Quellen-Tabelle

Der baden-württembergische Landtag verabschiedete am 12.11.2025 mit grün-schwarzer Mehrheit eine Neufassung des Polizeigesetzes, die die rechtliche Grundlage für den Einsatz der Analysesoftware von Palantir bei der Polizei schafft. Das System soll laut Gesetzentwurf ab dem zweiten Quartal 2026 einsatzbereit sein und erlaubt zudem die Nutzung von Polizeidaten zum Training von KI-Systemen außerhalb rein wissenschaftlicher Forschung. Der Landesdatenschutzbeauftragte Tobias Keber äußerte mehrere Kritikpunkte an der verfassungsrechtlichen Konformität des Gesetzes.

Die konkreten Einzelpunkte von Kebers Kritik sind nicht im Wortlaut wiedergegeben. Anders als in Bayern ist zum Berichtszeitpunkt keine Verfassungsbeschwerde gegen das baden-württembergische Gesetz bekannt, eine gerichtliche Überprüfung steht noch aus.

Der Erste Senat des Bundesverfassungsgerichts entschied am 24.01.2012, dass Sicherheitsbehörden Zugangssicherungscodes wie PIN und PUK nach § 113 Absatz 1 Satz 2 TKG nur abfragen dürfen, wenn die gesetzlichen Voraussetzungen für die Nutzung dieser Codes vorliegen. Die bestehende Fassung der Norm erklärte das Gericht insoweit für verfassungswidrig. Zugleich formulierte der Senat das sogenannte Doppeltürenmodell, wonach für Datenabruf und Datenübermittlung jeweils eigene, korrespondierende Rechtsgrundlagen nötig sind.

Wie oft Sicherheitsbehörden vor diesem Beschluss tatsächlich PIN, PUK oder andere Zugangssicherungscodes abgefragt haben, geht aus der Entscheidung nicht hervor. Die als Reaktion geschaffene Neufassung des § 113 TKG wurde acht Jahre später in einem separaten Verfahren am 27.05.2020 ihrerseits vom Bundesverfassungsgericht für verfassungswidrig erklärt, dieses spätere Urteil ist nicht Gegenstand dieser Quelle.

Der Bundestag verabschiedete am 25.03.2021 die Novelle des BND-Gesetzes als gesetzliche Reaktion auf das BVerfG-Urteil vom 19.05.2020, das die bisherige Ausland-Ausland-Fernmeldeaufklärung des BND für verfassungswidrig erklärt hatte. Das neue Gesetz erlaubt dem BND laut netzpolitik.org das Abhören großer Teile der weltweiten Telekommunikationsnetze sowie das Eindringen in IT-Systeme von Kommunikationsanbietern, zugleich wurde ein unabhängiger Kontrollrat als Aufsichtsbehörde eingeführt. Bundespräsident Steinmeier unterzeichnete das Gesetz am 19.04.2021.

In welchem tatsächlichen Umfang der BND die 2021 neu geschaffenen Befugnisse seither nutzt, geht aus den verfügbaren Quellen nicht hervor. Ob der neue Kontrollrat die vom Bundesverfassungsgericht geforderte wirksame Kontrolle in der Praxis sicherstellt, ist nicht belegt.

Die Berliner Datenschutzbeauftragte verhängte im August 2019 Bußgelder von insgesamt 195.407 Euro gegen die Delivery Hero Germany GmbH, zu der die Marken Lieferheld, Pizza.de und foodora gehörten. In zehn Fällen hatte das Unternehmen Konten ehemaliger Kunden trotz jahrelanger Inaktivität nicht gelöscht, in einem Fall seit 2008. Acht Kunden erhielten trotz Widerspruchs weiter Werbe-E-Mails, in fünf Fällen kam das Unternehmen Auskunftsersuchen nicht oder erst nach Einschreiten der Behörde nach. Der neue Eigentümer Takeaway.com akzeptierte die Bescheide ohne Rechtsmittel.

Die Pressemitteilung nennt kein exaktes Tagesdatum des Bußgeldbescheids innerhalb des Monats August 2019. Wie viele Kundenkonten insgesamt von dem Löschproblem betroffen waren, ist nicht erkennbar, da die genannten Fälle auf konkreten Beschwerden beruhen.

