Quellen-Tabelle

Die US-Einwanderungsbehörde ICE vergab im April 2025 einen Vertrag im Wert von 30 Millionen US-Dollar an Palantir. Die Software ImmigrationOS erweitert das seit 2014 genutzte Fallmanagementsystem und soll Auswahl, Festnahme und Abschiebung von Migranten beschleunigen. Im Juli 2025 besetzten rund 100 Aktivisten die Palantir-Büros in Seattle. Palantir-Mitarbeiter hatten bereits 2019 einen offenen Brief mit über 200 Unterschriften gegen die ICE-Nutzung verfasst.

Nicht belegt ist, in wie vielen Fällen ImmigrationOS tatsächlich zu Festnahmen führte, die Software war laut Berichten erst als Prototyp geplant. Die Zahl betroffener Visa-Widerrufe schwankt zwischen 300 und 4.000 Fällen ohne verlässliche amtliche Gesamtzahl.

Der CCC veröffentlichte am 08.10.2011 den Bericht Analyse einer Regierungs-Malware, eine technische Zerlegung eines von DigiTask entwickelten Staatstrojaners. Die Software kommunizierte über TCP Port 443 mit einem hartcodierten Command-and-Control-Server. Der CCC dokumentierte Funktionen wie das Nachladen beliebigen weiteren Codes sowie Screenshot- und Mikrofonzugriff, die über die vom Bundesverfassungsgericht 2008 gezogenen engen Grenzen der Quellen-Telekommunikationsüberwachung hinausgingen.

Nicht belegt ist, in wie vielen Einsatzfällen bundesweit genau diese DigiTask-Version zum Einsatz kam. Umstritten blieb, ob die nachladbare Funktion tatsächlich für Funktionen jenseits der Quellen-TKÜ genutzt wurde oder nur technisch möglich war. Die genaue Herkunft der Samples wurde aus Quellenschutzgründen nicht vollständig offengelegt.

Die neue Telekommunikations-Überwachungsverordnung wurde Ende Mai 2017 vom Bundesrat verabschiedet und verpflichtete Provider ab 01.07.2017 zur Speicherung von Verbindungsdaten, zehn Wochen für Internet- und Telekommunikationsmetadaten, vier Wochen für Standortdaten. Die finale technische Richtlinie wurde erst Mitte Juni veröffentlicht, nur rund zwei Wochen vor der Umsetzung. Provider kritisierten den Umsetzungsaufwand von rund 600 Millionen Euro als unverhältnismäßig.

Die Zahl von 600 Millionen Euro stammt aus Branchenschätzungen, nicht von offizieller Seite bestätigt. Die rechtliche Tragfähigkeit angesichts der EuGH-Rechtsprechung war zum Zeitpunkt der Berichterstattung ungeklärt, das Bundesverfassungsgericht setzte die Speicherpflicht 2017 vorläufig aus.

Facebook startete im November 2007 das Werbeprogramm Beacon, das Kaufaktivitäten von Nutzern auf Partnerseiten ohne wirksame Zustimmung erfasste und an Facebook-Freunde weitergab. Nutzer reichten die Sammelklage Lane v. Facebook ein. Im September 2009 einigten sich die Parteien: Facebook stellte Beacon ein und zahlte 9,5 Millionen Dollar, davon rund 6,5 Millionen an die neu gegründete Stiftung Digital Trust Foundation. Das Berufungsgericht bestätigte den Vergleich am 20.09.2012 für rund 3,6 Millionen betroffene Nutzer.

Nicht dokumentiert ist, wie viele Nutzer konkret geschädigt wurden. Umstritten blieb die Angemessenheit des Vergleichs, da Klassenmitglieder keine direkte Geldzahlung erhielten, sondern das Geld an eine von Facebook mitgegründete Stiftung floss.

Die FTC erhob am 30.03.2011 Anklage gegen Google wegen täuschender Datenschutzpraktiken beim Start von Google Buzz im Februar 2010. Google hatte Gmail-Nutzer ohne ausreichende Zustimmung automatisch eingeschrieben und deren häufigste E-Mail-Kontakte öffentlich sichtbar gemacht. Google einigte sich mit der FTC auf ein umfassendes Datenschutzprogramm mit unabhängigen Audits für 20 Jahre, die endgültige Genehmigung erfolgte am 24.10.2011.

