Quellen-Tabelle

InterContinental Hotels Group (IHG) bestätigte offiziell, dass Malware an Kassensystemen von mindestens 1175 US-Hotels zwischen dem 29. September und 29. Dezember 2016 Kreditkartendaten von Gästen abgriff. Erfasst wurden Karteninhabername, Kartennummer, Ablaufdatum und Sicherheitscode an Restaurant- und Rezeptionskassen. IHG hatte im Februar 2017 zunächst nur einen Vorfall an rund einem Dutzend Standorten eingeräumt, bevor das tatsächliche Ausmaß im April 2017 bekannt wurde.

Offen bleibt, wie die Angreifer initial in die Kassensysteme eindrangen und wer hinter dem Angriff steckt. Die genaue Zahl der betroffenen Kreditkarten bzw. Gäste wurde von IHG nicht beziffert.

LinkedIn bestätigte am 6. Juni 2012 offiziell, dass ein Teil der zuvor auf einem russischen Hackerforum veröffentlichten Passwort-Hashes zu LinkedIn-Konten gehörte. Die rund 6,5 Millionen unsalted SHA-1-Hashes stammten aus einer Datenbank, betroffene Nutzer wurden zum Passwort-Reset aufgefordert und das Unternehmen führte danach Salting für die Passwortspeicherung ein.

Wie die Angreifer Zugriff auf die Datenbank erlangten, blieb in der offiziellen Mitteilung unbeschrieben. Die tatsächliche Gesamtzahl betroffener Konten war 2012 unklar und wurde erst 2016 auf rund 117 Millionen E-Mail-Passwort-Kombinationen nach oben korrigiert.

Under Armour bestätigte am 29. März 2018 offiziell ein Datenleck bei seiner Fitness-App MyFitnessPal, von dem rund 150 Millionen Nutzerkonten betroffen waren. Kompromittiert wurden Nutzernamen, E-Mail-Adressen und größtenteils mit bcrypt gehashte Passwörter. Der unbefugte Zugriff erfolgte laut Unternehmen Ende Februar 2018 und wurde am 25. März 2018 entdeckt, Zahlungsdaten und Sozialversicherungsnummern waren nach Unternehmensangaben nicht betroffen.

Nicht öffentlich dokumentiert sind die Identität der Angreifer und der genaue technische Einbruchsweg in die Systeme. Offen bleibt zudem, in welchem Umfang die gestohlenen Zugangsdaten später tatsächlich für Kontoübernahmen bei anderen Diensten missbraucht wurden.

Unbekannte Angreifer nutzten gestohlene Zugangs-Tokens von Slack-Mitarbeitern, um am 27. Dezember 2022 auf extern gehostete private GitHub-Repositories von Slack zuzugreifen und Code herunterzuladen. Slack bestätigte offiziell, dass die Tokens durch die Kompromittierung eines Drittanbieters entwendet wurden, und rotierte anschließend alle betroffenen Zugangsdaten.

Slack erklärte, dass keine Kundendaten, keine Zugangsmittel zu Kundendaten und nicht der primäre Produktionscode betroffen waren. Welcher Drittanbieter genau kompromittiert wurde und wie die Angreifer dort eindrangen, wurde von Slack nicht öffentlich benannt.

Anfang Oktober 2022 versendeten Angreifer Phishing-E-Mails an Dropbox-Mitarbeiter, die vorgaben, von der CI/CD-Plattform CircleCI zu stammen, und auf eine gefälschte CircleCI-Login-Seite verwiesen. Mitarbeiter gaben dort ihre Zugangsdaten ein, wodurch die Angreifer Zugriff auf ein GitHub-Konto eines Dropbox-Entwicklers erlangten. Über dieses Konto kopierten die Angreifer rund 130 interne Code-Repositories, Entwickler-API-Schlüssel sowie einige tausend Namen und E-Mail-Adressen von Mitarbeitern und Kunden. GitHub informierte Dropbox am 14.10.2022, woraufhin Dropbox den Zugriff sperrte.

