Quellen-Tabelle

WikiLeaks veröffentlichte ab dem 07.03.2017 unter dem Namen Vault 7 den ersten Teil Year Zero mit 8.761 Dokumenten aus einem isolierten Netzwerk der CIA-Abteilung Center for Cyber Intelligence. Bis November 2017 folgten insgesamt 26 weitere Teilveröffentlichungen. Die Unterlagen beschreiben CIA-Werkzeuge zum Eindringen in iPhones, Android-Geräte, Windows, Mac OS X, Linux-Rechner und Router sowie das Programm Weeping Angel, mit dem sich Samsung-Smart-TVs in versteckte Mikrofone verwandeln ließen. Ein Bundesgericht in Manhattan verurteilte den als Quelle identifizierten ehemaligen CIA-Softwareentwickler Joshua Schulte am 01.02.2024 zu 40 Jahren Haft.

Wie viele der beschriebenen Werkzeuge tatsächlich gegen reale Ziele eingesetzt wurden, ist nicht belegt. Schulte bestritt die Tat während des gesamten Verfahrens, im ersten Prozess 2020 konnte sich die Jury nicht einigen, erst ein zweiter Prozess endete 2022 mit einem Schuldspruch.

Elizabeth Holmes gründete 2003 die Bluttest-Firma Theranos und behauptete, mit einem tragbaren Gerät zahlreiche Labortests aus wenigen Tropfen Fingerblut durchführen zu können. Der Wall-Street-Journal-Reporter John Carreyrou deckte am 15.10.2015 auf, dass die Technologie nicht funktionierte und Theranos die meisten Tests heimlich auf Geräten anderer Hersteller durchführte. Die SEC klagte Holmes im März 2018 wegen massivem Betrug an. Ein Bundesgericht verurteilte Holmes am 03.01.2022 wegen Anlagebetrugs, Richter Edward Davila verhängte am 18.11.2022 eine Haftstrafe von 135 Monaten.

Die genaue Höhe des Anlegerschadens ist nicht einheitlich beziffert, die strafrechtliche Anklage stützte sich auf rund 140 Millionen Dollar, während die SEC von über 700 Millionen Dollar eingesammelten Investorengeldern spricht. Holmes bestritt im Prozess vorsätzlichen Betrug und legte Berufung ein.

Celsius-Network-Gründer Alexander Mashinsky wurde am 08.05.2025 zu 12 Jahren Haft und einer Vermögenseinziehung von rund 48,4 Millionen Dollar verurteilt. Er hatte sich im Dezember 2024 wegen Betrugs im Zusammenhang mit Warentermingeschäften und Kursmanipulation des Tokens CEL schuldig bekannt. Die Kryptoverleihplattform Celsius Network fror im Juni 2022 sämtliche Kundenauszahlungen ein und meldete am 13.07.2022 Insolvenz an, mit damals rund 5,5 Milliarden Dollar Verbindlichkeiten. Nach Angaben des Richters hatte Mashinsky mehr als 45 Millionen Dollar eingenommen.

Die genaue Gesamthöhe des Kundenschadens ist nicht einheitlich beziffert, Berichte nennen zwischen rund 4,7 und 5,5 Milliarden Dollar. Fünf der ursprünglich sieben Anklagepunkte gegen Mashinsky wurden im Rahmen der Absprache fallengelassen.

Der britische Banker Howard Wilkinson leitete von 2007 bis 2014 die Handelseinheit Danske Markets in der Baltikum-Region der Danske Bank. Ab 2013 meldete er intern insgesamt vier Warnungen über verdächtige Zahlungen estnischer Nichtansässiger, ohne dass die Bank Konsequenzen zog. Nach seinem Ausscheiden 2014 unterzeichnete er eine Verschwiegenheitsvereinbarung, ging aber dennoch an Ermittler und die Öffentlichkeit. Am 21.11.2018 sagte er vor dem Sonderausschuss TAX3 des Europäischen Parlaments aus. Für sein Engagement erhielt er 2020 den Allard Prize for International Integrity.

