Quellen-Tabelle

Das BSI dokumentierte im Lagebericht 2014 einen der ersten offiziell bestätigten Fälle eines Cyberangriffs mit physischem Schaden an einer Industrieanlage. Angreifer verschafften sich per Spear-Phishing Zugang zum Büronetz eines deutschen Stahlwerks und drangen von dort in die Steuerungssysteme der Produktion vor. Dadurch konnte ein Hochofen nicht geregelt heruntergefahren werden und wurde massiv beschädigt.

Welches Stahlwerk konkret betroffen war, gibt das BSI aus Vertraulichkeitsgründen bis heute nicht bekannt. Auch die Identität der Angreifer, das genaue Angriffsdatum und die exakte Schadenshöhe wurden nie offiziell veröffentlicht. Das BSI bewertete die technischen Fähigkeiten der Täter lediglich als sehr fortgeschritten, ohne dies weiter zu belegen.

Im April 2022 entdeckten CERT-UA und ESET einen geplanten Cyberangriff der Gruppe Sandworm auf einen ukrainischen Energieversorger mit der Schadsoftware Industroyer2, die auf Umspannwerke mit dem Protokoll IEC-104 zielte. Die Ausführung war für den 08.04.2022 um 16:10 UTC geplant, wurde aber vor Eintritt eines tatsächlichen Stromausfalls gestoppt. Zusätzlich setzten die Angreifer die Löschsoftware CaddyWiper sowie weitere Wiper-Varianten ein; ESET ordnete den Angriff mit hoher Zuversicht der Gruppe Sandworm zu.

Aus dieser Quelle nicht bekannt ist, wie die Angreifer ursprünglich in das Netzwerk des Energieversorgers eindrangen und wie sie von der IT-Umgebung ins industrielle Steuerungssystem gelangten. Der Name des betroffenen Unternehmens und die genaue Zahl der potenziell betroffenen Kunden werden in der Quelle nicht genannt, ebenso fehlt eine formelle juristische Zurechnung zu Russland.

Die kanadische Datenschutzbehörde OPC und die australische OAIC veröffentlichten am 23.08.2016 die Ergebnisse ihrer gemeinsamen Untersuchung zum Ashley-Madison-Datenleck von 2015. Die Behörden stellten bei der Betreiberfirma Avid Life Media gravierende Sicherheitsmängel fest, darunter fehlende dokumentierte Sicherheitsrichtlinien, unzureichend abgesicherter Fernzugriff auf interne Systeme und im Klartext gespeicherte Verschlüsselungsschlüssel und Passwörter. Zudem bestätigten die Behörden, dass die Firma auf ihrer Startseite ein gefälschtes Sicherheits-Gütesiegel zeigte und Nutzerdaten auch nach kostenpflichtiger Löschung des Profils weiter speicherte.

Der Bericht verhängte keine Geldstrafe gegen das Unternehmen, sondern setzte auf verbindliche Verbesserungszusagen. Ob und in welchem Umfang die zugesagten Sicherheitsmaßnahmen tatsächlich fristgerecht umgesetzt wurden, geht aus der Quelle nicht abschließend hervor.

CERT/CC dokumentierte am 4. Januar 2018 die Hardware-Sicherheitslücken Meltdown (CVE-2017-5754) und Spectre (CVE-2017-5753, CVE-2017-5715), die spekulative Ausführung in Prozessoren ausnutzen, um geschützte Speicherinhalte auszulesen. Entdeckt wurden sie unabhängig voneinander von Googles Project Zero, der TU Graz, dem Forscher Paul Kocher und weiteren Teams. Betroffen waren praktisch alle modernen CPUs von Intel, AMD, ARM und weiteren Herstellern, teils seit Mitte der 1990er Jahre gebaut.