Die italienische Datenschutzbehörde Garante verhängte am 22.07.2021 ein Bußgeld von 2,5 Millionen Euro gegen den Lieferdienst Deliveroo Italy. Betroffen waren rund 8.000 Rider, deren Standort über die Arbeits-App alle 12 Sekunden erfasst und bis zu sechs Monate gespeichert wurde. Die Behörde bemängelte zudem intransparente Algorithmen zur Auftrags- und Schichtvergabe sowie eine unzureichende Datenschutz-Folgenabschätzung.

Ob Deliveroo gegen den Bescheid gerichtlich vorging, ist aus den verfügbaren Quellen nicht ersichtlich. Die betroffenen Rider galten in Italien nicht als klassische Angestellte, sondern als Plattform-Beschäftigte mit besonderem Status.

Die US-Kommunikationsbehörde FCC verhängte am 13.04.2012 ein Bußgeld von 25.000 US-Dollar gegen Google wegen Behinderung ihrer Ermittlung zur Sammlung von WLAN-Nutzdaten durch Street-View-Kamerafahrzeuge. Google verzögerte die Herausgabe von E-Mails und weigerte sich zunächst, beteiligte Mitarbeiter zu benennen. Die FCC verzichtete auf eine Sanktion für die eigentliche Datensammlung selbst, da sie keine einschlägige Präzedenz für unverschlüsselten WLAN-Verkehr nach dem Wiretap Act sah.

Wie die Software zur Erfassung der WLAN-Payload-Daten im Detail konzipiert wurde, bleibt unklar, da der zuständige Ingenieur die Aussage verweigerte. Die FCC traf keine rechtliche Feststellung, dass die ursprüngliche Datensammlung selbst gegen US-Recht verstieß.

The Intercept veröffentlichte am 19.02.2015 auf Basis von Snowden-Dokumenten eine Recherche über den sogenannten Great SIM Heist. Ein 2010 gegründetes gemeinsames Team von NSA und GCHQ soll Systeme des niederländischen SIM-Kartenherstellers Gemalto gehackt haben, der jährlich rund zwei Milliarden SIM-Karten fertigt. Über das NSA-Suchsystem XKeyscore verschafften sich die Dienste Zugriff auf private E-Mail-Konten von Gemalto-Ingenieuren und erbeuteten darüber geheime SIM-Verschlüsselungsschlüssel, allein für Somalia wurden bis Juni 2010 rund 300.000 Schlüssel dokumentiert. Gemalto erklärte nach eigener Untersuchung, ein Angriff sei wahrscheinlich, ein massenhafter Diebstahl der Schlüssel selbst lasse sich jedoch nicht belegen.

Gemalto und The Intercept widersprechen sich bis heute im Kernpunkt, ob tatsächlich in großem Stil Schlüssel entwendet wurden. Die genaue Gesamtzahl der weltweit entwendeten SIM-Schlüssel sowie das Ausmaß ihrer Nutzung für konkrete Abhörmaßnahmen sind aus den Dokumenten nicht ersichtlich.

Nintendo bestätigte am 24.04.2020 zunächst rund 160.000 kompromittierte Nintendo Network IDs durch unbefugte Anmeldungen und korrigierte die Zahl am 09.06.2020 auf insgesamt rund 300.000 betroffene Konten. Zugangsdaten wurden nach Nintendos eigener Darstellung nicht aus den eigenen Systemen, sondern anderweitig erlangt und für Fremdanmeldungen genutzt, was auf Credential Stuffing hindeutet. Bei weniger als einem Prozent der betroffenen Konten kam es zu betrügerischen Käufen, Nintendo schaltete die NNID-Anmeldemöglichkeit dauerhaft ab und erstattete betroffenen Nutzern die Kosten.

Nintendo hat den genauen Angriffsweg nie im Detail offengelegt. Ob es sich eindeutig um Credential Stuffing, Phishing oder Brute-Force-Angriffe handelte, ist nicht offiziell bestätigt, sondern beruht auf Einschätzungen von Sicherheitsjournalisten.

