Quellen-Tabelle

Am 20. und 21.03.2022 veröffentlichte die von Microsoft als DEV-0537 geführte Gruppe Lapsus$ Archive mit Quellcode aus über 250 internen Projekten, darunter rund 90 Prozent des Bing-Quellcodes sowie Teile von Bing Maps und Cortana. Microsoft bestätigte den Vorfall am 22.03.2022 und erklärte, es sei lediglich ein einzelnes Mitarbeiterkonto kompromittiert worden, Kundendaten seien nicht betroffen gewesen. Microsoft beschrieb die typische Vorgehensweise der Gruppe: Kauf gestohlener Zugangsdaten, SIM-Swapping, Anrufe bei Support-Helpdesks und Erzwingen von Multi-Faktor-Freigaben durch wiederholte Anmeldeanfragen.

Wie das Mitarbeiterkonto ursprünglich erbeutet wurde, hat Microsoft nicht öffentlich benannt. Die Zahlenangaben zu Archivgröße und Quellcodeanteilen stammen aus externen Auswertungen, nicht aus einer von Microsoft bestätigten Gesamtmenge. Eine strafrechtliche Verurteilung speziell für den Microsoft-Vorfall ist nicht dokumentiert.

DOJ und FBI gaben am 18.09.2024 eine gerichtlich genehmigte Operation bekannt, mit der sie ein Botnetz aus mehr als 260.000 kompromittierten Geräten zerschlugen. Das Botnetz wurde laut FBI von der in Peking ansässigen Integrity Technology Group betrieben, bekannt als staatsnahe Gruppe Flax Typhoon. Betroffen waren vor allem Router, IP-Kameras und Netzwerkspeicher weltweit, allein in den USA rund 126.000 Geräte. Auf Grundlage einer Rule-41-Gerichtsanordnung entfernte das FBI die Schadsoftware per Fernzugriff.

In welchem Umfang das Botnetz bereits für Sabotage oder Spionage eingesetzt wurde, ist nicht belegt. Die Zuordnung zu Integrity Technology Group stammt ausschließlich aus US-Behördenangaben, eine unabhängige gerichtliche Feststellung außerhalb der USA liegt nicht vor.

Die Ransomware-Gruppe Clop, auch bekannt als TA505, begann ab dem 27.05.2023, eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der Software MOVEit Transfer von Progress Software auszunutzen. CISA und FBI veröffentlichten am 07.06.2023 eine gemeinsame Sicherheitswarnung. Progress Software veröffentlichte am 31.05.2023 einen Patch. Nach Angaben von Emsisoft waren bis Januar 2024 über 2.700 Organisationen und mehr als 93 Millionen betroffene Personen erfasst, darunter die BBC, British Airways und Aer Lingus.

Nicht abschließend geklärt ist die exakte Gesamtzahl der betroffenen Organisationen, da die erhobenen Zahlen auf Meldepflichten und Angaben auf der Leak-Seite von Clop beruhen und sich fortlaufend nach oben korrigierten. Es ist nicht bewiesen, wie viele der behaupteten Datendiebstähle tatsächlich vollständige, verwertbare Datensätze betrafen, da die Gruppe bekannt dafür ist, Opferzahlen zu übertreiben.

Am 07.05.2021 legte die Ransomware-Gruppe DarkSide die IT-Systeme von Colonial Pipeline lahm, dem größten Treibstoffpipelinebetreiber der US-Ostküste, was zu tagelangen Kraftstoffengpässen führte. Colonial Pipeline zahlte am selben Tag ein Lösegeld von 75 Bitcoin, damals rund 4,4 Millionen US-Dollar wert. Am 07.06.2021 gab das US-Justizministerium bekannt, dass FBI-Ermittler durch Verfolgung der Blockchain-Transaktionen 63,7 Bitcoin, damals rund 2,3 Millionen US-Dollar wert, aus einer DarkSide-Wallet sicherstellen konnten. Die Pipeline nahm den regulären Betrieb am 12.05.2021 wieder auf.

Nicht öffentlich dokumentiert ist, wie die FBI-Ermittler technisch an den privaten Schlüssel der DarkSide-Wallet gelangten. Offen blieb, ob und in welchem Umfang einzelne DarkSide-Mitglieder identifiziert oder strafrechtlich verfolgt wurden, die Gruppe kündigte kurz danach an, ihre Infrastruktur abzuschalten, ob dies das Ende der Gruppe oder nur einen Rebrand darstellte, ist nicht geklärt.