Offen blieb bei Bekanntgabe, wie stark die nötigen Software-Patches die Systemleistung dauerhaft beeinträchtigen würden und ob konkrete Nutzer je tatsächlich Opfer eines Datendiebstahls über diese Lücken wurden. Öffentlich belegte Angriffsfälle blieben die Ausnahme. Auch das vollständige Ausmaß weiterer Varianten der zugrunde liegenden Architekturschwäche war 2018 noch nicht absehbar.

Hacker erbeuteten 2016 Daten von 57 Millionen Uber-Nutzern und Fahrern, darunter rund 600.000 US-Führerscheinnummern. Uber-Sicherheitschef Joe Sullivan zahlte den Erpressern 100.000 US-Dollar in Bitcoin über das Bug-Bounty-Programm und ließ sie eine falsche Verschwiegenheitserklärung unterschreiben, die den Datenabfluss verneinte. Ein Bundesgericht in San Francisco verurteilte Sullivan am 5. Oktober 2022 wegen Behinderung eines FTC-Verfahrens und Nichtanzeige einer Straftat, im Mai 2023 folgten drei Jahre Bewährung, 50.000 Dollar Geldstrafe und 200 Stunden gemeinnützige Arbeit.

Ob weitere Uber-Führungskräfte, etwa der damalige CEO Travis Kalanick, von der Vertuschung wussten oder sie billigten, wurde strafrechtlich nicht verfolgt. Unklar bleibt zudem, ob die von den Hackern kopierten Daten tatsächlich vollständig gelöscht wurden, obwohl dies vertraglich zugesichert war.

Am 21.02.2025 wurde die Kryptobörse Bybit angegriffen. Während eines geplanten Transfers von einer Cold Wallet in eine Hot Wallet manipulierten die Angreifer die Transaktion und leiteten rund 400.000 bis 500.000 ETH im Wert von etwa 1,5 Milliarden US-Dollar auf von ihnen kontrollierte Adressen um. Grundlage war eine kompromittierte Entwicklermaschine der Multisig-Plattform Safe Wallet. Das FBI bestätigte am 26.02.2025 offiziell, dass Nordkorea verantwortlich war, und ordnete den Angriff der als TraderTraitor bezeichneten Aktivität der Lazarus Group zu.

Das FBI nennt keine technischen Details dazu, wie die Entwicklermaschine bei Safe Wallet ursprünglich kompromittiert wurde. Laut Bybit-CEO waren bis April 2025 etwa 28 Prozent der gestohlenen Gelder über Mixer und Cross-Chain-Bridges verschleiert und galten als nicht mehr nachverfolgbar. Eine vollständige Rückgewinnung der Gelder oder eine strafrechtliche Verurteilung einzelner Täter ist bislang nicht dokumentiert.

Das Berufungsgericht von New Jersey bestätigte am 1. Mai 2023, dass die Kriegsausschlussklausel in Mercks Sachversicherungspolicen den NotPetya-Cyberangriff von 2017 nicht abdeckt. Die Richter urteilten, dass eine feindselige oder kriegerische Handlung eine militärische Komponente voraussetzt und die Zurechnung zu russischen staatlichen Akteuren allein dafür nicht genügt. Merck konnte damit rund 700 Millionen US-Dollar von den verbliebenen acht Versicherern einfordern, als Teil eines Gesamtschadens von 1,4 Milliarden US-Dollar aus dem NotPetya-Angriff.

Wie viel Merck am Ende tatsächlich ausgezahlt wurde, blieb offen, da sich beide Seiten im Januar 2024 auf einen vertraulichen Vergleich einigten. Ob künftige, präziser formulierte Kriegsausschlussklauseln vor Gericht Bestand hätten, ist durch dieses Urteil nicht geklärt. Eine strafrechtliche Verantwortlichkeit einzelner russischer Akteure für NotPetya war nicht Gegenstand dieses zivilrechtlichen Versicherungsstreits.

