Quellen-Tabelle

Der Landesbeauftragte für Datenschutz Rheinland-Pfalz schloss im Dezember 2014 ein Bußgeldverfahren gegen die Debeka einvernehmlich ab. Grundlage waren eingeräumte Listenkäufe, bei denen einzelne Mitarbeiter und Vermittler ohne Einwilligung Datensätze von Anwärtern des öffentlichen Dienstes erworben und zur Versicherungsakquise genutzt hatten. Die Debeka akzeptierte eine Geldbuße von 1,3 Millionen Euro und finanzierte zusätzlich eine mit 600.000 Euro dotierte Stiftungsprofessur für Datenschutz an der Universität Mainz.

Dieses Verfahren fand in Rheinland-Pfalz statt und wurde noch auf Grundlage des alten Bundesdatenschutzgesetzes geführt, da die DSGVO erst ab Mai 2018 galt. Wie viele einzelne Vermittler und Beamtenanwärter konkret betroffen waren, bleibt offen.

Am 17.03.2018 veröffentlichten The Observer/The Guardian und zeitgleich die New York Times auf Basis des Whistleblowers Christopher Wylie eine Enthüllung über die britische Firma Cambridge Analytica. Wylie beschrieb, wie Cambridge Analytica über die App This Is Your Digital Life des Datenwissenschaftlers Aleksandr Kogan Facebook-Daten von bis zu 87 Millionen Nutzerprofilen ohne informierte Einwilligung abgriff. Die Daten wurden für politisches Microtargeting genutzt, unter anderem für die Kampagnen von Ted Cruz und Donald Trump 2016. Facebook hatte die Datenabschöpfung bereits Ende 2015 festgestellt, Nutzer aber nicht informiert.

Diese Quelle behandelt ausschließlich die journalistische Erstenthüllung vom März 2018, nicht die späteren behördlichen Verfahren wie das Bußgeld der britischen Datenschutzbehörde ICO gegen Facebook, die bereits gesondert dokumentiert sind. In welchem Umfang die Daten tatsächlich für vollständige psychografische Profilbildung genutzt wurden, wie Cambridge Analytica selbst behauptete, wurde von unabhängiger Seite angezweifelt.

Die kanadische Finanzgenossenschaft Desjardins Group bestätigte am 01.11.2019, dass der im Juni 2019 bekannt gewordene Datendiebstahl durch einen Mitarbeiter tatsächlich alle 4,2 Millionen Einzelmitglieder in Quebec und Ontario betraf. Der Mitarbeiter hatte unbefugt auf geschützte Kundendaten zugegriffen und diese widerrechtlich an Dritte weitergegeben. Betroffen waren Sozialversicherungsnummern, Adressen und Angaben zu Bankgewohnheiten, nicht jedoch Passwörter oder Kontostände.

Die kanadische Datenschutzbehörde OPC korrigierte die Gesamtzahl der Betroffenen im Dezember 2020 auf rund 9,7 Millionen Personen nach oben. Ein mutmaßlicher Haupttäter wurde erst 2024 verhaftet, das Strafverfahren war noch nicht rechtskräftig abgeschlossen.

Am 15.07.2020 verschafften sich Angreifer per Social Engineering gegenüber Twitter-Mitarbeitern Zugriff auf interne Administrationswerkzeuge und übernahmen mehr als 130 verifizierte Konten, darunter Obama, Biden, Musk und Apple. Von den Konten wurden Tweets abgesetzt, die zu Bitcoin-Zahlungen aufriefen, rund 117.000 US-Dollar wurden erbeutet. Das DOJ klagte am 31.07.2020 Mason Sheppard und Nima Fazeli an, ein dritter Beteiligter war minderjährig und wurde separat in Florida verfolgt.

Die genaue technische Methode des Social-Engineering-Angriffs ist nicht durch ein unabhängiges forensisches Gutachten öffentlich im Detail belegt. Wie viele Konten neben den bekannten Prominenten betroffen waren und ob private Nachrichten eingesehen wurden, ist nicht abschließend dokumentiert.

Am Abend des 03.11.2021 verschaffte sich ein Unbefugter durch telefonisches Social Engineering Zugang zu internen Kundendienstsystemen von Robinhood. Dabei wurden E-Mail-Adressen von rund fünf Millionen Personen sowie vollständige Namen von rund zwei Millionen weiteren Personen erbeutet, bei etwa 310 Kunden zusätzlich Geburtsdatum und Postleitzahl. Nach der Eindämmung forderte der Angreifer eine Erpressungszahlung, Robinhood informierte Strafverfolgungsbehörden und beauftragte Mandiant.

