Quellen-Tabelle

Das im westlichen Mediendiskurs verbreitete Bild eines umfassenden, hochtechnologisierten Sozialkredit-Systems, das sämtliche chinesische Bürger mit einem einheitlichen Punktekonto überwacht, entspricht laut differenzierten Analysen nicht der Realität; ein verpflichtendes, landesweites Bürgersystem existiert bislang nicht. Bis November 2022 war das Sozialkreditsystem ein Flickenteppich aus lokalen Pilotprojekten und nationalen Einzelmaßnahmen; im November 2022 veröffentlichte China einen Gesetzentwurf, der erstmals bisherige Experimente und Regelungen bündelte. Analysten warnen jedoch davor, das System deswegen zu verharmlosen: China verfügt über einen technologisch versierten Überwachungsstaat, der real existiert, sich jedoch anders darstellt als in reißerischer Berichterstattung häufig suggeriert wird.

Die Quelle bezieht bewusst eine Mittelposition zwischen 'Dystopie-Mythos' und 'Verharmlosung'; eine abschließende, einheitliche Bewertung des tatsächlichen Überwachungsumfangs liefert sie nicht.

Jobcenter gingen durch automatisierte Abfragen 82.000 Hinweisen auf möglichen Sozialleistungsbetrug nach und tauschten dabei insgesamt 9,1 Millionen Datenpakete zwischen den beteiligten Behörden aus; die Daten verschiedener Behörden werden viermal im Jahr abgeglichen. Kontoauszüge gelten als schärfstes kurzfristiges Kontrollinstrument der Jobcenter und dürfen bei einem Bürgergeld-Antrag zur Prüfung von Einkommen und Vermögen verlangt werden. Zum 01.07.2026 fällt die bisher schonende, gestaffelte Sanktionsregelung (10, 20 oder 30 Prozent Kürzung) weg. Im Jahr 2024 waren allerdings nur 0,6 Prozent bzw. rund 23.000 Menschen von Leistungsminderungen betroffen, die wegen Verweigerung der Aufnahme oder Fortführung einer Arbeit verhängt wurden, eine vergleichsweise geringe Zahl gemessen am Umfang der Datenerhebung und -kontrolle.

Die geringe tatsächliche Sanktionsquote von 0,6 Prozent im Verhältnis zum Umfang von 9,1 Millionen ausgetauschten Datenpaketen und 82.000 Betrugsprüfungen wirft die Frage auf, wie viele der Kontrollen tatsächlich zu belegtem Fehlverhalten führten; diese Verhältniszahl selbst liefert die Quelle jedoch nicht explizit als Kritik.

Die ACLU trainierte Amazons Gesichtserkennungssoftware Rekognition mit 25.000 öffentlich zugänglichen Fahndungsfotos und glich sie anschließend mit Fotos von Mitgliedern des US-Kongresses ab. Der Algorithmus verwechselte fälschlicherweise 28 Kongressmitglieder mit Personen aus den Fahndungsfotos, wobei Fehltreffer bei Kongressabgeordneten mit dunklerer Hautfarbe überproportional häufig auftraten. Die ACLU kritisierte, Gesichtserkennungstechnologie verstärke die Überpolizierung Schwarzer und brauner Communities und habe bereits zu falschen Festnahmen und fehlerhaften Inhaftierungen mehrerer Schwarzer Männer geführt. Amazon kündigte im Juni 2020 ein einjähriges Moratorium für den Verkauf von Rekognition an Strafverfolgungsbehörden an und verlängerte dieses im Mai 2021 auf unbestimmte Zeit; die ACLU bewertete das befristete Moratorium ursprünglich als unzureichend und forderte ein vollständiges, dauerhaftes Verbot bis die Gefahren der Technologie vollständig adressiert seien.

Ob Amazon das unbefristete Moratorium seither tatsächlich lückenlos einhält oder Rekognition über andere Vertriebswege weiterhin an Polizeibehörden gelangt, ist aus dieser Quelle nicht belegt.

