Quellen-Tabelle

LastPass meldete am 25.08.2022 einen Einbruch in seine Entwicklungsumgebung, bei dem Quellcode und ein verschlüsselter Schlüssel für Kunden-Backups entwendet wurden. In einem zweiten Vorfall im September 2022 kompromittierte der Angreifer per Keylogger den Rechner eines DevOps-Ingenieurs und erlangte Zugriff auf eine Backup-Datenbank mit Kundentresordaten. Laut US-Ermittlern wurden die Daten für Offline-Angriffe genutzt, die mit einem Kryptowährungsdiebstahl von rund 150 Millionen US-Dollar in Verbindung gebracht werden. LastPass einigte sich 2025 auf eine Sammelklagenzahlung von 24,5 Millionen US-Dollar.

Nicht dokumentiert ist, wie viele Tresore tatsächlich entschlüsselt wurden, da dies von der Stärke der Master-Passwörter abhing. Die Verbindung zum 150-Millionen-Dollar-Diebstahl stützt sich auf Ermittlungsdokumente, eine lückenlose Beweiskette für jeden Einzelfall ist nicht öffentlich einsehbar.

Am 08.10.2022 wurden gegen 2 Uhr nachts an zwei Orten, Herne und Berlin-Karow, Glasfaserkabel des Zugfunknetzes GSM-R der Deutschen Bahn durchtrennt. Beide redundant ausgelegten Stränge fielen aus. Der ICE-Verkehr zwischen Berlin, Hannover und Nordrhein-Westfalen sowie die Verbindung Berlin-Amsterdam waren für mehrere Stunden unterbrochen. Die Bundesanwaltschaft übernahm die Ermittlungen am 13.10.2022, das BKA wurde am 21.10.2022 eingeschaltet.

Nicht bewiesen ist, dass es sich um einen politisch motivierten Sabotageakt handelte. Die Staatsanwaltschaft Bochum identifizierte bis Juni 2024 zwei mutmaßliche Täter, die laut Berichten von Juli 2023 nach Kupferkabeln suchten und die Glasfaserkabel offenbar irrtümlich beschädigten. Ob ein politisches Motiv oder ein Diebstahlsversuch vorlag, blieb laut Ermittlungsstand unklar.

Beim Landratsamt Enzkreis in Pforzheim waren durch eine fehlerhafte Systemkonfiguration eines externen IT-Dienstleisters personenbezogene Daten aus Online-Führerscheinanträgen über eine nicht verlinkte, aber direkt aufrufbare Internetadresse zugänglich. Die Fehlkonfiguration bestand von Januar 2025 bis zur Entdeckung am 08.10.2025, betroffen waren Anträge zwischen 01.01.2024 und 08.10.2025. Die Zahl der betroffenen Personen liegt im oberen vierstelligen Bereich, der Server wurde umgehend abgeschaltet.

Nicht belegt ist die exakte Zahl tatsächlich abgerufener Datensätze, die Behörde spricht nur von einer potenziellen oberen vierstelligen Zahl. Welcher externe IT-Dienstleister die Fehlkonfiguration verursachte und ob eine Haftung geklärt ist, bleibt unklar.

Das Delaware Chancery Court genehmigte am 07.04.2026 einen Vergleich über 190 Millionen US-Dollar zur Beilegung einer Aktionärsklage gegen Mark Zuckerberg, Sheryl Sandberg und weitere Meta-Direktoren. Eine Gruppe von Pensionsfonds hatte vorgeworfen, Facebook habe im Umgang mit den Daten im Cambridge-Analytica-Skandal gegen eine FTC-Unterlassungsverfügung von 2012 verstoßen. Der Prozess begann am 16.07.2025, die Kläger hatten ursprünglich 8 Milliarden US-Dollar gefordert. Die Zahlung erfolgt laut Berichten aus der D&O-Haftpflichtversicherung.

Nicht öffentlich dokumentiert ist die genaue Aufteilung der 190 Millionen Dollar zwischen den Versicherungspolicen. Ob Zuckerberg oder andere Beklagte persönlich finanziell hafteten, ist nicht abschließend belegt.

