Studienlage & Gesetzesgrundlagen

Die Advisory dokumentiert primär den Juli-2022-Angriff; Details zum zweiten Angriff und zur genauen Menge exfiltrierter Daten stützen sich teils auf Angaben der albanischen Regierung selbst, die nicht unabhängig verifizierbar sind.

Häufigkeit und Zahl bewilligter Anfragen bleiben intransparent.

Der Ausgang der im August 2025 eingereichten Zivilklage vor dem Federal Court of Australia war zum Zeitpunkt der Berichterstattung noch offen.

Konkreter Einzelfall in Baden-Württemberg.

Die Quelle belegt keine gezielte Marktmanipulation durch Uniper oder RWE; Untersuchungen zu konkretem Marktmissbrauch im deutschen Gasmarkt sind unter diesem Titel nicht auffindbar.

Dieses Urteil betraf direkt ein deutsches Gesetz und erklärte es für unanwendbar. Kein abstraktes EU-Prinzip, sondern konkrete Wirkung auf deutsches Recht.

Die tatsächliche Eilaussetzung der Vollzugspraxis erfolgte bereits 2017 durch das OVG Münster, während das Bundesverwaltungsgericht erst am 14.08.2023 endgültig über die Unionsrechtswidrigkeit der deutschen Regelung entschied. Offen blieb nach dem EuGH-Urteil zunächst, wie der deutsche Gesetzgeber die zulässigen Ausnahmen wie IP-Adressenspeicherung oder Quick-Freeze-Verfahren konkret umsetzt.

Offen bleibt, ob die eingesehenen HackerOne-Schwachstellenberichte vom Angreifer weiterverkauft oder an Dritte weitergegeben wurden. Die genaue Identität des Angreifers sowie eine feste organisatorische Zugehörigkeit zu Lapsus$ sind nicht abschließend gerichtlich geklärt. Das volle Ausmaß der eingesehenen internen Daten jenseits der von Uber benannten Kategorien ist nicht unabhängig verifiziert.

Ob GTA 6 zum Leckzeitpunkt offiziell in Entwicklung war, hatte Rockstar zuvor nicht öffentlich bestätigt. Der genaue Umfang der entwendeten Daten, etwa ob wie vom Hacker behauptet auch Quellcode betroffen war, ist aus Rockstars eigener Stellungnahme nicht abschließend belegt.

Die genaue technische Schwachstelle, über die Kurtaj Zugang zum internen Slack-Kanal erlangte, ist aus dieser Quelle nicht im Detail beschrieben.

Nicht abschließend belegt ist, in welchem Umfang Kundendaten tatsächlich eingesehen wurden, Uber erklärte, keine sensiblen Nutzerdaten seien exfiltriert worden, eine unabhängige vollständige Bestätigung dafür liegt öffentlich nicht vor. Ein separater Vorwurf, frühere Uber-Führungskräfte hätten einen Vorgängervorfall 2016 vertuscht, ist Gegenstand eines eigenen, hier nicht behandelten Verfahrens.

Aus der Quelle nicht unabhängig verifizierbar ist, ob Ubers Zusicherung, dass keine sensiblen Kunden- und Zahlungsdaten abgeflossen sind, extern geprüft wurde oder allein auf der eigenen internen Untersuchung des Unternehmens beruht. Auch die exakte Zuordnung des Angriffs zu genau einer Einzelperson statt zu mehreren Beteiligten der Lapsus$-Gruppe war zum Zeitpunkt der ersten Berichterstattung noch nicht gerichtsfest geklärt.