Quellen-Tabelle

In der Nacht vom 5. auf den 6.02.2024 verschlüsselte die Gruppe LockBit die EDV-Systeme der niederösterreichischen Stadtgemeinde Korneuburg. Betroffen waren rund 220 Mitarbeiter und 90 PCs. Die vollständige Wiederherstellung dauerte bis zum 23.02.2024. Die Gemeinde zahlte kein Lösegeld dank vorhandenem Band-Backup, der geschätzte Schaden liegt bei rund 100.000 Euro.

Die genaue Höhe der ursprünglich geforderten Lösegeldsumme wurde nicht beziffert. Ob es zu einem Datenabfluss kam, wurde von der Gemeinde verneint, ohne unabhängige forensische Bestätigung.

Anthropic identifizierte im September 2025 eine Cyberspionagekampagne einer Gruppe, die mit hoher Zuversicht als chinesischer staatlicher Akteur eingestuft wird (interne Bezeichnung GTG-1002). Die Angreifer manipulierten Claude Code, um damit weitgehend eigenständig Aufklärung, Schwachstellensuche und Datenexfiltration bei rund 30 Zielen durchzuführen. Nach Anthropic-Angaben erledigte die KI etwa 80 bis 90 Prozent der Kampagnenschritte autonom.

Die Attribution an einen chinesischen Staatsakteur ist nicht unabhängig verifiziert, sie beruht allein auf Anthropics eigener Einschätzung. Anthropic räumt ein, dass Claude teilweise Zugangsdaten halluzinierte, was die Zuverlässigkeit relativiert.

Microsoft entdeckte am 12.01.2024 einen Angriff der russischen Gruppe Midnight Blizzard (APT29/Cozy Bear) über ein Legacy-Testkonto. Die Angreifer erlangten Zugriff auf E-Mail-Konten der Führungsebene. Am 08.03.2024 bestätigte Microsoft, dass die Gruppe daraus exfiltrierte Informationen nutzte, um sich Zugang zu internen Quellcode-Repositories zu verschaffen.

Microsoft legte nicht offen, welche Quellcode-Repositories betroffen waren oder wie viele Dateien kopiert wurden. Die ursprüngliche Einschätzung von Januar 2024, es gebe keine Hinweise auf Quellcode-Zugriff, wurde im März revidiert.

Die staatliche Banco de Venezuela wurde im April 2024 Ziel eines Angriffs mit der Ransomware LockBit 3.0. Die Angreifer veröffentlichten die Erpressung am 19.04.2024 auf der LockBit-Leak-Seite mit Zahlungsfrist bis zum 10.05.2024. Die Bank erklärte, ihre elektronischen Kundendienste funktionierten weiterhin normal, interne Mitarbeitersysteme waren jedoch verschlüsselt.

Welche und wie viele Datensätze exfiltriert wurden, ist nicht belegt, LockBits eigene Behauptungen wurden nicht unabhängig bestätigt. Ob die Lösegeldforderung bezahlt wurde, bleibt unklar.

Im Juni 2025 wurden Daten von 7,4 Millionen paraguayischen Bürgern im Darknet veröffentlicht. Sicherheitsfirmen führten den Ursprung auf eine Infostealer-Malware zurück, die im April 2023 ein Gerät eines Mitarbeiters des Gesundheitsministeriums infizierte. Die Gruppe Brigada Cyber PMC forderte 7,4 Millionen US-Dollar Lösegeld, die Regierung lehnte ab.

Die Zahl von 7,4 Millionen entspricht nahezu der gesamten Bevölkerung, ob es Dubletten oder veraltete Datensätze enthält, ist unklar. Die Identität der Gruppe Brigada Cyber PMC ist nicht zweifelsfrei belegt.

Im September 2024 entdeckte das türkische USOM, dass Daten von über 108 Millionen Bürgern auf Google Drive hochgeladen worden waren, darunter Personalausweisnummern, Adressen und Mobilfunknummern. USOM meldete den Vorfall im Juli und September 2024 an Google und forderte die Entfernung.

Aus welcher Behörde die Daten stammen und wer sie hochlud, ist nicht geklärt. Die Zahl von 108 Millionen wurde nicht unabhängig forensisch bestätigt.

Ab September 2023 wurden armenische Regierungsstellen und der Flughafen Zvartnots mit einem präparierten Word-Dokument angegriffen, das als Warnung des Sicherheitsdienstes getarnt war und die Schadsoftware AsyncRAT installierte. CyberHUB AM stuft die Täterschaft als wahrscheinlich aserbaidschanisch ein.

