Quellen-Tabelle

Aadhaar ist das weltweit größte biometrisch gestützte Digitalisierungsprojekt: Eine zwölfstellige Ausweisnummer verknüpft personenbezogene und biometrische Daten jedes indischen Bürgers, darunter Iris-Scans beider Augen und alle zehn Fingerabdrücke, in einer zentralen Datenbank. Das ursprünglich freiwillige Programm ist inzwischen faktisch verpflichtend: Ohne Aadhaar lässt sich in Indien kein Bankkonto eröffnen, keine Telefonnummer oder Kreditkarte beantragen, keine Sozialleistung beziehen, keine Steuererklärung abgeben und keine Ehe schließen. Seit Einführung des Regierungsprojekts wurden über 200 Datenlecks dokumentiert; Journalisten gelang es wiederholt, gegen Bezahlung Zugriff auf die massive Datenbank zu erhalten. Kritiker bezeichnen Aadhaar als totalitär, verfassungswidrig und freiheitseinschränkend, weil zu viele sensible personenbezogene Daten relativ ungeschützt zentral gespeichert werden; zusätzlich erhielten viele der ärmsten Inder ihre lebensnotwendigen Nahrungsmittelrationen nicht, weil Geschäfte Fingerabdrücke technisch nicht korrekt lesen konnten oder keine ausreichende Internetverbindung hatten.

Die genaue Gesamtzahl der durch fehlerhafte biometrische Erkennung von Sozialleistungen ausgeschlossenen Personen ist aus dieser Quelle nicht mit einer belastbaren Statistik beziffert, nur als wiederkehrendes strukturelles Problem beschrieben.

Das im westlichen Mediendiskurs verbreitete Bild eines umfassenden, hochtechnologisierten Sozialkredit-Systems, das sämtliche chinesische Bürger mit einem einheitlichen Punktekonto überwacht, entspricht laut differenzierten Analysen nicht der Realität; ein verpflichtendes, landesweites Bürgersystem existiert bislang nicht. Bis November 2022 war das Sozialkreditsystem ein Flickenteppich aus lokalen Pilotprojekten und nationalen Einzelmaßnahmen; im November 2022 veröffentlichte China einen Gesetzentwurf, der erstmals bisherige Experimente und Regelungen bündelte. Analysten warnen jedoch davor, das System deswegen zu verharmlosen: China verfügt über einen technologisch versierten Überwachungsstaat, der real existiert, sich jedoch anders darstellt als in reißerischer Berichterstattung häufig suggeriert wird.

Die Quelle bezieht bewusst eine Mittelposition zwischen 'Dystopie-Mythos' und 'Verharmlosung'; eine abschließende, einheitliche Bewertung des tatsächlichen Überwachungsumfangs liefert sie nicht.

Im Zuge der Umstellung des Rundfunkfinanzierungssystems auf den geräteunabhängigen Rundfunkbeitrag führte der Beitragsservice 2013 einen einmaligen Meldedatenabgleich durch, bei dem die Meldedaten aller rund 70 Millionen volljährigen Deutschen abgeglichen wurden, mit dem Ziel, den Abgleich bis zum 03.03.2013 abzuschließen und rund 800.000 vermutete Beitragsschuldner zu identifizieren. Übermittelt wurden dabei Name, Geburtsdatum, akademischer Titel, Familienstand sowie Anschriften aktueller und früherer Haupt- und Nebenwohnungen. Die Bundes- und Landesdatenschutzbeauftragten beäugten den Abgleich bereits im Vorfeld kritisch; Kritiker hielten den zugrunde liegenden Staatsvertrag und den Meldedatenabgleich für verfassungswidrig, weil er faktisch auf ein bundesweites Melderegister hinauslaufe.

Ob und in welcher rechtlichen Form die Kritik am Meldedatenabgleich erfolgreich angefochten wurde, ist aus dieser Quelle nicht belegt.

