Quellen-Tabelle

Reuters enthüllte am 21.12.2013, dass die NSA rund 10 Millionen Dollar an RSA Security zahlte, damit der Zufallszahlengenerator Dual_EC_DRBG als Standardeinstellung im BSafe-Toolkit verankert wurde. Sicherheitsforscher hatten die Schwachstelle des Generators bereits 2007 aufgezeigt, nach den Snowden-Leaks 2013 riet RSA seinen Kunden offiziell von der weiteren Nutzung ab.

RSA bestritt öffentlich, wissentlich eine Hintertür eingebaut zu haben, und erklärte, die Entscheidung von 2004 sei Teil eines branchenweiten Standardisierungsprozesses gewesen. Ob RSA zum Zeitpunkt der Vereinbarung tatsächlich um die Backdoor-Eigenschaft wusste, bleibt bis heute umstritten und ist nicht abschließend belegt.

Der Sicherheitsforscher Trevor Eckhart deckte im November 2011 auf, dass die Diagnosesoftware Carrier IQ auf über 140 Millionen Smartphones, vor allem HTC-Android-Geräten in den USA, installiert war und dort als verstecktes Rootkit Tastatureingaben, Standort und Appnutzung protokollierte, ohne dass Nutzer sie deaktivieren konnten. US-Senator Al Franken und Kongressabgeordneter Edward Markey forderten eine Untersuchung durch FTC und FCC, und mindestens acht Sammelklagen wurden gegen Carrier IQ, HTC, Samsung und Mobilfunkanbieter eingereicht.

Ob Carrier IQ tatsächlich Tastatureingaben im Klartext als Inhalt protokollierte, blieb umstritten. Das Unternehmen bestritt dies und bezeichnete die geloggten Daten als codiert bzw. als Softwarefehler. Ob die angekündigten FTC- oder FCC-Ermittlungen zu förmlichen Anklagen oder Bußgeldern führten und wie die Sammelklagen ausgingen, ist aus den verfügbaren Quellen nicht ersichtlich.

Snowden-Dokumente belegten das geheime NSA-Programm Bullrun, veröffentlicht am 05.09.2013 gemeinsam von ProPublica, New York Times und Guardian. Die NSA kooperierte mit US-Technikfirmen für Hintertüren und schwächte gezielt einen internationalen NIST-Verschlüsselungsstandard von 2006. Zusätzlich betrieb die NSA Datenbanken mit erbeuteten Verschlüsselungsschlüsseln und arbeitete mit Telekommunikationsanbietern an überwachungsfreundlicher Netzinfrastruktur.

Welche Firmen konkret an den Hintertüren mitwirkten, blieb in den veröffentlichten Dokumenten größtenteils geschwärzt. Die genauen Methoden zur Schlüsselbeschaffung wurden nicht offengelegt. Unklar blieb auch, welcher Anteil der weltweit genutzten Verschlüsselung dadurch tatsächlich kompromittiert wurde.

Die belgische Datenschutzbehörde APD/GBA stellte am 2. Februar 2022 fest, dass IAB Europes Transparency and Consent Framework (TCF) für Cookie-Einwilligungen gegen die DSGVO verstößt. Sie verhängte ein Bußgeld von 250.000 Euro und stufte IAB Europe als Mitverantwortlichen für die Verarbeitung der TC-Strings ein, digitale Zeichenketten mit Nutzerpräferenzen, die als personenbezogene Daten gelten. Bemängelt wurden unter anderem eine fehlende Rechtsgrundlage, ein fehlender Datenschutzbeauftragter und eine zu unklare Nutzerinformation.

Offen blieb zum Zeitpunkt der Entscheidung, ob IAB Europe den geforderten Aktionsplan fristgerecht umsetzen würde, da das Unternehmen gegen die Entscheidung beim Brüsseler Marktenhof Berufung einlegte. Wie stark sich das Real-Time-Bidding-Ökosystem mit tausenden beteiligten Werbeunternehmen dadurch tatsächlich änderte, geht aus der Entscheidung selbst nicht hervor.

