8 große Datenschutzverletzungen im Jahr 2026: Millionen betroffen, sensible Daten offengelegt

Millionen Menschen waren von großen Datenschutzverletzungen betroffen, die 2026 gemeldet wurden. Dazu gehören Vorfälle bei Bildungsplattformen, Gesundheitsdienstleistern, Versicherungsunternehmen und Reiseunternehmen.

Die Vorfälle zeigen, wie Angreifer kompromittierte Konten, den Zugriff Dritter und Schwachstellen in Systemen mit sensiblen Informationen ausnutzen können. In seinem Bericht zur Jahresmitte 2026identifizierte das Privacy Rights Clearinghouse (PRC) in den ersten sechs Monaten des Jahres 1.969 einzelne Datenschutzverletzungen anhand von 5.429 Meldungen an staatliche und Bundesbehörden.

Diese Meldungen entsprachen etwa 343,1 Millionen gemeldeten Fällen von Datenoffenlegung. Darin enthalten ist jedoch die nicht verifizierte Behauptung, dass 275 Millionen Canvas-Nutzer betroffen waren. Ohne diese Behauptung sinkt die Gesamtzahl auf rund 68 Millionen. Das PRC wies außerdem darauf hin, dass diese Zahlen die Offenlegung personenbezogener Daten und nicht unbedingt die Zahl einzelner betroffener Personen darstellen.

Die folgenden acht Vorfälle veranschaulichen, welche Informationen kompromittiert wurden, wie viele Menschen Berichten zufolge betroffen waren und was Unternehmen und Verbraucher aus den Meldungen lernen können.

8 große Datenschutzverletzungen, die 2026 gemeldet wurden

Diese Vorfälle wurden aufgrund ihres gemeldeten Ausmaßes, der Sensibilität der betroffenen Informationen und ihrer möglichen Folgen ausgewählt. Es handelt sich nicht um eine Rangliste der acht größten bestätigten Datenschutzverletzungen.

Die Zahlen basieren auf veröffentlichten aufsichtsrechtlichen Meldungen und Berichten zu Datenschutzverletzungen. Einige Meldungen nennen für denselben Vorfall unterschiedliche Gesamtzahlen. Die Zahlen dürfen daher nicht addiert werden, um die Zahl der einzelnen betroffenen Personen zu bestimmen. Einige Vorfälle begannen bereits vor 2026, wurden aber erst im Laufe des Jahres bekannt gegeben.

1. Instructure (Canvas): 275 Millionen behauptet, die tatsächliche Zahl bleibt jedoch unbestätigt

Das EdTech-Unternehmen Instructure, das das Lernmanagementsystem Canvas betreibt, verzeichnete im April und Mai 2026 unbefugte Aktivitäten im Zusammenhang mit Canvas.

Das Privacy Rights Clearinghouse identifizierte einen Eintrag zu einer Datenschutzverletzung in Wisconsin, in dem 275 Millionen betroffene Nutzer angegeben wurden. Die Organisation stellte jedoch fest, dass die Zahl auf einer Behauptung eines Angreifers beruhte und nicht unabhängig überprüft worden war.

Bei der Analyse der öffentlich zugänglichen Meldungen stellte das PRC etwa 18.400 betroffene Personen fest. Diese Zahl lässt jedoch keinen Rückschluss auf das vollständige Ausmaß des Vorfalls zu.

Was wurde offengelegt: Nach Angaben des PRC umfassten die kompromittierten Informationen Benutzernamen, E-Mail-Adressen, Kursnamen, Einschreibungsdaten und Nachrichten. Instructure erklärte, dass Passwörter, Geburtsdaten, staatliche Identifikationsnummern und Finanzdaten nicht betroffen waren.

Im Mai erklärte Instructure, eine Vereinbarung mit dem unbefugten Akteur getroffen zu haben, und versicherte, dass die Informationen zurückgegeben und vernichtet worden seien.

In einem Update vom 29. September erklärte das Unternehmen, die forensische Untersuchung der betroffenen Daten sei abgeschlossen und man bereite die Übermittlung von Informationen an die noch betroffenen Institutionen vor. Das Update bestätigte keine verifizierte Zahl von 275 Millionen betroffenen Personen. WieeSecurity Planet feststellte, nahm die Erpressergruppe ShinyHunters im Zusammenhang mit dem Canvas-Vorfall Universitäten ins Visier.

