Quellen-Tabelle

Am 19.11.2024 drang die Gruppe RansomHub in die Systeme der Consejería Jurídica de la Presidencia, dem juristischen Beratungsbüro der mexikanischen Präsidentschaft, ein und erbeutete 313 Gigabyte an Daten. Rund 206 Gigabyte wurden im Darknet veröffentlicht, darunter Verträge und personenbezogene Daten von Regierungsmitarbeitern. Präsidentin Sheinbaum kündigte eine Bundesuntersuchung an. Drei Tage nach Veröffentlichung entfernte RansomHub die Daten ohne Erklärung wieder.

Die geforderte Lösegeldsumme wurde nicht öffentlich bekannt, ebenso unklar ist, ob gezahlt wurde. Wie die Angreifer Zugang erlangten, ist nicht belegt.

Die Gruppe Rhysida drang Ende Mai 2023 mittels Phishing in Netzwerke des chilenischen Heeres ein. Das Heer bestätigte den Vorfall am 29.05.2023 und isolierte betroffene Netzwerke. Rhysida veröffentlichte rund 360.000 Dokumente. Ein Unteroffizier des Heeres wurde wegen Beteiligung am Angriff festgenommen und angeklagt.

Der genaue Inhalt der veröffentlichten Dokumente ist nicht dokumentiert. Die Zahl von 360.000 Dokumenten stammt allein von der Angreifergruppe und ist nicht unabhängig verifiziert.

Die südafrikanische Companies and Intellectual Property Commission (CIPC) veröffentlichte am 29.02.2024 eine Mitteilung über einen Sicherheitsvorfall. Betroffen waren personenbezogene Daten von Kunden und Mitarbeitern, darunter Angaben zu Unternehmensdirektoren und Markeninhabern. Eine sich bekennende Gruppe behauptete, bereits seit rund drei Jahren Zugriff auf die Datenbank gehabt zu haben.

Die genaue Anzahl betroffener Datensätze wurde nicht veröffentlicht. Die Behauptung des dreijährigen unbemerkten Zugriffs stammt allein von den Tätern und wurde nicht bestätigt.

Die pro-palästinensische Gruppe Cyber Toufan kompromittierte am 16.11.2023 den israelischen Hosting-Dienstleister Signature IT und erlangte Zugriff auf Daten Dutzender israelischer Organisationen. Sicherheitsfirmen identifizierten rund 49 betroffene Unternehmen und Behörden, darunter die Israel Innovation Authority und Toyota Israel.

Die Urheberschaft ist nicht abschließend geklärt, Check Point vermutet iranische Steuerung ohne offizielle Bestätigung. Die Zahl kompromittierter Organisationen schwankt zwischen 40 und über 100 je nach Quelle.

Im Mai 2024 beanspruchte die Gruppe Stormous, Teil des Bündnisses Five Families, Cyberangriffe auf mehrere VAE-Institutionen, darunter die Telecommunications and Digital Government Regulatory Authority und die Roads and Transport Authority Dubai. Die Angreifer forderten 150 Bitcoin Lösegeld mit einer Frist bis zum 09.05.2024.

Es handelt sich ausschließlich um Behauptungen der Angreifergruppe, keine der genannten Institutionen bestätigte den Angriff. Die tatsächliche Kompromittierung ist nicht unabhängig verifiziert.

Im Oktober 2024 verschaffte sich ein Angreifer unbefugten Zugriff auf IT-Systeme der Gesundheitsbehörde Health New Zealand Te Whatu Ora in der Central Region. Kompromittiert wurden Personaldaten aktueller und ehemaliger Mitarbeitender von 2020 bis 2024, darunter medizinische Beurteilungen. Die Polizei nahm strafrechtliche Ermittlungen auf.

Die genaue Zahl betroffener Personen ist nicht dokumentiert. Die Identität des Angreifers ist offiziell nicht bestätigt, ein Gerichtsverfahren steht noch aus.

Am 22.09.2023 wurde die staatliche philippinische Krankenversicherung PhilHealth Ziel eines Ransomware-Angriffs durch die Gruppe Medusa. Die Angreifer forderten rund 300.000 US-Dollar Lösegeld. PhilHealth bestätigte den Vorfall und schaltete Teile seiner IT-Systeme ab. Millionen Mitgliederdaten konnten betroffen sein.

