Quellen-Tabelle

Am 24. Oktober 2017 begann eine Ransomware-Angriffswelle namens Bad Rabbit, die vor allem Russland und die Ukraine traf, mit vereinzelten Meldungen auch aus der Türkei, Bulgarien, Deutschland und Japan. Zu den bekanntesten Opfern zählten die russische Nachrichtenagentur Interfax, die Kiewer Metro, der Flughafen Odessa sowie das ukrainische Infrastruktur- und Finanzministerium. Die Schadsoftware wurde über kompromittierte, überwiegend russische Nachrichten-Websites per Drive-by-Download verbreitet und gab sich als gefälschtes Adobe-Flash-Installationsprogramm aus. Innerhalb von Firmennetzwerken verbreitete sich Bad Rabbit zusätzlich über den Exploit EternalRomance, der auf durchgesickerten NSA-Werkzeugen basiert. Die Ransomware verschlüsselte Dateien mit AES-128 und ganze Festplattenpartitionen mittels DiskCryptor-Treiber. Die Angreifer forderten ein Lösegeld von 0,05 Bitcoin, umgerechnet rund 280 US-Dollar. Laut Telemetriedaten von Kaspersky wurden knapp 200 Ziele registriert. Sicherheitsforscher von Kaspersky und ESET stellten Code-Überschneidungen zwischen Bad Rabbit und NotPetya fest. Im Oktober 2018 ordnete die britische Regierung den Angriff gemeinsam mit NotPetya dem russischen Militärgeheimdienst GRU zu.

Die genaue Zahl tatsächlich verschlüsselter Systeme sowie der finanzielle Gesamtschaden sind aus dieser Quelle nicht beziffert. Die spätere Zuschreibung an den russischen Militärgeheimdienst GRU wurde von Russland zurückgewiesen und nie in einem Gerichtsverfahren festgestellt.

Ab dem 27.04.2007, unmittelbar nach der Verlegung des sowjetischen Bronzenen Soldaten von Tallinn vom Stadtzentrum an einen Militärfriedhof, wurde Estland rund drei Wochen lang Ziel koordinierter Distributed-Denial-of-Service-Angriffe. Betroffen waren die Webseiten des Parlaments Riigikogu, des Präsidialamts, mehrerer Ministerien, politischer Parteien, Banken sowie Zeitungen und Rundfunksender. Die Angriffe reichten von einfachen Ping-Fluten einzelner Nutzer bis zu gemieteten Botnetzen. Die estnische Polizei leitete am 02.05.2007 Ermittlungen ein. Am 24.01.2008 wurde der estnische Staatsbürger russischer Abstammung Dmitri Galushkevich als bislang einzige verurteilte Einzelperson zu einer Geldstrafe von 17.500 estnischen Kronen, umgerechnet rund 1.640 US-Dollar, verurteilt. Am 10.03.2009 bekannte sich Konstantin Goloskokow, ein Funktionär der russischen Jugendorganisation Nashi, öffentlich zur Mitverantwortung für einen Teil der Angriffe. Russland wies eine staatliche Beteiligung zurück und verweigerte estnischen Behörden Rechtshilfe. Als Folge der Angriffe gründete die NATO im Mai 2008 in Tallinn das Cooperative Cyber Defence Centre of Excellence.

Eine direkte Verantwortung der russischen Staatsführung für die Angriffe wurde weder von der NATO noch von der Europäischen Kommission abschließend nachgewiesen. Die einzige strafrechtliche Verurteilung betraf einen Einzeltäter mit vergleichsweise geringer Geldstrafe.

Der Bundestag beschloss am 20.05.2021 das Zweite Gesetz zur Änderung mautrechtlicher Vorschriften, mit dem erstmals eine Ausnahme von der bis dahin strikten Zweckbindung der Lkw-Mautdaten eingeführt wurde. Erfasste Kennzeichen und Positionsdaten aus der Mauterhebung dürfen seither auch zur Verfolgung von Kabotage-Verstößen genutzt werden. Der Bundesdatenschutzbeauftragte Ulrich Kelber kritisierte die Änderung öffentlich als Dammbruch und bezweifelte zudem die Eignung der Daten für diesen Zweck.

