Quellen-Tabelle

LastPass meldete am 25.08.2022 einen Einbruch in seine Entwicklungsumgebung, bei dem Quellcode und ein verschlüsselter Schlüssel für Kunden-Backups entwendet wurden. In einem zweiten Vorfall im September 2022 kompromittierte der Angreifer per Keylogger den Rechner eines DevOps-Ingenieurs und erlangte Zugriff auf eine Backup-Datenbank mit Kundentresordaten. Laut US-Ermittlern wurden die Daten für Offline-Angriffe genutzt, die mit einem Kryptowährungsdiebstahl von rund 150 Millionen US-Dollar in Verbindung gebracht werden. LastPass einigte sich 2025 auf eine Sammelklagenzahlung von 24,5 Millionen US-Dollar.

Nicht dokumentiert ist, wie viele Tresore tatsächlich entschlüsselt wurden, da dies von der Stärke der Master-Passwörter abhing. Die Verbindung zum 150-Millionen-Dollar-Diebstahl stützt sich auf Ermittlungsdokumente, eine lückenlose Beweiskette für jeden Einzelfall ist nicht öffentlich einsehbar.

Am 08.10.2022 wurden gegen 2 Uhr nachts an zwei Orten, Herne und Berlin-Karow, Glasfaserkabel des Zugfunknetzes GSM-R der Deutschen Bahn durchtrennt. Beide redundant ausgelegten Stränge fielen aus. Der ICE-Verkehr zwischen Berlin, Hannover und Nordrhein-Westfalen sowie die Verbindung Berlin-Amsterdam waren für mehrere Stunden unterbrochen. Die Bundesanwaltschaft übernahm die Ermittlungen am 13.10.2022, das BKA wurde am 21.10.2022 eingeschaltet.

Nicht bewiesen ist, dass es sich um einen politisch motivierten Sabotageakt handelte. Die Staatsanwaltschaft Bochum identifizierte bis Juni 2024 zwei mutmaßliche Täter, die laut Berichten von Juli 2023 nach Kupferkabeln suchten und die Glasfaserkabel offenbar irrtümlich beschädigten. Ob ein politisches Motiv oder ein Diebstahlsversuch vorlag, blieb laut Ermittlungsstand unklar.

Am 05.10.2023 veröffentlichte das Medienkonsortium European Investigative Collaborations gemeinsam mit dem Security Lab von Amnesty International die Recherche Predator Files. Der Bericht dokumentiert, dass die Spyware Predator, hergestellt vom Intellexa-Konsortium um die Nexa-Gruppe aus Frankreich, in mindestens 25 Ländern verkauft wurde, darunter Oman, Katar, Kenia, die VAE, Vietnam, Sudan und Ägypten. Das Intellexa-Konsortium wurde 2018 vom ehemaligen israelischen Militäroffizier Tal Dilian mitgegründet.

Nicht abschließend dokumentiert ist, in welchem Umfang Predator in jedem der 25 Länder operativ eingesetzt wurde. Die Eigentümer- und Kontrollstruktur des Intellexa-Konsortiums bleibt teilweise intransparent, da mehrere ineinander verschachtelte Firmen in verschiedenen Staaten involviert sind.

Beim Landratsamt Enzkreis in Pforzheim waren durch eine fehlerhafte Systemkonfiguration eines externen IT-Dienstleisters personenbezogene Daten aus Online-Führerscheinanträgen über eine nicht verlinkte, aber direkt aufrufbare Internetadresse zugänglich. Die Fehlkonfiguration bestand von Januar 2025 bis zur Entdeckung am 08.10.2025, betroffen waren Anträge zwischen 01.01.2024 und 08.10.2025. Die Zahl der betroffenen Personen liegt im oberen vierstelligen Bereich, der Server wurde umgehend abgeschaltet.

Nicht belegt ist die exakte Zahl tatsächlich abgerufener Datensätze, die Behörde spricht nur von einer potenziellen oberen vierstelligen Zahl. Welcher externe IT-Dienstleister die Fehlkonfiguration verursachte und ob eine Haftung geklärt ist, bleibt unklar.

Das Delaware Chancery Court genehmigte am 07.04.2026 einen Vergleich über 190 Millionen US-Dollar zur Beilegung einer Aktionärsklage gegen Mark Zuckerberg, Sheryl Sandberg und weitere Meta-Direktoren. Eine Gruppe von Pensionsfonds hatte vorgeworfen, Facebook habe im Umgang mit den Daten im Cambridge-Analytica-Skandal gegen eine FTC-Unterlassungsverfügung von 2012 verstoßen. Der Prozess begann am 16.07.2025, die Kläger hatten ursprünglich 8 Milliarden US-Dollar gefordert. Die Zahlung erfolgt laut Berichten aus der D&O-Haftpflichtversicherung.