Dropbox erklärte, dass Kerninhalte, Passwörter und Zahlungsinformationen von Nutzern nicht betroffen waren, ohne diese Aussage durch eine unabhängige Prüfung zu belegen. Die genaue Identität der Angreifer, die Gesamtzahl der betroffenen Personen sowie ein möglicher weiterer Missbrauch der gestohlenen API-Schlüssel gehen aus der Quelle nicht hervor.

Reddit bestätigte, dass Angreifer am 5. Februar 2023 mittels einer gezielten Phishing-Kampagne die Zugangsdaten eines Mitarbeiters erbeuteten, indem sie eine gefälschte Version des internen Reddit-Intranetportals nutzten. Dadurch erhielten die Angreifer Zugriff auf interne Dokumente, Quellcode sowie einige interne Dashboards und Geschäftssysteme. Der betroffene Mitarbeiter meldete den Vorfall selbst, woraufhin Reddit ihn öffentlich machte.

Nicht öffentlich dokumentiert ist, welche konkreten Quellcode-Bestandteile oder internen Dokumente im Detail abgeflossen sind. Die Identität und Zuordnung der Angreifer zu einer bekannten Gruppe wurde von Reddit nicht bestätigt.

Discord informierte im Mai 2023 Nutzer per E-Mail über ein Datenleck, nachdem Unbefugte das Konto eines externen Kundendienst-Mitarbeiters kompromittiert hatten. Betroffen waren E-Mail-Adressen, Inhalte von Support-Nachrichten und angehängte Dateien aus der Ticket-Warteschlange des Dienstleisters. Discord deaktivierte das betroffene Konto, beauftragte eine Forensik-Firma und informierte Strafverfolgungsbehörden.

Der Name des kompromittierten Support-Dienstleisters wurde von Discord nie offiziell bestätigt. Mehrere Medien vermuteten damals Zendesk als betroffenen Anbieter, dies blieb jedoch unbestätigt und ist von einem späteren, offiziell bestätigten Zendesk-Vorfall bei Discord im Jahr 2025 zu unterscheiden.

Okta bestätigte offiziell, dass Angreifer zwischen Ende September und Anfang Oktober 2023 mit einem gestohlenen Zugangsdatensatz auf das Kundensupport-System zugriffen, getrennt von der produktiven Okta-Plattform. Die Täter konnten von Kunden hochgeladene Dateien einsehen, darunter HAR-Dateien mit Cookies und Session-Tokens, die zur Identitätsübernahme missbraucht werden können. BeyondTrust entdeckte den Angriff am 2. Oktober 2023 und meldete ihn an Okta.

Wie das ursprüngliche Zugangsdatum genau gestohlen wurde, bleibt laut Okta offen. Unklar sind zudem die genaue Gesamtzahl betroffener Kunden, die volle Dauer des unautorisierten Zugriffs und ob über HAR-Dateien hinaus weitere Kundendaten eingesehen wurden.

Der EuGH entschied im Fall Google LLC gegen die französische Datenschutzbehörde CNIL, dass ein Suchmaschinenbetreiber eine Auslistung nach dem Recht auf Vergessenwerden nicht weltweit auf allen Domain-Versionen durchführen muss, sondern nur auf den Versionen, die den EU-Mitgliedstaaten entsprechen. Vorausgegangen war ein Bußgeld von 100.000 Euro, das die CNIL 2016 gegen Google verhängt hatte. Der Suchmaschinenbetreiber muss aber wirksame Maßnahmen wie Geoblocking einsetzen, damit Nutzer in der EU die gelöschten Links nicht über Nicht-EU-Versionen der Suchmaschine umgehen können.

Aus der Pressemitteilung und dem Urteil selbst geht nicht hervor, wie wirksam die von Google eingesetzten Geoblocking-Maßnahmen in der Praxis tatsächlich sind. Offen bleibt zudem, ob und wie einzelne Mitgliedstaaten seither per nationalem Recht doch eine weltweite Auslistung angeordnet haben, da der EuGH dies ausdrücklich nicht ausschließt.

