Wer wurde wofür sanktioniert?

Der lizenzierte Geldtransferdienstleister hatte keine angemessenen Richtlinien für System-Updates und unzureichende Risikobewertungen nach der New Yorker Cybersecurity-Verordnung. Das Unternehmen hat die Mängel bereits behoben.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Wegen geringen Umsatzes war das Unternehmen von vielen Part-500-Pflichten ausgenommen; Mängel bereits behoben.

Veröffentlicht

05.08.2026

Originalbetrag 250.000 USD, umgerechnet zum EZB-Referenzkurs vom 05.08.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Luk Fook Securities (HK) wurde öffentlich gerügt und mit 2.100.000 HKD gebüßt, weil unzureichende Cybersicherheitskontrollen dazu beigetragen haben könnten, dass ein Ransomware-Angriff am 19. September 2022 zahlreiche zentrale Server traf und die vollständige Wiederherstellung bis 7. Oktober 2022 dauerte; Kunden konnten so lange nicht per App oder Internetplattform handeln. Festgestellt wurden unter anderem fehlender Firewall-Schutz, veraltete Betriebssysteme und Virenschutz, schwache Zugangs- und Passwortkontrollen mit unverschlüsselt gespeicherten Zugangsdaten, unzureichende Kontrollen von Fernzugängen und externen Geräten, mangelhafte Datensicherung sowie eine letzte Sicherheitsschulung im Jahr 2018.

Behörde / Gericht

Securities and Futures Commission (SFC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

s. 194 SFO (Cap. 571); Code of Conduct GP 2, GP 3, GP 7, paras. 12.1, 18.5 und Schedule 7; Guidelines for Reducing and Mitigating Hacking Risks Associated with Internet Trading

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

nein

Mildernde Umstände

Ursachenanalyse mit unabhängigem Prüfer, verstärkte Kontrollen, kein nachweisbarer Kundenschaden, Kooperation, keine früheren Disziplinarmaßnahmen.

Veröffentlicht

28.07.2026

Originalbetrag 2.100.000 HKD, umgerechnet zum EZB-Referenzkurs vom 28.07.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Über eine Zero-Day-Lücke in MOVEit Transfer erbeuteten Angreifer 2023 Dateien mit Sozialversicherungs-, Führerschein-, Konto- und Gesundheitsdaten. Das NYDFS rügte unzureichende Aufbewahrungseinstellungen, Richtlinien und Kontrollen sowie die verspätete Meldung der Cybersecurity-Vorfälle an die Aufsicht.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Veröffentlicht

30.04.2026

Originalbetrag 2.250.000 USD, umgerechnet zum EZB-Referenzkurs vom 29.04.2026.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Der Federal Court of Australia verhängte auf Antrag der Australian Securities and Investments Commission (ASIC, australische Kapitalmarkt- und Finanzdienstleistungsaufsicht) eine Geldbuße von 2,5 Mio. AUD gegen den auf festverzinsliche Anlagen spezialisierten Finanzdienstleister, weil er zwischen März 2019 und Juni 2023 keine angemessenen Cybersicherheitsmaßnahmen, Ressourcen und Risikomanagementsysteme vorhielt – u. a. fehlten Multi-Faktor-Authentifizierung für Fernzugriffe, regelmäßige Penetrationstests und verpflichtende Sicherheitsschulungen. Bei einem Angriff 2023 wurden rund 385 GB vertraulicher Daten entwendet und etwa 18.000 Kunden benachrichtigt; das Gericht ordnete zusätzlich ein Compliance-Programm mit unabhängigem Sachverständigen an.

Behörde / Gericht

Federal Court of Australia (auf Antrag der Australian Securities and Investments Commission, ASIC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Corporations Act 2001 (Cth) s 912A(1)(a), (d) und (h) i. V. m. s 912A(5A)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

nein

Mildernde Umstände

Volle Kooperation, Eingeständnisse und gemeinsame Tatsachenfeststellung; keine früheren Verstöße; die bekannten finanziellen Schäden (Sanierungskosten rund 1,5 Mio. AUD) trug im Wesentlichen das Unternehmen selbst.