Nicht öffentlich dokumentiert ist die genaue Aufteilung der 190 Millionen Dollar zwischen den Versicherungspolicen. Ob Zuckerberg oder andere Beklagte persönlich finanziell hafteten, ist nicht abschließend belegt.

Die Forscher Chris Demchak und Yuval Shavit veröffentlichten Ende Oktober 2018 eine Studie über systematische BGP-Routing-Manipulationen durch den chinesischen Staatskonzern China Telecom. Dokumentiert wurde unter anderem eine rund zweieinhalbjährige Fehlleitung von Verizon-APAC-Routen über China Telecom zwischen Ende 2015 und Mitte 2018. Doug Madory von Oracle Internet Intelligence bestätigte die Befunde anhand eigener Messdaten.

Nicht bewiesen ist eine gezielte staatliche Anordnung zum Abhören von Verkehr im Einzelfall. China Telecom wies die Vorwürfe als technische Fehlkonfigurationen zurück. Das Ausmaß eines möglichen Datenzugriffs während der Umleitungen bleibt unklar.

Am Landgericht München I läuft seit dem 08.12.2022 der Strafprozess gegen den ehemaligen Wirecard-Vorstandschef Markus Braun, den früheren Dubai-Manager Oliver Bellenhaus als Kronzeugen und einen ehemaligen Chefbuchhalter. Der geschätzte Gesamtschaden liegt bei über 3 Milliarden Euro. Bis Juli 2026 wurden mehr als 270 Verhandlungstage absolviert, die Schlussplädoyers wurden für die vierte Oktoberwoche 2026 terminiert. Braun sitzt seit Juni 2020 in Untersuchungshaft.

Ein Urteil lag zum Zeitpunkt dieser Quelle noch nicht vor. Die genaue Schadenssumme schwankt in Quellen zwischen 1,9 und 3,2 Milliarden Euro. Die Rolle des seit 2020 mit internationalem Haftbefehl gesuchten Jan Marsalek konnte im Prozess nicht abschließend geklärt werden.

Sam Bankman-Fried, Gründer der Kryptobörse FTX, wurde am 28.03.2024 zu 25 Jahren Haft verurteilt, nachdem eine Jury ihn am 02.11.2023 in allen sieben Anklagepunkten für schuldig befunden hatte. Durch den Zusammenbruch von FTX im November 2022 entstand ein Schaden von mehr als acht Milliarden US-Dollar an Kundengeldern. Richter Lewis Kaplan ordnete eine Einziehung von rund elf Milliarden US-Dollar an.

Die tatsächliche Höhe des Endschadens ist nicht abschließend geklärt, da die Konkursverwaltung später Vermögenswerte zurückerlangte. Bankman-Fried bestritt vorsätzlichen Betrug und legte Rechtsmittel ein.

Die Federal Reserve verhängte am 19.07.2023 eine Geldstrafe von insgesamt 186.392.035 US-Dollar gegen die Deutsche Bank AG und ihre US-Tochtergesellschaften. Davon entfielen 46,2 Millionen US-Dollar auf Mängel bei Geldwäsche- und Sanktionsprüfung im Zusammenhang mit der Korrespondenzbankbeziehung zur estnischen Danske-Bank-Niederlassung. Die Fed stellte zusätzlich unzureichende Fortschritte bei früheren Auflagen aus 2015 und 2017 fest.

Nicht dokumentiert ist, in welchem Umfang die Deutsche Bank konkrete Kenntnis einzelner verdächtiger Transaktionen hatte. Die Gesamtsumme der durch die estnische Filiale geflossenen Gelder wird in Quellen zwischen 200 und 234 Milliarden Euro beziffert.

Am 28.04.2023 veröffentlichte die Federal Reserve einen Bericht zur Aufsicht über die Silicon Valley Bank, die am 10.03.2023 geschlossen wurde und die zweitgrößte Bankenpleite der US-Geschichte war. Als Ursachen nennt der Bericht eine Konzentration von Kunden mit überwiegend unversicherten Einlagen sowie Missmanagement von Zins- und Liquiditätsrisiken. Der Ausfall kostete den Einlagensicherungsfonds FDIC nach späteren Schätzungen rund 16,1 Milliarden US-Dollar.