Der US-Zahlungsdienstleister CardSystems Solutions entdeckte im Mai 2005 einen Einbruch, bei dem Angreifer per SQL-Injection Schadcode in eine webbasierte Anwendung einschleusten, der alle vier Tage Kreditkartendaten sammelte und per FTP versandte. Bis zu 40 Millionen Karten von Visa, Mastercard und weiteren Anbietern waren betroffen, Visa und American Express beendeten die Zusammenarbeit mit CardSystems. Am 23.02.2006 einigte sich die FTC mit CardSystems auf ein Verfahren wegen unzureichender Datensicherheit mit unabhängigen Audits über 20 Jahre, ohne Geldbuße.

Wer konkret hinter dem Angriff auf CardSystems steckte, ist öffentlich nicht dokumentiert. Die genaue Zahl der tatsächlich exportierten und missbrauchten Datensätze bleibt unklar, öffentlich kursiert vor allem die Obergrenze von rund 40 Millionen gespeicherten Kartendatensätzen.

Kaspersky Lab teilte am 10.06.2015 mit, im eigenen Firmennetzwerk eine hochentwickelte Spionage-Malware namens Duqu 2.0 entdeckt zu haben. Die Schadsoftware residierte ausschließlich im Arbeitsspeicher und nutzte bis zu drei Zero-Day-Schwachstellen sowie gestohlene digitale Zertifikate des Foxconn-Konzerns. Nach Kaspersky-Angaben wurden auch Hotels und Veranstaltungsorte der P5+1-Verhandlungen über das iranische Atomprogramm in Österreich und der Schweiz infiziert. Kaspersky ordnete den Angriff derselben Gruppe zu, die bereits 2011 die verwandte Schadsoftware Duqu entwickelt hatte, die Code-Ähnlichkeiten mit Stuxnet aufweist.

Eine offizielle Bestätigung, dass eine bestimmte Regierung oder Militäreinheit hinter Duqu 2.0 steht, liegt bis heute nicht vor. Kaspersky bezifferte weder die genaue Zahl der weltweit betroffenen Organisationen noch das exakte Ausmaß der aus dem eigenen Netzwerk abgeflossenen Daten abschließend.

Das ICIJ veröffentlichte am 19.01.2020 die Luanda Leaks, basierend auf mehr als 715.000 geleakten Dokumenten zur früheren Sonangol-Chefin Isabel dos Santos, Tochter des langjährigen angolanischen Präsidenten. An der Auswertung waren 36 Medienpartner und mehr als 120 Journalisten aus rund 20 Ländern beteiligt. Die Dokumente zeigten ein Netzwerk von mehr als 400 Firmen in 41 Ländern, über das öffentliche Gelder aus Angola abgeflossen sein sollen. Als Folge fror die Schweiz im August 2020 Vermögenswerte von rund 900 Millionen US-Dollar ein, Angola erhob im Januar 2024 in zwölf Anklagepunkten Vorwürfe gegen dos Santos, Großbritannien verhängte im November 2024 Sanktionen.

Isabel dos Santos bestreitet über ihre Anwälte jegliches Fehlverhalten. Gegen sie liegt seit 2022 eine Interpol-Red-Notice vor, eine tatsächliche Festnahme oder Auslieferung aus den Vereinigten Arabischen Emiraten ist bislang nicht erfolgt.

Am 03.04.2016 veröffentlichten das ICIJ und die Süddeutsche Zeitung gemeinsam mit über 100 weiteren Medienpartnern die Panama Papers. Grundlage waren 11,5 Millionen interne Dokumente der panamaischen Kanzlei Mossack Fonseca mit einem Gesamtvolumen von 2,6 Terabyte. Rund 400 Journalisten aus fast 80 Ländern werteten die Daten über ein Jahr lang aus. Die Unterlagen dokumentieren mehr als 214.000 Offshore-Gesellschaften mit Verbindungen zu Personen in über 200 Ländern und Territorien, darunter amtierende und ehemalige Staats- und Regierungschefs.

Nicht abschließend geklärt ist bis heute die konkrete Identität der Quelle, die die Dokumente an die Süddeutsche Zeitung weitergab, sie trat öffentlich nur unter dem Pseudonym John Doe auf. Offen bleibt, in welchem Umfang die sichtbaren Offshore-Strukturen jeweils legale Steuergestaltung oder illegale Steuerhinterziehung darstellten, da dies für jeden Einzelfall gesondert zu prüfen war. Die technische Vorgehensweise des Datenabflusses (Hack versus Insider-Leak) wurde nicht im Detail forensisch belegt.

