Quellen-Tabelle

Die technische Hürde für täuschend echte KI-Stimmklone ist drastisch gesunken: Betrügern genügen inzwischen oft nur wenige Sekunden Audiomaterial einer Zielperson, um mit frei zugänglicher KI-Software deren Stimme nachzuahmen. Beim modernisierten Enkeltrick ruft die geklonte, panisch klingende Stimme eines vermeintlichen Angehörigen an, berichtet von einer Krisensituation und bittet um eine Geldüberweisung. Laut einem FTC-Bericht von 2025 vervierfachten sich die gemeldeten finanziellen Verluste bei über 69-Jährigen in den USA zwischen 2020 und 2024. In München verlor im November 2025 ein Senior durch einen gefälschten Anruf des vermeintlichen Enkels einen sechsstelligen Betrag; in Rösrath erkannte eine 79-Jährige im Dezember 2025 dagegen den Betrug rechtzeitig, als ein Anrufer 75.000 Euro Kaution forderte, und schlug Alarm.

Die FTC-Zahlen zur Vervierfachung beziehen sich auf die USA; belastbare vergleichbare Gesamtstatistiken für Deutschland sind aus dieser Quelle nicht angegeben, nur Einzelfälle.

Das Baltimore Police Department testete ab Mai ein sechsmonatiges Pilotprogramm namens Aerial Investigation Research (AIR), bei dem eine mit dem Privatunternehmen Persistent Surveillance Systems betriebene Cessna mit einem 12-Kamera-Array kontinuierlich die Stadt überflog, um Verdächtige bei Gewaltverbrechen wie Morden, Schießereien und bewaffneten Raubüberfällen zu identifizieren. Die zugrunde liegende Technologie war ursprünglich für Kriegsschauplätze im Irak entwickelt und zuvor nie in diesem Umfang über einer US-Stadt eingesetzt worden. Ein Bericht des NYU Policing Project stellte fest, dass das Programm wahrscheinlich über die eigenen zugesicherten Bürgerrechtsgrenzen hinausging, indem es einzelne Personen über mehrere Tage hinweg verfolgte und Aufnahmen nicht wie zugesichert nach 45 Tagen löschte; die Polizei ließ Fahrzeuge sogar an Orten wie der 'Wohnung der Mutter einer Zielperson' verfolgen, ohne dass dort ein Tatort vorlag. Ein Bundesberufungsgericht entschied schließlich, das Luftüberwachungsprogramm sei verfassungswidrig, da der Einsatz von Flugzeugen mit hochauflösenden Weitwinkelkameras eine durchsuchungsbefehlslose Durchsuchung im Sinne des Vierten Verfassungszusatzes darstelle.

Trotz des sechsmonatigen Einsatzes und erheblicher Kosten fingen die 'Spy Planes' laut Berichterstattung nur wenige tatsächliche Straftäter; ein belegter quantitativer Nutzen für die Kriminalitätsaufklärung ist aus dieser Quelle nicht erkennbar.

Bei einem sogenannten Keyword Warrant muss Google alle Daten zu Nutzersuchen herausgeben, die bestimmte Suchbegriffe innerhalb eines festgelegten Zeitraums enthielten, unabhängig davon, ob die suchenden Personen mit einer Straftat in Verbindung stehen. Google wird nach Schätzungen jährlich mit tausenden solcher Anordnungen konfrontiert; Keyword Warrants gelten als eine der umstrittensten Durchsuchungsmaßnahmen in den USA. In einem Fall aus dem Jahr 2016 forderte die Polizei nach der Vergewaltigung einer Frau in Pennsylvania per Durchsuchungsbeschluss von Google die Herausgabe aller Nutzer, die zuvor nach der Adresse des Opfers gesucht hatten; in einer Untersuchung aus Wisconsin 2019 verlangten Behörden Informationen zu allen Nutzern, die den Namen des Opfers, zwei Schreibweisen des Namens seiner Mutter und dessen Adresse innerhalb eines bestimmten Zeitraums gesucht hatten. Kritiker warnen, dass unschuldige Personen durch dieses 'Fischen im Trüben' ins Visier von Ermittlern geraten können, ohne selbst verdächtig zu sein.

Wie oft Keyword Warrants tatsächlich zur Verurteilung unbeteiligter Personen führten, ist aus dieser Quelle nicht mit Fallzahlen belegt; die Kritik bezieht sich auf das strukturelle Risiko der Methode.