Nicht Teil dieses Vergleichs ist eine Geldstrafe, anders als später der Safari-Fall 2012 mit 22,5 Millionen US-Dollar. Wie viele Nutzer konkret betroffen waren, ist in der FTC-Mitteilung nicht genannt.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, 14 mutmaßliche Mitglieder der Ransomware-Gruppe REvil festgenommen zu haben. Bei Razzien in 25 Wohnungen in Moskau und St. Petersburg wurden umgerechnet rund 426 Millionen Rubel, 600.000 US-Dollar und 20 Fahrzeuge beschlagnahmt. Die FSB erklärte, die Operation sei auf Ersuchen der US-Behörden durchgeführt worden. Den Verdächtigen wurden Straftaten wegen illegalen Umgangs mit Zahlungsmitteln vorgeworfen, nicht wegen Ransomware-Erpressung.

Nicht belegt ist, ob die Festgenommenen tatsächlich für die großen REvil-Angriffe auf Colonial Pipeline oder Kaseya verantwortlich waren. Unklar bleibt, ob eine Auslieferung oder strafrechtliche Verfolgung in den USA möglich war, da Russland eigene Staatsbürger nicht ausliefert.

Nachdem die Conti-Ransomware-Gruppe am 25.02.2022 öffentlich ihre Unterstützung für die russische Invasion in der Ukraine erklärt hatte, leakte ein pro-ukrainischer Insider ab dem 27.02.2022 interne Chatprotokolle. Der Datensatz umfasst 393 JSON-Dateien mit 60.094 Nachrichten aus dem Zeitraum 21.01.2021 bis 27.02.2022. Zusätzlich wurden Quellcode-Bestandteile der TrickBot-Malware veröffentlicht. Die Chats zeigen, dass Conti in Scrum-artigen Sprints organisiert war.

Die Identität des Leakers ist bis heute nicht offiziell bestätigt. Die genaue Zahl von 60.094 Nachrichten stammt aus der Auswertung durch Sicherheitsforscher, nicht aus einer amtlichen forensischen Bestätigung. Unklar bleibt, wie vollständig der Leak das Kommunikationsvolumen der Gruppe abbildet.

Microsoft erwirkte am 06.10.2020 einen Gerichtsbeschluss gegen das Trickbot-Botnetz und leitete gemeinsam mit Partnern technische Maßnahmen ein. Von 69 identifizierten Command-and-Control-Servern konnten 62 abgeschaltet werden. Parallel führte das US Cyber Command eine eigene Operation gegen die Trickbot-Infrastruktur durch, kurz vor den US-Präsidentschaftswahlen im November 2020, um Ransomware-Risiken für Wahlinfrastruktur zu verringern.

Nicht belegt ist, wie viele Rechner weltweit tatsächlich infiziert waren. Microsoft und US Cyber Command bezeichneten ihre Aktionen als Störung, nicht als vollständige Zerschlagung. Bereits wenige Wochen später gab es Berichte über teilweise Wiederherstellung der Infrastruktur.

Am 29.08.2023 gaben FBI und DOJ den Abschluss der multinationalen Operation Duck Hunt gegen das Qakbot-Botnetz bekannt, an der Behörden aus sieben Ländern beteiligt waren. Qakbot hatte weltweit mehr als 700.000 Computer infiziert. Die Strafverfolgung verschaffte sich Zugriff auf die Infrastruktur und ließ auf infizierten Rechnern eine Deinstallationsdatei ausführen. Es wurden 52 Server beschlagnahmt und mehr als 8,6 Millionen US-Dollar in Kryptowährung sichergestellt.

Nicht dokumentiert ist, wer hinter der Qakbot-Infrastruktur stand, zum Zeitpunkt der Bekanntgabe wurden keine Festnahmen gemeldet. Sicherheitsforscher berichteten bereits Ende 2023 über neue Qakbot-Kampagnen, was zeigt, dass die technische Zerschlagung die Akteure nicht dauerhaft ausschaltete.

Am 05.04.2022 sicherten BKA und ZIT Frankfurt die in Deutschland befindliche Serverinfrastruktur des russischsprachigen Darknet-Marktplatzes Hydra Market und schalteten ihn ab, dabei wurden 543 Bitcoin im Gegenwert von rund 23 Millionen Euro beschlagnahmt. Hydra Market galt als weltweit umsatzstärkster illegaler Online-Marktplatz mit mindestens 1,23 Milliarden Euro Umsatz allein 2020, gehandelt wurden vor allem Betäubungsmittel. Den Ermittlungen seit August 2021 gingen internationale Kooperationen voraus.

Nicht dokumentiert ist die Identität der eigentlichen Hauptbetreiber, auch wenn US-Behörden parallel Anklage gegen einen mutmaßlichen russischen Staatsangehörigen erhoben. Unklar bleibt, in welchem Umfang der Handel durch die Abschaltung tatsächlich zurückging, da Nachfolgeplattformen bald entstanden.