Das US-Justizministerium klagte am 10.02.2020 vier Mitglieder der chinesischen Volksbefreiungsarmee wegen des Equifax-Hacks von 2017 an. Laut Anklage nutzten die Hacker die ungepatchte Apache-Struts-Sicherheitslücke im Streitbeilegungsportal von Equifax aus, verschleierten ihre Herkunft über rund 34 Server in fast 20 Ländern und erbeuteten Namen, Geburtsdaten und Sozialversicherungsnummern von knapp 150 Millionen US-Bürgern sowie Führerscheinnummern von mindestens 10 Millionen Betroffenen.

Da die USA kein Auslieferungsabkommen mit China haben, befinden sich die vier Angeklagten weiterhin auf freiem Fuß in China und wurden bislang nicht vor Gericht gestellt. Ob sie im direkten staatlichen Auftrag handelten oder wozu die gestohlenen Daten letztlich verwendet wurden, ist dadurch gerichtlich nie geprüft worden.

Yahoo bzw. die Verizon-Tochter Oath bestätigte im Oktober 2017, dass ein im August 2013 verübter Hackerangriff sämtliche zu diesem Zeitpunkt bestehenden 3 Milliarden Yahoo-Nutzerkonten betraf. Erst im Dezember 2016 war der Vorfall mit geschätzten 1 Milliarde betroffenen Konten bekannt geworden, die neue Zahl kam erst während forensischer Untersuchungen im Rahmen der Verizon-Übernahme zustande. Erbeutet wurden Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten sowie MD5-gehashte Passwörter und teils unverschlüsselte Sicherheitsfragen, jedoch keine Klartext-Passwörter oder Zahlungsdaten.

Wer genau hinter dem Angriff steckt, ist nicht abschließend öffentlich geklärt, auch wenn spätere US-Anklagen mutmaßlich staatlich unterstützte Akteure aus Russland benannten. Offen bleibt zudem, warum die volle Größenordnung von 3 Milliarden Konten erst 2017 erkannt wurde und ob frühere Angaben bewusst zu niedrig kommuniziert wurden.

Die FTC gab am 09.10.2024 einen Vergleich mit Marriott International und der Tochter Starwood Hotels wegen dreier Datenlecks zwischen 2014 und 2020 bekannt, von denen weltweit mehr als 344 Millionen Kunden betroffen waren. Laut FTC-Beschwerde fehlten bei Marriott und Starwood angemessene Passwort- und Zugriffskontrollen, Netzwerksegmentierung, aktuelle Software-Patches und eine ausreichende Mehrfaktor-Authentifizierung. Der Vergleich verpflichtet die Unternehmen zu einem umfassenden Informationssicherheitsprogramm; parallel zahlte Marriott 52 Millionen Dollar an 49 US-Bundesstaaten.

Der Vergleich beruht auf einer vorgeschlagenen FTC-Anordnung, ein Schuldeingeständnis von Marriott geht aus dieser Quelle nicht hervor. Offen bleibt, in welchem Umfang sich die 344 Millionen genannten Datensätze mit den bereits 2018 gemeldeten rund 339 Millionen Starwood-Datensätzen überschneiden.

Am 25.10.2018 verhängte die britische Datenschutzbehörde ICO gegen Facebook eine Geldbuße von 500.000 Pfund, die nach dem damals geltenden Data Protection Act 1998 höchstmögliche Strafe. Die ICO stellte fest, dass Facebook zwischen 2007 und 2014 App-Entwicklern ohne ausreichende Rechtsgrundlage Zugriff auf Nutzerdaten gewährte, wovon auch Facebook-Freunde von App-Nutzern betroffen waren. Betroffen waren schätzungsweise 87 Millionen Facebook-Nutzer weltweit, deren Daten über die App This Is Your Digital Life an Cambridge Analytica gelangten.

