Quellen-Tabelle

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2021 gegen WhatsApp Ireland Limited eine Geldbuße von 225 Millionen Euro. Grundlage war eine Untersuchung, die die DPC am 10.12.2018 von Amts wegen eingeleitet hatte. Gegenstand war die Frage, ob WhatsApp seinen Transparenzpflichten nach der Datenschutz-Grundverordnung nachkam, insbesondere bei der Information von Nutzern und Nicht-Nutzern über die Verarbeitung und Weitergabe von Daten an andere Facebook-Unternehmen. Die DPC stellte Verstöße gegen die Artikel 12, 13 und 14 sowie gegen den Transparenzgrundsatz aus Artikel 5 Absatz 1 Buchstabe a DSGVO fest. Der ursprüngliche Bußgeldvorschlag der DPC vom Dezember 2020 hatte lediglich 30 bis 50 Millionen Euro betragen. Acht betroffene Aufsichtsbehörden aus anderen EU-Staaten erhoben Einspruch gegen diesen Entwurf. Der Europäische Datenschutzausschuss entschied daraufhin am 28.07.2021 im verbindlichen Streitbeilegungsverfahren, dass die Buße deutlich höher ausfallen muss. Neben der Geldstrafe erteilte die DPC WhatsApp einen Verweis und ordnete konkrete Maßnahmen zur Herstellung der Rechtskonformität an.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Nutzer konkret von den Transparenzmängeln betroffen waren, und ein möglicher Ausgang eines gerichtlichen Einspruchs von WhatsApp gegen die Entscheidung wird darin nicht dokumentiert.

Die irische Datenschutzbehörde (Data Protection Commission, DPC) verhängte am 15.09.2023 ein Bußgeld von 345 Millionen Euro gegen TikTok Technology Limited, die europäische Tochtergesellschaft mit Sitz in Dublin. Die Entscheidung basiert auf einer Untersuchung des Zeitraums vom 31.07.2020 bis 31.12.2020 und betrifft den Umgang mit den Daten minderjähriger Nutzer im Alter von 13 bis 17 Jahren. Die DPC stellte fest, dass Nutzerkonten von Teenagern standardmäßig auf öffentlich eingestellt waren und die Funktion Family Pairing es Erwachsenen ermöglichte, für Teenager-Konten Direktnachrichten zu aktivieren, ohne dass eine familiäre Beziehung überprüft wurde. Zudem bemängelte die Behörde irreführende Voreinstellungen in zwei Pop-up-Hinweisen bei der Registrierung und beim Hochladen von Videos, sogenannte Dark Patterns. Die Entscheidung stellte Verstöße gegen mehrere Artikel der DSGVO fest. Der Verstoß gegen Artikel 5(1)(a) wurde nach einem verbindlichen Beschluss des Europäischen Datenschutzausschusses ergänzt, nachdem eine deutsche Aufsichtsbehörde Einwände zu den Dark Patterns erhoben hatte. Neben dem Bußgeld erteilte die DPC eine Rüge und ordnete an, dass TikTok die betroffenen Verarbeitungspraktiken innerhalb von drei Monaten in Einklang mit der DSGVO bringt.

Diese Entscheidung und Quelle beziehen sich ausschließlich auf die 2023 verhängte Kinderdaten-Buße; Datentransfers nach China wurden von der DPC erst in einem separaten Verfahren im Mai 2025 mit einem zusätzlichen Bußgeld von 530 Millionen Euro geahndet. Der Ausgang eines möglichen Rechtsmittelverfahrens von TikTok gegen die 345-Millionen-Euro-Entscheidung ist aus dieser Quelle nicht ersichtlich.

Am 21.01.2019 verhängte die formation restreinte der französischen Datenschutzbehörde CNIL eine Geldbuße von 50 Millionen Euro gegen Google LLC. Es war die erste große Sanktion unter der seit Mai 2018 geltenden EU-Datenschutz-Grundverordnung und zum Zeitpunkt der Verhängung die höchste von einer europäischen Datenschutzbehörde ausgesprochene Strafe. Grundlage waren zwei Sammelbeschwerden der Organisationen None Of Your Business (NOYB) um Max Schrems und La Quadrature du Net vom 25. und 28.05.2018. Die CNIL stellte einen Verstoß gegen Artikel 12 und 13 DSGVO fest, weil Informationen zur Datenverarbeitung bei der Einrichtung eines Android-Kontos auf mehrere Dokumente verstreut und schwer auffindbar waren. Zudem sah die Behörde einen Verstoß gegen Artikel 6 DSGVO, da die Einwilligung zur personalisierten Werbung nicht wirksam eingeholt wurde, unter anderem weil das Zustimmungskästchen bei der Kontoerstellung bereits vorangehakt war. Google legte gegen die Entscheidung Rechtsmittel beim Conseil d'État ein. Am 19.06.2020 bestätigte der Conseil d'État die Sanktion vollständig und wies die Beschwerde von Google zurück.

Die Entscheidung betrifft primär die Einwilligung zur personalisierten Werbung bei der Einrichtung eines Android-Kontos, nicht klassische Cookie-Banner auf Webseiten; eine gesonderte CNIL-Sanktion gegen Google wegen Cookies in Höhe von 100 Millionen Euro erfolgte erst im Dezember 2020. Die genaue Zahl der in Frankreich betroffenen Nutzerkonten ist aus der Quelle nicht ersichtlich.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) verhängte am 01.10.2020 ein Bußgeld in Höhe von 35.258.707,95 Euro gegen die H&M Hennes & Mauritz Online Shop A.B. & Co. KG. Betroffen war das Servicecenter des Unternehmens in Nürnberg, wo mehrere hundert Mitarbeiterinnen und Mitarbeiter mindestens seit dem Jahr 2014 von der Centerleitung überwacht wurden. Vorgesetzte Teamleader führten nach Urlaubs- und Krankheitsabwesenheiten sogenannte Welcome-Back-Talks durch und notierten dabei unter anderem Krankheitssymptome, Diagnosen sowie konkrete Urlaubserlebnisse. Über Einzel- und Flurgespräche eigneten sich einige Vorgesetzte zusätzlich Wissen über familiäre Probleme und religiöse Bekenntnisse ihrer Mitarbeitenden an. Die Aufzeichnungen wurden dauerhaft auf einem Netzlaufwerk gespeichert und waren für bis zu 50 weitere Führungskräfte im Unternehmen einsehbar. Bekannt wurde die Praxis, weil die Notizen im Oktober 2019 infolge eines Konfigurationsfehlers für einige Stunden unternehmensweit zugänglich waren. Die Behörde ließ daraufhin rund 60 Gigabyte Daten sichern und auswerten sowie zahlreiche Zeuginnen und Zeugen vernehmen. H&M entschuldigte sich, zahlte unbürokratischen Schadenersatz und führte am Standort Nürnberg ein neues Datenschutzkonzept ein.

