Quellen-Tabelle

Anthropic identifizierte im September 2025 eine Cyberspionagekampagne einer Gruppe, die mit hoher Zuversicht als chinesischer staatlicher Akteur eingestuft wird (interne Bezeichnung GTG-1002). Die Angreifer manipulierten Claude Code, um damit weitgehend eigenständig Aufklärung, Schwachstellensuche und Datenexfiltration bei rund 30 Zielen durchzuführen. Nach Anthropic-Angaben erledigte die KI etwa 80 bis 90 Prozent der Kampagnenschritte autonom.

Die Attribution an einen chinesischen Staatsakteur ist nicht unabhängig verifiziert, sie beruht allein auf Anthropics eigener Einschätzung. Anthropic räumt ein, dass Claude teilweise Zugangsdaten halluzinierte, was die Zuverlässigkeit relativiert.

Microsoft entdeckte am 12.01.2024 einen Angriff der russischen Gruppe Midnight Blizzard (APT29/Cozy Bear) über ein Legacy-Testkonto. Die Angreifer erlangten Zugriff auf E-Mail-Konten der Führungsebene. Am 08.03.2024 bestätigte Microsoft, dass die Gruppe daraus exfiltrierte Informationen nutzte, um sich Zugang zu internen Quellcode-Repositories zu verschaffen.

Microsoft legte nicht offen, welche Quellcode-Repositories betroffen waren oder wie viele Dateien kopiert wurden. Die ursprüngliche Einschätzung von Januar 2024, es gebe keine Hinweise auf Quellcode-Zugriff, wurde im März revidiert.

Ab September 2023 wurden armenische Regierungsstellen und der Flughafen Zvartnots mit einem präparierten Word-Dokument angegriffen, das als Warnung des Sicherheitsdienstes getarnt war und die Schadsoftware AsyncRAT installierte. CyberHUB AM stuft die Täterschaft als wahrscheinlich aserbaidschanisch ein.

Eine staatliche Beauftragung ist nicht belegt, die Zuordnung stützt sich nur auf indirekte Indizien wie einen Debug-Pfad. Genaue Opferzahlen wurden nicht beziffert.

US-Behörden aktualisierten am 22.07.2026 die Warnmeldung AA26-097A zu einer iranisch verbundenen Cyberkampagne gegen speicherprogrammierbare Steuerungen, zugeschrieben der Gruppe CyberAv3ngers. Zwischen dem 26. und 27.07.2026 störte ein koordinierter Angriff den Betrieb von Wasser- und Abwasserversorgern in mehr als 30 Gemeinden in Minnesota, betroffen sind mindestens sieben US-Bundesstaaten.

Das genaue Ausmaß der Kompromittierungen ist nicht abschließend belegt. Ob die iranische Regierung die Aktivität direkt anordnete, ist unklar.

Im Juli 2022 legte ein iranischer, staatlich unterstützter Angreifer (bekannt als "HomeLand Justice") mit einem destruktiven Wiper-Angriff zahlreiche Webseiten und Dienste der albanischen Regierung lahm; die Angreifer waren laut CISA/FBI bereits seit rund 14 Monaten (mindestens seit Mai 2021) unbemerkt im Netzwerk aktiv. Als Reaktion brach Albanien im September 2022 die diplomatischen Beziehungen zum Iran ab; im September 2022 kam es zu einem zweiten Angriff auf das Grenz- und Migrationssystem TIMS.

Die Advisory dokumentiert primär den Juli-2022-Angriff; Details zum zweiten Angriff und zur genauen Menge exfiltrierter Daten stützen sich teils auf Angaben der albanischen Regierung selbst, die nicht unabhängig verifizierbar sind.

Die sri-lankische Information and Communication Technology Agency (ICTA) bestaetigte am 11. September 2023 einen Ransomware-Angriff auf die staatliche Cloud-Infrastruktur "Lanka Government Cloud" (LGC). Betroffen waren rund 5.000 E-Mail-Konten der gov.lk-Domain; da seit dem 17. Mai 2023 keine Backups mehr existierten, gingen alle Daten aus dem Zeitraum 17. Mai bis 26. August 2023 unwiederbringlich verloren. Ursache war eine veraltete, seit 2014 nicht mehr aktualisierte Microsoft-Exchange-2013-Installation.

Weder die genaue Ransomware-Gruppe noch die Hoehe einer eventuellen Loesegeldforderung sind ersichtlich; unklar bleibt, wie die Angreifer initial Zugriff erlangten.

