Quellen-Tabelle

Der DCMS-Ausschuss des britischen Unterhauses veröffentlichte am 18.02.2019 nach 18-monatiger Untersuchung mit 170 schriftlichen Stellungnahmen und 73 Zeugenbefragungen seinen Abschlussbericht zu Desinformation und Fake News. Der Bericht bezeichnete Facebook als digitale Gangster und warf dem Konzern vor, Datenschutz- und Wettbewerbsrecht wissentlich verletzt zu haben. Laut Ausschuss wussten mehrere hochrangige Facebook-Manager bereits 2015 vom Datenabfluss an Cambridge Analytica, ohne dies angemessen zu eskalieren. Zu den Kernempfehlungen zählten eine unabhängige Regulierungsbehörde mit Bußgeldbefugnissen und eine Reform des Wahlrechts.

Dass Cambridge Analytica tatsächlich operativ am Brexit-Referendum mitgewirkt hat, ist nicht belegt, der Ausschuss fand dazu keine belastbaren Beweise. Der Bericht ist ein politisches Ausschussdokument mit Empfehlungscharakter, kein Gerichtsurteil. Die geforderte unabhängige Regulierungsbehörde wurde von der britischen Regierung nicht in der vorgeschlagenen Form umgesetzt. Die Zahl von rund 87 Millionen betroffenen Facebook-Nutzern stammt nicht aus diesem Bericht, sondern aus separaten ICO- und FTC-Untersuchungen.

Am 28.07.2022 veröffentlichten der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte ihre gemeinsame Stellungnahme zum EU-Verordnungsvorschlag gegen Kindesmissbrauchsdarstellungen im Netz, im öffentlichen Diskurs als Chatkontrolle bekannt. Beide Behörden warnten, der Vorschlag könne zu einer de facto allgemeinen und anlasslosen automatisierten Durchsuchung praktisch aller elektronischen Kommunikation in der EU führen. Sie forderten eine gesetzliche Klarstellung, dass die Verordnung nicht als Verbot von Ende-zu-Ende-Verschlüsselung ausgelegt werden dürfe, sowie die Streichung der Scan-Pflichten für Grooming und unbekanntes Material.

Konkrete Fehlerraten der geplanten Scan-Technologien werden in der Stellungnahme nicht beziffert. Die Stellungnahme ist rechtlich nicht bindend und floss nur beratend in die weiteren Verhandlungen ein. In welchem Umfang einzelne Kritikpunkte in spätere Kompromissentwürfe übernommen wurden, ist hier nicht dokumentiert.

Der Untersuchungsausschuss PEGA des Europäischen Parlaments prüfte rund ein Jahr lang den Einsatz von Pegasus-Spähsoftware in der EU und unternahm Erkundungsmissionen nach Israel, Polen, Griechenland, Zypern, Ungarn und Spanien. Am 15.06.2023 nahm das Europaparlament die Abschlussempfehlung mit 411 zu 97 Stimmen an. Der Bericht warf mehreren Mitgliedstaaten vor, sich mit Verweis auf nationale Sicherheit der EU-Kontrolle zu entziehen, und forderte unabhängige gerichtliche Genehmigungspflichten sowie ein EU-Tech-Lab zur forensischen Untersuchung von Spähsoftwarevorwürfen.

Wie viele Menschen in der EU tatsächlich mit Pegasus infiziert wurden, ist nicht belegt. Der Ausschuss hatte keine eigenen Ermittlungsbefugnisse und war auf Kooperation der Mitgliedstaaten angewiesen, die meist verweigert oder nur eingeschränkt gewährt wurde. Die Empfehlung ist rechtlich nicht bindend, ein EU-weites Spyware-Gesetz existiert bislang nicht.

