Quellen-Tabelle

Am 02.07.2021 nutzte die Ransomware-Gruppe REvil eine Zero-Day-Schwachstelle in der Software Kaseya VSA aus, die von Managed Service Providern zur Fernwartung genutzt wird. Über rund 60 direkt betroffene Kaseya-Kunden wurden schätzungsweise 800 bis 1.500 nachgelagerte Unternehmen weltweit infiziert. REvil forderte zunächst 70 Millionen US-Dollar in Bitcoin, senkte die Forderung später auf 50 Millionen. Am 23.07.2021 gab Kaseya bekannt, von einem nicht näher benannten Dritten einen Generalschlüssel erhalten zu haben, ohne Lösegeld gezahlt zu haben.

Nicht offiziell bestätigt ist die genaue Zahl der betroffenen Endkunden, Schätzungen schwanken zwischen 800 und über 2.000 Organisationen. Unklar bleibt, wer der von Kaseya genannte Dritte war, der den Generalschlüssel lieferte. Berichte über eine mögliche FBI-Zahlung wurden nie offiziell bestätigt.

Der Chaos Computer Club deckte gemeinsam mit dem Spiegel auf, dass die VW-Softwaretochter Cariad Fahrzeug- und Bewegungsdaten von rund 800.000 Elektroautos der Marken VW, Audi, Seat und Skoda über Monate ungeschützt in einem Amazon-Cloud-Speicher zugänglich hielt. Für etwa 460.000 Fahrzeuge waren präzise Standortdaten einsehbar, teils bis auf wenige Meter genau. Die Daten ließen sich mit Kundendaten verknüpfen. CCC-Sprecher informierten Cariad, VW und Behörden vor der Veröffentlichung, Cariad schloss die Sicherheitslücke innerhalb der gesetzten Frist. Ursache war laut Cariad eine Fehlkonfiguration der Cloud-Umgebung.

Nicht abschließend geklärt ist, wie lange die Daten tatsächlich frei zugänglich waren. Die Zahl von 800.000 betroffenen Fahrzeugen bezieht sich auf alle Fahrzeugdatensätze, während präzise Standortdaten nur bei rund 460.000 Fahrzeugen vorlagen. Ungeklärt bleibt, ob Dritte die Daten vor der Meldung durch den CCC tatsächlich abgegriffen haben, sowie der Ausgang möglicher Sammelklagen gegen Volkswagen.

23andMe bestätigte im Oktober 2023, dass ein Angreifer zwischen dem 29.04. und September 2023 mittels Credential Stuffing rund 14.000 Nutzerkonten kompromittierte. Über die DNA-Relatives-Funktion erhielt der Angreifer dadurch Zugriff auf Daten von etwa 6,9 Millionen Konten, darunter Namen, genetische Abstammungsergebnisse und teils Gesundheitsprädispositionsberichte. Eine im Januar 2024 eingereichte Sammelklage warf 23andMe vor, Nutzer mit aschkenasisch-jüdischer und chinesischer Abstammung nicht gezielt gewarnt zu haben, da Angreifer offenbar gezielt nach diesen ethnischen Gruppen filterten. 23andMe einigte sich später auf eine Zahlung von 30 Millionen US-Dollar.

Nicht öffentlich dokumentiert ist, wie genau der Angreifer die Auswahl nach ethnischer Abstammung technisch vornahm und ob dies gezielte Absicht oder eine zufällige Folge der Datenstruktur war. Die Identität und Motivation des oder der Angreifer wurde nicht geklärt. Der Vergleich über 30 Millionen US-Dollar stellt keine gerichtliche Feststellung eines Verschuldens dar.

