Quellen-Tabelle

Am 24.11.2014 wurde Sony Pictures gehackt, wobei tonnenweise vertrauliche Daten, Finanzzahlen, interne Kommunikation sowie hochauflösende Kopien kommender Sony-Filme öffentlich wurden. Eine Hackergruppe namens 'Guardians of Peace' bekannte sich zu dem Angriff und drohte mit Terroranschlägen auf Kinos, sollte der Nordkorea-Satirefilm 'The Interview' gezeigt werden. Das FBI beschuldigte am 19.12.2014 staatliche Stellen Nordkoreas als Urheber; mit zunehmendem zeitlichem Abstand verhärteten sich jedoch Zweifel an dieser damaligen Zuschreibung. Der Datenbruch offenbarte schwache Sicherheitspraktiken bei Sony, unter anderem waren einige Daten hinter dem Passwort 'sonypictures' hinterlegt. Durch die geleakten Informationen wurden massive Gagenunterschiede bei Sony-Produktionen bekannt, und Studiochefin Amy Pascal wurde durch unsensibel formulierte private E-Mails öffentlich bloßgestellt und musste das Studio in der Folge verlassen; der geplante breite Kinostart von 'The Interview' wurde abgesagt, was auch Kritik von US-Präsident Barack Obama einbrachte.

Die Urheberschaft Nordkoreas wird von der offiziellen FBI-Zuschreibung behauptet, ist aber laut späteren Analysen keineswegs zweifelsfrei belegt; beide Lesarten kursieren bis heute.

Am 22.06.2021 bot ein Nutzer namens 'TomLiner' im Hackerforum RaidForums Datensätze zu 700 Millionen LinkedIn-Profilen zum Verkauf an, rund 92 Prozent der damaligen LinkedIn-Nutzerbasis, darunter Namen, Geschlecht, E-Mail-Adressen, Berufsbezeichnungen und Branchenangaben. Der Verkäufer erklärte gegenüber der BBC, er habe mehrere Monate gebraucht, um die LinkedIn-API zu 'hacken', und verkaufte die Daten zunächst für rund 5.000 US-Dollar an mehrere Käufer, bevor er im September denselben Datensatz mit insgesamt 187 GB kostenlos zum Download veröffentlichte. LinkedIn erklärte, es handle sich nicht um ein echtes Datenleck, da keine privaten Nutzerdaten offengelegt worden seien; die eigene Untersuchung habe ergeben, dass alle Daten bereits öffentlich zugänglich gewesen und durch Scraping bzw. Zusammenführung von Informationen verschiedener Websites entstanden seien.

Ob 'nur öffentlich zugängliche Daten' und 'echter Datenbruch' hier eine sinnvolle Unterscheidung ist, wird kontrovers diskutiert: Für Betroffene ist die massenhafte Zusammenführung öffentlicher Einzeldaten zu durchsuchbaren Profilen praktisch mit den Folgen eines Datenlecks vergleichbar, auch wenn technisch kein Systemeinbruch stattfand.

Angreifer verschafften sich im Oktober 2016 Zugriff auf Daten von rund 57 Millionen Uber-Nutzern und -Fahrern weltweit, darunter rund 50 Millionen Namen, E-Mail-Adressen und Telefonnummern von Fahrgästen sowie Führerscheinnummern von etwa 600.000 Fahrern. Statt Behörden oder Betroffene zu informieren, zahlte Uber den Angreifern 100.000 US-Dollar, damit diese die gestohlenen Daten löschten, und verschwieg den Vorfall über ein Jahr lang, bis er im November 2017 öffentlich bekannt wurde. Uber-Sicherheitschef Joe Sullivan und ein weiterer Manager verloren daraufhin ihre Positionen; Sullivan wurde später von US-Behörden wegen Strafvereitelung und bewusstem Verschweigen einer Straftat im Zusammenhang mit dem Datenleck belangt und zu drei Jahren Bewährungsstrafe verurteilt.

Ob die Angreifer die gestohlenen Daten nach Erhalt des Schweigegelds tatsächlich vollständig löschten oder weiterhin im Umlauf behielten, ist aus dieser Quelle nicht belegt.

