Quellen-Tabelle

Der US Supreme Court entschied am 25. Juni 2014 einstimmig im Fall Riley v. California (573 U.S. 373), dass die Polizei bei einer Festnahme grundsätzlich einen Durchsuchungsbefehl braucht, um die digitalen Inhalte eines beschlagnahmten Mobiltelefons zu durchsuchen. Auslöser war der Fall des Angeklagten David Riley, dessen Handy nach seiner Festnahme 2009 ohne Durchsuchungsbefehl ausgewertet wurde, wobei gefundene Daten ihn mit einer Schießerei und Gangaktivität in Verbindung brachten. Das Gericht stellte klar, dass die bisherige Ausnahme für Durchsuchungen bei Festnahmen wegen der riesigen Datenmenge auf modernen Smartphones nicht automatisch gilt.

Offen bleibt, wie die Grundsatzentscheidung in der Praxis auf Grenzfälle wie Cloud-Daten, verschlüsselte Geräte oder Notfallsituationen angewendet wird. Nicht Teil des Urteils sind spätere technische Entwicklungen wie biometrische Entsperrung oder die genaue Reichweite bei Grenzkontrollen.

Der US Supreme Court entschied am 23. Januar 2012 einstimmig im Fall United States v. Jones, dass das heimliche Anbringen eines GPS-Senders an einem Fahrzeug durch die Polizei und die anschließende Standortüberwachung eine Durchsuchung im Sinne des Vierten Verfassungszusatzes darstellen. Ermittler hatten den Sender außerhalb der im Durchsuchungsbefehl erlaubten Frist angebracht und die Fahrzeugbewegungen 28 Tage lang aufgezeichnet, was über 2000 Seiten Standortdaten ergab.

Offen blieb im Mehrheitsvotum, ob auch eine rein elektronische Standortverfolgung ohne physisches Anbringen eines Geräts künftig einen Durchsuchungsbefehl erfordert. Nur die Sondervoten thematisierten Grenzen für die Dauer verdachtsunabhängiger Langzeitüberwachung, ohne dass die Mehrheit dazu eine verbindliche Regel aufstellte.

Der Court of Appeal entschied am 11. August 2020 im Fall R (Bridges) gegen Chief Constable of South Wales Police, dass der Einsatz automatisierter Gesichtserkennung (AFR Locate) durch die South Wales Police zwischen 2017 und 2019 rechtswidrig war. Das Gericht stellte einen Verstoß gegen Artikel 8 EMRK fest, weil die Rechtsgrundlage zu viel Ermessen bei Ort und Auswahl der Überwachten ließ. Zusätzlich fehlte eine ordnungsgemäße Datenschutz-Folgenabschätzung.

Offen blieb, ob der eingesetzte Algorithmus tatsächlich rassistisch oder geschlechtsspezifisch verzerrte Ergebnisse lieferte. Das Gericht bemängelte nur das Fehlen einer entsprechenden Prüfung, nicht einen nachgewiesenen Bias. Das Urteil erklärte Gesichtserkennung durch die Polizei nicht grundsätzlich für unzulässig.

Truist Bank bestätigte im Juni 2024 einen Cyberangriff, der bereits im Oktober 2023 stattgefunden hatte. Der Hacker Sp1d3r bot im Darknet Daten von rund 65.000 Truist-Mitarbeitern sowie Kundendaten wie Kontonummern und Transaktionsdetails zum Kauf an, zusammen mit dem Quellcode des telefonischen Überweisungssystems. Die Bank begann erst ab Mai 2024 mit der Benachrichtigung betroffener Kunden, rund sieben Monate nach dem eigentlichen Vorfall.

Wie viele Kunden neben den 65.000 Mitarbeitern konkret betroffen waren, wurde nicht abschließend beziffert. Ob die im Darknet angebotenen Daten tatsächlich verkauft oder für Betrug missbraucht wurden, ist nicht belegt.

Die US-Bank Evolve Bank & Trust bestätigte einen Ransomware-Angriff der Gruppe LockBit zwischen Februar und Mai 2024, ausgelöst durch einen Mitarbeiter, der auf einen schädlichen Link klickte. Die Täter erbeuteten Namen, Sozialversicherungsnummern, Kontodaten und Kontaktinformationen von Kunden der Bank sowie von Kunden ihrer Fintech-Partner. Nach der Weigerung, Lösegeld zu zahlen, veröffentlichte LockBit die Daten.

