Quellen-Tabelle

Am 05.06.2013 veröffentlichte The Guardian einen geheimen Gerichtsbeschluss des Foreign Intelligence Surveillance Court, erlassen am 25.04.2013 von Richter Roger Vinson, der Verizon Business Network Services zur täglichen elektronischen Übermittlung sämtlicher Anrufmetadaten an die NSA verpflichtete. Erfasst wurden Rufnummern, Anschlusskennungen, Standortdaten sowie Zeitpunkt und Dauer der Gespräche, jedoch nicht die Gesprächsinhalte selbst. Die Anordnung betraf sowohl Inlandsgespräche als auch Verbindungen zwischen den USA und dem Ausland und galt für drei Monate bis zum 19.07.2013. Rechtsgrundlage war Section 215 des USA PATRIOT Act. Quelle des Dokuments war der ehemalige NSA-Vertragsmitarbeiter Edward Snowden. Der Verizon-Beschluss war das erste von zahlreichen geheimen Dokumenten, die Snowden dem Journalisten Glenn Greenwald zuspielte und die in den folgenden Wochen das Ausmaß globaler NSA-Überwachungsprogramme wie PRISM offenlegten. Der Gerichtsbeschluss selbst trug den Vermerk, dass er bis zum Jahr 2038 geheim gehalten werden sollte.

Aus dem veröffentlichten Gerichtsbeschluss allein geht nicht hervor, wie viele Kunden oder Anrufe konkret erfasst wurden und in welchem Umfang die NSA die Daten praktisch auswertete.

Am 08.06.2013 veröffentlichte The Guardian auf Basis von durch Edward Snowden geleakten Dokumenten Berichte über das interne NSA-Tool Boundless Informant, ein Big-Data-Analyse- und Visualisierungswerkzeug, mit dem die NSA weltweit gesammelte Metadaten aus Telefon- und Internetverkehr länderweise kartiert und quantifiziert. Laut den Dokumenten sammelte die NSA in einem 30-Tage-Zeitraum bis März 2013 weltweit rund 97 Milliarden Internet-Datensätze und 125 Milliarden Telefon-Metadatensätze. Die meisten Datensätze im März 2013 stammten aus dem Iran mit über 14 Milliarden, gefolgt von Pakistan mit 13,5 Milliarden und Jordanien mit 12,7 Milliarden. Aus den USA selbst wurden im gleichen Zeitraum fast 3 Milliarden Datensätze erfasst. Für Deutschland wiesen die Unterlagen rund 552 Millionen erfasste Telefon- und Internet-Metadatensätze im Zeitraum vom 10.12.2012 bis 08.01.2013 aus. NSA-Direktor Keith Alexander bezeichnete daraus abgeleitete Vorwürfe einer Massenüberwachung eigener Bürger als völlig falsch.

Aus dieser Quelle nicht abschließend belegt ist, ob und in welchem Umfang die als deutsche Metadaten interpretierten 552 Millionen Datensätze tatsächlich innerdeutsche Kommunikation betrafen oder auf gemeinsamer Erhebung mit dem BND beruhten.

Am 19.09.2018 gab John Hancock Insurance, ein US-Lebensversicherer im Besitz des kanadischen Mutterkonzerns Manulife Financial, bekannt, dass ab sofort alle neuen Lebensversicherungspolicen in den USA automatisch und ohne Aufpreis das Vitality-Programm enthalten. Vitality ist eine gemeinsam mit der Vitality Group entwickelte Verhaltensplattform, die Bewegungs-, Ernährungs- und Achtsamkeitsdaten von Kunden erfasst. Kunden können die Daten in der kostenlosen Basisstufe Vitality GO per App eintragen oder in der Zusatzstufe Vitality PLUS für 2 US-Dollar im Monat einen Fitbit-Tracker kostenlos erhalten oder eine Apple Watch Series 3 GPS für 25 US-Dollar plus Steuer erwerben. Wer die übertragenen Bewegungsdaten und Fitnessziele erreicht, erhält Prämienrabatte von bis zu 15 Prozent auf die jährliche Versicherungsprämie sowie Einkaufsgutscheine bei Einzelhändlern. Das Unternehmen bezeichnete sich als ersten US-Lebensversicherer, der ein verhaltensbasiertes Wellness-Modell flächendeckend in alle Policen integriert. Zur Begründung verwies John Hancock auf weltweite Vitality-Daten, wonach Programmteilnehmer 13 bis 21 Jahre länger leben und 30 Prozent geringere Krankenhauskosten verursachen als traditionell Versicherte. Bereits seit 2015 hatte John Hancock eine interaktive Police mit Fitness-Tracking angeboten, ab September 2018 wurde dieses Modell zum Standard für das gesamte Neugeschäft.

Aus der unternehmenseigenen Pressemitteilung geht nicht hervor, wie die erhobenen Bewegungs- und Gesundheitsdaten technisch verarbeitet und mit Dritten geteilt werden, und es bleibt offen, wie viele Bestandskunden ihre älteren Policen freiwillig auf Vitality umgestellt haben.

