---
url: 'https://www.corbado.com/es/blog/brechas-datos-alemania'
title: 'Las 10 mayores brechas de datos en Alemania [2026]'
description: 'Descubra las 10 mayores brechas de datos en Alemania: desde el hackeo al Bundestag hasta Samsung en 2025. Costes, multas del RGPD y prevención explicados.'
lang: 'es'
author: 'Vincent Delitz'
date: '2026-05-27T10:36:08.278Z'
lastModified: '2026-08-28T12:01:58.708Z'
keywords: 'brecha de datos Alemania, multas RGPD Alemania, ciberataque Alemania, notificación de brecha de datos Alemania, brecha de datos Samsung Alemania, mayor brecha de datos Alemania 2026, empresas alemanas hackeadas'
category: 'Authentication'
---
# Las 10 mayores brechas de datos en Alemania [2026]
## Key Facts
- El coste medio de una brecha de datos en Alemania alcanzó los **4,9 millones EUR** en
2024 (unos 5,31 millones USD), situando a Alemania entre los cinco países más caros a
nivel mundial (IBM Cost of a Data Breach Report 2024).
- Alemania registra sistemáticamente el **mayor número de notificaciones de brechas del
RGPD** en Europa, con más de 77.000 notificaciones acumuladas desde que el RGPD entró en
vigor en mayo de 2018 y unas 32.000 en un solo año de encuesta (DLA Piper GDPR Fines and
Data Breach Survey 2021 y 2024).
- La **multa de 35,3 millones EUR a H\&M Núremberg** en 2020 es la mayor multa del RGPD
jamás impuesta por una autoridad alemana.
- La **brecha de Samsung Alemania de marzo de 2025** expuso unos 270.000 registros de
clientes a través del proveedor externo Spectos, siendo el incidente de terceros más
destacado del país en 2025.
- Los responsables del tratamiento alemanes deben notificar las brechas a la **autoridad
de control competente** (normalmente una de las 16 autoridades estatales de protección
de datos, o la BfDI para organismos federales y proveedores postales o de
telecomunicaciones) en un plazo de **72 horas** en virtud del artículo 33 del RGPD.
## 1. Introducción
Alemania es la mayor economía de Europa y una de las jurisdicciones con más brechas del
continente. El coste medio de una [brecha de datos](https://www.corbado.com/es/blog/manejo-seguro-documentos) en
Alemania alcanzó los **4,9 millones EUR en 2024** (unos 5,31 millones USD), lo que sitúa
al país entre los cinco más caros del mundo según el
[IBM Cost of a Data Breach Report 2024](https://www.ibm.com/reports/data-breach). Desde la
entrada en vigor del [RGPD](https://www.corbado.com/es/blog/manejo-seguro-documentos), las organizaciones
alemanas han presentado más notificaciones que cualquier otro estado miembro de la UE.
Este artículo enumera las 10 brechas de datos más significativas de la historia de
Alemania —desde el hackeo al Bundestag de 2015 hasta la filtración de
[Samsung](https://www.corbado.com/blog/samsung-passkeys) Alemania de 2025—, junto con las reglas de notificación,
las multas del [RGPD](https://www.corbado.com/es/blog/manejo-seguro-documentos) y los patrones de prevención que
se aplican a cualquier organización que opere en Alemania.
## 2. ¿Por qué es Alemania un objetivo atractivo para las brechas de datos?
La posición de Alemania como potencia industrial de Europa, su papel geopolítico en la
OTAN y en la UE y un régimen de protección de datos fragmentado en 16 autoridades se
combinan para producir una superficie de ataque desproporcionada. Los atacantes tienen en
el punto de mira a las empresas alemanas por su propiedad intelectual de gran valor en los
sectores automovilístico, químico, de ingeniería y financiero. Los grupos patrocinados por
estados atacan a las instituciones políticas. Los proveedores medianos (Mittelstand) con
defensas más débiles son explotados como punto de entrada hacia grandes empresas.
### 2.1 Potencia industrial con propiedad intelectual de gran valor
Alemania alberga marcas mundialmente reconocidas en automoción (Volkswagen, BMW,
Mercedes-Benz), ingeniería (Siemens, Bosch), productos químicos (BASF, Bayer) y finanzas
(Deutsche Bank, Allianz). Estas empresas conservan secretos comerciales, datos de
fabricación, proyectos de I+D y registros de clientes. Esta concentración de propiedad
intelectual de alto valor convierte a las organizaciones alemanas en un objetivo
prioritario para ciberdelincuentes con motivaciones económicas y grupos de espionaje
patrocinados por estados que buscan ventajas competitivas.
