Quellen-Tabelle

Gouverneur Jay Inslee unterzeichnete den My Health My Data Act am 27.04.2023, das erste US-Bundesstaatengesetz, das Gesundheitsdaten außerhalb von HIPAA schützt, etwa aus Wellness-Apps oder Standortdaten. Es verlangt vor Sammlung eine ausdrückliche Einwilligung und verbietet Geofencing im Umkreis von rund 600 Metern um Gesundheitseinrichtungen. Verstöße können vom Attorney General und durch Betroffene über eine private Klagebefugnis verfolgt werden. Die erste Klage richtete sich im Februar 2025 gegen Amazon wegen Standortdatenerfassung.

Wie viele Unternehmen die Vorgaben umgesetzt haben, ist nicht beziffert. Über den Ausgang der Klage gegen Amazon war zum Zeitpunkt der Recherche noch nicht entschieden. Wie Gerichte den Begriff der geschützten Gesundheitsdaten im Einzelfall auslegen, ist juristisch noch nicht höchstrichterlich geklärt.

Das US-Justizministerium klagte den malaysischen Finanzier Low Taek Jho, bekannt als Jho Low, am 01.11.2018 wegen Verschwörung zur Geldwäsche und gegen den Foreign Corrupt Practices Act an. Laut Anklage soll Low mehr als 2,7 Milliarden US-Dollar aus dem Staatsfonds 1MDB veruntreut und teils zur Bestechung von Beamten sowie für Luxusimmobilien und die Finanzierung von Hollywoodfilmen wie The Wolf of Wall Street verwendet haben. Bereits am 24.08.2018 hatte die malaysische Staatsanwaltschaft Low in Abwesenheit angeklagt, Interpol stellte am 11.06.2018 eine Red Notice gegen ihn aus.

Jho Lows genauer Aufenthaltsort ist bis heute nicht offiziell bestätigt, malaysische Behörden vermuteten wiederholt China, was chinesische Stellen mehrfach dementierten. Da Low nie festgenommen wurde, gibt es gegen ihn persönlich kein Strafurteil. Diese Anklage bezieht sich nur auf einen Teilbetrag von 2,7 Milliarden Dollar der insgesamt veruntreuten rund 4,5 Milliarden Dollar. Eine Auslieferung fand bis heute nicht statt.

Rabobank National Association, die kalifornische Tochtergesellschaft der niederländischen Cooperatieve Rabobank, bekannte sich im Februar 2018 vor einem US-Bundesgericht schuldig, die Aufsichtsbehörde OCC bei einer Prüfung getäuscht zu haben, und stimmte einer Zahlung von rund 369 Millionen US-Dollar zu. Zwischen 2009 und 2012 ließen mangelhafte Programme an den Filialen in Calexico und Tecate hunderte Millionen Dollar an nicht nachverfolgbarem Bargeld aus Mexiko unbeanstandet passieren. Als das OCC dies 2013 aufzudecken drohte, sollen Bankmitarbeiter der Aufsicht falsche Angaben gemacht und Unterlagen zurückgehalten haben.

Nicht abschließend geklärt ist, in welchem Umfang das durchgeleitete Bargeld tatsächlich aus Drogenhandel mexikanischer Kartelle stammte, die Angabe hunderte Millionen Dollar ist eine Näherung. Der genaue Anteil der 369 Millionen Dollar als strafrechtliche Vermögensabschöpfung versus zivilrechtliche Bußgelder anderer Behörden wird in Presseberichten unterschiedlich aufgeschlüsselt. Die Rolle einzelner früherer Führungskräfte ist in den ausgewerteten Quellen nur unvollständig dargestellt.

Standard Chartered Bank zahlte zwischen 2012 und 2019 wiederholt Bußgelder an US- und britische Behörden wegen Umgehung von Iran-Sanktionen. Im Dezember 2012 zahlte die Bank rund 667 Millionen Dollar wegen verschleierter Iran-Transaktionen aus 2001 bis 2007. 2014 verhängte die New Yorker Finanzaufsicht DFS eine weitere Strafe von 300 Millionen Dollar. Am 09.04.2019 bekannte sich die Bank schuldig, zwischen 2007 und 2011 rund 9.500 Transaktionen im Wert von etwa 240 Millionen Dollar für iranische Institutionen abgewickelt zu haben, und zahlte zusammen mit mehreren Behörden insgesamt rund 1,1 Milliarden Dollar.

