Quellen-Tabelle

Telegram übermittelte 2022 erstmals Nutzerdaten an das Bundeskriminalamt und gab damit seine bisherige Verweigerungshaltung teilweise auf. Die übergebenen Daten betrafen ausschließlich Verdächtige aus den Bereichen Kindesmissbrauch und Terrorismus. Vorausgegangen waren seit Februar 2022 direkte Verhandlungen des Bundesinnenministeriums mit dem Team von Telegram-Gründer Pawel Durow.

Die genaue Anzahl der Fälle, in denen Telegram Daten übergab, ist nicht dokumentiert. Die rechtliche Grundlage der Herausgabe ist unklar, da Telegram als in den VAE ansässiges Unternehmen keiner unmittelbaren deutschen Rechtspflicht unterliegt.

Netzpolitik.org veröffentlichte am 13.12.2022 ein internes Positionspapier des Bundesinnenministeriums vom 22.11.2022 zur geplanten EU-Verordnung gegen Kindesmissbrauch im Netz. Das Papier hält am Client-Side-Scanning fest, bei dem Inhalte auf Endgeräten vor dem Versand durchsucht werden, während gleichzeitig durchgängige Ende-zu-Ende-Verschlüsselung gefordert wird, was IT-Sicherheitsexperten als technisch widersprüchlich bezeichnen.

Es handelt sich um ein Positionspapier des BMI, keine eigene öffentlich dokumentierte Stellungnahme des BKA. Die technische Vereinbarkeit von Client-Side-Scanning mit Ende-zu-Ende-Verschlüsselung gilt unter Kryptografieexperten als ungelöst.

Die Staatsanwaltschaft Stuttgart stellte Anfang Juni 2024 ein Ermittlungsverfahren wegen des Verdachts der Geldwäsche im Zusammenhang mit Investitionen in hochpreisige Immobilien ein. Der Verdacht bezog sich auf mutmaßlich illegale Gewinne aus betrügerischen, mit Bestechung verbundenen Logistikverträgen für US-Militär und NATO während des Afghanistankriegs. Die Einstellung erfolgte nach Paragraf 170 Absatz 2 StPO mangels hinreichenden Tatverdachts.

Die konkreten Namen der beteiligten Immobilienunternehmen und die Höhe der mutmaßlich gewaschenen Summen sind nicht dokumentiert. Die Einstellung bedeutet ausdrücklich keinen Freispruch, sondern nur unzureichende Beweise für eine Anklage.

Im Januar 2024 stellte das LKA Sachsen im Rahmen von Ermittlungen gegen die Betreiber des illegalen Streamingportals movie2k.to rund 50.000 Bitcoin sicher, den größten jemals von einer deutschen Behörde beschlagnahmten Kryptowährungsbestand. Zwischen dem 19.06. und 12.07.2024 veräußerte der Freistaat Sachsen rund 49.858 Bitcoin und erzielte Erlöse von etwa 2,639 Milliarden Euro.

Ein Gericht in Leipzig stufte Teile der Vorwürfe gegen die Beschuldigten als verjährt ein, was Zweifel an der Rechtmäßigkeit der Einziehung aufwirft. Wie viel der über 2,6 Milliarden Euro letztlich an Staat, Geschädigte oder Beschuldigte zurückfließt, war zum Zeitpunkt der Quelle offen.

Im Oktober 2025 wurde die Gemeindeverwaltung Untereisesheim im Landkreis Heilbronn Opfer eines Ransomware-Angriffs. Die Server wurden verschlüsselt, das Rathaus war neun Tage handlungsunfähig. Recherchen des SWR ergaben, dass anschließend sensible Bürgerdaten im Darknet auftauchten, darunter Ausweiskopien, Führungszeugnisse, Covid-19-Impflisten und psychiatrische Gutachten inklusive Medikation. Die Gemeinde zahlte kein Lösegeld und baute die IT-Infrastruktur neu auf.

Die genaue Zahl der betroffenen Bürger sowie die konkrete Ransomware-Variante und die verantwortliche Erpressergruppe sind nicht öffentlich dokumentiert. Der Infektionsweg bleibt unklar.

In der ersten Januarwoche 2024 wurde ein gemeinsamer IT-Dienstleister mehrerer deutscher Handwerkskammern Ziel eines Cyberangriffs. Betroffen waren mehr als 30 von bundesweit 53 Handwerkskammern, darunter Düsseldorf, Köln, Trier, Stuttgart und München. Wegen möglicher Gefahr eines Datenabflusses wurde der Landesbeauftragte für den Datenschutz Rheinland-Pfalz informiert.