Die deutschen Bundesländer verfolgen beim Einsatz von Microsoft 365 an Schulen stark unterschiedliche Ansätze, von der Ablehnung als 'Datenstaubsauger für Minderjährige' bis zur Einstufung als unverzichtbares Werkzeug für digitalen Unterricht. Nach Einschätzung der deutschen Datenschutzkonferenz (DSK) ist der Einsatz von Microsoft 365 kaum DSGVO-konform möglich; die österreichische Datenschutzbehörde (DSB) entschied, dass Microsoft 365 Education Schüler unrechtmäßig trackt und Daten ohne ausreichende Rechtsgrundlage verarbeitet. Selbst bei Speicherung auf deutschen Servern innerhalb des DSGVO-Anwendungsbereichs können Daten laut Kritikern in die USA abfließen, da US-Gesetze wie der Cloud Act und FISA US-Geheimdiensten grundsätzlichen Zugriff auf Server US-amerikanischer Unternehmen erlauben, unabhängig vom physischen Serverstandort. Baden-Württemberg kündigte nach Empfehlung des damaligen Landesdatenschutzbeauftragten Stefan Brink und Protesten von Bildungsverbänden an, Microsoft Office 365 aus seiner digitalen Lernplattform an allen Schulen des Landes zu entfernen; in vielen anderen Bundesländern wird Microsoft 365 Education dagegen weiterhin problemlos mit gezielt erworbenen Lizenzen für Lehrkräfte und Schüler eingesetzt.

Die uneinheitliche Praxis zwischen den Bundesländern zeigt, dass dieselbe DSGVO-Rechtslage in Deutschland je nach Landesbehörde unterschiedlich ausgelegt wird; eine bundesweit einheitliche verbindliche Entscheidung ist aus dieser Quelle nicht belegt.

Jobcenter gingen durch automatisierte Abfragen 82.000 Hinweisen auf möglichen Sozialleistungsbetrug nach und tauschten dabei insgesamt 9,1 Millionen Datenpakete zwischen den beteiligten Behörden aus; die Daten verschiedener Behörden werden viermal im Jahr abgeglichen. Kontoauszüge gelten als schärfstes kurzfristiges Kontrollinstrument der Jobcenter und dürfen bei einem Bürgergeld-Antrag zur Prüfung von Einkommen und Vermögen verlangt werden. Zum 01.07.2026 fällt die bisher schonende, gestaffelte Sanktionsregelung (10, 20 oder 30 Prozent Kürzung) weg. Im Jahr 2024 waren allerdings nur 0,6 Prozent bzw. rund 23.000 Menschen von Leistungsminderungen betroffen, die wegen Verweigerung der Aufnahme oder Fortführung einer Arbeit verhängt wurden, eine vergleichsweise geringe Zahl gemessen am Umfang der Datenerhebung und -kontrolle.

Die geringe tatsächliche Sanktionsquote von 0,6 Prozent im Verhältnis zum Umfang von 9,1 Millionen ausgetauschten Datenpaketen und 82.000 Betrugsprüfungen wirft die Frage auf, wie viele der Kontrollen tatsächlich zu belegtem Fehlverhalten führten; diese Verhältniszahl selbst liefert die Quelle jedoch nicht explizit als Kritik.

Seit dem 01.04.2005 können Finanzämter und andere Behörden über das automatisierte Kontenabrufverfahren auf Kontostammdaten inländischer Konten und Wertpapierdepots zugreifen, ohne dass die betroffene Bank davon Kenntnis erhält. Abgefragt werden Kontoinhaber-Name und Geburtsdatum, Konto- und Depotnummern sowie Errichtungs- und Auflösungsdaten, jedoch keine Kontostände oder Umsätze. Die Zahl der Kontenabrufe stieg von 692.166 im Jahr 2017 auf 1.140.580 im Jahr 2021, im Jahr 2022 wurden über 1,1 Millionen Abrufe registriert, davon rund 294.000 durch Finanzämter. Der Bundesbeauftragte für den Datenschutz weist seit Jahren darauf hin, dass die Zahl der von Finanzämtern initiierten Kontenabrufverfahren kontinuierlich zunimmt.

Die Statistik erfasst nur die Zahl der Abrufe, nicht deren Ergebnis; wie viele Abrufe tatsächlich zu Steuernachforderungen oder Ermittlungsverfahren führten, ist aus dieser Quelle nicht belegt.

