I 10 più grandi data breach in Germania [2026]

1. Introduzione#

La Germania è la più grande economia d'Europa e una delle giurisdizioni più colpite da violazioni dei dati nel continente. Il costo medio di un data breach in Germania ha raggiunto 4,9 milioni di euro nel 2024 (circa 5,31 milioni di dollari statunitensi), collocando il paese tra i primi cinque più costosi a livello globale secondo l'IBM Cost of a Data Breach Report 2024. Dall'entrata in vigore del GDPR, le organizzazioni tedesche hanno presentato più notifiche di qualsiasi altro stato membro dell'UE.

Questo articolo elenca i 10 data breach più significativi nella storia tedesca, dall'attacco al Bundestag del 2015 al leak di Samsung Germania del 2025, insieme alle regole di segnalazione, alle sanzioni GDPR e ai modelli di prevenzione che si applicano a qualsiasi organizzazione che operi in Germania.

2. Perché la Germania è un bersaglio attraente per i data breach?#

La posizione della Germania come potenza industriale europea, il suo ruolo geopolitico nella NATO e nell'UE e un regime frammentato di protezione dei dati con 16 autorità si combinano per produrre una superficie di attacco smisurata. Gli aggressori prendono di mira le aziende tedesche per la proprietà intellettuale di alto valore nei settori automobilistico, chimico, ingegneristico e finanziario. I gruppi sponsorizzati dallo stato colpiscono le istituzioni politiche. I fornitori di medie dimensioni (il Mittelstand) con difese più deboli vengono sfruttati come punto di ingresso in imprese più grandi.

2.1 Potenza industriale con proprietà intellettuale di alto valore#

La Germania ospita marchi riconosciuti a livello globale nei settori automobilistico (Volkswagen, BMW, Mercedes-Benz), ingegneristico (Siemens, Bosch), chimico (BASF, Bayer) e finanziario (Deutsche Bank, Allianz). Queste aziende detengono segreti commerciali, dati di produzione, pipeline di ricerca e sviluppo e record dei clienti. Questa concentrazione di IP di alto valore rende le organizzazioni tedesche un obiettivo prioritario per i criminali informatici motivati finanziariamente e per i gruppi di spionaggio sponsorizzati da stati in cerca di vantaggio competitivo.

2.2 Importanza geopolitica e minacce sponsorizzate dallo stato#

Il ruolo della Germania nella NATO, nell'UE e nel G7 la pone nel mirino delle operazioni sponsorizzate dallo stato. Il gruppo APT28 (Fancy Bear), legato alla Russia, ha ripetutamente preso di mira il Bundestag e i partiti politici. Le autorità tedesche hanno attribuito formalmente l'attacco al Bundestag del 2015 all'Unità 26165 del GRU russo nel 2020. Il sostegno della Germania all'Ucraina dal 2022 ha intensificato queste minacce, con molteplici casi di attribuzione confermati dal BSI e dai pubblici ministeri tedeschi.

2.3 Paesaggio normativo complesso e la sfida del Mittelstand#

La Germania applica il GDPR attraverso 16 autorità statali individuali per la protezione dei dati, producendo un panorama di vigilanza frammentato. Il Mittelstand tedesco (decine di migliaia di piccole e medie imprese) gestisce dati industriali e dei clienti sensibili ma spesso manca di risorse di sicurezza informatica di livello enterprise. Questo crea una superficie di attacco ampia e disomogenea che i criminali informatici sfruttano attivamente attraverso vettori della catena di approvvigionamento e terze parti.

3. I 10 più grandi data breach in Germania#

La tabella seguente riassume le dieci maggiori violazioni di dati tedesche per portata, anno ed esito normativo. Di seguito sono riportate descrizioni dettagliate dei casi e modelli di prevenzione.

3.1 Mega-leak di credenziali tedesco (2014)#

Nell'aprile 2014, l'Ufficio Federale Tedesco per la Sicurezza Informatica (BSI) ha confermato che la polizia nel nord della Germania aveva scoperto circa 16 milioni di indirizzi email e password rubati. Questo avvenne tre mesi dopo un simile ritrovamento di 16 milioni di credenziali compromesse, rendendolo all'epoca il più grande leak di credenziali nella storia tedesca. Circa 3 milioni di credenziali appartenevano a cittadini tedeschi. I dati rubati venivano attivamente utilizzati per acquisti online non autorizzati e frodi di identità.