Am 8. Februar 2015 veröffentlichte das ICIJ mit über 140 Journalisten aus mehr als 50 Medien die Swiss-Leaks-Recherche auf Basis von rund 60.000 Dateien, die der ehemalige HSBC-IT-Mitarbeiter Hervé Falciani entwendet hatte. Die Dokumente betrafen rund 100.000 Kunden mit etwa 100 Milliarden Dollar bei HSBC Private Bank (Suisse) in Genf und belegten, dass die Bank Kunden bei Steuerhinterziehung unterstützte. In der Folge zahlte HSBC 2017 eine Strafe von 352 Millionen Euro in Frankreich und 2019 192 Millionen Dollar in den USA.

Falciani wurde 2015 von einem Schweizer Gericht in Abwesenheit wegen Wirtschaftsspionage zu fünf Jahren Haft verurteilt, vom Vorwurf des Geheimnisverrats aber freigesprochen; da Frankreich eigene Staatsangehörige nicht ausliefert, trat er die Strafe nie an. Offen bleibt, in wie vielen der rund 100.000 Einzelfälle tatsächlich Steuerhinterziehung nachgewiesen wurde, da nicht jedes Konto bei einer Schweizer Privatbank illegal ist.

Aus dem Firmenregister der Bahamas gelangten 1,3 Millionen Dateien an Journalisten der Süddeutschen Zeitung, die sie mit dem ICIJ und internationalen Medienpartnern auswerteten. Die Dokumente listen Direktoren und teils Eigentümer von mehr als 175.000 bahamaischen Firmen, Trusts und Stiftungen aus den Jahren 1990 bis Anfang 2016, darunter die frühere EU-Kommissarin Neelie Kroes als nicht gemeldete Direktorin einer Offshore-Gesellschaft.

Die Quelle der geleakten Registerdaten wurde nie öffentlich identifiziert. Nicht abschließend dokumentiert ist, in wie vielen der 175.000 Fälle die Offshore-Struktur tatsächlich zu Steuerhinterziehung oder anderer Kriminalität genutzt wurde, da die bloße Eintragung im Register allein noch kein Fehlverhalten belegt.

Am 14.11.2023 veröffentlichte das ICIJ mit Paper Trail Media und rund 270 Journalisten aus 69 Medienpartnern die Recherche Cyprus Confidential, basierend auf 3,6 Millionen Dokumenten aus sieben zyprischen und einer lettischen Finanzfirma. Die Auswertung belegt, dass 67 der 105 russischen Milliardäre der Forbes-Liste 2023 zyprische Dienstleister nutzten, um Vermögen vor westlichen Sanktionen zu verstecken, und identifiziert mehr als 650 Firmen und Trusts mit Bezug zu seit 2014 sanktionierten Russen.

Offen bleibt, welcher Anteil der über 650 identifizierten Firmen und Trusts tatsächlich zur aktiven Sanktionsumgehung diente, da viele Strukturen formal legal blieben. Zyperns Präsident kündigte nach Veröffentlichung Ermittlungen an, deren Ausgang zum Zeitpunkt der Recherche noch nicht feststand.

Die niederländische Staatsanwaltschaft einigte sich am 19.04.2021 mit der Bank ABN AMRO außergerichtlich auf eine Zahlung von 480 Millionen Euro wegen struktureller Verstöße gegen das niederländische Geldwäschegesetz zwischen 2014 und 2020. Die Ermittlungen belegten, dass rund 5,5 Millionen Privatkunden fehlerhaft als risikoarm eingestuft wurden und das Transaktionsüberwachungssystem dauerhaft mehr Alarme erzeugte als die Bank bearbeiten konnte.

Offen blieb zum Zeitpunkt der Einigung, ob es zu einer strafrechtlichen Anklage gegen die drei namentlich als Verdächtige geführten früheren ABN-AMRO-Vorstandsmitglieder kommt. Die Bank räumte im Vergleich keine strafrechtliche Schuld ein.

