Quellen-Tabelle

Wells Fargo zahlte 2020 3 Mrd. Dollar an DOJ und SEC, weil die Bank zwischen 2002 und 2016 unrechtmäßig Gebühren erhoben und Kundendaten missbraucht hatte.

Belegt Vergleich und Deferred Prosecution Agreement 2020. 500 Mio. Dollar davon gingen als Zivilstrafe an die SEC.

Die kanadische Aufsicht FCAC prüfte 2018 die Vertriebspraxis der sechs größten Banken und fand keine Belege für flächendeckende Falschverkäufe, wohl aber ein erhöhtes Risiko durch starke Verkaufsorientierung.

Wichtiger Gegenbeleg: kein Nachweis flächendeckenden Fehlverkaufs in Kanada 2018. Zeigt, dass nicht jede Untersuchung einen Missstand bestätigt.

Das DOJ einigte sich 2021 mit der Trustmark National Bank auf einen Vergleich über 5 Mio. Dollar plus 3,85 Mio. Dollar Darlehenszuschussfonds wegen Redlining in Memphis.

Belegt den Trustmark-Fall und die Auftaktankündigung der Combat-Redlining-Initiative des DOJ 2021.

Die City National Bank aus Los Angeles zahlte 2023 31 Mio. Dollar, nach DOJ-Angaben der bis dahin größte Redlining-Vergleich der US-Geschichte, wegen gemiedener Hypothekenvergabe in Minderheitenvierteln 2017 bis 2020.

Belegt Betrag und Einordnung als größter Vergleich seiner Art. Die im Fall genannte Aktenzeichen-Nummer war nicht unabhängig verifizierbar.

Die Citadel Federal Credit Union aus Pennsylvania zahlte 2024 über 6,5 Mio. Dollar wegen Redlining im Raum Philadelphia, der erste Redlining-Vergleich des DOJ mit einer Kreditgenossenschaft.

Belegt Betrag und den Status als ersten Fall bei einer Kreditgenossenschaft. Untersuchungszeitraum war mindestens 2017 bis 2021.

Die FINMA stellte 2023 fest, die Credit Suisse habe im Greensill-Geschäft über Jahre ihre aufsichtsrechtlichen Pflichten zur Risikobegrenzung schwer verletzt, und eröffnete vier Enforcement-Verfahren.

Primärquelle der Schweizer Bankenaufsicht. Bezieht sich auf das Greensill-Fondsgeschäft der Credit Suisse 2021.

Der Zusammenbruch von Archegos Capital 2021 kostete die Credit Suisse laut FINMA über 5 Mrd. Dollar, die Aufsicht stellte schweres und systematisches Risikoversagen fest.

Primärquelle der Schweizer Bankenaufsicht. Bezieht sich auf das Archegos-Kreditgeschäft der Credit Suisse.

Eine Credit-Suisse-Tochter bekannte sich 2021 des Betrugs schuldig, weil sie Korruption bei einem 850-Mio.-Dollar-Kredit für ein Fischereiprojekt in Mosambik verschleiert hatte, die Bank musste zusätzlich 200 Mio. Dollar Schulden erlassen.

Belegt Schuldeingeständnis der Tochtergesellschaft CSSEL und die Zahlungen. Die Konzernmutter selbst schloss ein Deferred Prosecution Agreement, ohne Schuldeingeständnis.

Der Fed-eigene Untersuchungsbericht 2023 bezeichnete das Missmanagement der 2023 kollabierten Silicon Valley Bank als Lehrbuchbeispiel, räumte aber auch eigene Aufsichtsversäumnisse ein.

Primärquelle der US-Notenbank selbst. Ungewöhnlich offenes Eingeständnis eigener Aufsichtsfehler neben der Kritik am Bankmanagement.

Die Europäische Bürgerbeauftragte kritisierte 2018, dass EZB-Präsident Mario Draghi ihrer Empfehlung nicht folgte, seine Mitgliedschaft in der privaten Bankiersgruppe Group of Thirty ruhen zu lassen.

Primärquelle der EU-Bürgerbeauftragten (Fall 1697/2016/ANA). Betrifft die EZB-Präsidentschaft Draghis, nicht seine Nachfolger.

Ring (Amazon) zahlte 2023 5,8 Mio. Dollar, weil laut FTC vor Juli 2017 jeder Mitarbeiter und jeder ukrainische Vertragspartner uneingeschränkten Zugriff auf sämtliche Kundenvideos hatte.

Belegt den FTC-Vergleich vom 31.05.2023. Der uneingeschränkte Zugriff betraf die Zeit vor Juli 2017, danach galten laut FTC engere, aber laut Klage weiterhin unzureichende Kontrollen.

Die BaFin ordnete am 11.05.2021 gegenüber N26 Maßnahmen zur Geldwäsche-Prävention an und bestellte einen Sonderbeauftragten, weil die technische Überwachung und Kundenidentifizierung mangelhaft war.

