Quellen-Tabelle

Forscher der ETH Zürich stellten auf dem USENIX Security Symposium 2023 eine Arbeit vor, die zeigte, dass sich bei kontaktlosen EMV-Transaktionen von Visa, Mastercard und Maestro die PIN-Abfrage durch Manipulation von Datenfeldern umgehen lässt. Transaktionen wurden im Labor über typischen kontaktlosen PIN-Limits erfolgreich durchgeführt. Mastercard bestätigte den Erhalt der Meldung und leitete Gegenmaßnahmen ein.

Ein konkreter, dokumentierter Fall eines ausgenutzten Girocard-NFC-Exploits in Deutschland ist durch die Quellen nicht belegt, die Forschung betrifft nachweislich internationale Systeme, nicht das eigenständige deutsche Girocard-Verfahren, das seit 2012 durchgängig auf Chip und PIN basiert.

Die Datenschutzkonferenz veröffentlichte am 16.08.2024 eine Orientierungshilfe zur Datenverarbeitung bei funkbasierten Zählern für Gebäudeeigentümer und Wohnungsunternehmen. Verbrauchsdaten dürfen ausschließlich zur Nebenkostenabrechnung und zu gesetzlich zugelassenen Zwecken erhoben werden. Eine Auswertung zur Erstellung von Nutzungs- oder Verhaltensprofilen ist ohne ausdrückliche Rechtsgrundlage unzulässig. Rechtsgrundlagen sind DSGVO, Messstellenbetriebsgesetz und Heizkostenverordnung.

Die Orientierungshilfe ist ein allgemeines Regelwerk, keine Feststellung eines konkreten Verstoßes. Es liegt kein dokumentierter Fall vor, in dem ein deutsches Wohnungsunternehmen wegen Auswertung von Smart-Meter-Daten bereits mit einem Bußgeld belegt wurde.

In der Nacht auf den 16.10.2021 wurde die Stadtverwaltung Witten Opfer eines Cyberangriffs, der rund 1.000 Computerarbeitsplätze sowie E-Mail und Telefon lahmlegte. Betroffen waren Bürgerberatung, Standesamt und Volkshochschule, während Notruf und Feuerwehr weiterliefen. Die Stadt zog zur Schadensbegrenzung die Netzstecker und schaltete Polizei und LKA ein. Die vollständige Wiederherstellung zog sich bis ins Frühjahr 2022 hin.

Nicht bestätigt wurde, ob es sich um einen klassischen Ransomware-Angriff mit Erpressung handelte. Die genaue Dauer der Wiederherstellung wird unterschiedlich angegeben, ein offizieller Abschlussbericht mit exaktem Enddatum liegt nicht vor.

Am 27.11.2022 wurde die Universität Duisburg-Essen Opfer eines Ransomware-Angriffs, bei dem rund 1.200 virtuelle Server verschlüsselt wurden. Die Hochschule trennte ihre gesamte IT-Infrastruktur vom Netz und begann mit forensischer Aufarbeitung. Für etwa 40.000 Nutzer wurden die Passwörter zurückgesetzt, E-Mail und Telefonie konnten vor Weihnachten wiederhergestellt werden.

Nicht dokumentiert ist die exakte Höhe des finanziellen Schadens. Unklar bleibt, wie die Angreifer ursprünglich Zugang erlangten. Die spätere Zuordnung zur Gruppe Vice Society wird in dieser Quelle selbst nicht erwähnt.

Die Berliner Datenschutzbeauftragte verhängte am 30.10.2019 gegen die Deutsche Wohnen SE ein Bußgeld von rund 14,5 Millionen Euro. Das Landgericht Berlin stellte das Verfahren am 18.02.2021 zunächst ein, das Kammergericht legte die Sache dem EuGH vor. Nach der EuGH-Entscheidung von Dezember 2023 verwies das Kammergericht zurück. Das Landgericht Berlin verurteilte Deutsche Wohnen SE am 09.06.2026 zu einer deutlich reduzierten Geldbuße von 900.000 Euro.

Nicht geklärt ist, ob das Urteil rechtskräftig ist oder Rechtsmittel eingelegt wurden. Die genaue rechtliche Begründung für die drastische Reduzierung geht aus der kurzen Pressemitteilung nicht im Detail hervor.

Das Bundesverfassungsgericht wies mit Beschluss vom 01.11.2024 eine Verfassungsbeschwerde gegen eine Verurteilung ab, die auf in Frankreich erhobenen Encrochat-Daten beruhte. Das Gericht bestätigte die Rechtsprechung des BGH, wonach kein Beweisverwertungsverbot besteht, da die zugrunde liegende Europäische Ermittlungsanordnung rechtmäßig war. Der BGH hatte bereits am 02.03.2022 grundsätzlich entschieden.