Am 30.05.2021 wurde der weltweit größte Fleischverarbeiter JBS Opfer eines Ransomware-Angriffs, der Server in Nordamerika und Australien betraf und zur vorübergehenden Schließung von Verarbeitungsanlagen führte. Das FBI ordnete den Angriff der russischsprachigen Gruppe REvil zu. JBS zahlte nach eigenen Angaben ein Lösegeld von 11 Millionen US-Dollar in Kryptowährung, obwohl zum Zeitpunkt der Zahlung bereits der Großteil der Anlagen wieder arbeitsfähig war.

Nicht öffentlich dokumentiert ist, welche Daten bei dem Angriff tatsächlich exfiltriert wurden. Ob die Zahlung von 11 Millionen US-Dollar tatsächlich notwendig war, bleibt eine Einschätzung des Unternehmens und ist nicht unabhängig verifiziert. REvil löste sich Sommer 2021 größtenteils auf, sodass eine vollständige strafrechtliche Aufarbeitung bislang nicht abgeschlossen ist.

Marriott gab am 30.11.2018 bekannt, dass die Reservierungsdatenbank der 2016 übernommenen Hotelkette Starwood bereits seit 2014 kompromittiert war, also rund vier Jahre unentdeckt blieb. Betroffen waren Daten von bis zu 500 Millionen Gästen, darunter Namen, Passnummern und teilweise verschlüsselte Zahlungskartendaten. Die britische ICO verhängte 2020 eine Buße von 18,4 Millionen Pfund. Im Oktober 2024 einigten sich Marriott und Starwood mit der FTC auf eine Zahlung von 52 Millionen US-Dollar wegen dieses und eines weiteren Datenlecks 2020.

Marriott korrigierte die Schätzung von 500 Millionen im Januar 2019 auf etwa 383 Millionen eindeutige Datensätze, da Duplikate enthalten waren. Die Zuschreibung des Angriffs an einen chinesischen Staatsakteur stützt sich vor allem auf Medienberichte ohne namentlich genannte Ermittler, eine öffentliche behördliche Bestätigung liegt nicht vor, China wies die Vorwürfe zurück.

Am 27.06.2017 verbreitete sich die Schadsoftware NotPetya über ein manipuliertes Update der ukrainischen Buchhaltungssoftware M.E.Doc und infizierte binnen Stunden Organisationen in mehr als 60 Ländern. CISA veröffentlichte die Warnung TA17-181A und beschrieb zwei Verbreitungswege: Diebstahl von Windows-Zugangsdaten mittels modifizierter Mimikatz-Version sowie Ausnutzung der SMBv1-Schwachstelle EternalBlue. Betroffen waren unter anderem Maersk und Merck. Die US-Regierung ordnete NotPetya später öffentlich dem russischen Militär zu.

Die kursierende Schadenssumme von über 10 Milliarden US-Dollar stammt aus späteren Einordnungen des Weißen Hauses, nicht aus einer verifizierten behördlichen Gesamtrechnung. Offen bleibt, ob NotPetya von Anfang an als reines Zerstörungswerkzeug ohne echte Entschlüsselungsoption konzipiert war. Die Attribution an Russland basiert auf Erklärungen westlicher Regierungen von 2018, nicht auf einem Beweis in dieser CISA-Warnung selbst.

Am 29.08.2023 gaben FBI und DOJ den Abschluss der multinationalen Operation Duck Hunt gegen das Qakbot-Botnetz bekannt, an der Behörden aus sieben Ländern beteiligt waren. Qakbot hatte weltweit mehr als 700.000 Computer infiziert. Die Strafverfolgung verschaffte sich Zugriff auf die Infrastruktur und ließ auf infizierten Rechnern eine Deinstallationsdatei ausführen. Es wurden 52 Server beschlagnahmt und mehr als 8,6 Millionen US-Dollar in Kryptowährung sichergestellt.

Nicht dokumentiert ist, wer hinter der Qakbot-Infrastruktur stand, zum Zeitpunkt der Bekanntgabe wurden keine Festnahmen gemeldet. Sicherheitsforscher berichteten bereits Ende 2023 über neue Qakbot-Kampagnen, was zeigt, dass die technische Zerschlagung die Akteure nicht dauerhaft ausschaltete.

