Quellen-Tabelle

Am 20.09.2021 legte die vermutlich russischsprachige Ransomware-Gruppe BlackMatter, laut CISA ein möglicher Nachfolger von DarkSide, Teile der IT-Systeme der Agrargenossenschaft New Cooperative aus Iowa lahm, die Getreide-, Dünger- und Futterlogistik für einen großen Teil des mittleren Westens der USA verwaltet. Die Angreifer forderten 5,9 Millionen US-Dollar Lösegeld. New Cooperative nahm betroffene Systeme vorsorglich offline und zahlte nach eigenen Angaben kein Lösegeld. Am 18.10.2021 veröffentlichten CISA, FBI und NSA eine gemeinsame Sicherheitswarnung zu BlackMatter.

Die Angaben von BlackMatter selbst zur erbeuteten Datenmenge sind nicht unabhängig verifiziert. Die vielzitierte Aussage, 40 Prozent der US-Getreideproduktion liefen über Software des Unternehmens, stammt von New Cooperative selbst und wurde von Sicherheitsforschern angezweifelt. Der genaue technische Einstiegsvektor der Angreifer ist nicht ersichtlich.

Die Datenschutz-Grundverordnung wurde am 27.04.2016 verabschiedet, am 04.05.2016 im EU-Amtsblatt veröffentlicht und trat am 24.05.2016 formal in Kraft. Nach zweijähriger Übergangsfrist wurde sie ab dem 25.05.2018 in allen EU-Mitgliedstaaten unmittelbar anwendbar und ersetzte die Richtlinie 95/46/EG. Die Verordnung erlaubt Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Laut einer Bitkom-Befragung von 505 deutschen Unternehmen fühlten sich acht Tage vor dem Stichtag lediglich 25 Prozent ausreichend vorbereitet.

Eine verlässliche Gesamtzahl zu den EU-weiten Umsetzungskosten der Unternehmen liegt nicht vor. Die Bitkom-Zahl von 25 Prozent stammt aus einer Stichprobe, andere Umfragen kamen auf abweichende Werte. Die vielfach befürchtete Abmahnwelle gegen kleine Unternehmen blieb nach mehreren Berichten weitgehend aus.

Die Europäische Kommission verabschiedete am 12.07.2016 den Angemessenheitsbeschluss 2016/1250 zum EU-US Privacy Shield, dem Nachfolgeabkommen für das im Oktober 2015 vom EuGH im Schrems-I-Urteil gekippte Safe-Harbor-Abkommen. US-Unternehmen mussten sich beim US-Handelsministerium selbst zertifizieren. Neu war ein Ombudsperson-Mechanismus im US-Außenministerium für Beschwerden von EU-Bürgern über Zugriffe US-amerikanischer Nachrichtendienste. Die Artikel-29-Datenschutzgruppe bemängelte im April 2016, anlasslose Massenüberwachung bleibe weiterhin zulässig. Der EuGH erklärte das Privacy Shield am 16.07.2020 im Schrems-II-Urteil für ungültig.

Die genaue Zahl der 2016 bereits zertifizierten Unternehmen ist nicht dokumentiert. Wie wirksam der Ombudsperson-Mechanismus in der Praxis funktionierte, ist offen, da die Kommission dessen Unabhängigkeit anders bewertete als die Artikel-29-Gruppe und das Europäische Parlament.

Das US-Geheimgericht Foreign Intelligence Surveillance Court urteilte am 03.10.2011 unter Richter John D. Bates, dass Teile der NSA-Internetüberwachung nach Section 702 des FISA Amendments Act gegen den vierten Verfassungszusatz verstießen. Betroffen war das Upstream-Programm, mit dem die NSA über Telekommunikationsanbieter Daten direkt aus den Glasfaserleitungen des Internet-Backbones abgriff, als Ergänzung zum Programm PRISM. Laut dem am 21.08.2013 nach ACLU-Klagen freigegebenen Urteil sammelte die NSA über mehrere Jahre bis zu 56.000 rein innerhalb der USA geführte Kommunikationen pro Jahr, obwohl das Gesetz dies verbietet. Bates warf der Regierung vor, dem Gericht bereits zum dritten Mal in weniger als drei Jahren den tatsächlichen Umfang ihrer Datensammlung falsch dargestellt zu haben.