Der Sicherheitsforscher Moxie Marlinspike gründete 2010 gemeinsam mit dem Robotik-Ingenieur Stuart Anderson die Firma Whisper Systems, die mit TextSecure und RedPhone verschlüsselte Kurznachrichten und Telefonate für Mobiltelefone entwickelte. Twitter übernahm Whisper Systems im November 2011 und veröffentlichte beide Anwendungen anschließend als Open-Source-Software. Am 21.01.2013 gründete Marlinspike die Organisation Open Whisper Systems, um die Weiterentwicklung von TextSecure und RedPhone fortzuführen. Ab 2013 entwickelten Trevor Perrin und Moxie Marlinspike gemeinsam ein neues kryptografisches Verfahren, das zunächst als Axolotl Ratchet bezeichnet wurde. Am 24.02.2014 veröffentlichte Open Whisper Systems TextSecure Version 2, die erstmals den Axolotl Ratchet einsetzte. Im Juli 2014 erschien mit Signal für iOS eine erste eigenständige App für verschlüsselte Telefonate. Am 02.11.2015 verschmolzen TextSecure und RedPhone auf Android zur einheitlichen App Signal. Im März 2016 benannte Open Whisper Systems das Verfahren offiziell in Signal Protokoll um. Forscher der Ruhr-Universität Bochum bestätigten im Oktober 2014 in einer unabhängigen Sicherheitsanalyse die grundsätzliche Sicherheit von TextSecure Version 3. WhatsApp integrierte das Signal Protokoll ab November 2014 und schloss die durchgängige Verschlüsselung für alle Nutzer am 05.04.2016 ab.

Aus dieser Quelle nicht belegt sind exakte Nutzerzahlen von TextSecure und Signal zum jeweiligen Zeitpunkt sowie Details zu internen Entscheidungsprozessen bei Open Whisper Systems.

Das Konzept des Onion Routing wurde ab 1995 von den Forschern Paul Syverson, Michael Reed und David Goldschlag am US Naval Research Laboratory (NRL) in Washington D.C. entwickelt, zunächst finanziert vom Office of Naval Research und ab 1997 zusätzlich von der Forschungsagentur DARPA. Ziel war der Schutz der Kommunikation von US-Geheimdienstmitarbeitern und Militärpersonal vor Verkehrsanalyse im Internet. In den frühen 2000er Jahren stießen die MIT-Absolventen Roger Dingledine und Nick Mathewson zum NRL-Projekt hinzu und entwickelten den Code zum heutigen Tor-Netzwerk weiter. Am 20.09.2002 wurde eine erste Alpha-Version veröffentlicht, im Oktober 2002 erfolgte das initiale Deployment mit Freigabe des Quellcodes unter einer freien Open-Source-Lizenz. Ende 2003 bestand das Netzwerk aus rund einem Dutzend freiwillig betriebenen Relay-Knoten. Ende 2004 reduzierte die US-Navy den Großteil ihrer Tor-Finanzierung, woraufhin die Electronic Frontier Foundation Dingledine und Mathewson von November 2004 bis Oktober 2005 mit 180.000 US-Dollar finanzierte. Im Jahr 2006 wurde The Tor Project Inc. als eigenständige gemeinnützige Organisation in den USA gegründet.

Aus dieser Quelle nicht im Detail belegt sind die genauen internen Gründe der US-Navy für die Kürzung der Finanzierung Ende 2004 sowie das exakte Ausmaß einer bis heute fortbestehenden indirekten Finanzierung von Tor durch US-Regierungsstellen.

Der US-amerikanische Programmierer Philip R. Zimmermann veröffentlichte am 05.06.1991 die Verschlüsselungssoftware PGP (Pretty Good Privacy) kostenlos im Usenet, von wo sie sich weltweit über das Internet verbreitete. Da starke Kryptografie in den USA damals nach dem Arms Export Control Act als Rüstungsgut auf der United States Munitions List galt, leitete der U.S. Customs Service im Februar 1993 strafrechtliche Ermittlungen gegen Zimmermann ein. Eine Grand Jury im Bezirk Nordkalifornien prüfte, ob die weltweite Verfügbarkeit von PGP über das Internet einen nicht genehmigten Waffenexport darstellte. Bei einer Verurteilung drohten Zimmermann bis zu fünf Jahre Haft sowie Geldstrafen von bis zu einer Million US-Dollar. Die Ermittlungen dauerten rund drei Jahre und führten nie zu einer Anklage. Am 11.01.1996 teilte Assistant U.S. Attorney William Keane mit, dass die Staatsanwaltschaft auf eine strafrechtliche Verfolgung verzichte. Zimmermann veröffentlichte diese Mitteilung am 12.01.1996 auf seiner Webseite. Die Behörden gaben keine öffentliche Begründung für die Einstellung der Ermittlungen ab. Der Fall gilt als eines der zentralen Ereignisse der sogenannten Kryptokriege der 1990er Jahre in den USA.

Aus dieser Quelle nicht belegt sind die internen Erwägungen der Staatsanwaltschaft für die Einstellung des Verfahrens sowie ob parallel auch gegen andere an der Verbreitung von PGP beteiligte Personen ermittelt wurde.

