Studienlage & Gesetzesgrundlagen

Wie viele Betroffene tatsächlich sensible Suchbegriffe eingegeben hatten, ist nicht offengelegt. Ob die Empfängerkonzerne die Daten tatsächlich nutzten, ist nicht dokumentiert. Kaiser einigte sich 2024/2025 auf eine Vergleichszahlung von bis zu 47,5 Millionen Dollar, ohne Fehlverhalten einzuräumen.

Das ist NICHT das Gesetz, das öffentlich-rechtliche Sender bevorzugt zeigen lässt — es ist in erster Linie ein Schutzgesetz gegen politische Einmischung in Medien (Stichwort Ungarn, Polen). Die "Priorisierung"-Frage aus den ursprünglichen Notizen steckt in einem einzelnen Artikel (Art. 18), nicht im ganzen Gesetz — siehe nächste Quelle.

Viele Detailregelungen werden erst durch spätere Durchführungsrechtsakte festgelegt. Der umstrittene Artikel 45 zur Web-Browser-Vertrauensliste ist gesondert dokumentiert und nicht Gegenstand dieser Quelle.

KI-Modelle sind Forschungsprototypen.

Woher der Datensatz stammt, ob aus direktem Einbruch oder von einem Drittanbieter, war bis mindestens April 2024 ungeklärt. Ein separates, im Juli 2024 bekanntes Datenleck über den Cloud-Dienst Snowflake ist davon zu unterscheiden. Ein 2025 vorläufig genehmigter Sammelklagevergleich über 177 Millionen Dollar soll beide Vorfälle abdecken.

Die genaue Opferzahl und Gesamtschadenssumme werden in der Berichterstattung nicht beziffert; die Angaben stützen sich vorrangig auf Polizeimitteilungen, deren vollständige Ermittlungsergebnisse noch ausstanden.

Welche der drei Theorien zur Identität von RansomHub zutrifft und ob eine zweite Zahlung tatsächlich erfolgte, ist aus dieser Quelle nicht abschließend geklärt.

Untersuchung konzentriert sich auf eine einzelne App, Übertragbarkeit nur angedeutet.

Deckt nur den konkreten XZ-Fall ab.

Wie genau der Signaturschlüssel bei Microsoft entwendet wurde, blieb laut CSRB-Bericht ungeklärt. Microsofts eigene Erklärung, der Schlüssel sei über einen Absturzbericht abgeflossen, fand der CSRB durch keine Logs oder Beweise belegt.

Testet primär GPT-3.5/4 unter Forschungsbedingungen, nicht produktive Systeme.

Oeffentlich bestaetigt sind Angriffsart, Zeitraum und Handelsausfall; nicht abschliessend belegt sind der genaue Umfang exfiltrierter Kundendaten, die Identitaet der Angreifergruppe und ob Loesegeld gezahlt wurde.