Die Forscher Chris Demchak und Yuval Shavit veröffentlichten Ende Oktober 2018 eine Studie über systematische BGP-Routing-Manipulationen durch den chinesischen Staatskonzern China Telecom. Dokumentiert wurde unter anderem eine rund zweieinhalbjährige Fehlleitung von Verizon-APAC-Routen über China Telecom zwischen Ende 2015 und Mitte 2018. Doug Madory von Oracle Internet Intelligence bestätigte die Befunde anhand eigener Messdaten.

Nicht bewiesen ist eine gezielte staatliche Anordnung zum Abhören von Verkehr im Einzelfall. China Telecom wies die Vorwürfe als technische Fehlkonfigurationen zurück. Das Ausmaß eines möglichen Datenzugriffs während der Umleitungen bleibt unklar.

Am Landgericht München I läuft seit dem 08.12.2022 der Strafprozess gegen den ehemaligen Wirecard-Vorstandschef Markus Braun, den früheren Dubai-Manager Oliver Bellenhaus als Kronzeugen und einen ehemaligen Chefbuchhalter. Der geschätzte Gesamtschaden liegt bei über 3 Milliarden Euro. Bis Juli 2026 wurden mehr als 270 Verhandlungstage absolviert, die Schlussplädoyers wurden für die vierte Oktoberwoche 2026 terminiert. Braun sitzt seit Juni 2020 in Untersuchungshaft.

Ein Urteil lag zum Zeitpunkt dieser Quelle noch nicht vor. Die genaue Schadenssumme schwankt in Quellen zwischen 1,9 und 3,2 Milliarden Euro. Die Rolle des seit 2020 mit internationalem Haftbefehl gesuchten Jan Marsalek konnte im Prozess nicht abschließend geklärt werden.

Die IT-Sicherheitsexpertin Lilith Wittmann deckte im Juli 2024 mit ihrem Projekt festnetz.cool auf, dass die Deutsche Telekom eine offen zugängliche API für Festnetzanschlüsse betreibt. Allein mit einer IP-Adresse ließen sich Tarifdetails, Geschwindigkeit sowie eine dauerhafte Nutzerkennung abrufen. Die Telekom meldete den Vorfall am 15.07.2024 an die Bundesbeauftragte für den Datenschutz.

Die genaue Zahl betroffener Anschlüsse ist nicht belegt, Schätzungen schwanken zwischen wenigen Millionen und bis zu 25 Millionen ohne verifizierte Grundlage. Ob die Telekom die Daten aktiv zur Nutzerverfolgung einsetzte, ist unklar.

Am 20.02.2022 veröffentlichte ein Journalistenkonsortium aus 48 Medien in 39 Ländern unter Federführung der Süddeutschen Zeitung und des OCCRP die Recherche Suisse Secrets. Grundlage waren Daten zu mehr als 18.000 Bankkonten der Credit Suisse mit einem Gesamtvolumen von über 100 Milliarden Schweizer Franken. Die Recherche identifizierte unter den Kontoinhabern sanktionierte Personen und mutmaßliche Kriegsverbrecher. Credit Suisse wies die Vorwürfe zurück.

Die Identität der Quelle, die die Daten zuspielte, ist nicht dokumentiert. Credit Suisse stellte die Aktualität eines großen Teils der Datensätze infrage. Ob gegen einzelne Kontoinhaber strafrechtlich ermittelt wurde, ist nicht einheitlich öffentlich dokumentiert.

Am 20.03.2025 genehmigte eine US-Bezirksrichterin in Chicago den Vergleich in der Sammelklage gegen Clearview AI wegen Verstoßes gegen den Illinois Biometric Information Privacy Act (BIPA). Statt Barzahlung erhalten die Klassenmitglieder einen Anteil von 23 Prozent an Clearview AI, auf Basis einer Bewertung von 225 Millionen US-Dollar mit rund 51,75 Millionen US-Dollar beziffert. Clearview verpflichtet sich zudem zu einem Opt-Out-System und Löschung bestimmter biometrischer Daten für Einwohner Illinois.

Der tatsächliche Marktwert des Aktienanteils ist nicht abschließend geklärt, da Clearview nicht börsennotiert ist. 22 US-Bundesstaaten legten Einspruch gegen die Konstruktion ein. Wie viele der potenziell Millionen Betroffenen tatsächlich Ansprüche anmelden, ist offen.