Die genaue Zahl der betroffenen Beschäftigten wird in der Pressemitteilung nur als mehrere hundert angegeben, nicht exakt beziffert. Ob H&M gegen den Bußgeldbescheid rechtlich vorging oder dieser rechtskräftig wurde, geht aus der Quelle nicht hervor.

Am 02.12.2015 töteten Syed Rizwan Farook und Tashfeen Malik bei einem Attentat in San Bernardino, Kalifornien, 14 Menschen und verletzten 22 weitere. Ermittler sicherten ein dienstliches iPhone 5C von Farook, das mit einem vierstelligen Code und iOS-Verschlüsselung gesichert war. Am 16.02.2016 ordnete die US-Bundesrichterin Sheri Pym auf Basis des All Writs Act von 1789 an, Apple müsse dem FBI angemessene technische Unterstützung leisten, konkret eine spezielle Firmware-Version, die die automatische Löschfunktion und die Verzögerung bei Falscheingaben des Codes deaktiviert. Noch am selben Tag veröffentlichte Apple-CEO Tim Cook den offenen Brief A Message to Our Customers, in dem er die Anordnung als Aufforderung zum Bau einer Hintertür bezeichnete und vor einem Präzedenzfall für alle iPhone-Nutzer warnte. Apple legte am 25.02.2016 einen Antrag auf Aufhebung der Anordnung vor, FBI-Direktor James Comey und Apples Justiziar Bruce Sewell sagten am 01.03.2016 vor dem US-Kongress aus. Am 21.03.2016 beantragte das US-Justizministerium eine Verschiebung der Anhörung, weil ein Dritter eine mögliche Methode zum Entsperren des Telefons vorgestellt habe. Am 28.03.2016 zog das Justizministerium die Klage zurück und erklärte, das FBI habe erfolgreich auf die Daten des iPhones zugegriffen, ohne Apples Hilfe zu benötigen. FBI-Direktor Comey bezifferte die Kosten für die Entsperrmethode im April 2016 auf mehr als 1,3 Millionen US-Dollar.

Die Identität des Drittanbieters, der dem FBI beim Entsperren half, wurde nie offiziell bestätigt (kursierende Berichte nennen die israelische Firma Cellebrite), und die genaue Höhe der gezahlten Summe schwankt in Medienberichten zwischen unter 1 Million und über 1,3 Millionen US-Dollar. Ob die auf dem Telefon gefundenen Daten ermittlungsrelevant waren, ist aus dieser Quelle nicht abschließend belegt.

Zwischen April und Mai 2024 verschaffte sich die Angreifergruppe UNC5537 unbefugten Zugriff auf mindestens 165 Kundenkonten der Cloud-Datenplattform Snowflake. Snowflake teilte am 30.05.2024 mit, am 23.05.2024 von dem unbefugten Zugriff erfahren zu haben, nachdem die Erpressergruppe ShinyHunters am 28.05.2024 den Verkauf von 560 Millionen Ticketmaster-Kundendatensätzen in einem Cyberkriminalitätsforum angekündigt hatte. Laut dem am 10.06.2024 veröffentlichten Bericht des IT-Sicherheitsunternehmens Mandiant nutzten die Angreifer gestohlene Zugangsdaten aus Infostealer-Malware wie Vidar, Redline, Raccoon Stealer und Lumma, die teils seit November 2020 nicht mehr geändert worden waren. Mindestens 79,7 Prozent der missbrauchten Konten wiesen bereits zuvor kompromittierte Zugangsdaten auf. Ursächlich für den Erfolg der Angriffe waren das Fehlen von Mehrfaktor-Authentifizierung sowie fehlende Netzwerk-Zugriffsbeschränkungen auf den betroffenen Snowflake-Konten. Zu den betroffenen Organisationen zählten unter anderem Ticketmaster/Live Nation, die Santander Bank, AT&T, Advance Auto Parts und Neiman Marcus. AT&T bestätigte im Juli 2024 den Diebstahl von Anruf- und SMS-Metadaten von rund 110 Millionen Kunden. Am 30.10.2024 wurde der mutmaßliche Haupttäter Connor Riley Moucka in Kitchener, Ontario, festgenommen. Im November 2024 erhob das US-Justizministerium Anklage gegen ihn und einen weiteren Mann wegen Computerbetrugs, Erpressung und schweren Identitätsdiebstahls.

Die genaue Gesamtzahl der betroffenen Einzelpersonen sowie die Höhe tatsächlich gezahlter Lösegelder einzelner Opferunternehmen sind aus dieser Quelle nicht abschließend bestätigt. Der juristische Ausgang des Verfahrens gegen die mutmaßlichen Täter war zum Zeitpunkt der zitierten Berichterstattung noch offen.