La scoperta ha evidenziato il riutilizzo sistemico delle password e la vulnerabilità dei servizi online agli attacchi basati su credenziali. Il BSI ha lanciato un sito di ricerca pubblico affinché i cittadini potessero verificare se le loro credenziali fossero state compromesse.

Metodi di prevenzione:

• Implementare un'MFA resistente al phishing come le passkey per eliminare il rischio di riutilizzo delle credenziali
• Monitorare i dump di credenziali sul dark web e forzare la reimpostazione in caso di esposizione

3.2 Attacco informatico al Bundestag tedesco (2015)#

Nel maggio 2015, la rete interna del Parlamento Federale Tedesco è stata violata in uno degli attacchi informatici sponsorizzati dallo stato più significativi della storia tedesca. APT28 (Fancy Bear / Sofacy), un'unità del servizio di intelligence militare della Russia GRU, ha utilizzato email di spear-phishing camuffate da comunicazioni ONU per installare malware. Gli aggressori hanno ottenuto l'accesso amministrativo, compromesso oltre 5.000 computer ed esfiltrato circa 16 GB di dati, incluse decine di migliaia di email parlamentari.

L'intero ambiente IT del Bundestag ha dovuto essere messo offline e ricostruito. La Germania ha attribuito formalmente l'attacco all'Unità 26165 del GRU nel 2020 e ha emesso un mandato di arresto internazionale per Dmitriy Badin. L'incidente è diventato un punto di svolta nella politica tedesca di sicurezza informatica.

Metodi di prevenzione:

• Applicare controlli anti-phishing e autenticazione resistente al phishing per gli utenti del settore pubblico
• Applicare la segmentazione di rete e l'accesso basato sul privilegio minimo per limitare i movimenti laterali

3.3 Leak di dati di politici tedeschi (2018/2019)#

Nel dicembre 2018 uno studente di 20 anni dell'Assia ha orchestrato quello che è stato definito il più grande leak di dati personali di figure pubbliche nella storia tedesca. Nel corso di una campagna di pubblicazione stile calendario dell'avvento su Twitter, l'aggressore ha rilasciato dati personali rubati di oltre 1.000 politici, giornalisti e celebrità tedesche, tra cui la Cancelliera Angela Merkel e il Presidente Frank-Walter Steinmeier. I dati includevano numeri di telefono privati, indirizzi di casa, informazioni di carte di credito, registrazioni di chat personali e fotografie.

L'autore è stato arrestato nel gennaio 2019. Non aveva alcuna formazione formale in informatica e aveva agito da solo. Il caso ha esposto la debole igiene digitale tra l'élite politica tedesca.

Metodi di prevenzione:

• Applicare una forte MFA su tutti gli account personali e ufficiali
• Eseguire il monitoraggio del dark web per credenziali esposte legate a funzionari pubblici

3.4 Data breach di Knuddels.de (2018)#

Nel luglio 2018 la popolare piattaforma di chat tedesca Knuddels.de è stata violata da hacker che hanno avuto accesso a circa 1,8 milioni di record di utenti, incluso un file di password non crittografate. I dati rubati sono stati pubblicati su Pastebin e Mega nel settembre 2018. La violazione è stata ricondotta a un server di backup obsoleto che non aveva ricevuto aggiornamenti di sicurezza.

La violazione di Knuddels ha innescato la prima multa GDPR in assoluto in Germania: l'Autorità per la Protezione dei Dati del Baden-Württemberg (LfDI) ha imposto 20.000 EUR per la memorizzazione delle password in testo in chiaro, violando l'Articolo 32 del GDPR. L'autorità ha elogiato Knuddels per la sua trasparenza e collaborazione, stabilendo un importante precedente per l'applicazione del GDPR in Germania.

Metodi di prevenzione:

• Sostituire l'archiviazione delle password in chiaro con hashing moderno (bcrypt, Argon2) o flussi passwordless
• Aggiornare e dismettere i sistemi di backup e staging legacy con una cadenza rigorosa

3.5 Data breach di Mastercard Priceless Specials (2019)#

Nell'agosto 2019, il programma fedeltà tedesco di Mastercard "Priceless Specials" ha subito una violazione che ha esposto le informazioni personali di circa 90.000 membri. Due file di dati contenenti nomi, numeri di carte di pagamento, indirizzi email, indirizzi di casa, numeri di telefono, sessi e date di nascita sono stati pubblicati su internet. Le password, le date di scadenza delle carte e i codici CVC non erano inclusi, ma i dati esposti creavano comunque rischi significativi di frode e furto d'identità.

