Quellen-Tabelle

Am 19.07.2015 gab die Hackergruppe The Impact Team bekannt, in die Systeme der kanadischen Seitensprung-Plattform Ashley Madison und der Schwesterseite Established Men eingedrungen zu sein, betrieben vom Unternehmen Avid Life Media mit CEO Noel Biderman. Die Gruppe forderte die dauerhafte Abschaltung beider Portale und drohte andernfalls mit der Veröffentlichung aller Nutzerdaten. Nachdem das Unternehmen der Forderung nicht nachkam, veröffentlichte The Impact Team am 18.08.2015 ein rund 9,7 Gigabyte großes Datenpaket im Tor-Netzwerk, dem am 20.08.2015 ein zweites, größeres Datenpaket folgte. Betroffen waren nach verbreiteten Angaben rund 32 Millionen Nutzerkonten (die US-Handelsaufsicht FTC nannte später 36 Millionen), darunter Namen, Adressen, Telefonnummern, sieben Jahre zurückreichende Kreditkartentransaktionsdaten sowie teils sexuelle Präferenzen; Passwörter waren per bcrypt gehasht. Unter den Adressen fanden sich mehr als 15.000 E-Mail-Konten von US-Regierungs- und Militärangehörigen. Die Toronto Police Service bestätigte im August 2015 zwei bislang unbestätigte Suizide, die mit dem Datenleck in Verbindung gebracht wurden. CEO Noel Biderman trat am 28.08.2015 zurück. Im Dezember 2016 einigte sich das Unternehmen mit der FTC auf eine Zahlung von 1,657 Millionen US-Dollar; im Juli 2017 folgte ein Sammelklage-Vergleich über 11,2 Millionen US-Dollar.

Die genaue Zahl betroffener Konten schwankt je nach Quelle zwischen 32 und 36 Millionen, und die von mehreren Medien berichteten Suizide im Zusammenhang mit dem Leak wurden von der Polizei nie offiziell als direkte Folge des Hacks bestätigt. Die Identität der Angreifer hinter The Impact Team wurde nie aufgeklärt.

Am 05.09.2017 bestätigte die estnische Behörde RIA eine Sicherheitslücke in der estnischen elektronischen Identitätskarte, die rund 750.000 seit Oktober 2014 ausgegebene Chipkarten betraf, darunter auch Karten von E-Residency-Nutzern. Ursache war die ROCA-Schwachstelle in der RSA-Schlüsselerzeugung von Kryptochips des Herstellers Infineon, die in den vom Kartenhersteller Gemalto produzierten estnischen ID-Karten verbaut waren. Die Lücke erlaubte theoretisch die Berechnung des privaten RSA-Schlüssels aus dem öffentlichen Schlüssel und damit die Fälschung digitaler Identitäten. Laut RIA gab es zum Zeitpunkt der Bekanntgabe keine Hinweise auf tatsächlichen Missbrauch. Am 03.11.2017 setzte die estnische Regierung die betroffenen Zertifikate aus; Karteninhaber konnten sie bis zum 31.03.2018 erneuern, nicht erneuerte Zertifikate wurden zum 01.04.2018 widerrufen. Die ROCA-Schwachstelle betraf weltweit schätzungsweise über eine Milliarde Krypto-Chips. Im Februar 2021 einigten sich die estnische Grenzschutzbehörde und der Kartenhersteller Gemalto, inzwischen Teil von Thales, auf eine Zahlung von 2,2 Millionen Euro Entschädigung, nachdem der estnische Staat zunächst 152 Millionen Euro Schadensersatz gefordert hatte.

Aus der Quelle geht nicht hervor, ob es je zu einem konkreten Missbrauchsfall kam oder wer die Schwachstelle ursprünglich entdeckte; die Angaben zur Zertifikatssperrung sowie zum Gemalto-Vergleich 2021 stammen aus späteren, ergänzenden Quellen.

Die Journalistin Rachna Khaira berichtete am 04.01.2018 in der indischen Zeitung The Tribune, dass sie über einen anonymen Verkäufer auf WhatsApp gegen Zahlung von 500 Rupien, umgerechnet rund 6 Euro, per Paytm binnen zehn Minuten Zugangsdaten zu einem Portal der Unique Identification Authority of India (UIDAI) erhielt. Über dieses Portal ließen sich zu jeder der mehr als 1,1 Milliarden vergebenen Aadhaar-Nummern Name, Adresse, Postleitzahl, Foto, Telefonnummer und E-Mail-Adresse abrufen. Gegen weitere 300 Rupien bot derselbe Verkäufer zusätzlich eine Software an, mit der sich Aadhaar-Ausweise beliebiger Personen ausdrucken ließen. Laut Recherche der Tribune hatten mehr als 100.000 staatlich beauftragte Village-Level-Enterprise-Operatoren unrechtmäßigen Zugriff auf das Portal erlangt und diesen zum Weiterverkauf genutzt. Die UIDAI wies einen Leak oder eine Datenpanne der Aadhaar-Datenbank offiziell zurück und sprach von Fehlberichterstattung. Ein UIDAI-Mitarbeiter erstattete daraufhin Strafanzeige gegen die Reporterin Khaira wegen angeblich unbefugten Zugriffs auf die Datenbank. Die Delhi Police stellte dieses Verfahren gegen Khaira später mangels Beweisen ein.

