Studienlage & Gesetzesgrundlagen

Die genaue Opferzahl wurde von Desjardins im Zeitverlauf mehrfach nach oben korrigiert (zunächst rund 2,7 bis 2,9 Millionen, später 9,7 Millionen), und das Strafverfahren gegen den 2024 verhafteten mutmaßlichen Haupttäter war zum Zeitpunkt der Recherche noch nicht rechtskräftig abgeschlossen.

Nicht dokumentiert ist, wie viele Betroffene tatsächlich Bankdaten preisgaben. Die technische Schwachstelle wurde nicht im Detail offengelegt. Die Identität der Angreifer ist nicht bestätigt. Die 20 Millionen sind eine Summe aus verschiedenen Kundenmeldungen, Überschneidungen sind nicht ausgeschlossen.

Der vollständige PwC-Bericht wurde nie veröffentlicht, nur Zusammenfassungen sind bekannt. Strafrechtliche Verurteilungen in Südafrika stehen weiterhin größtenteils aus.

Deutschsprachige Kernthese der Autorin selbst, keine unabhängige Auseinandersetzung.

Der Quellenartikel schloss den Zugriff auf Sozialversicherungsnummern und medizinische Befunde noch ausdrücklich aus; spätere Ermittlungen und ein 2021 geschlossener Vergleich mit 41 US-Bundesstaaten gingen dagegen von bis zu 21 Millionen Betroffenen mit teils doch kompromittierten Sozialversicherungsnummern aus, sodass der genaue Umfang der betroffenen Datenkategorien zum Zeitpunkt dieses Berichts nicht abschließend geklärt war.

Die Staatsanwaltschaft Köln nennt keine konkreten Namen der beschuldigten Mitarbeiter. Die genaue Zahl der Beschuldigten sowie der Ausgang der Ermittlungen sind nicht abschließend dokumentiert. Die Deutsche Bank bestreitet eine direkte Beteiligung, was den Sachverhalt bis zu einem rechtskräftigen Abschluss als ungeklärt kennzeichnet.

Nur niedersächsisches Landesrecht, keine bundesweite Regelung.

Bezieht sich auf britischen Kontext, nicht direkt auf deutsche Verkehrsbetriebe übertragbar.

Aus dem Artikel nicht belegt ist, wie lange die Schwachstelle exakt bestand (Webarchiv-Funde deuten auf mindestens seit März 2017 hin) und ob bzw. in welchem Umfang die frei zugänglichen Dokumente tatsächlich von Dritten missbräuchlich abgerufen oder ausgewertet wurden.

Die genaue Zahl der betroffenen Konten schwankt je nach Quelle zwischen 137 und 139 Millionen, eine von Canva selbst bestätigte exakte Zahl liegt in den verfügbaren Quellen nicht vor. Ob Canva infolge des Vorfalls behördliche Bußgelder oder Entschädigungszahlungen leisten musste, ist aus den ausgewerteten Quellen nicht ersichtlich.

Die Zahl von 178 Billionen jährlichen RTB-Datenübertragungen sowie der Branchenwert von 117 Milliarden US-Dollar stammen von der ICCL selbst und sind nicht unabhängig verifiziert. Ob RTB im rechtlichen Sinne tatsächlich ein Datenleck darstellt oder lediglich eine rechtswidrige Datenverarbeitung, war Gegenstand eines langjährigen, zum Zeitpunkt der Recherche noch nicht abschließend entschiedenen Gerichtsverfahrens.

Eine offizielle Verbindung der Hackergruppe zur chinesischen Regierung stellte das Justizministerium in der Anklage nicht her. Ob Fujie Wang oder der Mittäter je festgenommen wurden, ist aus dieser Quelle nicht ersichtlich, beide galten als flüchtig in China.