La violazione è stata ricondotta a un fornitore di servizi di terze parti che gestiva Priceless Specials in Germania. Mastercard ha sospeso il programma, messo offline il sito e notificato le autorità per la protezione dei dati tedesche e belghe. Sono seguite dozzine di reclami formali, evidenziando il rischio legato ai fornitori di terze parti anche per grandi istituzioni finanziarie.

Metodi di prevenzione:

• Imporre audit di sicurezza, SLA per la notifica delle violazioni e requisiti di crittografia a ogni fornitore di terze parti
• Monitorare continuamente le piattaforme esterne che elaborano i PII dei clienti

3.6 Violazione sulla sorveglianza dei dipendenti H&M (2014-2019)#

Almeno dal 2014, i manager del centro servizi H&M di Norimberga raccoglievano sistematicamente dettagli sulla vita privata di diverse centinaia di dipendenti. Attraverso "Welcome Back Talks" dopo assenze per malattia e vacanze, i supervisori registravano diagnosi di salute, problemi familiari, credenze religiose ed esperienze di vacanza. I dati venivano memorizzati su un'unità di rete accessibile a circa 50 manager e utilizzati per le decisioni occupazionali.

La pratica è stata scoperta nell'ottobre 2019 dopo che un errore di configurazione ha reso l'unità brevemente visibile a livello aziendale. Nell'ottobre 2020 l'Autorità per la Protezione dei Dati di Amburgo ha emesso una sanzione di 35,3 milioni di euro: la più grande multa GDPR mai imposta da un'autorità tedesca e una delle più grandi multe sulla privacy relative all'impiego nella storia europea.

Metodi di prevenzione:

• Limitare la raccolta dei dati dei dipendenti a ciò che è strettamente necessario ed esaminabile
• Richiedere una formazione obbligatoria sul GDPR per qualsiasi manager che gestisca i record dei dipendenti

3.7 Data breach di Scalable Capital (2020)#

Nell'ottobre 2020 il broker online di Monaco Scalable Capital ha rivelato una violazione che esponeva le informazioni personali e finanziarie di circa 33.000 clienti attuali ed ex clienti. A differenza di un tipico attacco esterno, l'incidente è stato un caso di insider: un individuo con conoscenze interne ha avuto accesso all'archivio dei documenti contenente copie di documenti d'identità, dati fiscali e dettagli dei conti bancari. I dati rubati sono apparsi sul dark web.

Nel dicembre 2021 il Tribunale Regionale di Monaco ha condannato Scalable Capital a pagare 2.500 EUR di danni non patrimoniali a un cliente interessato: la prima sentenza di risarcimento GDPR legalmente vincolante del suo genere in Europa. Il tribunale ha ritenuto che Scalable Capital non avesse revocato le credenziali di accesso al termine dei rapporti d'affari.

Metodi di prevenzione:

• Applicare rigorosi controlli di accesso per l'intero ciclo di vita (joiner-mover-leaver) e revoca immediata delle credenziali
• Crittografare i documenti di identità archiviati e i record finanziari e registrare ogni accesso

3.8 Attacco ransomware all'Ospedale Universitario di Düsseldorf (2020)#

Il 10 settembre 2020 l'Ospedale Universitario di Düsseldorf (UKD) ha subito un attacco ransomware che ha crittografato circa 30 server e l'ha costretto a deregistrarsi dal pronto soccorso. Gli aggressori hanno sfruttato CVE-2019-19781, una vulnerabilità Citrix per la quale era disponibile una patch da gennaio 2020. Il ransomware è stato collegato alla famiglia DoppelPaymer. Una donna di 78 anni che richiedeva cure urgenti è stata dirottata verso un ospedale a 30 km di distanza ed è morta dopo il ritardo.

I pubblici ministeri tedeschi hanno aperto un'indagine per omicidio colposo, ampiamente riportata come uno dei primi casi di decesso potenzialmente legato a un attacco informatico. La richiesta di riscatto era indirizzata all'Università Heinrich Heine, non all'ospedale: gli aggressori sembravano aver colpito l'obiettivo sbagliato. Quando la polizia li ha informati che erano in gioco delle vite, hanno ritirato la richiesta e fornito una chiave di decrittazione.

