Compliance-Radar
Wer wurde wofür sanktioniert?
Bußgelder, Urteile und Vorfälle aus Europa, Nordamerika, Lateinamerika, Asien-Pazifik, Naher Osten und Afrika: 2.207 Fälle aus 44 Jurisdiktionen, jeder mit amtlicher Quelle und vor der Veröffentlichung gegen diese Quelle geprüft. Filtern Sie nach Land, Rechtsgebiet und Branche. Ein Klick auf ein Diagramm geht eine Ebene tiefer.
Klicken Sie auf einen Balken, um eine Ebene tiefer zu gehen.
Wo?
nach EbeneWofür?
nach UnterthemaWen?
nach BrancheAlle Branchen
Wann?
je Jahr, nach Entscheidungsdatum| Zeitraum | Fälle | Summe |
|---|---|---|
| 2022 | 2 | 11,3 Mio. € |
| 2023 | 4 | 6,25 Mio. € |
| 2024 | 5 | 14,8 Mio. € |
| 2025 | 7 | 7,99 Mio. € |
| 2026 | 3 | 2,64 Mio. € |
21 Fälle
22.09.2026 OTC Link LLCOTC Link: 575.000 USD – Sicherheitsrichtlinien trotz Prüfhinweisen nie fertig 501.614 €
Die Betreiberin des Handelssystems OTC Link ATS hatte von 2016 bis 2025 keine vollständigen, nach Regulation SCI vorgeschriebenen Richtlinien zu Systemsicherheit, Zugriffskontrolle und Schwachstellenmanagement. Obwohl die SEC-Prüfer die Lücken bei mehreren Prüfungen beanstandet hatten, blieben Entwürfe unfertig; die SEC sprach eine Rüge aus und verhängte 575.000 USD.
Prüfungsfeststellungen der Aufsicht müssen mit Frist und Verantwortlichem nachverfolgt werden – wiederholt offene Punkte werden teuer.
- Behörde / Gericht
- U.S. Securities and Exchange Commission (SEC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Kritische Infrastrukturen
- Rechtsgrundlage
- Regulation SCI, Rule 1001(a)(1)–(3)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Wiederholungsfall
- ja
Originalbetrag 575.000 USD, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.
- SEC Censures OTC Link LLC for Repeated Compliance Failures Related to Regulation SCI (22.09.2026) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
05.08.2026 Order Express, Inc.NYDFS: 250.000 $ gegen Geldtransferdienst Order Express wegen Cyber-Mängeln 216.375 €
Der lizenzierte Geldtransferdienstleister hatte keine angemessenen Richtlinien für System-Updates und unzureichende Risikobewertungen nach der New Yorker Cybersecurity-Verordnung. Das Unternehmen hat die Mängel bereits behoben.
Auch kleine Finanzdienstleister müssen Patch-Richtlinien und regelmäßige Risikobewertungen dokumentiert vorhalten.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Mildernde Umstände
- Wegen geringen Umsatzes war das Unternehmen von vielen Part-500-Pflichten ausgenommen; Mängel bereits behoben.
- Veröffentlicht
- 05.08.2026
Originalbetrag 250.000 USD, umgerechnet zum EZB-Referenzkurs vom 05.08.2026.
- New York State Department of Financial Services Secures Cybersecurity Settlement with Order Express, Inc. Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
29.04.2026 Delta Dental Insurance Company und Delta Dental of New York, Inc.NYDFS: 2,25 Mio. $ gegen Delta Dental nach MOVEit-Angriff und verspäteter Meldung 1,92 Mio. €
Über eine Zero-Day-Lücke in MOVEit Transfer erbeuteten Angreifer 2023 Dateien mit Sozialversicherungs-, Führerschein-, Konto- und Gesundheitsdaten. Das NYDFS rügte unzureichende Aufbewahrungseinstellungen, Richtlinien und Kontrollen sowie die verspätete Meldung der Cybersecurity-Vorfälle an die Aufsicht.
Daten in Transfer-Tools nur so lange vorhalten wie nötig – und Sicherheitsvorfälle fristgerecht an die Aufsicht melden.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
- Veröffentlicht
- 30.04.2026
Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 29.04.2026.
- DFS Secures $2.25 Million Cybersecurity Settlement with Delta Dental Pressemitteilung einer Behörde
- Consent Order to Delta Dental 2026 Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.10.2025 Farmers Insurance ExchangeNYDFS: 2,775 Mio. $ gegen Farmers wegen ungeschützter Online-Angebotsrechner 2,4 Mio. €
Angreifer griffen über unzureichend gesicherte Online-Angebotsrechner und Vermittlerportale Führerscheinnummern und Geburtsdaten ab. Farmers verletzte die Cybersecurity-Verordnung und meldete den Vorfall nicht rechtzeitig; die Strafe ist Teil eines Pakets von insgesamt 19 Mio. $ gegen acht Kfz-Versicherer.
Automatisch vorausgefüllte Formulare mit Kundendaten sind ein Einfallstor – öffentliche Anwendungen gehören auf den Prüfstand der Datenfreigabe.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
- Veröffentlicht
- 14.10.2025
Originalbetrag 2.775.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.
- DFS Secures More than $19 Million from Auto Insurance Companies over Data Breaches Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.10.2025 Infinity Insurance CompanyInfinity Insurance: 2,25 Mio. USD – Datenabfluss über Angebotsrechner zu spät gemeldet 1,95 Mio. €
Angreifer lasen über die Sofortangebots-Anwendungen des Kfz-Versicherers Führerscheinnummern im Klartext aus. Infinity entdeckte die Auffälligkeiten am 9. Februar 2021, meldete den Cybervorfall der NYDFS aber erst am 14. April 2021; die Aufsicht rügte zudem fehlende MFA und unsichere Entwicklungspraktiken.
Auch Missbrauch öffentlich erreichbarer Kundenanwendungen ist ein meldepflichtiger Vorfall – Warnungen der Aufsicht sollten eine sofortige Meldeprüfung auslösen.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- 23 NYCRR § 500.17(a), § 500.12(a) u. a.
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.
- NYDFS Consent Order to Infinity Insurance Company (14.10.2025) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
14.08.2025 Healthplex, Inc.Healthplex: 2 Mio. USD – Phishing-Vorfall der Aufsicht monatelang nicht gemeldet 1,71 Mio. €
Ein Beschäftigter des Dentalversicherungsdienstleisters gab über eine Phishing-Mail seine Zugangsdaten preis; das Postfach mit über 100.000 E-Mails und Gesundheits- sowie Sozialversicherungsdaten war zugänglich. Healthplex wusste seit November 2021 von dem Vorfall, meldete ihn der NYDFS aber erst im April 2022 statt binnen 72 Stunden; zudem fehlten MFA für den Webzugang und eine Löschrichtlinie.
Sicherheitsvorfälle brauchen einen festen Meldeprozess mit Fristenkontrolle – die 72-Stunden-Uhr läuft ab Feststellung, nicht ab Abschluss der Forensik.
Phishing erkennen; Meldewege bei Sicherheitsvorfällen
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- 23 NYCRR § 500.17(a), § 500.12(b), § 500.13, § 500.17(b)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.08.2025.
- NYDFS Consent Order to Healthplex, Inc. (14.08.2025) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
21.05.2025 GoDaddy Inc.FTC: GoDaddy muss nach Hosting-Sicherheitslücken ein Informationssicherheitsprogramm aufbauen Anordnung
Laut FTC setzte der Webhoster für seine Hosting-Dienste keine Multi-Faktor-Authentifizierung ein, überwachte Sicherheitsbedrohungen unzureichend und sicherte Verbindungen zu Kundendaten nicht ab, warb aber mit „preisgekrönter Sicherheit“. Die endgültige Anordnung verbietet Falschaussagen zur Sicherheit, verlangt ein umfassendes Informationssicherheitsprogramm und regelmäßige Prüfungen durch unabhängige Assessoren.
Wer mit Sicherheit wirbt, muss Grundlagen wie MFA und Bedrohungsüberwachung nachweisen können – sonst wird das Werbeversprechen selbst zum Verstoß.
MFA, Monitoring und ehrliche Sicherheitsversprechen
- Behörde / Gericht
- Federal Trade Commission (FTC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- Section 5 FTC Act
- Maßnahme
- Anordnung
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 21.05.2025
- FTC Finalizes Order with GoDaddy over Data Security Failures Pressemitteilung einer Behörde
- FTC Takes Action Against GoDaddy for Alleged Lax Data Security for Its Website Hosting Services Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink
Fehler melden
24.01.2025 Fantasia Trading LLC, Power Mobile Life LLC und Smart Innovation, LLC (Vertrieb der Marke eufy)eufy-Kameras: 450.000 USD in New York wegen unverschlüsselter Videostreams Bußgeld
Die New Yorker Generalstaatsanwaltschaft hat mit drei US-Vertriebsgesellschaften der Heimsicherheitsmarke eufy eine Einstellungsvereinbarung (Assurance of Discontinuance) geschlossen. Entgegen der Werbung mit Privatsphäre und Ende-zu-Ende-Verschlüsselung waren Videoübertragungen der Kameras teils nicht Ende-zu-Ende und teils gar nicht verschlüsselt, ein laufender Videostream ließ sich unter Umständen ohne Anmeldung über die passende URL abrufen, und Prüfverfahren, die diese Schwachstellen hätten aufdecken können, fehlten. Die Unternehmen zahlen mutmaßlich 450.000 USD an Strafen und Kosten und müssen regelmäßig nachweisen, dass der Hersteller ein Informationssicherheitsprogramm, sichere Softwareentwicklung, Schwachstellenmanagement mit Penetrationstests und die Verschlüsselung der Videos umsetzt.
Wer Verschlüsselung und Privatsphäre bewirbt, muss sie mit regelmäßigen Sicherheitstests belegen können – auch als Händler für Produkte eines Herstellers.
Sicherheitsaussagen in der Werbung belegen; Sicherheitstests bei vernetzten Geräten
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Office of the New York State Attorney General (Bureau of Internet & Technology)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- New York Executive Law § 63(12); New York General Business Law §§ 349, 350
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Handel und E-Commerce
- Veröffentlicht
- 28.01.2025
- NYAG, In the Matter of Fantasia Trading LLC, Power Mobile Life LLC and Smart Innovation, LLC, Assurance of Discontinuance No. 24-103 (wirksam 24.01.2025) Entscheidung einer Behörde
- NYAG-Pressemitteilung: Attorney General James Secures $450,000 from Companies Selling Home Security Cameras that Failed to Secure Private Videos (28.01.2025) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink
Fehler melden
23.01.2025 PayPal, Inc.NYDFS: 2 Mio. $ gegen PayPal wegen ungeschulter Teams und fehlender MFA 1,92 Mio. €
Bei Änderungen an Datenflüssen für Steuerformulare 1099-K umgingen nicht ausreichend geschulte Teams Sicherheitsprozesse; Kriminelle mit kompromittierten Zugangsdaten konnten Formulare mit Sozialversicherungsnummern abrufen. Es fehlten qualifiziertes Personal, Schulung, Zugriffsrichtlinien sowie MFA, CAPTCHA und Rate Limiting.
Wer Datenflüsse ändert, muss die Sicherheitsprozesse kennen – Schulung der Entwicklungsteams ist Teil der Cyberabwehr.
Sichere Softwareentwicklung und Änderungsprozesse
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Verschulden
- fahrlässig
- Mildernde Umstände
- PayPal hat die Mängel inzwischen behoben.
- Veröffentlicht
- 23.01.2025
Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.01.2025.
- DFS-Pressemitteilung vom 23.01.2025: Cybersecurity-Vergleich mit PayPal, Inc. (2 Mio. $) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink
Fehler melden
07.01.2025 City of Boardman (Oregon)City of Boardman: 8.770 USD – Risikobewertung des Wasserwerks war eine leere Vorlage 8.438 €
Die EPA (Region 10) verhängte gegen die Stadt Boardman (Oregon), deren Trinkwassersystem rund 4.490 Menschen versorgt, per Consent Agreement and Final Order eine Geldbuße (civil penalty) von 8.770 USD. Nach Darstellung der EPA hatte die Stadt die nach dem Safe Drinking Water Act vorgeschriebene Risiko- und Resilienzbewertung und den Notfallplan nicht rechtzeitig erstellt und eine EPA-Anordnung von 2022 nicht erfüllt: Bei einer Inspektion im April 2024 war die Bewertung eine leere Vorlage, der Notfallplan stammte von 2005 und enthielt keinen Abschnitt zur Cybersicherheit. Die Stadt erkannte die Zuständigkeit an, ohne die Sachvorwürfe einzuräumen oder zu bestreiten, und verzichtete auf Rechtsmittel. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Pflichtbewertungen zu Anlagen- und Cybersicherheit müssen inhaltlich erarbeitet und aktuell gehalten werden – eine bloß bescheinigte Vorlage erfüllt die Pflicht nicht.
Risiko- und Resilienzbewertung inklusive Cybersicherheit tatsächlich erstellen und den Notfallplan aktuell halten
- Behörde / Gericht
- U.S. Environmental Protection Agency (EPA), Region 10
- Rechtsgebiet
- Informationssicherheit und Cyber · Kritische Infrastrukturen
- Rechtsgrundlage
- Safe Drinking Water Act Section 1433(a) und (b) (42 U.S.C. § 300i-2) sowie Section 1414(g)(3)(A); Strafe nach Section 1414(g)(3)(B) (42 U.S.C. § 300g-3(g)(3)(B))
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Energie und Versorgung
- Wiederholungsfall
- ja
- Veröffentlicht
- 07.01.2025
Originalbetrag 8.770 USD, umgerechnet zum EZB-Referenzkurs vom 07.01.2025.
- EPA Region 10 – Consent Agreement, In the Matter of City of Boardman, Docket No. SDWA-10-2025-0022 (eingereicht 07.01.2025) Entscheidung einer Behörde
- EPA Region 10 – Final Order, City of Boardman, Docket No. SDWA-10-2025-0022 (07.01.2025) Entscheidung einer Behörde
- EPA Administrative Enforcement Dockets – SDWA-10-2025-0022 (Status Closed, Payment Received) Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
20.12.2024 Marriott International, Inc. und Starwood Hotels & Resorts Worldwide LLCFTC: Marriott und Starwood müssen nach drei Datenlecks mit 344 Mio. Betroffenen nachrüsten Anordnung
Laut FTC betrafen drei Angriffe zwischen 2014 und 2020 mehr als 344 Mio. Gäste weltweit, darunter 5,25 Mio. unverschlüsselte Passnummern; ein Einbruch blieb 14 Monate unentdeckt. Die FTC wirft unzureichende Passwort-, Zugriffs-, Firewall- und Segmentierungskontrollen, fehlendes Patchen, mangelndes Logging und zu wenig MFA vor; die im Dezember 2024 endgültig erlassene Anordnung verlangt ein Sicherheitsprogramm mit jährlicher Bestätigung gegenüber der FTC über 20 Jahre, unabhängige Prüfungen alle zwei Jahre, Datenminimierung und eine Löschmöglichkeit für US-Kunden. Parallel zahlt Marriott 52 Mio. USD an 49 Bundesstaaten und Washington, D.C.
Bei Übernahmen erbt man die IT-Altlasten mit – eine Sicherheitsprüfung der übernommenen Systeme gehört vor und direkt nach das Closing.
Patchen, Netzsegmentierung und MFA nach Unternehmensübernahmen
- Behörde / Gericht
- Federal Trade Commission (FTC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- Section 5 FTC Act
- Maßnahme
- Anordnung
- Verfahrensstand
- rechtskräftig
- Branche
- Sonstige
- Beschäftigte
- 10.000 und mehr
- Veröffentlicht
- 20.12.2024
- FTC Takes Action Against Marriott and Starwood Over Multiple Data Breaches Pressemitteilung einer Behörde
- FTC Finalizes Order with Marriott and Starwood Requiring Them to Implement a Robust Data Security Program to Address Security Failures Pressemitteilung einer Behörde
- Marriott International, Inc. and Starwood Hotels & Resorts Worldwide, LLC, In the Matter of Durchsetzungsdatenbank einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink
Fehler melden
25.11.2024 Government Employees Insurance Company (GEICO)GEICO: 5 Mio. USD der NYDFS wegen Cyberangriffen auf Angebots- und Schadenportale 4,76 Mio. €
Ab Ende 2020 erbeuteten Angreifer in mehreren Vorfällen über öffentlich erreichbare Webanwendungen des Kfz-Versicherers GEICO – darunter das Angebotsportal, die Schadenwebsite und eine Schnittstelle – nicht öffentliche Daten von New Yorkern, vor allem Führerscheinnummern. Die NYDFS stellte Verstöße gegen die Cybersicherheitsverordnung 23 NYCRR Part 500 fest, unter anderem unzureichende Risikobewertungen, fehlende Überwachung der Nutzeraktivitäten und unrichtige Compliance-Bescheinigungen für 2017 bis 2021, und verhängte eine Strafe von 5.000.000 USD. Parallel zahlt GEICO in einem eigenen Vergleich mit der New Yorker Generalstaatsanwaltschaft weitere 4.750.000 USD. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Nach einem Vorfall reicht es nicht, die eine Lücke zu schließen – alle öffentlich erreichbaren Anwendungen gehören neu bewertet, besonders wenn die Branche bereits gewarnt wurde.
Sicherheit öffentlich erreichbarer Webanwendungen; Reaktion auf Branchenwarnungen
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR §§ 500.2(b), 500.3(i) und (k), 500.5, 500.8(a), 500.9(a), 500.14(a), 500.17(b); Strafe nach New York Financial Services Law § 408
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Mildernde Umstände
- Die NYDFS würdigte die Kooperation während der Untersuchung und die erheblichen Investitionen in die Behebung der Mängel.
- Veröffentlicht
- 25.11.2024
Originalbetrag 5.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 25.11.2024.
- NYDFS, In the Matter of Government Employees Insurance Company, Consent Order (so ordered 25.11.2024) Entscheidung einer Behörde
- NYDFS-Pressemitteilung: Attorney General James and DFS Superintendent Harris Secure $11.3 Million from Auto Insurance Companies over Data Breaches (25.11.2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink
Fehler melden
01.10.2024 eine US-Swap-HandelsplattformSwap-Handelsplattform: 875.000 USD, weil Notfall- und Sicherheitstests nicht vor den Vorstand kamen 789.284 €
Eine US-Swap-Handelsplattform informierte ihr Board nicht vollständig über Ergebnisse von Notfall-, Technik-Risiko- und Penetrationstests, testete ihre Business-Continuity- und Disaster-Recovery-Fähigkeiten nicht regelmäßig und hatte kein angemessenes Risikomanagement. Außerdem legte sie bei einer Prüfung angeforderte Unterlagen trotz Fristverlängerungen nicht rechtzeitig vor; die CFTC verhängte 875.000 USD.
Notfallpläne gelten nur, wenn sie regelmäßig getestet und die Ergebnisse vom gesamten Leitungsorgan zur Kenntnis genommen werden.
- Behörde / Gericht
- Commodity Futures Trading Commission (CFTC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Kritische Infrastrukturen
- Rechtsgrundlage
- Commodity Exchange Act; CFTC-Regeln zu System Safeguards für Swap Execution Facilities
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
Originalbetrag 875.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.10.2024.
- CFTC, Pressemitteilungen (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 01.10.2026 · Direktlink
Fehler melden
22.05.2024 ein US-amerikanischer Börsenkonzern und neun seiner TochtergesellschaftenUS-Börsenkonzern: 10 Mio. USD – Cyberangriff nicht an SEC gemeldet 9,23 Mio. €
Im April 2021 wies ein Dritter den Konzern auf eine Schwachstelle in seinem VPN hin; der Konzern fand eingeschleusten Schadcode, informierte die Rechts- und Compliance-Verantwortlichen der Börsen- und Clearing-Töchter aber tagelang nicht. Die Töchter, darunter eine Wertpapierbörse, meldeten den Vorfall deshalb nicht wie nach Regulation SCI vorgeschrieben sofort an die SEC; der Konzern zahlte 10 Mio. USD.
Betreiber kritischer Marktinfrastruktur brauchen interne Meldewege, die Cybervorfälle binnen Stunden an alle meldepflichtigen Einheiten weitergeben.
Interne Eskalation von Cybervorfällen an Compliance
- Behörde / Gericht
- U.S. Securities and Exchange Commission (SEC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- Regulation Systems Compliance and Integrity (Regulation SCI), Meldepflichten
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Beschäftigte
- 10.000 und mehr
- Wiederholungsfall
- ja
Originalbetrag 10.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 22.05.2024.
