Quellen-Tabelle

Die griechische Datenschutzbehörde HDPA verhängte am 13.07.2022 ein Bußgeld von 20 Millionen Euro gegen Clearview AI wegen Sammelns von Gesichtsbildern aus öffentlich zugänglichen Quellen ohne Rechtsgrundlage. Die HDPA ordnete zusätzlich ein Verarbeitungsverbot und die Löschung der Daten griechischer Betroffener an. Auslöser war eine Beschwerde der Organisation Homo Digitalis.

Ob Clearview AI das Bußgeld tatsächlich gezahlt hat, ist nicht dokumentiert, das Unternehmen hat keine EU-Niederlassung. Ob der Löschanordnung nachgekommen wurde, ist nicht unabhängig verifiziert.

Amnesty International dokumentierte im Dezember 2024, dass serbische Polizei und der Sicherheitsdienst BIA das Cellebrite-Tool UFED nutzten, um Handys von Journalisten und Aktivisten zu entsperren, und anschließend die Spyware NoviSpy installierten. Die Cellebrite-Geräte stammten aus einer 2019 über UNOPS abgewickelten norwegischen Entwicklungshilfe. Nach dem Bericht stellte Cellebrite im Februar 2025 die Nutzung durch die betroffenen serbischen Kunden ein.

Wie viele weitere Personen in Serbien überwacht wurden, ist offen. Ob Cellebrite von der konkreten Verwendung zur Spyware-Installation wusste, ist nicht belegt, das Unternehmen lieferte die Entsperrtechnik, nicht NoviSpy.

Am 06.05.2025 sprach eine Geschworenenjury am US-Bundesgericht WhatsApp und Meta gegen NSO Group Schadensersatz zu: 444.719 US-Dollar Kompensation und 167.254.000 US-Dollar Strafschadensersatz. Grundlage war die Ausnutzung einer WhatsApp-Schwachstelle 2019, über die NSO die Pegasus-Spyware auf rund 1.400 Geräten installierte. Vorausgegangen war ein Haftungsurteil von Richterin Phyllis Hamilton vom Dezember 2024.

NSO Group kündigte Rechtsmittel an. Spätere Medienberichte legen nahe, dass die Richterin den Strafschadensersatz nachträglich auf rund 4 Millionen US-Dollar reduzierte, dies stammt nicht aus der Primärquelle und sollte separat verifiziert werden.

Das US-Finanzministerium sanktionierte am 05.03.2024 erstmals gezielt zwei Einzelpersonen und fünf Unternehmen des Intellexa-Konsortiums wegen der Spähsoftware Predator, darunter Konsortiumsgründer Tal Dilian. Predator kann Smartphones per Zero-Click-Angriffen ohne Nutzerinteraktion infizieren, zu den Zielen zählten laut Treasury auch US-Regierungsbeamte und Journalisten. Im September 2024 folgten weitere Sanktionen gegen fünf zusätzliche Personen.

Wie wirksam die Sanktionen das Konsortium einschränkten, ist offen, Fachmedien berichteten von fortgesetzter Geschäftstätigkeit. Im Dezember 2025 hob das Treasury die Sanktionen gegen drei sanktionierte Personen wieder auf, die Gründe dafür sind nicht abschließend geklärt.

Am 14.09.2021 veröffentlichte das Wall Street Journal interne Facebook-Dokumente als Auftakt der Serie The Facebook Files. Eine interne Präsentation hielt fest, dass Instagram bei einem von drei Teenager-Mädchen bestehende Körperbildprobleme verschlimmert, laut einer internen Erhebung von März 2020 gaben 32 Prozent der befragten Mädchen an, Instagram verstärke negative Gefühle zum eigenen Körper. Quelle der Dokumente war die ehemalige Facebook-Produktmanagerin Frances Haugen, die sich zwei Wochen später als Whistleblowerin zu erkennen gab.

Der Artikel nannte Haugen als Quelle noch nicht namentlich, ihre Identität wurde erst am 03.10.2021 öffentlich bekannt. Ob die Ergebnisse einen ursächlichen oder nur korrelativen Zusammenhang belegen, bleibt offen.

