Quellen-Tabelle

Der Bundestag verabschiedete am 25.03.2021 die Novelle des BND-Gesetzes als gesetzliche Reaktion auf das BVerfG-Urteil vom 19.05.2020, das die bisherige Ausland-Ausland-Fernmeldeaufklärung des BND für verfassungswidrig erklärt hatte. Das neue Gesetz erlaubt dem BND laut netzpolitik.org das Abhören großer Teile der weltweiten Telekommunikationsnetze sowie das Eindringen in IT-Systeme von Kommunikationsanbietern, zugleich wurde ein unabhängiger Kontrollrat als Aufsichtsbehörde eingeführt. Bundespräsident Steinmeier unterzeichnete das Gesetz am 19.04.2021.

In welchem tatsächlichen Umfang der BND die 2021 neu geschaffenen Befugnisse seither nutzt, geht aus den verfügbaren Quellen nicht hervor. Ob der neue Kontrollrat die vom Bundesverfassungsgericht geforderte wirksame Kontrolle in der Praxis sicherstellt, ist nicht belegt.

Die Berliner Datenschutzbeauftragte verhängte im August 2019 Bußgelder von insgesamt 195.407 Euro gegen die Delivery Hero Germany GmbH, zu der die Marken Lieferheld, Pizza.de und foodora gehörten. In zehn Fällen hatte das Unternehmen Konten ehemaliger Kunden trotz jahrelanger Inaktivität nicht gelöscht, in einem Fall seit 2008. Acht Kunden erhielten trotz Widerspruchs weiter Werbe-E-Mails, in fünf Fällen kam das Unternehmen Auskunftsersuchen nicht oder erst nach Einschreiten der Behörde nach. Der neue Eigentümer Takeaway.com akzeptierte die Bescheide ohne Rechtsmittel.

Die Pressemitteilung nennt kein exaktes Tagesdatum des Bußgeldbescheids innerhalb des Monats August 2019. Wie viele Kundenkonten insgesamt von dem Löschproblem betroffen waren, ist nicht erkennbar, da die genannten Fälle auf konkreten Beschwerden beruhen.

Die Hackergruppe Lapsus$ erlangte zwischen dem 16. und 21.01.2022 per Remote-Desktop-Zugriff Kontrolle über den Laptop eines Kundensupport-Mitarbeiters des Okta-Subunternehmers Sitel. Der Angreifer hatte laut Okta insgesamt nur 25 zusammenhängende Minuten aktive Kontrolle und konnte über eingeschränkte Support-Rechte weder Nutzer anlegen noch auf Quellcode zugreifen. Nach Oktas Auswertung waren maximal 366 Kunden, rund 2,5 Prozent der Kundenbasis, potenziell betroffen.

Wie das Konto des Sitel-Mitarbeiters ursprünglich kompromittiert wurde, bleibt offen. Der vollständige forensische Bericht der von Sitel beauftragten externen Firma wurde nicht veröffentlicht, Okta erhielt ihn erst am 22.03.2022, rund zwei Monate nach dem Vorfall.

Am 27.06.2017 begann sich die als Ransomware getarnte Schadsoftware NotPetya ausgehend von einem kompromittierten Update der ukrainischen Steuersoftware M.E.Doc weltweit zu verbreiten. Die Malware nutzte den NSA-Exploit EternalBlue und traf neben ukrainischen Zielen unter anderem die Reederei Maersk, den Pharmakonzern Merck und den FedEx-Ableger TNT Express. Der weltweite Gesamtschaden wird auf mehr als 10 Milliarden US-Dollar geschätzt, das Weiße Haus ordnete den Angriff am 15.02.2018 offiziell dem russischen Militär (GRU-Einheit Sandworm) zu.

Die genaue Zahl weltweit betroffener Systeme ist nicht abschließend beziffert. Eine strafrechtliche Verurteilung konkreter russischer Verantwortlicher ist öffentlich nicht bekannt, die Zuordnung stützt sich auf Geheimdienstbewertungen, nicht auf ein Gerichtsurteil.

Am 12.05.2017 verbreitete sich die Ransomware WannaCry weltweit unter Ausnutzung der Windows-Schwachstelle EternalBlue, eines von der NSA entwickelten und von der Gruppe Shadow Brokers veröffentlichten Angriffswerkzeugs. Laut National Audit Office waren mindestens 81 von 236 NHS-Trusts in England sowie 603 weitere NHS-Einrichtungen betroffen, mehr als 19.000 Termine mussten abgesagt werden. Ein Sicherheitsforscher stoppte die weitere Ausbreitung durch Aktivierung eines im Schadcode enthaltenen Kill-Switch.