Die ACLU trainierte Amazons Gesichtserkennungssoftware Rekognition mit 25.000 öffentlich zugänglichen Fahndungsfotos und glich sie anschließend mit Fotos von Mitgliedern des US-Kongresses ab. Der Algorithmus verwechselte fälschlicherweise 28 Kongressmitglieder mit Personen aus den Fahndungsfotos, wobei Fehltreffer bei Kongressabgeordneten mit dunklerer Hautfarbe überproportional häufig auftraten. Die ACLU kritisierte, Gesichtserkennungstechnologie verstärke die Überpolizierung Schwarzer und brauner Communities und habe bereits zu falschen Festnahmen und fehlerhaften Inhaftierungen mehrerer Schwarzer Männer geführt. Amazon kündigte im Juni 2020 ein einjähriges Moratorium für den Verkauf von Rekognition an Strafverfolgungsbehörden an und verlängerte dieses im Mai 2021 auf unbestimmte Zeit; die ACLU bewertete das befristete Moratorium ursprünglich als unzureichend und forderte ein vollständiges, dauerhaftes Verbot bis die Gefahren der Technologie vollständig adressiert seien.

Ob Amazon das unbefristete Moratorium seither tatsächlich lückenlos einhält oder Rekognition über andere Vertriebswege weiterhin an Polizeibehörden gelangt, ist aus dieser Quelle nicht belegt.

Über ungeschützte Programmierschnittstellen (APIs) der Firma Gerdes Communications, Teil der Telio Group, waren Kommunikationsdaten von mehr als 14.000 Gefangenen aus 22 deutschen Justizvollzugsanstalten frei im Internet zugänglich. Betroffen war die Software Prison Control Center; die zugehörige Webanwendung war vollständig ungeschützt, sodass jeder, der die entsprechende URL kannte, auf sensible Insassendaten zugreifen konnte, darunter Namen, Häftlingsnummern, Kontostände, PINs zur Telefonregistrierung sowie Verbindungsdaten. Besonders kritisch waren die Metadaten von Telefonaten mit Anwälten und Psychologen, deren Offenlegung zu sozialer Stigmatisierung der Gefangenen führen könnte. IT-Sicherheitsaktivistin Lilith Wittmann entdeckte die Sicherheitslücke und meldete sie umgehend den Behörden; 18 von 20 betroffenen Schnittstellen wurden innerhalb weniger Stunden nach der Meldung am 24.06.2024 behoben, alle 20 waren bis zum 25.06.2024 repariert oder abgeschaltet.

Ob die offen zugänglichen Daten vor der Meldung durch Wittmann bereits von Dritten abgegriffen und missbraucht wurden, ist aus dieser Quelle nicht belegt; die schnelle Behebung deutet auf eine verantwortungsvolle Offenlegung ohne vorherigen bekannten Missbrauch hin.

Ein Bericht des UN-Expertengremiums für Libyen dokumentierte im März 2021 den möglichen Einsatz tödlicher autonomer Waffensysteme wie der türkischen Kampfdrohne Kargu-2 des Herstellers STM bei einer Offensive nahe Tripolis im März 2020. Die Drohnen waren so programmiert, dass sie Ziele angreifen konnten, ohne eine Datenverbindung zwischen Bediener und Munition zu benötigen, eine echte 'Feuern-Vergessen-Finden'-Fähigkeit. Laut dem Bericht wurden Logistikkonvois und sich zurückziehende, mit General Khalifa Haftar verbündete Kräfte anschließend von unbemannten Kampfflugzeugen bzw. den letalen autonomen Waffensystemen wie der Kargu-2 aufgespürt und aus der Ferne angegriffen. Die Drohne nutzt Echtzeit-Bildverarbeitung und in die Plattform integrierte maschinelle Lernalgorithmen, um sowohl statische als auch bewegliche Ziele zu identifizieren, und explodiert bei Aufprall oder Annäherung an das KI-identifizierte Ziel.

Der UN-Bericht stellt nicht mit Sicherheit fest, dass tatsächlich Menschen durch ein ohne menschliche Aufsicht operierendes System getötet wurden; er beschreibt den möglichen Einsatz und löste eine intensive Debatte über autonome Waffen aus, ohne den Vorfall abschließend zu bestätigen.