Seit Ende 2022 sind bei der Polizei Berlin 250 Bodycams sowie 50 beim Rettungsdienst der Berliner Feuerwehr im Einsatz; ein Evaluationsbericht der Senatsverwaltung für Inneres und Sport wurde im Oktober 2024 dem Abgeordnetenhaus vorgelegt. Die Speicherfrist für Bodycam-Aufnahmen ist je nach Bundesland sehr unterschiedlich geregelt, etwa vier Tage in Hamburg gegenüber bis zu 30 Tagen in anderen Ländern; der Hamburger Datenschutzbeauftragte kritisierte die kurze Frist, weil sie Betroffenen zu wenig Zeit lasse, sich über das Verhalten von Polizeibeamten zu beschweren, bevor die Aufnahmen automatisch gelöscht werden. Amnesty International forderte, dass die Polizei Videoaufzeichnungen vor der automatischen Löschung systematisch auf strafrechtlich relevantes Verhalten von Beamten selbst hin auswerten müsse. Eine Gesetzesänderung erlaubt seit Ende 2023 unter engen rechtlichen Voraussetzungen zusätzlich den Einsatz von Bodycams innerhalb von Wohnungen.

Ob die Polizei Aufnahmen tatsächlich systematisch auf das eigene Fehlverhalten hin auswertet, wie von Amnesty gefordert, oder überwiegend nur bei Beschwerden reaktiv genutzt wird, ist aus dieser Quelle nicht belegt.

Der Europäische Datenschutzbeauftragte (EDSB) stellte bereits im September 2020 fest, dass Europol bei seiner Voranalyse zur Personenkategorisierung gegen den Grundsatz der Datenminimierung verstieß, und ordnete im Januar 2022 an, Daten zu Personen zu löschen, für die keine Verbindung zu kriminellen Aktivitäten nachgewiesen war. Laut Recherchen des Guardian umfasste die betroffene Datensammlung rund vier Petabyte, entsprechend etwa drei Millionen CD-ROMs, zu mindestens 250.000 Personen, die nationale Strafverfolgungsbehörden an Europol übermittelt hatten, darunter Angaben zu Tausenden unbeteiligten Menschen sowie Einträge aus Terrorlisten einzelner Staaten, die eigentlich hätten gelöscht werden müssen. Statt die Löschanordnung umzusetzen, verabschiedete die EU eine Verordnung, die den Datenberg rückwirkend legalisierte: Die neuen Artikel 74a und 74b erlaubten Europol rückwirkend die Verarbeitung großer Datensätze ohne nachgewiesenen Bezug zu Straftaten und traten am 28.06.2022 in Kraft, womit der Widerspruch des EDSB vom Januar 2022 überschrieben wurde. Der EDSB brachte den Fall daraufhin vor den Europäischen Gerichtshof.

Der Ausgang des Verfahrens vor dem Europäischen Gerichtshof ist aus dieser Quelle nicht belegt.

Im Mai 2024 stahlen unbekannte Angreifer mehrere Millionen Kundensupport-Tickets der Überwachungs-App mSpy, einschließlich persönlicher Informationen, Support-E-Mails und Anhängen wie persönlichen Dokumenten. Das mehrere hundert Gigabyte umfassende Leck enttarnte Millionen Nutzer aus Europa, Indien, Japan sowie Nord- und Südamerika, die in den vergangenen zehn Jahren Zugang zur kommerziell erhältlichen Spyware erworben hatten; ein Mitarbeiter von Have I Been Pwned erhielt eine Liste mit 2,4 Millionen betroffenen E-Mail-Adressen. Die geleakten Zendesk-Support-Aufzeichnungen reichten bis 2014 zurück und enthielten Anfragen mehrerer hochrangiger US-Militärangehöriger, eines amtierenden US-Bundesrichters sowie eines Sheriffbüros aus Arkansas. Über einen Monat nach dem Leak hatte der ukrainische Betreiber Brainstack den Vorfall weder offiziell anerkannt noch öffentlich gemacht. Bereits 2015 und 2018 waren zuvor jeweils hunderte Gigabyte bzw. Millionen vertraulicher mSpy-Kundendaten und Überwachungsdaten von Opfern im Darknet aufgetaucht.

Dass hochrangige US-Amtsträger unter den Kunden waren, belegt die Quelle anhand der Support-Anfragen; ob sie die Software zur Überwachung Dritter tatsächlich einsetzten oder aus anderen Gründen Kontakt zum Support hatten, ist daraus nicht ersichtlich.

Am 24.11.2014 wurde Sony Pictures gehackt, wobei tonnenweise vertrauliche Daten, Finanzzahlen, interne Kommunikation sowie hochauflösende Kopien kommender Sony-Filme öffentlich wurden. Eine Hackergruppe namens 'Guardians of Peace' bekannte sich zu dem Angriff und drohte mit Terroranschlägen auf Kinos, sollte der Nordkorea-Satirefilm 'The Interview' gezeigt werden. Das FBI beschuldigte am 19.12.2014 staatliche Stellen Nordkoreas als Urheber; mit zunehmendem zeitlichem Abstand verhärteten sich jedoch Zweifel an dieser damaligen Zuschreibung. Der Datenbruch offenbarte schwache Sicherheitspraktiken bei Sony, unter anderem waren einige Daten hinter dem Passwort 'sonypictures' hinterlegt. Durch die geleakten Informationen wurden massive Gagenunterschiede bei Sony-Produktionen bekannt, und Studiochefin Amy Pascal wurde durch unsensibel formulierte private E-Mails öffentlich bloßgestellt und musste das Studio in der Folge verlassen; der geplante breite Kinostart von 'The Interview' wurde abgesagt, was auch Kritik von US-Präsident Barack Obama einbrachte.

