Quellen-Tabelle

Der US-Versicherer Farmers Insurance wurde am 30.05.2025 von einem Dienstleister über verdächtige Aktivitäten informiert und schloss die Prüfung des Vorfalls am 24.07.2025 ab. Betroffen waren mehr als 1,1 Millionen Kunden, deren Namen, Adressen, Geburtsdaten, Führerscheinnummern und die letzten vier Ziffern von Sozialversicherungsnummern offengelegt wurden. Schriftliche Benachrichtigungen an die Betroffenen begannen ab dem 22.08.2025, mehrere Medien ordneten den Vorfall der Angriffswelle gegen Salesforce-Kunden durch die als UNC6040/UNC6240 bekannte Gruppe zu.

Eine offizielle Bestätigung der Salesforce-Verbindung durch Farmers Insurance selbst liegt nicht vor, die Zuordnung stammt aus Medienberichten und nachfolgenden Sammelklagen. Der genaue technische Ablauf des Zugriffs beim Dienstleister wurde nicht im Detail veröffentlicht.

Fortinet veröffentlichte am 08.02.2024 einen Sicherheitshinweis zu CVE-2024-21762, einer kritischen Out-of-Bounds-Write-Schwachstelle in FortiOS SSL-VPN mit einem CVSS-Wert von 9,6. Die Lücke erlaubt nicht authentifizierten Angreifern per präparierter HTTP-Anfrage die Ausführung beliebigen Codes auf betroffenen Firewalls. Die US-Cybersicherheitsbehörde CISA nahm die Lücke bereits am 09.02.2024 in ihren Known-Exploited-Vulnerabilities-Katalog auf, da eine Ausnutzung in freier Wildbahn beobachtet wurde.

Wie viele Geräte weltweit tatsächlich erfolgreich kompromittiert wurden, ist nicht abschließend beziffert. Die Identität der ersten ausnutzenden Angreifergruppen blieb ungeklärt, im März 2024 bot ein Akteur auf einem Untergrundforum zusätzlich einen Exploit für die Lücke zum Verkauf an.

Sicherheitsforscher entdeckten ab dem 10.01.2024 die aktive Ausnutzung zweier Zero-Day-Schwachstellen in Ivanti Connect Secure und Policy Secure, CVE-2023-46805 (Authentifizierungsumgehung, CVSS 8,2) und CVE-2024-21887 (Command Injection, CVSS 9,1). In Kombination ermöglichten die Lücken unauthentifizierte Remotecodeausführung auf den Geräten, erste Ausnutzung wurde bereits auf den 03.12.2023 zurückdatiert. Betroffen waren alle unterstützten Versionen 9.x und 22.x, zum Zeitpunkt der Offenlegung waren über 15.000 Geräte weltweit erreichbar und rund 1.700 nachweislich kompromittiert.

Zum Zeitpunkt der ersten Offenlegung stand noch kein offizieller Patch zur Verfügung, Ivanti bot zunächst nur eine Mitigations-XML-Datei an. Die Identität der ursprünglichen Angreifergruppe hinter der Erstausnutzung wurde nicht abschließend öffentlich benannt.

Der Gerichtshof der Europäischen Union entschied am 04.07.2023 in der Rechtssache C-252/21, dass nationale Wettbewerbsbehörden bei der Prüfung eines Missbrauchs einer marktbeherrschenden Stellung inzident auch Verstöße gegen die Datenschutz-Grundverordnung feststellen dürfen. Das Oberlandesgericht Düsseldorf hatte dem EuGH die zugrunde liegenden Fragen am 24.03.2021 im Rahmen der Beschwerde von Meta gegen den Bundeskartellamt-Beschluss von 2019 zur Vorabentscheidung vorgelegt. Der EuGH stellte klar, dass sich Meta für die Zusammenführung von Nutzerdaten aus Facebook, Instagram, WhatsApp und Drittwebsites weder auf die Erforderlichkeit zur Vertragserfüllung noch auf ein berechtigtes Interesse an personalisierter Werbung ohne gesonderte Einwilligung stützen kann.

