Verbraucher haben bei Datenlecks Anspruch auf Schadensersatz
Massive Datenlecks im Internet – Wir verhelfen Ihnen zu Ihrem Recht

Nicht nachvollziehbare Datenschutzbestimmungen haben bereits in den vergangenen Jahren die öffentliche Wahrnehmung von Facebook geprägt. Zuletzt sorgten neue Tricks von Hackern an Ostern 2021 für Aufsehen: Sensible Daten von insgesamt 530 Millionen Personen wurden aus einer Sicherheitslücke des Facebook-Netzwerks erbeutet und im Internet veröffentlicht. Diese beinhalten Namen, E-Mail-Adressen, Handynummern, Geburtsdaten sowie Angaben zum Beziehungsstatus. Unter den Betroffenen sollen rund sechs Millionen Nutzer aus Deutschland sein.

Für Betroffene stellt die Datenpanne eine besondere Gefahr dar. Durch die veröffentlichten Daten gibt es ein vermehrtes Aufkommen von betrügerischen Spam-Nachrichten. Oftmals sind solche Nachrichten bei genauem Hinsehen ohnehin nicht besonders glaubwürdig, allerdings kann sich dies durch die Datenfülle der geleakten Informationen schnell ändern. Mit der Kenntnis von all den Informationen, die ein Facebook-Profil hergibt, können die Nachrichten immer authentischer gestaltet werden.

Auf der Grundlage Ihres Auskunftsrechts nach Art. 15 DSGVO können Sie Auskunft gegenüber Facebook verlangen, ob Sie vom Datenleck betroffen sind. Wird Ihnen keine oder eine unvollständige Auskunft erteilt, kann sich daraus ein Schadensersatzanspruch aus Art. 82 DSGVO für Sie ergeben. Die Kanzlei Dr. Stoll & Sauer berät Sie gerne zu Ihren Ansprüchen und Gegenmaßnahmen.

Mehr Informationen und Hintergründe zum Datenleck bei Facebook haben wir hier auf unserer Facebook Spezialseite zusammengefasst.

Als im Januar 2019 personenbezogene Daten von Politikern, Prominenten und Journalisten ausgespäht und ins Internet gestellt wurden, geriet vor allem der deutsche E-Mail-Anbieter GMX in die Kritik. Der Hacker soll eine Sicherheitslücke im Passwort-Bereich genutzt haben, um die Konten zu kapern. Hauptkritik an GMX war, dass der Anbieter keine Zwei-Faktor-Authentifizierung nutzte – das erleichterte einen Einbruch in unzählige Konten.

Ein Experiment eines Schweizer IT-Experten verdeutlichte, wie schnell Cyberkriminelle ein Nutzerkonto übernehmen, wenn ein geleaktes Passwort nach einem Datenleck weiterhin verwendet wird. Eine von Kriminellen häufig genutzte Liste beinhaltet rund 593 Millionen eindeutige E-Mail-Adressen – viele davon mit dazugehörenden Passwörtern. Diese wurden von verschiedenen Online-Diensten gefischt. Angreifer nutzen diese Liste, um Credential Stuffing zu betreiben. In solch einer Liste befanden sich rund 140.000 GMX-Adressen.

Beim Credential Stuffing handelt es sich um einen Cyberangriff, bei dem die geleakten Anmeldedaten verwendet werden, um sich bei einem anderen Dienst anzumelden. Da ellenlange Listen mit erbeuteten Benutzernamen und Passwörtern auf dem Schwarzmarkt verkauft werden, tritt Credential Stuffing immer häufiger auf – mit ihnen werden millionenschwere Geschäfte gemacht.

Bei einem Cyperangriff auf die Smartphone Bank Revolut haben Kriminelle sich Zugriff auf rund 50.000 Kundendaten verschafft. Wie das britische Fintech der Aufsichtsbehörde in Litauen mitteilte, sei der unerlaubte Zugriff am späten Abend des 11. Septembers 2022 entdeckt worden. Am nächsten Morgen konnte das Datenleck geschlossen werden. Revolut arbeitet mit einer litauischen Banklizenz. Revolut-Kunden sollten sich unbedingt anwaltlich beraten lassen. Laut Revolut sollen keine „Kartendaten, PINs oder Passwörter abgegriffen“ worden sein. In einer Mitteilung an die Kunden heißt es jedoch, dass die Hacker wahrscheinlich teilweise auf Kartenzahlungsdaten sowie Namen, Adressen, E-Mail-Adressen und Telefonnummern zugegriffen hätten. Revolut warnt deshalb seine Kundschaft vor Phishing-Versuchen, die jemand mit den kopierten Daten durchführen könnte. Niemals, so das Unternehmen weiter, werden Kunden angerufen oder per SMS kontaktiert, um nach Log-in-Daten oder Ähnlichem zu fragen.