Wie viele der rund 56.000 betroffenen Kommunikationen tatsächlich reine Inlandskommunikation ohne Auslandsbezug enthielten, ist nicht belegt. Das veröffentlichte Urteil ist stark geschwärzt, technische Details zu Upstream sind öffentlich nicht vollständig nachvollziehbar. Eine offizielle Gesamtzahl aller über Upstream und PRISM erfassten Kommunikationen wurde bis heute nicht veröffentlicht.

Am 14.06.2013 erhob das US-Justizministerium beim Bundesgericht im Eastern District of Virginia Anklage gegen Edward Snowden wegen Spionage und Diebstahls von Regierungseigentum. Nachdem Hongkong einem US-Festnahmeersuchen nicht nachkam, verließ Snowden die Stadt am 23.06.2013 Richtung Moskau. Im Transitbereich des Flughafens Scheremetjewo festsitzend, gewährte Russland ihm am 01.08.2013 vorübergehendes Asyl. Russland gewährte ihm 2020 eine unbefristete Aufenthaltserlaubnis und verlieh ihm am 26.09.2022 per Präsidialdekret die russische Staatsbürgerschaft. Die strafrechtliche Anklage in den USA besteht unverändert fort, eine Auslieferung hat Russland stets abgelehnt.

Die strafrechtliche Schuldfrage ist nicht durch ein Gerichtsverfahren geklärt, da es nie zu einem Prozess in den USA kam. Ob Snowden neben der russischen weiterhin die US-Staatsbürgerschaft besitzt, wird unterschiedlich bewertet. Vermutungen über Kontakte zu russischen Geheimdiensten sind unbewiesen und von Snowden bestritten.

Der DCMS-Ausschuss des britischen Unterhauses veröffentlichte am 18.02.2019 nach 18-monatiger Untersuchung mit 170 schriftlichen Stellungnahmen und 73 Zeugenbefragungen seinen Abschlussbericht zu Desinformation und Fake News. Der Bericht bezeichnete Facebook als digitale Gangster und warf dem Konzern vor, Datenschutz- und Wettbewerbsrecht wissentlich verletzt zu haben. Laut Ausschuss wussten mehrere hochrangige Facebook-Manager bereits 2015 vom Datenabfluss an Cambridge Analytica, ohne dies angemessen zu eskalieren. Zu den Kernempfehlungen zählten eine unabhängige Regulierungsbehörde mit Bußgeldbefugnissen und eine Reform des Wahlrechts.

Dass Cambridge Analytica tatsächlich operativ am Brexit-Referendum mitgewirkt hat, ist nicht belegt, der Ausschuss fand dazu keine belastbaren Beweise. Der Bericht ist ein politisches Ausschussdokument mit Empfehlungscharakter, kein Gerichtsurteil. Die geforderte unabhängige Regulierungsbehörde wurde von der britischen Regierung nicht in der vorgeschlagenen Form umgesetzt. Die Zahl von rund 87 Millionen betroffenen Facebook-Nutzern stammt nicht aus diesem Bericht, sondern aus separaten ICO- und FTC-Untersuchungen.

Die IT-Sicherheitsfirma CrowdStrike identifizierte im Auftrag des Democratic National Committee im Juni 2016 zwei getrennte Eindringlinge in die Netzwerke der Partei: die Gruppe Cozy Bear seit Sommer 2015 sowie die Gruppe Fancy Bear seit etwa März 2016. Erbeutete interne E-Mails wurden ab Juni 2016 über die Online-Persona Guccifer 2.0 verbreitet; WikiLeaks veröffentlichte am 22.07.2016 rund 19.000 DNC-E-Mails kurz vor dem Nominierungsparteitag der Demokraten. Im Juli 2018 erhob die US-Justiz Anklage gegen zwölf Offiziere des russischen Militärgeheimdienstes GRU wegen Verschwörung zu Computerbetrug.