Ob tatsächlich personenbezogene oder geschäftliche Daten abgeflossen sind, war zum Zeitpunkt der Berichterstattung nicht bestätigt. Die Identität der Angreifer ist nicht dokumentiert.

Die Hochschule Mainz wurde am 24.11.2025 Ziel eines Cyberangriffs. Die IT-Systeme wurden vollständig heruntergefahren, ein Krisenstab eingesetzt. Alle E-Mail-Adressen mit der Endung hs-mainz.de waren betroffen. Möglicherweise alle vom Rechenzentrum betriebenen Windows-Geräte waren betroffen und durften danach nur noch offline genutzt werden. Der Präsenzbetrieb der Lehre wurde aufrechterhalten.

Ob und in welchem Umfang personenbezogene Daten entwendet wurden, ist nicht dokumentiert. Ob es sich um Ransomware handelte, wurde nicht bestätigt.

Sicherheitsforscher des CCC demonstrierten auf dem 38C3 Ende Dezember 2024 Schwachstellen der Telematikinfrastruktur der elektronischen Patientenakte. Mit vergleichsweise geringem Aufwand ließen sich gültige Berufsausweise und Versichertenkarten Dritter beschaffen, mit denen Zugriffstoken für beliebige Patientenakten erzeugt werden konnten. Theoretisch war Zugriff auf Akten von mehr als 70 Millionen Versicherten möglich. Das Bundesgesundheitsministerium bestätigte im April 2025 die Schließung der Lücke.

Nicht belegt ist, dass die Angriffswege tatsächlich von Dritten außerhalb der CCC-Forschungsgruppe genutzt wurden. Die Zahl von 70 Millionen beschreibt die theoretische Angriffsfläche, nicht tatsächlich kompromittierte Akten.

D-Trust, eine Tochtergesellschaft der Bundesdruckerei, entdeckte am 13.01.2025 einen Angriff auf ihr Antragsportal für Signatur- und Siegelkarten. Betroffen waren Namen, E-Mail-Adressen, Geburtsdaten sowie teils Adress- und Ausweisdaten von Antragstellern, unter anderem elektronischer Heilberufsausweise. Der CCC teilte mit, dass die Daten von einem anonymen Sicherheitsforscher über eine offene API ohne Umgehung von Zugangsschutz abgegriffen wurden.

Die genaue Anzahl betroffener Personen wurde nicht offiziell beziffert. Ob es sich um einen Hackerangriff oder eine fahrlässig offene Schnittstelle handelte, blieb zunächst unklar.

Am 03.06.2025 warnte die Deutsche Rentenversicherung Bund vor einer bundesweiten Betrugsmasche mittels Call-ID-Spoofing. Angerufene sehen durch technische Manipulation die tatsächliche Telefonnummer der Rentenversicherung. Die Anrufer geben sich als Mitarbeiter aus und drohen mit einer angeblichen Rentenpfändung, um Zahlungen auf Auslandskonten zu erwirken.

Es handelt sich nicht um ein technisches Datenleck der DRV, sondern um eine Betrugsmasche Dritter. Wie die Täter an Telefonnummern gelangen und wie viele Personen Geld verloren haben, ist nicht beziffert.

Das Bundesverwaltungsgericht wies am 07.11.2024 eine Klage von FragDenStaat-Journalist Arne Semsrott gegen den BND ab. Der Journalist wollte per Auskunftsanspruch erfahren, ob der BND die Spähsoftware Pegasus der NSO Group gekauft und eingesetzt hat. Das Gericht entschied, der BND dürfe diese Information verweigern, da eine Offenlegung die operative Handlungsfähigkeit beeinträchtigen könnte.

Das Urteil beweist nicht, ob der BND Pegasus tatsächlich gekauft oder eingesetzt hat, es entscheidet nur über die Auskunftspflicht. Kaufjahr und Einsatzhäufigkeit bleiben offen.

Die BaFin ordnete am 14.04.2025 gegenüber der Ethena GmbH in Frankfurt die Abwicklung ihrer erlaubnispflichtigen Geschäfte rund um den Stablecoin USDe an. Grundlage waren Mängel in der Geschäftsorganisation, Verstöße gegen MiCAR-Vorgaben sowie unzureichende Angaben zur Kundenzahl in der EU. Bereits am 04.04.2025 hatte die BaFin ein Zwangsgeld von 600.000 Euro verhängt.

Der tatsächliche Anlegerschaden ist nicht beziffert, da die BaFin selbst von unzureichenden Unternehmensangaben zur Kundenzahl spricht. Der Ausgang der Widersprüche der Ethena GmbH war offen.

