Quellen-Tabelle

Die kanadische Finanzgenossenschaft Desjardins Group bestätigte am 01.11.2019, dass der im Juni 2019 bekannt gewordene Datendiebstahl durch einen Mitarbeiter tatsächlich alle 4,2 Millionen Einzelmitglieder in Quebec und Ontario betraf. Der Mitarbeiter hatte unbefugt auf geschützte Kundendaten zugegriffen und diese widerrechtlich an Dritte weitergegeben. Betroffen waren Sozialversicherungsnummern, Adressen und Angaben zu Bankgewohnheiten, nicht jedoch Passwörter oder Kontostände.

Die kanadische Datenschutzbehörde OPC korrigierte die Gesamtzahl der Betroffenen im Dezember 2020 auf rund 9,7 Millionen Personen nach oben. Ein mutmaßlicher Haupttäter wurde erst 2024 verhaftet, das Strafverfahren war noch nicht rechtskräftig abgeschlossen.

Ende Juli 2021, rund zwei Monate nach der Einstellung von DarkSide im Zuge des Colonial-Pipeline-Angriffs, tauchte die neue Ransomware-Gruppe BlackMatter auf. Ein Sicherheitsforscher stellte fest, dass die Verschlüsselungsroutinen des BlackMatter-Entschlüsselers eine zuvor nur bei DarkSide bekannte benutzerdefinierte Matrix enthielten. Sicherheitsfirmen wie Recorded Future stuften BlackMatter als direkten Nachfolger von DarkSide ein, ein BlackMatter-Vertreter bestritt, dieselbe Gruppe zu sein, räumte aber eine frühere Zusammenarbeit mit DarkSide-Leuten ein.

Ob BlackMatter tatsächlich von denselben Kernpersonen wie DarkSide betrieben wurde, ist nicht abschließend bewiesen und wird von Sicherheitsfirmen unterschiedlich bewertet. Die genauen Gründe für das plötzliche Verschwinden von DarkSide im Mai 2021 sind unklar.

Das US-Justizministerium gab am 03.08.2017 bekannt, dass eine Grand Jury eine sechsfache Anklage gegen den britischen IT-Sicherheitsforscher Marcus Hutchins alias MalwareTech erhoben hatte, wegen Beteiligung an Entwicklung und Vertrieb des Banking-Trojaners Kronos zwischen Juli 2014 und Juli 2015. Hutchins wurde am 02.08.2017 in Las Vegas festgenommen, rund drei Monate nachdem er durch Registrierung einer Domain den Kill-Switch der WannaCry-Ransomware ausgelöst und deren Ausbreitung gestoppt hatte.

Zum Zeitpunkt der Pressemitteilung galt die Unschuldsvermutung. Hutchins bekannte sich im April 2019 in zwei Anklagepunkten schuldig und wurde im Juli 2019 zu keiner Haftstrafe, sondern zur bereits verbüßten Untersuchungshaft plus einem Jahr Bewährung verurteilt.

Die US-Kette Wawa teilte am 19.12.2019 mit, dass Kartendaten-Malware auf Zahlungssystemen und Zapfsäulen an potenziell allen rund 850 Filialen installiert war. Die Malware war bereits seit dem 04.03.2019 aktiv und wurde erst am 10.12.2019 entdeckt. Kriminelle boten ab Ende Januar 2020 im Untergrundmarktplatz Joker's Stash einen Datensatz mit rund 30 Millionen gestohlenen Kartendaten an, den Sicherheitsforscher der Wawa-Kompromittierung zuordneten.

Wer hinter dem Angriff steckt und mit welcher Schadsoftware-Variante die Systeme infiziert wurden, ist nicht öffentlich dokumentiert. Die Zahl von rund 30 Millionen Datensätzen stammt aus Analysen von Sicherheitsforschern, nicht aus einer offiziellen Bestätigung durch Wawa selbst.

