Ausgabe Nr. 16 | Oktober 2026, Woche 5
27. Oktober 2026Von einem 12 Jahre alten Testkonto bis zu einem 25-Milliarden-Dollar-Urteil gegen Meta: Aufsichtsbehörden gehen rigoros gegen Unternehmen vor, die ihre Datenhygiene vernachlässigen. Eine massive globale Welle von Bußgeldern trifft Banken, Telekom-Anbieter und Genlabore wegen Datenlecks – von Kinderakten bis DNA.
ICO verhängt Rügen gegen zwei Organisationen, nachdem ein Ransomware-Angriff Kinddaten offenlegte.
- Geltungsbereich
- Vereinigtes Königreich
- Rechtsname des Verletzers
- Ogi Networks Limited; Data Cymru
- Sitz des Rechtsverletzers
- Vereinigtes Königreich
- Behaupteter Verstoß
- Eine Datenpanne
- Vollstreckungsmaßnahme
- Eine Rüge
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Das britische Information Commissioner’s Office (ICO) hat Ogi Networks Limited (ONL) and Data Cymru nach einem Ransomware-Angriff gerügt, bei dem die personenbezogenen Daten von 3.300 Personen, davon die meisten Kinder, offengelegt wurden.
Der Angriff fand am 1. November 2024 statt und verschlüsselte 182,7 GB Daten, wobei 42 GB aus den Systemen von Data Cymru gestohlen wurden. Die Daten bezogen sich auf zwei Projekte zur Unterstützung von Kindern und Familien.
Die Untersuchung ergab, dass die Angreifer ein Testkonto namens „Test2“ ausnutzten, das seit mehr als 12 Jahren bestand. Das Konto war durch das Passwort „Password1“ geschützt.
Die Aufsichtsbehörde stellte fest, dass ONL angemessene Sicherheitsmaßnahmen nicht aufrechterhalten und regelmäßige Prüfungen seiner Systeme nicht durchgeführt hatte. Auch bei Data Cymru wurde festgestellt, dass die Beziehung zu ONL nicht ordnungsgemäß verwaltet, Benutzerkonten nicht regelmäßig überprüft und nicht dafür gesorgt worden war, dass das Testkonto entfernt oder gesichert wurde.
Beide Organisationen haben seitdem Maßnahmen zur Verbesserung ihrer Sicherheit ergriffen. ONL führte regelmäßige Kontoüberprüfungen und strengere Zugriffskontrollen ein, einschließlich Multi-Factor Authentication. Die beiden Organisationen unterzeichneten zudem einen rechtskonformen Datenverarbeitungsvertrag. Data Cymru führte periodische Kontoüberprüfungen ein und verstärkte seine Zugriffskontrollen.
Frontier muss 625.000 Dollar wegen Datenpanne mit 59.000 Betroffenen in Connecticut zahlen
- Geltungsbereich
- Vereinigte Staaten
- Rechtsname des Verletzers
- Frontier Communications
- Sitz des Rechtsverletzers
- Vereinigte Staaten
- Behaupteter Verstoß
- Eine Datenpanne
- Vollstreckungsmaßnahme
- Ein Bußgeld in Höhe von 625.000 US-Dollar
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Das von Verizon gehaltene Unternehmen Frontier Communications hat sich bereit erklärt, 625.000 US-Dollar zu zahlen, um einen Vergleich wegen des Datenverstoßes abzuschließen, bei dem im Jahr 2024 die persönlichen Daten von 58.841 Einwohnern von Connecticut offengelegt wurden.
Die Datenpanne wurde im April 2024 entdeckt, als Hacker mithilfe gestohlener Anmeldedaten von Mitarbeitern und Lieferanten Zugriff auf die internen IT-Systeme von Frontier erlangten. Eine Untersuchung ergab, dass die Angreifer unverschlüsselte personenbezogene Daten, darunter Social Security Numbers, gestohlen hatten. Die Daten wurden später auf dem Dark Web zum Verkauf angeboten.
Eine Untersuchung stellte zudem Schwachstellen in der Sicherheit von Frontier fest, darunter mangelhafte Zugriffskontrollen, begrenzte Überwachung sowie Probleme bei der Verschlüsselung und bei der Mitarbeiterschulung.
Im Rahmen des Vergleichs mit der Generalstaatsanwaltschaft von Connecticut muss Frontier die Geldstrafe zahlen und seine Sicherheitsmaßnahmen verbessern, einschließlich strengere Passwortregeln, Multi-Faktor-Authentifizierung, Mitarbeiterschulungen sowie bessere Systeme zur Erkennung und Abwehr von Angriffen.
Unabhängig davon schloss Frontier in einer damit zusammenhängenden Sammelklage in Texas einen Vergleich in Höhe von 5,64 Millionen Dollar. Die Vereinbarung betrifft rund 750.000 Menschen in den Vereinigten Staaten und umfasst zwei Jahre kostenlose Kreditüberwachung.