Die genaue Zahl kompromittierter Datensätze ist unklar, Schätzungen reichen bis 13,4 Millionen Mitglieder ohne offizielle Bestätigung. Ob Lösegeld gezahlt wurde, wurde dementiert.

Am 12.09.2023 wurde der Bogotá-ansässige Cloud- und Telekommunikationsanbieter IFX Networks Opfer eines Ransomware-Angriffs. Der Vorfall betraf mehr als 760 öffentliche und private Einrichtungen in 17 lateinamerikanischen Ländern. In Kolumbien waren unter anderem der Oberste Rat der Justiz sowie die Ministerien für Gesundheit und Kultur betroffen. Der Oberste Rat der Justiz setzte landesweit die gesetzlichen Fristen für rund zwei Millionen Gerichtsverfahren aus.

Die genaue Identität der Angreifergruppe ist nicht offiziell bestätigt, mehrere Medien nennen RansomHouse ohne Bestätigung. Ob und in welcher Höhe ein Lösegeld gefordert oder gezahlt wurde, bleibt unklar.

Am 30.04.2024 wurde die Webseite des ecuadorianischen Consejo de la Judicatura durch einen DDoS-Angriff lahmgelegt. Der Angriff kam nach ersten Ermittlungen aus rund 15 Ländern. Die Institution erklärte, nur ein externer Sicherheitsfilter sei kompromittiert worden, interne Informationen seien nicht betroffen gewesen.

Wer hinter dem Angriff steckt, ist nicht belegt. Die Behauptung, keine Daten seien kompromittiert worden, stammt allein von der betroffenen Institution selbst.

Im Januar 2023 wurde das costa-ricanische Ministerium für öffentliche Arbeiten und Verkehr (MOPT) von einem Ransomware-Angriff getroffen, bei dem 12 Server verschlüsselt wurden. Dienstleistungen wie Fahrprüfungen mussten auf papierbasierte Abwicklung umgestellt werden. Der Vorfall ereignete sich rund neun Monate nach dem großen Conti-Ransomware-Angriff von 2022.

Zum Zeitpunkt der Berichterstattung hatte sich keine Gruppe zum Angriff bekannt. Der finanzielle Schaden wurde nicht beziffert.

Ab dem 23.07.2023 fiel Kenias zentrales Regierungsportal e-Citizen aus, über das mehr als 5.000 staatliche Dienstleistungen abgewickelt werden. Die Gruppe Anonymous Sudan bekannte sich zu einer DDoS-Attacke und forderte eine Entschuldigung Kenias oder 200.000 US-Dollar in Bitcoin. Der Generalrechnungsprüfer hatte bereits gewarnt, dass e-Citizen über keinen Notfallplan und keinen Backup-Standort verfüge.

Die Behauptung, keine Nutzerdaten seien kompromittiert worden, ist nicht unabhängig verifiziert. Die Urheberschaft der Gruppe Anonymous Sudan ist umstritten, Sicherheitsforscher vermuten russische statt sudanesische Verbindungen.

Anfang April 2025 veröffentlichte die Gruppe Jabaroot im Darknet vertrauliche Daten der marokkanischen Sozialversicherungskasse CNSS. Betroffen waren rund 2 Millionen Einzelpersonen und 40.000 Unternehmen mit fast 4 Millionen Beschäftigten. Geleakt wurden Namen, Identifikationsnummern und Gehaltsangaben. Als Motiv nannten die Angreifer politische Vergeltung im Kontext marokkanisch-algerischer Spannungen.

Der genaue Zugangsweg der Angreifer ist nicht geklärt. Die CNSS bezeichnete Teile der Dokumente als teilweise falsch, ohne dies zu belegen, sodass die genaue Zahl korrekt betroffener Personen umstritten bleibt.

Eine gemeinsame Ermittlungsgruppe der pakistanischen Federal Investigation Agency stellte im März 2024 fest, dass zwischen 2019 und 2023 Daten von rund 2,7 Millionen Bürgern aus der National Database and Registration Authority (NADRA) entwendet wurden. Die Daten wurden über NADRA-Büros in Karachi, Multan und Peshawar nach Dubai weitergeleitet und in Argentinien und Rumänien zum Verkauf angeboten.

