Quellen-Tabelle

Am 22.10.2020 einigten sich DOJ und SEC mit Goldman Sachs auf rund 2,9 Milliarden US-Dollar wegen Verstoßes gegen den Foreign Corrupt Practices Act, die größte je gezahlte FCPA-Strafe. Goldman Sachs zahlte zwischen 2009 und 2014 mehr als 1,6 Milliarden Dollar Bestechungsgelder in Malaysia und Abu Dhabi, um als Konsortialführer bei Anleiheemissionen des Staatsfonds 1MDB eingesetzt zu werden. Der ehemalige Regierungschef Najib Razak wurde 2020 wegen Korruption verurteilt.

Die genaue Gesamthöhe der aus 1MDB veruntreuten Gelder ist nicht abschließend geklärt, Schätzungen liegen bei rund 4,5 Milliarden Dollar. Der Verbleib erheblicher Teile der Gelder ist bis heute nicht vollständig aufgeklärt. Die zentrale Figur Jho Low gilt als international per Haftbefehl gesucht.

Am 21.12.2016 bekannten sich der brasilianische Baukonzern Odebrecht und sein Ableger Braskem in den USA der Bestechung schuldig. Odebrecht zahlte zwischen 2001 und 2016 rund 788 Millionen US-Dollar Bestechungsgelder an Regierungsvertreter in zwölf Ländern, um mehr als 100 Bauprojekte zu erhalten. Odebrecht und Braskem einigten sich mit Behörden in den USA, Brasilien und der Schweiz auf Strafzahlungen von mindestens 3,5 Milliarden US-Dollar.

Welche einzelnen Amtsträger konkret welche Summen erhielten, ist nicht abschließend geklärt, viele nationale Verfahren begannen erst nach 2016. Wie viel der vereinbarten 3,5 Milliarden Dollar tatsächlich eingetrieben wurde, ist nicht abschließend dokumentiert.

Das US-Justizministerium gab am 27.09.2018 bekannt, dass der brasilianische Ölkonzern Petrobras mehr als 850 Millionen Dollar wegen Verstößen gegen den Foreign Corrupt Practices Act zahlt. Insgesamt beliefen sich die Zahlungen an DOJ, SEC, Aktionäre und brasilianische Behörden auf rund 1,78 Milliarden Dollar. Hochrangige Petrobras-Führungskräfte verlangten von Vertragspartnern Zahlungen von 1 bis 3 Prozent des Auftragswerts als Bestechungsgelder.

Die genaue Gesamtsumme der über Jahre aufgedeckten Korruption bei Petrobras ist nicht abschließend beziffert. Wie viele involvierte Politiker und Manager strafrechtlich verurteilt wurden, ist nicht dokumentiert, da zahlreiche brasilianische Verfahren später annulliert wurden.

Am 11.12.2008 klagte die SEC Bernard L. Madoff wegen Wertpapierbetrugs an. Madoff hatte gegenüber Mitarbeitern eingeräumt, sein Vermögensverwaltungsgeschäft sei im Kern ein Ponzi-System. Die SEC bezifferte den mutmaßlichen Schaden auf rund 50 Milliarden US-Dollar. Am 18.12.2008 fror ein Gericht Madoffs Vermögen ein. Madoff bekannte sich im März 2009 in elf Anklagepunkten schuldig und wurde zu 150 Jahren Haft verurteilt.

Die oft zitierte Zahl von 65 Milliarden Dollar bezieht sich auf fiktive Kontostände, der tatsächliche Nettoverlust der Anleger liegt nach Treuhänder-Schätzung bei 17 bis 20 Milliarden Dollar. Umstritten blieb, wie weit die SEC trotz Warnungen des Analysten Harry Markopolos bereits ab 1999 versagte.

Die SEC erhob am 17.02.2009 Klage gegen Robert Allen Stanford und seine Stanford International Bank auf Antigua wegen eines Betrugs im Umfang von rund 8 Milliarden US-Dollar über fiktiv verzinste Einlagenzertifikate. Ein US-Gericht bestellte einen Zwangsverwalter. Stanford wurde 2012 in 13 von 14 Anklagepunkten schuldig gesprochen und zu 110 Jahren Haft verurteilt.

