Quellen-Tabelle

Die US-Auskunftei Equifax gab im September 2017 ein Datenleck bekannt, von dem rund 147 Millionen Menschen betroffen waren, hauptsächlich in den USA. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie bei etwa 145,5 Millionen Personen Sozialversicherungsnummern und bei rund 209.000 Personen Kreditkartendaten. Ursache war eine bereits am 07.03.2017 von Apache veröffentlichte und gepatchte kritische Schwachstelle in der Software Apache Struts (CVE-2017-5638), die Equifax auf einem internen Portal nicht schloss, obwohl die eigene Sicherheitsabteilung eine Patch-Frist von 48 Stunden angeordnet hatte. Angreifer nutzten die Lücke ab dem 10.03.2017 aus und exfiltrierten zwischen Mai und Juli 2017 unentdeckt Daten. Im Juli 2019 einigte sich Equifax mit FTC, CFPB sowie 48 US-Bundesstaaten auf einen Vergleich von bis zu 700 Millionen US-Dollar.

Die genaue Identität der Angreifer ist nicht abschließend geklärt, das US-Justizministerium erhob 2020 Anklage gegen vier mutmaßliche Mitglieder der chinesischen Volksbefreiungsarmee, dies stammt aus einer separaten Ermittlung. Die Zahl von 147 Millionen Betroffenen ist eine später revidierte Schätzung, die ursprüngliche Meldung nannte 143 Millionen. Der Gesamtwert des Vergleichs von 700 Millionen Dollar ist ein Maximalbetrag, tatsächlich zahlte Equifax mindestens 575 Millionen Dollar garantiert.

Am 14.06.2013 erhob das US-Justizministerium beim Bundesgericht im Eastern District of Virginia Anklage gegen Edward Snowden wegen Spionage und Diebstahls von Regierungseigentum. Nachdem Hongkong einem US-Festnahmeersuchen nicht nachkam, verließ Snowden die Stadt am 23.06.2013 Richtung Moskau. Im Transitbereich des Flughafens Scheremetjewo festsitzend, gewährte Russland ihm am 01.08.2013 vorübergehendes Asyl. Russland gewährte ihm 2020 eine unbefristete Aufenthaltserlaubnis und verlieh ihm am 26.09.2022 per Präsidialdekret die russische Staatsbürgerschaft. Die strafrechtliche Anklage in den USA besteht unverändert fort, eine Auslieferung hat Russland stets abgelehnt.

Die strafrechtliche Schuldfrage ist nicht durch ein Gerichtsverfahren geklärt, da es nie zu einem Prozess in den USA kam. Ob Snowden neben der russischen weiterhin die US-Staatsbürgerschaft besitzt, wird unterschiedlich bewertet. Vermutungen über Kontakte zu russischen Geheimdiensten sind unbewiesen und von Snowden bestritten.

WikiLeaks veröffentlichte ab dem 07.03.2017 unter dem Namen Vault 7 den ersten Teil Year Zero mit 8.761 Dokumenten aus einem isolierten Netzwerk der CIA-Abteilung Center for Cyber Intelligence. Bis November 2017 folgten insgesamt 26 weitere Teilveröffentlichungen. Die Unterlagen beschreiben CIA-Werkzeuge zum Eindringen in iPhones, Android-Geräte, Windows, Mac OS X, Linux-Rechner und Router sowie das Programm Weeping Angel, mit dem sich Samsung-Smart-TVs in versteckte Mikrofone verwandeln ließen. Ein Bundesgericht in Manhattan verurteilte den als Quelle identifizierten ehemaligen CIA-Softwareentwickler Joshua Schulte am 01.02.2024 zu 40 Jahren Haft.

Wie viele der beschriebenen Werkzeuge tatsächlich gegen reale Ziele eingesetzt wurden, ist nicht belegt. Schulte bestritt die Tat während des gesamten Verfahrens, im ersten Prozess 2020 konnte sich die Jury nicht einigen, erst ein zweiter Prozess endete 2022 mit einem Schuldspruch.