Den betroffenen Kunden ist ein immaterieller Schaden nach Artikel 82 der europäischen Datenschutzgrundverordnung (DSGVO) entstanden. Private Daten könnten sich in die Hände von Kriminellen befinden. 

Vom kleinen Start-Up Raisin Pension bis hin zur riesigen Fluggesellschaft easyJet: Diverse Unternehmen waren in den vergangenen Jahren von Datenlecks betroffen. Erst im Jahr 2021 mussten Raisin Pension, Amorelie und Spreadshirt massive Datenverluste einräumen. Geleakt wurden u.a. Bankdaten, Vertragsdaten, Zugangsdaten sowie Bestellinformationen.

Ähnlich prominent waren die Hackerangriffe auf Scalable Capital: Das Datenleck führte beim Vermögensverwalter dazu, dass vertrauliche Datensätze von rund 33.000 Personen in die Hände unbefugter Dritter gelangten. Beim Bonusprogramm Mastercard Priceless Specials waren es sogar rund 90.000 Datensätze, die infolge einer IT-Sicherheitslücke abhandengekommen sind. Ein Leck in einer vergleichbaren Größenordnung musste der größte Hardware-Wallet-Anbieter Ledger vermelden. Unbekannte hatten sich Zugriff auf personenbezogene Daten von rund einer Millionen Kunden verschafft.

Führerschein-Nummern, Namen, Zahlungsdaten und noch mehr Kundendaten der Autovermietung Buchbinder waren im Januar 2020 wochenlang im Internet abrufbar. Laut der Berichterstattung waren 3,1 Millionen Kunden vom Datenleck betroffen. Ein zahlenmäßig noch größerer Vorfall ereignete sich bei easyJet. Bei einem Angriff auf die Billigfluggesellschaft erbeuteten Hacker sensible Daten von rund 9 Millionen Kunden. Laut der Berichterstattung sind Anschriften, Reisedaten und E-Mail-Adressen der Betroffenen abgegriffen worden – in 2200 Fällen auch Kreditkartendaten.

Unsere kostenlose Erstberatung schafft Gewissheit, wenn Sie ein Kunde der oben genannten Unternehmen sind. Gegen den Missbrauch Ihrer Daten können Sie sich mit unserer Hilfe zur Wehr setzen – wir machen Ihre Ansprüche geltend.

Jetzt hat es auch die Microsoft-Tochter LinkedIn erwischt. Nach Medienberichten sollen unglaubliche 700 Millionen Kunden vom Datenklau betroffen sein. Die Wahrscheinlichkeit, dass hochsensible Daten von Kunden des Karrierenetzwerks in kriminelle Hände geraten sind, ist enorm. E-Mail-Adressen, vollständige Namen, Telefonnummern, Adressen, Ortungsdaten, beruflicher Hintergrund, Geschlecht und weitere Social-Media-Accounts samt Nutzernamen sind nach Medienberichten durch das Datenleck erbeutet worden. Auch die Microsoft-Tochter LinkedIn hat es jetzt erwischt. Nach Medienberichten sollen unglaubliche 700 Millionen Kunden vom Datenklau betroffen sein. Die Wahrscheinlichkeit, dass hochsensible Daten von Kunden des Karrierenetzwerks in kriminelle Hände geraten sind, ist enorm. E-Mail-Adressen, vollständige Namen, Telefonnummern, Adressen, Ortungsdaten, beruflicher Hintergrund, Geschlecht und weitere Social-Media-Accounts samt Nutzernamen sind nach Medienberichten durch das Datenleck erbeutet worden. Mehr zum Datenleck bei LinkedIn gibt es auf unsere Spezialseite hier.

Das Datenleck bei Twitter entwickelt sich zu einer wahren Räuberpistole. Nach unterschiedlichen Medienberichten sollen in einem Hackerforum rund 400 Millionen Datensätze von Twitter-Nutzern zum Verkauf angeboten werden. Ein Hacker mit dem Namen „Ryushi„ hat Twitter-Boss Elon Musk in dem Forum dazu aufgefordert, die Datensätze selbst aufzukaufen. Er rät ihm zum Kauf, damit Musk einer möglichen Geldbuße in Millionenhöhe entgeht, die beispielsweise Facebook nach einem Datenleck aufgebrummt bekommen hat, weil die Kundendaten nicht ausreichend vor kriminellem Zugriff geschützt worden waren. Der Hacker will für die Daten 200.000 US-Dollar haben. Mehr zum Datenleck bei Twitter gibt es auf unsere Spezialseite hier.

