Quellen-Tabelle

Der britische Genossenschaftskonzern Co-op bestätigte im Juli 2025, dass bei einem Cyberangriff im April 2025 personenbezogene Daten aller 6,5 Millionen Mitglieder kopiert wurden, darunter Namen, Adressen, Kontaktdaten und Geburtsdaten. Die Angreifer verschafften sich per Social Engineering gegenüber dem IT-Helpdesk Zugang zu einem Mitarbeiterkonto und drangen darüber in die zentralen Systeme ein, Finanz- oder Zahlungsdaten waren nicht betroffen. Die britische National Crime Agency nahm im Juli 2025 vier mutmaßliche Tatverdächtige im Alter von 17 bis 20 Jahren fest.

Offen bleibt, ob die kopierten Daten seither im Darknet veröffentlicht oder weiterverkauft wurden. Die vier festgenommenen Verdächtigen wurden gegen Kaution freigelassen, eine gerichtliche Anklage oder Verurteilung steht bislang aus. Eine offizielle behördliche Zuordnung des Angriffs zur Gruppe Scattered Spider fehlt bisher.

Am 31. August 2025 wurde der britische Automobilhersteller Jaguar Land Rover Opfer eines Cyberangriffs, der ab 1. September zur Einstellung der Produktion in den Hauptwerken führte. Die Produktion stand rund fünf Wochen still, das unabhängige britische Cyber Monitoring Centre stufte den Vorfall als systemisches Ereignis mit einem geschätzten volkswirtschaftlichen Schaden von 1,9 Milliarden Pfund ein. Eine Gruppe namens Scattered Lapsus Hunters bekannte sich zu dem Angriff, die britische Regierung sicherte JLR eine Kreditgarantie zu.

Offen bleibt, ob die operative Technik (OT) der Fabriken kompromittiert wurde und ob ein Lösegeld gefordert oder gezahlt wurde. Die genaue technische Angriffsmethode und die endgültige Wiederherstellungsdauer waren zum Zeitpunkt der Einschätzung noch nicht abschließend geklärt.

Die australische Fluggesellschaft Qantas meldete am 30. Juni 2025 einen Cyberangriff auf eine Drittanbieter-Plattform ihres Callcenters. Per Social Engineering gab sich ein Angreifer als Qantas-IT-Support aus und brachte einen Mitarbeiter dazu, ein CRM-System mit einem Datenextraktionswerkzeug zu verbinden. Betroffen waren Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Vielfliegernummern von rund 5,7 Millionen Kunden; Kreditkarten-, Passdaten und Passwörter waren nicht betroffen.

Die genaue Identität und Zugehörigkeit der Angreifer sowie ob eine Lösegeldzahlung erfolgte, sind nicht abschließend öffentlich belegt. Die australische Datenschutzbehörde OAIC stellte nach vorläufigen Ermittlungen fest, dass Qantas keine Verletzung der Datenschutzpflichten vorzuwerfen sei, eine vertiefte förmliche Untersuchung blieb aus.

Zwischen 8. und 18. August 2025 nutzte die als UNC6395 verfolgte Angreifergruppe gestohlene OAuth-Zugriffstoken der Chatbot-Integration Salesloft Drift, um systematisch Daten aus Salesforce-Instanzen von mehr als 700 Organisationen abzugreifen, darunter Cloudflare, Google, Palo Alto Networks und Zscaler. Die Angreifer suchten gezielt nach weiterverwertbaren Zugangsdaten wie AWS-Schlüsseln, Snowflake-Token und Passwörtern. Am 20. August 2025 widerriefen Salesloft und Salesforce alle Drift-OAuth-Token und entfernten die Anwendung aus dem Salesforce AppExchange.

Wie die OAuth-Token bei Salesloft ursprünglich entwendet wurden, ist öffentlich nicht im Detail dokumentiert. Eine vollständige Liste aller betroffenen Kunden sowie das genaue Ausmaß der bei einzelnen Organisationen abgeflossenen Daten wurden nicht vollständig veröffentlicht. Eine Zuordnung von UNC6395 zu einem bekannten Staat oder einer bereits bekannten Gruppierung liegt bislang nicht vor.