Am 18.09.2015 teilten EPA und CARB in einer Verstoßmitteilung mit, dass Volkswagen und Audi bei rund 482.000 in den USA verkauften Dieselfahrzeugen der Modelljahre 2009 bis 2015 eine unzulässige Abschalteinrichtung einsetzten. Die Software erkannte Testbedingungen und aktivierte dann die volle Abgasreinigung, während im Straßenbetrieb die Stickoxidminderung zurückgefahren wurde, sodass Fahrzeuge dort bis zum 40fachen des zulässigen Grenzwerts ausstießen. Ausgangspunkt war eine Messreihe des International Council on Clean Transportation und der West Virginia University aus 2013/2014. Volkswagen räumte die Abschalteinrichtung am 03.09.2015 gegenüber den Behörden ein.

Die später ermittelte weltweite Gesamtzahl von rund 11 Millionen betroffenen Fahrzeugen ist in dieser Mitteilung nicht enthalten, sie bezieht sich nur auf rund 482.000 US-Fahrzeuge mit 2,0-Liter-Motoren. Für Modelle mit 3,0-Liter-Motoren erließ die EPA erst am 02.11.2015 eine eigenständige Mitteilung. Welche einzelnen Personen im Konzern die Software in Auftrag gaben, wird in der Mitteilung selbst nicht benannt.

Der FT-Journalist Dan McCrum veröffentlichte ab 2015 wiederholt kritische Berichte über Wirecard, die sich ab 2019 zu konkreten Vorwürfen der Bilanzfälschung in asiatischen Tochtergesellschaften verdichteten. Die BaFin reagierte im Frühjahr 2019 mit einem zweimonatigen Leerverkaufsverbot für Wirecard-Aktien und stellte Strafanzeige gegen die FT-Journalisten wegen Marktmanipulation, statt die Vorwürfe zu prüfen. Am 18.06.2020 verweigerte EY die Testierung des Jahresabschlusses 2019, weil sich 1,9 Milliarden Euro auf angeblichen philippinischen Treuhandkonten nicht nachweisen ließen. Vorstandschef Markus Braun trat am 19.06.2020 zurück, am 25.06.2020 meldete Wirecard Insolvenz an, das erste DAX-Unternehmen mit nachgewiesenem Bilanzbetrug.

Der Verbleib des ehemaligen COO Jan Marsalek ist nicht geklärt, er gilt als nach Russland geflohen und wird per Interpol-Haftbefehl gesucht. Wer bei BaFin und Staatsanwaltschaft München für das Leerverkaufsverbot verantwortlich war, konnte auch der Bundestags-Untersuchungsausschuss nicht abschließend klären. Die Schadenssummen schwanken zwischen rund 3 und über 15 Milliarden Euro. Das Hauptstrafverfahren gegen Ex-CEO Braun war bis Sommer 2026 noch nicht rechtskräftig entschieden.

Die französische Datenschutzbehörde CNIL verhängte am 17.10.2022 ein Bußgeld von 20 Millionen Euro gegen Clearview AI, das ohne Rechtsgrundlage rund 20 Milliarden Fotos von Webseiten gesammelt und daraus eine Gesichtserkennungs-Suchmaschine betrieben hatte. Die CNIL stellte Verstöße gegen die DSGVO fest: Verarbeitung sensibler biometrischer Daten ohne Rechtsgrundlage sowie mangelnde Umsetzung der Betroffenenrechte. Bereits im November 2021 hatte die CNIL Clearview AI aufgefordert, die Datenerhebung einzustellen. Da das Unternehmen die Anordnung weiterhin nicht befolgte, verhängte die CNIL im Mai 2023 zusätzlich ein Zwangsgeld von 5,2 Millionen Euro.

Ob Clearview AI die Bußgelder tatsächlich gezahlt hat, ist nicht belegt. Das Unternehmen hat in Frankreich keine Niederlassung und keine bekannten Vermögenswerte, weshalb die Vollstreckung fraglich bleibt. Diese Quelle behandelt ausschließlich das französische Verfahren, parallele Verfahren in anderen Ländern sind eigenständige Vorgänge.