Nicht belegt ist, dass über das genutzte Portal tatsächlich biometrische Daten wie Fingerabdrücke abrufbar waren, bestätigt wurden nur demografische Daten. Die Zahl von 1,1 Milliarden bezieht sich auf die theoretisch erreichbare Gesamtmenge, nicht auf nachgewiesene tatsächlich abgerufene Einzeldatensätze, zudem blieben die Hintermänner unidentifiziert.

Nach dem Amtsantritt von Präsident Rodrigo Duterte am 30.06.2016 bauten philippinische Polizei und lokale Behörden im Rahmen des landesweiten Kriegs gegen Drogen systematische Verdächtigenlisten auf. Die Listen wurden primär von Barangay Anti-Drug Abuse Councils erstellt, kommunalen Gremien, die mutmaßliche Drogennutzer und -händler identifizierten. Die gemeldeten Namen wurden danach von nationalen Polizei- und Geheimdienststellen validiert, wie Polizeichef Ronald dela Rosa gegenüber Reuters bestätigte. Laut dem am 08.10.2016 veröffentlichten Reuters-Bericht umfasste allein die Liste für Metro Manila 11.700 mutmaßliche Nutzer und Händler, die Provinz Bulacan meldete rund 17.000 Namen. Bis zur Veröffentlichung des Berichts waren seit dem 30.06.2016 mehr als 3.600 Menschen im Zuge der Kampagne getötet worden, darunter 1.377 bei Polizeieinsätzen erschossene Personen, von denen laut Reuters die meisten zuvor auf einer solchen Liste geführt worden waren. Karen Gomez Dumpit von der philippinischen Menschenrechtskommission warnte, das Listensystem schaffe ein Umfeld, in dem jemand mit persönlichem Groll und einer Waffe sein Ziel gezielt aufspüren könne.

Der Bericht nennt keine landesweite Gesamtzahl aller in den Watchlists erfassten Namen, sondern nur einzelne Regionalzahlen, und belegt nicht im Einzelfall, ob eine konkrete Tötung ursächlich auf den jeweiligen Listeneintrag zurückging.

Am 31.07.2013 veröffentlichte The Guardian, gestützt auf von Edward Snowden bereitgestellte Dokumente, einen Bericht über das NSA-Programm XKeyscore. Grundlage war eine als geheim eingestufte NSA-Schulungspräsentation aus dem Jahr 2008 mit 48 Folien. Laut den Unterlagen ermöglichte XKeyscore NSA-Analysten eine Volltextsuche in E-Mails, Online-Chats und Browserverläufen von Internetnutzern weltweit, ohne vorherige richterliche Genehmigung. Das System stützte sich auf ein Netzwerk von rund 700 Servern an etwa 150 Standorten in etwa 41 Ländern. Erfasste Inhalte wurden für drei bis fünf Tage und Metadaten für bis zu 30 Tage auf den Servern vorgehalten, bevor Analysten relevante Treffer in Langzeitdatenbanken speicherten. Journalist Glenn Greenwald berichtete, Analysten benötigten für eine Suche lediglich eine grobe Begründung über ein Dropdown-Menü, jedoch keine gerichtliche Anordnung. Die NSA erklärte, der Zugriff unterliege technischen und prozeduralen Kontrollen sowie der Aufsicht durch Kongress, Justizministerium und Gerichte.

Aus dem Artikel geht nicht hervor, in welchem konkreten Umfang XKeyscore tatsächlich auf Daten von US-Bürgern angewendet wurde, und die genaue Zahl weltweit betroffener Nutzer ist nicht unabhängig verifizierbar.

Am 24. August 2017 trat in Deutschland das Gesetz zur effektiveren und praxistauglicheren Ausgestaltung des Strafverfahrens in Kraft, das mit den Paragrafen 100a und 100b der Strafprozessordnung erstmals eine ausdrückliche gesetzliche Grundlage für den Einsatz von Staatstrojanern schuf. Das Bundeskriminalamt entwickelte parallel eine eigene Überwachungssoftware namens RCIS, deren Entwicklung laut Bundesregierung bis 2020 rund 5,77 Millionen Euro kostete. Laut einer Antwort der Bundesregierung auf eine Kleine Anfrage von Bundestagsabgeordneten der Grünen, ausgewertet von heise online am 22. Februar 2021, wurde dieser Bundestrojaner zwischen 2017 und 2020 in keinem einzigen abgeschlossenen Ermittlungs- oder Gefahrenabwehrverfahren des BKA erfolgreich eingesetzt. Auch die kommerzielle Software FinSpy kam beim BKA nach diesen Angaben bislang nicht zum Einsatz. Für das Jahr 2019 wiesen offizielle Zahlen bundesweit lediglich 15 tatsächlich durchgeführte Staatstrojaner-Einsätze aus. Die Zahl der tatsächlich durchgeführten Maßnahmen stieg in den Folgejahren, etwa auf 22 im Jahr 2020 und 32 im Jahr 2021, überwiegend im Bereich der Drogenkriminalität.