Die Urheberschaft Nordkoreas wird von der offiziellen FBI-Zuschreibung behauptet, ist aber laut späteren Analysen keineswegs zweifelsfrei belegt; beide Lesarten kursieren bis heute.

Im Herbst 2022 führte Twitter unter der neuen Führung von Elon Musk rasche Kündigungen und Massenentlassungen durch, die erheblich die Teams betrafen, die für den Schutz von Nutzerdaten zuständig waren; zentrale Datenschutz- und Sicherheitsverantwortliche verließen das Unternehmen, darunter der Chief Privacy Officer, der Chief Information Officer und der Chief Compliance Officer. 2022 wies Musk Mitarbeiter an, einer externen dritten Person 'vollständigen Zugriff auf alles bei Twitter' mit erweiterten Rechten über die eines durchschnittlichen Mitarbeiters hinaus zu gewähren; Informationssicherheits-Mitarbeiter griffen ein und implementierten Schutzmaßnahmen, um eine mögliche Offenlegung nicht-öffentlicher Nutzerdaten unter Verstoß gegen eine bestehende FTC-Anordnung zu verhindern. Die Federal Trade Commission untersuchte Musks Massenentlassungen bei Twitter und verlangte Einsicht in seine interne Kommunikation im Rahmen ihrer Aufsicht über die Datenschutz- und Cybersicherheitspraktiken des Unternehmens; das US-Justizministerium erklärte, Musk könne gegen eine 2022 verhängte FTC-Anordnung zu Datenschutz- und Sicherheitspraktiken bei Twitter verstoßen haben.

Der Ausgang der FTC-Untersuchung gegen Musk und Twitter/X ist aus dieser Quelle nicht belegt.

Nachdem Change Healthcare Berichten zufolge 22 Millionen US-Dollar Lösegeld an die Ransomware-Gruppe ALPHV/BlackCat gezahlt hatte, um nach dem am 21.02.2024 bekanntgewordenen Angriff wieder Zugriff auf seine Systeme zu erhalten, meldete sich am 08.04.2024 eine zweite Gruppe namens RansomHub und behauptete, im Besitz derselben bereits erpressten Daten zu sein. RansomHub gab an, über 4 Terabyte sensibler Daten aus dem Netzwerk des Unternehmens erbeutet zu haben, darunter personenbezogene Daten aktiver US-Militärangehöriger und anderer Patienten, medizinische Unterlagen, Versicherungsdaten, Zahlungsinformationen sowie über 3.000 Quellcode-Dateien von Change-Healthcare-Software, und drohte mit Veröffentlichung, sollte keine weitere Zahlung erfolgen. Es kursieren drei Theorien zur Identität von RansomHub: ein Rebranding von ALPHV mit tatsächlichem Zugriff auf die Daten, ein ehemaliges ALPHV-Mitglied mit Zugriff, oder ein bluffender Akteur ohne echten Datenzugriff.

Welche der drei Theorien zur Identität von RansomHub zutrifft und ob eine zweite Zahlung tatsächlich erfolgte, ist aus dieser Quelle nicht abschließend geklärt.

Am 10. Januar 2023 wurde der britische Postdienst Royal Mail Ziel eines Ransomware-Angriffs mit der Schadsoftware LockBit Black, der Drucksysteme fuer Zoll- und Versandetiketten am internationalen Verteilzentrum in Langley bei Heathrow sowie an weiteren Standorten verschluesselte. In der Folge kam der internationale Post- und Paketversand praktisch zum Erliegen, Kunden konnten wochenlang keine Sendungen ins Ausland aufgeben. Die Angreifer forderten zunaechst 80 Millionen US-Dollar Loesegeld, was nach ihrer eigenen Berechnung 0,5 Prozent des Jahresumsatzes von Royal Mail entsprach, und senkten die Forderung am 1. Februar 2023 auf 70 Millionen US-Dollar. Royal Mail bezeichnete die Forderung als absurd, zahlte kein Loesegeld und folgte damit dem Rat der Ermittlungsbehoerden. LockBit veroeffentlichte daraufhin im Februar 2023 Verhandlungsprotokolle sowie gestohlene Unternehmensdaten. Ab dem 19. Januar 2023 nahm Royal Mail eingeschraenkte internationale Dienste ueber Notloesungen wieder auf, vollstaendig wiederhergestellt war der Auslandsversand erst Ende Februar 2023. National Cyber Security Centre und National Crime Agency ermittelten gemeinsam zu dem Vorfall. Der Inlandsversand in Grossbritannien war von dem Angriff nicht betroffen. Nach eigenen Angaben kostete die Bewaeltigung des Vorfalls Royal Mail mehr als 10 Millionen britische Pfund.

