Quellen-Tabelle

Am 05.10.2023 veröffentlichte das EIC gemeinsam mit dem Amnesty International Security Lab die Recherche Predator Files. Sie identifizierte mindestens 25 Staaten als Käufer oder Nutzer von Intellexa-Produkten, darunter Katar, Oman, die VAE, Kenia, Singapur, Pakistan, Jordanien und Vietnam. Die Intellexa Group wurde 2018 vom ehemaligen israelischen Armeeoffizier Tal Dilian gegründet.

Ob der katarische Staat die Predator-Spyware tatsächlich gegen konkrete Ziele einsetzte, ist nicht belegt. Die Quellen weisen Katar als Kunden aus, dokumentieren aber keine bestätigten Einzelfälle von Überwachung.

Eine gemeinsame Untersuchung von Access Now, Citizen Lab, Human Rights Watch und Amnesty International deckte auf, dass zwischen 2019 und September 2023 mindestens 35 Personen in Jordanien mit Pegasus infiziert oder angegriffen wurden, darunter 14 forensisch bestätigte Medienschaffende und acht Menschenrechtsanwälte.

Wer die Überwachung konkret anordnete, ist nicht belegt, die jordanische Regierung wird nur vermutet. Die Ermittler gehen von einer hohen Dunkelziffer über die 35 bestätigten Fälle hinaus aus.

Das UN-Menschenrechtsbüro veröffentlichte am 29.08.2023 einen Bericht, wonach mindestens 120.000 Menschen in Myanmar und rund 100.000 in Kambodscha in Betrugszentren festgehalten und zu Online-Betrug gezwungen werden. Die Opfer stammen aus mehr als 60 Ländern und werden zu Krypto- und Romance-Scams gezwungen, dokumentiert wurden Folter und Zwangsarbeit.

Die Opferzahlen sind Schätzungen ohne vollständige Zählung. Die tatsächliche Gesamtsumme der weltweit erbeuteten Gelder lässt sich nicht exakt beziffern.

Ende Mai 2024 wurden der japanischen Kryptobörse DMM Bitcoin 4.502,9 Bitcoin (rund 308 Millionen US-Dollar) entwendet. FBI, DC3 und NPA attribuierten den Diebstahl der nordkoreanischen Gruppe TraderTraitor. Ein Akteur kontaktierte Ende März 2024 unter dem Vorwand eines Recruiters einen Mitarbeiter der Wallet-Firma Ginco und schleuste über ein Bewerbungstest-Skript Schadcode ein.

Die konkrete Rolle einzelner nordkoreanischer Regierungsstellen ist nicht öffentlich belegt. Der genaue technische Ablauf der finalen Transaktionsmanipulation wurde nicht vollständig veröffentlicht.

US-Behörden aktualisierten am 22.07.2026 die Warnmeldung AA26-097A zu einer iranisch verbundenen Cyberkampagne gegen speicherprogrammierbare Steuerungen, zugeschrieben der Gruppe CyberAv3ngers. Zwischen dem 26. und 27.07.2026 störte ein koordinierter Angriff den Betrieb von Wasser- und Abwasserversorgern in mehr als 30 Gemeinden in Minnesota, betroffen sind mindestens sieben US-Bundesstaaten.

Das genaue Ausmaß der Kompromittierungen ist nicht abschließend belegt. Ob die iranische Regierung die Aktivität direkt anordnete, ist unklar.

Taiwans National Security Bureau dokumentierte für 2024 rund 2,16 Millionen Verbreitungen von Desinformationsinhalten chinesischen Ursprungs, ein Anstieg von 60 Prozent gegenüber 2023. Der Bericht identifizierte 28.216 inauthentische Accounts, davon 77,85 Prozent auf Facebook, sowie KI-gestützte Deepfake-Videos taiwanesischer Politiker.

Die Zahlen stammen ausschließlich vom taiwanesischen Geheimdienst, einer Konfliktpartei mit China, unabhängige Verifikation liegt nicht vor. Die Zurechnung zu staatlichen chinesischen Stellen wird behauptet, aber nicht forensisch belegt.

Der Bericht "Buying Spying" von Access Now dokumentiert den globalen Handel mit kommerzieller Ueberwachungstechnologie und identifiziert Bolivien unter den Staaten, die Mobilfunk-Abhoer- und Ortungssysteme (u.a. IMSI-Catcher- und Interception-Technologie israelischer Anbieter wie Ability/Rayzone) beschafft haben. Die Recherche stuetzt sich auf Exportunterlagen, Firmenregister und Beschaffungsdokumente und ordnet Bolivien in ein Netzwerk aus mindestens 15 Laendern ein, die aehnliche Systeme ohne ausreichende rechtliche Kontrolle einsetzen.