Metodi di prevenzione:

• Patch per appliance connesse a Internet (VPN, bilanciatori di carico) in pochi giorni, non mesi
• Segmentare i sistemi clinici dall'IT aziendale e mantenere backup offline collaudati

3.9 Attacco ransomware a Motel One (2023)#

Nel settembre 2023 la catena alberghiera economica Motel One, con sede a Monaco, che gestisce oltre 90 hotel in 13 paesi, è stata colpita dalla banda di ransomware BlackCat/ALPHV. Motel One ha affermato che l'impatto operativo è stato mantenuto a un "minimo relativo". BlackCat ha sostenuto di aver estratto quasi 24,5 milioni di file per un totale di circa 6 TB, inclusi tre anni di conferme di prenotazione. Motel One ha confermato che sono stati consultati gli indirizzi dei clienti e 150 dettagli di carte di credito.

Motel One ha ingaggiato specialisti in sicurezza informatica certificati, ha collaborato con le forze dell'ordine e le autorità per la protezione dei dati e ha notificato personalmente i 150 titolari di carta interessati. Il caso ha evidenziato l'esposizione del settore dell'ospitalità ai dataset PII a lunga conservazione.

Metodi di prevenzione:

• Ridurre al minimo le finestre di conservazione per i dati di prenotazione e di pagamento ai minimi normativi
• Implementare EDR e segmentazione di rete per bloccare tempestivamente i movimenti laterali

3.10 Data breach di Samsung Germania tramite Spectos (2025)#

Nel marzo 2025 un attore di minacce che utilizzava lo pseudonimo "GHNA" ha pubblicato circa 270.000 record di clienti di Samsung Germania su un popolare forum di hacker. I dati non provenivano direttamente da Samsung, ma da Spectos GmbH, un partner di misurazione della qualità del servizio con sede a Dresda che gestisce l'infrastruttura di ticketing del supporto clienti di Samsung Germania. I ricercatori di Hudson Rock hanno collegato l'intrusione a credenziali ottenute tramite infostealer da un dipendente Spectos nel 2021: credenziali rimaste valide e riutilizzate quasi quattro anni dopo.

I record esponevano contesti completi del supporto clienti: nomi, indirizzi email, indirizzi di spedizione, numeri d'ordine, dettagli di tracciamento e l'intero contenuto dei ticket di supporto. Questa combinazione è particolarmente preziosa per campagne di phishing altamente personalizzate destinate ai clienti Samsung. La violazione è attualmente la principale storia di data breach in Germania nel 2025 e ha rinnovato l'attenzione normativa sull'igiene delle identità della catena di fornitura e sulle credenziali obsolete dei fornitori.

Metodi di prevenzione:

• Ruotare e far scadere le credenziali dei fornitori in modo programmato e imporre l'MFA resistente al phishing su tutti gli account dei fornitori
• Eseguire scansioni continue alla ricerca di credenziali di origine infostealer legate all'organizzazione e alla sua catena di fornitura

4. Come segnalare un data breach in Germania#

I titolari del trattamento tedeschi devono segnalare un data breach personale all'autorità statale per la protezione dei dati competente entro 72 ore dal momento in cui ne vengono a conoscenza, ai sensi dell'Articolo 33 del GDPR. Se la violazione rischia di comportare un rischio elevato per le persone interessate, l'Articolo 34 del GDPR richiede di informarle senza ingiustificato ritardo. Gli operatori di infrastrutture critiche avvisano inoltre il BSI in base alla legge BSI (BSIG).

4.1 La regola delle 72 ore del GDPR (Articolo 33)#

Ai sensi dell'Articolo 33 del GDPR, un titolare del trattamento deve notificare all'autorità di controllo competente una violazione dei dati personali non oltre 72 ore dopo esserne venuto a conoscenza. Se la notifica subisce ritardi, il titolare del trattamento deve fornirne i motivi. La notifica deve descrivere la natura della violazione, le categorie e il numero approssimativo di individui interessati, le probabili conseguenze e le misure adottate o proposte.

4.2 Autorità competenti: 16 autorità statali per la protezione dei dati più il BfDI#

A differenza delle giurisdizioni centralizzate, la Germania dispone di 16 autorità statali per la protezione dei dati (Landesdatenschutzbehörden) oltre al Commissario Federale per la Protezione dei Dati e la Libertà di Informazione (BfDI). È competente l'autorità statale dello stabilimento principale del titolare del trattamento (ad esempio, l'autorità di Amburgo per H&M Germania, l'autorità bavarese per Scalable Capital). Gli enti federali e le telecomunicazioni ricadono sotto il BfDI. Questo modello federalizzato è una caratteristica deliberata della legge tedesca sulla protezione dei dati.