Am 11.02.2020 veröffentlichten die Washington Post, das ZDF und das Schweizer Fernsehen SRF gemeinsame Recherchen zur sogenannten Operation Rubikon. Demnach kauften der US-Geheimdienst CIA und der deutsche Bundesnachrichtendienst (BND) 1970 gemeinsam für 8,5 Millionen US-Dollar die Schweizer Verschlüsselungsfirma Crypto AG und kontrollierten sie bis 1993 heimlich, danach führte die CIA das Geschäft allein bis 2018 fort. Die Dienste bauten absichtlich geschwächte Algorithmen in die verkauften Chiffriergeräte ein und konnten so die Kommunikation von mehr als 120 Staaten mitlesen, darunter NATO- und EU-Mitglieder sowie der Vatikan. Laut den ausgewerteten internen Unterlagen stammten zeitweise rund 40 Prozent der von der NSA entschlüsselten Auslandskommunikation aus Crypto-AG-Geräten. Der BND stieg 1993 aus dem Geschäft aus, nachdem im März 1992 im Iran der Crypto-AG-Vertreter Hans Bühler wegen Spionageverdachts festgenommen worden war, und verkaufte seinen Anteil für 17 Millionen US-Dollar. Die CIA veräußerte ihre verbliebenen Vermögenswerte 2017/2018 für schätzungsweise 50 bis 70 Millionen US-Dollar. Die Geschäftsprüfungsdelegation des Schweizer Parlaments veröffentlichte ihren Abschlussbericht am 10.11.2020.

Die genaue Zahl der betroffenen Staaten schwankt je nach Quelle zwischen rund 120 und über 130, und ob einzelne beteiligte Länder informell informiert waren, ist nicht abschließend geklärt.

Am 07.04.2014 wurde die Sicherheitslücke Heartbleed in der Kryptografie-Bibliothek OpenSSL öffentlich bekannt gegeben und als CVE-2014-0160 registriert. Die Schwachstelle wurde unabhängig voneinander von Neel Mehta vom Google-Sicherheitsteam sowie von Codenomicon-Forschern entdeckt. Ursache war ein fehlerhaft implementierter Heartbeat-Mechanismus, den der Entwickler Robin Seggelmann am 31.12.2011 in den OpenSSL-Quellcode einfügte; der fehlerhafte Code gelangte mit der Version OpenSSL 1.0.1 am 14.03.2012 in den produktiven Einsatz. Der Fehler erlaubte es Angreifern, spurlos pro Anfrage bis zu 64 Kilobyte Arbeitsspeicher eines Servers auszulesen, darunter private Schlüssel und Passwörter. Unmittelbar mit der verwundbaren OpenSSL-Version betrieben wurden schätzungsweise rund 500.000 der weltweiten SSL-gesicherten Webserver. Zeitgleich mit der Offenlegung am 07.04.2014 veröffentlichten die OpenSSL-Entwickler die reparierte Version 1.0.1g. Die kanadische Steuerbehörde Canada Revenue Agency meldete den Diebstahl von rund 900 Sozialversicherungsnummern über die Lücke. Der IT-Branchendienst eWeek schätzte den weltweiten wirtschaftlichen Schaden auf etwa 500 Millionen US-Dollar.

Wie viele Angriffe vor der öffentlichen Offenlegung tatsächlich stattfanden, bleibt unbekannt, da ein Datenabgriff über Heartbleed keine Spuren in Server-Logs hinterlässt. Die genannte Schadenssumme ist eine grobe Branchenschätzung ohne belastbare Gesamterhebung.

Am 3. Januar 2018 veröffentlichten Sicherheitsforscher zeitgleich die beiden Prozessor-Sicherheitslücken Meltdown und Spectre, nachdem betroffene Hersteller bereits am 28.07.2017 informiert worden waren. Meltdown wurde unabhängig voneinander von Forschern des Google Project Zero, der TU Graz und der Firma Cyberus Technology entdeckt. Meltdown betrifft praktisch alle Intel-x86-Prozessoren seit 1995 sowie ARM- und IBM-POWER-Prozessoren, AMD-Chips sind nicht betroffen. Spectre lässt sich dagegen auf Prozessoren von Intel, AMD und ARM ausnutzen und betrifft damit praktisch alle modernen Computer, Smartphones und Server weltweit. Beide Lücken missbrauchen die spekulative Befehlsausführung moderner CPUs, um über Cache-Seitenkanalangriffe eigentlich geschützten Speicherinhalt auszulesen. Als Gegenmaßnahme gegen Meltdown wurde die Kernel Page Table Isolation eingeführt, deren Einsatz je nach Workload zu Leistungseinbußen von bis zu 30 Prozent führen kann. Die koordinierte Offenlegung war ursprünglich für den 9. Januar 2018 geplant, wurde jedoch wegen zunehmender öffentlicher Spekulationen vorgezogen.

Aus dieser Quelle nicht belegt sind die genaue weltweite Anzahl betroffener Geräte in absoluten Zahlen sowie ob die Lücken vor der Offenlegung bereits für reale Angriffe mit Datenabfluss ausgenutzt wurden.

Am 14.04.2017 veröffentlichte die Hackergruppe Shadow Brokers eine Sammlung gestohlener Cyberwaffen der US-Geheimdienstbehörde NSA, darunter den Exploit EternalBlue. EternalBlue nutzt eine Schwachstelle im Server-Message-Block-Protokoll von Microsoft Windows aus und ermöglicht Angreifern, ohne Nutzerinteraktion Schadcode auf verwundbaren Systemen auszuführen. Die NSA hatte die Sicherheitslücke jahrelang geheim gehalten und für eigene Operationen genutzt, bevor sie Microsoft im Zuge des Diebstahls informierte. Microsoft veröffentlichte bereits am 14.03.2017, einen Monat vor der Shadow-Brokers-Veröffentlichung, den Sicherheitspatch MS17-010. Nach dem Ausbruch der Ransomware WannaCry am 12.05.2017 stellte Microsoft am 13.05.2017 zusätzlich Notfallpatches für veraltete Windows-Versionen bereit. WannaCry nutzte EternalBlue zur automatischen Verbreitung und infizierte nach verbreiteten Schätzungen mehr als 200.000 Computer in über 150 Ländern. Im Juni 2017 kam EternalBlue erneut bei der Schadsoftware NotPetya zum Einsatz. Die Identität der Shadow Brokers blieb bis heute ungeklärt.

