Quellen-Tabelle

Im Mai 2018 deckte ein Sicherheitsforscher auf, dass die Demo-Funktion von LocationSmart ohne Authentifizierung Echtzeit-Standortdaten von Kunden aller vier großen US-Mobilfunkanbieter preisgab. LocationSmart verkaufte Standortdaten an Drittanbieter, darunter Securus Technologies, das Strafverfolgungsbehörden Zugriff auf Echtzeit-Standortdaten gegen ein einfaches Ankreuzen einer rechtlichen Berechtigung bot, ohne diese zu prüfen. Als Reaktion kündigten alle vier Mobilfunkanbieter ihre Vereinbarungen mit LocationSmart.

Nicht dokumentiert ist, wie viele Personen tatsächlich unrechtmäßig geortet wurden und wie lange die Lücke bereits bestand. Das tatsächliche Ausmaß des Missbrauchs durch Strafverfolgungsbehörden blieb ungeklärt. Erst 2020, mehr als zwei Jahre später, verhängte die FCC Bußgelder gegen die Mobilfunkanbieter.

Ein internes Werbedokument der SCL Group, Muttergesellschaft von Cambridge Analytica, wurde am 29.03.2018 vom Whistleblower Christopher Wylie an einen Ausschuss des britischen Unterhauses übergeben. Darin beschreibt SCL die eigene Arbeit für die nigerianische Regierung bei der Wahl 2007, unter anderem organisierte Antiwahl-Kundgebungen zur Wählerabschreckung in Oppositionshochburgen. Internationale Wahlbeobachter bewerteten die Wahl 2007 als eine der schlechtesten je beobachteten.

Nicht dokumentiert ist, in welchem Umfang die von SCL beschriebenen Taktiken tatsächlich zum Wahlausgang 2007 beitrugen. Das zentrale Beweisstück ist eine unternehmenseigene Werbebroschüre, die die eigene Wirksamkeit möglicherweise überzeichnet. Eine unabhängige Verifikation durch Dritte liegt nicht vor.

Im Oktober 2020 wurde die finnische Psychotherapie-Praxiskette Vastaamo gehackt, wobei vertrauliche Behandlungsnotizen von rund 30.000 Patienten entwendet wurden. Der Täter, später als Julius Kivimäki identifiziert, forderte zunächst rund 400.000 bis 450.000 Euro von Vastaamo. Als das Unternehmen nicht zahlte, verschickte er individuelle Erpressungs-E-Mails an tausende Patienten mit Forderungen von jeweils rund 200 Euro und veröffentlichte einen Teil der Daten dennoch. Kivimäki wurde im April 2024 zu sechs Jahren und drei Monaten Haft verurteilt.

Die Zahl der tatsächlich betroffenen Patienten schwankt zwischen rund 22.000 und über 30.000 und ist nicht abschließend amtlich bestätigt. Unklar bleibt, wie viele Patienten tatsächlich Lösegeld zahlten. Der von Medien berichtete Zusammenhang mit mindestens einem Suizid ist medial kolportiert, aber nicht gerichtlich als Kausalzusammenhang festgestellt worden.

Die belgische Bank Crelan, Tochtergesellschaft der Crédit-Agricole-Gruppe, verlor durch einen Business-Email-Compromise-Betrug rund 70 Millionen Euro. Täter gaben sich per E-Mail als Geschäftsführung aus und wiesen einen Mitarbeiter der Finanzabteilung an, eine Zahlung an ein von ihnen kontrolliertes Konto zu veranlassen. Der Betrug wurde durch interne Revision aufgedeckt, nachdem das Geld bereits überwiesen worden war.

Nicht dokumentiert ist, welche Personen konkret hinter dem Betrug standen und ob Täter je identifiziert oder verurteilt wurden. Die genaue technische Vorgehensweise ist in den verfügbaren Quellen nicht abschließend geklärt. Die Schadenssumme wird uneinheitlich zwischen 70 Millionen Euro und rund 75,8 Millionen US-Dollar angegeben.