Eine staatliche Beauftragung ist nicht belegt, die Zuordnung stützt sich nur auf indirekte Indizien wie einen Debug-Pfad. Genaue Opferzahlen wurden nicht beziffert.

Im Oktober 2023 identifizierte Amnesty International im Rahmen der Predator-Files-Recherche technische Infrastruktur der Spyware Predator in Kasachstan, neben Angola, Ägypten, der Mongolei, Indonesien, Madagaskar, Sudan und Vietnam. Für Kasachstan wurden lediglich technische Infrastrukturspuren festgestellt, keine konkrete aktive Überwachungskampagne.

Wer in Kasachstan Ziel der Überwachung war und ob Geräte tatsächlich infiziert wurden, ist nicht dokumentiert. Die kasachische Regierung äußerte sich nicht zu den Vorwürfen.

Die Organisation Unwanted Witness veröffentlichte am 11.08.2025 einen Bericht über Überwachung in Ostafrika mit Fokus auf Uganda. Journalist Canary Mugume erhielt im Mai 2025 eine Apple-Bedrohungsbenachrichtigung wegen möglicher Spyware-Infektion. Der Bericht verweist zudem auf das 126-Millionen-Dollar-Huawei-Safe-City-Projekt in Kampala und verpflichtende biometrische SIM-Registrierung.

Welcher Spyware-Anbieter verantwortlich war, ist nicht bewiesen, Apples Benachrichtigungen liefern keine forensische Attribution. Eine systematische unabhängige Geräteuntersuchung liegt nicht vor.

Ab Februar 2023 verhafteten tunesische Behörden im Rahmen des Verfahrens gegen die Opposition wegen angeblicher Verschwörung Politiker, Journalisten und Aktivisten. Behörden beschlagnahmten Mobiltelefone und werteten private Nachrichten auf WhatsApp, Telegram und Signal aus, die zur Begründung der Untersuchungshaft herangezogen wurden.

Mit welcher technischen Methode Zugriff auf verschlüsselte Messenger erlangt wurde, ist nicht dokumentiert. Die tunesische Regierung wies die Vorwürfe politischer Verfolgung zurück.

Am 05.10.2023 veröffentlichte das EIC gemeinsam mit dem Amnesty International Security Lab die Recherche Predator Files. Sie identifizierte mindestens 25 Staaten als Käufer oder Nutzer von Intellexa-Produkten, darunter Katar, Oman, die VAE, Kenia, Singapur, Pakistan, Jordanien und Vietnam. Die Intellexa Group wurde 2018 vom ehemaligen israelischen Armeeoffizier Tal Dilian gegründet.

Ob der katarische Staat die Predator-Spyware tatsächlich gegen konkrete Ziele einsetzte, ist nicht belegt. Die Quellen weisen Katar als Kunden aus, dokumentieren aber keine bestätigten Einzelfälle von Überwachung.

Eine gemeinsame Untersuchung von Access Now, Citizen Lab, Human Rights Watch und Amnesty International deckte auf, dass zwischen 2019 und September 2023 mindestens 35 Personen in Jordanien mit Pegasus infiziert oder angegriffen wurden, darunter 14 forensisch bestätigte Medienschaffende und acht Menschenrechtsanwälte.

Wer die Überwachung konkret anordnete, ist nicht belegt, die jordanische Regierung wird nur vermutet. Die Ermittler gehen von einer hohen Dunkelziffer über die 35 bestätigten Fälle hinaus aus.

Das UN-Menschenrechtsbüro veröffentlichte am 29.08.2023 einen Bericht, wonach mindestens 120.000 Menschen in Myanmar und rund 100.000 in Kambodscha in Betrugszentren festgehalten und zu Online-Betrug gezwungen werden. Die Opfer stammen aus mehr als 60 Ländern und werden zu Krypto- und Romance-Scams gezwungen, dokumentiert wurden Folter und Zwangsarbeit.

Die Opferzahlen sind Schätzungen ohne vollständige Zählung. Die tatsächliche Gesamtsumme der weltweit erbeuteten Gelder lässt sich nicht exakt beziffern.

Ende Mai 2024 wurden der japanischen Kryptobörse DMM Bitcoin 4.502,9 Bitcoin (rund 308 Millionen US-Dollar) entwendet. FBI, DC3 und NPA attribuierten den Diebstahl der nordkoreanischen Gruppe TraderTraitor. Ein Akteur kontaktierte Ende März 2024 unter dem Vorwand eines Recruiters einen Mitarbeiter der Wallet-Firma Ginco und schleuste über ein Bewerbungstest-Skript Schadcode ein.