Keiner der zwölf angeklagten GRU-Offiziere wurde je festgenommen oder vor einem US-Gericht verurteilt, da Russland keine Auslieferung eigener Staatsbürger vornimmt. Das FBI erhielt keinen direkten forensischen Zugriff auf die physischen DNC-Server, sondern stützte sich auf Analysen des Dienstleisters CrowdStrike. WikiLeaks bestritt wiederholt, dass die Daten von einem russischen Staatsakteur stammten.

Am 27.06.2017 legte die Schadsoftware NotPetya die globale IT-Infrastruktur der Reederei Maersk lahm. Ausgangspunkt war ein einzelner Rechner im Maersk-Büro in Odessa mit einem manipulierten Update der ukrainischen Buchhaltungssoftware M.E.Doc. Maersk musste binnen zehn Tagen rund 4.000 Server, 45.000 PCs und 2.500 Anwendungen neu aufsetzen, das Frachtvolumen brach zeitweise um rund 20 Prozent ein. Maersk bezifferte die finanziellen Folgen im Quartalsbericht auf 200 bis 300 Millionen US-Dollar. Großbritannien und die USA machten später den russischen Militärgeheimdienst GRU verantwortlich.

Die genaue Schadenssumme bei Maersk ist nicht abschließend beziffert, das Unternehmen nannte nur eine Bandbreite ohne detaillierte Kostenaufschlüsselung. Der oft zitierte globale Gesamtschaden von rund 10 Milliarden US-Dollar betrifft alle betroffenen Unternehmen zusammen, nicht allein Maersk. Die Zuschreibung an Russland beruht auf politischen Erklärungen, nicht auf einem Gerichtsurteil.

Britische Polizei verhaftete Julian Assange am 11.04.2019 in der Botschaft Ecuadors in London, nachdem Präsident Lenín Moreno ihm den Asylschutz entzogen hatte. Die USA hatten die Anklage im Mai 2019 um 17 Punkte nach dem Espionage Act erweitert, bezogen auf die von WikiLeaks 2010/2011 veröffentlichten geheimen US-Dokumente, die Chelsea Manning zuvor weitergegeben hatte. Ein Londoner Gericht lehnte die Auslieferung 2021 zunächst ab, im Mai 2024 gewährte der High Court Assange erneut Berufungsrecht. Am 25.06.2024 bekannte sich Assange vor einem US-Bundesgericht auf Saipan in einem Anklagepunkt schuldig und wurde zu 62 Monaten Haft verurteilt, die durch bereits verbüßte Haftzeit in Großbritannien als abgegolten galten.

Ob und in welchem Ausmaß die veröffentlichten Dokumente tatsächlich Informanten gefährdeten, ist nicht belegt. Die theoretische Höchststrafe von bis zu 175 Jahren bezog sich auf alle ursprünglich 18 Anklagepunkte und wurde durch den Deal gegenstandslos. Ob die von den USA zugesagten Garantien eingehalten worden wären, wurde nie gerichtlich geprüft, da es nie zu einer Verhandlung in den USA kam.

Am 28.07.2022 veröffentlichten der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte ihre gemeinsame Stellungnahme zum EU-Verordnungsvorschlag gegen Kindesmissbrauchsdarstellungen im Netz, im öffentlichen Diskurs als Chatkontrolle bekannt. Beide Behörden warnten, der Vorschlag könne zu einer de facto allgemeinen und anlasslosen automatisierten Durchsuchung praktisch aller elektronischen Kommunikation in der EU führen. Sie forderten eine gesetzliche Klarstellung, dass die Verordnung nicht als Verbot von Ende-zu-Ende-Verschlüsselung ausgelegt werden dürfe, sowie die Streichung der Scan-Pflichten für Grooming und unbekanntes Material.

Konkrete Fehlerraten der geplanten Scan-Technologien werden in der Stellungnahme nicht beziffert. Die Stellungnahme ist rechtlich nicht bindend und floss nur beratend in die weiteren Verhandlungen ein. In welchem Umfang einzelne Kritikpunkte in spätere Kompromissentwürfe übernommen wurden, ist hier nicht dokumentiert.