Aus der Quelle nicht abschließend belegt ist, in welchem Umfang spätere Einsätze auf die BKA-Eigenentwicklung RCIS statt auf andere, teils von Landesbehörden genutzte Trojaner-Software entfielen.

Am 21.06.2013 veröffentlichte The Guardian auf Basis von Dokumenten des ehemaligen NSA-Mitarbeiters Edward Snowden Details zum Programm Tempora des britischen Geheimdienstes GCHQ. Tempora wurde ab 2008 getestet und war seit Ende 2011 im Wirkbetrieb. Der Geheimdienst hatte Abhörsonden an mehr als 200 transatlantischen Glasfaserkabeln angebracht, über die ein Großteil des internationalen Telefon- und Internetverkehrs zwischen Europa und Nordamerika läuft. Jede Sonde konnte anfangs bis zu 10 Gigabit Daten pro Sekunde erfassen, laut Guardian ließen sich damit täglich bis zu 600 Millionen Kommunikationsvorgänge auswerten. Inhaltsdaten wie Telefonate und E-Mails wurden bis zu drei Tage, Metadaten bis zu 30 Tage gespeichert und durchsuchbar gehalten. Ein zentraler Anlandepunkt der abgehörten Kabel lag im britischen Bude in Cornwall. Nach den Dokumenten hatten im Mai 2012 rund 300 GCHQ- und 250 NSA-Analysten Zugriff auf die gesammelten Daten. Im September 2018 stufte der Europäische Gerichtshof für Menschenrechte das britische Massenüberwachungsprogramm als rechtswidrig ein.

Die genaue Zahl von 600 Millionen täglich erfassten Kommunikationsvorgängen sowie Details zur rechtlichen Grundlage stammen aus als geheim eingestuften Dokumenten und wurden von GCHQ nie offiziell bestätigt oder dementiert.

Am 27. Mai 2021 kam es beim schwedischen Zahlungsdienstleister Klarna zu einer Datenschutzpanne, bei der Nutzer der Klarna-App für kurze Zeit Konto- und Bestelldaten fremder Kunden einsehen konnten. Ursache war nach Angaben von Klarna ein menschlicher Bedienungsfehler bei einem Softwareupdate, das versehentlich in das Live-System eingespielt wurde. Der fehlerhafte Zustand bestand nach Unternehmensangaben etwa eine halbe Stunde. Sichtbar waren unter anderem Namen, Adressen, Telefonnummern, verifizierte E-Mail-Adressen, Bestellfotos sowie teilweise maskierte Karten- und Kontonummern. Vollständige Bank- oder Kartendaten sowie Steuernummern waren laut Klarna nicht einsehbar. Medien berichteten zunächst von rund 90.000 Betroffenen, Klarna korrigierte die Zahl später auf etwa 9.500 Nutzer von damals rund 90 Millionen aktiven Kunden weltweit. Klarna nahm die App unmittelbar vom Netz. Das Unternehmen erklärte, es habe sich nicht um einen externen Angriff gehandelt, informierte die zuständigen Behörden und kündigte eine Überprüfung interner Prozesse an. Der Vorfall betraf auch deutsche Nutzer.

Unklar bleibt, ob dieser konkrete Vorfall zu einem eigenen DSGVO-Bußgeld führte; die 2022 von der schwedischen Datenschutzbehörde IMY verhängte Strafe gegen Klarna betraf unzureichende Datenschutzerklärungen und nicht diese Datenpanne.

Der Investigatory Powers Act 2016, im Vereinigten Königreich als Snoopers Charter bekannt, erhielt am 29.11.2016 die königliche Zustimmung und trat ab dem 30.12.2016 stufenweise in Kraft. Das Gesetz verpflichtet Kommunikationsdienstleister, Internet Connection Records aller Nutzer für zwölf Monate zu speichern. Polizei, Geheimdienste und benannte Regierungsbehörden können diese Daten für gezielte Ermittlungen abrufen. Zusätzlich legalisiert das Gesetz Massenbefugnisse: die massenhafte Interception von Kommunikation, den Massenzugriff auf Kommunikationsdaten und das Hacken von Geräten. Am 27.04.2018 entschied der High Court in London im Verfahren Liberty gegen die Regierung, dass Teil 4 des Gesetzes zur Vorratsdatenspeicherung gegen EU-Recht verstößt, da er keine ausreichenden Schutzvorkehrungen wie eine vorherige unabhängige Genehmigung vorsah. Am 31.10.2018 traten die Data Retention and Acquisition Regulations 2018 in Kraft, die den Zugriff auf schwere Straftaten beschränken und eine vorherige Prüfung durch einen Judicial Commissioner vorschreiben.

Aus dieser Quelle nicht belegt sind die genaue Zahl der tatsächlich gespeicherten Internet Connection Records und der behördlichen Abfragen sowie Details zu einzelnen vertraulichen Technical Capability Notices.

