Quellen-Tabelle

LastPass wurde 2022 in zwei zusammenhängenden Vorfällen kompromittiert. Am 08.08.2022 drangen Angreifer über den Firmenlaptop eines Softwareentwicklers in die Entwicklungsumgebung ein und entwendeten Quellcode. In einem zweiten Vorfall nutzten die Angreifer diese Informationen, um mittels Keylogger auf dem privaten Heimcomputer eines DevOps-Ingenieurs dessen Zugangsdaten abzugreifen und auf AWS-S3-Speicher mit Kundendaten-Backups zuzugreifen. Am 22.12.2022 bestätigte LastPass, dass die Angreifer eine Cloud-Sicherung der Kundentresore mit verschlüsselten Passwörtern kopiert hatten.

Nicht öffentlich dokumentiert ist die exakte Zahl der betroffenen Nutzerkonten, LastPass nannte nie eine offizielle Gesamtzahl. Umstritten ist, wie viele Master-Passwörter tatsächlich durch nachfolgendes Brute-Forcing entschlüsselt wurden. Die genaue Zahl der aus den gestohlenen Tresoren für Kryptowährungsdiebstähle genutzten Zugangsdaten ist nicht offiziell verifiziert.

Am 03.10.2017 gab Yahoo, zu diesem Zeitpunkt Teil der Verizon-Tochtergesellschaft Oath, bekannt, dass der bereits 2016 gemeldete Angriff von August 2013 tatsächlich alle 3 Milliarden Nutzerkonten betraf statt der zuvor genannten 1 Milliarde. Die Korrektur erfolgte im Rahmen einer forensischen Nachuntersuchung nach der Verizon-Übernahme. Verizon senkte deshalb den Kaufpreis für Yahoo im Februar 2017 um 350 Millionen US-Dollar. Die SEC verhängte später gegen die Nachfolgegesellschaft Altaba eine Strafe von 35 Millionen US-Dollar wegen irreführender Anlegerinformation.

Nicht abschließend geklärt ist, welche konkreten Daten bei allen 3 Milliarden Konten tatsächlich ausgelesen wurden. Die Zahl von 3 Milliarden basiert auf einer internen Neubewertung durch Verizon und wurde nicht durch eine unabhängige externe Prüfung öffentlich verifiziert. In einem separaten Verfahren wurden 2017 vier Personen angeklagt, darunter zwei mutmaßliche russische Geheimdienstmitarbeiter, deren Zusammenhang mit dem 3-Milliarden-Ausmaß nicht im Detail dokumentiert ist.

Marriott gab am 30.11.2018 bekannt, dass die Reservierungsdatenbank der 2016 übernommenen Hotelkette Starwood bereits seit 2014 kompromittiert war, also rund vier Jahre unentdeckt blieb. Betroffen waren Daten von bis zu 500 Millionen Gästen, darunter Namen, Passnummern und teilweise verschlüsselte Zahlungskartendaten. Die britische ICO verhängte 2020 eine Buße von 18,4 Millionen Pfund. Im Oktober 2024 einigten sich Marriott und Starwood mit der FTC auf eine Zahlung von 52 Millionen US-Dollar wegen dieses und eines weiteren Datenlecks 2020.

Marriott korrigierte die Schätzung von 500 Millionen im Januar 2019 auf etwa 383 Millionen eindeutige Datensätze, da Duplikate enthalten waren. Die Zuschreibung des Angriffs an einen chinesischen Staatsakteur stützt sich vor allem auf Medienberichte ohne namentlich genannte Ermittler, eine öffentliche behördliche Bestätigung liegt nicht vor, China wies die Vorwürfe zurück.

Im Juli 2019 wurde bekannt, dass die ehemalige AWS-Mitarbeiterin Paige Thompson durch Ausnutzung einer Server-Side-Request-Forgery-Schwachstelle in einer fehlkonfigurierten Firewall in die Cloud-Infrastruktur von Capital One eindrang. Betroffen waren Daten von mehr als 100 Millionen Kunden, darunter mehr als 100.000 Sozialversicherungsnummern. Thompson wurde am 20.06.2022 wegen Drahtbetrugs und fünffacher unbefugter Zugriffe schuldig gesprochen, aber von Identitätsdiebstahl freigesprochen. Capital One musste 80 Millionen US-Dollar Bußgeld sowie 190 Millionen US-Dollar für Vergleiche zahlen.