Im November 2019 griff die Maze-Ransomware-Gruppe das US-Sicherheitsunternehmen Allied Universal an und forderte 300 Bitcoin. Als das Unternehmen nicht zahlte, veröffentlichten die Angreifer rund 700 MB gestohlener Daten als Drohmittel. Dieser Fall gilt als eine der ersten dokumentierten Anwendungen der Taktik Double Extortion, die in der Folge von Gruppen wie REvil und Clop übernommen wurde.

Nicht belegt ist die tatsächliche Gesamtmenge der gestohlenen Daten, die Behauptung von nur 10 Prozent Veröffentlichung stammt allein von den Tätern. Ob Allied Universal letztlich zahlte, ist nicht dokumentiert. Die Identität der Maze-Betreiber wurde nie offiziell festgestellt.

Zwei Tage nach dem DarkSide-Ransomware-Angriff auf Colonial Pipeline unterzeichnete Präsident Biden am 12.05.2021 die Executive Order 14028 zur Verbesserung der nationalen Cybersicherheit, mit Vorgaben zu Multi-Faktor-Authentifizierung, Zero-Trust-Architektur und Software-Lieferkette für Bundesbehörden. Ergänzend erließ die TSA am 27.05.2021 eine Direktive, die Pipelinebetreiber erstmals zur Meldung von Cybervorfällen an die CISA verpflichtete.

Die Executive Order richtet sich primär an Bundesbehörden, keine direkte gesetzliche Pflicht für private Pipelinebetreiber, diese ergeben sich erst aus den TSA-Direktiven. Die technische Ursache des Erstzugriffs bei Colonial Pipeline, ein kompromittiertes VPN-Passwort ohne Zwei-Faktor-Authentifizierung, ist nicht unabhängig vollständig bestätigt.

Nach dem Ransomware-Angriff auf Change Healthcare im Februar 2024 sind die Klagen als Multidistrict Litigation MDL 3108 in Minnesota gebündelt, bis August 2025 auf 78 Verfahren angewachsen. Am 30.04.2025 ordnete das Gericht persönliche Vergleichsgespräche an. Change Healthcare meldete zum 31.07.2025 rund 192,7 Millionen betroffene Personen, der größte je erfasste Datenschutzvorfall im US-Gesundheitswesen.

Bis zum Recherchestand im August 2025 wurde kein finaler Vergleich bekanntgegeben. Die Zahl der Betroffenen wurde mehrfach nach oben korrigiert, von anfänglich rund 100 Millionen auf 192,7 Millionen. Der Ausgang der Klageabweisungsanträge war noch nicht entschieden.

Die medizinische Inkassofirma American Medical Collection Agency wurde zwischen dem 01.08.2018 und 30.03.2019 gehackt. Betroffen waren Daten von rund 20 Millionen Patienten, darunter Name, Geburtsdatum und offene Rechnungsbeträge. Quest Diagnostics meldete 11,9 Millionen betroffene Kunden, LabCorp 7,7 Millionen. Die AMCA-Muttergesellschaft meldete am 17.06.2019 Insolvenz an.

Nicht dokumentiert ist, wie viele Betroffene tatsächlich Bankdaten preisgaben. Die technische Schwachstelle wurde nicht im Detail offengelegt. Die Identität der Angreifer ist nicht bestätigt. Die 20 Millionen sind eine Summe aus verschiedenen Kundenmeldungen, Überschneidungen sind nicht ausgeschlossen.

Die Deutsche Bahn gibt bei der Fahrpreisnacherhebung, etwa nach Fahrten ohne gültigen Fahrschein, Kundendaten an die Arvato Infoscore GmbH weiter, eine Bertelsmann-Tochter. Arvato Infoscore berechnet daraus mittels nicht offengelegter Verfahren Bonitätswerte, die über Zahlungsarten, Mobilfunkverträge und Mietwohnungsvergabe mitentscheiden können, ohne dass Betroffene informiert werden. Das Unternehmen verwaltete zum damaligen Zeitpunkt über 40 Millionen Negativmerkmale zu 7,8 Millionen Verbrauchern.

Nicht belegt ist ein spezifischer Fall, in dem die Deutsche Bahn im Zusammenhang mit Sitzplatzreservierungen unmittelbar Bonitätsprüfungen durchführt. Die dokumentierte Praxis betrifft die Fahrpreisnacherhebung bei Schwarzfahren, nicht die reguläre Ticketbuchung. Der Bericht stammt aus 2016, aktuellere Zahlen liegen nicht vor.