Veröffentlicht

09.02.2026

Originalbetrag 2.500.000 AUD, umgerechnet zum EZB-Referenzkurs vom 09.02.2026.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Angreifer griffen über unzureichend gesicherte Online-Angebotsrechner und Vermittlerportale Führerscheinnummern und Geburtsdaten ab. Farmers verletzte die Cybersecurity-Verordnung und meldete den Vorfall nicht rechtzeitig; die Strafe ist Teil eines Pakets von insgesamt 19 Mio. $ gegen acht Kfz-Versicherer.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Veröffentlicht

14.10.2025

Originalbetrag 2.775.000 USD, umgerechnet zum EZB-Referenzkurs vom 14.10.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Nach einem Update der PSD2-Schnittstelle für Drittanbieter im Juli 2023 war die Vertraulichkeit von 57 IBAN-Konten von Bankkunden nicht gewährleistet. Die Bankenaufsicht sprach gegen die Bank eine Verwarnung wegen Verletzung der Pflicht zur Wahrung vertraulicher Daten aus (rechtskräftig).

Behörde / Gericht

Banka Slovenije

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 146, Art. 396 Abs. 1 Nr. 18 ZBan-3 (slowenisches Bankengesetz)

Maßnahme

Verwarnung

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Haftung von Führungskräften

Maßnahmen gegen einzelne Personen werden hier nicht wiedergegeben.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Direktlink

Die finnische Finanzaufsicht verhängte gegen S-Pankki Oyj eine gemeinsame Sanktionszahlung von 7.670.000 EUR wegen Mängeln im Management operativer Risiken und sprach zusätzlich eine öffentliche Verwarnung aus. Ein Programmierfehler, der vom 20. April bis 5. August 2022 in einem Banksystem produktiv war, war vorab nicht ausreichend getestet worden; die Bank hatte kein ausreichend sicheres System und kein wirksames Störungsmanagement und war auf Risiken aus der Auslagerung unzureichend vorbereitet. Die Verwarnung betrifft die fehlende vorgeschriebene starke Kundenauthentifizierung und Zahlungen ohne Zustimmung der Zahler vom 6. Mai bis 5. August 2022; frühere Sanktionszahlungen der Aufsicht gegen die Bank (2019 und 2021) wirkten erhöhend. Die Entscheidung ist nicht rechtskräftig.

Behörde / Gericht

Finanssivalvonta (FIN-FSA)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Luottolaitostoiminnasta annettu laki 9 luku 16 § (1, 2 und 4 mom.) mit MOK 8/2014; FivaL 40 §, 41 §, 41 b §; öffentliche Verwarnung nach FivaL 39 § wegen Maksupalvelulaki 85 c § 1 mom. und 38 § 1 mom.

Maßnahme

Bußgeld

Verfahrensstand

angefochten

Branche

Finanzdienstleistungen und Versicherungen

Wiederholungsfall

ja

Mildernde Umstände

Maßnahmen gegen eine Wiederholung und Zusammenarbeit mit der Aufsicht bei der Aufklärung wirkten mindernd.

Veröffentlicht

23.05.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Laut FTC setzte der Webhoster für seine Hosting-Dienste keine Multi-Faktor-Authentifizierung ein, überwachte Sicherheitsbedrohungen unzureichend und sicherte Verbindungen zu Kundendaten nicht ab, warb aber mit „preisgekrönter Sicherheit“. Die endgültige Anordnung verbietet Falschaussagen zur Sicherheit, verlangt ein umfassendes Informationssicherheitsprogramm und regelmäßige Prüfungen durch unabhängige Assessoren.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5 FTC Act

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

21.05.2025

Gegen die amtliche Quelle geprüft am 28.09.2026 · Direktlink

Die New Yorker Generalstaatsanwaltschaft hat mit drei US-Vertriebsgesellschaften der Heimsicherheitsmarke eufy eine Einstellungsvereinbarung (Assurance of Discontinuance) geschlossen. Entgegen der Werbung mit Privatsphäre und Ende-zu-Ende-Verschlüsselung waren Videoübertragungen der Kameras teils nicht Ende-zu-Ende und teils gar nicht verschlüsselt, ein laufender Videostream ließ sich unter Umständen ohne Anmeldung über die passende URL abrufen, und Prüfverfahren, die diese Schwachstellen hätten aufdecken können, fehlten. Die Unternehmen zahlen mutmaßlich 450.000 USD an Strafen und Kosten und müssen regelmäßig nachweisen, dass der Hersteller ein Informationssicherheitsprogramm, sichere Softwareentwicklung, Schwachstellenmanagement mit Penetrationstests und die Verschlüsselung der Videos umsetzt.