Section 215 des USA PATRIOT Act erlaubte der NSA seit 2006 die massenhafte, anlasslose Sammlung von Telefonverbindungsdaten von Millionen US-Bürgern. Das Programm wurde im Juni 2013 durch von Edward Snowden veröffentlichte Dokumente öffentlich bekannt. Am 07.05.2015 entschied das Berufungsgericht des zweiten Bundesgerichtsbezirks im Fall ACLU v. Clapper, dass Section 215 die massenhafte Sammlung von Telefondaten rechtlich nicht gedeckt habe. Die gesetzliche Grundlage von Section 215 lief am 01.06.2015 aus. Am 02.06.2015 verabschiedete der US-Senat mit 67 zu 32 Stimmen den USA Freedom Act, den Präsident Barack Obama noch am selben Tag unterzeichnete. Das Gesetz untersagte künftig die anlasslose Massensammlung von Telefonmetadaten durch die NSA, sah dafür aber eine Übergangsfrist von 180 Tagen vor. Nach Ablauf dieser Frist stellte die NSA die Massensammlung am 29.11.2015 endgültig ein. Seitdem benötigt die Regierung für gezielte Abfragen einen Beschluss des FISC mit einem konkreten Suchbegriff.

Aus dieser Quelle nicht belegt sind die genaue Zahl der betroffenen Telefonanschlüsse; ebenso bleibt offen, in welchem Umfang die NSA über andere Rechtsgrundlagen wie Section 702 FISA weiterhin Kommunikationsdaten erhob.

Am 20. September 2019 wurde das Berliner Kammergericht, eines der größten Oberlandesgerichte Deutschlands mit rund 150 Richterinnen und Richtern, Ziel eines Cyberangriffs mit den Schadprogrammen Emotet und Trickbot. Die Trojaner drangen über eine präparierte E-Mail in das ungesegmentierte Gerichtsnetzwerk ein und stahlen über mehrere Tage systematisch Zugangsdaten. Eine Verschlüsselung im Sinne klassischer Ransomware blieb aus, weil die Internetverbindung des Gerichts unterbrochen wurde, ein Datendiebstahl wurde jedoch bestätigt. Das Cyber Emergency Response Team von T-Systems empfahl einen kompletten Neuaufbau der Windows-Domäne und der gesamten IT-Infrastruktur. Neun Monate nach dem Angriff, im Juli 2020, war die Mehrheit der rund 150 Richterinnen und Richter weiterhin in ihrer Arbeit stark eingeschränkt. Neu verteilte Computer konnten mangels VPN-Zugang zunächst nur als Schreibmaschinen genutzt werden. Für die Beschaffung neuer Geräte und den Aufbau sicherer Zugänge wurden mehrere Millionen Euro veranschlagt, im Berliner Nachtragshaushalt waren insgesamt über 10 Millionen Euro für die IT-Wiederherstellung der Justiz eingeplant.

Der genaue Infektionsweg der ersten Schadsoftware-Mail konnte laut Berichten nicht abschließend rekonstruiert werden, und ob tatsächlich sensible Verfahrensdaten abgeflossen sind, blieb ungeklärt.

In der Nacht zum 10. September 2020 wurden rund 30 Server des Universitätsklinikums Düsseldorf durch eine Ransomware verschlüsselt, die über eine seit Dezember 2019 bekannte, ungepatchte Sicherheitslücke in einer Citrix-Anwendung ins Kliniknetzwerk gelangt war. Wegen des IT-Ausfalls musste die Notaufnahme vorübergehend geschlossen werden. In der Nacht zum 11. September 2020 wurde deshalb eine 78-jährige Patientin mit einem lebensbedrohlichen Aneurysma per Rettungswagen in eine rund 32 Kilometer entfernte Klinik in Wuppertal umgeleitet, wodurch sich ihre Behandlung um etwa eine Stunde verzögerte. Die Frau starb kurz darauf. Die Staatsanwaltschaft Köln leitete Ermittlungen wegen fahrlässiger Tötung gegen die unbekannten Angreifer ein, der weltweit erste dokumentierte Verdachtsfall eines Todes durch einen Ransomware-Angriff. Nachdem die Polizei den Erpressern mitgeteilt hatte, dass sie statt der eigentlich als Ziel vorgesehenen Heinrich-Heine-Universität die Uniklinik getroffen hatten, zogen die Täter ihre Lösegeldforderung zurück und übermittelten kostenlos einen Entschlüsselungsschlüssel. Am 17. November 2020 stellte die Staatsanwaltschaft Köln die Ermittlungen wegen des Todesfalls ein, da eine Obduktion ergeben hatte, dass die Patientin wahrscheinlich auch ohne die Verzögerung gestorben wäre.

Aus dieser Quelle nicht belegt ist die genaue Identität der Angreifer sowie ob ihr tatsächlicher Standort in Russland zweifelsfrei feststeht. Offen bleibt zudem, ob weitere Patienten durch die tagelange Einschränkung der Notaufnahme gesundheitliche Nachteile erlitten.

Am 24.10.2013 wurde bekannt, dass der US-Geheimdienst NSA das Mobiltelefon von Bundeskanzlerin Angela Merkel abgehört haben soll. Grundlage war eine Recherche des Magazins Der Spiegel anhand von Dokumenten aus dem Fundus des Whistleblowers Edward Snowden. Demnach führte die zuständige NSA-Abteilung S2C32 Merkel bereits seit 2002 unter dem Decknamen GE Chancellor Merkel als Aufklärungsziel. Betroffen war ein von Merkel für CDU-interne Kommunikation genutztes Mobiltelefon, nicht ihr offizielles Diensthandy. Als Operationsbasis der NSA diente laut Bericht die US-Botschaft am Pariser Platz in Berlin. Noch am 24.10.2013 bestellte das Auswärtige Amt erstmals in der Geschichte der Bundesrepublik den US-Botschafter John B. Emerson ein. Merkel beschwerte sich telefonisch bei US-Präsident Barack Obama. Generalbundesanwalt Harald Range leitete 2014 ein Ermittlungsverfahren wegen des Verdachts geheimdienstlicher Agententätigkeit ein, stellte es aber am 12.06.2015 mangels gerichtsfest beweisbarer Fakten wieder ein.

