Quellen-Tabelle

Der bayerische Landtag verabschiedete am 15.05.2018 eine Novelle des Polizeiaufgabengesetzes, die der Polizei bereits beim Verdacht einer drohenden Gefahr weitreichende Befugnisse einräumt, darunter Staatstrojaner, Body Cams, Drohnen und in Ausnahmefällen Sprengmittel. Gegen das Gesetz demonstrierten im Mai 2018 in München mehr als 40.000 Menschen. Am 06.10.2018 reichte die Gesellschaft für Freiheitsrechte gemeinsam mit dem noPAG-Bündnis eine Verfassungsbeschwerde für zehn Betroffene ein. Das Bundesverfassungsgericht verhandelte die Beschwerde am 07. und 08.07.2026.

Die genaue Teilnehmerzahl der Demonstration ist nicht amtlich dokumentiert, nur journalistisch geschätzt. Der Begriff der drohenden Gefahr wird von Kritikern als zu unbestimmt bezeichnet, seine verfassungsrechtliche Bewertung war zum Zeitpunkt der Beschwerdeeinreichung offen. Diese Quelle dokumentiert die Einreichung, nicht das inhaltliche Ergebnis der Verhandlung.

Am 20.03.2009 verabschiedete der Bundestag das Rettungsübernahmegesetz, das eine zeitlich begrenzte Enteignung eines systemrelevanten Kreditinstituts erlaubte, gerichtet gegen die Hypo Real Estate, deren dubliner Tochter Depfa Bank nach der Lehman-Pleite in eine Liquiditätskrise geraten war. Am 05.10.2009 wurde die HRE als erste Bank seit 1949 verstaatlicht, Aktionäre erhielten per Squeeze-out 1,30 Euro je Aktie. Zum 30.09.2010 hatte die HRE Garantien in Höhe von 123,98 Milliarden Euro sowie 7,7 Milliarden Euro direkte Kapitalhilfen vom SoFFin in Anspruch genommen.

Die tatsächliche Endsumme der Staatskosten ist nicht abschließend geklärt, die Bundesregierung bezifferte 2018 die Nettokosten auf rund 20,3 Milliarden Euro, eine von Kritikern als vorläufig bezeichnete Zahl. Umstritten bleibt der zeitliche Ablauf der Garantieübernahme, die möglicherweise Haftungsansprüche gegen den früheren Mehrheitseigentümer UniCredit verjähren ließ.

Der CCC veröffentlichte am 08.10.2011 den Bericht Analyse einer Regierungs-Malware, eine technische Zerlegung eines von DigiTask entwickelten Staatstrojaners. Die Software kommunizierte über TCP Port 443 mit einem hartcodierten Command-and-Control-Server. Der CCC dokumentierte Funktionen wie das Nachladen beliebigen weiteren Codes sowie Screenshot- und Mikrofonzugriff, die über die vom Bundesverfassungsgericht 2008 gezogenen engen Grenzen der Quellen-Telekommunikationsüberwachung hinausgingen.

Nicht belegt ist, in wie vielen Einsatzfällen bundesweit genau diese DigiTask-Version zum Einsatz kam. Umstritten blieb, ob die nachladbare Funktion tatsächlich für Funktionen jenseits der Quellen-TKÜ genutzt wurde oder nur technisch möglich war. Die genaue Herkunft der Samples wurde aus Quellenschutzgründen nicht vollständig offengelegt.

Facebook startete im November 2007 das Werbeprogramm Beacon, das Kaufaktivitäten von Nutzern auf Partnerseiten ohne wirksame Zustimmung erfasste und an Facebook-Freunde weitergab. Nutzer reichten die Sammelklage Lane v. Facebook ein. Im September 2009 einigten sich die Parteien: Facebook stellte Beacon ein und zahlte 9,5 Millionen Dollar, davon rund 6,5 Millionen an die neu gegründete Stiftung Digital Trust Foundation. Das Berufungsgericht bestätigte den Vergleich am 20.09.2012 für rund 3,6 Millionen betroffene Nutzer.