Das Urteil entscheidet nicht abschließend über die Rechtmäßigkeit des Bundeskartellamt-Beschlusses von 2019 selbst, diese Prüfung blieb dem Oberlandesgericht Düsseldorf im fortgesetzten Beschwerdeverfahren vorbehalten. Aus dem Urteilstext geht nicht hervor, wie die konkrete technische Umsetzung der Datentrennung bei Meta in der Praxis auszusehen hat.

Der EuGH entschied am 27.02.2025 in der Rechtssache C-203/22, dass Betroffene bei einer ausschließlich automatisierten Bonitätsbewertung nach Artikel 15 Absatz 1 Buchstabe h DSGVO Anspruch auf eine konkrete, nachvollziehbare Erklärung des angewandten Verfahrens haben. Die bloße Offenlegung des Algorithmus oder einer mathematischen Formel genügt laut Urteil nicht. Ein pauschaler Verweis auf Geschäftsgeheimnisse darf den Auskunftsanspruch nicht von vornherein ausschließen, strittige Informationen müssen im Streitfall der Aufsichtsbehörde oder einem Gericht zur Abwägung vorgelegt werden.

Das zugrunde liegende Verfahren betraf einen österreichischen Fall bei Dun und Bradstreet Austria, nicht die deutsche Schufa. Eine unmittelbare Übertragung der Maßstäbe auf deutsche Auskunfteien liegt nahe, ist aber nicht Gegenstand dieses Urteils.

Die italienische Datenschutzbehörde Garante verhängte am 15.01.2020 gegen den Telekommunikationskonzern TIM ein Bußgeld von 27.802.946 Euro. Grundlage waren mehrere hundert Beschwerden aus den Jahren 2017 bis Anfang 2019 über unerwünschte Werbeanrufe ohne gültige Einwilligung, Missachtung des Widerspruchsregisters sowie mangelhafte Einwilligungsverfahren in der App TIM Party. Die Behörde ordnete zusätzlich 20 Korrekturmaßnahmen an und bezeichnete die Sanktion als die bis dahin höchste in Italien verhängte Datenschutzstrafe.

Ob TIM gegen die Entscheidung Rechtsmittel eingelegt hat und ob die Bußgeldsumme später bestätigt oder reduziert wurde, geht aus der Pressemitteilung nicht hervor. Die genaue Zahl der tatsächlich betroffenen Personen wird nicht exakt beziffert.

Die Organisation noyb um Max Schrems reichte am 17.08.2020 101 Beschwerden bei Datenschutzbehörden in allen 30 EWR-Mitgliedstaaten ein, gerichtet gegen europäische Unternehmen, die Google Analytics oder Facebook Connect einsetzen und dadurch Daten in die USA übertragen. Grundlage war das Schrems-II-Urteil des EuGH vom Juli 2020, das den Privacy-Shield-Rahmen für ungültig erklärte. Bei Verstößen drohen laut noyb DSGVO-Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Wie die einzelnen Datenschutzbehörden in den 30 Ländern über die jeweiligen Beschwerden entschieden haben, geht aus der Pressemitteilung nicht hervor. Ob am Ende tatsächlich Bußgelder gegen die betroffenen Unternehmen verhängt wurden, ist nicht dokumentiert.

Das Nachrichtenportal The Pillar veröffentlichte am 20.07.2021 eine Recherche, die kommerziell erhältliche App-Signaldaten nutzte, um Grindr-Nutzung und Besuche von Schwulenbars einem Mobilgerät zuzuordnen, das Monsignore Jeffrey Burrill, Generalsekretär der US-Bischofskonferenz, zugeschrieben wurde. The Pillar korrelierte eine Geräte-ID mit Standortmustern an Burrills Arbeitsplatz und Wohnsitz zwischen 2018 und 2020. Burrill trat noch am Tag der Veröffentlichung zurück, Grindr erklärte, nicht die Quelle der Daten gewesen zu sein.

Der Datenhändler, von dem The Pillar die App-Signaldaten tatsächlich bezog, wurde nicht öffentlich benannt. Die technische Methode der Re-Identifizierung wurde nicht unabhängig geprüft, sondern beruht allein auf Angaben von The Pillar selbst.