LastPass wurde 2022 in zwei zusammenhängenden Vorfällen kompromittiert. Am 08.08.2022 drangen Angreifer über den Firmenlaptop eines Softwareentwicklers in die Entwicklungsumgebung ein und entwendeten Quellcode. In einem zweiten Vorfall nutzten die Angreifer diese Informationen, um mittels Keylogger auf dem privaten Heimcomputer eines DevOps-Ingenieurs dessen Zugangsdaten abzugreifen und auf AWS-S3-Speicher mit Kundendaten-Backups zuzugreifen. Am 22.12.2022 bestätigte LastPass, dass die Angreifer eine Cloud-Sicherung der Kundentresore mit verschlüsselten Passwörtern kopiert hatten.

Nicht öffentlich dokumentiert ist die exakte Zahl der betroffenen Nutzerkonten, LastPass nannte nie eine offizielle Gesamtzahl. Umstritten ist, wie viele Master-Passwörter tatsächlich durch nachfolgendes Brute-Forcing entschlüsselt wurden. Die genaue Zahl der aus den gestohlenen Tresoren für Kryptowährungsdiebstähle genutzten Zugangsdaten ist nicht offiziell verifiziert.

Am 07.03.2017 veröffentlichte Apache die kritische Sicherheitslücke CVE-2017-5638 im Web-Framework Apache Struts. Equifax patchte diese Schwachstelle auf einem Kundenbeschwerdeportal nicht, obwohl ein interner Scan sie hätte identifizieren sollen. Angreifer verschafften sich laut GAO-Bericht am 10.03.2017 erstmals Zugriff und exfiltrierten vom 13.05. bis 30.07.2017 über 76 Tage hinweg unbemerkt Daten mittels rund 9.000 Datenbankabfragen auf 51 verschiedene Datenbanken. Betroffen waren personenbezogene Daten von 147,9 Millionen US-Bürgern, darunter Sozialversicherungsnummern und Geburtsdaten. Ursachen waren unter anderem fehlerhafte Netzwerksegmentierung und ein abgelaufenes Sicherheitszertifikat, das die Überwachung des verschlüsselten Datenverkehrs verhinderte.

Nicht dokumentiert ist, warum der interne Equifax-Scan das betroffene Portal nicht erfasste, Equifax sprach von einem Kommunikationsversagen zwischen Teams, ohne dass dies unabhängig verifiziert wurde. Die Zahl der betroffenen Personen schwankt je nach Quelle zwischen 143 und 147,9 Millionen. Die Zuordnung der Angreifer zu chinesischen Militärangehörigen der PLA beruht auf einer Anklage, nicht auf einem Urteil, da mangels Auslieferung keine gerichtliche Verurteilung erfolgte.

Am 03.10.2017 gab Yahoo, zu diesem Zeitpunkt Teil der Verizon-Tochtergesellschaft Oath, bekannt, dass der bereits 2016 gemeldete Angriff von August 2013 tatsächlich alle 3 Milliarden Nutzerkonten betraf statt der zuvor genannten 1 Milliarde. Die Korrektur erfolgte im Rahmen einer forensischen Nachuntersuchung nach der Verizon-Übernahme. Verizon senkte deshalb den Kaufpreis für Yahoo im Februar 2017 um 350 Millionen US-Dollar. Die SEC verhängte später gegen die Nachfolgegesellschaft Altaba eine Strafe von 35 Millionen US-Dollar wegen irreführender Anlegerinformation.

Nicht abschließend geklärt ist, welche konkreten Daten bei allen 3 Milliarden Konten tatsächlich ausgelesen wurden. Die Zahl von 3 Milliarden basiert auf einer internen Neubewertung durch Verizon und wurde nicht durch eine unabhängige externe Prüfung öffentlich verifiziert. In einem separaten Verfahren wurden 2017 vier Personen angeklagt, darunter zwei mutmaßliche russische Geheimdienstmitarbeiter, deren Zusammenhang mit dem 3-Milliarden-Ausmaß nicht im Detail dokumentiert ist.