Zwei Tage nach dem DarkSide-Ransomware-Angriff auf Colonial Pipeline unterzeichnete Präsident Biden am 12.05.2021 die Executive Order 14028 zur Verbesserung der nationalen Cybersicherheit, mit Vorgaben zu Multi-Faktor-Authentifizierung, Zero-Trust-Architektur und Software-Lieferkette für Bundesbehörden. Ergänzend erließ die TSA am 27.05.2021 eine Direktive, die Pipelinebetreiber erstmals zur Meldung von Cybervorfällen an die CISA verpflichtete.

Die Executive Order richtet sich primär an Bundesbehörden, keine direkte gesetzliche Pflicht für private Pipelinebetreiber, diese ergeben sich erst aus den TSA-Direktiven. Die technische Ursache des Erstzugriffs bei Colonial Pipeline, ein kompromittiertes VPN-Passwort ohne Zwei-Faktor-Authentifizierung, ist nicht unabhängig vollständig bestätigt.

Am 27.11.2022 wurde die Universität Duisburg-Essen Opfer eines Ransomware-Angriffs, bei dem rund 1.200 virtuelle Server verschlüsselt wurden. Die Hochschule trennte ihre gesamte IT-Infrastruktur vom Netz und begann mit forensischer Aufarbeitung. Für etwa 40.000 Nutzer wurden die Passwörter zurückgesetzt, E-Mail und Telefonie konnten vor Weihnachten wiederhergestellt werden.

Nicht dokumentiert ist die exakte Höhe des finanziellen Schadens. Unklar bleibt, wie die Angreifer ursprünglich Zugang erlangten. Die spätere Zuordnung zur Gruppe Vice Society wird in dieser Quelle selbst nicht erwähnt.

Der Prüfbericht des DOT Inspector General vom 26.04.2023 stellt fest, dass die Risikobewertungsverfahren der FAA seit über einem Jahrzehnt nicht wesentlich aktualisiert wurden. Ein früherer Bericht von 2021 hatte dokumentiert, dass Boeing der FAA während der Zertifizierung 2015/2016 nur begrenzte Informationen über das Flugsteuerungssystem MCAS vorlegte, das später als Mitursache der Abstürze 2018 und 2019 identifiziert wurde.

Der Vorwurf aktiver Vertuschung durch die FAA selbst ist durch die OIG-Berichte nicht belegt, dokumentiert ist unzureichende Aufsicht. Ob die sieben Empfehlungen des Berichts vollständig umgesetzt wurden, ist nicht dokumentiert.

Am 02.08.2026 traten die Durchsetzungsbefugnisse der EU-KI-Verordnung in Kraft. Das Europäische KI-Büro und nationale Behörden können seither Auskunftsersuchen stellen, Modelle evaluieren und Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes verhängen. Gleichzeitig traten neue Transparenzpflichten in Kraft, wonach bestimmte KI-Systeme Nutzer über KI-Interaktion informieren müssen.

Bis zum Stand dieser Recherche existiert kein tatsächlich verhängtes, rechtskräftiges Bußgeld nach dem AI Act. Was in Kraft trat, ist die rechtliche Durchsetzungsmöglichkeit, nicht ein abgeschlossener Einzelfall.

Am 12.06.2023 legte die prorussische Hackergruppe NoName057(16) mit DDoS-Angriffen mehrere Websites der Schweizer Bundesverwaltung sowie den Online-Auftritt der SBB lahm. Zwischen dem 07. und 19.06.2023 registrierte das NCSC insgesamt 57 erfolgreiche DDoS-Angriffe gegen Bundesstellen, Kantone und Unternehmen. Ein besonders starker Angriff erfolgte am 15.06.2023 während der Videoansprache von Präsident Selenskyj vor dem Schweizer Parlament.

Es handelt sich um DDoS-Angriffe, keinen Datendiebstahl. Die Zurechnung zur Gruppe NoName057(16) stützt sich auf deren eigene Bekennung, eine unabhängige forensische Bestätigung liegt nicht vor.