Im Mai 2024 versuchten Betrüger, eine Führungskraft der Werbeholding WPP mithilfe von Deepfake-Technologie zu täuschen. Sie legten ein WhatsApp-Konto mit einem öffentlichen Foto von WPP-CEO Mark Read an und luden eine leitende Mitarbeiterin zu einem Microsoft-Teams-Meeting ein, in dem eine KI-Stimmklon-Version sowie YouTube-Aufnahmen von Read eingesetzt wurden. Ziel war die Herausgabe von Geld und persönlichen Daten für die angebliche Gründung einer neuen Firma, der Versuch scheiterte laut WPP an der Wachsamkeit der beteiligten Person.

Welche konkrete Software für die Stimmklonierung eingesetzt wurde und wer hinter dem Angriff steckt, ist nicht öffentlich bekannt. Die genaue angestrebte Schadenssumme wurde nicht beziffert, da kein Geld floss.

Die Ransomware-Gruppe Cl0p nutzte ab dem 18.01.2023 eine Zero-Day-Schwachstelle (CVE-2023-0669) in der Managed-File-Transfer-Software GoAnywhere MFT des Herstellers Fortra aus. Fortra entdeckte die Aktivität am 30.01.2023 und veröffentlichte am 07.02.2023 ein Update. Cl0p beanspruchte am 10.02.2023 die Verantwortung und gab an, Daten von rund 130 Organisationen erbeutet zu haben, darunter Hitachi Energy und Crown Resorts.

Die genaue Gesamtzahl der tatsächlich betroffenen Organisationen ist nicht unabhängig verifiziert. Dieser Fall betrifft die GoAnywhere-MFT-Software und ist von der separaten MOVEit-Transfer-Kampagne derselben Cl0p-Gruppe ab Mai 2023 zu unterscheiden.

Am 19.12.2023 gab das US-Justizministerium bekannt, die Infrastruktur der Ransomware-Gruppe ALPHV/BlackCat gestört zu haben, die zuvor mehr als 1.000 Opfer weltweit kompromittiert und rund 300 Millionen US-Dollar erbeutet hatte. Das FBI hatte 946 Schlüsselpaare für Tor-Websites der Gruppe sichergestellt und einen Entschlüsselungscode entwickelt, mit dem über 500 Opfer ihre Daten wiederherstellen konnten. Wenige Stunden nach der Ankündigung erklärte ALPHV/BlackCat, die eigene Leak-Website zurückerobert zu haben, und hob als Vergeltung das interne Verbot auf, Krankenhäuser anzugreifen.

Ob ALPHV/BlackCat die eigene Website tatsächlich zurückerlangte oder die Ankündigung eine Inszenierung war, ist unter Sicherheitsforschern umstritten. Ob der zwei Monate später erfolgte Angriff auf Change Healthcare unmittelbar auf die Aufhebung der Angriffsbeschränkungen zurückzuführen ist, wird vermutet, aber nicht belegt.

Am 17. und 18.11.2024 wurden in der Ostsee zwei Unterseekabel beschädigt, das Datenkabel C-Lion1 zwischen Finnland und Deutschland sowie die Verbindung BCS East-West zwischen Schweden und Litauen. Ermittler richteten den Verdacht auf den chinesischen Frachter Yi Peng 3, der laut Recherchen zur Tatzeit die betroffenen Streckenabschnitte passierte und dabei seinen Anker über den Meeresgrund geschleift haben soll. Am 20.12.2024 bestiegen Vertreter aus Deutschland, Schweden, Finnland und Dänemark das Schiff zur Inspektion.

Nicht bewiesen ist, ob die Kabelbeschädigung vorsätzlich erfolgte oder ein Unfall war. China bestreitet jede Verantwortung, westliche Ermittler gehen von einem möglichen Sabotageakt aus, dies aber ausdrücklich unbelegt. Die Ergebnisse der Schiffsinspektion wurden nicht veröffentlicht.

Im Februar 2021 reichten openDemocracy und die Rechtskampagne Foxglove eine Klage auf gerichtliche Überprüfung gegen die britische Regierung ein. Anlass war die im Dezember 2020 ohne öffentliche Ausschreibung erfolgte Verlängerung des ursprünglich zum symbolischen Preis von 1 Pfund vergebenen Notfallvertrags mit Palantir zum britischen COVID-19 Data Store, nun mit einem Volumen von 23 Millionen Pfund über zwei Jahre. Ende März 2021 sicherte die Regierung zu, Palantirs Rolle im NHS-Datenspeicher nicht ohne vorherige öffentliche Konsultation über die Pandemie hinaus auszuweiten.

