Studienlage & Gesetzesgrundlagen

Nicht offiziell bewiesen ist die Urheberschaft der USA und Israels, beide Staaten haben eine Beteiligung nie offiziell bestätigt. Umstritten ist die genaue Zahl der beschädigten Zentrifugen, und es ist nicht abschließend geklärt, in welchem Ausmaß der Ausfall allein auf Stuxnet zurückzuführen ist gegenüber regulärem Verschleiß der als störanfällig geltenden IR-1-Zentrifugen.

Basiert auf Testreihen alter Gerätegeneration.

Ob die Anweisung zur Datensammlung tatsächlich umgesetzt wurde und wie viele UN-Vertreter konkret betroffen waren, geht aus der Quelle nicht hervor. Die Selbstdarstellung der UN-Seite als reine diplomatische Tätigkeit und die Spionagevorwürfe aus der Depesche stehen sich damit unbestätigt gegenüber.

Offen blieb, wie realistisch der Angriff für durchschnittliche Kriminelle in der breiten Praxis war und wie viele Personen tatsächlich betroffen waren. Laut BSI blieben die eigentlichen persönlichen Daten verschlüsselt und für Angreifer nicht direkt einsehbar. Eine dokumentierte offizielle Stellungnahme des Bundesinnenministeriums zur Kritik des CCC liegt in den ausgewerteten Quellen nicht vor.

Die genaue Zahl der tatsächlich zerstörten Zentrifugen bleibt eine Schätzung verschiedener Quellen zwischen rund 900 und 2.000, ebenso wie das exakte Ausmaß der dadurch verursachten Verzögerung des iranischen Atomprogramms. Eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor.

Der Bericht stützt sich vor allem auf Handelsstatistiken und Satellitenbilder, nicht auf interne Firmen- oder Bankunterlagen; einzelne Empfänger der Erlöse bleiben teilweise Vermutung.

Nicht dokumentiert ist, wie viele der über eine Million Datensätze tatsächlich für Werbeansprachen genutzt wurden. Die genaue Zahl der Handelsvertreter mit tatsächlichem Zugriff bleibt unklar. Das Bußgeld gilt im Verhältnis zur Konzerngröße als vergleichsweise gering.

Nicht geklärt ist, in welchem Umfang die gesammelten Daten tatsächlich sensible Inhalte wie Passwörter enthielten und ob Google sie ausgewertet hat. Google bezeichnete die Sammlung als versehentlich, eine unabhängige Bestätigung liegt nicht vor. Es kam zu keiner strafrechtlichen Verurteilung, nur zum verwaltungsrechtlichen Bußgeld.

Aus der Pressemitteilung selbst nicht belegt sind konkrete Auswirkungen des Urteils auf laufende Ermittlungsverfahren sowie die weitere gesetzgeberische Entwicklung nach 2010, etwa spätere Neuregelungen oder die EuGH-Entscheidung von 2014 zur zugrunde liegenden EU-Richtlinie.

Die genaue Gesamtzahl der betroffenen Unternehmen wird in verschiedenen Quellen uneinheitlich zwischen 20 und über 30 angegeben, und eine gerichtsfeste, offizielle Zuordnung der Angriffe zu einer bestimmten chinesischen Behörde ist bis heute nicht öffentlich bestätigt.

Primärquelle der Bad Bank selbst. Der Nominalwert entspricht nicht dem tatsächlichen Verlust für den Steuerzahler.

Die tatsächliche Endsumme der Staatskosten ist nicht abschließend geklärt, die Bundesregierung bezifferte 2018 die Nettokosten auf rund 20,3 Milliarden Euro, eine von Kritikern als vorläufig bezeichnete Zahl. Umstritten bleibt der zeitliche Ablauf der Garantieübernahme, die möglicherweise Haftungsansprüche gegen den früheren Mehrheitseigentümer UniCredit verjähren ließ.