Die genaue Gesamtzahl weltweit infizierter Computer wird unterschiedlich beziffert, häufig zwischen 200.000 und 300.000 Systemen. Die Zuschreibung an die nordkoreanische Lazarus-Gruppe erfolgte erst im Dezember 2017, also nach Veröffentlichung des hier zitierten Berichts.

Am Abend des 03.11.2021 verschaffte sich ein Unbefugter durch telefonisches Social Engineering Zugang zu internen Kundendienstsystemen von Robinhood. Dabei wurden E-Mail-Adressen von rund fünf Millionen Personen sowie vollständige Namen von rund zwei Millionen weiteren Personen erbeutet, bei etwa 310 Kunden zusätzlich Geburtsdatum und Postleitzahl. Nach der Eindämmung forderte der Angreifer eine Erpressungszahlung, Robinhood informierte Strafverfolgungsbehörden und beauftragte Mandiant.

Ob und in welcher Höhe die geforderte Erpressungssumme gezahlt wurde, ist nicht öffentlich dokumentiert. Die Identität des Angreifers sowie Details zur genauen Angriffstechnik wurden von Robinhood nicht offengelegt.

Am 19.03.2019 wurde der norwegische Aluminiumkonzern Norsk Hydro von der Ransomware LockerGoga getroffen. Der Angriff betraf alle rund 35.000 Mitarbeitenden in 40 Ländern und zwang mehrere Werke zu manuellem Betrieb, Produktionsausfälle dauerten teils fast eine Woche. Das Unternehmen zahlte kein Lösegeld, stellte Systeme aus Backups wieder her und kommunizierte öffentlich ungewöhnlich offen mit täglichen Pressekonferenzen.

Eine zweifelsfrei bestätigte Zuordnung des Angriffs zu einer bestimmten Tätergruppe liegt öffentlich nicht vor. Die konkrete finanzielle Gesamtschadenshöhe schwankt je nach Quelle zwischen rund 50 und über 70 Millionen US-Dollar.

GoDaddy legte in seinem am 16.02.2023 bei der SEC eingereichten Jahresbericht offen, dass ein im Dezember 2022 entdeckter Einbruch in die cPanel-Hosting-Umgebung Teil einer mehrjährigen Kampagne war. Das Unternehmen verknüpfte den Vorfall mit früheren Vorfällen aus März 2020 (rund 28.000 betroffene Kunden) und November 2021 (rund 1,2 Millionen betroffene Kunden). Die Angreifer installierten Malware auf Servern und erbeuteten Quellcode zu GoDaddy-Diensten.

Die Identität des oder der Angreifer ist nicht öffentlich dokumentiert. Der exakte Zeitpunkt des ursprünglichen Einbruchs innerhalb der Mehrjahresspanne sowie der vollständige Umfang des gestohlenen Quellcodes bleiben unklar.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, die Ransomware-Gruppe REvil alias Sodinokibi zerschlagen zu haben. Bei Razzien an 25 Adressen in Russland wurden 14 mutmaßliche Mitglieder festgenommen und mehr als 426 Millionen Rubel, 600.000 US-Dollar und 20 Luxusfahrzeuge beschlagnahmt. Laut FSB erfolgte die Aktion auf Ersuchen der US-Behörden, die Hinweise zum Anführer der Gruppe geliefert hatten.

Ob alle 14 Festgenommenen tatsächlich zum Kern von REvil gehörten, ist nicht öffentlich dokumentiert. Spätere Berichte deuten darauf hin, dass mehrere Festgenommene nur wegen geringerer Vorwürfe verurteilt oder wieder freigelassen wurden, eine umfassende strafrechtliche Aufarbeitung ist nicht belegt.

Die Ransomware-Gruppe Cl0p nutzte ab dem 27.05.2023 eine zuvor unbekannte SQL-Injection-Schwachstelle (CVE-2023-34362, CVSS 9.8) in der Managed-File-Transfer-Software MOVEit Transfer aus. Über einen eingeschleusten Webshell namens LEMURLOOT griff die Gruppe auf die MOVEit-Datenbanken zu und exfiltrierte Daten, ohne die Systeme zu verschlüsseln. CISA und das FBI veröffentlichten am 07.06.2023 die gemeinsame Warnung AA23-158A. Laut Emsisoft waren bis Ende 2023 rund 2.700 Organisationen und über 90 Millionen Einzelpersonen betroffen.