### 2.2 Importancia geopolítica y amenazas patrocinadas por estados
El papel de Alemania en la OTAN, la UE y el G7 la sitúa en el punto de mira de operaciones
patrocinadas por estados. El grupo vinculado a Rusia APT28 (Fancy Bear) ha atacado en
repetidas ocasiones al Bundestag y a partidos políticos. Las autoridades alemanas
atribuyeron formalmente el hackeo del Bundestag de 2015 a la Unidad 26165 del GRU ruso
en 2020. El apoyo de Alemania a Ucrania desde 2022 ha intensificado estas amenazas, con
múltiples casos de atribución confirmados por la BSI y los fiscales alemanes.
### 2.3 Panorama normativo complejo y el desafío del Mittelstand
Alemania aplica el [RGPD](https://www.corbado.com/es/blog/manejo-seguro-documentos) a través de **16 autoridades
estatales individuales de protección de datos**, lo que produce un panorama de supervisión
fragmentado. El Mittelstand alemán —decenas de miles de pequeñas y medianas empresas—
maneja datos industriales y de clientes sensibles, pero a menudo carece de recursos de
[ciberseguridad](https://www.corbado.com/es/blog/el-papel-de-la-ia-en-la-deteccion-de-ciberamenazas) a nivel
empresarial. Esto crea una superficie de ataque amplia y desigual que los
ciberdelincuentes explotan activamente a través de vectores de terceros y de la cadena de
suministro.
## 3. Las 10 mayores brechas de datos en Alemania
La siguiente tabla resume las diez mayores brechas de datos en Alemania por alcance, año y
resultado regulatorio. A continuación se detallan las descripciones de los casos y los
patrones de prevención.
| # | Empresa / Entidad | Año | Registros o alcance | Resultado regulatorio |
| --- | ----------------------------------------- | ------- | ---------------------------------- | ------------------------------ |
| 1 | Megafiltración de credenciales alemanas | 2014 | 16 M pares correo/contraseña | Pre-RGPD |
| 2 | Bundestag alemán | 2015 | 16 GB, más de 5.000 PC | Atribución estatal (2020) |
| 3 | Filtración de datos de políticos alemanes | 2018/19 | \~1.000 figuras públicas | Procesamiento penal |
| 4 | Knuddels.de | 2018 | 1,8 M (330.000 confirmados) | Multa RGPD de 20.000 EUR |
| 5 | Mastercard Priceless Specials | 2019 | 90.000 miembros | Investigaciones abiertas |
| 6 | H\&M Núremberg | 2014-19 | Varios cientos de empleados | **Multa RGPD de 35,3 M EUR** |
| 7 | Scalable Capital | 2020 | 33.000 clientes | 2.500 EUR en daños por cliente |
| 8 | Hospital Universitario de Düsseldorf | 2020 | 30 servidores, cierre de urgencias | Investigación por homicidio |
| 9 | Motel One | 2023 | 6 TB, 150 datos de tarjetas | Cooperación policial |
| 10 | Samsung Alemania / Spectos | 2025 | \~270.000 registros de clientes | Revisión de la BfDI en curso |
### 3.1 Megafiltración de credenciales alemanas (2014)
| Detalles | Información |
| ---------------------------- | ------------------------------------------------------------------------------------------------------- |
| Fecha | Abril de 2014 (revelado por BSI) |
| Número de clientes afectados | Aproximadamente 16 millones de combinaciones de correo electrónico/contraseña |
| Datos filtrados | - Direcciones de correo electrónico
- Contraseñas
- Credenciales de acceso a servicios en línea |
En abril de 2014, la Oficina Federal de
[Seguridad](https://www.corbado.com/es/blog/contrasenas-complejas-descifradas-pronto) de la Información de
Alemania ([BSI](https://www.bsi.bund.de/)) confirmó que la policía del norte de Alemania
había descubierto aproximadamente 16 millones de direcciones de correo electrónico y
[contraseñas](https://www.corbado.com/es/blog/brecha-datos-lastpass) robadas. Este hecho se produjo tres meses
después de un botín similar de 16 millones de credenciales comprometidas, lo que la
convirtió en la mayor filtración de credenciales de la historia de Alemania en aquel
momento. Unos 3 millones de credenciales pertenecían a ciudadanos alemanes. Los datos
robados se utilizaban activamente para compras en línea no autorizadas y
[fraude de identidad](https://www.corbado.com/es/blog/verificacion-de-identidad-digital).