Eine Studie des Open Markets Institute charakterisierte Amazon als 'vor allem eine Überwachungsfirma' und deckte eine umfassende Überwachungskultur mit 'Kontrolle, Erniedrigung und unablässiger Angst' der Beschäftigten auf. Ehemalige Mitarbeiter berichteten von sogenannten 'Release Days', an denen mehrere befristete Beschäftigte gekündigt werden, wobei die Entscheidung auf den Ergebnissen eines internen Computersystems beruht; Mitarbeiter können jederzeit entlassen werden, wenn sie von Messwerten abweichen, deren Existenz ihnen nicht einmal bekannt ist. Die intensive Überwachung dient laut Studie nicht nur der Leistungskontrolle, sondern auch dazu, gewerkschaftliche Organisierung der Beschäftigten zu erschweren. Die Studienautoren fordern ein Verbot derart invasiver Überwachung und eine stärkere gesetzliche Unterstützung der Gewerkschaftsbildung durch den US-Kongress.

Konkrete Beispiele für die genauen, den Beschäftigten unbekannten Messwerte, die zur automatisierten Kündigung führen, nennt die Quelle nicht im Detail.

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) verhängte am 01.10.2020 ein Bußgeld in Höhe von 35.258.707,95 Euro gegen die H&M Hennes & Mauritz Online Shop A.B. & Co. KG. Betroffen war das Servicecenter des Unternehmens in Nürnberg, wo mehrere hundert Mitarbeiterinnen und Mitarbeiter mindestens seit dem Jahr 2014 von der Centerleitung überwacht wurden. Vorgesetzte Teamleader führten nach Urlaubs- und Krankheitsabwesenheiten sogenannte Welcome-Back-Talks durch und notierten dabei unter anderem Krankheitssymptome, Diagnosen sowie konkrete Urlaubserlebnisse. Über Einzel- und Flurgespräche eigneten sich einige Vorgesetzte zusätzlich Wissen über familiäre Probleme und religiöse Bekenntnisse ihrer Mitarbeitenden an. Die Aufzeichnungen wurden dauerhaft auf einem Netzlaufwerk gespeichert und waren für bis zu 50 weitere Führungskräfte im Unternehmen einsehbar. Bekannt wurde die Praxis, weil die Notizen im Oktober 2019 infolge eines Konfigurationsfehlers für einige Stunden unternehmensweit zugänglich waren. Die Behörde ließ daraufhin rund 60 Gigabyte Daten sichern und auswerten sowie zahlreiche Zeuginnen und Zeugen vernehmen. H&M entschuldigte sich, zahlte unbürokratischen Schadenersatz und führte am Standort Nürnberg ein neues Datenschutzkonzept ein.

Die genaue Zahl der betroffenen Beschäftigten wird in der Pressemitteilung nur als mehrere hundert angegeben, nicht exakt beziffert. Ob H&M gegen den Bußgeldbescheid rechtlich vorging oder dieser rechtskräftig wurde, geht aus der Quelle nicht hervor.

Am 07.04.2014 wurde die Sicherheitslücke Heartbleed in der Kryptografie-Bibliothek OpenSSL öffentlich bekannt gegeben und als CVE-2014-0160 registriert. Die Schwachstelle wurde unabhängig voneinander von Neel Mehta vom Google-Sicherheitsteam sowie von Codenomicon-Forschern entdeckt. Ursache war ein fehlerhaft implementierter Heartbeat-Mechanismus, den der Entwickler Robin Seggelmann am 31.12.2011 in den OpenSSL-Quellcode einfügte; der fehlerhafte Code gelangte mit der Version OpenSSL 1.0.1 am 14.03.2012 in den produktiven Einsatz. Der Fehler erlaubte es Angreifern, spurlos pro Anfrage bis zu 64 Kilobyte Arbeitsspeicher eines Servers auszulesen, darunter private Schlüssel und Passwörter. Unmittelbar mit der verwundbaren OpenSSL-Version betrieben wurden schätzungsweise rund 500.000 der weltweiten SSL-gesicherten Webserver. Zeitgleich mit der Offenlegung am 07.04.2014 veröffentlichten die OpenSSL-Entwickler die reparierte Version 1.0.1g. Die kanadische Steuerbehörde Canada Revenue Agency meldete den Diebstahl von rund 900 Sozialversicherungsnummern über die Lücke. Der IT-Branchendienst eWeek schätzte den weltweiten wirtschaftlichen Schaden auf etwa 500 Millionen US-Dollar.

