Quellen-Tabelle

Das Datenanalyseunternehmen Palantir Technologies stellte der Polizeibehörde von New Orleans ab dem 23.02.2012 kostenlos ein auf sozialer Netzwerkanalyse basierendes Programm zur vorausschauenden Kriminalitätsbekämpfung zur Verfügung. Die Vereinbarung wurde über die private Stiftung NOLA for Life von Bürgermeister Mitch Landrieu abgewickelt und dadurch am regulären städtischen Vergabeverfahren und an der Kontrolle durch den Stadtrat vorbeigeführt. Das System wertete Kriminalitätsakten, Bandenzugehörigkeiten, soziale Medien und persönliche Verbindungen aus, um Personen mit hohem Risiko für Gewaltbeteiligung zu identifizieren; rund 3.900 Personen wurden auf diese Weise erfasst. Von 308 Personen, die zwischen Oktober 2012 und März 2017 zu Call-in-Gesprächen eingeladen wurden, schlossen lediglich sieben eine Berufsausbildung ab. Journalist Ali Winston deckte das Programm am 27.02.2018 auf. Ratspräsident Jason Williams erklärte, vor der Veröffentlichung nichts von der Zusammenarbeit gewusst zu haben. Der Vertrag war seit 2012 dreimal verlängert worden. Rund zwei Wochen nach der Veröffentlichung erklärte das Büro von Bürgermeister Landrieu, den Palantir-Vertrag nicht zu verlängern, wodurch das Programm im März 2018 endete.

Unklar bleibt, ob der vorübergehende Rückgang der Gewaltkriminalität in New Orleans tatsächlich auf den Einsatz der Palantir-Software zurückzuführen war. Diese Quelle belegt keine quantifizierten Angaben zum separaten Einsatz von Palantir Gotham bei ICE.

Der unabhängige IT-Sicherheitsexperte Mike Kuketz veröffentlichte am 11.04.2022 eine technische Analyse der App DB Navigator der Deutschen Bahn. Mittels einer Intercepting-Proxy-Software untersuchte er den Netzwerkverkehr der App auf einem Android-10- und einem iOS-15.4.1-Gerät. Die Analyse ergab, dass die App Reisedaten wie Start- und Zielbahnhof, Reisedatum, Bahncard-Status, Gerätemodell und Mobilfunkanbieter an bis zu zehn externe Dienstleister übermittelt, darunter Google, Adobe, Optimizely, Tealium, Qualtrics und CrossEngage. Diese Datenweitergabe erfolgte laut Kuketz auch dann, wenn Nutzer in den Cookie-Einstellungen lediglich die Option nur erforderliche Cookies ausgewählt hatten. Kuketz dokumentierte damit mögliche Verstöße gegen Paragraf 25 TTDSG sowie gegen mehrere Artikel der DSGVO, unter anderem wegen Datenübermittlungen in Drittstaaten wie die USA. Im Herbst 2022 reichte der Verein Digitalcourage aus Bielefeld wegen dieser Praxis Klage gegen die Deutsche Bahn ein. Seit dem 19.05.2025 wird die Klage vor dem Landgericht Frankfurt am Main verhandelt. Ein Urteil stand zum Zeitpunkt der Recherche noch aus.

Aus dieser Quelle nicht belegt sind eine konkrete Zahl betroffener Nutzer sowie eine Bestätigung, dass die geschilderte Datenweitergabe auch in aktuellen App-Versionen noch in gleicher Form besteht.

Die israelische Plattform vpnMentor entdeckte am 05.08.2019 durch die Forscher Noam Rotem und Ran Locar eine ungeschützte Elasticsearch-Datenbank des südkoreanischen Unternehmens Suprema. Die Datenbank gehörte zum biometrischen Zugangskontrollsystem BioStar 2 und enthielt 27,8 Millionen Datensätze mit einem Volumen von 23 Gigabyte. Betroffen waren die Fingerabdrücke von mehr als einer Million Nutzern, Gesichtserkennungsdaten, Klarnamen, unverschlüsselt gespeicherte Passwörter, Zutrittsprotokolle sowie persönliche Mitarbeiterdaten. BioStar 2 wurde laut Suprema von rund 5.700 Organisationen in 83 Ländern eingesetzt, darunter die britische Metropolitan Police sowie Banken und Behörden. Die Forscher informierten Suprema am 07.08.2019, die Sicherheitslücke wurde erst am 13.08.2019 geschlossen. Nach Bekanntwerden erklärte die britische Datenschutzbehörde ICO, sie sei sich der Medienberichte bewusst und werde Ermittlungen aufnehmen. Die US-Kanzlei Finkelstein, Blankinship, Frei Pearson and Garber kündigte im August 2019 an, eine mögliche Sammelklage wegen des Vorfalls zu prüfen. Suprema erklärte öffentlich, das tatsächliche Ausmaß sei geringer als berichtet, und verwies auf eine begrenzte Zahl betroffener Cloud-API-Nutzer.

Aus den ausgewerteten Quellen geht nicht hervor, ob die britische ICO tatsächlich ein Bußgeld gegen Suprema verhängt hat oder ob die geprüfte US-Sammelklage je formell eingereicht und entschieden wurde; der rechtliche Ausgang des Falls ist öffentlich nicht dokumentiert.