Die Angaben zur Gesamtzahl der Betroffenen schwanken je nach Quelle zwischen 7,6 Millionen und rund 18 Millionen Personen. Ein Vergleich über rund 11,85 Millionen US-Dollar wurde im Dezember 2025 gerichtlich final bestätigt. Nicht öffentlich dokumentiert ist, in welchem Umfang die gestohlenen Daten tatsächlich für Identitätsdiebstahl missbraucht wurden.

LexisNexis Risk Solutions bestätigte, dass ein Unbekannter am 25.12.2024 über ein kompromittiertes Konto auf GitHub Zugriff auf Softwareartefakte und personenbezogene Daten von 364.333 Menschen erlangte. Betroffen waren Namen, Kontaktdaten, Sozialversicherungsnummern, Führerscheinnummern und Geburtsdaten; LNRS entdeckte den Vorfall erst am 01.04.2025 und informierte die Betroffenen ab dem 24./28.05.2025.

Die Identität des Angreifers sowie der genaue Weg, wie das GitHub-Konto kompromittiert wurde, blieben ungeklärt. Offen blieb zudem, ob und in welchem Umfang die entwendeten Daten tatsächlich für Identitätsdiebstahl oder Betrug missbraucht wurden.

Santander bestätigte am 14. Mai 2024 offiziell den unbefugten Zugriff auf eine bei einem Drittanbieter gehostete Datenbank, die Teil der breiteren Snowflake-Angriffswelle war. Betroffen waren Kundendaten aus Spanien, Chile und Uruguay sowie Daten aller aktuellen und einiger ehemaliger Mitarbeiter der Gruppe weltweit. Laut Santander enthielt die Datenbank keine Transaktionsdaten und keine Zugangsdaten wie Online-Banking-Passwörter.

Die genaue Zahl der betroffenen Kunden und Mitarbeiter sowie der vollständige Umfang der gestohlenen Datenfelder wurden von Santander nicht abschließend beziffert, Medienschätzungen reichten bis zu rund 30 Millionen Kundendatensätzen. Offen blieb zudem, ob und in welcher Höhe Regulierungsbehörden Bußgelder verhängten.

Advance Auto Parts meldete im Juli 2024 einen Datendiebstahl aus seiner Snowflake-Cloud-Umgebung, der zwischen dem 14. April und 24. Mai 2024 stattfand. Betroffen waren die persönlichen Daten von rund 2,3 Millionen aktuellen und ehemaligen Bewerbern und Mitarbeitern, darunter Namen, Sozialversicherungsnummern, Führerscheinnummern und Geburtsdaten. Der Angriff war Teil einer größeren Kampagne gegen über 160 Snowflake-Kunden, darunter Ticketmaster und Santander.

Unklar bleibt die Bewertung einer zusätzlich kursierenden Hacker-Behauptung, wonach eine Datenbank mit 380 Millionen Kundendatensätzen existiere. Das Unternehmen erklärte lediglich, die Angaben zu prüfen. Auch die genaue Identität der Angreifer wurde nie abschließend gerichtsfest geklärt.

Am 15. Oktober 2022 brach ein Brand im Batterieraum des SK-C&C-Rechenzentrums in Pangyo bei Seoul aus, wodurch die Stromversorgung ausfiel und alle dort gehosteten Server offline gingen. Betroffen waren zahlreiche Kakao-Dienste wie der Messenger KakaoTalk, Kakao T, Kakao Map, Kakao Bank sowie das Portal Daum, wobei zentrale Chatfunktionen erst nach über zehn Stunden wieder liefen. Kakao-Co-CEO Nam-goong Whon trat infolge der öffentlichen Kritik zurück, und der Vorfall führte in Südkorea zur Verabschiedung von Gesetzesänderungen für georedundante Backups.

Die genaue technische Ursache des Brandausbruchs im Batterieraum wurde in den gesichteten Berichten nicht abschließend geklärt. Angaben zur exakten Gesamtdauer bis zur vollständigen Wiederherstellung aller Einzeldienste schwanken zwischen den Quellen.

Nach Recherchen der Zeitung Estadão lagen monatelang Zugangsdaten zur zentralen Gesundheitsdatenbank SUS Base64-codiert im öffentlich einsehbaren Quellcode der Website des brasilianischen Gesundheitsministeriums. Dadurch waren persönliche und medizinische Daten von rund 243 Millionen Menschen, darunter auch Verstorbene, frei zugänglich, inklusive Namen, Adressen, Telefonnummern und Gesundheitsdaten.

Aus den Berichten geht nicht hervor, ob und in welchem Umfang Dritte die offenliegenden Zugangsdaten tatsächlich zum Abruf der Datenbank genutzt haben. Auch bleibt unklar, ob eine Behörde ein Bußgeld verhängte oder wer konkret für die fehlerhafte Programmierung verantwortlich gemacht wurde.