Mit PayPal hat es jetzt nach Mastercard den nächsten Zahlungsdienstleister mit einem Datenleck erwischt. Knapp 35.000 Kunden sind von der Datenpanne nach Angaben von PayPal betroffen. Nach Medienberichten entdeckte PayPal den Hackerangriff am 20. Dezember 2022. Bei der eingeleiteten Untersuchung stellte sich heraus, dass der Angriff bereits zwischen dem 6. und 8. Dezember stattgefunden hat. Die kriminellen Hacker haben bei einer sogenannten Credential-Stuffing-Attacke zahlreiche Zugangsdaten ausgetestet – und hatten in knapp 35.000 Fällen Erfolg. Credential Stuffing gehört zu den gängigsten Cyberangriffsmethoden. Dabei werden zuvor geleakte oder illegal erlangte Anmeldedaten genutzt, um sie für den unbefugten Zugang bei anderen Diensten massenhaft auszuprobieren. Die Angreifer gehen davon aus, dass Anwender ihre Login-Daten mit gleichen Benutzernamen und Passwörtern bei mehreren Diensten gleichzeitig verwenden. Der Fall PayPal zeigt:  Anmeldedaten sollten nie für unterschiedliche Accounts genutzt werden. Mehr dazu hier.

Die Häufigkeit von bekannt gewordenen Datenlecks nimmt zu. Beim Onlinehändler für Secondhand-Uhren Watchfinder konnten sich Kriminelle Zugriff auf Kundenkonten verschaffen. Watchfinder hat nach eigenen Angaben Kunden von der Datenpanne informiert und sie zur Wachsamkeit ermahnt. Bei den betroffenen Daten soll es sich um E-Mail-Adressen, Telefonnummern und Einkaufshistorien der Kunden handeln. Postadresse, Passwörter, Kreditkartendaten und andere Bankinformationen sollen nicht abgegriffen worden sein. Watchfinder gehört zum britischen Schmuck- und Uhrenkonzern Richemont. Den Watchfinder-Kunden ist aus Sicht der Kanzlei Dr. Stoll & Sauer ein sogenannter immaterieller Schaden entstanden. Mehr zum Thema gibt es hier.

Der renommierte Büroausstatter Chairholder hat seine registrierten Kunden am 3. Februar 2023 über ein Datenleck informieren müssen. Das Unternehmen berichtete per E-Mail  an seine Kunden über konkrete Hinweise, dass unbekannte Hacker Zugriff auf die Kundendatenbanken erhalten haben. "Nach den uns bislang vorliegenden Informationen müssen wir bedauerlicherweise im schlimmsten Fall davon ausgehen, dass auch in Ihre Kundendaten (Name, Anschrift, Telefon- und/oder Mobilnummer und E-Mail) durch die Angreifer eingesehen werden konnten". heißt es in der E-Mail. Die zuständige Staatsanwaltschaft wurde eingeschaltet. Ein spezialisiertes IT-Sicherheitsunternehmen untersucht den Angriff und unterstützt Chairholder dabei, die IT-Systeme gegen vergleichbare Angriffe für die Zukunft noch besser abzusichern.

Das Unternehmen Bitmarck, das insbesondere für gesetzliche Krankenkassen IT-Dienstleistungen bereitstellt, ist am 19. Januar 2023 Opfer eines Cyber-Angriffs geworden. Cyberkriminellen ist es nach Medienberichten gelungen, Daten aus dem Projektmanagement Jira und Unternehmensdatenbanken abzuziehen. Der Datenklau könnte das Versicherungswesen in Deutschland erschüttern. Bitmarck ist einer der führenden Anbieter für IT-Lösungen im deutschen Versicherungsbereich des Gesundheitswesens. Zu den Kunden gehört ein Großteil der Betriebskrankenkassen, aber etwa auch die DAK. Bitmarck liefert technische Infrastruktur, Softwarelösungen und Beratung im Bereich öffentlichen Krankenkassen.

Die Hacker sollen Zugriff auf Passwort-Hashes, persönliche Kundeninformationen, VIP-Kundeninformationen und persönliche Daten von Führungspersonal sowie Nutzer- und Angestellten-Informationen haben. Bitmarck verwaltet die Daten von 30.000 Angestellten der gesetzlichen Krankenversicherungen – und von weiteren 25 Millionen Versicherten.

