Quellen-Tabelle

Die australische Sozialbehörde Centrelink setzte von Juli 2015 bis November 2019 das automatisierte Verfahren Robodebt ein, um vermeintliche Überzahlungen von Sozialleistungen zurückzufordern. Das System verglich jährliche Einkommensdaten der Steuerbehörde ATO mit den vierzehntägigen Einkommensangaben bei Centrelink und errechnete daraus per automatisierter Durchschnittsbildung Schulden, ohne individuelle Einkommensschwankungen zu prüfen. Die Beweislast lag bei den Betroffenen. Nach Feststellung der Royal Commission wurden unrechtmäßig Forderungen in Höhe von rund 1,76 Milliarden australischen Dollar gegen mindestens 433.000 Bürger erhoben. Am 27.11.2019 räumte die australische Bundesregierung vor dem Federal Court ein, dass allein auf Einkommensdurchschnitten basierende Forderungen rechtswidrig waren, woraufhin das Programm eingestellt wurde. Eine Sammelklage endete am 16.11.2020 mit einem Vergleich im Gesamtwert von rund 1,8 Milliarden australischen Dollar. Die 2022 eingesetzte Royal Commission unter Vorsitz von Catherine Holmes legte ihren Abschlussbericht am 07.07.2023 vor und bezeichnete das Programm als grob und grausam sowie weder fair noch rechtmäßig, mit 57 Empfehlungen.

Aus dem Bericht der Royal Commission vom Juli 2023 geht nicht hervor, ob den namentlich genannten Verantwortlichen letztlich straf- oder zivilrechtliche Konsequenzen drohten, da der entsprechende Abschnitt versiegelt war. Eine spätere Prüfung sprach zwei zentrale Verantwortliche von entsprechenden Vorwürfen frei.

Am 07.05.2021 griff die Ransomware-as-a-Service-Gruppe DarkSide die IT-Systeme des US-Pipelinebetreibers Colonial Pipeline an, woraufhin das Unternehmen aus Vorsicht den Betrieb der wichtigsten Treibstoffpipeline der US-Ostküste einstellte. Colonial Pipeline zahlte am 08.05.2021 rund 75 Bitcoin, umgerechnet etwa 4,4 Millionen US-Dollar, Lösegeld. Am 13./14.05.2021 teilte DarkSide seinen Partnern mit, dass die Gruppe den Zugriff auf einen öffentlichen Teil ihrer Infrastruktur verloren habe, darunter Blog, Zahlungsserver und Content-Delivery-Server. Nach Angaben der Sicherheitsfirma Intel 471 wurden zudem Gelder von einem Zahlungsserver der Gruppe auf ein unbekanntes Konto abgezogen. DarkSide begründete die Einstellung ihres Affiliate-Programms mit Druck aus den USA und kündigte an, Opfern ohne erfolgte Zahlung kostenlose Entschlüsselungs-Tools bereitzustellen. Wer die Server beschlagnahmte, teilte die Gruppe nicht mit. Sicherheitsforscher gingen davon aus, dass sich Mitglieder der Gruppe unter neuem Namen reorganisieren würden.

Wer genau die DarkSide-Server beschlagnahmte und die Kryptowährungs-Gelder abzog, ist aus dieser Quelle nicht belegt und wurde von keiner Behörde offiziell bestätigt. Ebenso bleibt offen, ob es sich um eine tatsächliche Strafverfolgungsmaßnahme oder um einen Exit-Scam der Gruppenbetreiber handelte.

Am 19.05.2020 informierte die britische Fluggesellschaft EasyJet öffentlich über einen Cyberangriff auf ihre IT-Systeme, bei dem persönliche Daten von rund 9 Millionen Kunden abgeflossen waren. Betroffen waren E-Mail-Adressen und Reisedaten aus Buchungen im Zeitraum vom 17.10.2019 bis zum 04.03.2020. Bei 2.208 Kunden wurden zudem vollständige Kreditkartendaten einschließlich der Sicherheitscodes offengelegt. EasyJet entdeckte den Angriff Ende Januar 2020 und bezeichnete ihn als hochentwickelten Angriff. Kunden mit gestohlenen Zahlungsdaten wurden ab April 2020 informiert, die Benachrichtigung aller 9 Millionen betroffenen Kunden sollte bis zum 26.05.2020 abgeschlossen sein. EasyJet meldete den Vorfall an die britische Datenschutzbehörde ICO sowie an das National Cyber Security Centre. Passwörter und Passdaten der Kunden waren nach Angaben von EasyJet nicht betroffen. Die Kanzlei PGMBM reichte im Mai 2020 beim High Court in London eine Sammelklage mit einem möglichen Streitwert von bis zu 18 Milliarden britischen Pfund ein. Die ICO stellte ihre Untersuchung des Vorfalls im August 2023 offiziell ein und verwies dabei auf begrenzte Ressourcen der Behörde.