Die Gesamtzahl der betroffenen Organisationen beruht auf Zusammenstellungen einzelner Meldungen durch Sicherheitsfirmen, nicht auf einer amtlichen Gesamtstatistik. Dieser Fall betrifft ausschließlich die MOVEit-Transfer-Kampagne ab Mai 2023 und ist von der früheren, separaten GoAnywhere-MFT-Kampagne derselben Cl0p-Gruppe zu unterscheiden.

Am 05.02.2023 wurde ein Reddit-Mitarbeiter Opfer eines gezielten Phishing-Angriffs über eine gefälschte Intranet-Anmeldeseite, die Zugangsdaten und einen Zwei-Faktor-Code abgriff. Die Angreifer erhielten dadurch Zugang zu internen Dokumenten, Quellcode sowie internen Dashboards. Reddit erklärte, es gebe keine Hinweise auf einen Einbruch in die Produktivsysteme, Passwörter und Zahlungsdaten seien nicht betroffen gewesen.

Der genaue Umfang der entwendeten Daten bleibt offen, Reddit veröffentlichte keine konkrete Datenmenge. Die spätere Täterzuordnung zur Gruppe BlackCat/ALPHV mit rund 80 Gigabyte erbeuteter Daten wurde von Reddit nicht offiziell bestätigt.

In der Nacht vom 29. auf den 30.10.2023 griff die Ransomware-Gruppe Akira den kommunalen IT-Dienstleister Südwestfalen-IT an und verschlüsselte Teile der IT-Infrastruktur. Der Angriff legte die IT-Systeme von rund 72 Mitgliedskommunen in mehreren nordrhein-westfälischen Kreisen lahm, betroffen waren rund 1,7 Millionen Einwohner. Wochenlang fielen zahlreiche Bürgerdienste wie Kfz-Zulassung und Sozialleistungen aus. Nach ersten Erkenntnissen erfolgte der Zugriff über eine VPN-Lösung ohne Multifaktor-Authentifizierung.

Welche konkreten Personen oder Strukturen hinter der Gruppierung Akira stehen, ist nicht öffentlich dokumentiert. Ob eine Lösegeldforderung gestellt oder eine Zahlung geleistet wurde, wird in dieser Quelle nicht abschließend geklärt.

Ab dem Abend des 24.09.2019 legte ein Malware-Angriff die IT-Systeme mehrerer Werke der Rheinmetall-Automotive-Sparte in Brasilien, Mexiko und den USA lahm. Die Produktion an diesen Standorten war erheblich gestört. Rheinmetall bezifferte den möglichen wöchentlichen Ergebnisschaden ab der zweiten Woche auf 3 bis 4 Millionen Euro und rechnete mit einer Wiederherstellung innerhalb von zwei bis vier Wochen. Die übrigen Konzern-IT-Systeme sowie die Rüstungssparte blieben laut Unternehmensangaben unberührt.

Rheinmetall bestätigte weder die genaue Art der Schadsoftware noch, ob es sich um verschlüsselnde Ransomware handelte. Ein separater, ähnlich gelagerter Ransomware-Angriff auf Rheinmetall im Jahr 2020 ließ sich in der Recherche nicht verifizieren, dieser 2019er Fall ist die dokumentierte Entsprechung.

Am 23.07.2020 legte die Ransomware WastedLocker weltweit zentrale Dienste des Wearables-Herstellers Garmin lahm, darunter Garmin Connect, flyGarmin und das Satellitenkommunikationssystem inReach. Sicherheitsforscher ordneten die Ransomware der Gruppe Evil Corp zu, die auf der US-Sanktionsliste stand. BleepingComputer bestätigte am 01.08.2020, dass Garmin einen funktionierenden Entschlüsseler erhielt. Die ursprüngliche Lösegeldforderung lag laut einem Mitarbeiter bei rund 10 Millionen US-Dollar.

Garmin äußerte sich nie dazu, ob und in welcher Höhe tatsächlich Lösegeld gezahlt wurde. Der exakte technische Einstiegsvektor der Angreifer wurde nie offiziell bestätigt.