Nicht dokumentiert ist, in welchem Umfang die neue Ausnahme in der Praxis tatsächlich zur Kabotage-Verfolgung genutzt wurde. Die seit Jahren separat geführte politische Debatte um eine weitergehende Öffnung der Mautdaten für die Verfolgung schwerer Straftaten wie Mord ließ sich in den verfügbaren Quellen nicht als tatsächlich verabschiedete Gesetzesänderung von 2023/2024 bestätigen, sie blieb bislang Gegenstand von Forderungen einzelner Landesjustizminister.

CISA, NSA und FBI bestätigten gemeinsam mit internationalen Partnern, dass die chinesische staatlich gesteuerte Gruppe Volt Typhoon seit mindestens 2021 in IT-Netzwerke kritischer US-Infrastruktur eingedrungen ist, darunter Kommunikation, Energie, Transport sowie Wasser und Abwasser. Die Gruppe nutzt fast ausschließlich bereits vorhandene Systemwerkzeuge und kompromittierte Router und VPN-Gateways von Herstellern wie Fortinet, Ivanti und Cisco, um sich als legitimer Administrationsverkehr zu tarnen. Laut Behörden diente der Zugriff der Vorbereitung auf mögliche disruptive Angriffe im Falle einer größeren Krise oder eines Konflikts mit den USA.

Offen bleibt, wie lange genau und in welchem Umfang Volt Typhoon in einzelnen konkreten Anlagen aktiv war, da die Behörden aus Sicherheitsgründen keine vollständige Liste betroffener Betreiber veröffentlichten. Nicht belegt ist, dass es tatsächlich zu einer Sabotage oder Störung von Stromnetz, Wasser- oder Transportsystemen kam. China bestreitet die Vorwürfe offiziell weiterhin, eine unabhängige gerichtliche Feststellung der Urheberschaft steht aus.

Belgische, französische und niederländische Ermittler entschlüsselten ab Februar 2021 mit Unterstützung von Europol und Eurojust den verschlüsselten Messengerdienst Sky ECC, der von organisierten Kriminellen genutzt wurde. Nach Eurojust-Angaben wurden rund 70.000 Nutzerkonten überwacht und täglich etwa 3 Millionen Nachrichten mitgelesen, was zur Aufdeckung von über hundert geplanten Großverbrechen führte. Am Aktionstag vom 9. März 2021 folgten zahlreiche Festnahmen und Durchsuchungen in Belgien und den Niederlanden.

Die genaue technische Methode der Entschlüsselung wurde von den Behörden nicht vollständig offengelegt. Die rechtliche Zulässigkeit der Beweismittel aus der Massenüberwachung wird in mehreren Staaten weiterhin vor Gericht angefochten, unter anderem in den USA. Die exakte Gesamtzahl aller im Rahmen der Operation weltweit entschlüsselten Nachrichten und Verurteilungen ist nicht abschließend dokumentiert.

Das LKA NRW hat mit SKALA (System zur Kriminalitätsauswertung und Lageantizipation) ein Predictive-Policing-System entwickelt, das raumbezogene Kriminalitätsdaten zu Wohnungseinbrüchen, Kfz-Delikten und Gewerbeobjekteinbrüchen auswertet. Nach einem mehrjährigen Pilotversuch in sechs Kreispolizeibehörden ist SKALA seit 2021 flächendeckend in allen Kreispolizeibehörden Nordrhein-Westfalens im Einsatz. Das LKA NRW informiert die Behörden wöchentlich über die vom System berechneten Risikogebiete.

Nicht belegt ist, in welchem Umfang SKALA tatsächlich zu weniger Einbrüchen geführt hat. Unabhängige Studien zu deutschen Predictive-Policing-Systemen attestieren allgemein einen fehlenden wissenschaftlichen Wirksamkeitsnachweis und kritisieren die mangelnde Transparenz der zugrunde liegenden Algorithmen. Offen bleibt zudem, ob die Risikoprognosen zu verstärkter Polizeikontrolle bestimmter Stadtteile und damit zu Verzerrungseffekten führen.