Im November/Dezember 2013 stahlen Cyberkriminelle bei der US-Einzelhandelskette Target rund 40 Millionen Kredit- und Debitkartennummern sowie zusätzlich persönliche Daten wie Namen, Adressen, Telefonnummern und E-Mail-Adressen von bis zu 70 Millionen Kunden; die Gesamtkosten des Vorfalls beliefen sich für Target auf 248 Millionen US-Dollar. Bei der Baumarktkette Home Depot entwendeten Angreifer zwischen April und September 2014 mithilfe eigens entwickelter Schadsoftware schätzungsweise 56 Millionen Debit- und Kreditkartennummern; die Angreifer verschafften sich Zugang über gestohlene Zugangsdaten eines Drittanbieters und installierten anschließend Malware auf den Kassensystemen in 2.200 Filialen. Die verwendete Methode (RAM-Scraping-Malware über gestohlene Drittanbieter-Zugangsdaten) ähnelte stark der beim Target-Hack eingesetzten Technik; Home Depot zahlte in der Folge 179 Millionen US-Dollar für Vergleiche.

Dass beide Angriffe eine sehr ähnliche technische Methode nutzten, deutet auf eine mögliche Verbindung oder Nachahmung hin; ein direkter Zusammenhang oder dieselben Täter werden in dieser Quelle jedoch nicht behauptet.

Nachdem bekannt wurde, dass bei einem Cyberangriff 2014 Daten aus über 500 Millionen Yahoo-Nutzerkonten gestohlen worden waren, darunter Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Passwörter, verlangte Verizon-CEO Lowell McAdam von Yahoo-Direktor Tom McInerney im Februar 2017 einen Preisnachlass von bis zu 925 Millionen US-Dollar für die geplante Übernahme. Am Ende einigten sich beide Seiten auf einen Abschlag von rund 350 Millionen US-Dollar; Verizon zahlte damit letztlich 4,48 Milliarden US-Dollar für Yahoos Kerngeschäft im Internet, statt der ursprünglich vereinbarten Summe.

Der Fall zeigt konkret in Zahlen, was ein Datenleck für den Unternehmenswert bedeuten kann; ob Yahoo-Aktionäre über die reine Kaufpreisminderung hinaus für den Vertrauensschaden entschädigt wurden, ist aus dieser Quelle nicht belegt.

Eine Studie des Open Markets Institute charakterisierte Amazon als 'vor allem eine Überwachungsfirma' und deckte eine umfassende Überwachungskultur mit 'Kontrolle, Erniedrigung und unablässiger Angst' der Beschäftigten auf. Ehemalige Mitarbeiter berichteten von sogenannten 'Release Days', an denen mehrere befristete Beschäftigte gekündigt werden, wobei die Entscheidung auf den Ergebnissen eines internen Computersystems beruht; Mitarbeiter können jederzeit entlassen werden, wenn sie von Messwerten abweichen, deren Existenz ihnen nicht einmal bekannt ist. Die intensive Überwachung dient laut Studie nicht nur der Leistungskontrolle, sondern auch dazu, gewerkschaftliche Organisierung der Beschäftigten zu erschweren. Die Studienautoren fordern ein Verbot derart invasiver Überwachung und eine stärkere gesetzliche Unterstützung der Gewerkschaftsbildung durch den US-Kongress.

Konkrete Beispiele für die genauen, den Beschäftigten unbekannten Messwerte, die zur automatisierten Kündigung führen, nennt die Quelle nicht im Detail.

Zwischen Juni und September 2018 leiteten Angreifer den Nutzerverkehr der British-Airways-Website auf eine betrügerische Seite um und griffen dabei personenbezogene Daten von Kunden ab, darunter Namen, E-Mail-Adressen und Kreditkarteninformationen samt CVV-Sicherheitscodes. British Airways meldete das Datenleck am 06.09.2018, gab zunächst aber nur rund 380.000 betroffene Kunden an; die Untersuchung der britischen Datenschutzbehörde ICO ergab später, dass deutlich mehr Kunden betroffen waren, rund 500.000, und dass zahlreiche Sicherheitsvorkehrungen in den IT-Systemen von British Airways unzureichend waren und nicht den DSGVO-Anforderungen entsprachen. Die ICO kündigte daraufhin eine Rekordstrafe von umgerechnet rund 204 Millionen Euro (183 Millionen Pfund) an, die erste von der ICO unter der DSGVO ausgesprochene Geldbuße überhaupt.

