Quellen-Tabelle

Die Washington Post berichtete am 30.10.2013 auf Basis von Snowden-Dokumenten, dass NSA und der britische Geheimdienst GCHQ im gemeinsamen Programm MUSCULAR heimlich die internen Glasfaserverbindungen zwischen den Rechenzentren von Google und Yahoo weltweit anzapften. Laut einer internen NSA-Abrechnung vom 09.01.2013 wurden allein in 30 Tagen 181.280.466 neue Datensätze erfasst, deutlich mehr als über das bekanntere Programm PRISM. Google und Yahoo erklärten öffentlich, der NSA keinen Zugang zu ihren Rechenzentren gewährt zu haben, und begannen daraufhin ab November 2013 die Datenverbindungen zwischen ihren Rechenzentren zu verschlüsseln.

Offen bleibt, wie viele der abgegriffenen Datensätze tatsächlich US-Bürger betrafen und in welchem Umfang die Daten für konkrete Ermittlungen genutzt wurden. Die genaue technische Umsetzung des Zugriffspunkts sowie die Frage, ob dafür überhaupt eine richterliche Anordnung nötig gewesen wäre, sind bis heute nicht abschließend gerichtlich geklärt.

Der britische Geheimdienst GCHQ drang laut Snowden-Dokumenten und übereinstimmender Recherche von The Intercept, Spiegel und heise online zwischen 2010 und 2011 in das Netz des belgischen Telekomanbieters Belgacom ein und installierte die hochentwickelte Spionagesoftware Regin. Die Angreifer kompromittierten gezielt Systemadministratoren über gefälschte LinkedIn-Seiten und blieben bis zur Entdeckung im Sommer 2012 rund zwei Jahre unbemerkt im Netz. Betroffen waren mindestens 120 Systeme sowie die Tochterfirma BICS, ein internationaler Mobilfunk-Roaming-Knoten.

Die britische Regierung und der GCHQ haben eine Beteiligung nie offiziell bestätigt oder dementiert. Die belgische Strafermittlung mit dem Codenamen Trinity wurde laut The Intercept 2018 ohne Anklage eingestellt. Der genaue Umfang der abgeflossenen Daten und ob die Systembereinigung bei Belgacom je vollständig gelang, bleiben offen.

Reuters enthüllte am 21.12.2013, dass die NSA rund 10 Millionen Dollar an RSA Security zahlte, damit der Zufallszahlengenerator Dual_EC_DRBG als Standardeinstellung im BSafe-Toolkit verankert wurde. Sicherheitsforscher hatten die Schwachstelle des Generators bereits 2007 aufgezeigt, nach den Snowden-Leaks 2013 riet RSA seinen Kunden offiziell von der weiteren Nutzung ab.

RSA bestritt öffentlich, wissentlich eine Hintertür eingebaut zu haben, und erklärte, die Entscheidung von 2004 sei Teil eines branchenweiten Standardisierungsprozesses gewesen. Ob RSA zum Zeitpunkt der Vereinbarung tatsächlich um die Backdoor-Eigenschaft wusste, bleibt bis heute umstritten und ist nicht abschließend belegt.

Der Sicherheitsforscher Trevor Eckhart deckte im November 2011 auf, dass die Diagnosesoftware Carrier IQ auf über 140 Millionen Smartphones, vor allem HTC-Android-Geräten in den USA, installiert war und dort als verstecktes Rootkit Tastatureingaben, Standort und Appnutzung protokollierte, ohne dass Nutzer sie deaktivieren konnten. US-Senator Al Franken und Kongressabgeordneter Edward Markey forderten eine Untersuchung durch FTC und FCC, und mindestens acht Sammelklagen wurden gegen Carrier IQ, HTC, Samsung und Mobilfunkanbieter eingereicht.