Marriott gab am 30.11.2018 bekannt, dass die Reservierungsdatenbank der 2016 übernommenen Hotelkette Starwood bereits seit 2014 kompromittiert war, also rund vier Jahre unentdeckt blieb. Betroffen waren Daten von bis zu 500 Millionen Gästen, darunter Namen, Passnummern und teilweise verschlüsselte Zahlungskartendaten. Die britische ICO verhängte 2020 eine Buße von 18,4 Millionen Pfund. Im Oktober 2024 einigten sich Marriott und Starwood mit der FTC auf eine Zahlung von 52 Millionen US-Dollar wegen dieses und eines weiteren Datenlecks 2020.

Marriott korrigierte die Schätzung von 500 Millionen im Januar 2019 auf etwa 383 Millionen eindeutige Datensätze, da Duplikate enthalten waren. Die Zuschreibung des Angriffs an einen chinesischen Staatsakteur stützt sich vor allem auf Medienberichte ohne namentlich genannte Ermittler, eine öffentliche behördliche Bestätigung liegt nicht vor, China wies die Vorwürfe zurück.

Am 05.11.2017 veröffentlichte das ICIJ gemeinsam mit 95 Medienpartnern in 67 Ländern die Paradise Papers, basierend auf 13,4 Millionen Dokumenten mit 1,4 Terabyte Umfang. Der Großteil, rund 7 Millionen Dateien, stammt von der Offshore-Kanzlei Appleby mit Sitz in Bermuda. Die Dokumente wurden der Süddeutschen Zeitung zugespielt. Unter den genannten Personen und Organisationen befanden sich die Duchy of Lancaster der Queen, der damalige US-Handelsminister Wilbur Ross sowie Apple und Nike.

Nicht bewiesen ist, dass alle genannten Personen oder Unternehmen Steuerhinterziehung im rechtlichen Sinne begangen haben, da Offshore-Strukturen in vielen Fällen legal sind. Appleby wies Vorwürfe rechtswidrigen Handelns zurück. Die genaue Herkunft des Lecks wurde von der Süddeutschen Zeitung nicht offengelegt.

Am 01.06.2017 beschloss der Bundestag einstimmig die Aufhebung von Paragraf 103 StGB, der Strafbarkeit der Beleidigung ausländischer Staatsoberhäupter. Auslöser war die Strafanzeige des türkischen Präsidenten Recep Tayyip Erdogan gegen Jan Böhmermann wegen dessen Schmähgedicht vom März 2016, für dessen Verfolgung die Bundesregierung im April 2016 die Ermächtigung nach Paragraf 104a StGB erteilt hatte. Die Streichung trat zum Januar 2018 in Kraft, mit der Begründung, die allgemeinen Beleidigungsvorschriften seien ausreichend.

Nicht dokumentiert im Bundestagsartikel ist der Ausgang des Strafverfahrens gegen Böhmermann. Die Staatsanwaltschaft Mainz stellte das Ermittlungsverfahren im Oktober 2016 mangels Tatverdachts ein, dies stammt aus anderen Quellen. Zivilrechtliche Verfahren zwischen Böhmermann und Erdogan sind nicht Gegenstand dieser Quelle.

WhatsApp reichte am 29.10.2019 vor einem US-Bundesgericht Klage gegen die israelische NSO Group ein. Die Klage wirft NSO Group vor, zwischen April und Mai 2019 eine Zero-Click-Schwachstelle in der WhatsApp-Videoanruf-Funktion ausgenutzt zu haben, um Pegasus-Spyware auf Geräte von etwa 1.400 Nutzern in mindestens 20 Ländern zu installieren, darunter Journalisten und Menschenrechtsaktivisten. Im Mai 2025 stellte ein US-Bundesgericht die zivilrechtliche Haftung von NSO Group fest und verhängte eine Strafzahlung von rund 168 Millionen US-Dollar.

Nicht abschließend geklärt ist die genaue Zahl der tatsächlich erfolgreich infizierten Geräte. Unklar bleibt, welche Regierungskunden für die einzelnen Angriffe verantwortlich waren, da NSO Group die Kundenidentität nicht vollständig offenlegte. Die Schadenersatzsumme wurde von NSO Group angefochten, der Ausgang eines Berufungsverfahrens war zum Recherchezeitpunkt offen.