4.3 Segnalazione BSI per le infrastrutture critiche (KRITIS)#

Gli operatori di infrastrutture critiche (KRITIS) devono inoltre segnalare "disagi significativi" all'Ufficio Federale per la Sicurezza Informatica (BSI) ai sensi della Sezione 8b del BSI Act. La direttiva NIS2, recepita nel BSI Act nel 2025, ha esteso la segnalazione obbligatoria a un numero maggiore di settori tra cui fornitori di servizi digitali, manifatturiero e gestione dei rifiuti. Le segnalazioni seguono una sequenza temporale scaglionata: allerta tempestiva entro 24 ore, notifica completa entro 72 ore e rapporto finale entro un mese.

4.4 Notifica individuale (Articolo 34)#

Quando è probabile che una violazione provochi un rischio elevato per i diritti e le libertà delle persone, l'Articolo 34 del GDPR richiede una notifica diretta alle persone colpite in un linguaggio chiaro e semplice. I casi Knuddels, Scalable Capital e Motel One hanno tutti innescato gli obblighi dell'Articolo 34. La mancata notifica è un motivo comune di ulteriori sanzioni normative in aggiunta a quelle per la violazione sottostante.

5. Tendenze nei data breach in Germania#

Nei dieci casi si ripresentano quattro pattern: operazioni sponsorizzate da stati contro le istituzioni democratiche, compromissione di terze parti e della catena di fornitura, ransomware con impatto sulla sicurezza della vita e giurisprudenza del GDPR che crea reali esposizioni finanziarie. Comprendere questi pattern è più utile che memorizzare i singoli incidenti.

5.1 Gli attacchi sponsorizzati da stati colpiscono le istituzioni democratiche#

La Germania si distingue in Europa per la frequenza di operazioni sponsorizzate dallo stato contro le sue istituzioni politiche. L'attacco al Bundestag del 2015, successivamente attribuito all'Unità 26165 del GRU, e i ripetuti tentativi contro i partiti politici da parte di APT28 illustrano che il ruolo geopolitico della Germania la rende un obiettivo primario per il cyber spionaggio. Dall'invasione dell'Ucraina da parte della Russia nel 2022, le autorità tedesche hanno confermato molteplici ulteriori attribuzioni all'intelligence militare russa.

5.2 I fornitori di terze parti sono un punto debole critico#

Mastercard Priceless Specials, Scalable Capital, Motel One e il data breach di Samsung / Spectos del 2025 condividono la stessa causa di fondo: compromissione presso una terza parte, non nel marchio principale. Persino le aziende con programmi di sicurezza interna maturi rimangono esposte attraverso le loro reti di fornitori. Il caso Samsung Germania, in particolare, dimostra come credenziali rubate a un subappaltatore anni prima possano ancora sbloccare sistemi di produzione.

5.3 Il ransomware è diventato una minaccia per la vita#

L'attacco del 2020 all'Ospedale Universitario di Düsseldorf ha dimostrato che il ransomware su un'infrastruttura critica è una questione di sicurezza vitale, non solo informatica o finanziaria. Ospedali, servizi di pubblica utilità e amministrazioni comunali in Germania sono stati ripetutamente presi di mira. Questi attacchi sfruttano tipicamente dispositivi connessi a Internet non aggiornati, ovvero vulnerabilità che erano di dominio pubblico e per le quali erano disponibili patch per mesi prima dello sfruttamento.

5.4 L'applicazione del GDPR sta rimodellando le responsabilità#

La Germania si trova in prima linea per l'applicazione del GDPR. La sanzione a H&M di 35,3 milioni di euro, la prima sanzione GDPR contro Knuddels e la sentenza storica sui danni non patrimoniali contro Scalable Capital plasmano collettivamente il modo in cui le organizzazioni in tutta Europa affrontano la protezione dei dati. Mentre l'Irlanda è leader nell'UE per il valore aggregato delle sanzioni GDPR (secondo l'indagine 2026 di DLA Piper) e la sentenza della Corte di Giustizia Europea "Österreichische Post" ha confermato che le richieste di risarcimento per danni non patrimoniali costituiscono un rimedio valido in tutta l'UE, la Germania spicca per la combinazione di sanzioni individuali elevate, la disponibilità della procura a indagare sui dirigenti e un corpo crescente di richieste di risarcimento individuali andate a buon fine.