Die genaue Aufschlüsselung der Transaktionssummen variiert je nach Quelle und Behörde, ob und wie stark sich verschiedene Zeiträume und Summen überschneiden, lässt sich aus öffentlich zugänglichen Quellen nicht vollständig auflösen. Bei den Verfahren handelt es sich überwiegend um Deferred Prosecution Agreements und aufsichtsrechtliche Vergleiche, nicht um Urteile nach vollständigem Strafprozess. Eine individuelle strafrechtliche Verantwortung einzelner Manager ist öffentlich nicht dokumentiert.

Am 19.02.2019 kündigte Danske Bank an, ihre verbliebenen Geschäftsaktivitäten in Lettland, Litauen und Russland vollständig einzustellen. Anders als bei der estnischen Filiale, die wegen verdächtiger Transaktionen im Zeitraum 2007 bis 2015 in Höhe von rund 200 Milliarden Euro zur Schließung gezwungen wurde, begründete Danske Bank den Rückzug aus Lettland und Litauen als eigene strategische Entscheidung. Bereits 2015 hatte die Bank das Privatkundengeschäft in Litauen und Lettland an Swedbank verkauft. Die litauische Zentralbank erklärte, mit dänischen Behörden zu kooperieren, ohne dass ein eigenes Bußgeld gegen Danske Bank in Litauen bekannt wurde.

Nicht belegt ist, dass die lettische oder litauische Finanzaufsicht ein eigenständiges Bußgeld speziell für die Filialen in Riga oder Vilnius verhängt haben, wie es für Estland dokumentiert ist. Es bleibt unklar, ob und in welchem Umfang die 2 Milliarden US-Dollar schwere Gesamteinigung von Danske Bank aus dem Jahr 2022 auch Sachverhalte aus Lettland oder Litauen mit abdeckte.

Die Ransomware-Gruppe Clop, auch bekannt als TA505, begann ab dem 27.05.2023, eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der Software MOVEit Transfer von Progress Software auszunutzen. CISA und FBI veröffentlichten am 07.06.2023 eine gemeinsame Sicherheitswarnung. Progress Software veröffentlichte am 31.05.2023 einen Patch. Nach Angaben von Emsisoft waren bis Januar 2024 über 2.700 Organisationen und mehr als 93 Millionen betroffene Personen erfasst, darunter die BBC, British Airways und Aer Lingus.

Nicht abschließend geklärt ist die exakte Gesamtzahl der betroffenen Organisationen, da die erhobenen Zahlen auf Meldepflichten und Angaben auf der Leak-Seite von Clop beruhen und sich fortlaufend nach oben korrigierten. Es ist nicht bewiesen, wie viele der behaupteten Datendiebstähle tatsächlich vollständige, verwertbare Datensätze betrafen, da die Gruppe bekannt dafür ist, Opferzahlen zu übertreiben.

Am 07.05.2021 legte die Ransomware-Gruppe DarkSide die IT-Systeme von Colonial Pipeline lahm, dem größten Treibstoffpipelinebetreiber der US-Ostküste, was zu tagelangen Kraftstoffengpässen führte. Colonial Pipeline zahlte am selben Tag ein Lösegeld von 75 Bitcoin, damals rund 4,4 Millionen US-Dollar wert. Am 07.06.2021 gab das US-Justizministerium bekannt, dass FBI-Ermittler durch Verfolgung der Blockchain-Transaktionen 63,7 Bitcoin, damals rund 2,3 Millionen US-Dollar wert, aus einer DarkSide-Wallet sicherstellen konnten. Die Pipeline nahm den regulären Betrieb am 12.05.2021 wieder auf.

