Quellen-Tabelle

Am 22.09.2025 ließ ein Ermittlungsgericht in Barcelona eine Strafanzeige gegen frühere Spitzenbeamte des spanischen Geheimdienstes CNI und der Guardia Civil sowie Führungskräfte der Spyware-Hersteller NSO Group und Saito Tech zur Untersuchung zu. Die Anzeige stammt von fünf Betroffenen des 2022 von Citizen Lab aufgedeckten CatalanGate-Skandals, die mit Pegasus- und Candiru-Spyware ausgespäht worden waren. Das Gericht ermittelt wegen Entdeckung und Offenbarung von Computergeheimnissen. Zuvor hatte die Audiencia Nacional dieselbe Anzeige mangels Zuständigkeit abgewiesen.

Es handelt sich um die Zulassung einer Ermittlung, nicht um eine Anklage oder ein Urteil. Wer den Einsatz konkret anordnete, ist bislang nicht gerichtsfest geklärt. Die spanische Regierung hat als Verschlusssache eingestufte Unterlagen bislang nicht offengelegt.

Der belgische Kontrollausschuss für die Nachrichten- und Sicherheitsdienste veröffentlichte am 17.10.2022 seinen Abschlussbericht zur Pegasus-Affäre. Als bestätigte belgische Ziele nennt der Bericht den Journalisten Peter Verlinden und seine Ehefrau, deren Infektion der Militärgeheimdienst ADIV im September 2021 feststellte, sowie die Aktivistin Maliha El Mahjoub. Auf der 2021 geleakten Pegasus-Project-Liste tauchten zudem Telefonnummern der Politiker Charles und Louis Michel auf. Der Ausschuss sprach vier Empfehlungen aus, darunter eine nationale Taskforce für digitale Sicherheit.

Ob die belgischen Dienste VSSE oder ADIV selbst Pegasus einsetzten, ist aus dem veröffentlichten Bericht nicht ersichtlich, der entsprechende Abschnitt wurde als geheim eingestuft. Wer die Infektion bei Verlinden veranlasste, ist nicht abschließend bewiesen, der ADIV vermutet Ruanda, das dies bestreitet. Für die Nummern auf der Pegasus-Liste ist nicht belegt, ob tatsächlich eine Infektion stattfand.

Die Gesellschaft für Freiheitsrechte reichte am 25.06.2024 mit sechs Beschwerdeführenden eine neue Verfassungsbeschwerde beim Bundesverfassungsgericht gegen das 2023 novellierte Hessische Polizeigesetz ein. Zu den Beschwerdeführenden zählen die Anwältin Seda Başay-Yıldız und der Regionalvorsitzende der Humanistischen Union Franz Josef Hanke, die bereits an der erfolgreichen Beschwerde von 2019 beteiligt waren, welche zum BVerfG-Urteil vom 16.02.2023 (Az. 1 BvR 1547/19) führte. Nach Ansicht der GFF erlaubt die Neuregelung weiterhin, Daten unbeteiligter Personen ohne konkreten Verdacht in die auf Palantirs System Gotham basierende Analysesoftware hessenDATA einzuspeisen, die seit über fünf Jahren im Regelbetrieb der hessischen Polizei eingesetzt wird.

Ob und wann das Bundesverfassungsgericht über diese zweite Verfassungsbeschwerde entscheidet, ist offen, das Verfahren war zum Zeitpunkt der Recherche noch anhängig. Ob die 2023er Neuregelung tatsächlich von den Vorgaben des ersten BVerfG-Urteils abweicht, ist bislang nur die Einschätzung der Beschwerdeführerseite, noch nicht gerichtlich geprüft.