Die ICO verhängte am 16.10.2020 gegen British Airways ein Bußgeld von 20 Millionen Pfund wegen des Datenlecks von 2018, bei dem Nutzer auf eine gefälschte Website umgeleitet wurden und Angreifer persönliche und Zahlungsdaten von rund 430.000 Kunden abgriffen. Die ICO hatte im Juli 2019 zunächst 183,39 Millionen Pfund angekündigt. Die finale Summe entspricht nur rund 11 Prozent des ursprünglichen Betrags, inklusive einer Reduktion von 4 Millionen Pfund wegen der Corona-Pandemie.

Die genaue Berechnungsformel für die Reduzierung veröffentlichte die ICO nicht. Ob BA das Bußgeld vollständig gezahlt hat, ist nicht abschließend ersichtlich. Eine separate zivilrechtliche Sammelklage Betroffener ist nicht Gegenstand dieses Verfahrens.

Anfang Februar 2023 verschafften sich Cyberkriminelle per Phishing Zugang zu den E-Mail-Postfächern von acht Mitarbeitenden des Bayerischen Rundfunks über gefälschte Login-Masken mit BR-Logo. Sie erhielten dadurch Einblick in Kontakte und E-Mail-Verkehr. Der Sender sperrte die Angreifer rasch aus und informierte Datenschutzaufsicht sowie Betroffene gemäß Art. 34 DSGVO. Eine forensische Analyse fand keine Schadsoftware, ein Datenabfluss konnte aber nicht ausgeschlossen werden.

Welche konkreten Daten die Angreifer tatsächlich kopierten, ist nicht öffentlich dokumentiert. Die Identität der Täter wurde nicht aufgeklärt. Ob die bayerische Datenschutzaufsicht ein förmliches Verfahren einleitete, ist nicht bekannt.

Am 16.01.2025 äußerte sich die LDI NRW zu Vorwürfen gegen den Wetterdienst WetterOnline, ausgelöst durch die Recherche Databroker Files: Ein Testdatensatz vom 02.07.2024 enthielt 380 Millionen Standortdatenpunkte, darunter rund 34.875 geortete deutsche Android-Geräte mit der App WetterOnline an einem Tag. Als Quelle identifizierten die Rechercheure den Datenhändler Datastream Group. Laut netzpolitik.org vom 07.04.2026 leitete die LDI NRW inzwischen ein Bußgeldverfahren gegen WetterOnline ein, weil das Unternehmen über Jahre Standortdaten ohne wirksame Einwilligung erhoben und weitergegeben habe.

Die konkrete Bußgeldhöhe steht nicht fest, das Verfahren war Anfang April 2026 noch offen. WetterOnline bestreitet, GPS-Daten verkauft zu haben. Die Zahl von rund 34.875 georteten Geräten stammt aus einem einzigen Testdatensatz und lässt keine Gesamtaussage über die Jahre zu.

Der belgische Kontrollausschuss für die Nachrichten- und Sicherheitsdienste veröffentlichte am 17.10.2022 seinen Abschlussbericht zur Pegasus-Affäre. Als bestätigte belgische Ziele nennt der Bericht den Journalisten Peter Verlinden und seine Ehefrau, deren Infektion der Militärgeheimdienst ADIV im September 2021 feststellte, sowie die Aktivistin Maliha El Mahjoub. Auf der 2021 geleakten Pegasus-Project-Liste tauchten zudem Telefonnummern der Politiker Charles und Louis Michel auf. Der Ausschuss sprach vier Empfehlungen aus, darunter eine nationale Taskforce für digitale Sicherheit.

Ob die belgischen Dienste VSSE oder ADIV selbst Pegasus einsetzten, ist aus dem veröffentlichten Bericht nicht ersichtlich, der entsprechende Abschnitt wurde als geheim eingestuft. Wer die Infektion bei Verlinden veranlasste, ist nicht abschließend bewiesen, der ADIV vermutet Ruanda, das dies bestreitet. Für die Nummern auf der Pegasus-Liste ist nicht belegt, ob tatsächlich eine Infektion stattfand.

