Studienlage & Gesetzesgrundlagen

Wie genau die Zugangsdaten von Fazio Mechanical ursprünglich erbeutet wurden, ist nicht abschließend öffentlich dokumentiert. Fazio Mechanical erklärte, keine Fernüberwachung von HLK-Anlagen bei Target durchgeführt zu haben, ihr Zugang habe sich auf administrative Funktionen beschränkt.

Nicht geklärt ist, welcher Anteil der 1,4 Milliarden Euro tatsächlich verloren ging, da im Insolvenzverfahren ein Teil in eine Genossenschaft überführt wurde. Umstritten bleibt, inwieweit die damalige Aufsichtslücke ursächlich für das Schadensausmaß war.

Wer genau hinter SnapchatDB steckte, ist nicht abschließend bekannt. Ob die veröffentlichten Daten für Spam oder Betrug missbraucht wurden, ist nicht dokumentiert. Die Angabe von 4,6 Millionen betroffenen Konten stammt von den Angreifern selbst.

Der Vergleich beendete das Verfahren ohne förmliches Schuldeingeständnis oder strafrechtliche Verurteilung einzelner Personen; die genaue Rolle israelischer Netzwerke bleibt nur skizzenhaft dokumentiert.

RSA bestritt öffentlich, wissentlich eine Hintertür eingebaut zu haben, und erklärte, die Entscheidung von 2004 sei Teil eines branchenweiten Standardisierungsprozesses gewesen. Ob RSA zum Zeitpunkt der Vereinbarung tatsächlich um die Backdoor-Eigenschaft wusste, bleibt bis heute umstritten und ist nicht abschließend belegt.

Offen bleibt, wie viele der abgegriffenen Datensätze tatsächlich US-Bürger betrafen und in welchem Umfang die Daten für konkrete Ermittlungen genutzt wurden. Die genaue technische Umsetzung des Zugriffspunkts sowie die Frage, ob dafür überhaupt eine richterliche Anordnung nötig gewesen wäre, sind bis heute nicht abschließend gerichtlich geklärt.

Nicht abschließend geklärt ist, seit wann genau die Überwachung begann, das Datum 2002 stammt aus einem einzelnen NSA-Dokument. Die Bundesanwaltschaft konnte das Originaldokument nicht sichern, da es nur als Kopie vorlag, was die Verfahrenseinstellung 2015 mitbegründete. Ein geplantes No-Spy-Abkommen zwischen Deutschland und den USA kam nie zustande.

Aus dieser Quelle nicht abschließend belegt ist, ob und wie lange Merkels Handy tatsächlich technisch abgehört wurde, da der Generalbundesanwalt das zugrunde liegende NSA-Dokument nie im Original erhalten konnte.

Die genaue Zahl der tatsächlich durch Ngos Dienst geschädigten Verbraucher blieb laut US-Ermittlern zum Zeitpunkt der Anklage 2013 ungeklärt, da nur die Zahl der abrufbaren Datensätze und Abfragen bekannt war.

Aus dieser Quelle geht nicht eindeutig hervor, wie viele der über 150 Millionen Datensätze tatsächlich aktive, echte Nutzerkonten betrafen, da Adobe einen erheblichen Teil als ungültige, doppelte oder zu Testzwecken angelegte Einträge bezeichnete. Ebenso bleibt offen, wer die Angreifer waren, da sie nie öffentlich identifiziert oder strafrechtlich belangt wurden.

Nicht abschließend gerichtlich geklärt wurde die grundsätzliche Frage, ob die Herausgabepflicht für private Master-Schlüssel überhaupt rechtmäßig war, da das Berufungsgericht 2014 nur die Verfahrensfehler von Levisons Einspruch prüfte. Unklar bleibt auch, welche Daten anderer Lavabit-Nutzer die Behörden durch den erzwungenen Schlüsselzugriff tatsächlich einsehen konnten.

Der Verdacht auf 'Insiderwissen' als Angriffsvektor wird von Vodafone selbst geäußert; ob der später identifizierte Verdächtige tatsächlich ein Mitarbeiter oder ehemaliger Mitarbeiter war, ist aus dieser Quelle nicht belegt.