Aus dieser Quelle nicht abschließend belegt ist, ob und wie lange Merkels Handy tatsächlich technisch abgehört wurde, da der Generalbundesanwalt das zugrunde liegende NSA-Dokument nie im Original erhalten konnte.

Am 15.03.2012 veröffentlichte der Journalist James Bamford im Magazin Wired einen Artikel über das Utah Data Center der NSA in Bluffdale, Utah, auf dem Gelände von Camp Williams der dortigen Nationalgarde. Der Baubeginn erfolgte am 06.01.2011, die Anlage kostete nach Bamfords Recherche rund 2 Milliarden US-Dollar und umfasste etwa eine Million Quadratfuß Gesamtfläche. Laut Artikel soll die Anlage sämtliche Formen von Kommunikation abfangen, entschlüsseln, analysieren und speichern können, darunter vollständige Inhalte privater E-Mails, Mobiltelefonate und Suchanfragen, die über Satelliten sowie unterseeische und unterirdische Glasfaserkabel geleitet werden. Bamford verband die Anlage mit dem nach den Anschlägen vom 11.09.2001 gestarteten Überwachungsprogramm Stellar Wind. Die NSA wies eine rechtswidrige Überwachung von US-Bürgern zurück. Die Fertigstellung, ursprünglich für September 2013 geplant, verzögerte sich durch wiederholte Stromausfälle um etwa ein Jahr bis Mai 2014.

Die tatsächliche Speicherkapazität der Anlage ist bis heute als Verschlusssache eingestuft; spätere Schätzungen auf Basis unklassifizierter Baupläne gehen von lediglich 3 bis 12 Exabyte aus, deutlich unter den in Bamfords Artikel diskutierten Yottabyte-Größenordnungen.

Am 05.06.2013 veröffentlichte The Guardian einen geheimen Gerichtsbeschluss des Foreign Intelligence Surveillance Court, erlassen am 25.04.2013 von Richter Roger Vinson, der Verizon Business Network Services zur täglichen elektronischen Übermittlung sämtlicher Anrufmetadaten an die NSA verpflichtete. Erfasst wurden Rufnummern, Anschlusskennungen, Standortdaten sowie Zeitpunkt und Dauer der Gespräche, jedoch nicht die Gesprächsinhalte selbst. Die Anordnung betraf sowohl Inlandsgespräche als auch Verbindungen zwischen den USA und dem Ausland und galt für drei Monate bis zum 19.07.2013. Rechtsgrundlage war Section 215 des USA PATRIOT Act. Quelle des Dokuments war der ehemalige NSA-Vertragsmitarbeiter Edward Snowden. Der Verizon-Beschluss war das erste von zahlreichen geheimen Dokumenten, die Snowden dem Journalisten Glenn Greenwald zuspielte und die in den folgenden Wochen das Ausmaß globaler NSA-Überwachungsprogramme wie PRISM offenlegten. Der Gerichtsbeschluss selbst trug den Vermerk, dass er bis zum Jahr 2038 geheim gehalten werden sollte.

Aus dem veröffentlichten Gerichtsbeschluss allein geht nicht hervor, wie viele Kunden oder Anrufe konkret erfasst wurden und in welchem Umfang die NSA die Daten praktisch auswertete.

Am 08.06.2013 veröffentlichte The Guardian auf Basis von durch Edward Snowden geleakten Dokumenten Berichte über das interne NSA-Tool Boundless Informant, ein Big-Data-Analyse- und Visualisierungswerkzeug, mit dem die NSA weltweit gesammelte Metadaten aus Telefon- und Internetverkehr länderweise kartiert und quantifiziert. Laut den Dokumenten sammelte die NSA in einem 30-Tage-Zeitraum bis März 2013 weltweit rund 97 Milliarden Internet-Datensätze und 125 Milliarden Telefon-Metadatensätze. Die meisten Datensätze im März 2013 stammten aus dem Iran mit über 14 Milliarden, gefolgt von Pakistan mit 13,5 Milliarden und Jordanien mit 12,7 Milliarden. Aus den USA selbst wurden im gleichen Zeitraum fast 3 Milliarden Datensätze erfasst. Für Deutschland wiesen die Unterlagen rund 552 Millionen erfasste Telefon- und Internet-Metadatensätze im Zeitraum vom 10.12.2012 bis 08.01.2013 aus. NSA-Direktor Keith Alexander bezeichnete daraus abgeleitete Vorwürfe einer Massenüberwachung eigener Bürger als völlig falsch.

