Quellen-Tabelle

Am 05.01.2025 wurde das slowakische Amt für Geodäsie, Kartographie und Kataster (UGKK) Ziel eines Ransomware-Angriffs, der zum landesweiten Ausfall aller Dienste des Immobilien- und Grundregisters führte. Alle Katasterämter mussten schließen, laufende Verfahren zu Immobilien wurden ausgesetzt. Landwirtschaftsminister Richard Ťaťar bezeichnete den Angriff als den bislang größten Cyberangriff in der Geschichte der Slowakei und sprach von Hinweisen auf einen Ursprung in der Ukraine.

Die Identität der Angreifer ist nicht belegt, die Angaben zu einem Ursprung in der Ukraine stammen von einem Minister ohne öffentlich vorgelegte technische Beweise. Ob und in welcher Höhe ein Lösegeld gezahlt wurde, bleibt unklar.

Am 12.06.2023 legte die prorussische Hackergruppe NoName057(16) mit DDoS-Angriffen mehrere Websites der Schweizer Bundesverwaltung sowie den Online-Auftritt der SBB lahm. Zwischen dem 07. und 19.06.2023 registrierte das NCSC insgesamt 57 erfolgreiche DDoS-Angriffe gegen Bundesstellen, Kantone und Unternehmen. Ein besonders starker Angriff erfolgte am 15.06.2023 während der Videoansprache von Präsident Selenskyj vor dem Schweizer Parlament.

Es handelt sich um DDoS-Angriffe, keinen Datendiebstahl. Die Zurechnung zur Gruppe NoName057(16) stützt sich auf deren eigene Bekennung, eine unabhängige forensische Bestätigung liegt nicht vor.

Der belgische Föderalstaatsanwalt bestätigte im Februar 2025 eine im November 2023 eingeleitete Ermittlung wegen eines mutmaßlichen chinesischen Cyberangriffs auf den Inlandsgeheimdienst VSSE. Die Angreifer nutzten eine Schwachstelle in Barracuda-Networks-Software, um zwischen 2021 und 2023 rund 10 Prozent des E-Mail-Verkehrs der Behörde abzugreifen. Cybersicherheitsforscher ordnen den Angriff der Gruppe UNC4841 zu.

Die Urheberschaft Chinas ist nicht offiziell bestätigt, die Zuordnung stammt von privaten Sicherheitsforschern. Der genaue Umfang der abgeflossenen Daten bleibt unklar.

Im Juli 2023 wurden IT-Systeme von zwölf norwegischen Regierungsministerien mittels einer Zero-Day-Schwachstelle in Ivanti Endpoint Manager Mobile angegriffen. Die norwegische Sicherheitsbehörde NSM identifizierte die Schwachstelle CVE-2023-35078, eine Authentifizierungsumgehung. Premierministeramt, Verteidigungs-, Justiz- und Außenministerium waren nicht betroffen.

Welche konkreten Daten die Angreifer abgezogen haben, ist nicht abschließend dokumentiert. Eine offizielle Zuordnung zu einer Gruppe oder einem Staat erfolgte nicht.

Die Mailänder Staatsanwaltschaft deckte im Oktober 2024 auf, dass die private Ermittlungsfirma Equalize über Jahre illegal auf italienische Behördendatenbanken zugriff, darunter das Polizeisystem SDI und die Zentralbank. Vier Personen wurden unter Hausarrest gestellt. Daten zu bis zu 800.000 Personen wurden abgefragt, betroffen waren unter anderem Präsident Sergio Mattarella und Ex-Premier Matteo Renzi.

Die Zahl von 800.000 abgefragten Personen stammt aus Staatsanwaltschaftsaussagen und ist nicht rechtskräftig bestätigt. Wie viele Amtsträger wissentlich kooperierten, ist nicht gerichtlich festgestellt.

Am 02.12.2024 kündigte die Gruppe Trinity im Darkweb einen Angriff auf die spanische Steuerbehörde AEAT an, mit der Behauptung, über 560 Gigabyte vertrauliche Daten erbeutet zu haben. Spanische Medien berichteten von einer geforderten Lösegeldsumme von 36 Millionen Euro. Die AEAT bestätigte den Vorfall nicht offiziell und erklärte, es gebe keine Hinweise auf verschlüsselte Geräte oder tatsächliche Datenlecks.