Nicht öffentlich dokumentiert ist, wie die FBI-Ermittler technisch an den privaten Schlüssel der DarkSide-Wallet gelangten. Offen blieb, ob und in welchem Umfang einzelne DarkSide-Mitglieder identifiziert oder strafrechtlich verfolgt wurden, die Gruppe kündigte kurz danach an, ihre Infrastruktur abzuschalten, ob dies das Ende der Gruppe oder nur einen Rebrand darstellte, ist nicht geklärt.

Am 30.05.2021 wurde der weltweit größte Fleischverarbeiter JBS Opfer eines Ransomware-Angriffs, der Server in Nordamerika und Australien betraf und zur vorübergehenden Schließung von Verarbeitungsanlagen führte. Das FBI ordnete den Angriff der russischsprachigen Gruppe REvil zu. JBS zahlte nach eigenen Angaben ein Lösegeld von 11 Millionen US-Dollar in Kryptowährung, obwohl zum Zeitpunkt der Zahlung bereits der Großteil der Anlagen wieder arbeitsfähig war.

Nicht öffentlich dokumentiert ist, welche Daten bei dem Angriff tatsächlich exfiltriert wurden. Ob die Zahlung von 11 Millionen US-Dollar tatsächlich notwendig war, bleibt eine Einschätzung des Unternehmens und ist nicht unabhängig verifiziert. REvil löste sich Sommer 2021 größtenteils auf, sodass eine vollständige strafrechtliche Aufarbeitung bislang nicht abgeschlossen ist.

Der Chaos Computer Club deckte gemeinsam mit dem Spiegel auf, dass die VW-Softwaretochter Cariad Fahrzeug- und Bewegungsdaten von rund 800.000 Elektroautos der Marken VW, Audi, Seat und Skoda über Monate ungeschützt in einem Amazon-Cloud-Speicher zugänglich hielt. Für etwa 460.000 Fahrzeuge waren präzise Standortdaten einsehbar, teils bis auf wenige Meter genau. Die Daten ließen sich mit Kundendaten verknüpfen. CCC-Sprecher informierten Cariad, VW und Behörden vor der Veröffentlichung, Cariad schloss die Sicherheitslücke innerhalb der gesetzten Frist. Ursache war laut Cariad eine Fehlkonfiguration der Cloud-Umgebung.

Nicht abschließend geklärt ist, wie lange die Daten tatsächlich frei zugänglich waren. Die Zahl von 800.000 betroffenen Fahrzeugen bezieht sich auf alle Fahrzeugdatensätze, während präzise Standortdaten nur bei rund 460.000 Fahrzeugen vorlagen. Ungeklärt bleibt, ob Dritte die Daten vor der Meldung durch den CCC tatsächlich abgegriffen haben, sowie der Ausgang möglicher Sammelklagen gegen Volkswagen.

Marriott gab am 30.11.2018 bekannt, dass die Reservierungsdatenbank der 2016 übernommenen Hotelkette Starwood bereits seit 2014 kompromittiert war, also rund vier Jahre unentdeckt blieb. Betroffen waren Daten von bis zu 500 Millionen Gästen, darunter Namen, Passnummern und teilweise verschlüsselte Zahlungskartendaten. Die britische ICO verhängte 2020 eine Buße von 18,4 Millionen Pfund. Im Oktober 2024 einigten sich Marriott und Starwood mit der FTC auf eine Zahlung von 52 Millionen US-Dollar wegen dieses und eines weiteren Datenlecks 2020.

Marriott korrigierte die Schätzung von 500 Millionen im Januar 2019 auf etwa 383 Millionen eindeutige Datensätze, da Duplikate enthalten waren. Die Zuschreibung des Angriffs an einen chinesischen Staatsakteur stützt sich vor allem auf Medienberichte ohne namentlich genannte Ermittler, eine öffentliche behördliche Bestätigung liegt nicht vor, China wies die Vorwürfe zurück.