Umstritten bleibt, wie die französische Überwachungsmaßnahme selbst rechtlich einzuordnen war, deutsche Gerichte prüfen nur die Rechtmäßigkeit der Übermittlung. Wie viele Verfahren insgesamt auf Encrochat-Daten gestützt wurden, ist nicht bundesweit einheitlich erfasst.

Am 02.06.2016 unterzeichneten EU und USA das Umbrella Agreement, einen Rahmenvertrag zum Datenschutz für den Austausch personenbezogener Daten zwischen Strafverfolgungsbehörden. Das Abkommen erfasst Daten wie Namen und Vorstrafen zur Straftatverfolgung einschließlich Terrorismus und räumt EU-Bürgern erstmals ein gerichtliches Rechtsmittel vor US-Gerichten ein, gleichgestellt mit US-Bürgern. Das Europäische Parlament stimmte am 01.12.2016 zu.

Nicht dokumentiert ist, wie oft US-Gerichte entsprechende Klagen von EU-Bürgern tatsächlich zuließen. Umstritten blieb, ob der zugrunde liegende Judicial Redress Act dauerhaft Bestand hat, da er per einfachem Gesetz verankert ist.

Am 14.05.2021 legte ein Ransomware-Angriff mit der Schadsoftware Conti die zentralen IT-Systeme des irischen Gesundheitsdienstes HSE landesweit lahm. Ausgangspunkt war eine Phishing-E-Mail vom 16.03.2021, wodurch die Angreifer rund acht Wochen unbemerkt agieren konnten. Der 157-seitige PwC-Untersuchungsbericht dokumentiert veraltete Windows-7-Systeme. Die Wiederherstellung dauerte rund vier Monate, geschätzte Kosten belaufen sich auf etwa 100 Millionen US-Dollar.

Die exakte Höhe des Gesamtschadens ist nicht abschließend belegt, Schätzungen schwanken zwischen 80 und über 100 Millionen. Die Angreifer forderten Presseberichten zufolge rund 20 Millionen US-Dollar, die HSE zahlte nicht.

Ab dem 17.04.2022 griff die Ransomware-Gruppe Conti mehrere costa-ricanische Ministerien an, darunter Finanzen, Arbeit und Wissenschaft. Präsident Rodrigo Chaves erklärte am 08.05.2022 als erstes Staatsoberhaupt weltweit wegen eines Cyberangriffs den nationalen Notstand. Conti forderte zunächst 10 Millionen US-Dollar, später bis zu 20 Millionen, Costa Rica zahlte nicht. Der Zoll- und Steuerbetrieb war wochenlang gestört, kurz darauf griff die verwandte Gruppe HIVE zusätzlich das Gesundheitssystem CCSS an.

Die genaue Gesamtzahl der kompromittierten Behördensysteme wurde nie vollständig veröffentlicht. Unklar bleibt, ob und wie viele costa-ricanische Institutionen doch inoffizielle Zahlungen leisteten. Der wirtschaftliche Gesamtschaden ist nicht abschließend beziffert, Schätzungen bewegen sich im Bereich mehrerer hundert Millionen US-Dollar.

Nach dem 2020 bekannt gewordenen Hack der finnischen Psychotherapiekette Vastaamo, bei dem Patientenakten von rund 33.000 Betroffenen entwendet und teils veröffentlicht wurden, meldeten sich tausende Patienten mit Schadensersatzforderungen gegen den mittlerweile insolventen Betreiber. Ein finnisches Gericht verurteilte den Täter Julius Kivimäki im April 2024 zu einer Haftstrafe von sechs Jahren und drei Monaten wegen Datenerpressung und Offenlegung von Patientendaten. Die Konkursmasse Vastaamos reichte für Entschädigungszahlungen nicht annähernd aus.

Nicht abschließend geklärt ist, wie viele Betroffene tatsächlich eine Entschädigung erhielten, da die Insolvenzmasse begrenzt war. Die genaue Zahl der veröffentlichten Patientenakten schwankt in Berichten zwischen rund 2.000 und weit höheren Schätzungen.

Am 15.09.2022 verschaffte sich ein mit der Gruppe Lapsus\$ verbundener Angreifer per Social Engineering und MFA-Fatigue Zugriff auf einen Uber-Mitarbeiter-Account und darüber auf interne Systeme wie Slack, AWS, Google Workspace und den HackerOne-Bug-Bounty-Bereich. Der Angreifer postierte eine Nachricht im firmeninternen Slack-Kanal und veränderte die Startseite interner Tools. Uber bestätigte den Vorfall am 16.09.2022 offiziell.