Aus der zitierten Quelle nicht abschliessend belegt sind die genaue Anzahl und Art der tatsaechlich von LockBit abgeflossenen Datensaetze sowie die interne Verantwortlichkeit innerhalb der LockBit-Struktur, da die Gruppe selbst zeitweise bestritt, hinter dem Angriff zu stehen.

Der australische Krankenversicherer Medibank, mit rund 9,7 Millionen Kunden das groesste Unternehmen seiner Art im Land, meldete am 13.10.2022 einen Cyberangriff. Die Angreifer erlangten Zugang ueber gestohlene Zugangsdaten eines Drittanbieters, dessen Systeme keine Mehrfaktor-Authentifizierung nutzten, und exfiltrierten laut Ermittlungen rund 200 Gigabyte an Daten. Betroffen waren Namen, Geburtsdaten, Adressen, Telefonnummern, E-Mail-Adressen, teils Medicare- und Passnummern sowie Gesundheits- und Behandlungsdaten der Versicherten, darunter Diagnosecodes zu Abtreibungen, Suchtbehandlungen, HIV-Infektionen und psychischen Erkrankungen. Die mutmasslich mit der russischsprachigen Ransomware-Gruppe REvil verbundenen Taeter forderten ein Loesegeld von rund 10 Millionen US-Dollar, umgerechnet etwa einem US-Dollar pro betroffenem Kunden. Medibank lehnte die Zahlung Anfang November 2022 unter Verweis auf die australische Regierung ab. Daraufhin veroeffentlichten die Angreifer ab dem 9. und 10.11.2022 gestohlene Datensaetze im Darknet, darunter eine als "abortions.csv" bezeichnete Datei sowie eine Liste mit Daten zu Drogen-, Alkohol- und psychischen Erkrankungen. Die australische Datenschutzbehoerde OAIC reichte spaeter Klage gegen Medibank ein und wirft dem Unternehmen vor, von Maerz 2021 bis Oktober 2022 keine angemessenen Schutzmassnahmen fuer die Daten von 9,7 Millionen Australiern getroffen zu haben. Medibank bezifferte die Gesamtkosten des Vorfalls bis Mitte 2025 auf mehr als 125 Millionen australische Dollar.

Aus dieser Quelle nicht belegt: der genaue Ausgang des laufenden Zivilverfahrens der OAIC gegen Medibank sowie eine abschliessend bestaetigte Hoehe der verhaengten Strafzahlung, da das Verfahren zum Zeitpunkt der Recherche noch nicht rechtskraeftig abgeschlossen war.

Am 26.02.2022 entdeckte der japanische Toyota-Zulieferer Kojima Industries Corporation, Hersteller von Kunststoff- und Elektronikteilen, nach einem Fehler auf einem Dateiserver eine Virusinfektion samt englischsprachiger Drohbotschaft. Toyota Motor Corporation kündigte daraufhin an, wegen des dadurch ausgelösten Systemausfalls bei Kojima am 01.03.2022 alle 28 Fertigungslinien an allen 14 inländischen Werken in Japan für beide Schichten auszusetzen. Der eintägige Produktionsstopp kostete nach Reuters-Berechnungen rund 13.000 Fahrzeuge und betraf über gemeinsame Zulieferteile auch die mit Toyota verbundenen Marken Daihatsu und Hino. Zeitgleich meldete auch der Wasserpumpenhersteller GMB Corp, ein weiterer Toyota-Zulieferer, technische Probleme. Bereits am 02.03.2022 nahm Toyota die Produktion in der ersten Schicht wieder auf, nachdem der Datenaustausch zwischen Kojima und Toyota über ein Backup-Netzwerk wiederhergestellt worden war. Toyota rechnete zu diesem Zeitpunkt damit, dass die vollständige Systemwiederherstellung noch ein bis zwei Wochen dauern werde. Toyota-Präsident Akio Toyoda besuchte die Kojima-Zentrale rund vier Tage nach dem Vorfall. Mehrere Medien bezifferten den wirtschaftlichen Schaden aus dem eintägigen Produktionsausfall auf eine grobe Schätzung von etwa 375 Millionen US-Dollar auf Basis von Umsatz- und Absatzdaten.