Der Staatsrat der Volksrepublik China veröffentlichte am 14.06.2014 die Planungsübersicht zum Aufbau eines Sozialkreditsystems für den Zeitraum 2014 bis 2020. Das Dokument benennt vier Säulen: Integrität der Regierungsführung, Integrität im Handel, gesellschaftliche Integrität und Vertrauenswürdigkeit der Justiz. Es schreibt branchenweite Schwarze Listen, Marktausschlussmechanismen, ressortübergreifende gemeinsame Belohnungs- und Bestrafungsverfahren sowie einheitliche Kreditkodierungen für natürliche und juristische Personen vor.

Das Gründungsdokument selbst sieht keinen einheitlichen landesweiten Punktescore für alle Bürger vor, wie ihn westliche Berichterstattung häufig suggeriert. Analysen des China-Instituts MERICS zeigen, dass die tatsächliche Umsetzung bis heute in zahlreiche lokale Pilotprojekte zersplittert blieb und deutlich weniger digitalisiert ist als oft dargestellt. Wie einheitlich die vorgesehenen Sanktionen in der Praxis über verschiedene Provinzen und Städte hinweg angewendet werden, ist aus dieser Primärquelle allein nicht abschließend belegt.

Die US-Einwanderungsbehörde ICE beauftragte Palantir Technologies im April 2025 mit einem rund 30 Millionen US-Dollar schweren Vertrag zum Aufbau des Systems ImmigrationOS, das Identifizierung, Priorisierung, Festnahme und Abschiebung ausreisepflichtiger Personen effizienter gestalten soll. Das System bündelt Daten aus Behörden, kommerziellen Datenhändlern für Standortdaten sowie den Analysewerkzeugen Webloc und Tangles des Zulieferers Penlink. Im Januar 2026 vergab ICE den Anschlussvertrag zur Weiterentwicklung des zugrunde liegenden Fallmanagementsystems ICM exklusiv an Palantir.

Ob die von der ICE-Rechtsabteilung vertretene Position, wonach für den Zugriff auf gekaufte Standortdaten kein richterlicher Beschluss nötig sei, vor Gericht Bestand hätte, ist rechtlich umstritten und aus dieser Quelle nicht abschließend geklärt. Ob vergleichbare Penlink-Werkzeuge auch in Deutschland eingesetzt werden, ließ die Bundesregierung unter Verweis auf die nationale Sicherheit offen.

Die irische Datenschutzbehörde DPC reichte am 8. August 2024 erstmals unter Section 134 des Data Protection Act 2018 eine Eilklage beim High Court gegen X ein, weil öffentliche Posts von EU/EWR-Nutzern ohne ausreichende Rechtsgrundlage zum Training der KI Grok verwendet wurden. Twitter International Unlimited Company gab eine dauerhafte Verpflichtungserklärung ab, Daten aus dem Zeitraum 7. Mai bis 1. August 2024 zu löschen und nicht mehr zu verarbeiten, woraufhin das Verfahren am 4. September 2024 eingestellt wurde.

Weder die DPC noch das Gericht haben eine konkrete Zahl betroffener EU-Nutzer oder verarbeiteter Posts genannt. Offen bleibt zudem, ob und in welchem Umfang die bereits vor dem 7. Mai 2024 gesammelten Daten tatsächlich in das Grok-Modell eingeflossen sind, da es zu keiner inhaltlichen gerichtlichen Feststellung einer DSGVO-Verletzung kam, sondern nur zu einer außergerichtlichen Unterwerfungserklärung von X.

Am 2. Juli 2021 nutzte die Gruppe REvil eine Schwachstelle (CVE-2021-30116) in der Kaseya-VSA-Software aus, um über ein manipuliertes Update Ransomware an IT-Dienstleister und deren Kunden zu verteilen. CISA und FBI bestätigten den Vorfall offiziell und Kaseya selbst gab an, dass bis zu etwa 60 direkte Kunden und in der Folge bis zu 1500 nachgelagerte Unternehmen betroffen waren. REvil forderte öffentlich 70 Millionen US-Dollar Lösegeld, und Kaseya erhielt am 23. Juli 2021 von einer nicht näher benannten Quelle einen universellen Entschlüsselungscode, ohne nach eigenen Angaben zu zahlen.