Ab Mitte Dezember 2020 nutzten Angreifer vier zuvor unbekannte Schwachstellen in der veralteten Dateiübertragungssoftware Accellion FTA aus, luden über die Webshell DEWMODE Kundendaten herunter und drohten mit Veröffentlichung. Laut gemeinsamer Sicherheitswarnung vom 24.02.2021 waren mindestens 13 Organisationen betroffen, darunter Kroger, die Kanzlei Jones Day und die University of Colorado, die eine Lösegeldforderung von zunächst 17 Millionen Dollar erhielt, aber nicht zahlte, woraufhin Daten von mehr als 310.000 Personen veröffentlicht wurden. Mandiant ordnete die Angreifer der Gruppe FIN11 und dem Umfeld der Clop-Ransomware zu.

Die Gesamtzahl betroffener Accellion-Kunden schwankt je nach Quelle zwischen unter 100 und rund 100 Firmen. Eine offizielle Gesamtsumme aller erpressten Zahlungen wurde nie beziffert.

Am 09. und 10.12.2021 wurde die kritische Sicherheitslücke CVE-2021-44228 (Log4Shell) in der Java-Bibliothek Apache Log4j2 öffentlich bekannt, mit dem höchstmöglichen CVSS-Wert von 10,0. Über präparierte Log-Nachrichten mit JNDI-Lookups konnten Angreifer aus der Ferne beliebigen Code ausführen. Entdeckt wurde die Lücke am 24.11.2021 vom Alibaba-Cloud-Forscher Chen Zhaojun. Apache veröffentlichte am 10.12.2021 einen ersten Patch, weitere folgten bis Anfang Januar 2022. CISA, FBI und NSA warnten am 22.12.2021 vor anhaltender aktiver Ausnutzung.

Das genaue weltweite Ausmaß der Kompromittierungen ist nicht abschließend geklärt, Angaben stammen überwiegend von einzelnen Sicherheitsfirmen. Berichte über chinesische Sanktionen gegen Alibaba Cloud wegen verspäteter Meldung sind nicht offiziell bestätigt. Ein amtlich bezifferter Gesamtschaden liegt nicht vor.

Im Januar 2022 verschaffte sich Lapsus$ Zugang zum Konto eines Supportmitarbeiters des Okta-Subunternehmens Sitel. Okta entdeckte den Vorfall am 20.01.2022; der unautorisierte Zugriff erfolgte laut Untersuchung vom 16. bis 21.01.2022, der Angreifer kontrollierte eine Workstation über 25 zusammenhängende Minuten und sah Daten von zwei aktiven Okta-Kundenmandanten ein. Öffentlich bekannt wurde der Vorfall erst am 22.03.2022, als Lapsus$ Screenshots veröffentlichte; Okta hatte zuvor bis zu 366 potenziell betroffene Kunden genannt.

Warum zwischen Entdeckung und öffentlicher Bestätigung fast zwei Monate vergingen, ist nicht geklärt, Okta wurde dafür kritisiert. Ob der Zugriff tatsächlich so begrenzt war wie dargestellt, blieb umstritten, der vollständige forensische Bericht liegt nicht öffentlich vor.

Die irische DPC erklärte am 21.05.2025, sie werde Meta nicht daran hindern, ab dem 27.05.2025 öffentliche Facebook- und Instagram-Beiträge erwachsener EU-Nutzer für das Training seiner KI-Sprachmodelle zu verwenden. Meta hatte diese Pläne im Juni 2024 nach DPC-Intervention ausgesetzt und überarbeitete sein Vorgehen mit klareren Nutzerhinweisen und einem vereinfachten Widerspruchsformular. Private Inhalte und Daten Minderjähriger sind ausgenommen.