Die genaue Urheberschaft der Shadow Brokers ist bis heute nicht zweifelsfrei geklärt, es gibt keine bestätigte Anklage oder Verurteilung im Zusammenhang mit dem Diebstahl selbst. Auch die exakte Zahl der durch WannaCry infizierten Systeme schwankt je nach Quelle zwischen rund 36.000 und über 200.000.

Am 27.06.2017 begann sich die als Ransomware getarnte Schadsoftware Petya/NotPetya über ein kompromittiertes Update der ukrainischen Steuersoftware M.E.Doc weltweit auszubreiten und Windows-Systeme zu verschlüsseln. Am 28.06.2017 veröffentlichten die Kaspersky-Forscher Anton Ivanov und Orkhan Mamedov eine technische Analyse mit dem Titel ExPetr/Petya/NotPetya is a Wiper, Not Ransomware. Die Analyse zeigte, dass die auf dem Erpresserbildschirm angezeigte Installations-ID mit der Windows-Funktion CryptGenRandom erzeugt wird und somit aus rein zufälligen Daten besteht. Bei echter Ransomware enthält diese ID verschlüsselte Informationen, aus denen die Angreifer mittels ihres privaten Schlüssels den passenden Entschlüsselungsschlüssel ableiten können. Da die von NotPetya angezeigte ID keinen Bezug zum tatsächlichen Verschlüsselungsschlüssel hat, können die Angreifer selbst nach Zahlung des Lösegelds keine funktionierende Entschlüsselung liefern. Kaspersky folgerte daraus, dass die Software auf dauerhafte Datenzerstörung ausgelegt war. Diese Unterscheidung veränderte die öffentliche und politische Einordnung des Angriffs, der später von Geheimdiensten mehrerer Staaten dem russischen Militärgeheimdienst GRU zugeschrieben wurde.

Die Kaspersky-Analyse belegt die technische Unmöglichkeit der Entschlüsselung, macht aber keine Aussage zur Täterschaft oder zum genauen Gesamtschaden; die spätere Zuschreibung an den russischen GRU sowie die Schadenssumme von über 10 Milliarden US-Dollar stammen aus separaten, späteren Quellen.

Am 24. Oktober 2017 begann eine Ransomware-Angriffswelle namens Bad Rabbit, die vor allem Russland und die Ukraine traf, mit vereinzelten Meldungen auch aus der Türkei, Bulgarien, Deutschland und Japan. Zu den bekanntesten Opfern zählten die russische Nachrichtenagentur Interfax, die Kiewer Metro, der Flughafen Odessa sowie das ukrainische Infrastruktur- und Finanzministerium. Die Schadsoftware wurde über kompromittierte, überwiegend russische Nachrichten-Websites per Drive-by-Download verbreitet und gab sich als gefälschtes Adobe-Flash-Installationsprogramm aus. Innerhalb von Firmennetzwerken verbreitete sich Bad Rabbit zusätzlich über den Exploit EternalRomance, der auf durchgesickerten NSA-Werkzeugen basiert. Die Ransomware verschlüsselte Dateien mit AES-128 und ganze Festplattenpartitionen mittels DiskCryptor-Treiber. Die Angreifer forderten ein Lösegeld von 0,05 Bitcoin, umgerechnet rund 280 US-Dollar. Laut Telemetriedaten von Kaspersky wurden knapp 200 Ziele registriert. Sicherheitsforscher von Kaspersky und ESET stellten Code-Überschneidungen zwischen Bad Rabbit und NotPetya fest. Im Oktober 2018 ordnete die britische Regierung den Angriff gemeinsam mit NotPetya dem russischen Militärgeheimdienst GRU zu.

Die genaue Zahl tatsächlich verschlüsselter Systeme sowie der finanzielle Gesamtschaden sind aus dieser Quelle nicht beziffert. Die spätere Zuschreibung an den russischen Militärgeheimdienst GRU wurde von Russland zurückgewiesen und nie in einem Gerichtsverfahren festgestellt.

Am 20.09.2016 traf ein DDoS-Angriff mit rund 620 Gbit/s aus etwa 175.000 mit der Schadsoftware Mirai infizierten IoT-Geräten den Sicherheitsblog KrebsOnSecurity. Am 21.10.2016 legte dasselbe Mirai-Botnetz, das zu diesem Zeitpunkt über 300.000 kompromittierte Geräte wie Router, IP-Kameras und Videorekorder umfasste, den DNS-Dienstleister Dyn lahm und machte Onlinedienste wie Twitter, Netflix, Reddit, Amazon und GitHub zeitweise in weiten Teilen der USA unerreichbar. Ursache war die automatisierte Übernahme der Geräte über werkseitig voreingestellte Standardpasswörter. Der Programmcode von Mirai wurde Anfang Oktober 2016 öffentlich veröffentlicht. Am 13.12.2017 bekannten sich die Autoren Paras Jha, Josiah White und Dalton Norman vor einem Bundesgericht in Alaska schuldig, gegen den Computer Fraud and Abuse Act verstoßen zu haben. Jha und Norman gestanden zudem ein separates Klickbetrugsschema mittels des Botnetzes ein, aus dem Jha rund 200 Bitcoin und Norman über 30 Bitcoin erlöst hatten.