Am 12.06.2022 wurde der hessische IT-Dienstleister Count+Care, eine Tochter des Energieversorgers Entega, Opfer eines Ransomware-Angriffs. Betroffen waren auch Entega selbst, die Frankfurter Entsorgungs- und Service-Gruppe FES, das Darmstädter Verkehrsunternehmen Heag sowie die Mainzer Stadtwerke. Webseiten und E-Mail-Systeme fielen aus, die Versorgung mit Strom, Gas und Wasser lief über getrennte Systeme weiter. Im Juli 2022 veröffentlichten die Angreifer Namen, Adressen und Verbrauchsdaten von Kunden und Beschäftigten im Darknet.

Wer hinter dem Angriff steckt, wurde öffentlich nicht bestätigt. Ein in Medienberichten genannter Verweis auf die Gruppe Conti bezog sich tatsächlich auf einen anderen, zeitgleichen Angriff auf Nordex. Die genaue Zahl betroffener Personen wurde nicht beziffert.

In der Nacht zum 15.10.2021 verschlüsselte die Ransomware DeepBlueMagic Server des kommunalen IT-Dienstleisters Kommunalservice Mecklenburg. Betroffen waren die Verwaltungen der Landeshauptstadt Schwerin und des Landkreises Ludwigslust-Parchim, deren gesamte IT-Infrastruktur heruntergefahren wurde. Bürgerbüros und Kfz-Zulassungsstellen blieben tagelang geschlossen. Die vollständige Wiederherstellung zog sich bis mindestens Januar 2022 hin.

Ob vor der Verschlüsselung Daten abgeflossen sind, ist nicht abschließend geklärt. Die Täterzuordnung bleibt unsicher, Sicherheitsforscher vermuteten eine Herkunft aus China, ohne dass eine Gruppe rechtskräftig identifiziert wurde.

Der italienische Energiekonzern Enel Group wurde 2020 zweimal von unterschiedlicher Ransomware getroffen. Am 07.06.2020 entdeckte Enel einen Angriff mit der Ransomware Snake/EKANS und erklärte, es sei zu keiner erfolgreichen Verschlüsselung gekommen. Ende Oktober 2020 wurde Enel von der Gruppe Netwalker ein zweites Mal angegriffen, die eine Lösegeldforderung von 14 Millionen US-Dollar stellte und behauptete, rund 5 Terabyte Firmendaten entwendet zu haben. Sicherheitsforscher führten beide Angriffe auf ungesicherte Remote-Desktop-Zugänge zurück.

Ob Enel tatsächlich Lösegeld gezahlt hat, ist nicht öffentlich belegt. Die Angabe von 5 Terabyte gestohlener Daten stammt allein von der Erpressergruppe selbst und wurde von Enel weder bestätigt noch widerlegt.

Ab Mitte Dezember 2020 nutzten Angreifer vier zuvor unbekannte Schwachstellen in der veralteten Dateiübertragungssoftware Accellion FTA aus, luden über die Webshell DEWMODE Kundendaten herunter und drohten mit Veröffentlichung. Laut gemeinsamer Sicherheitswarnung vom 24.02.2021 waren mindestens 13 Organisationen betroffen, darunter Kroger, die Kanzlei Jones Day und die University of Colorado, die eine Lösegeldforderung von zunächst 17 Millionen Dollar erhielt, aber nicht zahlte, woraufhin Daten von mehr als 310.000 Personen veröffentlicht wurden. Mandiant ordnete die Angreifer der Gruppe FIN11 und dem Umfeld der Clop-Ransomware zu.

Die Gesamtzahl betroffener Accellion-Kunden schwankt je nach Quelle zwischen unter 100 und rund 100 Firmen. Eine offizielle Gesamtsumme aller erpressten Zahlungen wurde nie beziffert.

Am Wochenende vor dem 29.12.2018 legte ein Ransomwareangriff mit der Schadsoftware Ryuk die Produktions- und Drucksysteme des US-Medienkonzerns Tribune Publishing lahm. Betroffen waren Chicago Tribune, Baltimore Sun und weitere Tribune-Titel sowie über geteilte Drucksysteme auch Los Angeles Times und San Diego Union-Tribune. Abonnenten erhielten verspätete oder gekürzte Wochenendausgaben. Nach Unternehmensangaben wurden Kundendaten nicht kompromittiert, die Malware sei von außerhalb der USA eingeschleust worden.

