Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa und Nordamerika: 756 Fälle aus 32 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach BundesstaatWofür?
nach UnterthemaWen?
nach BrancheAlle Branchen
Wann?
je Quartal, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| Q3 2023 | 0 | — |
| Q4 2023 | 1 | 913.159 € |
| Q1 2024 | 0 | — |
| Q2 2024 | 0 | — |
| Q3 2024 | 0 | — |
| Q4 2024 | 0 | — |
| Q1 2025 | 1 | 1,92 Mio. € |
| Q2 2025 | 0 | — |
| Q3 2025 | 1 | 1,71 Mio. € |
| Q4 2025 | 2 | 4,35 Mio. € |
| Q1 2026 | 0 | — |
| Q2 2026 | 1 | 1,92 Mio. € |
| Q3 2026 | 1 | 216.375 € |
7 Fälle
05.08.2026 Order Express, Inc.NYDFS: 250.000 $ gegen Geldtransferdienst Order Express wegen Cyber-Mängeln 216.375 €
Der lizenzierte Geldtransferdienstleister hatte keine angemessenen Richtlinien für System-Updates und unzureichende Risikobewertungen nach der New Yorker Cybersecurity-Verordnung. Das Unternehmen hat die Mängel bereits behoben.
Auch kleine Finanzdienstleister müssen Patch-Richtlinien und regelmäßige Risikobewertungen dokumentiert vorhalten.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Mildernde Umstände
- Wegen geringen Umsatzes war das Unternehmen von vielen Part-500-Pflichten ausgenommen; Mängel bereits behoben.
- Veröffentlicht
- 05.08.2026
Originalbetrag 250.000 USD, umgerechnet zum EZB-Referenzkurs vom 05.08.2026.
- New York State Department of Financial Services Secures Cybersecurity Settlement with Order Express, Inc. Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
29.04.2026 Delta Dental Insurance Company und Delta Dental of New York, Inc.NYDFS: 2,25 Mio. $ gegen Delta Dental nach MOVEit-Angriff und verspäteter Meldung 1,92 Mio. €
Über eine Zero-Day-Lücke in MOVEit Transfer erbeuteten Angreifer 2023 Dateien mit Sozialversicherungs-, Führerschein-, Konto- und Gesundheitsdaten. Das NYDFS rügte unzureichende Aufbewahrungseinstellungen, Richtlinien und Kontrollen sowie die verspätete Meldung der Cybersecurity-Vorfälle an die Aufsicht.
Daten in Transfer-Tools nur so lange vorhalten wie nötig – und Sicherheitsvorfälle fristgerecht an die Aufsicht melden.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
- Veröffentlicht
- 30.04.2026
Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 29.04.2026.
- DFS Secures $2.25 Million Cybersecurity Settlement with Delta Dental Pressemitteilung einer Behörde
- Consent Order to Delta Dental 2026 Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.10.2025 Farmers Insurance ExchangeNYDFS: 2,775 Mio. $ gegen Farmers wegen ungeschützter Online-Angebotsrechner 2,4 Mio. €
Angreifer griffen über unzureichend gesicherte Online-Angebotsrechner und Vermittlerportale Führerscheinnummern und Geburtsdaten ab. Farmers verletzte die Cybersecurity-Verordnung und meldete den Vorfall nicht rechtzeitig; die Strafe ist Teil eines Pakets von insgesamt 19 Mio. $ gegen acht Kfz-Versicherer.
Automatisch vorausgefüllte Formulare mit Kundendaten sind ein Einfallstor – öffentliche Anwendungen gehören auf den Prüfstand der Datenfreigabe.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
- Veröffentlicht
- 14.10.2025
Originalbetrag 2.775.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.