Aus dieser Quelle nicht belegt sind die genaue Zahl der beim Dyn-Angriff aktiv beteiligten Geräte (andere Quellen nennen rund 100.000) sowie das spätere Strafmaß, da die drei Angeklagten laut nachfolgenden Berichten wegen Kooperation mit dem FBI im September 2018 letztlich zu Bewährung ohne Haftstrafe verurteilt wurden.

Am 21.10.2016 wurde der US-amerikanische DNS-Dienstleister Dyn Ziel dreier aufeinanderfolgender DDoS-Angriffswellen zwischen etwa 11:10 und 22:10 Uhr UTC. Die Angriffe erfolgten über das Mirai-Botnet, das aus gekaperten Internet-of-Things-Geräten wie IP-Kameras, Routern und digitalen Videorekordern bestand, die über werkseitig voreingestellte Standardpasswörter infiziert worden waren. Dyn erklärte, Anfragen von zig Millionen IP-Adressen empfangen zu haben. Durch den Ausfall von Dyns DNS-Infrastruktur waren mehr als 100 Internetdienste in Nordamerika und Teilen Europas zeitweise nicht erreichbar, darunter Twitter, Netflix, Reddit, Spotify, Amazon, PayPal, GitHub und Airbnb. Die Gruppen New World Hackers und SpainSquad reklamierten die Verantwortung für sich und nannten als Motiv eine Vergeltung für die Einschränkung des Internetzugangs von Julian Assange. Das US-Heimatschutzministerium und das FBI leiteten Ermittlungen ein. Am 13.12.2017 bekannten sich mehrere junge Männer in den USA im Zusammenhang mit der Mirai-Schadsoftware schuldig, am 09.12.2020 folgte ein weiteres Schuldbekenntnis einer zum Tatzeitpunkt minderjährigen Person.

Die genaue Anzahl der am Angriff beteiligten Geräte sowie die exakte Spitzenbandbreite wurden von Dyn nie offiziell mit verbindlichen Zahlen bestätigt. Wer den Angriff auf Dyn konkret initiierte, ist bis heute nicht abschließend geklärt.

Ab dem 27.04.2007, unmittelbar nach der Verlegung des sowjetischen Bronzenen Soldaten von Tallinn vom Stadtzentrum an einen Militärfriedhof, wurde Estland rund drei Wochen lang Ziel koordinierter Distributed-Denial-of-Service-Angriffe. Betroffen waren die Webseiten des Parlaments Riigikogu, des Präsidialamts, mehrerer Ministerien, politischer Parteien, Banken sowie Zeitungen und Rundfunksender. Die Angriffe reichten von einfachen Ping-Fluten einzelner Nutzer bis zu gemieteten Botnetzen. Die estnische Polizei leitete am 02.05.2007 Ermittlungen ein. Am 24.01.2008 wurde der estnische Staatsbürger russischer Abstammung Dmitri Galushkevich als bislang einzige verurteilte Einzelperson zu einer Geldstrafe von 17.500 estnischen Kronen, umgerechnet rund 1.640 US-Dollar, verurteilt. Am 10.03.2009 bekannte sich Konstantin Goloskokow, ein Funktionär der russischen Jugendorganisation Nashi, öffentlich zur Mitverantwortung für einen Teil der Angriffe. Russland wies eine staatliche Beteiligung zurück und verweigerte estnischen Behörden Rechtshilfe. Als Folge der Angriffe gründete die NATO im Mai 2008 in Tallinn das Cooperative Cyber Defence Centre of Excellence.

Eine direkte Verantwortung der russischen Staatsführung für die Angriffe wurde weder von der NATO noch von der Europäischen Kommission abschließend nachgewiesen. Die einzige strafrechtliche Verurteilung betraf einen Einzeltäter mit vergleichsweise geringer Geldstrafe.

Am 19.07.2008 wurde die Website des georgischen Präsidenten Micheil Saakaschwili erstmals durch einen DDoS-Angriff für rund 24 Stunden lahmgelegt. Am 08.08.2008, dem Tag des Einmarschs russischer Truppen in Südossetien, begann eine deutlich umfangreichere zweite Welle koordinierter Cyberangriffe gegen georgische Ziele. Bis zum 10.08.2008 waren die meisten Websites der georgischen Regierung durch DDoS-Attacken nicht mehr erreichbar, betroffen waren unter anderem das Parlament, die Nationalbank sowie Banken und Telekommunikationsanbieter. Am 11.08.2008 wurde die Präsidentenwebsite zusätzlich defaced und mit Bildmontagen versehen, die Saakaschwili mit Adolf Hitler verglichen. Sicherheitsforscher identifizierten sechs verschiedene Botnetze sowie eine in russischer Sprache programmierte DDoS-Steuerungssoftware namens MachBot. Als mutmaßlicher Organisator gilt das Russian Business Network aus Sankt Petersburg, die russische Regierung bestritt jede Verantwortung. Die georgische Regierung wich während der Angriffe auf Google Blogger und Server in den USA aus, Estland bot zusätzliches Hosting an. Die Ereignisse gelten als der erste dokumentierte Fall koordinierter Cyberangriffe parallel zu einer konventionellen Militäroperation.

