Issue #18 | November 2026, Week 2

Defense and aerospace contractors to pay $13M over cybersecurity violations

Geltungsbereich

Vereinigte Staaten

Rechtsname des Verletzers

ILC Dover, ILC Astrospace

Sitz des Rechtsverletzers

Vereinigte Staaten

Behaupteter Verstoß

Failure to meet cybersecurity requirements

Vollstreckungsmaßnahme

Geldstrafe in Höhe von 13 Millionen US-Dollar

Verfahrensstatus

Civil settlement

American defense and aerospace companies ILC Dover and ILC Astrospace have agreed to pay $13 million to settle allegations that they failed to meet cybersecurity requirements in contracts with the US Army, Missile Defense Agency and NASA.

Den Unternehmen wurde vorgeworfen, falsche Zahlungsanträge eingereicht zu haben, während sie sensible Regierungsinformationen nicht ordnungsgemäß geschützt hätten. Zu den mutmaßlichen Verstößen gehörten die Nutzung eines Cloud-Dienstes eines Drittanbieters, der die erforderlichen Sicherheitsstandards nicht erfüllte, sowie das Versäumnis, angemessene Systemsicherheitspläne aufrechtzuerhalten.

Den Unternehmen wird zudem vorgeworfen, die erforderlichen Cybersicherheitskontrollen nicht vollständig umgesetzt, Systemschwächen nicht behoben und dem US-Verteidigungsministerium keine aktuellen Sicherheitsbewertungen eingereicht zu haben.

DFSA verhängt gegen Moody’s Middle East Geldstrafe von 585.825 US-Dollar wegen Datenlecks

Geltungsbereich

Dubai

Rechtsname des Verletzers

MISMEL

Sitz des Rechtsverletzers

Dubai

Behaupteter Verstoß

Fehlender Schutz vertraulicher Daten

Vollstreckungsmaßnahme

$585,825 fine

Verfahrensstatus

Regulatorischer Vergleich

Die Dubai Financial Services Authority (DFSA) hat gegen Moody’s Investors Service Middle East (MISMEL) eine Geldstrafe in Höhe von 585.825 US-Dollar (2,15 Millionen AED) wegen mehrerer Datenverletzungen im Zusammenhang mit vertraulichen Informationen verhängt.

The regulator found that the company failed to maintain proper systems and controls to protect sensitive data and prevent employees from disclosing confidential information.

Between December 2023 and May 2026, MISMEL reported seven cases of accidental data disclosure to the DFSA. Four of the incidents involved confidential information being shared with external parties.

The DFSA said the breaches were linked to weak data security measures. The company has also removed a security tool and didn’t immediately replace it and implemented ineffective internal disciplinary procedures.

Because MISMEL agreed to settle the case early, the fine was reduced by almost 30%. Without the discount, the penalty would have been $836,892.

Courts wurde mit einer Geldstrafe von 178.000 S$ belegt, nachdem ein Ransomware-Angriff die Daten von fast einer Million Menschen freigelegt hat.

Geltungsbereich

Singapur

Rechtsname des Verletzers

Courts

Sitz des Rechtsverletzers

Singapur

Behaupteter Verstoß

Data protection violations

Vollstreckungsmaßnahme

S$178,000 fine

Verfahrensstatus

Verwaltungsmaßnahme

Electronics and furniture retailer Courts (Singapore) Pte. Ltd has been fined S$178,000 (€124,500) after a ransomware attack exposed the personal data of nearly one million people in September 2022.

According to Singapore’s Personal Data Protection Commission (PDPC), the attack affected 946,972 people, including 941,513 customers and 5,459 current, former and potential employees. The exposed information included customers’ names, identification numbers, addresses, phone numbers and some credit card details. Employee information, including bank account details and creditworthiness records, was also affected.

Die Ermittlungen ergaben, dass sich der Angreifer über zwei Disaster Recovery Server, die über das Internet zugänglich waren, Zugang zum Netzwerk von Courts verschafft hatte. Der Angreifer erlangte die Anmeldedaten eines Administrators und nutzte die Verbindung zwischen den Servern, um auf andere Systeme zuzugreifen.

Anschließend wurde auf 26 Servern Ransomware installiert, wobei die Daten auf 20 Servern vollständig oder teilweise verschlüsselt wurden. Courts entdeckten den Angriff um den 26. September herum; daraufhin forderten die Hacker ein Lösegeld, um ein Passwort zur Wiederherstellung der verschlüsselten Dateien bereitzustellen.