Nicht abschließend geklärt ist, ob tatsächlich alle 106 Millionen betroffenen Datensätze für kriminellen Missbrauch verwendet wurden. Die Entdeckung erfolgte nicht durch interne Sicherheitsmaßnahmen, sondern durch eine anonyme Mitteilung, was Fragen zur Wirksamkeit der eigenen Überwachungssysteme aufwirft.

Symantec begann am 13.07.2010 mit der Analyse der Schadsoftware W32.Stuxnet und veröffentlichte im Februar 2011 das vollständige Stuxnet-Dossier. Die Malware zielte gezielt auf Siemens-Step7-Industriesteuerungssysteme ab, wie sie in der iranischen Urananreicherungsanlage Natanz eingesetzt wurden. Da die Steuerungssysteme nicht mit dem Internet verbunden waren, verbreitete sich Stuxnet über infizierte USB-Wechseldatenträger. Laut Analysen des Institute for Science and International Security wurden Ende 2009 oder Anfang 2010 rund 1.000 IR-1-Zentrifugen in Natanz ausgetauscht, ein Ausfall über der normalen Ausfallrate.

Nicht offiziell bewiesen ist die Urheberschaft der USA und Israels, beide Staaten haben eine Beteiligung nie offiziell bestätigt. Umstritten ist die genaue Zahl der beschädigten Zentrifugen, und es ist nicht abschließend geklärt, in welchem Ausmaß der Ausfall allein auf Stuxnet zurückzuführen ist gegenüber regulärem Verschleiß der als störanfällig geltenden IR-1-Zentrifugen.

Am 27.06.2017 verbreitete sich die Schadsoftware NotPetya über ein manipuliertes Update der ukrainischen Buchhaltungssoftware M.E.Doc und infizierte binnen Stunden Organisationen in mehr als 60 Ländern. CISA veröffentlichte die Warnung TA17-181A und beschrieb zwei Verbreitungswege: Diebstahl von Windows-Zugangsdaten mittels modifizierter Mimikatz-Version sowie Ausnutzung der SMBv1-Schwachstelle EternalBlue. Betroffen waren unter anderem Maersk und Merck. Die US-Regierung ordnete NotPetya später öffentlich dem russischen Militär zu.

Die kursierende Schadenssumme von über 10 Milliarden US-Dollar stammt aus späteren Einordnungen des Weißen Hauses, nicht aus einer verifizierten behördlichen Gesamtrechnung. Offen bleibt, ob NotPetya von Anfang an als reines Zerstörungswerkzeug ohne echte Entschlüsselungsoption konzipiert war. Die Attribution an Russland basiert auf Erklärungen westlicher Regierungen von 2018, nicht auf einem Beweis in dieser CISA-Warnung selbst.

Marcus Hutchins, bekannt als MalwareTech, hatte im Mai 2017 durch Registrierung einer Domain einen Kill Switch aktiviert und damit die Ausbreitung von WannaCry gestoppt. Im August 2017 wurde er in Las Vegas verhaftet und wegen Entwicklung und Verkaufs der Banking-Trojaner Kronos und UPAS Kit angeklagt. Am 19.04.2019 bekannte er sich schuldig, die Taten fanden zwischen Juli 2012 und September 2015 statt, vor seiner Zeit als Sicherheitsforscher. Am 26.07.2019 verurteilte das Gericht ihn zu bereits verbüßter Haft plus einem Jahr Bewährung.