Behörde / Gericht

Office of the New York State Attorney General (Bureau of Internet & Technology)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

New York Executive Law § 63(12); New York General Business Law §§ 349, 350

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Handel und E-Commerce

Veröffentlicht

28.01.2025

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Bei Änderungen an Datenflüssen für Steuerformulare 1099-K umgingen nicht ausreichend geschulte Teams Sicherheitsprozesse; Kriminelle mit kompromittierten Zugangsdaten konnten Formulare mit Sozialversicherungsnummern abrufen. Es fehlten qualifiziertes Personal, Schulung, Zugriffsrichtlinien sowie MFA, CAPTCHA und Rate Limiting.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR Part 500 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Beschäftigte

10.000 und mehr

Verschulden

fahrlässig

Mildernde Umstände

PayPal hat die Mängel inzwischen behoben.

Veröffentlicht

23.01.2025

Originalbetrag 2.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 23.01.2025.

Gegen die amtliche Quelle geprüft am 25.09.2026 · Direktlink

Laut FTC betrafen drei Angriffe zwischen 2014 und 2020 mehr als 344 Mio. Gäste weltweit, darunter 5,25 Mio. unverschlüsselte Passnummern; ein Einbruch blieb 14 Monate unentdeckt. Die FTC wirft unzureichende Passwort-, Zugriffs-, Firewall- und Segmentierungskontrollen, fehlendes Patchen, mangelndes Logging und zu wenig MFA vor; die im Dezember 2024 endgültig erlassene Anordnung verlangt ein Sicherheitsprogramm mit jährlicher Bestätigung gegenüber der FTC über 20 Jahre, unabhängige Prüfungen alle zwei Jahre, Datenminimierung und eine Löschmöglichkeit für US-Kunden. Parallel zahlt Marriott 52 Mio. USD an 49 Bundesstaaten und Washington, D.C.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5 FTC Act

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Sonstige

Beschäftigte

10.000 und mehr

Veröffentlicht

20.12.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 2 · Direktlink

Ab Ende 2020 erbeuteten Angreifer in mehreren Vorfällen über öffentlich erreichbare Webanwendungen des Kfz-Versicherers GEICO – darunter das Angebotsportal, die Schadenwebsite und eine Schnittstelle – nicht öffentliche Daten von New Yorkern, vor allem Führerscheinnummern. Die NYDFS stellte Verstöße gegen die Cybersicherheitsverordnung 23 NYCRR Part 500 fest, unter anderem unzureichende Risikobewertungen, fehlende Überwachung der Nutzeraktivitäten und unrichtige Compliance-Bescheinigungen für 2017 bis 2021, und verhängte eine Strafe von 5.000.000 USD. Parallel zahlt GEICO in einem eigenen Vergleich mit der New Yorker Generalstaatsanwaltschaft weitere 4.750.000 USD. Die Feststellungen in dieser Fassung sind mutmaßlich; ein abschließendes Urteil liegt ihr nicht zugrunde.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR §§ 500.2(b), 500.3(i) und (k), 500.5, 500.8(a), 500.9(a), 500.14(a), 500.17(b); Strafe nach New York Financial Services Law § 408

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Die NYDFS würdigte die Kooperation während der Untersuchung und die erheblichen Investitionen in die Behebung der Mängel.

Veröffentlicht

25.11.2024

Originalbetrag 5.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 25.11.2024.

