Quellen-Tabelle

Am 12.04.2022 gaben US-Behörden im Rahmen von Operation TOURNIQUET die Beschlagnahme des Cybercrime-Forums RaidForums bekannt. Der mutmaßliche Gründer Diogo Santos Coelho alias Omnipotent war bereits am 31.01.2022 in Großbritannien festgenommen worden. Das seit 2015 bestehende Forum hatte mehr als 500.000 registrierte Nutzer und bot über 10 Milliarden Datensätze aus Datenlecks zum Verkauf an.

Der weitere Verlauf des Strafverfahrens gegen Coelho, insbesondere Ausgang der Auslieferung und ein mögliches Urteil, ist in dieser Quelle nicht dokumentiert.

Cambridge Analytica und sein britisches Mutterunternehmen SCL Elections gaben am 02.05.2018 bekannt, den Geschäftsbetrieb mit sofortiger Wirkung einzustellen. SCL Elections und mehrere britische Tochtergesellschaften meldeten in Großbritannien Insolvenz an, parallel wurde für die US-Tochtergesellschaften ein Verfahren vor dem US Bankruptcy Court eingeleitet. Als Grund nannte das Unternehmen die negative Medienberichterstattung, die praktisch alle Kunden vertrieben habe.

Ob tatsächlich Nutzerdaten nach der Schließung gelöscht oder weiterverwendet wurden, ist nicht unabhängig verifiziert. Ob die Nachfolgefirma Emerdata, zu der mehrere Cambridge-Analytica-Manager wechselten, als bewusste Fortführung zu werten ist, bleibt offen.

Royal Mail wurde am 10./11.01.2023 Opfer eines Ransomware-Angriffs eines LockBit-Partners, der den internationalen Post- und Paketversand an allen 11.500 Postfilialen lahmlegte. Die Angreifer forderten zunächst 80, später 40 Millionen US-Dollar. LockBit veröffentlichte einen 45-Gigabyte-Datensatz. Royal Mail meldete am 23.02.2023 die vollständige Wiederherstellung der internationalen Exportdienste nach rund sechs Wochen Störung.

Ob Royal Mail ein Lösegeld zahlte, ist nicht öffentlich bestätigt. Laut Royal Mail enthielt der Datensatz keine Finanzdaten, jedoch mindestens einen Fall mit Impfstatusdaten eines Mitarbeiters.

Die Ransomware-Gruppe LockBit behauptete im Oktober 2023, in Systeme von Boeing eingedrungen zu sein. Boeing bestätigte Anfang November 2023 einen Cybervorfall, die Flugsicherheit sei nicht betroffen. Ab dem 08.11.2023 veröffentlichte LockBit rund 43 Gigabyte Daten. Eine 2024 unversiegelte DOJ-Anklage bezifferte die ursprüngliche Lösegeldforderung auf 200 Millionen US-Dollar.

Der genaue Zeitpunkt des Ersteinbruchs und der vollständige Umfang der abgeflossenen Daten sind nicht öffentlich belegt. Die vermutete Ausnutzung der Citrix-Bleed-Schwachstelle wurde von Boeing nicht offiziell bestätigt.

Die Gruppe Scattered Spider verschaffte sich am 11.09.2023 per Social-Engineering-Anruf beim IT-Helpdesk Administratorzugriff auf die Okta- und Azure-Umgebung von MGM Resorts. Die Angreifer verschlüsselten mehr als 100 ESXi-Server mit BlackCat/ALPHV-Ransomware, wodurch Spielautomaten und Kreditkartenterminals tagelang ausfielen. Laut SEC-Mitteilung vom 05.10.2023 entstand ein geschätzter Verlust von rund 100 Millionen US-Dollar. Zusätzlich wurden persönliche Daten von Kunden mit MGM-Kontakt vor März 2019 entwendet.