Das ICIJ veröffentlichte am 05.11.2017 die Paradise Papers, basierend auf 13,4 Millionen geleakten Dateien überwiegend von der Offshore-Kanzlei Appleby mit Sitz in Bermuda, ergänzt um Unterlagen des Dienstleisters Asiaciti Trust und Firmenregister aus 19 Geheimhaltungsjurisdiktionen. Die Süddeutsche Zeitung erhielt die Dateien zuerst und teilte sie mit dem ICIJ und 95 Medienpartnern weltweit. Die Auswertung deckte Offshore-Aktivitäten von mehr als 120 Politikern und Staatschefs sowie Steuerplanung von rund 100 multinationalen Konzernen auf.

Wie die Süddeutsche Zeitung ursprünglich Zugang zu den Appleby-Dateien erhielt, ist nicht öffentlich dokumentiert. Nicht alle genannten Politiker und Unternehmen wurden individuell strafrechtlich verfolgt, die Nennung in den Papieren allein belegt keine Rechtswidrigkeit der jeweiligen Offshore-Strukturen.

Die New York Times berichtete am 01.06.2012 unter Berufung auf zahlreiche Regierungsvertreter über ein gemeinsames US-israelisches Cybersabotage-Programm gegen die iranische Urananreicherungsanlage Natanz mit dem Codenamen Olympic Games. Im Sommer 2010 entkam ein Teil der eingesetzten Schadsoftware durch einen Programmierfehler aus der Anlage und verbreitete sich weltweit im Internet, Sicherheitsforscher benannten den Wurm Stuxnet. Die letzte im Artikel beschriebene Angriffswelle legte vorübergehend fast 1.000 der rund 5.000 zu diesem Zeitpunkt in Natanz laufenden Zentrifugen lahm.

Der Bericht stützt sich auf anonyme Insider-Quellen, eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor. Wie viele Zentrifugen dauerhaft zerstört statt nur vorübergehend gestoppt wurden, bleibt unter Experten umstritten.

Das US-Office of Personnel Management gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff Datensätze von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller für Sicherheitsüberprüfungen. Erbeutet wurden Sozialversicherungsnummern, Wohnsitz- und Ausbildungsdaten sowie Gesundheits-, Straf- und Finanzdaten aus den Sicherheitsüberprüfungsformularen SF-86, SF-85 und SF-85P. Zusätzlich waren zunächst 1,1 Millionen Fingerabdruck-Datensätze betroffen, diese Zahl wurde im September 2015 auf 5,6 Millionen korrigiert. US-Geheimdienstdirektor James Clapper bezeichnete China als leading suspect für den Angriff, China wies eine Beteiligung zurück.

Eine formelle, namentliche Zurechnung des Angriffs zu chinesischen Regierungsstellen wurde von der US-Regierung nie mit Beweisführung veröffentlicht. Wie viele der 21,5 Millionen Betroffenen mit den 4,2 Millionen Betroffenen der ersten, separaten OPM-Datenpanne identisch sind, wird in Berichten unterschiedlich beziffert.

Das US-Justizministerium gab am 09.05.2019 Anklage gegen den chinesischen Staatsbürger Fujie Wang sowie einen unidentifizierten Mittäter wegen des Einbruchs bei US-Krankenversicherer Anthem im Jahr 2015 bekannt. Erbeutet wurden Daten von rund 78,8 Millionen Personen, darunter Namen, Sozialversicherungsnummern, Versichertennummern, Geburtsdaten, Adressen und Beschäftigungsangaben. Das Justizministerium ordnete die Täter einer in China ansässigen Hackergruppe zu.

Eine offizielle Verbindung der Hackergruppe zur chinesischen Regierung stellte das Justizministerium in der Anklage nicht her. Ob Fujie Wang oder der Mittäter je festgenommen wurden, ist aus dieser Quelle nicht ersichtlich, beide galten als flüchtig in China.

Ende Mai 2016 bot ein Hacker namens Peace auf einem Darknet-Marktplatz einen Datensatz mit rund 360 Millionen MySpace-E-Mail-Adressen und 427 Millionen Passwörtern für umgerechnet rund 2.800 US-Dollar zum Verkauf an. Der zugrunde liegende Einbruch wird von Have I Been Pwned auf etwa 2008 datiert, betroffen waren E-Mail-Adressen, Nutzernamen und unsalted SHA1-Passwort-Hashes. MySpace bestätigte 2016 lediglich, von dem Vorfall erfahren zu haben, und setzte Passwörter alter Konten zurück.