Offen bleibt, wie genau der universelle Entschlüsselungscode zustande kam und ob im Hintergrund doch eine Zahlung floss, da Kaseya dies nur allgemein dementierte. Die genaue Gesamtzahl der tatsächlich verschlüsselten Endkunden weltweit wurde nie abschließend verifiziert. Auch die exakte Schadenssumme bei den betroffenen Unternehmen wurde nicht offiziell beziffert.

Der weltgrößte Fleischverarbeiter JBS wurde am 30./31. Mai 2021 Opfer eines Ransomware-Angriffs, der die Produktion an Standorten in den USA, Kanada und Australien für mehrere Tage lahmlegte. JBS USA bestätigte am 9. Juni 2021, den Angreifern rund 11 Millionen US-Dollar gezahlt zu haben, um mögliche Risiken für Kunden und einen Datenabfluss zu vermeiden. Das FBI attribuierte den Angriff der russischsprachigen Gruppe REvil (Sodinokibi).

Nicht abschließend belegt ist, in welcher Zahlungsform das Lösegeld genau übermittelt wurde und ob tatsächlich Daten exfiltriert wurden. Offen bleibt zudem der genaue technische Einstiegsvektor der Angreifer sowie ob und in welchem Umfang Mitglieder der REvil-Gruppe strafrechtlich belangt wurden.

Capital One bestätigte am 29. Juli 2019 offiziell, dass am 22. und 23. März 2019 eine Außenstehende eine falsch konfigurierte Firewall einer Cloud-Infrastruktur ausnutzte und Daten von rund 100 Millionen US-Kunden sowie 6 Millionen kanadischen Kunden erlangte, darunter Namen, Adressen, Geburtsdaten, Kreditwerte sowie etwa 140.000 Sozialversicherungsnummern und 80.000 Bankverbindungen. Die vom FBI festgenommene Täterin, die ehemalige AWS-Mitarbeiterin Paige Thompson, wurde im Juni 2022 von einer Jury wegen Wire Fraud und unbefugten Zugriffs auf geschützte Computer für schuldig befunden.

Nicht abschließend geklärt bzw. von Capital One selbst als unwahrscheinlich eingestuft ist, ob die abgegriffenen Daten tatsächlich für Betrug genutzt oder weiterverbreitet wurden. Die Jury sprach Thompson zudem vom Vorwurf des Access Device Fraud und der schweren Identitätsfälschung frei, was zeigt, dass nicht alle Anklagepunkte gerichtlich bestätigt wurden.

Ein Angreifer kaufte das kompromittierte Passwort eines externen Uber-Vertragspartners im Darknet und erzwang per MFA-Fatigue-Angriff sowie einer als IT-Support getarnten WhatsApp-Nachricht die Freigabe eines Zwei-Faktor-Logins. Damit erlangte er Zugriff auf interne Systeme wie Slack, G-Suite, das Finanz-Tool und HackerOne-Berichte und postete eine Nachricht im firmenweiten Slack-Kanal. Uber bestätigte die Zuordnung zur Gruppe Lapsus$ sowie den Zugriff auf interne Kommunikation und Finanzdaten, erklärte aber, dass Produktivsysteme, Nutzerkonten, Kreditkarten- und Fahrtdaten sowie AWS-S3-Speicher nicht betroffen waren.

Offen bleibt, ob die eingesehenen HackerOne-Schwachstellenberichte vom Angreifer weiterverkauft oder an Dritte weitergegeben wurden. Die genaue Identität des Angreifers sowie eine feste organisatorische Zugehörigkeit zu Lapsus$ sind nicht abschließend gerichtlich geklärt. Das volle Ausmaß der eingesehenen internen Daten jenseits der von Uber benannten Kategorien ist nicht unabhängig verifiziert.