Eine gerichtsfeste Zuordnung der Angriffe zu russischen Behörden oder dem russischen Militär ist bis heute nicht belegt, strafrechtliche Konsequenzen sind nicht dokumentiert. Ebenso fehlt eine verifizierte Gesamtzahl der betroffenen Websites oder ein bezifferter wirtschaftlicher Schaden.

Am 28.05.2012 gab Kaspersky Lab gemeinsam mit dem iranischen CERT-Zentrum MAHER und dem CrySyS Lab der Budapest University of Technology and Economics die Entdeckung der Schadsoftware Flame bekannt. Die Untersuchung war von der Internationalen Fernmeldeunion ITU initiiert worden, nachdem die zerstörerische Malware Wiper zuvor Computer des iranischen Ölministeriums beschädigt hatte. Flame ist mit rund 20 Megabyte etwa 20-mal größer als Stuxnet und war nach Kaspersky-Angaben seit mindestens März 2010 aktiv, bevor sie entdeckt wurde. Die Schadsoftware konnte Bildschirminhalte, Tastatureingaben, Netzwerkverkehr und Audioaufnahmen aufzeichnen, Skype-Gespräche mitschneiden und infizierte Rechner per Bluetooth zu Sendern für Kontaktdaten nahegelegener Geräte machen. Nach Kaspersky-Schätzungen waren zunächst etwa 1000 Rechner betroffen, rund 65 Prozent davon im Nahen Osten und Nordafrika, mit dem größten Anteil im Iran. Zur Verbreitung nutzten die Angreifer unter anderem ein gefälschtes Microsoft-Zertifikat auf Basis einer schwachen MD5-Verschlüsselung. Die Washington Post berichtete am 19.06.2012 unter Berufung auf anonyme Quellen, die NSA, die CIA und das israelische Militär hätten Flame gemeinsam im Rahmen der Operation Olympic Games entwickelt. Kurz nach der öffentlichen Enttarnung sendeten die Kontrollserver im Juni 2012 einen Selbstlöschbefehl an die infizierten Systeme.

Die Urheberschaft durch NSA, CIA und Israels Militär stützt sich allein auf anonyme Quellen der Washington Post und wurde von den USA und Israel nie offiziell bestätigt. Die genaue weltweite Gesamtzahl infizierter Rechner sowie das exakte Ausmaß der abgeflossenen Daten blieben ungeklärt.

Die Sicherheitsforscher des CrySyS Lab der Budapester Technischen und Wirtschaftswissenschaftlichen Universität entdeckten die Schadsoftware Duqu am 01.09.2011. Der Sicherheitsanbieter Symantec bestätigte die Analyse und stellte umfangreiche Code-Übereinstimmungen mit dem Computerwurm Stuxnet fest, woraus geschlossen wurde, dass Duqu von denselben Autoren oder mit Zugriff auf den Stuxnet-Quellcode entwickelt wurde. Anders als Stuxnet sabotierte Duqu keine Industrieanlagen, sondern diente der Spionage: Es installierte Keylogger, Bildschirmrekorder und Netzwerk-Scanner. Die Infektion erfolgte über präparierte Word-Dokumente, die eine bis dahin unbekannte Sicherheitslücke im Win32k-TrueType-Schriftartenparser von Windows ausnutzten; Microsoft veröffentlichte den zugehörigen Sicherheitshinweis MS11-087 am 13.11.2011. Die Schadsoftware nutzte ein gestohlenes, gültiges Digitalzertifikat der taiwanesischen Firma C-Media zur Signierung ihrer Treiber; das Zertifikat wurde am 14.10.2011 widerrufen. Symantec bestätigte Infektionen bei mindestens sechs Organisationen in acht Ländern, darunter Frankreich, die Niederlande, die Schweiz, die Ukraine, Indien, der Sudan, Vietnam und mehrfach im Iran. Duqu war so programmiert, dass es sich nach 36 Tagen selbständig von infizierten Systemen löschte.

Aus dieser Quelle nicht belegt ist die genaue Urheberschaft beziehungsweise staatliche Zurechnung von Duqu; diese gilt als plausibel, wurde aber nie offiziell bewiesen. Ebenso bleibt die tatsächliche Gesamtzahl befallener Organisationen weltweit unklar.

Zwischen Juni und Dezember 2009 griff eine aus China stammende Hackergruppe die Computernetzwerke von Google sowie mindestens 20 weiteren US-Unternehmen an, darunter Adobe Systems, Juniper Networks, Yahoo, Symantec, Northrop Grumman und Dow Chemical. Google entdeckte den Einbruch Mitte Dezember 2009 und veröffentlichte am 12.01.2010 im Official Google Blog den Beitrag A new approach to China, in dem der Angriff erstmals öffentlich gemacht wurde. Die Angreifer nutzten eine zuvor unbekannte Sicherheitslücke im Internet Explorer aus und verbreiteten den Schadcode über gezielte Phishing-E-Mails. Die Sicherheitsfirma McAfee gab den Angriffen den Namen Operation Aurora. Bei Google gelangten die Angreifer an Teile des Quellcodes sowie an Informationen zu gerichtlich angeordneten Überwachungen von Gmail-Konten und erhielten eingeschränkten Zugriff auf zwei Gmail-Konten chinesischer Menschenrechtsaktivisten. Google kündigte an, die Zensur der Suchergebnisse auf Google.cn zu beenden, und leitete im März 2010 die chinesische Suchseite auf die unzensierte Version in Hongkong um. Insgesamt sollen über 30 Organisationen betroffen gewesen sein.