Ob Carrier IQ tatsächlich Tastatureingaben im Klartext als Inhalt protokollierte, blieb umstritten. Das Unternehmen bestritt dies und bezeichnete die geloggten Daten als codiert bzw. als Softwarefehler. Ob die angekündigten FTC- oder FCC-Ermittlungen zu förmlichen Anklagen oder Bußgeldern führten und wie die Sammelklagen ausgingen, ist aus den verfügbaren Quellen nicht ersichtlich.

Snowden-Dokumente belegten das geheime NSA-Programm Bullrun, veröffentlicht am 05.09.2013 gemeinsam von ProPublica, New York Times und Guardian. Die NSA kooperierte mit US-Technikfirmen für Hintertüren und schwächte gezielt einen internationalen NIST-Verschlüsselungsstandard von 2006. Zusätzlich betrieb die NSA Datenbanken mit erbeuteten Verschlüsselungsschlüsseln und arbeitete mit Telekommunikationsanbietern an überwachungsfreundlicher Netzinfrastruktur.

Welche Firmen konkret an den Hintertüren mitwirkten, blieb in den veröffentlichten Dokumenten größtenteils geschwärzt. Die genauen Methoden zur Schlüsselbeschaffung wurden nicht offengelegt. Unklar blieb auch, welcher Anteil der weltweit genutzten Verschlüsselung dadurch tatsächlich kompromittiert wurde.

Am 8. Februar 2015 veröffentlichte das ICIJ mit über 140 Journalisten aus mehr als 50 Medien die Swiss-Leaks-Recherche auf Basis von rund 60.000 Dateien, die der ehemalige HSBC-IT-Mitarbeiter Hervé Falciani entwendet hatte. Die Dokumente betrafen rund 100.000 Kunden mit etwa 100 Milliarden Dollar bei HSBC Private Bank (Suisse) in Genf und belegten, dass die Bank Kunden bei Steuerhinterziehung unterstützte. In der Folge zahlte HSBC 2017 eine Strafe von 352 Millionen Euro in Frankreich und 2019 192 Millionen Dollar in den USA.

Falciani wurde 2015 von einem Schweizer Gericht in Abwesenheit wegen Wirtschaftsspionage zu fünf Jahren Haft verurteilt, vom Vorwurf des Geheimnisverrats aber freigesprochen; da Frankreich eigene Staatsangehörige nicht ausliefert, trat er die Strafe nie an. Offen bleibt, in wie vielen der rund 100.000 Einzelfälle tatsächlich Steuerhinterziehung nachgewiesen wurde, da nicht jedes Konto bei einer Schweizer Privatbank illegal ist.

Am 14.11.2023 veröffentlichte das ICIJ mit Paper Trail Media und rund 270 Journalisten aus 69 Medienpartnern die Recherche Cyprus Confidential, basierend auf 3,6 Millionen Dokumenten aus sieben zyprischen und einer lettischen Finanzfirma. Die Auswertung belegt, dass 67 der 105 russischen Milliardäre der Forbes-Liste 2023 zyprische Dienstleister nutzten, um Vermögen vor westlichen Sanktionen zu verstecken, und identifiziert mehr als 650 Firmen und Trusts mit Bezug zu seit 2014 sanktionierten Russen.

Offen bleibt, welcher Anteil der über 650 identifizierten Firmen und Trusts tatsächlich zur aktiven Sanktionsumgehung diente, da viele Strukturen formal legal blieben. Zyperns Präsident kündigte nach Veröffentlichung Ermittlungen an, deren Ausgang zum Zeitpunkt der Recherche noch nicht feststand.

Die damals größte Bitcoin-Börse Mt.Gox bestätigte Anfang März 2014 den Verlust von rund 850.000 Bitcoin im Gegenwert von damals 368,4 Millionen Euro. Davon stammten 750.000 Bitcoin von Kunden, 100.000 gehörten der Börse selbst. Mt.Gox meldete daraufhin beim Bezirksgericht Tokio Insolvenz an.

Zum Zeitpunkt der Meldung war ungeklärt, ob ein technischer Fehler im Bitcoin-Protokoll oder ein interner Diebstahl die Ursache war. Der Verbleib der verschwundenen Bitcoin war unbekannt.