Der Luxuskonzern Kering (Gucci, Balenciaga, Alexander McQueen, Yves Saint Laurent) bestätigte im September 2025 einen Cyberangriff der Gruppe ShinyHunters. Erbeutet wurden Namen, E-Mail-Adressen, Telefonnummern, Wohnadressen und Angaben zu Kaufsummen von Kundinnen und Kunden, Kreditkartendaten waren laut Kering nicht betroffen. ShinyHunters gab an, Daten von mindestens 7 Millionen Personen erbeutet zu haben, Kering informierte betroffene Kunden, nannte aber keine offizielle Gesamtzahl.

Ungeklärt ist das genaue Datum des ursprünglichen Angriffs sowie ob und in welcher Höhe Lösegeldverhandlungen stattfanden. Andere Quellen berichten von einem Zugriff über kompromittierte Zugangsdaten für Salesforce-SSO-Portale bereits ab April 2025 sowie von Lösegeldforderungen um 750.000 US-Dollar, was Kering öffentlich bestreitet.

Am 16.07.2025 verschaffte sich ein Angreifer per Social Engineering Zugriff auf ein cloudbasiertes CRM-System eines Drittanbieters (Salesforce), das von Allianz Life Insurance Company of North America genutzt wurde. Betroffen waren personenbezogene Daten von rund 1,4 Millionen Kunden, Finanzberatern und Mitarbeitern, darunter Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern. Allianz Life entdeckte den Vorfall am 17.07.2025, informierte das FBI und meldete den Vorfall offiziell beim Attorney General des US-Bundesstaats Maine.

Nicht offiziell von Allianz bestätigt ist die von mehreren Sicherheitsmedien vorgenommene Zuordnung des Angriffs zur Gruppe Scattered Spider beziehungsweise ShinyHunters. Offen bleibt zudem, wie viele der 1,4 Millionen Datensätze konkret exfiltriert wurden.

Am 11. August 2023 verschaffte sich ein Angreifer durch mehrere Anrufe beim IT-Helpdesk des Dienstleisters Cognizant Zugang zu Clorox-Systemen, weil Mitarbeiter Passwörter und MFA ohne Identitätsprüfung zurücksetzten. Der Angriff wird Sicherheitsforschern zufolge der Gruppe Scattered Spider zugeschrieben und legte Produktion und Auslieferung von Clorox-Produkten monatelang lahm. Am 23. Juli 2025 verklagte Clorox Cognizant auf 380 Millionen US-Dollar Schadensersatz.

Nicht gerichtlich geklärt ist bislang, ob Cognizant tatsächlich haftbar gemacht wird. Cognizant bestreitet die Vorwürfe und macht stattdessen unzureichende interne Sicherheitsvorkehrungen bei Clorox selbst verantwortlich. Der Ausgang des Zivilverfahrens war zum Zeitpunkt der Berichterstattung noch offen.

Am Wochenende des 23. September 2023 legte die Gruppe Dark Angels mit Ransomware Teile der IT-Infrastruktur des Gebäudetechnik-Konzerns Johnson Controls lahm und verschlüsselte unter anderem VMware-ESXi-Server. Die Gruppe forderte 51 Millionen Dollar Lösegeld und behauptete, über 27 Terabyte an Daten entwendet zu haben. Johnson Controls bestätigte den Vorfall in einer SEC-8-K-Meldung und bezifferte die finanziellen Folgen für das erste Quartal des Geschäftsjahres 2024 auf rund 27 Millionen Dollar.

Nicht offiziell bestätigt ist, ob und in welcher Höhe ein Lösegeld tatsächlich gezahlt wurde. Unklar bleibt auch der genaue Umfang und Inhalt der gestohlenen Daten. Berichte über eine mögliche Betroffenheit sensibler Daten des US-Heimatschutzministeriums stützen sich auf Spekulationen und wurden nicht amtlich bestätigt.