Jetzt hat es auch den Streaming-Dienst Deezer erwischt: 229 Kunden sind Opfer eines gigantischen Datenlecks beim französischen Unternehmen geworden. Die Plattform Have I been pwned hatte bekannt gegeben, dass rund 229 Millionen Nutzer des Musik-Streamingdienstes Deezer von einem Datenleck betroffen sind. Bereits im Jahr 2019 ist es anscheinend zu einem großen Datenabfluss gekommen. Deezer bemerkte nach eigenen Angaben erst im November 2022 das Leck. In einer Mitteilung spielte Deezer den Vorfall heunter: Bei der „Verletzung der Datensicherheit“ sind „nicht-sensible Daten unserer Nutzer“ offengelegt worden, heißt es dort. Zu den offengelegten Daten sollen Informationen wie Vor- und Nachname, Geburtsdatum und E-Mail-Adresse gehören, nicht aber „Informationen zu Passwörtern oder Zahlungsdetails“, hieß es weiter. Medien berichten jedoch, dass auch die IP-Adresse der Kunden und Geschlecht von den kriminellen Hackern erbeutet worden sein sollen. Die zögerlich Informationspolitik von Deezer zeigt deutlich, wie wenig das Unternehmen Interesse an einer Aufklärung hat.  Mehr dazu gibt es hier. 

Die deutsche Firma Jobrad, die Dienstleistungen im Bereich des Fahrradleasings anbietet, hat ein Datenleck erlitten. Dabei wurden personenbezogene Daten wie Namen, Adressen und Geburtsdaten von Kunden und Mitarbeitern gestohlen. Das Unternehmen hat den Vorfall bestätigt und erklärt, dass es sofort Maßnahmen ergriffen hat, um das Datenleck zu schließen und die Sicherheit seiner Systeme zu verbessern.

Betroffene Kunden und Mitarbeiter wurden über den Vorfall informiert und gebeten, ihre Passwörter zu ändern. Jobrad hat auch eine Hotline eingerichtet, um Fragen zu beantworten und Unterstützung zu bieten. Es ist unklar, wer für das Datenleck verantwortlich ist. Jobrad hat jedoch angekündigt, Strafanzeige zu erstatten, um rechtliche Schritte gegen die Verantwortlichen einzuleiten. Der Datenschutzvorfall hat sich nach Angaben von JobRad bei einem IT-Dienstleister ereignet. Aus Sicht unserer Kanzlei ist auch den betroffenen Kunden ein Schaden entstanden. Mit den abgegriffenen Kundendaten werden die Kriminellen garantiert versuchen, an weitere Daten der Kunden heranzukommen und sie zum Schluss materiell zu schädigen.

Bei dem Ransomware-Angriff der Hackergruppe Lockbit im Sommer 2022 sind 40 Terabyte Daten beim Automobilzulieferer Continental gestohlen worden. Die Hacker haben für die verschlüsselten Daten angeblich 50 Millionen US-Dollar gefordert. Erst im September 2022 wurde das Datenleck öffentlich. Die gestohlenen Daten sollen unter anderem Geschäftsgeheimnisse, Konstruktionszeichnungen und technische Daten von Fahrzeugkomponenten enthalten. Der Diebstahl von Geschäftsgeheimnissen und intellektuellem Eigentum stellt eine ernsthafte Bedrohung für Unternehmen dar, insbesondere in der Automobilindustrie, wo Innovation und Wettbewerbsvorteile von entscheidender Bedeutung sind. Die deutschen Behörden haben Ermittlungen eingeleitet, um den Vorfall zu untersuchen und die Verantwortlichen zu identifizieren. Die gehackten Daten befinden sich mittlerweile im Darknet. Unter den gestohlenen Daten befinden sich auch Daten über psychische und physische Probleme von Angestellten.

Laut einem Zeitungsbericht gab es bei Tesla ein großes Datenleck, bei dem 100 Gigabyte an vertraulichen Daten gestohlen wurden. Diese Daten enthalten sensible Informationen über Kunden, Mitarbeiter und Geschäftspartner des Elektroautoherstellers. Darüber hinaus beinhalten nicht vertraulich gekennzeichnete Dokumente Informationen über Projekte wie das selbstfahrende Auto, die Entwicklung neuer Batteriezellen und den geplanten Elektro-Pickup von Tesla. Die gestohlenen Daten deuten darauf hin, dass Tesla größere technische Probleme mit dem Autopiloten hat als bisher angenommen. Tesla hat angegeben, dass ein ehemaliger Mitarbeiter verdächtigt wird, die Daten unter Verletzung der Geheimhaltungspflicht weitergegeben zu haben, und dass rechtliche Schritte gegen den Verdächtigen eingeleitet werden sollen. Betroffenen ist ein Schaden entstanden. Mehr dazu hier. 