Wann genau und auf welchem technischen Weg die Daten ursprünglich bei MySpace entwendet wurden, ist bis heute nicht geklärt. Auch die tatsächliche Identität des Verkäufers Peace ist öffentlich nicht zweifelsfrei belegt.

Der Landesbeauftragte für Datenschutz Baden-Württemberg verhängte am 25.06.2020 ein Bußgeld von 1.240.000 Euro gegen die AOK Baden-Württemberg wegen eines Verstoßes gegen Art. 32 DSGVO im Zusammenhang mit Gewinnspielen zwischen 2015 und 2019. Die technischen und organisatorischen Maßnahmen der AOK stellten nicht sicher, dass nur Daten von Teilnehmern mit wirksamer Einwilligung zu Werbezwecken genutzt wurden. Dadurch wurden personenbezogene Daten von mehr als 500 Gewinnspielteilnehmern ohne gültige Einwilligung für Werbung verwendet.

Die genaue Gesamtzahl aller Gewinnspielteilnehmer ist nicht öffentlich beziffert, die Behörde nennt nur die Mindestzahl von über 500 Betroffenen ohne wirksame Einwilligung. Versichertendaten im engeren Sinn waren laut Aufsichtsbehörde nicht betroffen, dies stützt sich allein auf deren eigene Angabe.

Am 21.10.2016 wurde die DNS-Infrastruktur des US-Anbieters Dyn durch eine mehrwellige DDoS-Attacke gestört, wodurch Twitter, Spotify, Reddit, SoundCloud und weitere Websites auf der US-Ostküste zeitweise nicht erreichbar waren. Die Sicherheitsfirma Flashpoint identifizierte Hinweise auf ein Mirai-basiertes Botnetz aus gekaperten IoT-Geräten wie Sicherheitskameras und Routern als Angriffsquelle. Der Mirai-Quellcode war im September 2016 öffentlich veröffentlicht worden, kurz zuvor hatte dasselbe Botnetz bereits KrebsOnSecurity mit rund 620 Gbit/s angegriffen.

Dieser zeitnahe Bericht nennt weder die genaue Zahl der beteiligten Geräte noch eine exakte Spitzenbandbreite oder gesicherte Täterschaft. Die spätere strafrechtliche Aufarbeitung mit den Schuldbekenntnissen der Mirai-Miturheber im Dezember 2017 ist nicht Gegenstand dieser Quelle.

Das FBI gab am 09.11.2011 den Abschluss der zweijährigen Ermittlung Operation Ghost Click bekannt. Sechs estnische und ein russischer Staatsbürger wurden angeklagt, seit 2007 mit der Schadsoftware DNSChanger etwa vier Millionen Computer in mehr als 100 Ländern infiziert zu haben, darunter rund 500.000 in den USA. Die Malware veränderte DNS-Einstellungen und leitete Datenverkehr auf Server der Täter um, um per Klickbetrug Werbeeinnahmen zu erzielen. Die Behörden bezifferten den illegalen Gewinn auf mindestens 14 Millionen US-Dollar.

Der genaue rechtskräftige Ausgang aller Verfahren gegen die einzelnen Angeklagten ist nicht einheitlich öffentlich dokumentiert, da mehrere in Estland ansässig blieben. Der russische Mitangeklagte Andrey Taame galt als flüchtig, sein weiterer strafrechtlicher Verbleib ist nicht abschließend belegt.

Europol meldete am 26.03.2018 die Festnahme des mutmaßlichen Anführers der Cyberkriminellen-Gruppe Carbanak/Cobalt in Alicante, Spanien. Die Gruppe soll zwischen 2013 und 2018 mehr als 100 Banken und Finanzinstitute in rund 40 Ländern angegriffen haben, Europol beziffert den Gesamtschaden auf über eine Milliarde Euro. Die Täter verschafften sich per Spear-Phishing Zugang zu Bankmitarbeiter-Rechnern und ließen Geldautomaten ferngesteuert Bargeld ausgeben oder manipulierten Kontostände direkt.

