Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa, Nordamerika, Lateinamerika, Asien-Pazifik, Naher Osten und Afrika: 2.207 Fälle aus 44 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach RegionAlle Jurisdiktionen
Wofür?
nach UnterthemaWen?
nach Unternehmen- Anonymisierte Unternehmen 173,9 Mio. € 83 % · 16 Fälle
- The London Metal Exchange (LME) 11 Mio. € 5 % · 1 Fall
- S-Pankki Oyj 7,67 Mio. € 4 % · 1 Fall
- Government Employees Insurance Company (GEICO) 4,76 Mio. € 2 % · 1 Fall
- Farmers Insurance Exchange 2,4 Mio. € 1 % · 1 Fall
- Infinity Insurance Company 1,95 Mio. € 1 % · 1 Fall
- PayPal, Inc. 1,92 Mio. € 1 % · 1 Fall
- Delta Dental Insurance Company und Delta Dental of New York, Inc. 1,92 Mio. € 1 % · 1 Fall
- Healthplex, Inc. 1,71 Mio. € 1 % · 1 Fall
- FIIG Securities Limited 1,48 Mio. € 1 % · 1 Fall
- 5 weitere1,03 Mio. €
Wann?
je Jahr, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| 2022 | 4 | 70 Mio. € |
| 2023 | 7 | 93,5 Mio. € |
| 2024 | 6 | 15,2 Mio. € |
| 2025 | 8 | 26,7 Mio. € |
| 2026 | 5 | 4,36 Mio. € |
30 Fälle
22.09.2026 OTC Link LLCOTC Link: 575.000 USD – Sicherheitsrichtlinien trotz Prüfhinweisen nie fertig 501.614 €
Die Betreiberin des Handelssystems OTC Link ATS hatte von 2016 bis 2025 keine vollständigen, nach Regulation SCI vorgeschriebenen Richtlinien zu Systemsicherheit, Zugriffskontrolle und Schwachstellenmanagement. Obwohl die SEC-Prüfer die Lücken bei mehreren Prüfungen beanstandet hatten, blieben Entwürfe unfertig; die SEC sprach eine Rüge aus und verhängte 575.000 USD.
Prüfungsfeststellungen der Aufsicht müssen mit Frist und Verantwortlichem nachverfolgt werden – wiederholt offene Punkte werden teuer.
- Behörde / Gericht
- U.S. Securities and Exchange Commission (SEC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Kritische Infrastrukturen
- Rechtsgrundlage
- Regulation SCI, Rule 1001(a)(1)–(3)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Wiederholungsfall
- ja
Originalbetrag 575.000 USD, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.
- SEC Censures OTC Link LLC for Repeated Compliance Failures Related to Regulation SCI (22.09.2026) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
05.08.2026 Order Express, Inc.NYDFS: 250.000 $ gegen Geldtransferdienst Order Express wegen Cyber-Mängeln 216.375 €
Der lizenzierte Geldtransferdienstleister hatte keine angemessenen Richtlinien für System-Updates und unzureichende Risikobewertungen nach der New Yorker Cybersecurity-Verordnung. Das Unternehmen hat die Mängel bereits behoben.
Auch kleine Finanzdienstleister müssen Patch-Richtlinien und regelmäßige Risikobewertungen dokumentiert vorhalten.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Mildernde Umstände
- Wegen geringen Umsatzes war das Unternehmen von vielen Part-500-Pflichten ausgenommen; Mängel bereits behoben.
- Veröffentlicht
- 05.08.2026
Originalbetrag 250.000 USD, umgerechnet zum EZB-Referenzkurs vom 05.08.2026.
- New York State Department of Financial Services Secures Cybersecurity Settlement with Order Express, Inc. Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
28.07.2026 Luk Fook Securities (HK) LimitedLuk Fook Securities: 2,1 Mio. HKD wegen mangelhafter Cybersicherheit vor Ransomware 235.595 €
Luk Fook Securities (HK) wurde öffentlich gerügt und mit 2.100.000 HKD gebüßt, weil unzureichende Cybersicherheitskontrollen dazu beigetragen haben könnten, dass ein Ransomware-Angriff am 19. September 2022 zahlreiche zentrale Server traf und die vollständige Wiederherstellung bis 7. Oktober 2022 dauerte; Kunden konnten so lange nicht per App oder Internetplattform handeln. Festgestellt wurden unter anderem fehlender Firewall-Schutz, veraltete Betriebssysteme und Virenschutz, schwache Zugangs- und Passwortkontrollen mit unverschlüsselt gespeicherten Zugangsdaten, unzureichende Kontrollen von Fernzugängen und externen Geräten, mangelhafte Datensicherung sowie eine letzte Sicherheitsschulung im Jahr 2018.
