Quellen-Tabelle

Roman Storm nur in einem von drei Anklagepunkten verurteilt, Jury bei Geldwäsche/Sanktionsbruch uneinig.

Über 1 Mrd. USD sollen durchgeflossen sein, u.a. Ronin-Hack-Gelder.

Gutachten wirft PayPal vor, Transaktions-/Geräte-/biometrische Daten von ~30 Mio. deutschen Nutzern ohne wirksame Einwilligung an bis zu 600 Unternehmen weiterzugeben.

Auftragsgutachten, keine behördliche/gerichtliche Feststellung.

Kaspersky identifizierte 26 betrügerische Apps im Apple App Store, die sieben bekannte Wallet-Marken imitierten und trojanisierte Wallet-Versionen zum Diebstahl von Seed-Phrasen verbreiteten.

Herstellerpressemitteilung ohne unabhängige Drittverifikation der Opferzahlen.

Die FakeWallet-Kampagne nutzte Tippfehler-Namen und vorgetäuschte App-Store-Seiten, um Nutzer zur Preisgabe ihrer Wiederherstellungsphrasen zu bewegen.

Geografisch auf chinesische Apple-Konten begrenzt, nicht eigenständig verifiziert.

Cyble entdeckte über 20 bösartige Apps im Google Play Store mit über 100.000 Downloads, die bekannte Krypto-Wallets imitierten, um Mnemonic-Phrasen abzugreifen.

Herstellerblog eines kommerziellen Threat-Intelligence-Anbieters mit Eigeninteresse.

Drei Bitcoin-Halter verklagten Apple, weil eine gefälschte Sparrow-Wallet-App trotz Warnungen seit 2024 im App Store beworben wurde und sie zusammen rund 1,8 Mio. USD verloren.

Berichterstattung über unbewiesene Klageschrift-Behauptungen, gerichtlich noch nicht festgestellt.

23andMe einigte sich nach dem Datenleck von 2023 auf eine Sammelklagen-Zahlung von rund 30 Mio. USD für etwa 6,4 Mio. betroffene Kunden.

Plattform mit Eigeninteresse an Klagebeteiligung, bezieht sich auf US-Rechtslage.

Durch den automatischen Informationsaustausch nach DAC8 steigt für Anleger das Risiko, dass frühere unversteuerte Krypto-Gewinne rückwirkend aufgedeckt werden.

Beitrag einer Steuerstrafrecht-Kanzlei dient auch der Mandantenakquise.

Analysiert den Hongkonger Deepfake-CFO-Betrugsfall technisch als Beispiel für zunehmende Professionalisierung KI-gestützten CEO-Frauds.

Sicherheitssoftware-Hersteller hat kommerzielles Interesse, die Bedrohung zu betonen.

Der EuGH wies 2016 Klagen zyprischer Einleger gegen die Eurogruppe-Erklärung von 2013 ab und erklärte Eurogruppe-Erklärungen grundsätzlich für nicht individuell anfechtbar.

Primärquelle, das Urteil selbst. Betrifft die prozessuale Anfechtbarkeit, nicht die inhaltliche Rechtmäßigkeit des Bail-in.

Nach § 6 Abs. 1 Nr. 10 EinSiG sind Einlagen von Bund, Ländern und Kommunen ausdrücklich von der gesetzlichen Einlagensicherung ausgenommen.

Primärquelle, der Gesetzestext selbst. Regelt nur die gesetzliche Einlagensicherung, nicht freiwillige Sicherungssysteme der Bankenverbände.

Seit dem 19.06.2016 hat jede Person mit rechtmäßigem Aufenthalt in der EU in Deutschland ein gesetzliches Recht auf ein Basiskonto, Banken müssen es binnen zehn Werktagen einrichten.

Primärquelle, der Gesetzestext selbst. Banken dürfen die Basiskonto-Eröffnung nur in eng definierten gesetzlichen Ausnahmefällen verweigern.

Der BGH stellte am 28.07.2021 im ersten bundesweiten Cum-Ex-Strafverfahren höchstrichterlich fest, dass die Geschäfte Steuerhinterziehung waren, und ordnete die Einziehung von rund 176 Mio. Euro bei der Bank M.M. Warburg an.