Eine von Danske Bank beauftragte externe Untersuchung stellte fest, dass zwischen 2007 und 2015 rund 200 Milliarden Euro an Zahlungen von Nicht-Residenten-Kunden durch die estnische Filiale der Bank abgewickelt wurden. Für die Untersuchung wurden rund 15.000 Kunden und 9,5 Millionen Zahlungen geprüft. Der am 19.09.2018 veröffentlichte Bericht dokumentierte schwerwiegende Mängel in Governance und Kontrollsystemen. Danske Bank kündigte an, geschätzte Bruttoerträge von 1,5 Milliarden Dänischen Kronen gemeinnützigen Zwecken zuzuführen.

Welcher genaue Anteil der 200 Milliarden Euro tatsächlich aus krimineller Herkunft stammte, bleibt offen, da nicht jede Nicht-Residenten-Transaktion automatisch Geldwäsche bedeutet. Individuelle strafrechtliche Verantwortlichkeiten waren zum Zeitpunkt der Veröffentlichung noch Gegenstand laufender Ermittlungen in mehreren Ländern.

Am 18.06.2020 verweigerte die Wirtschaftsprüfungsgesellschaft EY das Testat für den Jahresabschluss von Wirecard, weil sie 1,9 Milliarden Euro auf angeblichen Treuhandkonten auf den Philippinen nicht nachweisen konnte. Wirecard räumte daraufhin ein, dass dieses Geld höchstwahrscheinlich nie existiert hatte. Vorstandschef Markus Braun wurde am 22.06.2020 festgenommen, am 25.06.2020 meldete Wirecard als erstes DAX-Unternehmen der Geschichte Insolvenz an. Vorausgegangen waren jahrelange Recherchen der Financial Times unter Reporter Dan McCrum.

Der genaue Umfang des Betrugs ist bis heute nicht abschließend gerichtlich geklärt. Der Strafprozess gegen Ex-Vorstandschef Markus Braun läuft seit Dezember 2022 am Landgericht München I und war auch im August 2026 noch nicht rechtskräftig abgeschlossen. Der ehemalige Vorstand Jan Marsalek gilt weiterhin als flüchtig.

Die Pandora Papers wurden ab dem 03.10.2021 vom ICIJ veröffentlicht, basierend auf rund 11,9 Millionen Dokumenten aus 14 Offshore-Dienstleistern. Mehr als 600 Journalisten aus 117 Ländern werteten die Daten aus. Die Recherche deckte geheime Offshore-Vermögen von über 330 Politikern und Amtsträgern in mehr als 90 Ländern auf, darunter 35 Staats- und Regierungschefs, sowie Vermögenswerte von mehr als 130 Milliardären aus 45 Ländern einschließlich 46 russischer Oligarchen.

Ob die aufgedeckten Offshore-Strukturen im Einzelfall illegal waren, ist nicht dokumentiert, der Besitz von Offshore-Firmen ist für sich genommen in vielen Rechtsordnungen legal. Die vollständige Liste aller betroffenen Personen wurde nicht in Gänze veröffentlicht.

Am 20.09.2020 veröffentlichten ICIJ und BuzzFeed News die FinCEN Files, basierend auf mehr als 2100 vertraulichen Suspicious Activity Reports großer internationaler Banken an die US-Finanzaufsichtsbehörde FinCEN zwischen 1999 und 2017, die verdächtige Transaktionen im Wert von über 2 Billionen US-Dollar dokumentieren. Genannt werden unter anderem JPMorgan Chase, HSBC, Deutsche Bank und Standard Chartered. Quelle war die frühere FinCEN-Mitarbeiterin Natalie Mayflower Sours Edwards, die im Juni 2021 zu sechs Monaten Haft verurteilt wurde.

Eine Suspicious Activity Report ist eine interne Verdachtsmeldung und kein Beweis für tatsächliches Fehlverhalten. Welche aufsichtsrechtlichen Maßnahmen sich direkt auf die FinCEN Files zurückführen lassen, ist unklar, da spätere Bußgelder oft auf eigenständigen Ermittlungen beruhen.