Wer für den Angriff verantwortlich war und ob es sich tatsächlich um Ransomware oder einen Emotet-Bezug handelte, war laut Reuters-Bericht zum Zeitpunkt der Berichterstattung nicht bestätigt; die kolportierte Schadenssumme von rund 375 Mio. US-Dollar beruht auf einer externen Hochrechnung, nicht auf einer offiziellen Toyota-Angabe.

Die Ransomware-Gruppe LockBit listete den US-Flugzeughersteller Boeing am 27.10.2023 auf ihrer Darknet-Leak-Seite als Opfer und drohte mit der Veröffentlichung gestohlener Unternehmensdaten, falls Boeing nicht bis zum 02.11.2023 Kontakt aufnehme. Boeing bestätigte einen Cybervorfall, der nach eigenen Angaben Teile des Ersatzteil- und Distributionsgeschäfts betraf, jedoch keine Auswirkungen auf die Flugsicherheit gehabt habe. Nachdem Verhandlungen offenbar gescheitert waren, veröffentlichte LockBit die Daten bereits am 10.11.2023, früher als die zunächst angekündigte Frist vom 13.11.2023. Sicherheitsforscher bezifferten das veröffentlichte Datenpaket auf rund 40 bis 50 Gigabyte, es enthielt unter anderem Backup-Dateien, Konfigurationen von Software-Management-Systemen sowie Protokolle aus Citrix- und Telefonsystemen. Als möglicher Einfallsvektor wird die im Oktober 2023 bekannt gewordene Citrix-Bleed-Sicherheitslücke CVE-2023-4966 in Citrix-NetScaler-Systemen vermutet, eine offizielle Bestätigung durch Boeing dafür gibt es nicht. Boeing erklärte, Strafverfolgungs- und Aufsichtsbehörden informiert zu haben und den Vorfall zu untersuchen. Im Mai 2024 wurde im Zuge einer Anklage des US-Justizministeriums gegen den mutmaßlichen LockBit-Administrator Dmitry Khoroshev bekannt, dass die Angreifer ursprünglich 200 Millionen US-Dollar Lösegeld gefordert hatten, was Boeing bestätigte. Boeing zahlte das geforderte Lösegeld nicht.

Die genaue Menge und der Inhalt der veröffentlichten Daten sind nicht abschließend geklärt, Quellen nennen unterschiedliche Größenangaben zwischen rund 40 und 50 Gigabyte. Der technische Einfallsvektor (vermutlich Citrix Bleed) sowie die Identität der konkret verantwortlichen LockBit-Mitglieder wurden von Boeing nie offiziell bestätigt.

Am 16. Juli 2021 verhängte die luxemburgische Datenschutzbehörde CNPD (Commission Nationale pour la Protection des Données) gegen Amazon Europe Core S.à r.l. ein Bußgeld in Höhe von 746 Millionen Euro. Bekannt wurde die Entscheidung am 30. Juli 2021, als Amazon sie in ihrem Quartalsbericht bei der US-Börsenaufsicht SEC offenlegte. Die CNPD warf Amazon vor, personenbezogene Daten seiner Kunden ohne wirksame und freiwillige Einwilligung für personalisierte Werbung zu verarbeiten und damit gegen die Grundsätze der Transparenz und Zweckbindung der DSGVO zu verstoßen. Grundlage des Verfahrens war eine Sammelbeschwerde, die die französische Bürgerrechtsorganisation La Quadrature du Net im Mai 2018 gemeinsam mit rund 10.000 Unterstützern eingereicht hatte. Mit 746 Millionen Euro war dies zum Zeitpunkt der Verhängung das höchste jemals von einer europäischen Datenschutzbehörde verhängte DSGVO-Bußgeld und übertraf die bisherige Rekordstrafe von 50 Millionen Euro gegen Google aus dem Jahr 2019 um ein Vielfaches. Amazon wies die Vorwürfe zurück und legte Rechtsmittel gegen die Entscheidung ein. Im März 2025 bestätigte das Verwaltungsgericht Luxemburg die Entscheidung der CNPD und die Bußgeldhöhe von 746 Millionen Euro in vollem Umfang.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Form Amazon nach der Bestätigung durch das Verwaltungsgericht Luxemburg im März 2025 weitere Rechtsmittel eingelegt hat und ob die Summe bereits tatsächlich gezahlt wurde.