Warum das wichtig ist: Bildungsplattformen können Informationen über Schüler, Lehrkräfte und Institutionen speichern. Schulen sollten den Anbieterzugriff, den Kontenschutz und die Verfahren zur Reaktion auf Vorfälle bei weit verbreiteten Drittanbietersystemen überprüfen.

2. DentaQuest: Widersprüchliche Meldungen nennen 15 Millionen und 27,4 Millionen Betroffene

DentaQuest, ein von Sun Life betriebenes Unternehmen zur Verwaltung von Zahn- und Sehleistungen, meldete einen Cybersicherheitsvorfall, bei dem personenbezogene Daten und Gesundheitsdaten betroffen waren.

Laut aufsichtsrechtlichen Meldungen aus dem Jahr 2026griffen Unbefugte zwischen dem 17. und 20. Mai auf das Netzwerk des Unternehmens zu. DentaQuest entdeckte die Aktivitäten am 20. Mai.

Die gemeldete Zahl der Betroffenen unterscheidet sich in den einzelnen Meldungen erheblich. Das US-Gesundheitsministerium (HHS) verzeichnete am 16. Juli 15 Millionen Personen, während eine Meldung aus Indiana vom 17. Juli 27,4 Millionen nannte. Eine Meldung aus Texas nannte ebenfalls 15 Millionen.

Die verfügbaren Unterlagen erklären die Abweichung nicht. Daher sollte keine der beiden Zahlen als abgestimmte landesweite Gesamtzahl betrachtet werden. Der Vorfall gehört zu dengrößten im Jahr 2026 gemeldeten Datenschutzverletzungen im Gesundheitswesen.

Was wurde offengelegt: In den Meldungen zur Datenschutzverletzung wurden Namen, Adressen, Sozialversicherungsnummern, Mitgliedsnummern, Medicaid- und Medicare-Nummern sowie Zahn- oder SehhGesundheitsdaten genannt. Letztere umfassten Namen von Leistungserbringern, Diagnosen, Behandlungsinformationen und Abrechnungsdaten.

Welche Informationen betroffen waren, unterschied sich von Person zu Person.

Warum das wichtig ist: Gesundheits- und Versicherungsdaten können langfristige Risiken für die Privatsphäre und Identitätsdiebstahl bergen. Betroffene Personen sollten ihre Benachrichtigungen prüfen und abhängig von den konkret betroffenen Informationen geeignete Vorsichtsmaßnahmen ergreifen.

3. Aesto Health: Mehr als 9,5 Millionen Menschen betroffen

Aesto Health, ein Anbieter für die Migration und Archivierung von Gesundheitsdaten, meldete eine Datenschutzverletzung, von der etwa 9,54 Millionen Personen betroffen waren.

Laut Aestos Meldung zum Vorfallerfolgte der unbefugte Zugriff zwischen etwa dem 2. und 18. Dezember 2025. Das Unternehmen untersuchte anschließend die betroffenen Informationen und bestätigte im Mai 2026 eine mögliche Offenlegung von Patientenakten.

Aesto begann am 26. Juni 2026 damit, betroffene Kunden aus dem Gesundheitswesen zu benachrichtigen. Diese Organisationen waren dafür verantwortlich, die erforderlichen Patientenbenachrichtigungen zu bestimmen und durchzuführen.

Wie eSecurity Planet berichtete, betraf der Vorfall Informationen von Patienten der Gesundheitseinrichtungen, die Aestos Dienste nutzten.

Was wurde offengelegt: Zu den möglicherweise betroffenen Informationen gehörten Namen, Geburtsdaten, medizinische Unterlagen, Krankenversicherungsdaten, Führerscheinnummern, Finanzkontoinformationen und andere staatliche Identifikationsnummern. Sozialversicherungsnummern waren möglicherweise bei einer begrenzten Zahl von Personen betroffen.

Welche Informationen betroffen waren, unterschied sich von Person zu Person.

Warum das wichtig ist: Gesundheitseinrichtungen greifen häufig auf Anbieter zurück, um sensible Unterlagen zu verwalten. Die Datenschutzverletzung zeigt, warum Zugriffskontrollen für Anbieter, Richtlinien zur Datenaufbewahrung und klar festgelegte Zuständigkeiten für Benachrichtigungen unerlässlich sind.

4. AssuranceAmerica: Knapp 7 Millionen Autofahrer betroffen

Der Versicherungsanbieter AssuranceAmerica meldete laut der Analyse des Privacy Rights Clearinghouse zur Jahresmitteeine Datenschutzverletzung, von der 6.998.886 Personen betroffen waren.