Gegen die amtliche Quelle geprüft am 03.10.2026 · Direktlink

Die ICO sprach am 5. Juli 2024 gegenüber einem Londoner Bezirk eine (aktualisierte) Verwarnung aus. Anlass war nach der Darstellung im Bescheid ein Ransomware-Angriff, von dem der Bezirk am 11. Oktober 2020 erfuhr: Der Angreifer konnte auf 440.000 Dateien mit personenbezogenen Daten, darunter besondere Kategorien, von mindestens 280.000 Einwohnern und weiteren Personen einschließlich Beschäftigten zugreifen und sie verschlüsseln. Nach den Feststellungen der ICO waren das Patch-Management und die Verwaltung von Benutzerkonten unzureichend, was gegen Art. 5(1)(f) und 32(1)(b) UK GDPR verstieß. Die ICO hatte zunächst eine Geldbuße erwogen, entschied sich aber unter Berücksichtigung ihres Ansatzes gegenüber dem öffentlichen Sektor und der Umstände des Falls für eine Verwarnung.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 05.07.2026 · Direktlink

Die ICO sprach gegenüber einer auf Straf- und Militärrecht spezialisierten Anwaltskanzlei eine Verwarnung aus. Nach den Feststellungen der ICO verschaffte sich ein unbekannter Angreifer mit gültigen Zugangsdaten Zugriff auf den Cloud-Server der Kanzlei und veröffentlichte Daten im Darknet. Betroffen waren 8.234 Personen im Vereinigten Königreich, 863 davon mit hohem Risiko, weil auch Angaben zu Strafverfahren betroffen waren. Die ICO bemängelte, dass für das betroffene Administratorkonto keine Mehr-Faktor-Authentifizierung und keine Passwortrichtlinie bestand und dass die Kanzlei den Vertrag mit ihrem externen IT-Dienstleister seit 2012 nicht auf angemessene Sicherheitsmaßnahmen überprüft hatte. Sie sah Verstöße gegen Art. 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Sonstige

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 21.06.2026 · Direktlink

Laut FTC-Beschwerde nutzte ein Angreifer Anfang 2020 Schwachstellen im Netz des Datendienstleisters für Unternehmen und gemeinnützige Organisationen und erbeutete große Mengen unverschlüsselter Daten, darunter Sozialversicherungs- und Kontonummern von Millionen Menschen; der Angriff blieb drei Monate unentdeckt, der Dienstleister informierte seine Kunden erst nach fast zwei Monaten und stellte das Ausmaß irreführend dar. Die endgültige Anordnung verlangt ein umfassendes Sicherheitsprogramm, einen Löschplan, das Löschen nicht mehr benötigter Daten und die Meldung künftiger meldepflichtiger Vorfälle an die FTC.

Behörde / Gericht

Federal Trade Commission (FTC)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Section 5 FTC Act

Maßnahme

Anordnung

Verfahrensstand

rechtskräftig

Branche

Telekommunikation, IT und Software

Veröffentlicht

20.05.2024

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 3 · Unternehmensname anonymisiert seit 20.05.2026 · Direktlink

Die ICO sprach gegenüber einer britischen Behörde eine Verwarnung aus. Nach den Feststellungen der ICO drangen unbekannte Angreifer ab dem 24. August 2021 über eine Kette bekannter Schwachstellen in den selbst betriebenen E-Mail-Server der Kommission ein; betroffen waren vor allem Daten aus dem Wählerverzeichnis mit Namen und Anschriften von rund 40 Millionen Personen. Die Sicherheitsupdates für diese Schwachstellen waren im April und Mai 2021 erschienen, aber nicht eingespielt. Zudem ließen sich bei einer Prüfung 178 aktive Konten schnell knacken, weil Passwörter identisch oder ähnlich zu den vom Service Desk vergebenen Startpasswörtern waren. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1)(b) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 09.05.2026 · Direktlink

Die ICO sprach gegenüber einem englischen Schulträger eine Verwarnung aus. Nach Angaben der ICO nutzte ein unbefugter Dritter kompromittierte Zugangsdaten, um auf die Systeme des Trusts zuzugreifen und sie zu verschlüsseln. Nach den Feststellungen der ICO fehlten angemessene technische Maßnahmen: Die Kontosperre nach Fehlversuchen war unzureichend, und die umkehrbare Speicherung von Passwörtern war aktiviert, entgegen Empfehlungen des National Cyber Security Centre. Die ICO sah Verstöße gegen Art. 5(1)(f) und 32(1)(b) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 5(1)(f) und 32(1)(b) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Öffentlicher Sektor