Am 21.02.2024 legte ein Ransomware-Angriff der Gruppe ALPHV/BlackCat den IT-Betrieb von Change Healthcare lahm, einem Tochterunternehmen von UnitedHealth Group, das rund ein Drittel aller US-Krankenversicherungsabrechnungen verarbeitet. Die Angreifer verschafften sich bereits am 12.02.2024 über ein Citrix-Fernzugangsportal Zugang, das entgegen der Unternehmensrichtlinie nicht durch Multi-Faktor-Authentifizierung geschützt war. In neun Tagen bewegten sie sich lateral durch die Systeme und exfiltrierten schätzungsweise sechs Terabyte an Daten, bevor am 21.02.2024 die Ransomware ausgelöst wurde. UnitedHealth Group zahlte im Anschluss ein Lösegeld von 22 Millionen US-Dollar, erhielt jedoch keine vollständige Zusicherung der Datenlöschung. Betroffen waren Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Krankenversicherungs-, Diagnose-, Behandlungs- und Abrechnungsdaten. Die Zahl der gemeldeten Betroffenen wurde mehrfach nach oben korrigiert, von anfänglich rund 100 Millionen auf schließlich 192,7 Millionen Individuen, fast zwei Drittel der US-Bevölkerung. UnitedHealth bezifferte die Gesamtauswirkungen des Angriffs bis Ende September 2024 auf 2,457 Milliarden US-Dollar.

Nicht abschließend geklärt sind der genaue Umfang der tatsächlich missbrauchten Daten je Betroffenem sowie der Ausgang der zivilrechtlichen Sammelklagen und der behördlichen HIPAA-Untersuchung, die zum Zeitpunkt der Recherche noch keine abschließenden Ergebnisse veröffentlicht hatte.

Der australische Logistikkonzern Toll Group wurde 2020 innerhalb weniger Monate zweimal von unterschiedlichen Ransomware-Gruppen angegriffen. Am 31.01.2020 entdeckte Toll eine Infektion mit einer neuen Variante der Ransomware Mailto, woraufhin das Unternehmen am 05.02.2020 öffentlich bekanntgab, aus Vorsicht zahlreiche IT-Systeme abgeschaltet zu haben. Nach Medienberichten waren bis zu 1.000 Server und rund 500 Unternehmensanwendungen betroffen, unter anderem das Active Directory, und aus einem Server wurden rund 220 Gigabyte Daten entwendet. Die vollständige Wiederherstellung der Kernsysteme dauerte mehr als sechs Wochen. Am 05.05.2020 schaltete Toll erneut vorsorglich IT-Systeme ab, diesmal verantwortlich war die Ransomware-Gruppe Nefilim. Die Angreifer entwendeten aktuelle und frühere Geschäftsvereinbarungen sowie Mitarbeiterdaten von mindestens einem Server. Der Ausfall des Kundenportals MyToll behinderte die Umleitung von Sendungen an alternative Abholstellen und störte den Lieferbetrieb. Toll-Geschäftsführer Thomas Knudsen entschuldigte sich öffentlich bei den Betroffenen und erklärte, das Unternehmen werde kein Lösegeld zahlen, und informierte das Australian Cyber Security Centre sowie die australische Bundespolizei.

Aus den verfügbaren Quellen ist nicht abschließend belegt, wie viele Kunden individuell betroffen waren, ob ein technischer Zusammenhang zwischen beiden Angriffen bestand und ob die von Nefilim angedrohte vollständige Veröffentlichung der gestohlenen Daten im Darknet tatsächlich umgesetzt wurde.

In der Nacht zum 10. September 2020 wurden rund 30 Server des Universitätsklinikums Düsseldorf durch eine Ransomware verschlüsselt, die über eine seit Dezember 2019 bekannte, ungepatchte Sicherheitslücke in einer Citrix-Anwendung ins Kliniknetzwerk gelangt war. Wegen des IT-Ausfalls musste die Notaufnahme vorübergehend geschlossen werden. In der Nacht zum 11. September 2020 wurde deshalb eine 78-jährige Patientin mit einem lebensbedrohlichen Aneurysma per Rettungswagen in eine rund 32 Kilometer entfernte Klinik in Wuppertal umgeleitet, wodurch sich ihre Behandlung um etwa eine Stunde verzögerte. Die Frau starb kurz darauf. Die Staatsanwaltschaft Köln leitete Ermittlungen wegen fahrlässiger Tötung gegen die unbekannten Angreifer ein, der weltweit erste dokumentierte Verdachtsfall eines Todes durch einen Ransomware-Angriff. Nachdem die Polizei den Erpressern mitgeteilt hatte, dass sie statt der eigentlich als Ziel vorgesehenen Heinrich-Heine-Universität die Uniklinik getroffen hatten, zogen die Täter ihre Lösegeldforderung zurück und übermittelten kostenlos einen Entschlüsselungsschlüssel. Am 17. November 2020 stellte die Staatsanwaltschaft Köln die Ermittlungen wegen des Todesfalls ein, da eine Obduktion ergeben hatte, dass die Patientin wahrscheinlich auch ohne die Verzögerung gestorben wäre.

Aus dieser Quelle nicht belegt ist die genaue Identität der Angreifer sowie ob ihr tatsächlicher Standort in Russland zweifelsfrei feststeht. Offen bleibt zudem, ob weitere Patienten durch die tagelange Einschränkung der Notaufnahme gesundheitliche Nachteile erlitten.