Die SEC erhob am 11.12.2008 Klage gegen Bernard L. Madoff wegen Wertpapierbetrugs. Madoff hatte eingeräumt, sein Geschäft sei im Kern ein Ponzi-Schema, mit einem geschätzten Schaden von mindestens 50 Milliarden US-Dollar. Die gefälschten Kontoauszüge wiesen Guthaben von rund 65 Milliarden US-Dollar aus. Madoff bekannte sich am 12.03.2009 schuldig und wurde am 29.06.2009 zu 150 Jahren Haft verurteilt.

Wie lange das Schema exakt lief, ist nicht abschließend geklärt, Schätzungen reichen von den 1970er bis in die frühen 1990er Jahre. Der tatsächliche Nettoverlust der Anleger lag laut Insolvenzverwalter deutlich niedriger bei geschätzt 17 bis 20 Milliarden US-Dollar eingezahltem Kapital.

Enron Corp. teilte der SEC am 08.11.2001 mit, dass die Jahresabschlüsse für 1997 bis 2000 falsch waren und korrigiert werden müssen. Grund war die fehlerhafte Nichtkonsolidierung der Zweckgesellschaften Chewco Investments, JEDI und einer LJM1-Tochtergesellschaft, die vom Finanzvorstand Andrew Fastow mitgegründet wurden. Durch die Korrektur sank das Eigenkapital um 1,2 Milliarden US-Dollar. Enron meldete am 02.12.2001 Insolvenz an, damals die größte Unternehmenspleite der US-Geschichte.

Das Dokument ist Enrons eigene Pflichtmitteilung, kein Gerichtsurteil. Die vollständige Aufarbeitung der Zweckgesellschaften erfolgte erst in späteren Straf- und Zivilverfahren gegen Kenneth Lay, Jeffrey Skilling und Andrew Fastow.

Die SEC verklagte WorldCom am 26.06.2002 wegen Bilanzbetrugs von mehr als 3,8 Milliarden US-Dollar. WorldCom hatte laufende Betriebskosten fälschlich als Investitionen aktiviert, um Gewinne vorzutäuschen. Spätere Nachprüfungen erhöhten die Gesamtsumme auf rund 11 Milliarden US-Dollar. Am 21.07.2002 meldete WorldCom Insolvenz an, damals die größte Unternehmensinsolvenz der US-Geschichte.

Die zitierte SEC-Klage dokumentiert nur die zu diesem Zeitpunkt bekannten 3,8 Milliarden US-Dollar. Die spätere Verurteilung von Ex-CEO Bernard Ebbers zu 25 Jahren Haft 2005 erfolgte in einem separaten, späteren Verfahren.

Die SEC verklagte Parmalat Finanziaria am 30.12.2003 wegen Wertpapierbetrugs. Der italienische Lebensmittelkonzern bot von August bis November 2003 US-Investoren Anleihen im Volumen von 100 Millionen Dollar an und stellte dabei Vermögenswerte falsch dar. Parmalat räumte am 19.12.2003 ein, dass Vermögenswerte im Jahresabschluss 2002 um mindestens 3,95 Milliarden Euro zu hoch ausgewiesen waren, unter anderem durch ein angeblich bei der Bank of America gehaltenes, tatsächlich nicht existierendes Guthaben der Cayman-Tochter Bonlat.

Die häufig zitierte Zahl von rund 14 Milliarden Euro Bilanzloch stammt aus späteren Ermittlerberichten, nicht aus dieser SEC-Klage selbst. Die strafrechtlichen Konsequenzen für Calisto Tanzi und weitere Verantwortliche in Italien sind nicht Gegenstand dieser Quelle.

Am 12.04.2022 gaben US-Behörden im Rahmen von Operation TOURNIQUET die Beschlagnahme des Cybercrime-Forums RaidForums bekannt. Der mutmaßliche Gründer Diogo Santos Coelho alias Omnipotent war bereits am 31.01.2022 in Großbritannien festgenommen worden. Das seit 2015 bestehende Forum hatte mehr als 500.000 registrierte Nutzer und bot über 10 Milliarden Datensätze aus Datenlecks zum Verkauf an.

Der weitere Verlauf des Strafverfahrens gegen Coelho, insbesondere Ausgang der Auslieferung und ein mögliches Urteil, ist in dieser Quelle nicht dokumentiert.