Nicht abschließend belegt ist, in welchem Umfang Kundendaten tatsächlich eingesehen wurden, Uber erklärte, keine sensiblen Nutzerdaten seien exfiltriert worden, eine unabhängige vollständige Bestätigung dafür liegt öffentlich nicht vor. Ein separater Vorwurf, frühere Uber-Führungskräfte hätten einen Vorgängervorfall 2016 vertuscht, ist Gegenstand eines eigenen, hier nicht behandelten Verfahrens.

Der ehemalige Uber-Sicherheitschef Joe Sullivan war 2022 wegen Vertuschung eines Datenlecks aus dem Jahr 2016 verurteilt worden, weil er den Vorfall nicht der US-Handelsaufsicht FTC meldete und stattdessen Schweigegeld an die Angreifer zahlte. Das Berufungsgericht des Ninth Circuit bestätigte am 24.06.2025 die Verurteilung. Sullivan war zu drei Jahren Bewährung verurteilt worden, blieb aber während des Verfahrens ohne Haftstrafe.

Nicht Teil dieser Quelle ist der ursprüngliche Hack von 2016 selbst, der von den hier nicht identischen Angreifern der Lapsus\$-Attacke 2022 zu unterscheiden ist. Ob Sullivan weitere Rechtsmittel wie eine Revision vor dem Supreme Court einlegte, ist nicht dokumentiert.

Bei der Sitzung der EU-Innenminister am 12.06.2025 fand der Vorschlag zur verpflichtenden serverseitigen Chatkontrolle unter dänischer Ratspräsidentschaft erneut keine ausreichende Mehrheit unter den EU-Mitgliedstaaten. Deutschland positionierte sich gegen eine anlasslose Chatkontrolle. Der Vorschlag zur CSAM-Verordnung (Chatkontrolle) wurde damit zum wiederholten Mal vertagt, nachdem bereits 2023 und 2024 keine Einigung erzielt worden war.

Der endgültige Ausgang der Verhandlungen war zum Zeitpunkt dieser Quelle offen, spätere Ratspräsidentschaften könnten das Thema erneut aufgreifen. Die genaue Stimmenverteilung der einzelnen Mitgliedstaaten wurde nicht in allen Details veröffentlicht.

Die Bundesregierung machte am 03.05.2024 die russische Hackergruppe APT28, die dem Militärgeheimdienst GRU zugeordnet wird, für einen Cyberangriff auf die IT-Systeme der SPD-Bundesgeschäftsstelle im Jahr 2023 verantwortlich. Zusätzlich betroffen waren Unternehmen der Logistik-, Rüstungs- und Luft- und Raumfahrtbranche. Das Auswärtige Amt bestellte den russischen Botschafter ein, die EU verurteilte den Angriff gemeinsam mit mehreren Partnerstaaten.

Nicht öffentlich beziffert wurde der konkrete Umfang der abgeflossenen Daten bei der SPD oder den betroffenen Unternehmen. Die genaue Zahl und Namen aller betroffenen Rüstungsunternehmen wurden aus Sicherheitsgründen nicht vollständig veröffentlicht.

Der australische Krankenversicherer Medibank meldete der OAIC am 25.10.2022 einen Cyberangriff, bei dem Gesundheitsdaten von 9,7 Millionen Australiern kompromittiert wurden. Die Angreifer veröffentlichten Teile der Daten im Darknet, nachdem Medibank sich geweigert hatte, Lösegeld zu zahlen. Am 05.06.2024 erhob die OAIC vor dem Federal Court Zivilklage wegen unzureichender technischer Schutzmaßnahmen im Zeitraum März 2021 bis Oktober 2022, mit Bußgeldern bis zu 2,22 Millionen australischen Dollar pro Verstoß.

Nicht geklärt ist, wie die Angreifer ursprünglich Zugang erlangten, dies ist Gegenstand des laufenden Verfahrens. Die tatsächliche Bußgeldhöhe steht offen, da die theoretische Gesamtsumme je nach Zählung der Verstöße kontrovers diskutiert wird. Der Ausgang des Gerichtsverfahrens war zum Zeitpunkt der Quelle nicht entschieden.