Die BaFin verhängte am 15.12.2025 gegen die N26 Bank SE zusätzliche Eigenmittelanforderungen und Geschäftsbeschränkungen und bestellte einen Sonderbeauftragten. Grundlage waren eine Sonderprüfung, die eine nicht ordnungsgemäße Geschäftsorganisation sowie Mängel im Risiko- und Beschwerdemanagement offenlegte. Der Bank ist Neugeschäft mit Hypothekenkrediten in den Niederlanden untersagt. Bereits im März 2025 hatte die BaFin ein Bußgeld von 15.000 Euro verhängt.

Die genaue Höhe der zusätzlichen Eigenmittelanforderung wird nicht genannt. Es ist bereits der zweite Sonderbeauftragte seit 2021, warum frühere Maßnahmen nicht ausreichend wirkten, ist nicht öffentlich bewertet.

Der Kuketz-Blog analysierte die Android-App des Verkehrsverbunds Rhein-Ruhr mit über 500.000 Installationen. Bereits vor jeder Einwilligung wurden Gerätedaten an Google Firebase Crashlytics und den Tracking-Dienstleister Adjust übertragen. Der Consent-Banner erschien laut Analyse erst nach den Datenübertragungen, ein Verstoß gegen Paragraf 25 Absatz 1 TTDSG und Artikel 6 Absatz 1a DSGVO.

Die Analyse untersuchte nur ein Testgerät, keine flächendeckende Messung. Eine offizielle Stellungnahme des VRR oder ein förmliches Aufsichtsverfahren ist nicht dokumentiert.

Am 05.01.2025 wurde das slowakische Amt für Geodäsie, Kartographie und Kataster (UGKK) Ziel eines Ransomware-Angriffs, der zum landesweiten Ausfall aller Dienste des Immobilien- und Grundregisters führte. Alle Katasterämter mussten schließen, laufende Verfahren zu Immobilien wurden ausgesetzt. Landwirtschaftsminister Richard Ťaťar bezeichnete den Angriff als den bislang größten Cyberangriff in der Geschichte der Slowakei und sprach von Hinweisen auf einen Ursprung in der Ukraine.

Die Identität der Angreifer ist nicht belegt, die Angaben zu einem Ursprung in der Ukraine stammen von einem Minister ohne öffentlich vorgelegte technische Beweise. Ob und in welcher Höhe ein Lösegeld gezahlt wurde, bleibt unklar.

Am 12.06.2023 legte die prorussische Hackergruppe NoName057(16) mit DDoS-Angriffen mehrere Websites der Schweizer Bundesverwaltung sowie den Online-Auftritt der SBB lahm. Zwischen dem 07. und 19.06.2023 registrierte das NCSC insgesamt 57 erfolgreiche DDoS-Angriffe gegen Bundesstellen, Kantone und Unternehmen. Ein besonders starker Angriff erfolgte am 15.06.2023 während der Videoansprache von Präsident Selenskyj vor dem Schweizer Parlament.

Es handelt sich um DDoS-Angriffe, keinen Datendiebstahl. Die Zurechnung zur Gruppe NoName057(16) stützt sich auf deren eigene Bekennung, eine unabhängige forensische Bestätigung liegt nicht vor.

Am 26.09.2024 wurde bekannt, dass Unbekannte in ein System der niederländischen Nationalpolizei eingedrungen waren und dienstliche Kontaktdaten von rund 63.000 Polizeibeschäftigten erbeuteten. Die Polizei stufte es als sehr wahrscheinlich ein, dass ein staatlich unterstützter Akteur hinter dem Angriff stand.

Der genaue technische Angriffsweg ist nicht dokumentiert. Die Zuschreibung an einen staatlichen Akteur wurde nur als sehr wahrscheinlich bezeichnet, nicht zweifelsfrei nachgewiesen.

Der belgische Föderalstaatsanwalt bestätigte im Februar 2025 eine im November 2023 eingeleitete Ermittlung wegen eines mutmaßlichen chinesischen Cyberangriffs auf den Inlandsgeheimdienst VSSE. Die Angreifer nutzten eine Schwachstelle in Barracuda-Networks-Software, um zwischen 2021 und 2023 rund 10 Prozent des E-Mail-Verkehrs der Behörde abzugreifen. Cybersicherheitsforscher ordnen den Angriff der Gruppe UNC4841 zu.

Die Urheberschaft Chinas ist nicht offiziell bestätigt, die Zuordnung stammt von privaten Sicherheitsforschern. Der genaue Umfang der abgeflossenen Daten bleibt unklar.