Der australische Logistikkonzern Toll Group wurde 2020 innerhalb weniger Monate zweimal von unterschiedlichen Ransomware-Gruppen angegriffen. Am 31.01.2020 entdeckte Toll eine Infektion mit einer neuen Variante der Ransomware Mailto, woraufhin das Unternehmen am 05.02.2020 öffentlich bekanntgab, aus Vorsicht zahlreiche IT-Systeme abgeschaltet zu haben. Nach Medienberichten waren bis zu 1.000 Server und rund 500 Unternehmensanwendungen betroffen, unter anderem das Active Directory, und aus einem Server wurden rund 220 Gigabyte Daten entwendet. Die vollständige Wiederherstellung der Kernsysteme dauerte mehr als sechs Wochen. Am 05.05.2020 schaltete Toll erneut vorsorglich IT-Systeme ab, diesmal verantwortlich war die Ransomware-Gruppe Nefilim. Die Angreifer entwendeten aktuelle und frühere Geschäftsvereinbarungen sowie Mitarbeiterdaten von mindestens einem Server. Der Ausfall des Kundenportals MyToll behinderte die Umleitung von Sendungen an alternative Abholstellen und störte den Lieferbetrieb. Toll-Geschäftsführer Thomas Knudsen entschuldigte sich öffentlich bei den Betroffenen und erklärte, das Unternehmen werde kein Lösegeld zahlen, und informierte das Australian Cyber Security Centre sowie die australische Bundespolizei.

Aus den verfügbaren Quellen ist nicht abschließend belegt, wie viele Kunden individuell betroffen waren, ob ein technischer Zusammenhang zwischen beiden Angriffen bestand und ob die von Nefilim angedrohte vollständige Veröffentlichung der gestohlenen Daten im Darknet tatsächlich umgesetzt wurde.

Am 23.07.2020 wurde der US-amerikanische Wearable- und Navigationshersteller Garmin Opfer eines Cyberangriffs, der Teile seiner internen IT-Systeme verschlüsselte. Betroffen waren unter anderem der Cloud-Dienst Garmin Connect, die Flugplanungs-App flyGarmin, der Satellitenkommunikationsdienst inReach sowie der gesamte Kundensupport. Nutzer konnten mehrere Tage lang keine Trainings- und Gesundheitsdaten zwischen ihren Geräten und der Garmin-Cloud synchronisieren. Als Ursache identifizierten IT-Sicherheitsmedien die Ransomware WastedLocker, die der russischen Gruppe Evil Corp zugeschrieben wird. Berichten zufolge forderten die Angreifer ein Lösegeld von rund 10 Millionen US-Dollar in Kryptowährung. Garmin bestätigte den Cyberangriff erstmals öffentlich am 27.07.2020 und erklärte, es gebe keine Hinweise darauf, dass Kundendaten einschließlich Zahlungsinformationen aus Garmin Pay abgerufen worden seien. Die Wiederherstellung der Dienste zog sich bis Ende Juli 2020 hin. Die Garmin-Aktie verlor nach Bekanntwerden des Ausfalls zeitweise rund 4 Prozent an Wert.

Ob Garmin tatsächlich Lösegeld zahlte, in welcher genauen Höhe und ob die Zuordnung zur Ransomware WastedLocker und zur Gruppe Evil Corp zutrifft, hat Garmin selbst nie offiziell bestätigt; diese zentralen Details stützen sich auf anonyme Insider-Quellen und spätere Medienberichte.

Am 07.05.2021 griff die Ransomware-as-a-Service-Gruppe DarkSide die IT-Systeme des US-Pipelinebetreibers Colonial Pipeline an, woraufhin das Unternehmen aus Vorsicht den Betrieb der wichtigsten Treibstoffpipeline der US-Ostküste einstellte. Colonial Pipeline zahlte am 08.05.2021 rund 75 Bitcoin, umgerechnet etwa 4,4 Millionen US-Dollar, Lösegeld. Am 13./14.05.2021 teilte DarkSide seinen Partnern mit, dass die Gruppe den Zugriff auf einen öffentlichen Teil ihrer Infrastruktur verloren habe, darunter Blog, Zahlungsserver und Content-Delivery-Server. Nach Angaben der Sicherheitsfirma Intel 471 wurden zudem Gelder von einem Zahlungsserver der Gruppe auf ein unbekanntes Konto abgezogen. DarkSide begründete die Einstellung ihres Affiliate-Programms mit Druck aus den USA und kündigte an, Opfern ohne erfolgte Zahlung kostenlose Entschlüsselungs-Tools bereitzustellen. Wer die Server beschlagnahmte, teilte die Gruppe nicht mit. Sicherheitsforscher gingen davon aus, dass sich Mitglieder der Gruppe unter neuem Namen reorganisieren würden.