Am 14.10.2014 veröffentlichten Google-Sicherheitsforscher die Schwachstelle POODLE (Padding Oracle On Downgraded Legacy Encryption), registriert als CVE-2014-3566. Die Lücke betrifft das veraltete Verschlüsselungsprotokoll SSL 3.0. Ein Angreifer in Man-in-the-Middle-Position kann Clients zu einem Downgrade auf SSL 3.0 zwingen und benötigt im Schnitt rund 256 Anfragen, um ein Byte verschlüsselter Daten wie Authentifizierungs-Cookies auszulesen. Als Gegenmaßnahme empfahlen die Entdecker sowie CISA am 17.10.2014 die vollständige Deaktivierung von SSL 3.0. In den Folgemonaten deaktivierten Chrome, Firefox und weitere Anbieter die SSL-3.0-Unterstützung standardmäßig.

Nicht belegt ist, in welchem Umfang POODLE vor der Offenlegung bereits für reale Angriffe genutzt wurde, da ein Downgrade-Angriff kaum nachweisbar ist. Die Schätzung, wonach rund zehn Prozent der Server für eine spätere TLS-Variante der Schwachstelle anfällig waren, stammt aus Analysen einzelner Sicherheitsfirmen. Ein konkreter finanzieller Gesamtschaden wird nicht beziffert.

Am 28.02.2018 zwischen 17:21 und 17:30 UTC traf ein volumetrischer DDoS-Angriff GitHub.com mit einer Spitze von 1,35 Terabit pro Sekunde, dem damals größten dokumentierten DDoS-Angriff. Die Angreifer nutzten Memcached-Reflection: UDP-Anfragen mit gefälschter Absenderadresse an offen erreichbare Memcached-Server wurden um bis zu Faktor 51.000 verstärkt und an GitHub umgeleitet. GitHub.com war von 17:21 bis 17:26 UTC durchgehend nicht erreichbar. GitHub leitete den Verkehr per BGP-Umleitung an Akamai/Prolexic um, wodurch der Angriff eingedämmt wurde.

Wer hinter dem Angriff steckte, wurde nie veröffentlicht, es gab keine strafrechtlichen Ermittlungsergebnisse. Die genaue Zahl der missbrauchten Memcached-Server variiert je nach Quelle. Die exakte Dauer der Beeinträchtigung wird in Sekundärquellen unterschiedlich mit 5 bis 9 Minuten angegeben.

Am 21.10.2016 traf ein massiver DDoS-Angriff den DNS-Anbieter Dyn in drei Wellen zwischen etwa 11:10 und 22:10 UTC. Die Angreifer nutzten das Mirai-Botnet aus gekaperten IoT-Geräten wie Überwachungskameras und DVRs mit werkseitigen Standardpasswörtern. In der Folge waren zeitweise über 70 große Webdienste in Nordamerika und Europa nicht erreichbar, darunter Twitter, Netflix, Reddit, Amazon und PayPal. Die drei Entwickler des Mirai-Quellcodes bekannten sich im Dezember 2017 vor einem US-Bundesgericht schuldig, für den Dyn-Angriff selbst wurden sie jedoch nicht angeklagt.

Eine offizielle, gerichtsfeste Zuordnung der Täter für den konkreten Dyn-Angriff steht bis heute aus. Mehrere Gruppen reklamierten den Angriff für sich, Sicherheitsforscher hielten diese Bekennerclaims für nicht belegt. Die genaue Zahl beteiligter Geräte ist umstritten, eine bestätigte Zahl wurde nie veröffentlicht.

WikiLeaks veröffentlichte ab dem 07.03.2017 unter dem Namen Vault 7 den ersten Teil Year Zero mit 8.761 Dokumenten aus einem isolierten Netzwerk der CIA-Abteilung Center for Cyber Intelligence. Bis November 2017 folgten insgesamt 26 weitere Teilveröffentlichungen. Die Unterlagen beschreiben CIA-Werkzeuge zum Eindringen in iPhones, Android-Geräte, Windows, Mac OS X, Linux-Rechner und Router sowie das Programm Weeping Angel, mit dem sich Samsung-Smart-TVs in versteckte Mikrofone verwandeln ließen. Ein Bundesgericht in Manhattan verurteilte den als Quelle identifizierten ehemaligen CIA-Softwareentwickler Joshua Schulte am 01.02.2024 zu 40 Jahren Haft.