Am 24.11.2019 veröffentlichte das International Consortium of Investigative Journalists (ICIJ) gemeinsam mit 17 Medienpartnern aus 14 Ländern und mehr als 75 Journalisten die sogenannten China Cables, geheime chinesische Regierungsdokumente aus dem Jahr 2017. Die Dokumente waren ICIJ über eine Kette exilierter Uiguren zugespielt worden und umfassen ein neunseitiges Betriebshandbuch vom November 2017, vier elfseitige Geheimdienstbulletins vom Juni 2017 sowie ein Gerichtsdokument von 2018. Das Betriebshandbuch, laut den Unterlagen abgezeichnet vom damaligen stellvertretenden Parteisekretär Xinjiangs Zhu Hailun, beschreibt erstmals detailliert den Betrieb der Internierungslager für Angehörige der uigurischen Minderheit in der Region Xinjiang. Die Bulletins belegen den Einsatz der Überwachungsplattform Integrated Joint Operations Platform (IJOP), die auf Basis von Big-Data-Analysen automatisch Personen als verdächtig einstuft. Laut einem der Bulletins generierte die IJOP-Software allein in einer Woche im Juni 2017 eine Liste von 24.412 als verdächtig markierten Personen, von denen 15.683 in derselben Woche interniert wurden. Menschenrechtsorganisationen und Forscher gehen von Hunderttausenden bis über einer Million Inhaftierten in den Lagern der Region aus. Die Echtheit der Dokumente wurde unter anderem von den China-Experten Adrian Zenz und James Mulvenon bestätigt. Die chinesische Botschaft in London bezeichnete die Dokumente als Fälschung und stellte die Einrichtungen als freiwillige Berufsbildungszentren dar.

Die genaue Gesamtzahl der Internierten in Xinjiang sowie die vollständige Befehlskette bis zur Zentralregierung in Peking sind aus den veröffentlichten Dokumenten allein nicht abschließend belegt, und Peking bestreitet die Echtheit der China Cables bis heute.

Cellebrite ist ein israelisches Unternehmen, das mit dem Universal Forensic Extraction Device (UFED) Software zur Entsperrung und Datenextraktion aus Smartphones herstellt. Am 12.01.2017 erbeuteten Hacker rund 900 GB interne Daten von Cellebrite-Servern, darunter Zugangsdaten zu Firmendatenbanken und Auswertungsdateien beschlagnahmter Telefone. Die erbeuteten Daten belegten Verkäufe der Entsperrtechnik an die Türkei, die Vereinigten Arabischen Emirate und Russland. Weitere Recherchen zeigten, dass Cellebrite-Produkte zwischen 2013 und 2019 auch an das belarussische Untersuchungskomitee geliefert wurden, das sie gegen die demokratische Opposition einsetzte. Laut Haaretz vom 16.09.2020 bot Cellebrite zudem Saudi-Arabien Entsperrdienste an, wofür ein Firmenvertreter im November 2019 nach Riad reiste. Im August 2020 berichtete MIT Technology Review, dass die Polizei Hongkongs Cellebrite-Geräte einsetzte, um Handys von während der Proteste 2019/2020 festgenommenen Demonstranten zu entsperren. Laut Gerichtsakten nutzte auch die myanmarische Polizei Cellebrite-Technik zur Auswertung der Telefone zweier 2018 verurteilter Reuters-Journalisten, die über den Rohingya-Genozid berichtet hatten. Am 07.10.2020 kündigte Cellebrite wegen geänderter US-Exportvorschriften an, keine Produkte mehr an Hongkong und China zu verkaufen.

Der genaue Umfang der weltweiten Cellebrite-Kundenliste sowie die tatsächliche Zahl betroffener Staaten und Einzelpersonen sind aus dieser Quelle nicht vollständig belegt. Unklar bleibt zudem, ob die angekündigten Lieferstopps an Russland, Belarus, Hongkong und China tatsächlich eingehalten wurden, da spätere Berichte weiterhin Nutzung der Technik in diesen Ländern nahelegen.

Die britische Gesundheitsbehörde NHSX testete ab dem 05.05.2020 auf der Isle of Wight eine Bluetooth-basierte Corona-Kontaktverfolgungs-App mit zentralisiertem Datenmodell, bei dem Kontaktdaten auf einem zentralen NHS-Server gespeichert wurden. Bis zum 11.05.2020 wurde die App rund 55.000 Mal heruntergeladen. Datenschutzexperten kritisierten das zentralisierte Modell wegen des Risikos einer Ausweitung der Datennutzung und forderten stattdessen ein dezentrales Modell nach Vorbild der von Apple und Google entwickelten Exposure-Notification-Schnittstelle. Tests zeigten zudem technische Probleme: Wegen Apples Beschränkungen für Bluetooth-Hintergrundprozesse erkannte die zentralisierte App nur etwa 4 Prozent der iPhones und rund 75 Prozent der Android-Geräte zuverlässig, während das Apple-Google-Modell 99 Prozent beider Gerätetypen erfasste. Am 18.06.2020 gab Gesundheitsminister Matt Hancock bekannt, dass die Regierung das zentralisierte Modell aufgibt und künftig mit Apple und Google an einer dezentralen Lösung arbeitet. Die neue, auf der Apple-Google-Schnittstelle basierende NHS-COVID-19-App wurde am 24.09.2020 in England und Wales veröffentlicht und am ersten Tag sechs Millionen Mal heruntergeladen. Eine 2023 veröffentlichte Studie schätzte, dass die App im ersten Betriebsjahr rund eine Million Infektionsfälle und etwa 9.600 Todesfälle verhindert habe. Die App wurde am 27.04.2023 endgültig abgeschaltet.

Aus dieser Quelle nicht belegt sind die genauen Entwicklungskosten der ursprünglichen zentralisierten App sowie die Details der internen Entscheidungsprozesse. Ebenfalls unklar bleibt, ob letztlich die technischen Bluetooth-Probleme mit iPhones oder die Datenschutzbedenken den Ausschlag für den Wechsel gaben.