Ob und in welcher Höhe die geforderte Erpressungssumme gezahlt wurde, ist nicht öffentlich dokumentiert. Die Identität des Angreifers sowie Details zur genauen Angriffstechnik wurden von Robinhood nicht offengelegt.

Die FTC einigte sich am 09.11.2020 mit Zoom auf einen Vergleich, weil Zoom seit mindestens 2016 fälschlich behauptet hatte, Meetings seien durchgehend Ende-zu-Ende-verschlüsselt. Tatsächlich hielt Zoom die kryptografischen Schlüssel selbst, zudem waren aufgezeichnete Meetings bis zu 60 Tage unverschlüsselt gespeichert. Zoom verpflichtete sich zu einem umfassenden Sicherheitsprogramm. Vorausgegangen waren im Frühjahr 2020 zahlreiche Zoombombing-Vorfälle, die das FBI im April 2020 zu einer öffentlichen Warnung veranlassten.

Die FTC verhängte in diesem Fall kein Bußgeld, sondern Verhaltensauflagen und ein zwanzigjähriges Audit-Programm. Wie viele Nutzer konkret durch die falschen Verschlüsselungsangaben einen Schaden erlitten, ist nicht dokumentiert.

Im März 2021 wurde bei der Parkraum-App ParkMobile ein Datenleck bekannt, das persönliche Daten von rund 21 Millionen Nutzern betraf. Ursache war laut ParkMobile eine Sicherheitslücke in Software eines Drittanbieters. Betroffen waren E-Mail-Adressen, Telefonnummern, Kennzeichennummern, Geburtsdaten und mit bcrypt gehashte Passwörter, Zahlungsdaten waren verschlüsselt und nicht betroffen.

Welche konkrete Drittanbieter-Software und Schwachstelle die Angreifer ausnutzten, blieb offen. ParkMobile informierte betroffene Nutzer nicht aktiv, viele erfuhren erst durch Medienberichte davon.

Die FTC leitete am 31.10.2022 ein Verfahren gegen Chegg ein und warf dem Bildungstechnologie-Anbieter vier Datenschutzverletzungen zwischen September 2017 und April 2020 vor. Betroffen waren persönliche Daten von rund 40 Millionen Nutzern, unter anderem durch einen unbefugten Zugriff auf Amazon-S3-Speicher 2018 mit rund 25 Millionen im Klartext gespeicherten Passwörtern. Laut FTC fehlten bei Chegg grundlegende Sicherheitsmaßnahmen wie Verschlüsselung und Multi-Faktor-Authentifizierung, die im Januar 2023 finalisierte Anordnung verpflichtet Chegg zu einem umfassenden Sicherheitsprogramm.

Ob im Rahmen des Verfahrens eine Geldstrafe verhängt wurde, ist nicht dokumentiert, öffentlich zugängliche Quellen erwähnen vor allem verhaltensbezogene Auflagen. Wie wirksam die angeordneten Maßnahmen seither umgesetzt wurden, ist nicht öffentlich im Detail nachvollziehbar.

Am 19.03.2019 wurde der norwegische Aluminiumkonzern Norsk Hydro von der Ransomware LockerGoga getroffen. Der Angriff betraf alle rund 35.000 Mitarbeitenden in 40 Ländern und zwang mehrere Werke zu manuellem Betrieb, Produktionsausfälle dauerten teils fast eine Woche. Das Unternehmen zahlte kein Lösegeld, stellte Systeme aus Backups wieder her und kommunizierte öffentlich ungewöhnlich offen mit täglichen Pressekonferenzen.

Eine zweifelsfrei bestätigte Zuordnung des Angriffs zu einer bestimmten Tätergruppe liegt öffentlich nicht vor. Die konkrete finanzielle Gesamtschadenshöhe schwankt je nach Quelle zwischen rund 50 und über 70 Millionen US-Dollar.

Die Sicherheitsfirma Group-IB dokumentierte im Sommer 2022 eine SMS-Phishing-Kampagne gegen mehr als 130 Unternehmen, bekannt als 0ktapus beziehungsweise Scatter Swine. Am 27.07., 02.08. und 07.08.2022 fielen mindestens vier Twilio-Mitarbeiter auf gefälschte Okta-Login-Seiten herein, eingegebene Zugangsdaten wurden per Telegram-Bot in Echtzeit an die Angreifer weitergeleitet. In der Folge wurden auch Telefonnummern von 1.900 Nutzern des Messengers Signal offengelegt, da Twilio dessen SMS-Verifizierung bereitstellt.