Der Untersuchungsausschuss PEGA des Europäischen Parlaments prüfte rund ein Jahr lang den Einsatz von Pegasus-Spähsoftware in der EU und unternahm Erkundungsmissionen nach Israel, Polen, Griechenland, Zypern, Ungarn und Spanien. Am 15.06.2023 nahm das Europaparlament die Abschlussempfehlung mit 411 zu 97 Stimmen an. Der Bericht warf mehreren Mitgliedstaaten vor, sich mit Verweis auf nationale Sicherheit der EU-Kontrolle zu entziehen, und forderte unabhängige gerichtliche Genehmigungspflichten sowie ein EU-Tech-Lab zur forensischen Untersuchung von Spähsoftwarevorwürfen.

Wie viele Menschen in der EU tatsächlich mit Pegasus infiziert wurden, ist nicht belegt. Der Ausschuss hatte keine eigenen Ermittlungsbefugnisse und war auf Kooperation der Mitgliedstaaten angewiesen, die meist verweigert oder nur eingeschränkt gewährt wurde. Die Empfehlung ist rechtlich nicht bindend, ein EU-weites Spyware-Gesetz existiert bislang nicht.

Die Washington Post berichtete am 21.12.2021 unter Berufung auf eine forensische Analyse des Citizen-Lab-Forschers Bill Marczak, dass eine Behörde der Vereinigten Arabischen Emirate im April 2018 versuchte, die Pegasus-Spyware der NSO Group auf ein Mobiltelefon von Hanan Elatr zu installieren, der Ehefrau des saudischen Journalisten Jamal Khashoggi. Fünf Monate später, am 02.10.2018, wurde Khashoggi im saudischen Konsulat in Istanbul ermordet. Ein früherer Citizen-Lab-Bericht hatte bereits festgestellt, dass auch das Telefon von Khashoggis Vertrautem Omar Abdulaziz mit Pegasus infiziert worden war.

Ob die Installation auf Elatrs Telefon tatsächlich erfolgreich war, ist nicht abschließend belegt, Citizen Lab dokumentierte nur den Zugriffsversuch. NSO Group bestritt, dass Pegasus zur Überwachung von Elatr eingesetzt worden sei. Ein rechtlich festgestellter Kausalzusammenhang zwischen dieser Überwachung und der Ermordung besteht nicht, dokumentiert ist nur die zeitliche Nähe.

Am 24.05.2022 veröffentlichte ein internationales Medienkonsortium von rund 14 Organisationen die Xinjiang Police Files: mehrere zehntausend gehackte interne Dokumente aus Polizeicomputersystemen in Xinjiang. Die Materialien waren dem China-Forscher Adrian Zenz von einer anonymen Quelle zugespielt worden. Der Datensatz enthält rund 5.000 Fahndungsfotos sowie interne Reden, darunter eine Rede des damaligen Parteisekretärs Chen Quanguo, in der er Wachpersonal anwies, bei Fluchtversuchen von Häftlingen notfalls scharf zu schießen. Chinas Außenministerium wies die Dokumente zurück.

Angaben zu Umfang und Zahlen schwanken je nach Quelle erheblich. Wie der anonyme Hacker technisch Zugang zu den Polizeisystemen erlangte, ist nicht dokumentiert. Ob Chen Quanguo die Schießbefehl-Passage persönlich formulierte, lässt sich nicht abschließend klären.

Project Maven wurde am 26.04.2017 per Memo des stellvertretenden US-Verteidigungsministers Robert Work gegründet, um per Computer Vision und maschinellem Lernen Drohnen- und Satellitenvideos automatisiert auf militärische Ziele auszuwerten. Ursprünglicher KI-Partner war Google, das den Vertrag nach internen Mitarbeiterprotesten 2018 nicht verlängerte. Ab 2019 übernahm Palantir Technologies die Rolle als zentraler KI-Anbieter und entwickelte das Maven Smart System. Nach einem fünfjährigen Vertrag über bis zu 480 Millionen US-Dollar im Mai 2024 erhöhte das Pentagon die Obergrenze im Mai 2025 um 795 Millionen auf rund 1,3 Milliarden US-Dollar bis 2029. Mehr als 20.000 aktive Anwender nutzten das System bereits in über 35 militärischen Software-Werkzeugen.