Ein von der BVG beauftragter Dienstleister wurde Opfer eines Cyberangriffs, bei dem Kundendaten von rund 180.000 BVG-Kunden offengelegt wurden, darunter Namen und Vertragsnummern, Bankdaten waren nicht betroffen. Der Dienstleister informierte die BVG am 17.04.2025, die Meldung an die Datenschutzbehörde erfolgte erst am 30.04.2025 nach der gesetzlichen 72-Stunden-Frist. Die Berliner Datenschutzbeauftragte erließ am 04.05.2026 eine Verwarnung wegen unzureichender Kontrolle der Datenlöschung beim Dienstleister.

Nicht öffentlich dokumentiert ist, welcher Dienstleister betroffen war. Die Zahl von 180.000 Betroffenen stammt aus der Behördenmitteilung ohne unabhängige forensische Bestätigung. Eine separate Diskussion um ein Tracking-Ticketsystem der BVG ließ sich in verlässlichen Quellen nicht als eigenständiger Vorgang bestätigen.

Bitmarck, IT-Dienstleister für rund 80 der 96 gesetzlichen Krankenkassen, meldete am 19.01.2023 unbefugten Zugriff auf einen Teil seiner IT-Infrastruktur. Ein Angreifer nutzte gestohlene Zugangsdaten, um ohne Zwei-Faktor-Authentifizierung auf die Plattform Jira zuzugreifen. Nach Präzisierungen waren Daten von rund 300.000 Online-Kunden betroffen. Zentrale Systeme zur Verarbeitung von Gesundheitsdaten waren laut Bitmarck nicht betroffen.

Frühe Meldungen sprachen von bis zu 25 Millionen potenziell betroffenen Versicherten, Bitmarck präzisierte später auf rund 300.000 Online-Kundenkonten. Offen bleibt, wie viele Datensätze tatsächlich kopiert oder im Darknet weiterverkauft wurden.

Western Digital identifizierte am 26.03.2023 einen Sicherheitsvorfall mit Zugriff auf mehrere Unternehmenssysteme, darunter My Cloud. Am 08.05.2023 bestätigte das Unternehmen den Diebstahl von Kundendaten, darunter Namen, Adressen und teilweise Kreditkartennummern. Die Angreifergruppe drohte am 28.04.2023 mit wöchentlichen Datenveröffentlichungen und forderte laut Medienberichten ein Lösegeld im achtstelligen Bereich, mit Drohung der Veröffentlichung auf der Leak-Seite der Ransomware-Gruppe Alphv.

Die Angreifer behaupteten, rund 10 Terabyte erbeutet zu haben, unabhängig nicht bestätigt. Western Digital nannte keine genaue Zahl betroffener Kunden. Ob ein Lösegeld gezahlt wurde, ist nicht bestätigt.

Am 03.11.2022 reichte die Joseph Saveri Law Firm im Namen mehrerer Softwareentwickler eine Sammelklage gegen GitHub, Microsoft und OpenAI ein. Die Klage wirft vor, KI-Systeme Codex und Copilot mit Milliarden Zeilen öffentlichem Code trainiert zu haben, ohne Lizenzbedingungen wie GNU GPL einzuhalten. Die Kläger bezifferten mögliche Schadensersatzansprüche theoretisch auf über 9 Milliarden US-Dollar. Der Richter wies 20 von 22 Klagepunkten ab, ließ aber Ansprüche wegen Lizenzverletzung zu.

Das Gericht stellte fest, dass die Kläger nicht nachweisen konnten, dass spezifischer Code aus spezifischen Trainingsdaten in spezifischen Copilot-Ausgaben erscheint. Die Summe von 9 Milliarden Dollar ist eine theoretische Maximalberechnung, kein zugesprochener Betrag. Der Ausgang war zum Recherchezeitpunkt nicht rechtskräftig.

Im Januar 2017 identifizierten Sicherheitsforscher, dass die chinesische Foto-App Meitu auf Android und iOS weit mehr Berechtigungen anfordert als für ihre Kernfunktion nötig, darunter genauen Standort, IMSI-Gerätekennung und WLAN-Verbindungen. Eindeutige Gerätekennungen wurden an Server in China übertragen. Meitu erklärte, die Datensammlung diene der App-Optimierung.

Nicht belegt ist, wofür Meitu die Daten konkret verwendete. Es gibt keine dokumentierten Beweise für eine Weitergabe an chinesische Behörden, dies wurde nur als mögliches Risiko benannt. Es liegt keine behördliche Untersuchung zu diesem Fall vor.