Am 08.06.2013 veröffentlichte The Guardian auf Basis von durch Edward Snowden geleakten Dokumenten Berichte über das interne NSA-Tool Boundless Informant, ein Big-Data-Analyse- und Visualisierungswerkzeug, mit dem die NSA weltweit gesammelte Metadaten aus Telefon- und Internetverkehr länderweise kartiert und quantifiziert. Laut den Dokumenten sammelte die NSA in einem 30-Tage-Zeitraum bis März 2013 weltweit rund 97 Milliarden Internet-Datensätze und 125 Milliarden Telefon-Metadatensätze. Die meisten Datensätze im März 2013 stammten aus dem Iran mit über 14 Milliarden, gefolgt von Pakistan mit 13,5 Milliarden und Jordanien mit 12,7 Milliarden. Aus den USA selbst wurden im gleichen Zeitraum fast 3 Milliarden Datensätze erfasst. Für Deutschland wiesen die Unterlagen rund 552 Millionen erfasste Telefon- und Internet-Metadatensätze im Zeitraum vom 10.12.2012 bis 08.01.2013 aus. NSA-Direktor Keith Alexander bezeichnete daraus abgeleitete Vorwürfe einer Massenüberwachung eigener Bürger als völlig falsch.

Aus dieser Quelle nicht abschließend belegt ist, ob und in welchem Umfang die als deutsche Metadaten interpretierten 552 Millionen Datensätze tatsächlich innerdeutsche Kommunikation betrafen oder auf gemeinsamer Erhebung mit dem BND beruhten.

Ab dem 27.04.2007, unmittelbar nach der Verlegung des sowjetischen Bronzenen Soldaten von Tallinn vom Stadtzentrum an einen Militärfriedhof, wurde Estland rund drei Wochen lang Ziel koordinierter Distributed-Denial-of-Service-Angriffe. Betroffen waren die Webseiten des Parlaments Riigikogu, des Präsidialamts, mehrerer Ministerien, politischer Parteien, Banken sowie Zeitungen und Rundfunksender. Die Angriffe reichten von einfachen Ping-Fluten einzelner Nutzer bis zu gemieteten Botnetzen. Die estnische Polizei leitete am 02.05.2007 Ermittlungen ein. Am 24.01.2008 wurde der estnische Staatsbürger russischer Abstammung Dmitri Galushkevich als bislang einzige verurteilte Einzelperson zu einer Geldstrafe von 17.500 estnischen Kronen, umgerechnet rund 1.640 US-Dollar, verurteilt. Am 10.03.2009 bekannte sich Konstantin Goloskokow, ein Funktionär der russischen Jugendorganisation Nashi, öffentlich zur Mitverantwortung für einen Teil der Angriffe. Russland wies eine staatliche Beteiligung zurück und verweigerte estnischen Behörden Rechtshilfe. Als Folge der Angriffe gründete die NATO im Mai 2008 in Tallinn das Cooperative Cyber Defence Centre of Excellence.

Eine direkte Verantwortung der russischen Staatsführung für die Angriffe wurde weder von der NATO noch von der Europäischen Kommission abschließend nachgewiesen. Die einzige strafrechtliche Verurteilung betraf einen Einzeltäter mit vergleichsweise geringer Geldstrafe.

Die US-Einwanderungsbehörde ICE beauftragte Palantir Technologies im April 2025 mit einem rund 30 Millionen US-Dollar schweren Vertrag zum Aufbau des Systems ImmigrationOS, das Identifizierung, Priorisierung, Festnahme und Abschiebung ausreisepflichtiger Personen effizienter gestalten soll. Das System bündelt Daten aus Behörden, kommerziellen Datenhändlern für Standortdaten sowie den Analysewerkzeugen Webloc und Tangles des Zulieferers Penlink. Im Januar 2026 vergab ICE den Anschlussvertrag zur Weiterentwicklung des zugrunde liegenden Fallmanagementsystems ICM exklusiv an Palantir.

Ob die von der ICE-Rechtsabteilung vertretene Position, wonach für den Zugriff auf gekaufte Standortdaten kein richterlicher Beschluss nötig sei, vor Gericht Bestand hätte, ist rechtlich umstritten und aus dieser Quelle nicht abschließend geklärt. Ob vergleichbare Penlink-Werkzeuge auch in Deutschland eingesetzt werden, ließ die Bundesregierung unter Verweis auf die nationale Sicherheit offen.