Eine offizielle Täterzuordnung liegt nicht vor. Sicherheitsfirmen stellten Code-Ähnlichkeiten zur Malware Hermes fest und brachten den Angriff spekulativ mit der nordkoreanischen Gruppe Lazarus in Verbindung, ohne behördliche Bestätigung. Ob eine Lösegeldforderung gestellt oder gezahlt wurde, ist nicht dokumentiert.

Am 25.06.2013 reichte Max Schrems bei der irischen Datenschutzbehörde eine Beschwerde gegen Facebook Ireland Ltd ein, ausgelöst durch die PRISM-Enthüllungen. Er argumentierte, Facebook Irland dürfe Nutzerdaten nicht an Facebook USA übermitteln, da diese dort dem NSA-Zugriff ausgesetzt seien. Der Datenschutzkommissar wies die Beschwerde im Juli 2013 als mutwillig und schikanös zurück. Schrems focht dies vor dem irischen High Court an, der am 18.06.2014 entschied, die von Snowden aufgedeckte Überwachung wäre nach irischem Verfassungsrecht unzulässig, und die EU-rechtlichen Fragen dem EuGH vorlegte (Rechtssache C-362/14).

Das genaue Datum der behördlichen Zurückweisung im Juli 2013 wird in Quellen unterschiedlich angegeben. Die oft zitierten 22 Beschwerden von Schrems beziehen sich auf ein früheres, breiteres Beschwerdepaket von 2011/2012 zu anderen Themen und sind von dieser spezifischen PRISM-Beschwerde zu unterscheiden. Der eigentliche EuGH-Richterspruch von 2015 zu Safe Harbor ist bereits gesondert dokumentiert und nicht Gegenstand dieses Eintrags.

Das Bundesverfassungsgericht erklärte am 10.11.2020 (Az. 1 BvR 3214/15) die erweiterte projektbezogene Datennutzung der Antiterrordatei nach § 6a Abs. 2 Satz 1 ATDG für verfassungswidrig und nichtig. Die 2015 eingeführte Vorschrift erlaubte Data Mining aus den gespeicherten Datensätzen. Das Gericht sah einen Verstoß gegen das Recht auf informationelle Selbstbestimmung, da keine hinreichend bestimmten Eingriffsschwellen wie ein verdichteter Tatverdacht vorgesehen waren. Es war die zweite höchstrichterliche Beanstandung der 2006 eingerichteten Antiterrordatei, nach dem bereits dokumentierten Grundsatzurteil von 2013.

Wie oft die erweiterte Datennutzung seit 2015 tatsächlich angewendet wurde, ist nicht dokumentiert. Anders als beim Urteil von 2013 mit Übergangsfrist erklärte das Gericht die Vorschrift 2020 sofort für nichtig.

Als Reaktion auf das bereits dokumentierte BVerfG-Urteil von 2016 verabschiedete der Bundestag am 27.04.2017 das Gesetz zur Neustrukturierung des BKA-Gesetzes, in Kraft seit 25.05.2018. Gegen die neuen Befugnisse zur Datenerhebung bei Kontaktpersonen reichten 2019 mehrere Betroffene mit Unterstützung der Gesellschaft für Freiheitsrechte Verfassungsbeschwerde ein. Am 01.10.2024 erklärte das BVerfG (Az. 1 BvR 1160/19) die Vorschriften zur Kontaktpersonenüberwachung sowie zur Datenspeicherung im polizeilichen Informationsverbund teilweise für unvereinbar mit dem Grundrecht auf informationelle Selbstbestimmung. Der Gesetzgeber musste die Vorschriften bis 31.07.2025 neu regeln.