Am 22.09.2017 teilte Transport for London mit, dass die Betriebslizenz von Uber London Limited nach Ablauf nicht verlängert wird, weil das Unternehmen nicht als geeignet gilt. TfL nannte vier Gründe: den Umgang mit der Meldung schwerer Straftaten von Fahrern, die Art der Beschaffung ärztlicher Bescheinigungen und Führungszeugnisse sowie den Einsatz der Software Greyball, mit der Behördenmitarbeitern der volle App-Zugriff verwehrt werden konnte.

TfL bezifferte keine konkrete Zahl betroffener Fahrer oder Fahrgäste und stützte die Entscheidung auf Unternehmensverhalten, nicht auf einen einzelnen nachgewiesenen Datenschutzvorfall. Am 26.06.2018 erteilte das Westminster Magistrates' Court Uber unter Auflagen eine befristete neue Lizenz, sodass der ursprüngliche Entzug nicht dauerhaft wirksam wurde.

Der US Supreme Court entschied am 11. Juni 2001 mit 5 zu 4 Stimmen im Fall Kyllo gegen USA, dass der Einsatz einer Wärmebildkamera durch Bundesagenten am Wohnhaus eines Verdächtigen ohne Durchsuchungsbefehl eine unzulässige Durchsuchung im Sinne des vierten Verfassungszusatzes darstellte. Das Wärmebild diente als Grundlage für einen späteren Durchsuchungsbefehl, bei dem eine Marihuana-Plantage im Haus gefunden wurde. Die Mehrheitsmeinung stellte den Grundsatz auf, dass der Einsatz nicht allgemein verbreiteter Technologie zur Erfassung von Details eines Privathauses einen Durchsuchungsbefehl erfordert.

Nicht Gegenstand des Urteils war, ob die Polizei auch ohne die Wärmebilddaten ausreichenden Tatverdacht gehabt hätte. Offen blieb zudem, wie der Maßstab der nicht allgemein verbreiteten Technologie bei künftigen technischen Entwicklungen anzuwenden ist.

Am 26. Mai 2020 berichtete die Threat-Intelligence-Firma Cyble, dass ein Datensatz mit 47,5 Millionen Nutzerdatensätzen der Anrufer-Identifizierungs-App Truecaller aus Indien in einem Darknet-Forum für rund 1000 US-Dollar zum Verkauf angeboten wurde. Die Daten enthielten Telefonnummer, Mobilfunkanbieter, Name, Geschlecht, Stadt und E-Mail-Adresse. Truecaller bestritt eine Kompromittierung der eigenen Datenbank und erklärte, bereits im Mai 2019 von einem vergleichbaren Datensatz erfahren zu haben.

Ob die Daten tatsächlich aus einem direkten technischen Einbruch in Truecaller-Systeme stammen oder aus anderen Quellen zusammengetragen wurden, ist nicht abschließend geklärt. Truecaller bestreitet bis heute jede Sicherheitsverletzung der eigenen Datenbank.

Im Verfahren In re Facebook Biometric Information Privacy Litigation genehmigte das Gericht am 26.02.2021 einen Vergleich über 650 Millionen US-Dollar. Grundlage war der Vorwurf, Facebooks Funktion Tag Suggestions habe per Gesichtserkennung biometrische Gesichtsdaten von Nutzern in Illinois gespeichert, ohne die vom Illinois Biometric Information Privacy Act (BIPA) vorgeschriebene schriftliche Einwilligung einzuholen. Rund 1,6 Millionen Facebook-Nutzer aus Illinois waren anspruchsberechtigt und erhielten mindestens 345 US-Dollar pro Person, es handelte sich um den bis dahin höchsten Vergleichsbetrag in einem Datenschutzverfahren in den USA.

Aus den Quellen geht nicht hervor, dass Facebook im Vergleich ein Fehlverhalten eingeräumt hat, das Unternehmen bestritt die Vorwürfe weiterhin. Nicht abschließend belegt ist, wie viele der 1,6 Millionen Berechtigten tatsächlich einen Antrag stellten, Berichten zufolge lag die Abrufquote bei etwa 22 Prozent.

Im Juni 2024 einigte sich Clearview AI mit den Klägern der Sammelklage In re Clearview AI Consumer Privacy Litigation auf einen Vergleich, wonach die Klassenmitglieder statt einer Geldzahlung einen Anteil von 23 Prozent an Clearview AI erhalten sollten, damals mit rund 51,75 Millionen US-Dollar bewertet. Die zuständige US-Bezirksrichterin bestätigte den Vergleich am 20.03.2025 endgültig. Am 13.07.2026 hob das US-Berufungsgericht für den Siebten Bezirk die Genehmigung wieder auf, weil für die bundesweite Klasse kein eigener Klassenvertreter mitgewirkt hatte.