Die Ransomware-Gruppe Cl0p griff das in Darmstadt ansässige Softwareunternehmen Software AG am Wochenende des 03.10.2020 an. Die Angreifer forderten ein Lösegeld von 23 Millionen US-Dollar in Bitcoin und drohten mit der Veröffentlichung von rund einem Terabyte gestohlener Daten. Software AG zahlte das Lösegeld nicht, woraufhin Cl0p ab dem 09.10.2020 interne Dokumente, E-Mails und Mitarbeiterdaten veröffentlichte. Kundenseitige Cloud-Dienste blieben laut Unternehmen unberührt.

Über welchen technischen Einstiegsvektor die Angreifer eindrangen, wurde nicht öffentlich genannt. Die exakte Zahl der von den veröffentlichten Daten betroffenen Personen wurde nicht offiziell beziffert.

Am 22.12.2020 wurde die Funke Mediengruppe Opfer eines Ransomware-Angriffs mit einem Trojaner der Doppelpaymer-Familie, derselben Schadsoftware, die im September 2020 die Düsseldorfer Uniklinik betroffen hatte. Zahlreiche Computersysteme in Redaktionen und Druckhäusern wurden bundesweit verschlüsselt, betroffen waren unter anderem WAZ, Hamburger Abendblatt und Berliner Morgenpost. Die Tageszeitungen konnten am Folgetag nur als Notausgaben erscheinen, das Unternehmen deaktivierte zudem seine Paywalls.

Ob tatsächlich ein Lösegeld gezahlt wurde, ist nicht offiziell bestätigt. Eine offizielle Feststellung, welche konkrete Tätergruppe hinter dem Angriff stand, liegt öffentlich nicht vor.

Ein Ransomware-Angriff kompromittierte im Oktober 2022 persönliche Daten von 9,7 Millionen Kunden des australischen Krankenversicherers Medibank. Bei fast 500.000 Kunden wurden zusätzlich sensible Gesundheitsdaten erbeutet. Die Angreifer forderten zunächst 10, später 9,7 Millionen US-Dollar Lösegeld, was Medibank nicht zahlte. Die australische Bundespolizei ordnete die Täter dem russischsprachigen REvil-Umfeld zu, Anfang Dezember 2022 veröffentlichten sie die letzten Daten im Darknet.

Zum Zeitpunkt dieser Quelle nannten die Behörden keine konkreten Namen einzelner Täter. Ob Bank- oder Kreditkartendaten betroffen waren, blieb strittig zwischen Medibank und den Angreifern.

Das US-Finanzministerium sanktionierte am 05.03.2024 erstmals gezielt zwei Einzelpersonen und fünf Unternehmen des Intellexa-Konsortiums wegen der Spähsoftware Predator, darunter Konsortiumsgründer Tal Dilian. Predator kann Smartphones per Zero-Click-Angriffen ohne Nutzerinteraktion infizieren, zu den Zielen zählten laut Treasury auch US-Regierungsbeamte und Journalisten. Im September 2024 folgten weitere Sanktionen gegen fünf zusätzliche Personen.

Wie wirksam die Sanktionen das Konsortium einschränkten, ist offen, Fachmedien berichteten von fortgesetzter Geschäftstätigkeit. Im Dezember 2025 hob das Treasury die Sanktionen gegen drei sanktionierte Personen wieder auf, die Gründe dafür sind nicht abschließend geklärt.

Am 29.08.2023 gaben FBI und DOJ die Zerschlagung des Qakbot-Botnetzes bekannt, in Zusammenarbeit mit Partnern aus sechs Ländern. Die Operation identifizierte weltweit mehr als 700.000 infizierte Computer und führte zur Beschlagnahme von 52 Servern sowie rund 8,6 Millionen US-Dollar in Kryptowährung. Laut DOJ erhielten die Qakbot-Betreiber zwischen Oktober 2021 und April 2023 rund 58 Millionen US-Dollar aus Ransomware-Zahlungen.

Es wurden keine Festnahmen bekannt gegeben. Ob die Zerschlagung dauerhaft wirkte, ist fraglich, Sicherheitsforscher beobachteten bereits im Oktober und Dezember 2023 neue Qakbot-Phishingkampagnen.

Die Europäische Kommission verhängte am 27.06.2017 ein Bußgeld von 2,42 Milliarden Euro gegen Google wegen Missbrauchs seiner Marktmacht als Suchmaschine. Google platzierte in 13 EWR-Ländern die Ergebnisse seines eigenen Preisvergleichsdienstes Google Shopping prominent, während Konkurrenzdienste nur als einfache Links erschienen. Der Europäische Gerichtshof bestätigte die Entscheidung und die volle Bußgeldhöhe am 10.09.2024 in letzter Instanz.

