Studienlage & Gesetzesgrundlagen

Nicht belegt ist die genaue Zahl betroffener Nutzer, Schätzungen schwankten zwischen 90.000 und bis zu 200.000 Bildern. Unklar bleibt, wie viele abgebildete Personen minderjährig waren. Die Identität der für den Datenabfluss verantwortlichen Person ist nicht bekannt.

Ob wirklich keine Konto- oder Sozialversicherungsdaten abflossen, beruht allein auf der eigenen Einschätzung von JPMorgan und wurde nicht unabhängig verifiziert. Der genaue strafrechtliche Ausgang gegen den mutmaßlichen Mitorganisator Joshua Samuel Aaron ist mit dieser Quelle nicht abschließend belegt.

Über welchen genauen technischen Weg die Angreifer erstmals in die internen Systeme eindrangen, ist in dieser Quelle offen. Wie viele der 83 Millionen Kontaktdatensätze tatsächlich für nachgelagerten Betrug missbraucht wurden, ist nicht abschließend geklärt.

Wie viele Systeme vor der öffentlichen Bekanntgabe bereits tatsächlich angegriffen wurden, ist nicht dokumentiert, da Ausnutzung über Umgebungsvariablen kaum eindeutige Spuren hinterlässt. Eine belastbare Gesamtzahl weltweit betroffener oder kompromittierter Server liegt ebenfalls nicht vor.

Aus der herangezogenen Quelle nicht belegt sind der genaue Grund für die spätere Erhöhung der offiziell genannten Opferzahl von 4,5 auf 6,1 Millionen im Vergleich von 2020 sowie ein bestätigtes Motiv der Gruppe APT18 für den für sie untypischen Fokus auf Patienten-Identitätsdaten statt auf geistiges Eigentum.

Aus der Quelle nicht belegt sind die genaue Zahl der ursprünglich kompromittierten Mitarbeiterkonten sowie ob und in welcher Höhe Aufsichtsbehörden außerhalb der USA Bußgelder gegen eBay verhängt haben.

Wie viele der 145 Millionen Nutzerkonten tatsächlich betroffen waren, bleibt offen, eBay nannte nur die Gesamtzahl aktiver Nutzer als Referenzgröße. Wie die Angreifer die anfänglichen Mitarbeiter-Zugangsdaten erbeuteten, ist ebenso unklar wie ihre Identität.

Die genaue Identität der Angreifer und der exakte Infektionsweg der Malware in die Kassensysteme wurden in der Quelle nicht benannt. Offen blieb zudem, ob und in welchem Umfang die gestohlenen Kartendaten tatsächlich für Betrug genutzt wurden, auch wenn Michaels vereinzelte Betrugsmeldungen von Banken erwähnte.

Zitierte Zahlen stammen aus 2011, nur bedingt aktuell aussagekräftig.

Zum Zeitpunkt der Meldung war ungeklärt, ob ein technischer Fehler im Bitcoin-Protokoll oder ein interner Diebstahl die Ursache war. Der Verbleib der verschwundenen Bitcoin war unbekannt.

Nicht abschließend geklärt ist, wie genau die 850.000 Bitcoin verschwanden, es kursieren mehrere Erklärungen von Hackerangriff bis technischem Missmanagement. Von den ursprünglich verlorenen Coins wurden später etwa 200.000 wiedergefunden, der Verbleib des Rests bleibt ungeklärt. Der ursprünglich für Oktober 2024 angesetzte Abschluss der Rückzahlungen wurde mehrfach verschoben, zuletzt auf Oktober 2026.

Nicht öffentlich belegt ist, wie viele der gespeicherten Bilder tatsächlich für Gesichtserkennungsexperimente oder konkrete Ermittlungen genutzt wurden und was mit dem Datenbestand langfristig geschah. Offen bleibt zudem, in welchem Umfang die NSA selbst auf die gesammelten Bilder zugriff und ob das Programm nach 2012 fortgeführt wurde.