Ob Wilkinsons Meldungen bei korrekter Bearbeitung den vollen Umfang der später bekannten rund 200 Milliarden Euro an verdächtigen Zahlungen hätten verhindern können, ist nicht belegt. Ob Danske Bank aktiv versuchte, seine Hinweise zu unterdrücken, beruht primär auf seiner eigenen Aussage.

Am 21.09.2016 veröffentlichte das ICIJ zusammen mit der Süddeutschen Zeitung die Bahamas Leaks, basierend auf 1,3 Millionen internen Dateien aus dem Handelsregister der Bahamas mit Angaben zu 175.888 Gesellschaften und Trusts. Unter den erstmals genannten Direktoren war Neelie Kroes, ehemalige EU-Wettbewerbskommissarin, als Direktorin der Gesellschaft Mint Holdings Ltd. Kroes räumte diese Rolle ein, erklärte aber, sie habe sie nicht angeben müssen, da die Firma nie operativ geworden sei. Auch der frühere katarische Premierminister Hamad bin Jassim bin Jaber Al Thani tauchte in den Daten auf.

Nicht belegt ist, ob Kroes oder andere genannte Personen tatsächlich Steuern hinterzogen oder gegen Gesetze verstießen. Eine Offshore-Firma und eine Direktorenrolle sind für sich genommen nicht illegal. Die genaue Herkunft des Datenlecks wurde vom ICIJ nicht offengelegt.

Rudolf Elmer war ab 1994 Chefbuchhalter und ab 1999 operativer Leiter der Julius Baer Bank & Trust Company Ltd. auf den Kaimaninseln. Nach seiner Kündigung 2002 leitete er Kundendaten an Steuerbehörden, die Zeitschrift Cash und ab 2008 an WikiLeaks weiter, wo Daten zu rund 2000 Konten veröffentlicht wurden. Das Obergericht Zürich sprach ihn 2016 vollständig vom Vorwurf der Bankgeheimnisverletzung frei. Am 10.10.2018 bestätigte das Bundesgericht diesen Freispruch: Als Angestellter der auf den Kaimaninseln ansässigen Tochtergesellschaft habe Elmer nicht dem Schweizer Bankkundengeheimnis unterstanden.

Nicht Gegenstand des Urteils war, ob die von Elmer erhobenen Vorwürfe der Steuerhinterziehung gegen Julius-Baer-Kunden zutrafen. Die genaue Zahl der veröffentlichten Konten wird in Presseberichten uneinheitlich mit rund 1900 bis 2000 angegeben.

Der Bundesgerichtshof bestätigte am 20.09.2023 das Urteil des Landgerichts Bonn gegen den Steueranwalt Hanno Berger als Ideengeber und Strategieberater der Cum-Ex-Geschäfte des Bankhauses M.M. Warburg zwischen 2007 und 2011. Berger wurde wegen besonders schwerer Steuerhinterziehung zu acht Jahren Haft verurteilt, zusätzlich wurden rund 13,6 Millionen Euro seines Taterlöses eingezogen. Laut BGH erlangten die Beteiligten dadurch mehr als 275 Millionen Euro zu Unrecht erstattete, nie einbehaltene Kapitalertragsteuer. Das Urteil wurde damit rechtskräftig.

Der Gesamtschaden der Cum-Ex-Praktiken für den deutschen Staat ist nicht Teil dieser Entscheidung. Schätzungen schwanken von rund 10 bis fast 36 Milliarden Euro allein für Deutschland. Berger wurde in einem separaten zweiten Cum-Ex-Prozess vom Landgericht Wiesbaden zu weiteren acht Jahren und drei Monaten verurteilt, vom BGH erst 2024 bestätigt.