Aus der Quelle geht nicht hervor, ob die 2020 eingereichte Sammelklage inzwischen zu einem Urteil oder Vergleich geführt hat, und die genaue technische Ursache des Einbruchs bleibt ungeklärt.

Estée Lauder Cosmetics Ltd und The Estée Lauder Companies Inc. erklärten sich bereit, einen Vergleich über 1.515.000 kanadische Dollar zu zahlen, um eine kanadische Sammelklage wegen zweier Datenvorfälle aus dem Jahr 2023 beizulegen. Die Klage betrifft zwei getrennte Cybervorfälle vom 31. Mai 2023 und vom 12. Juli 2023, bei denen persönliche und finanzielle Daten von Kunden in Kanada kompromittiert oder gestohlen wurden. Der Vorfall vom Mai 2023 steht im Zusammenhang mit der massenhaften Ausnutzung der MOVEit-Schwachstelle durch die Ransomware-Gruppe Clop, während sich zu einem zweiten, separaten Angriff die Gruppe BlackCat alias ALPHV bekannte. Estée Lauder hatte den zweiten Vorfall am 18. Juli 2023 in einer Mitteilung an die US-Börsenaufsicht SEC offengelegt. Der Vergleich wurde am 20. April 2026 vereinbart und bedarf der Genehmigung durch den Superior Court of Québec. Betroffene Personen können je nach Nachweislage bis zu 5.000 kanadische Dollar für dokumentierte Schäden erhalten, oder pauschal 150 beziehungsweise 300 kanadische Dollar. Estée Lauder bestreitet in der Vergleichsvereinbarung jegliches Fehlverhalten und jede Haftung.

Aus der Quelle geht nicht hervor, wie viele Personen in Kanada tatsächlich von den beiden Vorfällen betroffen waren, und die endgültige gerichtliche Genehmigung des Vergleichs stand zum Zeitpunkt der Mitteilung noch aus.

Am 18.10.2022 durchsuchten Staatsanwaltschaft, Polizei und Steuerfahnder die Zentrale der Deutschen Bank in Frankfurt am Main im Zusammenhang mit Cum-Ex-Geschäften und verwandten Steuerhinterziehungsmodellen. Die federführende Staatsanwaltschaft Köln vollstreckte Durchsuchungsbeschlüsse gegen das Bankinstitut, weitere Konzerngesellschaften sowie eine Wirtschaftsprüfungsgesellschaft. Zusätzlich wurden die Privatwohnungen von zehn Beschuldigten durchsucht. An dem Einsatz waren insgesamt 114 Ermittler beteiligt, darunter mehrere Polizeidienststellen aus Nordrhein-Westfalen, Steuerfahnder aus Nordrhein-Westfalen, Hessen und Bayern, das Bundeszentralamt für Steuern sowie EDV-Sachverständige. Ziel der Maßnahme war insbesondere das Auffinden relevanter interner Kommunikation in Form von E-Mails und sonstiger schriftlicher Korrespondenz der Deutschen Bank. Die Ermittlungen gegen die Deutsche Bank wegen Cum-Ex-Geschäften laufen bereits seit dem Jahr 2017.

Aus dieser Quelle ist nicht belegt, welcher konkrete Steuerschaden der Deutschen Bank in diesem Verfahren vorgeworfen wird, welche Ergebnisse die Auswertung der beschlagnahmten E-Mails erbrachte und wie das seit 2017 laufende Verfahren strafrechtlich ausgegangen ist; auch die Identität der zehn Beschuldigten bleibt offen.