Wer genau die DarkSide-Server beschlagnahmte und die Kryptowährungs-Gelder abzog, ist aus dieser Quelle nicht belegt und wurde von keiner Behörde offiziell bestätigt. Ebenso bleibt offen, ob es sich um eine tatsächliche Strafverfolgungsmaßnahme oder um einen Exit-Scam der Gruppenbetreiber handelte.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit erließ am 30.10.2019 gegen die Deutsche Wohnen SE einen Bußgeldbescheid in Höhe von rund 14,5 Millionen Euro wegen Verstößen gegen die Datenschutz-Grundverordnung. Bei Vor-Ort-Prüfungen im Juni 2017 und im März 2019 stellte die Aufsichtsbehörde fest, dass das Unternehmen für personenbezogene Daten von Mieterinnen und Mietern ein Archivsystem nutzte, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu entfernen. Betroffen waren unter anderem Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits- und Ausbildungsverträgen sowie Steuer-, Sozial- und Krankenversicherungsdaten, die teilweise Jahre alt waren. Obwohl die Behörde bereits 2017 dringend eine Umstellung des Archivsystems empfohlen hatte, konnte das Unternehmen auch bei der Nachprüfung im März 2019 weder eine Bereinigung des Datenbestands noch rechtliche Gründe für die fortdauernde Speicherung vorweisen. Grundlage für die Bußgeldhöhe war der weltweite Jahresumsatz der Deutsche Wohnen SE von über einer Milliarde Euro, woraus sich ein gesetzlicher Bußgeldrahmen von rund 28 Millionen Euro ergab. Neben der Sanktion für den strukturellen Verstoß verhängte die Behörde zusätzliche Bußgelder zwischen 6.000 und 17.000 Euro in 15 konkreten Einzelfällen unzulässiger Datenspeicherung.

Die Pressemitteilung nennt keine Gesamtzahl der insgesamt betroffenen Mieterinnen und Mieter; der weitere Rechtsweg mit späteren gerichtlichen Reduzierungen des Bußgelds, unter anderem durch das Landgericht Berlin und ein EuGH-Urteil vom 05.12.2023, ist in dieser Quelle nicht erfasst.

Die britische Datenschutzbehörde Information Commissioner's Office (ICO) verhängte am 30.10.2020 gegen Marriott International, Inc. eine Geldbuße von 18,4 Millionen Pfund wegen Verstößen gegen die DSGVO. Ursache war ein Cyberangriff auf die Reservierungsdatenbank der Starwood Hotels, die Marriott 2016 übernommen hatte; Unbekannte hatten sich bereits seit 2014 unbemerkt Zugang zum System verschafft, entdeckt erst am 08.09.2018. Betroffen waren bis zu 339 Millionen Gästedatensätze weltweit. Die ICO warf Marriott vor, keine angemessenen technischen und organisatorischen Maßnahmen nach Artikel 5(1)(f) und Artikel 32 DSGVO getroffen zu haben. Im Juli 2019 hatte die ICO zunächst eine Geldbuße von 99.200.396 Pfund angekündigt. Als Ausgangspunkt der Berechnung setzte die Behörde 28 Millionen Pfund an, reduzierte diesen Betrag wegen der Kooperation Marriotts um 20 Prozent auf 22,4 Millionen Pfund und senkte ihn wegen der wirtschaftlichen Auswirkungen der Corona-Pandemie auf die Hotelbranche weiter auf 18,4 Millionen Pfund. Die Buße betraf ausschließlich den Zeitraum ab Inkrafttreten der DSGVO am 25.05.2018.

Aus dieser Quelle nicht belegt ist, ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat und wie sich die Kosten des Unternehmens durch den Vorfall insgesamt bezifferten.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 15.03.2022 gegen Meta Platforms Ireland Limited, vormals Facebook Ireland Limited, eine Geldbuße von 17 Millionen Euro. Grundlage war eine Untersuchung von zwölf Datenschutzverletzungen, die Facebook der DPC zwischen dem 07.06.2018 und dem 04.12.2018 gemeldet hatte. Die DPC stellte fest, dass Meta gegen Artikel 5(2) und Artikel 24(1) DSGVO verstoßen hatte, weil das Unternehmen keine geeigneten technischen und organisatorischen Maßnahmen vorhalten konnte, um die tatsächlich umgesetzten Sicherheitsmaßnahmen zum Schutz der Nutzerdaten nachzuweisen. Zu den zwölf gemeldeten Vorfällen zählte unter anderem eine im September 2018 bekannt gewordene Sicherheitslücke im View-As-Feature, durch die Zugriffstoken von bis zu 30 Millionen Facebook-Konten kompromittiert wurden, wobei die zugrunde liegende Schwachstelle laut Unternehmensangaben bereits seit Juli 2017 bestand. Die Entscheidung erging im Kooperationsverfahren nach Artikel 60 DSGVO gemeinsam mit den übrigen europäischen Aufsichtsbehörden, von denen zwei zunächst Einwände gegen den Entscheidungsentwurf der DPC erhoben hatten.

Aus der DPC-Pressemitteilung geht nicht hervor, wie sich die Bußgeldhöhe von 17 Millionen Euro rechnerisch auf die zwölf Einzelverstöße verteilt, und es bleibt offen, ob und mit welchem Ergebnis Meta gegen die Entscheidung Rechtsmittel eingelegt hat.

Am 19.05.2020 informierte die britische Fluggesellschaft EasyJet öffentlich über einen Cyberangriff auf ihre IT-Systeme, bei dem persönliche Daten von rund 9 Millionen Kunden abgeflossen waren. Betroffen waren E-Mail-Adressen und Reisedaten aus Buchungen im Zeitraum vom 17.10.2019 bis zum 04.03.2020. Bei 2.208 Kunden wurden zudem vollständige Kreditkartendaten einschließlich der Sicherheitscodes offengelegt. EasyJet entdeckte den Angriff Ende Januar 2020 und bezeichnete ihn als hochentwickelten Angriff. Kunden mit gestohlenen Zahlungsdaten wurden ab April 2020 informiert, die Benachrichtigung aller 9 Millionen betroffenen Kunden sollte bis zum 26.05.2020 abgeschlossen sein. EasyJet meldete den Vorfall an die britische Datenschutzbehörde ICO sowie an das National Cyber Security Centre. Passwörter und Passdaten der Kunden waren nach Angaben von EasyJet nicht betroffen. Die Kanzlei PGMBM reichte im Mai 2020 beim High Court in London eine Sammelklage mit einem möglichen Streitwert von bis zu 18 Milliarden britischen Pfund ein. Die ICO stellte ihre Untersuchung des Vorfalls im August 2023 offiziell ein und verwies dabei auf begrenzte Ressourcen der Behörde.