Offen bleibt, ob und wann ein neuer Vergleich mit separater Vertretung der bundesweiten Klasse zustande kommt und welchen tatsächlichen Geldwert die Klassenmitglieder am Ende erhalten, da der Wert weiterhin an einen ungewissen Börsengang oder Verkauf von Clearview AI gebunden wäre.

Der kalifornische Generalstaatsanwalt einigte sich im August 2022 mit dem Kosmetikhändler Sephora auf eine Zahlung von 1,2 Millionen US-Dollar. Grund war der erste große CCPA-Durchsetzungsfall: Sephora ließ Drittanbieter per Tracking-Pixel und Cookies Nutzerdaten sammeln, ohne dies als Datenverkauf offenzulegen, und ignorierte Opt-out-Signale über Global Privacy Control. Sephora musste seine Datenschutzerklärung anpassen und Opt-out-Mechanismen einführen.

Sephora räumte im Vergleich keine Rechtsverletzung ein, da es sich um einen Consent Decree ohne Schuldeingeständnis handelt. Offen bleibt, wie viele Nutzer konkret betroffen waren und welche der beteiligten Drittanbieter die Daten wofür genau weiterverwendeten.

Die britische Regulierungsbehörde Ofcom hat die Plattform 4chan am 19. März 2026 unter dem UK Online Safety Act mit insgesamt 520.000 Pfund belegt. Davon entfielen 450.000 Pfund auf fehlende Altersverifikation zum Schutz von Kindern vor Pornografie, 50.000 Pfund auf eine unterlassene Risikobewertung illegaler Inhalte und 20.000 Pfund auf unzureichende Nutzungsbedingungen. Ofcom setzte eine Nachbesserungsfrist bis 2. April 2026, danach drohen weitere Tagesstrafen.

Nicht belegt ist, ob 4chan die geforderten Altersprüfungen und Risikobewertungen bis zur gesetzten Frist tatsächlich umgesetzt hat, da das Unternehmen eine Zahlung öffentlich verweigerte und in den USA rechtlich gegen Ofcoms Zuständigkeit vorging.

Sicherheitsforscher entdeckten im Januar 2024 eine offen zugängliche Datenbank mit rund 26 Milliarden Datensätzen und 12 Terabyte Umfang. Es handelt sich um eine Kompilation aus zahlreichen früheren Datenlecks, unter anderem mit Bezug zu Twitter/X, LinkedIn, Dropbox, Adobe, Weibo und Tencent, plus Datensätzen mit Bezug zu Regierungsorganisationen mehrerer Länder.

Nicht belegt ist, dass es sich um einen neuen eigenständigen Hack handelt: Die Forscher gehen davon aus, dass die Daten überwiegend aus bereits bekannten, älteren Lecks stammen und stark dupliziert sind. Wer die Datenbank zusammengestellt und online gestellt hat, blieb ungeklärt.

Der Naz.API-Datensatz umfasst 319 Dateien mit insgesamt 104 GB und enthält 70.840.771 eindeutige E-Mail-Adressen sowie rund 100 Millionen einzigartige Passwörter aus Infostealer-Malware und klassischen Credential-Stuffing-Listen. Troy Hunt integrierte die E-Mail-Adressen im Januar 2024 in Have I Been Pwned, wobei rund 65 Prozent der Adressen zuvor dort unbekannt waren.

Nicht dokumentiert ist die genaue Identität der ursprünglichen Sammler des Datensatzes oder eine vollständige Liste aller betroffenen Dienste. Unklar bleibt zudem, wie viele der enthaltenen Zugangsdaten zum Zeitpunkt der Veröffentlichung noch gültig waren.

Am 4. Juli 2024 veröffentlichte ein Nutzer namens ObamaCare in einem Hackerforum die Datei RockYou2024.txt mit 9.948.575.739 einzigartigen Klartext-Passwörtern, laut Sicherheitsforschern die bislang größte bekannte Passwort-Sammlung. Die Zusammenstellung baut auf der RockYou2021-Sammlung auf und wurde um rund 1,5 Milliarden zusätzliche Passwörter aus Datenlecks der Jahre 2021 bis 2024 erweitert.