Der EuGH entschied am 2. März 2021 im Fall H.K. gegen Prokuratuur (C-746/18), dass Zugriff auf gespeicherte Verkehrs- und Standortdaten nur zur Bekämpfung schwerer Kriminalität oder zur Abwehr ernster Bedrohungen der öffentlichen Sicherheit erlaubt ist. Das Unionsrecht steht einer nationalen Regelung entgegen, nach der die Staatsanwaltschaft selbst und ohne vorherige Kontrolle durch ein Gericht oder eine unabhängige Stelle über den Datenzugriff für Ermittlungsbehörden entscheiden darf. Das Urteil baut auf der Tele2/Watson-Linie des EuGH auf.

Nicht belegt ist, wie die estnische Staatsanwaltschaft und Gerichte den konkreten Ausgangsfall nach der Zurückverweisung entschieden haben. Ebenfalls offen bleibt die vollständige Umsetzungspraxis in allen EU-Mitgliedstaaten, insbesondere ob einzelne Länder ihre Zugriffsverfahren seither tatsächlich an eine unabhängige Vorabkontrolle angepasst haben.

Der EuGH entschied im Verfahren C-210/16, dass Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung der Besucherdaten verantwortlich sind, auch wenn sie selbst keinen Zugriff auf personenbezogene Rohdaten haben. Die Wirtschaftsakademie Schleswig-Holstein nutzte für ihre Fanpage die Facebook-Funktion Insights, die auf Cookies mit bis zu zwei Jahre gültigen Nutzercodes basiert. Die Datenschutzaufsichtsbehörde des Sitzlandes des Fanpage-Betreibers darf daher sowohl gegen den Betreiber als auch gegen die dortige Facebook-Niederlassung vorgehen.

Offen blieb im Urteil, wie die konkrete Verteilung der Verantwortlichkeiten und Pflichten zwischen Facebook und den einzelnen Fanpage-Betreibern im Detail auszugestalten ist. Nicht Gegenstand der Entscheidung war zudem, in welchem Umfang einzelne Fanpage-Betreiber tatsächlich Einfluss auf die konkreten Verarbeitungszwecke und -mittel bei Facebook nehmen konnten.

Der EuGH entschied am 1. Oktober 2019 in der Rechtssache C-673/17 (Bundesverband der Verbraucherzentralen gegen Planet49 GmbH), dass eine wirksame Einwilligung zur Speicherung von Cookies eine aktive Handlung des Nutzers erfordert. Ein bereits angekreuztes Kästchen, das der Nutzer aktiv abwählen müsste, genügt dafür nicht. Anlass war ein Online-Gewinnspiel von Planet49, bei dem Teilnehmer per vorangekreuztem Kästchen der Setzung von Werbe-Cookies zustimmen sollten.

Offen blieb im Urteil selbst die konkrete technische Umsetzung von Cookie-Bannern in der Praxis, die erst durch nationale Gerichte und Aufsichtsbehörden nachfolgend konkretisiert wurde. Nicht Gegenstand des EuGH-Verfahrens waren mögliche Bußgelder gegen Planet49, da es sich um ein Vorabentscheidungsverfahren auf Vorlage des BGH handelte.

Der EuGH entschied in der Rechtssache C-40/17, dass der Betreiber einer Webseite, der einen Facebook-Like-Button einbindet, gemeinsam mit Facebook Ireland für die Erhebung und Übermittlung der personenbezogenen Daten der Webseitenbesucher verantwortlich ist. Konkret hatte der Modehändler Fashion ID den Like-Button eingebunden, wodurch IP-Adresse und Browserdaten der Besucher automatisch an Facebook übertragen wurden, auch ohne Klick auf den Button.

Der EuGH stellte klar, dass sich die Mitverantwortung von Fashion ID nur auf die Phase der Erhebung und Übermittlung der Daten bezieht, nicht auf die nachfolgende alleinige Verarbeitung durch Facebook. Offen blieb im Urteil die konkrete Ausgestaltung, wie Einwilligung und Informationspflichten in der Praxis technisch umzusetzen sind.