Aus den Quellen geht die genaue rechtliche Detailbegründung der ICO nicht vollständig hervor, ebenso bleibt offen, warum die parallele Prüfung der Hamburger Datenschutzaufsicht ohne eigene Sanktion eingestellt wurde. Ob die 500.000-Pfund-Strafe angesichts von 87 Millionen Betroffenen abschreckend wirkte, ist umstritten, da unter der seit 25.05.2018 geltenden DSGVO deutlich höhere Bußgelder möglich gewesen wären, die Tat aber davor lag.

Am 1. Juli 2026 begann in Malta der Geschworenenprozess gegen den Geschäftsmann Yorgen Fenech, dem vorgeworfen wird, die Ermordung der Investigativjournalistin Daphne Caruana Galizia am 16. Oktober 2017 durch eine ferngezündete Autobombe in Auftrag gegeben zu haben. Laut ICIJ hatte Caruana Galizia zum Zeitpunkt ihres Todes an Geschichten gearbeitet, die auf den Enthüllungen der Panama Papers aufbauten, unter anderem zur Offshore-Firma 17 Black. Die ausführenden Attentäter wurden bereits zu langjährigen Haftstrafen verurteilt.

Der Prozess gegen Fenech war zum Zeitpunkt der Berichterstattung noch nicht abgeschlossen, ein Urteil über seine Mitschuld stand noch aus und er bestreitet die Vorwürfe. Nicht abschließend juristisch geklärt ist, ob und wie weit die 2021 von einer öffentlichen Untersuchungskommission festgestellte staatliche Mitverantwortung auch strafrechtliche Konsequenzen für weitere Personen im politischen Umfeld nach sich zieht.

Am 15. August 2012 legte die Schadsoftware Shamoon rund 30.000 von etwa 40.000 Windows-Arbeitsplatzrechnern beim saudischen Ölkonzern Saudi Aramco lahm. Die Malware überschrieb Dateien und den Master Boot Record und machte die Rechner unbrauchbar. Aramco bestätigte den Vorfall offiziell und erklärte, die isolierten Förder- und Produktionssysteme seien nicht betroffen gewesen, das interne Netzwerk sei bis zum 25. August wiederhergestellt worden.

Eine bis dahin unbekannte Gruppe namens Cutting Sword of Justice bekannte sich zu der Tat, eine belastbare technische Zurechnung zu ihr gelang nie. Spätere Vermutungen anonymer US-Regierungsvertreter, der Iran stecke als Vergeltung für Stuxnet dahinter, blieben unbelegte Einschätzungen ohne veröffentlichte Beweise.

Am 13. Mai 2017 bestätigte die Deutsche Bahn, dass die weltweit grassierende WannaCry-Ransomware ihre Systeme infiziert hatte. Betroffen waren Anzeigetafeln an mehreren Bahnhöfen darunter der Frankfurter Hauptbahnhof, einzelne Fahrkartenautomaten sowie die für die Bundespolizei betriebene Videoüberwachung an Bahnhöfen. Das Bundesinnenministerium bestätigte den Ausfall der Kameras, betonte aber, dass die Systeme der Bundespolizei selbst nicht betroffen waren und der Zug- und Bahnverkehr ohne Einschränkungen weiterlief.

Offen bleibt, wie viele Bahnhöfe und Anzeigetafeln genau betroffen waren, öffentliche Berichte sprechen nur von mehreren Standorten ohne genaue Zahl. Nicht dokumentiert ist der exakte Infektionsweg innerhalb der Bahn-IT und ob zum Zeitpunkt des Angriffs fällige Windows-Sicherheitsupdates auf den betroffenen Systemen fehlten.

Der Programmierer und Aktivist Aaron Swartz wurde am 06.01.2011 von MIT-Polizei und US Secret Service festgenommen, nachdem er über das MIT-Netzwerk rund 4,8 Millionen Artikel aus der Datenbank JSTOR heruntergeladen hatte. Eine Grand Jury klagte ihn wegen Betrugs und mehrfachen Verstößen gegen den Computer Fraud and Abuse Act an, im September 2012 folgte eine erweiterte Anklage mit 13 Punkten und einer theoretischen Höchststrafe von bis zu 35 Jahren Haft. Der Untersuchungsbericht bestätigt, dass MIT selbst keine Strafverfolgung forderte, aber Netzwerkprotokolle an die Ermittler übergab, und dass Swartz sich am 11.01.2013 während des laufenden Verfahrens das Leben nahm, woraufhin die Anklage fallen gelassen wurde.