Der Bericht liefert keine Einzelfallbeweise fuer konkrete Ueberwachungsopfer in Bolivien, sondern stuetzt sich auf Beschaffungs- und Exportdaten sowie Firmenverflechtungen; welche bolivianische Behoerde die Systeme in welchem Umfang tatsaechlich einsetzt, bleibt unklar.

Im Rahmen des internationalen "Pegasus-Projekts" enthüllte das ungarische Investigativmedium Direkt36 gemeinsam mit Forbidden Stories und Amnesty International, dass die NSO-Group-Spyware Pegasus in Ungarn gegen mindestens zehn Journalisten, Medieneigentümer und deren Umfeld eingesetzt wurde, darunter der Direkt36-Reporter Szabolcs Panyi und der Fotograf Dániel Németh. Eine forensische Analyse von Amnesty International bestätigte erfolgreiche Pegasus-Infektionen auf mehreren Mobiltelefonen; die Nummern tauchten in einer Liste von über 50.000 potenziellen Zielen auf. Die ungarische Regierung räumte spaeter ein, dass Behörden legal Spyware-Verträge mit NSO Group unterhielten.

Belegt ist die technische Infektion einzelner Geräte per forensischer Analyse sowie der Verkauf/Einsatz von Pegasus in Ungarn; nicht abschließend geklärt ist, welche konkrete ungarische Behörde im Einzelfall die Überwachungsanordnung veranlasste, da keine unabhängige gerichtliche Untersuchung stattfand.

Im Juli 2022 legte ein iranischer, staatlich unterstützter Angreifer (bekannt als "HomeLand Justice") mit einem destruktiven Wiper-Angriff zahlreiche Webseiten und Dienste der albanischen Regierung lahm; die Angreifer waren laut CISA/FBI bereits seit rund 14 Monaten (mindestens seit Mai 2021) unbemerkt im Netzwerk aktiv. Als Reaktion brach Albanien im September 2022 die diplomatischen Beziehungen zum Iran ab; im September 2022 kam es zu einem zweiten Angriff auf das Grenz- und Migrationssystem TIMS.

Die Advisory dokumentiert primär den Juli-2022-Angriff; Details zum zweiten Angriff und zur genauen Menge exfiltrierter Daten stützen sich teils auf Angaben der albanischen Regierung selbst, die nicht unabhängig verifizierbar sind.

Am 24. Maerz 2024 wurde der vietnamesische Wertpapierhaendler VNDirect, einer der groessten Broker des Landes mit rund 940.000 Kundenkonten, Opfer eines Ransomware-Angriffs, der die IT-Systeme verschluesselte und den Handel an der Ho-Chi-Minh-Stadt-Boerse fuer mehrere Tage lahmlegte. Der Handel konnte erst nach rund einer Woche schrittweise wieder aufgenommen werden, vollstaendig erst am 1. April 2024.

Oeffentlich bestaetigt sind Angriffsart, Zeitraum und Handelsausfall; nicht abschliessend belegt sind der genaue Umfang exfiltrierter Kundendaten, die Identitaet der Angreifergruppe und ob Loesegeld gezahlt wurde.

Die sri-lankische Information and Communication Technology Agency (ICTA) bestaetigte am 11. September 2023 einen Ransomware-Angriff auf die staatliche Cloud-Infrastruktur "Lanka Government Cloud" (LGC). Betroffen waren rund 5.000 E-Mail-Konten der gov.lk-Domain; da seit dem 17. Mai 2023 keine Backups mehr existierten, gingen alle Daten aus dem Zeitraum 17. Mai bis 26. August 2023 unwiederbringlich verloren. Ursache war eine veraltete, seit 2014 nicht mehr aktualisierte Microsoft-Exchange-2013-Installation.

Weder die genaue Ransomware-Gruppe noch die Hoehe einer eventuellen Loesegeldforderung sind ersichtlich; unklar bleibt, wie die Angreifer initial Zugriff erlangten.

Human Rights Watch dokumentierte, dass das UNHCR bei der Registrierung Hunderttausender Rohingya-Fluechtlinge in Bangladesch (Cox's Bazar) biometrische Daten erhob und diese im Rahmen eines Abkommens mit der bangladeschischen Regierung an Myanmar weitergab, um ein Verifizierungsverfahren fuer eine moegliche Rueckfuehrung zu unterstuetzen. Betroffene gaben laut HRW-Interviews an, nicht wirklich informiert eingewilligt zu haben.

Die genaue Zahl der tatsaechlich uebermittelten Datensaetze sowie deren konkrete Verwendung durch myanmarische Behoerden sind nicht abschliessend belegt; eine unabhaengige technische Pruefung der Datenflüsse liegt nicht vor.