Die genaue Schadenshöhe für 18.000 bis 30.000 Anleger schwankt zwischen 5,5 und 8 Milliarden Dollar. Wie stark Antiguas Bankenaufsicht verstrickt war, insbesondere im Fall des 2009 getöteten Aufsichtschefs Leroy King, blieb lange offen.

Eine Jury sprach Trevor Milton, Gründer des Elektro-Lkw-Herstellers Nikola, im Oktober 2022 in drei von vier Anklagepunkten wegen Wertpapierbetrugs schuldig. Milton hatte zwischen November 2019 und September 2020 Investoren über den Entwicklungsstand der Nikola-Technologie getäuscht, unter anderem mit einem Werbevideo, das ein rollendes statt fahrendes Fahrzeug zeigte. Im Dezember 2023 wurde er zu vier Jahren Haft und 1 Million Dollar Geldstrafe verurteilt.

Im März 2025 begnadigte Präsident Trump Milton vollständig, wodurch die Verurteilung politisch und rechtlich aufgehoben wurde. Die exakte Höhe des Anlegerschadens ist nicht einheitlich gerichtlich festgestellt.

Die SEC klagte Luckin Coffee wegen Wertpapierbetrugs an und einigte sich auf eine Zivilstrafe von 180 Millionen US-Dollar. Das Unternehmen fälschte 2019 Umsatzzahlen um mehr als 300 Millionen US-Dollar durch fiktive Verkäufe. Der Betrug flog nach einem Short-Seller-Bericht von Muddy Waters Research am 31.01.2020 auf. Die Aktie wurde von der Nasdaq dekotiert.

Welche Führungskräfte in China strafrechtlich verfolgt wurden, ist öffentlich nur begrenzt dokumentiert. Die Rolle des Abschlussprüfers Ernst & Young wird in Quellen unterschiedlich bewertet.

Der Einzelhandelskonzern Steinhoff International räumte im Dezember 2017 Bilanzunregelmäßigkeiten ein, der Aktienkurs brach um über 90 Prozent ein. Die forensische PwC-Untersuchung ergab, dass zwischen 2009 und 2017 fiktive Transaktionen in Höhe von etwa 7,4 Milliarden US-Dollar verbucht wurden, um Verluste zu verschleiern. Als zentrale Verantwortliche gelten Ex-CEO Markus Jooste und Ex-CFO Ben la Grange.

Der vollständige PwC-Bericht wurde nie veröffentlicht, nur Zusammenfassungen sind bekannt. Strafrechtliche Verurteilungen in Südafrika stehen weiterhin größtenteils aus.

Der Inselstaat Nauru vergab in den 1990er Jahren Lizenzen an rund 400 Offshore-Banken, obwohl das Land weniger als 15.000 Einwohner zählte. Die russische Zentralbank schätzte, dass 1998 rund 70 Milliarden US-Dollar über Nauru-verknüpfte Konten geleitet wurden. Die FATF stufte Nauru im Oktober 2000 als unkooperatives Land ein. Nauru widerrief daraufhin 139 der 140 Offshore-Banklizenzen.

Die Zahl von 400 Banken stammt aus journalistischen Sekundärquellen, ein vollständiges Bankregister aus jener Zeit ist nicht öffentlich einsehbar. Die 70-Milliarden-Schätzung wurde nie unabhängig forensisch verifiziert.

Am 05.07.1991 schalteten Bankaufsichtsbehörden in sieben Ländern koordiniert die Bank of Credit and Commerce International (BCCI) ab. Der US-Senatsausschuss veröffentlichte im Dezember 1992 den Bericht The BCCI Affair, der dokumentiert, dass BCCI systematisch Bankaufsicht umging, gefälschte Bilanzen vorlegte und als Instrument für Geldwäsche und Waffenhandel diente, unter anderem für das Drogenkartell von Medellín. Der Schaden wird auf mehr als 10 Milliarden US-Dollar beziffert.

Die genaue Gesamthöhe des Schadens schwankt zwischen 10 und über 20 Milliarden Dollar je nach Quelle. Das Ausmaß behaupteter Verbindungen zu CIA und pakistanischem ISI blieb unklar.