Die tatsächlich final gezahlte Bußgeldsumme kann von der ursprünglich angekündigten Höhe abweichen, wenn im weiteren Verfahren Einwände oder Reduzierungen erfolgten; dies ist aus dieser Quelle nicht belegt.

Die irische Datenschutzbehörde (DPC) verhängte nach einer verbindlichen Streitbeilegungsentscheidung des Europäischen Datenschutzausschusses (EDPB) gegen Meta Platforms Ireland Limited ein Bußgeld von 1,2 Milliarden Euro, das bis dahin höchste jemals auf Basis der DSGVO verhängte Bußgeld. Grund war die unrechtmäßige Übermittlung von Nutzerdaten europäischer Facebook-Nutzer an Empfänger in den USA, die laut Behörde nicht ausreichend vor dem Zugriff durch US-Sicherheitsbehörden geschützt waren und damit Risiken für Grundrechte und -freiheiten der Betroffenen darstellten. Bei der Bußgeldbemessung wurde unter anderem die enorme Anzahl der tatsächlich erfolgten Datenübermittlungen in die USA zugrunde gelegt. Die Behörde untersagte Meta zusätzlich die weitere Datenübertragung in die USA auf der bisherigen Rechtsgrundlage.

Ob und wie Meta die Datenübermittlung nach dem Verbot tatsächlich vollständig einstellte oder über eine neue Rechtsgrundlage (etwa das spätere EU-US Data Privacy Framework) fortsetzte, ist aus dieser Quelle nicht belegt.

2019 bestätigte die US-Bank Capital One den unbefugten Zugriff auf Kundendaten, darunter Zahlungshistorie, Kontaktdaten, Kreditscores, über 100.000 Sozialversicherungsnummern und knapp 80.000 verknüpfte Bankkontonummern. Die ehemalige AWS-Ingenieurin Paige Thompson, alias 'erratic', nutzte eine fehlkonfigurierte Web Application Firewall in Capital Ones AWS-Cloud-Umgebung mittels Server-Side Request Forgery aus, um Zugangsdaten zu erlangen und Daten aus S3-Speichern mit 106 Millionen Kreditkarten-Antragsdatensätzen herunterzuladen. Thompson hatte während ihrer früheren Anstellung bei Amazon ein Tool entwickelt, mit dem sie AWS-Cloud-Konten auf Fehlkonfigurationen scannen und darüber bei mehr als 30 Organisationen, darunter Capital One, Daten abgreifen konnte. Eine Jury in Seattle sprach Thompson wegen Überweisungsbetrugs und unbefugten Zugriffs auf geschützte Computer schuldig. Capital One wurde mit 80 Millionen US-Dollar Bußgeld belegt und zahlte zusätzlich 190 Millionen US-Dollar zur Beilegung von Kundenklagen.

Ob Amazon selbst für die zugrunde liegende AWS-Sicherheitsarchitektur mitverantwortlich gemacht wurde, ist aus dieser Quelle nicht belegt; die strafrechtliche Verantwortung wurde ausschließlich Thompson als Einzeltäterin zugeschrieben.

Die mit China verbundene Hackergruppe Salt Typhoon verschaffte sich seit mindestens 2019, mit dokumentierter Aktivität ab 2022, dauerhaften Zugang zu US-Telekommunikationsnetzen, indem sie Router und Switches großer Anbieter wie AT&T, Verizon und Lumen kompromittierte. Die Angreifer drangen dabei auch in Systeme ein, die Strafverfolgungsbehörden für die gerichtlich angeordnete Erfassung von Kundendaten nutzen, und erlangten dadurch potenziell Zugriff auf sensible Informationen wie die Identität chinesischer Zielpersonen US-amerikanischer Überwachungsmaßnahmen sowie allgemeine Anruf- und SMS-Metadaten von über einer Million Amerikanern. Zwischen Dezember 2024 und Januar 2025 führte die Gruppe eine Kampagne gegen ungepatchte Cisco-Edge-Geräte durch und versuchte, über 1.000 solcher Geräte weltweit zu kompromittieren, unter Ausnutzung der Schwachstellen CVE-2023-20198 und CVE-2023-20273. Trotz US-Sanktionen kompromittierte die Gruppe 2025 fünf weitere Telekommunikationsanbieter weltweit, darunter zwei in den USA.