Am 01.06.2017 beschloss der Bundestag einstimmig die Aufhebung von Paragraf 103 StGB, der Strafbarkeit der Beleidigung ausländischer Staatsoberhäupter. Auslöser war die Strafanzeige des türkischen Präsidenten Recep Tayyip Erdogan gegen Jan Böhmermann wegen dessen Schmähgedicht vom März 2016, für dessen Verfolgung die Bundesregierung im April 2016 die Ermächtigung nach Paragraf 104a StGB erteilt hatte. Die Streichung trat zum Januar 2018 in Kraft, mit der Begründung, die allgemeinen Beleidigungsvorschriften seien ausreichend.

Nicht dokumentiert im Bundestagsartikel ist der Ausgang des Strafverfahrens gegen Böhmermann. Die Staatsanwaltschaft Mainz stellte das Ermittlungsverfahren im Oktober 2016 mangels Tatverdachts ein, dies stammt aus anderen Quellen. Zivilrechtliche Verfahren zwischen Böhmermann und Erdogan sind nicht Gegenstand dieser Quelle.

Im Juli 2015 drang eine Gruppe namens The Impact Team in die Systeme von Avid Life Media ein, dem Betreiber der Seitensprung-Plattform Ashley Madison. Im August 2015 veröffentlichten die Angreifer Nutzerdaten von rund 36 Millionen Konten weltweit, darunter Namen, E-Mail-Adressen und sexuelle Präferenzen. Am 14.12.2016 einigte sich der Betreiber mit der FTC und 13 Bundesstaaten auf eine Zahlung von 17,5 Millionen US-Dollar wegen unzureichender Datensicherheit.

Die Zahl der betroffenen Konten wird uneinheitlich angegeben, Medienberichte von 2015 sprachen von rund 32 Millionen, die FTC nennt 2016 offiziell 36 Millionen. Eine belastbare, verifizierte Gesamtzahl von Suiziden im Zusammenhang mit der Veröffentlichung liegt nicht vor. Die Identität der Hackergruppe The Impact Team wurde nie öffentlich aufgeklärt.

Am 25.06.2024 bekannte sich Julian Assange vor einem US-Bundesgericht in Saipan schuldig, mit Chelsea Manning zur unrechtmäßigen Beschaffung und Veröffentlichung geheimer Verteidigungsdokumente verschworen zu haben. Nach Jahren in der ecuadorianischen Botschaft, Festnahme 2019 und Haft im Gefängnis Belmarsh wurde ihm eine Haftstrafe von 62 Monaten zugemessen, die der bereits verbüßten Zeit entsprach, sodass er ohne weitere Haft freikam und nach Australien zurückkehrte.

Nicht dokumentiert ist, welche konkreten Verhandlungen zwischen Assanges Verteidigung, der australischen Regierung und dem US-Justizministerium im Vorfeld stattfanden. Die genaue Zahl der durch die Veröffentlichungen 2010/2011 gefährdeten Personen ist nicht abschließend verifiziert. Es kam durch den Deal nicht zu einem abschließenden britischen Gerichtsurteil in der Sache.

Der frühere CIA-Softwareentwickler Joshua Schulte wurde am 01.02.2024 zu 40 Jahren Haft verurteilt. Er hatte 2016 geheime Hacking-Tools und Cyberwaffen der CIA an WikiLeaks weitergegeben, die diese ab dem 07.03.2017 unter dem Namen Vault 7 veröffentlichte, laut CIA der größte Diebstahl geheimer Unterlagen in ihrer Geschichte mit rund 8.761 Dokumenten. Ein New Yorker Bundesgericht sprach Schulte im Juli 2022 in einem dritten Prozess schuldig, nachdem zwei vorherige Prozesse 2020 mit hängender Jury endeten. Zusätzlich wurde er wegen Besitzes kinderpornografischen Materials verurteilt.

Nicht öffentlich dokumentiert ist, welchen konkreten operativen Schaden die Vault-7-Veröffentlichung für laufende CIA-Operationen verursachte. Schulte bestritt die Tat durchgehend und bezeichnete sich als Opfer einer Verschwörung. Unklar bleibt, ob WikiLeaks vor der Veröffentlichung tatsächlich alle betroffenen Hersteller informierte, wie behauptet wurde.