Grundlegende Cyberhygiene – Patches, Zugangs- und Passwortkontrollen, Backups und regelmäßige Mitarbeiterschulung – ist für Finanzdienstleister eine aufsichtsrechtliche Pflicht.
Ransomware-Abwehr, Passwortsicherheit und Security-Awareness-Schulung
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Securities and Futures Commission (SFC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- s. 194 SFO (Cap. 571); Code of Conduct GP 2, GP 3, GP 7, paras. 12.1, 18.5 und Schedule 7; Guidelines for Reducing and Mitigating Hacking Risks Associated with Internet Trading
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Wiederholungsfall
- nein
- Mildernde Umstände
- Ursachenanalyse mit unabhängigem Prüfer, verstärkte Kontrollen, kein nachweisbarer Kundenschaden, Kooperation, keine früheren Disziplinarmaßnahmen.
- Veröffentlicht
- 28.07.2026
Originalbetrag 2.100.000 HKD, umgerechnet zum EZB-Referenzkurs vom 28.07.2026.
- SFC press release 26PR118: SFC reprimands and fines Luk Fook Securities (HK) Limited $2.1 million for inadequate cybersecurity control (28.07.2026) Pressemitteilung einer Behörde
- SFC Statement of Disciplinary Action zu 26PR118 Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
29.04.2026 Delta Dental Insurance Company und Delta Dental of New York, Inc.NYDFS: 2,25 Mio. $ gegen Delta Dental nach MOVEit-Angriff und verspäteter Meldung 1,92 Mio. €
Über eine Zero-Day-Lücke in MOVEit Transfer erbeuteten Angreifer 2023 Dateien mit Sozialversicherungs-, Führerschein-, Konto- und Gesundheitsdaten. Das NYDFS rügte unzureichende Aufbewahrungseinstellungen, Richtlinien und Kontrollen sowie die verspätete Meldung der Cybersecurity-Vorfälle an die Aufsicht.
Daten in Transfer-Tools nur so lange vorhalten wie nötig – und Sicherheitsvorfälle fristgerecht an die Aufsicht melden.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
- Veröffentlicht
- 30.04.2026
Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 29.04.2026.
- DFS Secures $2.25 Million Cybersecurity Settlement with Delta Dental Pressemitteilung einer Behörde
- Consent Order to Delta Dental 2026 Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
09.02.2026 FIIG Securities LimitedFIIG Securities: 2,5 Mio. AUD wegen unzureichender Cybersicherheit vor Datenabfluss 1,48 Mio. €
Der Federal Court of Australia verhängte auf Antrag der Australian Securities and Investments Commission (ASIC, australische Kapitalmarkt- und Finanzdienstleistungsaufsicht) eine Geldbuße von 2,5 Mio. AUD gegen den auf festverzinsliche Anlagen spezialisierten Finanzdienstleister, weil er zwischen März 2019 und Juni 2023 keine angemessenen Cybersicherheitsmaßnahmen, Ressourcen und Risikomanagementsysteme vorhielt – u. a. fehlten Multi-Faktor-Authentifizierung für Fernzugriffe, regelmäßige Penetrationstests und verpflichtende Sicherheitsschulungen. Bei einem Angriff 2023 wurden rund 385 GB vertraulicher Daten entwendet und etwa 18.000 Kunden benachrichtigt; das Gericht ordnete zusätzlich ein Compliance-Programm mit unabhängigem Sachverständigen an.
Für lizenzierte Finanzdienstleister ist Cybersicherheit Teil der Lizenzpflichten: Grundmaßnahmen wie MFA, Patching, Überwachung, Schulung und ein geübter Notfallplan müssen finanziert und tatsächlich umgesetzt werden.