LastPass meldete am 25.08.2022 einen Einbruch in seine Entwicklungsumgebung, bei dem Quellcode und ein verschlüsselter Schlüssel für Kunden-Backups entwendet wurden. In einem zweiten Vorfall im September 2022 kompromittierte der Angreifer per Keylogger den Rechner eines DevOps-Ingenieurs und erlangte Zugriff auf eine Backup-Datenbank mit Kundentresordaten. Laut US-Ermittlern wurden die Daten für Offline-Angriffe genutzt, die mit einem Kryptowährungsdiebstahl von rund 150 Millionen US-Dollar in Verbindung gebracht werden. LastPass einigte sich 2025 auf eine Sammelklagenzahlung von 24,5 Millionen US-Dollar.

Nicht dokumentiert ist, wie viele Tresore tatsächlich entschlüsselt wurden, da dies von der Stärke der Master-Passwörter abhing. Die Verbindung zum 150-Millionen-Dollar-Diebstahl stützt sich auf Ermittlungsdokumente, eine lückenlose Beweiskette für jeden Einzelfall ist nicht öffentlich einsehbar.

Am 08.10.2022 wurden gegen 2 Uhr nachts an zwei Orten, Herne und Berlin-Karow, Glasfaserkabel des Zugfunknetzes GSM-R der Deutschen Bahn durchtrennt. Beide redundant ausgelegten Stränge fielen aus. Der ICE-Verkehr zwischen Berlin, Hannover und Nordrhein-Westfalen sowie die Verbindung Berlin-Amsterdam waren für mehrere Stunden unterbrochen. Die Bundesanwaltschaft übernahm die Ermittlungen am 13.10.2022, das BKA wurde am 21.10.2022 eingeschaltet.

Nicht bewiesen ist, dass es sich um einen politisch motivierten Sabotageakt handelte. Die Staatsanwaltschaft Bochum identifizierte bis Juni 2024 zwei mutmaßliche Täter, die laut Berichten von Juli 2023 nach Kupferkabeln suchten und die Glasfaserkabel offenbar irrtümlich beschädigten. Ob ein politisches Motiv oder ein Diebstahlsversuch vorlag, blieb laut Ermittlungsstand unklar.

Am 05.10.2023 veröffentlichte das Medienkonsortium European Investigative Collaborations gemeinsam mit dem Security Lab von Amnesty International die Recherche Predator Files. Der Bericht dokumentiert, dass die Spyware Predator, hergestellt vom Intellexa-Konsortium um die Nexa-Gruppe aus Frankreich, in mindestens 25 Ländern verkauft wurde, darunter Oman, Katar, Kenia, die VAE, Vietnam, Sudan und Ägypten. Das Intellexa-Konsortium wurde 2018 vom ehemaligen israelischen Militäroffizier Tal Dilian mitgegründet.

Nicht abschließend dokumentiert ist, in welchem Umfang Predator in jedem der 25 Länder operativ eingesetzt wurde. Die Eigentümer- und Kontrollstruktur des Intellexa-Konsortiums bleibt teilweise intransparent, da mehrere ineinander verschachtelte Firmen in verschiedenen Staaten involviert sind.

Beim Landratsamt Enzkreis in Pforzheim waren durch eine fehlerhafte Systemkonfiguration eines externen IT-Dienstleisters personenbezogene Daten aus Online-Führerscheinanträgen über eine nicht verlinkte, aber direkt aufrufbare Internetadresse zugänglich. Die Fehlkonfiguration bestand von Januar 2025 bis zur Entdeckung am 08.10.2025, betroffen waren Anträge zwischen 01.01.2024 und 08.10.2025. Die Zahl der betroffenen Personen liegt im oberen vierstelligen Bereich, der Server wurde umgehend abgeschaltet.

Nicht belegt ist die exakte Zahl tatsächlich abgerufener Datensätze, die Behörde spricht nur von einer potenziellen oberen vierstelligen Zahl. Welcher externe IT-Dienstleister die Fehlkonfiguration verursachte und ob eine Haftung geklärt ist, bleibt unklar.

Das Delaware Chancery Court genehmigte am 07.04.2026 einen Vergleich über 190 Millionen US-Dollar zur Beilegung einer Aktionärsklage gegen Mark Zuckerberg, Sheryl Sandberg und weitere Meta-Direktoren. Eine Gruppe von Pensionsfonds hatte vorgeworfen, Facebook habe im Umgang mit den Daten im Cambridge-Analytica-Skandal gegen eine FTC-Unterlassungsverfügung von 2012 verstoßen. Der Prozess begann am 16.07.2025, die Kläger hatten ursprünglich 8 Milliarden US-Dollar gefordert. Die Zahlung erfolgt laut Berichten aus der D&O-Haftpflichtversicherung.