Der deutsche Staatsbürger Khaled El Masri wurde am 31.12.2003 an der Grenze zwischen Serbien und Mazedonien festgenommen und 23 Tage verhört. Am 23.01.2004 wurde er an ein CIA-Team übergeben, das ihn misshandelte und in ein Gefängnis in Afghanistan brachte, wo er bis zu seiner Freilassung in Albanien am 28.05.2004 festgehalten wurde. Der EGMR stellte am 13.12.2012 fest, dass Mazedonien gegen die Europäische Menschenrechtskonvention verstoßen hat, unter anderem durch Folter im Rahmen des CIA-Renditionsprogramms, und verurteilte Mazedonien zu 60.000 Euro Entschädigung.

Nicht abschließend geklärt ist, welche einzelnen CIA-Mitarbeiter konkret verantwortlich waren, da in den USA keine strafrechtliche Verfolgung stattfand. Die Klage El Masri gegen Tenet wurde 2006 von US-Gerichten unter Berufung auf das Staatsgeheimnisprivileg abgewiesen. Die genaue Rolle Deutschlands blieb Gegenstand eines Bundestags-Untersuchungsausschusses und wurde nicht vollständig aufgeklärt.

Im Frühjahr 2015 wurde bekannt, dass der BND für die NSA jahrelang Überwachungsziele erfasste, die gegen deutsche und westeuropäische Interessen gerichtet waren. Der BND übernahm rund eine Million von der NSA gelieferte Selektoren weitgehend ungeprüft. Im Oktober 2015 bestätigte die Bundesregierung dem Bundestag, dass bis zu 40.000 dieser Selektoren gegen deutsche Ziele gerichtet waren, betroffen waren unter anderem Ministerien und Unternehmen wie EADS.

Nicht geklärt ist, wie viele der rund eine Million Selektoren tatsächlich zur aktiven Überwachung führten. Die Zahl von 40.000 wurde von einigen Abgeordneten als zu niedrig angezweifelt, spätere Schätzungen sprachen von bis zu 459.000 fragwürdigen Selektoren insgesamt. Die vollständige Selektorenliste wurde dem Untersuchungsausschuss unter Berufung auf US-Geheimhaltungsinteressen lange vorenthalten.

Anfang April 2016 wurde eine Datenbank mit 49.611.709 Datensätzen türkischer Bürger veröffentlicht, mit nationalen Personalausweisnummern, Namen, Adressen und Elternnamen. Betroffen waren auch Präsident Recep Tayyip Erdogan und sein Vorgänger Abdullah Gül. Die Angreifer hinterließen eine politisch motivierte Botschaft. Der türkische Justizminister bestätigte eine strafrechtliche Untersuchung.

Nicht geklärt ist, wer die Datenbank entwendet hat und auf welchem Weg. Die Herkunft der Daten wurde von türkischen Behörden nie offiziell bestätigt. Die Echtheit wurde nur stichprobenartig geprüft, eine vollständige forensische Verifizierung aller rund 50 Millionen Einträge fand nicht statt.

Die damalige Armeeanalystin Chelsea Manning übergab 2010 mehrere Hunderttausend geheime US-Militärdokumente und diplomatische Depeschen an WikiLeaks, darunter das Video Collateral Murder. Im Juli 2013 wurde sie in 20 von 22 Anklagepunkten schuldig gesprochen, jedoch vom Vorwurf der Feindbegünstigung freigesprochen. Am 21.08.2013 verurteilte das Militärgericht sie zu 35 Jahren Haft, die höchste je gegen eine Person wegen Geheimnisverrats an die Presse verhängte Strafe in der US-Geschichte. Im Januar 2017 wandelte Präsident Obama die Reststrafe um, Manning kam im Mai 2017 frei.