Wie viele der beschriebenen Werkzeuge tatsächlich gegen reale Ziele eingesetzt wurden, ist nicht belegt. Schulte bestritt die Tat während des gesamten Verfahrens, im ersten Prozess 2020 konnte sich die Jury nicht einigen, erst ein zweiter Prozess endete 2022 mit einem Schuldspruch.

Der Untersuchungsausschuss PEGA des Europäischen Parlaments prüfte rund ein Jahr lang den Einsatz von Pegasus-Spähsoftware in der EU und unternahm Erkundungsmissionen nach Israel, Polen, Griechenland, Zypern, Ungarn und Spanien. Am 15.06.2023 nahm das Europaparlament die Abschlussempfehlung mit 411 zu 97 Stimmen an. Der Bericht warf mehreren Mitgliedstaaten vor, sich mit Verweis auf nationale Sicherheit der EU-Kontrolle zu entziehen, und forderte unabhängige gerichtliche Genehmigungspflichten sowie ein EU-Tech-Lab zur forensischen Untersuchung von Spähsoftwarevorwürfen.

Wie viele Menschen in der EU tatsächlich mit Pegasus infiziert wurden, ist nicht belegt. Der Ausschuss hatte keine eigenen Ermittlungsbefugnisse und war auf Kooperation der Mitgliedstaaten angewiesen, die meist verweigert oder nur eingeschränkt gewährt wurde. Die Empfehlung ist rechtlich nicht bindend, ein EU-weites Spyware-Gesetz existiert bislang nicht.

Die Washington Post berichtete am 21.12.2021 unter Berufung auf eine forensische Analyse des Citizen-Lab-Forschers Bill Marczak, dass eine Behörde der Vereinigten Arabischen Emirate im April 2018 versuchte, die Pegasus-Spyware der NSO Group auf ein Mobiltelefon von Hanan Elatr zu installieren, der Ehefrau des saudischen Journalisten Jamal Khashoggi. Fünf Monate später, am 02.10.2018, wurde Khashoggi im saudischen Konsulat in Istanbul ermordet. Ein früherer Citizen-Lab-Bericht hatte bereits festgestellt, dass auch das Telefon von Khashoggis Vertrautem Omar Abdulaziz mit Pegasus infiziert worden war.

Ob die Installation auf Elatrs Telefon tatsächlich erfolgreich war, ist nicht abschließend belegt, Citizen Lab dokumentierte nur den Zugriffsversuch. NSO Group bestritt, dass Pegasus zur Überwachung von Elatr eingesetzt worden sei. Ein rechtlich festgestellter Kausalzusammenhang zwischen dieser Überwachung und der Ermordung besteht nicht, dokumentiert ist nur die zeitliche Nähe.

Der polnische Senatsausschuss erklärte am 07.09.2023 den 2017 erfolgten Kauf der NSO-Spyware Pegasus durch die polnische Regierung für rechtswidrig, finanziert aus einem Justizfonds für Kriminalitätsopfer. Der Ausschuss stellte fest, dass Pegasus gegen mindestens zwölf Personen eingesetzt wurde, darunter die Oppositionspolitiker Krzysztof Brejza, Roman Giertych und Michał Kołodziejczak. Brejza, 2019 Leiter der Wahlkampagne der oppositionellen Bürgerkoalition, wurde laut Ausschuss mindestens 33 Mal gehackt. Der Ausschuss leitete Strafanzeigen gegen mehrere damalige Amtsträger ein.

Der Senatsausschuss besitzt keine gerichtliche Entscheidungsgewalt, seine Feststellungen sind eine politische Bewertung ohne Rechtskraft. Die damalige PiS-Regierung bestritt den gezielten Einsatz. Ob die angekündigten Strafanzeigen zu Anklagen führten, ist aus dieser Quelle nicht ersichtlich.

Am 18.09.2015 teilten EPA und CARB in einer Verstoßmitteilung mit, dass Volkswagen und Audi bei rund 482.000 in den USA verkauften Dieselfahrzeugen der Modelljahre 2009 bis 2015 eine unzulässige Abschalteinrichtung einsetzten. Die Software erkannte Testbedingungen und aktivierte dann die volle Abgasreinigung, während im Straßenbetrieb die Stickoxidminderung zurückgefahren wurde, sodass Fahrzeuge dort bis zum 40fachen des zulässigen Grenzwerts ausstießen. Ausgangspunkt war eine Messreihe des International Council on Clean Transportation und der West Virginia University aus 2013/2014. Volkswagen räumte die Abschalteinrichtung am 03.09.2015 gegenüber den Behörden ein.