Caesars Entertainment bestätigte in einer SEC-Pflichtmitteilung, dass ein unbefugter Akteur durch Social Engineering gegen einen externen IT-Dienstleister Zugriff auf die Datenbank des Treueprogramms erlangte. Dabei wurden Führerscheinnummern und/oder Sozialversicherungsnummern einer erheblichen Zahl von Mitgliedern gestohlen. Laut Presseberichten zahlte Caesars rund 15 Millionen US-Dollar Lösegeld, die Angriffsgruppe wird der als Scattered Spider bekannten Gruppe zugeschrieben.

Die genaue Höhe der Lösegeldzahlung und die vollständige Identität der Angreifer sind nicht Teil der offiziellen SEC-Mitteilung, sondern stammen aus Presseberichten unter Berufung auf anonyme Quellen. Ob die gestohlenen Daten nach Zahlung tatsächlich gelöscht wurden, konnte das Unternehmen selbst laut eigener Aussage nicht garantieren.

Ab dem 1. September 2023 war die öffentliche Webseite der deutschen Finanzaufsicht BaFin durch einen DDoS-Angriff nur eingeschränkt erreichbar. BaFin bestätigte den Angriff offiziell und erklärte, sofort Sicherheits- und Abwehrmaßnahmen eingeleitet zu haben, während alle anderen internen Systeme uneingeschränkt funktionierten. Der Vorfall reiht sich in eine Welle von DDoS-Angriffen pro-russischer Hacktivisten auf europäische Banken und Finanzaufsichtsbehörden im Jahr 2023 ein.

Wer genau hinter dem Angriff steckt, blieb ungeklärt. Laut Recorded Future News reklamierte keine der bekannten pro-russischen Gruppen wie NoName057(16), die zu dieser Zeit Banken in Polen, Tschechien und Litauen angriffen, die Tat für sich. Ein Datenabfluss oder Einbruch in interne BaFin-Systeme wurde nicht festgestellt.

Zwei Tage nach dem Börsengang von Didi Global an der NYSE am 30.06.2021 eröffnete die chinesische Cyberspace Administration of China (CAC) am 02.07.2021 eine Cybersicherheitsprüfung gegen das Unternehmen und ließ die Didi-App aus allen chinesischen App-Stores entfernen. Nach einjähriger Untersuchung verhängte die CAC am 21.07.2022 eine Rekordstrafe von 8,026 Milliarden Yuan (rund 1,2 Milliarden US-Dollar) sowie persönliche Bußgelder gegen CEO Cheng Wei und Präsidentin Liu Qing. Die Behörde dokumentierte 16 Rechtsverstöße, darunter die widerrechtliche Erhebung von Gesichtserkennungsdaten, Standortdaten und Ausweisnummern über sieben Jahre seit 2015.

Nicht öffentlich dokumentiert ist der vollständige interne Entscheidungsprozess der chinesischen Führung, ob die Untersuchung primär der Datensicherheit oder der politischen Sanktionierung des eigenmächtigen New-Yorker Börsengangs diente. Offen bleibt zudem, in welchem Umfang die gesammelten Daten tatsächlich missbräuchlich verwendet wurden.

Ein US-Bundesgericht in Nordkalifornien stellte im Januar 2025 per Summary Judgment fest, dass NSO Group 2019 eine Schwachstelle in WhatsApp ausnutzte, um Pegasus-Spyware auf rund 1.400 Geräten von Journalisten, Menschenrechtlern, Diplomaten und Dissidenten zu installieren. Damit verstieß NSO gegen US-Hacking-Gesetze und WhatsApps Nutzungsbedingungen. Am 6. Mai 2025 sprach eine Jury WhatsApp/Meta rund 444.000 US-Dollar Schadenersatz und zunächst 167 Millionen US-Dollar Strafschadenersatz zu.

Die Richterin reduzierte den Strafschadenersatz später auf rund 4 Millionen US-Dollar und verhängte stattdessen eine dauerhafte Unterlassungsverfügung gegen NSO. Ob NSO die Beträge tatsächlich zahlt oder erfolgreich Rechtsmittel einlegt, war zum Zeitpunkt dieser Quelle offen.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Spyware-Hersteller NSO Group und Candiru sowie zwei weitere Firmen auf die Entity List. Begründet wurde dies damit, dass NSO Group und Candiru Spionagesoftware an ausländische Regierungen lieferten, mit der gezielt Regierungsbeamte, Journalisten, Aktivisten und Botschaftsmitarbeiter überwacht wurden. Die Listung verpflichtet US-Firmen, für Exporte oder Technologietransfers an diese Unternehmen eine Lizenz zu beantragen.