Der MIT-Bericht bewertet die eigene Rolle des Instituts kritisch, spricht aber keine abschließende juristische Schuldzuweisung aus. Ob eine andere Reaktion von MIT oder der Datenbankbetreiberin JSTOR den Ausgang verändert hätte, bleibt offen. Welche konkreten Pläne Swartz mit den heruntergeladenen Artikeln verfolgte, ist nicht abschließend dokumentiert.

WikiLeaks veröffentlichte am 7. März 2017 unter dem Namen Vault 7 die erste Tranche interner CIA-Dokumente, insgesamt 8761 Dateien aus einem internen Confluence-Wiki der Engineering Development Group aus den Jahren 2013 bis 2016. Die Unterlagen beschreiben Hacking-Werkzeuge der CIA gegen Smart-TVs (Projekt Weeping Angel gegen Samsung-Geräte), VoIP-Telefonanlagen und SCADA-Industriesysteme. Ein Teil der beteiligten Programmierer arbeitete laut den Dokumenten am Standort Center for Cyber Intelligence Europe in Frankfurt am Main.

Eine offizielle Stellungnahme der CIA zur Echtheit der Dokumente lag zum Zeitpunkt der Veröffentlichung nicht vor. Berichte, wonach die CIA damit auch die Verschlüsselung von Signal und WhatsApp umgangen habe, bezeichnete heise als irreführend. Wer die Dokumente tatsächlich an WikiLeaks weitergegeben hatte, war zu diesem Zeitpunkt öffentlich nicht bekannt.

WikiLeaks veröffentlichte ab dem 28. November 2010 zusammen mit Medien wie The Guardian, der New York Times und dem Spiegel rund 250.000 geheime Depeschen US-amerikanischer Botschaften, bekannt als Cablegate. Laut einer der Depeschen wies US-Außenministerin Hillary Clinton Diplomaten im Juli 2009 an, technische Daten zu UN-Kommunikationssystemen sowie biometrische und persönliche Informationen hochrangiger UN-Vertreter zu beschaffen, etwa Passwörter, Verschlüsselungscodes, Kreditkarten- und Vielfliegernummern. UN-Botschafterin Susan Rice wies die Vorwürfe zurück.

Ob die Anweisung zur Datensammlung tatsächlich umgesetzt wurde und wie viele UN-Vertreter konkret betroffen waren, geht aus der Quelle nicht hervor. Die Selbstdarstellung der UN-Seite als reine diplomatische Tätigkeit und die Spionagevorwürfe aus der Depesche stehen sich damit unbestätigt gegenüber.

Die frühere US-Armeeanalystin Chelsea Manning wurde 2013 von einem Militärgericht verurteilt, weil sie rund 750.000 geheime Militär- und Diplomatendokumente sowie ein Hubschrauber-Angriffsvideo aus Bagdad an WikiLeaks weitergegeben hatte. Sie erhielt 35 Jahre Haft, die höchste je in den USA für eine Geheimnisweitergabe an Medien verhängte Strafe, wurde jedoch vom schwersten Vorwurf der Feindbegünstigung freigesprochen. Präsident Barack Obama wandelte die Strafe im Januar 2017 um, sodass Manning am 17. Mai 2017 nach knapp sieben Jahren Haft entlassen wurde.