Ab Ende August 2022 wurde die Regierung Montenegros von einer massiven Cyberangriffswelle getroffen, die zahlreiche staatliche Dienste (u.a. Finanzverwaltung, Wasser- und Energieversorger) lahmlegte; die Regierung machte "koordinierte, hybride" Angriffe aus dem Ausland verantwortlich und sprach von Beteiligung russischer Behoerden. Die Ransomware-Gruppe Cuba bekannte sich spaeter zu Teilen der Attacke und behauptete, hunderte Gigabyte an Daten von Ministerien und Behoerden erbeutet zu haben.

Die genaue technische Zuordnung zu staatlichen russischen Akteuren im Gegensatz zu einer rein kriminellen Ransomware-Bande blieb bis heute umstritten und ist nicht abschliessend unabhaengig verifiziert; das Ausmass des tatsaechlich abgeflossenen Datenvolumens beruht groesstenteils auf Angaben der Angreifer selbst.

Im April 2021 wurde das panamaische Wirtschafts- und Finanzministerium (Ministerio de Economía y Finanzas) Ziel eines Ransomware-Angriffs durch die Gruppe RansomEXX. Die Angreifer verschlüsselten Systeme und veröffentlichten auf ihrer Leak-Seite angeblich gestohlene Dateien als Druckmittel zur Lösegelderpressung.

Der genaue Umfang der exfiltrierten Daten sowie die Zahlung oder Nichtzahlung eines Lösegelds sind nicht abschließend belegt; die Quelle stützt sich primär auf Angaben der Angreifergruppe und öffentliche Regierungsmitteilungen.

Im November 2022 wurde die Regierung des Pazifikstaats Vanuatu Ziel eines schweren Cyberangriffs, der saemtliche staatlichen Server und E-Mail-Systeme lahmlegte. Behoerden mussten wochenlang auf Papier und persoenliche Gmail-Konten ausweichen, da Server neu aufgesetzt werden mussten; Regierungswebseiten und interne Netzwerke blieben ueber einen Monat gestoert.

Die Herkunft des Angriffs wurde offiziell nicht eindeutig bestaetigt, Berichte deuteten auf ransomware-aehnliche Methoden hin. Details zu Angreifer-Identitaet und Motiv blieben unklar.

Im Oktober 2022 bestaetigte der staatliche chilenische Kupferkonzern Codelco (weltgroesster Kupferproduzent) einen Ransomware-Angriff der Gruppe Hive. Codelco erklaerte, dass keine operativen oder produktionskritischen Systeme betroffen gewesen seien, raeumte aber ein, dass Angreifer Zugriff auf interne administrative Dateien erlangt hatten.

Nicht belegt ist der genaue Umfang der exfiltrierten Daten oder ob tatsaechlich vertrauliche Geschaeftsgeheimnisse betroffen waren; Codelco bestritt schwerwiegende Folgen, waehrend die Hive-Gruppe weitergehende Behauptungen aufstellte.

Die kamerunische Regierung schaltete am 17. Januar 2017 als Reaktion auf Proteste der englischsprachigen Minderheit das Internet ab. Die Sperre dauerte rund 94 Tage bis Ende April 2017 und betraf laut Access Now schätzungsweise 1,7 bis 5 Millionen Menschen.

Die genaue Zahl der betroffenen Nutzer und der wirtschaftliche Schaden variieren je nach Quelle, da Kamerun selbst die Sperre nie offiziell mit Zahlen belegte.

Die von ESET analysierte Hackergruppe GreyEnergy, die als Nachfolger der fuer den ukrainischen Stromausfall 2015/2016 verantwortlichen Gruppe BlackEnergy gilt, griff neben ukrainischen Energieversorgern auch ein Unternehmen im Energiesektor Nordmazedoniens an. ESET dokumentierte den Einsatz modularer Malware zur Spionage und Sabotage kritischer Infrastruktur, konnte aber keinen erfolgreichen Stromausfall wie 2016 in der Ukraine nachweisen.

ESET nennt das betroffene nordmazedonische Unternehmen aus Vorsicht nicht namentlich und bestaetigt keinen konkreten Sabotage-Erfolg dort; die Zuordnung zu einem staatlichen Akteur (vermutet Russland) bleibt eine Einschaetzung von Sicherheitsforschern, kein gerichtsfester Beweis.