Aus dieser Quelle nicht abschließend belegt ist, ob und in welchem Umfang die als deutsche Metadaten interpretierten 552 Millionen Datensätze tatsächlich innerdeutsche Kommunikation betrafen oder auf gemeinsamer Erhebung mit dem BND beruhten.

Der Sicherheitsforscher Moxie Marlinspike gründete 2010 gemeinsam mit dem Robotik-Ingenieur Stuart Anderson die Firma Whisper Systems, die mit TextSecure und RedPhone verschlüsselte Kurznachrichten und Telefonate für Mobiltelefone entwickelte. Twitter übernahm Whisper Systems im November 2011 und veröffentlichte beide Anwendungen anschließend als Open-Source-Software. Am 21.01.2013 gründete Marlinspike die Organisation Open Whisper Systems, um die Weiterentwicklung von TextSecure und RedPhone fortzuführen. Ab 2013 entwickelten Trevor Perrin und Moxie Marlinspike gemeinsam ein neues kryptografisches Verfahren, das zunächst als Axolotl Ratchet bezeichnet wurde. Am 24.02.2014 veröffentlichte Open Whisper Systems TextSecure Version 2, die erstmals den Axolotl Ratchet einsetzte. Im Juli 2014 erschien mit Signal für iOS eine erste eigenständige App für verschlüsselte Telefonate. Am 02.11.2015 verschmolzen TextSecure und RedPhone auf Android zur einheitlichen App Signal. Im März 2016 benannte Open Whisper Systems das Verfahren offiziell in Signal Protokoll um. Forscher der Ruhr-Universität Bochum bestätigten im Oktober 2014 in einer unabhängigen Sicherheitsanalyse die grundsätzliche Sicherheit von TextSecure Version 3. WhatsApp integrierte das Signal Protokoll ab November 2014 und schloss die durchgängige Verschlüsselung für alle Nutzer am 05.04.2016 ab.

Aus dieser Quelle nicht belegt sind exakte Nutzerzahlen von TextSecure und Signal zum jeweiligen Zeitpunkt sowie Details zu internen Entscheidungsprozessen bei Open Whisper Systems.

Am 11.02.2020 veröffentlichten die Washington Post, das ZDF und das Schweizer Fernsehen SRF gemeinsame Recherchen zur sogenannten Operation Rubikon. Demnach kauften der US-Geheimdienst CIA und der deutsche Bundesnachrichtendienst (BND) 1970 gemeinsam für 8,5 Millionen US-Dollar die Schweizer Verschlüsselungsfirma Crypto AG und kontrollierten sie bis 1993 heimlich, danach führte die CIA das Geschäft allein bis 2018 fort. Die Dienste bauten absichtlich geschwächte Algorithmen in die verkauften Chiffriergeräte ein und konnten so die Kommunikation von mehr als 120 Staaten mitlesen, darunter NATO- und EU-Mitglieder sowie der Vatikan. Laut den ausgewerteten internen Unterlagen stammten zeitweise rund 40 Prozent der von der NSA entschlüsselten Auslandskommunikation aus Crypto-AG-Geräten. Der BND stieg 1993 aus dem Geschäft aus, nachdem im März 1992 im Iran der Crypto-AG-Vertreter Hans Bühler wegen Spionageverdachts festgenommen worden war, und verkaufte seinen Anteil für 17 Millionen US-Dollar. Die CIA veräußerte ihre verbliebenen Vermögenswerte 2017/2018 für schätzungsweise 50 bis 70 Millionen US-Dollar. Die Geschäftsprüfungsdelegation des Schweizer Parlaments veröffentlichte ihren Abschlussbericht am 10.11.2020.

Die genaue Zahl der betroffenen Staaten schwankt je nach Quelle zwischen rund 120 und über 130, und ob einzelne beteiligte Länder informell informiert waren, ist nicht abschließend geklärt.

Am 3. Januar 2018 veröffentlichten Sicherheitsforscher zeitgleich die beiden Prozessor-Sicherheitslücken Meltdown und Spectre, nachdem betroffene Hersteller bereits am 28.07.2017 informiert worden waren. Meltdown wurde unabhängig voneinander von Forschern des Google Project Zero, der TU Graz und der Firma Cyberus Technology entdeckt. Meltdown betrifft praktisch alle Intel-x86-Prozessoren seit 1995 sowie ARM- und IBM-POWER-Prozessoren, AMD-Chips sind nicht betroffen. Spectre lässt sich dagegen auf Prozessoren von Intel, AMD und ARM ausnutzen und betrifft damit praktisch alle modernen Computer, Smartphones und Server weltweit. Beide Lücken missbrauchen die spekulative Befehlsausführung moderner CPUs, um über Cache-Seitenkanalangriffe eigentlich geschützten Speicherinhalt auszulesen. Als Gegenmaßnahme gegen Meltdown wurde die Kernel Page Table Isolation eingeführt, deren Einsatz je nach Workload zu Leistungseinbußen von bis zu 30 Prozent führen kann. Die koordinierte Offenlegung war ursprünglich für den 9. Januar 2018 geplant, wurde jedoch wegen zunehmender öffentlicher Spekulationen vorgezogen.

Aus dieser Quelle nicht belegt sind die genaue weltweite Anzahl betroffener Geräte in absoluten Zahlen sowie ob die Lücken vor der Offenlegung bereits für reale Angriffe mit Datenabfluss ausgenutzt wurden.