Wie viele der 2,7 Millionen Datensätze tatsächlich im Umlauf gelangten, ist nicht geklärt. Die technische Vorgehensweise des Datenabflusses wurde nicht im Detail offengelegt.

Am 19. und 20.12.2024 wurden die ukrainischen Staatsregister des Justizministeriums, rund 60 Datenbanken mit biometrischen Daten und Grundbucheinträgen, durch einen Cyberangriff lahmgelegt. Die pro-russische Gruppe XakNet bekannte sich dazu und behauptete, Primärdatenbanken und Backups gelöscht zu haben. Der Inlandsgeheimdienst SBU vermutet Angreifer im Umfeld des russischen Militärgeheimdienstes GRU. Betroffen waren auch die App Diia mit über 21 Millionen Nutzern und die Wehrerfassungs-App Reserve Plus.

Ob tatsächlich Daten entwendet und veröffentlicht wurden, ist nicht belegt. Die ukrainische Regierung bestreitet die Behauptung der vollständigen Datenlöschung. Die Zuordnung zum GRU beruht auf Vermutungen ohne öffentliche technische Beweise.

Ab dem 19./20.08.2024 wurden lettische Regierungswebsites durch DDoS-Angriffe gestört, darunter die zentrale Plattform TVP und die Website des Ministerkabinetts. Die pro-russische Gruppe NoName057(16) sowie eine Gruppe namens Anonymous Guys bekannten sich dazu und begründeten dies mit lettischer Militärhilfe für die Ukraine. CERT.LV bestätigte, dass die Angriffe nach einem neuen Ukraine-Hilfspaket erwartbar gewesen seien.

Konkrete Zahlen zum Datenvolumen oder zur Botnetz-Größe fehlen. Die Urheberschaft stützt sich ausschließlich auf Telegram-Bekenntnisse der Gruppen, keine unabhängige forensische Zuordnung liegt vor.

In der Nacht vom 5. auf den 6.02.2024 verschlüsselte die Gruppe LockBit die EDV-Systeme der niederösterreichischen Stadtgemeinde Korneuburg. Betroffen waren rund 220 Mitarbeiter und 90 PCs. Die vollständige Wiederherstellung dauerte bis zum 23.02.2024. Die Gemeinde zahlte kein Lösegeld dank vorhandenem Band-Backup, der geschätzte Schaden liegt bei rund 100.000 Euro.

Die genaue Höhe der ursprünglich geforderten Lösegeldsumme wurde nicht beziffert. Ob es zu einem Datenabfluss kam, wurde von der Gemeinde verneint, ohne unabhängige forensische Bestätigung.

Anthropic identifizierte im September 2025 eine Cyberspionagekampagne einer Gruppe, die mit hoher Zuversicht als chinesischer staatlicher Akteur eingestuft wird (interne Bezeichnung GTG-1002). Die Angreifer manipulierten Claude Code, um damit weitgehend eigenständig Aufklärung, Schwachstellensuche und Datenexfiltration bei rund 30 Zielen durchzuführen. Nach Anthropic-Angaben erledigte die KI etwa 80 bis 90 Prozent der Kampagnenschritte autonom.

Die Attribution an einen chinesischen Staatsakteur ist nicht unabhängig verifiziert, sie beruht allein auf Anthropics eigener Einschätzung. Anthropic räumt ein, dass Claude teilweise Zugangsdaten halluzinierte, was die Zuverlässigkeit relativiert.

Microsoft entdeckte am 12.01.2024 einen Angriff der russischen Gruppe Midnight Blizzard (APT29/Cozy Bear) über ein Legacy-Testkonto. Die Angreifer erlangten Zugriff auf E-Mail-Konten der Führungsebene. Am 08.03.2024 bestätigte Microsoft, dass die Gruppe daraus exfiltrierte Informationen nutzte, um sich Zugang zu internen Quellcode-Repositories zu verschaffen.

Microsoft legte nicht offen, welche Quellcode-Repositories betroffen waren oder wie viele Dateien kopiert wurden. Die ursprüngliche Einschätzung von Januar 2024, es gebe keine Hinweise auf Quellcode-Zugriff, wurde im März revidiert.