Eine europäische Tochtergesellschaft von Toyota Boshoku verlor am 14.08.2019 durch einen Business-Email-Compromise-Angriff rund 4 Milliarden Yen, umgerechnet etwa 37,47 Millionen US-Dollar. Ein Mitarbeiter wurde per gefälschter E-Mail-Anweisung dazu gebracht, eine vermeintliche Lieferantenrechnung an ein von den Tätern kontrolliertes Konto zu überweisen. Toyota Boshoku bestätigte den Vorfall, leitete eine Untersuchung ein und schaltete lokale Behörden ein.

Nicht öffentlich dokumentiert sind der genaue technische Ablauf des Angriffs sowie der Name der konkret betroffenen europäischen Tochtergesellschaft. Unklar bleibt, wie viel des Geldes letztlich zurückgeholt werden konnte und ob täterseitig jemand identifiziert wurde.

Die japanische Bitcoin-Börse Mt. Gox stoppte im Februar 2014 alle Kundenabhebungen und meldete am 28.02.2014 in Tokio Insolvenz an, nachdem 850.000 Bitcoin von Kunden aus ihren Wallets verschwunden waren, damals rund 473 Millionen US-Dollar wert. 2021 genehmigte das Bezirksgericht Tokio einen Plan zur zivilen Rehabilitation für rund 24.000 Gläubiger. Die tatsächlichen Auszahlungen begannen am 05.07.2024, wobei viele Gläubiger wegen des gestiegenen Bitcoin-Kurses in US-Dollar mehr erhielten als sie 2014 verloren hatten.

Nicht abschließend geklärt ist, wie genau die 850.000 Bitcoin verschwanden, es kursieren mehrere Erklärungen von Hackerangriff bis technischem Missmanagement. Von den ursprünglich verlorenen Coins wurden später etwa 200.000 wiedergefunden, der Verbleib des Rests bleibt ungeklärt. Der ursprünglich für Oktober 2024 angesetzte Abschluss der Rückzahlungen wurde mehrfach verschoben, zuletzt auf Oktober 2026.

Die Generalstaatsanwaltschaft Frankfurt erhob am 20.08.2026 Anklage gegen vier ehemalige Commerzbank-Mitarbeiter wegen mutmaßlicher Cum-Ex-Geschäfte aus dem Jahr 2008, mit einem Steuerschaden von mehr als 20 Millionen Euro. Es ist die siebte Anklage der Frankfurter Generalstaatsanwaltschaft im Cum-Ex-Komplex, der derzeit zehn weitere Fallkomplexe mit 39 Beschuldigten untersucht. Bereits 2017 durchsuchten Ermittler die Commerzbank-Zentrale wegen des Verdachts der Steuerhinterziehung mit einem damaligen mutmaßlichen Schaden von rund 40 Millionen Euro.

Nicht dokumentiert ist, ob die Commerzbank als Institution selbst strafrechtlich belangt wird, die Anklage richtet sich ausschließlich gegen vier ehemalige Mitarbeiter persönlich. Unklar bleibt das Verhältnis zwischen dem 2017 genannten Schaden von rund 40 Millionen Euro und dem aktuellen Betrag von über 20 Millionen Euro. Der Ausgang des Gerichtsverfahrens ist offen, da bislang nur eine Anklage vorliegt.

JPMorgan Chase erklärte sich am 12.06.2023 bereit, 290 Millionen Dollar zur Beilegung einer Sammelklage von rund 200 mutmaßlichen Opfern von Jeffrey Epstein zu zahlen. Die Kläger warfen der Bank vor, trotz interner Warnsignale über Jahre Konten für Epstein geführt und dessen Menschenhandel ermöglicht zu haben. Ein US-Bezirksrichter bestätigte den Vergleich im November 2023 endgültig. Zusätzlich zahlte JPMorgan im September 2023 75 Millionen Dollar an die US-Jungferninseln.

Nicht bewiesen ist, dass JPMorgan wissentlich am Menschenhandel Epsteins beteiligt war. Die Bank hat in keinem der Vergleiche ein Fehlverhalten eingeräumt. Offen bleibt, welche internen Mitarbeiter genau über Epsteins Aktivitäten informiert waren und ob es strafrechtliche Konsequenzen für einzelne Manager geben wird.