Die 1762 gegründete Barings Bank brach am 26.02.1995 zusammen, nachdem Händler Nick Leeson in Singapur über Jahre unautorisierte Termingeschäfte auf den Nikkei 225 tätigte und Verluste über ein Fehlerkonto verschleierte. Die Verluste beliefen sich auf rund 827 Millionen Pfund. Barings wurde für ein Pfund von der ING Group übernommen. Leeson wurde 1995 zu sechseinhalb Jahren Haft verurteilt.

Ob interne Kontrollen und Vorgesetzte die Positionen früher hätten erkennen müssen, ist nicht abschließend geklärt. Der Anteil des Erdbebens von Kobe an der Eskalation bleibt umstritten.

Der Händler Jérôme Kerviel baute bei der Société Générale unautorisierte Positionen von rund 50 Milliarden Euro auf, obwohl sein Limit bei 125 Millionen Euro lag, und verschleierte sie durch fiktive Gegengeschäfte. Beim Auflösen der Positionen im Januar 2008 entstand ein Verlust von 4,9 Milliarden Euro. Der Cour de Cassation bestätigte 2014 seine Verurteilung.

Ob Vorgesetzte oder Kontrollabteilungen von den Positionen wussten, ist nicht abschließend geklärt. Ein Gericht reduzierte 2016 den von Kerviel geforderten Schadensersatz auf rund 1 Million Euro wegen Mitschuld der Bank.

Am 12.06.2016 beendete Walgreens seine Partnerschaft mit Theranos und schloss alle 40 Theranos Wellness Centers in Arizona, nachdem die US-Gesundheitsbehörde CMS mehrere Testergebnisse für ungültig erklärt und Theranos' Korrekturplan abgelehnt hatte. Bereits im Januar 2016 hatte Walgreens den Testbetrieb in Palo Alto eingestellt.

Die genauen finanziellen Konditionen der Trennung sind nicht dokumentiert. Walgreens klagte später separat wegen eines Investments von rund 140 Millionen Dollar, dieser Zivilprozess ist vom operativen Ende der Partnerschaft zu unterscheiden.

Am 27.01.2024 verschafften sich Unbekannte Zugang zur IT-Infrastruktur der Bezirkskliniken Mittelfranken und verschlüsselten gezielt Daten. Betroffen waren acht Kliniken und zwei Wohnheime mit rund 1700 Betten, darunter das Klinikum am Europakanal Erlangen und das Bezirksklinikum Ansbach. Die Angreifer zogen personenbezogene Daten und interne Dokumente ab, alle Systeme wurden vom Netz genommen. Ein Krisenstab arbeitete mit Polizei, Staatsanwaltschaft und der bayerischen Datenschutzaufsicht zusammen. Bis Ende Februar 2024 wurde die IT schrittweise wieder aufgebaut.

Welche Tätergruppe hinter dem Angriff steckt, ist nicht dokumentiert. Ob eine Lösegeldforderung gestellt und gezahlt wurde, ist unbekannt. Der genaue Umfang der abgezogenen Daten wird nicht beziffert.

Am 16.11.2025 fielen die zentralen IT- und Kommunikationssysteme der Stadtwerke Detmold GmbH aus. Die Generalstaatsanwaltschaft Köln führt ein Ermittlungsverfahren wegen Erpressung, übergeben an die Zentral- und Ansprechstelle Cybercrime NRW. Laut Bild-Zeitung erhielten die Stadtwerke eine Lösegeldforderung. Die Versorgung mit Erdgas, Trinkwasser, Strom und Wärme blieb gesichert, betroffen waren vor allem Kommunikationswege. Die IT-Systeme waren seit Anfang Januar 2026 wieder vollständig funktionsfähig.

Die Höhe der Lösegeldforderung, die Identität der Angreifer und die genaue Angriffsmethode sind nicht öffentlich dokumentiert. Ob ein Datenabfluss stattfand oder ein Lösegeld gezahlt wurde, ist nicht bestätigt.