Welche Person, Gruppe oder Nation hinter der Kampagne steckt, ist nicht öffentlich belegt. Die Gesamtzahl betroffener Organisationen wird je nach Quelle zwischen rund 130 und über 160 beziffert.

GoDaddy legte in seinem am 16.02.2023 bei der SEC eingereichten Jahresbericht offen, dass ein im Dezember 2022 entdeckter Einbruch in die cPanel-Hosting-Umgebung Teil einer mehrjährigen Kampagne war. Das Unternehmen verknüpfte den Vorfall mit früheren Vorfällen aus März 2020 (rund 28.000 betroffene Kunden) und November 2021 (rund 1,2 Millionen betroffene Kunden). Die Angreifer installierten Malware auf Servern und erbeuteten Quellcode zu GoDaddy-Diensten.

Die Identität des oder der Angreifer ist nicht öffentlich dokumentiert. Der exakte Zeitpunkt des ursprünglichen Einbruchs innerhalb der Mehrjahresspanne sowie der vollständige Umfang des gestohlenen Quellcodes bleiben unklar.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, die Ransomware-Gruppe REvil alias Sodinokibi zerschlagen zu haben. Bei Razzien an 25 Adressen in Russland wurden 14 mutmaßliche Mitglieder festgenommen und mehr als 426 Millionen Rubel, 600.000 US-Dollar und 20 Luxusfahrzeuge beschlagnahmt. Laut FSB erfolgte die Aktion auf Ersuchen der US-Behörden, die Hinweise zum Anführer der Gruppe geliefert hatten.

Ob alle 14 Festgenommenen tatsächlich zum Kern von REvil gehörten, ist nicht öffentlich dokumentiert. Spätere Berichte deuten darauf hin, dass mehrere Festgenommene nur wegen geringerer Vorwürfe verurteilt oder wieder freigelassen wurden, eine umfassende strafrechtliche Aufarbeitung ist nicht belegt.

Ab dem 27.02.2022 veröffentlichte ein anonymer Account namens ContiLeaks über mehrere Tage Archive mit internen Chatnachrichten und Quellcode der Ransomware-Gruppe Conti. Die Daten stammten von einem ukrainischen Sicherheitsforscher, geleakt wurden 393 JSON-Dateien mit rund 60.000 internen Nachrichten aus dem Zeitraum Januar 2021 bis Februar 2022. Auslöser war eine öffentliche Erklärung der Conti-Gruppe, sich nach dem russischen Angriff auf die Ukraine auf die Seite Russlands zu stellen.

Die genaue Identität des Sicherheitsforschers hinter ContiLeaks wurde nie offiziell bestätigt. Wie lange der Zugriff auf die internen Systeme bereits vor der Veröffentlichung bestand, bleibt unklar.

Ende Juli 2021, rund zwei Monate nach der Einstellung von DarkSide im Zuge des Colonial-Pipeline-Angriffs, tauchte die neue Ransomware-Gruppe BlackMatter auf. Ein Sicherheitsforscher stellte fest, dass die Verschlüsselungsroutinen des BlackMatter-Entschlüsselers eine zuvor nur bei DarkSide bekannte benutzerdefinierte Matrix enthielten. Sicherheitsfirmen wie Recorded Future stuften BlackMatter als direkten Nachfolger von DarkSide ein, ein BlackMatter-Vertreter bestritt, dieselbe Gruppe zu sein, räumte aber eine frühere Zusammenarbeit mit DarkSide-Leuten ein.

Ob BlackMatter tatsächlich von denselben Kernpersonen wie DarkSide betrieben wurde, ist nicht abschließend bewiesen und wird von Sicherheitsfirmen unterschiedlich bewertet. Die genauen Gründe für das plötzliche Verschwinden von DarkSide im Mai 2021 sind unklar.

Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens verhängte am 06.11.2018 ein Bußgeld von 600.000 Euro gegen Uber. Grund war nicht der Datendiebstahl selbst, sondern dass Uber die am 14.11.2016 entdeckte Datenpanne erst am 21.11.2017 und damit rund ein Jahr zu spät meldete, statt wie vorgeschrieben innerhalb von 72 Stunden. Von dem zugrundeliegenden Vorfall waren weltweit rund 57 Millionen Nutzer und Fahrer betroffen, darunter etwa 174.000 Personen in den Niederlanden.