Ob es in der Folge zu einer gerichtlichen Entscheidung über die Rechtmäßigkeit des ursprünglichen Vertrags kam, ist nicht belegt, da das Verfahren durch die Zusagen der Regierung beendet wurde. Ob die zugesagten Bürgerjurys tatsächlich stattfanden, bleibt offen.

Meta kündigte im Mai 2024 an, ab dem 26.06.2024 öffentliche Inhalte volljähriger Facebook- und Instagram-Nutzer aus der EU auf Grundlage eines berechtigten Interesses für das KI-Training zu verwenden. Die Organisation noyb reichte daraufhin Beschwerden in elf europäischen Ländern ein. Am 14.06.2024 teilte die irische Datenschutzbehörde DPC mit, dass Meta zugesagt habe, die geplante KI-Trainingsnutzung öffentlicher Inhalte erwachsener Nutzer in der EU vorerst auszusetzen.

Ob Metas Zusage rechtlich bindend war, geht aus der Pressemitteilung nicht hervor. Ob und wann Meta das KI-Training mit europäischen Nutzerdaten später wieder aufnahm, ist aus dieser Quelle nicht dokumentiert.

Apple reichte im November 2021 Klage gegen die NSO Group ein und warf ihr vor, Apple-Nutzer mit der Pegasus-Spyware über den FORCEDENTRY-Exploit ausgespäht zu haben. Am 12.09.2024 beantragte Apple die freiwillige Rücknahme der eigenen Klage. Als Begründung nannte Apple die Gefahr, dass eine Fortsetzung vertrauliche Bedrohungsanalyse-Daten offenlegen und damit anderen Spyware-Anbietern nützen könnte.

Ob und wie das Gericht über den Rücknahmeantrag abschließend entschied, ist nicht dokumentiert. Eine konkrete finanzielle Entschädigung oder ein Vergleich zwischen den Parteien ist nicht belegt, es handelt sich um eine einseitige Klagerücknahme, kein Urteil in der Sache.

Der baden-württembergische Landtag verabschiedete am 12.11.2025 mit grün-schwarzer Mehrheit eine Neufassung des Polizeigesetzes, die die rechtliche Grundlage für den Einsatz der Analysesoftware von Palantir bei der Polizei schafft. Das System soll laut Gesetzentwurf ab dem zweiten Quartal 2026 einsatzbereit sein und erlaubt zudem die Nutzung von Polizeidaten zum Training von KI-Systemen außerhalb rein wissenschaftlicher Forschung. Der Landesdatenschutzbeauftragte Tobias Keber äußerte mehrere Kritikpunkte an der verfassungsrechtlichen Konformität des Gesetzes.

Die konkreten Einzelpunkte von Kebers Kritik sind nicht im Wortlaut wiedergegeben. Anders als in Bayern ist zum Berichtszeitpunkt keine Verfassungsbeschwerde gegen das baden-württembergische Gesetz bekannt, eine gerichtliche Überprüfung steht noch aus.

Der Erste Senat des Bundesverfassungsgerichts entschied am 24.01.2012, dass Sicherheitsbehörden Zugangssicherungscodes wie PIN und PUK nach § 113 Absatz 1 Satz 2 TKG nur abfragen dürfen, wenn die gesetzlichen Voraussetzungen für die Nutzung dieser Codes vorliegen. Die bestehende Fassung der Norm erklärte das Gericht insoweit für verfassungswidrig. Zugleich formulierte der Senat das sogenannte Doppeltürenmodell, wonach für Datenabruf und Datenübermittlung jeweils eigene, korrespondierende Rechtsgrundlagen nötig sind.

Wie oft Sicherheitsbehörden vor diesem Beschluss tatsächlich PIN, PUK oder andere Zugangssicherungscodes abgefragt haben, geht aus der Entscheidung nicht hervor. Die als Reaktion geschaffene Neufassung des § 113 TKG wurde acht Jahre später in einem separaten Verfahren am 27.05.2020 ihrerseits vom Bundesverfassungsgericht für verfassungswidrig erklärt, dieses spätere Urteil ist nicht Gegenstand dieser Quelle.