Belegt die BaFin-Anordnung vom 11.05.2021. Betrifft die interne Kontrollqualität, nicht automatisch jede einzelne Kontoschließung bei N26.

Die BaFin verhängte am 25.06.2021 eine Geldbuße von 4,25 Mio. Euro gegen N26, weil die Bank Verdachtsmeldungen nach dem Geldwäschegesetz wiederholt zu spät einreichte.

Belegt Höhe und Grund des Bußgelds. Betrifft Verstöße aus den Jahren 2019/2020, nicht den aktuellen Zustand der Bank.

Die BaFin begrenzte im November 2021 das Neukundenwachstum von N26 auf 50.000 Kunden pro Monat, wegen Mängeln im IT- und Auslagerungs-Risikomanagement.

Belegt die Wachstumsbeschränkung und ihren Grund. Eine Aufhebungsmitteilung der BaFin ist hiermit nicht mitbelegt.

Die Hypo Real Estate erhielt bis Februar 2009 Garantien von insgesamt 52 Mrd. Euro, bevor der Bundestag am 20.03.2009 die Zwangsverstaatlichung beschloss.

Belegt Garantiesumme und Verstaatlichungsbeschluss. Der langfristige Gesamtschaden für den Steuerzahler ist hiermit nicht beziffert.

Bayern stützte die BayernLB 2008 mit 10 Mrd. Euro, im EU-Beihilfeverfahren musste die Bank davon rund 5,5 Mrd. Euro an den Freistaat zurückzahlen.

Primärquelle der bayerischen Staatsregierung. Bestätigt Rettungssumme 2008 und spätere Rückzahlung.

Das BSI dokumentierte im Lagebericht 2014 einen der ersten offiziell bestätigten Fälle eines Cyberangriffs mit physischem Schaden an einer Industrieanlage. Angreifer verschafften sich per Spear-Phishing Zugang zum Büronetz eines deutschen Stahlwerks und drangen von dort in die Steuerungssysteme der Produktion vor. Dadurch konnte ein Hochofen nicht geregelt heruntergefahren werden und wurde massiv beschädigt.

Welches Stahlwerk konkret betroffen war, gibt das BSI aus Vertraulichkeitsgründen bis heute nicht bekannt. Auch die Identität der Angreifer, das genaue Angriffsdatum und die exakte Schadenshöhe wurden nie offiziell veröffentlicht. Das BSI bewertete die technischen Fähigkeiten der Täter lediglich als sehr fortgeschritten, ohne dies weiter zu belegen.

Am 03.04.2016 veröffentlichten das ICIJ und die Süddeutsche Zeitung gemeinsam mit über 100 weiteren Medienpartnern die Panama Papers. Grundlage waren 11,5 Millionen interne Dokumente der panamaischen Kanzlei Mossack Fonseca mit einem Gesamtvolumen von 2,6 Terabyte. Rund 400 Journalisten aus fast 80 Ländern werteten die Daten über ein Jahr lang aus. Die Unterlagen dokumentieren mehr als 214.000 Offshore-Gesellschaften mit Verbindungen zu Personen in über 200 Ländern und Territorien, darunter amtierende und ehemalige Staats- und Regierungschefs.

Nicht abschließend geklärt ist bis heute die konkrete Identität der Quelle, die die Dokumente an die Süddeutsche Zeitung weitergab, sie trat öffentlich nur unter dem Pseudonym John Doe auf. Offen bleibt, in welchem Umfang die sichtbaren Offshore-Strukturen jeweils legale Steuergestaltung oder illegale Steuerhinterziehung darstellten, da dies für jeden Einzelfall gesondert zu prüfen war. Die technische Vorgehensweise des Datenabflusses (Hack versus Insider-Leak) wurde nicht im Detail forensisch belegt.

Am 12.05.2017 verbreitete sich die Ransomware WannaCry weltweit unter Ausnutzung der Windows-Schwachstelle EternalBlue, eines von der NSA entwickelten und von der Gruppe Shadow Brokers veröffentlichten Angriffswerkzeugs. Laut National Audit Office waren mindestens 81 von 236 NHS-Trusts in England sowie 603 weitere NHS-Einrichtungen betroffen, mehr als 19.000 Termine mussten abgesagt werden. Ein Sicherheitsforscher stoppte die weitere Ausbreitung durch Aktivierung eines im Schadcode enthaltenen Kill-Switch.