23andMe-Nachfolger einigt sich mit Kalifornien auf 6 Mio. US-Dollar
- Geltungsbereich
- Vereinigte Staaten
- Rechtsname des Verletzers
- Chrome Holding Co
- Sitz des Rechtsverletzers
- Vereinigte Staaten
- Behaupteter Verstoß
- Eine Datenpanne
- Vollstreckungsmaßnahme
- Ein Vergleich über 6 Mio. Dollar
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Die Chrome Holding Co, früher bekannt als 23andMe, hat sich bereit erklärt, dem Bundesstaat Kalifornien 6 Millionen Dollar zu zahlen, im Zusammenhang mit Vorwürfen über mangelhafte Cybersicherheit, die zu einer massiven Datenpanne im Jahr 2023 beigetragen hatte. Die Datenpanne offenbarte sensible persönliche und genetische Informationen von fast 7 Millionen Menschen.
Der Vergleich stellt zudem sicher, dass betroffene Kunden weiterhin die Löschung ihrer Daten und die Vernichtung ihrer genetischen Proben verlangen können. Die Vereinbarung muss noch von einem US-Insolvenzgericht genehmigt werden.
Im März 2025 meldete 23andMe Insolvenz an und verkaufte genetische Kundendaten sowie Speichelproben an das gemeinnützige TTAM Research Institute, das von einem ehemaligen CEO gegründet worden war. Kalifornische Behörden fochten den Verkauf an und argumentierten, dass Kunden ihre ausdrückliche Zustimmung geben müssten, bevor ihre genetischen Informationen weitergegeben werden.
Meta muss in einem Datenschutzverfahren in New Mexico 25 Milliarden US-Dollar zahlen
- Geltungsbereich
- Vereinigte Staaten
- Rechtsname des Verletzers
- Meta
- Sitz des Rechtsverletzers
- Vereinigte Staaten
- Behaupteter Verstoß
- Datenschutzverstoß
- Vollstreckungsmaßnahme
- Ein Bußgeld von 25 Mrd. US-Dollar
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Meta wurde in New Mexico nach einem Datenschutzverfahren im Zusammenhang mit dem Cambridge-Analytica-Skandal zur Zahlung einer Geldstrafe in Haus von 25 Milliarden US-Dollar verurteilt.
Eine Jury in Santa Fe befand das Unternehmen im September 2026 für haftbar, weil es Einwohner von New Mexico darüber getäuscht hatte, wie es personenbezogene Daten erhebt und schützt und wie es die Verbreitung schädlicher Inhalte auf seinen Plattformen verhindert.
Die Jury stellte mehr als 43 Millionen Verstöße gegen das staatliche Gesetz gegen unlautere Geschäftspraktiken fest. Jeder Verstoß konnte zu einer zivilrechtlichen Geldstrafe von bis zu 5.000 US-Dollar führen.
Laut einer Gerichtsakte wurden dem Staat ursprünglich 219,5 Milliarden Dollar zugesprochen, bevor die Strafe auf 25 Milliarden Dollar herabgesetzt wurde.
Südafrika verhängt Bußgelder gegen zwei Organisationen wegen Offenlegung personenbezogener Daten
- Geltungsbereich
- Südafrika
- Rechtsname des Verletzers
- Mehrere Einrichtungen
- Sitz des Rechtsverletzers
- Südafrika
- Behaupteter Verstoß
- Data breach
- Vollstreckungsmaßnahme
- Eine Geldbuße von 1 Mio. Rand; eine Geldbuße von 500.000 Rand
- Verfahrensstatus
- Eine Verwaltungsmaßnahme
Die südafrikanische Datenschutzbehörde hat der First National Bank (FNB) eine Geldstrafe in Höhe von 1 Million Rand (53.750 Euro) verhängt, weil sie die persönlichen Daten ihrer Kunden nicht geschützt hat.
Die Bank hat 30 Tage Zeit, die Geldbuße zu zahlen, nachdem die Aufsichtsbehörde festgestellt hatte, dass sie gegen mehrere Bestimmungen des Protection of Personal Information Act (POPIA) verstoßen hatte.
Die Untersuchung wurde nach einem Sicherheitsvorfall im Zusammenhang mit der digitalen Plattform der FNB zur Antragstellung von Immobilienkrediten eingeleitet, bei dem personenbezogene Daten von Kunden, darunter Bankkontonummern, offengelegt wurden.
Die Aufsichtsbehörde stellte Schwachstellen in den Sicherheitssystemen der Bank sowie im Umgang mit wiederholten Sicherheitsvorfällen und beim Schutz und der Speicherung von Kundendaten fest.
Nach Angaben der Aufsichtsbehörde hat die FNB gegen die §§ 5, 8, 12, 14, 15 und 19 des POPIA verstoßen. Außerdem wurde festgestellt, dass die Bank ein Vergehen gemäß § 105 begangen hat, da sie keine Maßnahmen zur Verhinderung des unerlaubten Zugriffs auf personenbezogene Daten umgesetzt hatte.
In einem separaten Fall verhängte die Aufsichtsbehörde gegen das Central Johannesburg TVET College ein Bußgeld in Höhe von 500.000 Rand (26.875 Euro) wegen der Weitergabe personenbezogener Daten an Dritte ohne gesetzlichen Grund.
Haftungsausschluss: Die Informationen in diesem Blog stammen aus offenen und behördlichen Quellen. Wir erinnern unsere Leser höflich an die Unschuldsvermutung. Die hierin enthaltenen Informationen dienen ausschließlich Bildungszwecken und stellen keine Rechtsauskunft oder Rechtsberatung dar.
Ausgabe Nr. 15 | Oktober 2026, Woche 4