Primärquelle, die offizielle Pressemitteilung des BGH zum Grundsatzurteil.

Der EuGH entschied am 07.12.2023 in den verbundenen Rechtssachen C-634/21, C-26/22 und C-64/22, dass die automatisierte Erstellung eines Bonitäts-Score-Werts wie durch die Schufa unter das DSGVO-Verbot rein automatisierter Einzelentscheidungen fallen kann, wenn der Score-Wert die eigentlich maßgebliche Grundlage für eine nachgelagerte Entscheidung eines Dritten (etwa eine Bank) bildet. Ob dies im Einzelfall zutrifft, muss laut EuGH von den nationalen Gerichten geprüft werden; entscheidend ist, ob der Dritte dem Score-Wert bei seiner Entscheidung maßgebliche Rolle einräumt. Seit dem 17.03.2026 nutzt die Schufa ein neues, für Verbraucher verständlicheres Berechnungsverfahren mit zwölf Kriterien, darunter das Alter des ältesten Bankkontos und der ältesten Kreditkarte, Zahlungsausfälle und der Kreditstatus.

Das Urteil legt einen Prüfmaßstab fest, verbietet Scoring-Verfahren aber nicht grundsätzlich; ob und wie oft deutsche Gerichte seither tatsächlich automatisierte Ablehnungen wegen dieses Urteils kassierten, ist aus dieser Quelle nicht beziffert.

Der Rückversicherer Munich Re sieht laut einer gemeinsamen Studie von Munich Re Life US und der britischen Datenanalysefirma Klarity großes Potenzial darin, Gesundheitsdaten aus Smartwatches, etwa tägliche Schrittzahlen, für die Risikobewertung (Underwriting) bei Lebensversicherungen zu nutzen. Nach Angaben des Unternehmens erlauben solche Wearable-Daten eine genauere individuelle Risikoeinschätzung als traditionelle Messgrößen. Über sein 'Connect & Protect'-Angebot bietet Munich Re Versicherern zusätzlich Zugriff auf versicherungsrelevante Daten aus vernetzten Gebäuden und Gewerbeumgebungen, um Gefahren und Risiken aus Versicherungssicht besser einschätzen oder vermeiden zu können.

Ob und in welchem Umfang diese Wearable-Daten bereits konkret in Deutschland zur Prämienberechnung herangezogen werden, ist aus dieser Quelle nicht belegt; der Fokus der zitierten Studie liegt auf dem US-Markt.

Bei Telematik- bzw. 'Blackbox'-Kfz-Versicherungen zeichnet ein im Fahrzeug installiertes Gerät kontinuierlich Standort, Geschwindigkeit, Beschleunigung und Bremsverhalten auf; im Gegenzug für verkehrskonformes Fahrverhalten winken Prämienrabatte. Verbraucherschützer beziffern die durchschnittliche Ersparnis auf 10 bis 15 Prozent, in Einzelfällen sind Rabatte von bis zu 45 Prozent möglich. Datenschützer kritisieren die permanente Datensammlung: Die erfassten Standortdaten könnten grundsätzlich auch für personalisierte Werbung genutzt werden, der Versicherer kann die Fahrdaten bei einem Unfall gegen den Versicherten verwenden, und bei auffällig negativem Fahrverhalten kann der Versicherer den Vertrag kündigen.

Ob und wie oft Versicherer Telematik-Daten tatsächlich bereits gegen Kunden in Schadensfällen oder bei Vertragskündigungen verwendet haben, ist aus dieser Quelle nicht mit Fallzahlen belegt.

Seit dem 01.04.2005 können Finanzämter und andere Behörden über das automatisierte Kontenabrufverfahren auf Kontostammdaten inländischer Konten und Wertpapierdepots zugreifen, ohne dass die betroffene Bank davon Kenntnis erhält. Abgefragt werden Kontoinhaber-Name und Geburtsdatum, Konto- und Depotnummern sowie Errichtungs- und Auflösungsdaten, jedoch keine Kontostände oder Umsätze. Die Zahl der Kontenabrufe stieg von 692.166 im Jahr 2017 auf 1.140.580 im Jahr 2021, im Jahr 2022 wurden über 1,1 Millionen Abrufe registriert, davon rund 294.000 durch Finanzämter. Der Bundesbeauftragte für den Datenschutz weist seit Jahren darauf hin, dass die Zahl der von Finanzämtern initiierten Kontenabrufverfahren kontinuierlich zunimmt.