Wer die Beschwerdeführer konkret sind, wird nur nach Beruf oder Gruppenzugehörigkeit benannt. Ob der Gesetzgeber die Neuregelung fristgerecht umsetzte, ist nicht Gegenstand dieser Quelle.

Zwischen März und Juni 2020 schleusten mutmaßlich russische Angreifer Schadcode (Sunburst) in Software-Updates der Netzwerkmanagement-Plattform Orion des Herstellers SolarWinds ein. Rund 18.000 Organisationen luden die kompromittierte Version herunter, davon wurden nach Angaben der stellvertretenden nationalen Sicherheitsberaterin des Weißen Hauses etwa neun US-Bundesbehörden und rund 100 private Unternehmen tatsächlich weiter kompromittiert. CISA erließ am 13.12.2020 die Notfallanweisung ED 21-01. Im Oktober 2024 einigte sich die SEC mit vier vom Hack betroffenen Unternehmen auf Vergleichszahlungen wegen irreführender Offenlegungen.

Die oft zitierte Zahl von 18.000 betrifft nur den Download der manipulierten Software, die Zahl tatsächlich kompromittierter Ziele ist kleiner, aber nie vollständig verifiziert. Die Urheberschaft ist offiziell nicht gerichtsfest bewiesen, Russland bestreitet jede Beteiligung. Die zivilrechtliche Betrugsklage der SEC gegen SolarWinds selbst wurde 2024 in den meisten Punkten abgewiesen.

Am 09. und 10.12.2021 wurde die kritische Sicherheitslücke CVE-2021-44228 (Log4Shell) in der Java-Bibliothek Apache Log4j2 öffentlich bekannt, mit dem höchstmöglichen CVSS-Wert von 10,0. Über präparierte Log-Nachrichten mit JNDI-Lookups konnten Angreifer aus der Ferne beliebigen Code ausführen. Entdeckt wurde die Lücke am 24.11.2021 vom Alibaba-Cloud-Forscher Chen Zhaojun. Apache veröffentlichte am 10.12.2021 einen ersten Patch, weitere folgten bis Anfang Januar 2022. CISA, FBI und NSA warnten am 22.12.2021 vor anhaltender aktiver Ausnutzung.

Das genaue weltweite Ausmaß der Kompromittierungen ist nicht abschließend geklärt, Angaben stammen überwiegend von einzelnen Sicherheitsfirmen. Berichte über chinesische Sanktionen gegen Alibaba Cloud wegen verspäteter Meldung sind nicht offiziell bestätigt. Ein amtlich bezifferter Gesamtschaden liegt nicht vor.

Am 20. und 21.03.2022 veröffentlichte die von Microsoft als DEV-0537 geführte Gruppe Lapsus$ Archive mit Quellcode aus über 250 internen Projekten, darunter rund 90 Prozent des Bing-Quellcodes sowie Teile von Bing Maps und Cortana. Microsoft bestätigte den Vorfall am 22.03.2022 und erklärte, es sei lediglich ein einzelnes Mitarbeiterkonto kompromittiert worden, Kundendaten seien nicht betroffen gewesen. Microsoft beschrieb die typische Vorgehensweise der Gruppe: Kauf gestohlener Zugangsdaten, SIM-Swapping, Anrufe bei Support-Helpdesks und Erzwingen von Multi-Faktor-Freigaben durch wiederholte Anmeldeanfragen.

Wie das Mitarbeiterkonto ursprünglich erbeutet wurde, hat Microsoft nicht öffentlich benannt. Die Zahlenangaben zu Archivgröße und Quellcodeanteilen stammen aus externen Auswertungen, nicht aus einer von Microsoft bestätigten Gesamtmenge. Eine strafrechtliche Verurteilung speziell für den Microsoft-Vorfall ist nicht dokumentiert.