Aus der Quelle geht nicht hervor, ob die 2020 eingereichte Sammelklage inzwischen zu einem Urteil oder Vergleich geführt hat, und die genaue technische Ursache des Einbruchs bleibt ungeklärt.

Estée Lauder Cosmetics Ltd und The Estée Lauder Companies Inc. erklärten sich bereit, einen Vergleich über 1.515.000 kanadische Dollar zu zahlen, um eine kanadische Sammelklage wegen zweier Datenvorfälle aus dem Jahr 2023 beizulegen. Die Klage betrifft zwei getrennte Cybervorfälle vom 31. Mai 2023 und vom 12. Juli 2023, bei denen persönliche und finanzielle Daten von Kunden in Kanada kompromittiert oder gestohlen wurden. Der Vorfall vom Mai 2023 steht im Zusammenhang mit der massenhaften Ausnutzung der MOVEit-Schwachstelle durch die Ransomware-Gruppe Clop, während sich zu einem zweiten, separaten Angriff die Gruppe BlackCat alias ALPHV bekannte. Estée Lauder hatte den zweiten Vorfall am 18. Juli 2023 in einer Mitteilung an die US-Börsenaufsicht SEC offengelegt. Der Vergleich wurde am 20. April 2026 vereinbart und bedarf der Genehmigung durch den Superior Court of Québec. Betroffene Personen können je nach Nachweislage bis zu 5.000 kanadische Dollar für dokumentierte Schäden erhalten, oder pauschal 150 beziehungsweise 300 kanadische Dollar. Estée Lauder bestreitet in der Vergleichsvereinbarung jegliches Fehlverhalten und jede Haftung.

Aus der Quelle geht nicht hervor, wie viele Personen in Kanada tatsächlich von den beiden Vorfällen betroffen waren, und die endgültige gerichtliche Genehmigung des Vergleichs stand zum Zeitpunkt der Mitteilung noch aus.

Der Brite Arion Kurtaj aus Oxford, Mitglied der Hackergruppe Lapsus$, verübte im September 2022 während laufender Kaution für frühere Straftaten eine Serie von Cyberangriffen. Er drang zunächst in Systeme der Fintech-Firma Revolut ein, wo laut Anklage rund 5.000 Kundendatensätze kompromittiert wurden. Zwei Tage später hackte er den Fahrdienstvermittler Uber und verursachte nach Angaben der Anklage einen Schaden von knapp 3 Millionen US-Dollar. Zudem drang Kurtaj in Systeme des Spieleentwicklers Rockstar Games ein, entwendete rund 90 unveröffentlichte Clips und Quellcode zu Grand Theft Auto VI und drohte mit deren Veröffentlichung. Da bei Kurtaj eine schwere Autismus-Diagnose seine Verhandlungsfähigkeit ausschloss, klärte eine Jury im Rahmen eines trial of the facts nur, ob er die Taten begangen hatte. Die Jury am Southwark Crown Court in London stellte am 23.08.2023 fest, dass Kurtaj zwölf Taten begangen hatte. Am 22.12.2023 ordnete Richterin Patricia Lees eine unbefristete Unterbringung Kurtajs in einer geschlossenen psychiatrischen Klinik an. Ein mitangeklagter 17-Jähriger, der an Angriffen auf Nvidia und BT/EE beteiligt war, erhielt eine 18-monatige Youth Rehabilitation Order.

Die genaue Zahl der betroffenen Revolut-Kunden ist unklar, da die Anklage von rund 5.000 sprach, während Revolut selbst gegenüber litauischen Behörden 50.150 betroffene Kunden meldete.

Am 21.11.2023 veröffentlichten die US-Behörde CISA, das FBI und weitere Partner den gemeinsamen Sicherheitshinweis AA23-325A zur Ausnutzung der Citrix-Bleed-Schwachstelle CVE-2023-4966 durch Affiliates der Ransomware-Gruppe LockBit 3.0. Die Schwachstelle in Citrix NetScaler ADC und NetScaler Gateway erlaubte das Auslesen aktiver Sitzungstoken und damit die Umgehung der Multi-Faktor-Authentifizierung. Laut Advisory beobachtete der Flugzeughersteller Boeing als eine der ersten Organisationen, wie LockBit-3.0-Affiliates die Schwachstelle nutzten, um Zugang zu Boeing Distribution Inc. zu erlangen. Die Ausnutzung der Schwachstelle als Zero-Day begann laut Advisory bereits im August 2023, Citrix veröffentlichte am 10.10.2023 einen Patch. LockBit hatte Boeing zuvor am 27.10.2023 auf seiner Leak-Seite gelistet und 200 Millionen US-Dollar Lösegeld gefordert. Boeing zahlte nicht, woraufhin LockBit Anfang November 2023 rund 43 Gigabyte an Unternehmensdaten veröffentlichte. Der Advisory nennt neben Boeing weitere Betroffene derselben Angriffswelle, darunter die Kanzlei Allen & Overy, die Industrial and Commercial Bank of China und das Logistikunternehmen DP World.