Die genaue Gesamtzahl der betroffenen Unternehmen wird in verschiedenen Quellen uneinheitlich zwischen 20 und über 30 angegeben, und eine gerichtsfeste, offizielle Zuordnung der Angriffe zu einer bestimmten chinesischen Behörde ist bis heute nicht öffentlich bestätigt.

Die US-Sicherheitsfirma Mandiant veröffentlichte am 19.02.2013 den Bericht APT1: Exposing One of China's Cyber Espionage Units. Der Bericht führt die seit mindestens 2006 aktive Hackergruppe APT1 auf die Einheit 61398 der chinesischen Volksbefreiungsarmee zurück, die dem Zweiten Büro der Dritten Abteilung des Generalstabs untersteht. Mandiant lokalisierte die Einheit in einem zwölfstöckigen Gebäude an der Datong Road im Stadtteil Pudong in Shanghai. Laut Bericht kompromittierte APT1 mindestens 141 Organisationen in 20 Branchen, darunter Luft- und Raumfahrt, Rüstung, Energie und Telekommunikation. Die Gruppe stahl systematisch hunderte Terabyte an Daten, in einem Fall 6,5 Terabyte komprimierter Daten von einem einzelnen Unternehmen innerhalb von zehn Monaten. 87 Prozent der identifizierten Opfer hatten ihren Hauptsitz in englischsprachigen Ländern. Mandiant benannte auch mutmaßliche Einzelpersonen, darunter Wang Dong mit dem Decknamen UglyGorilla. Am 19.05.2014 klagte das US-Justizministerium fünf mutmaßliche Offiziere der Einheit 61398 wegen Wirtschaftsspionage an.

Es liegt keine strafrechtliche Verurteilung der 2014 angeklagten Offiziere vor, da China eine Auslieferung ablehnt und keine Hauptverhandlung stattfand; die exakte Gesamtmenge gestohlener Daten über alle 141 Opfer bleibt unbeziffert.

Am 23.12.2015 griff die Hackergruppe Sandworm drei ukrainische Energieversorger an: Prykarpattyaoblenergo, Chernivtsioblenergo und Kyivoblenergo. Der Angriff begann Monate zuvor mit Spear-Phishing-E-Mails, die die Schadsoftware BlackEnergy 3 in den Firmennetzwerken platzierten. Die Angreifer erlangten darüber Zugriff auf die SCADA-Steuerungssysteme und schalteten bei Prykarpattyaoblenergo 30 Umspannwerke ab. Rund 230.000 Verbraucher waren zwischen einer und sechs Stunden ohne Strom. Zeitgleich setzten die Angreifer die Löschsoftware KillDisk ein, um Dateien unbrauchbar zu machen, und überlasteten mit einem Denial-of-Service-Angriff die Telefonzentrale, sodass betroffene Kunden Störungen nicht melden konnten. Die Netzbetreiber stellten die Versorgung teils durch manuelles Eingreifen der Mitarbeiter vor Ort wieder her. Der Vorfall gilt als der erste öffentlich bestätigte erfolgreiche Cyberangriff auf ein Stromnetz. US-Behörden und mehrere Sicherheitsfirmen ordneten die Operation der Gruppe Sandworm zu, die mit russischen Interessen im Ukraine-Konflikt in Verbindung gebracht wird.

Aus dieser Quelle ist keine formelle juristische Zurechnung zu einer bestimmten russischen Regierungsstelle oder Einzelperson belegt, ebenso wenig eine strafrechtliche Verurteilung oder eine bezifferte finanzielle Entschädigung der betroffenen Energieversorger.

Am 17.12.2016 kurz vor Mitternacht wurde die 330-kV-Umspannstation Pivnichna des ukrainischen Netzbetreibers Ukrenergo bei Kiew Ziel eines Cyberangriffs mit der Schadsoftware Industroyer, auch CrashOverride genannt. Die Malware öffnete ferngesteuert Leistungsschalter der Umspannstation und trennte sie vom Netz, wodurch rund ein Fünftel des nächtlichen Stromverbrauchs der Stadt Kiew für etwa eine Stunde ausfiel. Die slowakische IT-Sicherheitsfirma ESET veröffentlichte am 12.06.2017 die erste detaillierte technische Analyse und bezeichnete Industroyer als die größte Bedrohung für industrielle Steuerungssysteme seit Stuxnet 2010. Industroyer ist ein modulares Framework, das Industrieprotokolle nutzt, um direkt mit Schaltanlagen und Schutzrelais zu kommunizieren, ergänzt um ein Löschmodul zur Verschleierung der Spuren. Es handelte sich um den zweiten dokumentierten Cyberangriff auf das ukrainische Stromnetz nach dem Vorfall vom 23.12.2015. Ukrenergo bestätigte offiziell, dass der Stromausfall auf einen Cyberangriff zurückzuführen war. Ein Versuch, zusätzlich vier Siemens-Schutzrelais dauerhaft zu deaktivieren, scheiterte, da die Datenpakete an eine falsche IP-Adresse gesendet wurden.

Aus der ESET-Quelle geht keine offizielle staatliche Zuordnung zu einem Täter oder Land hervor; eine Verbindung zur russischen Gruppe Sandworm wurde erst später von anderen Stellen hergestellt. Auch die genaue Zahl der betroffenen Haushalte wird nicht beziffert.