Am 14.04.2017 veröffentlichte die Hackergruppe Shadow Brokers eine Sammlung gestohlener Cyberwaffen der US-Geheimdienstbehörde NSA, darunter den Exploit EternalBlue. EternalBlue nutzt eine Schwachstelle im Server-Message-Block-Protokoll von Microsoft Windows aus und ermöglicht Angreifern, ohne Nutzerinteraktion Schadcode auf verwundbaren Systemen auszuführen. Die NSA hatte die Sicherheitslücke jahrelang geheim gehalten und für eigene Operationen genutzt, bevor sie Microsoft im Zuge des Diebstahls informierte. Microsoft veröffentlichte bereits am 14.03.2017, einen Monat vor der Shadow-Brokers-Veröffentlichung, den Sicherheitspatch MS17-010. Nach dem Ausbruch der Ransomware WannaCry am 12.05.2017 stellte Microsoft am 13.05.2017 zusätzlich Notfallpatches für veraltete Windows-Versionen bereit. WannaCry nutzte EternalBlue zur automatischen Verbreitung und infizierte nach verbreiteten Schätzungen mehr als 200.000 Computer in über 150 Ländern. Im Juni 2017 kam EternalBlue erneut bei der Schadsoftware NotPetya zum Einsatz. Die Identität der Shadow Brokers blieb bis heute ungeklärt.

Die genaue Urheberschaft der Shadow Brokers ist bis heute nicht zweifelsfrei geklärt, es gibt keine bestätigte Anklage oder Verurteilung im Zusammenhang mit dem Diebstahl selbst. Auch die exakte Zahl der durch WannaCry infizierten Systeme schwankt je nach Quelle zwischen rund 36.000 und über 200.000.

Am 20.09.2016 traf ein DDoS-Angriff mit rund 620 Gbit/s aus etwa 175.000 mit der Schadsoftware Mirai infizierten IoT-Geräten den Sicherheitsblog KrebsOnSecurity. Am 21.10.2016 legte dasselbe Mirai-Botnetz, das zu diesem Zeitpunkt über 300.000 kompromittierte Geräte wie Router, IP-Kameras und Videorekorder umfasste, den DNS-Dienstleister Dyn lahm und machte Onlinedienste wie Twitter, Netflix, Reddit, Amazon und GitHub zeitweise in weiten Teilen der USA unerreichbar. Ursache war die automatisierte Übernahme der Geräte über werkseitig voreingestellte Standardpasswörter. Der Programmcode von Mirai wurde Anfang Oktober 2016 öffentlich veröffentlicht. Am 13.12.2017 bekannten sich die Autoren Paras Jha, Josiah White und Dalton Norman vor einem Bundesgericht in Alaska schuldig, gegen den Computer Fraud and Abuse Act verstoßen zu haben. Jha und Norman gestanden zudem ein separates Klickbetrugsschema mittels des Botnetzes ein, aus dem Jha rund 200 Bitcoin und Norman über 30 Bitcoin erlöst hatten.

Aus dieser Quelle nicht belegt sind die genaue Zahl der beim Dyn-Angriff aktiv beteiligten Geräte (andere Quellen nennen rund 100.000) sowie das spätere Strafmaß, da die drei Angeklagten laut nachfolgenden Berichten wegen Kooperation mit dem FBI im September 2018 letztlich zu Bewährung ohne Haftstrafe verurteilt wurden.

Am 21.10.2016 wurde der US-amerikanische DNS-Dienstleister Dyn Ziel dreier aufeinanderfolgender DDoS-Angriffswellen zwischen etwa 11:10 und 22:10 Uhr UTC. Die Angriffe erfolgten über das Mirai-Botnet, das aus gekaperten Internet-of-Things-Geräten wie IP-Kameras, Routern und digitalen Videorekordern bestand, die über werkseitig voreingestellte Standardpasswörter infiziert worden waren. Dyn erklärte, Anfragen von zig Millionen IP-Adressen empfangen zu haben. Durch den Ausfall von Dyns DNS-Infrastruktur waren mehr als 100 Internetdienste in Nordamerika und Teilen Europas zeitweise nicht erreichbar, darunter Twitter, Netflix, Reddit, Spotify, Amazon, PayPal, GitHub und Airbnb. Die Gruppen New World Hackers und SpainSquad reklamierten die Verantwortung für sich und nannten als Motiv eine Vergeltung für die Einschränkung des Internetzugangs von Julian Assange. Das US-Heimatschutzministerium und das FBI leiteten Ermittlungen ein. Am 13.12.2017 bekannten sich mehrere junge Männer in den USA im Zusammenhang mit der Mirai-Schadsoftware schuldig, am 09.12.2020 folgte ein weiteres Schuldbekenntnis einer zum Tatzeitpunkt minderjährigen Person.

Die genaue Anzahl der am Angriff beteiligten Geräte sowie die exakte Spitzenbandbreite wurden von Dyn nie offiziell mit verbindlichen Zahlen bestätigt. Wer den Angriff auf Dyn konkret initiierte, ist bis heute nicht abschließend geklärt.