Cyber-Grundschutz: Multi-Faktor-Authentifizierung, Patch-Management, Security-Awareness-Schulung, getesteter Incident-Response-Plan
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Federal Court of Australia (auf Antrag der Australian Securities and Investments Commission, ASIC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- Corporations Act 2001 (Cth) s 912A(1)(a), (d) und (h) i. V. m. s 912A(5A)
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Wiederholungsfall
- nein
- Mildernde Umstände
- Volle Kooperation, Eingeständnisse und gemeinsame Tatsachenfeststellung; keine früheren Verstöße; die bekannten finanziellen Schäden (Sanierungskosten rund 1,5 Mio. AUD) trug im Wesentlichen das Unternehmen selbst.
- Veröffentlicht
- 09.02.2026
Originalbetrag 2.500.000 AUD, umgerechnet zum EZB-Referenzkurs vom 09.02.2026.
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
14.10.2025 Farmers Insurance ExchangeNYDFS: 2,775 Mio. $ gegen Farmers wegen ungeschützter Online-Angebotsrechner 2,4 Mio. €
Angreifer griffen über unzureichend gesicherte Online-Angebotsrechner und Vermittlerportale Führerscheinnummern und Geburtsdaten ab. Farmers verletzte die Cybersecurity-Verordnung und meldete den Vorfall nicht rechtzeitig; die Strafe ist Teil eines Pakets von insgesamt 19 Mio. $ gegen acht Kfz-Versicherer.
Automatisch vorausgefüllte Formulare mit Kundendaten sind ein Einfallstor – öffentliche Anwendungen gehören auf den Prüfstand der Datenfreigabe.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
- Veröffentlicht
- 14.10.2025
Originalbetrag 2.775.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.
- DFS Secures More than $19 Million from Auto Insurance Companies over Data Breaches Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.10.2025 Infinity Insurance CompanyInfinity Insurance: 2,25 Mio. USD – Datenabfluss über Angebotsrechner zu spät gemeldet 1,95 Mio. €
Angreifer lasen über die Sofortangebots-Anwendungen des Kfz-Versicherers Führerscheinnummern im Klartext aus. Infinity entdeckte die Auffälligkeiten am 9. Februar 2021, meldete den Cybervorfall der NYDFS aber erst am 14. April 2021; die Aufsicht rügte zudem fehlende MFA und unsichere Entwicklungspraktiken.
Auch Missbrauch öffentlich erreichbarer Kundenanwendungen ist ein meldepflichtiger Vorfall – Warnungen der Aufsicht sollten eine sofortige Meldeprüfung auslösen.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- 23 NYCRR § 500.17(a), § 500.12(a) u. a.
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.
- NYDFS Consent Order to Infinity Insurance Company (14.10.2025) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
22.09.2025 Nova Ljubljanska banka d. d.NLB: Verwarnung, weil PSD2-Schnittstelle 57 Kontonummern offenlegte Verwarnung
Nach einem Update der PSD2-Schnittstelle für Drittanbieter im Juli 2023 war die Vertraulichkeit von 57 IBAN-Konten von Bankkunden nicht gewährleistet. Die Bankenaufsicht sprach gegen die Bank eine Verwarnung wegen Verletzung der Pflicht zur Wahrung vertraulicher Daten aus (rechtskräftig).
Jede Änderung an Kundenschnittstellen braucht vor dem Go-live Tests auf Datenabfluss.
Sicherheitstests bei Software-Releases von Schnittstellen
- Behörde / Gericht
- Banka Slovenije
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- Art. 146, Art. 396 Abs. 1 Nr. 18 ZBan-3 (slowenisches Bankengesetz)
- Maßnahme
- Verwarnung
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Haftung von Führungskräften
- Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.
