Quellen-Tabelle

Die frühere US-Armeeanalystin Chelsea Manning wurde 2013 von einem Militärgericht verurteilt, weil sie rund 750.000 geheime Militär- und Diplomatendokumente sowie ein Hubschrauber-Angriffsvideo aus Bagdad an WikiLeaks weitergegeben hatte. Sie erhielt 35 Jahre Haft, die höchste je in den USA für eine Geheimnisweitergabe an Medien verhängte Strafe, wurde jedoch vom schwersten Vorwurf der Feindbegünstigung freigesprochen. Präsident Barack Obama wandelte die Strafe im Januar 2017 um, sodass Manning am 17. Mai 2017 nach knapp sieben Jahren Haft entlassen wurde.

Offen bleibt, in welchem konkreten Ausmaß die Leaks tatsächlich Informanten oder Militäroperationen gefährdeten, die US-Regierung behauptete dies, Menschenrechtsorganisationen bestritten belastbare Beweise dafür. Nicht abschließend juristisch aufgearbeitet sind die von UN-Sonderberichterstattern kritisierten Haftbedingungen Mannings, darunter monatelange Einzelhaft.

Reuters enthüllte am 21.12.2013, dass die NSA rund 10 Millionen Dollar an RSA Security zahlte, damit der Zufallszahlengenerator Dual_EC_DRBG als Standardeinstellung im BSafe-Toolkit verankert wurde. Sicherheitsforscher hatten die Schwachstelle des Generators bereits 2007 aufgezeigt, nach den Snowden-Leaks 2013 riet RSA seinen Kunden offiziell von der weiteren Nutzung ab.

RSA bestritt öffentlich, wissentlich eine Hintertür eingebaut zu haben, und erklärte, die Entscheidung von 2004 sei Teil eines branchenweiten Standardisierungsprozesses gewesen. Ob RSA zum Zeitpunkt der Vereinbarung tatsächlich um die Backdoor-Eigenschaft wusste, bleibt bis heute umstritten und ist nicht abschließend belegt.

In der Nacht vom 7. auf den 8. November 2021 griff die Ransomware-Gruppe Hive die IT-Infrastruktur der MediaMarktSaturn Retail Group an und verschlüsselte nach Unternehmensangaben rund 3100 Windows-Server. Betroffen waren Filialen und nationale Gesellschaften in 13 europäischen Ländern, Kassen- und Warenwirtschaftssysteme fielen zeitweise aus, während die Online-Shops weiterliefen. Die Angreifer forderten laut späteren Medienberichten zunächst 240 Millionen US-Dollar Lösegeld, was auf rund 50 Millionen US-Dollar reduziert wurde.

Offen bleibt, ob MediaMarktSaturn tatsächlich Lösegeld gezahlt hat und in welcher Höhe. Der genaue technische Einstiegsweg der Hive-Gruppe in das Firmennetz ist öffentlich nicht dokumentiert. Unklar blieb zum Zeitpunkt der Berichterstattung zudem, ob und in welchem Umfang die Angreifer tatsächlich Daten entwendet und veröffentlicht haben.

Der Automobilzulieferer Continental wurde im Sommer 2022 von der Ransomware-Gruppe LockBit angegriffen, die rund 40 Terabyte an Daten erbeutete. Betroffen waren Unternehmens- und Kundendaten sowie personenbezogene Informationen einer niedrigen bis mittleren fünfstelligen Zahl von Beschäftigten, weshalb Continental Zehntausende DSGVO-Informationsschreiben verschickte. LockBit forderte zunächst 50 Millionen US-Dollar Lösegeld, das Unternehmen erklärte, sich nicht erpressen lassen zu wollen.

Der genaue finanzielle Schaden und der exakte Umfang der tatsächlich veröffentlichten Daten sind nicht öffentlich bestätigt. Unklar bleibt auch, ob und in welchem Umfang die Lösegeldforderung letztlich verhandelt oder bezahlt wurde.