Ross Ulbricht betrieb ab Januar 2011 unter dem Pseudonym Dread Pirate Roberts die per Tor verborgene Website Silk Road, über die Drogen und andere illegale Waren gegen Bitcoin gehandelt wurden. Am 1. Oktober 2013 wurde Ulbricht in San Francisco festgenommen, die Website wurde tags darauf abgeschaltet. Am 5. Februar 2015 sprach ihn eine Jury in allen sieben Anklagepunkten schuldig, am 29. Mai 2015 verurteilte das Gericht ihn zu lebenslanger Haft ohne Bewährungsmöglichkeit.

Ulbricht wurde vorgeworfen, mehrere Auftragsmorde in Auftrag gegeben zu haben, dafür aber nie separat angeklagt oder verurteilt, die Vorwürfe blieben strafrechtlich ungeklärt. Am 21. Januar 2025 begnadigte US-Präsident Donald Trump Ulbricht vollständig und unbedingt, er kam nach fast elf Jahren Haft frei.

Die damals größte Bitcoin-Börse Mt.Gox bestätigte Anfang März 2014 den Verlust von rund 850.000 Bitcoin im Gegenwert von damals 368,4 Millionen Euro. Davon stammten 750.000 Bitcoin von Kunden, 100.000 gehörten der Börse selbst. Mt.Gox meldete daraufhin beim Bezirksgericht Tokio Insolvenz an.

Zum Zeitpunkt der Meldung war ungeklärt, ob ein technischer Fehler im Bitcoin-Protokoll oder ein interner Diebstahl die Ursache war. Der Verbleib der verschwundenen Bitcoin war unbekannt.

Das US-Justizministerium teilte mit, dass FTX-Gründer Samuel Bankman-Fried am 28. März 2024 zu 25 Jahren Haft und drei Jahren Bewährungsaufsicht verurteilt wurde. Er wurde für schuldig befunden, Kundengelder der im November 2022 kollabierten Kryptobörse FTX in Milliardenhöhe veruntreut, FTX-Investoren um mehr als 1,7 Milliarden Dollar und Alameda-Kreditgeber um mehr als 1,3 Milliarden Dollar betrogen zu haben. Das Gericht ordnete zudem eine Vermögenseinziehung von rund 11 Milliarden Dollar an.

Offen blieb laut Presseberichten, in welchem Umfang die angeordnete Einziehungssumme tatsächlich von Bankman-Fried eingetrieben werden kann, da er nach Richterangaben nicht über entsprechende Vermögenswerte verfügt. Bankman-Fried kündigte Berufung gegen das Urteil an, deren Ausgang zum Zeitpunkt der Mitteilung nicht feststand.

Am 23.03.2022 wurden fünf von neun Validator-Schlüsseln der Ronin-Bridge des Spieleentwicklers Sky Mavis (Axie Infinity) kompromittiert, wodurch Angreifer 173.600 Ether und 25,5 Millionen USDC im Gesamtwert von rund 625 Millionen Dollar abziehen konnten. Der Zugriff erfolgte laut Sky Mavis über einen manipulierten Gas-freien RPC-Knoten, nachdem ein leitender Ingenieur zuvor mit einem gefälschten Jobangebot geködert worden war. Das FBI bestätigte am 14.04.2022 offiziell, dass die nordkoreanische Lazarus-Gruppe verantwortlich war.

Wie genau der gefälschte Job-Köder technisch zum Zugriff auf den RPC-Knoten führte, wurde von Sky Mavis nur in groben Zügen offengelegt. Nur ein Bruchteil der gestohlenen Gelder wurde je sichergestellt, eine strafrechtliche Verurteilung einzelner Täter liegt bis heute nicht vor, da sich die Verantwortlichen mutmaßlich in Nordkorea befinden.

Am 10. August 2021 erbeutete ein Angreifer durch Ausnutzung einer Schwachstelle in den Smart Contracts des Cross-Chain-Protokolls Poly Network Kryptowerte im Wert von rund 600 Millionen Dollar auf den Blockchains Ethereum, Binance Smart Chain und Polygon. Bereits einen Tag später begann der Angreifer, den Großteil der Gelder zurückzuüberweisen, nachdem Poly Network öffentlich dazu aufgerufen hatte. Tether fror rund 33 Millionen Dollar der gestohlenen USDT-Bestände ein.