- DFS Secures More than $19 Million from Auto Insurance Companies over Data Breaches Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.10.2025 Infinity Insurance CompanyInfinity Insurance: 2,25 Mio. USD – Datenabfluss über Angebotsrechner zu spät gemeldet 1,95 Mio. €
Angreifer lasen über die Sofortangebots-Anwendungen des Kfz-Versicherers Führerscheinnummern im Klartext aus. Infinity entdeckte die Auffälligkeiten am 9. Februar 2021, meldete den Cybervorfall der NYDFS aber erst am 14. April 2021; die Aufsicht rügte zudem fehlende MFA und unsichere Entwicklungspraktiken.
Auch Missbrauch öffentlich erreichbarer Kundenanwendungen ist ein meldepflichtiger Vorfall – Warnungen der Aufsicht sollten eine sofortige Meldeprüfung auslösen.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- 23 NYCRR § 500.17(a), § 500.12(a) u. a.
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.
- NYDFS Consent Order to Infinity Insurance Company (14.10.2025) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.08.2025 Healthplex, Inc.Healthplex: 2 Mio. USD – Phishing-Vorfall der Aufsicht monatelang nicht gemeldet 1,71 Mio. €
Ein Beschäftigter des Dentalversicherungsdienstleisters gab über eine Phishing-Mail seine Zugangsdaten preis; das Postfach mit über 100.000 E-Mails und Gesundheits- sowie Sozialversicherungsdaten war zugänglich. Healthplex wusste seit November 2021 von dem Vorfall, meldete ihn der NYDFS aber erst im April 2022 statt binnen 72 Stunden; zudem fehlten MFA für den Webzugang und eine Löschrichtlinie.
Sicherheitsvorfälle brauchen einen festen Meldeprozess mit Fristenkontrolle – die 72-Stunden-Uhr läuft ab Feststellung, nicht ab Abschluss der Forensik.
Phishing erkennen; Meldewege bei Sicherheitsvorfällen
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- 23 NYCRR § 500.17(a), § 500.12(b), § 500.13, § 500.17(b)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.08.2025.
- NYDFS Consent Order to Healthplex, Inc. (14.08.2025) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
23.01.2025 PayPal, Inc.NYDFS: 2 Mio. $ gegen PayPal wegen ungeschulter Teams und fehlender MFA 1,92 Mio. €
Bei Änderungen an Datenflüssen für Steuerformulare 1099-K umgingen nicht ausreichend geschulte Teams Sicherheitsprozesse; Kriminelle mit kompromittierten Zugangsdaten konnten Formulare mit Sozialversicherungsnummern abrufen. Es fehlten qualifiziertes Personal, Schulung, Zugriffsrichtlinien sowie MFA, CAPTCHA und Rate Limiting.
Wer Datenflüsse ändert, muss die Sicherheitsprozesse kennen – Schulung der Entwicklungsteams ist Teil der Cyberabwehr.
Sichere Softwareentwicklung und Änderungsprozesse
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Verschulden
- fahrlässig
- Mildernde Umstände
- PayPal hat die Mängel inzwischen behoben.
- Veröffentlicht
- 23.01.2025
Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.01.2025.
- DFS-Pressemitteilung vom 23.01.2025: Cybersecurity-Vergleich mit PayPal, Inc. (2 Mio. $) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
27.11.2023 First American Title Insurance CompanyNYDFS: 1 Mio. $ gegen First American wegen offener Dokumentenlinks 913.159 €
Die Anwendung EaglePro erzeugte Links auf Transaktionsdokumente ohne Anmeldung und ohne Ablaufdatum; durch Ändern der fortlaufenden Dokumentnummer waren laut einem Journalisten 885 Mio. Dokumente mit u. a. Sozialversicherungs- und Bankdaten abrufbar. Nutzer sollten keine sensiblen Daten verschicken, technische Sperren gab es aber nicht.
Anweisungen an Nutzer ersetzen keine technischen Kontrollen – Freigabelinks brauchen Authentifizierung und Ablaufdatum.
Klassifizierung und Versand sensibler Dokumente
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR §§ 500.3, 500.7 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 1.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 27.11.2023.
- Consent Order to First American Title Insurance Company Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink