Wer wurde wofür sanktioniert?

Die Betreiberin des Handelssystems OTC Link ATS hatte von 2016 bis 2025 keine vollständigen, nach Regulation SCI vorgeschriebenen Richtlinien zu Systemsicherheit, Zugriffskontrolle und Schwachstellenmanagement. Obwohl die SEC-Prüfer die Lücken bei mehreren Prüfungen beanstandet hatten, blieben Entwürfe unfertig; die SEC sprach eine Rüge aus und verhängte 575.000 USD.

Behörde / Gericht

U.S. Securities and Exchange Commission (SEC)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Regulation SCI, Rule 1001(a)(1)–(3)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

ja

Originalbetrag 575.000 USD, umgerechnet zum EZB-Referenzkurs vom 22.09.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der lizenzierte Geldtransferdienstleister hatte keine angemessenen Richtlinien für System-Updates und unzureichende Risikobewertungen nach der New Yorker Cybersecurity-Verordnung. Das Unternehmen hat die Mängel bereits behoben.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Wegen geringen Umsatzes war das Unternehmen von vielen Part-500-Pflichten ausgenommen; Mängel bereits behoben.

Veröffentlicht

05.08.2026

Originalbetrag 250.000 USD, umgerechnet zum EZB-Referenzkurs vom 05.08.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Luk Fook Securities (HK) wurde öffentlich gerügt und mit 2.100.000 HKD gebüßt, weil unzureichende Cybersicherheitskontrollen dazu beigetragen haben könnten, dass ein Ransomware-Angriff am 19. September 2022 zahlreiche zentrale Server traf und die vollständige Wiederherstellung bis 7. Oktober 2022 dauerte; Kunden konnten so lange nicht per App oder Internetplattform handeln. Festgestellt wurden unter anderem fehlender Firewall-Schutz, veraltete Betriebssysteme und Virenschutz, schwache Zugangs- und Passwortkontrollen mit unverschlüsselt gespeicherten Zugangsdaten, unzureichende Kontrollen von Fernzugängen und externen Geräten, mangelhafte Datensicherung sowie eine letzte Sicherheitsschulung im Jahr 2018.

Behörde / Gericht

Securities and Futures Commission (SFC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

s. 194 SFO (Cap. 571); Code of Conduct GP 2, GP 3, GP 7, paras. 12.1, 18.5 und Schedule 7; Guidelines for Reducing and Mitigating Hacking Risks Associated with Internet Trading

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

nein

Mildernde Umstände

Ursachenanalyse mit unabhängigem Prüfer, verstärkte Kontrollen, kein nachweisbarer Kundenschaden, Kooperation, keine früheren Disziplinarmaßnahmen.

Veröffentlicht

28.07.2026

Originalbetrag 2.100.000 HKD, umgerechnet zum EZB-Referenzkurs vom 28.07.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Über eine Zero-Day-Lücke in MOVEit Transfer erbeuteten Angreifer 2023 Dateien mit Sozialversicherungs-, Führerschein-, Konto- und Gesundheitsdaten. Das NYDFS rügte unzureichende Aufbewahrungseinstellungen, Richtlinien und Kontrollen sowie die verspätete Meldung der Cybersecurity-Vorfälle an die Aufsicht.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Veröffentlicht

30.04.2026

Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 29.04.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Hausverwaltung schickte als Auftragsverarbeiterin die Abrechnung der Nutzungsgebühren eines Eigentümers an eine unbefugte Person. Die Gemeinschaft hielt eine Meldung für unnötig, weil nur „gewöhnliche“ Daten eines Mitglieds betroffen seien, und blieb auch im Verfahren dabei; die UODO verhängte 4.852 PLN.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Bau und Immobilien

Originalbetrag 4.852 PLN, umgerechnet zum EZB-Referenzkurs vom 07.04.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Federal Court of Australia verhängte auf Antrag der Australian Securities and Investments Commission (ASIC, australische Kapitalmarkt- und Finanzdienstleistungsaufsicht) eine Geldbuße von 2,5 Mio. AUD gegen den auf festverzinsliche Anlagen spezialisierten Finanzdienstleister, weil er zwischen März 2019 und Juni 2023 keine angemessenen Cybersicherheitsmaßnahmen, Ressourcen und Risikomanagementsysteme vorhielt – u. a. fehlten Multi-Faktor-Authentifizierung für Fernzugriffe, regelmäßige Penetrationstests und verpflichtende Sicherheitsschulungen. Bei einem Angriff 2023 wurden rund 385 GB vertraulicher Daten entwendet und etwa 18.000 Kunden benachrichtigt; das Gericht ordnete zusätzlich ein Compliance-Programm mit unabhängigem Sachverständigen an.

Behörde / Gericht

Federal Court of Australia (auf Antrag der Australian Securities and Investments Commission, ASIC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Corporations Act 2001 (Cth) s 912A(1)(a), (d) und (h) i. V. m. s 912A(5A)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

nein

Mildernde Umstände

Volle Kooperation, Eingeständnisse und gemeinsame Tatsachenfeststellung; keine früheren Verstöße; die bekannten finanziellen Schäden (Sanierungskosten rund 1,5 Mio. AUD) trug im Wesentlichen das Unternehmen selbst.

Veröffentlicht

09.02.2026

Originalbetrag 2.500.000 AUD, umgerechnet zum EZB-Referenzkurs vom 09.02.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Am 8. Oktober 2024 fiel die Festnetztelefonie von Singtel für rund 500.000 Privat- und Geschäftskunden mehr als vier Stunden lang aus; betroffen waren auch Kundenhotlines von Behörden, Gesundheitseinrichtungen und Banken sowie Notrufdienste. Ursache war, dass die virtualisierten Firewalls des Sprachsystems und eines Überwachungssystems dieselbe Hardware nutzten, sodass eine Überlastung des unzureichend gefilterten Überwachungssystems auch das Sprachsystem störte und die automatische Umschaltung nicht sauber griff; ein Cyberangriff lag nach der Untersuchung nicht vor. Die IMDA verhängte nach dem Telecommunications Act eine Strafe von 1 Mio. SGD, weil der Vorfall für Singtel vermeidbar gewesen sei.

Behörde / Gericht

Infocomm Media Development Authority (IMDA)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunications Act

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

10.000 und mehr

Veröffentlicht

11.12.2025

Originalbetrag 1.000.000 SGD, umgerechnet zum EZB-Referenzkurs vom 11.12.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Nach einem Verfahren der Commerce Commission verpflichtete der High Court die One New Zealand Group Limited zu einer Geldbuße (pecuniary penalty) von 1.100.000 NZD; zusätzlich zahlt das Unternehmen 100.000 NZD an die Kosten der Behörde, die im Betrag nicht enthalten sind. One NZ räumte zehn Verstöße gegen den 111 Contact Code aus den Jahren 2021 bis 2023 ein, die Informationspflichten, Aufzeichnungen und die regelmäßige Ansprache von Kunden betrafen. Der Kodex soll sicherstellen, dass schutzbedürftige Kunden, deren Festnetzanschluss bei Stromausfall nicht funktioniert, kostenlos eine andere Möglichkeit zum Notruf 111 erhalten.

Behörde / Gericht

High Court of New Zealand (Verfahren der Commerce Commission)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunications Act 2001 (Neuseeland), s 156B; 111 Contact Code

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Laut Commerce Commission korrigierte One NZ die Verstöße, sobald es ihr Ausmaß erkannte, und kooperierte vollständig bei der Untersuchung; die Verstöße wurden eingeräumt.

Veröffentlicht

01.12.2025

Originalbetrag 1.100.000 NZD, umgerechnet zum EZB-Referenzkurs vom 01.12.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Ein Unbeteiligter erhielt im Oktober 2023 Vollstreckungsunterlagen eines Schuldners mit Name, Anschrift, Geburtsdatum, PESEL-Nummer, Forderungshöhe und Arbeitgeber. Die Kanzlei meldete weder der Aufsicht noch informierte sie den Betroffenen; die UODO verhängte 7.700 PLN für die fehlende Meldung und 13.200 PLN für die fehlende Benachrichtigung und ordnete an, den Betroffenen binnen drei Tagen zu informieren.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1, Art. 34 Abs. 1 und 2 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Originalbetrag 20.900 PLN, umgerechnet zum EZB-Referenzkurs vom 23.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Bei Prüfungen 2021/22 stellte die RDI fest, dass der Mobilfunkbetreiber für sein System zur gesetzlichen Telekommunikationsüberwachung keinen vorgeschriebenen Sicherheitsplan hatte, Beschäftigte mit Zugriff nicht ausreichend überprüft waren (fehlende Funktionsbeschreibungen, Geheimhaltungserklärungen, Führungszeugnisse), Unbefugte Zugang zu Abhördaten hatten und Lieferanten digital auf das System zugreifen konnten. Die RDI verhängte 1.518.750 Euro; Odido hat das System inzwischen erneuert.

Behörde / Gericht

Rijksinspectie Digitale Infrastructuur (RDI)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunicatiewet Art. 15.4; Besluit beveiliging gegevens telecommunicatie (Bbgt) Art. 2, 3, 4

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

System erneuert, Risiko unbefugter Zugriffe beseitigt.

Veröffentlicht

17.10.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Angreifer griffen über unzureichend gesicherte Online-Angebotsrechner und Vermittlerportale Führerscheinnummern und Geburtsdaten ab. Farmers verletzte die Cybersecurity-Verordnung und meldete den Vorfall nicht rechtzeitig; die Strafe ist Teil eines Pakets von insgesamt 19 Mio. $ gegen acht Kfz-Versicherer.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Veröffentlicht

14.10.2025

Originalbetrag 2.775.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Angreifer lasen über die Sofortangebots-Anwendungen des Kfz-Versicherers Führerscheinnummern im Klartext aus. Infinity entdeckte die Auffälligkeiten am 9. Februar 2021, meldete den Cybervorfall der NYDFS aber erst am 14. April 2021; die Aufsicht rügte zudem fehlende MFA und unsichere Entwicklungspraktiken.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

23 NYCRR § 500.17(a), § 500.12(a) u. a.

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach einem Update der PSD2-Schnittstelle für Drittanbieter im Juli 2023 war die Vertraulichkeit von 57 IBAN-Konten von Bankkunden nicht gewährleistet. Die Bankenaufsicht sprach gegen die Bank eine Verwarnung wegen Verletzung der Pflicht zur Wahrung vertraulicher Daten aus (rechtskräftig).

Behörde / Gericht

Banka Slovenije

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 146, Art. 396 Abs. 1 Nr. 18 ZBan-3 (slowenisches Bankengesetz)

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Über einen ungeschützten Entwicklungsserver der Werbeagentur waren Kundendaten (u. a. Namen, E-Mail-Adressen, Geburtsdaten, Telefonnummern) abrufbar. Eine Mitarbeiterin hielt den ersten Hinweis eines Externen im Januar 2025 für Spam; erst ein zweiter Hinweis im Februar erreichte die Geschäftsführung, die die Lücke schloss, den Vorfall aber erst am 2. Mai 2025 nach Aufforderung der DSB meldete. Die Behörde rechnete das Verhalten der Mitarbeiterin dem Unternehmen zu.

Behörde / Gericht

Datenschutzbehörde (DSB)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1 iVm Art. 83 Abs. 4 lit. a DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Medien und Online-Plattformen

Verschulden

fahrlässig

Mildernde Umstände

Keine früheren Verstöße und Mitwirkung im Verfahren; Lücke nach dem zweiten Hinweis sofort geschlossen, Beschäftigte nachträglich geschult.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Beschäftigter des Dentalversicherungsdienstleisters gab über eine Phishing-Mail seine Zugangsdaten preis; das Postfach mit über 100.000 E-Mails und Gesundheits- sowie Sozialversicherungsdaten war zugänglich. Healthplex wusste seit November 2021 von dem Vorfall, meldete ihn der NYDFS aber erst im April 2022 statt binnen 72 Stunden; zudem fehlten MFA für den Webzugang und eine Löschrichtlinie.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

23 NYCRR § 500.17(a), § 500.12(b), § 500.13, § 500.17(b)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.08.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Ein Betrüger gab sich per E-Mail als Kundin aus und erhielt von Sachbearbeitern des Lebensversicherers zwischen 2021 und 2023 Auskünfte und Unterlagen zu drei Policen, ohne dass seine Identität geprüft wurde. Obwohl die Kundin das Unternehmen im September 2024 auf die falsche E-Mail-Adresse hinwies, meldete Poste Vita die Verletzung erst im Januar 2025 an die Aufsicht.

Behörde / Gericht

Garante per la protezione dei dati personali

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 5 Abs. 1 lit. a und f, Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Mildernde Umstände

Sofortige Sperre weiterer Kommunikation, interne Untersuchung, Strafanzeige und verschärfte Identitätsprüfung.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die Nkom verhängte gegen Telenor Norge eine Verwaltungssanktion (overtredelsesgebyr) von 50.000.000 NOK, weil Notrufe über das Netz des Anbieters an vier Terminen im Herbst 2024 (29. August, 16. September, 17./18. Oktober, 13. November) ganz oder zeitweise scheiterten oder falsch geleitet wurden. Die Aufsicht stellte 22 Verstöße gegen ekomloven, sikkerhetsloven und mehrere Verordnungen fest, darunter unzureichende Risikobewertungen, nicht sicher durchgeführte geplante Arbeiten, unzureichende Redundanz, ungenügende Prüfung eines Unterauftragnehmers und verspätete Meldungen an die Behörde. Im endgültigen Beschluss hielt die Nkom an der im Februar 2025 angekündigten Höhe fest; die Beschwerdefrist lief bis 8. September 2025.

Behörde / Gericht

Nasjonal kommunikasjonsmyndighet (Nkom)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

ekomloven (lov 4. juli 2003 nr. 83), sikkerhetsloven (lov 1. juni 2018 nr. 24), ekomforskriften, nummerforskriften, klassifiseringsforskriften, virksomhetssikkerhetsforskriften

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Beschäftigte

1.000 bis 9.999

Veröffentlicht

03.07.2025

Originalbetrag 50.000.000 NOK, umgerechnet zum EZB-Referenzkurs vom 03.07.2025.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die finnische Finanzaufsicht verhängte gegen S-Pankki Oyj eine gemeinsame Sanktionszahlung von 7.670.000 EUR wegen Mängeln im Management operativer Risiken und sprach zusätzlich eine öffentliche Verwarnung aus. Ein Programmierfehler, der vom 20. April bis 5. August 2022 in einem Banksystem produktiv war, war vorab nicht ausreichend getestet worden; die Bank hatte kein ausreichend sicheres System und kein wirksames Störungsmanagement und war auf Risiken aus der Auslagerung unzureichend vorbereitet. Die Verwarnung betrifft die fehlende vorgeschriebene starke Kundenauthentifizierung und Zahlungen ohne Zustimmung der Zahler vom 6. Mai bis 5. August 2022; frühere Sanktionszahlungen der Aufsicht gegen die Bank (2019 und 2021) wirkten erhöhend. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Finanssivalvonta (FIN-FSA)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Luottolaitostoiminnasta annettu laki 9 luku 16 § (1, 2 und 4 mom.) mit MOK 8/2014; FivaL 40 §, 41 §, 41 b §; öffentliche Verwarnung nach FivaL 39 § wegen Maksupalvelulaki 85 c § 1 mom. und 38 § 1 mom.

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

ja

Mildernde Umstände

Maßnahmen gegen eine Wiederholung und Zusammenarbeit mit der Aufsicht bei der Aufklärung wirkten mindernd.

Veröffentlicht

23.05.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Laut FTC setzte der Webhoster für seine Hosting-Dienste keine Multi-Faktor-Authentifizierung ein, überwachte Sicherheitsbedrohungen unzureichend und sicherte Verbindungen zu Kundendaten nicht ab, warb aber mit „preisgekrönter Sicherheit“. Die endgültige Anordnung verbietet Falschaussagen zur Sicherheit, verlangt ein umfassendes Informationssicherheitsprogramm und regelmäßige Prüfungen durch unabhängige Assessoren.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5 FTC Act

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

21.05.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Als der Nickelpreis am 8. März 2022 binnen gut einer Stunde auf über 100.000 USD stieg, waren in den Asien-Handelsstunden nur jüngere Beschäftigte im Dienst, die nicht darauf geschult waren, einen ungeordneten Markt zu erkennen; sie eskalierten nicht und schalteten sogar Preisbänder ab. Die FCA verhängte gegen die anerkannte Börse erstmals eine Geldbuße: 9,2 Mio. GBP nach 30 % Nachlass.

Behörde / Gericht

Financial Conduct Authority (FCA)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

FCA REC 2.5.1 (Recognition Requirements); Art. 18 RTS 7 (MiFID II)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Frühe Einigung (30 % Nachlass); Verbesserungen seit März 2022.

Originalbetrag 9.200.000 GBP, umgerechnet zum EZB-Referenzkurs vom 20.03.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die New Yorker Generalstaatsanwaltschaft hat mit drei US-Vertriebsgesellschaften der Heimsicherheitsmarke eufy eine Einstellungsvereinbarung (Assurance of Discontinuance) geschlossen. Entgegen der Werbung mit Privatsphäre und Ende-zu-Ende-Verschlüsselung waren Videoübertragungen der Kameras teils nicht Ende-zu-Ende und teils gar nicht verschlüsselt, ein laufender Videostream ließ sich unter Umständen ohne Anmeldung über die passende URL abrufen, und Prüfverfahren, die diese Schwachstellen hätten aufdecken können, fehlten. Die Unternehmen zahlen mutmaßlich 450.000 USD an Strafen und Kosten und müssen regelmäßig nachweisen, dass der Hersteller ein Informationssicherheitsprogramm, sichere Softwareentwicklung, Schwachstellenmanagement mit Penetrationstests und die Verschlüsselung der Videos umsetzt.

Behörde / Gericht

Office of the New York State Attorney General (Bureau of Internet & Technology)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

New York Executive Law § 63(12); New York General Business Law §§ 349, 350

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Handel und E-Commerce

Veröffentlicht

28.01.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Bei Änderungen an Datenflüssen für Steuerformulare 1099-K umgingen nicht ausreichend geschulte Teams Sicherheitsprozesse; Kriminelle mit kompromittierten Zugangsdaten konnten Formulare mit Sozialversicherungsnummern abrufen. Es fehlten qualifiziertes Personal, Schulung, Zugriffsrichtlinien sowie MFA, CAPTCHA und Rate Limiting.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Mildernde Umstände

PayPal hat die Mängel inzwischen behoben.

Veröffentlicht

23.01.2025

Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.01.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Die EPA (Region 10) verhängte gegen die Stadt Boardman (Oregon), deren Trinkwassersystem rund 4.490 Menschen versorgt, per Consent Agreement and Final Order eine Geldbuße (civil penalty) von 8.770 USD. Nach Darstellung der EPA hatte die Stadt die nach dem Safe Drinking Water Act vorgeschriebene Risiko- und Resilienzbewertung und den Notfallplan nicht rechtzeitig erstellt und eine EPA-Anordnung von 2022 nicht erfüllt: Bei einer Inspektion im April 2024 war die Bewertung eine leere Vorlage, der Notfallplan stammte von 2005 und enthielt keinen Abschnitt zur Cybersicherheit. Die Stadt erkannte die Zuständigkeit an, ohne die Sachvorwürfe einzuräumen oder zu bestreiten, und verzichtete auf Rechtsmittel. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

U.S. Environmental Protection Agency (EPA), Region 10

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Safe Drinking Water Act Section 1433(a) und (b) (42 U.S.C. § 300i-2) sowie Section 1414(g)(3)(A); Strafe nach Section 1414(g)(3)(B) (42 U.S.C. § 300g-3(g)(3)(B))

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Energie und Versorgung

Wiederholungsfall

ja

Veröffentlicht

07.01.2025

Originalbetrag 8.770 USD, umgerechnet zum EZB-Referenzkurs vom 07.01.2025.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Laut FTC betrafen drei Angriffe zwischen 2014 und 2020 mehr als 344 Mio. Gäste weltweit, darunter 5,25 Mio. unverschlüsselte Passnummern; ein Einbruch blieb 14 Monate unentdeckt. Die FTC wirft unzureichende Passwort-, Zugriffs-, Firewall- und Segmentierungskontrollen, fehlendes Patchen, mangelndes Logging und zu wenig MFA vor; die im Dezember 2024 endgültig erlassene Anordnung verlangt ein Sicherheitsprogramm mit jährlicher Bestätigung gegenüber der FTC über 20 Jahre, unabhängige Prüfungen alle zwei Jahre, Datenminimierung und eine Löschmöglichkeit für US-Kunden. Parallel zahlt Marriott 52 Mio. USD an 49 Bundesstaaten und Washington, D.C.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5 FTC Act

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Sonstige

Beschäftigte

10.000 und mehr

Veröffentlicht

20.12.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Nach einer rund 75-minütigen Anmeldestörung bei Instagram am 22.03.2024, die etwa 3,35 Mio. Nutzer in Korea betraf, meldete Meta Platforms den Vorfall trotz dreimaliger Nachfrage des Ministeriums erst 24 Stunden und 19 Minuten nach Beginn. Vorgeschrieben ist eine Meldung binnen 10 Minuten und ein schriftlicher Bericht binnen zwei Stunden; das Ministerium verhängte nach dem Framework Act on Broadcasting and Communications Development (방송통신발전 기본법) ein Verwaltungsbußgeld von 5.000.000 KRW. Betrag und Sachverhalt sind nicht an der Primärseite bestätigt.

Behörde / Gericht

Ministry of Science and ICT (MSIT, 과학기술정보통신부)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Framework Act on Broadcasting and Communications Development (방송통신발전 기본법) Art. 38; Basisplan zum Management von Kommunikationsstörungen 2024

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Beschäftigte

10.000 und mehr

Veröffentlicht

28.11.2024

Originalbetrag 5.000.000 KRW, umgerechnet zum EZB-Referenzkurs vom 28.11.2024.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Ab Ende 2020 erbeuteten Angreifer in mehreren Vorfällen über öffentlich erreichbare Webanwendungen des Kfz-Versicherers GEICO – darunter das Angebotsportal, die Schadenwebsite und eine Schnittstelle – nicht öffentliche Daten von New Yorkern, vor allem Führerscheinnummern. Die NYDFS stellte Verstöße gegen die Cybersicherheitsverordnung 23 NYCRR Part 500 fest, unter anderem unzureichende Risikobewertungen, fehlende Überwachung der Nutzeraktivitäten und unrichtige Compliance-Bescheinigungen für 2017 bis 2021, und verhängte eine Strafe von 5.000.000 USD. Parallel zahlt GEICO in einem eigenen Vergleich mit der New Yorker Generalstaatsanwaltschaft weitere 4.750.000 USD. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR §§ 500.2(b), 500.3(i) und (k), 500.5, 500.8(a), 500.9(a), 500.14(a), 500.17(b); Strafe nach New York Financial Services Law § 408

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Die NYDFS würdigte die Kooperation während der Untersuchung und die erheblichen Investitionen in die Behebung der Mängel.

Veröffentlicht

25.11.2024

Originalbetrag 5.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 25.11.2024.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Eine US-Swap-Handelsplattform informierte ihr Board nicht vollständig über Ergebnisse von Notfall-, Technik-Risiko- und Penetrationstests, testete ihre Business-Continuity- und Disaster-Recovery-Fähigkeiten nicht regelmäßig und hatte kein angemessenes Risikomanagement. Außerdem legte sie bei einer Prüfung angeforderte Unterlagen trotz Fristverlängerungen nicht rechtzeitig vor; die CFTC verhängte 875.000 USD.

Behörde / Gericht

Commodity Futures Trading Commission (CFTC)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Commodity Exchange Act; CFTC-Regeln zu System Safeguards für Swap Execution Facilities

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Originalbetrag 875.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.10.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 01.10.2026 · Direktlink

Die ICO sprach am 5. Juli 2024 gegenüber einem Londoner Bezirk eine (aktualisierte) Verwarnung aus. Anlass war nach der Darstellung im Bescheid ein Ransomware-Angriff, von dem der Bezirk am 11. Oktober 2020 erfuhr: Der Angreifer konnte auf 440.000 Dateien mit personenbezogenen Daten, darunter besondere Kategorien, von mindestens 280.000 Einwohnern und weiteren Personen einschließlich Beschäftigten zugreifen und sie verschlüsseln. Nach den Feststellungen der ICO waren das Patch-Management und die Verwaltung von Benutzerkonten unzureichend, was gegen Art. 5(1)(f) und 32(1)(b) UK GDPR verstieß. Die ICO hatte zunächst eine Geldbuße erwogen, entschied sich aber unter Berücksichtigung ihres Ansatzes gegenüber dem öffentlichen Sektor und der Umstände des Falls für eine Verwarnung.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 05.07.2026 · Direktlink

Die ICO sprach gegenüber einer auf Straf- und Militärrecht spezialisierten Anwaltskanzlei eine Verwarnung aus. Nach den Feststellungen der ICO verschaffte sich ein unbekannter Angreifer mit gültigen Zugangsdaten Zugriff auf den Cloud-Server der Kanzlei und veröffentlichte Daten im Darknet. Betroffen waren 8.234 Personen im Vereinigten Königreich, 863 davon mit hohem Risiko, weil auch Angaben zu Strafverfahren betroffen waren. Die ICO bemängelte, dass für das betroffene Administratorkonto keine Mehr-Faktor-Authentifizierung und keine Passwortrichtlinie bestand und dass die Kanzlei den Vertrag mit ihrem externen IT-Dienstleister seit 2012 nicht auf angemessene Sicherheitsmaßnahmen überprüft hatte. Sie sah Verstöße gegen Art. 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.06.2026 · Direktlink

Im April 2021 wies ein Dritter den Konzern auf eine Schwachstelle in seinem VPN hin; der Konzern fand eingeschleusten Schadcode, informierte die Rechts- und Compliance-Verantwortlichen der Börsen- und Clearing-Töchter aber tagelang nicht. Die Töchter, darunter eine Wertpapierbörse, meldeten den Vorfall deshalb nicht wie nach Regulation SCI vorgeschrieben sofort an die SEC; der Konzern zahlte 10 Mio. USD.

Behörde / Gericht

U.S. Securities and Exchange Commission (SEC)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Regulation Systems Compliance and Integrity (Regulation SCI), Meldepflichten

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Wiederholungsfall

ja

Originalbetrag 10.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 22.05.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 22.05.2026 · Direktlink

Ein niederländischer Telekommunikationsanbieter traf laut RDI von Oktober 2021 bis Dezember 2022 nicht die nötigen Maßnahmen, um Daten aus der gesetzlichen Telekommunikationsüberwachung vor Unbefugten zu schützen: Der Sicherheitsplan genügte nicht, Personal mit Zugriff war unzureichend überprüft (fehlende Funktionsbeschreibungen, Geheimhaltungserklärungen, Führungszeugnisse), und logische wie physische Zugangskontrollen waren mangelhaft. Ein tatsächlicher unbefugter Zugriff wurde nicht festgestellt; die Buße beträgt 2,25 Mio. Euro.

Behörde / Gericht

Rijksinspectie Digitale Infrastructuur (RDI)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Telecommunicatiewet Art. 15.4; Besluit beveiliging gegevens telecommunicatie (Bbgt) Art. 2, 3, 4, 8

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Mildernde Umstände

Mängel nach Feststellung behoben; kein tatsächlicher unbefugter Zugriff festgestellt.

Veröffentlicht

22.10.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.05.2026 · Direktlink

Laut FTC-Beschwerde nutzte ein Angreifer Anfang 2020 Schwachstellen im Netz des Datendienstleisters für Unternehmen und gemeinnützige Organisationen und erbeutete große Mengen unverschlüsselter Daten, darunter Sozialversicherungs- und Kontonummern von Millionen Menschen; der Angriff blieb drei Monate unentdeckt, der Dienstleister informierte seine Kunden erst nach fast zwei Monaten und stellte das Ausmaß irreführend dar. Die endgültige Anordnung verlangt ein umfassendes Sicherheitsprogramm, einen Löschplan, das Löschen nicht mehr benötigter Daten und die Meldung künftiger meldepflichtiger Vorfälle an die FTC.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5 FTC Act

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.05.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 20.05.2026 · Direktlink

Die ICO sprach gegenüber einer britischen Behörde eine Verwarnung aus. Nach den Feststellungen der ICO drangen unbekannte Angreifer ab dem 24. August 2021 über eine Kette bekannter Schwachstellen in den selbst betriebenen E-Mail-Server der Kommission ein; betroffen waren vor allem Daten aus dem Wählerverzeichnis mit Namen und Anschriften von rund 40 Millionen Personen. Die Sicherheitsupdates für diese Schwachstellen waren im April und Mai 2021 erschienen, aber nicht eingespielt. Zudem ließen sich bei einer Prüfung 178 aktive Konten schnell knacken, weil Passwörter identisch oder ähnlich zu den vom Service Desk vergebenen Startpasswörtern waren. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1)(b) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 09.05.2026 · Direktlink

Eine Kuriersendung mit Bankunterlagen (u. a. PESEL-Nummern, Kontonummern, Zugangsdaten) wurde gestohlen und in einer Wohnsiedlung weggeworfen; die Aufsicht erfuhr davon aus den Medien. Die Bank hatte weder die Behörde noch die Betroffenen informiert, weil sie das Risiko als gering einstufte – bereits 2022 war sie wegen unterlassener Benachrichtigung Betroffener sanktioniert worden.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1, Art. 34 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Wiederholungsfall

ja

Veröffentlicht

02.04.2024

Originalbetrag 1.440.549 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.03.2026 · Direktlink

Die Bank schickte Vertragsdaten eines Kunden an einen falschen Empfänger und meldete die Verletzung erst anderthalb Jahre später, als die Aufsicht nach einer Beschwerde nachfragte. Die Behörde sah wegen des Risikos eines Identitätsdiebstahls eine Meldepflicht binnen 72 Stunden.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

02.04.2024

Originalbetrag 78.575,4 PLN, umgerechnet zum EZB-Referenzkurs vom 12.03.2024.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 12.03.2026 · Direktlink

Die BaFin setzte gegen eine deutsche Großbank ein Bußgeld von 50.000 Euro fest, weil die Bank ihr zu einem schwerwiegenden, kundenrelevanten IT-Sicherheitsvorfall bei ihren Zahlungsdiensten im Jahr 2023 falsche Angaben gemacht und sie deutlich verspätet informiert hatte. Der Bescheid vom 8. Februar 2024 ist rechtskräftig.

Behörde / Gericht

Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

§ 64 Abs. 3 Nr. 15 ZAG

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Veröffentlicht

18.03.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 08.02.2026 · Direktlink

Die ICO sprach gegenüber einem englischen Schulträger eine Verwarnung aus. Nach Angaben der ICO nutzte ein unbefugter Dritter kompromittierte Zugangsdaten, um auf die Systeme des Trusts zuzugreifen und sie zu verschlüsseln. Nach den Feststellungen der ICO fehlten angemessene technische Maßnahmen: Die Kontosperre nach Fehlversuchen war unzureichend, und die umkehrbare Speicherung von Passwörtern war aktiviert, entgegen Empfehlungen des National Cyber Security Centre. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1)(b) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 07.12.2025 · Direktlink

Eine Anwendung des Versicherers erzeugte Links auf Transaktionsdokumente ohne Anmeldung und ohne Ablaufdatum; durch Ändern der fortlaufenden Dokumentnummer waren laut einem Journalisten 885 Mio. Dokumente mit u. a. Sozialversicherungs- und Bankdaten abrufbar. Nutzer sollten keine sensiblen Daten verschicken, technische Sperren gab es aber nicht.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR §§ 500.3, 500.7 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Originalbetrag 1.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 27.11.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 27.11.2025 · Direktlink

Die CSSF verhängte gegen das Kreditinstitut eine Ordnungsbuße (amende d'ordre) von 444.400 EUR, weil die interne Governance und Kontrolle zu IKT- und Sicherheitsrisiken nicht den Anforderungen entsprach. Grundlage waren Feststellungen einer Vor-Ort-Prüfung von Oktober 2022 bis Juni 2023 zu Art. 5(1bis) LSF sowie den Rundschreiben CSSF 20/750 und 12/552.

Behörde / Gericht

Commission de Surveillance du Secteur Financier (CSSF)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 63-2(1)(d) und (2)(e) Loi modifiée du 5 avril 1993 relative au secteur financier (LSF); verletzt Art. 5(1bis) LSF; Circulaires CSSF 20/750 und 12/552

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Das Institut erkannte alle Feststellungen an, legte einen detaillierten Aktionsplan vor und leitete sofort Abhilfe ein.

Veröffentlicht

20.02.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 17.11.2025 · Direktlink

Die ICO sprach gegenüber einem britischen Baustofflieferanten eine Verwarnung aus. Nach Angaben der ICO verschaffte sich am 11. März 2022 ein Angreifer Zugang zum Netzwerk, setzte Ransomware ein und leitete Daten aus, darunter personenbezogene Daten von 2.022 Beschäftigten und ehemaligen Beschäftigten im Vereinigten Königreich (u. a. Ausweis-, Bank- und Personaldaten). Nach den Feststellungen der ICO erfolgte der Zugriff über einen Remote-Desktop-Dienst einer Tochtergesellschaft ohne Multi-Faktor-Authentifizierung; zudem führte das Unternehmen vor dem Vorfall keine formalen Sicherheitstests wie Schwachstellenscans oder Penetrationstests durch, und der Angreifer nutzte eine seit über zwei Jahren bekannte Schwachstelle. Die ICO sah Verstöße gegen Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 14.11.2025 · Direktlink

Die ICO sprach gegenüber einem britischen Personaldienstleister eine Verwarnung aus. Nach Angaben der ICO verschaffte sich ein unbefugter Dritter innerhalb von zwölf Monaten zweimal Zugang zu den Systemen, um den 13. März 2022 und um den 16. August 2022, vermutlich jeweils per SQL-Injection, und leitete Daten aus; betroffen waren 13.720 bzw. 4.421 Personen im Vereinigten Königreich, bei einem Teil auch mit Bankverbindungen. Nach den Feststellungen der ICO nutzte das Unternehmen trotz Kenntnis nicht mehr unterstützte Versionen ihrer Datenbank- und Skriptsoftware, schlecht programmierten Code ohne ausreichende Eingabeprüfung und eine unzureichende Protokollierung und führte keine regelmäßigen Sicherheitstests durch. Die ICO sah Verstöße gegen Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 19.10.2025 · Direktlink

Der Versicherer schickte eine Entschädigungsbestätigung mit Name, Anschrift, Fahrzeug- und Schadensdaten per E-Mail an einen Unbefugten. Nach einer Bewertung mit einem Online-Rechner stufte er das Risiko als gering ein und meldete nicht; die Aufsicht sah die Meldepflicht verletzt und wertete u. a. Vorsatz und mangelnde Kooperation erschwerend.

Behörde / Gericht

Prezes Urzędu Ochrony Danych Osobowych (UODO)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 33 Abs. 1 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

vorsätzlich

Wiederholungsfall

ja

Veröffentlicht

23.11.2023

Originalbetrag 103.752 PLN, umgerechnet zum EZB-Referenzkurs vom 18.10.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 18.10.2025 · Direktlink

Die ICO sprach gegenüber einem britischen Dienstleistungskonzern eine Verwarnung aus. Laut ICO-Fallseite erlitt das Unternehmen einen Ransomware-Angriff, bei dem personenbezogene Daten ausgeleitet wurden. Nach den Feststellungen der ICO fehlten eine klare Regelung für private Endgeräte (BYOD) und eine angemessene Kontosperre nach Fehlversuchen, und für das betroffene Nutzerkonto war keine Multi-Faktor-Authentifizierung eingerichtet. Erschwerend wertete die ICO, dass Daten länger als nötig gespeichert wurden und die Benachrichtigung aller Betroffenen elf Monate dauerte. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 10.10.2025 · Direktlink

Die FCA verhängte gegen eine britische Auskunftei eine Geldbuße von 11.164.400 Pfund. Nach den Feststellungen der FCA hatte die Auskunftei die Verarbeitung britischer Verbraucherdaten an die US-Muttergesellschaft ausgelagert, ohne die Sicherheit dieser Daten angemessen zu überwachen, obwohl ihr Probleme beim Einspielen von Sicherheitsupdates bekannt waren. Beim Cyberangriff auf die Muttergesellschaft 2017 wurden auch Daten von Millionen Menschen in Großbritannien erbeutet. Anschließende öffentliche Stellungnahmen zu den Folgen für britische Verbraucher waren nach Ansicht der FCA nicht fair, klar und zutreffend. Die Buße enthält einen Nachlass von 30 %.

Behörde / Gericht

Financial Conduct Authority (FCA)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

FCA Principles 3, 6 und 7; section 206 FSMA 2000

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Originalbetrag 11.164.400 GBP, umgerechnet zum EZB-Referenzkurs vom 03.10.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 03.10.2025 · Direktlink

Die ICO sprach am 23. August 2023 gegenüber einer englischen Stadtverwaltung eine Verwarnung aus. Nach den Feststellungen der ICO verfügte die Stadtverwaltung vor einem Ransomware-Angriff über kein zentrales Logging oder SIEM-System; der Angreifer konnte Protokolle löschen, was Erkennung und Aufklärung erschwerte. Nach dem Angriff stellte die Stadt den Zugang zu personenbezogenen Daten nicht rechtzeitig wieder her, konnte die gefährdeten Betroffenen nicht bestimmen und stützte ihre Auswertung auf behelfsmäßige Abläufe, etwa Downloads über private WLAN-Netze von Beschäftigten. Die ICO sah Verstöße gegen Art. 32(1)(b), 32(1)(c) und 32(1)(d) UK GDPR. Die ICO-Durchsetzungsliste führt den Fall unter dem 1. September 2023.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1)(b), 32(1)(c) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 23.08.2025 · Direktlink

Die ICO sprach gegenüber einer britischen Betreiberin einer Videoplattform eine Verwarnung aus; auf ihrer Fallseite führt die ICO die Verwarnung als erteilt. Das veröffentlichte Dokument ist allerdings als vorläufige Entscheidung formuliert: Die ICO spricht darin von vorläufigen Feststellungen und mutmaßlichen Verstößen („provisional findings“, „alleged infringements“); eine endgültig formulierte Fassung hat sie nicht veröffentlicht. Nach Darstellung der ICO drang um den 14. August 2022 ein Unbefugter in die Systeme des Unternehmens ein und kopierte Namen, E-Mail-Adressen und Passwörter von 345.000 Nutzerinnen und Nutzern im Vereinigten Königreich; die genaue Ursache konnte das Unternehmen nicht angeben. Die ICO bemängelte vorläufig, dass das Unternehmen weder die zum Zeitpunkt des Vorfalls eingesetzten Sicherheitsmaßnahmen noch regelmäßige Penetrationstests oder Schwachstellenscans belegen konnte und sich auf Zusicherungen von Dienstleistern verließ, ohne Verträge oder Kontrollen nachzuweisen. Sie ging von Verstößen gegen Art. 32(1) und 32(1)(d) UK GDPR aus. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Medien und Online-Plattformen

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 25.07.2025 · Direktlink

Der Konsumentenkreditgeber ließ lokale Administratoren Konten teilen und das bei der Einrichtung vergebene Standardpasswort weiter nutzen, hatte keine formalisierte Methodik für sichere Softwareentwicklung, prüfte Dienstleister mit hohem und mittlerem Risiko nicht rechtzeitig und passte deren Risikobewertung auch nach von ihnen verursachten Vorfällen nicht an. Die NYDFS verhängte 4,25 Mio. USD; der Kreditgeber verpflichtete sich zu umfangreichen Abhilfemaßnahmen.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

25.05.2023

Originalbetrag 4.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 25.05.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 25.05.2025 · Direktlink

Finansinspektionen erteilte einer schwedischen Großbank eine Anmerkung (anmärkning) und eine Sanktionsgebühr von 850.000.000 SEK, weil die Bank am 28. April 2022 eine Änderung an einem geschäftskritischen IT-System – zur Umsetzung neuer EU-Sanktionen – ohne ihren internen Änderungsprozess vornahm: ohne Freigabe durch das Change Advisory Board, ohne Risikobewertung und ohne Rückfallplan. Der dabei entstandene Fehler stoppte rund 1,7 Mio. Transaktionen auf etwa 1,1 Mio. Konten, führte bei knapp 960.000 Kunden zu falschen Salden und hinderte rund 160.000 Kunden an Zahlungen; weil keine Kontrolle der Bank die Umgehung des Prozesses erkannt hatte, sah die Aufsicht die interne Kontrolle der systemrelevanten Bank als unzureichend an. Erschwerend wertete sie eine frühere Sanktion von 2020 (Kontrolle der Geldwäscheabwehr in Tochterbanken), zugunsten der Bank, dass der Verstoß weder lang andauernd noch systematisch war.

Behörde / Gericht

Finansinspektionen (FI)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

6 kap. 2 § lagen (2004:297) om bank- och finansieringsrörelse (LBF) i. V. m. 2 kap. 1 § första stycket 5 FFFS 2014:1; Anmärkning nach 15 kap. 1 § LBF, Sanktionsavgift nach 15 kap. 7 § LBF

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Wiederholungsfall

ja

Mildernde Umstände

Kein lang andauernder oder systematischer Verstoß; die Bank hat Maßnahmen zur Stärkung der internen Kontrolle ergriffen und weitere angekündigt.

Veröffentlicht

15.03.2023

Originalbetrag 850.000.000 SEK, umgerechnet zum EZB-Referenzkurs vom 14.03.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 14.03.2025 · Direktlink

Die ICO sprach am 10. März 2023 gegenüber einem britischen Online-Handelsanbieter eine Verwarnung aus. Nach den Feststellungen der ICO nutzte ein unbefugter Dritter am 14. April 2020 eine nicht gepatchte Schwachstelle in einer eingesetzten Fremdsoftware, um in die Systeme einzudringen und 17,92 GB Daten abzuziehen; betroffen waren 72.361 Personen im Vereinigten Königreich, darunter Namen, E-Mail-Adressen, Kontonummern und Bankleitzahlen. Das Unternehmen hatte kein Patch-Management-Programm und spielte Sicherheitsupdates nicht ein, obwohl dies nach dem Supportvertrag in seiner eigenen Verantwortung lag. Die ICO prüfte den Fall nach der DSGVO in der damals geltenden Fassung und sah Verstöße gegen Art. 32(1) und 32(1)(b) GDPR.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1) und 32(1)(b) GDPR; Verwarnung nach Art. 58(2)(b) GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 10.03.2025 · Direktlink

Die ICO sprach am 21. Februar 2023 gegenüber einem britischen Berufsverband der Finanzbranche eine Verwarnung aus; auf ihrer Fallseite führt sie die Verwarnung als erteilt. Das veröffentlichte Schreiben ist jedoch als Ankündigung und vorläufige Entscheidung formuliert („we intend to issue“, „provisionally decided“, „alleged infringements“); eine endgültig formulierte Fassung hat die ICO nicht veröffentlicht. Nach Darstellung der ICO nutzte ein Angreifer am 17. Februar 2020 eine bekannte Sicherheitslücke in der Website-Software und einen Brute-Force-Angriff, um Schadcode auf der Bezahlseite zu platzieren; der Code griff Zahlungsdaten von schätzungsweise 3.883 Personen im Vereinigten Königreich sowie Namen und E-Mail-Adressen ab, 654 Betroffene meldeten Kartenmissbrauch. Eine von dem Verband beauftragte forensische Untersuchung ergab laut ICO, dass nicht mehr unterstützte Software lief und ein Patch für eine kritische Lücke seit 2017 verfügbar war; Penetrationstests hatte der Verband nach eigenen Angaben vor dem Vorfall nicht durchgeführt. Die ICO ging vorläufig von Verstößen gegen Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR aus.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.02.2025 · Direktlink

Eine Kundin erhielt auf ihr Auskunftsersuchen eine CD mit Callcenter-Gesprächen eines anderen Kunden. Der Anbieter untersuchte den Hinweis nicht selbst, sondern verließ sich auf den Dienstleister und forderte die CD zurück; die Behörde ahndete die unterlassene Meldung und die nicht erfüllte Auskunft.

Behörde / Gericht

Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Hellenic DPA)

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 15, Art. 33 DSGVO

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Telekommunikation, IT und Software

Veröffentlicht

30.03.2023

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.02.2025 · Direktlink

Die Telemedizin- und Rabattplattform gab jahrelang Gesundheitsdaten ihrer Nutzer an drei große Werbe- und Technologieunternehmen und andere Werbepartner weiter und meldete diese unbefugten Offenlegungen nicht, wie es die Health Breach Notification Rule verlangt. Im ersten Verfahren nach dieser Regel stimmte die Plattform einer zivilrechtlichen Strafe von 1,5 Mio. USD und einem Verbot der Weitergabe zu Werbezwecken zu; der Vergleich bedurfte noch gerichtlicher Genehmigung.