Wie viele Angriffe vor der öffentlichen Offenlegung tatsächlich stattfanden, bleibt unbekannt, da ein Datenabgriff über Heartbleed keine Spuren in Server-Logs hinterlässt. Die genannte Schadenssumme ist eine grobe Branchenschätzung ohne belastbare Gesamterhebung.

Am 24. Oktober 2017 begann eine Ransomware-Angriffswelle namens Bad Rabbit, die vor allem Russland und die Ukraine traf, mit vereinzelten Meldungen auch aus der Türkei, Bulgarien, Deutschland und Japan. Zu den bekanntesten Opfern zählten die russische Nachrichtenagentur Interfax, die Kiewer Metro, der Flughafen Odessa sowie das ukrainische Infrastruktur- und Finanzministerium. Die Schadsoftware wurde über kompromittierte, überwiegend russische Nachrichten-Websites per Drive-by-Download verbreitet und gab sich als gefälschtes Adobe-Flash-Installationsprogramm aus. Innerhalb von Firmennetzwerken verbreitete sich Bad Rabbit zusätzlich über den Exploit EternalRomance, der auf durchgesickerten NSA-Werkzeugen basiert. Die Ransomware verschlüsselte Dateien mit AES-128 und ganze Festplattenpartitionen mittels DiskCryptor-Treiber. Die Angreifer forderten ein Lösegeld von 0,05 Bitcoin, umgerechnet rund 280 US-Dollar. Laut Telemetriedaten von Kaspersky wurden knapp 200 Ziele registriert. Sicherheitsforscher von Kaspersky und ESET stellten Code-Überschneidungen zwischen Bad Rabbit und NotPetya fest. Im Oktober 2018 ordnete die britische Regierung den Angriff gemeinsam mit NotPetya dem russischen Militärgeheimdienst GRU zu.

Die genaue Zahl tatsächlich verschlüsselter Systeme sowie der finanzielle Gesamtschaden sind aus dieser Quelle nicht beziffert. Die spätere Zuschreibung an den russischen Militärgeheimdienst GRU wurde von Russland zurückgewiesen und nie in einem Gerichtsverfahren festgestellt.

Der Bundestag beschloss am 20.05.2021 das Zweite Gesetz zur Änderung mautrechtlicher Vorschriften, mit dem erstmals eine Ausnahme von der bis dahin strikten Zweckbindung der Lkw-Mautdaten eingeführt wurde. Erfasste Kennzeichen und Positionsdaten aus der Mauterhebung dürfen seither auch zur Verfolgung von Kabotage-Verstößen genutzt werden. Der Bundesdatenschutzbeauftragte Ulrich Kelber kritisierte die Änderung öffentlich als Dammbruch und bezweifelte zudem die Eignung der Daten für diesen Zweck.

Nicht dokumentiert ist, in welchem Umfang die neue Ausnahme in der Praxis tatsächlich zur Kabotage-Verfolgung genutzt wurde. Die seit Jahren separat geführte politische Debatte um eine weitergehende Öffnung der Mautdaten für die Verfolgung schwerer Straftaten wie Mord ließ sich in den verfügbaren Quellen nicht als tatsächlich verabschiedete Gesetzesänderung von 2023/2024 bestätigen, sie blieb bislang Gegenstand von Forderungen einzelner Landesjustizminister.

CISA, NSA und FBI bestätigten gemeinsam mit internationalen Partnern, dass die chinesische staatlich gesteuerte Gruppe Volt Typhoon seit mindestens 2021 in IT-Netzwerke kritischer US-Infrastruktur eingedrungen ist, darunter Kommunikation, Energie, Transport sowie Wasser und Abwasser. Die Gruppe nutzt fast ausschließlich bereits vorhandene Systemwerkzeuge und kompromittierte Router und VPN-Gateways von Herstellern wie Fortinet, Ivanti und Cisco, um sich als legitimer Administrationsverkehr zu tarnen. Laut Behörden diente der Zugriff der Vorbereitung auf mögliche disruptive Angriffe im Falle einer größeren Krise oder eines Konflikts mit den USA.