Die US-Börsenaufsicht SEC erhob am 14.03.2018 Anklage gegen Jun Ying, ehemaliger Chief Information Officer der Equifax-Geschäftseinheit Equifax US Information Solutions, wegen Insiderhandels. Equifax hatte am 07.09.2017 bekanntgegeben, dass bei einem Cyberangriff persönliche Daten von rund 147 Millionen US-Kunden entwendet wurden, verursacht durch eine ungepatchte Sicherheitslücke in der Software Apache Struts. Ying, der als nächster globaler CIO von Equifax vorgesehen war, erhielt vertrauliche interne Informationen und kam bereits am 25.08.2017, vor der öffentlichen Bekanntgabe, zu dem Schluss, dass Equifax gehackt worden war. Er übte daraufhin sämtliche Aktienoptionen aus und verkaufte 6.815 Aktien für rund 950.000 US-Dollar, wodurch er einen Verlust von mehr als 117.000 US-Dollar vermied. Parallel zur zivilrechtlichen SEC-Klage erhob die US-Staatsanwaltschaft für den Northern District of Georgia strafrechtliche Anklage gegen Ying. Vorausgegangen waren im Oktober 2017 Anhörungen von Ex-CEO Richard Smith vor mehreren Kongressausschüssen, der bereits am 26.09.2017 unter Verzicht auf seinen Jahresbonus zurückgetreten war. Ying wurde am 07.03.2019 schuldig gesprochen und zu vier Monaten Haft, einem Jahr Bewährung, einer Geldstrafe von 55.000 US-Dollar sowie einer Rückzahlung von 117.117,61 US-Dollar verurteilt.

Der genaue Zeitpunkt der Haftstrafe schwankt in Sekundärquellen zwischen März und Juni 2019. Ob weitere Equifax-Führungskräfte, die kurz nach Entdeckung des Angriffs ebenfalls Aktien verkauften, tatsächlich kein Wissen über die Sicherheitsverletzung hatten, ist nicht unabhängig verifiziert.

Am 27. Mai 2021 kam es beim schwedischen Zahlungsdienstleister Klarna zu einer Datenschutzpanne, bei der Nutzer der Klarna-App für kurze Zeit Konto- und Bestelldaten fremder Kunden einsehen konnten. Ursache war nach Angaben von Klarna ein menschlicher Bedienungsfehler bei einem Softwareupdate, das versehentlich in das Live-System eingespielt wurde. Der fehlerhafte Zustand bestand nach Unternehmensangaben etwa eine halbe Stunde. Sichtbar waren unter anderem Namen, Adressen, Telefonnummern, verifizierte E-Mail-Adressen, Bestellfotos sowie teilweise maskierte Karten- und Kontonummern. Vollständige Bank- oder Kartendaten sowie Steuernummern waren laut Klarna nicht einsehbar. Medien berichteten zunächst von rund 90.000 Betroffenen, Klarna korrigierte die Zahl später auf etwa 9.500 Nutzer von damals rund 90 Millionen aktiven Kunden weltweit. Klarna nahm die App unmittelbar vom Netz. Das Unternehmen erklärte, es habe sich nicht um einen externen Angriff gehandelt, informierte die zuständigen Behörden und kündigte eine Überprüfung interner Prozesse an. Der Vorfall betraf auch deutsche Nutzer.

Unklar bleibt, ob dieser konkrete Vorfall zu einem eigenen DSGVO-Bußgeld führte; die 2022 von der schwedischen Datenschutzbehörde IMY verhängte Strafe gegen Klarna betraf unzureichende Datenschutzerklärungen und nicht diese Datenpanne.

Das britische Department of Health and Social Care (DHSC) veröffentlichte am 11.10.2018 einen Bericht mit einer offiziellen Kostenschätzung des WannaCry-Ransomware-Angriffs auf den National Health Service. Der Angriff selbst ereignete sich vom 12. bis 18.05.2017 und legte den Betrieb in rund einem Drittel der Krankenhaus-Trusts sowie in etwa 8 Prozent der Hausarztpraxen teilweise lahm. Als Folge wurden mehr als 19.000 Termine abgesagt. Das DHSC beziffert die Gesamtkosten auf 92 Millionen Pfund, davon rund 19 Millionen Pfund für entgangene Versorgungsleistung während der Angriffswoche und rund 73 Millionen Pfund für zusätzliche IT-Unterstützung zur Wiederherstellung von Daten und Systemen, wovon 72 Millionen Pfund erst in der Nachbereitungsphase bis Juni/Juli 2017 anfielen. Grundlage der Schätzung ist die Annahme, dass in der betroffenen Woche etwa 1 Prozent der NHS-Versorgungsleistung ausfiel. Das DHSC betont im Bericht ausdrücklich, dass zum Zeitpunkt des Angriffs keine systematische Datenerhebung zu den tatsächlichen Wiederherstellungskosten stattfand. Im selben Bericht kündigte das DHSC zusätzliche Investitionen von über 150 Millionen Pfund für die Jahre 2018/19 bis 2020/21 zur Verbesserung der Cybersicherheit im Gesundheitswesen an.