Die genaue Gesamtzahl weltweit infizierter Computer wird unterschiedlich beziffert, häufig zwischen 200.000 und 300.000 Systemen. Die Zuschreibung an die nordkoreanische Lazarus-Gruppe erfolgte erst im Dezember 2017, also nach Veröffentlichung des hier zitierten Berichts.

vpnMentor-Forscher entdeckten am 05.08.2019 eine öffentlich zugängliche, größtenteils unverschlüsselte Datenbank der biometrischen Zutrittsplattform BioStar 2 des südkoreanischen Herstellers Suprema. Die Datenbank enthielt über 27,8 Millionen Einträge mit rund 23 Gigabyte Daten, darunter mehr als eine Million Fingerabdruck-Templates und Gesichtserkennungsbilder. BioStar 2 wird laut Suprema von über 5.700 Organisationen in 83 Ländern eingesetzt, der Zugriff wurde am 13.08.2019 geschlossen.

Die exakte Gesamtzahl der weltweit betroffenen Personen bleibt offen. Ob Dritte die Daten vor der Entdeckung bereits ausgelesen haben, ist nicht belegt, Suprema bestritt öffentlich das Ausmaß des Lecks ohne eigene technische Belege.

Die NSA sammelte auf Grundlage von Section 215 des USA PATRIOT Act ab Mai 2006 per geheimer FISA-Gerichtsanordnung täglich Telefonverbindungsdaten von Millionen Amerikanern. Das unabhängige Privacy and Civil Liberties Oversight Board stellte in seinem Bericht vom 23.01.2014 mit 3 zu 2 Stimmen fest, dass das Programm keine tragfähige gesetzliche Grundlage hatte, und empfahl die Beendigung der Massenerfassung.

Der Bericht ist die Bewertung eines unabhängigen Aufsichtsgremiums, keine Gerichtsentscheidung. Zwei Boardmitglieder vertraten die Gegenposition, das Programm sei rechtmäßig gewesen.

Amnesty International dokumentierte im Dezember 2024, dass serbische Polizei und der Sicherheitsdienst BIA das Cellebrite-Tool UFED nutzten, um Handys von Journalisten und Aktivisten zu entsperren, und anschließend die Spyware NoviSpy installierten. Die Cellebrite-Geräte stammten aus einer 2019 über UNOPS abgewickelten norwegischen Entwicklungshilfe. Nach dem Bericht stellte Cellebrite im Februar 2025 die Nutzung durch die betroffenen serbischen Kunden ein.

Wie viele weitere Personen in Serbien überwacht wurden, ist offen. Ob Cellebrite von der konkreten Verwendung zur Spyware-Installation wusste, ist nicht belegt, das Unternehmen lieferte die Entsperrtechnik, nicht NoviSpy.

Der Bericht Tracking GhostNet dokumentiert nach zehnmonatiger Untersuchung ein Cyberspionage-Netzwerk mit über 1.295 infizierten Rechnern in 103 Ländern. Rund 30 Prozent der betroffenen Systeme galten als hochwertige Ziele, darunter Außenministerien und Botschaften. Die Angreifer erlangten Zugriff auf Dokumente aus dem privaten Büro des Dalai Lama, die Schadsoftware erlaubte auch die Fernsteuerung von Webcams und Mikrofonen.

Die Verfasser stellen ausdrücklich klar, dass die genaue Identität der Angreifer nicht bekannt ist. Die technischen Spuren führten mehrheitlich zu Servern in China, eine gesicherte staatliche Urheberschaft wurde jedoch nicht nachgewiesen und von China zurückgewiesen.

Am 23.12.2015 kam es in der Westukraine zu einem Cyberangriff auf drei regionale Energieversorger. Angreifer nutzten die Schadsoftware BlackEnergy 3, die per Spearphishing platziert worden war. Rund 30 Umspannwerke wurden ferngesteuert abgeschaltet, wodurch etwa 230.000 Menschen für ein bis sechs Stunden ohne Strom waren, der weltweit erste bekannte erfolgreiche Cyberangriff auf ein Stromnetz.

Die konkrete Urheberschaft ist nicht gerichtsfest bewiesen. Sicherheitsforscher ordnen den Angriff der Gruppe Sandworm zu, die mit dem russischen Militärgeheimdienst GRU in Verbindung gebracht wird, der Bericht selbst nimmt keine offizielle Attribution vor.

Seit dem 02.02.2025 gelten die Verbote aus Artikel 5 der EU-KI-Verordnung. Darunter fällt der Einsatz biometrischer Echtzeit-Fernidentifizierung im öffentlichen Raum durch Strafverfolgungsbehörden, der grundsätzlich untersagt ist. Ausnahmen bestehen nur eng begrenzt, etwa bei der Suche nach vermissten Kindern. Verstöße können mit Bußgeldern bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden.

Nicht vom Verbot erfasst ist die nachträgliche biometrische Fernidentifizierung, wofür bereits ein begründeter Tatverdacht genügt, was Bürgerrechtsorganisationen als Schlupfloch kritisieren. Belastbare Zahlen zu tatsächlichen Anwendungsfällen liegen nicht vor.