Im Oktober und November 2016 luden zwei Hacker aus einer AWS-Cloud-Datenbank von Uber persönliche Daten von 57 Millionen Nutzern und Fahrern herunter, darunter rund 25,6 Millionen Namen und E-Mail-Adressen sowie etwa 607.000 Führerscheinnummern US-amerikanischer Fahrer. Uber erfuhr am 14.11.2016 von dem Angriff. Der damalige Sicherheitschef Joseph Sullivan ließ den Hackern daraufhin 100.000 US-Dollar in Bitcoin zahlen und diese Zahlung über das Programm HackerOne als reguläre Bug-Bounty-Prämie tarnen, obwohl Ubers übliche Höchstprämie bei 10.000 Dollar lag; die Hacker mussten zudem eine Verschwiegenheitserklärung unterzeichnen. Der Vorfall wurde erst im November 2017 öffentlich, als der neue Uber-Chef Dara Khosrowshahi ihn offenlegte, woraufhin Sullivan entlassen wurde. Im September 2018 zahlte Uber 148 Millionen US-Dollar in einem Vergleich mit den Generalstaatsanwälten aller 50 US-Bundesstaaten und des District of Columbia wegen verspäteter Meldung der Datenpanne. Im August 2020 klagte die US-Bundesstaatsanwaltschaft Sullivan wegen Behinderung eines FTC-Verfahrens und Verschweigen einer Straftat an. Eine Bundesgeschworenenjury sprach ihn am 05.10.2022 in beiden Anklagepunkten schuldig. Am 04.05.2023 verurteilte Richter William Orrick Sullivan zu drei Jahren Bewährung, 200 Stunden gemeinnütziger Arbeit und einer Geldstrafe von 50.000 US-Dollar, ohne Haftstrafe.

Aus der Berichterstattung nicht abschließend geklärt ist, inwieweit der damalige Uber-CEO Travis Kalanick persönlich für die Vertuschung mitverantwortlich war; er wurde strafrechtlich nicht angeklagt, obwohl der Richter ihn laut Presseberichten als ebenso schuldig bezeichnete. Der genaue Tag der Bitcoin-Zahlung im Dezember 2016 ist in den verfügbaren Quellen nicht einheitlich belegt.

Am 25.05.2022 gaben das US-Justizministerium (DOJ) und die Federal Trade Commission (FTC) eine Einigung mit Twitter Inc. bekannt, wonach das Unternehmen 150 Millionen US-Dollar Zivilstrafe zahlen muss. Den Behörden zufolge forderte Twitter zwischen Mai 2013 und September 2019 Nutzer auf, Telefonnummern und E-Mail-Adressen anzugeben, offiziell zur Kontosicherheit, etwa für die Zwei-Faktor-Authentifizierung und die Passwort-Wiederherstellung. Tatsächlich nutzte Twitter diese Daten zusätzlich für zielgerichtete Werbung, ohne die Nutzer darüber zu informieren. Nach Angaben der Behörden waren mehr als 140 Millionen Twitter-Nutzer betroffen. Die FTC wertete dies als Verstoß gegen den FTC Act sowie gegen eine bereits im März 2011 gegen Twitter erlassene behördliche Anordnung zum Datenschutz. Die Einigung verpflichtet Twitter zu einem umfassenden Compliance-Programm mit 20 Jahren FTC-Aufsicht, zur Bereitstellung von Multi-Faktor-Authentifizierung ohne Telefonnummernpflicht sowie zur Benachrichtigung betroffener Nutzer über die Zweckentfremdung ihrer Daten. FTC-Vorsitzende Lina Khan bezeichnete die Strafe als Reaktion auf einen wiederholten Verstoß, da Twitter bereits 2011 eine ähnliche Anordnung erhalten hatte. Die Strafzahlung entsprach nach Medienberichten rund drei Prozent des Twitter-Jahresumsatzes von 2021.

Aus der Pressemitteilung geht nicht hervor, in welchem Umfang die Werbedaten konkret an Drittanbieter weitergegeben oder wie viel Zusatzumsatz Twitter dadurch erzielte. Ebenso unklar bleibt, ob und wie viele einzelne Nutzer individuell benachrichtigt oder entschädigt wurden.

JPMorgan Chase, die größte Bank der USA, teilte am 02.10.2014 in einer Pflichtmitteilung an die US-Börsenaufsicht SEC mit, dass Angreifer persönliche Kontaktdaten von 76 Millionen Haushalten und 7 Millionen kleinen Unternehmen erbeutet hatten. Die Angreifer verschafften sich im Juni 2014 mithilfe gestohlener Zugangsdaten eines Mitarbeiters Zugang zu einem internen Server, der nicht durch Zwei-Faktor-Authentifizierung gesichert war, und drangen anschließend in mehr als 90 weitere Server des Konzerns ein. JPMorgan entdeckte den Einbruch Mitte August 2014 und beendete ihn kurz darauf. Erbeutet wurden Namen, Postadressen, Telefonnummern und E-Mail-Adressen. Nach Angaben der Bank fanden sich keine Hinweise auf den Diebstahl von Kontonummern, Passwörtern, Geburtsdaten oder Sozialversicherungsnummern. Im November 2015 klagte die US-Staatsanwaltschaft für den Südlichen Bezirk von New York die Israelis Gery Shalon und Ziv Orenstein sowie den US-Amerikaner Joshua Samuel Aaron im Rahmen eines größeren Betrugs- und Marktmanipulationsschemas an, das neben JPMorgan mindestens neun weitere Finanzunternehmen betraf. Shalon bekannte sich 2017 in allen 23 Anklagepunkten schuldig und musste Vermögenswerte von mehr als 400 Millionen US-Dollar abtreten. Der russische Mitangeklagte Andrei Tyurin wurde 2018 ausgeliefert und 2021 zu zwölf Jahren Haft verurteilt. JPMorgan verdoppelte in der Folge sein jährliches Cybersicherheitsbudget von rund 250 Millionen auf 500 Millionen US-Dollar.

Ob wirklich keine Konto- oder Sozialversicherungsdaten abflossen, beruht allein auf der eigenen Einschätzung von JPMorgan und wurde nicht unabhängig verifiziert. Der genaue strafrechtliche Ausgang gegen den mutmaßlichen Mitorganisator Joshua Samuel Aaron ist mit dieser Quelle nicht abschließend belegt.

