Studienlage & Gesetzesgrundlagen

Die Urheberschaft Nordkoreas wird von der offiziellen FBI-Zuschreibung behauptet, ist aber laut späteren Analysen keineswegs zweifelsfrei belegt; beide Lesarten kursieren bis heute.

Die von den Angreifern behauptete Datenmenge von über 100 Terabyte ist unabhängig nicht verifiziert, ebenso bleibt offen, ob Nordkorea den Angriff direkt über eigene Mitarbeiter oder ausschließlich über die mit dem Militärgeheimdienst RGB verbundene Lazarus Group ausführte. Der 2018 angeklagte Park Jin Hyok wurde nie vor ein US-Gericht gestellt, da er sich mutmaßlich in Nordkorea befindet, weshalb kein rechtskräftiges Urteil vorliegt.

Nicht dokumentiert ist, wie viele Uber-Mitarbeiter God View für private Zwecke einsetzten. Ob Mohrer disziplinarisch belangt wurde, wurde nicht öffentlich mitgeteilt. Die Zahlung bezog sich formal auch auf ein separates Datenleck, die genaue Zuordnung zum God-View-Vorfall bleibt unklar.

Der konkrete Steuerausfall einzelner EU-Staaten ist nicht abschließend geklärt. Die Steuervorbescheide waren nach luxemburgischem Recht zum Abschlusszeitpunkt grundsätzlich legal. Deltour wurde in Luxemburg zunächst verurteilt, in der Berufung von zentralen Vorwürfen freigesprochen.

Nicht belegt ist, in welchem Umfang POODLE vor der Offenlegung bereits für reale Angriffe genutzt wurde, da ein Downgrade-Angriff kaum nachweisbar ist. Die Schätzung, wonach rund zehn Prozent der Server für eine spätere TLS-Variante der Schwachstelle anfällig waren, stammt aus Analysen einzelner Sicherheitsfirmen. Ein konkreter finanzieller Gesamtschaden wird nicht beziffert.

Nicht belegt ist die genaue Zahl betroffener Nutzer, Schätzungen schwankten zwischen 90.000 und bis zu 200.000 Bildern. Unklar bleibt, wie viele abgebildete Personen minderjährig waren. Die Identität der für den Datenabfluss verantwortlichen Person ist nicht bekannt.

Ob wirklich keine Konto- oder Sozialversicherungsdaten abflossen, beruht allein auf der eigenen Einschätzung von JPMorgan und wurde nicht unabhängig verifiziert. Der genaue strafrechtliche Ausgang gegen den mutmaßlichen Mitorganisator Joshua Samuel Aaron ist mit dieser Quelle nicht abschließend belegt.

Über welchen genauen technischen Weg die Angreifer erstmals in die internen Systeme eindrangen, ist in dieser Quelle offen. Wie viele der 83 Millionen Kontaktdatensätze tatsächlich für nachgelagerten Betrug missbraucht wurden, ist nicht abschließend geklärt.

Wie viele Systeme vor der öffentlichen Bekanntgabe bereits tatsächlich angegriffen wurden, ist nicht dokumentiert, da Ausnutzung über Umgebungsvariablen kaum eindeutige Spuren hinterlässt. Eine belastbare Gesamtzahl weltweit betroffener oder kompromittierter Server liegt ebenfalls nicht vor.

Dass beide Angriffe eine sehr ähnliche technische Methode nutzten, deutet auf eine mögliche Verbindung oder Nachahmung hin; ein direkter Zusammenhang oder dieselben Täter werden in dieser Quelle jedoch nicht behauptet.

Aus der herangezogenen Quelle nicht belegt sind der genaue Grund für die spätere Erhöhung der offiziell genannten Opferzahl von 4,5 auf 6,1 Millionen im Vergleich von 2020 sowie ein bestätigtes Motiv der Gruppe APT18 für den für sie untypischen Fokus auf Patienten-Identitätsdaten statt auf geistiges Eigentum.

Die offizielle SEC-Meldung nennt keine konkrete Angreifergruppe und erwähnt weder die Bezeichnung APT18 noch Heartbleed als Einfallstor, diese Details stammen aus späteren Analysen von IT-Sicherheitsfirmen. Eine direkte Steuerung des Angriffs durch die chinesische Regierung ist nicht abschließend belegt.