Ende Juni 2022 attackierte die pro-russische Hackergruppe Killnet zahlreiche litauische Regierungs- und Unternehmenswebsites mit DDoS-Angriffen, nachdem Litauen den Bahntransit sanktionierter Güter nach Kaliningrad blockiert hatte. Laut litauischem Zentrum für nationale Cybersicherheit (NKSC) waren rund 70 Webseiten von Behörden und privaten Unternehmen betroffen.

Es handelte sich um DDoS-Angriffe, nicht um einen Datenabfluss; belastbare Beweise für eine direkte russische Staatsführung hinter Killnet fehlen, die Gruppe wird meist als staatsnah, nicht staatlich gesteuert eingeordnet.

Moldauische Behoerden erklaerten im Oktober 2024, ueber Beweise fuer ein grossangelegtes Stimmenkaufnetzwerk zu verfuegen, das mit dem im Exil lebenden, prorussischen Oligarchen Ilan Shor verbunden sei. Nach Behoerdenangaben sollen rund 15 Millionen US-Dollar an geschaetzte 130.000 bis 150.000 Waehler geflossen sein, um deren Stimmen beim EU-Beitritts-Referendum und der Praesidentschaftswahl zu beeinflussen.

Die genaue Gesamtsumme und Empfaengerzahl beruhen auf Schaetzungen der moldauischen Ermittlungsbehoerden und sind nicht unabhaengig extern verifiziert; Ilan Shor bestreitet die Vorwuerfe und lebt im russischen Exil.

Im Juli 2021 legte ein Ransomware-Angriff die IT-Systeme des staatlichen suedafrikanischen Bahn-, Hafen- und Pipelinebetreibers Transnet lahm. Betroffen waren die Containerterminals in Durban, Kapstadt, Port Elizabeth und Ngqura, wodurch der Warenumschlag in einem der wichtigsten Haefen Afrikas fuer mehrere Tage massiv gestoert wurde.

Die genaue Ransomware-Variante und die Identitaet der Angreifer wurden von Transnet nie offiziell bestaetigt; der volle wirtschaftliche Schaden sowie das Ausmass eines moeglichen Datenabflusses blieben oeffentlich ungeklaert.

Der USIP-Bericht dokumentiert, wie die von der chinesischen Kings-Romans-Gruppe betriebene Golden Triangle Special Economic Zone im Norden von Laos zu einem quasi-exterritorialen Gebiet mit engmaschiger chinesischer Ueberwachungsinfrastruktur ausgebaut wurde. Die Zone diente laut Bericht als Basis fuer organisierte Kriminalitaet, Menschenhandel und Cyber-Betrugscamps.

Der Bericht stuetzt sich stark auf Interviews, Satellitenbilder und Sekundaerquellen; eine direkte Verbindung zu staatlicher chinesischer Auslandsueberwachung ist nicht eindeutig belegt.

Am 12. Januar 2021, einen Tag vor der ugandischen Praesidentschaftswahl, ordnete die Regierung unter Yoweri Museveni die Sperrung von Facebook, Twitter, WhatsApp und weiteren Diensten an. Am Wahltag selbst folgte eine vollstaendige, landesweite Internetabschaltung, die mehrere Tage andauerte und Wahlbeobachter, Journalisten sowie die Opposition (Bobi Wine) massiv einschraenkte.

Die Quelle dokumentiert die Sperre gut, liefert aber keine belastbaren Zahlen zu wirtschaftlichem Schaden; Kausalzusammenhaenge zwischen der Sperre und dem konkreten Wahlausgang bleiben spekulativ.

Im März 2022 wurden mehrere Websites kroatischer Regierungsbehörden durch eine Serie von DDoS-Angriffen zeitweise lahmgelegt. Kroatische Behörden und Sicherheitsexperten ordneten die Angriffe der pro-russischen Hackergruppe Killnet zu, die im Kontext des russischen Angriffskriegs gegen die Ukraine mehrere NATO- und EU-Staaten mit ähnlichen Attacken ins Visier nahm.

Technische Details zu Angriffsvolumen, betroffener Infrastruktur und etwaigen tieferen Kompromittierungen bleiben unklar; ein Datenleck oder Zugriff auf sensible Systeme wurde nicht nachgewiesen.

Am 4. November 2020, dem Tag des Beginns der militaerischen Offensive der aethiopischen Zentralregierung gegen die Tigray Peoples Liberation Front, wurden Internet- und Telefonverbindungen in der Region Tigray vollstaendig gekappt. Die Abschaltung dauerte ueber ein Jahr an und machte es Journalisten und Hilfsorganisationen praktisch unmoeglich, unabhaengig ueber Kriegsverbrechen zu berichten.