Wie viele der erkannten Objekte tatsächlich zu Angriffsentscheidungen führten, ist nicht belegt, das Pentagon veröffentlicht keine operativen Details. Der ursprüngliche Google-Vertragswert ist umstritten, öffentlich mit rund 9 Millionen Dollar beziffert, intern laut geleakten E-Mails mit Wachstumspotenzial auf bis zu 250 Millionen jährlich. Eine gerichtliche Feststellung einer Rechtsverletzung durch Maven selbst liegt bislang nicht vor.

Die französische Datenschutzbehörde CNIL verhängte am 17.10.2022 ein Bußgeld von 20 Millionen Euro gegen Clearview AI, das ohne Rechtsgrundlage rund 20 Milliarden Fotos von Webseiten gesammelt und daraus eine Gesichtserkennungs-Suchmaschine betrieben hatte. Die CNIL stellte Verstöße gegen die DSGVO fest: Verarbeitung sensibler biometrischer Daten ohne Rechtsgrundlage sowie mangelnde Umsetzung der Betroffenenrechte. Bereits im November 2021 hatte die CNIL Clearview AI aufgefordert, die Datenerhebung einzustellen. Da das Unternehmen die Anordnung weiterhin nicht befolgte, verhängte die CNIL im Mai 2023 zusätzlich ein Zwangsgeld von 5,2 Millionen Euro.

Ob Clearview AI die Bußgelder tatsächlich gezahlt hat, ist nicht belegt. Das Unternehmen hat in Frankreich keine Niederlassung und keine bekannten Vermögenswerte, weshalb die Vollstreckung fraglich bleibt. Diese Quelle behandelt ausschließlich das französische Verfahren, parallele Verfahren in anderen Ländern sind eigenständige Vorgänge.

Der Royal Free London NHS Foundation Trust übergab 2015 die Gesundheitsdaten von rund 1,6 Millionen Patienten an Google DeepMind, um die App Streams zur Erkennung von akutem Nierenversagen klinisch zu testen. Die ICO stellte am 03.07.2017 fest, dass der Trust gegen den Data Protection Act 1998 verstoßen hatte: Patienten seien nicht angemessen informiert worden und es habe keine ausreichende Rechtsgrundlage gegeben. Die ICO verhängte kein Bußgeld, verpflichtete den Trust jedoch, eine ordnungsgemäße Rechtsgrundlage zu schaffen und die Studie extern prüfen zu lassen.

In welchem Umfang DeepMind die Patientendaten für andere Zwecke nutzte, ist nicht abschließend geklärt, DeepMind bestritt eine Zweckentfremdung. Eine spätere Sammelklage von rund 1,6 Millionen Patienten wurde im Mai 2023 von einem britischen Gericht abgewiesen, da kein individueller Schaden nachgewiesen werden konnte.

Amazons Tochterunternehmen Ring kündigte im Oktober 2025 eine technische Integration mit dem Überwachungsunternehmen Flock Safety an, die es Polizeibehörden ermöglicht hätte, gezielt Videomaterial von Ring-Nutzern anzufordern. Nach wochenlanger öffentlicher Kritik, unter anderem wegen Sorgen um einen möglichen Zugriff der Einwanderungsbehörde ICE auf die Flock-Infrastruktur, sagten beide Unternehmen die Integration am 12.02.2026 ab. Laut gemeinsamer Mitteilung ging die Integration nie live, es wurden keine Kundenvideos übermittelt. Das unabhängig fortbestehende, freiwillige Community-Requests-Programm erlaubt Ring-Nutzern weiterhin, Aufnahmen direkt mit lokaler Polizei zu teilen.