Am 10. August 2021 erbeutete ein Angreifer durch Ausnutzung einer Schwachstelle in den Smart Contracts des Cross-Chain-Protokolls Poly Network Kryptowerte im Wert von rund 600 Millionen Dollar auf den Blockchains Ethereum, Binance Smart Chain und Polygon. Bereits einen Tag später begann der Angreifer, den Großteil der Gelder zurückzuüberweisen, nachdem Poly Network öffentlich dazu aufgerufen hatte. Tether fror rund 33 Millionen Dollar der gestohlenen USDT-Bestände ein.

Die Identität des Angreifers wurde nie zweifelsfrei geklärt, seine angebliche Begründung, die Tat sei zum Spaß und zum Aufzeigen der Sicherheitslücke erfolgt, ist unbelegt. Nicht abschließend dokumentiert ist auch, ob der Angreifer allein handelte oder ob es Mittäter gab.

Am 26. Januar 2018 stahlen Angreifer aus einer ungesicherten Hot Wallet der japanischen Kryptobörse Coincheck rund 523 Millionen NEM (XEM) im Wert von etwa 58 Milliarden Yen, umgerechnet rund 530 Millionen US-Dollar. Coincheck sicherte die Coins weder per Cold Wallet noch per Multisignatur ab, wovon rund 260.000 Kunden betroffen waren. Die japanische Finanzaufsicht FSA durchsuchte danach die Coincheck-Büros und erließ mehrere Verbesserungsanordnungen, Coincheck erstattete den Kunden im März 2018 rund 46,6 Milliarden Yen aus eigenen Mitteln.

Wer die Täter waren, ist bis heute nicht abschließend behördlich geklärt. Bloomberg berichtete unter Berufung auf Ermittler über einen Verdacht gegen Nordkorea, eine offizielle Bestätigung japanischer Behörden dafür liegt jedoch nicht vor.

Samsung Electronics verbot im Mai 2023 firmenweit die Nutzung von ChatGPT, Google Bard und ähnlichen KI-Chatbots auf Firmengeräten und im internen Netzwerk. Auslöser waren mindestens drei Vorfälle in der Halbleitersparte binnen rund drei Wochen, bei denen Mitarbeiter fehlerhaften Fertigungs-Quellcode, Testcode zur Chip-Fehleranalyse und ein internes Meeting-Protokoll in ChatGPT eingaben. Samsung drohte bei Verstößen disziplinarische Maßnahmen bis zur Kündigung an.

Nicht öffentlich bekannt sind die Namen der beteiligten Mitarbeiter und der genaue Umfang des tatsächlich abgeflossenen Codes. Unklar bleibt auch, ob die eingegebenen Daten in spätere ChatGPT-Antworten an andere Nutzer einflossen oder von OpenAI zum Modelltraining verwendet wurden.

Vodafone Deutschland bestätigte am 12. September 2013 einen Angriff auf einen internen Server, bei dem Name, Adresse, Geburtsdatum, Geschlecht, Bankleitzahl und Kontonummer von rund zwei Millionen Kunden entwendet wurden. Vodafone erklärte, der Angriff sei nur mit hoher krimineller Energie und Insiderwissen möglich gewesen. Die Polizei identifizierte einen tatverdächtigen Mitarbeiter, während eine Hackergruppe namens Team_L4w sich in einem Bekennerschreiben zu der Tat bekannte.

Offen blieb, wer die Tat tatsächlich beging und ob der festgenommene Verdächtige allein oder im Zusammenwirken mit der Hackergruppe handelte. Unklar blieb auch der genaue Verschlüsselungsstatus der Kundendaten sowie der volle Umfang des Datenbankzugriffs.