Offen bleibt, in welchem konkreten Ausmaß die Leaks tatsächlich Informanten oder Militäroperationen gefährdeten, die US-Regierung behauptete dies, Menschenrechtsorganisationen bestritten belastbare Beweise dafür. Nicht abschließend juristisch aufgearbeitet sind die von UN-Sonderberichterstattern kritisierten Haftbedingungen Mannings, darunter monatelange Einzelhaft.

Der AT&T-Techniker Mark Klein deckte 2006 auf, dass die NSA in einem geheimen Raum namens 641A in der AT&T-Vermittlungsstelle in San Francisco per Glasfaser-Beam-Splittern und einem Narus-Gerät den gesamten Internet-Backbone-Verkehr kopieren ließ, seit 2003 in Betrieb. Die von Klein vorgelegten internen AT&T-Dokumente bildeten die Grundlage der Klage Hepting v. AT&T, die die EFF am 31. Januar 2006 einreichte. Ein Bundesrichter wies im Juli 2006 den Antrag der Regierung ab, die Klage per Staatsgeheimnis-Privileg abzuweisen.

Offen blieb, wie viele weitere solcher Räume es bei anderen Telekommunikationsanbietern landesweit gab, da sich die Regierung durchgehend auf das Staatsgeheimnis-Privileg berief. Zu einer inhaltlichen gerichtlichen Klärung der Rechtmäßigkeit kam es nie: Der Kongress gewährte den Telekomfirmen 2008 rückwirkende Immunität, Hepting v. AT&T wurde 2011 abgewiesen.

Der verschlüsselte E-Mail-Dienst Lavabit wurde im Juni 2013 per Gerichtsbeschluss gezwungen, seine privaten SSL-Schlüssel an US-Behörden herauszugeben, um Metadaten des Nutzers Edward Snowden zu erfassen. Gründer Ladar Levison übergab die Schlüssel zunächst nur als unleserlichen 11-seitigen Ausdruck in 4-Punkt-Schrift, wurde mit 5000 Dollar Tagesstrafe belegt und schloss den Dienst mit rund 410.000 registrierten Nutzern im August 2013 vollständig, statt die Verschlüsselung aller Kunden zu kompromittieren.

Nicht abschließend gerichtlich geklärt wurde die grundsätzliche Frage, ob die Herausgabepflicht für private Master-Schlüssel überhaupt rechtmäßig war, da das Berufungsgericht 2014 nur die Verfahrensfehler von Levisons Einspruch prüfte. Unklar bleibt auch, welche Daten anderer Lavabit-Nutzer die Behörden durch den erzwungenen Schlüsselzugriff tatsächlich einsehen konnten.

Der von Bundestag und Bundesregierung eingesetzte Sonderermittler Kurt Graulich stellte im Oktober 2015 fest, dass der BND von der NSA gelieferte Selektoren zur Überwachung nutzte, von denen bis zu 40.000 von rund einer Million gegen westeuropäische und deutsche Ziele gerichtet waren. Darunter befanden sich knapp 70 Telefonnummern der Rüstungskonzerne EADS und Eurocopter. Der Bericht bestätigte Verstöße gegen das geheime Memorandum of Agreement von 2002 und gegen deutsches Recht.

Ob die NSA mit den EADS- und Eurocopter-Selektoren gezielt Wirtschaftsspionage betrieb oder nur militärische Aufklärung verfolgte, konnte der Bericht nicht abschließend klären. Die vollständige Selektorenliste wurde dem Untersuchungsausschuss nie vorgelegt, da das Bundesverfassungsgericht 2016 entschied, dass die Bundesregierung sie zurückhalten darf.

Der britische Geheimdienst GCHQ betrieb mit technischer Unterstützung der NSA das Programm Optic Nerve, das zwischen 2008 und mindestens 2012 automatisch alle fünf Minuten Standbilder aus Yahoo-Messenger-Webcam-Chats abgriff und in einer durchsuchbaren Datenbank speicherte. Allein in einem Sechsmonatszeitraum wurden Bilder von rund 1,8 Millionen Yahoo-Nutzerkonten weltweit erfasst, unabhängig davon, ob die Betroffenen Zielpersonen der Geheimdienste waren.