Wie viele Polizeibehörden die Flock-Integration im Vorfeld bereits getestet hatten, ist nicht belegt. Wie viele Videos über das Community-Requests-Programm insgesamt an Polizeibehörden gehen, veröffentlicht Ring nicht systematisch. Ob ICE über kooperierende Polizeibehörden künftig indirekten Zugriff auf Flock-Daten erhalten könnte, ist nicht ausgeschlossen.

Präsident Biden unterzeichnete am 27.03.2023 die Executive Order 14093, die US-Bundesbehörden den operativen Einsatz kommerzieller Spionagesoftware untersagt, wenn diese ein erhebliches Risiko für die nationale Sicherheit darstellt oder von ausländischen Regierungen zur gezielten Überwachung von Aktivisten, Journalisten oder Dissidenten missbraucht wurde. Die Anordnung erging rund eineinhalb Jahre nach Aufnahme der NSO Group in die Entity List des US-Handelsministeriums und reagierte explizit auf den dokumentierten Missbrauch von Pegasus.

Die Anordnung nennt keine einzelne Firma namentlich, sondern formuliert allgemeine Risikokriterien. Kritiker wie die Electronic Frontier Foundation bemängelten fehlende externe Kontrollmechanismen. Wie viele Behörden welche Spyware-Produkte vor und nach dem Erlass nutzten, wurde nicht vollständig öffentlich gemacht.

Der spanische Manager Jose Ignacio Lopez de Arriortua wechselte im März 1993 abrupt von General Motors/Opel zu Volkswagen und nahm drei weitere GM-Manager mit. GM warf ihm vor, vertrauliche Unterlagen zu Werksplanung und Zulieferpreisen entwendet zu haben; deutsche Ermittler fanden bei einer Razzia vier Kisten mit GM-Dokumenten. Lopez trat 1996 zurück, drei Tage nach einer für GM günstigen US-Gerichtsentscheidung. Im Januar 1997 einigten sich beide Konzerne außergerichtlich: VW zahlte GM 100 Millionen Dollar und verpflichtete sich zu Einkäufen von mindestens einer Milliarde Dollar bei GM. Ein US-Bundesgericht erhob im Mai 2000 Anklage gegen Lopez und beantragte seine Auslieferung aus Spanien.

Ob und in welchem Umfang Lopez persönlich Dokumente entwendete, wurde nie gerichtlich abschließend geklärt, das deutsche Ermittlungsverfahren wurde 1998 eingestellt. Die US-Anklage führte mangels Auslieferung nie zu einer Hauptverhandlung. Nach einem schweren Autounfall 1998 stuften seine Anwälte ihn zudem als verhandlungsunfähig ein.

Die ICO verhängte am 16.10.2020 gegen British Airways ein Bußgeld von 20 Millionen Pfund wegen des Datenlecks von 2018, bei dem Nutzer auf eine gefälschte Website umgeleitet wurden und Angreifer persönliche und Zahlungsdaten von rund 430.000 Kunden abgriffen. Die ICO hatte im Juli 2019 zunächst 183,39 Millionen Pfund angekündigt. Die finale Summe entspricht nur rund 11 Prozent des ursprünglichen Betrags, inklusive einer Reduktion von 4 Millionen Pfund wegen der Corona-Pandemie.

Die genaue Berechnungsformel für die Reduzierung veröffentlichte die ICO nicht. Ob BA das Bußgeld vollständig gezahlt hat, ist nicht abschließend ersichtlich. Eine separate zivilrechtliche Sammelklage Betroffener ist nicht Gegenstand dieses Verfahrens.

Der BGH entschied am 13.03.2025, dass Ermittlungsbehörden den Finger eines Beschuldigten gegen dessen Willen auf den Fingerabdrucksensor eines Smartphones legen dürfen, um es zu entsperren, gestützt auf § 81b Abs. 1 StPO in Verbindung mit §§ 94 ff. StPO. Anlass war ein wegen Herstellens kinderpornografischer Inhalte verurteilter Erzieher, dessen Handy die Polizei zwangsweise entsperrte und dabei über 2.000 weitere Dateien fand. Der BGH stufte das erzwungene Auflegen des Fingers als duldungspflichtige Maßnahme ein und lehnte ein Beweisverwertungsverbot ab.