Im Mai 2024 stahlen unbekannte Angreifer mehrere Millionen Kundensupport-Tickets der Überwachungs-App mSpy, einschließlich persönlicher Informationen, Support-E-Mails und Anhängen wie persönlichen Dokumenten. Das mehrere hundert Gigabyte umfassende Leck enttarnte Millionen Nutzer aus Europa, Indien, Japan sowie Nord- und Südamerika, die in den vergangenen zehn Jahren Zugang zur kommerziell erhältlichen Spyware erworben hatten; ein Mitarbeiter von Have I Been Pwned erhielt eine Liste mit 2,4 Millionen betroffenen E-Mail-Adressen. Die geleakten Zendesk-Support-Aufzeichnungen reichten bis 2014 zurück und enthielten Anfragen mehrerer hochrangiger US-Militärangehöriger, eines amtierenden US-Bundesrichters sowie eines Sheriffbüros aus Arkansas. Über einen Monat nach dem Leak hatte der ukrainische Betreiber Brainstack den Vorfall weder offiziell anerkannt noch öffentlich gemacht. Bereits 2015 und 2018 waren zuvor jeweils hunderte Gigabyte bzw. Millionen vertraulicher mSpy-Kundendaten und Überwachungsdaten von Opfern im Darknet aufgetaucht.

Dass hochrangige US-Amtsträger unter den Kunden waren, belegt die Quelle anhand der Support-Anfragen; ob sie die Software zur Überwachung Dritter tatsächlich einsetzten oder aus anderen Gründen Kontakt zum Support hatten, ist daraus nicht ersichtlich.

Bei der Versendung von Massen-E-Mails an Bürger im Rahmen der Corona-Kontaktnachverfolgung kam es bei Berliner Gesundheitsämtern zu acht dokumentierten Datenschutzverstößen seit Januar 2021, bei denen E-Mail-Adressen offengelegt wurden, mit jeweils zwischen 45 und 3.100 betroffenen Personen, insgesamt über 4.000 offengelegte Adressen. Weniger als ein Drittel der 375 deutschen Gesundheitsämter nutzte die eigentlich vom Bund geförderte Software Sormas zur Kontaktnachverfolgung; der Rest arbeitete stattdessen mit Fax, Excel-Tabellen und anderen veralteten Methoden. Obwohl die Bundesregierung die Gesundheitsämter im November aufgefordert hatte, Sormas zu installieren, lief die Software bis zum 31. Dezember desselben Jahres erst in 111 von 375 Ämtern. Sormas wurde ursprünglich vom Helmholtz-Zentrum für Infektionsforschung (HZI) in Braunschweig zur Ebola-Bekämpfung entwickelt und 2020 um ein SARS-CoV-2-Modul ergänzt; zum damaligen Zeitpunkt hatte das HZI noch keine offizielle Datenschutz-Folgenabschätzung vorgelegt.

Die Zahl von acht dokumentierten Vorfällen bezieht sich nur auf Berlin; ob vergleichbare E-Mail-Datenlecks auch in anderen Bundesländern auftraten, ist aus dieser Quelle nicht belegt.

Das Pegasus-Projekt war eine Zusammenarbeit von über 80 Journalisten aus 17 Medienorganisationen in 10 Ländern, koordiniert von der Pariser Non-Profit-Organisation Forbidden Stories in Partnerschaft mit dem Amnesty International Security Lab. Die Recherche stützte sich auf einen Datensatz mit über 50.000 Telefonnummern, die seit 2016 als potenzielle Zielpersonen von Kunden der israelischen Überwachungsfirma NSO Group identifiziert worden sein sollen. Die Untersuchung identifizierte mindestens 180 Journalisten in 20 Ländern, die zwischen 2016 und Juni 2021 für eine mögliche Überwachung mit der Pegasus-Spyware ausgewählt wurden, unter anderem in Aserbaidschan, Ungarn, Indien und Marokko, Ländern mit verstärktem Vorgehen gegen unabhängige Medien. Das Amnesty International Security Lab führte forensische Analysen an den Telefonen von mehr als einem Dutzend dieser Journalisten durch und bestätigte bei insgesamt 67 untersuchten Telefonen erfolgreiche Infektionen über eine Sicherheitslücke in iPhones, trotz NSO Groups Behauptung, die Technologie sei ausschließlich für legitime Strafverfolgungszwecke bestimmt.