Nicht Teil dieser Maßnahme war ein strafrechtliches Verbot des Geschäftsbetriebs von NSO Group und Candiru selbst, da die Entity List nur den Export von US-Technologie einschränkt. Aus der Quelle nicht ersichtlich sind die konkreten wirtschaftlichen Folgen der Listung für NSO Group.

Der Oberste Gerichtshof Indiens setzte am 27. Oktober 2021 im Verfahren Manohar Lal Sharma gegen Union of India ein unabhängiges technisches Komitee ein, das den Einsatz der Pegasus-Spyware gegen Journalisten, Oppositionspolitiker, Aktivisten und Richter untersuchen sollte. Das Komitee prüfte 29 vorgelegte Mobiltelefone und legte Ende Juli 2022 seinen Bericht vor. Auf fünf Geräten wurde Malware gefunden, ein eindeutiger Nachweis von Pegasus gelang jedoch nicht.

Offen blieb, ob und von wem Pegasus tatsächlich gegen die betroffenen Personen eingesetzt wurde, da die Zentralregierung die Kooperation verweigerte. Der vollständige Abschlussbericht wurde nie öffentlich gemacht. Der Oberste Gerichtshof bestätigte 2025 erneut, dass Teile mit Bezug zur nationalen Sicherheit nicht offengelegt würden.

Das US-Justizministerium klagte am 11. Dezember 2024 vierzehn nordkoreanische Staatsangehörige an, die über Tarnfirmen mit gefälschten und gestohlenen US-Identitäten als Remote-IT-Mitarbeiter bei amerikanischen Firmen angeheuert wurden. Über sechs Jahre erbeuteten mindestens 130 eingesetzte IT-Arbeiter so rund 88 Millionen US-Dollar, die an das nordkoreanische Regime flossen. In mehreren Fällen drohten die Täter zusätzlich mit der Veröffentlichung gestohlenen Quellcodes.

Alle 14 Angeklagten befinden sich weiterhin auf freiem Fuß, es liegen keine bestätigten Festnahmen vor. Wie viele der über 100 betroffenen US-Unternehmen die Infiltration bereits vorher bemerkten, bleibt in der Anklage offen.

Das Oberlandesgericht Köln wies am 23.05.2025 einen Eilantrag der Verbraucherzentrale NRW gegen Meta Platforms Ireland ab, mit dem die Nutzung öffentlicher Facebook- und Instagram-Inhalte europäischer Nutzer zum Training des KI-Modells LLaMA gestoppt werden sollte. Das Gericht sah weder einen Verstoß gegen die DSGVO noch gegen den Digital Markets Act, da Meta sich auf ein berechtigtes Interesse stützen könne. Meta durfte die Datenverarbeitung deshalb ab dem 27.05.2025 wie geplant beginnen.

Der Beschluss erging nur im Eilverfahren; ein Hauptsacheverfahren zur endgültigen datenschutzrechtlichen Bewertung war zum Zeitpunkt der Quelle noch nicht abgeschlossen. Auch ein separates Dringlichkeitsverfahren des Hamburgischen Datenschutzbeauftragten lief parallel.

Ein Nutzer mit dem Pseudonym FreeSpeechEnthusiast veröffentlichte ab Anfang Januar 2023 über mehrere Wochen hinweg Teile des internen Twitter-Quellcodes und interner Tools auf GitHub. Twitter forderte am 24. März 2023 per DMCA-Meldung die Entfernung, GitHub löschte den Code noch am selben Tag. Twitter beantragte anschließend gerichtlich bei GitHub die Herausgabe von Nutzerdaten der Hochlader und Downloader.