Das US-Justizministerium gab am 20.07.2017 die Abschaltung des Darknet-Marktplatzes AlphaBay bekannt, den zu diesem Zeitpunkt größten illegalen Online-Marktplatz. Der mutmaßliche kanadische Betreiber Alexandre Cazes alias Alpha02 wurde am 05.07.2017 in Bangkok festgenommen und starb am 12.07.2017 mutmaßlich durch Suizid in Haft. Auf AlphaBay wurden über 250.000 Angebote für illegale Drogen sowie mehr als 100.000 Angebote für gestohlene Identitätsdokumente gelistet.

Ob Cazes tatsächlich Suizid beging, ist nicht unabhängig untersucht, die Einschätzung stammt von der thailändischen Polizei. Die ihm vorgeworfenen Straftaten wurden nie vor einem US-Gericht verhandelt.

Die Europäische Kommission verhängte am 20.03.2019 eine Kartellstrafe von 1,49 Milliarden Euro gegen Google wegen restriktiver Klauseln in AdSense-for-Search-Verträgen mit Drittwebsites, darunter Exklusivitätsvorgaben und Genehmigungsvorbehalte für Konkurrenzanzeigen, festgestellt für den Zeitraum 2006 bis 2016.

Das Gericht der EU hob die Entscheidung samt Bußgeld am 18.09.2024 auf, weil die Kommission die wettbewerbsschädigende Wirkung nach Ansicht des Gerichts nicht ausreichend nachgewiesen hatte. Der weitere Verfahrensausgang danach wurde hier nicht recherchiert.

Die französische Wettbewerbsbehörde verhängte am 07.06.2021 ein Bußgeld von 220 Millionen Euro gegen Google wegen Missbrauchs einer marktbeherrschenden Stellung bei Ad-Servern, indem Google seine eigenen Dienste DoubleClick for Publishers und AdX bevorzugte. Auslöser war eine Beschwerde von News Corp aus 2019. Google ging im Vergleichsverfahren Verpflichtungen zur Interoperabilität mit Dritt-SSPs ein.

Ob die Interoperabilitäts-Verpflichtungen in der Praxis tatsächlich Wettbewerb wiederherstellten, ist nicht im Detail nachgezeichnet. Das Verhältnis zu späteren, umfassenderen EU-Kommissionsverfahren gegen Googles Adtech-Geschäft bleibt offen.

Die schwedische Datenschutzbehörde IMY verhängte am 29.03.2022 gegen Klarna Bank AB ein Bußgeld von 7,5 Millionen schwedischen Kronen, umgerechnet rund 671.000 Euro. Geprüft wurde der Zeitraum Frühjahr 2020, Klarna informierte Nutzer nicht ausreichend über Zweck und Rechtsgrundlage bestimmter Datenverarbeitungen und machte unvollständige Angaben zu Empfängern personenbezogener Daten, darunter Auskunfteien.

Der spätere gerichtliche Verlauf, darunter eine zwischenzeitliche Herabsetzung und Wiederanhebung auf 7,5 Millionen Kronen durch das Kammarrätten im März 2024, ist in dieser Pressemitteilung selbst noch nicht abgebildet. Dieser Fall betrifft eine administrative Bußgeldentscheidung wegen Informationspflichten und ist getrennt vom separaten App-Datenpannen-Vorfall von Klarna 2021 zu betrachten.

Nachdem PayPal im Dezember 2010 wegen der Veröffentlichung von US-Depeschen durch WikiLeaks das Spendenkonto der Plattform gesperrt hatte, führte das Kollektiv Anonymous unter dem Namen Operation Payback DDoS-Angriffe gegen die PayPal-Server durch. Die Angriffe dauerten laut Anklage vom 6. bis 10. Dezember 2010. Am 19.07.2011 gab das US-Justizministerium die Festnahme von 14 mutmaßlichen Beteiligten sowie mehr als 35 Durchsuchungen bekannt, begleitet von weiteren Festnahmen in Großbritannien und den Niederlanden.