DOJ und FBI gaben am 26.01.2023 bekannt, seit Ende Juli 2022 monatelang verdeckt in die Infrastruktur der Ransomware-Gruppe Hive eingedrungen zu sein und fortlaufend Entschlüsselungscodes gesammelt zu haben. Diese wurden an über 300 aktuell angegriffene sowie mehr als 1000 frühere Opfer verteilt und verhinderten Lösegeldforderungen von rund 130 Millionen US-Dollar. Gemeinsam mit deutschen und niederländischen Behörden sowie Europol beschlagnahmten die Ermittler anschließend Hives Server.

Diese Operation wurde von beteiligten Behörden als Operation Dawnbreaker bezeichnet, nicht Operation Duck Hunt (das war die spätere, separate Qakbot-Zerschlagung im August 2023). Ob und wie viele Hive-Mitglieder identifiziert wurden, ist nicht dokumentiert.

Am 15.03.2023 nahm das FBI den 20-jährigen Conor Brian Fitzpatrick alias Pompompurin fest. Ihm wurde vorgeworfen, seit März 2022 die Hackerplattform BreachForums betrieben zu haben, die mehr als 340.000 Mitglieder zählte und als Marktplatz für gestohlene Datensätze diente. Parallel zur Festnahme führten FBI und HHS-OIG eine Operation durch, die BreachForums offline nahm.

Fitzpatrick bekannte sich im Juli 2023 schuldig und wurde nach zunächst nur Bewährungsauflagen später zu einer mehrjährigen Haftstrafe nachverurteilt. BreachForums ging kurz nach der Zerschlagung unter neuer Administration wieder online.

Am 12.04.2022 gaben US-Behörden im Rahmen von Operation TOURNIQUET die Beschlagnahme des Cybercrime-Forums RaidForums bekannt. Der mutmaßliche Gründer Diogo Santos Coelho alias Omnipotent war bereits am 31.01.2022 in Großbritannien festgenommen worden. Das seit 2015 bestehende Forum hatte mehr als 500.000 registrierte Nutzer und bot über 10 Milliarden Datensätze aus Datenlecks zum Verkauf an.

Der weitere Verlauf des Strafverfahrens gegen Coelho, insbesondere Ausgang der Auslieferung und ein mögliches Urteil, ist in dieser Quelle nicht dokumentiert.

Am 29.08.2023 gaben FBI und DOJ die Zerschlagung des Qakbot-Botnetzes bekannt, in Zusammenarbeit mit Partnern aus sechs Ländern. Die Operation identifizierte weltweit mehr als 700.000 infizierte Computer und führte zur Beschlagnahme von 52 Servern sowie rund 8,6 Millionen US-Dollar in Kryptowährung. Laut DOJ erhielten die Qakbot-Betreiber zwischen Oktober 2021 und April 2023 rund 58 Millionen US-Dollar aus Ransomware-Zahlungen.

Es wurden keine Festnahmen bekannt gegeben. Ob die Zerschlagung dauerhaft wirkte, ist fraglich, Sicherheitsforscher beobachteten bereits im Oktober und Dezember 2023 neue Qakbot-Phishingkampagnen.

Das US-Justizministerium gab am 20.07.2017 die Abschaltung des Darknet-Marktplatzes AlphaBay bekannt, den zu diesem Zeitpunkt größten illegalen Online-Marktplatz. Der mutmaßliche kanadische Betreiber Alexandre Cazes alias Alpha02 wurde am 05.07.2017 in Bangkok festgenommen und starb am 12.07.2017 mutmaßlich durch Suizid in Haft. Auf AlphaBay wurden über 250.000 Angebote für illegale Drogen sowie mehr als 100.000 Angebote für gestohlene Identitätsdokumente gelistet.

Ob Cazes tatsächlich Suizid beging, ist nicht unabhängig untersucht, die Einschätzung stammt von der thailändischen Polizei. Die ihm vorgeworfenen Straftaten wurden nie vor einem US-Gericht verhandelt.