Im Juli 2023 wurden IT-Systeme von zwölf norwegischen Regierungsministerien mittels einer Zero-Day-Schwachstelle in Ivanti Endpoint Manager Mobile angegriffen. Die norwegische Sicherheitsbehörde NSM identifizierte die Schwachstelle CVE-2023-35078, eine Authentifizierungsumgehung. Premierministeramt, Verteidigungs-, Justiz- und Außenministerium waren nicht betroffen.

Welche konkreten Daten die Angreifer abgezogen haben, ist nicht abschließend dokumentiert. Eine offizielle Zuordnung zu einer Gruppe oder einem Staat erfolgte nicht.

Der südkoreanische Mobilfunkanbieter KT wurde von der Datenschutzbehörde PIPC mit einer Geldstrafe von 53,9 Milliarden Won belegt. Angreifer bauten zwischen dem 08.10.2024 und 05.09.2025 illegale Basisstationen (Femtozellen) unter Verwendung gestohlener Authentifizierungszertifikate. Dadurch wurden Telefonnummern und Gerätekennungen von 16.647 KT-Kunden abgegriffen, bei 368 Betroffenen entstand ein finanzieller Schaden von rund 240 Millionen Won.

Wie die Täter in den Besitz der Zertifikate gelangten, ist nicht vollständig geklärt. Frühere Medienberichte nannten wechselnde Zwischenzahlen der Betroffenen.

Im Mai 2023 wurden in zwei Angriffswellen 22 dänische Energie- und Fernwärmeunternehmen kompromittiert, der bis dahin umfangreichste dokumentierte Cyberangriff auf Dänemarks kritische Infrastruktur. Die erste Welle nutzte die Zyxel-Firewall-Schwachstelle CVE-2023-28771, die zweite bis dahin unbekannte Schwachstellen und erreichte bei mehreren Unternehmen industrielle Steuerungssysteme. SektorCERT verwies auf technische Überschneidungen mit Infrastruktur der russischen GRU-Einheit Sandworm.

Eine eindeutige staatliche Urheberschaft ist nicht bewiesen, SektorCERT nennt nur technische Überschneidungen als Hinweis. Es kam letztlich zu keinem großflächigen Versorgungsausfall.

In der Nacht vom 11. auf den 12.02.2024 wurde das rumänische Krankenhausinformationssystem Hipocrate mit Ransomware der Variante Backmydata angegriffen. Nach Angaben des DNSC waren mehr als 100 Krankenhäuser betroffen, deren Datenbanken verschlüsselt wurden, wodurch auf Papierdokumentation umgestellt werden musste.

Die genaue Anzahl tatsächlich kompromittierter Krankenhäuser ist unklar, Angaben schwankten zwischen 21 direkt infizierten und über 100 vorsorglich abgeschalteten Einrichtungen. Ob Lösegeld gezahlt wurde, ist nicht dokumentiert.

Am 12.09.2023 wurde der Bogotá-ansässige Cloud- und Telekommunikationsanbieter IFX Networks Opfer eines Ransomware-Angriffs. Der Vorfall betraf mehr als 760 öffentliche und private Einrichtungen in 17 lateinamerikanischen Ländern. In Kolumbien waren unter anderem der Oberste Rat der Justiz sowie die Ministerien für Gesundheit und Kultur betroffen. Der Oberste Rat der Justiz setzte landesweit die gesetzlichen Fristen für rund zwei Millionen Gerichtsverfahren aus.

Die genaue Identität der Angreifergruppe ist nicht offiziell bestätigt, mehrere Medien nennen RansomHouse ohne Bestätigung. Ob und in welcher Höhe ein Lösegeld gefordert oder gezahlt wurde, bleibt unklar.

Microsoft entdeckte am 12.01.2024 einen Angriff der russischen Gruppe Midnight Blizzard (APT29/Cozy Bear) über ein Legacy-Testkonto. Die Angreifer erlangten Zugriff auf E-Mail-Konten der Führungsebene. Am 08.03.2024 bestätigte Microsoft, dass die Gruppe daraus exfiltrierte Informationen nutzte, um sich Zugang zu internen Quellcode-Repositories zu verschaffen.

Microsoft legte nicht offen, welche Quellcode-Repositories betroffen waren oder wie viele Dateien kopiert wurden. Die ursprüngliche Einschätzung von Januar 2024, es gebe keine Hinweise auf Quellcode-Zugriff, wurde im März revidiert.