Im Juli 2019 wurde bekannt, dass die ehemalige AWS-Mitarbeiterin Paige Thompson durch Ausnutzung einer Server-Side-Request-Forgery-Schwachstelle in einer fehlkonfigurierten Firewall in die Cloud-Infrastruktur von Capital One eindrang. Betroffen waren Daten von mehr als 100 Millionen Kunden, darunter mehr als 100.000 Sozialversicherungsnummern. Thompson wurde am 20.06.2022 wegen Drahtbetrugs und fünffacher unbefugter Zugriffe schuldig gesprochen, aber von Identitätsdiebstahl freigesprochen. Capital One musste 80 Millionen US-Dollar Bußgeld sowie 190 Millionen US-Dollar für Vergleiche zahlen.

Nicht abschließend geklärt ist, ob tatsächlich alle 106 Millionen betroffenen Datensätze für kriminellen Missbrauch verwendet wurden. Die Entdeckung erfolgte nicht durch interne Sicherheitsmaßnahmen, sondern durch eine anonyme Mitteilung, was Fragen zur Wirksamkeit der eigenen Überwachungssysteme aufwirft.

Am 24.05.2008 wurde bekannt, dass die Deutsche Telekom in den Jahren 2005 und 2006 Telefonverbindungsdaten von mindestens 55 Personen abgleichen ließ, um undichte Stellen im Unternehmen zu identifizieren. Betroffen waren Aufsichtsräte, ein Vorstandsmitglied, Gewerkschaftsfunktionäre wie Ver.di-Chef Frank Bsirske sowie mehrere Journalisten, insgesamt rund 60 Personen. Die Staatsanwaltschaft Bonn ermittelte gegen acht Beschuldigte. Das Landgericht Bonn verurteilte den ehemaligen Sicherheitsverantwortlichen am 30.11.2010 zu dreieinhalb Jahren Haft wegen Betrugs, Untreue und Verletzung des Fernmeldegeheimnisses.

Unklar bleibt, in welchem Umfang neben Telefonverbindungsdaten auch Bankdaten ausgewertet wurden und ob Bewegungsprofile erstellt wurden, hierzu liegen nur Verdachtsmomente vor. Offen bleibt zudem, wer konkret die Anweisung zur Überwachung erteilt hat und wie weit die Kenntnis in der damaligen Unternehmensspitze reichte.

Symantec begann am 13.07.2010 mit der Analyse der Schadsoftware W32.Stuxnet und veröffentlichte im Februar 2011 das vollständige Stuxnet-Dossier. Die Malware zielte gezielt auf Siemens-Step7-Industriesteuerungssysteme ab, wie sie in der iranischen Urananreicherungsanlage Natanz eingesetzt wurden. Da die Steuerungssysteme nicht mit dem Internet verbunden waren, verbreitete sich Stuxnet über infizierte USB-Wechseldatenträger. Laut Analysen des Institute for Science and International Security wurden Ende 2009 oder Anfang 2010 rund 1.000 IR-1-Zentrifugen in Natanz ausgetauscht, ein Ausfall über der normalen Ausfallrate.

Nicht offiziell bewiesen ist die Urheberschaft der USA und Israels, beide Staaten haben eine Beteiligung nie offiziell bestätigt. Umstritten ist die genaue Zahl der beschädigten Zentrifugen, und es ist nicht abschließend geklärt, in welchem Ausmaß der Ausfall allein auf Stuxnet zurückzuführen ist gegenüber regulärem Verschleiß der als störanfällig geltenden IR-1-Zentrifugen.

Citizen Lab wies im Oktober 2018 nach, dass das Smartphone des saudischen Dissidenten Omar Abdulaziz mit der Pegasus-Spyware der NSO Group infiziert war. Abdulaziz, ein enger Vertrauter des Journalisten Jamal Khashoggi, tauschte mit diesem WhatsApp-Nachrichten über gemeinsame Aktivismus-Pläne aus. Die Infektion wurde Monate vor Khashoggis Ermordung am 02.10.2018 im saudischen Konsulat in Istanbul festgestellt. Spätere forensische Analysen ergaben zudem Hinweise auf eine Kompromittierung des Telefons von Khashoggis Verlobter Hatice Cengiz.

Nicht abschließend dokumentiert ist, ob die abgefangenen Nachrichten tatsächlich direkt zur Planung der Ermordung durch saudische Agenten beitrugen, dieser Zusammenhang wird als plausibel dargestellt, aber nicht mit Beweisdokumenten der saudischen Seite belegt. NSO Group bestreitet eine direkte Verantwortung für den Missbrauch durch Kunden wie Saudi-Arabien.