Am 18.05.2022 zwischen etwa 8:00 und 9:35 Uhr konnten Nutzer im Online-Portal der Bundesagentur für Arbeit teilweise auf persönliche Daten anderer Kunden zugreifen, darunter Schriftverkehr von Arbeitssuchenden. Ursache war ein technischer Fehler bei einem Sicherheitsupdate, bei dem Nutzerkonten falschen Datensätzen zugeordnet wurden. Die Bundesagentur deaktivierte die Anmeldefunktion um 9:35 Uhr und stellte sie um 10:05 Uhr wieder her.

Wie viele Personen tatsächlich betroffen waren, konnte die Bundesagentur nach eigener Aussage nachträglich nicht mehr ermitteln. Ob eine Meldung an die Datenschutzaufsichtsbehörde nach Artikel 33 DSGVO erfolgte, ist aus verfügbaren Berichten nicht dokumentiert.

Die Wirtschaftsstrafkammer des Landgerichts Braunschweig verurteilte am 26.05.2025 vier ehemalige Volkswagen-Manager wegen Betrugs im Zusammenhang mit der Abgasmanipulation. Jens Hadler erhielt vier Jahre und sechs Monate Haft, Hanno Jelden zwei Jahre und sieben Monate. Zwei weitere Angeklagte erhielten Bewährungsstrafen von 15 beziehungsweise 22 Monaten. Der Prozess hatte im September 2021 begonnen und umfasste rund 170 Verhandlungstage.

Nicht Teil dieses Verfahrens war Ex-VW-Chef Martin Winterkorn, dessen Fall wegen gesundheitlicher Probleme abgetrennt wurde. In Braunschweig sind weitere Verfahren gegen 31 Beschuldigte anhängig. Rechtsmittel gegen die Urteile waren zum Zeitpunkt der Berichterstattung nicht ausgeschlossen.

Am 05.11.2014 veröffentlichte das ICIJ mit rund 80 Journalisten aus 26 Ländern die Recherche LuxLeaks. Grundlage waren vertrauliche Steuervorbescheide, die PricewaterhouseCoopers zwischen 2002 und 2010 für Konzernkunden bei der luxemburgischen Steuerverwaltung erwirkt hatte, mindestens 548 Absprachen für mehr als 340 Unternehmen. Quelle war der ehemalige PwC-Mitarbeiter Antoine Deltour.

Der konkrete Steuerausfall einzelner EU-Staaten ist nicht abschließend geklärt. Die Steuervorbescheide waren nach luxemburgischem Recht zum Abschlusszeitpunkt grundsätzlich legal. Deltour wurde in Luxemburg zunächst verurteilt, in der Berufung von zentralen Vorwürfen freigesprochen.

Am 05.11.2017 veröffentlichte das ICIJ mit 95 Medienpartnern die Recherche Paradise Papers, basierend auf 13,4 Millionen geleakten Dateien hauptsächlich aus der Offshore-Kanzlei Appleby. Die Dokumente zeigten Offshore-Verbindungen von mehr als 120 Politikern und Steuerplanungsstrukturen von knapp 100 multinationalen Konzernen wie Apple und Nike. Die Originaldaten wurden der Süddeutschen Zeitung zugespielt.

Nicht bewiesen ist, dass alle genannten Personen oder Firmen gegen geltendes Recht verstießen, Offshore-Strukturen sind vielfach legal. Der Ursprung des Lecks bei Appleby wurde nie einem Täter zugeordnet, Appleby selbst sprach von einem kriminellen Cyberangriff.

Der Einzelhandelskonzern Steinhoff International räumte im Dezember 2017 Bilanzunregelmäßigkeiten ein, der Aktienkurs brach um über 90 Prozent ein. Die forensische PwC-Untersuchung ergab, dass zwischen 2009 und 2017 fiktive Transaktionen in Höhe von etwa 7,4 Milliarden US-Dollar verbucht wurden, um Verluste zu verschleiern. Als zentrale Verantwortliche gelten Ex-CEO Markus Jooste und Ex-CFO Ben la Grange.

Der vollständige PwC-Bericht wurde nie veröffentlicht, nur Zusammenfassungen sind bekannt. Strafrechtliche Verurteilungen in Südafrika stehen weiterhin größtenteils aus.