Laut einer WSJ-Recherche halfen Huawei-Techniker den sambischen Behörden dabei, Telefone und Facebook-Konten oppositioneller Blogger des Portals Zambian Watchdog zu überwachen und deren Verschlüsselung zu umgehen, was 2017 zur Festnahme zweier Blogger führte. Die Techniker arbeiteten direkt mit Regierungsbeamten der Cyber-Kriminalitätseinheit zusammen.

Die Recherche stützt sich auf anonyme Aussagen von Insidern; Huawei bestritt öffentlich jede Beteiligung. Der genaue Umfang der Beteiligung einzelner Huawei-Mitarbeiter bleibt unklar.

Die BBC-Recherche dokumentiert die als "Sakawa" bekannte ghanaische Cyberbetrugsszene, in der junge Männer über gefälschte Online-Dating-Profile monate- bis jahrelange Beziehungen zu ausländischen Opfern aufbauen, um sie zu Geldüberweisungen zu bewegen. Der Bericht schildert konkrete Fälle mit fünf- bis sechsstelligen Dollarverlusten sowie die Verknüpfung mit spirituellen Ritualen ("Juju").

Belastbare Gesamtstatistiken zu Opferzahlen oder Schadenssumme in Ghana insgesamt liefert der Artikel nicht; eine juristische Aufarbeitung wird nicht genannt.

Citizen Lab dokumentierte gemeinsam mit Access Now, dass zwischen Juli 2020 und November 2021 mindestens 35 Geraete von Journalisten und Mitarbeitern zivilgesellschaftlicher Organisationen in El Salvador mit der NSO-Group-Software Pegasus infiziert wurden, darunter 22 Mitarbeiter des Onlinemediums El Faro. Die Regierung von Praesident Nayib Bukele uebernahm keine offizielle Verantwortung.

Citizen Lab nennt keinen direkten technischen Beweis, der die Bukele-Regierung als Auftraggeber zweifelsfrei identifiziert; die Zuordnung stuetzt sich auf Indizien, nicht auf forensisch nachgewiesene Kaeuferidentitaet.

Im Oktober 2023 bestaetigte der staatliche Telekommunikationsanbieter TSTT, dass Kundendaten kompromittiert wurden, nachdem eine Hackergruppe behauptet hatte, Zugriff auf rund 76.000 Kundendatensaetze erlangt zu haben, darunter Namen, Adressen und Kontodaten.

Die genaue Zahl der betroffenen Datensaetze sowie die Identitaet der Angreifer sind nicht abschliessend forensisch bestaetigt; es handelt sich um ein staatsnahes Unternehmen, nicht direkt um eine Regierungsbehoerde.

NRK und der Verbraucherrat Forbrukerrådet analysierten im November 2022 die fuer die Fussball-WM in Katar verpflichtenden Apps Hayya und Ehteraz und stellten fest, dass beide Apps weitreichende Systemberechtigungen verlangten, darunter Zugriff auf Standortdaten, Telefonbuch und die Moeglichkeit, Bluetooth/WLAN zu manipulieren. Mehrere Regierungen warnten WM-Reisende, ein separates Reisetelefon zu nutzen.

Die Analyse stammt aus einer technischen Pruefung der App-Berechtigungen, nicht aus einem forensischen Nachweis tatsaechlicher Missbrauchsfaelle; katarische Stellen wiesen die Vorwuerfe zurueck.

Citizen Lab dokumentierte, dass mindestens neun bahrainische Aktivisten zwischen Juni 2020 und Februar 2021 mit der Pegasus-Spyware von NSO Group infiziert wurden. Die Angriffe erfolgten über Zero-Click-Exploits (KISMET, FORCEDENTRY) gegen iPhones, teils waehrend die Betroffenen bereits Asyl in Grossbritannien hatten.

Die Zuordnung des Betreiber-Clusters zu staatlichen Stellen Bahrains stützt sich auf forensische Indizien, nicht auf ein gerichtliches Eingeständnis; nicht belegt ist, wer innerhalb der Regierung konkret die Überwachung anordnete.

Ab Ende August 2022 wurde die Regierung Montenegros von einer massiven Cyberangriffswelle getroffen, die zahlreiche staatliche Dienste (u.a. Finanzverwaltung, Wasser- und Energieversorger) lahmlegte; die Regierung machte "koordinierte, hybride" Angriffe aus dem Ausland verantwortlich und sprach von Beteiligung russischer Behoerden. Die Ransomware-Gruppe Cuba bekannte sich spaeter zu Teilen der Attacke und behauptete, hunderte Gigabyte an Daten von Ministerien und Behoerden erbeutet zu haben.