Aus dem Advisory geht nicht hervor, welche konkreten Fluggesellschaften oder Zulieferer in der Boeing-Lieferkette durch die geleakten Zulieferdaten selbst kompromittiert wurden, und die Gesamtzahl weltweit betroffener Organisationen der Citrix-Bleed-Kampagne bleibt unbeziffert.

Der GDPR Enforcement Tracker, eine von der internationalen Anwaltskanzlei CMS betriebene Datenbank, dokumentiert seit Inkrafttreten der Datenschutz-Grundverordnung am 25.05.2018 alle öffentlich bekannt gewordenen Bußgelder europäischer Datenschutzbehörden. Stand 19.08.2026 verzeichnet die Datenbank 3.206 Bußgeldverfahren aus 32 Ländern mit einer kumulierten Gesamtsumme von rund 6,31 Milliarden Euro. Irland führt die Rangliste nach Gesamtsumme deutlich an, unter anderem wegen der bisher höchsten Einzelstrafe von 1,2 Milliarden Euro gegen Meta Platforms Ireland Limited vom 12.05.2023. Nach Anzahl der Verfahren liegt Spanien mit 1.079 Fällen an der Spitze, gefolgt von Italien und Rumänien. Nach Branchen entfallen die höchsten Bußgeldsummen auf den Sektor Medien, Telekommunikation und Rundfunk. Die Datenbank wird fortlaufend aktualisiert, sodass sich Fallzahlen und Gesamtsumme täglich verändern können.

Die Datenbank erfasst nur öffentlich bekannt gewordene Bußgelder; informelle Verwarnungen, nicht-monetäre Anordnungen und unveröffentlichte Verfahren fehlen, und einzelne Großstrafen wie die Meta-Buße sind wegen laufender Rechtsmittel noch nicht rechtskräftig.

Am 19. März 2020 wurde bekannt, dass im chinesischen sozialen Netzwerk Sina Weibo Datensätze von rund 538 Millionen Nutzerkonten im Darknet zum Verkauf angeboten wurden. Bei etwa 172 Millionen dieser Datensätze waren zusätzlich die mit dem jeweiligen Konto verknüpften Telefonnummern enthalten, hinzu kamen Nutzernamen, Geschlecht, Standortangaben und Followerzahlen. Passwörter und Ausweisdaten waren nach Angaben von Weibo nicht betroffen. Weibos Sicherheitsdirektor Luo Shiyao erklärte, die Telefonnummern seien 2018/2019 durch eine automatisierte Massenabfrage der Kontaktabgleich-Schnittstelle der App unrechtmäßig mit Konten verknüpft worden. Am 21. März 2020 bestellte das Büro für Netzwerksicherheitsverwaltung des chinesischen Ministeriums für Industrie und Informationstechnologie (MIIT) Verantwortliche von Sina Weibo zu einem Gespräch ein. Das Ministerium verlangte, die Datenschutzrichtlinie zu überarbeiten und die Abfrage-Schnittstellen besser gegen Missbrauch abzusichern. Weibo erklärte, man habe die Sicherheitsstrategie der betroffenen Schnittstelle bereits aktualisiert.

Aus den verfügbaren Quellen geht nicht hervor, ob gegen Sina Weibo im Zusammenhang mit diesem konkreten Datenleck ein förmliches Bußgeld verhängt wurde, dokumentiert ist lediglich eine Ermahnung ohne bezifferte Sanktion.

Am 18.10.2022 durchsuchten Staatsanwaltschaft, Polizei und Steuerfahnder die Zentrale der Deutschen Bank in Frankfurt am Main im Zusammenhang mit Cum-Ex-Geschäften und verwandten Steuerhinterziehungsmodellen. Die federführende Staatsanwaltschaft Köln vollstreckte Durchsuchungsbeschlüsse gegen das Bankinstitut, weitere Konzerngesellschaften sowie eine Wirtschaftsprüfungsgesellschaft. Zusätzlich wurden die Privatwohnungen von zehn Beschuldigten durchsucht. An dem Einsatz waren insgesamt 114 Ermittler beteiligt, darunter mehrere Polizeidienststellen aus Nordrhein-Westfalen, Steuerfahnder aus Nordrhein-Westfalen, Hessen und Bayern, das Bundeszentralamt für Steuern sowie EDV-Sachverständige. Ziel der Maßnahme war insbesondere das Auffinden relevanter interner Kommunikation in Form von E-Mails und sonstiger schriftlicher Korrespondenz der Deutschen Bank. Die Ermittlungen gegen die Deutsche Bank wegen Cum-Ex-Geschäften laufen bereits seit dem Jahr 2017.

Aus dieser Quelle ist nicht belegt, welcher konkrete Steuerschaden der Deutschen Bank in diesem Verfahren vorgeworfen wird, welche Ergebnisse die Auswertung der beschlagnahmten E-Mails erbrachte und wie das seit 2017 laufende Verfahren strafrechtlich ausgegangen ist; auch die Identität der zehn Beschuldigten bleibt offen.