Der Inselstaat Nauru vergab in den 1990er Jahren Lizenzen an rund 400 Offshore-Banken, obwohl das Land weniger als 15.000 Einwohner zählte. Die russische Zentralbank schätzte, dass 1998 rund 70 Milliarden US-Dollar über Nauru-verknüpfte Konten geleitet wurden. Die FATF stufte Nauru im Oktober 2000 als unkooperatives Land ein. Nauru widerrief daraufhin 139 der 140 Offshore-Banklizenzen.

Die Zahl von 400 Banken stammt aus journalistischen Sekundärquellen, ein vollständiges Bankregister aus jener Zeit ist nicht öffentlich einsehbar. Die 70-Milliarden-Schätzung wurde nie unabhängig forensisch verifiziert.

Am 12.06.2016 beendete Walgreens seine Partnerschaft mit Theranos und schloss alle 40 Theranos Wellness Centers in Arizona, nachdem die US-Gesundheitsbehörde CMS mehrere Testergebnisse für ungültig erklärt und Theranos' Korrekturplan abgelehnt hatte. Bereits im Januar 2016 hatte Walgreens den Testbetrieb in Palo Alto eingestellt.

Die genauen finanziellen Konditionen der Trennung sind nicht dokumentiert. Walgreens klagte später separat wegen eines Investments von rund 140 Millionen Dollar, dieser Zivilprozess ist vom operativen Ende der Partnerschaft zu unterscheiden.

Am 27.01.2024 verschafften sich Unbekannte Zugang zur IT-Infrastruktur der Bezirkskliniken Mittelfranken und verschlüsselten gezielt Daten. Betroffen waren acht Kliniken und zwei Wohnheime mit rund 1700 Betten, darunter das Klinikum am Europakanal Erlangen und das Bezirksklinikum Ansbach. Die Angreifer zogen personenbezogene Daten und interne Dokumente ab, alle Systeme wurden vom Netz genommen. Ein Krisenstab arbeitete mit Polizei, Staatsanwaltschaft und der bayerischen Datenschutzaufsicht zusammen. Bis Ende Februar 2024 wurde die IT schrittweise wieder aufgebaut.

Welche Tätergruppe hinter dem Angriff steckt, ist nicht dokumentiert. Ob eine Lösegeldforderung gestellt und gezahlt wurde, ist unbekannt. Der genaue Umfang der abgezogenen Daten wird nicht beziffert.

Am 16.11.2025 fielen die zentralen IT- und Kommunikationssysteme der Stadtwerke Detmold GmbH aus. Die Generalstaatsanwaltschaft Köln führt ein Ermittlungsverfahren wegen Erpressung, übergeben an die Zentral- und Ansprechstelle Cybercrime NRW. Laut Bild-Zeitung erhielten die Stadtwerke eine Lösegeldforderung. Die Versorgung mit Erdgas, Trinkwasser, Strom und Wärme blieb gesichert, betroffen waren vor allem Kommunikationswege. Die IT-Systeme waren seit Anfang Januar 2026 wieder vollständig funktionsfähig.

Die Höhe der Lösegeldforderung, die Identität der Angreifer und die genaue Angriffsmethode sind nicht öffentlich dokumentiert. Ob ein Datenabfluss stattfand oder ein Lösegeld gezahlt wurde, ist nicht bestätigt.

Im Juli 2025 wurde der Klinikbetreiber Ameos, der mehr als 100 Einrichtungen an über 50 Standorten vor allem in Sachsen-Anhalt betreibt, Ziel eines Cyberangriffs. Ameos fuhr vorsorglich alle digitalen Systeme herunter. Nach Ermittlungsangaben erbeuteten die Täter personenbezogene Daten von Patienten und Mitarbeitern aus mehreren Standorten. Das Landeskriminalamt Sachsen-Anhalt ermittelt, zudem laufen datenschutzrechtliche Prüfverfahren mehrerer Landesdatenschutzbehörden gegen Ameos.

Die genaue Zahl der vom Datendiebstahl betroffenen Personen ist nicht dokumentiert, obwohl Ameos jährlich mehr als 500.000 Patienten behandelt. Ob es sich um Ransomware handelte und ob ein Erpressungsversuch stattfand, ist nicht eindeutig belegt.

Die dänische EU-Ratspräsidentschaft legte im Herbst 2025 einen Kompromissvorschlag zur Chatkontrolle-Verordnung vor, der die verpflichtende Chatkontrolle strich. Anstelle verpflichtender Aufdeckungsanordnungen sollen Dienste freiwillig Risikominderungsmaßnahmen ergreifen, einschließlich optionaler Chatkontrolle. Die bisher nur vorübergehende Ausnahme von der Kommunikationsvertraulichkeit soll dauerhaft festgeschrieben werden.