Die Statistik erfasst nur die Zahl der Abrufe, nicht deren Ergebnis; wie viele Abrufe tatsächlich zu Steuernachforderungen oder Ermittlungsverfahren führten, ist aus dieser Quelle nicht belegt.

Der Sicherheitsforscher Jeremiah Fowler entdeckte eine frei zugängliche, nicht passwortgeschützte Datenbank des New Yorker Unternehmens Real Estate Wealth Network. Die Datenbank enthielt insgesamt 1.523.776.691 Datensätze bei einer Größe von 1,16 Terabyte. Die Daten waren in Ordnern zu Themen wie Eigentumsgeschichte, Zwangsversteigerung, Insolvenz, Scheidung, Steuerpfandrechten, Erbschaften, Gerichtsurteilen und Sterbefällen organisiert. Enthalten waren zudem interne Protokolldaten mit Namen, Adressen und Telefonnummern von Nutzern sowie Angaben zu heruntergeladenen Inhalten, die den Zeitraum vom 22. April 2023 bis zum 23. Oktober 2023 abdeckten. Unter den betroffenen Personen befanden sich zahlreiche Prominente und Politiker, darunter Britney Spears, Mark Wahlberg, Floyd Mayweather, Nancy Pelosi, Donald Trump, Kylie Jenner und Elon Musk, deren Hypothekendaten, Kreditsummen und Steuerinformationen offenlagen. Fowler informierte Real Estate Wealth Network im Rahmen einer Responsible-Disclosure-Meldung, woraufhin die Datenbank kurzfristig gesichert und der öffentliche Zugriff beendet wurde. Ein Vertreter des Unternehmens bestätigte gegenüber Fowler, dass die Datenbank dem Unternehmen gehörte, und dankte ihm für den Hinweis. Der Fund wurde am 19. Dezember 2023 von vpnMentor veröffentlicht.

Unklar bleibt, wie lange die Datenbank tatsächlich frei zugänglich war und ob neben dem Sicherheitsforscher weitere, unbefugte Dritte auf die Daten zugegriffen haben. Auch das genaue Entdeckungsdatum sowie mögliche behördliche Konsequenzen oder Strafen sind aus dieser Quelle nicht belegt.

Am 05.11.2017 veröffentlichte das International Consortium of Investigative Journalists (ICIJ) die Paradise Papers, ein Datensatz von 13,4 Millionen Dokumenten mit einem Volumen von rund 1,4 Terabyte. Kernquelle war die Offshore-Kanzlei Appleby mit Sitz in Bermuda, die rund 7 Millionen Dateien beisteuerte, darunter Kreditverträge, Finanzberichte, E-Mails und Treuhandurkunden aus fast 50 Jahren. Weitere Quellen waren der Treuhandanbieter Asiaciti Trust sowie Firmenregister aus 19 Geheimhaltungsjurisdiktionen. Die Süddeutsche Zeitung erhielt die Dokumente zuerst und teilte sie mit dem ICIJ, das anschließend mit 95 Medienpartnern und mehr als 380 Journalisten in 67 Ländern zusammenarbeitete. Die Recherche legte Offshore-Aktivitäten von mehr als 120 Politikern und Staatschefs offen, darunter Königin Elizabeth II. und der damalige US-Handelsminister Wilbur Ross, sowie Steuergestaltungen von fast 100 multinationalen Konzernen wie Apple, Nike und Uber. Appleby verklagte daraufhin The Guardian und BBC wegen der Veröffentlichung gestohlener Daten, der Rechtsstreit wurde am 04.05.2018 außergerichtlich beigelegt. In der Türkei wurde die Journalistin Pelin Ünker wegen ihrer Berichterstattung zunächst zu 13 Monaten Haft verurteilt, das Urteil später im Berufungsverfahren aufgehoben. Mehrere Regierungen leiteten nach der Veröffentlichung steuerliche und politische Untersuchungen ein.