Der Bericht selbst räumt ein, unter Zeitdruck und mit Wissen um den Ausgang erstellt worden zu sein, was seine Objektivität einschränkt. Die genaue Abflussgeschwindigkeit der Einlagen in den Tagen vor der Schließung ist nicht unabhängig verifiziert.

Am 19.03.2023 beschloss der Schweizer Bundesrat ein Maßnahmenpaket, das die Übernahme der Credit Suisse durch die UBS ermöglichte, nachdem die Credit Suisse durch massive Kundengeldabflüsse akut von Zahlungsunfähigkeit bedroht war. Die FINMA veröffentlichte am 19.12.2023 einen Bericht, der ihre Aufsichtstätigkeit von 2008 bis 2023 untersucht und unzureichende Umsetzung strategischer Neuausrichtungen sowie wiederholte Skandale als Ursachen nennt.

Umstritten bleibt die persönliche strafrechtliche Verantwortlichkeit einzelner Führungskräfte, da der Bericht primär aufsichtsrechtliche Lehren zieht. Die genaue Höhe der Kundengeldabflüsse im März 2023 wird in Quellen unterschiedlich beziffert.

Am 21.09.2021 setzte das US-Finanzministerium über OFAC die Kryptowährungsbörse Suex OTC, S.R.O. auf die Sanktionsliste SDN, die erste OFAC-Sanktionierung einer Kryptobörse im Ransomware-Kontext. Laut OFAC wickelte Suex Transaktionen für mindestens acht Ransomware-Varianten ab, rund 40 Prozent der bekannten Transaktionshistorie betrafen illegale Akteure. Suex soll über große Börsen mehr als 160 Millionen US-Dollar in Bitcoin von Ransomware-Akteuren erhalten haben.

Nicht belegt ist, wie viele Ransomware-Zahlungen konkret über Suex an welche Angreifergruppen weitergeleitet wurden. Unklar bleibt, wer die tatsächlichen Eigentümer waren und ob strafrechtliche Verfahren gegen einzelne Personen folgten.

Am 23.08.2023 wurde Anklage gegen die Tornado-Cash-Mitgründer Roman Storm und Roman Semenov wegen Verschwörung zur Geldwäsche und Sanktionsverletzung erhoben. Laut Anklage wurden mindestens 1 Milliarde US-Dollar über Tornado Cash gewaschen, darunter Gelder der nordkoreanischen Lazarus-Gruppe. Am 06.08.2025 sprach eine Jury Roman Storm der Verschwörung zum Betrieb eines unlizenzierten Geldtransferdienstes schuldig, blieb bei Geldwäsche und Sanktionsverstoß aber ohne Einigung.

Nicht abschließend gerichtlich festgestellt ist, ob Storm und Semenov wissentlich an Geldwäsche mitwirkten, da die Jury bei den Hauptvorwürfen zu keinem einstimmigen Urteil kam. Der Verlauf des Verfahrens gegen Semenov war zum Zeitpunkt der Quelle offen.

Am 23.03.2022 wurden aus der Ronin Bridge, die das Blockchain-Spiel Axie Infinity mit Ethereum verbindet, Kryptowährungen im Wert von rund 625 Millionen US-Dollar entwendet. Sky Mavis bemerkte den Diebstahl erst am 29.03.2022. Das FBI attribuierte den Angriff am 14.04.2022 offiziell der nordkoreanischen Lazarus-Gruppe. Die Angreifer erlangten Kontrolle über fünf von neun Validator-Knoten des Ronin-Netzwerks.

Der genaue technische Ablauf der Validator-Kompromittierung ist nicht abschließend behördlich dokumentiert. Der Gesamtwert des Schadens schwankt in Berichten zwischen 540 und 625 Millionen US-Dollar. Nordkorea hat die Zuordnung nie bestätigt.

Die IT-Sicherheitsexpertin Lilith Wittmann deckte im Juli 2024 mit ihrem Projekt festnetz.cool auf, dass die Deutsche Telekom eine offen zugängliche API für Festnetzanschlüsse betreibt. Allein mit einer IP-Adresse ließen sich Tarifdetails, Geschwindigkeit sowie eine dauerhafte Nutzerkennung abrufen. Die Telekom meldete den Vorfall am 15.07.2024 an die Bundesbeauftragte für den Datenschutz.

Die genaue Zahl betroffener Anschlüsse ist nicht belegt, Schätzungen schwanken zwischen wenigen Millionen und bis zu 25 Millionen ohne verifizierte Grundlage. Ob die Telekom die Daten aktiv zur Nutzerverfolgung einsetzte, ist unklar.