El descubrimiento puso de manifiesto la reutilización sistémica de
[contraseñas](https://www.corbado.com/es/blog/brecha-datos-lastpass) y la vulnerabilidad de los servicios en
línea frente a los ataques basados en credenciales. La BSI lanzó un sitio de búsqueda
público para que los ciudadanos pudieran comprobar si sus credenciales se habían visto
comprometidas.
Métodos de prevención:
- Implementar [MFA](https://www.corbado.com/es/blog/contrasenas-complejas-descifradas-pronto) resistente al
[phishing](https://www.corbado.com/glossary/phishing), como [claves de acceso](https://www.corbado.com/es/glossary/cda), para eliminar
el riesgo de reutilización de credenciales.
- Monitorear volcados de credenciales en la dark [web](https://www.corbado.com/es/blog/proveedores-passkeys) y
forzar restablecimientos tras una exposición.
### 3.2 Hackeo al Bundestag alemán (2015)
| Detalles | Información |
| ---------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------- |
| Fecha | Mayo de 2015 (detectado), atribuido en 2020 |
| Número de clientes afectados | Más de 5.000 ordenadores, 16 GB exfiltrados, correos electrónicos de parlamentarios |
| Datos filtrados | - Correos de parlamentarios
- Documentos parlamentarios internos
- Datos administrativos
- Datos de la oficina del Vicecanciller |
En mayo de 2015, la red interna del Parlamento Federal de Alemania sufrió una brecha en
uno de los ataques cibernéticos patrocinados por estados más importantes de la historia
del país. APT28 (Fancy Bear / Sofacy), una unidad del servicio de inteligencia militar
ruso GRU, utilizó correos electrónicos de spear-[phishing](https://www.corbado.com/glossary/phishing) disfrazados
de comunicaciones de la ONU para instalar [malware](https://www.corbado.com/glossary/malware). Los atacantes
obtuvieron acceso administrativo, comprometieron más de 5.000 ordenadores y extrajeron
aproximadamente 16 GB de datos, incluidas decenas de miles de correos electrónicos
parlamentarios.
Todo el entorno informático del Bundestag tuvo que ser desconectado y reconstruido.
Alemania atribuyó formalmente el ataque a la Unidad 26165 del GRU en 2020 y emitió una
orden de arresto internacional contra Dmitriy Badin. El incidente se convirtió en un punto
de inflexión en la política de
[ciberseguridad](https://www.corbado.com/es/blog/el-papel-de-la-ia-en-la-deteccion-de-ciberamenazas) alemana.
Métodos de prevención:
- Aplicar controles anti-[phishing](https://www.corbado.com/glossary/phishing) y
[autenticación](https://www.corbado.com/es/glossary/jwks) resistente al phishing para usuarios del
[gobierno](https://www.corbado.com/passkeys-for-public-sector).
- Aplicar segmentación de red y acceso de mínimo privilegio para limitar el movimiento
lateral.
### 3.3 Filtración de datos de políticos alemanes (2018/2019)
| Detalles | Información |
| ---------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Fecha | Diciembre de 2018 (revelado en enero de 2019) |
| Número de clientes afectados | Aproximadamente 1.000 figuras públicas |
| Datos filtrados | - Números de teléfono y direcciones
- Datos de tarjetas de crédito y financieros
- Registros de chats privados
- Fotos personales
- Documentos de identidad |
En diciembre de 2018, un estudiante de 20 años de Hesse orquestó lo que se denominó la
mayor [filtración de datos](https://www.corbado.com/es/blog/contrasena-filtracion-datos-que-hacer) personales de
figuras públicas de la historia de Alemania. Mediante una campaña de publicación en
[Twitter](https://www.corbado.com/blog/x-twitter-passkeys) al estilo de un calendario de adviento, el atacante
publicó datos personales robados de más de 1.000 políticos, periodistas y celebridades
alemanas, incluyendo a la canciller Angela Merkel y al presidente Frank-Walter Steinmeier.
Los datos incluían números de teléfono privados, direcciones, información de tarjetas de
crédito, registros de chats personales y fotografías.
El autor fue detenido en enero de 2019. No tenía formación formal en informática y había
actuado en solitario. El caso sacó a la luz la deficiente higiene digital de la élite
política alemana.
Métodos de prevención:
- Imponer un [MFA](https://www.corbado.com/es/blog/contrasenas-complejas-descifradas-pronto) sólido en todas las
cuentas personales y oficiales.
- Ejecutar un monitoreo en la dark [web](https://www.corbado.com/es/blog/proveedores-passkeys) en busca de
credenciales expuestas vinculadas a funcionarios públicos.