Die US-Finanzaufsichtsbehörde FinCEN stufte die lettische ABLV Bank am 13.02.2018 als Institution primärer Geldwäschebesorgnis ein. FinCEN warf der Bank vor, Geldwäsche institutionalisiert zu haben, den Diebstahl von über 1 Milliarde Dollar aus moldawischen Banken erleichtert und Transaktionen für mit Nordkoreas Waffenprogramm verbundene Akteure abgewickelt zu haben. Nach massiven Einlagenabzügen stufte die EZB ABLV am 23.02.2018 als ausfallend ein, die Aktionäre beschlossen am 26.02.2018 die freiwillige Liquidation. 2022 erhob die lettische Staatsanwaltschaft gegen acht ehemalige ABLV-Führungskräfte Anklage wegen Geldwäsche von rund 2,1 Milliarden Euro.

Der von FinCEN erhobene Bestechungsvorwurf gegen ABLV-Führungskräfte ist nicht gerichtlich bestätigt, die lettische Antikorruptionsbehörde KNAB fand später keine Beweise dafür. Der genaue Umfang der mit Nordkoreas Raketenprogramm verbundenen Transaktionen wurde nicht im Detail beziffert. Die 2022 erhobene Anklage war zum Zeitpunkt der Recherche ohne rechtskräftiges Urteil.

Die APAS stellte am 31.03.2023 fest, dass Ernst & Young (EY) bei den Prüfungen der Wirecard-Jahresabschlüsse 2016 bis 2018 gegen Berufspflichten verstoßen hat. Gegen fünf Wirtschaftsprüfer verhängte die APAS Geldbußen zwischen 23.000 und 300.000 Euro, gegen EY eine Geldbuße von 500.000 Euro sowie ein zweijähriges Verbot neuer Prüfungsmandate bei Unternehmen von öffentlichem Interesse. Parallel fordern geschädigte Anleger vor dem Landgericht München I Schadensersatz von EY, unter anderem eine Klage von mehr als 700 Millionen Euro. Das Bayerische Oberste Landesgericht entschied am 28.02.2025, dass die von EY erteilten Bestätigungsvermerke keine Kapitalmarktinformation im Sinne des KapMuG darstellen.

Ob und in welcher Höhe EY den geschädigten Anlegern zivilrechtlich haftet, ist nicht abschließend geklärt. Die Entscheidung vom 28.02.2025 hat den gebündelten Schadensersatzforderungen nur die prozessuale Grundlage im Musterverfahren entzogen, betroffene Anleger müssen seither einzeln klagen. Die tatsächliche Gesamtschadenshöhe ist umstritten.

Die ehemalige NSA-Vertragsangestellte Reality Winner druckte im Mai 2017 bei ihrem Arbeitgeber Pluribus International auf dem Militärstützpunkt Fort Gordon ein als geheim eingestuftes NSA-Dokument aus und schickte es anonym an das Onlinemedium The Intercept. Das Dokument beschrieb einen Cyberangriff des russischen Militärgeheimdienstes GRU auf einen Wahlsoftware-Anbieter in Florida sowie mehrere lokale Wahlbehörden kurz vor der Präsidentschaftswahl 2016. Das FBI verhaftete Winner am 03.06.2017. Sie bekannte sich am 26.06.2018 in einem Anklagepunkt nach dem Espionage Act schuldig und wurde am 23.08.2018 zu 63 Monaten Haft verurteilt, laut US-Justizministerium die längste je verhängte Strafe für die Weitergabe von Regierungsinformationen an Medien. Sie kam am 14.06.2021 vorzeitig frei.

Nicht offiziell bestätigt ist, auf welchem genauen Weg das FBI Winner als Quelle identifizierte. Vielfach berichtet wird eine Rolle gelber Mikropunkte im Druckerausdruck, eine offizielle behördliche Bestätigung dieser Rekonstruktion liegt jedoch nicht vor. Ob die Veröffentlichung tatsächlich laufende Ermittlungen gefährdete, wurde nie vor Gericht geprüft.