Im Januar 2022 verschaffte sich Lapsus$ Zugang zum Konto eines Supportmitarbeiters des Okta-Subunternehmens Sitel. Okta entdeckte den Vorfall am 20.01.2022; der unautorisierte Zugriff erfolgte laut Untersuchung vom 16. bis 21.01.2022, der Angreifer kontrollierte eine Workstation über 25 zusammenhängende Minuten und sah Daten von zwei aktiven Okta-Kundenmandanten ein. Öffentlich bekannt wurde der Vorfall erst am 22.03.2022, als Lapsus$ Screenshots veröffentlichte; Okta hatte zuvor bis zu 366 potenziell betroffene Kunden genannt.

Warum zwischen Entdeckung und öffentlicher Bestätigung fast zwei Monate vergingen, ist nicht geklärt, Okta wurde dafür kritisiert. Ob der Zugriff tatsächlich so begrenzt war wie dargestellt, blieb umstritten, der vollständige forensische Bericht liegt nicht öffentlich vor.

Am 30.03.2024 bestätigte AT&T, dass ein Darknet-Datensatz mit rund 73 Millionen Datensätzen echte Kundendaten enthielt, betroffen waren rund 7,6 Millionen aktuelle und 65,4 Millionen ehemalige Kundenkonten aus dem Jahr 2019 oder früher. Erbeutet wurden Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie verschlüsselte vierstellige Konto-Passcodes. Nach einem Hinweis von TechCrunch, dass die Passcodes leicht entschlüsselbar waren, setzte AT&T diese für alle aktiven Kunden zurück.

Woher der Datensatz stammt, ob aus direktem Einbruch oder von einem Drittanbieter, war bis mindestens April 2024 ungeklärt. Ein separates, im Juli 2024 bekanntes Datenleck über den Cloud-Dienst Snowflake ist davon zu unterscheiden. Ein 2025 vorläufig genehmigter Sammelklagevergleich über 177 Millionen Dollar soll beide Vorfälle abdecken.

Peiter Mudge Zatko war von November 2020 bis Januar 2022 Sicherheitschef bei Twitter, bevor ihn CEO Parag Agrawal entließ. Im Juli 2022 reichte er eine rund 200-seitige Beschwerde bei SEC, FTC und Justizministerium ein, die im August 2022 öffentlich wurde. Am 13.09.2022 sagte er vor dem Justizausschuss des US-Senats aus und warf der Twitter-Führung vor, Öffentlichkeit und Aufsichtsbehörden über Sicherheitsmängel getäuscht zu haben. Laut Zatko hatten Ingenieure weitreichenden, nicht nachvollziehbaren Zugriff auf Nutzerdaten, und mindestens ein Agent des chinesischen Ministeriums für Staatssicherheit sei bei Twitter beschäftigt gewesen.

Twitter wies die Vorwürfe als lückenhaft zurück. Für einen Großteil der Behauptungen blieb Zatko laut Medienberichten Belege schuldig. Ob ausländische Agenten tatsächlich auf Nutzerdaten zugriffen, ist nicht unabhängig bestätigt.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 27.07.2023 ein Bußgeld von 3,6 Millionen Won gegen OpenAI wegen verspäteter Meldung einer Datenpanne bei ChatGPT: Ein Fehler in der Open-Source-Bibliothek Redis machte am 20./21.03.2023 für rund neun Stunden Zahlungsdaten von ChatGPT-Plus-Abonnenten sichtbar, darunter Namen, E-Mail-Adressen und die letzten vier Ziffern von Kreditkarten. Die PIPC identifizierte anhand der IP-Adresse 687 betroffene Nutzer in Südkorea und beanstandete, dass OpenAI die Behörde nicht innerhalb der vorgeschriebenen 24 Stunden informiert hatte.

Wie viele ChatGPT-Nutzer weltweit betroffen waren, ist nicht dokumentiert. Die Zahl 687 bezieht sich nur auf per IP-Adresse identifizierte südkoreanische Nutzer. Nicht zu verwechseln mit der deutlich schärferen, zeitgleichen Reaktion der italienischen Behörde Garante auf denselben Vorfall.