### 3.4 Brecha de datos de Knuddels.de (2018)
| Detalles | Información |
| ---------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------- |
| Fecha | Julio de 2018 (revelado en septiembre de 2018) |
| Número de clientes afectados | Aproximadamente 330.000 confirmados (hasta 1,8 millones afectados) |
| Datos filtrados | - Direcciones de correo electrónico
- Nombres de usuario
- Contraseñas almacenadas en texto plano
- Nombres reales y direcciones |
En julio de 2018, la popular plataforma de chat alemana Knuddels.de fue vulnerada por
hackers que accedieron a aproximadamente 1,8 millones de registros de usuarios, incluido
un archivo de [contraseñas](https://www.corbado.com/es/blog/brecha-datos-lastpass) sin cifrar. Los datos robados
se publicaron en Pastebin y Mega en septiembre de 2018. La brecha se rastreó hasta un
servidor de respaldo obsoleto que no había recibido actualizaciones de
[seguridad](https://www.corbado.com/es/blog/contrasenas-complejas-descifradas-pronto).
La brecha de Knuddels desencadenó la primera multa del RGPD en Alemania: la Autoridad de
Protección de Datos de Baden-Wurtemberg (LfDI) impuso **20.000 EUR** por almacenar
contraseñas en texto plano, violando el artículo 32 del RGPD. La autoridad elogió a
Knuddels por su transparencia y cooperación, estableciendo un importante precedente para
la aplicación del RGPD en Alemania.
Métodos de prevención:
- Reemplazar el almacenamiento de contraseñas en texto plano con hashing moderno (bcrypt,
Argon2) o flujos sin contraseña (passwordless).
- Aplicar parches y desmantelar sistemas heredados de copia de
[seguridad](https://www.corbado.com/es/blog/contrasenas-complejas-descifradas-pronto) y ensayo (staging) con
una cadencia estricta.
### 3.5 Brecha de Mastercard Priceless Specials (2019)
| Detalles | Información |
| ---------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Fecha | Agosto de 2019 |
| Número de clientes afectados | Aproximadamente 90.000 personas |
| Datos filtrados | - Nombres completos
- Números de tarjetas de pago
- Direcciones de correo electrónico y postales
- Números de teléfono
- Fechas de nacimiento y sexo |
En agosto de 2019, el programa de fidelización alemán de
[Mastercard](https://www.corbado.com/blog/mastercard-passkeys) "Priceless Specials" sufrió una brecha que expuso
la información personal de aproximadamente 90.000 miembros. Se publicaron en internet dos
archivos de datos que contenían nombres, números de tarjetas de
[pago](https://www.corbado.com/passkeys-for-payment), direcciones de correo electrónico, direcciones postales,
números de teléfono, sexos y fechas de nacimiento. Las contraseñas, las fechas de
caducidad de las tarjetas y los códigos CVC no se incluyeron, pero los datos expuestos
crearon importantes riesgos de fraude y robo de identidad.
La brecha se rastreó hasta un proveedor de servicios externo que gestionaba Priceless
Specials en Alemania. [Mastercard](https://www.corbado.com/blog/mastercard-passkeys) suspendió el programa,
retiró el sitio y notificó a las autoridades de protección de datos alemanas y belgas. Le
siguieron decenas de quejas formales, destacando el riesgo de proveedores externos incluso
para las grandes instituciones financieras.
Métodos de prevención:
- Imponer auditorías de seguridad, acuerdos de nivel de servicio (SLA) de notificación de
brechas y requisitos de [cifrado](https://www.corbado.com/es/blog/manejo-seguro-documentos) a todos los
proveedores externos.
- Monitorear continuamente las plataformas externas que procesan información de
identificación personal (PII) de los clientes.
### 3.6 Brecha de vigilancia de empleados de H\&M (2014-2019)
| Detalles | Información |
| ---------------------------- | ------------------------------------------------------------------------------------------------------------------------------------- |
| Fecha | Desde 2014, revelado en octubre de 2019, multado en octubre de 2020 |
| Número de clientes afectados | Varios cientos de empleados en el Centro de Servicios de H\&M en Núremberg |
| Datos filtrados | - Registros y diagnósticos de salud
- Detalles de vacaciones y familia
- Creencias religiosas
- Evaluaciones de desempeño |
Desde al menos 2014, los gerentes del centro de servicios de H\&M en Núremberg recopilaron
sistemáticamente detalles sobre la vida privada de varios cientos de empleados. Mediante
las "Charlas de bienvenida" posteriores a bajas por enfermedad y vacaciones, los
supervisores registraron diagnósticos de salud, problemas familiares, creencias religiosas
y experiencias vacacionales. Los datos se almacenaron en una unidad de red accesible a
unos 50 gerentes y se utilizaron en decisiones laborales.
