Wer wurde wofür sanktioniert?

Nach einem im Dezember 2023 öffentlich gewordenen Cyberangriff auf das Reisebüro waren im Buchungssystem Daten von 336.759 Personen betroffen, teils mit vollständigen Bildern von Ausweisen, Pässen und Geburtsurkunden; ein Teil der Daten wurde ausgeleitet. Die Datenschutzbehörde PDPC stellte fahrlässige Verstöße gegen die Rechenschaftspflicht (Accountability Obligation) fest – Datenschutzbeauftragter erst im April 2024 benannt, außer der Datenschutzerklärung für Kunden keine internen Richtlinien, kein Beschwerdeverfahren und keine Information der Beschäftigten – sowie gegen die Schutzpflicht (Protection Obligation), weil Verträge mit den IT-Dienstleistern zu Sicherheitsaufgaben fehlten, keine Sicherheitsüberprüfungen stattfanden, keine Mehr-Faktor-Authentifizierung bestand und der Server noch mit dem nicht mehr unterstützten Windows Server 2012 lief. Sie verhängte 47.000 SGD, wies Einwände zu Corona-Verlusten und Vergleichsfällen zurück und ordnete u. a. Richtlinien, Sicherheitsklauseln in Dienstleisterverträgen und einen Penetrationstest durch einen von der Cyber Security Agency (CSA) lizenzierten Anbieter an.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Betroffenenrechte und Transparenz

Rechtsgrundlage

Sections 11(3) und 12 PDPA 2012 (Accountability Obligation); Section 24 PDPA (Protection Obligation); Section 48J(1)(a) PDPA (Financial Penalty); Section 48I PDPA (Directions)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Freiwilliges frühes Eingeständnis der Verstöße (als erheblich mildernd gewertet) sowie rasche und wirksame Abhilfe.

Veröffentlicht

08.01.2026

Originalbetrag 47.000 SGD, umgerechnet zum EZB-Referenzkurs vom 31.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Bei der manuellen Übertragung von API-Konfigurationen auf eine neue Middleware (September 2022 bis März 2023) ließ ein allein verantwortlicher Mitarbeiter eine App-Kennung aus, sodass die Token-Prüfung für die Webseite des Museumsprogramms ArtScience Friends mindestens sechs Monate nicht griff; ein Angreifer nutzte dies im Oktober 2023 und rief Daten von 665.495 Mitgliedern des Treueprogramms Sands Rewards Lifestyle ab, die anschließend im Darknet angeboten wurden. Die Datenschutzbehörde PDPC wertete es als fahrlässigen Verstoß gegen die Schutzpflicht (Protection Obligation), dass sich das Resort ohne unabhängige Gegenprüfung oder Automatisierung auf diesen einen Mitarbeiter verließ. Die vorläufig vorgesehenen 450.000 SGD setzte sie nach der Stellungnahme des Unternehmens auf 315.000 SGD herab; Anordnungen ergingen wegen der bereits umgesetzten Abhilfe nicht.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 Personal Data Protection Act 2012 (Protection Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Wiederholungsfall

nein

Mildernde Umstände

Im Übrigen angemessene Sicherheitsvorkehrungen, Eindämmung noch am Tag der Entdeckung, Eingeständnis im beschleunigten Verfahren (Expedited Decision Procedure), Kooperation und freiwillige Benachrichtigung aller Betroffenen.

Veröffentlicht

28.10.2025

Originalbetrag 315.000 SGD, umgerechnet zum EZB-Referenzkurs vom 28.10.2025.

Gegen die amtliche Quelle geprüft am 04.10.2026 · Direktlink

Beim Betreiber einer Online-Sprachlernplattform für Kinder erriet ein Angreifer im April 2022 per Brute-Force-Angriff das seit über zwei Jahren unveränderte, schwache Passwort eines Administratorkontos und griff auf Daten zahlreicher Nutzer weltweit zu, darunter Schülerinnen und Schüler sowie Gehalts- und Bankdaten von Lehrkräften. Die Datenschutzbehörde PDPC stellte fahrlässige Verstöße gegen die Schutzpflicht (Protection Obligation) wegen fehlender Passwortregeln und gegen die Rechenschaftspflicht (Accountability Obligation) fest, weil seit der Gründung 2016 kein Datenschutzbeauftragter benannt war. Sie verhängte 74.000 SGD und lehnte die beantragte Senkung auf höchstens 35.000 SGD ab; Anordnungen ergingen wegen der umgesetzten Abhilfe nicht.

Behörde / Gericht

Personal Data Protection Commission (PDPC)

Rechtsgebiet

Datenschutz · Datenpannen und Datensicherheit

Rechtsgrundlage

Section 24 PDPA 2012 (Protection Obligation); Section 11(3) PDPA (Accountability Obligation); Section 48J PDPA (Financial Penalty)

Maßnahme

Bußgeld

Verfahrensstand

unbekannt

Branche

Sonstige

Verschulden

fahrlässig

Mildernde Umstände

Kein Nachweis einer Ausleitung oder eines Missbrauchs, rasche Abhilfe einschließlich Benachrichtigung der Nutzer, freiwilliges Eingeständnis und Kooperation.

Veröffentlicht

21.03.2024

Originalbetrag 74.000 SGD, umgerechnet zum EZB-Referenzkurs vom 24.10.2023.

Gegen die amtliche Quelle geprüft am 07.10.2026 · Unternehmensname anonymisiert seit 24.10.2025 · Direktlink