Die später ermittelte weltweite Gesamtzahl von rund 11 Millionen betroffenen Fahrzeugen ist in dieser Mitteilung nicht enthalten, sie bezieht sich nur auf rund 482.000 US-Fahrzeuge mit 2,0-Liter-Motoren. Für Modelle mit 3,0-Liter-Motoren erließ die EPA erst am 02.11.2015 eine eigenständige Mitteilung. Welche einzelnen Personen im Konzern die Software in Auftrag gaben, wird in der Mitteilung selbst nicht benannt.

Elizabeth Holmes gründete 2003 die Bluttest-Firma Theranos und behauptete, mit einem tragbaren Gerät zahlreiche Labortests aus wenigen Tropfen Fingerblut durchführen zu können. Der Wall-Street-Journal-Reporter John Carreyrou deckte am 15.10.2015 auf, dass die Technologie nicht funktionierte und Theranos die meisten Tests heimlich auf Geräten anderer Hersteller durchführte. Die SEC klagte Holmes im März 2018 wegen massivem Betrug an. Ein Bundesgericht verurteilte Holmes am 03.01.2022 wegen Anlagebetrugs, Richter Edward Davila verhängte am 18.11.2022 eine Haftstrafe von 135 Monaten.

Die genaue Höhe des Anlegerschadens ist nicht einheitlich beziffert, die strafrechtliche Anklage stützte sich auf rund 140 Millionen Dollar, während die SEC von über 700 Millionen Dollar eingesammelten Investorengeldern spricht. Holmes bestritt im Prozess vorsätzlichen Betrug und legte Berufung ein.

Celsius-Network-Gründer Alexander Mashinsky wurde am 08.05.2025 zu 12 Jahren Haft und einer Vermögenseinziehung von rund 48,4 Millionen Dollar verurteilt. Er hatte sich im Dezember 2024 wegen Betrugs im Zusammenhang mit Warentermingeschäften und Kursmanipulation des Tokens CEL schuldig bekannt. Die Kryptoverleihplattform Celsius Network fror im Juni 2022 sämtliche Kundenauszahlungen ein und meldete am 13.07.2022 Insolvenz an, mit damals rund 5,5 Milliarden Dollar Verbindlichkeiten. Nach Angaben des Richters hatte Mashinsky mehr als 45 Millionen Dollar eingenommen.

Die genaue Gesamthöhe des Kundenschadens ist nicht einheitlich beziffert, Berichte nennen zwischen rund 4,7 und 5,5 Milliarden Dollar. Fünf der ursprünglich sieben Anklagepunkte gegen Mashinsky wurden im Rahmen der Absprache fallengelassen.

Der britische Banker Howard Wilkinson leitete von 2007 bis 2014 die Handelseinheit Danske Markets in der Baltikum-Region der Danske Bank. Ab 2013 meldete er intern insgesamt vier Warnungen über verdächtige Zahlungen estnischer Nichtansässiger, ohne dass die Bank Konsequenzen zog. Nach seinem Ausscheiden 2014 unterzeichnete er eine Verschwiegenheitsvereinbarung, ging aber dennoch an Ermittler und die Öffentlichkeit. Am 21.11.2018 sagte er vor dem Sonderausschuss TAX3 des Europäischen Parlaments aus. Für sein Engagement erhielt er 2020 den Allard Prize for International Integrity.

Ob Wilkinsons Meldungen bei korrekter Bearbeitung den vollen Umfang der später bekannten rund 200 Milliarden Euro an verdächtigen Zahlungen hätten verhindern können, ist nicht belegt. Ob Danske Bank aktiv versuchte, seine Hinweise zu unterdrücken, beruht primär auf seiner eigenen Aussage.