Welches Hackerforum genau betroffen war und wer sich hinter dem Nutzernamen ObamaCare verbirgt, ist nicht öffentlich bestätigt. Aus welchen einzelnen Datenlecks die Passwörter im Detail stammen, wurde nicht vollständig offengelegt. RockYou2024 ist selbst kein neuer Einbruch bei einem Unternehmen, sondern eine Sammlung aus zahlreichen älteren Lecks.

Sicherheitsforscher Troy Hunt entdeckte im Januar 2019 in einem Untergrundforum eine Sammlung namens Collection #1 mit knapp 773 Millionen einzigartigen E-Mail-Adressen und 21 Millionen einzigartigen Passwörtern im Klartext. Die insgesamt rund 2,7 Milliarden Zeilen stammten aus über 12.000 Dateien mit 87 Gigabyte Umfang und waren zuvor kurzzeitig über den Cloud-Dienst MEGA verbreitet worden.

Nicht dokumentiert ist eine einzelne verantwortliche Ursprungsquelle: Die Daten setzten sich aus rund 2.000 verschiedenen älteren Einzel-Leaks und Hacks zusammen, deren genaue Herkunft größtenteils nicht mehr zweifelsfrei zuzuordnen ist. Auch die Identität der Zusammensteller sowie das Ausmaß tatsächlicher Schäden bleiben ungeklärt.

Im Rahmen der vom deutschen Bundeskriminalamt geleiteten und von Europol koordinierten Operation Talent nahmen Behörden aus acht Ländern zwischen dem 28. und 30. Januar 2025 die Cybercrime-Foren Cracked und Nulled sowie den zugehörigen Zahlungsdienstleister Sellix und Hoster StarkRDP vom Netz. Die beiden Plattformen hatten zusammen über 10 Millionen registrierte Nutzerkonten. Es wurden zwei Personen in Spanien festgenommen, 12 Domains sowie 17 Server beschlagnahmt, dazu rund 300.000 Euro in Bargeld und Kryptowährungen.

Offen bleibt das genaue Gesamtausmaß der über die Foren abgewickelten kriminellen Umsätze. Nicht öffentlich dokumentiert ist, wie viele der acht identifizierten mutmaßlichen Hauptbetreiber inzwischen tatsächlich strafrechtlich verurteilt wurden, da Verfahren in mehreren Ländern noch liefen.

Der texanische Generalstaatsanwalt Ken Paxton verklagte General Motors im August 2024 wegen unrechtmäßiger Sammlung und Weitergabe von Fahrverhaltensdaten. Über das Programm OnStar Smart Driver sammelte GM in Fahrzeugen ab Modelljahr 2015 Daten wie Geschwindigkeit und Bremsverhalten und verkaufte diese an Datenmakler, die daraus Driving Scores für Versicherer erstellten.

Ob GM Kunden aktiv täuschte oder ob die Anmeldung ohne echte Zustimmung erfolgte, war zum Zeitpunkt der Klageeinreichung rechtlich noch nicht entschieden. Die Klage fordert Geldstrafen und die Löschung der gesammelten Daten, ein Urteil oder Vergleich stand noch aus.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 4. November 2024 ein Bußgeld von 21,6 Milliarden Won (rund 15,6 Millionen US-Dollar) gegen Meta. Meta hatte zwischen Juli 2018 und März 2022 ohne Einwilligung sensible Daten von rund 980.000 südkoreanischen Facebook-Nutzern zu Religion, politischer Meinung, sexueller Orientierung und Status als nordkoreanische Flüchtlinge gesammelt und an rund 4.000 Werbetreibende weitergegeben.

Offen bleibt, ob einzelne Nutzer durch die Datenweitergabe konkret zu Schaden kamen oder ob Werbetreibende die sensiblen Kategorien gezielt diskriminierend einsetzten. Es war bereits die zweite große PIPC-Strafe gegen Meta nach einem Bußgeld von 30,8 Milliarden Won im Jahr 2022.

Bei SK Telecom wurde im April 2025 ein Malware-Angriff auf USIM-bezogene Kundendaten bekannt, der rund 23,2 Millionen Kunden über 25 Datenkategorien betraf, darunter IMSI-Nummern und unverschlüsselte SIM-Authentifizierungsschlüssel. Die südkoreanische Datenschutzbehörde PIPC verhängte am 28.08.2025 eine Rekordstrafe von 134,8 Milliarden Won (rund 97 Millionen US-Dollar) wegen fehlender Verschlüsselung, mangelhafter Netzwerktrennung und ignorierter Warnsignale seit 2021/2022.

Offen bleibt, wie viele der Betroffenen tatsächlich Opfer von Identitätsdiebstahl oder SIM-Swapping wurden. Die Angreifer wurden bislang nicht namentlich identifiziert oder einer Gruppe zugeordnet.