Die Identität des Angreifers wurde nie zweifelsfrei geklärt, seine angebliche Begründung, die Tat sei zum Spaß und zum Aufzeigen der Sicherheitslücke erfolgt, ist unbelegt. Nicht abschließend dokumentiert ist auch, ob der Angreifer allein handelte oder ob es Mittäter gab.

Laut US-Bundesanwaltschaft SDNY verkaufte OneCoin ab 2014 in Bulgarien eine erfundene Kryptowährung ohne echte Blockchain über ein weltweites Multi-Level-Marketing-Netzwerk und erbeutete so über 4 Milliarden Dollar von rund 3,5 Millionen Anlegern. Mitgründer Karl Sebastian Greenwood wurde am 12.09.2023 zu 20 Jahren Haft und 300 Millionen Dollar Einziehung verurteilt. Gründerin Ruja Ignatova wurde 2017 angeklagt, verschwand im Oktober 2017 und steht seit Juni 2022 auf der FBI-Liste der zehn meistgesuchten Flüchtigen.

Ruja Ignatovas Aufenthaltsort ist bis heute unbekannt, sie gilt weiter als flüchtig. Ein 2022 aufgetauchter Polizeibericht legt nahe, sie sei 2018 ermordet worden, ihre Leiche wurde jedoch nie gefunden. Spätere Hinweise auf mögliche Sichtungen sind nicht bestätigt, sodass offen bleibt, ob sie noch lebt.

Die SEC klagte Bill Hwang und weitere Führungskräfte von Archegos Capital Management wegen eines betrügerischen Schemas an. Hwang kaufte ab März 2020 auf Kredit Total Return Swaps und täuschte Banken systematisch über die tatsächliche Risikokonzentration seines Fonds. Als die Kurse der Positionen im März 2021 fielen, konnte Archegos Nachschussforderungen nicht bedienen, was zu Verlusten von über 10 Milliarden US-Dollar bei Banken wie Credit Suisse, Nomura, UBS und Morgan Stanley führte. Im Juli 2024 wurde Hwang für schuldig befunden und im November 2024 zu 18 Jahren Haft verurteilt.

Offen bleibt, wie hoch die tatsächlichen Gesamtverluste aller betroffenen Banken letztlich waren, da einzelne Institute unterschiedliche Zahlen nannten. Nicht abschließend geklärt ist zudem, inwieweit die beteiligten Prime-Broker-Banken durch eigenes Risikomanagement-Versagen zur Höhe der Verluste beitrugen.

Die BaFin verhängte am 3. März 2021 ein Moratorium über die Bremer Greensill Bank AG, nachdem diese keine Nachweise für Forderungen aus ihrer Lieferkettenfinanzierung vorlegen konnte. Am 16. März 2021 stellte die BaFin einen Entschädigungsfall fest und beantragte die Insolvenz beim Amtsgericht Bremen, das das Verfahren noch am selben Tag eröffnete. Kundeneinlagen werden über die gesetzliche Einlagensicherung bis 100.000 Euro entschädigt.

Die genaue Schadenshöhe für deutsche Kommunen und Sparkassen, die laut Medienberichten dreistellige Millionenbeträge bei der Greensill Bank angelegt hatten, wird in den BaFin-Mitteilungen nicht beziffert. Individuelle strafrechtliche oder aufsichtsrechtliche Verantwortlichkeiten von Bankmanagern waren zum Zeitpunkt der Veröffentlichung nicht abschließend geklärt.

Am 26. Januar 2018 stahlen Angreifer aus einer ungesicherten Hot Wallet der japanischen Kryptobörse Coincheck rund 523 Millionen NEM (XEM) im Wert von etwa 58 Milliarden Yen, umgerechnet rund 530 Millionen US-Dollar. Coincheck sicherte die Coins weder per Cold Wallet noch per Multisignatur ab, wovon rund 260.000 Kunden betroffen waren. Die japanische Finanzaufsicht FSA durchsuchte danach die Coincheck-Büros und erließ mehrere Verbesserungsanordnungen, Coincheck erstattete den Kunden im März 2018 rund 46,6 Milliarden Yen aus eigenen Mitteln.