Offen bleibt, wie lange genau und in welchem Umfang Volt Typhoon in einzelnen konkreten Anlagen aktiv war, da die Behörden aus Sicherheitsgründen keine vollständige Liste betroffener Betreiber veröffentlichten. Nicht belegt ist, dass es tatsächlich zu einer Sabotage oder Störung von Stromnetz, Wasser- oder Transportsystemen kam. China bestreitet die Vorwürfe offiziell weiterhin, eine unabhängige gerichtliche Feststellung der Urheberschaft steht aus.

Belgische, französische und niederländische Ermittler entschlüsselten ab Februar 2021 mit Unterstützung von Europol und Eurojust den verschlüsselten Messengerdienst Sky ECC, der von organisierten Kriminellen genutzt wurde. Nach Eurojust-Angaben wurden rund 70.000 Nutzerkonten überwacht und täglich etwa 3 Millionen Nachrichten mitgelesen, was zur Aufdeckung von über hundert geplanten Großverbrechen führte. Am Aktionstag vom 9. März 2021 folgten zahlreiche Festnahmen und Durchsuchungen in Belgien und den Niederlanden.

Die genaue technische Methode der Entschlüsselung wurde von den Behörden nicht vollständig offengelegt. Die rechtliche Zulässigkeit der Beweismittel aus der Massenüberwachung wird in mehreren Staaten weiterhin vor Gericht angefochten, unter anderem in den USA. Die exakte Gesamtzahl aller im Rahmen der Operation weltweit entschlüsselten Nachrichten und Verurteilungen ist nicht abschließend dokumentiert.

Das LKA NRW hat mit SKALA (System zur Kriminalitätsauswertung und Lageantizipation) ein Predictive-Policing-System entwickelt, das raumbezogene Kriminalitätsdaten zu Wohnungseinbrüchen, Kfz-Delikten und Gewerbeobjekteinbrüchen auswertet. Nach einem mehrjährigen Pilotversuch in sechs Kreispolizeibehörden ist SKALA seit 2021 flächendeckend in allen Kreispolizeibehörden Nordrhein-Westfalens im Einsatz. Das LKA NRW informiert die Behörden wöchentlich über die vom System berechneten Risikogebiete.

Nicht belegt ist, in welchem Umfang SKALA tatsächlich zu weniger Einbrüchen geführt hat. Unabhängige Studien zu deutschen Predictive-Policing-Systemen attestieren allgemein einen fehlenden wissenschaftlichen Wirksamkeitsnachweis und kritisieren die mangelnde Transparenz der zugrunde liegenden Algorithmen. Offen bleibt zudem, ob die Risikoprognosen zu verstärkter Polizeikontrolle bestimmter Stadtteile und damit zu Verzerrungseffekten führen.

Der Staatsrat der Volksrepublik China veröffentlichte am 14.06.2014 die Planungsübersicht zum Aufbau eines Sozialkreditsystems für den Zeitraum 2014 bis 2020. Das Dokument benennt vier Säulen: Integrität der Regierungsführung, Integrität im Handel, gesellschaftliche Integrität und Vertrauenswürdigkeit der Justiz. Es schreibt branchenweite Schwarze Listen, Marktausschlussmechanismen, ressortübergreifende gemeinsame Belohnungs- und Bestrafungsverfahren sowie einheitliche Kreditkodierungen für natürliche und juristische Personen vor.

Das Gründungsdokument selbst sieht keinen einheitlichen landesweiten Punktescore für alle Bürger vor, wie ihn westliche Berichterstattung häufig suggeriert. Analysen des China-Instituts MERICS zeigen, dass die tatsächliche Umsetzung bis heute in zahlreiche lokale Pilotprojekte zersplittert blieb und deutlich weniger digitalisiert ist als oft dargestellt. Wie einheitlich die vorgesehenen Sanktionen in der Praxis über verschiedene Provinzen und Städte hinweg angewendet werden, ist aus dieser Primärquelle allein nicht abschließend belegt.

Die irische Datenschutzbehörde DPC reichte am 8. August 2024 erstmals unter Section 134 des Data Protection Act 2018 eine Eilklage beim High Court gegen X ein, weil öffentliche Posts von EU/EWR-Nutzern ohne ausreichende Rechtsgrundlage zum Training der KI Grok verwendet wurden. Twitter International Unlimited Company gab eine dauerhafte Verpflichtungserklärung ab, Daten aus dem Zeitraum 7. Mai bis 1. August 2024 zu löschen und nicht mehr zu verarbeiten, woraufhin das Verfahren am 4. September 2024 eingestellt wurde.