Das Unternehmen entdeckte im März 2026 verdächtige Aktivitäten in seinen Systemen und untersuchte anschließend den unbefugten Zugriff auf Dateien mit Kundeninformationen.

Wie in der Berichterstattung von eSecurity Planet über die Datenschutzverletzung bei AssuranceAmericaausgeführt, waren knapp 7 Millionen Autofahrer betroffen.

Was wurde offengelegt: In den Meldungen zur Datenschutzverletzung wurden Namen, Kontaktdaten, Führerscheinnummern, Versicherungs- und Kontoinformationen, Fahrzeugdaten und Schadensfalldaten genannt. Welche Informationen betroffen waren, unterschied sich von Person zu Person.

Warum das wichtig ist: Führerschein- und Versicherungsdaten können für Identitätsbetrug und die Vortäuschung einer fremden Identität genutzt werden. Betroffene Personen sollten offizielle Benachrichtigungen prüfen, um festzustellen, ob eine zusätzliche Überwachung ihrer Identität oder andere Schutzmaßnahmen sinnvoll sind.

Für Versicherungsanbieter unterstreicht der Vorfall, wie wichtig es ist, den Zugriff auf Kundenunterlagen zu beschränken und verdächtige Aktivitäten in sensiblen Datenbanken zu erkennen.

5. Carnival Corporation: Etwa 6 Millionen Kunden betroffen

Carnival Corporation meldete einen Cybersicherheitsvorfall, bei dem die personenbezogenen Daten von etwa 6 Millionen Menschen betroffen waren.

Laut Carnivals Meldung zur Datenschutzverletzungstellte das Unternehmen am 14. April 2026 unbefugte Aktivitäten im Zusammenhang mit einem Mitarbeiterkonto fest.

Der Angreifer täuschte einen Mitarbeiter durch Social Engineering und erlangte Zugriff auf die Systeme des Unternehmens. Carnival stellte am 22. April fest, dass personenbezogene Daten kopiert worden waren.

Das Büro des texanischen Generalstaatsanwaltskündigte anschließend eine Untersuchung an und berichtete, dass schätzungsweise 6 Millionen Menschen betroffen waren, darunter mehr als 800.000 Einwohner von Texas. WieeSecurity Planet bereits feststellte, waren Kunden aus dem gesamten Reisegeschäft des Unternehmens betroffen.

Was wurde offengelegt: Carnival nannte Namen, Adressen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und amtliche Identifikationsnummern, darunter Führerschein- und Passnummern.

Das Unternehmen betonte, dass sich die betroffenen Informationen von Person zu Person unterschieden. In seiner Meldung vom Mai erklärte es außerdem, dass die Analyse der betroffenen Datensätze noch andauere.

Warum das wichtig ist: Personenbezogene Reisedaten können Kriminellen dabei helfen, überzeugende Phishing-Nachrichten oder Betrugsversuche durch Identitätsvortäuschung zu erstellen. Kunden sollten bei unerwarteten Mitteilungen zu Reservierungen, Identitätsprüfungen oder einer Entschädigung wegen der Datenschutzverletzung vorsichtig sein.

6. AdaptHealth: Mehr als 4,1 Millionen Menschen betroffen

Der Gesundheitsdienstleister AdaptHealth meldete laut der Datenbank des US-Gesundheitsministeriums zu Datenschutzverletzungeneine Datenschutzverletzung, von der 4.115.802 Personen betroffen waren.

In seiner Meldung vom 14. August, erklärte das Unternehmen, dass am 5. Juni 2026 ein unbefugter Zugriff stattgefunden hatte. AdaptHealth entdeckte den Vorfall am 15. Juni.

Eine frühere Meldung an die SEC beschrieb einen Social-Engineering-Angriff, bei dem die Benutzersitzung eines Drittanbieters kompromittiert wurde.

Was wurde offengelegt: Zu den möglicherweise betroffenen Informationen gehörten Namen, Kontaktdaten, demografische Angaben, Krankenversicherungsdaten und medizinische Unterlagen.

AdaptHealth erklärte, dass Sozialversicherungsnummern, Bankkontoinformationen und Zahlungskarteninformationen nicht in den betroffenen Systemen enthalten waren.

Warum das wichtig ist: Ein kompromittierter Zugriff durch Dritte kann Risiken für Gesundheitseinrichtungen mit sich bringen, selbst wenn die Konten ihrer Mitarbeiter sicher bleiben.