Ob MGM tatsächlich kein Lösegeld zahlte, lässt sich nicht unabhängig verifizieren. Dieser Vorfall vom September 2023 ist getrennt vom früher dokumentierten MGM-Resorts-Datenleck 2019/2020 zu betrachten.

In der Nacht zum 11.12.2021 entdeckte der HR-Software-Anbieter UKG einen Ransomware-Angriff auf die Kronos Private Cloud. Betroffen waren UKG Workforce Central, TeleStaff, Healthcare Extensions und Banking Scheduling Solutions. Unternehmen wie Tesla, Temple University und die San Francisco Municipal Transit Authority mussten auf manuelle Prozesse für Lohnabrechnung und Zeiterfassung ausweichen.

Der Erstzugriffsvektor war zum Zeitpunkt dieser Meldung nicht bekannt. Die tatsächliche Ausfalldauer betrug bei manchen Kunden letztlich mehrere Monate, was in dieser frühen Quelle noch nicht dokumentiert ist.

Die Gruppe Conti verschaffte sich am 11.04.2022 über kompromittierte VPN-Zugangsdaten Zugang zum costa-ricanischen Finanzministerium und exfiltrierte rund 672 GB Daten, bevor sie die Systeme verschlüsselte. Der Angriff weitete sich auf mehrere Regierungsbehörden aus. Conti forderte zunächst 10, später 20 Millionen US-Dollar. Am 08.05.2022 rief Präsident Rodrigo Chaves als erstes Staatsoberhaupt weltweit wegen eines Cyberangriffs den nationalen Notstand aus.

Wie viele Regierungsbehörden konkret betroffen waren, wird unterschiedlich beziffert. Der zeitgleiche, separate Angriff der Gruppe Hive auf die Sozialversicherung CCSS ist ein eigenständiges Ereignis, das in Berichten teils vermischt wird.

Am 01.10.2023 veröffentlichte ein Hacker unter dem Pseudonym Golem im Forum BreachForums einen Datensatz mit Profildaten von rund einer Million 23andMe-Nutzern aschkenasisch-jüdischer Abstammung. Kurz darauf bot ein weiterer Nutzer einen Datensatz zu mehr als 300.000 Nutzern chinesischer Abstammung an. Insgesamt standen Profildaten von knapp 7 Millionen Nutzern zum Verkauf. 23andMe führte den Vorfall auf einen Credential-Stuffing-Angriff zurück, über den Angreifer via der Funktion DNA Relatives auch verknüpfte Profile auslesen konnten.

Die Identität hinter dem Pseudonym Golem und ein mögliches gezieltes Motiv sind nicht abschließend geklärt. Diese Quelle behandelt ausschließlich den Datendiebstahl von Oktober 2023, nicht die spätere Insolvenz von 23andMe.

Das FBI vergab den Codenamen Titan Rain für eine Serie von Cyberangriffen auf US-Netzwerke, die laut TIME-Recherche im September 2003 mit einem Einbruch bei Lockheed Martin begann und sich bis mindestens 2005 fortsetzte. Als betroffene Ziele nennt die Quelle unter anderem die Sandia National Laboratories, die NASA und das Arsenal Redstone. Die Angreifer kopierten gezielt Dateien und leiteten sie über Zwischenstationen in Südkorea, Hongkong und Taiwan nach Festlandchina weiter.

Ob die Angriffe direkt von der chinesischen Regierung gesteuert wurden, blieb ausdrücklich offen. Der genaue Gesamtumfang der entwendeten Daten sowie eine vollständige Liste aller betroffenen Behörden ist nicht abschließend beziffert.

Thyssenkrupp bestätigte am 08.12.2016 einen im Frühjahr 2016 begonnenen Cyberangriff auf Firmennetzwerke, der Standorte in Europa, Indien, Argentinien und den USA sowie das Stahlwalzwerk Hohenlimburg betraf. Die interne IT-Abwehr benötigte rund sechs Monate, um die Angreifer zu verdrängen, und stufte deren Ausrüstung als staatlich unterstützt ein. Die Angreifer stammten mutmaßlich aus China oder einem anderen südostasiatischen Land.