Ob der Angriff tatsächlich stattfand, ist unklar, da die AEAT ihn nicht bestätigte. Die genannte Lösegeldsumme und Datenmenge stammen ausschließlich aus der Ankündigung der Tätergruppe und wurden von Sicherheitsexperten angezweifelt.

Der südkoreanische Mobilfunkanbieter KT wurde von der Datenschutzbehörde PIPC mit einer Geldstrafe von 53,9 Milliarden Won belegt. Angreifer bauten zwischen dem 08.10.2024 und 05.09.2025 illegale Basisstationen (Femtozellen) unter Verwendung gestohlener Authentifizierungszertifikate. Dadurch wurden Telefonnummern und Gerätekennungen von 16.647 KT-Kunden abgegriffen, bei 368 Betroffenen entstand ein finanzieller Schaden von rund 240 Millionen Won.

Wie die Täter in den Besitz der Zertifikate gelangten, ist nicht vollständig geklärt. Frühere Medienberichte nannten wechselnde Zwischenzahlen der Betroffenen.

Am 08.06.2024 griff die vermutlich russisch verbundene Gruppe BlackSuit den japanischen Medienkonzern Kadokawa und die Videoplattform Niconico an. Die Angreifer drohten mit Veröffentlichung von 1,5 Terabyte Daten. Am 12.12.2024 zahlte Kadokawa umgerechnet 2,9 Millionen US-Dollar in Kryptowährung. Daten von 254.241 Personen wurden geleakt, Niconico blieb rund zwei Monate offline.

Der genaue Erstzugangsweg ist nicht offiziell bestätigt, vermutet wird Phishing. Ob die Angreifer trotz Zahlung alle Daten löschten, lässt sich nicht verifizieren.

Die kanadische Drogeriekette London Drugs entdeckte am 28.04.2024 einen Cyberangriff und schloss alle 79 Filialen in Westkanada bis zum 07.05.2024. LockBit forderte 25 Millionen US-Dollar Lösegeld. London Drugs zahlte nicht, woraufhin interne Mitarbeiterunterlagen veröffentlicht wurden. Kunden- oder Patientendatenbanken waren nach Unternehmensangaben nicht betroffen.

Der genaue Umfang der gestohlenen Daten ist nicht abschließend geklärt. Ob Kundendaten entgegen der Unternehmensaussage doch betroffen waren, ist nicht unabhängig verifiziert.

Die Gruppe Clop nutzte im März 2023 die Zero-Day-Schwachstelle CVE-2023-0669 in GoAnywhere MFT, um in Systeme der tasmanischen Regierung einzudringen. Mindestens 16.000 Dokumente mit Namen, Adressen und Bankauszügen von Schülern und Familien waren betroffen, insgesamt rund 150.000 Personen und Unternehmen in Tasmanien. Die Regierung zahlte nach eigenen Angaben kein Lösegeld.

Die genaue Gesamtzahl der geleakten Dokumente schwankt je nach Quelle. Ob tatsächlich kein Lösegeld gezahlt wurde, lässt sich extern nicht verifizieren.

Im Mai 2023 wurden in zwei Angriffswellen 22 dänische Energie- und Fernwärmeunternehmen kompromittiert, der bis dahin umfangreichste dokumentierte Cyberangriff auf Dänemarks kritische Infrastruktur. Die erste Welle nutzte die Zyxel-Firewall-Schwachstelle CVE-2023-28771, die zweite bis dahin unbekannte Schwachstellen und erreichte bei mehreren Unternehmen industrielle Steuerungssysteme. SektorCERT verwies auf technische Überschneidungen mit Infrastruktur der russischen GRU-Einheit Sandworm.

Eine eindeutige staatliche Urheberschaft ist nicht bewiesen, SektorCERT nennt nur technische Überschneidungen als Hinweis. Es kam letztlich zu keinem großflächigen Versorgungsausfall.

Am 25.12.2022 wurde die Hafenverwaltung von Lissabon, Portugals drittgrößter Hafen, Ziel eines Cyberangriffs. Die Gruppe LockBit behauptete, Finanzberichte, Verträge und Fracht- sowie Besatzungsdaten erbeutet zu haben. Die Website blieb tagelang nicht erreichbar. LockBit setzte eine Frist bis zum 18.01.2023.

Die konkrete Lösegeldforderung von rund 1,5 Millionen US-Dollar wurde nicht offiziell bestätigt. Ob operative Systeme kompromittiert wurden, blieb ungeklärt, da die Hafenbehörde dies bestritt.