Die genaue Zahl der betroffenen natürlichen Personen variiert je nach Zählweise zwischen den ICIJ-Veröffentlichungen, und der Ausgang vieler daraus resultierender behördlicher Untersuchungen in einzelnen Ländern ist nicht abschließend dokumentiert.

Estée Lauder Cosmetics Ltd und The Estée Lauder Companies Inc. erklärten sich bereit, einen Vergleich über 1.515.000 kanadische Dollar zu zahlen, um eine kanadische Sammelklage wegen zweier Datenvorfälle aus dem Jahr 2023 beizulegen. Die Klage betrifft zwei getrennte Cybervorfälle vom 31. Mai 2023 und vom 12. Juli 2023, bei denen persönliche und finanzielle Daten von Kunden in Kanada kompromittiert oder gestohlen wurden. Der Vorfall vom Mai 2023 steht im Zusammenhang mit der massenhaften Ausnutzung der MOVEit-Schwachstelle durch die Ransomware-Gruppe Clop, während sich zu einem zweiten, separaten Angriff die Gruppe BlackCat alias ALPHV bekannte. Estée Lauder hatte den zweiten Vorfall am 18. Juli 2023 in einer Mitteilung an die US-Börsenaufsicht SEC offengelegt. Der Vergleich wurde am 20. April 2026 vereinbart und bedarf der Genehmigung durch den Superior Court of Québec. Betroffene Personen können je nach Nachweislage bis zu 5.000 kanadische Dollar für dokumentierte Schäden erhalten, oder pauschal 150 beziehungsweise 300 kanadische Dollar. Estée Lauder bestreitet in der Vergleichsvereinbarung jegliches Fehlverhalten und jede Haftung.

Aus der Quelle geht nicht hervor, wie viele Personen in Kanada tatsächlich von den beiden Vorfällen betroffen waren, und die endgültige gerichtliche Genehmigung des Vergleichs stand zum Zeitpunkt der Mitteilung noch aus.

Am 19.09.2018 gab John Hancock Insurance, ein US-Lebensversicherer im Besitz des kanadischen Mutterkonzerns Manulife Financial, bekannt, dass ab sofort alle neuen Lebensversicherungspolicen in den USA automatisch und ohne Aufpreis das Vitality-Programm enthalten. Vitality ist eine gemeinsam mit der Vitality Group entwickelte Verhaltensplattform, die Bewegungs-, Ernährungs- und Achtsamkeitsdaten von Kunden erfasst. Kunden können die Daten in der kostenlosen Basisstufe Vitality GO per App eintragen oder in der Zusatzstufe Vitality PLUS für 2 US-Dollar im Monat einen Fitbit-Tracker kostenlos erhalten oder eine Apple Watch Series 3 GPS für 25 US-Dollar plus Steuer erwerben. Wer die übertragenen Bewegungsdaten und Fitnessziele erreicht, erhält Prämienrabatte von bis zu 15 Prozent auf die jährliche Versicherungsprämie sowie Einkaufsgutscheine bei Einzelhändlern. Das Unternehmen bezeichnete sich als ersten US-Lebensversicherer, der ein verhaltensbasiertes Wellness-Modell flächendeckend in alle Policen integriert. Zur Begründung verwies John Hancock auf weltweite Vitality-Daten, wonach Programmteilnehmer 13 bis 21 Jahre länger leben und 30 Prozent geringere Krankenhauskosten verursachen als traditionell Versicherte. Bereits seit 2015 hatte John Hancock eine interaktive Police mit Fitness-Tracking angeboten, ab September 2018 wurde dieses Modell zum Standard für das gesamte Neugeschäft.

Aus der unternehmenseigenen Pressemitteilung geht nicht hervor, wie die erhobenen Bewegungs- und Gesundheitsdaten technisch verarbeitet und mit Dritten geteilt werden, und es bleibt offen, wie viele Bestandskunden ihre älteren Policen freiwillig auf Vitality umgestellt haben.