Weder die DPC noch das Gericht haben eine konkrete Zahl betroffener EU-Nutzer oder verarbeiteter Posts genannt. Offen bleibt zudem, ob und in welchem Umfang die bereits vor dem 7. Mai 2024 gesammelten Daten tatsächlich in das Grok-Modell eingeflossen sind, da es zu keiner inhaltlichen gerichtlichen Feststellung einer DSGVO-Verletzung kam, sondern nur zu einer außergerichtlichen Unterwerfungserklärung von X.

Am 2. Juli 2021 nutzte die Gruppe REvil eine Schwachstelle (CVE-2021-30116) in der Kaseya-VSA-Software aus, um über ein manipuliertes Update Ransomware an IT-Dienstleister und deren Kunden zu verteilen. CISA und FBI bestätigten den Vorfall offiziell und Kaseya selbst gab an, dass bis zu etwa 60 direkte Kunden und in der Folge bis zu 1500 nachgelagerte Unternehmen betroffen waren. REvil forderte öffentlich 70 Millionen US-Dollar Lösegeld, und Kaseya erhielt am 23. Juli 2021 von einer nicht näher benannten Quelle einen universellen Entschlüsselungscode, ohne nach eigenen Angaben zu zahlen.

Offen bleibt, wie genau der universelle Entschlüsselungscode zustande kam und ob im Hintergrund doch eine Zahlung floss, da Kaseya dies nur allgemein dementierte. Die genaue Gesamtzahl der tatsächlich verschlüsselten Endkunden weltweit wurde nie abschließend verifiziert. Auch die exakte Schadenssumme bei den betroffenen Unternehmen wurde nicht offiziell beziffert.

Capital One bestätigte am 29. Juli 2019 offiziell, dass am 22. und 23. März 2019 eine Außenstehende eine falsch konfigurierte Firewall einer Cloud-Infrastruktur ausnutzte und Daten von rund 100 Millionen US-Kunden sowie 6 Millionen kanadischen Kunden erlangte, darunter Namen, Adressen, Geburtsdaten, Kreditwerte sowie etwa 140.000 Sozialversicherungsnummern und 80.000 Bankverbindungen. Die vom FBI festgenommene Täterin, die ehemalige AWS-Mitarbeiterin Paige Thompson, wurde im Juni 2022 von einer Jury wegen Wire Fraud und unbefugten Zugriffs auf geschützte Computer für schuldig befunden.

Nicht abschließend geklärt bzw. von Capital One selbst als unwahrscheinlich eingestuft ist, ob die abgegriffenen Daten tatsächlich für Betrug genutzt oder weiterverbreitet wurden. Die Jury sprach Thompson zudem vom Vorwurf des Access Device Fraud und der schweren Identitätsfälschung frei, was zeigt, dass nicht alle Anklagepunkte gerichtlich bestätigt wurden.

Ein Angreifer kaufte das kompromittierte Passwort eines externen Uber-Vertragspartners im Darknet und erzwang per MFA-Fatigue-Angriff sowie einer als IT-Support getarnten WhatsApp-Nachricht die Freigabe eines Zwei-Faktor-Logins. Damit erlangte er Zugriff auf interne Systeme wie Slack, G-Suite, das Finanz-Tool und HackerOne-Berichte und postete eine Nachricht im firmenweiten Slack-Kanal. Uber bestätigte die Zuordnung zur Gruppe Lapsus$ sowie den Zugriff auf interne Kommunikation und Finanzdaten, erklärte aber, dass Produktivsysteme, Nutzerkonten, Kreditkarten- und Fahrtdaten sowie AWS-S3-Speicher nicht betroffen waren.

Offen bleibt, ob die eingesehenen HackerOne-Schwachstellenberichte vom Angreifer weiterverkauft oder an Dritte weitergegeben wurden. Die genaue Identität des Angreifers sowie eine feste organisatorische Zugehörigkeit zu Lapsus$ sind nicht abschließend gerichtlich geklärt. Das volle Ausmaß der eingesehenen internen Daten jenseits der von Uber benannten Kategorien ist nicht unabhängig verifiziert.