Nicht Gegenstand der Entscheidung war die erzwungene Entsperrung per Gesichtserkennung, Passwort oder PIN, dafür gilt weiterhin ein Mitwirkungsverbot. Wie oft Behörden seit dem Beschluss auf dieser Grundlage vorgegangen sind, ist nicht dokumentiert.

Am 16.01.2025 äußerte sich die LDI NRW zu Vorwürfen gegen den Wetterdienst WetterOnline, ausgelöst durch die Recherche Databroker Files: Ein Testdatensatz vom 02.07.2024 enthielt 380 Millionen Standortdatenpunkte, darunter rund 34.875 geortete deutsche Android-Geräte mit der App WetterOnline an einem Tag. Als Quelle identifizierten die Rechercheure den Datenhändler Datastream Group. Laut netzpolitik.org vom 07.04.2026 leitete die LDI NRW inzwischen ein Bußgeldverfahren gegen WetterOnline ein, weil das Unternehmen über Jahre Standortdaten ohne wirksame Einwilligung erhoben und weitergegeben habe.

Die konkrete Bußgeldhöhe steht nicht fest, das Verfahren war Anfang April 2026 noch offen. WetterOnline bestreitet, GPS-Daten verkauft zu haben. Die Zahl von rund 34.875 georteten Geräten stammt aus einem einzigen Testdatensatz und lässt keine Gesamtaussage über die Jahre zu.

Am 22.09.2025 ließ ein Ermittlungsgericht in Barcelona eine Strafanzeige gegen frühere Spitzenbeamte des spanischen Geheimdienstes CNI und der Guardia Civil sowie Führungskräfte der Spyware-Hersteller NSO Group und Saito Tech zur Untersuchung zu. Die Anzeige stammt von fünf Betroffenen des 2022 von Citizen Lab aufgedeckten CatalanGate-Skandals, die mit Pegasus- und Candiru-Spyware ausgespäht worden waren. Das Gericht ermittelt wegen Entdeckung und Offenbarung von Computergeheimnissen. Zuvor hatte die Audiencia Nacional dieselbe Anzeige mangels Zuständigkeit abgewiesen.

Es handelt sich um die Zulassung einer Ermittlung, nicht um eine Anklage oder ein Urteil. Wer den Einsatz konkret anordnete, ist bislang nicht gerichtsfest geklärt. Die spanische Regierung hat als Verschlusssache eingestufte Unterlagen bislang nicht offengelegt.

Der belgische Kontrollausschuss für die Nachrichten- und Sicherheitsdienste veröffentlichte am 17.10.2022 seinen Abschlussbericht zur Pegasus-Affäre. Als bestätigte belgische Ziele nennt der Bericht den Journalisten Peter Verlinden und seine Ehefrau, deren Infektion der Militärgeheimdienst ADIV im September 2021 feststellte, sowie die Aktivistin Maliha El Mahjoub. Auf der 2021 geleakten Pegasus-Project-Liste tauchten zudem Telefonnummern der Politiker Charles und Louis Michel auf. Der Ausschuss sprach vier Empfehlungen aus, darunter eine nationale Taskforce für digitale Sicherheit.

Ob die belgischen Dienste VSSE oder ADIV selbst Pegasus einsetzten, ist aus dem veröffentlichten Bericht nicht ersichtlich, der entsprechende Abschnitt wurde als geheim eingestuft. Wer die Infektion bei Verlinden veranlasste, ist nicht abschließend bewiesen, der ADIV vermutet Ruanda, das dies bestreitet. Für die Nummern auf der Pegasus-Liste ist nicht belegt, ob tatsächlich eine Infektion stattfand.