Die staatliche Banco de Venezuela wurde im April 2024 Ziel eines Angriffs mit der Ransomware LockBit 3.0. Die Angreifer veröffentlichten die Erpressung am 19.04.2024 auf der LockBit-Leak-Seite mit Zahlungsfrist bis zum 10.05.2024. Die Bank erklärte, ihre elektronischen Kundendienste funktionierten weiterhin normal, interne Mitarbeitersysteme waren jedoch verschlüsselt.

Welche und wie viele Datensätze exfiltriert wurden, ist nicht belegt, LockBits eigene Behauptungen wurden nicht unabhängig bestätigt. Ob die Lösegeldforderung bezahlt wurde, bleibt unklar.

Im Juni 2025 wurden Daten von 7,4 Millionen paraguayischen Bürgern im Darknet veröffentlicht. Sicherheitsfirmen führten den Ursprung auf eine Infostealer-Malware zurück, die im April 2023 ein Gerät eines Mitarbeiters des Gesundheitsministeriums infizierte. Die Gruppe Brigada Cyber PMC forderte 7,4 Millionen US-Dollar Lösegeld, die Regierung lehnte ab.

Die Zahl von 7,4 Millionen entspricht nahezu der gesamten Bevölkerung, ob es Dubletten oder veraltete Datensätze enthält, ist unklar. Die Identität der Gruppe Brigada Cyber PMC ist nicht zweifelsfrei belegt.

Im September 2024 entdeckte das türkische USOM, dass Daten von über 108 Millionen Bürgern auf Google Drive hochgeladen worden waren, darunter Personalausweisnummern, Adressen und Mobilfunknummern. USOM meldete den Vorfall im Juli und September 2024 an Google und forderte die Entfernung.

Aus welcher Behörde die Daten stammen und wer sie hochlud, ist nicht geklärt. Die Zahl von 108 Millionen wurde nicht unabhängig forensisch bestätigt.

Ab September 2023 wurden armenische Regierungsstellen und der Flughafen Zvartnots mit einem präparierten Word-Dokument angegriffen, das als Warnung des Sicherheitsdienstes getarnt war und die Schadsoftware AsyncRAT installierte. CyberHUB AM stuft die Täterschaft als wahrscheinlich aserbaidschanisch ein.

Eine staatliche Beauftragung ist nicht belegt, die Zuordnung stützt sich nur auf indirekte Indizien wie einen Debug-Pfad. Genaue Opferzahlen wurden nicht beziffert.

Im Oktober 2023 identifizierte Amnesty International im Rahmen der Predator-Files-Recherche technische Infrastruktur der Spyware Predator in Kasachstan, neben Angola, Ägypten, der Mongolei, Indonesien, Madagaskar, Sudan und Vietnam. Für Kasachstan wurden lediglich technische Infrastrukturspuren festgestellt, keine konkrete aktive Überwachungskampagne.

Wer in Kasachstan Ziel der Überwachung war und ob Geräte tatsächlich infiziert wurden, ist nicht dokumentiert. Die kasachische Regierung äußerte sich nicht zu den Vorwürfen.

Die Organisation Unwanted Witness veröffentlichte am 11.08.2025 einen Bericht über Überwachung in Ostafrika mit Fokus auf Uganda. Journalist Canary Mugume erhielt im Mai 2025 eine Apple-Bedrohungsbenachrichtigung wegen möglicher Spyware-Infektion. Der Bericht verweist zudem auf das 126-Millionen-Dollar-Huawei-Safe-City-Projekt in Kampala und verpflichtende biometrische SIM-Registrierung.

Welcher Spyware-Anbieter verantwortlich war, ist nicht bewiesen, Apples Benachrichtigungen liefern keine forensische Attribution. Eine systematische unabhängige Geräteuntersuchung liegt nicht vor.

Ab Februar 2023 verhafteten tunesische Behörden im Rahmen des Verfahrens gegen die Opposition wegen angeblicher Verschwörung Politiker, Journalisten und Aktivisten. Behörden beschlagnahmten Mobiltelefone und werteten private Nachrichten auf WhatsApp, Telegram und Signal aus, die zur Begründung der Untersuchungshaft herangezogen wurden.

Mit welcher technischen Methode Zugriff auf verschlüsselte Messenger erlangt wurde, ist nicht dokumentiert. Die tunesische Regierung wies die Vorwürfe politischer Verfolgung zurück.