La práctica fue descubierta en octubre de 2019 después de que un
[error](https://www.corbado.com/es/blog/errores-webauthn) de configuración hiciera visible la unidad en toda la
empresa brevemente. En octubre de 2020, la Autoridad de Protección de Datos de Hamburgo
emitió una multa de **35,3 millones EUR**: la mayor multa del RGPD jamás impuesta por una
autoridad alemana y una de las mayores multas de privacidad relacionadas con el empleo en
la historia europea.
Métodos de prevención:
- Restringir la recopilación de datos de los empleados a lo que sea estrictamente
necesario y auditable.
- Exigir formación obligatoria en el RGPD a cualquier gerente que maneje registros de
empleados.
### 3.7 Brecha de datos de Scalable Capital (2020)
| Detalles | Información |
| ---------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Fecha | Abril-octubre de 2020 (revelado en octubre de 2020) |
| Número de clientes afectados | Aproximadamente 33.000 personas |
| Datos filtrados | - Nombres y direcciones
- Direcciones de correo electrónico
- Copias de documentos de identidad
- ID fiscales
- Datos bancarios y de cuentas de valores
- Fotos |
En octubre de 2020, el bróker online Scalable Capital, con sede en Múnich, reveló una
brecha que expuso información personal y financiera de aproximadamente 33.000 clientes
actuales y anteriores. A diferencia del típico hackeo externo, el incidente fue un caso
interno: un individuo con conocimientos internos accedió al archivo de documentos que
almacenaba copias de documentos de identidad, datos fiscales y detalles de cuentas
bancarias. Los datos robados aparecieron en la dark [web](https://www.corbado.com/es/blog/proveedores-passkeys).
En diciembre de 2021, el Tribunal Regional de Múnich ordenó a Scalable Capital pagar
**2.500 EUR en concepto de daños morales** a un cliente afectado, la primera sentencia
vinculante de compensación del RGPD de su tipo en Europa. El tribunal sostuvo que Scalable
Capital no había revocado las credenciales de acceso una vez finalizadas las relaciones
comerciales.
Métodos de prevención:
- Implementar controles estrictos de acceso de altas, bajas y modificaciones
(joiner-mover-leaver) y una revocación inmediata de las credenciales.
- Cifrar los documentos de identidad almacenados y los registros financieros y registrar
cada acceso.
### 3.8 Ataque de ransomware al Hospital Universitario de Düsseldorf (2020)
| Detalles | Información |
| ---------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Fecha | Septiembre de 2020 |
| Número de clientes afectados | Sistemas hospitalarios que atienden a miles de pacientes |
| Datos filtrados | - 30 servidores cifrados
- Sistemas de programación de pacientes
- Interrupción de la atención de urgencia
- Posible acceso a expedientes de pacientes |
El 10 de septiembre de 2020, el Hospital Universitario de Düsseldorf (UKD) sufrió un
ataque de [ransomware](https://www.corbado.com/glossary/ransomware) que cifró aproximadamente 30 servidores y lo
obligó a darse de baja de la atención de emergencias. Los atacantes aprovecharon la
**CVE-2019-19781**, una vulnerabilidad de Citrix para la que había un parche disponible
desde enero de 2020. El [ransomware](https://www.corbado.com/glossary/ransomware) se vinculó a la familia
DoppelPaymer. Una mujer de 78 años que requería tratamiento de urgencia fue desviada a un
hospital a 30 km de distancia y falleció tras el retraso.
Los fiscales alemanes abrieron una investigación por homicidio negligente, ampliamente
informada como uno de los primeros casos de una muerte potencialmente vinculada a un
[ciberataque](https://www.corbado.com/es/glossary/ciberataque). La nota de rescate iba dirigida a la Universidad
Heinrich Heine, no al hospital: los atacantes parecían haber atacado al objetivo
equivocado. Cuando la policía les informó de que había vidas en riesgo, retiraron la
exigencia y proporcionaron una clave de descifrado.
Métodos de prevención:
- Aplicar parches en los dispositivos expuestos a internet (VPN, equilibradores de carga)
en cuestión de días, no de meses.
- Segmentar los sistemas clínicos de la red corporativa y mantener copias de seguridad sin
conexión probadas.