Amazons Tochterunternehmen Ring kündigte im Oktober 2025 eine technische Integration mit dem Überwachungsunternehmen Flock Safety an, die es Polizeibehörden ermöglicht hätte, gezielt Videomaterial von Ring-Nutzern anzufordern. Nach wochenlanger öffentlicher Kritik, unter anderem wegen Sorgen um einen möglichen Zugriff der Einwanderungsbehörde ICE auf die Flock-Infrastruktur, sagten beide Unternehmen die Integration am 12.02.2026 ab. Laut gemeinsamer Mitteilung ging die Integration nie live, es wurden keine Kundenvideos übermittelt. Das unabhängig fortbestehende, freiwillige Community-Requests-Programm erlaubt Ring-Nutzern weiterhin, Aufnahmen direkt mit lokaler Polizei zu teilen.

Wie viele Polizeibehörden die Flock-Integration im Vorfeld bereits getestet hatten, ist nicht belegt. Wie viele Videos über das Community-Requests-Programm insgesamt an Polizeibehörden gehen, veröffentlicht Ring nicht systematisch. Ob ICE über kooperierende Polizeibehörden künftig indirekten Zugriff auf Flock-Daten erhalten könnte, ist nicht ausgeschlossen.

Präsident Biden unterzeichnete am 27.03.2023 die Executive Order 14093, die US-Bundesbehörden den operativen Einsatz kommerzieller Spionagesoftware untersagt, wenn diese ein erhebliches Risiko für die nationale Sicherheit darstellt oder von ausländischen Regierungen zur gezielten Überwachung von Aktivisten, Journalisten oder Dissidenten missbraucht wurde. Die Anordnung erging rund eineinhalb Jahre nach Aufnahme der NSO Group in die Entity List des US-Handelsministeriums und reagierte explizit auf den dokumentierten Missbrauch von Pegasus.

Die Anordnung nennt keine einzelne Firma namentlich, sondern formuliert allgemeine Risikokriterien. Kritiker wie die Electronic Frontier Foundation bemängelten fehlende externe Kontrollmechanismen. Wie viele Behörden welche Spyware-Produkte vor und nach dem Erlass nutzten, wurde nicht vollständig öffentlich gemacht.

Das US-Justizministerium reichte am 02.08.2024 im Auftrag der FTC Klage gegen TikTok, ByteDance und verbundene Unternehmen ein. Die Klage wirft TikTok vor, seit mindestens 2019 wissentlich Millionen Kindern unter 13 Jahren die Nutzung der Plattform ermöglicht und dabei ohne elterliche Einwilligung nach COPPA Daten gesammelt zu haben, sowie gegen eine bestehende FTC-Vergleichsvereinbarung von 2019 verstoßen zu haben. Am 21.08.2026 einigten sich TikTok, ByteDance und das Justizministerium auf einen Vergleich über 400 Millionen US-Dollar.

Wie viele Kinderkonten unter 13 Jahren tatsächlich betroffen waren, ist nicht öffentlich beziffert. Die theoretisch mögliche Höchststrafe wurde nie ausgeurteilt, da der Fall durch einen deutlich niedrigeren Vergleich endete. TikTok und ByteDance mussten kein Fehlverhalten eingestehen.

Die Deutsche Telekom AG ließ 2005/2006 durch ihre Konzernsicherheitsabteilung heimlich Telefonverbindungsdaten von Aufsichtsratsmitgliedern, Journalisten und weiteren Personen erheben und von einer Detektei auswerten, um die Quelle vertraulicher Presseinformationen zu ermitteln. Öffentlich bekannt wurde die Affäre 2008. Das Landgericht Bonn verurteilte den zuständigen Ex-Leiter der Konzernsicherheit am 30.11.2010 zu drei Jahren und sechs Monaten Haft, der BGH bestätigte das Urteil am 10.10.2012 als rechtskräftig. Nach Medienberichten waren rund 60 Personen betroffen, darunter mehrere Vorstands- und Aufsichtsratsmitglieder.

Die genaue Zahl der Betroffenen schwankt zwischen 55 und rund 60 Personen, eine vollständige Opferliste wurde nie veröffentlicht. Die früheren Spitzenmanager Kai-Uwe Ricke und Klaus Zumwinkel wurden strafrechtlich nicht verurteilt, einigten sich aber zivilrechtlich auf Schadensersatz.