In der Nacht vom 11. auf den 12.02.2024 wurde das rumänische Krankenhausinformationssystem Hipocrate mit Ransomware der Variante Backmydata angegriffen. Nach Angaben des DNSC waren mehr als 100 Krankenhäuser betroffen, deren Datenbanken verschlüsselt wurden, wodurch auf Papierdokumentation umgestellt werden musste.

Die genaue Anzahl tatsächlich kompromittierter Krankenhäuser ist unklar, Angaben schwankten zwischen 21 direkt infizierten und über 100 vorsorglich abgeschalteten Einrichtungen. Ob Lösegeld gezahlt wurde, ist nicht dokumentiert.

Am Wochenende des 04./05.02.2023 wurde die Munster Technological University in Cork Ziel eines Ransomware-Angriffs. Die Gruppe ALPHV/BlackCat veröffentlichte nach verweigerter Zahlung mehr als 6 Gigabyte interner Dateien, darunter Gehaltsabrechnungen und irische Sozialversicherungsnummern. Laut Berichten von 2025 beliefen sich die Kosten für die Universität auf rund 4,2 Millionen Euro.

Wie viele Personen konkret betroffen waren, ist nicht dokumentiert. Ob MTU ein Lösegeld zahlte, wird von der Universität verneint, eine unabhängige Bestätigung liegt nicht vor.

Die Gruppe Rhysida drang Ende Mai 2023 mittels Phishing in Netzwerke des chilenischen Heeres ein. Das Heer bestätigte den Vorfall am 29.05.2023 und isolierte betroffene Netzwerke. Rhysida veröffentlichte rund 360.000 Dokumente. Ein Unteroffizier des Heeres wurde wegen Beteiligung am Angriff festgenommen und angeklagt.

Der genaue Inhalt der veröffentlichten Dokumente ist nicht dokumentiert. Die Zahl von 360.000 Dokumenten stammt allein von der Angreifergruppe und ist nicht unabhängig verifiziert.

Die südafrikanische Companies and Intellectual Property Commission (CIPC) veröffentlichte am 29.02.2024 eine Mitteilung über einen Sicherheitsvorfall. Betroffen waren personenbezogene Daten von Kunden und Mitarbeitern, darunter Angaben zu Unternehmensdirektoren und Markeninhabern. Eine sich bekennende Gruppe behauptete, bereits seit rund drei Jahren Zugriff auf die Datenbank gehabt zu haben.

Die genaue Anzahl betroffener Datensätze wurde nicht veröffentlicht. Die Behauptung des dreijährigen unbemerkten Zugriffs stammt allein von den Tätern und wurde nicht bestätigt.

Die pro-palästinensische Gruppe Cyber Toufan kompromittierte am 16.11.2023 den israelischen Hosting-Dienstleister Signature IT und erlangte Zugriff auf Daten Dutzender israelischer Organisationen. Sicherheitsfirmen identifizierten rund 49 betroffene Unternehmen und Behörden, darunter die Israel Innovation Authority und Toyota Israel.

Die Urheberschaft ist nicht abschließend geklärt, Check Point vermutet iranische Steuerung ohne offizielle Bestätigung. Die Zahl kompromittierter Organisationen schwankt zwischen 40 und über 100 je nach Quelle.

Im Mai 2024 beanspruchte die Gruppe Stormous, Teil des Bündnisses Five Families, Cyberangriffe auf mehrere VAE-Institutionen, darunter die Telecommunications and Digital Government Regulatory Authority und die Roads and Transport Authority Dubai. Die Angreifer forderten 150 Bitcoin Lösegeld mit einer Frist bis zum 09.05.2024.

Es handelt sich ausschließlich um Behauptungen der Angreifergruppe, keine der genannten Institutionen bestätigte den Angriff. Die tatsächliche Kompromittierung ist nicht unabhängig verifiziert.

Am 22.09.2023 wurde die staatliche philippinische Krankenversicherung PhilHealth Ziel eines Ransomware-Angriffs durch die Gruppe Medusa. Die Angreifer forderten rund 300.000 US-Dollar Lösegeld. PhilHealth bestätigte den Vorfall und schaltete Teile seiner IT-Systeme ab. Millionen Mitgliederdaten konnten betroffen sein.

Die genaue Zahl kompromittierter Datensätze ist unklar, Schätzungen reichen bis 13,4 Millionen Mitglieder ohne offizielle Bestätigung. Ob Lösegeld gezahlt wurde, wurde dementiert.