Die Europäische Kommission verhängte am 27.06.2017 ein Bußgeld von 2,42 Milliarden Euro gegen Google wegen Missbrauchs seiner Marktmacht als Suchmaschine. Google platzierte in 13 EWR-Ländern die Ergebnisse seines eigenen Preisvergleichsdienstes Google Shopping prominent, während Konkurrenzdienste nur als einfache Links erschienen. Der Europäische Gerichtshof bestätigte die Entscheidung und die volle Bußgeldhöhe am 10.09.2024 in letzter Instanz.

Wie stark sich Googles seit 2017 geänderte Anzeigemechanismen tatsächlich auf Marktanteile konkurrierender Dienste auswirkten, ist nicht unabhängig verifiziert. Die separaten EU-Kartellverfahren zu Android und AdSense sind nicht Gegenstand dieser Entscheidung.

Die Europäische Kommission verhängte am 18.07.2018 eine Kartellstrafe von rund 4,34 Milliarden Euro gegen Google wegen Praktiken rund um Android: verpflichtende Vorinstallation von Google Search und Chrome als Play-Store-Bedingung, Zahlungen an Hersteller für exklusive Vorinstallation sowie Behinderung alternativer Android-Forks seit 2011.

Das Gericht der EU reduzierte die Strafe 2022 im Berufungsverfahren auf rund 4,125 Milliarden Euro. Ein späteres letztes Rechtsmittel vor dem EuGH im Sommer 2026 wurde für diesen Eintrag nicht anhand einer EU-Primärquelle verifiziert.

Die Europäische Kommission verhängte am 20.03.2019 eine Kartellstrafe von 1,49 Milliarden Euro gegen Google wegen restriktiver Klauseln in AdSense-for-Search-Verträgen mit Drittwebsites, darunter Exklusivitätsvorgaben und Genehmigungsvorbehalte für Konkurrenzanzeigen, festgestellt für den Zeitraum 2006 bis 2016.

Das Gericht der EU hob die Entscheidung samt Bußgeld am 18.09.2024 auf, weil die Kommission die wettbewerbsschädigende Wirkung nach Ansicht des Gerichts nicht ausreichend nachgewiesen hatte. Der weitere Verfahrensausgang danach wurde hier nicht recherchiert.

Die französische Wettbewerbsbehörde verhängte am 07.06.2021 ein Bußgeld von 220 Millionen Euro gegen Google wegen Missbrauchs einer marktbeherrschenden Stellung bei Ad-Servern, indem Google seine eigenen Dienste DoubleClick for Publishers und AdX bevorzugte. Auslöser war eine Beschwerde von News Corp aus 2019. Google ging im Vergleichsverfahren Verpflichtungen zur Interoperabilität mit Dritt-SSPs ein.

Ob die Interoperabilitäts-Verpflichtungen in der Praxis tatsächlich Wettbewerb wiederherstellten, ist nicht im Detail nachgezeichnet. Das Verhältnis zu späteren, umfassenderen EU-Kommissionsverfahren gegen Googles Adtech-Geschäft bleibt offen.

Das BSI warnte am 15.03.2022 auf Grundlage von § 7 BSI-Gesetz vor dem Einsatz von Virenschutzprodukten des russischen Herstellers Kaspersky. Begründet wurde dies mit dem Vorgehen russischer militärischer und nachrichtendienstlicher Kräfte im Kontext des Angriffskriegs gegen die Ukraine sowie den weitreichenden Systemberechtigungen von Antivirensoftware. Es war das erste Mal, dass die Behörde vor der gesamten Produktfamilie eines einzelnen Herstellers warnte statt vor einer konkreten Sicherheitslücke.

Dass Kaspersky-Software tatsächlich für Spionage im Auftrag russischer Stellen missbraucht wurde, ist nicht belegt. Das BSI räumte ein, die Warnung beruhe auf einer Risikoeinschätzung, nicht auf einem konkreten technischen Nachweis. Kaspersky bestritt die Vorwürfe und ging rechtlich gegen die Warnung vor.