Die konkrete Rolle einzelner nordkoreanischer Regierungsstellen ist nicht öffentlich belegt. Der genaue technische Ablauf der finalen Transaktionsmanipulation wurde nicht vollständig veröffentlicht.

US-Behörden aktualisierten am 22.07.2026 die Warnmeldung AA26-097A zu einer iranisch verbundenen Cyberkampagne gegen speicherprogrammierbare Steuerungen, zugeschrieben der Gruppe CyberAv3ngers. Zwischen dem 26. und 27.07.2026 störte ein koordinierter Angriff den Betrieb von Wasser- und Abwasserversorgern in mehr als 30 Gemeinden in Minnesota, betroffen sind mindestens sieben US-Bundesstaaten.

Das genaue Ausmaß der Kompromittierungen ist nicht abschließend belegt. Ob die iranische Regierung die Aktivität direkt anordnete, ist unklar.

Taiwans National Security Bureau dokumentierte für 2024 rund 2,16 Millionen Verbreitungen von Desinformationsinhalten chinesischen Ursprungs, ein Anstieg von 60 Prozent gegenüber 2023. Der Bericht identifizierte 28.216 inauthentische Accounts, davon 77,85 Prozent auf Facebook, sowie KI-gestützte Deepfake-Videos taiwanesischer Politiker.

Die Zahlen stammen ausschließlich vom taiwanesischen Geheimdienst, einer Konfliktpartei mit China, unabhängige Verifikation liegt nicht vor. Die Zurechnung zu staatlichen chinesischen Stellen wird behauptet, aber nicht forensisch belegt.

Der Bericht "Buying Spying" von Access Now dokumentiert den globalen Handel mit kommerzieller Ueberwachungstechnologie und identifiziert Bolivien unter den Staaten, die Mobilfunk-Abhoer- und Ortungssysteme (u.a. IMSI-Catcher- und Interception-Technologie israelischer Anbieter wie Ability/Rayzone) beschafft haben. Die Recherche stuetzt sich auf Exportunterlagen, Firmenregister und Beschaffungsdokumente und ordnet Bolivien in ein Netzwerk aus mindestens 15 Laendern ein, die aehnliche Systeme ohne ausreichende rechtliche Kontrolle einsetzen.

Der Bericht liefert keine Einzelfallbeweise fuer konkrete Ueberwachungsopfer in Bolivien, sondern stuetzt sich auf Beschaffungs- und Exportdaten sowie Firmenverflechtungen; welche bolivianische Behoerde die Systeme in welchem Umfang tatsaechlich einsetzt, bleibt unklar.

Im Rahmen des internationalen "Pegasus-Projekts" enthüllte das ungarische Investigativmedium Direkt36 gemeinsam mit Forbidden Stories und Amnesty International, dass die NSO-Group-Spyware Pegasus in Ungarn gegen mindestens zehn Journalisten, Medieneigentümer und deren Umfeld eingesetzt wurde, darunter der Direkt36-Reporter Szabolcs Panyi und der Fotograf Dániel Németh. Eine forensische Analyse von Amnesty International bestätigte erfolgreiche Pegasus-Infektionen auf mehreren Mobiltelefonen; die Nummern tauchten in einer Liste von über 50.000 potenziellen Zielen auf. Die ungarische Regierung räumte spaeter ein, dass Behörden legal Spyware-Verträge mit NSO Group unterhielten.

Belegt ist die technische Infektion einzelner Geräte per forensischer Analyse sowie der Verkauf/Einsatz von Pegasus in Ungarn; nicht abschließend geklärt ist, welche konkrete ungarische Behörde im Einzelfall die Überwachungsanordnung veranlasste, da keine unabhängige gerichtliche Untersuchung stattfand.

Im Juli 2022 legte ein iranischer, staatlich unterstützter Angreifer (bekannt als "HomeLand Justice") mit einem destruktiven Wiper-Angriff zahlreiche Webseiten und Dienste der albanischen Regierung lahm; die Angreifer waren laut CISA/FBI bereits seit rund 14 Monaten (mindestens seit Mai 2021) unbemerkt im Netzwerk aktiv. Als Reaktion brach Albanien im September 2022 die diplomatischen Beziehungen zum Iran ab; im September 2022 kam es zu einem zweiten Angriff auf das Grenz- und Migrationssystem TIMS.

Die Advisory dokumentiert primär den Juli-2022-Angriff; Details zum zweiten Angriff und zur genauen Menge exfiltrierter Daten stützen sich teils auf Angaben der albanischen Regierung selbst, die nicht unabhängig verifizierbar sind.