Am 20.02.2022 veröffentlichte ein Journalistenkonsortium aus 48 Medien in 39 Ländern unter Federführung der Süddeutschen Zeitung und des OCCRP die Recherche Suisse Secrets. Grundlage waren Daten zu mehr als 18.000 Bankkonten der Credit Suisse mit einem Gesamtvolumen von über 100 Milliarden Schweizer Franken. Die Recherche identifizierte unter den Kontoinhabern sanktionierte Personen und mutmaßliche Kriegsverbrecher. Credit Suisse wies die Vorwürfe zurück.

Die Identität der Quelle, die die Daten zuspielte, ist nicht dokumentiert. Credit Suisse stellte die Aktualität eines großen Teils der Datensätze infrage. Ob gegen einzelne Kontoinhaber strafrechtlich ermittelt wurde, ist nicht einheitlich öffentlich dokumentiert.

Kenny Paterson, Matteo Scarlata und Kien Tuong Truong von der Applied Cryptography Group der ETH Zürich veröffentlichten eine kryptografische Sicherheitsanalyse des Schweizer Messengers Threema, vorgestellt auf dem USENIX Security Symposium 2023. Die Forscher beschrieben sieben Angriffe, die unter anderem das Wiederherstellen von langfristigen privaten Schlüsseln und das Umgehen der Authentifizierung ermöglichen konnten, eine Methode nutzte einen Seitenkanal über die Größe verschlüsselter Backups. Die Forscher informierten Threema im Oktober 2022, im November 2022 veröffentlichte Threema ein neues Protokoll namens Ibex, das die Probleme beheben soll.

Nicht dokumentiert ist, ob die Schwachstellen jemals praktisch ausgenutzt wurden. Threema erklärte, die Lücken hätten keine realen Auswirkungen gehabt, was von den ETH-Forschern als beschönigend kritisiert wurde. Die technische Wirksamkeit des neuen Ibex-Protokolls wurde nicht unabhängig extern nachgeprüft.

Am 20.03.2025 genehmigte eine US-Bezirksrichterin in Chicago den Vergleich in der Sammelklage gegen Clearview AI wegen Verstoßes gegen den Illinois Biometric Information Privacy Act (BIPA). Statt Barzahlung erhalten die Klassenmitglieder einen Anteil von 23 Prozent an Clearview AI, auf Basis einer Bewertung von 225 Millionen US-Dollar mit rund 51,75 Millionen US-Dollar beziffert. Clearview verpflichtet sich zudem zu einem Opt-Out-System und Löschung bestimmter biometrischer Daten für Einwohner Illinois.

Der tatsächliche Marktwert des Aktienanteils ist nicht abschließend geklärt, da Clearview nicht börsennotiert ist. 22 US-Bundesstaaten legten Einspruch gegen die Konstruktion ein. Wie viele der potenziell Millionen Betroffenen tatsächlich Ansprüche anmelden, ist offen.

Am 18.05.2022 zwischen etwa 8:00 und 9:35 Uhr konnten Nutzer im Online-Portal der Bundesagentur für Arbeit teilweise auf persönliche Daten anderer Kunden zugreifen, darunter Schriftverkehr von Arbeitssuchenden. Ursache war ein technischer Fehler bei einem Sicherheitsupdate, bei dem Nutzerkonten falschen Datensätzen zugeordnet wurden. Die Bundesagentur deaktivierte die Anmeldefunktion um 9:35 Uhr und stellte sie um 10:05 Uhr wieder her.

Wie viele Personen tatsächlich betroffen waren, konnte die Bundesagentur nach eigener Aussage nachträglich nicht mehr ermitteln. Ob eine Meldung an die Datenschutzaufsichtsbehörde nach Artikel 33 DSGVO erfolgte, ist aus verfügbaren Berichten nicht dokumentiert.

Die Wirtschaftsstrafkammer des Landgerichts Braunschweig verurteilte am 26.05.2025 vier ehemalige Volkswagen-Manager wegen Betrugs im Zusammenhang mit der Abgasmanipulation. Jens Hadler erhielt vier Jahre und sechs Monate Haft, Hanno Jelden zwei Jahre und sieben Monate. Zwei weitere Angeklagte erhielten Bewährungsstrafen von 15 beziehungsweise 22 Monaten. Der Prozess hatte im September 2021 begonnen und umfasste rund 170 Verhandlungstage.