Das Bundesverfassungsgericht entschied mit Beschluss vom 4. April 2006 (1 BvR 518/02), dass die nach dem 11. September 2001 bundesweit angeordnete präventive Rasterfahndung gegen mutmaßliche Schläfer teilweise verfassungswidrig war. Eine solche Rasterfahndung greift in das Recht auf informationelle Selbstbestimmung ein und ist nur zulässig, wenn eine konkrete Gefahr für hochrangige Rechtsgüter vorliegt. Eine bloß allgemeine, durch die Anschläge vom 11. September ausgelöste Bedrohungslage genügt dafür nicht.

Offen bleibt in der Entscheidung, ob und wie konkret eine Gefahr im Einzelfall künftig belegt werden muss, damit eine Rasterfahndung rechtmäßig angeordnet werden kann. Nicht dokumentiert ist, wie viele der zuvor bundesweit erfassten rund 32.000 bis 40.000 Personendatensätze aus der Rasterfahndung 2001/2002 nach dem Urteil tatsächlich gelöscht wurden.

Der Bundesgerichtshof entschied am 27.07.2020 im Verfahren VI ZR 405/18, dass ein ehemaliger Geschäftsführer eines Wohlfahrtsverbandes keinen Anspruch auf Auslistung kritischer Presseartikel aus der Google-Suche hat. Die Artikel von 2011 hatten über ein Millionendefizit seiner Regionalgeschäftsstelle und seine Krankmeldung berichtet. Der Senat verlangte eine umfassende Abwägung zwischen dem Persönlichkeitsrecht des Betroffenen und der Meinungs- sowie Informationsfreiheit nach der EU-Grundrechtecharta, ohne pauschale Vermutung zugunsten der Löschung.

Aus der Pressemitteilung geht nicht hervor, wie der Senat die einzelnen Abwägungskriterien im Detail gewichtete und welche konkrete Rolle der seit 2011 verstrichene Zeitraum spielte. Im am selben Tag verhandelten Parallelverfahren VI ZR 476/18 legte der BGH dem EuGH Fragen zur Vorabentscheidung vor, dessen Ausgang aus dieser Quelle nicht ersichtlich ist.

Fünf von der Gesellschaft für Freiheitsrechte unterstützte Beschwerdeführer griffen Paragraf 9a des Zensusvorbereitungsgesetzes 2021 an, der die zentrale Zusammenführung nicht anonymisierter Meldedaten von bis zu 82 Millionen Einwohnern zum Stichtag 13. Januar 2019 für einen Software-Testlauf erlaubte. Das Bundesverfassungsgericht lehnte die Verfassungsbeschwerde am 20. Januar 2022 als unzulässig ab, da der fachgerichtliche Rechtsweg vor den Verwaltungsgerichten nicht ausgeschöpft worden war.

Eine inhaltliche verfassungsrechtliche Prüfung der Datenschutzfragen fand nicht statt, da das Gericht die Beschwerde allein aus formalen Gründen der Subsidiarität verwarf. Ob die zentrale, nicht anonymisierte Zusammenführung der Meldedaten mit dem Recht auf informationelle Selbstbestimmung vereinbar gewesen wäre, blieb damit gerichtlich ungeklärt.

Der US-Krankenhauskonzern Ascension mit 140 Kliniken in 19 Bundesstaaten meldete am 8. Mai 2024 einen Ransomware-Angriff, der elektronische Patientenakten, Portale und Teile der klinischen IT lahmlegte und wochenlange Ausweichbetriebe erzwang. Laut Meldung an das HHS Office for Civil Rights vom Dezember 2024 waren die Daten von 5.599.699 Personen betroffen, darunter Namen, Sozialversicherungsnummern und Versicherungsdaten. Ascension gab an, dass nur 7 von 25.000 Servern kompromittiert wurden.