Nicht öffentlich beziffert ist der konkrete finanzielle Schaden durch Kronos. Die Staatsanwaltschaft konnte nicht belegen, in welchem Umfang die Malware tatsächlich eingesetzt wurde, was die milde Strafe mitbeeinflusste. Offen bleibt das Ausmaß der Beteiligung eines mutmaßlichen Mitangeklagten.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, 14 mutmaßliche Mitglieder der Ransomware-Gruppe REvil festgenommen zu haben. Bei Razzien in 25 Wohnungen in Moskau und St. Petersburg wurden umgerechnet rund 426 Millionen Rubel, 600.000 US-Dollar und 20 Fahrzeuge beschlagnahmt. Die FSB erklärte, die Operation sei auf Ersuchen der US-Behörden durchgeführt worden. Den Verdächtigen wurden Straftaten wegen illegalen Umgangs mit Zahlungsmitteln vorgeworfen, nicht wegen Ransomware-Erpressung.

Nicht belegt ist, ob die Festgenommenen tatsächlich für die großen REvil-Angriffe auf Colonial Pipeline oder Kaseya verantwortlich waren. Unklar bleibt, ob eine Auslieferung oder strafrechtliche Verfolgung in den USA möglich war, da Russland eigene Staatsbürger nicht ausliefert.

Nachdem die Conti-Ransomware-Gruppe am 25.02.2022 öffentlich ihre Unterstützung für die russische Invasion in der Ukraine erklärt hatte, leakte ein pro-ukrainischer Insider ab dem 27.02.2022 interne Chatprotokolle. Der Datensatz umfasst 393 JSON-Dateien mit 60.094 Nachrichten aus dem Zeitraum 21.01.2021 bis 27.02.2022. Zusätzlich wurden Quellcode-Bestandteile der TrickBot-Malware veröffentlicht. Die Chats zeigen, dass Conti in Scrum-artigen Sprints organisiert war.

Die Identität des Leakers ist bis heute nicht offiziell bestätigt. Die genaue Zahl von 60.094 Nachrichten stammt aus der Auswertung durch Sicherheitsforscher, nicht aus einer amtlichen forensischen Bestätigung. Unklar bleibt, wie vollständig der Leak das Kommunikationsvolumen der Gruppe abbildet.

Microsoft erwirkte am 06.10.2020 einen Gerichtsbeschluss gegen das Trickbot-Botnetz und leitete gemeinsam mit Partnern technische Maßnahmen ein. Von 69 identifizierten Command-and-Control-Servern konnten 62 abgeschaltet werden. Parallel führte das US Cyber Command eine eigene Operation gegen die Trickbot-Infrastruktur durch, kurz vor den US-Präsidentschaftswahlen im November 2020, um Ransomware-Risiken für Wahlinfrastruktur zu verringern.

Nicht belegt ist, wie viele Rechner weltweit tatsächlich infiziert waren. Microsoft und US Cyber Command bezeichneten ihre Aktionen als Störung, nicht als vollständige Zerschlagung. Bereits wenige Wochen später gab es Berichte über teilweise Wiederherstellung der Infrastruktur.

Am 29.08.2023 gaben FBI und DOJ den Abschluss der multinationalen Operation Duck Hunt gegen das Qakbot-Botnetz bekannt, an der Behörden aus sieben Ländern beteiligt waren. Qakbot hatte weltweit mehr als 700.000 Computer infiziert. Die Strafverfolgung verschaffte sich Zugriff auf die Infrastruktur und ließ auf infizierten Rechnern eine Deinstallationsdatei ausführen. Es wurden 52 Server beschlagnahmt und mehr als 8,6 Millionen US-Dollar in Kryptowährung sichergestellt.

Nicht dokumentiert ist, wer hinter der Qakbot-Infrastruktur stand, zum Zeitpunkt der Bekanntgabe wurden keine Festnahmen gemeldet. Sicherheitsforscher berichteten bereits Ende 2023 über neue Qakbot-Kampagnen, was zeigt, dass die technische Zerschlagung die Akteure nicht dauerhaft ausschaltete.

Im November 2019 griff die Maze-Ransomware-Gruppe das US-Sicherheitsunternehmen Allied Universal an und forderte 300 Bitcoin. Als das Unternehmen nicht zahlte, veröffentlichten die Angreifer rund 700 MB gestohlener Daten als Drohmittel. Dieser Fall gilt als eine der ersten dokumentierten Anwendungen der Taktik Double Extortion, die in der Folge von Gruppen wie REvil und Clop übernommen wurde.