Die niederländische Behörde entschied ausschließlich über die verspätete Meldepflicht nach niederländischem Recht vor der DSGVO, nicht über die parallelen US-Verfahren zum selben Datendiebstahl von 2016. Die spätere, deutlich größere Geldbuße von 290 Millionen Euro gegen Uber aus dem Jahr 2024 wegen unrechtmäßiger Datenübermittlung in die USA ist ein eigenständiges, hier nicht behandeltes Verfahren.

DoorDash gab am 26.09.2019 bekannt, dass ein unbefugter Dritter am 04.05.2019 auf Nutzerdaten zugegriffen hatte. Betroffen waren rund 4,9 Millionen Kunden, Lieferpartner und Händler, die sich bis zum 05.04.2018 registriert hatten. Kompromittiert wurden Namen, E-Mail-Adressen, Telefonnummern und gehashte Passwörter, bei rund 100.000 Lieferpartnern zusätzlich vollständige Führerscheinnummern.

Welcher konkrete Drittanbieter betroffen war und über welchen technischen Mechanismus der Zugriff erfolgte, hat DoorDash nie veröffentlicht. Ob die entwendeten Teildaten tatsächlich für Betrug missbraucht wurden, bleibt offen.

Zynga bestätigte am 12.09.2019, dass Unbefugte auf Nutzerkontodaten zugegriffen hatten. Der Hacker Gnosticplayers erbeutete Datensätze von Nutzern der Spiele Words With Friends, Draw Something und OMGPOP. Have I Been Pwned bestätigte im Dezember 2019 rund 173 Millionen betroffene Datensätze mit E-Mail-Adressen, Nutzernamen und gesalzenen SHA-1-Passwort-Hashes, Zynga erklärte, es gebe keine Hinweise auf den Abfluss von Finanzdaten.

Die genaue Zahl der betroffenen Personen ist nicht abschließend geklärt, der Hacker behauptete ursprünglich rund 218 Millionen Konten. Die Identität des als Gnosticplayers bekannten Angreifers ist nicht gerichtsfest belegt.

Im September 2019 wurde bekannt, dass eine Sammlung mehrerer Datenbanken mit mehr als 419 Millionen Datensätzen von Facebook-Nutzern ungeschützt auf einem MongoDB-Server erreichbar war. Die Datensätze enthielten Facebook-Nutzer-IDs und zugehörige Telefonnummern, darunter rund 133 Millionen US-Konten. Entdeckt wurde die Datenbank vom Sicherheitsforscher Sanyam Jain, der Hosting-Anbieter nahm den Server anschließend vom Netz.

Wer die Datenbank betrieben und die Daten zusammengetragen hat, ist nicht geklärt. Facebook erklärte, die Daten stammten aus Scraping vor 2018, nicht aus einem Hack der eigenen Systeme. Dieser Fall ist vom separaten, erst 2021 bekannt gewordenen Facebook-Scraping-Datenleck zu unterscheiden.

Quora teilte am 03.12.2018 mit, dass ein unbefugter Dritter Zugriff auf interne Systeme erlangt und Daten von bis zu 100 Millionen Nutzerkonten kopiert hatte. Betroffen waren Namen, E-Mail-Adressen, verschlüsselte Passwörter sowie öffentliche und nicht öffentliche Aktivitäten wie Fragen, Antworten und private Nachrichten. Quora meldete alle betroffenen Nutzer automatisch ab und setzte ihre Passwörter zurück.

Wer die Angreifer waren und auf welchem technischen Weg sie Zugang erlangten, geht aus den verfügbaren Quellen nicht hervor. Spätere behördliche Bußgelder infolge des Vorfalls sind nicht dokumentiert.

Das US-Justizministerium gab am 03.08.2017 bekannt, dass eine Grand Jury eine sechsfache Anklage gegen den britischen IT-Sicherheitsforscher Marcus Hutchins alias MalwareTech erhoben hatte, wegen Beteiligung an Entwicklung und Vertrieb des Banking-Trojaners Kronos zwischen Juli 2014 und Juli 2015. Hutchins wurde am 02.08.2017 in Las Vegas festgenommen, rund drei Monate nachdem er durch Registrierung einer Domain den Kill-Switch der WannaCry-Ransomware ausgelöst und deren Ausbreitung gestoppt hatte.

Zum Zeitpunkt der Pressemitteilung galt die Unschuldsvermutung. Hutchins bekannte sich im April 2019 in zwei Anklagepunkten schuldig und wurde im Juli 2019 zu keiner Haftstrafe, sondern zur bereits verbüßten Untersuchungshaft plus einem Jahr Bewährung verurteilt.