Die Pressemitteilung bezieht sich ausschließlich auf die Anklage im Zusammenhang mit PayPal. Angriffe gegen Visa, Mastercard und weitere Zahlungsdienstleister sind hier nicht mit einer Anklage belegt. Eine Anklage stellt rechtlich nur eine Vorwurfserhebung dar, es gilt die Unschuldsvermutung. Der individuelle Tatbeitrag der Beschuldigten wird nicht beziffert.

Das Bezirksgericht Tokio verurteilte den ehemaligen Mt.-Gox-Chef Mark Karpelès am 15.03.2019 wegen Manipulation von Firmenaufzeichnungen zu zwei Jahren und sechs Monaten Freiheitsstrafe auf Bewährung. Vom schwerwiegenderen Vorwurf der Untreue, der Veruntreuung von rund 340 Millionen Yen an Kundengeldern, sprach das Gericht ihn frei, obwohl die Staatsanwaltschaft zehn Jahre Haft gefordert hatte. Mt.Gox war unter Karpelès seit 2011 zur weltweit größten Bitcoin-Börse gewachsen und hatte 2014 in Tokio Insolvenz angemeldet, nachdem rund 850.000 Bitcoin von Kunden und Firmenkonten verschwunden waren.

Die genaue Ursache des ursprünglichen Bitcoin-Verlusts blieb im Strafprozess ungeklärt, das Gericht traf keine Feststellung zu Hackerangriff, technischem Fehler oder interner Manipulation. Die anfangs gemeldete Verlustsumme von rund 850.000 Bitcoin wurde in späteren Berichten auf rund 650.000 Bitcoin nach unten korrigiert, da rund 200.000 Bitcoin in einer älteren Wallet wiederentdeckt wurden.

Am 08.02.2022 verhaftete das FBI in Manhattan das Ehepaar Ilya Lichtenstein und Heather Morgan und beschlagnahmte rund 94.636 Bitcoin, die aus dem Bitfinex-Hack von 2016 stammten, zu diesem Zeitpunkt etwa 3,6 Milliarden US-Dollar wert. Laut Anklage hatte Lichtenstein 2016 mittels fortgeschrittener Hacking-Techniken das Netzwerk der Kryptobörse Bitfinex kompromittiert und über 2.000 betrügerische Transaktionen ausgelöst, durch die insgesamt 119.754 Bitcoin abflossen. Im August 2023 bekannten sich beide schuldig, im November 2024 wurde Lichtenstein zu fünf Jahren, Morgan zu 18 Monaten Haft verurteilt.

Wie genau Lichtenstein technisch in das Bitfinex-Netzwerk eindrang, bleibt unklar, die Anklageschrift nennt nur allgemein fortgeschrittene Hacking-Tools. Der beschlagnahmte Anteil deckte nicht die gesamte Beute ab. Ob und in welchem Umfang die beschlagnahmten Bitcoin vollständig an Bitfinex zurückgehen, war Anfang 2025 noch Gegenstand eines Gerichtsverfahrens.

Elizabeth Holmes gründete 2003 die Bluttest-Firma Theranos und behauptete, mit einem tragbaren Gerät zahlreiche Labortests aus wenigen Tropfen Fingerblut durchführen zu können. Der Wall-Street-Journal-Reporter John Carreyrou deckte am 15.10.2015 auf, dass die Technologie nicht funktionierte und Theranos die meisten Tests heimlich auf Geräten anderer Hersteller durchführte. Die SEC klagte Holmes im März 2018 wegen massivem Betrug an. Ein Bundesgericht verurteilte Holmes am 03.01.2022 wegen Anlagebetrugs, Richter Edward Davila verhängte am 18.11.2022 eine Haftstrafe von 135 Monaten.

Die genaue Höhe des Anlegerschadens ist nicht einheitlich beziffert, die strafrechtliche Anklage stützte sich auf rund 140 Millionen Dollar, während die SEC von über 700 Millionen Dollar eingesammelten Investorengeldern spricht. Holmes bestritt im Prozess vorsätzlichen Betrug und legte Berufung ein.