Die Liste von über 50.000 Telefonnummern zeigt potenzielle Zielauswahl durch NSO-Kunden, nicht zwingend erfolgreiche Infektionen; forensisch bestätigt wurden Infektionen nur bei den 67 tatsächlich untersuchten Geräten.

Im Mai/Juli 2015 hackte eine Gruppe namens 'The Impact Team' den Seitensprung-Vermittlungsdienst Ashley Madison und drohte am 19.07.2015 der Betreiberfirma Avid Life Media, die Websites Ashley Madison und Established Men abzuschalten, andernfalls würden Nutzerdaten veröffentlicht. Die Hacker veröffentlichten schließlich Wohnort, Namen, Kreditkartendaten und Angaben zu sexuellen Vorlieben zahlloser Nutzer, einer der größten öffentlichen Moralpranger im Internet. Zahlreiche Ehen und langjährige Beziehungen zerbrachen abrupt; es gab unbestätigte Berichte über Suizide von Betroffenen, die im Freitod den einzigen Ausweg aus der öffentlichen Bloßstellung sahen. Der Hack löste zusätzlich eine Welle von Erpressungsverbrechen aus. Nach Berechnungen könnte theoretisch jeder fünfte Mann zwischen 20 und 74 Jahren in den USA mit dem Portal in Verbindung stehen und damit potenzielles Erpressungsopfer sein.

Die Berichte über durch das Leck ausgelöste Suizide sind laut Quelle unbestätigt, nicht durch offizielle Untersuchungen kausal nachgewiesen; die Schätzung 'jeder fünfte Mann' ist eine statistische Hochrechnung, keine belegte Nutzerzahl.

Am 07.05.2021 nahm Colonial Pipeline, Betreiberin der größten Raffinerieprodukt-Pipeline der USA mit über 100 Millionen Litern täglich transportiertem Treibstoff zwischen Houston, Texas, und Linden, New Jersey, ihre Systeme vorsorglich vom Netz, nachdem die Ransomware-Gruppe DarkSide über ein kompromittiertes VPN-Passwort Zugang zum Firmennetzwerk erlangt hatte. Der Angriff störte die Treibstoffversorgung an der gesamten US-Ostküste erheblich, löste Panikkäufe aus und trieb die durchschnittlichen Benzinpreise auf den höchsten Stand seit 2014, über 3 US-Dollar pro Gallone. Colonial Pipeline zahlte 4,4 Millionen US-Dollar Lösegeld; Präsident Biden erklärte den nationalen Notstand und hob vorübergehende Beschränkungen für den Inlandstransport von Erdölprodukten auf. Die Pipeline blieb vom 07. bis 12.05.2021 abgeschaltet, der Normalbetrieb wurde am 15.05.2021 wiederhergestellt.

Ob die gezahlten 4,4 Millionen US-Dollar später teilweise durch Behörden zurückerlangt wurden, ist aus dieser Quelle nicht belegt.

Im August 2021 gaben Angreifer unbefugten Zugriff auf die Netzwerke von T-Mobile US bekannt, bei dem Datensätze von über 40 Millionen ehemaligen und potenziellen Kunden, die zuvor eine Kreditprüfung beantragt hatten, sowie von 7,8 Millionen bestehenden Postpaid-Kunden entwendet wurden. Gestohlen wurden Namen, Geburtsdaten, Sozialversicherungsnummern sowie Führerschein- oder Ausweisnummern; Zahlungskartendaten waren laut T-Mobile nicht betroffen. Der Hacker John Erin Binns bekannte sich öffentlich zur Veröffentlichung der Kundendaten. T-Mobile zahlte 2022 350 Millionen US-Dollar zur Beilegung von Sammelklagen, einer der größten Datenschutz-Vergleiche in der US-Geschichte zu diesem Zeitpunkt, und wurde 2024 zusätzlich mit einem Bußgeld von 15 Millionen US-Dollar durch die US-Kommunikationsbehörde FCC belegt.

Die Motive des Hackers John Erin Binns für die Veröffentlichung der Daten sind aus dieser Quelle nicht belegt.