Nicht belegt ist die tatsächliche Gesamtmenge der gestohlenen Daten, die Behauptung von nur 10 Prozent Veröffentlichung stammt allein von den Tätern. Ob Allied Universal letztlich zahlte, ist nicht dokumentiert. Die Identität der Maze-Betreiber wurde nie offiziell festgestellt.

Zwei Tage nach dem DarkSide-Ransomware-Angriff auf Colonial Pipeline unterzeichnete Präsident Biden am 12.05.2021 die Executive Order 14028 zur Verbesserung der nationalen Cybersicherheit, mit Vorgaben zu Multi-Faktor-Authentifizierung, Zero-Trust-Architektur und Software-Lieferkette für Bundesbehörden. Ergänzend erließ die TSA am 27.05.2021 eine Direktive, die Pipelinebetreiber erstmals zur Meldung von Cybervorfällen an die CISA verpflichtete.

Die Executive Order richtet sich primär an Bundesbehörden, keine direkte gesetzliche Pflicht für private Pipelinebetreiber, diese ergeben sich erst aus den TSA-Direktiven. Die technische Ursache des Erstzugriffs bei Colonial Pipeline, ein kompromittiertes VPN-Passwort ohne Zwei-Faktor-Authentifizierung, ist nicht unabhängig vollständig bestätigt.

Western Digital identifizierte am 26.03.2023 einen Sicherheitsvorfall mit Zugriff auf mehrere Unternehmenssysteme, darunter My Cloud. Am 08.05.2023 bestätigte das Unternehmen den Diebstahl von Kundendaten, darunter Namen, Adressen und teilweise Kreditkartennummern. Die Angreifergruppe drohte am 28.04.2023 mit wöchentlichen Datenveröffentlichungen und forderte laut Medienberichten ein Lösegeld im achtstelligen Bereich, mit Drohung der Veröffentlichung auf der Leak-Seite der Ransomware-Gruppe Alphv.

Die Angreifer behaupteten, rund 10 Terabyte erbeutet zu haben, unabhängig nicht bestätigt. Western Digital nannte keine genaue Zahl betroffener Kunden. Ob ein Lösegeld gezahlt wurde, ist nicht bestätigt.

Am 25. und 26.01.2023 wurde ein 44,7 GB großes Archiv mit internem Yandex-Quellcode auf BreachForums veröffentlicht, angeblich bereits im Juli 2022 entwendet. Das Paket enthielt Teile des Suchalgorithmus mit rund 1.922 dokumentierten Ranking-Faktoren. Yandex bestätigte den Vorfall, erklärte aber, nicht gehackt worden zu sein, sondern verwies auf einen ehemaligen Mitarbeiter als Quelle. Keine Nutzerdaten seien betroffen gewesen.

Nicht zweifelsfrei dokumentiert ist, ob es sich tatsächlich um einen Innentäter-Diebstahl handelte, dies beruht allein auf der Darstellung von Yandex. Die genaue Zahl der Ranking-Faktoren ist umstritten, verschiedene Analysten kamen auf Werte zwischen 1.922 und über 17.000.

Die Verordnung (EU) 2024/1183 wurde am 30.04.2024 veröffentlicht und trat am 20.05.2024 in Kraft. Artikel 45 verpflichtet Browser zur Anerkennung staatlich benannter Website-Authentifizierungszertifikate (QWACs). Mehr als 500 Sicherheitsforscher und Organisationen wie Mozilla und EFF unterzeichneten offene Briefe gegen eine befürchtete Schwächung der Browser-Sicherheitsarchitektur. Das Parlament nahm die finale Fassung im Februar 2024 mit abgeschwächten Formulierungen an.

Nicht geklärt ist, ob die finale Fassung die technischen Bedenken tatsächlich entkräftet hat. Umstritten bleibt, ob Browserhersteller weiterhin eigene Vertrauensentscheidungen treffen können. Die vollständigen Auswirkungen zeigen sich erst nach Ablauf der Übergangsfristen 2026/2027.