Am 12.09.2023 wurde der Bogotá-ansässige Cloud- und Telekommunikationsanbieter IFX Networks Opfer eines Ransomware-Angriffs. Der Vorfall betraf mehr als 760 öffentliche und private Einrichtungen in 17 lateinamerikanischen Ländern. In Kolumbien waren unter anderem der Oberste Rat der Justiz sowie die Ministerien für Gesundheit und Kultur betroffen. Der Oberste Rat der Justiz setzte landesweit die gesetzlichen Fristen für rund zwei Millionen Gerichtsverfahren aus.

Die genaue Identität der Angreifergruppe ist nicht offiziell bestätigt, mehrere Medien nennen RansomHouse ohne Bestätigung. Ob und in welcher Höhe ein Lösegeld gefordert oder gezahlt wurde, bleibt unklar.

Am 30.04.2024 wurde die Webseite des ecuadorianischen Consejo de la Judicatura durch einen DDoS-Angriff lahmgelegt. Der Angriff kam nach ersten Ermittlungen aus rund 15 Ländern. Die Institution erklärte, nur ein externer Sicherheitsfilter sei kompromittiert worden, interne Informationen seien nicht betroffen gewesen.

Wer hinter dem Angriff steckt, ist nicht belegt. Die Behauptung, keine Daten seien kompromittiert worden, stammt allein von der betroffenen Institution selbst.

Im Januar 2023 wurde das costa-ricanische Ministerium für öffentliche Arbeiten und Verkehr (MOPT) von einem Ransomware-Angriff getroffen, bei dem 12 Server verschlüsselt wurden. Dienstleistungen wie Fahrprüfungen mussten auf papierbasierte Abwicklung umgestellt werden. Der Vorfall ereignete sich rund neun Monate nach dem großen Conti-Ransomware-Angriff von 2022.

Zum Zeitpunkt der Berichterstattung hatte sich keine Gruppe zum Angriff bekannt. Der finanzielle Schaden wurde nicht beziffert.

Ab dem 23.07.2023 fiel Kenias zentrales Regierungsportal e-Citizen aus, über das mehr als 5.000 staatliche Dienstleistungen abgewickelt werden. Die Gruppe Anonymous Sudan bekannte sich zu einer DDoS-Attacke und forderte eine Entschuldigung Kenias oder 200.000 US-Dollar in Bitcoin. Der Generalrechnungsprüfer hatte bereits gewarnt, dass e-Citizen über keinen Notfallplan und keinen Backup-Standort verfüge.

Die Behauptung, keine Nutzerdaten seien kompromittiert worden, ist nicht unabhängig verifiziert. Die Urheberschaft der Gruppe Anonymous Sudan ist umstritten, Sicherheitsforscher vermuten russische statt sudanesische Verbindungen.

Am 19. und 20.12.2024 wurden die ukrainischen Staatsregister des Justizministeriums, rund 60 Datenbanken mit biometrischen Daten und Grundbucheinträgen, durch einen Cyberangriff lahmgelegt. Die pro-russische Gruppe XakNet bekannte sich dazu und behauptete, Primärdatenbanken und Backups gelöscht zu haben. Der Inlandsgeheimdienst SBU vermutet Angreifer im Umfeld des russischen Militärgeheimdienstes GRU. Betroffen waren auch die App Diia mit über 21 Millionen Nutzern und die Wehrerfassungs-App Reserve Plus.

Ob tatsächlich Daten entwendet und veröffentlicht wurden, ist nicht belegt. Die ukrainische Regierung bestreitet die Behauptung der vollständigen Datenlöschung. Die Zuordnung zum GRU beruht auf Vermutungen ohne öffentliche technische Beweise.

In der Nacht vom 5. auf den 6.02.2024 verschlüsselte die Gruppe LockBit die EDV-Systeme der niederösterreichischen Stadtgemeinde Korneuburg. Betroffen waren rund 220 Mitarbeiter und 90 PCs. Die vollständige Wiederherstellung dauerte bis zum 23.02.2024. Die Gemeinde zahlte kein Lösegeld dank vorhandenem Band-Backup, der geschätzte Schaden liegt bei rund 100.000 Euro.

Die genaue Höhe der ursprünglich geforderten Lösegeldsumme wurde nicht beziffert. Ob es zu einem Datenabfluss kam, wurde von der Gemeinde verneint, ohne unabhängige forensische Bestätigung.