Sicherheitsteams sollten die Berechtigungen von Auftragnehmern, Authentifizierungskontrollen und die Überwachung von Systemen prüfen, in denen sensible Patienteninformationen gespeichert sind.

7. Medtronic: Mehr als 3,8 Millionen Menschen betroffen

Das Medizintechnikunternehmen Medtronic verzeichnete im April 2026 einen unbefugten Zugriff auf bestimmte IT-Systeme des Unternehmens.

Der Bericht des Privacy Rights Clearinghouse zur Jahresmitte 2026 nennt für den Vorfall 3.834.294 betroffene Personen. Die Zahl des PRC entspricht dem höchsten gemeldeten Wert unter den von ihm geprüften Meldungen und nicht einer von Medtronic unabhängig bekannt gegebenen landesweiten Gesamtzahl.

In seiner Stellungnahme vom 29. Juni, bestätigte das Unternehmen, dass es begonnen hatte, Personen zu kontaktieren, deren Informationen möglicherweise betroffen waren.

Was wurde offengelegt: Meldungen auf Ebene der Bundesstaaten nannten personenbezogene Daten, darunter Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern und medizinische Informationen. Die konkreten Kategorien unterschieden sich von Person zu Person.

Medtronic erklärte, es gebe keine Hinweise darauf, dass betroffene Informationen öffentlich online veröffentlicht worden seien.

Das Unternehmen erklärte außerdem, dass es keine Auswirkungen auf die Sicherheit medizinischer Geräte, die Patientensicherheit, die Herstellung, den Vertrieb oder die Fähigkeit seiner Produkte festgestellt habe, die vorgesehene Therapie zu erbringen.

Warum das wichtig ist: Eine Datenschutzverletzung bei einem Medizintechnikunternehmen kann Bedenken hinsichtlich der Sicherheit von Geräten aufwerfen. Ein unbefugter Zugriff auf Informationssysteme des Unternehmens bedeutet jedoch nicht automatisch, dass medizinische Geräte kompromittiert wurden.

Sicherheitsteams und Gesundheitseinrichtungen sollten zwischen der bestätigten Offenlegung personenbezogener Daten und nicht verifizierten Risiken für den Betrieb oder die Produktsicherheit unterscheiden.

8. TriZetto Provider Solutions: Mehr als 3,4 Millionen Betroffene gemeldet

TriZetto Provider Solutions, ein Cognizant gehörendes Unternehmen für Gesundheitstechnologie, gab eine Datenschutzverletzung im Zusammenhang mit Datensätzen zur Überprüfung des Versicherungsanspruchs bekannt.

Der Bericht des Privacy Rights Clearinghouse zur Jahresmitte 2026 nennt für den Vorfall 3.433.965 betroffene Personen, basierend auf aufsichtsrechtlichen Meldungen aus der ersten Jahreshälfte 2026.

Diese Zahl erscheint auch in den Meldungen an das US-Gesundheitsministerium vom Februar 2026. Sie entspricht der in diesen Unterlagen gemeldeten Personengruppe und nicht unbedingt einer endgültigen Zahl aller möglicherweise betroffenen Personen.

Laut der Untersuchung von TechTarget zu großen Datenschutzverletzungen im Gesundheitswesen entdeckte TriZetto im Oktober 2025 verdächtige Aktivitäten. Ermittler stellten einen unbefugten Zugriff auf Transaktionsdatensätze zur Versicherungsberechtigung fest, der bis in den November 2024 zurückreichte.

Die Datenschutzverletzung führte anschließend zu Rechtsstreitigkeiten. eSecurity Planet untersuchte die Sammelklagen gegen Cognizant im Zusammenhang mit dem Vorfall.

Was wurde offengelegt: Zu den möglicherweise betroffenen Informationen gehörten Namen, Adressen, Sozialversicherungsnummern, Geburtsdaten, Namen der Krankenversicherer, Versicherungsmitgliedsdaten sowie weitere demografische Angaben und Krankenversicherungsdaten.

Welche konkreten Informationen betroffen waren, unterschied sich von Person zu Person.

Warum das wichtig ist: Datensätze zur Versicherungsberechtigung können sensible persönliche Identifikationsdaten mit gesundheitsbezogenen Informationen kombinieren und dadurch das Risiko von Identitätsdiebstahl und betrügerischen Aktivitäten erhöhen.