Der anonyme Whistleblower hinter dem Mossack-Fonseca-Leak nennt sich selbst John Doe und ist bis heute nicht identifiziert. Am 06.05.2016 veröffentlichte er über die Süddeutsche Zeitung und das ICIJ ein rund 1.800 Wörter langes Manifest. Als Motiv nennt er weltweite Einkommensungleichheit sowie massive Korruption durch die Offshore-Kanzlei Mossack Fonseca. Er bestreitet jede Zusammenarbeit mit einer Regierung oder einem Geheimdienst und fordert stärkeren rechtlichen Schutz für Whistleblower.

Die tatsächliche Identität von John Doe ist bis heute unbekannt, auch den beteiligten Journalisten. Wie er Zugriff auf die internen Systeme von Mossack Fonseca erlangte, bleibt offen. Die Selbstauskunft, nie für eine Regierung gearbeitet zu haben, wurde nicht unabhängig überprüft.

Der ehemalige PwC-Prüfungsassistent Antoine Deltour wurde nach der Veröffentlichung der LuxLeaks-Dokumente im Dezember 2014 in Luxemburg wegen Diebstahls und Geheimnisverrats angeklagt. Das Bezirksgericht verurteilte ihn im Juni 2016 zu zwölf Monaten Haft auf Bewährung. Das Berufungsgericht reduzierte die Strafe im März 2017. Der luxemburgische Kassationshof hob das Urteil am 11.01.2018 auf und erkannte Deltour als Whistleblower im Sinne der EGMR-Rechtsprechung an. Am 15.05.2018 sprach das neu besetzte Berufungsgericht Deltour vollständig frei.

Die konkreten Steuerausfälle durch die rund 340 in den LuxLeaks-Dokumenten genannten Konzernvereinbarungen sind nicht beziffert. Der Mitangeklagte Raphaël Halet war von der Kassationsentscheidung nicht erfasst, ihm gab erst der EGMR 2023 in einem separaten Verfahren recht.

Am 24.05.2022 veröffentlichte ein internationales Medienkonsortium von rund 14 Organisationen die Xinjiang Police Files: mehrere zehntausend gehackte interne Dokumente aus Polizeicomputersystemen in Xinjiang. Die Materialien waren dem China-Forscher Adrian Zenz von einer anonymen Quelle zugespielt worden. Der Datensatz enthält rund 5.000 Fahndungsfotos sowie interne Reden, darunter eine Rede des damaligen Parteisekretärs Chen Quanguo, in der er Wachpersonal anwies, bei Fluchtversuchen von Häftlingen notfalls scharf zu schießen. Chinas Außenministerium wies die Dokumente zurück.

Angaben zu Umfang und Zahlen schwanken je nach Quelle erheblich. Wie der anonyme Hacker technisch Zugang zu den Polizeisystemen erlangte, ist nicht dokumentiert. Ob Chen Quanguo die Schießbefehl-Passage persönlich formulierte, lässt sich nicht abschließend klären.

Nach dem PSN-Hack von April 2011 reichten Betroffene in den USA 65 Sammelklagen ein, zusammengefasst als Verfahren MDL 3:11-md-02258 vor dem US-Bezirksgericht für den Südbezirk Kaliforniens. Richter Anthony J. Battaglia wies am 21.01.2014 die meisten Klagepunkte ab, ließ aber Ansprüche wegen irreführender Sicherheitswerbung nach kalifornischem Verbraucherschutzrecht zu. Die Parteien einigten sich im Juni 2014 auf einen Vergleich, den Battaglia am 04.05.2015 endgültig genehmigte, ohne dass Sony ein Fehlverhalten eingestand. Der Vergleich sah Sachleistungen im Gesamtwert von bis zu 15 Millionen US-Dollar vor sowie eine Erstattung nachgewiesener Identitätsdiebstahl-Schäden von bis zu 2500 US-Dollar pro Person.

Wie viele der rund 77 Millionen betroffenen Nutzer tatsächlich Ansprüche geltend gemacht und Leistungen erhalten haben, ist nicht dokumentiert. Je nach Quelle wird der Gesamtwert des Vergleichs unterschiedlich mit rund 15 oder rund 19 Millionen US-Dollar beziffert, wobei die höhere Zahl offenbar Anwaltshonorar und Verwaltungskosten mit einschließt.