Wer wurde wofür sanktioniert?

Als der Nickelpreis am 8. März 2022 binnen gut einer Stunde auf über 100.000 USD stieg, waren in den Asien-Handelsstunden nur jüngere Beschäftigte im Dienst, die nicht darauf geschult waren, einen ungeordneten Markt zu erkennen; sie eskalierten nicht und schalteten sogar Preisbänder ab. Die FCA verhängte gegen die anerkannte Börse erstmals eine Geldbuße: 9,2 Mio. GBP nach 30 % Nachlass.

Behörde / Gericht

Financial Conduct Authority (FCA)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

FCA REC 2.5.1 (Recognition Requirements); Art. 18 RTS 7 (MiFID II)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Frühe Einigung (30 % Nachlass); Verbesserungen seit März 2022.

Originalbetrag 9.200.000 GBP, umgerechnet zum EZB-Referenzkurs vom 20.03.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die ICO sprach am 5. Juli 2024 gegenüber einem Londoner Bezirk eine (aktualisierte) Verwarnung aus. Anlass war nach der Darstellung im Bescheid ein Ransomware-Angriff, von dem der Bezirk am 11. Oktober 2020 erfuhr: Der Angreifer konnte auf 440.000 Dateien mit personenbezogenen Daten, darunter besondere Kategorien, von mindestens 280.000 Einwohnern und weiteren Personen einschließlich Beschäftigten zugreifen und sie verschlüsseln. Nach den Feststellungen der ICO waren das Patch-Management und die Verwaltung von Benutzerkonten unzureichend, was gegen Art. 5(1)(f) und 32(1)(b) UK GDPR verstieß. Die ICO hatte zunächst eine Geldbuße erwogen, entschied sich aber unter Berücksichtigung ihres Ansatzes gegenüber dem öffentlichen Sektor und der Umstände des Falls für eine Verwarnung.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 05.07.2026 · Direktlink

Die ICO sprach gegenüber einer auf Straf- und Militärrecht spezialisierten Anwaltskanzlei eine Verwarnung aus. Nach den Feststellungen der ICO verschaffte sich ein unbekannter Angreifer mit gültigen Zugangsdaten Zugriff auf den Cloud-Server der Kanzlei und veröffentlichte Daten im Darknet. Betroffen waren 8.234 Personen im Vereinigten Königreich, 863 davon mit hohem Risiko, weil auch Angaben zu Strafverfahren betroffen waren. Die ICO bemängelte, dass für das betroffene Administratorkonto keine Mehr-Faktor-Authentifizierung und keine Passwortrichtlinie bestand und dass die Kanzlei den Vertrag mit ihrem externen IT-Dienstleister seit 2012 nicht auf angemessene Sicherheitsmaßnahmen überprüft hatte. Sie sah Verstöße gegen Art. 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.06.2026 · Direktlink

Die ICO sprach gegenüber einer britischen Behörde eine Verwarnung aus. Nach den Feststellungen der ICO drangen unbekannte Angreifer ab dem 24. August 2021 über eine Kette bekannter Schwachstellen in den selbst betriebenen E-Mail-Server der Kommission ein; betroffen waren vor allem Daten aus dem Wählerverzeichnis mit Namen und Anschriften von rund 40 Millionen Personen. Die Sicherheitsupdates für diese Schwachstellen waren im April und Mai 2021 erschienen, aber nicht eingespielt. Zudem ließen sich bei einer Prüfung 178 aktive Konten schnell knacken, weil Passwörter identisch oder ähnlich zu den vom Service Desk vergebenen Startpasswörtern waren. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1)(b) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 09.05.2026 · Direktlink

Die ICO sprach gegenüber einem englischen Schulträger eine Verwarnung aus. Nach Angaben der ICO nutzte ein unbefugter Dritter kompromittierte Zugangsdaten, um auf die Systeme des Trusts zuzugreifen und sie zu verschlüsseln. Nach den Feststellungen der ICO fehlten angemessene technische Maßnahmen: Die Kontosperre nach Fehlversuchen war unzureichend, und die umkehrbare Speicherung von Passwörtern war aktiviert, entgegen Empfehlungen des National Cyber Security Centre. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1)(b) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 07.12.2025 · Direktlink

Die ICO sprach gegenüber einem britischen Baustofflieferanten eine Verwarnung aus. Nach Angaben der ICO verschaffte sich am 11. März 2022 ein Angreifer Zugang zum Netzwerk, setzte Ransomware ein und leitete Daten aus, darunter personenbezogene Daten von 2.022 Beschäftigten und ehemaligen Beschäftigten im Vereinigten Königreich (u. a. Ausweis-, Bank- und Personaldaten). Nach den Feststellungen der ICO erfolgte der Zugriff über einen Remote-Desktop-Dienst einer Tochtergesellschaft ohne Multi-Faktor-Authentifizierung; zudem führte das Unternehmen vor dem Vorfall keine formalen Sicherheitstests wie Schwachstellenscans oder Penetrationstests durch, und der Angreifer nutzte eine seit über zwei Jahren bekannte Schwachstelle. Die ICO sah Verstöße gegen Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 14.11.2025 · Direktlink