Im März 2008 deckte das Magazin Stern auf, dass Lidl Mitarbeiter in zahlreichen Filialen mit versteckten Kameras und beauftragten Detekteien überwachen ließ. Dokumentiert wurden Toilettengänge, vermutete Schwangerschaften und die private und gesundheitliche Situation von Beschäftigten. Zwölf Datenschutzbehörden ermittelten gemeinsam gegen 35 Lidl-Vertriebsgesellschaften und stellten bei 30 davon rechtswidrige Überwachung fest. Am 11.09.2008 verhängten die Behörden ein Gesamtbußgeld von 1.462.000 Euro, das bis dahin höchste in Deutschland verhängte Datenschutzbußgeld.

Wie viele Beschäftigte tatsächlich betroffen waren, ist nicht genau beziffert. Die einzelnen Bußgelder gegen die 35 Vertriebsgesellschaften reichten Presseberichten zufolge von 10.000 bis über 300.000 Euro, ohne vollständig übereinstimmende Einzelsummen. Lidl bestritt öffentlich gezielte Ausspähung und erklärte, Kameras seien vorrangig zur Diebstahlbekämpfung eingesetzt worden.

Die CNIL verhängte am 27.12.2023 ein Bußgeld von 32 Millionen Euro gegen Amazon France Logistique wegen übermäßig intrusiver Überwachung der Lagerbeschäftigten: Handscanner erfassten sekundengenau Leerlaufzeiten und zu schnelle Scanvorgänge, dazu kamen mangelhafte Informationspflichten. Der Conseil d'État reduzierte das Bußgeld am 23.12.2025 auf 15 Millionen Euro: Die Scanner-Leistungsindikatoren selbst erklärte das Gericht für rechtmäßig, bestätigte aber Verstöße gegen Datenminimierung durch 31-tägige Speicherung sowie Informations- und Sicherheitsmängel.

Amazon wies die CNIL-Feststellungen teilweise als sachlich falsch zurück, eine unabhängige Prüfung liegt nicht vor. Der Fall betrifft ausschließlich französische Amazon-Logistikzentren, ob identische Systeme in deutschen Lagern eingesetzt werden, ist nicht Teil dieser Entscheidung.

Das FBI verhaftete Ross Ulbricht am 01.10.2013 in San Francisco und schaltete am selben Tag den Darknet-Marktplatz Silk Road ab, den er seit 2011 unter dem Pseudonym Dread Pirate Roberts betrieben hatte. Über Tor und Bitcoin wurden dort anonymisiert Drogen gehandelt. Im Februar 2015 wurde Ulbricht in allen sieben Anklagepunkten schuldig gesprochen und im Mai 2015 zu lebenslanger Haft ohne Bewährung verurteilt. Am 21.01.2025 begnadigte US-Präsident Trump Ulbricht vollständig, nach über elf Jahren Haft.

Die tatsächliche Umsatzhöhe von Silk Road ist umstritten, die Anklageschrift bezifferte sie auf rund 1,2 Milliarden Dollar. Der Vorwurf, Ulbricht habe Auftragsmorde in Auftrag gegeben, wurde nie als eigenständiger Anklagepunkt verhandelt. Trumps politische Begründung für die Begnadigung ist keine gerichtlich festgestellte Tatsache.

Am 20.06.2017 übernahm die niederländische Polizei mit richterlicher Genehmigung heimlich die Server des Darknet-Marktplatzes Hansa Market, nachdem deutsche Behörden die mutmaßlichen Betreiber festgenommen hatten. Einen Monat lang betrieben die Ermittler die Plattform verdeckt als Honeypot weiter und protokollierten Nutzerdaten. Als das FBI Anfang Juli 2017 den Konkurrenzmarktplatz AlphaBay abschaltete, wechselten dessen Kunden unwissentlich zum bereits polizeikontrollierten Hansa Market. Am 20.07.2017 gaben Europol, FBI und niederländische Polizei die öffentliche Abschaltung bekannt, mindestens 10.000 Käuferadressen wurden an Europol übergeben.