Citizen Lab teilte dem griechischen Journalisten Thanasis Koukakis im März 2022 mit, dass sein Telefon vom 12.07. bis 24.09.2021 mit der Spyware Predator überwacht worden war, entwickelt von der nordmazedonischen Firma Cytrox. Im Juli 2022 wurde bekannt, dass auch Nikos Androulakis, Vorsitzender der Oppositionspartei PASOK-KINAL, im September 2021 mit demselben Infektionslink angegriffen wurde. Die griechische Regierung wies jede Beteiligung zurück.

Nicht dokumentiert ist, wer konkret hinter dem Einsatz von Predator steht. Offen ist, ob griechische Geheimdienststellen oder private Auftraggeber beteiligt waren. Bei Androulakis wurde zudem parallel eine legale Abhörmaßnahme bekannt, deren Verhältnis zum Predator-Einsatz bis heute nicht vollständig geklärt ist.

Die nordrhein-westfälische Landesdatenschutzbeauftragte leitete im April 2018 ein Prüfverfahren gegen die Deutsche-Post-Tochter Post Direkt ein wegen des Verdachts, im Bundestagswahlkampf 2017 Adressdaten an Parteien verkauft zu haben. Der Handel mit personalisierten Daten hätte mit einem Bußgeld bis zu 300.000 Euro geahndet werden können. CDU und FDP erklärten, nur anonymisierte Daten genutzt zu haben.

Nicht belegt ist, ob am Ende des Verfahrens tatsächlich ein Bußgeld verhängt wurde, ein öffentlich dokumentiertes Ergebnis ließ sich nicht finden. Nicht zu verwechseln mit dem später tatsächlich verhängten 18-Millionen-Euro-Bußgeld gegen die Österreichische Post, ein anderes Unternehmen in einem anderen Land.

Am 20.06.2024 nahm die belgische EU-Ratspräsidentschaft die geplante Abstimmung über die CSA-Verordnung, bekannt als Chatkontrolle, kurzfristig von der Tagesordnung, weil keine ausreichende Mehrheit zustande kam. Deutschland hatte am Vortag Ablehnung erklärt, Frankreich forderte Zusicherungen zum Schutz verschlüsselter Kommunikation. Es war bereits der zweite gescheiterte Anlauf nach Spanien im Dezember 2023.

Nicht dokumentiert ist das genaue Abstimmungsverhalten aller 27 Mitgliedstaaten, da die Abstimmung selbst nie stattfand. Offen bleibt, welche konkreten technischen Zusicherungen Frankreich forderte und ob diese je erfüllt wurden. Der grundsätzliche Kommissionsvorschlag bestand trotz der Absage fort.

Haaretz berichtete am 16.08.2022, dass Cellebrite Technologie zur Entsperrung von Mobiltelefonen an die ugandische Regierung unter Präsident Yoweri Museveni verkauft hat. Wenige Tage später bestätigte Uganda den Kauf. Bereits 2021 hatte Cellebrite angekündigt, Verkäufe an Russland und Belarus zu stoppen, nachdem Recherchen zeigten, dass die Technologie in Russland mehr als 26.000 Mal gegen Journalisten und Oppositionelle eingesetzt worden war.

Nicht dokumentiert ist, welche Exportlizenzen Israel für den Verkauf an Uganda erteilt hat. Offen bleibt, in welchem Umfang die Technologie tatsächlich gegen Oppositionelle in Uganda eingesetzt wurde. Die 2021 angekündigte Verkaufssperre für Russland wurde später durch Recherchen infrage gestellt.

Das Zollkriminalamt und die Staatsanwaltschaft München I durchsuchten vom 06. bis 08.10.2020 Geschäftsräume der Firmen FinFisher, FinFisher Labs und Elaman in München wegen Verdachts auf Verstoß gegen das Außenwirtschaftsgesetz. Hintergrund: Die Überwachungssoftware FinSpy soll im Sommer 2017 ohne deutsche Ausfuhrgenehmigung an die Türkei geliefert worden sein. Bereits im Juli 2019 hatten mehrere NGOs gemeinsam Strafanzeige gestellt.