Im Juni 2025 nutzten Betrüger eine technische Störung der pushTAN-App der Sparkassen aus, um per gefälschten SMS Kunden zur Preisgabe von Zugangsdaten und TANs zu bewegen. Zudem dokumentierte die Kanzlei Quishing-Angriffe mit gefälschten QR-Codes sowie Phishing-Mails ohne persönliche Kundenansprache. Das Landgericht Köln verurteilte 2023 eine Sparkasse zur Rückzahlung von 9.933,38 Euro, da die per Phishing veranlasste Zahlung nach Paragraf 675u BGB nicht autorisiert war.

Eine bundesweite Gesamtschadenssumme für die Phishing-Welle 2025 gegen Sparkassen-Kunden ist nicht dokumentiert. Ob die Ausnutzung der pushTAN-Störung im Juni 2025 einer koordinierten Tätergruppe zuzurechnen ist, bleibt unklar.

Am 09.10.2025 debattierte der Bundestag in einer von der AfD-Fraktion beantragten Aktuellen Stunde über die geplante EU-Chatkontrolle. Die Bundesregierung signalisierte, im EU-Rat gegen eine anlasslose Chatkontrolle zu stimmen. CDU/CSU sprachen sich für Chat-Scans nur bei konkretem Verdacht aus, Grüne und SPD kritisierten die Regelung als massiven Eingriff. Ein AfD-Antrag gegen die Chatkontrolle wurde am 17.10.2025 an Ausschüsse überwiesen.

Eine formelle, verbindliche Beschlussfassung des gesamten Bundestags gegen die EU-Chatkontrolle liegt nicht vor, die Anträge wurden nur beraten und überwiesen. Wie sich Deutschland im entscheidenden EU-Ratsvotum tatsächlich verhalten wird, bleibt offen.

Die DPC verhängte am 04.01.2023 gegen Meta Ireland zwei Bußgelder, 210 Millionen Euro für Facebook und 180 Millionen Euro für Instagram, insgesamt 390 Millionen Euro. Grundlage war die Feststellung, dass Meta sich nicht auf Vertragserfüllung nach Artikel 6 Absatz 1 DSGVO stützen darf, um personalisierte Werbung zu rechtfertigen. Die Entscheidung erging nach einem verbindlichen Beschluss des EDPB, der die ursprüngliche DPC-Position verschärfte.

Dieses Bußgeld ist nicht identisch mit dem späteren 1,2-Milliarden-Euro-Bußgeld der DPC gegen Meta von Mai 2023, das sich auf Datenübermittlungen in die USA bezog. Ob Meta seine Werbepraxis vollständig auf Nutzereinwilligung umgestellt hat, ist Gegenstand weiterer Verfahren.

Die EU-Kommission stellte am 06.02.2026 vorläufig fest, dass TikTok mit suchtfördernden Designelementen wie endlosem Scrollen und Autoplay gegen den Digital Services Act verstößt. Das förmliche Verfahren war bereits im Februar 2024 eröffnet worden. Laut Kommission ignorierte TikTok Anzeichen für zwanghafte Nutzung bei Minderjährigen, bestehende Schutzmaßnahmen seien leicht zu umgehen.

Es handelt sich um eine vorläufige Feststellung, kein rechtskräftiges Bußgeld. Eine konkrete Bußgeldhöhe wurde nicht genannt, theoretisch wären nach DSA bis zu 6 Prozent des weltweiten Jahresumsatzes möglich, dies ist aber nicht bestätigt.

Im Juli 2025 wurde der Klinikbetreiber Ameos, der mehr als 100 Einrichtungen an über 50 Standorten vor allem in Sachsen-Anhalt betreibt, Ziel eines Cyberangriffs. Ameos fuhr vorsorglich alle digitalen Systeme herunter. Nach Ermittlungsangaben erbeuteten die Täter personenbezogene Daten von Patienten und Mitarbeitern aus mehreren Standorten. Das Landeskriminalamt Sachsen-Anhalt ermittelt, zudem laufen datenschutzrechtliche Prüfverfahren mehrerer Landesdatenschutzbehörden gegen Ameos.

Die genaue Zahl der vom Datendiebstahl betroffenen Personen ist nicht dokumentiert, obwohl Ameos jährlich mehr als 500.000 Patienten behandelt. Ob es sich um Ransomware handelte und ob ein Erpressungsversuch stattfand, ist nicht eindeutig belegt.