Am 1. August 2024 trat die EU-Verordnung über Künstliche Intelligenz, Verordnung (EU) 2024/1689, in Kraft, nachdem sie am 12. Juli 2024 im Amtsblatt der EU veröffentlicht worden war. Die EU-Kommission bezeichnet sie offiziell als weltweit erstes umfassendes Rechtsrahmenwerk für KI. Die Pflichten gelten gestaffelt: Verbote bestimmter KI-Praktiken wie Social Scoring ab dem 2. Februar 2025, Governance-Regeln und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck ab dem 2. August 2025.

Offen bleibt, bis wann die Pflichten für Hochrisiko-KI-Systeme in Bereichen wie Bildung, Beschäftigung oder Migration vollständig greifen, da die Kommission über das separat verhandelte Digital-Omnibus-Paket Verschiebungen dieser Fristen vorschlägt. Wie streng die nationalen Marktüberwachungsbehörden die Vorgaben in der Praxis durchsetzen und mit welchen Bußgeldern, ist zum Erfassungszeitpunkt noch nicht erprobt.

loanDepot meldete der US-Börsenaufsicht SEC im Januar 2024 einen Ransomware-Angriff der Gruppe ALPHV/BlackCat, bei dem Systeme des Hypothekenanbieters verschlüsselt und Daten entwendet wurden. Betroffen waren rund 16,9 Millionen Kunden, deren Namen, Sozialversicherungsnummern, Geburtsdaten und Finanzkontonummern offengelegt wurden. Das Unternehmen bezifferte allein für das erste Quartal 2024 Kosten von 12 bis 17 Millionen Dollar und bildete später eine Rückstellung von 25 Millionen Dollar für Sammelklagen.

Offen bleibt, wie die Angreifer ursprünglich in die Systeme eindrangen und ob loanDepot ein Lösegeld zahlte. Auch die Ermittlungen mehrerer US-Bundesstaaten sowie die Sammelklagen der betroffenen Kunden waren zum Zeitpunkt der Meldung noch nicht abgeschlossen.

Im April 2025 griff die Gruppe Scattered Spider den britischen Einzelhändler Marks and Spencer per Social Engineering an, verschaffte sich Zugang zu einem Drittanbieter-Servicedesk und setzte die DragonForce-Ransomware ein, was wochenlange Ausfälle bei Online-Bestellungen und Warenregalen verursachte. M&S-Chairman Archie Norman bestätigte den Vorfall als Ransomware-Angriff vor einem Unterausschuss des britischen Parlaments am 08.07.2025 und bezifferte den Gewinneinbruch auf rund 300 Millionen Pfund. Die National Crime Agency nahm am 10.07.2025 vier Verdächtige im Zusammenhang mit den Angriffen auf M&S, Co-op und Harrods fest.

Offen bleibt, ob M&S ein Lösegeld gezahlt hat; Norman wollte sich dazu nicht äußern. Die genaue Rolle und Identität der vier festgenommenen Personen im Verhältnis zur Scattered-Spider-Gruppe war zum Zeitpunkt der Festnahme noch nicht gerichtlich geklärt.

Das US-Justizministerium klagte am 11. Dezember 2024 vierzehn nordkoreanische Staatsangehörige an, die über Tarnfirmen mit gefälschten und gestohlenen US-Identitäten als Remote-IT-Mitarbeiter bei amerikanischen Firmen angeheuert wurden. Über sechs Jahre erbeuteten mindestens 130 eingesetzte IT-Arbeiter so rund 88 Millionen US-Dollar, die an das nordkoreanische Regime flossen. In mehreren Fällen drohten die Täter zusätzlich mit der Veröffentlichung gestohlenen Quellcodes.

Alle 14 Angeklagten befinden sich weiterhin auf freiem Fuß, es liegen keine bestätigten Festnahmen vor. Wie viele der über 100 betroffenen US-Unternehmen die Infiltration bereits vorher bemerkten, bleibt in der Anklage offen.

Die EU-Kommission verhängte am 23. April 2025 gegen Apple ein Bußgeld von 500 Millionen Euro, weil das Unternehmen gegen die Anti-Steering-Pflichten des Digital Markets Act verstoßen hat. Apple erlaubte App-Entwicklern demnach nicht ausreichend, Nutzer im App Store auf günstigere Kaufoptionen außerhalb der Plattform hinzuweisen. Es handelt sich um die erste Bußgeldentscheidung der Kommission unter dem DMA, parallel wurde Meta mit 200 Millionen Euro belegt. Apple legte im Juli 2025 Rechtsmittel gegen die Entscheidung ein.