- SEC, Pressemitteilungen (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 22.05.2026 · Direktlink
Fehler melden
20.05.2024 ein US-amerikanischer DatendienstleisterFTC: US-Datendienstleister muss nach Hackerangriff Altdaten löschen und Sicherheit ausbauen Anordnung
Laut FTC-Beschwerde nutzte ein Angreifer Anfang 2020 Schwachstellen im Netz des Datendienstleisters für Unternehmen und gemeinnützige Organisationen und erbeutete große Mengen unverschlüsselter Daten, darunter Sozialversicherungs- und Kontonummern von Millionen Menschen; der Angriff blieb drei Monate unentdeckt, der Dienstleister informierte seine Kunden erst nach fast zwei Monaten und stellte das Ausmaß irreführend dar. Die endgültige Anordnung verlangt ein umfassendes Sicherheitsprogramm, einen Löschplan, das Löschen nicht mehr benötigter Daten und die Meldung künftiger meldepflichtiger Vorfälle an die FTC.
Daten, die nicht mehr gebraucht werden, sind bei einem Angriff reines Risiko – Aufbewahrungsfristen und Löschroutinen sind Sicherheitsmaßnahmen.
Datenminimierung, Verschlüsselung und ehrliche Vorfallkommunikation
- Behörde / Gericht
- Federal Trade Commission (FTC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- Section 5 FTC Act
- Maßnahme
- Anordnung
- Verfahrensstand
- rechtskräftig
- Branche
- Telekommunikation, IT und Software
- Veröffentlicht
- 20.05.2024
- FTC, Pressemitteilungen (Übersicht) (Entscheidung 2024) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 20.05.2026 · Direktlink
Fehler melden
27.11.2023 ein US-amerikanischer TitelversichererNYDFS: 1 Mio. $ gegen US-Titelversicherer wegen offener Dokumentenlinks 913.159 €
Eine Anwendung des Versicherers erzeugte Links auf Transaktionsdokumente ohne Anmeldung und ohne Ablaufdatum; durch Ändern der fortlaufenden Dokumentnummer waren laut einem Journalisten 885 Mio. Dokumente mit u. a. Sozialversicherungs- und Bankdaten abrufbar. Nutzer sollten keine sensiblen Daten verschicken, technische Sperren gab es aber nicht.
Anweisungen an Nutzer ersetzen keine technischen Kontrollen – Freigabelinks brauchen Authentifizierung und Ablaufdatum.
Klassifizierung und Versand sensibler Dokumente
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR §§ 500.3, 500.7 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Verschulden
- fahrlässig
Originalbetrag 1.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 27.11.2023.
- NYDFS, Newsroom (Übersicht) (Entscheidung 2023) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 27.11.2025 · Direktlink
Fehler melden
25.05.2023 ein US-amerikanischer KonsumentenkreditgeberNYDFS: 4,25 Mio. USD gegen US-Kreditgeber wegen geteilter Admin-Konten und Standardpasswörtern 3,96 Mio. €
Der Konsumentenkreditgeber ließ lokale Administratoren Konten teilen und das bei der Einrichtung vergebene Standardpasswort weiter nutzen, hatte keine formalisierte Methodik für sichere Softwareentwicklung, prüfte Dienstleister mit hohem und mittlerem Risiko nicht rechtzeitig und passte deren Risikobewertung auch nach von ihnen verursachten Vorfällen nicht an. Die NYDFS verhängte 4,25 Mio. USD; der Kreditgeber verpflichtete sich zu umfangreichen Abhilfemaßnahmen.
Geteilte Admin-Konten machen Zugriffe unzurechenbar – privilegierte Zugänge müssen personengebunden sein und Dienstleisterrisiken nach Vorfällen neu bewertet werden.
Umgang mit privilegierten Konten und Passwörtern; Dienstleistersteuerung
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Veröffentlicht
- 25.05.2023
Originalbetrag 4.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 25.05.2023.
- NYDFS, Newsroom (Übersicht) (Entscheidung 2023) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 25.05.2025 · Direktlink
Fehler melden
01.02.2023 eine US-amerikanische Telemedizin- und RabattplattformTelemedizinplattform: 1,5 Mio. USD – erste Strafe nach der Health Breach Notification Rule 1,38 Mio. €
Die Telemedizin- und Rabattplattform gab jahrelang Gesundheitsdaten ihrer Nutzer an drei große Werbe- und Technologieunternehmen und andere Werbepartner weiter und meldete diese unbefugten Offenlegungen nicht, wie es die Health Breach Notification Rule verlangt. Im ersten Verfahren nach dieser Regel stimmte die Plattform einer zivilrechtlichen Strafe von 1,5 Mio. USD und einem Verbot der Weitergabe zu Werbezwecken zu; der Vergleich bedurfte noch gerichtlicher Genehmigung.