Die genaue technische Zuordnung zu staatlichen russischen Akteuren im Gegensatz zu einer rein kriminellen Ransomware-Bande blieb bis heute umstritten und ist nicht abschliessend unabhaengig verifiziert; das Ausmass des tatsaechlich abgeflossenen Datenvolumens beruht groesstenteils auf Angaben der Angreifer selbst.

Im Rahmen des internationalen "Pegasus Project" wiesen forensische Analysen von Amnesty Internationals Security Lab nach, dass die Rufnummer des Mediapart-Chefredakteurs Edwy Plenel sowie weiterer franzoesischer Journalisten auf einer Liste von potenziellen NSO-Group-Zielen stand, die mit dem marokkanischen Nachrichtendienst in Verbindung gebracht wurde. Eine forensische Untersuchung des Telefons von Plenel bestaetigte Spuren einer Pegasus-Infektion im Jahr 2019.

Die technische Forensik belegt eine Infektion des Geraets, der eindeutige Nachweis einer direkten staatlichen Anordnung durch marokkanische Behoerden ist jedoch nicht oeffentlich dokumentiert; Marokko bestreitet die Vorwuerfe.

Citizen Lab dokumentierte gemeinsam mit den thailändischen Organisationen iLaw und DigitalReach mindestens 30 Fälle von Aktivisten, Anwälten und Unterstützern der Demokratiebewegung, deren Smartphones zwischen Oktober 2020 und November 2021 mit der NSO-Group-Spyware Pegasus infiziert wurden. Die Infektionen fielen zeitlich mit den landesweiten pro-demokratischen Protesten gegen Premierminister Prayuth Chan-o-cha zusammen.

Der Bericht benennt keinen konkreten staatlichen Auftraggeber; er stützt sich auf forensische Indizien für Pegasus-Infektionen und den Umstand, dass Thailand nachweislich Zugang zu Pegasus hatte, ohne dies einer bestimmten Behörde formal zuzuordnen.

Im April 2021 wurde das panamaische Wirtschafts- und Finanzministerium (Ministerio de Economía y Finanzas) Ziel eines Ransomware-Angriffs durch die Gruppe RansomEXX. Die Angreifer verschlüsselten Systeme und veröffentlichten auf ihrer Leak-Seite angeblich gestohlene Dateien als Druckmittel zur Lösegelderpressung.

Der genaue Umfang der exfiltrierten Daten sowie die Zahlung oder Nichtzahlung eines Lösegelds sind nicht abschließend belegt; die Quelle stützt sich primär auf Angaben der Angreifergruppe und öffentliche Regierungsmitteilungen.

Im Rahmen der Interpol-Operation "Serengeti" (September bis Oktober 2024) wurden ueber 1.006 Verdaechtige in 19 afrikanischen Laendern festgenommen, davon eine erhebliche Zahl in Nigeria; die Aktion richtete sich gegen Ransomware, Phishing, Business-Email-Compromise sowie Romance- und Investment-Scams und identifizierte rund 35.000 Opfer weltweit mit einem geschaetzten finanziellen Schaden von ueber 193 Millionen US-Dollar.

Wie viele der 1.006 Festnahmen und wie viel des Gesamtschadens konkret auf Nigeria bzw. auf Romance-Scam-Faelle im engeren Sinne entfallen, wird in der Quelle nicht separat aufgeschluesselt.

Die unabhaengige Netzwerk-Monitoring-Organisation NetBlocks dokumentierte im Mai 2022 grossflaechige Internetabschaltungen in der autonomen Region Berg-Badachschan in Tadschikistan, waehrend Sicherheitskraefte gegen Proteste und Unruhen in der Region vorgingen. Die Netzwerkdaten zeigten einen fast vollstaendigen Zusammenbruch der Konnektivitaet, konsistent mit gezielten, staatlich angeordneten Abschaltungen.

Die Messung stammt aus technischer Netzwerk-Telemetrie; eine offizielle Bestaetigung oder Begruendung durch die tadschikische Regierung liegt nicht vor, und die genaue Anordnungskette ist aus dem Bericht allein nicht rekonstruierbar.

Im Rahmen des internationalen "Pegasus Project" identifizierten OCCRP und Partnermedien anhand einer geleakten Liste von rund 50.000 Telefonnummern auch aserbaidschanische Journalisten, Aktivisten und Oppositionelle als mutmassliche Ziele der NSO-Group-Spyware Pegasus, darunter die investigative Journalistin Khadija Ismayilova. Forensische Analysen von Amnesty International Security Lab bestaetigten bei mehreren dieser Geraete tatsaechliche Pegasus-Infektionen.

Die Liste der Telefonnummern allein belegt nur eine potenzielle Zielauswahl, keine erfolgreiche Infektion; eine offizielle Bestaetigung der Kundenbeziehung zwischen Aserbaidschan und NSO Group liegt nicht vor.