Die genauen Wiederherstellungskosten einzelner Trusts wurden laut DHSC nie systematisch erhoben, weshalb die 92 Millionen Pfund selbst vom Ministerium ausdrücklich nur als grobe Näherung ohne belastbare Fehlermarge bezeichnet werden.

Am 19.09.2018 gab John Hancock Insurance, ein US-Lebensversicherer im Besitz des kanadischen Mutterkonzerns Manulife Financial, bekannt, dass ab sofort alle neuen Lebensversicherungspolicen in den USA automatisch und ohne Aufpreis das Vitality-Programm enthalten. Vitality ist eine gemeinsam mit der Vitality Group entwickelte Verhaltensplattform, die Bewegungs-, Ernährungs- und Achtsamkeitsdaten von Kunden erfasst. Kunden können die Daten in der kostenlosen Basisstufe Vitality GO per App eintragen oder in der Zusatzstufe Vitality PLUS für 2 US-Dollar im Monat einen Fitbit-Tracker kostenlos erhalten oder eine Apple Watch Series 3 GPS für 25 US-Dollar plus Steuer erwerben. Wer die übertragenen Bewegungsdaten und Fitnessziele erreicht, erhält Prämienrabatte von bis zu 15 Prozent auf die jährliche Versicherungsprämie sowie Einkaufsgutscheine bei Einzelhändlern. Das Unternehmen bezeichnete sich als ersten US-Lebensversicherer, der ein verhaltensbasiertes Wellness-Modell flächendeckend in alle Policen integriert. Zur Begründung verwies John Hancock auf weltweite Vitality-Daten, wonach Programmteilnehmer 13 bis 21 Jahre länger leben und 30 Prozent geringere Krankenhauskosten verursachen als traditionell Versicherte. Bereits seit 2015 hatte John Hancock eine interaktive Police mit Fitness-Tracking angeboten, ab September 2018 wurde dieses Modell zum Standard für das gesamte Neugeschäft.

Aus der unternehmenseigenen Pressemitteilung geht nicht hervor, wie die erhobenen Bewegungs- und Gesundheitsdaten technisch verarbeitet und mit Dritten geteilt werden, und es bleibt offen, wie viele Bestandskunden ihre älteren Policen freiwillig auf Vitality umgestellt haben.

Marriott International entdeckte am 8. September 2018 eine Datenschutzverletzung im Reservierungssystem der 2016 übernommenen Kette Starwood, verursacht durch eine seit 2014 unentdeckte Schadsoftware. Das Unternehmen informierte die Öffentlichkeit erst am 30. November 2018, zunächst mit der Angabe von bis zu 500 Millionen betroffenen Gästen, die im Januar 2019 auf rund 383 Millionen eindeutige Datensätze korrigiert wurde. Ein Aktionär, das Firemen's Retirement System of St. Louis, reichte daraufhin vor dem Delaware Court of Chancery eine Aktionärsklage gegen Vorstand und führende Manager von Marriott ein. Die Klage warf dem Board vor, vor der Starwood-Übernahme 2016 keine ausreichende Sorgfaltsprüfung der IT-Sicherheit durchgeführt und den Datenverstoß verzögert offengelegt zu haben. Vice Chancellor Lori W. Will wies die Klage am 5. Oktober 2021 vollständig ab. Als Begründung nannte das Gericht die Verjährung der Ansprüche zur Sorgfaltsprüfung vor der Akquisition sowie das Fehlen einer Aufsichtspflichtverletzung nach dem Caremark-Maßstab, da der Vorstand jährliche Berichte zu Cyberrisiken erhalten hatte. Eine gesonderte Sammelklage von Anlegern wurde ebenfalls abgewiesen, was der Fourth Circuit 2022 bestätigte.