Häufig genannte Zahlen zu erfassten Nutzerkonten und beschlagnahmten Bitcoin stammen aus Sekundärquellen und ließen sich nicht direkt in einer Europol-Pressemitteilung verifizieren. Wie viele der übergebenen Käuferadressen zu Anklagen führten, ist nicht dokumentiert.

Der BGH entschied am 13.03.2025, dass Ermittlungsbehörden den Finger eines Beschuldigten gegen dessen Willen auf den Fingerabdrucksensor eines Smartphones legen dürfen, um es zu entsperren, gestützt auf § 81b Abs. 1 StPO in Verbindung mit §§ 94 ff. StPO. Anlass war ein wegen Herstellens kinderpornografischer Inhalte verurteilter Erzieher, dessen Handy die Polizei zwangsweise entsperrte und dabei über 2.000 weitere Dateien fand. Der BGH stufte das erzwungene Auflegen des Fingers als duldungspflichtige Maßnahme ein und lehnte ein Beweisverwertungsverbot ab.

Nicht Gegenstand der Entscheidung war die erzwungene Entsperrung per Gesichtserkennung, Passwort oder PIN, dafür gilt weiterhin ein Mitwirkungsverbot. Wie oft Behörden seit dem Beschluss auf dieser Grundlage vorgegangen sind, ist nicht dokumentiert.

Die Gesellschaft für Freiheitsrechte reichte am 25.06.2024 mit sechs Beschwerdeführenden eine neue Verfassungsbeschwerde beim Bundesverfassungsgericht gegen das 2023 novellierte Hessische Polizeigesetz ein. Zu den Beschwerdeführenden zählen die Anwältin Seda Başay-Yıldız und der Regionalvorsitzende der Humanistischen Union Franz Josef Hanke, die bereits an der erfolgreichen Beschwerde von 2019 beteiligt waren, welche zum BVerfG-Urteil vom 16.02.2023 (Az. 1 BvR 1547/19) führte. Nach Ansicht der GFF erlaubt die Neuregelung weiterhin, Daten unbeteiligter Personen ohne konkreten Verdacht in die auf Palantirs System Gotham basierende Analysesoftware hessenDATA einzuspeisen, die seit über fünf Jahren im Regelbetrieb der hessischen Polizei eingesetzt wird.

Ob und wann das Bundesverfassungsgericht über diese zweite Verfassungsbeschwerde entscheidet, ist offen, das Verfahren war zum Zeitpunkt der Recherche noch anhängig. Ob die 2023er Neuregelung tatsächlich von den Vorgaben des ersten BVerfG-Urteils abweicht, ist bislang nur die Einschätzung der Beschwerdeführerseite, noch nicht gerichtlich geprüft.

Das Bundesverfassungsgericht erklärte am 10.11.2020 (Az. 1 BvR 3214/15) die erweiterte projektbezogene Datennutzung der Antiterrordatei nach § 6a Abs. 2 Satz 1 ATDG für verfassungswidrig und nichtig. Die 2015 eingeführte Vorschrift erlaubte Data Mining aus den gespeicherten Datensätzen. Das Gericht sah einen Verstoß gegen das Recht auf informationelle Selbstbestimmung, da keine hinreichend bestimmten Eingriffsschwellen wie ein verdichteter Tatverdacht vorgesehen waren. Es war die zweite höchstrichterliche Beanstandung der 2006 eingerichteten Antiterrordatei, nach dem bereits dokumentierten Grundsatzurteil von 2013.

Wie oft die erweiterte Datennutzung seit 2015 tatsächlich angewendet wurde, ist nicht dokumentiert. Anders als beim Urteil von 2013 mit Übergangsfrist erklärte das Gericht die Vorschrift 2020 sofort für nichtig.