Eine eindeutige Zuordnung zu einem staatlichen Akteur oder einer bestimmten Hackergruppe ist nicht offiziell bestätigt. Thyssenkrupp machte keine genauen Angaben, welche und wie viele Daten konkret entwendet wurden.

Am 27.11.2016 fielen bei der Deutschen Telekom zeitweise rund 900.000 Internetanschlüsse aus, betroffen waren vor allem Speedport-Router. Ursache war eine weltweite Angriffswelle über das Fernwartungsprotokoll TR-069/TR-064 auf Port 7547, basierend auf einer modifizierten Mirai-Variante. Die Speedport-Router waren für die Lücke nicht anfällig, brachen aber unter der Last der Angriffsanfragen zusammen.

Der Anteil der direkt durch die Schadsoftware ausgefallenen Anschlüsse gegenüber netzwerküberlastungsbedingten Ausfällen ist nicht abschließend quantifizierbar. Spätere Entwicklungen wie eine Festnahme in Großbritannien Anfang 2017 sind nicht Bestandteil dieser Quelle.

Der Bundestag verabschiedete am 13.11.2025 das NIS2-Umsetzungsgesetz. Die EU-Umsetzungsfrist war bereits am 17.10.2024 abgelaufen, sodass Deutschland über ein Jahr im Verzug war und die EU-Kommission ein Vertragsverletzungsverfahren einleitete. Nach Zustimmung des Bundesrats am 21.11.2025 trat das Gesetz am 06.12.2025 in Kraft und verpflichtet rund 29.850 Unternehmen aus kritischen Sektoren zu verstärkten Cybersicherheitsmaßnahmen.

Ob die EU-Kommission das Vertragsverletzungsverfahren nach Inkrafttreten formell einstellte, ist offen. Die vollständige praktische Umsetzung durch die betroffenen Unternehmen war zum Recherchezeitpunkt noch nicht abschließend belegt.

Der CLOUD Act wurde am 23.03.2018 von Präsident Trump unterzeichnet. Er verpflichtet US-Technologieunternehmen, gespeicherte Nutzerdaten auf richterliche Anordnung herauszugeben, unabhängig davon, ob die Server in den USA oder im Ausland stehen. Anlass war der Rechtsstreit USA gegen Microsoft. Microsoft, Apple, Google und Facebook unterstützten die Ausarbeitung des Gesetzes, das zugleich bilaterale Abkommen für den Datenzugriff ermöglicht.

Wie oft US-Behörden seit 2018 tatsächlich per CLOUD-Act-Anordnung auf im Ausland gespeicherte Daten zugegriffen haben, ist nicht dokumentiert. Der Konflikt mit der DSGVO ist bislang nicht abschließend gerichtlich geklärt.

Verizon und Yahoo gaben am 21.02.2017 bekannt, den vereinbarten Kaufpreis für Yahoos Kerngeschäft um 350 Millionen US-Dollar zu senken, von rund 4,83 auf etwa 4,48 Milliarden US-Dollar. Grund waren die zuvor bekannt gewordenen Datenlecks bei Yahoo mit rund 500 Millionen bzw. über einer Milliarde betroffenen Konten. In der geänderten Vereinbarung teilen sich Verizon und Yahoo bestimmte rechtliche Haftungsrisiken aus den Datenlecks.

Eine genaue, offiziell bestätigte Berechnungsgrundlage für die Summe von 350 Millionen Dollar ist nicht dokumentiert. Der endgültige Abschluss der Transaktion erfolgte erst im Juni 2017.