In der Nacht vom 7. auf den 8. November 2021 griff die Ransomware-Gruppe Hive die IT-Infrastruktur der MediaMarktSaturn Retail Group an und verschlüsselte nach Unternehmensangaben rund 3100 Windows-Server. Betroffen waren Filialen und nationale Gesellschaften in 13 europäischen Ländern, Kassen- und Warenwirtschaftssysteme fielen zeitweise aus, während die Online-Shops weiterliefen. Die Angreifer forderten laut späteren Medienberichten zunächst 240 Millionen US-Dollar Lösegeld, was auf rund 50 Millionen US-Dollar reduziert wurde.

Offen bleibt, ob MediaMarktSaturn tatsächlich Lösegeld gezahlt hat und in welcher Höhe. Der genaue technische Einstiegsweg der Hive-Gruppe in das Firmennetz ist öffentlich nicht dokumentiert. Unklar blieb zum Zeitpunkt der Berichterstattung zudem, ob und in welchem Umfang die Angreifer tatsächlich Daten entwendet und veröffentlicht haben.

Der Automobilzulieferer Continental wurde im Sommer 2022 von der Ransomware-Gruppe LockBit angegriffen, die rund 40 Terabyte an Daten erbeutete. Betroffen waren Unternehmens- und Kundendaten sowie personenbezogene Informationen einer niedrigen bis mittleren fünfstelligen Zahl von Beschäftigten, weshalb Continental Zehntausende DSGVO-Informationsschreiben verschickte. LockBit forderte zunächst 50 Millionen US-Dollar Lösegeld, das Unternehmen erklärte, sich nicht erpressen lassen zu wollen.

Der genaue finanzielle Schaden und der exakte Umfang der tatsächlich veröffentlichten Daten sind nicht öffentlich bestätigt. Unklar bleibt auch, ob und in welchem Umfang die Lösegeldforderung letztlich verhandelt oder bezahlt wurde.

Bloomberg deckte am 10. April 2019 auf, dass Amazon weltweit tausende Mitarbeiter und Vertragspartner in Standorten wie Boston, Costa Rica, Indien und Rumänien beschäftigte, um Sprachaufnahmen von Echo-Alexa-Geräten manuell abzuhören und zu transkribieren. Die Aufnahmen wurden mit Kontonummer, Vornamen und Geräteseriennummer verknüpft. Reviewer sichteten pro neunstündiger Schicht bis zu 1000 Audioclips und hörten dabei teils sensible Inhalte wie medizinische Gespräche oder häusliche Konflikte.

Offen blieb, wie viele Nutzer insgesamt betroffen waren und in welchem Umfang identifizierende Daten in der Praxis tatsächlich zur Identifikation einzelner Personen genutzt wurden. Nicht abschließend dokumentiert ist zudem, ob und wie stark Amazon die Praxis nach der Veröffentlichung tatsächlich einschränkte.

Ende 2019 verschafften sich Hacker per Credential Stuffing Zugriff auf Ring-Kameras in Kinderzimmern in den USA. Sie sprachen über die eingebaute Lautsprecherfunktion mit Kindern und beschimpften sie, dokumentiert unter anderem in einem Fall in DeSoto County, Mississippi im Dezember 2019 sowie in weiteren Fällen in Florida, Georgia und Tennessee. Ring erklärte, es gebe keine Hinweise auf eine Kompromittierung der eigenen Systeme, und führte die Zugriffe auf wiederverwendete Zugangsdaten der Nutzer zurück.

Offen bleibt, wie viele Ring-Konten insgesamt betroffen waren und ob einzelne Täter identifiziert oder strafrechtlich belangt wurden. Diese Frage wurde erst 2023 in einem Verfahren der US-Handelsaufsicht FTC gegen Amazon Ring rechtlich aufgearbeitet, das mit einer Zahlung von 5,6 Millionen Dollar an betroffene Kunden endete.

Im Januar 2019 erlangte ein unbekannter Angreifer Zugriff auf die Nest-Kamera einer Familie in Orinda, Kalifornien, mithilfe eines Passworts, das zuvor bei einem fremden Datenleck offengelegt und für das Nest-Konto wiederverwendet worden war. Über die Kamera wurde eine falsche Notfallwarnung vor einem nordkoreanischen Raketenangriff auf die USA abgespielt. Google bestätigte öffentlich, dass Nest selbst nicht kompromittiert wurde, sondern wiederverwendete Passwörter die Ursache waren.