Am 25.06.2013 reichte Max Schrems bei der irischen Datenschutzbehörde eine Beschwerde gegen Facebook Ireland Ltd ein, ausgelöst durch die PRISM-Enthüllungen. Er argumentierte, Facebook Irland dürfe Nutzerdaten nicht an Facebook USA übermitteln, da diese dort dem NSA-Zugriff ausgesetzt seien. Der Datenschutzkommissar wies die Beschwerde im Juli 2013 als mutwillig und schikanös zurück. Schrems focht dies vor dem irischen High Court an, der am 18.06.2014 entschied, die von Snowden aufgedeckte Überwachung wäre nach irischem Verfassungsrecht unzulässig, und die EU-rechtlichen Fragen dem EuGH vorlegte (Rechtssache C-362/14).

Das genaue Datum der behördlichen Zurückweisung im Juli 2013 wird in Quellen unterschiedlich angegeben. Die oft zitierten 22 Beschwerden von Schrems beziehen sich auf ein früheres, breiteres Beschwerdepaket von 2011/2012 zu anderen Themen und sind von dieser spezifischen PRISM-Beschwerde zu unterscheiden. Der eigentliche EuGH-Richterspruch von 2015 zu Safe Harbor ist bereits gesondert dokumentiert und nicht Gegenstand dieses Eintrags.

Als Reaktion auf das bereits dokumentierte BVerfG-Urteil von 2016 verabschiedete der Bundestag am 27.04.2017 das Gesetz zur Neustrukturierung des BKA-Gesetzes, in Kraft seit 25.05.2018. Gegen die neuen Befugnisse zur Datenerhebung bei Kontaktpersonen reichten 2019 mehrere Betroffene mit Unterstützung der Gesellschaft für Freiheitsrechte Verfassungsbeschwerde ein. Am 01.10.2024 erklärte das BVerfG (Az. 1 BvR 1160/19) die Vorschriften zur Kontaktpersonenüberwachung sowie zur Datenspeicherung im polizeilichen Informationsverbund teilweise für unvereinbar mit dem Grundrecht auf informationelle Selbstbestimmung. Der Gesetzgeber musste die Vorschriften bis 31.07.2025 neu regeln.

Wer die Beschwerdeführer konkret sind, wird nur nach Beruf oder Gruppenzugehörigkeit benannt. Ob der Gesetzgeber die Neuregelung fristgerecht umsetzte, ist nicht Gegenstand dieser Quelle.

Peiter Mudge Zatko war von November 2020 bis Januar 2022 Sicherheitschef bei Twitter, bevor ihn CEO Parag Agrawal entließ. Im Juli 2022 reichte er eine rund 200-seitige Beschwerde bei SEC, FTC und Justizministerium ein, die im August 2022 öffentlich wurde. Am 13.09.2022 sagte er vor dem Justizausschuss des US-Senats aus und warf der Twitter-Führung vor, Öffentlichkeit und Aufsichtsbehörden über Sicherheitsmängel getäuscht zu haben. Laut Zatko hatten Ingenieure weitreichenden, nicht nachvollziehbaren Zugriff auf Nutzerdaten, und mindestens ein Agent des chinesischen Ministeriums für Staatssicherheit sei bei Twitter beschäftigt gewesen.

Twitter wies die Vorwürfe als lückenhaft zurück. Für einen Großteil der Behauptungen blieb Zatko laut Medienberichten Belege schuldig. Ob ausländische Agenten tatsächlich auf Nutzerdaten zugriffen, ist nicht unabhängig bestätigt.

Am 18.04.2022 bestätigte das US-Berufungsgericht für den Neunten Bezirk im Verfahren hiQ Labs gegen LinkedIn erneut eine einstweilige Verfügung zugunsten von hiQ Labs. Das Analyseunternehmen hatte per Bot öffentlich einsehbare LinkedIn-Profildaten ausgelesen, woraufhin LinkedIn technische Sperren einsetzte. Das Gericht entschied, automatisiertes Auslesen frei zugänglicher, nicht login-geschützter Inhalte verstoße aller Wahrscheinlichkeit nach nicht gegen den Computer Fraud and Abuse Act. Nach sechsjährigem Rechtsstreit einigten sich beide Seiten im Dezember 2022 auf einen Vergleich über 500.000 US-Dollar zulasten von hiQ.

