Wer wurde wofür sanktioniert?

Laut FTC betrafen drei Angriffe zwischen 2014 und 2020 mehr als 344 Mio. Gäste weltweit, darunter 5,25 Mio. unverschlüsselte Passnummern; ein Einbruch blieb 14 Monate unentdeckt. Die FTC wirft unzureichende Passwort-, Zugriffs-, Firewall- und Segmentierungskontrollen, fehlendes Patchen, mangelndes Logging und zu wenig MFA vor; die im Dezember 2024 endgültig erlassene Anordnung verlangt ein Sicherheitsprogramm mit jährlicher Bestätigung gegenüber der FTC über 20 Jahre, unabhängige Prüfungen alle zwei Jahre, Datenminimierung und eine Löschmöglichkeit für US-Kunden. Parallel zahlt Marriott 52 Mio. USD an 49 Bundesstaaten und Washington, D.C.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5 FTC Act

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Sonstige

Beschäftigte

10.000 und mehr

Veröffentlicht

20.12.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Die ICO sprach gegenüber einer auf Straf- und Militärrecht spezialisierten Anwaltskanzlei eine Verwarnung aus. Nach den Feststellungen der ICO verschaffte sich ein unbekannter Angreifer mit gültigen Zugangsdaten Zugriff auf den Cloud-Server der Kanzlei und veröffentlichte Daten im Darknet. Betroffen waren 8.234 Personen im Vereinigten Königreich, 863 davon mit hohem Risiko, weil auch Angaben zu Strafverfahren betroffen waren. Die ICO bemängelte, dass für das betroffene Administratorkonto keine Mehr-Faktor-Authentifizierung und keine Passwortrichtlinie bestand und dass die Kanzlei den Vertrag mit ihrem externen IT-Dienstleister seit 2012 nicht auf angemessene Sicherheitsmaßnahmen überprüft hatte. Sie sah Verstöße gegen Art. 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.06.2026 · Direktlink

Die ICO sprach gegenüber einem britischen Personaldienstleister eine Verwarnung aus. Nach Angaben der ICO verschaffte sich ein unbefugter Dritter innerhalb von zwölf Monaten zweimal Zugang zu den Systemen, um den 13. März 2022 und um den 16. August 2022, vermutlich jeweils per SQL-Injection, und leitete Daten aus; betroffen waren 13.720 bzw. 4.421 Personen im Vereinigten Königreich, bei einem Teil auch mit Bankverbindungen. Nach den Feststellungen der ICO nutzte das Unternehmen trotz Kenntnis nicht mehr unterstützte Versionen ihrer Datenbank- und Skriptsoftware, schlecht programmierten Code ohne ausreichende Eingabeprüfung und eine unzureichende Protokollierung und führte keine regelmäßigen Sicherheitstests durch. Die ICO sah Verstöße gegen Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 19.10.2025 · Direktlink

Die ICO sprach am 10. März 2023 gegenüber einem britischen Online-Handelsanbieter eine Verwarnung aus. Nach den Feststellungen der ICO nutzte ein unbefugter Dritter am 14. April 2020 eine nicht gepatchte Schwachstelle in einer eingesetzten Fremdsoftware, um in die Systeme einzudringen und 17,92 GB Daten abzuziehen; betroffen waren 72.361 Personen im Vereinigten Königreich, darunter Namen, E-Mail-Adressen, Kontonummern und Bankleitzahlen. Das Unternehmen hatte kein Patch-Management-Programm und spielte Sicherheitsupdates nicht ein, obwohl dies nach dem Supportvertrag in seiner eigenen Verantwortung lag. Die ICO prüfte den Fall nach der DSGVO in der damals geltenden Fassung und sah Verstöße gegen Art. 32(1) und 32(1)(b) GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1) und 32(1)(b) GDPR; Verwarnung nach Art. 58(2)(b) GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 10.03.2025 · Direktlink

Die ICO sprach am 21. Februar 2023 gegenüber einem britischen Berufsverband der Finanzbranche eine Verwarnung aus; auf ihrer Fallseite führt sie die Verwarnung als erteilt. Das veröffentlichte Schreiben ist jedoch als Ankündigung und vorläufige Entscheidung formuliert („we intend to issue“, „provisionally decided“, „alleged infringements“); eine endgültig formulierte Fassung hat die ICO nicht veröffentlicht. Nach Darstellung der ICO nutzte ein Angreifer am 17. Februar 2020 eine bekannte Sicherheitslücke in der Website-Software und einen Brute-Force-Angriff, um Schadcode auf der Bezahlseite zu platzieren; der Code griff Zahlungsdaten von schätzungsweise 3.883 Personen im Vereinigten Königreich sowie Namen und E-Mail-Adressen ab, 654 Betroffene meldeten Kartenmissbrauch. Eine von dem Verband beauftragte forensische Untersuchung ergab laut ICO, dass nicht mehr unterstützte Software lief und ein Patch für eine kritische Lücke seit 2017 verfügbar war; Penetrationstests hatte der Verband nach eigenen Angaben vor dem Vorfall nicht durchgeführt. Die ICO ging vorläufig von Verstößen gegen Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR aus.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.02.2025 · Direktlink