Die Bundesnetzagentur erklärte im Februar 2017 die vernetzte Kinderpuppe My Friend Cayla wegen ihrer Aufnahmefunktion zu einem verbotenen Spionagegerät und stufte sie als unerlaubte Sendeanlage ein. Grund war eine ungesicherte Bluetooth-Verbindung zum Mikrofon. Besitz, Herstellung und Vertrieb der Puppe wurden für illegal erklärt. Das Verwaltungsgericht Köln wies einen Eilantrag des Vertreibers im Mai 2017 zurück.

Wie viele der verkauften Puppen tatsächlich vernichtet wurden, ist offen, die Behörde verzichtete auf Kontrollen in Privathaushalten. Ob strafrechtliche Ermittlungsverfahren gegen einzelne Vertreiber durchgeführt wurden, ist nicht dokumentiert.

Mattel kündigte 2015 mit Hello Barbie eine internetfähige, sprachgesteuerte Puppe an, die per Mikrofon Kindergespräche aufzeichnet und über WLAN an Cloud-Server des Partners ToyTalk überträgt, wo sie ausgewertet werden. Die Organisation Campaign for a Commercial-Free Childhood kritisierte, sensible Daten über Kinder könnten für Marketingzwecke missbraucht werden. ToyTalk erklärte, gesammelte Daten würden nicht für Werbung genutzt.

Der Artikel dokumentiert nur die Ankündigung vor dem Marktstart im Herbst 2015. Spätere Sicherheitslücken und eine im Dezember 2015 eingereichte Sammelklage wegen COPPA-Verstößen sind nicht Gegenstand dieser Quelle.

Nachdem HBGary-Federal-Chef Aaron Barr angekündigt hatte, Anführer von Anonymous identifiziert zu haben, hackte die Gruppe Anfang Februar 2011 die Server der Sicherheitsfirma und veröffentlichte mehr als 70.000 interne E-Mails. Die Mails zeigten, dass HBGary Federal zusammen mit Palantir Technologies und Berico Technologies im Auftrag der Kanzlei Hunton & Williams eine Kampagne gegen WikiLeaks vorbereitet hatte, mit Desinformation und Druck auf Journalisten. Dieselbe Kanzlei hatte die drei Firmen zudem beauftragt, gewerkschaftsnahe Organisationen wie ThinkProgress und SEIU ins Visier zu nehmen. Aaron Barr trat nach der Veröffentlichung als CEO zurück.

Bank of America und die US Chamber of Commerce bestritten, die Vorschläge in Auftrag gegeben zu haben. Ob die geplanten Maßnahmen tatsächlich umgesetzt wurden, ist nicht abschließend geklärt. Eine strafrechtliche Verfolgung der Kanzlei oder Auftraggeber ist nicht dokumentiert.

Ende Dezember 2011 drangen Aktivisten von Anonymous unter dem Namen der Operation Antisec in die Server der US-Sicherheitsberatung Stratfor ein und erbeuteten nach eigenen Angaben mehr als 200 Gigabyte Daten, darunter Kreditkartendaten und interne E-Mails von Kunden und Mitarbeitern. Eine heise online vorliegende Liste umfasste rund 4.000 Einträge vertraulicher Geschäftskunden, darunter die Deutsche Bank, DHL und der Spiegel. Die Angreifer erklärten, mit den erbeuteten Kreditkartendaten mehr als eine Million US-Dollar an Hilfsorganisationen spenden zu wollen.

Der Artikel nennt kein exaktes Einbruchsdatum und keine belastbare Gesamtzahl der betroffenen Konten. Spätere Berichte und die US-Anklage nannten deutlich höhere, teils schwankende Zahlen, die hier nicht überprüft wurden. Die spätere Verurteilung von Jeremy Hammond und die Rolle des FBI-Informanten Hector Monsegur sind nicht Gegenstand dieses Artikels.