Offen bleibt, aus welchem konkreten Datenleck das verwendete Passwort stammte und wer für den Angriff verantwortlich war. Google veröffentlichte zudem keine genaue Gesamtzahl aller im Rahmen dieser Angriffswelle betroffenen Nest-Konten.

Die US-Bastelmarktkette Michaels bestätigte am 17. April 2014 offiziell, dass Schadsoftware auf den Kassensystemen ihrer Filialen installiert war und dort zwischen dem 8. Mai 2013 und dem 27. Januar 2014 Zahlungskartendaten von rund 2,6 Millionen Karten abgriff. Bei der Tochterkette Aaron Brothers waren zusätzlich zwischen dem 26. Juni 2013 und dem 27. Februar 2014 rund 400.000 Karten betroffen, insgesamt also etwa 3 Millionen Kartendatensätze. Michaels erklärte, es seien nur Kartennummern und Ablaufdaten entwendet worden, nicht jedoch Namen, Adressen oder PINs.

Die genaue Identität der Angreifer und der exakte Infektionsweg der Malware in die Kassensysteme wurden in der Quelle nicht benannt. Offen blieb zudem, ob und in welchem Umfang die gestohlenen Kartendaten tatsächlich für Betrug genutzt wurden, auch wenn Michaels vereinzelte Betrugsmeldungen von Banken erwähnte.

Der Luftfahrt-IT-Dienstleister SITA, dessen Passenger Service System rund 90 Prozent der Fluggesellschaften weltweit nutzen, bestätigte am 24. Februar 2021 einen Cyberangriff auf seine Systeme. Der Einbruch fand laut einem Lufthansa-Sprecher zwischen dem 21. Januar und 11. Februar 2021 statt und betraf unter anderem Malaysia Airlines, Finnair, Singapore Airlines, Cathay Pacific, Air New Zealand, Lufthansa, SAS, American Airlines und United. Kompromittiert wurden vor allem Vielfliegerdaten wie Mitgliedsnummern und Statuslevel.

Eine weltweite Gesamtzahl betroffener Passagiere veröffentlichte SITA nicht, einzelne Airlines nannten nur Teilzahlen wie rund 500.000 bei Singapore Airlines oder etwa 1,35 Millionen Miles-and-More-Teilnehmer bei Lufthansa. Die genaue Angriffsmethode und die Identität der Angreifer wurden von SITA öffentlich nicht bestätigt.

NHS Digital wollte im Rahmen des Programms General Practice Data for Planning and Research (GPDPR) ab dem 1. Juli 2021 identifizierbare Gesundheitsdaten aus allen Hausarztpraxen in England zentral für Planungs- und Forschungszwecke sammeln. Nach Widerstand der Ärzteverbände BMA und Royal College of GPs, einer angekündigten Klage der Organisation Foxglove und politischem Druck der Labour-Partei verschob die britische Regierung den Starttermin am 8. Juni 2021 um zwei Monate auf den 1. September 2021.

Aus dieser Quelle nicht beziffert ist die genaue Zahl der bis zu diesem Zeitpunkt eingegangenen Patienten-Opt-outs. Offen bleibt aus diesem Artikel auch der weitere Verlauf nach der zweimonatigen Verschiebung, da das Programm späteren Berichten zufolge am 19. Juli 2021 auf unbestimmte Zeit zusätzlich pausiert wurde.

InterContinental Hotels Group (IHG) bestätigte offiziell, dass Malware an Kassensystemen von mindestens 1175 US-Hotels zwischen dem 29. September und 29. Dezember 2016 Kreditkartendaten von Gästen abgriff. Erfasst wurden Karteninhabername, Kartennummer, Ablaufdatum und Sicherheitscode an Restaurant- und Rezeptionskassen. IHG hatte im Februar 2017 zunächst nur einen Vorfall an rund einem Dutzend Standorten eingeräumt, bevor das tatsächliche Ausmaß im April 2017 bekannt wurde.