Wer die Täter waren, ist bis heute nicht abschließend behördlich geklärt. Bloomberg berichtete unter Berufung auf Ermittler über einen Verdacht gegen Nordkorea, eine offizielle Bestätigung japanischer Behörden dafür liegt jedoch nicht vor.

Am 1. August 2024 trat die EU-Verordnung über Künstliche Intelligenz, Verordnung (EU) 2024/1689, in Kraft, nachdem sie am 12. Juli 2024 im Amtsblatt der EU veröffentlicht worden war. Die EU-Kommission bezeichnet sie offiziell als weltweit erstes umfassendes Rechtsrahmenwerk für KI. Die Pflichten gelten gestaffelt: Verbote bestimmter KI-Praktiken wie Social Scoring ab dem 2. Februar 2025, Governance-Regeln und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck ab dem 2. August 2025.

Offen bleibt, bis wann die Pflichten für Hochrisiko-KI-Systeme in Bereichen wie Bildung, Beschäftigung oder Migration vollständig greifen, da die Kommission über das separat verhandelte Digital-Omnibus-Paket Verschiebungen dieser Fristen vorschlägt. Wie streng die nationalen Marktüberwachungsbehörden die Vorgaben in der Praxis durchsetzen und mit welchen Bußgeldern, ist zum Erfassungszeitpunkt noch nicht erprobt.

Die italienische Datenschutzbehörde Garante ordnete am 30. März 2023 eine sofortige vorläufige Beschränkung der Datenverarbeitung durch ChatGPT in Italien an. Als Gründe nannte sie die fehlende Rechtsgrundlage für die massenhafte Sammlung und Speicherung personenbezogener Daten zum Training der Algorithmen, mangelhafte Nutzerinformation sowie das Fehlen einer Altersverifikation für Minderjährige. Ausgelöst wurde die Maßnahme auch durch ein Datenleck bei OpenAI vom 20. März 2023. Nachdem OpenAI bis zum 28. April 2023 Auflagen umsetzte, wurde der Dienst wieder freigeschaltet.

Offen bleibt, in welchem Umfang OpenAI die geforderten Maßnahmen tatsächlich dauerhaft und vollständig umsetzte, da spätere Verfahren des Garante weitere Verstöße feststellten. Nicht abschließend geklärt ist zudem, wie wirksam die eingeführte Altersverifikation in der Praxis tatsächlich Minderjährige schützt.

Samsung Electronics verbot im Mai 2023 firmenweit die Nutzung von ChatGPT, Google Bard und ähnlichen KI-Chatbots auf Firmengeräten und im internen Netzwerk. Auslöser waren mindestens drei Vorfälle in der Halbleitersparte binnen rund drei Wochen, bei denen Mitarbeiter fehlerhaften Fertigungs-Quellcode, Testcode zur Chip-Fehleranalyse und ein internes Meeting-Protokoll in ChatGPT eingaben. Samsung drohte bei Verstößen disziplinarische Maßnahmen bis zur Kündigung an.

Nicht öffentlich bekannt sind die Namen der beteiligten Mitarbeiter und der genaue Umfang des tatsächlich abgeflossenen Codes. Unklar bleibt auch, ob die eingegebenen Daten in spätere ChatGPT-Antworten an andere Nutzer einflossen oder von OpenAI zum Modelltraining verwendet wurden.

Die italienische Datenschutzbehörde Garante erließ am 2. Februar 2023 eine Dringlichkeitsanordnung gegen den US-Anbieter Luka Inc und untersagte die Verarbeitung personenbezogener Daten italienischer Nutzer durch den KI-Begleiter-Chatbot Replika. Grund waren fehlende Altersverifikation und Verstöße gegen Transparenzpflichten der DSGVO, da Replika Minderjährige nicht wirksam ausschließen konnte und diesen laut Tests auch sexuell konnotierte Antworten lieferte. Bei Nichtbefolgung drohte eine Strafe von bis zu 20 Millionen Euro.