Die genaue Zahl der weitergegebenen Dokumente schwankt zwischen rund 700.000 und mehr als 750.000 je nach Quelle. Das Verteidigungsministerium konnte im Prozess keinen direkten Todesfall infolge der Leaks nachweisen. Offen bleibt, in welchem Umfang unredigierte Namen lokaler Informanten zu deren Gefährdung führten.

Am 26.09.2022 unterzeichnete Präsident Wladimir Putin ein Dekret, das dem früheren NSA-Vertragsmitarbeiter Edward Snowden die russische Staatsbürgerschaft verlieh. Snowden lebt seit 2013 im russischen Exil, nachdem er als NSA-Auftragnehmer geheime Dokumente über globale Überwachungsprogramme an Journalisten weitergegeben hatte. In den USA liegt gegen ihn weiterhin eine 2013 erhobene Anklage wegen Spionage vor.

Nicht dokumentiert ist, ob Snowden im Zuge der Einbürgerung 2022 seine US-Staatsbürgerschaft aufgegeben hat. Er hatte 2020 erklärt, seinen amerikanischen Pass behalten zu wollen. Nicht belegt ist, ob und in welchem Umfang Snowden im Gegenzug mit russischen Behörden kooperiert hat, wie in westlichen Medien spekuliert wurde.

Im Juli 2015 drang eine Gruppe namens The Impact Team in die Systeme von Avid Life Media ein, dem Betreiber der Seitensprung-Plattform Ashley Madison. Im August 2015 veröffentlichten die Angreifer Nutzerdaten von rund 36 Millionen Konten weltweit, darunter Namen, E-Mail-Adressen und sexuelle Präferenzen. Am 14.12.2016 einigte sich der Betreiber mit der FTC und 13 Bundesstaaten auf eine Zahlung von 17,5 Millionen US-Dollar wegen unzureichender Datensicherheit.

Die Zahl der betroffenen Konten wird uneinheitlich angegeben, Medienberichte von 2015 sprachen von rund 32 Millionen, die FTC nennt 2016 offiziell 36 Millionen. Eine belastbare, verifizierte Gesamtzahl von Suiziden im Zusammenhang mit der Veröffentlichung liegt nicht vor. Die Identität der Hackergruppe The Impact Team wurde nie öffentlich aufgeklärt.

Am 25.06.2024 bekannte sich Julian Assange vor einem US-Bundesgericht in Saipan schuldig, mit Chelsea Manning zur unrechtmäßigen Beschaffung und Veröffentlichung geheimer Verteidigungsdokumente verschworen zu haben. Nach Jahren in der ecuadorianischen Botschaft, Festnahme 2019 und Haft im Gefängnis Belmarsh wurde ihm eine Haftstrafe von 62 Monaten zugemessen, die der bereits verbüßten Zeit entsprach, sodass er ohne weitere Haft freikam und nach Australien zurückkehrte.

Nicht dokumentiert ist, welche konkreten Verhandlungen zwischen Assanges Verteidigung, der australischen Regierung und dem US-Justizministerium im Vorfeld stattfanden. Die genaue Zahl der durch die Veröffentlichungen 2010/2011 gefährdeten Personen ist nicht abschließend verifiziert. Es kam durch den Deal nicht zu einem abschließenden britischen Gerichtsurteil in der Sache.

Der Spiegel enthüllte am 23. und 27.10.2013 anhand von Snowden-Dokumenten, dass die NSA das Mobiltelefon von Bundeskanzlerin Angela Merkel abgehört hat, möglicherweise seit 2002. Merkel telefonierte daraufhin mit Präsident Obama, der zusicherte, das Abhören werde nicht fortgesetzt. Der Vorfall führte zu diplomatischen Verstimmungen und zur Einsetzung des NSA-Untersuchungsausschusses ab März 2014. Die Bundesanwaltschaft stellte ihre 2014 eingeleiteten Ermittlungen im Juni 2015 mangels gerichtsverwertbarer Beweise ein.