Der Vorfall zeigt außerdem, wie wichtig es ist, unbefugten Zugriff schnell zu erkennen, insbesondere wenn sensible Datensätze über einen längeren Zeitraum zugänglich bleiben können.

Was diese großen Datenschutzverletzungen für Unternehmen und Verbraucher bedeuten

Obwohl die Vorfälle verschiedene Branchen betreffen, veranschaulichen sie wiederkehrende Cybersicherheitsrisiken, darunter kompromittierte Konten, Social Engineering, Zugriffe durch Dritte und große Sammlungen sensibler Informationen.

Für Unternehmen können die Folgen einer Datenschutzverletzung über die unmittelbaren Kosten der Reaktion hinausgehen und aufsichtsrechtliche Untersuchungen, Rechtsstreitigkeiten, das Misstrauen von Kunden und Betriebsunterbrechungen umfassen.

Für Verbraucher hängen die Risiken davon ab, welche Informationen kompromittiert wurden. Offengelegte Kontaktdaten können das Phishing-Risiko erhöhen, während kompromittierte Sozialversicherungsnummern oder Gesundheitsinformationen umfangreichere Schutzmaßnahmen erforderlich machen können.

Was Sicherheitsteams tun sollten

Organisationen sollten diese Vorfälle zum Anlass nehmen, ihre Schutzmaßnahmen für sensible Informationen neu zu bewerten, insbesondere wenn diese von externen Anbietern verarbeitet werden.

• Identitätskontrollen stärken. Setzen Sie eine angemessene Multifaktor-Authentifizierung durch, beschränken Sie privilegierte Zugriffe und überwachen Sie verdächtige Sitzungen von Mitarbeitern und Auftragnehmern.
• Anbietersicherheit überprüfen. Ermitteln Sie externe Organisationen mit Zugriff auf sensible Datensätze und überprüfen Sie deren Schutzmaßnahmen, Fähigkeiten zur Reaktion auf Vorfälle und Pflichten zur Benachrichtigung.
• Unnötige Offenlegung von Daten begrenzen. Minimieren Sie die Aufbewahrungsdauer, beschränken Sie den Zugriff auf sensible Systeme und schützen Sie gespeicherte Informationen angemessen.
• Verfahren zur Reaktion auf Vorfälle testen. Stellen Sie sicher, dass Teams kompromittierte Datensätze identifizieren, unbefugten Zugriff eindämmen und betroffene Personen unverzüglich benachrichtigen können.

Was betroffene Personen tun sollten

Wer eine Benachrichtigung über eine Datenschutzverletzung erhält, sollte diese über die offiziellen Kanäle des Unternehmens überprüfen und die konkret als kompromittiert angegebenen Informationen kontrollieren.

Wenn Zugangsdaten offengelegt wurden, sind die Änderung von Passwörtern und die Aktivierung der Multifaktor-Authentifizierung geeignete erste Schritte. Personen, deren Sozialversicherungsnummern oder andere sensible Identifikationsdaten kompromittiert wurden, sollten außerdem eine Kreditsperre oder eine zusätzliche Überwachung ihrer Identität in Betracht ziehen.

Unerwartete E-Mails, Anrufe oder Textnachrichten, die sich auf eine Datenschutzverletzung beziehen, sollten mit Vorsicht behandelt werden. Kriminelle können öffentliche Berichte über Sicherheitsvorfälle ausnutzen, um überzeugende Phishing-Versuche zu erstellen.

Letztlich erzählt das Ausmaß einer Datenschutzverletzung nur einen Teil der Geschichte. Die Sensibilität der offengelegten Informationen, die Dauer des unbefugten Zugriffs und die Geschwindigkeit der Reaktion einer Organisation beeinflussen allesamt die möglichen Folgen.

Für Unternehmen und Sicherheitsteams lautet die bleibende Lehre aus diesen Vorfällen, dass die Verhinderung unbefugter Zugriffe zwar unerlässlich bleibt, es aber ebenso wichtig ist, die Informationen zu begrenzen, auf die ein Angreifer nach dem Eindringen zugreifen kann.

Weitere Tipps zur Cybersicherheit: Für praktische Maßnahmen, mit denen Organisationen ihre Angriffsfläche verringern können, lesen Sie den Leitfaden von eSecurity Planet zur Verhinderung von Datenschutzverletzungen, der Datenschutz, die Planung der Reaktion auf Vorfälle und Sicherheitsschulungen behandelt.