Studienlage & Gesetzesgrundlagen

Welche konkrete Software für die Stimmklonierung eingesetzt wurde und wer hinter dem Angriff steckt, ist nicht öffentlich bekannt. Die genaue angestrebte Schadenssumme wurde nicht beziffert, da kein Geld floss.

Welche und wie viele Datensätze exfiltriert wurden, ist nicht belegt, LockBits eigene Behauptungen wurden nicht unabhängig bestätigt. Ob die Lösegeldforderung bezahlt wurde, bleibt unklar.

Nicht öffentlich beziffert wurde der konkrete Umfang der abgeflossenen Daten bei der SPD oder den betroffenen Unternehmen. Die genaue Zahl und Namen aller betroffenen Rüstungsunternehmen wurden aus Sicherheitsgründen nicht vollständig veröffentlicht.

Es handelt sich ausschließlich um Behauptungen der Angreifergruppe, keine der genannten Institutionen bestätigte den Angriff. Die tatsächliche Kompromittierung ist nicht unabhängig verifiziert.

Die Zahl der tatsächlich betroffenen Patienten schwankt zwischen rund 22.000 und über 30.000 und ist nicht abschließend amtlich bestätigt. Unklar bleibt, wie viele Patienten tatsächlich Lösegeld zahlten. Der von Medien berichtete Zusammenhang mit mindestens einem Suizid ist medial kolportiert, aber nicht gerichtlich als Kausalzusammenhang festgestellt worden.

Die exakte Gesamtzahl der letztlich betroffenen Personen ist nicht abschließend belegt, spätere behördliche Meldungen korrigierten diese Zahl mehrfach nach oben. Ob die gestohlenen Daten trotz Lösegeldzahlung tatsächlich gelöscht wurden, bleibt offen.

Die hier genannten Fakten stammen größtenteils aus der Kongressaussage von UnitedHealth-CEO Andrew Witty vom 01.05.2024 und wurden nicht unabhängig durch forensische Berichte Dritter bestätigt. Die genaue Menge der exfiltrierten Daten, teils mit rund 6 Terabyte beziffert, sowie die Zahl von etwa 190 Millionen betroffenen Personen basieren auf späteren HHS-Meldungen und können sich noch ändern. Die Höhe der an ALPHV/BlackCat gezahlten Lösegeldsumme wurde von UnitedHealth nie offiziell bestätigt.

Wer hinter dem Angriff steckt, ist nicht belegt. Die Behauptung, keine Daten seien kompromittiert worden, stammt allein von der betroffenen Institution selbst.

Der genaue Umfang der gestohlenen Daten ist nicht abschließend geklärt. Ob Kundendaten entgegen der Unternehmensaussage doch betroffen waren, ist nicht unabhängig verifiziert.

Die Zahlung von rund 370.000 US-Dollar stützt sich auf Aussagen eines an der Übergabe beteiligten Mittelsmanns gegenüber Journalisten sowie auf ein vorgelegtes Bitcoin-Transaktionsprotokoll; AT&T selbst hat die Zahlung öffentlich nicht bestätigt, und ob wirklich alle Kopien der Daten gelöscht wurden, bleibt laut Mittelsmann unsicher. Die oft im Zusammenhang genannte Zahl von 73 Millionen betroffenen Kunden bezieht sich auf ein separates, im März 2024 bekanntgewordenes Datenleck aus rund 2019 und nicht auf die hier beschriebenen Anruf- und SMS-Metadaten von rund 109 bis 110 Millionen Kunden.

Das Urteil betrifft ausschliesslich den Lava-Jato-bezogenen Anklagepunkt, nicht die im Rahmen der Panama Papers dokumentierten Offshore-Praktiken der Kanzlei insgesamt; die Staatsanwaltschaft kuendigte Berufung an.

Offen bleibt, aus welcher konkreten fremden Datenpanne die verwendeten Zugangsdaten stammten. Nicht dokumentiert ist außerdem, wie viele der 576.000 betroffenen Konten tatsächlich von Dritten eingesehen wurden im Unterschied zu bloß erfolgreichen Login-Versuchen ohne weitere Aktivität.