Nicht abschließend geklärt ist, seit wann genau die Überwachung begann, das Datum 2002 stammt aus einem einzelnen NSA-Dokument. Die Bundesanwaltschaft konnte das Originaldokument nicht sichern, da es nur als Kopie vorlag, was die Verfahrenseinstellung 2015 mitbegründete. Ein geplantes No-Spy-Abkommen zwischen Deutschland und den USA kam nie zustande.

Der frühere CIA-Softwareentwickler Joshua Schulte wurde am 01.02.2024 zu 40 Jahren Haft verurteilt. Er hatte 2016 geheime Hacking-Tools und Cyberwaffen der CIA an WikiLeaks weitergegeben, die diese ab dem 07.03.2017 unter dem Namen Vault 7 veröffentlichte, laut CIA der größte Diebstahl geheimer Unterlagen in ihrer Geschichte mit rund 8.761 Dokumenten. Ein New Yorker Bundesgericht sprach Schulte im Juli 2022 in einem dritten Prozess schuldig, nachdem zwei vorherige Prozesse 2020 mit hängender Jury endeten. Zusätzlich wurde er wegen Besitzes kinderpornografischen Materials verurteilt.

Nicht öffentlich dokumentiert ist, welchen konkreten operativen Schaden die Vault-7-Veröffentlichung für laufende CIA-Operationen verursachte. Schulte bestritt die Tat durchgehend und bezeichnete sich als Opfer einer Verschwörung. Unklar bleibt, ob WikiLeaks vor der Veröffentlichung tatsächlich alle betroffenen Hersteller informierte, wie behauptet wurde.

Amazon kündigte am 24.01.2024 an, das Tool Request for Assistance in seiner App Neighbors einzustellen, über das Polizeibehörden seit 2021 öffentlich sichtbare Anfragen nach Ring-Kameravideos stellen konnten. Bis dahin hatten mehr als 2.000 US-Polizei- und Feuerwehrbehörden Zugang zu diesem System, über das Nutzer freiwillig Videomaterial ohne richterliche Anordnung teilen konnten. Polizeibehörden können Ring-Videomaterial weiterhin per Durchsuchungsbeschluss anfordern.

Nicht dokumentiert ist die Gesamtzahl aller jemals gestellten Anfragen. Unklar bleibt, in welchem Umfang Polizeibehörden Ring-Nutzer seit der Abschaltung weiterhin informell zur freiwilligen Herausgabe bewegen. Amazon stellt die Entscheidung nicht als Reaktion auf konkreten rechtlichen Druck dar.

Datatilsynet stellte fest, dass die Dating-App Grindr zwischen 2018 und 2020 persönliche Daten ihrer Nutzer, darunter Standortdaten und Angaben wie HIV-Status und PrEP-Einnahme, ohne gültige Rechtsgrundlage an Werbepartner weitergab. Am 13.12.2021 verhängte die Behörde eine endgültige Geldbuße von 65 Millionen norwegischen Kronen, rund 5,7 Millionen Euro, wegen fehlender wirksamer Einwilligung nach Artikel 6 und 9 DSGVO.

Nicht geklärt ist, wie viele der weltweit rund 12,5 Millionen täglichen Nutzer tatsächlich betroffen waren. Das ursprünglich angekündigte Bußgeld von 9,6 Millionen Euro wurde nach Anhörung auf 5,7 Millionen Euro reduziert, ohne dass die Berechnungsmethode vollständig transparent gemacht wurde. Ein norwegisches Berufungsgericht bestätigte die Buße erst 2025.