Das Urteil betraf nur die vorläufige Verfügung, keine endgültige Entscheidung in der Hauptsache. Der Supreme Court äußerte sich nie inhaltlich zum Scraping. Die Reichweite der Entscheidung ist begrenzt auf Daten ohne jede technische Zugangsschranke.

Am 20.06.2024 legte die Ransomware Brain Cipher, eine Weiterentwicklung von LockBit 3.0, das temporäre Nationale Rechenzentrum Indonesiens in Surabaya lahm. Betroffen waren mehr als 200 Regierungsbehörden, darunter Einwanderungs- und Passdienste, was zu langen Warteschlangen an Flughäfen führte. Die Angreifer forderten rund 8 Millionen Dollar, die indonesische Regierung lehnte eine Zahlung ab. Am 03.07.2024 veröffentlichte Brain Cipher unaufgefordert den Entschlüsselungscode kostenlos.

Die genaue Zahl betroffener Behörden schwankt je nach Quelle. Der genaue Anfangsvektor des Einbruchs ist nicht abschließend geklärt, Berichte verweisen auf deaktivierte Windows-Defender-Schutzfunktionen. Ob tatsächlich Daten exfiltriert wurden, ist nicht unabhängig verifiziert.

Die mit China in Verbindung gebrachte Gruppe Salt Typhoon drang 2024 in Netzwerke mehrerer großer US-Telekommunikationsanbieter ein, laut Medienberichten unter anderem AT&T, Verizon und Lumen Technologies. FBI und CISA bestätigten am 25.10.2024 den unautorisierten Zugriff, in einer aktualisierten Erklärung vom 13.11.2024 stellten sie fest, dass die Angreifer Anrufdaten gestohlen und Informationen aus gerichtlich angeordneten Überwachungsmaßnahmen (CALEA-Abhörschnittstellen) kopiert hatten.

FBI und CISA nennen keine genaue Opferzahl oder vollständige Firmenliste. Häufig zitierte Zahlen wie rund 150 Zielpersonen stammen aus Medienberichten, nicht aus den offiziellen Mitteilungen. Der Name Salt Typhoon stammt aus privater Bedrohungsanalyse, nicht aus Regierungsdokumenten.

Anfang August 2023 wurde die US-Klinikkette Prospect Medical Holdings Ziel eines Ransomware-Angriffs der Gruppe Rhysida. Krankenhäuser in fünf US-Bundesstaaten mussten ihre IT vom Netz nehmen, mehrere Notaufnahmen schlossen zeitweise und leiteten Patienten um. Prospect Medical meldete später eine Datenpanne mit 1.309.096 betroffenen Personen, deren Namen, Sozialversicherungsnummern und Gesundheitsdaten kompromittiert wurden.

Rhysidas Behauptung, rund 1 Terabyte Daten erbeutet zu haben, stammt allein von den Angreifern. Ob Prospect Medical Lösegeld zahlte, ist nicht bestätigt. Ob die Ausfälle zu konkreten Patientenschäden führten, ist nicht belegt.

Am 01.06.2017 beschloss der Bundestag einstimmig die Aufhebung von Paragraf 103 StGB, der Strafbarkeit der Beleidigung ausländischer Staatsoberhäupter. Auslöser war die Strafanzeige des türkischen Präsidenten Recep Tayyip Erdogan gegen Jan Böhmermann wegen dessen Schmähgedicht vom März 2016, für dessen Verfolgung die Bundesregierung im April 2016 die Ermächtigung nach Paragraf 104a StGB erteilt hatte. Die Streichung trat zum Januar 2018 in Kraft, mit der Begründung, die allgemeinen Beleidigungsvorschriften seien ausreichend.

Nicht dokumentiert im Bundestagsartikel ist der Ausgang des Strafverfahrens gegen Böhmermann. Die Staatsanwaltschaft Mainz stellte das Ermittlungsverfahren im Oktober 2016 mangels Tatverdachts ein, dies stammt aus anderen Quellen. Zivilrechtliche Verfahren zwischen Böhmermann und Erdogan sind nicht Gegenstand dieser Quelle.