Auch Vodfone hat seit Mai 2023 mit einem Datenleck zu kämpfen, das durch einen Dienstleister verursacht wurde. Portale für die Account-Erstellung, Newsletter-Anmeldung und Vertragsabschlüsse wurden gehackt. Ganz offensichtlich sind hochsensible Daten wie Namen, Adressen, Passwörtern und Bankverbindungen über das Datenleck abhanden gekommen, wie das Magazin "heise online" berichtete. Bereits 2013 konnten Kriminelle zwei Millionen Datensätze von Vodafone-Kunden erbeuten. Das erneute Datenleck zeigt für unsere IT-Kanzlei , dass Vodafone ein Problem mit der Datensicherheit hat. Mehr Informationen zum Datenleck bei Vodafone gibt es hier. 

Nun hat es auch eine große Krankenasse mit einem Datenleck erwischt. Nach Medienberichten vom Juni 2023 müssen sich Kunden der Allgemeinen Ortskrankenkassen (AOK) berechtigte Sorgen um ihre Daten machen. 19 Millionen AOK-Mitglieder könnten von einer Sicherheitslücke im IT-System betroffen sein. Die AOK hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) über die Vorgänge informiert. Knackpunkt ist das von der AOK, aber auch von weiteren Unternehmen verwendete Programm MOVEit. Das BSI bestätigt, dass es bei der Software zu einem Datenabfluss gekommen ist. Das Datenleck könnte sich also dramatisch entwickeln. Weitere Untersuchungen laufen. Mehr Informationen zum AOK-Datenleck gibt es hier. 

Auch der Mobilfunkanbieter Vodafone kämpft mit einem Datenleck. Bei einem Vodafone-Dienstleister haben Hacker sich am 16. Mai 2023 Zugriff auf Portale für Account-Einstellungen, Newsletter-Anmeldung und Vertragsabschlüsse verschafft. Laut einer E-Mail, die dem Magazin „heise online“ vorliegen soll, sind folgende hochsensible Daten betroffen: Name, Geburtstag, E-Mail-Adresse, Mobilfunknummer, Adresse, Bankverbindung (IBAN/BIC) und Kunden-Kennwort. Vodafone bestreitet das jedoch. Die Lage ist jedoch so ernst, dass das Unternehmen den Vorfall dem Bundesbeauftragten für Datenschutz und Informationsfreiheit gemeldet und eine Strafanzeige erstattet hat. Die Ermittlungen laufen. Bereits 2013 konnten Kriminelle zwei Millionen Datensätze von Vodafone-Kunden erbeuten. Das erneute Datenleck zeigt für unsere IT-Spezialisten, dass Vodafone ein Problem mit der Datensicherheit hat. Weitere Infos zum Datenleck bei Vodafone gibt es in unserer News.

Ein weiteres Unternehmen im Gesundheitssektor hat mit einem Datenleck zu kämpfen. Die Krankenkasse Barmer informiert derzeit ihre Kunden darüber, dass persönliche Informationen wie Namen, Krankenversicherungsnummern, Prämienbeträge und Kontodaten in die Hände von Kriminellen gelangt sind. Ein Schreiben an die Kunden, datiert auf den 19. Juni 2023, wurde der Kanzlei Dr. Stoll & Sauer übergeben. Das Datenleck soll bei einem Dienstleister für das Prämienprogramm der Barmer aufgetreten sein. Die IT-Kanzlei Dr. Stoll & Sauer beobachtet derzeit eine Zunahme von Cyberangriffen im Gesundheitssektor. Auch die AOK muss sich mit einem Datenleck auseinandersetzen. Mehr Infos gibt es hier.

Unsere Rechtsanwälte konnten in der Vergangenheit bereits zahlreiche Erfolge in IT-rechtlichen Auseinandersetzungen verzeichnen. Der Verbraucherschutz steht für uns dabei an erster Stelle. Als Kanzlei sind wir besonders dann die richtige Adresse, wenn es um Datenlecks und Online-Casinos geht.

Juristische Bewertungen IT-rechtlicher Urteile, Neues zur DSGVO und wissenswerte Änderungen für Verbraucher im Netz – wichtige Nachrichten aus dem IT-Recht und Datenschutz haben wir hier für Sie gesammelt.