Am 19.07.2015 gab die Hackergruppe The Impact Team bekannt, in die Systeme der kanadischen Seitensprung-Plattform Ashley Madison und der Schwesterseite Established Men eingedrungen zu sein, betrieben vom Unternehmen Avid Life Media mit CEO Noel Biderman. Die Gruppe forderte die dauerhafte Abschaltung beider Portale und drohte andernfalls mit der Veröffentlichung aller Nutzerdaten. Nachdem das Unternehmen der Forderung nicht nachkam, veröffentlichte The Impact Team am 18.08.2015 ein rund 9,7 Gigabyte großes Datenpaket im Tor-Netzwerk, dem am 20.08.2015 ein zweites, größeres Datenpaket folgte. Betroffen waren nach verbreiteten Angaben rund 32 Millionen Nutzerkonten (die US-Handelsaufsicht FTC nannte später 36 Millionen), darunter Namen, Adressen, Telefonnummern, sieben Jahre zurückreichende Kreditkartentransaktionsdaten sowie teils sexuelle Präferenzen; Passwörter waren per bcrypt gehasht. Unter den Adressen fanden sich mehr als 15.000 E-Mail-Konten von US-Regierungs- und Militärangehörigen. Die Toronto Police Service bestätigte im August 2015 zwei bislang unbestätigte Suizide, die mit dem Datenleck in Verbindung gebracht wurden. CEO Noel Biderman trat am 28.08.2015 zurück. Im Dezember 2016 einigte sich das Unternehmen mit der FTC auf eine Zahlung von 1,657 Millionen US-Dollar; im Juli 2017 folgte ein Sammelklage-Vergleich über 11,2 Millionen US-Dollar.

Die genaue Zahl betroffener Konten schwankt je nach Quelle zwischen 32 und 36 Millionen, und die von mehreren Medien berichteten Suizide im Zusammenhang mit dem Leak wurden von der Polizei nie offiziell als direkte Folge des Hacks bestätigt. Die Identität der Angreifer hinter The Impact Team wurde nie aufgeklärt.

Die US-Börsenaufsicht SEC erhob am 14.03.2018 Anklage gegen Jun Ying, ehemaliger Chief Information Officer der Equifax-Geschäftseinheit Equifax US Information Solutions, wegen Insiderhandels. Equifax hatte am 07.09.2017 bekanntgegeben, dass bei einem Cyberangriff persönliche Daten von rund 147 Millionen US-Kunden entwendet wurden, verursacht durch eine ungepatchte Sicherheitslücke in der Software Apache Struts. Ying, der als nächster globaler CIO von Equifax vorgesehen war, erhielt vertrauliche interne Informationen und kam bereits am 25.08.2017, vor der öffentlichen Bekanntgabe, zu dem Schluss, dass Equifax gehackt worden war. Er übte daraufhin sämtliche Aktienoptionen aus und verkaufte 6.815 Aktien für rund 950.000 US-Dollar, wodurch er einen Verlust von mehr als 117.000 US-Dollar vermied. Parallel zur zivilrechtlichen SEC-Klage erhob die US-Staatsanwaltschaft für den Northern District of Georgia strafrechtliche Anklage gegen Ying. Vorausgegangen waren im Oktober 2017 Anhörungen von Ex-CEO Richard Smith vor mehreren Kongressausschüssen, der bereits am 26.09.2017 unter Verzicht auf seinen Jahresbonus zurückgetreten war. Ying wurde am 07.03.2019 schuldig gesprochen und zu vier Monaten Haft, einem Jahr Bewährung, einer Geldstrafe von 55.000 US-Dollar sowie einer Rückzahlung von 117.117,61 US-Dollar verurteilt.

Der genaue Zeitpunkt der Haftstrafe schwankt in Sekundärquellen zwischen März und Juni 2019. Ob weitere Equifax-Führungskräfte, die kurz nach Entdeckung des Angriffs ebenfalls Aktien verkauften, tatsächlich kein Wissen über die Sicherheitsverletzung hatten, ist nicht unabhängig verifiziert.

Am 05.09.2017 bestätigte die estnische Behörde RIA eine Sicherheitslücke in der estnischen elektronischen Identitätskarte, die rund 750.000 seit Oktober 2014 ausgegebene Chipkarten betraf, darunter auch Karten von E-Residency-Nutzern. Ursache war die ROCA-Schwachstelle in der RSA-Schlüsselerzeugung von Kryptochips des Herstellers Infineon, die in den vom Kartenhersteller Gemalto produzierten estnischen ID-Karten verbaut waren. Die Lücke erlaubte theoretisch die Berechnung des privaten RSA-Schlüssels aus dem öffentlichen Schlüssel und damit die Fälschung digitaler Identitäten. Laut RIA gab es zum Zeitpunkt der Bekanntgabe keine Hinweise auf tatsächlichen Missbrauch. Am 03.11.2017 setzte die estnische Regierung die betroffenen Zertifikate aus; Karteninhaber konnten sie bis zum 31.03.2018 erneuern, nicht erneuerte Zertifikate wurden zum 01.04.2018 widerrufen. Die ROCA-Schwachstelle betraf weltweit schätzungsweise über eine Milliarde Krypto-Chips. Im Februar 2021 einigten sich die estnische Grenzschutzbehörde und der Kartenhersteller Gemalto, inzwischen Teil von Thales, auf eine Zahlung von 2,2 Millionen Euro Entschädigung, nachdem der estnische Staat zunächst 152 Millionen Euro Schadensersatz gefordert hatte.