Sicherheitsforscher von RedHunt Labs entdeckten Anfang Januar 2024 einen öffentlich zugänglichen GitHub-Token eines Mercedes-Benz-Mitarbeiters, der seit dem 29.09.2023 in einem öffentlichen Repository lag und unbeschränkten Zugriff auf den internen GitHub-Enterprise-Server ermöglichte, darunter Quellcode, Cloud-Zugangsschlüssel für Azure und AWS sowie SSO-Passwörter. Mercedes-Benz widerrief den Token am 24.01.2024 und fand keine Hinweise auf Missbrauch.

Ein separat kolportierter Vorfall eines Systemprompt-Lecks bei einem Mercedes-Benz-Chatbot 2024 ließ sich in der Recherche nicht bestätigen und wird häufig mit einem unabhängigen Fall eines Chevrolet-Händlers in Kalifornien verwechselt. Wie lange der Token vor der Entdeckung tatsächlich ausgenutzt wurde, ist nicht dokumentiert.

Am 27.11.2022 wurde die Universität Duisburg-Essen Opfer eines Ransomware-Angriffs, bei dem rund 1.200 virtuelle Server verschlüsselt wurden. Die Hochschule trennte ihre gesamte IT-Infrastruktur vom Netz und begann mit forensischer Aufarbeitung. Für etwa 40.000 Nutzer wurden die Passwörter zurückgesetzt, E-Mail und Telefonie konnten vor Weihnachten wiederhergestellt werden.

Nicht dokumentiert ist die exakte Höhe des finanziellen Schadens. Unklar bleibt, wie die Angreifer ursprünglich Zugang erlangten. Die spätere Zuordnung zur Gruppe Vice Society wird in dieser Quelle selbst nicht erwähnt.

Am 14.05.2021 legte ein Ransomware-Angriff mit der Schadsoftware Conti die zentralen IT-Systeme des irischen Gesundheitsdienstes HSE landesweit lahm. Ausgangspunkt war eine Phishing-E-Mail vom 16.03.2021, wodurch die Angreifer rund acht Wochen unbemerkt agieren konnten. Der 157-seitige PwC-Untersuchungsbericht dokumentiert veraltete Windows-7-Systeme. Die Wiederherstellung dauerte rund vier Monate, geschätzte Kosten belaufen sich auf etwa 100 Millionen US-Dollar.

Die exakte Höhe des Gesamtschadens ist nicht abschließend belegt, Schätzungen schwanken zwischen 80 und über 100 Millionen. Die Angreifer forderten Presseberichten zufolge rund 20 Millionen US-Dollar, die HSE zahlte nicht.

Ab dem 17.04.2022 griff die Ransomware-Gruppe Conti mehrere costa-ricanische Ministerien an, darunter Finanzen, Arbeit und Wissenschaft. Präsident Rodrigo Chaves erklärte am 08.05.2022 als erstes Staatsoberhaupt weltweit wegen eines Cyberangriffs den nationalen Notstand. Conti forderte zunächst 10 Millionen US-Dollar, später bis zu 20 Millionen, Costa Rica zahlte nicht. Der Zoll- und Steuerbetrieb war wochenlang gestört, kurz darauf griff die verwandte Gruppe HIVE zusätzlich das Gesundheitssystem CCSS an.

Die genaue Gesamtzahl der kompromittierten Behördensysteme wurde nie vollständig veröffentlicht. Unklar bleibt, ob und wie viele costa-ricanische Institutionen doch inoffizielle Zahlungen leisteten. Der wirtschaftliche Gesamtschaden ist nicht abschließend beziffert, Schätzungen bewegen sich im Bereich mehrerer hundert Millionen US-Dollar.

Am 15.09.2022 verschaffte sich ein mit der Gruppe Lapsus\$ verbundener Angreifer per Social Engineering und MFA-Fatigue Zugriff auf einen Uber-Mitarbeiter-Account und darüber auf interne Systeme wie Slack, AWS, Google Workspace und den HackerOne-Bug-Bounty-Bereich. Der Angreifer postierte eine Nachricht im firmeninternen Slack-Kanal und veränderte die Startseite interner Tools. Uber bestätigte den Vorfall am 16.09.2022 offiziell.