- Banka Slovenije, Veröffentlichung der Sanktion gegen Nova Ljubljanska banka d. d. (Entscheidung 2025) Entscheidung einer Behörde
- Banka Slovenije – Informacije o izrečenih ukrepih Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink
Fehler melden
14.08.2025 Healthplex, Inc.Healthplex: 2 Mio. USD – Phishing-Vorfall der Aufsicht monatelang nicht gemeldet 1,71 Mio. €
Ein Beschäftigter des Dentalversicherungsdienstleisters gab über eine Phishing-Mail seine Zugangsdaten preis; das Postfach mit über 100.000 E-Mails und Gesundheits- sowie Sozialversicherungsdaten war zugänglich. Healthplex wusste seit November 2021 von dem Vorfall, meldete ihn der NYDFS aber erst im April 2022 statt binnen 72 Stunden; zudem fehlten MFA für den Webzugang und eine Löschrichtlinie.
Sicherheitsvorfälle brauchen einen festen Meldeprozess mit Fristenkontrolle – die 72-Stunden-Uhr läuft ab Feststellung, nicht ab Abschluss der Forensik.
Phishing erkennen; Meldewege bei Sicherheitsvorfällen
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- 23 NYCRR § 500.17(a), § 500.12(b), § 500.13, § 500.17(b)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.08.2025.
- NYDFS Consent Order to Healthplex, Inc. (14.08.2025) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
10.07.2025 Poste Vita S.p.A.Poste Vita: 80.000 EUR – Datenpanne erst vier Monate nach Kundenhinweis gemeldet 80.000 €
Ein Betrüger gab sich per E-Mail als Kundin aus und erhielt von Sachbearbeitern des Lebensversicherers zwischen 2021 und 2023 Auskünfte und Unterlagen zu drei Policen, ohne dass seine Identität geprüft wurde. Obwohl die Kundin das Unternehmen im September 2024 auf die falsche E-Mail-Adresse hinwies, meldete Poste Vita die Verletzung erst im Januar 2025 an die Aufsicht.
Kundenhinweise auf mögliche Datenabflüsse müssen sofort in die Vorfallsbewertung – nicht erst nach Abschluss interner Prüfungen.
Identitätsprüfung bei Kundenanfragen per E-Mail (Social Engineering)
- Behörde / Gericht
- Garante per la protezione dei dati personali
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 5 Abs. 1 lit. a und f, Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
- Mildernde Umstände
- Sofortige Sperre weiterer Kommunikation, interne Untersuchung, Strafanzeige und verschärfte Identitätsprüfung.
- Garante privacy, Provvedimento del 10 luglio 2025 [10154110] Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
23.05.2025 S-Pankki OyjS-Pankki: 7,67 Mio. EUR und öffentliche Verwarnung wegen fehlerhafter Banksoftware 7,67 Mio. €
Die finnische Finanzaufsicht verhängte gegen S-Pankki Oyj eine gemeinsame Sanktionszahlung von 7.670.000 EUR wegen Mängeln im Management operativer Risiken und sprach zusätzlich eine öffentliche Verwarnung aus. Ein Programmierfehler, der vom 20. April bis 5. August 2022 in einem Banksystem produktiv war, war vorab nicht ausreichend getestet worden; die Bank hatte kein ausreichend sicheres System und kein wirksames Störungsmanagement und war auf Risiken aus der Auslagerung unzureichend vorbereitet. Die Verwarnung betrifft die fehlende vorgeschriebene starke Kundenauthentifizierung und Zahlungen ohne Zustimmung der Zahler vom 6. Mai bis 5. August 2022; frühere Sanktionszahlungen der Aufsicht gegen die Bank (2019 und 2021) wirkten erhöhend. Die Entscheidung ist nicht rechtskräftig.
Änderungen an Authentifizierung und Zahlungsabwicklung brauchen vor dem Livegang dokumentierte Tests – auch wenn ein Dienstleister die Software entwickelt.
Test- und Änderungsmanagement bei sicherheitskritischer Banksoftware
- Behörde / Gericht
- Finanssivalvonta (FIN-FSA)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- Luottolaitostoiminnasta annettu laki 9 luku 16 § (1, 2 und 4 mom.) mit MOK 8/2014; FivaL 40 §, 41 §, 41 b §; öffentliche Verwarnung nach FivaL 39 § wegen Maksupalvelulaki 85 c § 1 mom. und 38 § 1 mom.
- Maßnahme
- Bußgeld
- Verfahrensstand
- angefochten
- Branche
- Finanzdienstleistungen und Versicherungen
- Wiederholungsfall
- ja
- Mildernde Umstände
- Maßnahmen gegen eine Wiederholung und Zusammenarbeit mit der Aufsicht bei der Aufklärung wirkten mindernd.