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 07.12.2025 · Direktlink

Eine Anwendung des Versicherers erzeugte Links auf Transaktionsdokumente ohne Anmeldung und ohne Ablaufdatum; durch Ändern der fortlaufenden Dokumentnummer waren laut einem Journalisten 885 Mio. Dokumente mit u. a. Sozialversicherungs- und Bankdaten abrufbar. Nutzer sollten keine sensiblen Daten verschicken, technische Sperren gab es aber nicht.

Behörde / Gericht

New York State Department of Financial Services (NYDFS)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

23 NYCRR §§ 500.3, 500.7 (Cybersecurity Regulation)

Maßnahme

Bußgeld

Verfahrensstand

rechtskräftig

Branche

Finanzdienstleistungen und Versicherungen

Verschulden

fahrlässig

Originalbetrag 1.000.000 USD, umgerechnet zum EZB-Referenzkurs vom 27.11.2023.

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 27.11.2025 · Direktlink

Die CSSF verhängte gegen das Kreditinstitut eine Ordnungsbuße (amende d'ordre) von 444.400 EUR, weil die interne Governance und Kontrolle zu IKT- und Sicherheitsrisiken nicht den Anforderungen entsprach. Grundlage waren Feststellungen einer Vor-Ort-Prüfung von Oktober 2022 bis Juni 2023 zu Art. 5(1bis) LSF sowie den Rundschreiben CSSF 20/750 und 12/552.

Behörde / Gericht

Commission de Surveillance du Secteur Financier (CSSF)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 63-2(1)(d) und (2)(e) Loi modifiée du 5 avril 1993 relative au secteur financier (LSF); verletzt Art. 5(1bis) LSF; Circulaires CSSF 20/750 und 12/552

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Finanzdienstleistungen und Versicherungen

Mildernde Umstände

Das Institut erkannte alle Feststellungen an, legte einen detaillierten Aktionsplan vor und leitete sofort Abhilfe ein.

Veröffentlicht

20.02.2024

Gegen die amtliche Quelle geprüft am 02.10.2026 · Unternehmensname anonymisiert seit 17.11.2025 · Direktlink

Die ICO sprach gegenüber einem britischen Baustofflieferanten eine Verwarnung aus. Nach Angaben der ICO verschaffte sich am 11. März 2022 ein Angreifer Zugang zum Netzwerk, setzte Ransomware ein und leitete Daten aus, darunter personenbezogene Daten von 2.022 Beschäftigten und ehemaligen Beschäftigten im Vereinigten Königreich (u. a. Ausweis-, Bank- und Personaldaten). Nach den Feststellungen der ICO erfolgte der Zugriff über einen Remote-Desktop-Dienst einer Tochtergesellschaft ohne Multi-Faktor-Authentifizierung; zudem führte das Unternehmen vor dem Vorfall keine formalen Sicherheitstests wie Schwachstellenscans oder Penetrationstests durch, und der Angreifer nutzte eine seit über zwei Jahren bekannte Schwachstelle. Die ICO sah Verstöße gegen Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR. Der Bescheid trägt kein Datum; das Datum folgt der ICO-Fallseite.

Behörde / Gericht

Information Commissioner's Office (ICO)

Rechtsgebiet

Informationssicherheit und Cyber · Sicherheitsmaßnahmen und Risikomanagement

Rechtsgrundlage

Art. 32(1), 32(1)(b) und 32(1)(d) UK GDPR; Verwarnung nach Art. 58(2)(b) UK GDPR

Maßnahme

Verwarnung

Verfahrensstand

unbekannt

Branche

Bau und Immobilien

Gegen die amtliche Quelle geprüft am 28.09.2026 · Fassung 4 · Unternehmensname anonymisiert seit 14.11.2025 · Direktlink