Die tatsächliche Identität von FreeSpeechEnthusiast wurde nie öffentlich bekannt, ebenso wenig ob ein Insider oder Ex-Mitarbeiter verantwortlich war. Der genaue Umfang des zugänglichen Codes und ob sensible Nutzerdaten oder Sicherheitslücken konkret ausgenutzt wurden, blieb ungeklärt.

Am 25. Januar 2023 wurde auf einem Hackerforum ein 44,7 GB großes Datenpaket mit internem Yandex-Quellcode als Torrent veröffentlicht, das Code zu mehr als 13 Diensten enthielt, darunter Suche, Karten, Taxi, Mail und Cloud. Yandex bestätigte den Vorfall offiziell und erklärte, das Unternehmen sei nicht gehackt worden, sondern ein ehemaliger Mitarbeiter habe Fragmente eines internen Repositorys veröffentlicht.

Nicht öffentlich belegt ist, ob der geleakte Code der aktuell produktiv genutzten Version entspricht. Yandex erklärte, er unterscheide sich vom aktuellen Stand, während ein Sicherheitsforscher rund 90 Prozent Übereinstimmung schätzte. Offen bleiben zudem die genaue Identität des ehemaligen Mitarbeiters und ein etwaiges politisches Motiv.

Die EU-Kommission verhängte am 23. April 2025 gegen Apple ein Bußgeld von 500 Millionen Euro, weil das Unternehmen gegen die Anti-Steering-Pflichten des Digital Markets Act verstoßen hat. Apple erlaubte App-Entwicklern demnach nicht ausreichend, Nutzer im App Store auf günstigere Kaufoptionen außerhalb der Plattform hinzuweisen. Es handelt sich um die erste Bußgeldentscheidung der Kommission unter dem DMA, parallel wurde Meta mit 200 Millionen Euro belegt. Apple legte im Juli 2025 Rechtsmittel gegen die Entscheidung ein.

Offen ist der Ausgang von Apples Berufung vor dem Gericht der EU, das Verfahren war zum Zeitpunkt der Recherche noch nicht entschieden. Nicht dokumentiert sind interne Abwägungen bei Apple zur Preisgestaltung der App-Store-Gebühren.

Mehr als 300 Sicherheitsforscher sowie Organisationen wie Mozilla, die EFF, Cloudflare und die Linux Foundation warnten in offenen Briefen vor Artikel 45 der eIDAS-2.0-Verordnung. Die Vorschrift verpflichtet Webbrowser, von EU-Staaten benannte Zertifizierungsstellen für qualifizierte Website-Zertifikate (QWAC) anzuerkennen, ohne dass Browser diese bei Sicherheitsproblemen eigenständig entfernen können. Die Verordnung (EU) 2024/1183 trat am 20.05.2024 in Kraft, Artikel 45 blieb im finalen Text inhaltlich unverändert.

Ob die Klarstellung in Erwägungsgrund 32 die von Forschern befürchteten Risiken wie erzwungene Man-in-the-Middle-Zertifikate durch Mitgliedstaaten tatsächlich verhindert, war zum Zeitpunkt der Quelle nicht abschließend geklärt. Ein dokumentierter Fall, in dem ein EU-Staat ein QWAC bereits missbraucht hat, liegt nicht vor.

Am 08.11.2023 legte die Ransomware-Gruppe LockBit die IT-Systeme von ICBC Financial Services lahm, der US-Tochter der chinesischen Großbank ICBC. Die Angreifer nutzten eine Citrix-NetScaler-Schwachstelle aus, blockierten E-Mail-Zugänge und die Anbindung an die Clearingstelle DTCC, sodass zahlreiche Trades mit US-Staatsanleihen nicht fristgerecht abgewickelt werden konnten. Am 20.02.2024 bestätigte das US-Finanzministerium mit Sanktionen gegen zwei mutmaßliche LockBit-Mitglieder offiziell den Zusammenhang mit dem Angriff.

Ob und in welcher Höhe ICBC tatsächlich ein Lösegeld zahlte, ist offiziell nicht bestätigt, LockBit behauptete lediglich eine erfolgte Zahlung. Das genaue Ausmaß der Marktstörung bleibt umstritten, Analysen nennen einen Anstieg gescheiterter Trades auf rund 60 Milliarden US-Dollar.