Die US-Bastelmarktkette Michaels bestätigte am 17. April 2014 offiziell, dass Schadsoftware auf den Kassensystemen ihrer Filialen installiert war und dort zwischen dem 8. Mai 2013 und dem 27. Januar 2014 Zahlungskartendaten von rund 2,6 Millionen Karten abgriff. Bei der Tochterkette Aaron Brothers waren zusätzlich zwischen dem 26. Juni 2013 und dem 27. Februar 2014 rund 400.000 Karten betroffen, insgesamt also etwa 3 Millionen Kartendatensätze. Michaels erklärte, es seien nur Kartennummern und Ablaufdaten entwendet worden, nicht jedoch Namen, Adressen oder PINs.

Die genaue Identität der Angreifer und der exakte Infektionsweg der Malware in die Kassensysteme wurden in der Quelle nicht benannt. Offen blieb zudem, ob und in welchem Umfang die gestohlenen Kartendaten tatsächlich für Betrug genutzt wurden, auch wenn Michaels vereinzelte Betrugsmeldungen von Banken erwähnte.

Der Luftfahrt-IT-Dienstleister SITA, dessen Passenger Service System rund 90 Prozent der Fluggesellschaften weltweit nutzen, bestätigte am 24. Februar 2021 einen Cyberangriff auf seine Systeme. Der Einbruch fand laut einem Lufthansa-Sprecher zwischen dem 21. Januar und 11. Februar 2021 statt und betraf unter anderem Malaysia Airlines, Finnair, Singapore Airlines, Cathay Pacific, Air New Zealand, Lufthansa, SAS, American Airlines und United. Kompromittiert wurden vor allem Vielfliegerdaten wie Mitgliedsnummern und Statuslevel.

Eine weltweite Gesamtzahl betroffener Passagiere veröffentlichte SITA nicht, einzelne Airlines nannten nur Teilzahlen wie rund 500.000 bei Singapore Airlines oder etwa 1,35 Millionen Miles-and-More-Teilnehmer bei Lufthansa. Die genaue Angriffsmethode und die Identität der Angreifer wurden von SITA öffentlich nicht bestätigt.

Der US-Krankenhauskonzern Ascension mit 140 Kliniken in 19 Bundesstaaten meldete am 8. Mai 2024 einen Ransomware-Angriff, der elektronische Patientenakten, Portale und Teile der klinischen IT lahmlegte und wochenlange Ausweichbetriebe erzwang. Laut Meldung an das HHS Office for Civil Rights vom Dezember 2024 waren die Daten von 5.599.699 Personen betroffen, darunter Namen, Sozialversicherungsnummern und Versicherungsdaten. Ascension gab an, dass nur 7 von 25.000 Servern kompromittiert wurden.

Die Zuordnung zur Gruppe Black Basta stützt sich laut Berichten von CNN auf vier anonyme Quellen und wurde von Ascension nie offiziell bestätigt. Ob ein Lösegeld gezahlt wurde, ist nicht öffentlich bekannt. Ascension erklärte zudem, es gebe keine Hinweise auf einen Zugriff auf klinische EHR-Systeme selbst, was im Widerspruch zu den berichteten wochenlangen EHR-Ausfällen diskutiert wurde.

Am 19. Juni 2024 legte die Ransomware-Gruppe BlackSuit die Systeme des Autohändler-Softwareanbieters CDK Global lahm und legte damit rund 15.000 Autohändler in den USA und Kanada wochenlang faktisch still. Die Blockchain-Analysefirma TRM Labs identifizierte eine Kryptowährungs-Wallet, die vermutlich BlackSuit zuzuordnen ist und am 21. Juni 2024 eine Zahlung von rund 387 Bitcoin im Wert von etwa 25 Millionen Dollar erhielt.

CDK Global und die Muttergesellschaft Brookfield Business Partners haben nie offiziell bestätigt, ob und von wem ein Lösegeld gezahlt wurde. Die Blockchain-Analyse liefert laut CyberScoop nur den bislang stärksten Hinweis, aber keinen zweifelsfreien Beweis dafür, dass die Zahlung tatsächlich von CDK stammt.