Offen ist der Ausgang von Apples Berufung vor dem Gericht der EU, das Verfahren war zum Zeitpunkt der Recherche noch nicht entschieden. Nicht dokumentiert sind interne Abwägungen bei Apple zur Preisgestaltung der App-Store-Gebühren.

Western Digital bestätigte, dass am 26. März 2023 ein unbefugter Dritter in Firmensysteme eindrang, woraufhin der My-Cloud-Dienst und der Online-Shop tagelang abgeschaltet wurden. Das Unternehmen bestätigte, dass eine Kopie der Online-Shop-Datenbank mit Kundennamen, Adressen, E-Mail-Adressen und Teilen von Kreditkartennummern entwendet wurde. Die Ransomware-Gruppe ALPHV/BlackCat reklamierte den Angriff für sich und behauptete, rund 10 Terabyte an Daten erbeutet zu haben.

Der von den Angreifern behauptete Umfang von rund 10 Terabyte gestohlener Daten ist nicht unabhängig verifiziert, ebenso wenig eine tatsächliche Lösegeldzahlung. Western Digital bestätigte offiziell nur den Diebstahl der Online-Shop-Kundendatenbank.

Im Rahmen der vom deutschen Bundeskriminalamt geleiteten und von Europol koordinierten Operation Talent nahmen Behörden aus acht Ländern zwischen dem 28. und 30. Januar 2025 die Cybercrime-Foren Cracked und Nulled sowie den zugehörigen Zahlungsdienstleister Sellix und Hoster StarkRDP vom Netz. Die beiden Plattformen hatten zusammen über 10 Millionen registrierte Nutzerkonten. Es wurden zwei Personen in Spanien festgenommen, 12 Domains sowie 17 Server beschlagnahmt, dazu rund 300.000 Euro in Bargeld und Kryptowährungen.

Offen bleibt das genaue Gesamtausmaß der über die Foren abgewickelten kriminellen Umsätze. Nicht öffentlich dokumentiert ist, wie viele der acht identifizierten mutmaßlichen Hauptbetreiber inzwischen tatsächlich strafrechtlich verurteilt wurden, da Verfahren in mehreren Ländern noch liefen.

Aflac bestätigte am 20. Juni 2025, dass Angreifer am 12. Juni 2025 per Social Engineering in US-Systeme eindrangen und dabei Sozialversicherungsnummern, Gesundheitsdaten und Schadensfallinformationen abgriffen. Sicherheitsforscher ordneten den Angriff der Gruppe Scattered Spider zu, die im gleichen Zeitraum weitere US-Versicherer attackierte. Laut einer Meldung vom Februar 2026 waren fast 13,9 Millionen Personen mit betroffenen Gesundheitsdaten registriert.

Die Zuordnung zur Gruppe Scattered Spider stammt von Sicherheitsforschern, nicht von einer offiziellen Bestätigung Aflacs. Offen bleibt, ob und in welchem Umfang die gestohlenen Daten tatsächlich für Betrug missbraucht wurden.

Fortinet veröffentlichte am 08.02.2024 einen Sicherheitshinweis zu CVE-2024-21762, einer kritischen Out-of-Bounds-Write-Schwachstelle in FortiOS SSL-VPN mit einem CVSS-Wert von 9,6. Die Lücke erlaubt nicht authentifizierten Angreifern per präparierter HTTP-Anfrage die Ausführung beliebigen Codes auf betroffenen Firewalls. Die US-Cybersicherheitsbehörde CISA nahm die Lücke bereits am 09.02.2024 in ihren Known-Exploited-Vulnerabilities-Katalog auf, da eine Ausnutzung in freier Wildbahn beobachtet wurde.

Wie viele Geräte weltweit tatsächlich erfolgreich kompromittiert wurden, ist nicht abschließend beziffert. Die Identität der ersten ausnutzenden Angreifergruppen blieb ungeklärt, im März 2024 bot ein Akteur auf einem Untergrundforum zusätzlich einen Exploit für die Lücke zum Verkauf an.