Nicht dokumentiert ist, wie viele Nutzer konkret geschädigt wurden. Umstritten blieb die Angemessenheit des Vergleichs, da Klassenmitglieder keine direkte Geldzahlung erhielten, sondern das Geld an eine von Facebook mitgegründete Stiftung floss.

Am 03.11.2022 reichte die Joseph Saveri Law Firm im Namen mehrerer Softwareentwickler eine Sammelklage gegen GitHub, Microsoft und OpenAI ein. Die Klage wirft vor, KI-Systeme Codex und Copilot mit Milliarden Zeilen öffentlichem Code trainiert zu haben, ohne Lizenzbedingungen wie GNU GPL einzuhalten. Die Kläger bezifferten mögliche Schadensersatzansprüche theoretisch auf über 9 Milliarden US-Dollar. Der Richter wies 20 von 22 Klagepunkten ab, ließ aber Ansprüche wegen Lizenzverletzung zu.

Das Gericht stellte fest, dass die Kläger nicht nachweisen konnten, dass spezifischer Code aus spezifischen Trainingsdaten in spezifischen Copilot-Ausgaben erscheint. Die Summe von 9 Milliarden Dollar ist eine theoretische Maximalberechnung, kein zugesprochener Betrag. Der Ausgang war zum Recherchezeitpunkt nicht rechtskräftig.

Die Verordnung (EU) 2024/1183 wurde am 30.04.2024 veröffentlicht und trat am 20.05.2024 in Kraft. Artikel 45 verpflichtet Browser zur Anerkennung staatlich benannter Website-Authentifizierungszertifikate (QWACs). Mehr als 500 Sicherheitsforscher und Organisationen wie Mozilla und EFF unterzeichneten offene Briefe gegen eine befürchtete Schwächung der Browser-Sicherheitsarchitektur. Das Parlament nahm die finale Fassung im Februar 2024 mit abgeschwächten Formulierungen an.

Nicht geklärt ist, ob die finale Fassung die technischen Bedenken tatsächlich entkräftet hat. Umstritten bleibt, ob Browserhersteller weiterhin eigene Vertrauensentscheidungen treffen können. Die vollständigen Auswirkungen zeigen sich erst nach Ablauf der Übergangsfristen 2026/2027.

Forscher der ETH Zürich stellten auf dem USENIX Security Symposium 2023 eine Arbeit vor, die zeigte, dass sich bei kontaktlosen EMV-Transaktionen von Visa, Mastercard und Maestro die PIN-Abfrage durch Manipulation von Datenfeldern umgehen lässt. Transaktionen wurden im Labor über typischen kontaktlosen PIN-Limits erfolgreich durchgeführt. Mastercard bestätigte den Erhalt der Meldung und leitete Gegenmaßnahmen ein.

Ein konkreter, dokumentierter Fall eines ausgenutzten Girocard-NFC-Exploits in Deutschland ist durch die Quellen nicht belegt, die Forschung betrifft nachweislich internationale Systeme, nicht das eigenständige deutsche Girocard-Verfahren, das seit 2012 durchgängig auf Chip und PIN basiert.

Am 14.05.2021 legte ein Ransomware-Angriff mit der Schadsoftware Conti die zentralen IT-Systeme des irischen Gesundheitsdienstes HSE landesweit lahm. Ausgangspunkt war eine Phishing-E-Mail vom 16.03.2021, wodurch die Angreifer rund acht Wochen unbemerkt agieren konnten. Der 157-seitige PwC-Untersuchungsbericht dokumentiert veraltete Windows-7-Systeme. Die Wiederherstellung dauerte rund vier Monate, geschätzte Kosten belaufen sich auf etwa 100 Millionen US-Dollar.

Die exakte Höhe des Gesamtschadens ist nicht abschließend belegt, Schätzungen schwanken zwischen 80 und über 100 Millionen. Die Angreifer forderten Presseberichten zufolge rund 20 Millionen US-Dollar, die HSE zahlte nicht.