Aus den ausgewerteten Quellen nicht abschließend belegt ist, ob einzelne Vorstandsmitglieder in Nebenverfahren dennoch finanziell in Anspruch genommen wurden, da die Aktionärsklage vollständig ohne Vergleich oder Schadensersatzzahlung abgewiesen wurde.

Das US-Finanzministerium (OFAC) sanktionierte am 8. August 2022 den Kryptowährungs-Mixer Tornado Cash und setzte 38 Ethereum- sowie 6 USDC-Wallet-Adressen auf die SDN-Liste. Laut OFAC wurden über den Dienst seit 2019 mehr als 7 Milliarden US-Dollar gewaschen, darunter über 455 Millionen US-Dollar durch die nordkoreanische Lazarus-Gruppe. Es war die erste OFAC-Sanktion gegen ein Software-Protokoll statt gegen eine Person oder Firma.

Ob OFAC dabei rechtmäßig handelte, war lange umstritten. Das Berufungsgericht des Fifth Circuit entschied im November 2024, dass die Smart Contracts kein sanktionierbares Eigentum seien, und OFAC hob die Sanktionen im März 2025 auf. Die strafrechtliche Verantwortung einzelner Entwickler wurde in separaten Gerichtsverfahren behandelt.

Die britische Datenschutzbehörde ICO stellte fest, dass British Airways bei einem Cyberangriff im Juni bis September 2018 personenbezogene Daten von mehr als 400.000 Kunden nicht ausreichend gegen unbefugten Zugriff geschützt hatte, ein Verstoß gegen Art. 5(1)(f) und Art. 32 DSGVO. Die ICO verhängte deswegen am 16. Oktober 2020 ein Bußgeld von 20 Millionen Pfund gegen British Airways, nachdem der ursprünglich angekündigte Betrag von 183,39 Millionen Pfund im Verfahren deutlich reduziert worden war.

Offen bleibt in der öffentlichen ICO-Dokumentation, welche einzelnen technischen Schwachstellen die Angreifer konkret ausnutzten und wer die Täter waren. Ebenso nicht abschließend belegt ist, in welchem Umfang Kunden durch die Datenweitergabe tatsächlich finanziellen Schaden erlitten, etwa durch Kreditkartenmissbrauch.

Die britische Datenschutzbehörde ICO stellte fest, dass Angreifer ab Februar 2018 über ein auf der Zahlungsseite von Ticketmaster eingebundenes Chatbot-Skript eines Drittanbieters Schadcode der Magecart-Gruppe einschleusten und so Zahlungskartendaten von Kunden abgriffen. Betroffen waren bis zu 9,4 Millionen Kunden europaweit, davon 1,5 Millionen in Großbritannien. Die ICO verhängte am 13.11.2020 eine Geldbuße von 1,25 Millionen Pfund, nachdem Ticketmaster erst rund neun Wochen nach ersten Betrugsmeldungen von Banken reagierte.

Offen bzw. strittig blieb, wer die Verantwortung für die Sicherheitslücke im Chatbot-Code trug. Ticketmaster machte den Drittanbieter Inbenta verantwortlich, während Inbenta erklärte, Ticketmaster habe den Code entgegen den Vorgaben eingesetzt. Die genaue technische Angriffskette der Magecart-Täter sowie deren Identität wurden nicht öffentlich im Detail rekonstruiert.

Die Große Kammer des Europäischen Gerichtshofs für Menschenrechte urteilte am 14.02.2023 mit 12 zu 5 Stimmen, dass die strafrechtliche Verurteilung des LuxLeaks-Whistleblowers Raphaël Halet gegen die Meinungsfreiheit nach Artikel 10 EMRK verstieß. Halet hatte als PwC-Mitarbeiter Steuerdokumente weitergegeben, die 2014 im Rahmen der LuxLeaks-Enthüllungen des ICIJ Geheimabsprachen Luxemburgs mit Konzernen wie Amazon, Apple und IKEA offenlegten. Luxemburg musste ihm 15.000 Euro Entschädigung und 40.000 Euro Kostenerstattung zahlen.

Offen bleibt, welche konkreten Steuerausfälle den einzelnen EU-Staaten durch die rund 340 in LuxLeaks genannten Konzerne tatsächlich entstanden sind. Die vollständige juristische Aufarbeitung aller rund 28.000 geleakten PwC-Dokumente sowie mögliche weitere Konsequenzen für beteiligte Unternehmen sind aus dieser Quelle nicht ersichtlich.