Am 16.07.2025 verschaffte sich ein Angreifer per Social Engineering Zugriff auf ein cloudbasiertes CRM-System eines Drittanbieters (Salesforce), das von Allianz Life Insurance Company of North America genutzt wurde. Betroffen waren personenbezogene Daten von rund 1,4 Millionen Kunden, Finanzberatern und Mitarbeitern, darunter Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern. Allianz Life entdeckte den Vorfall am 17.07.2025, informierte das FBI und meldete den Vorfall offiziell beim Attorney General des US-Bundesstaats Maine.

Nicht offiziell von Allianz bestätigt ist die von mehreren Sicherheitsmedien vorgenommene Zuordnung des Angriffs zur Gruppe Scattered Spider beziehungsweise ShinyHunters. Offen bleibt zudem, wie viele der 1,4 Millionen Datensätze konkret exfiltriert wurden.

Am 11. August 2023 verschaffte sich ein Angreifer durch mehrere Anrufe beim IT-Helpdesk des Dienstleisters Cognizant Zugang zu Clorox-Systemen, weil Mitarbeiter Passwörter und MFA ohne Identitätsprüfung zurücksetzten. Der Angriff wird Sicherheitsforschern zufolge der Gruppe Scattered Spider zugeschrieben und legte Produktion und Auslieferung von Clorox-Produkten monatelang lahm. Am 23. Juli 2025 verklagte Clorox Cognizant auf 380 Millionen US-Dollar Schadensersatz.

Nicht gerichtlich geklärt ist bislang, ob Cognizant tatsächlich haftbar gemacht wird. Cognizant bestreitet die Vorwürfe und macht stattdessen unzureichende interne Sicherheitsvorkehrungen bei Clorox selbst verantwortlich. Der Ausgang des Zivilverfahrens war zum Zeitpunkt der Berichterstattung noch offen.

Am Wochenende des 23. September 2023 legte die Gruppe Dark Angels mit Ransomware Teile der IT-Infrastruktur des Gebäudetechnik-Konzerns Johnson Controls lahm und verschlüsselte unter anderem VMware-ESXi-Server. Die Gruppe forderte 51 Millionen Dollar Lösegeld und behauptete, über 27 Terabyte an Daten entwendet zu haben. Johnson Controls bestätigte den Vorfall in einer SEC-8-K-Meldung und bezifferte die finanziellen Folgen für das erste Quartal des Geschäftsjahres 2024 auf rund 27 Millionen Dollar.

Nicht offiziell bestätigt ist, ob und in welcher Höhe ein Lösegeld tatsächlich gezahlt wurde. Unklar bleibt auch der genaue Umfang und Inhalt der gestohlenen Daten. Berichte über eine mögliche Betroffenheit sensibler Daten des US-Heimatschutzministeriums stützen sich auf Spekulationen und wurden nicht amtlich bestätigt.

Ab dem 1. September 2023 war die öffentliche Webseite der deutschen Finanzaufsicht BaFin durch einen DDoS-Angriff nur eingeschränkt erreichbar. BaFin bestätigte den Angriff offiziell und erklärte, sofort Sicherheits- und Abwehrmaßnahmen eingeleitet zu haben, während alle anderen internen Systeme uneingeschränkt funktionierten. Der Vorfall reiht sich in eine Welle von DDoS-Angriffen pro-russischer Hacktivisten auf europäische Banken und Finanzaufsichtsbehörden im Jahr 2023 ein.

Wer genau hinter dem Angriff steckt, blieb ungeklärt. Laut Recorded Future News reklamierte keine der bekannten pro-russischen Gruppen wie NoName057(16), die zu dieser Zeit Banken in Polen, Tschechien und Litauen angriffen, die Tat für sich. Ein Datenabfluss oder Einbruch in interne BaFin-Systeme wurde nicht festgestellt.