Wie stark sich Googles seit 2017 geänderte Anzeigemechanismen tatsächlich auf Marktanteile konkurrierender Dienste auswirkten, ist nicht unabhängig verifiziert. Die separaten EU-Kartellverfahren zu Android und AdSense sind nicht Gegenstand dieser Entscheidung.

Die Europäische Kommission verhängte am 18.07.2018 eine Kartellstrafe von rund 4,34 Milliarden Euro gegen Google wegen Praktiken rund um Android: verpflichtende Vorinstallation von Google Search und Chrome als Play-Store-Bedingung, Zahlungen an Hersteller für exklusive Vorinstallation sowie Behinderung alternativer Android-Forks seit 2011.

Das Gericht der EU reduzierte die Strafe 2022 im Berufungsverfahren auf rund 4,125 Milliarden Euro. Ein späteres letztes Rechtsmittel vor dem EuGH im Sommer 2026 wurde für diesen Eintrag nicht anhand einer EU-Primärquelle verifiziert.

Das BSI warnte am 15.03.2022 auf Grundlage von § 7 BSI-Gesetz vor dem Einsatz von Virenschutzprodukten des russischen Herstellers Kaspersky. Begründet wurde dies mit dem Vorgehen russischer militärischer und nachrichtendienstlicher Kräfte im Kontext des Angriffskriegs gegen die Ukraine sowie den weitreichenden Systemberechtigungen von Antivirensoftware. Es war das erste Mal, dass die Behörde vor der gesamten Produktfamilie eines einzelnen Herstellers warnte statt vor einer konkreten Sicherheitslücke.

Dass Kaspersky-Software tatsächlich für Spionage im Auftrag russischer Stellen missbraucht wurde, ist nicht belegt. Das BSI räumte ein, die Warnung beruhe auf einer Risikoeinschätzung, nicht auf einem konkreten technischen Nachweis. Kaspersky bestritt die Vorwürfe und ging rechtlich gegen die Warnung vor.

Die Europäische Kommission verhängte am 14.11.2024 gegen Meta eine Kartellstrafe von 797,72 Millionen Euro wegen automatischer Kopplung des Kleinanzeigendienstes Facebook Marketplace an das soziale Netzwerk sowie unfairer Geschäftsbedingungen für konkurrierende Anzeigenanbieter. Alle Facebook-Nutzer erhalten laut Kommission automatisch Zugang zu Marketplace, was Meta einen erheblichen Vertriebsvorteil verschaffe.

Der genaue Berechnungsweg der Bußgeldhöhe ist nicht im Detail dokumentiert. Meta kündigte Rechtsmittel vor dem Gericht der EU an, der Ausgang stand zum Recherchezeitpunkt noch aus.

Die Europäische Kommission verhängte am 04.03.2024 eine Geldbuße von 1,84 Milliarden Euro gegen Apple wegen Missbrauchs seiner marktbeherrschenden Stellung beim Vertrieb von Musik-Streaming-Apps über den App Store. Grundlage war eine Beschwerde von Spotify aus 2019. Apple habe Anti-Steering-Klauseln auferlegt, die es Diensten untersagten, iOS-Nutzer über günstigere Abo-Optionen außerhalb des App Store zu informieren.

Apple kündigte an, gegen die Entscheidung vor Gericht vorzugehen, der Ausgang des Rechtsmittelverfahrens war zum Recherchezeitpunkt offen. Der endgültige Zahlungsstatus der Buße ist nicht dokumentiert.

Royal Mail wurde am 10./11.01.2023 Opfer eines Ransomware-Angriffs eines LockBit-Partners, der den internationalen Post- und Paketversand an allen 11.500 Postfilialen lahmlegte. Die Angreifer forderten zunächst 80, später 40 Millionen US-Dollar. LockBit veröffentlichte einen 45-Gigabyte-Datensatz. Royal Mail meldete am 23.02.2023 die vollständige Wiederherstellung der internationalen Exportdienste nach rund sechs Wochen Störung.

Ob Royal Mail ein Lösegeld zahlte, ist nicht öffentlich bestätigt. Laut Royal Mail enthielt der Datensatz keine Finanzdaten, jedoch mindestens einen Fall mit Impfstatusdaten eines Mitarbeiters.