Die genaue technische Umsetzung der Abschaltung ist aus offenen Quellen nur teilweise rekonstruierbar; das Ausmass einer gezielten Kommunikationsueberwachung neben der reinen Abschaltung laesst sich nicht belegen.

Nach dem Attentat auf den slowakischen Ministerpraesidenten Robert Fico am 15.05.2024 in Handlova verbreiteten sich innerhalb weniger Stunden zahlreiche unbelegte Falschbehauptungen ueber die Hintergruende der Tat, die Identitaet und angeblichen Auftraggeber des Schuetzen sowie ueber den Gesundheitszustand Ficos. NewsGuard dokumentierte mehrere konkrete, virale Falschnarrative mit prorussischer und ukraine-kritischer Stossrichtung.

Es handelt sich nicht um einen belegten Cyberangriff, sondern um ein dokumentiertes Desinformationsphaenomen; ein koordinierter staatlicher Urheber der Falschnarrative ist durch die Quelle nicht bewiesen.

Ab Anfang Februar 2024 brach die Internet- und Mobilfunkverbindung in weiten Teilen Sudans zusammen, nachdem der grosse Anbieter Zain sowie weitere Provider praktisch vollstaendig offline gingen. Betroffen waren nach Angaben mehrerer Quellen rund 14 Millionen Menschen, die dadurch keinen Zugang mehr zu Nothilfe und Informationen ueber sichere Fluchtwege hatten.

Die genaue Verantwortlichkeit fuer einzelne Abschaltungen (SAF vs. RSF vs. technische Kriegsschaeden) laesst sich oft nicht eindeutig zuordnen.

Ende März 2025 wurde Malaysia Airports Holdings Berhad (MAHB), der staatlich verbundene Betreiber der malaysischen Flughäfen einschließlich des Kuala Lumpur International Airport, Ziel eines Cyberangriffs. Die Angreifer forderten ein Loesegeld von 10 Millionen US-Dollar. MAHB bestaetigte den Vorfall, betonte jedoch, dass der Flugbetrieb durch manuelle Backup-Verfahren nicht wesentlich beeintraechtigt wurde.

Die genaue Zahl und Art der kompromittierten Datensaetze sowie die Identitaet der Angreifergruppe sind nicht abschliessend belegt; ob ein Loesegeld tatsaechlich gezahlt wurde, blieb offen.

Im November 2019 wurde der staatliche mexikanische Oelkonzern Petroleos Mexicanos (Pemex) Ziel eines Ransomware-Angriffs mit der Schadsoftware DoppelPaymer, der landesweit IT-Systeme, Buchhaltungs- und Verwaltungscomputer lahmlegte. Die Angreifer forderten laut Medienberichten rund 4,9 Mio. US-Dollar in Bitcoin.

Die genaue Hoehe des geforderten Loesegelds sowie ob Pemex tatsaechlich zahlte, sind nicht offiziell bestaetigt; das vollstaendige Ausmass des Datenabflusses wurde nie umfassend offengelegt.

Die belarussische Hacktivisten-Gruppe Cyberpartisans erklärte im Januar 2022, sie habe Teile der IT-Systeme der staatlichen Eisenbahngesellschaft Belarusian Railways mit Ransomware verschlüsselt und Steuerungssysteme sabotiert, um den Truppentransport russischer Streitkräfte durch Belarus zu verlangsamen. Die Gruppe hatte zuvor bereits Datenbanken von Innenministerium, KGB und Polizei kompromittiert.

Die Angaben stammen im Wesentlichen von der Gruppe selbst und wurden von belarussischen Behörden nicht bestätigt; das tatsächliche Ausmaß der Störung des Zugverkehrs lässt sich unabhängig kaum verifizieren.

In der Nacht vom 20. auf den 21. August 2022 wurde das Centre Hospitalier Sud-Francilien (CHSF) in Corbeil-Essonnes Opfer eines Ransomware-Angriffs, der das Krankenhausinformationssystem lahmlegte. Neugeborene mussten aus der Neonatologie in andere Kliniken verlegt werden. Laut einem ANSSI-Bericht wurden in Frankreich zwischen 2022 und 2023 insgesamt 30 Krankenhäuser durch Ransomware angegriffen.

Die genaue Täteridentität, die Höhe einer eventuell geforderten Lösegeldsumme sowie das exakte Ausmaß des Datenabflusses beim CHSF sind aus dieser Quelle nicht belegt.