Der ehemalige Uber-Sicherheitschef Joe Sullivan war 2022 wegen Vertuschung eines Datenlecks aus dem Jahr 2016 verurteilt worden, weil er den Vorfall nicht der US-Handelsaufsicht FTC meldete und stattdessen Schweigegeld an die Angreifer zahlte. Das Berufungsgericht des Ninth Circuit bestätigte am 24.06.2025 die Verurteilung. Sullivan war zu drei Jahren Bewährung verurteilt worden, blieb aber während des Verfahrens ohne Haftstrafe.

Nicht Teil dieser Quelle ist der ursprüngliche Hack von 2016 selbst, der von den hier nicht identischen Angreifern der Lapsus\$-Attacke 2022 zu unterscheiden ist. Ob Sullivan weitere Rechtsmittel wie eine Revision vor dem Supreme Court einlegte, ist nicht dokumentiert.

Das Landgericht Frankfurt verurteilte Samsung auf Klage der Verbraucherzentrale NRW. Samsung muss Käufer eines internetfähigen Smart-TV vor dem Kauf darauf hinweisen, dass beim Anschluss ans Internet personenbezogene Daten wie die IP-Adresse ohne vorherige Einwilligung übertragen werden können. Das Gericht untersagte zudem zahlreiche intransparente Klauseln in Samsungs AGB und Datenschutzerklärung.

Ein vollständiges Verbot der Datenerhebung ohne Einwilligung wurde vom Gericht nicht durchgesetzt, sondern nur eine Informationspflicht. Offen blieb, ob die Weitergabe der Daten an HbbTV-Betreiber und Samsungs Konzernmutter rechtmäßig war, da diese nicht Beklagte waren.

Im Juli 2022 legte ein iranischer, staatlich unterstützter Angreifer (bekannt als "HomeLand Justice") mit einem destruktiven Wiper-Angriff zahlreiche Webseiten und Dienste der albanischen Regierung lahm; die Angreifer waren laut CISA/FBI bereits seit rund 14 Monaten (mindestens seit Mai 2021) unbemerkt im Netzwerk aktiv. Als Reaktion brach Albanien im September 2022 die diplomatischen Beziehungen zum Iran ab; im September 2022 kam es zu einem zweiten Angriff auf das Grenz- und Migrationssystem TIMS.

Die Advisory dokumentiert primär den Juli-2022-Angriff; Details zum zweiten Angriff und zur genauen Menge exfiltrierter Daten stützen sich teils auf Angaben der albanischen Regierung selbst, die nicht unabhängig verifizierbar sind.

Der staatliche malaysische Nahverkehrsbetreiber Prasarana Malaysia Berhad wurde Opfer eines Ransomware-Angriffs; die Gruppe RansomHub veroeffentlichte am 25. August 2024 gestohlene Daten im Darknet, Berichten zufolge rund 316 GB an Unternehmensdaten. Der malaysische Personal Data Protection Commissioner ordnete eine offizielle Data-Breach-Notification an.

Die offizielle Behoerdenmitteilung nennt keinen genauen Umfang oder Typ der betroffenen personenbezogenen Daten; die Zahl von 316 GB stammt aus Sekundaerquellen, nicht aus der offiziellen Erklaerung selbst.

Der Abschlussbericht des UN-Expertengremiums zu Libyen dokumentiert systematische Umgehung des Waffenembargos sowie Treibstoffschmuggel und illegale Rohölexporte, mit denen bewaffnete Gruppen und Netzwerke Sanktionen unterliefen. Beschrieben werden konkrete Schiffsrouten, involvierte Firmenkonstrukte und Finanzflüsse.

Der Bericht beruht auf Ermittlungen eines UN-Gremiums mit begrenztem Vor-Ort-Zugang; nicht alle Vorwürfe führten zu strafrechtlichen Verurteilungen, viele Netzwerke blieben trotz Benennung aktiv.

Am 24. September 2024 verhaengte das US-Finanzministerium (OFAC) Sanktionen gegen fuenf kolumbianische Staatsangehoerige, die als Fuehrungsfiguren des Clan del Golfo identifiziert wurden, einer der groessten Drogenhandelsorganisationen Kolumbiens und zentraler Akteur bei Menschenschmuggel durch den Darién-Dschungel. Parallel wurden zwei in Mexiko ansaessige Unternehmen des Sinaloa-Kartells sanktioniert.