Aus der Quelle geht nicht hervor, ob es je zu einem konkreten Missbrauchsfall kam oder wer die Schwachstelle ursprünglich entdeckte; die Angaben zur Zertifikatssperrung sowie zum Gemalto-Vergleich 2021 stammen aus späteren, ergänzenden Quellen.

Die Journalistin Rachna Khaira berichtete am 04.01.2018 in der indischen Zeitung The Tribune, dass sie über einen anonymen Verkäufer auf WhatsApp gegen Zahlung von 500 Rupien, umgerechnet rund 6 Euro, per Paytm binnen zehn Minuten Zugangsdaten zu einem Portal der Unique Identification Authority of India (UIDAI) erhielt. Über dieses Portal ließen sich zu jeder der mehr als 1,1 Milliarden vergebenen Aadhaar-Nummern Name, Adresse, Postleitzahl, Foto, Telefonnummer und E-Mail-Adresse abrufen. Gegen weitere 300 Rupien bot derselbe Verkäufer zusätzlich eine Software an, mit der sich Aadhaar-Ausweise beliebiger Personen ausdrucken ließen. Laut Recherche der Tribune hatten mehr als 100.000 staatlich beauftragte Village-Level-Enterprise-Operatoren unrechtmäßigen Zugriff auf das Portal erlangt und diesen zum Weiterverkauf genutzt. Die UIDAI wies einen Leak oder eine Datenpanne der Aadhaar-Datenbank offiziell zurück und sprach von Fehlberichterstattung. Ein UIDAI-Mitarbeiter erstattete daraufhin Strafanzeige gegen die Reporterin Khaira wegen angeblich unbefugten Zugriffs auf die Datenbank. Die Delhi Police stellte dieses Verfahren gegen Khaira später mangels Beweisen ein.

Nicht belegt ist, dass über das genutzte Portal tatsächlich biometrische Daten wie Fingerabdrücke abrufbar waren, bestätigt wurden nur demografische Daten. Die Zahl von 1,1 Milliarden bezieht sich auf die theoretisch erreichbare Gesamtmenge, nicht auf nachgewiesene tatsächlich abgerufene Einzeldatensätze, zudem blieben die Hintermänner unidentifiziert.

Nach dem Amtsantritt von Präsident Rodrigo Duterte am 30.06.2016 bauten philippinische Polizei und lokale Behörden im Rahmen des landesweiten Kriegs gegen Drogen systematische Verdächtigenlisten auf. Die Listen wurden primär von Barangay Anti-Drug Abuse Councils erstellt, kommunalen Gremien, die mutmaßliche Drogennutzer und -händler identifizierten. Die gemeldeten Namen wurden danach von nationalen Polizei- und Geheimdienststellen validiert, wie Polizeichef Ronald dela Rosa gegenüber Reuters bestätigte. Laut dem am 08.10.2016 veröffentlichten Reuters-Bericht umfasste allein die Liste für Metro Manila 11.700 mutmaßliche Nutzer und Händler, die Provinz Bulacan meldete rund 17.000 Namen. Bis zur Veröffentlichung des Berichts waren seit dem 30.06.2016 mehr als 3.600 Menschen im Zuge der Kampagne getötet worden, darunter 1.377 bei Polizeieinsätzen erschossene Personen, von denen laut Reuters die meisten zuvor auf einer solchen Liste geführt worden waren. Karen Gomez Dumpit von der philippinischen Menschenrechtskommission warnte, das Listensystem schaffe ein Umfeld, in dem jemand mit persönlichem Groll und einer Waffe sein Ziel gezielt aufspüren könne.

Der Bericht nennt keine landesweite Gesamtzahl aller in den Watchlists erfassten Namen, sondern nur einzelne Regionalzahlen, und belegt nicht im Einzelfall, ob eine konkrete Tötung ursächlich auf den jeweiligen Listeneintrag zurückging.

Am 31.07.2013 veröffentlichte The Guardian, gestützt auf von Edward Snowden bereitgestellte Dokumente, einen Bericht über das NSA-Programm XKeyscore. Grundlage war eine als geheim eingestufte NSA-Schulungspräsentation aus dem Jahr 2008 mit 48 Folien. Laut den Unterlagen ermöglichte XKeyscore NSA-Analysten eine Volltextsuche in E-Mails, Online-Chats und Browserverläufen von Internetnutzern weltweit, ohne vorherige richterliche Genehmigung. Das System stützte sich auf ein Netzwerk von rund 700 Servern an etwa 150 Standorten in etwa 41 Ländern. Erfasste Inhalte wurden für drei bis fünf Tage und Metadaten für bis zu 30 Tage auf den Servern vorgehalten, bevor Analysten relevante Treffer in Langzeitdatenbanken speicherten. Journalist Glenn Greenwald berichtete, Analysten benötigten für eine Suche lediglich eine grobe Begründung über ein Dropdown-Menü, jedoch keine gerichtliche Anordnung. Die NSA erklärte, der Zugriff unterliege technischen und prozeduralen Kontrollen sowie der Aufsicht durch Kongress, Justizministerium und Gerichte.

Aus dem Artikel geht nicht hervor, in welchem konkreten Umfang XKeyscore tatsächlich auf Daten von US-Bürgern angewendet wurde, und die genaue Zahl weltweit betroffener Nutzer ist nicht unabhängig verifizierbar.