Am 25. und 26.01.2023 wurde ein 44,7 GB großes Archiv mit internem Yandex-Quellcode auf BreachForums veröffentlicht, angeblich bereits im Juli 2022 entwendet. Das Paket enthielt Teile des Suchalgorithmus mit rund 1.922 dokumentierten Ranking-Faktoren. Yandex bestätigte den Vorfall, erklärte aber, nicht gehackt worden zu sein, sondern verwies auf einen ehemaligen Mitarbeiter als Quelle. Keine Nutzerdaten seien betroffen gewesen.

Nicht zweifelsfrei dokumentiert ist, ob es sich tatsächlich um einen Innentäter-Diebstahl handelte, dies beruht allein auf der Darstellung von Yandex. Die genaue Zahl der Ranking-Faktoren ist umstritten, verschiedene Analysten kamen auf Werte zwischen 1.922 und über 17.000.

Ein Forscherteam mehrerer Universitäten analysierte in einem am 08.09.2017 veröffentlichten Paper Apples Implementierung von Differential Privacy. Für macOS Sierra ermittelten sie einen Datenschutzparameter Epsilon von 6, für iOS 10 von 14, kumulativ bis zu 43. Die Fachcommunity betrachtet Epsilon-Werte unter 1 als Richtschnur. Apple widersprach der Studie und verwies auf zusätzliche Schutzmaßnahmen.

Nicht geklärt ist, ob die kumulierten Epsilon-Werte die reale Re-Identifizierbarkeit widerspiegeln, Apple bestreitet, dass sich die Werte einfach addieren lassen. Die Werte stammen aus Reverse Engineering, nicht aus offizieller Apple-Dokumentation.

Die Verordnung (EU) 2024/1183 wurde am 30.04.2024 veröffentlicht und trat am 20.05.2024 in Kraft. Artikel 45 verpflichtet Browser zur Anerkennung staatlich benannter Website-Authentifizierungszertifikate (QWACs). Mehr als 500 Sicherheitsforscher und Organisationen wie Mozilla und EFF unterzeichneten offene Briefe gegen eine befürchtete Schwächung der Browser-Sicherheitsarchitektur. Das Parlament nahm die finale Fassung im Februar 2024 mit abgeschwächten Formulierungen an.

Nicht geklärt ist, ob die finale Fassung die technischen Bedenken tatsächlich entkräftet hat. Umstritten bleibt, ob Browserhersteller weiterhin eigene Vertrauensentscheidungen treffen können. Die vollständigen Auswirkungen zeigen sich erst nach Ablauf der Übergangsfristen 2026/2027.

Am 08. und 09.11.2023 wurde ICBC Financial Services, US-Tochter der weltgrößten Bank ICBC, Opfer eines Ransomware-Angriffs, für den die Gruppe LockBit verantwortlich gemacht wurde. Der Angriff legte den US-Broker-Dealer-Arm lahm und verhinderte die Abwicklung von Trades im US-Staatsanleihenmarkt. ICBC musste Handelsdetails per USB-Stick durch einen Boten übermitteln. Die Rate gescheiterter Abwicklungen stieg am 09.11. auf rund 60 Milliarden US-Dollar.

Die Zuordnung zu LockBit stützt sich auf Einschätzungen von Sicherheitsfirmen, keine offizielle behördliche Bestätigung in jeder Quelle. US-Finanzministerin Yellen erklärte später, der Hack habe keine materiellen Auswirkungen gehabt, im Spannungsverhältnis zu den anfänglichen Berichten. Ob ein Lösegeld gezahlt wurde, ist unbekannt.

Sicherheitsforscher von RedHunt Labs entdeckten Anfang Januar 2024 einen öffentlich zugänglichen GitHub-Token eines Mercedes-Benz-Mitarbeiters, der seit dem 29.09.2023 in einem öffentlichen Repository lag und unbeschränkten Zugriff auf den internen GitHub-Enterprise-Server ermöglichte, darunter Quellcode, Cloud-Zugangsschlüssel für Azure und AWS sowie SSO-Passwörter. Mercedes-Benz widerrief den Token am 24.01.2024 und fand keine Hinweise auf Missbrauch.

Ein separat kolportierter Vorfall eines Systemprompt-Lecks bei einem Mercedes-Benz-Chatbot 2024 ließ sich in der Recherche nicht bestätigen und wird häufig mit einem unabhängigen Fall eines Chevrolet-Händlers in Kalifornien verwechselt. Wie lange der Token vor der Entdeckung tatsächlich ausgenutzt wurde, ist nicht dokumentiert.