Cambridge Analytica und sein britisches Mutterunternehmen SCL Elections gaben am 02.05.2018 bekannt, den Geschäftsbetrieb mit sofortiger Wirkung einzustellen. SCL Elections und mehrere britische Tochtergesellschaften meldeten in Großbritannien Insolvenz an, parallel wurde für die US-Tochtergesellschaften ein Verfahren vor dem US Bankruptcy Court eingeleitet. Als Grund nannte das Unternehmen die negative Medienberichterstattung, die praktisch alle Kunden vertrieben habe.

Ob tatsächlich Nutzerdaten nach der Schließung gelöscht oder weiterverwendet wurden, ist nicht unabhängig verifiziert. Ob die Nachfolgefirma Emerdata, zu der mehrere Cambridge-Analytica-Manager wechselten, als bewusste Fortführung zu werten ist, bleibt offen.

Die CNIL verhängte am 07.12.2020 ein Bußgeld von 35 Millionen Euro gegen Amazon Europe Core, weil beim Besuch von amazon.fr rund 40 Werbe-Cookies automatisch platziert wurden, bevor Nutzer eine Wahl treffen konnten. Der Hinweisbanner informierte zudem nicht ausreichend über Zwecke und Ablehnungsmöglichkeit. Der französische Staatsrat bestätigte die Sanktion am 27.06.2022 in vollem Umfang.

Wie viele Nutzer konkret betroffen waren, ist nicht quantifiziert, die Entscheidung stellt primär auf formale Einwilligungsverstöße ab. Die genaue technische Zusammensetzung der beanstandeten Cookies ist nicht im Detail dokumentiert.

Die Europäische Kommission verhängte am 14.11.2024 gegen Meta eine Kartellstrafe von 797,72 Millionen Euro wegen automatischer Kopplung des Kleinanzeigendienstes Facebook Marketplace an das soziale Netzwerk sowie unfairer Geschäftsbedingungen für konkurrierende Anzeigenanbieter. Alle Facebook-Nutzer erhalten laut Kommission automatisch Zugang zu Marketplace, was Meta einen erheblichen Vertriebsvorteil verschaffe.

Der genaue Berechnungsweg der Bußgeldhöhe ist nicht im Detail dokumentiert. Meta kündigte Rechtsmittel vor dem Gericht der EU an, der Ausgang stand zum Recherchezeitpunkt noch aus.

Die schwedische Datenschutzbehörde IMY verhängte am 29.03.2022 gegen Klarna Bank AB ein Bußgeld von 7,5 Millionen schwedischen Kronen, umgerechnet rund 671.000 Euro. Geprüft wurde der Zeitraum Frühjahr 2020, Klarna informierte Nutzer nicht ausreichend über Zweck und Rechtsgrundlage bestimmter Datenverarbeitungen und machte unvollständige Angaben zu Empfängern personenbezogener Daten, darunter Auskunfteien.

Der spätere gerichtliche Verlauf, darunter eine zwischenzeitliche Herabsetzung und Wiederanhebung auf 7,5 Millionen Kronen durch das Kammarrätten im März 2024, ist in dieser Pressemitteilung selbst noch nicht abgebildet. Dieser Fall betrifft eine administrative Bußgeldentscheidung wegen Informationspflichten und ist getrennt vom separaten App-Datenpannen-Vorfall von Klarna 2021 zu betrachten.

Die CNIL verhängte am 31.12.2021 ein Bußgeld von insgesamt 150 Millionen Euro gegen Google (90 Mio Google LLC, 60 Mio Google Ireland), weil Nutzer auf google.fr und youtube.com Cookies mit einem Klick akzeptieren konnten, die Ablehnung aber mehrere Klicks erforderte. Die Behörde ordnete an, die Cookie-Ablehnung binnen drei Monaten so einfach wie die Annahme zu gestalten.

Ob Google innerhalb der Dreimonatsfrist vollständig compliant wurde, bleibt offen, die CNIL kam 2023 mit einer weiteren Entscheidung auf die Umsetzung zurück. Dieser Fall betrifft ausschließlich die Cookie-Bannergestaltung und ist getrennt vom späteren Google-Analytics-Verfahren zu betrachten.