Das US-Finanzministerium (OFAC) sanktionierte am 8. August 2022 den Kryptowährungs-Mixer Tornado Cash und setzte 38 Ethereum- sowie 6 USDC-Wallet-Adressen auf die SDN-Liste. Laut OFAC wurden über den Dienst seit 2019 mehr als 7 Milliarden US-Dollar gewaschen, darunter über 455 Millionen US-Dollar durch die nordkoreanische Lazarus-Gruppe. Es war die erste OFAC-Sanktion gegen ein Software-Protokoll statt gegen eine Person oder Firma.

Ob OFAC dabei rechtmäßig handelte, war lange umstritten. Das Berufungsgericht des Fifth Circuit entschied im November 2024, dass die Smart Contracts kein sanktionierbares Eigentum seien, und OFAC hob die Sanktionen im März 2025 auf. Die strafrechtliche Verantwortung einzelner Entwickler wurde in separaten Gerichtsverfahren behandelt.

Die britische Datenschutzbehörde ICO stellte fest, dass British Airways bei einem Cyberangriff im Juni bis September 2018 personenbezogene Daten von mehr als 400.000 Kunden nicht ausreichend gegen unbefugten Zugriff geschützt hatte, ein Verstoß gegen Art. 5(1)(f) und Art. 32 DSGVO. Die ICO verhängte deswegen am 16. Oktober 2020 ein Bußgeld von 20 Millionen Pfund gegen British Airways, nachdem der ursprünglich angekündigte Betrag von 183,39 Millionen Pfund im Verfahren deutlich reduziert worden war.

Offen bleibt in der öffentlichen ICO-Dokumentation, welche einzelnen technischen Schwachstellen die Angreifer konkret ausnutzten und wer die Täter waren. Ebenso nicht abschließend belegt ist, in welchem Umfang Kunden durch die Datenweitergabe tatsächlich finanziellen Schaden erlitten, etwa durch Kreditkartenmissbrauch.

Die britische Datenschutzbehörde ICO stellte fest, dass Angreifer ab Februar 2018 über ein auf der Zahlungsseite von Ticketmaster eingebundenes Chatbot-Skript eines Drittanbieters Schadcode der Magecart-Gruppe einschleusten und so Zahlungskartendaten von Kunden abgriffen. Betroffen waren bis zu 9,4 Millionen Kunden europaweit, davon 1,5 Millionen in Großbritannien. Die ICO verhängte am 13.11.2020 eine Geldbuße von 1,25 Millionen Pfund, nachdem Ticketmaster erst rund neun Wochen nach ersten Betrugsmeldungen von Banken reagierte.

Offen bzw. strittig blieb, wer die Verantwortung für die Sicherheitslücke im Chatbot-Code trug. Ticketmaster machte den Drittanbieter Inbenta verantwortlich, während Inbenta erklärte, Ticketmaster habe den Code entgegen den Vorgaben eingesetzt. Die genaue technische Angriffskette der Magecart-Täter sowie deren Identität wurden nicht öffentlich im Detail rekonstruiert.

Die Große Kammer des Europäischen Gerichtshofs für Menschenrechte urteilte am 14.02.2023 mit 12 zu 5 Stimmen, dass die strafrechtliche Verurteilung des LuxLeaks-Whistleblowers Raphaël Halet gegen die Meinungsfreiheit nach Artikel 10 EMRK verstieß. Halet hatte als PwC-Mitarbeiter Steuerdokumente weitergegeben, die 2014 im Rahmen der LuxLeaks-Enthüllungen des ICIJ Geheimabsprachen Luxemburgs mit Konzernen wie Amazon, Apple und IKEA offenlegten. Luxemburg musste ihm 15.000 Euro Entschädigung und 40.000 Euro Kostenerstattung zahlen.

Offen bleibt, welche konkreten Steuerausfälle den einzelnen EU-Staaten durch die rund 340 in LuxLeaks genannten Konzerne tatsächlich entstanden sind. Die vollständige juristische Aufarbeitung aller rund 28.000 geleakten PwC-Dokumente sowie mögliche weitere Konsequenzen für beteiligte Unternehmen sind aus dieser Quelle nicht ersichtlich.