Ab dem 27.04.2007, unmittelbar nach der Verlegung des sowjetischen Bronzenen Soldaten von Tallinn vom Stadtzentrum an einen Militärfriedhof, wurde Estland rund drei Wochen lang Ziel koordinierter Distributed-Denial-of-Service-Angriffe. Betroffen waren die Webseiten des Parlaments Riigikogu, des Präsidialamts, mehrerer Ministerien, politischer Parteien, Banken sowie Zeitungen und Rundfunksender. Die Angriffe reichten von einfachen Ping-Fluten einzelner Nutzer bis zu gemieteten Botnetzen. Die estnische Polizei leitete am 02.05.2007 Ermittlungen ein. Am 24.01.2008 wurde der estnische Staatsbürger russischer Abstammung Dmitri Galushkevich als bislang einzige verurteilte Einzelperson zu einer Geldstrafe von 17.500 estnischen Kronen, umgerechnet rund 1.640 US-Dollar, verurteilt. Am 10.03.2009 bekannte sich Konstantin Goloskokow, ein Funktionär der russischen Jugendorganisation Nashi, öffentlich zur Mitverantwortung für einen Teil der Angriffe. Russland wies eine staatliche Beteiligung zurück und verweigerte estnischen Behörden Rechtshilfe. Als Folge der Angriffe gründete die NATO im Mai 2008 in Tallinn das Cooperative Cyber Defence Centre of Excellence.

Eine direkte Verantwortung der russischen Staatsführung für die Angriffe wurde weder von der NATO noch von der Europäischen Kommission abschließend nachgewiesen. Die einzige strafrechtliche Verurteilung betraf einen Einzeltäter mit vergleichsweise geringer Geldstrafe.

Am 19.07.2008 wurde die Website des georgischen Präsidenten Micheil Saakaschwili erstmals durch einen DDoS-Angriff für rund 24 Stunden lahmgelegt. Am 08.08.2008, dem Tag des Einmarschs russischer Truppen in Südossetien, begann eine deutlich umfangreichere zweite Welle koordinierter Cyberangriffe gegen georgische Ziele. Bis zum 10.08.2008 waren die meisten Websites der georgischen Regierung durch DDoS-Attacken nicht mehr erreichbar, betroffen waren unter anderem das Parlament, die Nationalbank sowie Banken und Telekommunikationsanbieter. Am 11.08.2008 wurde die Präsidentenwebsite zusätzlich defaced und mit Bildmontagen versehen, die Saakaschwili mit Adolf Hitler verglichen. Sicherheitsforscher identifizierten sechs verschiedene Botnetze sowie eine in russischer Sprache programmierte DDoS-Steuerungssoftware namens MachBot. Als mutmaßlicher Organisator gilt das Russian Business Network aus Sankt Petersburg, die russische Regierung bestritt jede Verantwortung. Die georgische Regierung wich während der Angriffe auf Google Blogger und Server in den USA aus, Estland bot zusätzliches Hosting an. Die Ereignisse gelten als der erste dokumentierte Fall koordinierter Cyberangriffe parallel zu einer konventionellen Militäroperation.

Eine gerichtsfeste Zuordnung der Angriffe zu russischen Behörden oder dem russischen Militär ist bis heute nicht belegt, strafrechtliche Konsequenzen sind nicht dokumentiert. Ebenso fehlt eine verifizierte Gesamtzahl der betroffenen Websites oder ein bezifferter wirtschaftlicher Schaden.

Die Sicherheitsforscher des CrySyS Lab der Budapester Technischen und Wirtschaftswissenschaftlichen Universität entdeckten die Schadsoftware Duqu am 01.09.2011. Der Sicherheitsanbieter Symantec bestätigte die Analyse und stellte umfangreiche Code-Übereinstimmungen mit dem Computerwurm Stuxnet fest, woraus geschlossen wurde, dass Duqu von denselben Autoren oder mit Zugriff auf den Stuxnet-Quellcode entwickelt wurde. Anders als Stuxnet sabotierte Duqu keine Industrieanlagen, sondern diente der Spionage: Es installierte Keylogger, Bildschirmrekorder und Netzwerk-Scanner. Die Infektion erfolgte über präparierte Word-Dokumente, die eine bis dahin unbekannte Sicherheitslücke im Win32k-TrueType-Schriftartenparser von Windows ausnutzten; Microsoft veröffentlichte den zugehörigen Sicherheitshinweis MS11-087 am 13.11.2011. Die Schadsoftware nutzte ein gestohlenes, gültiges Digitalzertifikat der taiwanesischen Firma C-Media zur Signierung ihrer Treiber; das Zertifikat wurde am 14.10.2011 widerrufen. Symantec bestätigte Infektionen bei mindestens sechs Organisationen in acht Ländern, darunter Frankreich, die Niederlande, die Schweiz, die Ukraine, Indien, der Sudan, Vietnam und mehrfach im Iran. Duqu war so programmiert, dass es sich nach 36 Tagen selbständig von infizierten Systemen löschte.

Aus dieser Quelle nicht belegt ist die genaue Urheberschaft beziehungsweise staatliche Zurechnung von Duqu; diese gilt als plausibel, wurde aber nie offiziell bewiesen. Ebenso bleibt die tatsächliche Gesamtzahl befallener Organisationen weltweit unklar.