Quellen-Tabelle

Der frühere CIA-Softwareentwickler Joshua Schulte wurde am 01.02.2024 zu 40 Jahren Haft verurteilt. Er hatte 2016 geheime Hacking-Tools und Cyberwaffen der CIA an WikiLeaks weitergegeben, die diese ab dem 07.03.2017 unter dem Namen Vault 7 veröffentlichte, laut CIA der größte Diebstahl geheimer Unterlagen in ihrer Geschichte mit rund 8.761 Dokumenten. Ein New Yorker Bundesgericht sprach Schulte im Juli 2022 in einem dritten Prozess schuldig, nachdem zwei vorherige Prozesse 2020 mit hängender Jury endeten. Zusätzlich wurde er wegen Besitzes kinderpornografischen Materials verurteilt.

Nicht öffentlich dokumentiert ist, welchen konkreten operativen Schaden die Vault-7-Veröffentlichung für laufende CIA-Operationen verursachte. Schulte bestritt die Tat durchgehend und bezeichnete sich als Opfer einer Verschwörung. Unklar bleibt, ob WikiLeaks vor der Veröffentlichung tatsächlich alle betroffenen Hersteller informierte, wie behauptet wurde.

Datatilsynet stellte fest, dass die Dating-App Grindr zwischen 2018 und 2020 persönliche Daten ihrer Nutzer, darunter Standortdaten und Angaben wie HIV-Status und PrEP-Einnahme, ohne gültige Rechtsgrundlage an Werbepartner weitergab. Am 13.12.2021 verhängte die Behörde eine endgültige Geldbuße von 65 Millionen norwegischen Kronen, rund 5,7 Millionen Euro, wegen fehlender wirksamer Einwilligung nach Artikel 6 und 9 DSGVO.

Nicht geklärt ist, wie viele der weltweit rund 12,5 Millionen täglichen Nutzer tatsächlich betroffen waren. Das ursprünglich angekündigte Bußgeld von 9,6 Millionen Euro wurde nach Anhörung auf 5,7 Millionen Euro reduziert, ohne dass die Berechnungsmethode vollständig transparent gemacht wurde. Ein norwegisches Berufungsgericht bestätigte die Buße erst 2025.

Sam Bankman-Fried, Gründer der Kryptobörse FTX und der Handelsfirma Alameda Research, wurde am 28.03.2024 zu 25 Jahren Haft verurteilt. Er hatte Kundengelder von FTX in Milliardenhöhe veruntreut, Investoren um mehr als 1,7 Milliarden US-Dollar betrogen und Kreditgeber von Alameda um mehr als 1,3 Milliarden US-Dollar geschädigt. Eine Jury befand ihn im November 2023 in allen sieben Anklagepunkten für schuldig. FTX war im November 2022 zusammengebrochen. Das Gericht ordnete eine Vermögenseinziehung von rund 11 Milliarden US-Dollar an.

Nicht abschließend geklärt ist die genaue Höhe des tatsächlichen Kundenschadens, da die Insolvenzverwaltung nach dem Zusammenbruch einen erheblichen Teil der Vermögenswerte durch Verkäufe wiederbeschaffte. Umstritten bleibt, welchen Anteil am Zusammenbruch strukturelle Schwächen der Kryptobranche insgesamt hatten gegenüber individuellem kriminellem Handeln.

Eine Jury befand Terraform Labs und Mitgründer Do Kwon am 05.04.2024 einstimmig des Wertpapierbetrugs für schuldig, im Zusammenhang mit dem Zusammenbruch des Stablecoins TerraUSD und des Tokens Luna im Mai 2022, bei dem das Terra-Ökosystem nach SEC-Angaben rund 40 Milliarden US-Dollar an Marktwert verlor. Am 12.06.2024 bestätigte das Gericht ein finales Urteil über 4,5 Milliarden US-Dollar, davon rund 3,59 Milliarden Gewinnabschöpfung. Kwon und Terraform Labs wurde dauerhaft der Handel mit Krypto-Wertpapieren untersagt.

Nicht abschließend geklärt ist, wie viel des zugesprochenen Betrags tatsächlich zurückerhalten wird, da Terraform Labs zum Urteilszeitpunkt bereits weitgehend zahlungsunfähig war. Offen bleibt der Ausgang paralleler strafrechtlicher Verfahren gegen Do Kwon in den USA und Südkorea sowie Fragen zu seiner Auslieferung.

Die NYDFS verhängte am 07.07.2020 eine Strafe von 150 Millionen US-Dollar gegen die Deutsche Bank wegen Compliance-Versäumnissen im Zusammenhang mit drei ehemaligen Kunden, darunter die estnische Niederlassung der Danske Bank. Die Deutsche Bank stufte Danske Estonia zwar mit höchster Risikokategorie ein, ergriff aber trotz interner Hinweise keine ausreichenden Maßnahmen, um zu verhindern, dass Milliarden Dollar verdächtiger Transaktionen über ihre New Yorker Konten flossen.