Im Juni 2017 löste die Malware Triton, auch Trisis oder HatMan genannt, durch einen Programmierfehler unbeabsichtigt eine Notabschaltung in einer petrochemischen Anlage in Saudi-Arabien aus, was zunächst als mechanischer Defekt gewertet wurde. Am 04.08.2017 kam es zu einer zweiten Abschaltung, woraufhin die Betreiber Sicherheitsberater sowie die Firmen FireEye und Dragos hinzuzogen. Die Ermittler fanden Schadsoftware auf einer Ingenieurs-Workstation des Sicherheitssystems Triconex des Herstellers Schneider Electric. Triton war die erste bekannt gewordene Schadsoftware, die gezielt sicherheitsinstrumentierte Systeme angriff, welche Anlagen bei Gefahr automatisch in einen sicheren Zustand versetzen sollen. Durch einen Fehler im Schadcode lösten die Triconex-Controller vorzeitig eine Sicherheitsabschaltung aus, bevor die Angreifer ihr eigentliches Ziel erreichen konnten, wodurch Personenschäden ausblieben. Im Oktober 2018 ordnete FireEye die Angriffswerkzeuge dem russischen Zentralen Wissenschaftlichen Forschungsinstitut für Chemie und Mechanik in Moskau zu. Am 23.10.2020 verhängte das US-Finanzministerium Sanktionen gegen dieses Institut.

Der Name der betroffenen Anlage wird in Medienberichten oft mit Petro Rabigh in Verbindung gebracht, ist in dieser Quelle jedoch nicht namentlich bestätigt; ebenso bleibt die genaue Identität der ausführenden Angreifer ungeklärt.

Am 31.10.2005 veröffentlichte der Sicherheitsforscher Mark Russinovich auf seinem Blog eine technische Analyse eines Rootkits, das er auf seinem eigenen Windows-Rechner entdeckt und auf eine Musik-CD von Sony BMG zurückgeführt hatte. Sony BMG hatte auf rund 22 Millionen verkauften CDs zwei Kopierschutzprogramme installiert: das von der Firma First 4 Internet entwickelte XCP auf etwa 2 Millionen CDs mit 52 Titeln sowie MediaMax CD 3 auf rund 20 Millionen CDs mit etwa 50 Titeln. XCP versteckte sich mittels Rootkit-Technik vor dem Betriebssystem, ließ sich nicht regulär deinstallieren und schuf Sicherheitslücken, die von unabhängiger Schadsoftware ausgenutzt wurden. Sicherheitsfirmen schätzten, dass mehr als 500.000 Computernetzwerke in über 100 Ländern betroffen waren, darunter auch Netzwerke von US-Behörden und des Militärs. Am 21.11.2005 verklagte der texanische Generalstaatsanwalt Greg Abbott Sony BMG wegen Verstoßes gegen das texanische Anti-Spyware-Gesetz. Sony BMG kündigte am 15.11.2005 einen Rückruf der unverkauften CDs an. Im Dezember 2006 einigte sich der Konzern mit mehreren US-Bundesstaaten auf einen Vergleich, im Januar 2007 folgte eine Einigung mit der FTC, die Sony BMG zum Umtausch betroffener CDs sowie zur Erstattung von bis zu 150 US-Dollar für Reparaturkosten verpflichtete.

Aus dieser Quelle nicht belegt sind die genaue Gesamtzahl tatsächlich infizierter Einzelcomputer weltweit sowie strafrechtliche Konsequenzen für Sony BMG oder First 4 Internet, da alle bekannten Verfahren zivilrechtlich per Vergleich beigelegt wurden.

Der PC-Hersteller Lenovo installierte zwischen dem 01.09.2014 und dem 28.02.2015 auf zahlreichen Consumer-Notebooks werksseitig die Adware VisualDiscovery des Unternehmens Superfish vor. Die Software blendete Werbung in Suchergebnisse und Webseiten ein und nutzte dafür ein selbstsigniertes Root-Zertifikat, das auf allen betroffenen Geräten denselben privaten Schlüssel verwendete. Dadurch konnte die Software auch verschlüsselte HTTPS-Verbindungen entschlüsseln, wodurch zugleich jeder Angreifer mit Kenntnis des Schlüssels sich als beliebige Website ausgeben und Man-in-the-Middle-Angriffe durchführen konnte. Am 19.02.2015 wurde das Sicherheitsproblem öffentlich bekannt, am 20.02.2015 warnte das US-Heimatschutzministerium offiziell vor der Software. Laut FTC hatte Superfish Lenovo durch die Vorinstallation Einnahmen von bis zu 250.000 US-Dollar eingebracht. Am 05.09.2017 einigte sich Lenovo mit der FTC und 32 US-Bundesstaaten auf einen Vergleich über 3,5 Millionen US-Dollar sowie ein 20-jähriges verpflichtendes Softwaresicherheitsprogramm. Im November 2018 einigte sich Lenovo zusätzlich in einer Sammelklage auf eine Zahlung von 7,3 Millionen US-Dollar an betroffene Kunden.

Die genaue Anzahl der betroffenen Laptops ist offiziell nicht beziffert, Quellen sprechen lediglich von Hunderttausenden Geräten. Ob die Schwachstelle vor ihrer öffentlichen Aufdeckung bereits von Dritten aktiv zum Abfangen von Daten ausgenutzt wurde, ist nicht belegt.