Die genaue Zahl der tatsächlich erfolgreich mitgelesenen Überwachungsziele (nicht nur Metadaten) ist aus dieser Quelle nicht beziffert.

Der Marktführer für Identitätsmanagement Okta gab am 21.10.2023 einen Sicherheitsvorfall in seinem Kundensupportsystem bekannt. Ein Angreifer verschaffte sich mit gestohlenen Zugangsdaten Zugriff auf das Support-Case-Management-System von Okta; das Sicherheitsteam von BeyondTrust hatte bereits am 02.10.2023 einen Einbruchsversuch in ein internes Okta-Administratorkonto entdeckt und blockiert, bei dem ein aus dem Okta-Support-System gestohlenes Cookie verwendet wurde. Der Angreifer lud einen Bericht mit Details aller Nutzer des Okta-Kundensupportsystems herunter; am häufigsten entwendet wurden vollständige Namen und E-Mail-Adressen, in selteneren Fällen auch Telefonnummern, Benutzernamen und Positionsangaben. Die Support-Dateien enthielten zusätzlich Kunden-Cookies und Session-Tokens, über die Angreifer potenziell auf Kundenkonten zugreifen konnten. Zu den betroffenen Kunden gehörten unter anderem die Sicherheitsfirmen BeyondTrust und Cloudflare.

Da Okta zentrale Authentifizierungsdienste für zahlreiche andere Unternehmen bereitstellt, ist das Ausmaß der Folgeschäden bei Kunden, die die gestohlenen Session-Tokens tatsächlich zur weiteren Kompromittierung nutzten, aus dieser Quelle nicht vollständig beziffert.

Ab dem 29.04.2023 über rund fünf Monate hinweg testete ein Angreifer bei 23andMe systematisch Kombinationen aus Nutzernamen und Passwörtern, die zuvor bei anderen Datenlecks erbeutet worden waren (Credential Stuffing), gegen die Login-Seite von 23andMe, da viele Menschen dieselben Passwörter auf mehreren Diensten wiederverwenden. Direkt kompromittiert wurden dadurch rund 14.000 Konten, weniger als 0,1 Prozent der etwa 14 Millionen 23andMe-Kunden. Weil 23andMe jedoch die Opt-in-Funktion 'DNA Relatives' anbietet, über die Nutzer Profilinformationen mit genetisch verwandten Nutzern teilen, konnte der Angreifer über die miteinander verknüpften Profile und Stammbaum-Tools von den 14.000 direkt kompromittierten Konten aus auf Daten von insgesamt 6,9 Millionen Menschen zugreifen, die 23andMe im Oktober 2023 entsprechend benachrichtigte.

Der Fall zeigt exemplarisch, wie eine relativ kleine Zahl kompromittierter Konten (0,1 Prozent) durch eine Datenverknüpfungsfunktion einen weit größeren Personenkreis betreffen kann; die genaue Art der bei den 6,9 Millionen Betroffenen tatsächlich offengelegten Datenfelder wird in dieser Quelle nicht vollständig differenziert.

Im Herbst 2022 führte Twitter unter der neuen Führung von Elon Musk rasche Kündigungen und Massenentlassungen durch, die erheblich die Teams betrafen, die für den Schutz von Nutzerdaten zuständig waren; zentrale Datenschutz- und Sicherheitsverantwortliche verließen das Unternehmen, darunter der Chief Privacy Officer, der Chief Information Officer und der Chief Compliance Officer. 2022 wies Musk Mitarbeiter an, einer externen dritten Person 'vollständigen Zugriff auf alles bei Twitter' mit erweiterten Rechten über die eines durchschnittlichen Mitarbeiters hinaus zu gewähren; Informationssicherheits-Mitarbeiter griffen ein und implementierten Schutzmaßnahmen, um eine mögliche Offenlegung nicht-öffentlicher Nutzerdaten unter Verstoß gegen eine bestehende FTC-Anordnung zu verhindern. Die Federal Trade Commission untersuchte Musks Massenentlassungen bei Twitter und verlangte Einsicht in seine interne Kommunikation im Rahmen ihrer Aufsicht über die Datenschutz- und Cybersicherheitspraktiken des Unternehmens; das US-Justizministerium erklärte, Musk könne gegen eine 2022 verhängte FTC-Anordnung zu Datenschutz- und Sicherheitspraktiken bei Twitter verstoßen haben.