Ein Bußgeld wurde nicht verhängt, es handelte sich um eine Nichteinwandstellungnahme. Ob Metas Berufung auf berechtigtes Interesse statt Einwilligung mit der DSGVO vereinbar ist, gilt unter Datenschützern als umstritten. noyb hält das Vorgehen für rechtswidrig und kündigte mögliche EU-weite Sammelklage an.

Ryan Mitchell Kramer aus Santa Clarita verschaffte sich Anfang 2024 über als KI-Bildgenerator getarnte Schadsoftware auf GitHub Zugriff auf den privaten Computer eines Disney-Mitarbeiters. Mit dessen Zugangsdaten drang er in den beruflichen Slack-Account ein und lud im Mai 2024 rund 1,1 Terabyte Daten aus fast 10.000 internen Disney-Slack-Kanälen herunter. Unter der erfundenen Identität NullBulge veröffentlichte er die Daten am 12.07.2024. Kramer bekannte sich am 01.05.2025 schuldig und wurde am 15.05.2026 zu 15 Monaten Haft verurteilt.

Die Angaben zu Kanalzahl und Datenmenge stammen aus Ermittlungsunterlagen, ohne unabhängige Bestätigung durch Disney. Ursprüngliche Medienberichte ordneten den Angriff fälschlich einer real existierenden russischen Hacktivistengruppe zu, erst die Anklage stellte klar, dass Kramer allein handelte.

Evolve Bank and Trust wurde Anfang 2024 Opfer eines LockBit-Ransomwareangriffs, nachdem ein Mitarbeiter auf einen manipulierten Link geklickt hatte. Die Täter luden Datenbanken herunter und veröffentlichten die Daten im Juni 2024, nachdem Evolve kein Lösegeld gezahlt hatte. Betroffen waren Namen, Sozialversicherungsnummern und Kontonummern von Privat- und Hypothekenkunden sowie von Partnerunternehmen. Evolve meldete der Generalstaatsanwaltschaft von Maine rund 7,64 Millionen betroffene Personen.

Spätere Unterlagen zur Sammelklage sprechen von rund 18 Millionen Betroffenen, ohne dass diese höhere Zahl öffentlich erklärt wurde. LockBits Behauptung, es handle sich um Daten der US-Notenbank Federal Reserve, war falsch.

Am 07.05.2024 identifizierten NCA, FBI, US-Justizministerium sowie Partnerbehörden aus USA, Großbritannien und Australien den Russen Dmitry Khoroshev als Entwickler und Administrator der Ransomware-Gruppe LockBit, bekannt unter dem Pseudonym LockBitSupp. US-, britische und australische Sanktionsbehörden verhängten Vermögenssperren und Einreiseverbote gegen ihn. Eine Grand Jury in New Jersey erhob Anklage in 26 Punkten, Höchststrafe 185 Jahre Haft. Das US-Außenministerium setzte eine Belohnung von bis zu 10 Millionen Dollar aus. LockBit soll zwischen 2019 und 2024 mehr als 2.500 Opfer in mindestens 120 Ländern angegriffen haben.

Khoroshev wurde nach der Anklage nicht festgenommen und hält sich vermutlich in Russland auf, das keine Auslieferungsabkommen mit den USA hat. Ein Gerichtsurteil steht aus, es gilt die Unschuldsvermutung. Angaben zur Gesamtschadenssumme schwanken zwischen über 500 Millionen und über 1 Milliarde Dollar.

Ab spätestens 03.12.2023 nutzte die mutmaßlich chinesische Gruppe UNC5221 zwei unbekannte Schwachstellen in Ivanti Connect Secure und Policy Secure VPN-Gateways aus. Ivanti veröffentlichte die Schwachstellen am 10.01.2024, Mandiant ordnete die Angriffe UNC5221 zu und dokumentierte eigens entwickelte Schadsoftware. Volexity zählte bis Mitte Januar 2024 mehr als 2.100 kompromittierte Geräte weltweit. CISA ordnete am 19.01.2024 per Notfallanweisung an, betroffene Geräte in Bundesbehörden bis zum 02.02.2024 vom Netz zu nehmen.