Behörde / Gericht

Federal Trade Commission (FTC) / U.S. Department of Justice

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

FTC Health Breach Notification Rule (16 CFR Part 318); Section 5 FTC Act

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Gesundheitswesen

Originalbetrag 1.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 01.02.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 01.02.2025 · Direktlink

Die FTC hat ihre Anordnung gegen einen Online-Marktplatz für Alkohol endgültig erlassen. Nach dem Vorwurf der Behörde war das Unternehmen zwei Jahre vor einer Datenpanne im Jahr 2020 auf Sicherheitslücken hingewiesen worden, setzte grundlegende Schutzmaßnahmen dennoch nicht um, legte kritische Datenbankinformationen auf einer ungesicherten Plattform ab und überwachte Bedrohungen nicht; betroffen waren Daten von rund 2,5 Millionen Verbrauchern. Der Marktplatz muss nicht benötigte personenbezogene Daten löschen, die Erhebung an einen festgelegten Aufbewahrungsplan binden und ein Informationssicherheitsprogramm einführen. Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5(a) FTC Act, 15 U.S.C. § 45(a) (unlautere und irreführende Praktiken)

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Handel und E-Commerce

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Veröffentlicht

10.01.2023

Gegen die amtliche Quelle geprüft am 08.10.2026 · Unternehmensname anonymisiert seit 09.01.2025 · Direktlink

Nach der Migration auf eine neue IT-Plattform im April 2018 konnten Kunden in Filialen, am Telefon und online über Monate nur eingeschränkt Bankgeschäfte erledigen; betroffen waren alle Filialen und ein großer Teil der 5,2 Mio. Kunden. FCA und PRA warfen der Bank mangelhafte Planung, Governance und Steuerung des Auslagerungsrisikos vor und verhängten zusammen 48,65 Mio. GBP (FCA 29,75 Mio., PRA 18,9 Mio.).

Behörde / Gericht

Financial Conduct Authority (FCA) und Prudential Regulation Authority (PRA)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

FCA- und PRA-Anforderungen an operationelles Risikomanagement, Governance und Auslagerung

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

30 % Nachlass wegen Einigung; 32,7 Mio. GBP Entschädigung an Kunden bereits gezahlt.

Originalbetrag 48.650.000 GBP, umgerechnet zum EZB-Referenzkurs vom 20.12.2022.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 20.12.2024 · Direktlink

Die Bank meldete der EZB einen erheblichen Cybervorfall vom Februar 2019 nicht innerhalb der vorgeschriebenen zwei Stunden, sondern erst 46 Stunden nach Fristablauf, obwohl sie die Meldepflicht und die Schwere des Vorfalls kannte; damit verstieß sie gegen einen EZB-Beschluss vom 23. Mai 2017. Die EZB stufte den Verstoß als schwer ein, verhängte 3.145.000 EUR und berücksichtigte die sehr aktive Kooperation und eigene Abhilfemaßnahmen mildernd.

Behörde / Gericht

Europäische Zentralbank (EZB), Bankenaufsicht

Rechtsgebiet

Informationssicherheit und Cyber · Meldepflichten bei Sicherheitsvorfällen

Rechtsgrundlage

Art. 18 Abs. 7 VO (EU) Nr. 1024/2013; EZB-Beschluss vom 23. Mai 2017 (Meldung erheblicher Cybervorfälle)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

vorsätzlich

Mildernde Umstände

Sehr aktive Kooperation mit der EZB, eigene Abhilfemaßnahmen und rasche Behebung der Folgen des Vorfalls.

Veröffentlicht

16.12.2022

Gegen die amtliche Quelle geprüft am 28.09.2026 · Unternehmensname anonymisiert seit 07.12.2024 · Direktlink

Die ICO verhängte am 19. Oktober 2022 gegen die Muttergesellschaft einer britischen Baugruppe eine Geldbuße von 4.400.000 Pfund. Nach den Feststellungen der ICO gelangte nach einer am 30. März 2020 eingegangenen und intern weitergeleiteten Phishing-E-Mail am 1. April 2020 Schadsoftware auf einen Arbeitsplatzrechner. Der Angreifer kompromittierte in der Folge 283 Systeme und 16 Konten, darunter 12 privilegierte, deinstallierte den Virenschutz und verschlüsselte unter anderem vier Personaldatenbanken mit Daten von bis zu 113.000 Beschäftigten, darunter besondere Kategorien personenbezogener Daten; die Gesellschaft stufte den Vorfall laut ICO am 2. Mai 2020 als Ransomware-Angriff ein. Die ICO bemängelte unter anderem nicht mehr unterstützte Betriebssysteme, veraltete Protokolle, unzureichenden Endpunktschutz, fehlende regelmäßige Schwachstellenscans und Penetrationstests, Lücken bei Schulungen sowie bei Vorfallsreaktion und Verwaltung privilegierter Konten. Sie sah für den Zeitraum 18. März 2019 bis 1. Dezember 2020 Verstöße gegen Art. 5(1)(f) und 32 GDPR. Die ICO veröffentlichte den Fall am 24. Oktober 2022.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32 GDPR; Geldbuße nach section 155 DPA 2018 und Art. 83 GDPR

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Originalbetrag 4.400.000 GBP, umgerechnet zum EZB-Referenzkurs vom 19.10.2022.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 19.10.2024 · Direktlink

Über einen Phishing-Angriff im Juli 2020 gelangten Angreifer in ein E-Mail-Postfach, das neun Beschäftigte mit denselben Zugangsdaten nutzten und das nicht per MFA geschützt war; darin lagen sechs Jahre an Gesundheitsdaten hunderttausender Kunden, auch von Minderjährigen. Die NYDFS stellte zudem mangelhafte Löschpraxis, unzureichende Risikoanalysen und unzutreffende Compliance-Bestätigungen für 2018–2021 fest und verhängte 4,5 Mio. USD.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Veröffentlicht

18.10.2022

Originalbetrag 4.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 18.10.2022.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 18.10.2024 · Direktlink

Die New Yorker Terminbörse hielt von 2017 bis 2021 zentrale System-Safeguard-Pflichten nicht ein: keine Kontrolltests, unzureichende interne und externe Penetrationstests, mangelhafte Technologie-Risikobewertungen ohne Befassung des Boards und eine verspätete Meldung einer sicherheitsrelevanten Systemänderung. Hinzu kamen Meldeverstöße und eine Falschangabe gegenüber der CFTC; wegen Kooperation wurde die Strafe auf 6,5 Mio. USD reduziert.

Behörde / Gericht

Commodity Futures Trading Commission (CFTC)

Rechtsgebiet

Informationssicherheit und Cyber · Kritische Infrastrukturen

Rechtsgrundlage

Commodity Exchange Act; CFTC-Regeln zu System Safeguards für Designated Contract Markets

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Erhebliche Kooperation und Abhilfe; Strafe deshalb reduziert.

Originalbetrag 6.500.000 USD, umgerechnet zum EZB-Referenzkurs vom 29.09.2022.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 29.09.2024 · Direktlink