Die Pressemitteilung dokumentiert die Sanktionsliste, liefert aber keine oeffentlich einsehbaren Ermittlungsakten oder Gerichtsurteile; ob der Zugriff auf Vermoegen wirksam ist, bleibt aus der Quelle allein nicht nachvollziehbar.

Das US-Finanzministerium (OFAC) verhaengte am 5. September 2024 Sanktionen gegen fuehrende Mitglieder der venezolanischen Bande Tren de Aragua, darunter Hector Guerrero Flores alias "Niño Guerrero", wegen deren Rolle in grenzueberschreitender organisierter Kriminalitaet, Menschenhandel, Drogenschmuggel und damit verbundener Geldwaesche in Lateinamerika, einschliesslich Ecuador. Der Schritt erfolgte im Kontext der zunehmenden Praesenz der Gruppe in Ecuador, wo sie mit lokalen Banden wie Los Choneros kooperiert.

Die Pressemitteilung listet Sanktionsziele auf, liefert aber keine detaillierten Zahlen zu Geldwaesche-Volumina oder konkreten Transaktionen in Ecuador; die genaue finanzielle Verflechtung zwischen Tren de Aragua und Los Choneros bleibt oeffentlich nur bruchstueckhaft dokumentiert.

Das US-Finanzministerium verhaengte Sanktionen gegen Xizhi Li und ein chinesisches Geldwaeschenetzwerk, das Drogenkartellen in Mexiko half, Erloese aus dem Fentanyl-Handel in den USA zu waschen. Das Netzwerk nutzte chinesische Untergrundbanken, um Bargeld zu sammeln und ueber komplexe Transaktionsketten nach China und Mexiko zu transferieren.

Die Pressemitteilung liefert keine vollstaendigen Fallzahlen wie die genaue Gesamtsumme der gewaschenen Gelder; die Einordnung als chinesisches Netzwerk bezieht sich auf die Herkunft der Vermittler, nicht auf staatliche Beteiligung.

Das US-Finanzministerium sanktionierte im Rahmen des Global Magnitsky Act mehrere Personen im Zusammenhang mit dem MMPRC-Skandal, aus dem zwischen 2014 und 2018 unter Ex-Präsident Abdulla Yameen rund 90 Millionen US-Dollar veruntreut wurden. Gelder aus der Verpachtung von Inselresorts wurden über Briefkastenfirmen geschleust; Yameen wurde 2019 wegen Geldwäsche verurteilt, das Urteil spaeter aufgehoben und 2022 erneuert.

Die Pressemitteilung nennt nicht Yameen selbst als sanktionierte Einzelperson, sondern beteiligte Netzwerkakteure; der veruntreute Gesamtbetrag variiert je nach Quelle.

Die Europaeische Kommission nahm Bosnien und Herzegowina im Mai 2020 in die EU-Liste von Drittstaaten mit strategischen Maengeln bei der Bekaempfung von Geldwaesche auf. Grundlage war eine FATF-Bewertung, die unzureichende Aufsicht und Luecken bei der wirtschaftlichen Eigentuemertransparenz feststellte.

Die Quelle dokumentiert eine strukturelle Risikoeinstufung, nicht einen einzelnen aufgedeckten Geldwaeschefall mit konkreten Taetern und Gerichtsverfahren.

Das US-Justizministerium erhob Anklage gegen mehrere in China ansässige Chemieunternehmen wegen des Vertriebs von Fentanyl-Präkursorchemikalien an mexikanische Drogenkartelle, darunter das Sinaloa-Kartell. Die Firmen boten die Chemikalien offen über Online-Kataloge an und versandten sie unter falscher Deklaration.

Die Anklage dokumentiert Einzelfälle identifizierter Firmen, belegt aber nicht das Gesamtvolumen des Präkursorhandels; viele Beschuldigte befinden sich außerhalb US-Zugriffs.