Nicht öffentlich belegt ist, wie viele der gespeicherten Bilder tatsächlich für Gesichtserkennungsexperimente oder konkrete Ermittlungen genutzt wurden und was mit dem Datenbestand langfristig geschah. Offen bleibt zudem, in welchem Umfang die NSA selbst auf die gesammelten Bilder zugriff und ob das Programm nach 2012 fortgeführt wurde.

Die Washington Post berichtete am 30.10.2013 auf Basis von Snowden-Dokumenten, dass NSA und der britische Geheimdienst GCHQ im gemeinsamen Programm MUSCULAR heimlich die internen Glasfaserverbindungen zwischen den Rechenzentren von Google und Yahoo weltweit anzapften. Laut einer internen NSA-Abrechnung vom 09.01.2013 wurden allein in 30 Tagen 181.280.466 neue Datensätze erfasst, deutlich mehr als über das bekanntere Programm PRISM. Google und Yahoo erklärten öffentlich, der NSA keinen Zugang zu ihren Rechenzentren gewährt zu haben, und begannen daraufhin ab November 2013 die Datenverbindungen zwischen ihren Rechenzentren zu verschlüsseln.

Offen bleibt, wie viele der abgegriffenen Datensätze tatsächlich US-Bürger betrafen und in welchem Umfang die Daten für konkrete Ermittlungen genutzt wurden. Die genaue technische Umsetzung des Zugriffspunkts sowie die Frage, ob dafür überhaupt eine richterliche Anordnung nötig gewesen wäre, sind bis heute nicht abschließend gerichtlich geklärt.

Der britische Geheimdienst GCHQ drang laut Snowden-Dokumenten und übereinstimmender Recherche von The Intercept, Spiegel und heise online zwischen 2010 und 2011 in das Netz des belgischen Telekomanbieters Belgacom ein und installierte die hochentwickelte Spionagesoftware Regin. Die Angreifer kompromittierten gezielt Systemadministratoren über gefälschte LinkedIn-Seiten und blieben bis zur Entdeckung im Sommer 2012 rund zwei Jahre unbemerkt im Netz. Betroffen waren mindestens 120 Systeme sowie die Tochterfirma BICS, ein internationaler Mobilfunk-Roaming-Knoten.

Die britische Regierung und der GCHQ haben eine Beteiligung nie offiziell bestätigt oder dementiert. Die belgische Strafermittlung mit dem Codenamen Trinity wurde laut The Intercept 2018 ohne Anklage eingestellt. Der genaue Umfang der abgeflossenen Daten und ob die Systembereinigung bei Belgacom je vollständig gelang, bleiben offen.

Juniper Networks bestätigte am 17./18. Dezember 2015 in einer Sicherheitswarnung (JSA10713), dass unautorisierter Code in das Betriebssystem ScreenOS seiner NetScreen-Firewalls eingeschleust worden war. Der Code (CVE-2015-7755, CVE-2015-7756) ermöglichte sowohl einen Authentifizierungs-Bypass über SSH/Telnet als auch die passive Entschlüsselung von VPN-Verkehr durch eine manipulierte Konstante im Dual-EC-Zufallszahlengenerator. Nach Angaben von Juniper war der Code seit August 2012 in der Software vorhanden, betroffen waren die ScreenOS-Versionen 6.2.0r15 bis 6.2.0r18 und 6.3.0r12 bis 6.3.0r20.

Wer den Code eingeschleust hat, ist bis heute nicht offiziell geklärt; Sicherheitsforscher vermuten einen staatlichen Akteur, ohne dass Juniper oder US-Behörden einen Verantwortlichen öffentlich benannt haben. Unklar bleibt auch, in welchem Umfang der Zugang tatsächlich für Spionage genutzt wurde und welche konkreten Ziele betroffen waren.