Der Sicherheitsdienstleister RedHunt Labs entdeckte am 11.01.2024 ein seit dem 29.09.2023 in einem öffentlichen GitHub-Repository eines Mercedes-Benz-Mitarbeiters abgelegtes Zugriffstoken. Das Token gewährte unbeschränkten Zugriff auf den internen GitHub-Enterprise-Server des Konzerns, darunter Quellcode, Cloud-Zugangsschlüssel für Azure und AWS, Datenbank-Verbindungszeichenketten und API-Schlüssel. Mercedes-Benz widerrief das Token am 24.01.2024 und bestätigte öffentlich, dass interner Quellcode durch menschliches Versagen frei zugänglich war.

Unklar bleibt, ob das rund vier Monate lang öffentlich einsehbare Token in dieser Zeit von Dritten gefunden oder missbraucht wurde. Mercedes-Benz erklärte, Kundendaten seien nach damaligem Kenntnisstand nicht betroffen, legte dazu aber keine überprüfbaren technischen Belege offen.

Western Digital bestätigte, dass am 26. März 2023 ein unbefugter Dritter in Firmensysteme eindrang, woraufhin der My-Cloud-Dienst und der Online-Shop tagelang abgeschaltet wurden. Das Unternehmen bestätigte, dass eine Kopie der Online-Shop-Datenbank mit Kundennamen, Adressen, E-Mail-Adressen und Teilen von Kreditkartennummern entwendet wurde. Die Ransomware-Gruppe ALPHV/BlackCat reklamierte den Angriff für sich und behauptete, rund 10 Terabyte an Daten erbeutet zu haben.

Der von den Angreifern behauptete Umfang von rund 10 Terabyte gestohlener Daten ist nicht unabhängig verifiziert, ebenso wenig eine tatsächliche Lösegeldzahlung. Western Digital bestätigte offiziell nur den Diebstahl der Online-Shop-Kundendatenbank.

Am 3. November 2022 reichten anonyme Programmierer beim US-Bezirksgericht in Nordkalifornien eine Sammelklage gegen GitHub, Microsoft und OpenAI ein. Sie werfen den Firmen vor, den KI-Assistenten Copilot mit Milliarden Zeilen öffentlichem Code trainiert und dabei Lizenzpflichten wie Namensnennung aus Open-Source-Lizenzen wie GPL und MIT verletzt zu haben. Am 22. Januar 2024 wies der zuständige Richter 20 von 22 Klagepunkten ab, ließ aber die Vertragsbruchklage und Teile der DMCA-Klage zu.

Ob Copilot tatsächlich urheberrechtlich geschützten Code unzulässig reproduziert und ob sich die Firmen erfolgreich auf Fair Use berufen können, ist gerichtlich bisher nicht entschieden. Das Verfahren läuft weiter, ein Endurteil oder Vergleich steht noch aus.

Der US Supreme Court entschied am 22. Juni 2018 mit 5 zu 4 Stimmen, dass der Zugriff von Ermittlungsbehörden auf historische Handystandortdaten (Cell Site Location Information) eine Durchsuchung im Sinne des vierten Verfassungszusatzes darstellt und daher grundsätzlich einen richterlichen Durchsuchungsbefehl erfordert. Grundlage war der Fall Timothy Carpenter, dessen Bewegungsprofil über 127 Tage mit rund 12.898 Standortpunkten ohne Durchsuchungsbefehl beim Mobilfunkanbieter angefordert worden war. Die Mehrheitsmeinung lehnte eine Anwendung der bisherigen Third Party Doctrine auf diese Datenkategorie ab.

Offen bleibt, wie die Regel auf andere Formen der Standort- oder Metadatenerhebung anzuwenden ist, etwa Echtzeit-Tracking, Kameranetzwerke oder Datensammlungen unter sieben Tagen. Das Urteil äußert sich ausdrücklich nicht zu Notfallsituationen, nationaler Sicherheit oder Echtzeitüberwachung.