Die schwedische Finanzaufsicht Finansinspektionen verhängte am 19.03.2020 gegen die Swedbank AB eine Verwarnung und eine Bußgeldstrafe von 4 Milliarden SEK wegen schwerer Mängel bei der Geldwäscheprävention in den baltischen Tochtergesellschaften. Untersucht wurden die Konzernsteuerung von 2015 bis Anfang 2019 sowie die schwedischen Aktivitäten von April bis November 2018. Parallel stellte die estnische Aufsicht fest, dass die estnische Tochter Hochrisikokunden ohne funktionierende Geldwäsche-Kontrollsysteme bediente.

Offen bleibt, in welcher Gesamthöhe tatsächlich Geld gewaschen wurde; die vielzitierte Zahl von rund 20 Milliarden Euro Jahresvolumen aus Hochrisiko-Nichtresidentenkunden stammt aus einer Recherche des schwedischen Senders SVT und nicht aus dem Bußgeldbescheid selbst. Individuelle Straftäter oder konkrete kriminelle Herkunft der Gelder wurden von der Aufsichtsbehörde nicht benannt, da es sich um ein aufsichtsrechtliches, kein strafrechtliches Verfahren handelte.

Das Landgericht München I verurteilte am 05.09.2024 drei ehemalige Wirecard-Vorstandsmitglieder, darunter den früheren Vorstandsvorsitzenden Markus Braun, im Zivilverfahren zur Zahlung von insgesamt 140 Millionen Euro Schadensersatz plus 5 Prozentpunkten Zinsen an den Insolvenzverwalter. Das Gericht sah eine Pflichtverletzung durch die Vergabe eines unbesicherten Darlehens über 100 Millionen Euro an einen finanzschwachen Vertragspartner sowie durch die Zeichnung von Schuldverschreibungen über weitere 100 Millionen Euro ohne vorherige Financial Due Diligence. Ein viertes Mitglied wurde mangels nachgewiesener Kausalität von der Haftung freigesprochen.

Das Urteil war laut Pressemitteilung des Gerichts nicht rechtskräftig, Berufungen wurden erwartet, sodass der endgültige Ausgang offenblieb. Ob und in welcher Höhe die Verurteilten die Summe tatsächlich zahlen konnten, ist aus dieser Quelle nicht ersichtlich. Der separate Strafprozess gegen Markus Braun war zum Zeitpunkt dieser Zivilentscheidung weiterhin nicht abgeschlossen.

Das US-Justizministerium bestätigte offiziell, dass sich die malaysische Goldman-Sachs-Tochter wegen Verschwörung zur Bestechung ausländischer Amtsträger schuldig bekannte. Die Bank zahlte weltweit über 2,9 Milliarden US-Dollar Strafe, weil sie mehr als eine Milliarde Dollar Bestechungsgelder an malaysische und Abu-Dhabi-Beamte zahlte, um Anleihegeschäfte für den Staatsfonds 1MDB zu gewinnen. Laut DOJ wurden insgesamt rund 4,5 Milliarden US-Dollar aus dem Fonds veruntreut.

Der mutmaßliche Drahtzieher Jho Low blieb zum Zeitpunkt der Mitteilung flüchtig und wurde nie persönlich strafrechtlich verurteilt. Wie viel der veruntreuten Gelder tatsächlich zurückgeholt werden kann, war zum Zeitpunkt der Mitteilung nicht abschließend geklärt. Weitere Gerichtsverfahren gegen beteiligte Personen liefen zu diesem Zeitpunkt noch parallel weiter.

Die New Yorker Finanzaufsichtsbehörde NYDFS verhängte am 7. Juli 2020 eine Strafe von 150 Millionen US-Dollar gegen die Deutsche Bank wegen unzureichender Geldwäsche-Kontrollen. Betroffen waren mehr als 40 Konten für Jeffrey Epstein zwischen 2013 und 2018 sowie mangelhaft überwachte Korrespondenzbankbeziehungen zur estnischen Danske-Bank-Filiale und zur FBME Bank mit hunderten verdächtigen Transaktionen. Es war die erste behördliche Sanktion gegen ein Finanzinstitut wegen seiner Geschäftsbeziehung zu Epstein.