Datatilsynet stellte fest, dass die Dating-App Grindr zwischen 2018 und 2020 persönliche Daten ihrer Nutzer, darunter Standortdaten und Angaben wie HIV-Status und PrEP-Einnahme, ohne gültige Rechtsgrundlage an Werbepartner weitergab. Am 13.12.2021 verhängte die Behörde eine endgültige Geldbuße von 65 Millionen norwegischen Kronen, rund 5,7 Millionen Euro, wegen fehlender wirksamer Einwilligung nach Artikel 6 und 9 DSGVO.

Nicht geklärt ist, wie viele der weltweit rund 12,5 Millionen täglichen Nutzer tatsächlich betroffen waren. Das ursprünglich angekündigte Bußgeld von 9,6 Millionen Euro wurde nach Anhörung auf 5,7 Millionen Euro reduziert, ohne dass die Berechnungsmethode vollständig transparent gemacht wurde. Ein norwegisches Berufungsgericht bestätigte die Buße erst 2025.

Sam Bankman-Fried, Gründer der Kryptobörse FTX und der Handelsfirma Alameda Research, wurde am 28.03.2024 zu 25 Jahren Haft verurteilt. Er hatte Kundengelder von FTX in Milliardenhöhe veruntreut, Investoren um mehr als 1,7 Milliarden US-Dollar betrogen und Kreditgeber von Alameda um mehr als 1,3 Milliarden US-Dollar geschädigt. Eine Jury befand ihn im November 2023 in allen sieben Anklagepunkten für schuldig. FTX war im November 2022 zusammengebrochen. Das Gericht ordnete eine Vermögenseinziehung von rund 11 Milliarden US-Dollar an.

Nicht abschließend geklärt ist die genaue Höhe des tatsächlichen Kundenschadens, da die Insolvenzverwaltung nach dem Zusammenbruch einen erheblichen Teil der Vermögenswerte durch Verkäufe wiederbeschaffte. Umstritten bleibt, welchen Anteil am Zusammenbruch strukturelle Schwächen der Kryptobranche insgesamt hatten gegenüber individuellem kriminellem Handeln.

Eine Jury befand Terraform Labs und Mitgründer Do Kwon am 05.04.2024 einstimmig des Wertpapierbetrugs für schuldig, im Zusammenhang mit dem Zusammenbruch des Stablecoins TerraUSD und des Tokens Luna im Mai 2022, bei dem das Terra-Ökosystem nach SEC-Angaben rund 40 Milliarden US-Dollar an Marktwert verlor. Am 12.06.2024 bestätigte das Gericht ein finales Urteil über 4,5 Milliarden US-Dollar, davon rund 3,59 Milliarden Gewinnabschöpfung. Kwon und Terraform Labs wurde dauerhaft der Handel mit Krypto-Wertpapieren untersagt.

Nicht abschließend geklärt ist, wie viel des zugesprochenen Betrags tatsächlich zurückerhalten wird, da Terraform Labs zum Urteilszeitpunkt bereits weitgehend zahlungsunfähig war. Offen bleibt der Ausgang paralleler strafrechtlicher Verfahren gegen Do Kwon in den USA und Südkorea sowie Fragen zu seiner Auslieferung.

Die NYDFS verhängte am 07.07.2020 eine Strafe von 150 Millionen US-Dollar gegen die Deutsche Bank wegen Compliance-Versäumnissen im Zusammenhang mit drei ehemaligen Kunden, darunter die estnische Niederlassung der Danske Bank. Die Deutsche Bank stufte Danske Estonia zwar mit höchster Risikokategorie ein, ergriff aber trotz interner Hinweise keine ausreichenden Maßnahmen, um zu verhindern, dass Milliarden Dollar verdächtiger Transaktionen über ihre New Yorker Konten flossen.

Die exakte Summe der über die Deutsche Bank abgewickelten verdächtigen Transaktionen wird in der NYDFS-Mitteilung nicht beziffert. Offen bleibt, in welchem Umfang einzelne Mitarbeiter vorsätzlich handelten oder es sich um systemische Kontrolldefizite handelte, da die Konsequenz eine zivilrechtliche Aufsichtsstrafe ohne strafrechtliche Anklage war.