Am 22.12.2023 wurde die schwedische Handelskette Coop, rund 800 Filialen, Ziel eines Ransomware-Angriffs. Die Gruppe Cactus veröffentlichte im Januar 2024 personenbezogene Daten von rund 167.000 Personen und gab an, 257 Gigabyte aus mehr als 21.000 Verzeichnissen erbeutet zu haben.

Wie die Cactus-Gruppe ursprünglich Zugang erlangte, ist nicht dokumentiert. Die Datenmenge stammt allein von der Angreiferseite und wurde von Coop nicht unabhängig bestätigt.

Im Juli 2023 wurden IT-Systeme von zwölf norwegischen Regierungsministerien mittels einer Zero-Day-Schwachstelle in Ivanti Endpoint Manager Mobile angegriffen. Die norwegische Sicherheitsbehörde NSM identifizierte die Schwachstelle CVE-2023-35078, eine Authentifizierungsumgehung. Premierministeramt, Verteidigungs-, Justiz- und Außenministerium waren nicht betroffen.

Welche konkreten Daten die Angreifer abgezogen haben, ist nicht abschließend dokumentiert. Eine offizielle Zuordnung zu einer Gruppe oder einem Staat erfolgte nicht.

Die Mailänder Staatsanwaltschaft deckte im Oktober 2024 auf, dass die private Ermittlungsfirma Equalize über Jahre illegal auf italienische Behördendatenbanken zugriff, darunter das Polizeisystem SDI und die Zentralbank. Vier Personen wurden unter Hausarrest gestellt. Daten zu bis zu 800.000 Personen wurden abgefragt, betroffen waren unter anderem Präsident Sergio Mattarella und Ex-Premier Matteo Renzi.

Die Zahl von 800.000 abgefragten Personen stammt aus Staatsanwaltschaftsaussagen und ist nicht rechtskräftig bestätigt. Wie viele Amtsträger wissentlich kooperierten, ist nicht gerichtlich festgestellt.

Am 02.12.2024 kündigte die Gruppe Trinity im Darkweb einen Angriff auf die spanische Steuerbehörde AEAT an, mit der Behauptung, über 560 Gigabyte vertrauliche Daten erbeutet zu haben. Spanische Medien berichteten von einer geforderten Lösegeldsumme von 36 Millionen Euro. Die AEAT bestätigte den Vorfall nicht offiziell und erklärte, es gebe keine Hinweise auf verschlüsselte Geräte oder tatsächliche Datenlecks.

Ob der Angriff tatsächlich stattfand, ist unklar, da die AEAT ihn nicht bestätigte. Die genannte Lösegeldsumme und Datenmenge stammen ausschließlich aus der Ankündigung der Tätergruppe und wurden von Sicherheitsexperten angezweifelt.

Der südkoreanische Mobilfunkanbieter KT wurde von der Datenschutzbehörde PIPC mit einer Geldstrafe von 53,9 Milliarden Won belegt. Angreifer bauten zwischen dem 08.10.2024 und 05.09.2025 illegale Basisstationen (Femtozellen) unter Verwendung gestohlener Authentifizierungszertifikate. Dadurch wurden Telefonnummern und Gerätekennungen von 16.647 KT-Kunden abgegriffen, bei 368 Betroffenen entstand ein finanzieller Schaden von rund 240 Millionen Won.

Wie die Täter in den Besitz der Zertifikate gelangten, ist nicht vollständig geklärt. Frühere Medienberichte nannten wechselnde Zwischenzahlen der Betroffenen.

Am 08.06.2024 griff die vermutlich russisch verbundene Gruppe BlackSuit den japanischen Medienkonzern Kadokawa und die Videoplattform Niconico an. Die Angreifer drohten mit Veröffentlichung von 1,5 Terabyte Daten. Am 12.12.2024 zahlte Kadokawa umgerechnet 2,9 Millionen US-Dollar in Kryptowährung. Daten von 254.241 Personen wurden geleakt, Niconico blieb rund zwei Monate offline.

Der genaue Erstzugangsweg ist nicht offiziell bestätigt, vermutet wird Phishing. Ob die Angreifer trotz Zahlung alle Daten löschten, lässt sich nicht verifizieren.

Am 09.10.2023 bot ein Akteur namens pwn0001 auf BreachForums 815 Millionen Datensätze mit Namen, Adressen und Aadhaar-Nummern indischer Bürger für 80.000 US-Dollar an. Die Daten stammten aus COVID-19-Testdatenbanken des Indian Council of Medical Research. Die Behörde CERT-In bestätigte die Authentizität, das ICMR erstattete Anzeige.

Wie die Angreifer Zugang zu den ICMR-Systemen erlangten, ist nicht geklärt. Die Zahl von 815 Millionen wurde nur stichprobenartig, nicht vollständig verifiziert.