- Veröffentlicht
- 23.05.2025
- Finanssivalvonta: S-Pankki Oyj:lle 7 670 000 euron yhteinen seuraamusmaksu ja julkinen varoitus (23./26.05.2025) Pressemitteilung einer Behörde
- Finanssivalvonta: Toimituskirja johtokunnan päätöksestä 23.5.2025, FIVA/2024/1181 Entscheidung einer Behörde
- Finanssivalvonta: Finanssivalvonnan päätökset (Lainvoimaisuus: S-Pankki hat beim Verwaltungsgericht Helsinki Beschwerde eingelegt) Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink
Fehler melden
20.03.2025 The London Metal Exchange (LME)London Metal Exchange: 9,2 Mio. GBP – Kontrollen und Eskalation im Nickel-Chaos versagt 11 Mio. €
Als der Nickelpreis am 8. März 2022 binnen gut einer Stunde auf über 100.000 USD stieg, waren in den Asien-Handelsstunden nur jüngere Beschäftigte im Dienst, die nicht darauf geschult waren, einen ungeordneten Markt zu erkennen; sie eskalierten nicht und schalteten sogar Preisbänder ab. Die FCA verhängte gegen die anerkannte Börse erstmals eine Geldbuße: 9,2 Mio. GBP nach 30 % Nachlass.
Kritische Infrastruktur braucht rund um die Uhr geschultes Personal und klare Eskalationswege – auch in Nacht- und Randzeiten.
Eskalation ungewöhnlicher Marktlagen; Schulung von Schichtpersonal
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Financial Conduct Authority (FCA)
- Rechtsgebiet
- Informationssicherheit und Cyber · Kritische Infrastrukturen
- Rechtsgrundlage
- FCA REC 2.5.1 (Recognition Requirements); Art. 18 RTS 7 (MiFID II)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Mildernde Umstände
- Frühe Einigung (30 % Nachlass); Verbesserungen seit März 2022.
Originalbetrag 9.200.000 GBP, umgerechnet zum EZB-Referenzkurs vom 20.03.2025.
- FCA: First FCA enforcement action and fine against Recognised Investment Exchange (20.03.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
23.01.2025 PayPal, Inc.NYDFS: 2 Mio. $ gegen PayPal wegen ungeschulter Teams und fehlender MFA 1,92 Mio. €
Bei Änderungen an Datenflüssen für Steuerformulare 1099-K umgingen nicht ausreichend geschulte Teams Sicherheitsprozesse; Kriminelle mit kompromittierten Zugangsdaten konnten Formulare mit Sozialversicherungsnummern abrufen. Es fehlten qualifiziertes Personal, Schulung, Zugriffsrichtlinien sowie MFA, CAPTCHA und Rate Limiting.
Wer Datenflüsse ändert, muss die Sicherheitsprozesse kennen – Schulung der Entwicklungsteams ist Teil der Cyberabwehr.
Sichere Softwareentwicklung und Änderungsprozesse
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Verschulden
- fahrlässig
- Mildernde Umstände
- PayPal hat die Mängel inzwischen behoben.
- Veröffentlicht
- 23.01.2025
Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.01.2025.
- DFS-Pressemitteilung vom 23.01.2025: Cybersecurity-Vergleich mit PayPal, Inc. (2 Mio. $) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
25.11.2024 Government Employees Insurance Company (GEICO)GEICO: 5 Mio. USD der NYDFS wegen Cyberangriffen auf Angebots- und Schadenportale 4,76 Mio. €
Ab Ende 2020 erbeuteten Angreifer in mehreren Vorfällen über öffentlich erreichbare Webanwendungen des Kfz-Versicherers GEICO – darunter das Angebotsportal, die Schadenwebsite und eine Schnittstelle – nicht öffentliche Daten von New Yorkern, vor allem Führerscheinnummern. Die NYDFS stellte Verstöße gegen die Cybersicherheitsverordnung 23 NYCRR Part 500 fest, unter anderem unzureichende Risikobewertungen, fehlende Überwachung der Nutzeraktivitäten und unrichtige Compliance-Bescheinigungen für 2017 bis 2021, und verhängte eine Strafe von 5.000.000 USD. Parallel zahlt GEICO in einem eigenen Vergleich mit der New Yorker Generalstaatsanwaltschaft weitere 4.750.000 USD. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Nach einem Vorfall reicht es nicht, die eine Lücke zu schließen – alle öffentlich erreichbaren Anwendungen gehören neu bewertet, besonders wenn die Branche bereits gewarnt wurde.