Die Hackergruppe LulzSec griff im Mai und Juni 2011 innerhalb weniger Wochen mehrere hochrangige Ziele an, darunter Sony Pictures, den US-Sender PBS und die FBI-Partnerorganisation InfraGard. Bei Sony Pictures erbeuteten die Angreifer per SQL-Injection Nutzerdaten, bei PBS schleusten sie eine gefälschte Meldung ein und veröffentlichten eine Mitarbeiterdatenbank, bei InfraGard legten sie Zugangsdaten offen. LulzSec bezeichnete diese Angriffsserie als 50 Tage Lulz und kündigte Ende Juni 2011 die Auflösung der Gruppe an.

Wie viele Nutzerkonten bei Sony Pictures betroffen waren, ist umstritten, die Angaben schwanken je nach Quelle stark. Die genaue Mitgliederzahl der bei InfraGard offengelegten Accounts wird unterschiedlich beziffert. Die Identität aller beteiligten Hacker war zum Zeitpunkt dieser Berichterstattung nicht bekannt.

Zwischen dem 17. und 19.04.2011 verschaffte sich ein unbefugter Angreifer Zugang zum Sony PlayStation Network und dem Musikdienst Qriocity. Sony schaltete die Dienste am 20.04.2011 ab und informierte erst rund eine Woche später öffentlich über den Datendiebstahl. Nach Sony-Angaben wurden persönliche Daten von rund 77 Millionen Nutzerkonten entwendet, darunter Namen, Adressen, Geburtsdaten, Login-Daten und Passwörter, möglicherweise auch Kreditkartennummern. Das PlayStation Network blieb je nach Land bis zum 14.05.2011 abgeschaltet, der Gesamtausfall dauerte 23 Tage.

Die genaue Identität der Angreifer wurde nie offiziell festgestellt, Spekulationen über eine Verbindung zu Anonymous blieben unbestätigt. Wie viele der möglicherweise betroffenen Kreditkartendaten tatsächlich für Betrug missbraucht wurden, ist nicht dokumentiert. Schätzungen zu den Sony entstandenen Kosten schwanken je nach Quelle stark.

Der Chaos Computer Club analysierte im Oktober 2011 eine als Quellen-TKÜ eingesetzte staatliche Späh-Software und deckte gravierende Sicherheitsmängel auf. Die Software konnte beliebigen Schadcode nachladen, Kommandos zwischen Steuerserver und Trojaner waren teils unverschlüsselt und Screenshots sowie Audiodaten nur unzureichend verschlüsselt. Zudem ermöglichte sie Zugriffe auf Mikrofon, Kamera, Tastatur und Dateisystem und ging damit weit über die gesetzlich erlaubte Telekommunikationsüberwachung hinaus. Betroffen waren laut Bericht unter anderem Bayern und Schleswig-Holstein, wo die Software als Bayerntrojaner beziehungsweise 0zapftis bekannt wurde.

Wie viele Personen insgesamt mit der Software überwacht wurden, geht aus dem Artikel nicht hervor. Offen bleibt, welche weiteren Landesbehörden die Software bereits eingesetzt hatten. Der Hersteller wird in diesem Artikel nicht genannt.

Die britische Datenschutzbehörde ICO verhängte am 05.10.2016 eine Geldbuße von 400.000 Pfund gegen den Telekommunikationsanbieter TalkTalk, die bis dahin höchste von der ICO verhängte Strafe. Ursache war ein Cyberangriff vom Oktober 2015, bei dem Angreifer über SQL-Injection-Schwachstellen auf drei Webseiten personenbezogene Daten von 156.959 Kunden zugriffen, in 15.656 Fällen einschließlich Bankkontonummern und Bankleitzahlen. Die verwundbaren Seiten stammten aus der 2009 übernommenen Tiscali-Infrastruktur, TalkTalk hatte zwei frühere Angriffswarnungen im Juli und September 2015 nicht ausreichend beachtet.

Das Alter und die Identität des Haupttäters bleiben in der Berichterstattung uneinheitlich. Verhaftet wurde zunächst ein 15-Jähriger aus County Antrim, später bekannte sich ein 17-Jähriger aus Norwich vor Gericht schuldig, ob es sich um dieselbe Person handelt, ist unklar. Die genaue Höhe des von TalkTalk ursprünglich genannten Gesamtschadens wird an anderer Stelle unterschiedlich beziffert.