Am 24.11.2014 wurde Sony Pictures gehackt, wobei tonnenweise vertrauliche Daten, Finanzzahlen, interne Kommunikation sowie hochauflösende Kopien kommender Sony-Filme öffentlich wurden. Eine Hackergruppe namens 'Guardians of Peace' bekannte sich zu dem Angriff und drohte mit Terroranschlägen auf Kinos, sollte der Nordkorea-Satirefilm 'The Interview' gezeigt werden. Das FBI beschuldigte am 19.12.2014 staatliche Stellen Nordkoreas als Urheber; mit zunehmendem zeitlichem Abstand verhärteten sich jedoch Zweifel an dieser damaligen Zuschreibung. Der Datenbruch offenbarte schwache Sicherheitspraktiken bei Sony, unter anderem waren einige Daten hinter dem Passwort 'sonypictures' hinterlegt. Durch die geleakten Informationen wurden massive Gagenunterschiede bei Sony-Produktionen bekannt, und Studiochefin Amy Pascal wurde durch unsensibel formulierte private E-Mails öffentlich bloßgestellt und musste das Studio in der Folge verlassen; der geplante breite Kinostart von 'The Interview' wurde abgesagt, was auch Kritik von US-Präsident Barack Obama einbrachte.

Die Urheberschaft Nordkoreas wird von der offiziellen FBI-Zuschreibung behauptet, ist aber laut späteren Analysen keineswegs zweifelsfrei belegt; beide Lesarten kursieren bis heute.

Am 22.06.2021 bot ein Nutzer namens 'TomLiner' im Hackerforum RaidForums Datensätze zu 700 Millionen LinkedIn-Profilen zum Verkauf an, rund 92 Prozent der damaligen LinkedIn-Nutzerbasis, darunter Namen, Geschlecht, E-Mail-Adressen, Berufsbezeichnungen und Branchenangaben. Der Verkäufer erklärte gegenüber der BBC, er habe mehrere Monate gebraucht, um die LinkedIn-API zu 'hacken', und verkaufte die Daten zunächst für rund 5.000 US-Dollar an mehrere Käufer, bevor er im September denselben Datensatz mit insgesamt 187 GB kostenlos zum Download veröffentlichte. LinkedIn erklärte, es handle sich nicht um ein echtes Datenleck, da keine privaten Nutzerdaten offengelegt worden seien; die eigene Untersuchung habe ergeben, dass alle Daten bereits öffentlich zugänglich gewesen und durch Scraping bzw. Zusammenführung von Informationen verschiedener Websites entstanden seien.

Ob 'nur öffentlich zugängliche Daten' und 'echter Datenbruch' hier eine sinnvolle Unterscheidung ist, wird kontrovers diskutiert: Für Betroffene ist die massenhafte Zusammenführung öffentlicher Einzeldaten zu durchsuchbaren Profilen praktisch mit den Folgen eines Datenlecks vergleichbar, auch wenn technisch kein Systemeinbruch stattfand.

Angreifer verschafften sich im Oktober 2016 Zugriff auf Daten von rund 57 Millionen Uber-Nutzern und -Fahrern weltweit, darunter rund 50 Millionen Namen, E-Mail-Adressen und Telefonnummern von Fahrgästen sowie Führerscheinnummern von etwa 600.000 Fahrern. Statt Behörden oder Betroffene zu informieren, zahlte Uber den Angreifern 100.000 US-Dollar, damit diese die gestohlenen Daten löschten, und verschwieg den Vorfall über ein Jahr lang, bis er im November 2017 öffentlich bekannt wurde. Uber-Sicherheitschef Joe Sullivan und ein weiterer Manager verloren daraufhin ihre Positionen; Sullivan wurde später von US-Behörden wegen Strafvereitelung und bewusstem Verschweigen einer Straftat im Zusammenhang mit dem Datenleck belangt und zu drei Jahren Bewährungsstrafe verurteilt.

Ob die Angreifer die gestohlenen Daten nach Erhalt des Schweigegelds tatsächlich vollständig löschten oder weiterhin im Umlauf behielten, ist aus dieser Quelle nicht belegt.