Die US-Handelsaufsicht FTC einigte sich am 19. Dezember 2022 mit Epic Games, dem Hersteller von Fortnite, auf Zahlungen von insgesamt 520 Millionen US-Dollar. Davon entfielen 275 Millionen Dollar auf ein Bußgeld wegen Verstößen gegen das Kinderschutzgesetz COPPA, da Fortnite Daten von Kindern unter 13 Jahren ohne überprüfbare Elterneinwilligung sammelte und Text- sowie Sprachchat standardmäßig aktiviert waren. Weitere 245 Millionen Dollar musste Epic als Rückerstattung an Nutzer zahlen, die durch irreführende Bedienelemente zu ungewollten Käufen verleitet wurden.

Aus der Quelle geht nicht hervor, wie viele der betroffenen Kinder und Jugendlichen die zugesagten Rückerstattungen tatsächlich erhalten haben. Epic Games räumte im Vergleich kein rechtswidriges Verhalten ein, sondern einigte sich ohne Schuldeingeständnis mit der Behörde.

Am 24.09.2014 wurde die von Stephane Chazelas entdeckte Sicherheitslücke Shellshock in der Unix-Shell Bash öffentlich bekannt und als CVE-2014-6271 registriert, vom NIST mit dem höchsten Schweregrad CVSS 10 von 10 eingestuft. Die Lücke betraf fast alle Linux-Distributionen und Mac OS und erlaubte durch fehlerhafte Verarbeitung von Funktionsdefinitionen in Umgebungsvariablen die Ausführung von Schadcode aus der Ferne, besonders gefährlich für Webserver mit CGI-Skripten und OpenSSH-Zugriffe. Ubuntu, Red Hat, Debian, Fedora und openSUSE veröffentlichten Patches, wobei der erste Patch weitere Schwachstellen wie CVE-2014-7169 offenließ.

Wie viele Systeme vor der öffentlichen Bekanntgabe bereits tatsächlich angegriffen wurden, ist nicht dokumentiert, da Ausnutzung über Umgebungsvariablen kaum eindeutige Spuren hinterlässt. Eine belastbare Gesamtzahl weltweit betroffener oder kompromittierter Server liegt ebenfalls nicht vor.

Im Dezember 2017 entdeckten deutsche Sicherheitsbehörden Schadsoftware im Regierungsnetz IVBB, das Kanzleramt, Ministerien und Sicherheitsbehörden verbindet. Zunächst wurde die russische Gruppe APT28 verdächtigt, spätere Ermittlungen deuteten stattdessen auf die seit 2005 aktive Gruppe Snake (auch Turla oder Uroburos genannt) hin, die weltweit Regierungsstellen angreift. Laut Ermittlern erbeuteten die Angreifer eine einstellige Anzahl von Dokumenten aus dem Referat für Russland und Osteuropa des Auswärtigen Amts.

Wie lange die Angreifer tatsächlich Zugriff hatten, wird unterschiedlich geschätzt und reicht bis zu einem Jahr, eine belastbare Zahl fehlt. Der genaue Inhalt der entwendeten Dokumente wurde nie öffentlich gemacht und eine gerichtsfeste Zuordnung zu einem russischen Staatsauftrag gab es nicht.

Das BSI dokumentierte im Lagebericht 2014 einen der ersten offiziell bestätigten Fälle eines Cyberangriffs mit physischem Schaden an einer Industrieanlage. Angreifer verschafften sich per Spear-Phishing Zugang zum Büronetz eines deutschen Stahlwerks und drangen von dort in die Steuerungssysteme der Produktion vor. Dadurch konnte ein Hochofen nicht geregelt heruntergefahren werden und wurde massiv beschädigt.

Welches Stahlwerk konkret betroffen war, gibt das BSI aus Vertraulichkeitsgründen bis heute nicht bekannt. Auch die Identität der Angreifer, das genaue Angriffsdatum und die exakte Schadenshöhe wurden nie offiziell veröffentlicht. Das BSI bewertete die technischen Fähigkeiten der Täter lediglich als sehr fortgeschritten, ohne dies weiter zu belegen.