Am 24. August 2017 trat in Deutschland das Gesetz zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens in Kraft, das mit den Paragrafen 100a und 100b der Strafprozessordnung erstmals eine ausdrückliche gesetzliche Grundlage für den Einsatz von Staatstrojanern schuf. Das Bundeskriminalamt entwickelte parallel eine eigene Überwachungssoftware namens RCIS, deren Entwicklung laut Bundesregierung bis 2020 rund 5,77 Millionen Euro kostete. Laut einer Antwort der Bundesregierung auf eine Kleine Anfrage von Bundestagsabgeordneten der Grünen, ausgewertet von heise online am 22. Februar 2021, wurde dieser Bundestrojaner zwischen 2017 und 2020 in keinem einzigen abgeschlossenen Ermittlungs- oder Gefahrenabwehrverfahren des BKA erfolgreich eingesetzt. Auch die kommerzielle Software FinSpy kam beim BKA nach diesen Angaben bislang nicht zum Einsatz. Für das Jahr 2019 wiesen offizielle Zahlen bundesweit lediglich 15 tatsächlich durchgeführte Staatstrojaner-Einsätze aus. Die Zahl der tatsächlich durchgeführten Maßnahmen stieg in den Folgejahren, etwa auf 22 im Jahr 2020 und 32 im Jahr 2021, überwiegend im Bereich der Drogenkriminalität.

Aus der Quelle nicht abschließend belegt ist, in welchem Umfang spätere Einsätze auf die BKA-Eigenentwicklung RCIS statt auf andere, teils von Landesbehörden genutzte Trojaner-Software entfielen.

Das Bundesverfassungsgericht erklärte am 02.03.2010 mit Urteil des Ersten Senats die Regelungen zur Vorratsdatenspeicherung in den §§ 113a und 113b Telekommunikationsgesetz sowie § 100g Strafprozessordnung für nichtig. Die Vorschriften waren durch das Gesetz zur Neuregelung der Telekommunikationsüberwachung vom 21.12.2007 eingeführt worden und setzten die EU-Richtlinie 2006/24/EG um. Sie verpflichteten Telekommunikationsanbieter, sämtliche Verkehrsdaten aus Telefonie, Fax, SMS, E-Mail und Internetnutzung sechs Monate lang anlasslos zu speichern. Gegen das Gesetz hatten 34.939 Bürgerinnen und Bürger eine vom Arbeitskreis Vorratsdatenspeicherung koordinierte Sammelverfassungsbeschwerde eingereicht, die größte in der Geschichte der Bundesrepublik. Das Gericht sah in der anlasslosen Speicherung praktisch aller Verkehrsdaten einen besonders schweren Eingriff in das Fernmeldegeheimnis nach Art. 10 Abs. 1 Grundgesetz, da sich daraus aussagekräftige Persönlichkeits- und Bewegungsprofile erstellen ließen. Als Mängel benannte der Senat unzureichende Datensicherheit, eine zu weite Zweckbindung, fehlende Transparenzpflichten und unzureichenden Rechtsschutz. Das Gericht ordnete die unverzügliche Löschung aller bereits gespeicherten Daten an.

Aus der Pressemitteilung selbst nicht belegt sind konkrete Auswirkungen des Urteils auf laufende Ermittlungsverfahren sowie die weitere gesetzgeberische Entwicklung nach 2010, etwa spätere Neuregelungen oder die EuGH-Entscheidung von 2014 zur zugrunde liegenden EU-Richtlinie.

Der Chaos Computer Club veröffentlichte am 08.10.2011 unter dem Titel 0zapftis eine technische Analyse einer von deutschen Ermittlungsbehörden eingesetzten Überwachungssoftware, dem sogenannten Staatstrojaner. Dem CCC waren mehrere Programmvarianten anonym zugespielt worden, die er disassemblierte und in einem öffentlichen Report dokumentierte. Die Analyse zeigte, dass die Software weit über die vom Bundesverfassungsgericht am 27.02.2008 erlaubte reine Quellentelekommunikationsüberwachung hinausging. Nachgewiesen wurden Funktionen zum Nachladen und ferngesteuerten Ausführen beliebiger weiterer Programme, zur Anfertigung von Bildschirmfotos aus Webbrowsern samt privater Notizen und E-Mails sowie Code für den Zugriff auf Mikrofon und Kamera des infizierten Rechners. Alle untersuchten Varianten nutzten denselben fest einprogrammierten kryptografischen Schlüssel und kommunizierten mit einem Kontrollserver in den USA, wodurch auch Dritte die infizierten Computer übernehmen konnten. Recherchen ordneten die Software der hessischen Firma DigiTask zu, als öffentliche Auftraggeber wurden unter anderem das bayerische Landeskriminalamt und die Zollverwaltung genannt. Ein späteres Gerichtsurteil stellte fest, dass das bayerische LKA einen Verdächtigen monatelang ohne ausreichende Rechtsgrundlage überwacht hatte.

Aus der CCC-Pressemitteilung geht nicht hervor, wie viele Personen insgesamt mit der Software überwacht wurden und auf welchem genauen Weg der CCC die Programmkopien erhielt; auch war nicht abschließend geklärt, welche weiteren Behörden außerhalb Bayerns die Software bereits eingesetzt hatten.