Ein Nutzer mit dem Pseudonym FreeSpeechEnthusiast veröffentlichte ab Anfang Januar 2023 über mehrere Wochen hinweg Teile des internen Twitter-Quellcodes und interner Tools auf GitHub. Twitter forderte am 24. März 2023 per DMCA-Meldung die Entfernung, GitHub löschte den Code noch am selben Tag. Twitter beantragte anschließend gerichtlich bei GitHub die Herausgabe von Nutzerdaten der Hochlader und Downloader.

Die tatsächliche Identität von FreeSpeechEnthusiast wurde nie öffentlich bekannt, ebenso wenig ob ein Insider oder Ex-Mitarbeiter verantwortlich war. Der genaue Umfang des zugänglichen Codes und ob sensible Nutzerdaten oder Sicherheitslücken konkret ausgenutzt wurden, blieb ungeklärt.

Am 25. Januar 2023 wurde auf einem Hackerforum ein 44,7 GB großes Datenpaket mit internem Yandex-Quellcode als Torrent veröffentlicht, das Code zu mehr als 13 Diensten enthielt, darunter Suche, Karten, Taxi, Mail und Cloud. Yandex bestätigte den Vorfall offiziell und erklärte, das Unternehmen sei nicht gehackt worden, sondern ein ehemaliger Mitarbeiter habe Fragmente eines internen Repositorys veröffentlicht.

Nicht öffentlich belegt ist, ob der geleakte Code der aktuell produktiv genutzten Version entspricht. Yandex erklärte, er unterscheide sich vom aktuellen Stand, während ein Sicherheitsforscher rund 90 Prozent Übereinstimmung schätzte. Offen bleiben zudem die genaue Identität des ehemaligen Mitarbeiters und ein etwaiges politisches Motiv.

Sicherheitsforscher entdeckten im Januar 2024 eine offen zugängliche Datenbank mit rund 26 Milliarden Datensätzen und 12 Terabyte Umfang. Es handelt sich um eine Kompilation aus zahlreichen früheren Datenlecks, unter anderem mit Bezug zu Twitter/X, LinkedIn, Dropbox, Adobe, Weibo und Tencent, plus Datensätzen mit Bezug zu Regierungsorganisationen mehrerer Länder.

Nicht belegt ist, dass es sich um einen neuen eigenständigen Hack handelt: Die Forscher gehen davon aus, dass die Daten überwiegend aus bereits bekannten, älteren Lecks stammen und stark dupliziert sind. Wer die Datenbank zusammengestellt und online gestellt hat, blieb ungeklärt.

Die Ransomware-Gruppe Cl0p nutzte ab dem 18.01.2023 eine Zero-Day-Schwachstelle (CVE-2023-0669) in der Managed-File-Transfer-Software GoAnywhere MFT des Herstellers Fortra aus. Fortra entdeckte die Aktivität am 30.01.2023 und veröffentlichte am 07.02.2023 ein Update. Cl0p beanspruchte am 10.02.2023 die Verantwortung und gab an, Daten von rund 130 Organisationen erbeutet zu haben, darunter Hitachi Energy und Crown Resorts.

Die genaue Gesamtzahl der tatsächlich betroffenen Organisationen ist nicht unabhängig verifiziert. Dieser Fall betrifft die GoAnywhere-MFT-Software und ist von der separaten MOVEit-Transfer-Kampagne derselben Cl0p-Gruppe ab Mai 2023 zu unterscheiden.

Am 19.12.2023 gab das US-Justizministerium bekannt, die Infrastruktur der Ransomware-Gruppe ALPHV/BlackCat gestört zu haben, die zuvor mehr als 1.000 Opfer weltweit kompromittiert und rund 300 Millionen US-Dollar erbeutet hatte. Das FBI hatte 946 Schlüsselpaare für Tor-Websites der Gruppe sichergestellt und einen Entschlüsselungscode entwickelt, mit dem über 500 Opfer ihre Daten wiederherstellen konnten. Wenige Stunden nach der Ankündigung erklärte ALPHV/BlackCat, die eigene Leak-Website zurückerobert zu haben, und hob als Vergeltung das interne Verbot auf, Krankenhäuser anzugreifen.