Als Reaktion auf das bereits dokumentierte BVerfG-Urteil von 2016 verabschiedete der Bundestag am 27.04.2017 das Gesetz zur Neustrukturierung des BKA-Gesetzes, in Kraft seit 25.05.2018. Gegen die neuen Befugnisse zur Datenerhebung bei Kontaktpersonen reichten 2019 mehrere Betroffene mit Unterstützung der Gesellschaft für Freiheitsrechte Verfassungsbeschwerde ein. Am 01.10.2024 erklärte das BVerfG (Az. 1 BvR 1160/19) die Vorschriften zur Kontaktpersonenüberwachung sowie zur Datenspeicherung im polizeilichen Informationsverbund teilweise für unvereinbar mit dem Grundrecht auf informationelle Selbstbestimmung. Der Gesetzgeber musste die Vorschriften bis 31.07.2025 neu regeln.

Wer die Beschwerdeführer konkret sind, wird nur nach Beruf oder Gruppenzugehörigkeit benannt. Ob der Gesetzgeber die Neuregelung fristgerecht umsetzte, ist nicht Gegenstand dieser Quelle.

Am 20. und 21.03.2022 veröffentlichte die von Microsoft als DEV-0537 geführte Gruppe Lapsus$ Archive mit Quellcode aus über 250 internen Projekten, darunter rund 90 Prozent des Bing-Quellcodes sowie Teile von Bing Maps und Cortana. Microsoft bestätigte den Vorfall am 22.03.2022 und erklärte, es sei lediglich ein einzelnes Mitarbeiterkonto kompromittiert worden, Kundendaten seien nicht betroffen gewesen. Microsoft beschrieb die typische Vorgehensweise der Gruppe: Kauf gestohlener Zugangsdaten, SIM-Swapping, Anrufe bei Support-Helpdesks und Erzwingen von Multi-Faktor-Freigaben durch wiederholte Anmeldeanfragen.

Wie das Mitarbeiterkonto ursprünglich erbeutet wurde, hat Microsoft nicht öffentlich benannt. Die Zahlenangaben zu Archivgröße und Quellcodeanteilen stammen aus externen Auswertungen, nicht aus einer von Microsoft bestätigten Gesamtmenge. Eine strafrechtliche Verurteilung speziell für den Microsoft-Vorfall ist nicht dokumentiert.

Am 30.03.2024 bestätigte AT&T, dass ein Darknet-Datensatz mit rund 73 Millionen Datensätzen echte Kundendaten enthielt, betroffen waren rund 7,6 Millionen aktuelle und 65,4 Millionen ehemalige Kundenkonten aus dem Jahr 2019 oder früher. Erbeutet wurden Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie verschlüsselte vierstellige Konto-Passcodes. Nach einem Hinweis von TechCrunch, dass die Passcodes leicht entschlüsselbar waren, setzte AT&T diese für alle aktiven Kunden zurück.

Woher der Datensatz stammt, ob aus direktem Einbruch oder von einem Drittanbieter, war bis mindestens April 2024 ungeklärt. Ein separates, im Juli 2024 bekanntes Datenleck über den Cloud-Dienst Snowflake ist davon zu unterscheiden. Ein 2025 vorläufig genehmigter Sammelklagevergleich über 177 Millionen Dollar soll beide Vorfälle abdecken.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 27.07.2023 ein Bußgeld von 3,6 Millionen Won gegen OpenAI wegen verspäteter Meldung einer Datenpanne bei ChatGPT: Ein Fehler in der Open-Source-Bibliothek Redis machte am 20./21.03.2023 für rund neun Stunden Zahlungsdaten von ChatGPT-Plus-Abonnenten sichtbar, darunter Namen, E-Mail-Adressen und die letzten vier Ziffern von Kreditkarten. Die PIPC identifizierte anhand der IP-Adresse 687 betroffene Nutzer in Südkorea und beanstandete, dass OpenAI die Behörde nicht innerhalb der vorgeschriebenen 24 Stunden informiert hatte.

Wie viele ChatGPT-Nutzer weltweit betroffen waren, ist nicht dokumentiert. Die Zahl 687 bezieht sich nur auf per IP-Adresse identifizierte südkoreanische Nutzer. Nicht zu verwechseln mit der deutlich schärferen, zeitgleichen Reaktion der italienischen Behörde Garante auf denselben Vorfall.