Sicherheit öffentlich erreichbarer Webanwendungen; Reaktion auf Branchenwarnungen
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR §§ 500.2(b), 500.3(i) und (k), 500.5, 500.8(a), 500.9(a), 500.14(a), 500.17(b); Strafe nach New York Financial Services Law § 408
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Mildernde Umstände
- Die NYDFS würdigte die Kooperation während der Untersuchung und die erheblichen Investitionen in die Behebung der Mängel.
- Veröffentlicht
- 25.11.2024
Originalbetrag 5.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 25.11.2024.
- NYDFS, In the Matter of Government Employees Insurance Company, Consent Order (so ordered 25.11.2024) Entscheidung einer Behörde
- NYDFS-Pressemitteilung: Attorney General James and DFS Superintendent Harris Secure $11.3 Million from Auto Insurance Companies over Data Breaches (25.11.2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
01.10.2024 eine US-Swap-HandelsplattformSwap-Handelsplattform: 875.000 USD, weil Notfall- und Sicherheitstests nicht vor den Vorstand kamen 789.284 €
Eine US-Swap-Handelsplattform informierte ihr Board nicht vollständig über Ergebnisse von Notfall-, Technik-Risiko- und Penetrationstests, testete ihre Business-Continuity- und Disaster-Recovery-Fähigkeiten nicht regelmäßig und hatte kein angemessenes Risikomanagement. Außerdem legte sie bei einer Prüfung angeforderte Unterlagen trotz Fristverlängerungen nicht rechtzeitig vor; die CFTC verhängte 875.000 USD.
Notfallpläne gelten nur, wenn sie regelmäßig getestet und die Ergebnisse vom gesamten Leitungsorgan zur Kenntnis genommen werden.
- Behörde / Gericht
- Commodity Futures Trading Commission (CFTC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Kritische Infrastrukturen
- Rechtsgrundlage
- Commodity Exchange Act; CFTC-Regeln zu System Safeguards für Swap Execution Facilities
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
Originalbetrag 875.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.10.2024.
- CFTC, Pressemitteilungen (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 01.10.2026 · Direktlink
Fehler melden
22.05.2024 ein US-amerikanischer Börsenkonzern und neun seiner TochtergesellschaftenUS-Börsenkonzern: 10 Mio. USD – Cyberangriff nicht an SEC gemeldet 9,23 Mio. €
Im April 2021 wies ein Dritter den Konzern auf eine Schwachstelle in seinem VPN hin; der Konzern fand eingeschleusten Schadcode, informierte die Rechts- und Compliance-Verantwortlichen der Börsen- und Clearing-Töchter aber tagelang nicht. Die Töchter, darunter eine Wertpapierbörse, meldeten den Vorfall deshalb nicht wie nach Regulation SCI vorgeschrieben sofort an die SEC; der Konzern zahlte 10 Mio. USD.
Betreiber kritischer Marktinfrastruktur brauchen interne Meldewege, die Cybervorfälle binnen Stunden an alle meldepflichtigen Einheiten weitergeben.
Interne Eskalation von Cybervorfällen an Compliance
- Behörde / Gericht
- U.S. Securities and Exchange Commission (SEC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Regulation Systems Compliance and Integrity (Regulation SCI), Meldepflichten
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Wiederholungsfall
- ja
Originalbetrag 10.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 22.05.2024.