Der weltgrößte Fleischverarbeiter JBS wurde am 30./31. Mai 2021 Opfer eines Ransomware-Angriffs, der die Produktion an Standorten in den USA, Kanada und Australien für mehrere Tage lahmlegte. JBS USA bestätigte am 9. Juni 2021, den Angreifern rund 11 Millionen US-Dollar gezahlt zu haben, um mögliche Risiken für Kunden und einen Datenabfluss zu vermeiden. Das FBI attribuierte den Angriff der russischsprachigen Gruppe REvil (Sodinokibi).

Nicht abschließend belegt ist, in welcher Zahlungsform das Lösegeld genau übermittelt wurde und ob tatsächlich Daten exfiltriert wurden. Offen bleibt zudem der genaue technische Einstiegsvektor der Angreifer sowie ob und in welchem Umfang Mitglieder der REvil-Gruppe strafrechtlich belangt wurden.

Die US-Handelsaufsicht FTC einigte sich am 19. Dezember 2022 mit Epic Games, dem Hersteller von Fortnite, auf Zahlungen von insgesamt 520 Millionen US-Dollar. Davon entfielen 275 Millionen Dollar auf ein Bußgeld wegen Verstößen gegen das Kinderschutzgesetz COPPA, da Fortnite Daten von Kindern unter 13 Jahren ohne überprüfbare Elterneinwilligung sammelte und Text- sowie Sprachchat standardmäßig aktiviert waren. Weitere 245 Millionen Dollar musste Epic als Rückerstattung an Nutzer zahlen, die durch irreführende Bedienelemente zu ungewollten Käufen verleitet wurden.

Aus der Quelle geht nicht hervor, wie viele der betroffenen Kinder und Jugendlichen die zugesagten Rückerstattungen tatsächlich erhalten haben. Epic Games räumte im Vergleich kein rechtswidriges Verhalten ein, sondern einigte sich ohne Schuldeingeständnis mit der Behörde.

Am 24.09.2014 wurde die von Stephane Chazelas entdeckte Sicherheitslücke Shellshock in der Unix-Shell Bash öffentlich bekannt und als CVE-2014-6271 registriert, vom NIST mit dem höchsten Schweregrad CVSS 10 von 10 eingestuft. Die Lücke betraf fast alle Linux-Distributionen und Mac OS und erlaubte durch fehlerhafte Verarbeitung von Funktionsdefinitionen in Umgebungsvariablen die Ausführung von Schadcode aus der Ferne, besonders gefährlich für Webserver mit CGI-Skripten und OpenSSH-Zugriffe. Ubuntu, Red Hat, Debian, Fedora und openSUSE veröffentlichten Patches, wobei der erste Patch weitere Schwachstellen wie CVE-2014-7169 offenließ.

Wie viele Systeme vor der öffentlichen Bekanntgabe bereits tatsächlich angegriffen wurden, ist nicht dokumentiert, da Ausnutzung über Umgebungsvariablen kaum eindeutige Spuren hinterlässt. Eine belastbare Gesamtzahl weltweit betroffener oder kompromittierter Server liegt ebenfalls nicht vor.

Im Dezember 2017 entdeckten deutsche Sicherheitsbehörden Schadsoftware im Regierungsnetz IVBB, das Kanzleramt, Ministerien und Sicherheitsbehörden verbindet. Zunächst wurde die russische Gruppe APT28 verdächtigt, spätere Ermittlungen deuteten stattdessen auf die seit 2005 aktive Gruppe Snake (auch Turla oder Uroburos genannt) hin, die weltweit Regierungsstellen angreift. Laut Ermittlern erbeuteten die Angreifer eine einstellige Anzahl von Dokumenten aus dem Referat für Russland und Osteuropa des Auswärtigen Amts.

Wie lange die Angreifer tatsächlich Zugriff hatten, wird unterschiedlich geschätzt und reicht bis zu einem Jahr, eine belastbare Zahl fehlt. Der genaue Inhalt der entwendeten Dokumente wurde nie öffentlich gemacht und eine gerichtsfeste Zuordnung zu einem russischen Staatsauftrag gab es nicht.

Am 15. August 2012 legte die Schadsoftware Shamoon rund 30.000 von etwa 40.000 Windows-Arbeitsplatzrechnern beim saudischen Ölkonzern Saudi Aramco lahm. Die Malware überschrieb Dateien und den Master Boot Record und machte die Rechner unbrauchbar. Aramco bestätigte den Vorfall offiziell und erklärte, die isolierten Förder- und Produktionssysteme seien nicht betroffen gewesen, das interne Netzwerk sei bis zum 25. August wiederhergestellt worden.

Eine bis dahin unbekannte Gruppe namens Cutting Sword of Justice bekannte sich zu der Tat, eine belastbare technische Zurechnung zu ihr gelang nie. Spätere Vermutungen anonymer US-Regierungsvertreter, der Iran stecke als Vergeltung für Stuxnet dahinter, blieben unbelegte Einschätzungen ohne veröffentlichte Beweise.