbehörde OAIC war zum Zeitpunkt der Quelle noch nicht abgeschlossen.

Ein Ransomware-Angriff kompromittierte im Oktober 2022 persönliche Daten von 9,7 Millionen Kunden des australischen Krankenversicherers Medibank. Bei fast 500.000 Kunden wurden zusätzlich sensible Gesundheitsdaten erbeutet. Die Angreifer forderten zunächst 10, später 9,7 Millionen US-Dollar Lösegeld, was Medibank nicht zahlte. Die australische Bundespolizei ordnete die Täter dem russischsprachigen REvil-Umfeld zu, Anfang Dezember 2022 veröffentlichten sie die letzten Daten im Darknet.

Zum Zeitpunkt dieser Quelle nannten die Behörden keine konkreten Namen einzelner Täter. Ob Bank- oder Kreditkartendaten betroffen waren, blieb strittig zwischen Medibank und den Angreifern.

Die australische Regierung stellte 2018 mit My Health Record allen Medicare-Karteninhabern automatisch eine zentrale elektronische Gesundheitsakte an, sofern diese nicht aktiv widersprachen. Der ursprüngliche Widerspruchsstichtag wurde nach massiver Kritik vom 15.10.2018 auf den 31.01.2019 verschoben. Bis dahin hatten laut Australian Digital Health Agency mehr als 2,5 Millionen Australier widersprochen, rund 10 Prozent der Berechtigten.

Wie viele der über 2,5 Millionen Opt-outs konkret auf Datenschutzbedenken zurückgehen im Gegensatz zu anderen Gründen, ist nicht dokumentiert. In welchem Umfang Daten aus bereits angelegten Konten an Dritte weitergegeben wurden, bleibt offen.

Apple führte am 26.04.2021 mit iOS 14.5 die Funktion App Tracking Transparency ein, die vor dem Zugriff auf die Werbekennung IDFA eine ausdrückliche Nutzererlaubnis verlangt. Facebook kritisierte die Maßnahme scharf und schaltete ganzseitige Zeitungsanzeigen gegen Apple. Nach einer frühen Erhebung von AppsFlyer stimmten zum Start nur rund 39 Prozent der Nutzer dem Tracking zu.

Unabhängig geprüfte Zahlen zu den tatsächlichen finanziellen Einbußen von Meta durch ATT liefert der Artikel nicht, er stützt sich auf frühe Schätzungen einzelner Analysefirmen. Wie sich die Opt-in-Rate im weiteren Verlauf 2021 entwickelte, ist nicht dokumentiert.

Der Alphabet-Ableger Sidewalk Labs gab am 07.05.2020 die Aufgabe seines Smart-City-Projekts Quayside in Toronto bekannt, offiziell wegen wirtschaftlicher Unsicherheit durch die Covid-19-Pandemie. Dem Rückzug ging ein mehrjähriger öffentlicher Streit um die geplante Sensor- und Datensammlung voraus. Bereits 2018 trat die frühere Datenschutzbeauftragte Ontarios, Ann Cavoukian, als Beraterin zurück, da ihr zufolge keine ausreichende Anonymisierung zugesichert wurde.

Ob die jahrelange öffentliche Kritik an der Datensammlung tatsächlich mitentscheidend für die Absage war, ist nicht offiziell bestätigt. Eine förmliche behördliche Untersuchung zu den Datenschutzvorwürfen ist nicht bekannt.

Am 06.05.2025 sprach eine Geschworenenjury am US-Bundesgericht WhatsApp und Meta gegen NSO Group Schadensersatz zu: 444.719 US-Dollar Kompensation und 167.254.000 US-Dollar Strafschadensersatz. Grundlage war die Ausnutzung einer WhatsApp-Schwachstelle 2019, über die NSO die Pegasus-Spyware auf rund 1.400 Geräten installierte. Vorausgegangen war ein Haftungsurteil von Richterin Phyllis Hamilton vom Dezember 2024.

NSO Group kündigte Rechtsmittel an. Spätere Medienberichte legen nahe, dass die Richterin den Strafschadensersatz nachträglich auf rund 4 Millionen US-Dollar reduzierte, dies stammt nicht aus der Primärquelle und sollte separat verifiziert werden.

Am 14.09.2021 veröffentlichte das Wall Street Journal interne Facebook-Dokumente als Auftakt der Serie The Facebook Files. Eine interne Präsentation hielt fest, dass Instagram bei einem von drei Teenager-Mädchen bestehende Körperbildprobleme verschlimmert, laut einer internen Erhebung von März 2020 gaben 32 Prozent der befragten Mädchen an, Instagram verstärke negative Gefühle zum eigenen Körper. Quelle der Dokumente war die ehemalige Facebook-Produktmanagerin Frances Haugen, die sich zwei Wochen später als Whistleblowerin zu erkennen gab.

Der Artikel nannte Haugen als Quelle noch nicht namentlich, ihre Identität wurde erst am 03.10.2021 öffentlich bekannt. Ob die Ergebnisse einen ursächlichen oder nur korrelativen Zusammenhang belegen, bleibt offen.