Im August 2025 wurde ein Computer im Leitungsbereich der Berliner Senatsverwaltung für Justiz Ziel eines gezielten Cyberangriffs. Die Angreifer gaben sich als Vertreter des Zentralrats der Juden aus, ein Mitarbeiter klickte auf einen präparierten Link. Von diesem Computer flossen Daten ab, darunter der digitale Kalender von Justizsenatorin Felor Badenberg sowie dienstliche E-Mails seit dem 01.02.2023. LKA Berlin, Verfassungsschutz und die Datenschutzbeauftragte wurden eingeschaltet.

Es handelt sich um einen Spear-Phishing-Vorfall mit Spionage-Schadsoftware, keinen Ransomware-Angriff. Die konkrete Urheberschaft, vermutet werden iranische Hacker der Gruppe Charming Kitten, ist nicht abschließend bewiesen.

Der Landesbeauftragte für den Datenschutz Niedersachsen verhängte am 26.07.2022 ein Bußgeld von 1,1 Millionen Euro gegen Volkswagen. Anlass war ein Testfahrzeug, das 2019 bei einer Verkehrskontrolle nahe Salzburg mit nicht erkennbaren Kameras zum Training eines Fahrassistenzsystems auffiel. Die Behörde stellte Verstöße gegen Informationspflichten, das Fehlen eines Auftragsverarbeitungsvertrags sowie eine fehlende Datenschutz-Folgenabschätzung fest.

Wie viele Personen tatsächlich durch die Kameraaufnahmen erfasst wurden, ist nicht belegt. Die Bewertung, dass die Forschungsfahrten selbst unproblematisch waren, stammt von der Behörde selbst und wurde nicht gerichtlich überprüft.

Das Landgericht Frankfurt verurteilte Samsung auf Klage der Verbraucherzentrale NRW. Samsung muss Käufer eines internetfähigen Smart-TV vor dem Kauf darauf hinweisen, dass beim Anschluss ans Internet personenbezogene Daten wie die IP-Adresse ohne vorherige Einwilligung übertragen werden können. Das Gericht untersagte zudem zahlreiche intransparente Klauseln in Samsungs AGB und Datenschutzerklärung.

Ein vollständiges Verbot der Datenerhebung ohne Einwilligung wurde vom Gericht nicht durchgesetzt, sondern nur eine Informationspflicht. Offen blieb, ob die Weitergabe der Daten an HbbTV-Betreiber und Samsungs Konzernmutter rechtmäßig war, da diese nicht Beklagte waren.

Am 02.08.2026 traten die Durchsetzungsbefugnisse der EU-KI-Verordnung in Kraft. Das Europäische KI-Büro und nationale Behörden können seither Auskunftsersuchen stellen, Modelle evaluieren und Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes verhängen. Gleichzeitig traten neue Transparenzpflichten in Kraft, wonach bestimmte KI-Systeme Nutzer über KI-Interaktion informieren müssen.

Bis zum Stand dieser Recherche existiert kein tatsächlich verhängtes, rechtskräftiges Bußgeld nach dem AI Act. Was in Kraft trat, ist die rechtliche Durchsetzungsmöglichkeit, nicht ein abgeschlossener Einzelfall.

Die dänische EU-Ratspräsidentschaft legte im Herbst 2025 einen Kompromissvorschlag zur Chatkontrolle-Verordnung vor, der die verpflichtende Chatkontrolle strich. Anstelle verpflichtender Aufdeckungsanordnungen sollen Dienste freiwillig Risikominderungsmaßnahmen ergreifen, einschließlich optionaler Chatkontrolle. Die bisher nur vorübergehende Ausnahme von der Kommunikationsvertraulichkeit soll dauerhaft festgeschrieben werden.

Ob der Vorschlag im Rat eine qualifizierte Mehrheit finden würde, war zum Berichtszeitpunkt offen. Wie sich der Vorschlag zu einem im Frühjahr 2025 gescheiterten polnischen Vorschlag verhält, ist nicht abschließend geklärt.