Im November/Dezember 2013 stahlen Cyberkriminelle bei der US-Einzelhandelskette Target rund 40 Millionen Kredit- und Debitkartennummern sowie zusätzlich persönliche Daten wie Namen, Adressen, Telefonnummern und E-Mail-Adressen von bis zu 70 Millionen Kunden; die Gesamtkosten des Vorfalls beliefen sich für Target auf 248 Millionen US-Dollar. Bei der Baumarktkette Home Depot entwendeten Angreifer zwischen April und September 2014 mithilfe eigens entwickelter Schadsoftware schätzungsweise 56 Millionen Debit- und Kreditkartennummern; die Angreifer verschafften sich Zugang über gestohlene Zugangsdaten eines Drittanbieters und installierten anschließend Malware auf den Kassensystemen in 2.200 Filialen. Die verwendete Methode (RAM-Scraping-Malware über gestohlene Drittanbieter-Zugangsdaten) ähnelte stark der beim Target-Hack eingesetzten Technik; Home Depot zahlte in der Folge 179 Millionen US-Dollar für Vergleiche.

Dass beide Angriffe eine sehr ähnliche technische Methode nutzten, deutet auf eine mögliche Verbindung oder Nachahmung hin; ein direkter Zusammenhang oder dieselben Täter werden in dieser Quelle jedoch nicht behauptet.

Nachdem bekannt wurde, dass bei einem Cyberangriff 2014 Daten aus über 500 Millionen Yahoo-Nutzerkonten gestohlen worden waren, darunter Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Passwörter, verlangte Verizon-CEO Lowell McAdam von Yahoo-Direktor Tom McInerney im Februar 2017 einen Preisnachlass von bis zu 925 Millionen US-Dollar für die geplante Übernahme. Am Ende einigten sich beide Seiten auf einen Abschlag von rund 350 Millionen US-Dollar; Verizon zahlte damit letztlich 4,48 Milliarden US-Dollar für Yahoos Kerngeschäft im Internet, statt der ursprünglich vereinbarten Summe.

Der Fall zeigt konkret in Zahlen, was ein Datenleck für den Unternehmenswert bedeuten kann; ob Yahoo-Aktionäre über die reine Kaufpreisminderung hinaus für den Vertrauensschaden entschädigt wurden, ist aus dieser Quelle nicht belegt.

Eine Studie des Open Markets Institute charakterisierte Amazon als 'vor allem eine Überwachungsfirma' und deckte eine umfassende Überwachungskultur mit 'Kontrolle, Erniedrigung und unablässiger Angst' der Beschäftigten auf. Ehemalige Mitarbeiter berichteten von sogenannten 'Release Days', an denen mehrere befristete Beschäftigte gekündigt werden, wobei die Entscheidung auf den Ergebnissen eines internen Computersystems beruht; Mitarbeiter können jederzeit entlassen werden, wenn sie von Messwerten abweichen, deren Existenz ihnen nicht einmal bekannt ist. Die intensive Überwachung dient laut Studie nicht nur der Leistungskontrolle, sondern auch dazu, gewerkschaftliche Organisierung der Beschäftigten zu erschweren. Die Studienautoren fordern ein Verbot derart invasiver Überwachung und eine stärkere gesetzliche Unterstützung der Gewerkschaftsbildung durch den US-Kongress.

Konkrete Beispiele für die genauen, den Beschäftigten unbekannten Messwerte, die zur automatisierten Kündigung führen, nennt die Quelle nicht im Detail.

Zwischen Juni und September 2018 leiteten Angreifer den Nutzerverkehr der British-Airways-Website auf eine betrügerische Seite um und griffen dabei personenbezogene Daten von Kunden ab, darunter Namen, E-Mail-Adressen und Kreditkarteninformationen samt CVV-Sicherheitscodes. British Airways meldete das Datenleck am 06.09.2018, gab zunächst aber nur rund 380.000 betroffene Kunden an; die Untersuchung der britischen Datenschutzbehörde ICO ergab später, dass deutlich mehr Kunden betroffen waren, rund 500.000, und dass zahlreiche Sicherheitsvorkehrungen in den IT-Systemen von British Airways unzureichend waren und nicht den DSGVO-Anforderungen entsprachen. Die ICO kündigte daraufhin eine Rekordstrafe von umgerechnet rund 204 Millionen Euro (183 Millionen Pfund) an, die erste von der ICO unter der DSGVO ausgesprochene Geldbuße überhaupt.

Die tatsächlich final gezahlte Bußgeldsumme kann von der ursprünglich angekündigten Höhe abweichen, wenn im weiteren Verfahren Einwände oder Reduzierungen erfolgten; dies ist aus dieser Quelle nicht belegt.