Nicht belegt ist, ob es tatsächlich zu einer rechtswidrigen Ausfuhr kam und wer konkret verantwortlich war. Der Ausgang des Ermittlungsverfahrens war zum Berichtszeitpunkt offen, es liegt kein rechtskräftiges Urteil vor. Unklar bleibt der genaue Lieferweg der Software in die Türkei.

Marcus Hutchins, bekannt als MalwareTech, hatte im Mai 2017 durch Registrierung einer Domain einen Kill Switch aktiviert und damit die Ausbreitung von WannaCry gestoppt. Im August 2017 wurde er in Las Vegas verhaftet und wegen Entwicklung und Verkaufs der Banking-Trojaner Kronos und UPAS Kit angeklagt. Am 19.04.2019 bekannte er sich schuldig, die Taten fanden zwischen Juli 2012 und September 2015 statt, vor seiner Zeit als Sicherheitsforscher. Am 26.07.2019 verurteilte das Gericht ihn zu bereits verbüßter Haft plus einem Jahr Bewährung.

Nicht öffentlich beziffert ist der konkrete finanzielle Schaden durch Kronos. Die Staatsanwaltschaft konnte nicht belegen, in welchem Umfang die Malware tatsächlich eingesetzt wurde, was die milde Strafe mitbeeinflusste. Offen bleibt das Ausmaß der Beteiligung eines mutmaßlichen Mitangeklagten.

IT-Sicherheitsforscher registrierten am Portal des Deutschen Apothekerverbands eine fiktive Apotheke mit gefälschten Dokumenten und erhielten binnen zwei Tagen Zugang. Mit diesem Zugang konnten sie gültige, vom CovPass Check als echt erkannte digitale Impfzertifikate ausstellen, obwohl keine Impfung vorlag. Die geforderte Telematik-ID wurde nicht verifiziert, die Zwei-Faktor-Authentifizierung war entfallen. Der DAV schaltete das Portal ab, rund 470 Apotheken ohne Verbandsmitgliedschaft konnten vorübergehend keine Zertifikate mehr ausstellen. Zu diesem Zeitpunkt waren bereits mehr als 25 Millionen Impfzertifikate über das Portal ausgestellt worden.

Nicht belegt ist, in welchem Umfang die Lücke vor der Veröffentlichung durch Dritte tatsächlich ausgenutzt wurde. Das Bundesgesundheitsministerium erklärte, keine Hinweise auf Missbrauch gefunden zu haben, eine unabhängige forensische Bestätigung liegt nicht vor. Der kolportierte Schwarzmarktpreis von rund 138 Euro pro Zertifikat ist nicht durch Strafverfolgungsdaten belegt.

Anfang Januar 2022 fragte die Mainzer Polizei Kontaktdaten aus der Luca App ab, um Zeugen zu einem Todesfall zu ermitteln, obwohl die App gesetzlich ausschließlich zur Kontaktnachverfolgung im Rahmen der Corona-Pandemie zugelassen war. Eine spätere ZDF-Recherche identifizierte bundesweit mehr als hundert vergleichbare Fälle. In mindestens fünf dieser Fälle war die Datenabfrage nach dem jeweiligen Infektionsschutzgesetz ausdrücklich verboten. Der Vorfall führte zu politischen Forderungen, die App zu löschen.

Nicht dokumentiert ist die genaue Gesamtzahl bundesweiter Fälle unrechtmäßiger Datenzugriffe, da die Recherche auf Behördenanfragen beruhte. Unklar bleibt, in wie vielen Fällen tatsächlich Luca-App-Daten im engeren Sinne betroffen waren gegenüber handschriftlichen Kontaktlisten. Offen ist, welche dienstrechtlichen Konsequenzen die beteiligten Beamten hatten.

Die Studie We Chat, They Watch vom 07.05.2020 zeigt, dass Dateien und Bilder, die zwischen nicht in China registrierten WeChat-Konten ausgetauscht werden, auf politisch sensible Inhalte gescannt werden. Diese werden per Hash-Abgleich und Bild- sowie Texterkennung mit einer chinesischen Zensurdatenbank verglichen und genutzt, um das Zensursystem für in China registrierte Nutzer weiterzutrainieren. Sobald ein Bild als sensibel markiert wird, blockiert WeChat dessen Versand für alle Nutzer weltweit.