### 3.9 Ataque de ransomware a Motel One (2023)
| Detalles | Información |
| ---------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Fecha | Septiembre de 2023 |
| Número de clientes afectados | Desconocido (3 años de reservas, se afirma el robo de 6 TB) |
| Datos filtrados | - Nombres y direcciones de clientes
- 3 años de confirmaciones de reservas
- Información sobre el método de pago
- 150 datos de tarjetas de crédito
- Documentos internos de la empresa |
En septiembre de 2023, la cadena hotelera económica Motel One, con sede en Múnich y que
opera más de 90 hoteles en 13 países, fue atacada por la banda de
[ransomware](https://www.corbado.com/glossary/ransomware) BlackCat/ALPHV. Motel One afirmó que el impacto
operativo se mantuvo a un "mínimo relativo". BlackCat aseguró haber extraído casi 24,5
millones de archivos que totalizaban aproximadamente 6 TB, incluidos tres años de
confirmaciones de reservas. Motel One confirmó que se accedió a direcciones de clientes y
150 datos de tarjetas de crédito.
Motel One contrató a especialistas en
[seguridad informática](https://www.corbado.com/es/blog/brecha-de-datos-medibank) certificados, cooperó con las
fuerzas del orden y las autoridades de protección de datos y notificó personalmente a los
150 titulares de tarjetas afectados. El caso puso de manifiesto la exposición del sector
hostelero a conjuntos de datos PII de larga retención.
Métodos de prevención:
- Reducir al mínimo normativo los plazos de conservación de datos de reservas y
[pagos](https://www.corbado.com/passkeys-for-payment).
- Desplegar EDR y segmentación de red para detener el movimiento lateral a tiempo.
### 3.10 Brecha de Samsung Alemania a través de Spectos (2025)
| Detalles | Información |
| ---------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Fecha | Filtrado en marzo de 2025 |
| Número de clientes afectados | Aproximadamente 270.000 registros de clientes de Samsung Alemania |
| Datos filtrados | - Nombres completos
- Direcciones de correo electrónico
- Direcciones físicas
- Números de teléfono
- Números de pedido y datos de productos
- Contenido de tickets de atención al cliente (incluyendo detalles de transacciones) |
En marzo de 2025, un actor de amenazas bajo el alias "GHNA" publicó aproximadamente
**270.000 registros de clientes de Samsung Alemania** en un popular foro de hackers. Los
datos no procedían directamente de [Samsung](https://www.corbado.com/blog/samsung-passkeys), sino de
[Spectos GmbH](https://www.spectos.com/), un socio de medición de calidad del servicio con
sede en Dresde que gestiona la infraestructura de tickets de atención al cliente de
[Samsung](https://www.corbado.com/blog/samsung-passkeys) Alemania. Investigadores de
[Hudson Rock](https://www.hudsonrock.com/blog/samsung-germany-breach-spectos) relacionaron
la intrusión con credenciales sustraídas a un empleado de Spectos en **2021** por un
[malware](https://www.corbado.com/glossary/malware) infostealer; estas credenciales seguían siendo válidas y se
reutilizaron casi cuatro años después.
Los registros expusieron contextos completos de asistencia al cliente: nombres,
direcciones de correo electrónico, direcciones de envío, números de pedido, detalles de
seguimiento y el contenido completo de los tickets de soporte. Esta combinación es
extraordinariamente valiosa para las campañas de phishing altamente personalizadas
dirigidas a clientes de Samsung. La brecha es actualmente la principal noticia sobre
brechas de datos en Alemania en 2025 y ha renovado la atención regulatoria sobre la
higiene de la identidad de la cadena de suministro y las credenciales antiguas de
proveedores.
Métodos de prevención:
- Rotar y expirar las credenciales de proveedores en un horario estricto e imponer un
[MFA](https://www.corbado.com/es/blog/contrasenas-complejas-descifradas-pronto) resistente al phishing en todas
las cuentas de proveedores.
- Analizar continuamente en busca de credenciales obtenidas mediante infostealers y
vinculadas a la organización y su cadena de suministro.
## 4. Cómo notificar una brecha de datos en Alemania
Los responsables del tratamiento alemanes deben notificar una
[brecha de datos](https://www.corbado.com/es/blog/manejo-seguro-documentos) personales a la autoridad estatal de
protección de datos competente en un plazo de **72 horas** a partir de que tengan
constancia de ella, de conformidad con el artículo 33 del RGPD. Si es probable que la
brecha entrañe un alto riesgo para los afectados, el artículo 34 del RGPD obliga a
notificárselo sin demora indebida. Además, los operadores de infraestructuras críticas
deben notificar a la BSI en virtud de la Ley de la BSI (BSIG).
### 4.1 La regla de 72 horas del RGPD (Artículo 33)
Según el [Artículo 33 del RGPD](https://gdpr-info.eu/art-33-gdpr/), el responsable del
tratamiento debe notificar a la autoridad de control competente cualquier violación de la
seguridad de los datos personales **a más tardar 72 horas** después de haber tenido
constancia de ella. Si la notificación se retrasa, el responsable debe proporcionar los
motivos de la demora. La notificación debe describir la naturaleza de la brecha, las
categorías y el número aproximado de afectados, las consecuencias probables y las medidas
adoptadas o propuestas.