6. Conclusione#

I dieci più grandi data breach in Germania raccontano tutti una storia coerente: le credenziali ne sono il denominatore comune. Il mega-leak del 2014, lo spear-phishing al Bundestag, le password in testo in chiaro di Knuddels, l'insider di Scalable Capital, il ransomware di Motel One e l'incidente Samsung / Spectos del 2025 sono tutti riconducibili a compromissione delle credenziali, al riutilizzo delle stesse o a una gestione inefficace di esse. Multe GDPR fino a 35,3 milioni di euro, il costo medio di 4,9 milioni di euro per violazione, danni per cliente e indagini penali rendono la Germania l'ambiente sanzionatorio più inflessibile dell'UE.

Le contromisure sono ugualmente coerenti: autenticazione resistente al phishing come le passkey, rigidi controlli di accesso lungo il ciclo di vita degli utenti, rotazione aggressiva delle credenziali dei fornitori, monitoraggio continuo contro gli infostealer e prontezza nel notificare le violazioni entro 72 ore. Le organizzazioni che considereranno queste azioni come priorità dirigenziali nel 2026 eviteranno sia le sanzioni normative sia il danno reputazionale che ha definito l'ultimo decennio di data breach tedeschi.

Chi siamo

Corbado è la Passkey Intelligence Platform per i team CIAM che gestiscono l'autenticazione consumer su larga scala. Ti aiutiamo a vedere ciò che i log IDP e gli strumenti di analytics generici non mostrano: quali dispositivi, versioni di OS, browser e gestori di credenziali supportano i passkey, perché gli enrollment non si trasformano in login, dove il flusso WebAuthn fallisce e quando un aggiornamento di OS o browser interrompe silenziosamente il login — tutto senza sostituire Okta, Auth0, Ping, Cognito o il tuo IDP interno. Due prodotti: Corbado Observe aggiunge osservabilità per i passkey e qualsiasi altro metodo di login. Corbado Connect introduce passkey gestiti con analytics integrato (insieme al tuo IDP). VicRoads gestisce i passkey per oltre 5M di utenti con Corbado (+80 % di attivazione passkey). Parla con un esperto di Passkey →

Domande frequenti#

Cos'è stato il data breach di Samsung Germania nel 2025?#

Nel marzo 2025 circa 270.000 record di assistenza ai clienti di Samsung Germania sono trapelati su un forum di hacker. I dati provenivano da Spectos GmbH, un partner per l'assistenza di terze parti di Samsung. I record includevano nomi completi, indirizzi email, indirizzi fisici, dettagli degli ordini e il contenuto dei ticket di supporto. Gli investigatori hanno collegato l'esposizione a credenziali ottenute tramite infostealer nel 2021 che sono state riutilizzate anni dopo per accedere al sistema Spectos.

Come si segnala un data breach in Germania?#

Ai sensi dell'Articolo 33 del GDPR, i titolari del trattamento tedeschi devono segnalare le violazioni dei dati personali all'autorità statale per la protezione dei dati competente entro 72 ore dal momento in cui ne vengono a conoscenza. Se la violazione rischia di comportare un rischio elevato, l'Articolo 34 richiede di informare le persone colpite senza ingiustificato ritardo. Gli operatori di infrastrutture critiche devono inoltre inviare notifica al BSI in base al BSI Act.

Qual è la sanzione GDPR più grande mai emessa in Germania?#

L'Autorità per la Protezione dei Dati di Amburgo ha sanzionato H&M per 35,3 milioni di euro nell'ottobre 2020 per la sorveglianza sistematica di diverse centinaia di dipendenti nel suo centro servizi di Norimberga. Rimane la sanzione GDPR più consistente mai inflitta da un'autorità tedesca e una delle più grandi multe per violazione della privacy legata al mondo del lavoro emesse in Europa.

Quanto costa un data breach in Germania?#

Secondo l'IBM Cost of a Data Breach Report 2024, il costo medio di un data breach in Germania era di 4,9 milioni di euro (circa 5,31 milioni di dollari statunitensi). Questo colloca la Germania tra i primi cinque paesi più costosi a livello globale per incidenti di data breach, al di sopra della media globale di 4,88 milioni di dollari statunitensi.

Quale autorità tedesca applica il GDPR?#

La Germania applica il GDPR attraverso 16 autorità statali per la protezione dei dati (Landesdatenschutzbehörden) oltre al Commissario Federale per la Protezione dei Dati e la Libertà di Informazione (BfDI) per gli enti federali e le telecomunicazioni. L'autorità competente è determinata dallo stabilimento principale in Germania del titolare del trattamento.