Ob ALPHV/BlackCat die eigene Website tatsächlich zurückerlangte oder die Ankündigung eine Inszenierung war, ist unter Sicherheitsforschern umstritten. Ob der zwei Monate später erfolgte Angriff auf Change Healthcare unmittelbar auf die Aufhebung der Angriffsbeschränkungen zurückzuführen ist, wird vermutet, aber nicht belegt.

Der Bundestag verabschiedete am 25.03.2021 die Novelle des BND-Gesetzes als gesetzliche Reaktion auf das BVerfG-Urteil vom 19.05.2020, das die bisherige Ausland-Ausland-Fernmeldeaufklärung des BND für verfassungswidrig erklärt hatte. Das neue Gesetz erlaubt dem BND laut netzpolitik.org das Abhören großer Teile der weltweiten Telekommunikationsnetze sowie das Eindringen in IT-Systeme von Kommunikationsanbietern, zugleich wurde ein unabhängiger Kontrollrat als Aufsichtsbehörde eingeführt. Bundespräsident Steinmeier unterzeichnete das Gesetz am 19.04.2021.

In welchem tatsächlichen Umfang der BND die 2021 neu geschaffenen Befugnisse seither nutzt, geht aus den verfügbaren Quellen nicht hervor. Ob der neue Kontrollrat die vom Bundesverfassungsgericht geforderte wirksame Kontrolle in der Praxis sicherstellt, ist nicht belegt.

Am 27.06.2017 begann sich die als Ransomware getarnte Schadsoftware NotPetya ausgehend von einem kompromittierten Update der ukrainischen Steuersoftware M.E.Doc weltweit zu verbreiten. Die Malware nutzte den NSA-Exploit EternalBlue und traf neben ukrainischen Zielen unter anderem die Reederei Maersk, den Pharmakonzern Merck und den FedEx-Ableger TNT Express. Der weltweite Gesamtschaden wird auf mehr als 10 Milliarden US-Dollar geschätzt, das Weiße Haus ordnete den Angriff am 15.02.2018 offiziell dem russischen Militär (GRU-Einheit Sandworm) zu.

Die genaue Zahl weltweit betroffener Systeme ist nicht abschließend beziffert. Eine strafrechtliche Verurteilung konkreter russischer Verantwortlicher ist öffentlich nicht bekannt, die Zuordnung stützt sich auf Geheimdienstbewertungen, nicht auf ein Gerichtsurteil.

Am 19.03.2019 wurde der norwegische Aluminiumkonzern Norsk Hydro von der Ransomware LockerGoga getroffen. Der Angriff betraf alle rund 35.000 Mitarbeitenden in 40 Ländern und zwang mehrere Werke zu manuellem Betrieb, Produktionsausfälle dauerten teils fast eine Woche. Das Unternehmen zahlte kein Lösegeld, stellte Systeme aus Backups wieder her und kommunizierte öffentlich ungewöhnlich offen mit täglichen Pressekonferenzen.

Eine zweifelsfrei bestätigte Zuordnung des Angriffs zu einer bestimmten Tätergruppe liegt öffentlich nicht vor. Die konkrete finanzielle Gesamtschadenshöhe schwankt je nach Quelle zwischen rund 50 und über 70 Millionen US-Dollar.

Der russische Inlandsgeheimdienst FSB gab am 14.01.2022 bekannt, die Ransomware-Gruppe REvil alias Sodinokibi zerschlagen zu haben. Bei Razzien an 25 Adressen in Russland wurden 14 mutmaßliche Mitglieder festgenommen und mehr als 426 Millionen Rubel, 600.000 US-Dollar und 20 Luxusfahrzeuge beschlagnahmt. Laut FSB erfolgte die Aktion auf Ersuchen der US-Behörden, die Hinweise zum Anführer der Gruppe geliefert hatten.

Ob alle 14 Festgenommenen tatsächlich zum Kern von REvil gehörten, ist nicht öffentlich dokumentiert. Spätere Berichte deuten darauf hin, dass mehrere Festgenommene nur wegen geringerer Vorwürfe verurteilt oder wieder freigelassen wurden, eine umfassende strafrechtliche Aufarbeitung ist nicht belegt.