Die Zuordnung zur Gruppe Black Basta stützt sich laut Berichten von CNN auf vier anonyme Quellen und wurde von Ascension nie offiziell bestätigt. Ob ein Lösegeld gezahlt wurde, ist nicht öffentlich bekannt. Ascension erklärte zudem, es gebe keine Hinweise auf einen Zugriff auf klinische EHR-Systeme selbst, was im Widerspruch zu den berichteten wochenlangen EHR-Ausfällen diskutiert wurde.

loanDepot meldete der US-Börsenaufsicht SEC im Januar 2024 einen Ransomware-Angriff der Gruppe ALPHV/BlackCat, bei dem Systeme des Hypothekenanbieters verschlüsselt und Daten entwendet wurden. Betroffen waren rund 16,9 Millionen Kunden, deren Namen, Sozialversicherungsnummern, Geburtsdaten und Finanzkontonummern offengelegt wurden. Das Unternehmen bezifferte allein für das erste Quartal 2024 Kosten von 12 bis 17 Millionen Dollar und bildete später eine Rückstellung von 25 Millionen Dollar für Sammelklagen.

Offen bleibt, wie die Angreifer ursprünglich in die Systeme eindrangen und ob loanDepot ein Lösegeld zahlte. Auch die Ermittlungen mehrerer US-Bundesstaaten sowie die Sammelklagen der betroffenen Kunden waren zum Zeitpunkt der Meldung noch nicht abgeschlossen.

Der US-Versicherungskonzern Prudential Financial meldete einen unautorisierten Zugriff auf seine Systeme am 4. Februar 2024. Die Ransomware-Gruppe Alphv/BlackCat reklamierte den Angriff für sich. In einer im Juni 2024 aktualisierten Meldung bezifferte Prudential die Zahl betroffener Personen auf 2.556.210, deutlich mehr als die zunächst im März genannten rund 36.000. Betroffen waren Namen, Adressen sowie Führerschein- und Ausweisnummern. Prudential bot den Betroffenen zwei Jahre kostenlose Kreditüberwachung an.

Wie die Angreifer ursprünglich ins Netzwerk gelangten, ist öffentlich nicht dokumentiert. Prudential selbst hat sich nie offiziell zur Urheberschaft von Alphv/BlackCat geäußert. Unklar bleibt zudem, ob und in welchem Umfang gestohlene Daten seither missbraucht wurden.

Am 14. April 2024 entdeckte der US-Telekomanbieter Frontier Communications einen unbefugten Zugriff auf Teile seiner IT-Systeme, den es in einer Pflichtmitteilung an die SEC offenlegte. Laut einer Meldung an die Generalstaatsanwaltschaft von Maine waren 751.895 Personen betroffen, deren Namen und Sozialversicherungsnummern kompromittiert wurden. Die Ransomware-Gruppe RansomHub bekannte sich zu dem Angriff und Frontier bot Betroffenen ein Jahr kostenlose Kreditüberwachung an.

Offen bleibt, wie viele Datensätze tatsächlich abgeflossen sind, denn RansomHub behauptete den Diebstahl von über 2 Millionen Kundendatensätzen, deutlich mehr als die von Frontier bestätigten rund 752.000 Betroffenen. Der genaue technische Einstiegspunkt des Angriffs und ob ein Lösegeld gezahlt wurde, sind nicht öffentlich dokumentiert.

Am 19. Juni 2024 legte die Ransomware-Gruppe BlackSuit die Systeme des Autohändler-Softwareanbieters CDK Global lahm und legte damit rund 15.000 Autohändler in den USA und Kanada wochenlang faktisch still. Die Blockchain-Analysefirma TRM Labs identifizierte eine Kryptowährungs-Wallet, die vermutlich BlackSuit zuzuordnen ist und am 21. Juni 2024 eine Zahlung von rund 387 Bitcoin im Wert von etwa 25 Millionen Dollar erhielt.

CDK Global und die Muttergesellschaft Brookfield Business Partners haben nie offiziell bestätigt, ob und von wem ein Lösegeld gezahlt wurde. Die Blockchain-Analyse liefert laut CyberScoop nur den bislang stärksten Hinweis, aber keinen zweifelsfreien Beweis dafür, dass die Zahlung tatsächlich von CDK stammt.