Der Chaos Computer Club kritisierte die deutsche Corona-Kontaktverfolgungs-App Luca am 13.04.2021 wegen mehrerer Sicherheitslücken, darunter eine fehlerhafte SMS-Validierung und die Möglichkeit, über gescannte QR-Codes die zentral gespeicherte Standorthistorie einzelner Nutzer auszulesen. Nach dem Sturz eines Mannes vor einer Mainzer Gaststätte in der Nacht vom 29. auf den 30.11.2021, der später an seinen Verletzungen starb, forderte die Mainzer Polizei vom Gesundheitsamt die über Luca erfassten Kontaktdaten der Gaststättenbesucher an. Das Gesundheitsamt übermittelte die Daten von 21 Personen, die daraufhin als Zeugen befragt wurden, obwohl § 28a Abs. 4 Satz 3 Infektionsschutzgesetz eine Nutzung nur zur Kontaktnachverfolgung erlaubt. Die Staatsanwaltschaft Mainz räumte die Rechtswidrigkeit im Nachhinein ein.

Ob und welche dienst- oder strafrechtlichen Konsequenzen die Beteiligten trugen, ist nicht belegt. Das Ergebnis des vom Landesdatenschutzbeauftragten Rheinland-Pfalz eingeleiteten Verfahrens ist nicht dokumentiert. Ob vergleichbare rechtswidrige Datenabfragen bei anderen Behörden stattfanden, ist unklar.

Auf dem vom Chaos Computer Club veranstalteten Remote-Kongress rC3 präsentierten Sicherheitsforscher Ende Dezember 2020 zahlreiche Schwachstellen in der deutschen Gesundheits-IT, wenige Tage vor dem geplanten Start der elektronischen Patientenakte (ePA) am 01.01.2021. Sie fanden unter anderem 29 ungeschützt im Internet erreichbare Konnektoren der Telematikinfrastruktur, unzureichend abgesicherte Server bei medizinischen Versorgungszentren und offene GUS-Boxen. Ein Forscher warnte, man hätte die ePA per Man-in-the-Middle-Angriff auslesen können, wäre sie bereits im Einsatz gewesen. Der ePA-Start erfolgte zunächst nur in wenigen Testpraxen in Berlin und Westfalen-Lippe.

Wie viele Versicherte die ePA in den ersten Monaten aktivierten, ist hier nicht dokumentiert, der Artikel entstand vor dem offiziellen Start. Ob die demonstrierten Schwachstellen die produktive ePA-Umgebung selbst betrafen oder nur angrenzende Systeme, bleibt offen. Die Vortragenden waren Sicherheitsforscher auf dem CCC-Kongress, keine offiziellen CCC-Sprecher.

In der Neujahrsnacht 2013/2014 veröffentlichte eine anonyme Gruppe unter dem Namen SnapchatDB Nutzernamen und Telefonnummern von rund 4,6 Millionen Snapchat-Nutzern. Die letzten beiden Ziffern jeder Telefonnummer wurden unkenntlich gemacht. Das Sicherheitsunternehmen Gibson Security hatte Snapchat bereits im August 2013 privat auf eine Schwachstelle in der Find-Friends-Funktion hingewiesen und die Lücke nach monatelangem Schweigen im Dezember 2013 öffentlich dokumentiert. Snapchat hatte die Schwachstelle zuvor als rein theoretisch eingestuft und nicht behoben.

Wer genau hinter SnapchatDB steckte, ist nicht abschließend bekannt. Ob die veröffentlichten Daten für Spam oder Betrug missbraucht wurden, ist nicht dokumentiert. Die Angabe von 4,6 Millionen betroffenen Konten stammt von den Angreifern selbst.