Im Mai 2018 deckte ein Sicherheitsforscher auf, dass die Demo-Funktion von LocationSmart ohne Authentifizierung Echtzeit-Standortdaten von Kunden aller vier großen US-Mobilfunkanbieter preisgab. LocationSmart verkaufte Standortdaten an Drittanbieter, darunter Securus Technologies, das Strafverfolgungsbehörden Zugriff auf Echtzeit-Standortdaten gegen ein einfaches Ankreuzen einer rechtlichen Berechtigung bot, ohne diese zu prüfen. Als Reaktion kündigten alle vier Mobilfunkanbieter ihre Vereinbarungen mit LocationSmart.

Nicht dokumentiert ist, wie viele Personen tatsächlich unrechtmäßig geortet wurden und wie lange die Lücke bereits bestand. Das tatsächliche Ausmaß des Missbrauchs durch Strafverfolgungsbehörden blieb ungeklärt. Erst 2020, mehr als zwei Jahre später, verhängte die FCC Bußgelder gegen die Mobilfunkanbieter.

Nach dem Volkszählungsurteil des Bundesverfassungsgerichts vom 15.12.1983 wurde die ursprünglich für 1983 geplante Volkszählung gestoppt und erst zum Stichtag 25.05.1987 in überarbeiteter Form durchgeführt. Für den Zensus 1987 wurden personenbezogene Angaben von den Fragebögen getrennt, um die Anonymität stärker zu schützen. Vor allem in Großstädten formierte sich eine breite Boykottbewegung gegen den Abgleich der Zählungsdaten mit den Melderegistern.

Die genaue Zahl der Boykottteilnehmer ist nicht zuverlässig belegt und lässt sich im Nachhinein nicht rekonstruieren. Neben dem offenen Boykott gab es einen heimlichen Boykott durch bewusst falsche Angaben, der sich statistisch nicht erfassen lässt. Unklar bleibt, in welchem Umfang die Protestbewegung tatsächlich Einfluss auf spätere Datenschutzgesetzgebung hatte.

Sam Bankman-Fried, Gründer der Kryptobörse FTX und der Handelsfirma Alameda Research, wurde am 28.03.2024 zu 25 Jahren Haft verurteilt. Er hatte Kundengelder von FTX in Milliardenhöhe veruntreut, Investoren um mehr als 1,7 Milliarden US-Dollar betrogen und Kreditgeber von Alameda um mehr als 1,3 Milliarden US-Dollar geschädigt. Eine Jury befand ihn im November 2023 in allen sieben Anklagepunkten für schuldig. FTX war im November 2022 zusammengebrochen. Das Gericht ordnete eine Vermögenseinziehung von rund 11 Milliarden US-Dollar an.

Nicht abschließend geklärt ist die genaue Höhe des tatsächlichen Kundenschadens, da die Insolvenzverwaltung nach dem Zusammenbruch einen erheblichen Teil der Vermögenswerte durch Verkäufe wiederbeschaffte. Umstritten bleibt, welchen Anteil am Zusammenbruch strukturelle Schwächen der Kryptobranche insgesamt hatten gegenüber individuellem kriminellem Handeln.

Eine Jury befand Terraform Labs und Mitgründer Do Kwon am 05.04.2024 einstimmig des Wertpapierbetrugs für schuldig, im Zusammenhang mit dem Zusammenbruch des Stablecoins TerraUSD und des Tokens Luna im Mai 2022, bei dem das Terra-Ökosystem nach SEC-Angaben rund 40 Milliarden US-Dollar an Marktwert verlor. Am 12.06.2024 bestätigte das Gericht ein finales Urteil über 4,5 Milliarden US-Dollar, davon rund 3,59 Milliarden Gewinnabschöpfung. Kwon und Terraform Labs wurde dauerhaft der Handel mit Krypto-Wertpapieren untersagt.

Nicht abschließend geklärt ist, wie viel des zugesprochenen Betrags tatsächlich zurückerhalten wird, da Terraform Labs zum Urteilszeitpunkt bereits weitgehend zahlungsunfähig war. Offen bleibt der Ausgang paralleler strafrechtlicher Verfahren gegen Do Kwon in den USA und Südkorea sowie Fragen zu seiner Auslieferung.