- SEC, Pressemitteilungen (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 22.05.2026 · Direktlink
Fehler melden
12.03.2024 eine polnische GroßbankPolnische Großbank: 1,44 Mio. PLN – gestohlene Kundenunterlagen nicht gemeldet 336.066 €
Eine Kuriersendung mit Bankunterlagen (u. a. PESEL-Nummern, Kontonummern, Zugangsdaten) wurde gestohlen und in einer Wohnsiedlung weggeworfen; die Aufsicht erfuhr davon aus den Medien. Die Bank hatte weder die Behörde noch die Betroffenen informiert, weil sie das Risiko als gering einstufte – bereits 2022 war sie wegen unterlassener Benachrichtigung Betroffener sanktioniert worden.
Das Risiko einer Datenpanne ist aus Sicht der Betroffenen zu bewerten – wer bei Verlust sensibler Unterlagen nicht meldet, riskiert eine höhere Strafe als für die Panne selbst.
Risikobewertung und Meldung von Datenpannen
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1, Art. 34 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Wiederholungsfall
- ja
- Veröffentlicht
- 02.04.2024
Originalbetrag 1.440.549 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.
- UODO, Nachrichten (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
- UODO, Entscheidungsdatenbank (Suche) (Entscheidung 2024) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.03.2026 · Direktlink
Fehler melden
12.03.2024 eine polnische Bank eines AutokonzernsPolnische Bank: 78.575 PLN – Fehlversand erst nach 1,5 Jahren gemeldet 18.331 €
Die Bank schickte Vertragsdaten eines Kunden an einen falschen Empfänger und meldete die Verletzung erst anderthalb Jahre später, als die Aufsicht nach einer Beschwerde nachfragte. Die Behörde sah wegen des Risikos eines Identitätsdiebstahls eine Meldepflicht binnen 72 Stunden.
Auch ein einzelner Fehlversand mit Identitätsdaten ist meldepflichtig – Fehlversand-Fälle brauchen eine dokumentierte Risikobewertung.
Fehlversand erkennen und intern melden
- Behörde / Gericht
- Prezes Urzędu Ochrony Danych Osobowych (UODO)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Art. 33 Abs. 1 DSGVO
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Veröffentlicht
- 02.04.2024
Originalbetrag 78.575,4 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.
- UODO, Nachrichten (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
- UODO, Entscheidungsdatenbank (Suche) (Entscheidung 2024) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.03.2026 · Direktlink
Fehler melden
08.02.2024 eine deutsche GroßbankBaFin: 50.000 Euro gegen Großbank wegen fehlerhafter Meldung eines IT-Vorfalls 50.000 €
Die BaFin setzte gegen eine deutsche Großbank ein Bußgeld von 50.000 Euro fest, weil die Bank ihr zu einem schwerwiegenden, kundenrelevanten IT-Sicherheitsvorfall bei ihren Zahlungsdiensten im Jahr 2023 falsche Angaben gemacht und sie deutlich verspätet informiert hatte. Der Bescheid vom 8. Februar 2024 ist rechtskräftig.
Meldungen zu IT-Vorfällen müssen schnell und inhaltlich richtig sein – falsche Angaben gegenüber der Aufsicht werden eigens geahndet.
Schwerwiegende IT-Sicherheitsvorfälle korrekt und fristgerecht melden
- Behörde / Gericht
- Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- § 64 Abs. 3 Nr. 15 ZAG
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 18.03.2024
- BaFin, Maßnahmen und Sanktionen (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 08.02.2026 · Direktlink
Fehler melden
27.11.2023 ein US-amerikanischer TitelversichererNYDFS: 1 Mio. $ gegen US-Titelversicherer wegen offener Dokumentenlinks 913.159 €
Eine Anwendung des Versicherers erzeugte Links auf Transaktionsdokumente ohne Anmeldung und ohne Ablaufdatum; durch Ändern der fortlaufenden Dokumentnummer waren laut einem Journalisten 885 Mio. Dokumente mit u. a. Sozialversicherungs- und Bankdaten abrufbar. Nutzer sollten keine sensiblen Daten verschicken, technische Sperren gab es aber nicht.
Anweisungen an Nutzer ersetzen keine technischen Kontrollen – Freigabelinks brauchen Authentifizierung und Ablaufdatum.
Klassifizierung und Versand sensibler Dokumente
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR §§ 500.3, 500.7 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 1.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 27.11.2023.
- NYDFS, Newsroom (Übersicht) (Entscheidung 2023) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 27.11.2025 · Direktlink