OFAC verhängte im März 2024 Sanktionen gegen Präsident Emmerson Mnangagwa und den Geschäftsmann Kudakwashe Tagwirei wegen Korruption. Tagwirei gilt als zentrale Figur im staatlichen Goldsektor Zimbabwes über seine Verbindung zu Fidelity Printers and Refiners, das zugleich als Deckungsreserve für die goldgedeckte Währung ZiG dient.

Die Quelle belegt Sanktionen gegen Tagwirei und dessen Nähe zum Goldsektor, aber keine direkte Verbindung zwischen den Sanktionsumgehungen und der ZiG-Kryptowährung selbst.

Nach der venezolanischen Praesidentschaftswahl vom 28. Juli 2024, deren Ergebnis Nicolas Maduro trotz fehlender belastbarer Stimmenauszaehlung fuer sich beanspruchte, verhaengte OFAC Sanktionen gegen 16 mit dem Maduro-Regime verbundene Amtstraeger, darunter Mitglieder des Nationalen Wahlrats.

Die Pressemitteilung belegt keine forensische Auszaehlung der Wahlstimmen selbst; die Einschaetzung der Wahlmanipulation stuetzt sich auf Angaben der Opposition und externer Beobachter.

Zwischen 1999 und 2015 wurden hunderte britische Postmaster aufgrund fehlerhafter Buchhaltungsdaten der Horizon-IT-Software (Fujitsu) faelschlich wegen Diebstahls, Betrugs oder Falschbuchung verurteilt. Mit dem Post Office (Horizon System Offences) Act 2024 wurden die betroffenen Verurteilungen pauschal aufgehoben; Betroffene erhalten wahlweise eine feste Entschaedigungssumme von 600.000 Pfund ohne individuelle Pruefung.

Die genaue Zahl der letztlich ausgezahlten Faelle und Gesamtsummen aendert sich laufend, da mehrere parallele Entschaedigungsprogramme noch nicht abgeschlossen sind.

Die niederlaendische Datenschutzbehoerde verhaengte 2021 ein Bussgeld von 2,75 Millionen Euro gegen die Steuerbehoerde, weil beim Kinderbetreuungszuschuss (Toeslagenaffaire) jahrelang ein Risikoklassifizierungssystem betrieben wurde, das die doppelte Staatsangehoerigkeit als Risikofaktor nutzte. Etwa 26.000 Familien wurden faelschlich der Beihilfebetrug vorgeworfen; der Skandal fuehrte 2021 zum Ruecktritt der gesamten Regierung Rutte III.

Die genaue Zahl der betroffenen Familien und der finanzielle Gesamtschaden variieren je nach Quelle; die vollstaendige technische Funktionsweise des Algorithmus ist nur teilweise oeffentlich dokumentiert.

Der von Rene Benko gegruendete Immobilien- und Handelskonzern Signa meldete Ende November 2023 mit der Signa Holding Insolvenz an, weitere Konzerngesellschaften folgten. Die WKStA ermittelt seither gegen Benko und mehrere Ex-Manager wegen Untreue, betruegerischer Krida und schweren Betrugs; der geschaetzte Schaden wird auf teils bis rund 300 Mio. Euro beziffert. Benko wurde 2024 zeitweise in Untersuchungshaft genommen.

Es gilt die Unschuldsvermutung bis zu rechtskraeftigen Urteilen; die genaue Schadenshoehe und Verantwortung einzelner Beteiligter sind Gegenstand laufender Gerichtsverfahren in mehreren Laendern.

Der offizielle Abschlussbericht des Europaeischen Parlaments zum globalen Abhoersystem Echelon dokumentiert den Fall, wonach die NSA 1994 Kommunikation von Airbus im Rahmen eines Verhandlungspokers um einen Grossauftrag Saudi-Arabiens abgefangen und die Informationen an Boeing/McDonnell Douglas weitergegeben haben soll, der den Auftrag daraufhin gewann.

Der Bericht selbst raeumt ein, dass eine forensische, gerichtsfeste Beweisfuehrung fuer den konkreten Airbus-Fall nicht vorliegt; Frankreich hat den Fall nie strafrechtlich aufgearbeitet.