Am 15. August 2012 legte die Schadsoftware Shamoon rund 30.000 von etwa 40.000 Windows-Arbeitsplatzrechnern beim saudischen Ölkonzern Saudi Aramco lahm. Die Malware überschrieb Dateien und den Master Boot Record und machte die Rechner unbrauchbar. Aramco bestätigte den Vorfall offiziell und erklärte, die isolierten Förder- und Produktionssysteme seien nicht betroffen gewesen, das interne Netzwerk sei bis zum 25. August wiederhergestellt worden.

Eine bis dahin unbekannte Gruppe namens Cutting Sword of Justice bekannte sich zu der Tat, eine belastbare technische Zurechnung zu ihr gelang nie. Spätere Vermutungen anonymer US-Regierungsvertreter, der Iran stecke als Vergeltung für Stuxnet dahinter, blieben unbelegte Einschätzungen ohne veröffentlichte Beweise.

Der Programmierer und Aktivist Aaron Swartz wurde am 06.01.2011 von MIT-Polizei und US Secret Service festgenommen, nachdem er über das MIT-Netzwerk rund 4,8 Millionen Artikel aus der Datenbank JSTOR heruntergeladen hatte. Eine Grand Jury klagte ihn wegen Betrugs und mehrfachen Verstößen gegen den Computer Fraud and Abuse Act an, im September 2012 folgte eine erweiterte Anklage mit 13 Punkten und einer theoretischen Höchststrafe von bis zu 35 Jahren Haft. Der Untersuchungsbericht bestätigt, dass MIT selbst keine Strafverfolgung forderte, aber Netzwerkprotokolle an die Ermittler übergab, und dass Swartz sich am 11.01.2013 während des laufenden Verfahrens das Leben nahm, woraufhin die Anklage fallen gelassen wurde.

Der MIT-Bericht bewertet die eigene Rolle des Instituts kritisch, spricht aber keine abschließende juristische Schuldzuweisung aus. Ob eine andere Reaktion von MIT oder der Datenbankbetreiberin JSTOR den Ausgang verändert hätte, bleibt offen. Welche konkreten Pläne Swartz mit den heruntergeladenen Artikeln verfolgte, ist nicht abschließend dokumentiert.

Die frühere US-Armeeanalystin Chelsea Manning wurde 2013 von einem Militärgericht verurteilt, weil sie rund 750.000 geheime Militär- und Diplomatendokumente sowie ein Hubschrauber-Angriffsvideo aus Bagdad an WikiLeaks weitergegeben hatte. Sie erhielt 35 Jahre Haft, die höchste je in den USA für eine Geheimnisweitergabe an Medien verhängte Strafe, wurde jedoch vom schwersten Vorwurf der Feindbegünstigung freigesprochen. Präsident Barack Obama wandelte die Strafe im Januar 2017 um, sodass Manning am 17. Mai 2017 nach knapp sieben Jahren Haft entlassen wurde.

Offen bleibt, in welchem konkreten Ausmaß die Leaks tatsächlich Informanten oder Militäroperationen gefährdeten, die US-Regierung behauptete dies, Menschenrechtsorganisationen bestritten belastbare Beweise dafür. Nicht abschließend juristisch aufgearbeitet sind die von UN-Sonderberichterstattern kritisierten Haftbedingungen Mannings, darunter monatelange Einzelhaft.

Reuters enthüllte am 21.12.2013, dass die NSA rund 10 Millionen Dollar an RSA Security zahlte, damit der Zufallszahlengenerator Dual_EC_DRBG als Standardeinstellung im BSafe-Toolkit verankert wurde. Sicherheitsforscher hatten die Schwachstelle des Generators bereits 2007 aufgezeigt, nach den Snowden-Leaks 2013 riet RSA seinen Kunden offiziell von der weiteren Nutzung ab.

RSA bestritt öffentlich, wissentlich eine Hintertür eingebaut zu haben, und erklärte, die Entscheidung von 2004 sei Teil eines branchenweiten Standardisierungsprozesses gewesen. Ob RSA zum Zeitpunkt der Vereinbarung tatsächlich um die Backdoor-Eigenschaft wusste, bleibt bis heute umstritten und ist nicht abschließend belegt.