US-Behörden aktualisierten am 22.07.2026 die Warnmeldung AA26-097A zu einer iranisch verbundenen Cyberkampagne gegen speicherprogrammierbare Steuerungen, zugeschrieben der Gruppe CyberAv3ngers. Zwischen dem 26. und 27.07.2026 störte ein koordinierter Angriff den Betrieb von Wasser- und Abwasserversorgern in mehr als 30 Gemeinden in Minnesota, betroffen sind mindestens sieben US-Bundesstaaten.

Das genaue Ausmaß der Kompromittierungen ist nicht abschließend belegt. Ob die iranische Regierung die Aktivität direkt anordnete, ist unklar.

Ab Ende August 2022 wurde die Regierung Montenegros von einer massiven Cyberangriffswelle getroffen, die zahlreiche staatliche Dienste (u.a. Finanzverwaltung, Wasser- und Energieversorger) lahmlegte; die Regierung machte "koordinierte, hybride" Angriffe aus dem Ausland verantwortlich und sprach von Beteiligung russischer Behoerden. Die Ransomware-Gruppe Cuba bekannte sich spaeter zu Teilen der Attacke und behauptete, hunderte Gigabyte an Daten von Ministerien und Behoerden erbeutet zu haben.

Die genaue technische Zuordnung zu staatlichen russischen Akteuren im Gegensatz zu einer rein kriminellen Ransomware-Bande blieb bis heute umstritten und ist nicht abschliessend unabhaengig verifiziert; das Ausmass des tatsaechlich abgeflossenen Datenvolumens beruht groesstenteils auf Angaben der Angreifer selbst.

Im April 2021 wurde das panamaische Wirtschafts- und Finanzministerium (Ministerio de Economía y Finanzas) Ziel eines Ransomware-Angriffs durch die Gruppe RansomEXX. Die Angreifer verschlüsselten Systeme und veröffentlichten auf ihrer Leak-Seite angeblich gestohlene Dateien als Druckmittel zur Lösegelderpressung.

Der genaue Umfang der exfiltrierten Daten sowie die Zahlung oder Nichtzahlung eines Lösegelds sind nicht abschließend belegt; die Quelle stützt sich primär auf Angaben der Angreifergruppe und öffentliche Regierungsmitteilungen.

Ende Juni 2022 attackierte die pro-russische Hackergruppe Killnet zahlreiche litauische Regierungs- und Unternehmenswebsites mit DDoS-Angriffen, nachdem Litauen den Bahntransit sanktionierter Güter nach Kaliningrad blockiert hatte. Laut litauischem Zentrum für nationale Cybersicherheit (NKSC) waren rund 70 Webseiten von Behörden und privaten Unternehmen betroffen.

Es handelte sich um DDoS-Angriffe, nicht um einen Datenabfluss; belastbare Beweise für eine direkte russische Staatsführung hinter Killnet fehlen, die Gruppe wird meist als staatsnah, nicht staatlich gesteuert eingeordnet.

Im März 2022 wurden mehrere Websites kroatischer Regierungsbehörden durch eine Serie von DDoS-Angriffen zeitweise lahmgelegt. Kroatische Behörden und Sicherheitsexperten ordneten die Angriffe der pro-russischen Hackergruppe Killnet zu, die im Kontext des russischen Angriffskriegs gegen die Ukraine mehrere NATO- und EU-Staaten mit ähnlichen Attacken ins Visier nahm.

Technische Details zu Angriffsvolumen, betroffener Infrastruktur und etwaigen tieferen Kompromittierungen bleiben unklar; ein Datenleck oder Zugriff auf sensible Systeme wurde nicht nachgewiesen.

Ende März 2025 wurde Malaysia Airports Holdings Berhad (MAHB), der staatlich verbundene Betreiber der malaysischen Flughäfen einschließlich des Kuala Lumpur International Airport, Ziel eines Cyberangriffs. Die Angreifer forderten ein Loesegeld von 10 Millionen US-Dollar. MAHB bestaetigte den Vorfall, betonte jedoch, dass der Flugbetrieb durch manuelle Backup-Verfahren nicht wesentlich beeintraechtigt wurde.

Die genaue Zahl und Art der kompromittierten Datensaetze sowie die Identitaet der Angreifergruppe sind nicht abschliessend belegt; ob ein Loesegeld tatsaechlich gezahlt wurde, blieb offen.