### 4.2 Autoridades competentes: 16 APD estatales más la BfDI
A diferencia de las jurisdicciones centralizadas, Alemania cuenta con **16 autoridades
estatales de protección de datos** (Landesdatenschutzbehörden) además del Comisionado
Federal de Protección de Datos y Libertad de Información
([BfDI](https://www.bfdi.bund.de/)). La APD estatal del establecimiento principal del
responsable del tratamiento (por ejemplo, la APD de Hamburgo para H\&M Alemania, o la APD
de Baviera para Scalable Capital) es la competente. Los organismos federales y las
[telecomunicaciones](https://www.corbado.com/passkeys-for-telecom) recaen bajo la BfDI. Este modelo federalizado
es una característica deliberada de la ley de protección de datos alemana.
### 4.3 Notificación a la BSI para infraestructuras críticas (KRITIS)
Los operadores de infraestructuras críticas (KRITIS) deben notificar adicionalmente las
"interrupciones significativas" a la
[Oficina Federal de Seguridad de la Información (BSI)](https://www.bsi.bund.de/) en virtud
del artículo 8b de la Ley de la BSI. La
[directiva NIS2](https://www.corbado.com/es/blog/cumplimiento-ciberseguridad), transpuesta a la Ley de la BSI en
2025, amplió la notificación obligatoria a más sectores, incluidos los proveedores de
servicios digitales, la industria manufacturera y la gestión de residuos. Los informes
siguen un calendario escalonado: **alerta temprana en 24 horas, notificación completa en
72 horas e informe final en el plazo de un mes**.
### 4.4 Notificación individual (Artículo 34)
Cuando es probable que una brecha entrañe un alto riesgo para los derechos y libertades de
las personas, el [Artículo 34 del RGPD](https://gdpr-info.eu/art-34-gdpr/) exige la
notificación directa a los afectados en un lenguaje claro y sencillo. Los casos de
Knuddels, Scalable Capital y Motel One desencadenaron todos las obligaciones del
Artículo 34. El hecho de no notificar es un detonante habitual de sanciones regulatorias
adicionales a las de la brecha subyacente.
## 5. Tendencias en las brechas de datos en Alemania
Cuatro patrones se repiten en los diez casos: las operaciones patrocinadas por estados
contra instituciones democráticas, el compromiso a través de terceros y la cadena de
suministro, el ransomware con un alcance e impacto que amenaza vidas y la jurisprudencia
del RGPD que crea un riesgo financiero real. Comprender estos patrones es mucho más
práctico que memorizar incidentes aislados.
### 5.1 Ataques patrocinados por estados que atacan a instituciones democráticas
Alemania destaca en Europa por la frecuencia de operaciones patrocinadas por estados
contra sus instituciones políticas. El hackeo del Bundestag de 2015, posteriormente
atribuido a la Unidad 26165 del GRU, y los reiterados intentos contra partidos políticos
por parte de APT28 ilustran que el papel geopolítico de Alemania la convierte en un
objetivo prioritario del ciberespionaje. Desde la invasión rusa de Ucrania en 2022, las
autoridades alemanas han confirmado múltiples atribuciones adicionales a la inteligencia
militar rusa.
### 5.2 Los proveedores externos son un eslabón débil y crítico
[Mastercard](https://www.corbado.com/blog/mastercard-passkeys) Priceless Specials, Scalable Capital, Motel One y
la brecha de Samsung / Spectos de 2025 comparten la misma causa raíz: un compromiso a
través de un tercero, no en la marca principal. Incluso las empresas con programas de
seguridad interna maduros siguen expuestas a través de sus redes de proveedores. El caso
de Samsung Alemania en particular demuestra cómo las credenciales robadas a un
subcontratista años atrás aún pueden permitir el acceso a sistemas de producción.
### 5.3 El ransomware se ha convertido en una amenaza para la vida
El ataque al Hospital Universitario de Düsseldorf de 2020 demostró que el ransomware en
infraestructuras críticas es un problema de seguridad vital, no solo un problema
informático o financiero. Los hospitales, las empresas de servicios públicos y las
administraciones municipales de Alemania han sido atacados en repetidas ocasiones. Por lo
general, estos ataques aprovechan dispositivos expuestos a internet sin parches:
vulnerabilidades que eran de conocimiento público y para las que existían parches
disponibles meses antes de su explotación.