Offen bleibt, ob einzelne Deutsche-Bank-Mitarbeiter persönlich zur Verantwortung gezogen wurden, die Strafe traf nur die Bank als Institution. Nicht belegt ist, wie viel die Bank tatsächlich über Epsteins mutmaßliche Straftaten wusste. Zivilklagen von Epstein-Opfern gegen die Bank wurden erst Jahre später und in separaten Verfahren verhandelt.

Am 20. Februar 2022 veröffentlichten die Süddeutsche Zeitung und das OCCRP mit einem Netzwerk von mehr als 150 Journalisten aus über 50 Medien die Recherche Suisse Secrets zu einem anonym zugespielten Datensatz mit Informationen zu mehr als 18.000 Konten der Credit Suisse. Die Konten waren zwischen den 1940er Jahren und der jüngeren Vergangenheit eröffnet worden und hielten laut Auswertung Vermögen von zusammen über 100 Milliarden Franken, darunter Konten mutmaßlicher Autokraten, sanktionierter Personen und krimineller Akteure. Credit Suisse wies die Vorwürfe öffentlich zurück.

Wer die Daten zuspielte und deren genaue Motivation blieben unbekannt, da die Person anonym blieb. Nicht öffentlich dokumentiert ist, für wie viele der 18.000 Konten tatsächlich Fehlverhalten im juristischen Sinne nachgewiesen wurde, da Credit Suisse die Vorwürfe größtenteils bestritt. Offen blieb auch der genaue rechtliche Umgang der Schweizer Behörden mit der undichten Stelle.

Im Februar 2016 erbeuteten Angreifer über gefälschte SWIFT-Zahlungsanweisungen 81 Millionen US-Dollar vom Konto der Bangladesh Bank bei der Federal Reserve Bank of New York. Die Täter nutzten zuvor per Spear-Phishing gestohlene SWIFT-Zugangsdaten und Schadsoftware, die den Transaktionsdrucker der Bank lahmlegte, um die Betrugsversuche zu verschleiern. Das Geld floss über Konten auf den Philippinen weiter in Casinos in Macau; 2018 klagten US-Behörden den Nordkoreaner Park Jin Hyok als Teil der Lazarus Group an.

Wer die endgültigen Nutznießer der über Macau gewaschenen Gelder waren, ist nicht abschließend dokumentiert, da die philippinischen Ermittlungen ins Stocken gerieten. Park Jin Hyok wurde nie festgenommen oder gerichtlich verurteilt. Von den insgesamt versuchten 951 Millionen US-Dollar wurde der größte Teil durch Zufall und Rechtschreibfehler in den Überweisungsaufträgen verhindert, und nur ein kleiner Teil der bereits ausgezahlten 81 Millionen US-Dollar konnte später zurückgeholt werden.

Die Ransomware-Gruppe DarkSide legte am 7. Mai 2021 mit einem Cyberangriff den Betrieb der Colonial Pipeline lahm, die etwa 45 Prozent des Treibstoffs für die US-Ostküste liefert und rund 8800 Kilometer lang ist. Colonial Pipeline zahlte ein Lösegeld von 75 Bitcoin, umgerechnet rund 4,4 Millionen US-Dollar. Das US-Justizministerium gab am 7. Juni 2021 bekannt, per gerichtlich genehmigtem Beschluss 63,7 Bitcoin (rund 2,3 Millionen US-Dollar) davon sichergestellt zu haben.

Offen bleibt, wer die einzelnen Mitglieder der DarkSide-Gruppe konkret sind und wie genau die Ermittler an den privaten Schlüssel der genutzten Bitcoin-Wallet gelangten. Unklar ist auch, ob der plötzliche Ausfall der DarkSide-Infrastruktur wenige Tage nach dem Angriff auf Behördenmaßnahmen oder auf einen freiwilligen Rückzug der Täter zurückgeht. Der Verbleib des nicht sichergestellten Teils des Lösegelds ist nicht dokumentiert.

Am 21.02.2025 wurde die Kryptobörse Bybit angegriffen. Während eines geplanten Transfers von einer Cold Wallet in eine Hot Wallet manipulierten die Angreifer die Transaktion und leiteten rund 400.000 bis 500.000 ETH im Wert von etwa 1,5 Milliarden US-Dollar auf von ihnen kontrollierte Adressen um. Grundlage war eine kompromittierte Entwicklermaschine der Multisig-Plattform Safe Wallet. Das FBI bestätigte am 26.02.2025 offiziell, dass Nordkorea verantwortlich war, und ordnete den Angriff der als TraderTraitor bezeichneten Aktivität der Lazarus Group zu.