Nicht öffentlich dokumentiert ist die genaue Aufteilung der 190 Millionen Dollar zwischen den Versicherungspolicen. Ob Zuckerberg oder andere Beklagte persönlich finanziell hafteten, ist nicht abschließend belegt.

Die Forscher Chris Demchak und Yuval Shavit veröffentlichten Ende Oktober 2018 eine Studie über systematische BGP-Routing-Manipulationen durch den chinesischen Staatskonzern China Telecom. Dokumentiert wurde unter anderem eine rund zweieinhalbjährige Fehlleitung von Verizon-APAC-Routen über China Telecom zwischen Ende 2015 und Mitte 2018. Doug Madory von Oracle Internet Intelligence bestätigte die Befunde anhand eigener Messdaten.

Nicht bewiesen ist eine gezielte staatliche Anordnung zum Abhören von Verkehr im Einzelfall. China Telecom wies die Vorwürfe als technische Fehlkonfigurationen zurück. Das Ausmaß eines möglichen Datenzugriffs während der Umleitungen bleibt unklar.

Am Landgericht München I läuft seit dem 08.12.2022 der Strafprozess gegen den ehemaligen Wirecard-Vorstandschef Markus Braun, den früheren Dubai-Manager Oliver Bellenhaus als Kronzeugen und einen ehemaligen Chefbuchhalter. Der geschätzte Gesamtschaden liegt bei über 3 Milliarden Euro. Bis Juli 2026 wurden mehr als 270 Verhandlungstage absolviert, die Schlussplädoyers wurden für die vierte Oktoberwoche 2026 terminiert. Braun sitzt seit Juni 2020 in Untersuchungshaft.

Ein Urteil lag zum Zeitpunkt dieser Quelle noch nicht vor. Die genaue Schadenssumme schwankt in Quellen zwischen 1,9 und 3,2 Milliarden Euro. Die Rolle des seit 2020 mit internationalem Haftbefehl gesuchten Jan Marsalek konnte im Prozess nicht abschließend geklärt werden.

Sam Bankman-Fried, Gründer der Kryptobörse FTX, wurde am 28.03.2024 zu 25 Jahren Haft verurteilt, nachdem eine Jury ihn am 02.11.2023 in allen sieben Anklagepunkten für schuldig befunden hatte. Durch den Zusammenbruch von FTX im November 2022 entstand ein Schaden von mehr als acht Milliarden US-Dollar an Kundengeldern. Richter Lewis Kaplan ordnete eine Einziehung von rund elf Milliarden US-Dollar an.

Die tatsächliche Höhe des Endschadens ist nicht abschließend geklärt, da die Konkursverwaltung später Vermögenswerte zurückerlangte. Bankman-Fried bestritt vorsätzlichen Betrug und legte Rechtsmittel ein.

Die Federal Reserve verhängte am 19.07.2023 eine Geldstrafe von insgesamt 186.392.035 US-Dollar gegen die Deutsche Bank AG und ihre US-Tochtergesellschaften. Davon entfielen 46,2 Millionen US-Dollar auf Mängel bei Geldwäsche- und Sanktionsprüfung im Zusammenhang mit der Korrespondenzbankbeziehung zur estnischen Danske-Bank-Niederlassung. Die Fed stellte zusätzlich unzureichende Fortschritte bei früheren Auflagen aus 2015 und 2017 fest.

Nicht dokumentiert ist, in welchem Umfang die Deutsche Bank konkrete Kenntnis einzelner verdächtiger Transaktionen hatte. Die Gesamtsumme der durch die estnische Filiale geflossenen Gelder wird in Quellen zwischen 200 und 234 Milliarden Euro beziffert.

Am 28.04.2023 veröffentlichte die Federal Reserve einen Bericht zur Aufsicht über die Silicon Valley Bank, die am 10.03.2023 geschlossen wurde und die zweitgrößte Bankenpleite der US-Geschichte war. Als Ursachen nennt der Bericht eine Konzentration von Kunden mit überwiegend unversicherten Einlagen sowie Missmanagement von Zins- und Liquiditätsrisiken. Der Ausfall kostete den Einlagensicherungsfonds FDIC nach späteren Schätzungen rund 16,1 Milliarden US-Dollar.

Der Bericht selbst räumt ein, unter Zeitdruck und mit Wissen um den Ausgang erstellt worden zu sein, was seine Objektivität einschränkt. Die genaue Abflussgeschwindigkeit der Einlagen in den Tagen vor der Schließung ist nicht unabhängig verifiziert.