Am 14.01.2020 reichte der norwegische Verbraucherrat gemeinsam mit noyb drei Beschwerden bei der Datenschutzbehörde Datatilsynet ein, gegen Grindr sowie gegen die Werbetechnikfirmen MoPub, AppNexus, OpenX, AdColony und Smaato. Der Bericht Out of Control zeigte, dass Grindr GPS-Standort, Gerätekennungen und die bloße Nutzung der App an Werbenetzwerke weitergab. Da Grindr sich an die LGBTQ-Community richtet, wertete die Behörde dies als unrechtmäßige Offenlegung von Daten zur sexuellen Orientierung. Die Beschwerde führte im Dezember 2021 zu einem Bußgeld von 65 Millionen norwegischen Kronen gegen Grindr.

Die genaue Zahl der Drittfirmen, die Daten erhielten, ist nicht abschließend dokumentiert. Die Bußgeldhöhe wurde von zunächst angekündigten rund 10 Millionen Euro auf 65 Millionen Kronen reduziert. Das Berufungsgericht Borgarting bestätigte die Geldbuße 2025.

Am 18.04.2022 bestätigte das US-Berufungsgericht für den Neunten Bezirk im Verfahren hiQ Labs gegen LinkedIn erneut eine einstweilige Verfügung zugunsten von hiQ Labs. Das Analyseunternehmen hatte per Bot öffentlich einsehbare LinkedIn-Profildaten ausgelesen, woraufhin LinkedIn technische Sperren einsetzte. Das Gericht entschied, automatisiertes Auslesen frei zugänglicher, nicht login-geschützter Inhalte verstoße aller Wahrscheinlichkeit nach nicht gegen den Computer Fraud and Abuse Act. Nach sechsjährigem Rechtsstreit einigten sich beide Seiten im Dezember 2022 auf einen Vergleich über 500.000 US-Dollar zulasten von hiQ.

Das Urteil betraf nur die vorläufige Verfügung, keine endgültige Entscheidung in der Hauptsache. Der Supreme Court äußerte sich nie inhaltlich zum Scraping. Die Reichweite der Entscheidung ist begrenzt auf Daten ohne jede technische Zugangsschranke.

Die irische DPC erklärte am 21.05.2025, sie werde Meta nicht daran hindern, ab dem 27.05.2025 öffentliche Facebook- und Instagram-Beiträge erwachsener EU-Nutzer für das Training seiner KI-Sprachmodelle zu verwenden. Meta hatte diese Pläne im Juni 2024 nach DPC-Intervention ausgesetzt und überarbeitete sein Vorgehen mit klareren Nutzerhinweisen und einem vereinfachten Widerspruchsformular. Private Inhalte und Daten Minderjähriger sind ausgenommen.

Ein Bußgeld wurde nicht verhängt, es handelte sich um eine Nichteinwandstellungnahme. Ob Metas Berufung auf berechtigtes Interesse statt Einwilligung mit der DSGVO vereinbar ist, gilt unter Datenschützern als umstritten. noyb hält das Vorgehen für rechtswidrig und kündigte mögliche EU-weite Sammelklage an.

Am 19.07.2024 verteilte CrowdStrike ein fehlerhaftes Konfigurationsupdate für seine Falcon-Sensor-Software, das auf Windows-Systemen Systemabstürze verursachte. Nach Microsoft-Angaben waren rund 8,5 Millionen Windows-Geräte betroffen, darunter Check-in-Systeme von Fluggesellschaften, Krankenhaus-IT und Notrufzentralen. Delta Air Lines strich rund 7.000 Flüge und bezifferte den eigenen Schaden auf etwa 550 Millionen US-Dollar. Bis zum 25.07.2024 waren laut CrowdStrike 97 Prozent der betroffenen Systeme wieder online.