Mandiant stuft die Zuordnung zu China nur als moderate confidence ein, gestützt auf Indizien, nicht auf direkte Beweise. Eine mögliche Verbindung zur Gruppe Volt Typhoon wurde ausdrücklich nicht bestätigt. Eine vollständige Opferliste ist nicht öffentlich dokumentiert.

Anfang August 2023 wurde die US-Klinikkette Prospect Medical Holdings Ziel eines Ransomware-Angriffs der Gruppe Rhysida. Krankenhäuser in fünf US-Bundesstaaten mussten ihre IT vom Netz nehmen, mehrere Notaufnahmen schlossen zeitweise und leiteten Patienten um. Prospect Medical meldete später eine Datenpanne mit 1.309.096 betroffenen Personen, deren Namen, Sozialversicherungsnummern und Gesundheitsdaten kompromittiert wurden.

Rhysidas Behauptung, rund 1 Terabyte Daten erbeutet zu haben, stammt allein von den Angreifern. Ob Prospect Medical Lösegeld zahlte, ist nicht bestätigt. Ob die Ausfälle zu konkreten Patientenschäden führten, ist nicht belegt.

Die niederländische Großbank ING einigte sich am 04.09.2018 mit der Staatsanwaltschaft auf eine Zahlung von 775 Millionen Euro, davon 675 Millionen Euro Geldbuße und 100 Millionen Euro Gewinnabschöpfung. Grund waren strukturelle Mängel bei der Geldwäscheprävention zwischen 2010 und 2016, darunter unzureichende Kundenprüfung und ausgebliebene Verdachtsmeldungen. Es handelte sich um einen außergerichtlichen Vergleich ohne Gerichtsverfahren, die Summe war zum Zeitpunkt der Einigung der höchste jemals in den Niederlanden verhängte Betrag in einem Strafverfahren.

Nicht Bestandteil des Settlements war eine strafrechtliche Verurteilung der Bank selbst, viele Einzelheiten zu konkreten Geldwäschefällen sind dadurch nicht öffentlich nachvollziehbar. Die Staatsanwaltschaft sprach nur von hunderten Millionen Euro inkriminierter Gelder, ohne präzise Summe. Strafrechtliche Ermittlungen gegen einzelne frühere Manager liefen separat weiter, ihr Ausgang ist in dieser Quelle nicht dokumentiert.

Am 30.06.2014 einigte sich BNP Paribas mit dem US-Justizministerium und weiteren Behörden auf eine Gesamtstrafe von 8,9736 Milliarden Dollar. Die Bank bekannte sich schuldig, zwischen 2004 und 2012 vorsätzlich Transaktionen für Kunden in Sudan, Iran und Kuba über das US-Finanzsystem abgewickelt zu haben. Richterin Lorna Schofield verhängte das Urteil formell am 01.05.2015 in Manhattan. Es war die höchste je in einem US-Strafverfahren verhängte Geldstrafe und die erste Verurteilung eines Finanzinstituts wegen Verstößen gegen US-Wirtschaftssanktionen. BNP Paribas musste zusätzlich 13 verantwortliche Mitarbeiter entlassen.

Kein einzelner Bankmanager wurde in diesem Verfahren strafrechtlich angeklagt, es blieb bei der Entlassung von 13 Mitarbeitern. Das Gesamtvolumen der über Jahre abgewickelten sanktionierten Transaktionen wird in Sekundärquellen uneinheitlich beziffert, teils mit über 30 Milliarden, teils mit bis zu rund 190 Milliarden Dollar. Ob seither ein höheres Sanktionsbußgeld gegen ein Finanzinstitut verhängt wurde, ist in verfügbaren Quellen unterschiedlich bewertet.