Am 24. Maerz 2024 wurde der vietnamesische Wertpapierhaendler VNDirect, einer der groessten Broker des Landes mit rund 940.000 Kundenkonten, Opfer eines Ransomware-Angriffs, der die IT-Systeme verschluesselte und den Handel an der Ho-Chi-Minh-Stadt-Boerse fuer mehrere Tage lahmlegte. Der Handel konnte erst nach rund einer Woche schrittweise wieder aufgenommen werden, vollstaendig erst am 1. April 2024.

Oeffentlich bestaetigt sind Angriffsart, Zeitraum und Handelsausfall; nicht abschliessend belegt sind der genaue Umfang exfiltrierter Kundendaten, die Identitaet der Angreifergruppe und ob Loesegeld gezahlt wurde.

Die sri-lankische Information and Communication Technology Agency (ICTA) bestaetigte am 11. September 2023 einen Ransomware-Angriff auf die staatliche Cloud-Infrastruktur "Lanka Government Cloud" (LGC). Betroffen waren rund 5.000 E-Mail-Konten der gov.lk-Domain; da seit dem 17. Mai 2023 keine Backups mehr existierten, gingen alle Daten aus dem Zeitraum 17. Mai bis 26. August 2023 unwiederbringlich verloren. Ursache war eine veraltete, seit 2014 nicht mehr aktualisierte Microsoft-Exchange-2013-Installation.

Weder die genaue Ransomware-Gruppe noch die Hoehe einer eventuellen Loesegeldforderung sind ersichtlich; unklar bleibt, wie die Angreifer initial Zugriff erlangten.

Human Rights Watch dokumentierte, dass das UNHCR bei der Registrierung Hunderttausender Rohingya-Fluechtlinge in Bangladesch (Cox's Bazar) biometrische Daten erhob und diese im Rahmen eines Abkommens mit der bangladeschischen Regierung an Myanmar weitergab, um ein Verifizierungsverfahren fuer eine moegliche Rueckfuehrung zu unterstuetzen. Betroffene gaben laut HRW-Interviews an, nicht wirklich informiert eingewilligt zu haben.

Die genaue Zahl der tatsaechlich uebermittelten Datensaetze sowie deren konkrete Verwendung durch myanmarische Behoerden sind nicht abschliessend belegt; eine unabhaengige technische Pruefung der Datenflüsse liegt nicht vor.

Laut einer WSJ-Recherche halfen Huawei-Techniker den sambischen Behörden dabei, Telefone und Facebook-Konten oppositioneller Blogger des Portals Zambian Watchdog zu überwachen und deren Verschlüsselung zu umgehen, was 2017 zur Festnahme zweier Blogger führte. Die Techniker arbeiteten direkt mit Regierungsbeamten der Cyber-Kriminalitätseinheit zusammen.

Die Recherche stützt sich auf anonyme Aussagen von Insidern; Huawei bestritt öffentlich jede Beteiligung. Der genaue Umfang der Beteiligung einzelner Huawei-Mitarbeiter bleibt unklar.

Die BBC-Recherche dokumentiert die als "Sakawa" bekannte ghanaische Cyberbetrugsszene, in der junge Männer über gefälschte Online-Dating-Profile monate- bis jahrelange Beziehungen zu ausländischen Opfern aufbauen, um sie zu Geldüberweisungen zu bewegen. Der Bericht schildert konkrete Fälle mit fünf- bis sechsstelligen Dollarverlusten sowie die Verknüpfung mit spirituellen Ritualen ("Juju").

Belastbare Gesamtstatistiken zu Opferzahlen oder Schadenssumme in Ghana insgesamt liefert der Artikel nicht; eine juristische Aufarbeitung wird nicht genannt.

Citizen Lab dokumentierte gemeinsam mit Access Now, dass zwischen Juli 2020 und November 2021 mindestens 35 Geraete von Journalisten und Mitarbeitern zivilgesellschaftlicher Organisationen in El Salvador mit der NSO-Group-Software Pegasus infiziert wurden, darunter 22 Mitarbeiter des Onlinemediums El Faro. Die Regierung von Praesident Nayib Bukele uebernahm keine offizielle Verantwortung.

Citizen Lab nennt keinen direkten technischen Beweis, der die Bukele-Regierung als Auftraggeber zweifelsfrei identifiziert; die Zuordnung stuetzt sich auf Indizien, nicht auf forensisch nachgewiesene Kaeuferidentitaet.