Das FBI nennt keine technischen Details dazu, wie die Entwicklermaschine bei Safe Wallet ursprünglich kompromittiert wurde. Laut Bybit-CEO waren bis April 2025 etwa 28 Prozent der gestohlenen Gelder über Mixer und Cross-Chain-Bridges verschleiert und galten als nicht mehr nachverfolgbar. Eine vollständige Rückgewinnung der Gelder oder eine strafrechtliche Verurteilung einzelner Täter ist bislang nicht dokumentiert.

Das Berufungsgericht von New Jersey bestätigte am 1. Mai 2023, dass die Kriegsausschlussklausel in Mercks Sachversicherungspolicen den NotPetya-Cyberangriff von 2017 nicht abdeckt. Die Richter urteilten, dass eine feindselige oder kriegerische Handlung eine militärische Komponente voraussetzt und die Zurechnung zu russischen staatlichen Akteuren allein dafür nicht genügt. Merck konnte damit rund 700 Millionen US-Dollar von den verbliebenen acht Versicherern einfordern, als Teil eines Gesamtschadens von 1,4 Milliarden US-Dollar aus dem NotPetya-Angriff.

Wie viel Merck am Ende tatsächlich ausgezahlt wurde, blieb offen, da sich beide Seiten im Januar 2024 auf einen vertraulichen Vergleich einigten. Ob künftige, präziser formulierte Kriegsausschlussklauseln vor Gericht Bestand hätten, ist durch dieses Urteil nicht geklärt. Eine strafrechtliche Verantwortlichkeit einzelner russischer Akteure für NotPetya war nicht Gegenstand dieses zivilrechtlichen Versicherungsstreits.

Am 1. Juli 2026 begann in Malta der Geschworenenprozess gegen den Geschäftsmann Yorgen Fenech, dem vorgeworfen wird, die Ermordung der Investigativjournalistin Daphne Caruana Galizia am 16. Oktober 2017 durch eine ferngezündete Autobombe in Auftrag gegeben zu haben. Laut ICIJ hatte Caruana Galizia zum Zeitpunkt ihres Todes an Geschichten gearbeitet, die auf den Enthüllungen der Panama Papers aufbauten, unter anderem zur Offshore-Firma 17 Black. Die ausführenden Attentäter wurden bereits zu langjährigen Haftstrafen verurteilt.

Der Prozess gegen Fenech war zum Zeitpunkt der Berichterstattung noch nicht abgeschlossen, ein Urteil über seine Mitschuld stand noch aus und er bestreitet die Vorwürfe. Nicht abschließend juristisch geklärt ist, ob und wie weit die 2021 von einer öffentlichen Untersuchungskommission festgestellte staatliche Mitverantwortung auch strafrechtliche Konsequenzen für weitere Personen im politischen Umfeld nach sich zieht.

Am 8. Februar 2015 veröffentlichte das ICIJ mit über 140 Journalisten aus mehr als 50 Medien die Swiss-Leaks-Recherche auf Basis von rund 60.000 Dateien, die der ehemalige HSBC-IT-Mitarbeiter Hervé Falciani entwendet hatte. Die Dokumente betrafen rund 100.000 Kunden mit etwa 100 Milliarden Dollar bei HSBC Private Bank (Suisse) in Genf und belegten, dass die Bank Kunden bei Steuerhinterziehung unterstützte. In der Folge zahlte HSBC 2017 eine Strafe von 352 Millionen Euro in Frankreich und 2019 192 Millionen Dollar in den USA.

Falciani wurde 2015 von einem Schweizer Gericht in Abwesenheit wegen Wirtschaftsspionage zu fünf Jahren Haft verurteilt, vom Vorwurf des Geheimnisverrats aber freigesprochen; da Frankreich eigene Staatsangehörige nicht ausliefert, trat er die Strafe nie an. Offen bleibt, in wie vielen der rund 100.000 Einzelfälle tatsächlich Steuerhinterziehung nachgewiesen wurde, da nicht jedes Konto bei einer Schweizer Privatbank illegal ist.