Ausgabe Nr. 11 | September 2026, Woche 4

Datenschutzbehörden verhängen Geldstrafen in Höhe von über 1,3 Millionen Dollar gegen Google, Vodafone und andere Unternehmen wegen schlampiger Standortverfolgung und Ransomware-Versäumnissen. Unterdessen müssen US-Firmen wie TradeZero und Ambry Genetics mit hohen Strafen rechnen, da Chatbot-Lecks und Phishing-Vorfälle Millionen von Kunden preisgaben.

Datenbroker wegen Datenschutzverletzung durch Drittanbieter-chatbot mit Geldbuße belegt

TradeZero America, Inc. wurde von der Massachusetts Securities Division mit einer Geldbuße in Höhe von 750.000 US-Dollar belegt, nachdem eine Datenpanne im Zusammenhang mit einem auf der Website des Unternehmens genutzten Drittanbieter-Chatbot-Dienst aufgetreten war.

Laut einem Consent Order verschaffte sich ein unbekannter Hacker im Juli 2024 über den Online-Chat-Dienst Tawk.to Zugang zu personenbezogenen Daten von tausenden TradeZero-Kunden. Auch Dokumente, die Kunden über den Chatbot hochgeladen hatten, wurden kompromittiert.

Die Untersuchung ergab, dass TradeZero versäumt hatte, den Drittanbieter ausreichend zu prüfen und sicherzustellen, dass geeignete Sicherheitsmaßnahmen implementiert waren. Die Muttergesellschaft von TradeZero zahlte dem Hacker später in Bitcoin in Gegenzug zum Versprechen, die gestohlenen Daten zu löschen, doch das Unternehmen hat keinen Nachweis dafür erhalten, dass die Informationen gelöscht wurden.

Die Untersuchung ergab zudem, dass TradeZero ein automatisiertes System zur Prüfung von Kundenanträgen einsetzte. Infolgedessen wurden einigen Kunden laut dem Vergleichsbescheid Margin-Konten oder Optionshandel genehmigt, ohne dass sie die entsprechenden Anforderungen erfüllten.

Zusätzlich zur Geldbuße in Höhe von 750.000 US-Dollar muss TradeZero Massachusetts-Anlegern die Handelsverluste erstatten, die aus den unzulässigen Genehmigungen resultierten. Das Unternehmen muss zudem einen unabhängigen Compliance-Berater beauftragen und seine Richtlinien für Cybersicherheit und Kontengenehmigungen verschärfen.

Google muss wegen Standortdaten 403 Millionen Euro Geldbuße zahlen

Die irische Datenschutzbehörde hat belegt Google mit einer Geldbuße in Höhe von 403 Millionen Euro wegen der Erfassung und Speicherung von Standortdaten der Nutzer nach einer sechsjährigen Untersuchung.

Die Datenschutzkommission (DPC) leitete ihre Untersuchung im Jahr 2020 nach Beschwerden europäischer Verbrauchergruppen ein. Sie untersuchte Google-Funktionen, darunter „Web & App Activity“, „Location History“ und „Location Accuracy“.

Die DPC stellte fest, dass Google gegen mehrere Vorschriften der DSGVO verstoßen hat. Die Aufsichtsbehörden erklärten, das Unternehmen habe Standortdaten unrechtmäßig verarbeitet und die Nutzer nicht hinreichend darüber informiert, wie ihre Daten verarbeitet würden. Zudem stellten die Behörden fest, dass einige Standortdaten länger als erforderlich gespeichert wurden.

Zusätzlich zur Geldbuße hat die DPC Google angeordnet, seine Datenverarbeitung innerhalb von sechs Monaten so anzupassen, dass sie den DSGVO-Vorschriften entspricht. Die Aufsichtsbehörde kündigte an, die vollständige Entscheidung zu einem späteren Zeitpunkt zu veröffentlichen.

Vodafone España muss nach einem Ransomware-Angriff 400.000 € zahlen

Die spanische Datenschutzbehörde (AEPD) hat verhängt Vodafone España eine Geldstrafe in Höhe von 400.000 €, nachdem bei einem Ransomware-Angriff auf einen seiner Dienstleister die Telefonnummern von fast 500.000 Kunden offengelegt wurden.

Der Angriff fand am 27. Mai 2023 statt. Der Dienstleister handelte als Auftragsverarbeiter für Vodafone und speicherte Kundendaten auf seinen Systemen. Die Angreifer nutzten eine kritische Sicherheitslücke aus, die im Januar 2023 öffentlich offengelegt, aber noch nicht behoben worden war.

Die Datenschutzverletzung betraf 486.768 Privatkunden und 14.571 autorisierte Kontakte von Geschäftskunden. Telefonnummern wurden ohne Verschlüsselung offengelegt. In einigen Fällen waren auch andere Kundendaten betroffen, darunter Namen, E-Mail-Adressen und DNI-Angaben. Der Angriff führte zudem zu einem Verlust der Datenverfügbarkeit, sodass der Anbieter Dateien aus Backups wiederherstellen musste.

Die AEPD stellte fest, dass es sich bei dem Vorfall um die dritte Ransomware-Infektion handelte, von der der Auftragsverarbeiter innerhalb von fünf Monaten betroffen war. Vodafone meldete den Vorfall am 30. Mai 2023 der Behörde.