Volkswagen erklärte sich am 28.06.2016 bereit, bis zu 14,7 Milliarden US-Dollar zu zahlen, um Vorwürfe wegen manipulierter Abgastests bei rund 500.000 Dieselfahrzeugen beizulegen. VW hatte eine Software eingebaut, die den Prüfstandstest erkannte und nur dann die volle Abgasreinigung aktivierte. Im Januar 2017 bekannte sich VW zusätzlich in einem Strafverfahren schuldig und zahlte weitere 4,3 Milliarden Dollar. Der ehemalige VW-Manager Oliver Schmidt wurde am 06.12.2017 zu sieben Jahren Haft verurteilt.

Nicht öffentlich dokumentiert ist, wer innerhalb der VW-Konzernspitze in Wolfsburg wann genau von der Manipulation wusste, die eigentliche Konzernführung wurde strafrechtlich nicht zur Verantwortung gezogen. Die Gesamtzahl weltweit betroffener Fahrzeuge von rund 11 Millionen stammt aus VW-eigenen Angaben, nicht unabhängig verifiziert.

Am 21.11.2023 bekannte sich Binance Holdings Limited vor einem US-Bundesgericht in drei Anklagepunkten schuldig, darunter Verstoß gegen den Bank Secrecy Act. Das Unternehmen einigte sich auf Zahlungen von über 4,3 Milliarden US-Dollar. Gründer und CEO Changpeng Zhao bekannte sich ebenfalls persönlich schuldig und trat zurück. Laut DOJ ermöglichte Binance über fünf Jahre Transaktionen von Nutzern aus sanktionierten Ländern mit Verbindungen zu Hamas und dem Islamischen Staat, Gesamtvolumen fast eine Milliarde US-Dollar.

Der exakte Gesamtbetrag der finanziellen Belastung ist nicht abschließend geklärt, da neben der DOJ-Zahlung zusätzliche Summen an FinCEN und OFAC vereinbart wurden. Die Zahl von fast einer Milliarde Dollar an Transaktionen mit Bezug zu sanktionierten Akteuren stammt aus der DOJ-Darstellung, nicht aus einem unabhängigen Gerichtsurteil.

Am 15.06.2002 sprach eine Jury in Houston die Wirtschaftsprüfungsgesellschaft Arthur Andersen der Behinderung der Justiz schuldig, weil Mitarbeiter im Herbst 2001 systematisch Dokumente zur Enron-Prüfung vernichtet hatten. Enron hatte durch Zweckgesellschaften Verluste außerhalb der Bilanz verborgen und meldete am 02.12.2001 Insolvenz an, damals die größte Unternehmensinsolvenz der US-Geschichte. Infolge der Verurteilung durfte Andersen ab dem 31.08.2002 nicht mehr vor der SEC praktizieren und stellte den Geschäftsbetrieb ein, rund 85.000 Arbeitsplätze weltweit waren betroffen.

Der Oberste Gerichtshof hob das Urteil gegen Arthur Andersen 2005 wegen fehlerhafter Jury-Anweisungen wieder auf, ohne dass es zu einer erneuten Verfolgung kam, da die Firma bereits nicht mehr existierte. Unklar bleibt, in welchem Umfang einzelne Andersen-Partner außerhalb von Houston von der Aktenvernichtung wussten.

Am 18.02.2019 erließ die BaFin ein Verbot von Netto-Leerverkaufspositionen in Wirecard-Aktien bis zum 18.04.2019. Die Maßnahme folgte auf Financial-Times-Berichte vom 30.01.2019 über mögliche Bilanzmanipulationen bei einer Wirecard-Tochter in Singapur. Die Münchner Staatsanwaltschaft ermittelte zudem wegen Marktmanipulation gegen die FT-Journalisten und gegen Leerverkaufshändler. Sechzehn Monate später meldete Wirecard Insolvenz an, nachdem 1,9 Milliarden Euro auf angeblichen Treuhandkonten auf den Philippinen nicht auffindbar waren.