Der Ausgang der FTC-Untersuchung gegen Musk und Twitter/X ist aus dieser Quelle nicht belegt.

Am 18.09.2022 leakte ein britischer Teenager namens Arion Kurtaj, damals noch minderjährig, rund 90 Dateien mit Gameplay-Material des noch unangekündigten 'Grand Theft Auto VI' im Forum GTAForums, nachdem er sich über einen internen Slack-Chat Zugang zum Entwicklerstudio Rockstar Games verschafft hatte, einer der größten Datenlecks in der Geschichte der Videospielbranche. Der Leak bestätigte vorzeitig Vice City als Schauplatz sowie eine weibliche Hauptfigur und zwei spielbare Charaktere. Kurtaj war Mitglied der Hackergruppe Lapsus$, die zuvor auch Nvidia und Samsung angriff, und wurde später gefasst und zu einer lebenslangen Unterbringung in einer psychiatrischen Klinik verurteilt. Rockstar Games bezifferte den durch den Vorfall verursachten Schaden auf 5 Millionen US-Dollar sowie tausende Arbeitsstunden für die Aufarbeitung.

Die genaue technische Schwachstelle, über die Kurtaj Zugang zum internen Slack-Kanal erlangte, ist aus dieser Quelle nicht im Detail beschrieben.

Im September 2023 griff die Hackergruppe Scattered Spider (UNC3944) sowohl Caesars Entertainment (07.09.2023, Social-Engineering-Angriff auf einen IT-Drittanbieter) als auch MGM Resorts International (11.09.2023) an, Teil einer Angriffswelle gegen schätzungsweise 100 Organisationen. Die Angreifer identifizierten über LinkedIn einen MGM-Mitarbeiter, gaben sich als diese Person aus und riefen in einem zehnminütigen Telefonat beim IT-Helpdesk von MGM an, um sich Zugang zu dessen Konto zu verschaffen; dadurch erlangten sie Administratorrechte in MGMs Okta-Umgebung und nutzten schwache Mehr-Faktor-Authentifizierung aus, um die Kontrolle über den Azure-Active-Directory-Domänencontroller zu übernehmen. Am 14.09.2023 gaben die Angreifer an, 6 Terabyte Daten von beiden Unternehmen exfiltriert und anschließend BlackCat/ALPHV-Ransomware eingesetzt zu haben, was Online-Reservierungssysteme, digitale Zimmerschlüssel, Spielautomaten und Websites lahmlegte. Caesars zahlte Berichten zufolge 15 Millionen US-Dollar Lösegeld, während MGM sich stattdessen für eine Zusammenarbeit mit Strafverfolgungsbehörden entschied; der Vorfall dauerte bei MGM rund zehn Tage und verursachte für das dritte Quartal 2023 einen geschätzten Verlust von 100 Millionen US-Dollar.

Ob Caesars' Lösegeldzahlung MGM als weiteres Ziel derselben Angreifer erst attraktiv machte, wird in manchen Analysen vermutet, ist aus dieser Quelle aber nicht als gesicherter Kausalzusammenhang belegt.

Nachdem Change Healthcare Berichten zufolge 22 Millionen US-Dollar Lösegeld an die Ransomware-Gruppe ALPHV/BlackCat gezahlt hatte, um nach dem am 21.02.2024 bekanntgewordenen Angriff wieder Zugriff auf seine Systeme zu erhalten, meldete sich am 08.04.2024 eine zweite Gruppe namens RansomHub und behauptete, im Besitz derselben bereits erpressten Daten zu sein. RansomHub gab an, über 4 Terabyte sensibler Daten aus dem Netzwerk des Unternehmens erbeutet zu haben, darunter personenbezogene Daten aktiver US-Militärangehöriger und anderer Patienten, medizinische Unterlagen, Versicherungsdaten, Zahlungsinformationen sowie über 3.000 Quellcode-Dateien von Change-Healthcare-Software, und drohte mit Veröffentlichung, sollte keine weitere Zahlung erfolgen. Es kursieren drei Theorien zur Identität von RansomHub: ein Rebranding von ALPHV mit tatsächlichem Zugriff auf die Daten, ein ehemaliges ALPHV-Mitglied mit Zugriff, oder ein bluffender Akteur ohne echten Datenzugriff.