Die Weitergabe von Gesundheitsdaten über Tracking-Pixel kann selbst ein meldepflichtiger „Breach“ sein – Tracking-Einbindungen gehören in die Vorfallsbewertung.
- Behörde / Gericht
- Federal Trade Commission (FTC) / U.S. Department of Justice
- Rechtsgebiet
- Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen
- Rechtsgrundlage
- FTC Health Breach Notification Rule (16 CFR Part 318); Section 5 FTC Act
- Maßnahme
- Bußgeld
- Verfahrensstand
- unbekannt
- Branche
- Gesundheitswesen
Originalbetrag 1.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.02.2023.
- FTC, Pressemitteilungen (Übersicht) (Entscheidung 2023) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 01.02.2025 · Direktlink
Fehler melden
09.01.2023 ein US-Onlinemarktplatz für AlkoholOnlinemarktplatz: FTC-Anordnung nach Datenpanne mit 2,5 Mio. Betroffenen Anordnung
Die FTC hat ihre Anordnung gegen einen Online-Marktplatz für Alkohol endgültig erlassen. Nach dem Vorwurf der Behörde war das Unternehmen zwei Jahre vor einer Datenpanne im Jahr 2020 auf Sicherheitslücken hingewiesen worden, setzte grundlegende Schutzmaßnahmen dennoch nicht um, legte kritische Datenbankinformationen auf einer ungesicherten Plattform ab und überwachte Bedrohungen nicht; betroffen waren Daten von rund 2,5 Millionen Verbrauchern. Der Marktplatz muss nicht benötigte personenbezogene Daten löschen, die Erhebung an einen festgelegten Aufbewahrungsplan binden und ein Informationssicherheitsprogramm einführen. Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.
Bekannte Sicherheitslücken, die liegen bleiben, brauchen einen verbindlichen Weg bis zur Behebung.
Umgang mit gemeldeten Sicherheitslücken; Datenminimierung
Fehlende oder unzureichende Schulung spielte in der Entscheidung eine Rolle.
- Behörde / Gericht
- Federal Trade Commission (FTC)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- Section 5(a) FTC Act, 15 U.S.C. § 45(a) (unlautere und irreführende Praktiken)
- Maßnahme
- Anordnung
- Verfahrensstand
- rechtskräftig
- Branche
- Handel und E-Commerce
- Haftung von Führungskräften
- Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.
- Veröffentlicht
- 10.01.2023
- Federal Trade Commission (FTC), Veröffentlichung der Behörde (Entscheidung 2023) Entscheidung einer Behörde
Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 09.01.2025 · Direktlink
Fehler melden
18.10.2022 ein US-amerikanischer VersicherungsdienstleisterNYDFS: 4,5 Mio. USD gegen US-Versicherungsdienstleister – Phishing auf geteiltes Postfach ohne MFA 4,58 Mio. €
Über einen Phishing-Angriff im Juli 2020 gelangten Angreifer in ein E-Mail-Postfach, das neun Beschäftigte mit denselben Zugangsdaten nutzten und das nicht per MFA geschützt war; darin lagen sechs Jahre an Gesundheitsdaten hunderttausender Kunden, auch von Minderjährigen. Die NYDFS stellte zudem mangelhafte Löschpraxis, unzureichende Risikoanalysen und unzutreffende Compliance-Bestätigungen für 2018–2021 fest und verhängte 4,5 Mio. USD.
Ein geteiltes Postfach ohne MFA und ohne Löschfristen macht aus einem Phishing-Klick eine Großpanne – Zugangsdaten nie teilen, alte E-Mails regelmäßig bereinigen.
Phishing, geteilte Zugangsdaten und Datenaufbewahrung im Postfach
- Behörde / Gericht
- New York State Department of Financial Services (NYDFS)
- Rechtsgebiet
- Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement
- Rechtsgrundlage
- 23 NYCRR Part 500 (Cybersecurity Regulation)
- Maßnahme
- Bußgeld
- Verfahrensstand
- rechtskräftig
- Branche
- Finanzdienstleistungen und Versicherungen
- Veröffentlicht
- 18.10.2022
Originalbetrag 4.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 18.10.2022.
- NYDFS, Newsroom (Übersicht) (Entscheidung 2022) Pressemitteilung einer Behörde
Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 18.10.2024 · Direktlink