Nicht abschließend belegt ist, in welchem Umfang Kundendaten tatsächlich eingesehen wurden, Uber erklärte, keine sensiblen Nutzerdaten seien exfiltriert worden, eine unabhängige vollständige Bestätigung dafür liegt öffentlich nicht vor. Ein separater Vorwurf, frühere Uber-Führungskräfte hätten einen Vorgängervorfall 2016 vertuscht, ist Gegenstand eines eigenen, hier nicht behandelten Verfahrens.

LastPass meldete am 25.08.2022 einen Einbruch in seine Entwicklungsumgebung, bei dem Quellcode und ein verschlüsselter Schlüssel für Kunden-Backups entwendet wurden. In einem zweiten Vorfall im September 2022 kompromittierte der Angreifer per Keylogger den Rechner eines DevOps-Ingenieurs und erlangte Zugriff auf eine Backup-Datenbank mit Kundentresordaten. Laut US-Ermittlern wurden die Daten für Offline-Angriffe genutzt, die mit einem Kryptowährungsdiebstahl von rund 150 Millionen US-Dollar in Verbindung gebracht werden. LastPass einigte sich 2025 auf eine Sammelklagenzahlung von 24,5 Millionen US-Dollar.

Nicht dokumentiert ist, wie viele Tresore tatsächlich entschlüsselt wurden, da dies von der Stärke der Master-Passwörter abhing. Die Verbindung zum 150-Millionen-Dollar-Diebstahl stützt sich auf Ermittlungsdokumente, eine lückenlose Beweiskette für jeden Einzelfall ist nicht öffentlich einsehbar.

Die Forscher Chris Demchak und Yuval Shavit veröffentlichten Ende Oktober 2018 eine Studie über systematische BGP-Routing-Manipulationen durch den chinesischen Staatskonzern China Telecom. Dokumentiert wurde unter anderem eine rund zweieinhalbjährige Fehlleitung von Verizon-APAC-Routen über China Telecom zwischen Ende 2015 und Mitte 2018. Doug Madory von Oracle Internet Intelligence bestätigte die Befunde anhand eigener Messdaten.

Nicht bewiesen ist eine gezielte staatliche Anordnung zum Abhören von Verkehr im Einzelfall. China Telecom wies die Vorwürfe als technische Fehlkonfigurationen zurück. Das Ausmaß eines möglichen Datenzugriffs während der Umleitungen bleibt unklar.

Der Prüfbericht des DOT Inspector General vom 26.04.2023 stellt fest, dass die Risikobewertungsverfahren der FAA seit über einem Jahrzehnt nicht wesentlich aktualisiert wurden. Ein früherer Bericht von 2021 hatte dokumentiert, dass Boeing der FAA während der Zertifizierung 2015/2016 nur begrenzte Informationen über das Flugsteuerungssystem MCAS vorlegte, das später als Mitursache der Abstürze 2018 und 2019 identifiziert wurde.

Der Vorwurf aktiver Vertuschung durch die FAA selbst ist durch die OIG-Berichte nicht belegt, dokumentiert ist unzureichende Aufsicht. Ob die sieben Empfehlungen des Berichts vollständig umgesetzt wurden, ist nicht dokumentiert.

Am 02.08.2026 traten die Durchsetzungsbefugnisse der EU-KI-Verordnung in Kraft. Das Europäische KI-Büro und nationale Behörden können seither Auskunftsersuchen stellen, Modelle evaluieren und Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes verhängen. Gleichzeitig traten neue Transparenzpflichten in Kraft, wonach bestimmte KI-Systeme Nutzer über KI-Interaktion informieren müssen.

Bis zum Stand dieser Recherche existiert kein tatsächlich verhängtes, rechtskräftiges Bußgeld nach dem AI Act. Was in Kraft trat, ist die rechtliche Durchsetzungsmöglichkeit, nicht ein abgeschlossener Einzelfall.