Courts informierte die betroffenen Mitarbeiter, nachdem festgestellt wurde, dass unbefugt auf deren Finanzdaten zugegriffen wurde. Die Kunden wurden jedoch nicht benachrichtigt, da Courts das Risiko eines erheblichen Schadens für sie als gering einschätzte. Courts reagierte nicht auf die Lösegeldforderung und ging auch nicht weiter auf den Angreifer ein.

The company contained the incident by isolating affected servers, restoring systems from clean backups, installing security updates and tightening access controls. The PDPC found that Courts had breached its data protection obligations by failing to conduct regular security scans and apply timely security updates. Recovery servers had been excluded from vulnerability scans despite providing access to systems containing large volumes of personal data. Several servers also ran outdated operating systems, including Windows Server 2008, which had reached end of support in January 2020.

Polnische Hochschule wegen Datenpanne bei hunderten Studierenden mit 15.000 Euro Bußgeld belegt

Geltungsbereich

Polen

Rechtsname des Verletzers

Wyższa Szkoła Logistyki

Sitz des Rechtsverletzers

Polen

Behaupteter Verstoß

Data protection violations

Vollstreckungsmaßnahme

Eine Geldbuße in Höhe von 64.652 PLN

Verfahrensstatus

Verwaltungsmaßnahme

Eine polnische Hochschule wurde mit einer Geldbuße von 64.652 PLN (ca. 15.000 €) belegt, nachdem sie versehentlich die personenbezogenen Daten von 964 Studierenden offengelegt hatte. Der Vorfall ereignete sich an der Wyższa Szkoła Logistyki in Posen, wo ein Mitarbeiter versehentlich eine Datei mit den personenbezogenen Daten der Studierenden an eine Mitteilung über die Zuordnung zu Studienschwerpunkten und Sprachgruppen anhängte.

The file was made available to 388 people, 125 of whom opened it. The file was downloaded 361 times, although it’s unclear how many individual users downloaded it.

Die polnische Datenschutzbehörde (UODO) stellte fest, dass die Hochschule die Risiken für die Daten der Studierenden nicht angemessen bewertet hatte. Ihre Sicherheitsverfahren berücksichtigten nicht die Möglichkeit, dass Mitarbeiter versehentlich die falschen Dokumente weitergeben.

The college also failed to update its risk assessment after the incident. The institution claimed it had carried out checks on other notices sent to students but provided no documentation to support the claim.

UODO found that the college had breached several GDPR requirements relating to accountability and data security (Article 24 paragraph 1, Article 25 paragraph 1, and Article 32 paragraphs 1 and 2 of Regulation 2016/679). In addition to the fine, the regulator ordered the institution to reassess its risks and introduce appropriate technical and organizational safeguards to prevent similar incidents.

France fines local authorities over cybersecurity failures

Geltungsbereich

Frankreich

Rechtsname des Verletzers

Mehrere Einrichtungen

Sitz des Rechtsverletzers

Frankreich

Behaupteter Verstoß

Cybersecurity protection failures

Vollstreckungsmaßnahme

Geldbußen zwischen 3.000 € und 20.000 €

Verfahrensstatus

Verwaltungsmaßnahme

France’s national data protection authority (the CNIL) has issued ten financial penalties against local authorities and a public institution for cybersecurity failures that put citizens’ personal data at risk.

The investigations found several weaknesses in the security systems used by municipalities and other public bodies, including weak passwords, outdated server systems, a lack of multi-factor authentication for administrators and insufficient monitoring of suspicious activity. In some cases, external service providers also had permanent access to local authority networks or used shared accounts.

Die CNIL stellte außerdem fest, dass einige Behörden die vorgeschriebenen Datenschutz-Folgenabschätzungen vor der Einführung risikoreicher Systeme nicht durchgeführt hatten, darunter Online-Plattformen, die von Eltern zur Verwaltung der schulischen Aktivitäten ihrer Kinder genutzt werden, sowie Videoüberwachungssysteme in öffentlichen Bereichen.

Nach Angaben der Aufsichtsbehörde erhöhten die Versäumnisse das Risiko von Datenschutzverletzungen, einschließlich der Offenlegung sensibler Informationen wie Kinderdaten und Bankdaten. Einige Behörden hatten bereits Datenschutzverletzungen erlebt, die potenziell durch stärkere Sicherheitsmaßnahmen hätten verhindert werden können.

Die Bußgelder liegen zwischen 3.000 € und 20.000 €, abhängig von der Schwere der Verstöße, der Art der betroffenen Daten, der Anzahl der betroffenen Personen und dem jeweiligen Budget der Behörde.