Die irische Datenschutzbehörde (DPC) verhängte nach einer verbindlichen Streitbeilegungsentscheidung des Europäischen Datenschutzausschusses (EDPB) gegen Meta Platforms Ireland Limited ein Bußgeld von 1,2 Milliarden Euro, das bis dahin höchste jemals auf Basis der DSGVO verhängte Bußgeld. Grund war die unrechtmäßige Übermittlung von Nutzerdaten europäischer Facebook-Nutzer an Empfänger in den USA, die laut Behörde nicht ausreichend vor dem Zugriff durch US-Sicherheitsbehörden geschützt waren und damit Risiken für Grundrechte und -freiheiten der Betroffenen darstellten. Bei der Bußgeldbemessung wurde unter anderem die enorme Anzahl der tatsächlich erfolgten Datenübermittlungen in die USA zugrunde gelegt. Die Behörde untersagte Meta zusätzlich die weitere Datenübertragung in die USA auf der bisherigen Rechtsgrundlage.

Ob und wie Meta die Datenübermittlung nach dem Verbot tatsächlich vollständig einstellte oder über eine neue Rechtsgrundlage (etwa das spätere EU-US Data Privacy Framework) fortsetzte, ist aus dieser Quelle nicht belegt.

2019 bestätigte die US-Bank Capital One den unbefugten Zugriff auf Kundendaten, darunter Zahlungshistorie, Kontaktdaten, Kreditscores, über 100.000 Sozialversicherungsnummern und knapp 80.000 verknüpfte Bankkontonummern. Die ehemalige AWS-Ingenieurin Paige Thompson, alias 'erratic', nutzte eine fehlkonfigurierte Web Application Firewall in Capital Ones AWS-Cloud-Umgebung mittels Server-Side Request Forgery aus, um Zugangsdaten zu erlangen und Daten aus S3-Speichern mit 106 Millionen Kreditkarten-Antragsdatensätzen herunterzuladen. Thompson hatte während ihrer früheren Anstellung bei Amazon ein Tool entwickelt, mit dem sie AWS-Cloud-Konten auf Fehlkonfigurationen scannen und darüber bei mehr als 30 Organisationen, darunter Capital One, Daten abgreifen konnte. Eine Jury in Seattle sprach Thompson wegen Überweisungsbetrugs und unbefugten Zugriffs auf geschützte Computer schuldig. Capital One wurde mit 80 Millionen US-Dollar Bußgeld belegt und zahlte zusätzlich 190 Millionen US-Dollar zur Beilegung von Kundenklagen.

Ob Amazon selbst für die zugrunde liegende AWS-Sicherheitsarchitektur mitverantwortlich gemacht wurde, ist aus dieser Quelle nicht belegt; die strafrechtliche Verantwortung wurde ausschließlich Thompson als Einzeltäterin zugeschrieben.

Die mit China verbundene Hackergruppe Salt Typhoon verschaffte sich seit mindestens 2019, mit dokumentierter Aktivität ab 2022, dauerhaften Zugang zu US-Telekommunikationsnetzen, indem sie Router und Switches großer Anbieter wie AT&T, Verizon und Lumen kompromittierte. Die Angreifer drangen dabei auch in Systeme ein, die Strafverfolgungsbehörden für die gerichtlich angeordnete Erfassung von Kundendaten nutzen, und erlangten dadurch potenziell Zugriff auf sensible Informationen wie die Identität chinesischer Zielpersonen US-amerikanischer Überwachungsmaßnahmen sowie allgemeine Anruf- und SMS-Metadaten von über einer Million Amerikanern. Zwischen Dezember 2024 und Januar 2025 führte die Gruppe eine Kampagne gegen ungepatchte Cisco-Edge-Geräte durch und versuchte, über 1.000 solcher Geräte weltweit zu kompromittieren, unter Ausnutzung der Schwachstellen CVE-2023-20198 und CVE-2023-20273. Trotz US-Sanktionen kompromittierte die Gruppe 2025 fünf weitere Telekommunikationsanbieter weltweit, darunter zwei in den USA.

Die genaue Zahl der tatsächlich erfolgreich mitgelesenen Überwachungsziele (nicht nur Metadaten) ist aus dieser Quelle nicht beziffert.