Quellen-Tabelle

Evolve Bank and Trust wurde Anfang 2024 Opfer eines LockBit-Ransomwareangriffs, nachdem ein Mitarbeiter auf einen manipulierten Link geklickt hatte. Die Täter luden Datenbanken herunter und veröffentlichten die Daten im Juni 2024, nachdem Evolve kein Lösegeld gezahlt hatte. Betroffen waren Namen, Sozialversicherungsnummern und Kontonummern von Privat- und Hypothekenkunden sowie von Partnerunternehmen. Evolve meldete der Generalstaatsanwaltschaft von Maine rund 7,64 Millionen betroffene Personen.

Spätere Unterlagen zur Sammelklage sprechen von rund 18 Millionen Betroffenen, ohne dass diese höhere Zahl öffentlich erklärt wurde. LockBits Behauptung, es handle sich um Daten der US-Notenbank Federal Reserve, war falsch.

Am 07.05.2024 identifizierten NCA, FBI, US-Justizministerium sowie Partnerbehörden aus USA, Großbritannien und Australien den Russen Dmitry Khoroshev als Entwickler und Administrator der Ransomware-Gruppe LockBit, bekannt unter dem Pseudonym LockBitSupp. US-, britische und australische Sanktionsbehörden verhängten Vermögenssperren und Einreiseverbote gegen ihn. Eine Grand Jury in New Jersey erhob Anklage in 26 Punkten, Höchststrafe 185 Jahre Haft. Das US-Außenministerium setzte eine Belohnung von bis zu 10 Millionen Dollar aus. LockBit soll zwischen 2019 und 2024 mehr als 2.500 Opfer in mindestens 120 Ländern angegriffen haben.

Khoroshev wurde nach der Anklage nicht festgenommen und hält sich vermutlich in Russland auf, das keine Auslieferungsabkommen mit den USA hat. Ein Gerichtsurteil steht aus, es gilt die Unschuldsvermutung. Angaben zur Gesamtschadenssumme schwanken zwischen über 500 Millionen und über 1 Milliarde Dollar.

Die niederländische Großbank ING einigte sich am 04.09.2018 mit der Staatsanwaltschaft auf eine Zahlung von 775 Millionen Euro, davon 675 Millionen Euro Geldbuße und 100 Millionen Euro Gewinnabschöpfung. Grund waren strukturelle Mängel bei der Geldwäscheprävention zwischen 2010 und 2016, darunter unzureichende Kundenprüfung und ausgebliebene Verdachtsmeldungen. Es handelte sich um einen außergerichtlichen Vergleich ohne Gerichtsverfahren, die Summe war zum Zeitpunkt der Einigung der höchste jemals in den Niederlanden verhängte Betrag in einem Strafverfahren.

Nicht Bestandteil des Settlements war eine strafrechtliche Verurteilung der Bank selbst, viele Einzelheiten zu konkreten Geldwäschefällen sind dadurch nicht öffentlich nachvollziehbar. Die Staatsanwaltschaft sprach nur von hunderten Millionen Euro inkriminierter Gelder, ohne präzise Summe. Strafrechtliche Ermittlungen gegen einzelne frühere Manager liefen separat weiter, ihr Ausgang ist in dieser Quelle nicht dokumentiert.

Am 30.06.2014 einigte sich BNP Paribas mit dem US-Justizministerium und weiteren Behörden auf eine Gesamtstrafe von 8,9736 Milliarden Dollar. Die Bank bekannte sich schuldig, zwischen 2004 und 2012 vorsätzlich Transaktionen für Kunden in Sudan, Iran und Kuba über das US-Finanzsystem abgewickelt zu haben. Richterin Lorna Schofield verhängte das Urteil formell am 01.05.2015 in Manhattan. Es war die höchste je in einem US-Strafverfahren verhängte Geldstrafe und die erste Verurteilung eines Finanzinstituts wegen Verstößen gegen US-Wirtschaftssanktionen. BNP Paribas musste zusätzlich 13 verantwortliche Mitarbeiter entlassen.

Kein einzelner Bankmanager wurde in diesem Verfahren strafrechtlich angeklagt, es blieb bei der Entlassung von 13 Mitarbeitern. Das Gesamtvolumen der über Jahre abgewickelten sanktionierten Transaktionen wird in Sekundärquellen uneinheitlich beziffert, teils mit über 30 Milliarden, teils mit bis zu rund 190 Milliarden Dollar. Ob seither ein höheres Sanktionsbußgeld gegen ein Finanzinstitut verhängt wurde, ist in verfügbaren Quellen unterschiedlich bewertet.

Im Juni 2025 nutzten Betrüger eine technische Störung der pushTAN-App der Sparkassen aus, um per gefälschten SMS Kunden zur Preisgabe von Zugangsdaten und TANs zu bewegen. Zudem dokumentierte die Kanzlei Quishing-Angriffe mit gefälschten QR-Codes sowie Phishing-Mails ohne persönliche Kundenansprache. Das Landgericht Köln verurteilte 2023 eine Sparkasse zur Rückzahlung von 9.933,38 Euro, da die per Phishing veranlasste Zahlung nach Paragraf 675u BGB nicht autorisiert war.

Eine bundesweite Gesamtschadenssumme für die Phishing-Welle 2025 gegen Sparkassen-Kunden ist nicht dokumentiert. Ob die Ausnutzung der pushTAN-Störung im Juni 2025 einer koordinierten Tätergruppe zuzurechnen ist, bleibt unklar.