WhatsApp reichte am 29.10.2019 vor einem US-Bundesgericht Klage gegen die israelische NSO Group ein. Die Klage wirft NSO Group vor, zwischen April und Mai 2019 eine Zero-Click-Schwachstelle in der WhatsApp-Videoanruf-Funktion ausgenutzt zu haben, um Pegasus-Spyware auf Geräte von etwa 1.400 Nutzern in mindestens 20 Ländern zu installieren, darunter Journalisten und Menschenrechtsaktivisten. Im Mai 2025 stellte ein US-Bundesgericht die zivilrechtliche Haftung von NSO Group fest und verhängte eine Strafzahlung von rund 168 Millionen US-Dollar.

Nicht abschließend geklärt ist die genaue Zahl der tatsächlich erfolgreich infizierten Geräte. Unklar bleibt, welche Regierungskunden für die einzelnen Angriffe verantwortlich waren, da NSO Group die Kundenidentität nicht vollständig offenlegte. Die Schadenersatzsumme wurde von NSO Group angefochten, der Ausgang eines Berufungsverfahrens war zum Recherchezeitpunkt offen.

Am 27.05.2020 wurden wegen einer fehlerhaften Cache-Konfiguration im CDN der Klarna-App für rund 31 Minuten Kontodaten anderer Nutzer angezeigt. Betroffen waren laut Korrektur bis zu 9.500 Nutzer, ursprünglich war von bis zu 90.000 die Rede. Sichtbar waren Name, Postadresse, Kaufhistorie und Teile der Zahlungsmethoden. Klarna bezeichnete den Vorfall als selbst verursachten technischen Fehler, nicht als externen Angriff.

Klarna korrigierte die Zahl von bis zu 90.000 auf bis zu 9.500 Personen, ohne die Diskrepanz im Detail zu erklären. Unklar bleibt, ob tatsächlich vollständige Zahlungskartendaten sichtbar waren, da Klarna dies als nicht sensibel im Sinne der DSGVO einstufte, während Nutzer von sichtbaren Bankverbindungsdaten berichteten.

Mozilla veröffentlichte am 07.11.2024 einen Bericht über Artikel 45 der eIDAS-2.0-Verordnung, der Browser verpflichtet, staatlich benannte Qualified Website Authentication Certificates anzuerkennen. Mozilla und die EFF warnten in einem offenen Brief, staatlich kontrollierte kryptografische Schlüssel könnten zur Interception verschlüsselten Webverkehrs genutzt werden. Mehr als 500 IT-Sicherheitsexperten unterzeichneten einen Protestbrief.

Nicht belegt ist, dass es bis Ende 2024 zu einem dokumentierten Fall staatlicher Zertifikats-Interception unter eIDAS 2.0 kam. Die Kritik bezieht sich auf ein befürchtetes Risiko, nicht auf einen nachgewiesenen Missbrauchsfall. Wie wirksam vom EU-Parlament eingeführte Schutzmaßnahmen sind, war noch nicht abschließend geklärt.

Microsoft erwirkte am 06.10.2020 einen Gerichtsbeschluss gegen das Trickbot-Botnetz und leitete gemeinsam mit Partnern technische Maßnahmen ein. Von 69 identifizierten Command-and-Control-Servern konnten 62 abgeschaltet werden. Parallel führte das US Cyber Command eine eigene Operation gegen die Trickbot-Infrastruktur durch, kurz vor den US-Präsidentschaftswahlen im November 2020, um Ransomware-Risiken für Wahlinfrastruktur zu verringern.

Nicht belegt ist, wie viele Rechner weltweit tatsächlich infiziert waren. Microsoft und US Cyber Command bezeichneten ihre Aktionen als Störung, nicht als vollständige Zerschlagung. Bereits wenige Wochen später gab es Berichte über teilweise Wiederherstellung der Infrastruktur.