Welche der drei Theorien zur Identität von RansomHub zutrifft und ob eine zweite Zahlung tatsächlich erfolgte, ist aus dieser Quelle nicht abschließend geklärt.

Am 12.05.2017 legte die Ransomware WannaCry den britischen Gesundheitsdienst NHS für mehrere Tage lahm und betraf Krankenhäuser und Arztpraxen in ganz England und Schottland, wodurch tausende Termine und Operationen abgesagt werden mussten; über 80 Krankenhäuser waren direkt betroffen. Weltweit infizierte WannaCry an einem einzigen Tag rund 230.000 Computer, insgesamt über 200.000 Systeme in 150 Ländern, mit geschätzten Gesamtschäden von rund 4 Milliarden US-Dollar. WannaCry zielte nicht gezielt auf den NHS, doch veraltete Sicherheitsmaßnahmen begünstigten die Ausbreitung: Viele Computer britischer Krankenhäuser liefen auf ungepatchten Windows-7-Versionen. Die Schadsoftware nutzte die SMBv1-Sicherheitslücke in Windows aus, um Dateien zu verschlüsseln und Bitcoin-Lösegeld zu fordern. NHS England und die National Crime Agency bestätigten, dass keine NHS-Organisation Lösegeld zahlte; der Sicherheitsforscher Marcus Hutchins entdeckte rund sieben Stunden nach Beginn des Angriffs einen im Code eingebauten Kill-Switch und registrierte die zugehörige Domain, wodurch die weitere Ausbreitung gestoppt wurde.

Der Kill-Switch stoppte die weitere Ausbreitung, konnte aber bereits verschlüsselte Systeme nicht wiederherstellen; wie viele der betroffenen NHS-Systeme letztlich ohne Lösegeldzahlung wiederhergestellt wurden, ist aus dieser Quelle nicht beziffert.

Am 27.06.2017 kompromittierten staatlich gelenkte Akteure des russischen Militärgeheimdienstes GRU ein Update der ukrainischen Steuersoftware M.E.Doc mit der als Ransomware getarnten, tatsächlich datenzerstörenden Schadsoftware NotPetya, um die Ukraine zu treffen. Über die Windows-Schwachstelle EternalBlue verbreitete sich die Malware jedoch unkontrolliert lateral über verbundene Netzwerke weltweit und verursachte geschätzte Gesamtschäden von über 10 Milliarden US-Dollar. Die Reederei Maersk erlitt einen kompletter IT-Ausfall über mehrere Kontinente, der den Hafenbetrieb störte, mit finanziellen Verlusten zwischen 200 und 300 Millionen US-Dollar. Der Pharmakonzern Merck schätzte seinen Schaden auf 870 Millionen US-Dollar, einen der teuersten Cyberangriffe auf ein einzelnes Unternehmen in der Geschichte; die Produktion mehrerer Medikamente, darunter der HPV-Impfstoff Gardasil 9, wurde unterbrochen, sodass Merck Impfdosen aus dem Vorrat der US-Gesundheitsbehörde CDC entleihen musste. Weitere weltweit betroffene Unternehmen waren FedEx, der Lebensmittelkonzern Mondelez und der Baukonzern Saint-Gobain.

NotPetya war primär gegen ukrainische Ziele gerichtet; die massiven Kollateralschäden bei internationalen Konzernen waren laut Analysen eine unbeabsichtigte Folge der unkontrollierten Ausbreitungsmechanik, kein ursprüngliches Angriffsziel.

Ab Anfang 2015, entdeckt im Mai 2015, wurden bei einem Hackerangriff auf das IT-System des Deutschen Bundestags rund 16 Gigabyte Daten entwendet, darunter zahlreiche E-Mails von Abgeordneten. Die Angreifer nutzten eine Phishing-E-Mail mit dem Betreff 'Ukraine conflict with Russia leaves economy in ruins' und einer gefälschten Absenderadresse mit der Endung '@un.org', um einen vermeintlichen UN-Bericht vorzutäuschen; darüber installierte Schadsoftware ermöglichte den Angreifern, Passwörter abzugreifen, Administratorkonten zu übernehmen und weitere Daten zu stehlen. Die entdeckte IP-Adresse lieferte den stärksten Hinweis auf die mutmaßlichen Täter, die Hackergruppe 'Sofacy', auch bekannt als 'Fancy Bear', 'APT28' oder 'Operation Pawn Storm'. Die Bundesregierung ordnete den Angriff einer vom russischen Staat gelenkten Operation zu; im Mai 2020 erließ die Bundesanwaltschaft Haftbefehl gegen den russischen Staatsbürger Dmitri Badin, der als APT28-Mitglied gilt.