Offen bleibt, wie die Angreifer initial in die Kassensysteme eindrangen und wer hinter dem Angriff steckt. Die genaue Zahl der betroffenen Kreditkarten bzw. Gäste wurde von IHG nicht beziffert.

Reddit bestätigte, dass Angreifer am 5. Februar 2023 mittels einer gezielten Phishing-Kampagne die Zugangsdaten eines Mitarbeiters erbeuteten, indem sie eine gefälschte Version des internen Reddit-Intranetportals nutzten. Dadurch erhielten die Angreifer Zugriff auf interne Dokumente, Quellcode sowie einige interne Dashboards und Geschäftssysteme. Der betroffene Mitarbeiter meldete den Vorfall selbst, woraufhin Reddit ihn öffentlich machte.

Nicht öffentlich dokumentiert ist, welche konkreten Quellcode-Bestandteile oder internen Dokumente im Detail abgeflossen sind. Die Identität und Zuordnung der Angreifer zu einer bekannten Gruppe wurde von Reddit nicht bestätigt.

Discord informierte im Mai 2023 Nutzer per E-Mail über ein Datenleck, nachdem Unbefugte das Konto eines externen Kundendienst-Mitarbeiters kompromittiert hatten. Betroffen waren E-Mail-Adressen, Inhalte von Support-Nachrichten und angehängte Dateien aus der Ticket-Warteschlange des Dienstleisters. Discord deaktivierte das betroffene Konto, beauftragte eine Forensik-Firma und informierte Strafverfolgungsbehörden.

Der Name des kompromittierten Support-Dienstleisters wurde von Discord nie offiziell bestätigt. Mehrere Medien vermuteten damals Zendesk als betroffenen Anbieter, dies blieb jedoch unbestätigt und ist von einem späteren, offiziell bestätigten Zendesk-Vorfall bei Discord im Jahr 2025 zu unterscheiden.

Der US-Krankenhauskonzern Ascension mit 140 Kliniken in 19 Bundesstaaten meldete am 8. Mai 2024 einen Ransomware-Angriff, der elektronische Patientenakten, Portale und Teile der klinischen IT lahmlegte und wochenlange Ausweichbetriebe erzwang. Laut Meldung an das HHS Office for Civil Rights vom Dezember 2024 waren die Daten von 5.599.699 Personen betroffen, darunter Namen, Sozialversicherungsnummern und Versicherungsdaten. Ascension gab an, dass nur 7 von 25.000 Servern kompromittiert wurden.

Die Zuordnung zur Gruppe Black Basta stützt sich laut Berichten von CNN auf vier anonyme Quellen und wurde von Ascension nie offiziell bestätigt. Ob ein Lösegeld gezahlt wurde, ist nicht öffentlich bekannt. Ascension erklärte zudem, es gebe keine Hinweise auf einen Zugriff auf klinische EHR-Systeme selbst, was im Widerspruch zu den berichteten wochenlangen EHR-Ausfällen diskutiert wurde.

Der US-Versicherungskonzern Prudential Financial meldete einen unautorisierten Zugriff auf seine Systeme am 4. Februar 2024. Die Ransomware-Gruppe Alphv/BlackCat reklamierte den Angriff für sich. In einer im Juni 2024 aktualisierten Meldung bezifferte Prudential die Zahl betroffener Personen auf 2.556.210, deutlich mehr als die zunächst im März genannten rund 36.000. Betroffen waren Namen, Adressen sowie Führerschein- und Ausweisnummern. Prudential bot den Betroffenen zwei Jahre kostenlose Kreditüberwachung an.

Wie die Angreifer ursprünglich ins Netzwerk gelangten, ist öffentlich nicht dokumentiert. Prudential selbst hat sich nie offiziell zur Urheberschaft von Alphv/BlackCat geäußert. Unklar bleibt zudem, ob und in welchem Umfang gestohlene Daten seither missbraucht wurden.