Studienlage & Gesetzesgrundlagen

Nicht belegt ist, dass es sich um einen neuen eigenständigen Hack handelt: Die Forscher gehen davon aus, dass die Daten überwiegend aus bereits bekannten, älteren Lecks stammen und stark dupliziert sind. Wer die Datenbank zusammengestellt und online gestellt hat, blieb ungeklärt.

Nicht dokumentiert ist die genaue Identität der ursprünglichen Sammler des Datensatzes oder eine vollständige Liste aller betroffenen Dienste. Unklar bleibt zudem, wie viele der enthaltenen Zugangsdaten zum Zeitpunkt der Veröffentlichung noch gültig waren.

Vereinfachender Überblicksartikel.

Untersuchung deckt nur eine kleine Stichprobe von vier Modellen ab.

Basiert auf Vor-Ort-Recherche und Expertenmeinung.

Ob im Fall Reuss konkret die NSO-Software Pegasus oder eine andere Staatstrojaner-Variante zum Einsatz kam, hat das BKA nie bestätigt und lehnte eine Stellungnahme aus einsatztaktischen Gründen ab. Der Kaufvertrag mit NSO, die genauen Kosten und die vollständige rechtliche Grundlage der Maßnahme wurden trotz mehrerer Klagen von netzpolitik.org und einer Datenschutzbeschwerde der GFF bis heute nicht offengelegt.

Wichtige Differenzierung, auch für Estland als "Vorbild": Selbst das oft gelobte estnische System hatte 2017 einen Sicherheitsvorfall, der praktisch alle ausgegebenen ID-Karten betraf. Kein System ist perfekt — aber wichtig ist, WIE transparent und schnell ein Land mit so einem Vorfall umgeht. Für einen fairen Blackstone-Artikel sollte dieser Vorfall nicht verschwiegen werden, nur weil Estland sonst positiv dasteht.

Mehr Betroffenenrechte bei automatisierten Scores.

Zum Zeitpunkt der ersten Offenlegung stand noch kein offizieller Patch zur Verfügung, Ivanti bot zunächst nur eine Mitigations-XML-Datei an. Die Identität der ursprünglichen Angreifergruppe hinter der Erstausnutzung wurde nicht abschließend öffentlich benannt.

Die genauen Mechanismen der Gefaengnis-Infiltration sind aus dieser Quelle nicht im Detail rekonstruierbar; Fito wurde erst im Juni 2024 wieder gefasst, was nicht Teil dieser Quelle ist.

Die genaue Zahl und der Gesamtwert der nach 2015 neu vergebenen Fujitsu-Vertraege ist nicht praezise rekonstruierbar; die 6,8-Milliarden-Zahl bezieht sich auf den gesamten Zeitraum seit 1999.

Offen bleibt, wie die Angreifer ursprünglich in die Systeme eindrangen und ob loanDepot ein Lösegeld zahlte. Auch die Ermittlungen mehrerer US-Bundesstaaten sowie die Sammelklagen der betroffenen Kunden waren zum Zeitpunkt der Meldung noch nicht abgeschlossen.