Ob Badin jemals tatsächlich gefasst und vor ein deutsches Gericht gestellt wurde, ist aus dieser Quelle nicht belegt; ein Haftbefehl bedeutet keine erfolgte Festnahme.

Im Dezember 2020 wurde bekannt, dass Angreifer eine manipulierte Software-Aktualisierung der IT-Management-Software Orion des Herstellers SolarWinds als Einfallstor nutzten, um in Netzwerke tausender US-Unternehmen und wichtiger Regierungsbehörden einzudringen. Mehr als 18.000 SolarWinds-Kunden installierten die kompromittierten Updates; das eigentliche Zielobjekt der Angreifer umfasste laut Weißem Haus jedoch nur rund 100 Unternehmen und mindestens neun US-Bundesbehörden, die gezielt weiter kompromittiert wurden. US-Behörden ordneten den Angriff im Januar öffentlich der russischen Cyberspionage-Gruppe APT29 ('Cozy Bear') zu, nach Berichten mit Verbindungen zum russischen Auslandsgeheimdienst SWR. Als Reaktion schnitt die Biden-Regierung Russlands Staatsanleihenmarkt vom US-Bankensystem ab und leiteten US-Geheimdienste eine umfassende Überprüfung von Lieferkettenrisiken durch russische Software ein.

Welche konkreten Daten aus den neun betroffenen US-Bundesbehörden tatsächlich abflossen, ist aus dieser Quelle nicht im Detail beziffert.

Mitte Dezember 2021 wurde in der weit verbreiteten Java-Bibliothek Log4j die kritische Schwachstelle CVE-2021-44228 ('Log4Shell') entdeckt, auf der CVSS-Skala mit dem Höchstwert 10 eingestuft. Da Systemadministratoren und Entwickler weltweit die Bibliothek wegen ihrer Funktionalität in Rechenzentren, Unternehmensservern, Netzwerktechnik und Systemkomponenten einsetzen, waren potenziell mehrere Milliarden Computersysteme weltweit verwundbar. Besonders gefährlich machte die Lücke, dass keine speziellen Berechtigungen zur Ausnutzung nötig waren: Angreifer konnten Schadcode bereits über einfache Eingabefelder wie Chatboxen oder Login-Formulare einschleusen. Das BSI stufte die Bedrohungslage auf Warnstufe Rot ein; internationale Beobachtungen zeigten aktive Ausnutzung mit den USA, Großbritannien, Deutschland, der Türkei und den Niederlanden als am häufigsten angegriffenen Regionen.

Eine belastbare Gesamtzahl tatsächlich erfolgreich kompromittierter Systeme (im Unterschied zu theoretisch verwundbaren) ist aus dieser Quelle nicht beziffert.

Am 03.03.2021 veröffentlichte Microsoft ein Notfall-Sicherheitsupdate, das vier Schwachstellen in Microsoft Exchange Server (Versionen 2010 bis 2019) schloss, darunter die Server-Side-Request-Forgery-Lücke CVE-2021-26855, über die Angreifer beliebige HTTP-Anfragen senden und sich als Exchange-Server authentifizieren konnten. Microsoft schrieb die Angriffe einer mutmaßlich staatlich gelenkten, aus China operierenden Gruppe namens 'Hafnium' zu. Nach der Veröffentlichung folgte eine beispiellose weltweite Angriffswelle gegen ungepatchte Exchange-Instanzen; das BSI rief daraufhin die IT-Bedrohungsstufe 4 (Rot) aus, erst das zweite Mal in seiner Geschichte. Das BSI schätzte, dass allein in Deutschland zehntausende Exchange-Server betroffen waren, von denen viele nach eigener Einschätzung 'sehr wahrscheinlich bereits mit Schadsoftware infiziert' waren, und kontaktierte die Geschäftsführung von über 9.000 deutschen Unternehmen direkt.