### 5.4 La aplicación del RGPD está remodelando la responsabilidad
Alemania se sitúa en la vanguardia de la aplicación del RGPD. La multa de 35,3 millones
EUR a H\&M, la primera multa del RGPD contra Knuddels y el histórico fallo por daños
morales contra Scalable Capital moldean conjuntamente la forma en que las organizaciones
de toda Europa abordan la protección de datos. Si bien Irlanda lidera la UE en el valor
total de las multas del RGPD (según la encuesta de 2026 de DLA Piper) y la sentencia del
TJUE sobre Österreichische Post confirmó que las reclamaciones de daños morales son un
recurso a escala comunitaria, Alemania destaca por la combinación de altas multas
individuales, la disposición de la fiscalía a investigar a los ejecutivos y un cuerpo
creciente de reclamaciones de daños individuales exitosas.
## 6. Conclusión
Las diez mayores brechas de Alemania cuentan una historia coherente: las credenciales son
el denominador común. La megafiltración de 2014, el spear-phishing del Bundestag, las
contraseñas en texto plano de Knuddels, la amenaza interna en Scalable Capital, el
ransomware en Motel One y el incidente de Samsung / Spectos en 2025 se remontan al
compromiso de credenciales, a su reutilización o a fallos en el manejo de las mismas.
Multas del RGPD de hasta 35,3 millones EUR, un coste medio de la brecha de 4,9 millones
EUR, daños por cliente e investigaciones penales hacen de Alemania el entorno normativo
más implacable de la UE.
Las contramedidas son igualmente coherentes: [autenticación](https://www.corbado.com/es/glossary/jwks) resistente
al phishing como las [claves de acceso](https://www.corbado.com/es/glossary/cda) (passkeys), controles estrictos
de acceso (joiner-mover-leaver), rotación agresiva de credenciales de proveedores,
monitorización continua contra infostealers y preparación para la notificación de brechas
en 72 horas. Las organizaciones que traten estos aspectos como prioridades a nivel de
junta directiva en 2026 evitarán tanto las penalizaciones normativas como los daños a su
reputación que han definido la última década de brechas en Alemania.
## Preguntas frecuentes
### ¿En qué consistió la brecha de datos de Samsung Alemania en 2025?
En marzo de 2025, aproximadamente 270.000 registros de atención al cliente de Samsung
Alemania se filtraron en un foro de hackers. Los datos provenían de Spectos GmbH, un socio
de servicios externo de Samsung. Los registros incluían nombres completos, direcciones de
correo electrónico, direcciones físicas, detalles de pedidos y el contenido de los tickets
de soporte. Los investigadores vincularon la exposición a credenciales recopiladas por un
infostealer en 2021 que se reutilizaron años después para acceder al sistema de Spectos.
### ¿Cómo se notifica una brecha de datos en Alemania?
Según el artículo 33 del RGPD, los responsables del tratamiento alemanes deben notificar
las brechas de datos personales a la autoridad estatal de protección de datos competente
en un plazo de 72 horas desde que tengan constancia de ellas. Si es probable que la brecha
entrañe un alto riesgo, el artículo 34 exige notificar a los afectados sin demora
indebida. Además, los operadores de infraestructuras críticas deben notificar a la BSI en
virtud de la Ley de la BSI.
### ¿Cuál es la mayor multa del RGPD jamás impuesta en Alemania?
La Autoridad de Protección de Datos de Hamburgo multó a H\&M con 35,3 millones EUR en
octubre de 2020 por la vigilancia sistemática de varios cientos de empleados en su centro
de servicios de Núremberg. Sigue siendo la mayor multa del RGPD impuesta por una autoridad
alemana y una de las mayores multas de privacidad relacionadas con el empleo impuestas en
Europa.
### ¿Cuánto cuesta una brecha de datos en Alemania?
Según el informe Cost of a [Data Breach](https://www.corbado.com/glossary/data-breach) Report 2024 de IBM, el
coste medio de una [brecha de datos](https://www.corbado.com/es/blog/manejo-seguro-documentos) en Alemania fue de
4,9 millones EUR (unos 5,31 millones USD). Esto sitúa a Alemania entre los cinco países
más caros del mundo en incidentes de brechas de datos, por encima de la media mundial de
4,88 millones USD.
### ¿Qué autoridad alemana se encarga de aplicar el RGPD?
Alemania aplica el RGPD a través de 16 autoridades estatales de protección de datos
(Landesdatenschutzbehörden) y del Comisionado Federal de Protección de Datos y Libertad de
Información (BfDI) para organismos federales y telecomunicaciones. La autoridad competente
se determina en función del establecimiento principal del responsable del tratamiento en
Alemania.