Celsius-Network-Gründer Alexander Mashinsky wurde am 08.05.2025 zu 12 Jahren Haft und einer Vermögenseinziehung von rund 48,4 Millionen Dollar verurteilt. Er hatte sich im Dezember 2024 wegen Betrugs im Zusammenhang mit Warentermingeschäften und Kursmanipulation des Tokens CEL schuldig bekannt. Die Kryptoverleihplattform Celsius Network fror im Juni 2022 sämtliche Kundenauszahlungen ein und meldete am 13.07.2022 Insolvenz an, mit damals rund 5,5 Milliarden Dollar Verbindlichkeiten. Nach Angaben des Richters hatte Mashinsky mehr als 45 Millionen Dollar eingenommen.

Die genaue Gesamthöhe des Kundenschadens ist nicht einheitlich beziffert, Berichte nennen zwischen rund 4,7 und 5,5 Milliarden Dollar. Fünf der ursprünglich sieben Anklagepunkte gegen Mashinsky wurden im Rahmen der Absprache fallengelassen.

Der britische Banker Howard Wilkinson leitete von 2007 bis 2014 die Handelseinheit Danske Markets in der Baltikum-Region der Danske Bank. Ab 2013 meldete er intern insgesamt vier Warnungen über verdächtige Zahlungen estnischer Nichtansässiger, ohne dass die Bank Konsequenzen zog. Nach seinem Ausscheiden 2014 unterzeichnete er eine Verschwiegenheitsvereinbarung, ging aber dennoch an Ermittler und die Öffentlichkeit. Am 21.11.2018 sagte er vor dem Sonderausschuss TAX3 des Europäischen Parlaments aus. Für sein Engagement erhielt er 2020 den Allard Prize for International Integrity.

Ob Wilkinsons Meldungen bei korrekter Bearbeitung den vollen Umfang der später bekannten rund 200 Milliarden Euro an verdächtigen Zahlungen hätten verhindern können, ist nicht belegt. Ob Danske Bank aktiv versuchte, seine Hinweise zu unterdrücken, beruht primär auf seiner eigenen Aussage.

Der ehemalige PwC-Prüfungsassistent Antoine Deltour wurde nach der Veröffentlichung der LuxLeaks-Dokumente im Dezember 2014 in Luxemburg wegen Diebstahls und Geheimnisverrats angeklagt. Das Bezirksgericht verurteilte ihn im Juni 2016 zu zwölf Monaten Haft auf Bewährung. Das Berufungsgericht reduzierte die Strafe im März 2017. Der luxemburgische Kassationshof hob das Urteil am 11.01.2018 auf und erkannte Deltour als Whistleblower im Sinne der EGMR-Rechtsprechung an. Am 15.05.2018 sprach das neu besetzte Berufungsgericht Deltour vollständig frei.

Die konkreten Steuerausfälle durch die rund 340 in den LuxLeaks-Dokumenten genannten Konzernvereinbarungen sind nicht beziffert. Der Mitangeklagte Raphaël Halet war von der Kassationsentscheidung nicht erfasst, ihm gab erst der EGMR 2023 in einem separaten Verfahren recht.

Am 21.09.2016 veröffentlichte das ICIJ zusammen mit der Süddeutschen Zeitung die Bahamas Leaks, basierend auf 1,3 Millionen internen Dateien aus dem Handelsregister der Bahamas mit Angaben zu 175.888 Gesellschaften und Trusts. Unter den erstmals genannten Direktoren war Neelie Kroes, ehemalige EU-Wettbewerbskommissarin, als Direktorin der Gesellschaft Mint Holdings Ltd. Kroes räumte diese Rolle ein, erklärte aber, sie habe sie nicht angeben müssen, da die Firma nie operativ geworden sei. Auch der frühere katarische Premierminister Hamad bin Jassim bin Jaber Al Thani tauchte in den Daten auf.

Nicht belegt ist, ob Kroes oder andere genannte Personen tatsächlich Steuern hinterzogen oder gegen Gesetze verstießen. Eine Offshore-Firma und eine Direktorenrolle sind für sich genommen nicht illegal. Die genaue Herkunft des Datenlecks wurde vom ICIJ nicht offengelegt.