Die exakte Summe der über die Deutsche Bank abgewickelten verdächtigen Transaktionen wird in der NYDFS-Mitteilung nicht beziffert. Offen bleibt, in welchem Umfang einzelne Mitarbeiter vorsätzlich handelten oder es sich um systemische Kontrolldefizite handelte, da die Konsequenz eine zivilrechtliche Aufsichtsstrafe ohne strafrechtliche Anklage war.

Volkswagen erklärte sich am 28.06.2016 bereit, bis zu 14,7 Milliarden US-Dollar zu zahlen, um Vorwürfe wegen manipulierter Abgastests bei rund 500.000 Dieselfahrzeugen beizulegen. VW hatte eine Software eingebaut, die den Prüfstandstest erkannte und nur dann die volle Abgasreinigung aktivierte. Im Januar 2017 bekannte sich VW zusätzlich in einem Strafverfahren schuldig und zahlte weitere 4,3 Milliarden Dollar. Der ehemalige VW-Manager Oliver Schmidt wurde am 06.12.2017 zu sieben Jahren Haft verurteilt.

Nicht öffentlich dokumentiert ist, wer innerhalb der VW-Konzernspitze in Wolfsburg wann genau von der Manipulation wusste, die eigentliche Konzernführung wurde strafrechtlich nicht zur Verantwortung gezogen. Die Gesamtzahl weltweit betroffener Fahrzeuge von rund 11 Millionen stammt aus VW-eigenen Angaben, nicht unabhängig verifiziert.

Am 21.11.2023 bekannte sich Binance Holdings Limited vor einem US-Bundesgericht in drei Anklagepunkten schuldig, darunter Verstoß gegen den Bank Secrecy Act. Das Unternehmen einigte sich auf Zahlungen von über 4,3 Milliarden US-Dollar. Gründer und CEO Changpeng Zhao bekannte sich ebenfalls persönlich schuldig und trat zurück. Laut DOJ ermöglichte Binance über fünf Jahre Transaktionen von Nutzern aus sanktionierten Ländern mit Verbindungen zu Hamas und dem Islamischen Staat, Gesamtvolumen fast eine Milliarde US-Dollar.

Der exakte Gesamtbetrag der finanziellen Belastung ist nicht abschließend geklärt, da neben der DOJ-Zahlung zusätzliche Summen an FinCEN und OFAC vereinbart wurden. Die Zahl von fast einer Milliarde Dollar an Transaktionen mit Bezug zu sanktionierten Akteuren stammt aus der DOJ-Darstellung, nicht aus einem unabhängigen Gerichtsurteil.

Am 15.06.2002 sprach eine Jury in Houston die Wirtschaftsprüfungsgesellschaft Arthur Andersen der Behinderung der Justiz schuldig, weil Mitarbeiter im Herbst 2001 systematisch Dokumente zur Enron-Prüfung vernichtet hatten. Enron hatte durch Zweckgesellschaften Verluste außerhalb der Bilanz verborgen und meldete am 02.12.2001 Insolvenz an, damals die größte Unternehmensinsolvenz der US-Geschichte. Infolge der Verurteilung durfte Andersen ab dem 31.08.2002 nicht mehr vor der SEC praktizieren und stellte den Geschäftsbetrieb ein, rund 85.000 Arbeitsplätze weltweit waren betroffen.

Der Oberste Gerichtshof hob das Urteil gegen Arthur Andersen 2005 wegen fehlerhafter Jury-Anweisungen wieder auf, ohne dass es zu einer erneuten Verfolgung kam, da die Firma bereits nicht mehr existierte. Unklar bleibt, in welchem Umfang einzelne Andersen-Partner außerhalb von Houston von der Aktenvernichtung wussten.

Am 18.02.2019 erließ die BaFin ein Verbot von Netto-Leerverkaufspositionen in Wirecard-Aktien bis zum 18.04.2019. Die Maßnahme folgte auf Financial-Times-Berichte vom 30.01.2019 über mögliche Bilanzmanipulationen bei einer Wirecard-Tochter in Singapur. Die Münchner Staatsanwaltschaft ermittelte zudem wegen Marktmanipulation gegen die FT-Journalisten und gegen Leerverkaufshändler. Sechzehn Monate später meldete Wirecard Insolvenz an, nachdem 1,9 Milliarden Euro auf angeblichen Treuhandkonten auf den Philippinen nicht auffindbar waren.