Die Europäische Kommission verhängte am 04.03.2024 eine Geldbuße von 1,84 Milliarden Euro gegen Apple wegen Missbrauchs seiner marktbeherrschenden Stellung beim Vertrieb von Musik-Streaming-Apps über den App Store. Grundlage war eine Beschwerde von Spotify aus 2019. Apple habe Anti-Steering-Klauseln auferlegt, die es Diensten untersagten, iOS-Nutzer über günstigere Abo-Optionen außerhalb des App Store zu informieren.

Apple kündigte an, gegen die Entscheidung vor Gericht vorzugehen, der Ausgang des Rechtsmittelverfahrens war zum Recherchezeitpunkt offen. Der endgültige Zahlungsstatus der Buße ist nicht dokumentiert.

Royal Mail wurde am 10./11.01.2023 Opfer eines Ransomware-Angriffs eines LockBit-Partners, der den internationalen Post- und Paketversand an allen 11.500 Postfilialen lahmlegte. Die Angreifer forderten zunächst 80, später 40 Millionen US-Dollar. LockBit veröffentlichte einen 45-Gigabyte-Datensatz. Royal Mail meldete am 23.02.2023 die vollständige Wiederherstellung der internationalen Exportdienste nach rund sechs Wochen Störung.

Ob Royal Mail ein Lösegeld zahlte, ist nicht öffentlich bestätigt. Laut Royal Mail enthielt der Datensatz keine Finanzdaten, jedoch mindestens einen Fall mit Impfstatusdaten eines Mitarbeiters.

Die Ransomware-Gruppe LockBit behauptete im Oktober 2023, in Systeme von Boeing eingedrungen zu sein. Boeing bestätigte Anfang November 2023 einen Cybervorfall, die Flugsicherheit sei nicht betroffen. Ab dem 08.11.2023 veröffentlichte LockBit rund 43 Gigabyte Daten. Eine 2024 unversiegelte DOJ-Anklage bezifferte die ursprüngliche Lösegeldforderung auf 200 Millionen US-Dollar.

Der genaue Zeitpunkt des Ersteinbruchs und der vollständige Umfang der abgeflossenen Daten sind nicht öffentlich belegt. Die vermutete Ausnutzung der Citrix-Bleed-Schwachstelle wurde von Boeing nicht offiziell bestätigt.

Die Gruppe Scattered Spider verschaffte sich am 11.09.2023 per Social-Engineering-Anruf beim IT-Helpdesk Administratorzugriff auf die Okta- und Azure-Umgebung von MGM Resorts. Die Angreifer verschlüsselten mehr als 100 ESXi-Server mit BlackCat/ALPHV-Ransomware, wodurch Spielautomaten und Kreditkartenterminals tagelang ausfielen. Laut SEC-Mitteilung vom 05.10.2023 entstand ein geschätzter Verlust von rund 100 Millionen US-Dollar. Zusätzlich wurden persönliche Daten von Kunden mit MGM-Kontakt vor März 2019 entwendet.

Ob MGM tatsächlich kein Lösegeld zahlte, lässt sich nicht unabhängig verifizieren. Dieser Vorfall vom September 2023 ist getrennt vom früher dokumentierten MGM-Resorts-Datenleck 2019/2020 zu betrachten.

In der Nacht zum 11.12.2021 entdeckte der HR-Software-Anbieter UKG einen Ransomware-Angriff auf die Kronos Private Cloud. Betroffen waren UKG Workforce Central, TeleStaff, Healthcare Extensions und Banking Scheduling Solutions. Unternehmen wie Tesla, Temple University und die San Francisco Municipal Transit Authority mussten auf manuelle Prozesse für Lohnabrechnung und Zeiterfassung ausweichen.

Der Erstzugriffsvektor war zum Zeitpunkt dieser Meldung nicht bekannt. Die tatsächliche Ausfalldauer betrug bei manchen Kunden letztlich mehrere Monate, was in dieser frühen Quelle noch nicht dokumentiert ist.