Nicht Teil dieses Verfahrens war Ex-VW-Chef Martin Winterkorn, dessen Fall wegen gesundheitlicher Probleme abgetrennt wurde. In Braunschweig sind weitere Verfahren gegen 31 Beschuldigte anhängig. Rechtsmittel gegen die Urteile waren zum Zeitpunkt der Berichterstattung nicht ausgeschlossen.

Der Prüfbericht des DOT Inspector General vom 26.04.2023 stellt fest, dass die Risikobewertungsverfahren der FAA seit über einem Jahrzehnt nicht wesentlich aktualisiert wurden. Ein früherer Bericht von 2021 hatte dokumentiert, dass Boeing der FAA während der Zertifizierung 2015/2016 nur begrenzte Informationen über das Flugsteuerungssystem MCAS vorlegte, das später als Mitursache der Abstürze 2018 und 2019 identifiziert wurde.

Der Vorwurf aktiver Vertuschung durch die FAA selbst ist durch die OIG-Berichte nicht belegt, dokumentiert ist unzureichende Aufsicht. Ob die sieben Empfehlungen des Berichts vollständig umgesetzt wurden, ist nicht dokumentiert.

Das US-Justizministerium gab am 21.10.2020 bekannt, dass sich der OxyContin-Hersteller Purdue Pharma in drei Bundesanklagepunkten schuldig bekennt. Das Unternehmen wurde zu einer Geldbuße von 3,54 Milliarden Dollar sowie einer zivilrechtlichen Einigung von 2,8 Milliarden Dollar verpflichtet. Mitglieder der Sackler-Familie verpflichteten sich zur zivilrechtlichen Zahlung von 225 Millionen Dollar.

Weder Sackler-Familienmitglieder noch Purdue-Manager wurden im Rahmen dieser Einigung strafrechtlich angeklagt. Der Betrag der Familie wurde später im Insolvenzverfahren auf rund 6 Milliarden Dollar erhöht und war Gegenstand weiterer Verfahren bis zum US Supreme Court.

Am 03.01.2022 wurde Theranos-Gründerin Elizabeth Holmes in vier von elf Anklagepunkten des Betrugs schuldig gesprochen, in Punkten zur Täuschung von Patienten wurde sie freigesprochen. Am 18.11.2022 verurteilte das Gericht sie zu 135 Monaten Haft sowie zusammen mit Mitangeklagtem Ramesh Balwani zu einer Schadenswiedergutmachung von rund 452 Millionen US-Dollar. Theranos hatte behauptet, mit wenigen Tropfen Blut zahlreiche Labortests durchführen zu können, was sich als technisch unzuverlässig erwies.

Nicht gerichtlich festgestellt ist, in welchem Umfang einzelne Patienten durch fehlerhafte Testergebnisse geschädigt wurden, da diese Anklagepunkte nicht zur Verurteilung führten. Die exakte Höhe des verlorenen Anlegerkapitals wird zwischen 600 Millionen und knapp einer Milliarde Dollar unterschiedlich beziffert.

Am 05.11.2014 veröffentlichte das ICIJ mit rund 80 Journalisten aus 26 Ländern die Recherche LuxLeaks. Grundlage waren vertrauliche Steuervorbescheide, die PricewaterhouseCoopers zwischen 2002 und 2010 für Konzernkunden bei der luxemburgischen Steuerverwaltung erwirkt hatte, mindestens 548 Absprachen für mehr als 340 Unternehmen. Quelle war der ehemalige PwC-Mitarbeiter Antoine Deltour.

Der konkrete Steuerausfall einzelner EU-Staaten ist nicht abschließend geklärt. Die Steuervorbescheide waren nach luxemburgischem Recht zum Abschlusszeitpunkt grundsätzlich legal. Deltour wurde in Luxemburg zunächst verurteilt, in der Berufung von zentralen Vorwürfen freigesprochen.

Am 05.11.2017 veröffentlichte das ICIJ mit 95 Medienpartnern die Recherche Paradise Papers, basierend auf 13,4 Millionen geleakten Dateien hauptsächlich aus der Offshore-Kanzlei Appleby. Die Dokumente zeigten Offshore-Verbindungen von mehr als 120 Politikern und Steuerplanungsstrukturen von knapp 100 multinationalen Konzernen wie Apple und Nike. Die Originaldaten wurden der Süddeutschen Zeitung zugespielt.

Nicht bewiesen ist, dass alle genannten Personen oder Firmen gegen geltendes Recht verstießen, Offshore-Strukturen sind vielfach legal. Der Ursprung des Lecks bei Appleby wurde nie einem Täter zugeordnet, Appleby selbst sprach von einem kriminellen Cyberangriff.