Die Ransomware-Gruppe Cl0p nutzte ab dem 27.05.2023 eine zuvor unbekannte SQL-Injection-Schwachstelle (CVE-2023-34362, CVSS 9.8) in der Managed-File-Transfer-Software MOVEit Transfer aus. Über einen eingeschleusten Webshell namens LEMURLOOT griff die Gruppe auf die MOVEit-Datenbanken zu und exfiltrierte Daten, ohne die Systeme zu verschlüsseln. CISA und das FBI veröffentlichten am 07.06.2023 die gemeinsame Warnung AA23-158A. Laut Emsisoft waren bis Ende 2023 rund 2.700 Organisationen und über 90 Millionen Einzelpersonen betroffen.

Die Gesamtzahl der betroffenen Organisationen beruht auf Zusammenstellungen einzelner Meldungen durch Sicherheitsfirmen, nicht auf einer amtlichen Gesamtstatistik. Dieser Fall betrifft ausschließlich die MOVEit-Transfer-Kampagne ab Mai 2023 und ist von der früheren, separaten GoAnywhere-MFT-Kampagne derselben Cl0p-Gruppe zu unterscheiden.

Am 05.02.2023 wurde ein Reddit-Mitarbeiter Opfer eines gezielten Phishing-Angriffs über eine gefälschte Intranet-Anmeldeseite, die Zugangsdaten und einen Zwei-Faktor-Code abgriff. Die Angreifer erhielten dadurch Zugang zu internen Dokumenten, Quellcode sowie internen Dashboards. Reddit erklärte, es gebe keine Hinweise auf einen Einbruch in die Produktivsysteme, Passwörter und Zahlungsdaten seien nicht betroffen gewesen.

Der genaue Umfang der entwendeten Daten bleibt offen, Reddit veröffentlichte keine konkrete Datenmenge. Die spätere Täterzuordnung zur Gruppe BlackCat/ALPHV mit rund 80 Gigabyte erbeuteter Daten wurde von Reddit nicht offiziell bestätigt.

In der Nacht vom 29. auf den 30.10.2023 griff die Ransomware-Gruppe Akira den kommunalen IT-Dienstleister Südwestfalen-IT an und verschlüsselte Teile der IT-Infrastruktur. Der Angriff legte die IT-Systeme von rund 72 Mitgliedskommunen in mehreren nordrhein-westfälischen Kreisen lahm, betroffen waren rund 1,7 Millionen Einwohner. Wochenlang fielen zahlreiche Bürgerdienste wie Kfz-Zulassung und Sozialleistungen aus. Nach ersten Erkenntnissen erfolgte der Zugriff über eine VPN-Lösung ohne Multifaktor-Authentifizierung.

Welche konkreten Personen oder Strukturen hinter der Gruppierung Akira stehen, ist nicht öffentlich dokumentiert. Ob eine Lösegeldforderung gestellt oder eine Zahlung geleistet wurde, wird in dieser Quelle nicht abschließend geklärt.

Ab dem Abend des 24.09.2019 legte ein Malware-Angriff die IT-Systeme mehrerer Werke der Rheinmetall-Automotive-Sparte in Brasilien, Mexiko und den USA lahm. Die Produktion an diesen Standorten war erheblich gestört. Rheinmetall bezifferte den möglichen wöchentlichen Ergebnisschaden ab der zweiten Woche auf 3 bis 4 Millionen Euro und rechnete mit einer Wiederherstellung innerhalb von zwei bis vier Wochen. Die übrigen Konzern-IT-Systeme sowie die Rüstungssparte blieben laut Unternehmensangaben unberührt.

Rheinmetall bestätigte weder die genaue Art der Schadsoftware noch, ob es sich um verschlüsselnde Ransomware handelte. Ein separater, ähnlich gelagerter Ransomware-Angriff auf Rheinmetall im Jahr 2020 ließ sich in der Recherche nicht verifizieren, dieser 2019er Fall ist die dokumentierte Entsprechung.