Zwischen dem 17. und 19. April 2011 verschafften sich unbekannte Angreifer unbefugten Zugriff auf die Server des Sony-Unterhaltungsnetzwerks PlayStation Network (PSN) und des Musikdienstes Qriocity. Am 20. April 2011 schaltete Sony beide Dienste vollständig ab, um die Systeme zu untersuchen. Am 26. April 2011 bestätigte Sony offiziell, dass persönliche Daten von rund 77 Millionen PSN- und Qriocity-Konten kompromittiert wurden, darunter Namen, Adressen, E-Mail-Adressen, Geburtsdaten sowie Login- und Passwortdaten. Zusätzlich waren beim ebenfalls angegriffenen Dienst Sony Online Entertainment rund 24,6 Millionen weitere Konten betroffen, bei etwa 12.700 davon auch Kreditkartendaten. Die PlayStation-Network-Dienste blieben bis zum 14. Mai 2011 vollständig offline, ein Ausfall von rund drei Wochen. Am 23. Mai 2011 bezifferte Sony die Kosten des Vorfalls auf etwa 171 Millionen US-Dollar, unter anderem für Identitätsschutz-Versicherungen und kostenlose Abonnements für betroffene Nutzer. Im Januar 2013 verhängte die britische Datenschutzbehörde Information Commissioner's Office eine Geldstrafe von 250.000 britischen Pfund gegen Sony wegen unzureichender Sicherheitsvorkehrungen. Die Angreifer wurden nie zweifelsfrei identifiziert, Sony vermutete zunächst eine Beteiligung der Hacktivisten-Gruppe Anonymous, die eine Verantwortung jedoch zurückwies.

Die genaue Herkunft und Identität der Angreifer ist bis heute nicht zweifelsfrei belegt, ebenso wenig, in welchem Umfang gestohlene Kreditkartendaten tatsächlich für Betrug missbraucht wurden. Die Zahl von 12.700 betroffenen Kreditkarten bei Sony Online Entertainment stammt aus Sonys eigenen Angaben und ist unabhängig nicht überprüft.

Die US-Einzelhandelskette TJX Companies, Betreiber von T.J. Maxx, Marshalls und weiteren Ketten, entdeckte am 18.12.2006 einen seit Juli 2005 andauernden Einbruch in ihre IT-Systeme und informierte die Öffentlichkeit am 17.01.2007. Die Angreifer verschafften sich Zugang über ein mit dem veralteten WEP-Standard gesichertes WLAN einer Marshalls-Filiale in St. Paul, Minnesota, das sie per Wardriving vom Parkplatz aus knackten, und bewegten sich anschließend monatelang unbemerkt im zentralen Zahlungsverkehrsnetz. In einer Mitteilung an die US-Börsenaufsicht SEC bezifferte TJX im März 2007 die Zahl betroffener Karten auf 45,7 Millionen. In einer Gerichtseingabe vom 24.10.2007 gaben klagende Bankenverbände die tatsächliche Zahl mit rund 94 Millionen Karten an, davon etwa 65 Millionen von Visa und 29 Millionen von MasterCard. Zusätzlich wurden persönliche Daten von rund 451.000 Kunden entwendet, die Waren ohne Kassenbon zurückgegeben hatten. TJX zahlte im November 2007 bis zu 40,9 Millionen US-Dollar an Visa und im April 2008 rund 24 Millionen US-Dollar an MasterCard. Am 01.08.2008 verpflichtete sich TJX gegenüber der FTC per Vergleich zu 20 Jahren regelmäßiger unabhängiger Sicherheitsaudits. Der als Haupttäter identifizierte Albert Gonzalez wurde im August 2008 zusammen mit zehn weiteren Personen angeklagt und später zu 20 Jahren Haft verurteilt.

Die exakte Gesamtzahl betroffener Karten ist nicht abschließend geklärt: TJX bestätigte offiziell nur 45,7 Millionen, während die höhere Zahl von 94 Millionen auf einer Schätzung klagender Bankenverbände beruht. Auch die genaue Rolle einzelner Mitangeklagter neben Albert Gonzalez ist aus dieser Quelle nicht im Detail belegt.

Der US-Zahlungsdienstleister Heartland Payment Systems wurde ab etwa Dezember 2007/2008 Opfer eines Cyberangriffs, der am 20.01.2009 von Firmenchef Robert Carr öffentlich bekanntgegeben wurde. Angreifer nutzten eine SQL-Injection-Schwachstelle in einer webbasierten Anwendung, um in das Zahlungsabwicklungsnetzwerk einzudringen, und installierten dort ein Sniffer-Programm, das unverschlüsselte Kartendaten während der Transaktionsautorisierung abfing. Betroffen waren Kartennummern, Ablaufdaten und teils Magnetstreifendaten sowie Karteninhabernamen von schätzungsweise 134 Millionen Zahlungskarten, was den Vorfall zum damals größten bekannten Kreditkartendiebstahl der Geschichte machte. Visa alarmierte Heartland im Oktober 2008 auf verdächtige Transaktionsmuster, woraufhin die Untersuchung begann. Die Drahtzieherschaft wurde dem US-Hacker Albert Gonzalez zugeschrieben, der im März 2010 zu 20 Jahren Haft verurteilt wurde, die zum damaligen Zeitpunkt höchste je in den USA für Hacking verhängte Strafe. Zwei russische Mitangeklagte wurden im Februar 2018 verurteilt. Heartland zahlte insgesamt rund 145 Millionen US-Dollar an Entschädigungen, darunter etwa 60 Millionen US-Dollar an Visa und 41 Millionen US-Dollar an Mastercard, und verlor vorübergehend seinen PCI-DSS-Compliance-Status, bevor Visa die Wiederzulassung am 01.05.2009 bestätigte.

Die exakte Gesamtzahl der finanziellen Folgekosten (teils 140, teils 145 Millionen US-Dollar in verschiedenen Quellen) sowie der genaue Zeitpunkt des Einbruchsbeginns sind je nach Quelle uneinheitlich; Wikipedia selbst nennt an einer Stelle abweichend 100 Millionen Karten und über 650 betroffene Finanzdienstleister als alternative Schätzung.