Die ICO sprach gegenüber einem britischen Personaldienstleister eine Verwarnung aus. Nach Angaben der ICO verschaffte sich ein unbefugter Dritter innerhalb von zwölf Monaten zweimal Zugang zu den Systemen, um den 13. März 2022 und um den 16. August 2022, vermutlich jeweils per SQL-Injection, und leitete Daten aus; betroffen waren 13.720 bzw. 4.421 Personen im Vereinigten Königreich, bei einem Teil auch mit Bankverbindungen. Nach den Feststellungen der ICO nutzte das Unternehmen trotz Kenntnis nicht mehr unterstützte Versionen ihrer Datenbank- und Skriptsoftware, schlecht programmierten Code ohne ausreichende Eingabeprüfung und eine unzureichende Protokollierung und führte keine regelmäßigen Sicherheitstests durch. Die ICO sah Verstöße gegen Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 19.10.2025 · Direktlink

Die ICO sprach gegenüber einem britischen Dienstleistungskonzern eine Verwarnung aus. Laut ICO-Fallseite erlitt das Unternehmen einen Ransomware-Angriff, bei dem personenbezogene Daten ausgeleitet wurden. Nach den Feststellungen der ICO fehlten eine klare Regelung für private Endgeräte (BYOD) und eine angemessene Kontosperre nach Fehlversuchen, und für das betroffene Nutzerkonto war keine Multi-Faktor-Authentifizierung eingerichtet. Erschwerend wertete die ICO, dass Daten länger als nötig gespeichert wurden und die Benachrichtigung aller Betroffenen elf Monate dauerte. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 10.10.2025 · Direktlink

Die FCA verhängte gegen eine britische Auskunftei eine Geldbuße von 11.164.400 Pfund. Nach den Feststellungen der FCA hatte die Auskunftei die Verarbeitung britischer Verbraucherdaten an die US-Muttergesellschaft ausgelagert, ohne die Sicherheit dieser Daten angemessen zu überwachen, obwohl ihr Probleme beim Einspielen von Sicherheitsupdates bekannt waren. Beim Cyberangriff auf die Muttergesellschaft 2017 wurden auch Daten von Millionen Menschen in Großbritannien erbeutet. Anschließende öffentliche Stellungnahmen zu den Folgen für britische Verbraucher waren nach Ansicht der FCA nicht fair, klar und zutreffend. Die Buße enthält einen Nachlass von 30 %.

Behörde / Gericht

Financial Conduct Authority (FCA)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

FCA Principles 3, 6 und 7; section 206 FSMA 2000

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Originalbetrag 11.164.400 GBP, umgerechnet zum EZB-Referenzkurs vom 03.10.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 03.10.2025 · Direktlink

Die ICO sprach am 23. August 2023 gegenüber einer englischen Stadtverwaltung eine Verwarnung aus. Nach den Feststellungen der ICO verfügte die Stadtverwaltung vor einem Ransomware-Angriff über kein zentrales Logging oder SIEM-System; der Angreifer konnte Protokolle löschen, was Erkennung und Aufklärung erschwerte. Nach dem Angriff stellte die Stadt den Zugang zu personenbezogenen Daten nicht rechtzeitig wieder her, konnte die gefährdeten Betroffenen nicht bestimmen und stützte ihre Auswertung auf behelfsmäßige Abläufe, etwa Downloads über private WLAN-Netze von Beschäftigten. Die ICO sah Verstöße gegen Art. 32(1)(b), 32(1)(c) und 32(1)(d) UK GDPR. Die ICO-Durchsetzungsliste führt den Fall unter dem 1. September 2023.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1)(b), 32(1)(c) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 23.08.2025 · Direktlink

Die ICO sprach gegenüber einer britischen Betreiberin einer Videoplattform eine Verwarnung aus; auf ihrer Fallseite führt die ICO die Verwarnung als erteilt. Das veröffentlichte Dokument ist allerdings als vorläufige Entscheidung formuliert: Die ICO spricht darin von vorläufigen Feststellungen und mutmaßlichen Verstößen („provisional findings“, „alleged infringements“); eine endgültig formulierte Fassung hat sie nicht veröffentlicht. Nach Darstellung der ICO drang um den 14. August 2022 ein Unbefugter in die Systeme des Unternehmens ein und kopierte Namen, E-Mail-Adressen und Passwörter von 345.000 Nutzerinnen und Nutzern im Vereinigten Königreich; die genaue Ursache konnte das Unternehmen nicht angeben. Die ICO bemängelte vorläufig, dass das Unternehmen weder die zum Zeitpunkt des Vorfalls eingesetzten Sicherheitsmaßnahmen noch regelmäßige Penetrationstests oder Schwachstellenscans belegen konnte und sich auf Zusicherungen von Dienstleistern verließ, ohne Verträge oder Kontrollen nachzuweisen. Sie ging von Verstößen gegen Art. 32(1) und 32(1)(d) UK GDPR aus. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 25.07.2025 · Direktlink