Offen bleibt, wie viele italienische Minderjährige Replika tatsächlich nutzten und welchen konkreten Schaden sie erlitten. Die genaue Höhe der später verhängten Geldbuße gegen Luka Inc ist in den hier genutzten Quellen nicht abschließend beziffert.

Vodafone Deutschland bestätigte am 12. September 2013 einen Angriff auf einen internen Server, bei dem Name, Adresse, Geburtsdatum, Geschlecht, Bankleitzahl und Kontonummer von rund zwei Millionen Kunden entwendet wurden. Vodafone erklärte, der Angriff sei nur mit hoher krimineller Energie und Insiderwissen möglich gewesen. Die Polizei identifizierte einen tatverdächtigen Mitarbeiter, während eine Hackergruppe namens Team_L4w sich in einem Bekennerschreiben zu der Tat bekannte.

Offen blieb, wer die Tat tatsächlich beging und ob der festgenommene Verdächtige allein oder im Zusammenwirken mit der Hackergruppe handelte. Unklar blieb auch der genaue Verschlüsselungsstatus der Kundendaten sowie der volle Umfang des Datenbankzugriffs.

Der BfDI Ulrich Kelber verhängte am 9. Dezember 2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH. Grund war ein Verstoß gegen Art. 32 DSGVO, da Anrufer an der Kundenhotline sich lediglich mit Name und Geburtsdatum ausweisen mussten und dadurch unbefugt an persönliche Kundendaten gelangen konnten. Auslöser war ein 2018 dokumentierter Fall, in dem eine Ex-Partnerin so die neue Telefonnummer eines Kunden erfragte.

1&1 legte gegen das Bußgeld Einspruch ein. Das Landgericht Bonn bestätigte 2020 zwar den Verstoß, reduzierte die Strafe aber auf 900.000 Euro, da es die Fahrlässigkeit als gering einstufte. Ob weitere Kunden konkret geschädigt wurden, ist nicht dokumentiert.

In der Nacht vom 7. auf den 8. November 2021 griff die Ransomware-Gruppe Hive die IT-Infrastruktur der MediaMarktSaturn Retail Group an und verschlüsselte nach Unternehmensangaben rund 3100 Windows-Server. Betroffen waren Filialen und nationale Gesellschaften in 13 europäischen Ländern, Kassen- und Warenwirtschaftssysteme fielen zeitweise aus, während die Online-Shops weiterliefen. Die Angreifer forderten laut späteren Medienberichten zunächst 240 Millionen US-Dollar Lösegeld, was auf rund 50 Millionen US-Dollar reduziert wurde.

Offen bleibt, ob MediaMarktSaturn tatsächlich Lösegeld gezahlt hat und in welcher Höhe. Der genaue technische Einstiegsweg der Hive-Gruppe in das Firmennetz ist öffentlich nicht dokumentiert. Unklar blieb zum Zeitpunkt der Berichterstattung zudem, ob und in welchem Umfang die Angreifer tatsächlich Daten entwendet und veröffentlicht haben.

Der Automobilzulieferer Continental wurde im Sommer 2022 von der Ransomware-Gruppe LockBit angegriffen, die rund 40 Terabyte an Daten erbeutete. Betroffen waren Unternehmens- und Kundendaten sowie personenbezogene Informationen einer niedrigen bis mittleren fünfstelligen Zahl von Beschäftigten, weshalb Continental Zehntausende DSGVO-Informationsschreiben verschickte. LockBit forderte zunächst 50 Millionen US-Dollar Lösegeld, das Unternehmen erklärte, sich nicht erpressen lassen zu wollen.

Der genaue finanzielle Schaden und der exakte Umfang der tatsächlich veröffentlichten Daten sind nicht öffentlich bestätigt. Unklar bleibt auch, ob und in welchem Umfang die Lösegeldforderung letztlich verhandelt oder bezahlt wurde.