Der Fall beinhaltete ursprünglich mutmaßliche Verstöße gegen Art. 28, 32 und Art. 5 Abs. 1 lit. f DSGVO. Der Vorwurf wegen Verstoßes gegen Art. 28 wurde später zurückgezogen, nachdem Vodafone die entsprechende Auftragsverarbeitungsvereinbarung vorgelegt hatte.

In ihrer endgültigen Entscheidung stufte die AEPD den verbleibenden Verstoß von Art. 5 Abs. 1 lit. f DSGVO, der den Integritäts- und Vertraulichkeitsgrundsatz betrifft, auf Art. 32 DSGVO um, der angemessene Sicherheitsmaßnahmen bei der Verarbeitung personenbezogener Daten erfordert. Infolgedessen wurde die Geldbuße von dem im Verfahren vorgeschlagenen Betrag auf 400.000 € herabgesetzt.

Miljödata mit 1,8 Mio. SEK Geldstrafe belegt nach schwerwiegendem Datenschutzverstoß

Der schwedische IT-Anbieter Miljödata wurde von der schwedischen Datenschutzbehörde (IMY) nach einem schweren Datenschutzverstoß im August 2025 mit einer Geldstrafe in Höhe von 1,8 Millionen SEK (ca. 160.000 €) belegt.

Laut Miljödata hat ein Hacker auf personenbezogene Daten zugegriffen and diese später im Dark Web veröffentlicht, wodurch etwa 2,2 Millionen Menschen betroffen waren. Zu den gestohlenen Informationen gehörten Sozialversicherungsnummern, Kontaktdaten sowie sensible Informationen zu Krankschreibungen, Rehabilitationsmaßnahmen und schulischen Aktivitäten.

Viele schwedische Kommuen, Regionen, Behörden und Privatunternehmen sind Kunden von Miljödata. IMY ermittelt zudem gegen zwei Kommunen und eine Region im Zusammenhang mit dem Datenschutzverstoß.

Die IMY stellte fest, dass Miljödata nicht über ausreichend starke technische und organisatorische Sicherheitsvorkehrungen verfügte, um die von ihm verarbeiteten personenbezogenen Daten zu schützen. Dem Unternehmen fehlten zudem ausreichende Kontrollen bei der Installation neuer Software, und es verfügte nicht über eine automatische Echtzeitüberwachung zur Erkennung verdächtiger Aktivitäten. Die IMY kam zu dem Schluss, dass Miljödata fahrlässig gehandelt habe, und verhängte gegen das Unternehmen ein Bußgeld in Höhe von 1,8 Millionen SEK wegen Verstoßes gegen Artikel 32 der Datenschutz-Grundverordnung (DSGVO) der EU.

Ambry Genetics einigt sich auf einen Vergleich über 700.000 US-Dollar, nachdem bei einem Phishing-Angriff Gesundheitsdaten freigelegt wurden.

Das Büro für Bürgerrechte des US-Ministeriums für Gesundheit und soziale Dienste hat mit der Ambry Genetics Corporation einen Vergleich in Höhe von 700.000 US-Dollar wegen möglicher Verstöße gegen die HIPAA-Sicherheitsregel geschlossen.

Ambry, ein in Kalifornien ansässiges Unternehmen, das genetische Tests und Dienste der klinischen Genomik anbietet, stellte im Januar 2020 fest, dass das E-Mail-Konto eines Mitarbeiters durch einen Phishing-Angriff kompromittiert wurde. Der Vorfall könnte Protected Health Information von 225.370 Personen offengelegt haben, darunter Namen, Adressen, Geburtsdaten, einige Social Security- oder Führerscheinnummern, Finanzdaten, medizinische Diagnosen, Laborergebnisse, Medikamente und Behandlungsdetails.

Im Anschluss an eine Untersuchung stellte das Amt für Bürgerrechte fest, dass Ambry möglicherweise versäumt haben könnte, Sicherheitsrisiken ordnungsgemäß zu bewerten, den Zugriff auf elektronische Gesundheitsdaten zu entfernen, wenn dieser nicht mehr benötigt wurde, und eindeutige Benutzerkennungen in Systemen mit geschützten Gesundheitsdaten zuzuweisen.

Im Rahmen des Vergleichs ist Ambry verpflichtet, 700.000 US-Dollar zu zahlen und einen Maßnahmenplan zur Korrektur umzusetzen, der zwei Jahre lang von der Behörde überwacht wird. Das Unternehmen muss eine neue Sicherheitsrisikobewertung durchführen, seine Sicherheitsrichtlinien verbessern, die Benutzeridentifikation verstärken und Mitarbeiter zu den HIPAA-Sicherheitsanforderungen schulen.

Was kommt als Nächstes?

• Fordern Sie eine kostenlose Produktdemo oder Preisinformationen an.
• Registrieren Sie sich für unsere Webinare und Produktschulungen.
• Lesen Sie unseren wöchentlichen Blog „Cybercrime Investigations“
• Folgen Sie uns auf LinkedIn, X, Telegram und WhatsApp
• Abonnieren Sie unseren Newsletter
• Nehmen Sie an unserem Partnerprogramm teil.