Der EuGH entschied am 08.12.2022 im Verfahren C-460/20 (TU und RE gegen Google), dass ein Suchmaschinenbetreiber Ergebnisse auslisten muss, wenn die betroffene Person nachweist, dass die verlinkten Inhalte offensichtlich unrichtig sind. Ein vorheriges Gerichtsurteil gegen den Webseitenbetreiber ist dafür nicht zwingend erforderlich, es reichen zumutbare Beweismittel der antragstellenden Person. Zusätzlich stellte der Gerichtshof klar, dass als Vorschaubilder angezeigte Fotos gesondert nach ihrem Informationswert abzuwägen sind.

Der Bundesgerichtshof, der die Vorlagefrage gestellt hatte, musste den konkreten Ausgangsfall der beiden Investmentmanager anhand dieser Vorgaben erst noch abschließend entscheiden, das Ergebnis ist der Pressemitteilung nicht zu entnehmen. Wie Google die Kriterien zur offensichtlichen Unrichtigkeit in der Praxis bei Millionen jährlicher Löschanträge anwendet, bleibt aus dieser Quelle offen.

Der EuGH entschied am 02.10.2018 in der Rechtssache C-207/16 (Ministerio Fiscal), dass der Zugriff auf reine Identifikationsdaten von SIM-Karten-Inhabern wie Namen und Adressen auch zur Verfolgung nicht besonders schwerer Straftaten zulässig sein kann. Anlass war ein Diebstahl einer Geldbörse und eines Mobiltelefons in Spanien. Der EuGH stellte klar, dass dieser Zugriff zwar in die Grundrechte auf Achtung des Privatlebens und Datenschutz eingreift, mangels präziser Rückschlüsse auf das Privatleben aber keinen schwerwiegenden Eingriff darstellt.

Aus der Pressemitteilung geht nicht hervor, wie der spanische Ausgangsfall zum Diebstahl der Geldbörse letztlich entschieden wurde. Offen bleibt zudem, welche konkrete Straftaten-Schwelle die Mitgliedstaaten seither für den Zugriff auf reine Bestandsdaten in ihren nationalen Gesetzen festgelegt haben.

Der EuGH entschied am 21.12.2016 in den verbundenen Rechtssachen C-203/15 (Tele2 Sverige) und C-698/15 (gegen Tom Watson u.a.), dass eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten aller Nutzer elektronischer Kommunikationsdienste gegen EU-Recht verstößt. Zulässig bleibt nur eine gezielte, auf das absolut Notwendige begrenzte Speicherung zur Bekämpfung schwerer Kriminalität, wobei der Datenzugriff einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Stelle unterliegen muss.

Offen blieb im Urteil selbst, wie die Grenze zwischen unzulässiger generischer und erlaubter gezielter Speicherung in der Praxis exakt zu ziehen ist. Diese Konkretisierung erfolgte erst in späteren Verfahren vor nationalen Gerichten und weiteren EuGH-Entscheidungen.

Im April 2025 griff die Gruppe Scattered Spider den britischen Einzelhändler Marks and Spencer per Social Engineering an, verschaffte sich Zugang zu einem Drittanbieter-Servicedesk und setzte die DragonForce-Ransomware ein, was wochenlange Ausfälle bei Online-Bestellungen und Warenregalen verursachte. M&S-Chairman Archie Norman bestätigte den Vorfall als Ransomware-Angriff vor einem Unterausschuss des britischen Parlaments am 08.07.2025 und bezifferte den Gewinneinbruch auf rund 300 Millionen Pfund. Die National Crime Agency nahm am 10.07.2025 vier Verdächtige im Zusammenhang mit den Angriffen auf M&S, Co-op und Harrods fest.

Offen bleibt, ob M&S ein Lösegeld gezahlt hat; Norman wollte sich dazu nicht äußern. Die genaue Rolle und Identität der vier festgenommenen Personen im Verhältnis zur Scattered-Spider-Gruppe war zum Zeitpunkt der Festnahme noch nicht gerichtlich geklärt.