Nicht dokumentiert ist, in welchem Umfang Tencent diese Überwachung durchführt, da die Analyse serverseitig und intransparent erfolgt. Offen bleibt, ob die Daten an chinesische Behörden weitergegeben werden, die Studie liefert dafür keine direkten Beweise. Tencent bestritt Teile der Vorwürfe, ohne sich detailliert zu den technischen Befunden zu äußern.

Twitter bestätigte 2018, dass die Firma Global Science Research des Cambridge-Psychologen Aleksandr Kogan 2015 für einen Tag Zugang zu einer Zufallsstichprobe öffentlicher Tweets erhielt. Kogans Firma hatte zuvor 2014 von Cambridge Analytica mehr als 800.000 US-Dollar für eine Facebook-Persönlichkeits-App erhalten, die Daten von bis zu 87 Millionen Nutzern sammelte. Twitter erklärte, nur öffentliche Tweets seien betroffen gewesen, keine privaten Nutzerdaten.

Nicht belegt ist, ob die Twitter-Daten tatsächlich mit den Facebook-Daten kombiniert oder für Wahlkampfzwecke genutzt wurden. Twitter und Kogan bestreiten diesen Zusammenhang. Ein konkreter Kaufpreis für den Datenzugang wurde nicht genannt.

Nachdem die Scientology-Kirche am 16.01.2008 eine Urheberrechtsbeschwerde gegen ein Tom-Cruise-Video bei YouTube durchsetzte, veröffentlichte Anonymous am 21.01.2008 das Video Message to Scientology und startete Project Chanology. Am 10.02.2008 demonstrierten in über 50 Städten in 14 Ländern schätzungsweise 6.000 bis 8.300 maskierte Teilnehmer, was als erste große Überführung von Anonymous in realweltlichen Aktivismus gilt. Neben Protesten gehörten DDoS-Angriffe, schwarze Faxe und Prank Calls zu den Aktionsformen. Die per FOIA freigegebenen FBI-Akten zeigen, dass die Kirche gegenüber der Bundespolizei von einer terroristischen Organisation sprach.

Nicht dokumentiert ist eine zentrale Führungsstruktur von Anonymous, da die Bewegung dezentral organisiert war. Die genaue Teilnehmerzahl schwankt je nach Quelle zwischen rund 6.000 und mehr als 9.000. Unklar bleibt der tatsächliche wirtschaftliche Schaden der DDoS-Angriffe.

Im Oktober 2012 gab die South Carolina Department of Revenue bekannt, dass Angreifer bei Einbrüchen im August und September 2012 rund 3,6 Millionen Sozialversicherungsnummern sowie etwa 387.000 Kredit- und Debitkartennummern erbeuteten. Die Behörde entdeckte den Einbruch am 10.10.2012, die Sicherheitslücke wurde am 20.10.2012 geschlossen. Betroffen waren alle Personen, die seit 1998 eine Steuererklärung eingereicht hatten. Der Staat gab mehr als 20 Millionen US-Dollar für Reaktion und sechs Jahre kostenlose Kreditüberwachung aus.

Nicht dokumentiert ist die genaue Identität der Angreifer. Medienberichte sprachen von vermutetem ausländischem Ursprung, eine offizielle Zuordnung liegt nicht vor. Auch zehn Jahre später blieben zentrale Ermittlungsfragen offen, ein Abschlussbericht mit vollständiger Attribution wurde nicht veröffentlicht.

Bundesinnenministerin Nancy Faeser entschied, dass ihr Ressort keine gemeinsame Bundes-VeRA-Plattform auf Basis von Palantir Gotham einführt, womit das Vorhaben für BKA und Bundespolizei beendet ist. Die bayerische Landespolizei nutzt seit 2024 bereits ein auf Gotham basierendes System namens VeRA. Das Bundesverfassungsgericht erklärte im Februar 2023 die entsprechenden Rechtsgrundlagen in Hessen und Hamburg für verfassungswidrig. Die Bundesregierung setzt stattdessen auf das Programm Polizei 2020.

Nicht dokumentiert sind konkrete Kosten oder ein Zeitplan für Polizei 2020 als Alternative. Unklar bleibt, ob andere Bundesländer außer Bayern ähnliche Systeme einsetzen. Die technische Funktionsweise von Gotham ist öffentlich nicht im Detail belegt.