Wie viele der von der BSI direkt kontaktierten 9.000 Unternehmen tatsächlich bereits kompromittiert waren im Unterschied zu nur potenziell gefährdeten, ist aus dieser Quelle nicht differenziert.

Am 02.07.2021 verbreitete die Ransomware-Gruppe REvil über ein gefälschtes Software-Update der Fernwartungssoftware Kaseya VSA Schadsoftware an die IT-Dienstleister (Managed Service Provider), die Kaseya nutzten, und von dort weiter an deren nachgelagerte Kunden. Kaseya meldete am 05.07.2021, der Angriff habe weniger als 60 direkte Kunden betroffen, jedoch bis zu 1.500 von deren Kunden betreute Unternehmen in 17 Ländern, darunter die schwedische Supermarktkette Coop, die 800 Filialen schließen musste, weil deren Kassensysteme über einen Kaseya-nutzenden IT-Dienstleister verwaltet wurden. Die Angreifer nutzten eine bekannte Schwachstelle in Kaseya VSA aus, während der Hersteller noch an einem Patch arbeitete. Kaseya veröffentlichte am 11.07.2021 Sicherheitsupdates und erhielt am 21.07.2021 einen universellen Entschlüsselungsschlüssel.

Auf welchem Weg Kaseya den universellen Entschlüsselungsschlüssel erhielt (Zahlung, Behördenoperation gegen REvil oder anderer Weg) ist aus dieser Quelle nicht belegt.

Am 30.05.2021 wurde ein Ransomware-Angriff auf den weltgrößten Fleischverarbeiter JBS Foods entdeckt, der Server der nordamerikanischen und australischen IT-Systeme des Konzerns betraf und zur zeitweisen Stilllegung von fünf der größten US-Fleischfabriken führte. Die US-Tochter von JBS zahlte den Erpressern 11 Millionen US-Dollar in Bitcoin, nachdem diese ursprünglich 22,5 Millionen Dollar gefordert hatten. Das FBI identifizierte die russische Cyberkriminalitätsgruppe REvil, dieselbe Gruppe, die kurz darauf auch den Kaseya-Angriff verübte, als Verantwortliche. JBS USA begründete die Zahlung mit einer Abwägung in Absprache mit internen und externen IT-Sicherheitsexperten, um mögliche Risiken für Kunden zu verhindern und unvorhersehbare Folgeprobleme des Angriffs zu vermeiden.

Ob und wie die gezahlten 11 Millionen US-Dollar später ganz oder teilweise durch Behörden zurückerlangt wurden, ist aus dieser Quelle nicht belegt.

Im Oktober 2015 wurden bei einem Hack des britischen Telekommunikationsanbieters TalkTalk personenbezogene Daten von rund 157.000 Kunden gestohlen, darunter Bankkontonummern, Bankleitzahlen und Geburtsdaten; TalkTalk bezifferte den Gesamtschaden auf 60 Millionen Pfund. Ein 17-jähriger Jugendlicher bekannte sich vor dem Norwich Youth Court in sieben Anklagepunkten nach dem britischen Computer Misuse Act schuldig, zwei davon im Zusammenhang mit dem TalkTalk-Datenleck; er erklärte gegenüber den Richtern, er habe nicht an die Konsequenzen gedacht und lediglich vor Freunden angeben wollen. Der Jugendliche erhielt eine Bewährungsauflage und musste sein iPhone abgeben; das Gericht signalisierte, ihn trotz weiterer notwendiger Berichte von einer Haftstrafe verschonen zu wollen. Er hatte zuvor auch die Websites der Universitätsbibliotheken von Manchester und Cambridge angegriffen. Ein weiterer, älterer Beteiligter, Daniel Kelley, wurde später zu vier Jahren Haft verurteilt.

Die stark unterschiedlichen Strafmaße (Bewährung für den 17-Jährigen gegenüber vierjähriger Haft für Daniel Kelley) verdeutlichen, wie das Alter des Täters bei vergleichbaren Straftaten die Sanktion beeinflusst, ohne dass die Quelle den unterschiedlichen Tatbeitrag beider im Detail vergleicht.