Der Bundesbeauftragte für den Datenschutz (BfDI) verhängte am 09.12.2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH wegen unzureichender technischer und organisatorischer Maßnahmen im telefonischen Kundenservice. Anrufer erhielten allein durch Angabe von Namen und Geburtsdatum eines Kunden Zugriff auf dessen weitere personenbezogene Daten. Auslöser war ein Stalking-Fall, in dem eine Person auf diesem Weg die neue Telefonnummer eines Opfers erlangte.

Das Landgericht Bonn bestätigte 2020 den DSGVO-Verstoß, reduzierte die Bußgeldhöhe im gerichtlichen Nachgang aber auf 900.000 Euro. Wie die interne technische Umstellung der Authentifizierungsverfahren bei 1&1 im Detail ablief, ist nur in groben Zügen dokumentiert.

vpnMentor-Forscher entdeckten am 05.08.2019 eine öffentlich zugängliche, größtenteils unverschlüsselte Datenbank der biometrischen Zutrittsplattform BioStar 2 des südkoreanischen Herstellers Suprema. Die Datenbank enthielt über 27,8 Millionen Einträge mit rund 23 Gigabyte Daten, darunter mehr als eine Million Fingerabdruck-Templates und Gesichtserkennungsbilder. BioStar 2 wird laut Suprema von über 5.700 Organisationen in 83 Ländern eingesetzt, der Zugriff wurde am 13.08.2019 geschlossen.

Die exakte Gesamtzahl der weltweit betroffenen Personen bleibt offen. Ob Dritte die Daten vor der Entdeckung bereits ausgelesen haben, ist nicht belegt, Suprema bestritt öffentlich das Ausmaß des Lecks ohne eigene technische Belege.

Im Juli 2020 wurden in einem Darknet-Hackerforum persönliche Daten von 142.479.937 Gästen der Hotelkette MGM Resorts zum Kauf angeboten. Die Daten stammen aus einem unbefugten Zugriff auf einen falsch konfigurierten Cloud-Server im Sommer 2019, den MGM Resorts im Februar 2020 zunächst nur mit einem Umfang von 10,6 Millionen betroffenen Gästen öffentlich gemacht hatte. Enthalten waren Namen, Postadressen, E-Mail-Adressen und Geburtsdaten, jedoch keine Zahlungsdaten.

Ob die im Juli 2020 angebotenen 142 Millionen Datensätze deckungsgleich mit der im Februar 2020 gemeldeten Menge von 10,6 Millionen sind, ist nicht abschließend geklärt. Eine offizielle, mit konkreten Zahlen unterlegte Stellungnahme liegt öffentlich nicht vor.

Die US-Kette Wawa teilte am 19.12.2019 mit, dass Kartendaten-Malware auf Zahlungssystemen und Zapfsäulen an potenziell allen rund 850 Filialen installiert war. Die Malware war bereits seit dem 04.03.2019 aktiv und wurde erst am 10.12.2019 entdeckt. Kriminelle boten ab Ende Januar 2020 im Untergrundmarktplatz Joker's Stash einen Datensatz mit rund 30 Millionen gestohlenen Kartendaten an, den Sicherheitsforscher der Wawa-Kompromittierung zuordneten.

Wer hinter dem Angriff steckt und mit welcher Schadsoftware-Variante die Systeme infiziert wurden, ist nicht öffentlich dokumentiert. Die Zahl von rund 30 Millionen Datensätzen stammt aus Analysen von Sicherheitsforschern, nicht aus einer offiziellen Bestätigung durch Wawa selbst.

T-Mobile US meldete der SEC am 19.01.2023, dass ein Angreifer seit rund dem 25.11.2022 unautorisiert Daten über eine einzelne API abgriff. Das Unternehmen entdeckte die Aktivität am 05.01.2023 und stoppte den Zugriff nach eigenen Angaben innerhalb eines Tages. Betroffen waren Kontodaten von schätzungsweise 37 Millionen Kunden, darunter Name, Adresse, E-Mail und Geburtsdatum, jedoch keine Sozialversicherungsnummern oder Zahlungskartendaten.

Die genaue Identität des Angreifers ist offen, T-Mobile spricht lediglich von einem bad actor. Die Zahl von 37 Millionen betroffenen Konten basiert auf einer vorläufigen Untersuchung, die T-Mobile selbst als preliminary bezeichnete.