Am 17.03.2011 informierte die IT-Sicherheitsfirma RSA, eine Sparte des Speicherkonzerns EMC, ihre Kunden über einen als Advanced Persistent Threat eingestuften Cyberangriff auf ihre Systeme. Der Angriff begann bereits am 03.03.2011, als die Angreifer an eine kleine Gruppe von RSA-Mitarbeitern eine Phishing-E-Mail mit dem Betreff 2011 Recruitment Plan und einem präparierten Excel-Anhang verschickten. Die Datei nutzte eine Zero-Day-Schwachstelle in Adobe Flash (CVE-2011-0609), um die Backdoor-Software Poison Ivy im Netzwerk von RSA zu installieren. Über diesen Zugang entwendeten die Angreifer Daten aus der Datenbank der Zwei-Faktor-Authentifizierungstechnologie SecurID, darunter nach Einschätzung von RSA vermutlich die geheimen Seed-Schlüssel und Seriennummern der Hardware-Token. Am 21.05.2011 entdeckte der US-Rüstungskonzern Lockheed Martin einen Einbruchsversuch in sein Netzwerk über den VPN-Zugang, der auf SecurID-Token basiert. RSA bestätigte am 02.06.2011 offiziell, dass die im März gestohlenen Informationen bei diesem Angriff eingesetzt wurden. RSA bot daraufhin praktisch allen der rund 30.000 SecurID-Kunden weltweit den kostenlosen Austausch ihrer Hardware-Token an. Der Mutterkonzern EMC bezifferte die Kosten für Untersuchung, Systemhärtung und Kundenbetreuung auf 66,3 Millionen US-Dollar.

Eine offizielle, amtlich bestätigte Zuschreibung der Angreifer liegt bis heute nicht vor, sie stützt sich nur auf spätere Medienrecherchen und Einschätzungen von Sicherheitsforschern. Unklar bleibt zudem, bei wie vielen der über 30.000 SecurID-Kunden gestohlene Daten tatsächlich für erfolgreiche Folgeangriffe genutzt wurden, außer im bestätigten Fall Lockheed Martin.

Der Computerwurm Stuxnet wurde am 17.06.2010 von der belarussischen Sicherheitsfirma VirusBlokAda unter Sergey Ulasen entdeckt, nachdem ein iranischer Kunde wiederholte Computerabstürze gemeldet hatte. Die Schadsoftware zielte auf Siemens SIMATIC Step7 Software und S7-300 speicherprogrammierbare Steuerungen, mit denen die Frequenzumrichter der Gaszentrifugen in der iranischen Urananreicherungsanlage Natanz geregelt wurden. Stuxnet erhöhte die Rotationsgeschwindigkeit der Zentrifugen für 15 Minuten auf 1.410 Hertz und senkte sie anschließend für 50 Minuten stark ab, wodurch die Rotoren mechanisch beschädigt wurden. Nach Schätzungen des Institute for Science and International Security wurden zwischen November 2009 und Ende Januar 2010 rund 900 bis 1.000 der etwa 9.000 in Natanz installierten IR-1-Zentrifugen zerstört, etwa 10 Prozent des Bestands. Weltweit infizierte Stuxnet laut Symantec über 200.000 Computer, rund 59 Prozent der Infektionen entfielen auf Iran. Am 01.06.2012 berichtete die New York Times unter Berufung auf Regierungsvertreter, dass Stuxnet Teil der gemeinsamen US-israelischen Operation Olympic Games war, die unter Präsident George W. Bush begann und unter Barack Obama fortgesetzt wurde. Im Juni 2013 bestätigte der ehemalige NSA-Mitarbeiter Edward Snowden die gemeinsame Entwicklung durch die NSA und die israelische Einheit 8200.

Die genaue Zahl der tatsächlich zerstörten Zentrifugen bleibt eine Schätzung verschiedener Quellen zwischen rund 900 und 2.000, ebenso wie das exakte Ausmaß der dadurch verursachten Verzögerung des iranischen Atomprogramms. Eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor.

Die Wirtschaftsprüfungsgesellschaft Deloitte wurde nach Medienberichten spätestens im Oktober oder November 2016 Opfer eines Cyberangriffs auf ihr globales E-Mail-System, den das Unternehmen erst im März 2017 entdeckte. Die Angreifer verschafften sich Zugang über ein Administratorkonto, das nicht durch Zwei-Faktor-Authentifizierung geschützt war, und erhielten damit privilegierten Zugriff auf das komplette, bei Microsoft Azure gehostete E-Mail-System der Firma. Betroffen waren die E-Mail-Konten von rund 244.000 Deloitte-Mitarbeitern weltweit, wobei die Angreifer laut Berichten potenziell auf bis zu fünf Millionen E-Mails zugreifen konnten. Zu den kompromittierten Daten zählten Nutzernamen, Passwörter, IP-Adressen, Architekturdiagramme sowie teils Gesundheitsinformationen aus E-Mail-Anhängen. Die britische Zeitung The Guardian machte den Vorfall am 25.09.2017 öffentlich, nachdem Deloitte den Angriff zuvor nicht publik gemacht hatte. Deloitte erklärte, es seien nur sehr wenige Kunden betroffen gewesen, und bestätigte, sechs Kunden offiziell über eine Beeinträchtigung ihrer Daten informiert zu haben. Zu den laut Presseberichten möglicherweise betroffenen Organisationen zählten mehrere US-Bundesbehörden sowie internationale Konzerne aus den Bereichen Banken, Pharma und Medien.

Die genaue Gesamtzahl der tatsächlich betroffenen Kunden sowie der Umfang des tatsächlich abgeflossenen Datenvolumens sind nicht abschließend belegt, da Deloitte offiziell nur sechs Kunden als betroffen bestätigte, während Medienberichte einen deutlich größeren Kreis potenziell betroffener Organisationen nennen.