Der Bundestag verabschiedete am 25.03.2021 die Novelle des BND-Gesetzes als gesetzliche Reaktion auf das BVerfG-Urteil vom 19.05.2020, das die bisherige Ausland-Ausland-Fernmeldeaufklärung des BND für verfassungswidrig erklärt hatte. Das neue Gesetz erlaubt dem BND laut netzpolitik.org das Abhören großer Teile der weltweiten Telekommunikationsnetze sowie das Eindringen in IT-Systeme von Kommunikationsanbietern, zugleich wurde ein unabhängiger Kontrollrat als Aufsichtsbehörde eingeführt. Bundespräsident Steinmeier unterzeichnete das Gesetz am 19.04.2021.

In welchem tatsächlichen Umfang der BND die 2021 neu geschaffenen Befugnisse seither nutzt, geht aus den verfügbaren Quellen nicht hervor. Ob der neue Kontrollrat die vom Bundesverfassungsgericht geforderte wirksame Kontrolle in der Praxis sicherstellt, ist nicht belegt.

Die Berliner Datenschutzbeauftragte verhängte im August 2019 Bußgelder von insgesamt 195.407 Euro gegen die Delivery Hero Germany GmbH, zu der die Marken Lieferheld, Pizza.de und foodora gehörten. In zehn Fällen hatte das Unternehmen Konten ehemaliger Kunden trotz jahrelanger Inaktivität nicht gelöscht, in einem Fall seit 2008. Acht Kunden erhielten trotz Widerspruchs weiter Werbe-E-Mails, in fünf Fällen kam das Unternehmen Auskunftsersuchen nicht oder erst nach Einschreiten der Behörde nach. Der neue Eigentümer Takeaway.com akzeptierte die Bescheide ohne Rechtsmittel.

Die Pressemitteilung nennt kein exaktes Tagesdatum des Bußgeldbescheids innerhalb des Monats August 2019. Wie viele Kundenkonten insgesamt von dem Löschproblem betroffen waren, ist nicht erkennbar, da die genannten Fälle auf konkreten Beschwerden beruhen.

Die italienische Datenschutzbehörde Garante verhängte am 22.07.2021 ein Bußgeld von 2,5 Millionen Euro gegen den Lieferdienst Deliveroo Italy. Betroffen waren rund 8.000 Rider, deren Standort über die Arbeits-App alle 12 Sekunden erfasst und bis zu sechs Monate gespeichert wurde. Die Behörde bemängelte zudem intransparente Algorithmen zur Auftrags- und Schichtvergabe sowie eine unzureichende Datenschutz-Folgenabschätzung.

Ob Deliveroo gegen den Bescheid gerichtlich vorging, ist aus den verfügbaren Quellen nicht ersichtlich. Die betroffenen Rider galten in Italien nicht als klassische Angestellte, sondern als Plattform-Beschäftigte mit besonderem Status.

Die US-Kommunikationsbehörde FCC verhängte am 13.04.2012 ein Bußgeld von 25.000 US-Dollar gegen Google wegen Behinderung ihrer Ermittlung zur Sammlung von WLAN-Nutzdaten durch Street-View-Kamerafahrzeuge. Google verzögerte die Herausgabe von E-Mails und weigerte sich zunächst, beteiligte Mitarbeiter zu benennen. Die FCC verzichtete auf eine Sanktion für die eigentliche Datensammlung selbst, da sie keine einschlägige Präzedenz für unverschlüsselten WLAN-Verkehr nach dem Wiretap Act sah.

Wie die Software zur Erfassung der WLAN-Payload-Daten im Detail konzipiert wurde, bleibt unklar, da der zuständige Ingenieur die Aussage verweigerte. Die FCC traf keine rechtliche Feststellung, dass die ursprüngliche Datensammlung selbst gegen US-Recht verstieß.