Die ICO sprach am 10. März 2023 gegenüber einem britischen Online-Handelsanbieter eine Verwarnung aus. Nach den Feststellungen der ICO nutzte ein unbefugter Dritter am 14. April 2020 eine nicht gepatchte Schwachstelle in einer eingesetzten Fremdsoftware, um in die Systeme einzudringen und 17,92 GB Daten abzuziehen; betroffen waren 72.361 Personen im Vereinigten Königreich, darunter Namen, E-Mail-Adressen, Kontonummern und Bankleitzahlen. Das Unternehmen hatte kein Patch-Management-Programm und spielte Sicherheitsupdates nicht ein, obwohl dies nach dem Supportvertrag in seiner eigenen Verantwortung lag. Die ICO prüfte den Fall nach der DSGVO in der damals geltenden Fassung und sah Verstöße gegen Art. 32(1) und 32(1)(b) GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1) und 32(1)(b) GDPR; Verwarnung nach Art. 58(2)(b) GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 10.03.2025 · Direktlink

Die ICO sprach am 21. Februar 2023 gegenüber einem britischen Berufsverband der Finanzbranche eine Verwarnung aus; auf ihrer Fallseite führt sie die Verwarnung als erteilt. Das veröffentlichte Schreiben ist jedoch als Ankündigung und vorläufige Entscheidung formuliert („we intend to issue“, „provisionally decided“, „alleged infringements“); eine endgültig formulierte Fassung hat die ICO nicht veröffentlicht. Nach Darstellung der ICO nutzte ein Angreifer am 17. Februar 2020 eine bekannte Sicherheitslücke in der Website-Software und einen Brute-Force-Angriff, um Schadcode auf der Bezahlseite zu platzieren; der Code griff Zahlungsdaten von schätzungsweise 3.883 Personen im Vereinigten Königreich sowie Namen und E-Mail-Adressen ab, 654 Betroffene meldeten Kartenmissbrauch. Eine von dem Verband beauftragte forensische Untersuchung ergab laut ICO, dass nicht mehr unterstützte Software lief und ein Patch für eine kritische Lücke seit 2017 verfügbar war; Penetrationstests hatte der Verband nach eigenen Angaben vor dem Vorfall nicht durchgeführt. Die ICO ging vorläufig von Verstößen gegen Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR aus.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.02.2025 · Direktlink

Nach der Migration auf eine neue IT-Plattform im April 2018 konnten Kunden in Filialen, am Telefon und online über Monate nur eingeschränkt Bankgeschäfte erledigen; betroffen waren alle Filialen und ein großer Teil der 5,2 Mio. Kunden. FCA und PRA warfen der Bank mangelhafte Planung, Governance und Steuerung des Auslagerungsrisikos vor und verhängten zusammen 48,65 Mio. GBP (FCA 29,75 Mio., PRA 18,9 Mio.).

Behörde / Gericht

Financial Conduct Authority (FCA) und Prudential Regulation Authority (PRA)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

FCA- und PRA-Anforderungen an operationelles Risikomanagement, Governance und Auslagerung

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

30 % Nachlass wegen Einigung; 32,7 Mio. GBP Entschädigung an Kunden bereits gezahlt.

Originalbetrag 48.650.000 GBP, umgerechnet zum EZB-Referenzkurs vom 20.12.2022.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.12.2024 · Direktlink

Die ICO verhängte am 19. Oktober 2022 gegen die Muttergesellschaft einer britischen Baugruppe eine Geldbuße von 4.400.000 Pfund. Nach den Feststellungen der ICO gelangte nach einer am 30. März 2020 eingegangenen und intern weitergeleiteten Phishing-E-Mail am 1. April 2020 Schadsoftware auf einen Arbeitsplatzrechner. Der Angreifer kompromittierte in der Folge 283 Systeme und 16 Konten, darunter 12 privilegierte, deinstallierte den Virenschutz und verschlüsselte unter anderem vier Personaldatenbanken mit Daten von bis zu 113.000 Beschäftigten, darunter besondere Kategorien personenbezogener Daten; die Gesellschaft stufte den Vorfall laut ICO am 2. Mai 2020 als Ransomware-Angriff ein. Die ICO bemängelte unter anderem nicht mehr unterstützte Betriebssysteme, veraltete Protokolle, unzureichenden Endpunktschutz, fehlende regelmäßige Schwachstellenscans und Penetrationstests, Lücken bei Schulungen sowie bei Vorfallsreaktion und Verwaltung privilegierter Konten. Sie sah für den Zeitraum 18. März 2019 bis 1. Dezember 2020 Verstöße gegen Art. 5(1)(f) und 32 GDPR. Die ICO veröffentlichte den Fall am 24. Oktober 2022.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32 GDPR; Geldbuße nach section 155 DPA 2018 und Art. 83 GDPR

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Originalbetrag 4.400.000 GBP, umgerechnet zum EZB-Referenzkurs vom 19.10.2022.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 19.10.2024 · Direktlink