Der Sicherheitsforscher Dylan Houlihan meldete dem US-Backwarenkonzern Panera Bread am 02.08.2017 eine offene Programmierschnittstelle auf panerabread.com, über die Kundendaten ohne Anmeldung abrufbar waren. Panera reagierte zunächst nicht und stufte den Hinweis später als möglichen Betrugsversuch ein. Erst als Houlihan sich am 02.04.2018 an den Sicherheitsjournalisten Brian Krebs von KrebsOnSecurity wandte, wurde die Lücke öffentlich, fast acht Monate nach der ersten Meldung. Ursache war eine Datenbank mit fortlaufend nummerierten Kundenkonten, deren Datensätze sich ohne Authentifizierung automatisiert auslesen ließen. Offengelegt wurden Namen, E-Mail-Adressen, Postanschriften, Geburtsdaten, die letzten vier Ziffern von Kreditkartennummern sowie Kontonummern des Treueprogramms MyPanera. Erste Schätzungen gingen von mehr als 7 Millionen betroffenen Datensätzen aus, nach Einbeziehung des Großkunden- und Cateringgeschäfts von Panera stieg die Schätzung auf bis zu 37 Millionen Einträge. Nachdem KrebsOnSecurity das Unternehmen kontaktiert hatte, nahm Panera die Website zeitweise vom Netz und erklärte öffentlich, lediglich rund 10.000 Kunden seien betroffen. Diese Zahl wurde von Sicherheitsforschern als deutlich zu niedrig kritisiert.

Die genaue Gesamtzahl der betroffenen Datensätze schwankt je nach Quelle zwischen 7 und 37 Millionen und wurde von Panera nie offiziell bestätigt. Unklar bleibt zudem, ob und in welchem Umfang die Daten vor der öffentlichen Enthüllung bereits von Dritten missbräuchlich abgegriffen wurden.

Zwischen dem 28.09.2023 und dem 17.10.2023 verschafften sich Angreifer über einen kompromittierten Service-Account Zugriff auf das Kundensupport-System des Identitätsanbieters Okta. Ursache war, dass ein Okta-Mitarbeiter sich auf einem firmeneigenen Chrome-Browser mit einem privaten Google-Konto anmeldete, wodurch die Zugangsdaten dieses Service-Accounts in dem privaten Konto gespeichert wurden. Die Angreifer griffen im Support-System auf HAR-Dateien zu, die Kunden zur Fehlerdiagnose hochgeladen hatten und die Sitzungstoken enthielten, womit sich Nutzersitzungen kapern ließen. Damit übernahmen die Angreifer Sitzungen von 5 Kunden, darunter BeyondTrust, Cloudflare und der Passwortmanager 1Password. Okta entdeckte den Vorfall am 13.10.2023 nach einem Hinweis von BeyondTrust und informierte am 19.10.2023 zunächst über 134 betroffene Kunden. Am 29.11.2023 räumte Okta ein, dass die Angreifer bereits am 28.09.2023 einen Bericht heruntergeladen hatten, der Namen und E-Mail-Adressen praktisch aller Nutzer des Okta-Kundensupportsystems enthielt und damit nahezu alle rund 18.400 Okta-Kunden betraf. Laut Okta enthielten 99,6 Prozent der betroffenen Einträge in diesem Bericht ausschließlich Namen und E-Mail-Adresse. Als Reaktion deaktivierte Okta den kompromittierten Service-Account und blockierte die Anmeldung mit privaten Google-Konten auf firmeneigenen Chrome-Geräten.

Aus dieser Quelle nicht belegt sind die konkrete Identität oder Zuordnung der Angreifer zu einer bestimmten Gruppe sowie mögliche finanzielle Schäden, Bußgelder oder der Ausgang etwaiger regulatorischer beziehungsweise gerichtlicher Verfahren infolge des Vorfalls.

Am 16. Dezember 2022 wurde der Laptop eines CircleCI-Mitarbeiters mit Infostealer-Malware infiziert, die eine bereits per Zwei-Faktor-Authentifizierung abgesicherte SSO-Session-Cookie stehlen konnte, wodurch der Angreifer die Zwei-Faktor-Absicherung umging und den Mitarbeiter erfolgreich imitierte. Zwischen dem 19. und 22. Dezember 2022 nutzte der Angreifer die gestohlenen Zugangsdaten, um sich Zugriff auf interne Produktionssysteme zu verschaffen und Daten aus einer Untergruppe von Datenbanken und Speichersystemen zu exfiltrieren, darunter Umgebungsvariablen, Tokens und Schlüssel von Kunden. Obwohl die Daten im Ruhezustand verschlüsselt waren, gelang es dem Angreifer, die Verschlüsselungscodes direkt aus laufenden Prozessen auszulesen. Ein Kunde meldete CircleCI am 29. Dezember 2022 verdächtige Aktivitäten bei einem GitHub-OAuth-Token, woraufhin das Unternehmen den Vorfall bestätigte und am 31. Dezember 2022 mit einer proaktiven Rotation von GitHub-OAuth-Tokens begann. Am 4. Januar 2023 informierte CircleCI seine Kunden öffentlich und forderte alle Nutzer auf, sämtliche in CircleCI gespeicherten Secrets, Tokens und Schlüssel zu rotieren. Laut CircleCI meldeten weniger als fünf Kunden einen tatsächlich bestätigten unautorisierten Zugriff Dritter auf ihre eigenen Systeme infolge des Vorfalls.

Die Gesamtzahl der betroffenen Kundenkonten und der konkrete finanzielle Schaden wurden von CircleCI nicht veröffentlicht, ebenso wenig die Identität des Angreifers oder etwaige behördliche Ermittlungsergebnisse.

Im Juli 2012 verschafften sich Angreifer Zugang zu einem internen Dropbox-Dokument, nachdem ein Dropbox-Mitarbeiter ein Passwort verwendete, das zuvor beim Einbruch bei LinkedIn kompromittiert worden war. Über dieses Dokument gelangten die Angreifer an rund 68 Millionen Dropbox-Zugangsdaten, bestehend aus E-Mail-Adressen und gehashten, gesalzenen Passwörtern. Der Vorfall blieb mehrere Jahre öffentlich weitgehend unbekannt, bis Ende August 2016 ein Datensatz mit diesen Zugangsdaten im Internet auftauchte und zum Verkauf angeboten wurde. Dropbox bestätigte den Vorfall am 25.08.2016 in einem offiziellen Blogbeitrag. Von den 68 Millionen Passwort-Hashes waren etwa 32 Millionen mit dem robusten bcrypt-Verfahren gesichert, die übrigen rund 36 Millionen mit dem schwächeren SHA-1-Algorithmus. Dropbox erzwang für alle Konten, deren Passwort seit Mitte 2012 nicht geändert worden war, einen Passwort-Reset. Als mutmaßlicher Täter wurde später der russische Staatsbürger Jewgeni Nikulin identifiziert, dem auch die Einbrüche bei LinkedIn und Formspring aus dem Jahr 2012 zugeschrieben werden. Dropbox erklärte, es gebe keine Hinweise darauf, dass Nutzerkonten durch den Vorfall unbefugt aufgerufen worden seien.

Aus der Dropbox-Mitteilung geht nicht hervor, ob die gestohlenen Passwort-Hashes tatsächlich entschlüsselt oder für unbefugte Kontozugriffe genutzt wurden, und die strafrechtliche Verantwortung von Jewgeni Nikulin für den Dropbox-Vorfall im Speziellen war zum Zeitpunkt der Quelle nicht abschließend gerichtlich geklärt.

Am 06.10.2021 veröffentlichte eine anonyme Gruppe über die Plattform 4chan ein Torrent-Archiv mit rund 135 Gigabyte interner Daten der Streaming-Plattform Twitch. Enthalten waren fast 6000 interne Git-Repositories mit dem Quellcode der Mobil-, Desktop- und Konsolen-Apps von Twitch sowie interne Sicherheitswerkzeuge und Unterlagen zu einem unveröffentlichten Spieleprojekt mit dem Codenamen Vapour. Zusätzlich wurden Auszahlungsdaten an Streamer veröffentlicht, die bis August 2019 zurückreichten und in einem rund 5 Gigabyte großen Ordner namens twitch_payouts lagen. Aus diesen Daten ging beispielsweise hervor, dass der Streamer MontanaBlack88 zwischen August 2019 und Oktober 2021 etwa 2,3 Millionen US-Dollar von Twitch erhielt. Die unbekannten Urheber begründeten die Veröffentlichung mit Kritik an der Twitch-Community. Twitch bestätigte den Vorfall am selben Tag über Twitter. Als wahrscheinliche Ursache identifizierte Twitch in den Folgetagen eine fehlerhafte Serverkonfiguration im internen Netzwerk. Twitch empfahl betroffenen Nutzern, vorsorglich ihre Passwörter zu ändern.

Aus der Quelle nicht abschließend belegt sind die genaue Identität und Motivation der Angreifer sowie der Umfang, in dem Zuschauer Passwörter oder Zahlungsdaten tatsächlich kompromittiert wurden, da sich der Leak primär auf Quellcode und Streamer-Auszahlungen bezog.

Bei der US-Luxuskaufhauskette Neiman Marcus war zwischen dem 16.07.2013 und dem 30.10.2013 Schadsoftware in den Kassensystemen von 77 Filialen in den USA aktiv, die Zahlungskartendaten von Kunden abgriff. Das Unternehmen informierte die Öffentlichkeit am 10.01.2014 über den Vorfall, nachdem es zuvor auf ungewöhnliche Transaktionsmuster aufmerksam gemacht worden war. Nach ersten Angaben von Neiman Marcus waren bis zu 1,1 Millionen Zahlungskarten der Schadsoftware potenziell ausgesetzt. Bei der abschließenden Untersuchung durch mehrere US-Bundesstaaten wurden rund 370.000 Zahlungskarten als tatsächlich kompromittiert bestätigt, davon mindestens 9.200 nachweislich betrügerisch genutzt. Am 08.01.2019 einigte sich Neiman Marcus mit den Generalstaatsanwältinnen und Generalstaatsanwälten von 43 US-Bundesstaaten und dem District of Columbia auf eine Zahlung von 1,5 Millionen US-Dollar. Im Rahmen des Vergleichs verpflichtete sich das Unternehmen unter anderem zur Einhaltung des Payment Card Industry Data Security Standard, zur laufenden Überwachung der Netzwerkaktivität sowie zur Einführung von Verschlüsselung und Tokenisierung für Zahlungskartendaten. Online-Einkäufe waren von dem Vorfall nicht betroffen.

Aus dieser Quelle geht nicht hervor, wer konkret hinter dem Angriff steckte oder wie die Angreifer technisch in die Kassensysteme eindrangen; zudem bestritt Neiman Marcus im Vergleich jedes Fehlverhalten, sodass keine rechtliche Schuldfeststellung vorliegt.

Zwischen dem 1. Dezember 2022 und dem 12. Dezember 2022 führten Angreifer automatisierte Credential-Stuffing-Angriffe gegen Nutzerkonten von Norton LifeLock durch, dem Passwort-Manager-Dienst des Unternehmens Gen Digital. Dabei nutzten die Täter Kombinationen aus Benutzernamen und Passwörtern, die aus früheren, anderen Datenlecks stammten und im Darknet kursierten. Am 12. Dezember 2022 registrierten die Systeme von Gen Digital ein ungewöhnlich hohes Volumen fehlgeschlagener Anmeldeversuche, die interne Untersuchung wurde am 22. Dezember 2022 abgeschlossen. Insgesamt waren rund 925.000 aktive und inaktive Konten von den automatisierten Anmeldeversuchen betroffen, bei etwa 6.450 bis 6.500 Konten gelang den Angreifern der tatsächliche Zugriff. Bei den kompromittierten Konten konnten die Angreifer nach Angaben des Unternehmens auf Vornamen, Nachnamen, Telefonnummern und Postanschriften zugreifen. Gen Digital erklärte zudem, ein Zugriff auf im Passwort-Manager gespeicherte Passwörter der betroffenen Nutzer könne nicht ausgeschlossen werden. Am 13. Januar 2023 reichte Gen Digital eine Meldung bei der Generalstaatsanwaltschaft von Vermont ein und informierte die betroffenen Kunden per Brief. Gen Digital betonte, dass die eigenen Systeme nicht kompromittiert worden seien und die Ursache in der Wiederverwendung von Passwörtern durch Nutzer lag.

Aus der Quelle geht nicht hervor, aus welchem konkreten Drittanbieter-Datenleck die verwendeten Zugangsdaten ursprünglich stammten, und es bleibt offen, ob tatsächlich im Passwort-Manager gespeicherte Passwörter ausgelesen wurden oder dies nur theoretisch möglich war.