Die gegen die FT-Journalisten eingeleiteten Ermittlungen wurden später eingestellt, ohne dass eine Straftat nachgewiesen wurde. Umstritten und Gegenstand eines späteren Bundestags-Untersuchungsausschusses blieb, ob die BaFin durch Verbot und Anzeigen berechtigte Kritik unterdrückte. Feste Schadensersatzsummen gegenüber der BaFin wurden von deutschen Gerichten in mehreren Verfahren abgelehnt.

Seit dem Jahreswechsel 2022/2023 kam es bei Postbank und DSL Bank, beides Marken der Deutschen Bank, zu erheblichen Beeinträchtigungen infolge einer IT-Migration von rund vier Millionen Kundenverträgen. Betroffen waren Online-Banking, telefonische Erreichbarkeit sowie die Bearbeitung von Pfändungs- und Nachlassangelegenheiten. Die BaFin bestellte am 29.09.2023 einen Sonderbeauftragten zur Überwachung der Behebung der Serviceeinschränkungen. Besonders schwerwiegend waren laut BaFin die Auswirkungen auf Pfändungsschutzkonten.

Die eigentliche technische IT-Migration erfolgte erst zum Jahreswechsel 2022/2023, nicht 2018/2019 wie teils kolportiert, obwohl die rechtliche Fusion von Postbank und Deutsche-Bank-Privatkundensparte bereits 2018 stattfand. Offen bleiben die genaue Zahl betroffener Kunden und der Zeitpunkt, zu dem die BaFin die Serviceeinschränkungen als vollständig behoben ansah.

Am 07.07.2020 verhängte die NYDFS gegen die Deutsche Bank eine Geldbuße von insgesamt 150 Millionen US-Dollar wegen Verstößen im Zusammenhang mit den Geschäftsbeziehungen zu Danske Banks Estland-Filiale, zu Jeffrey Epstein und zur FBME Bank, davon 75 Millionen US-Dollar auf die Beziehung zu Epstein. Die Bank hatte Epstein trotz Einstufung als Hochrisikokunde von August 2013 bis Dezember 2018 als Kunden geführt, ohne die verstärkte Sorgfaltsprüfung angemessen auf sein Risikoprofil zuzuschneiden. Der Beschluss dokumentiert zahlreiche verdächtige Überweisungen Epsteins an mutmaßliche Mitverschwörer.

Der Beschluss betrifft ausschließlich aufsichtsrechtliche Sorgfaltspflichtverletzungen, keine strafrechtliche Verantwortung von Deutsche-Bank-Mitarbeitern. Offen bleibt, welche konkreten internen Entscheidungsträger die Kundenbeziehung trotz bekannter Vorstrafe Epsteins genehmigten. Ob mit den transferierten Geldern tatsächlich weiterer Menschenhandel finanziert wurde, ist nicht abschließend gerichtlich festgestellt.

Die FTC gab im Oktober 2018 einem erweiterten Vergleich mit Uber statt, nachdem Uber eine im November 2016 erfolgte Datenpanne mehr als ein Jahr verschwiegen hatte, während die Behörde bereits eine Untersuchung führte. Betroffen waren mehr als 25 Millionen Namen und E-Mail-Adressen sowie 600.000 Führerscheinnummern US-amerikanischer Fahrer. Uber zahlte den Angreifern über sein Bug-Bounty-Programm 100.000 US-Dollar. Der finale Beschluss verpflichtet Uber zu einem 20-jährigen Datenschutzprogramm mit regelmäßigen unabhängigen Prüfungen.

Nicht Teil dieser FTC-Entscheidung ist der separate Strafprozess gegen den ehemaligen Uber-Sicherheitschef Joseph Sullivan, der 2022 gesondert mit einem Schuldspruch endete. Offen bleibt, in welchem Umfang die vorgeschriebenen Prüfungen seit 2018 tatsächlich durchgeführt und veröffentlicht wurden.