The Intercept veröffentlichte am 19.02.2015 auf Basis von Snowden-Dokumenten eine Recherche über den sogenannten Great SIM Heist. Ein 2010 gegründetes gemeinsames Team von NSA und GCHQ soll Systeme des niederländischen SIM-Kartenherstellers Gemalto gehackt haben, der jährlich rund zwei Milliarden SIM-Karten fertigt. Über das NSA-Suchsystem XKeyscore verschafften sich die Dienste Zugriff auf private E-Mail-Konten von Gemalto-Ingenieuren und erbeuteten darüber geheime SIM-Verschlüsselungsschlüssel, allein für Somalia wurden bis Juni 2010 rund 300.000 Schlüssel dokumentiert. Gemalto erklärte nach eigener Untersuchung, ein Angriff sei wahrscheinlich, ein massenhafter Diebstahl der Schlüssel selbst lasse sich jedoch nicht belegen.

Gemalto und The Intercept widersprechen sich bis heute im Kernpunkt, ob tatsächlich in großem Stil Schlüssel entwendet wurden. Die genaue Gesamtzahl der weltweit entwendeten SIM-Schlüssel sowie das Ausmaß ihrer Nutzung für konkrete Abhörmaßnahmen sind aus den Dokumenten nicht ersichtlich.

Nintendo bestätigte am 24.04.2020 zunächst rund 160.000 kompromittierte Nintendo Network IDs durch unbefugte Anmeldungen und korrigierte die Zahl am 09.06.2020 auf insgesamt rund 300.000 betroffene Konten. Zugangsdaten wurden nach Nintendos eigener Darstellung nicht aus den eigenen Systemen, sondern anderweitig erlangt und für Fremdanmeldungen genutzt, was auf Credential Stuffing hindeutet. Bei weniger als einem Prozent der betroffenen Konten kam es zu betrügerischen Käufen, Nintendo schaltete die NNID-Anmeldemöglichkeit dauerhaft ab und erstattete betroffenen Nutzern die Kosten.

Nintendo hat den genauen Angriffsweg nie im Detail offengelegt. Ob es sich eindeutig um Credential Stuffing, Phishing oder Brute-Force-Angriffe handelte, ist nicht offiziell bestätigt, sondern beruht auf Einschätzungen von Sicherheitsjournalisten.

Der US-Zahlungsdienstleister CardSystems Solutions entdeckte im Mai 2005 einen Einbruch, bei dem Angreifer per SQL-Injection Schadcode in eine webbasierte Anwendung einschleusten, der alle vier Tage Kreditkartendaten sammelte und per FTP versandte. Bis zu 40 Millionen Karten von Visa, Mastercard und weiteren Anbietern waren betroffen, Visa und American Express beendeten die Zusammenarbeit mit CardSystems. Am 23.02.2006 einigte sich die FTC mit CardSystems auf ein Verfahren wegen unzureichender Datensicherheit mit unabhängigen Audits über 20 Jahre, ohne Geldbuße.

Wer konkret hinter dem Angriff auf CardSystems steckte, ist öffentlich nicht dokumentiert. Die genaue Zahl der tatsächlich exportierten und missbrauchten Datensätze bleibt unklar, öffentlich kursiert vor allem die Obergrenze von rund 40 Millionen gespeicherten Kartendatensätzen.

Kaspersky Lab teilte am 10.06.2015 mit, im eigenen Firmennetzwerk eine hochentwickelte Spionage-Malware namens Duqu 2.0 entdeckt zu haben. Die Schadsoftware residierte ausschließlich im Arbeitsspeicher und nutzte bis zu drei Zero-Day-Schwachstellen sowie gestohlene digitale Zertifikate des Foxconn-Konzerns. Nach Kaspersky-Angaben wurden auch Hotels und Veranstaltungsorte der P5+1-Verhandlungen über das iranische Atomprogramm in Österreich und der Schweiz infiziert. Kaspersky ordnete den Angriff derselben Gruppe zu, die bereits 2011 die verwandte Schadsoftware Duqu entwickelt hatte, die Code-Ähnlichkeiten mit Stuxnet aufweist.

Eine offizielle Bestätigung, dass eine bestimmte Regierung oder Militäreinheit hinter Duqu 2.0 steht, liegt bis heute nicht vor. Kaspersky bezifferte weder die genaue Zahl der weltweit betroffenen Organisationen noch das exakte Ausmaß der aus dem eigenen Netzwerk abgeflossenen Daten abschließend.