Am 1. August 2024 trat die EU-Verordnung über Künstliche Intelligenz, Verordnung (EU) 2024/1689, in Kraft, nachdem sie am 12. Juli 2024 im Amtsblatt der EU veröffentlicht worden war. Die EU-Kommission bezeichnet sie offiziell als weltweit erstes umfassendes Rechtsrahmenwerk für KI. Die Pflichten gelten gestaffelt: Verbote bestimmter KI-Praktiken wie Social Scoring ab dem 2. Februar 2025, Governance-Regeln und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck ab dem 2. August 2025.

Offen bleibt, bis wann die Pflichten für Hochrisiko-KI-Systeme in Bereichen wie Bildung, Beschäftigung oder Migration vollständig greifen, da die Kommission über das separat verhandelte Digital-Omnibus-Paket Verschiebungen dieser Fristen vorschlägt. Wie streng die nationalen Marktüberwachungsbehörden die Vorgaben in der Praxis durchsetzen und mit welchen Bußgeldern, ist zum Erfassungszeitpunkt noch nicht erprobt.

In der Nacht vom 7. auf den 8. November 2021 griff die Ransomware-Gruppe Hive die IT-Infrastruktur der MediaMarktSaturn Retail Group an und verschlüsselte nach Unternehmensangaben rund 3100 Windows-Server. Betroffen waren Filialen und nationale Gesellschaften in 13 europäischen Ländern, Kassen- und Warenwirtschaftssysteme fielen zeitweise aus, während die Online-Shops weiterliefen. Die Angreifer forderten laut späteren Medienberichten zunächst 240 Millionen US-Dollar Lösegeld, was auf rund 50 Millionen US-Dollar reduziert wurde.

Offen bleibt, ob MediaMarktSaturn tatsächlich Lösegeld gezahlt hat und in welcher Höhe. Der genaue technische Einstiegsweg der Hive-Gruppe in das Firmennetz ist öffentlich nicht dokumentiert. Unklar blieb zum Zeitpunkt der Berichterstattung zudem, ob und in welchem Umfang die Angreifer tatsächlich Daten entwendet und veröffentlicht haben.

Der Automobilzulieferer Continental wurde im Sommer 2022 von der Ransomware-Gruppe LockBit angegriffen, die rund 40 Terabyte an Daten erbeutete. Betroffen waren Unternehmens- und Kundendaten sowie personenbezogene Informationen einer niedrigen bis mittleren fünfstelligen Zahl von Beschäftigten, weshalb Continental Zehntausende DSGVO-Informationsschreiben verschickte. LockBit forderte zunächst 50 Millionen US-Dollar Lösegeld, das Unternehmen erklärte, sich nicht erpressen lassen zu wollen.

Der genaue finanzielle Schaden und der exakte Umfang der tatsächlich veröffentlichten Daten sind nicht öffentlich bestätigt. Unklar bleibt auch, ob und in welchem Umfang die Lösegeldforderung letztlich verhandelt oder bezahlt wurde.

Die US-Bastelmarktkette Michaels bestätigte am 17. April 2014 offiziell, dass Schadsoftware auf den Kassensystemen ihrer Filialen installiert war und dort zwischen dem 8. Mai 2013 und dem 27. Januar 2014 Zahlungskartendaten von rund 2,6 Millionen Karten abgriff. Bei der Tochterkette Aaron Brothers waren zusätzlich zwischen dem 26. Juni 2013 und dem 27. Februar 2014 rund 400.000 Karten betroffen, insgesamt also etwa 3 Millionen Kartendatensätze. Michaels erklärte, es seien nur Kartennummern und Ablaufdaten entwendet worden, nicht jedoch Namen, Adressen oder PINs.

Die genaue Identität der Angreifer und der exakte Infektionsweg der Malware in die Kassensysteme wurden in der Quelle nicht benannt. Offen blieb zudem, ob und in welchem Umfang die gestohlenen Kartendaten tatsächlich für Betrug genutzt wurden, auch wenn Michaels vereinzelte Betrugsmeldungen von Banken erwähnte.