Die Zahl von 8,5 Millionen Geräten bezieht sich nur auf Systeme mit Microsoft-Telemetrie, die tatsächliche Gesamtzahl gilt als höher. Delta-CrowdStrike streiten sich in einem laufenden Rechtsstreit über die Verantwortung, die genannten Schadenssummen sind daher nicht unabhängig bestätigt.

Richter Alexandre de Moraes ordnete am 30.08.2024 die landesweite Sperrung von X in Brasilien an, nachdem der Konzern eine Frist zur Benennung eines gesetzlich vorgeschriebenen Rechtsvertreters verstreichen ließ. X hatte am 17.08.2024 sein Büro in Brasilien geschlossen. Rund 40 Millionen Brasilianer nutzten X monatlich. Die vom 30.08. bis 08.10.2024 dauernde Sperre wurde aufgehoben, nachdem X einen Vertreter benannt und ausstehende Bußgelder von rund 5,2 Millionen Dollar bezahlt hatte.

Wie viele Nutzer die Sperre per VPN umgingen, ist nicht dokumentiert. Ob Moraes als Einzelrichter ohne vorherige Plenumsanhörung befugt war, die Sperre anzuordnen, blieb unter brasilianischen Juristen umstritten. Musks Vorwurf illegaler Zensur ist eine politische Bewertung ohne gerichtliche Feststellung.

Der Kanadier Connor Riley Moucka bekannte sich am 05.08.2026 vor einem US-Bundesgericht in vier Anklagepunkten schuldig: Computerbetrug, Drahtbetrug, schwerer Identitätsdiebstahl und Verschwörung. Laut US-Justizministerium nutzten Moucka und Komplizen zwischen Februar und Oktober 2024 gestohlene Zugangsdaten, um Cloud-Konten von mindestens 165 Kunden eines US-Cloud-Anbieters zu kompromittieren, und erbeuteten Milliarden sensibler Datensätze. Die Täter erpressten Opfer mit Veröffentlichungsdrohungen und erhielten über 2,5 Millionen Dollar Lösegeld. Den Opferunternehmen entstand ein Schaden von mehr als 9,5 Millionen Dollar, betroffen waren Kundendaten von mindestens 100 Millionen Menschen. Moucka wurde am 30.10.2024 in Kanada festgenommen, im Juli 2025 in die USA ausgeliefert, das Urteil soll am 27.10.2026 fallen.

Die Pressemitteilung nennt den betroffenen Cloud-Anbieter nicht namentlich als Snowflake und keine einzelnen Opferfirmen. Die Zuordnung zu Ticketmaster/Live Nation, AT&T und Santander stammt aus Presseberichten, nicht aus der Mitteilung selbst. Das endgültige Strafmaß steht erst nach der Urteilsverkündung fest.

AT&T teilte am 12.07.2024 mit, dass Unbekannte zwischen dem 14. und 25.04.2024 unbefugt auf eine Arbeitsumgebung beim Cloud-Anbieter Snowflake zugriffen und Anruf- und SMS-Verbindungsdaten herunterluden. Betroffen waren praktisch alle rund 110 Millionen AT&T-Mobilfunkkunden für Zeiträume 2022/2023, erbeutet wurden kontaktierte Rufnummern, Verbindungsdauer und teils grobe Standortangaben. Laut AT&T waren Inhalte, Sozialversicherungsnummern und Geburtsdaten nicht betroffen. Presseberichten zufolge zahlte AT&T am 17.05.2024 rund 370.000 Dollar in Bitcoin für die Löschung der Daten. Der Vorfall gehörte zur selben Snowflake-Angriffswelle wie Ticketmaster und Banco Santander.

AT&T bestätigte die kolportierte Zahlung nicht offiziell, sie stammt aus Presseberichten über einen Vermittler. Die Nennung von Snowflake als betroffenem Anbieter stammt aus unabhängiger Berichterstattung, nicht aus der AT&T-Mitteilung selbst. Diese Datenleck ist von einem separaten, früheren AT&T-Vorfall (Dark-Web-Datensatz aus alten 2019er Daten) zu unterscheiden.