Ob der Vorschlag im Rat eine qualifizierte Mehrheit finden würde, war zum Berichtszeitpunkt offen. Wie sich der Vorschlag zu einem im Frühjahr 2025 gescheiterten polnischen Vorschlag verhält, ist nicht abschließend geklärt.

Telegram übermittelte 2022 erstmals Nutzerdaten an das Bundeskriminalamt und gab damit seine bisherige Verweigerungshaltung teilweise auf. Die übergebenen Daten betrafen ausschließlich Verdächtige aus den Bereichen Kindesmissbrauch und Terrorismus. Vorausgegangen waren seit Februar 2022 direkte Verhandlungen des Bundesinnenministeriums mit dem Team von Telegram-Gründer Pawel Durow.

Die genaue Anzahl der Fälle, in denen Telegram Daten übergab, ist nicht dokumentiert. Die rechtliche Grundlage der Herausgabe ist unklar, da Telegram als in den VAE ansässiges Unternehmen keiner unmittelbaren deutschen Rechtspflicht unterliegt.

Netzpolitik.org veröffentlichte am 13.12.2022 ein internes Positionspapier des Bundesinnenministeriums vom 22.11.2022 zur geplanten EU-Verordnung gegen Kindesmissbrauch im Netz. Das Papier hält am Client-Side-Scanning fest, bei dem Inhalte auf Endgeräten vor dem Versand durchsucht werden, während gleichzeitig durchgängige Ende-zu-Ende-Verschlüsselung gefordert wird, was IT-Sicherheitsexperten als technisch widersprüchlich bezeichnen.

Es handelt sich um ein Positionspapier des BMI, keine eigene öffentlich dokumentierte Stellungnahme des BKA. Die technische Vereinbarkeit von Client-Side-Scanning mit Ende-zu-Ende-Verschlüsselung gilt unter Kryptografieexperten als ungelöst.

Im Oktober 2025 wurde die Gemeindeverwaltung Untereisesheim im Landkreis Heilbronn Opfer eines Ransomware-Angriffs. Die Server wurden verschlüsselt, das Rathaus war neun Tage handlungsunfähig. Recherchen des SWR ergaben, dass anschließend sensible Bürgerdaten im Darknet auftauchten, darunter Ausweiskopien, Führungszeugnisse, Covid-19-Impflisten und psychiatrische Gutachten inklusive Medikation. Die Gemeinde zahlte kein Lösegeld und baute die IT-Infrastruktur neu auf.

Die genaue Zahl der betroffenen Bürger sowie die konkrete Ransomware-Variante und die verantwortliche Erpressergruppe sind nicht öffentlich dokumentiert. Der Infektionsweg bleibt unklar.

In der ersten Januarwoche 2024 wurde ein gemeinsamer IT-Dienstleister mehrerer deutscher Handwerkskammern Ziel eines Cyberangriffs. Betroffen waren mehr als 30 von bundesweit 53 Handwerkskammern, darunter Düsseldorf, Köln, Trier, Stuttgart und München. Wegen möglicher Gefahr eines Datenabflusses wurde der Landesbeauftragte für den Datenschutz Rheinland-Pfalz informiert.

Ob tatsächlich personenbezogene oder geschäftliche Daten abgeflossen sind, war zum Zeitpunkt der Berichterstattung nicht bestätigt. Die Identität der Angreifer ist nicht dokumentiert.

Das Bundesverwaltungsgericht wies am 07.11.2024 eine Klage von FragDenStaat-Journalist Arne Semsrott gegen den BND ab. Der Journalist wollte per Auskunftsanspruch erfahren, ob der BND die Spähsoftware Pegasus der NSO Group gekauft und eingesetzt hat. Das Gericht entschied, der BND dürfe diese Information verweigern, da eine Offenlegung die operative Handlungsfähigkeit beeinträchtigen könnte.

Das Urteil beweist nicht, ob der BND Pegasus tatsächlich gekauft oder eingesetzt hat, es entscheidet nur über die Auskunftspflicht. Kaufjahr und Einsatzhäufigkeit bleiben offen.