Den vollständigen Namen des in Spanien festgenommenen Verdächtigen nannte Europol offiziell nicht. Ob mit dieser einen Festnahme die gesamte Gruppenstruktur zerschlagen wurde oder weitere Mitglieder unbehelligt blieben, ist öffentlich nicht abschließend dokumentiert.

Das US-Justizministerium gab am 01.08.2018 die Festnahme dreier ukrainischer Staatsangehöriger bekannt, denen die Mitgliedschaft in der Hackergruppe FIN7 vorgeworfen wird. Seit mindestens 2015 griff FIN7 mittels Phishing und der Schadsoftware Carbanak Kassensysteme von mehr als 100 US-Unternehmen an, vor allem Restaurant- und Hotelketten wie Arby's, Chipotle und Chili's. Nach DOJ-Angaben wurden mehr als 15 Millionen Zahlungskartendaten von über 6.500 Kassenterminals an mehr als 3.600 Geschäftsstandorten entwendet.

Die genaue Gesamtschadenssumme in US-Dollar wird von der DOJ nicht beziffert. Die drei genannten Personen waren zum Zeitpunkt der Pressemitteilung erst angeklagt, nicht verurteilt, spätere Verurteilungen sind nicht Teil dieser Quelle.

Das Verwaltungsgericht Hannover entschied am 05.06.2025 über die Klage von Volkswagen gegen fünf Verwarnungen der Landesbeauftragten für den Datenschutz Niedersachsen. Die Behörde hatte VW wegen Datenschutzverstößen bei der Aufarbeitung des Dieselskandals verwarnt, unter anderem wegen unzureichender Information von Beschäftigten vor der Weitergabe ihrer Daten an einen US-Monitor und die US-Umweltbehörde EPA. Das Gericht bestätigte drei der fünf Verwarnungen und erklärte zwei für rechtswidrig, im Kern ging es um die Übermittlung von mehr als 65.000 Dokumenten mit personenbezogenen Daten an US-Stellen.

Der vollständige Wortlaut der schriftlichen Urteilsbegründung war zum Zeitpunkt der Pressemitteilung noch nicht veröffentlicht. Dieses Verfahren betrifft ausschließlich die Datenverarbeitung im Zuge der Dieselskandal-Aufklärung und ist getrennt vom späteren Fall der VW-Tochter Cariad zu Standortdaten von Elektrofahrzeugen.

Die britische Datenschutzbehörde ICO verhängte am 30.10.2020 eine Geldbuße von 18,4 Millionen Pfund gegen Marriott International wegen Verstößen gegen Artikel 5(1)(f) und Artikel 32 DSGVO. Grundlage war ein Cyberangriff auf die Reservierungsdatenbank der 2016 von Marriott übernommenen Starwood Hotels, bei dem sich Unbekannte bereits seit 2014 unbemerkt Zugang verschafft hatten. Entdeckt wurde der Angriff erst am 08.09.2018, betroffen waren bis zu 339 Millionen Gästedatensätze weltweit, darunter rund 7 Millionen mit Bezug zum Vereinigten Königreich.

Ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat, geht aus der Quelle nicht hervor. Die separate Geldbuße der US-Behörde FTC gegen Marriott aus dem Jahr 2024 ist ein eigenständiges, späteres Verfahren und nicht Gegenstand dieser Quelle.

Beim Target-Datenleck im Weihnachtsgeschäft 2013 verschafften sich Angreifer ab dem 15.11.2013 mit gestohlenen Netzwerk-Zugangsdaten der HLK-Firma Fazio Mechanical Services aus Pennsylvania Zugang zu Target-Systemen. Fazio Mechanical hatte Fernzugriff auf administrative Target-Systeme für Rechnungsstellung und Projektmanagement. Über diesen Zugang installierten die Angreifer RAM-scrapende Malware auf Kassensystemen und erbeuteten zwischen dem 27.11. und 15.12.2013 Daten von rund 40 Millionen Kredit- und Debitkarten.

Wie genau die Zugangsdaten von Fazio Mechanical ursprünglich erbeutet wurden, ist nicht abschließend öffentlich dokumentiert. Fazio Mechanical erklärte, keine Fernüberwachung von HLK-Anlagen bei Target durchgeführt zu haben, ihr Zugang habe sich auf administrative Funktionen beschränkt.