Die gegen die FT-Journalisten eingeleiteten Ermittlungen wurden später eingestellt, ohne dass eine Straftat nachgewiesen wurde. Umstritten und Gegenstand eines späteren Bundestags-Untersuchungsausschusses blieb, ob die BaFin durch Verbot und Anzeigen berechtigte Kritik unterdrückte. Feste Schadensersatzsummen gegenüber der BaFin wurden von deutschen Gerichten in mehreren Verfahren abgelehnt.

Seit dem Jahreswechsel 2022/2023 kam es bei Postbank und DSL Bank, beides Marken der Deutschen Bank, zu erheblichen Beeinträchtigungen infolge einer IT-Migration von rund vier Millionen Kundenverträgen. Betroffen waren Online-Banking, telefonische Erreichbarkeit sowie die Bearbeitung von Pfändungs- und Nachlassangelegenheiten. Die BaFin bestellte am 29.09.2023 einen Sonderbeauftragten zur Überwachung der Behebung der Serviceeinschränkungen. Besonders schwerwiegend waren laut BaFin die Auswirkungen auf Pfändungsschutzkonten.

Die eigentliche technische IT-Migration erfolgte erst zum Jahreswechsel 2022/2023, nicht 2018/2019 wie teils kolportiert, obwohl die rechtliche Fusion von Postbank und Deutsche-Bank-Privatkundensparte bereits 2018 stattfand. Offen bleiben die genaue Zahl betroffener Kunden und der Zeitpunkt, zu dem die BaFin die Serviceeinschränkungen als vollständig behoben ansah.

Am 07.07.2020 verhängte die NYDFS gegen die Deutsche Bank eine Geldbuße von insgesamt 150 Millionen US-Dollar wegen Verstößen im Zusammenhang mit den Geschäftsbeziehungen zu Danske Banks Estland-Filiale, zu Jeffrey Epstein und zur FBME Bank, davon 75 Millionen US-Dollar auf die Beziehung zu Epstein. Die Bank hatte Epstein trotz Einstufung als Hochrisikokunde von August 2013 bis Dezember 2018 als Kunden geführt, ohne die verstärkte Sorgfaltsprüfung angemessen auf sein Risikoprofil zuzuschneiden. Der Beschluss dokumentiert zahlreiche verdächtige Überweisungen Epsteins an mutmaßliche Mitverschwörer.

Der Beschluss betrifft ausschließlich aufsichtsrechtliche Sorgfaltspflichtverletzungen, keine strafrechtliche Verantwortung von Deutsche-Bank-Mitarbeitern. Offen bleibt, welche konkreten internen Entscheidungsträger die Kundenbeziehung trotz bekannter Vorstrafe Epsteins genehmigten. Ob mit den transferierten Geldern tatsächlich weiterer Menschenhandel finanziert wurde, ist nicht abschließend gerichtlich festgestellt.

Die FTC gab im Oktober 2018 einem erweiterten Vergleich mit Uber statt, nachdem Uber eine im November 2016 erfolgte Datenpanne mehr als ein Jahr verschwiegen hatte, während die Behörde bereits eine Untersuchung führte. Betroffen waren mehr als 25 Millionen Namen und E-Mail-Adressen sowie 600.000 Führerscheinnummern US-amerikanischer Fahrer. Uber zahlte den Angreifern über sein Bug-Bounty-Programm 100.000 US-Dollar. Der finale Beschluss verpflichtet Uber zu einem 20-jährigen Datenschutzprogramm mit regelmäßigen unabhängigen Prüfungen.

Nicht Teil dieser FTC-Entscheidung ist der separate Strafprozess gegen den ehemaligen Uber-Sicherheitschef Joseph Sullivan, der 2022 gesondert mit einem Schuldspruch endete. Offen bleibt, in welchem Umfang die vorgeschriebenen Prüfungen seit 2018 tatsächlich durchgeführt und veröffentlicht wurden.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Firmen NSO Group und Candiru auf die Entity List. Grundlage war die Feststellung, dass beide Firmen Spyware entwickelten und an ausländische Regierungen lieferten, die damit gezielt Regierungsbeamte, Journalisten und Aktivisten überwachten. Die Aufnahme beschränkt den Export von US-Technologie an die betroffenen Firmen ohne behördliche Sondergenehmigung.

Nicht dokumentiert ist, welche konkreten Staaten die Spyware im Einzelfall einsetzten. Offen bleibt, wie wirksam die Eintragung die tatsächliche Verbreitung der Spyware einschränkte, da NSO Group außerhalb der USA operiert.

Digitalcourage reichte im Oktober 2022 Klage gegen die Deutsche Bahn beim Landgericht Frankfurt ein. Der Vorwurf: Die App DB Navigator übertrage personenbezogene Nutzerdaten an Drittanbieter wie Google und Adobe, auch bei eingeschränkten Cookie-Einstellungen. Am ersten Verhandlungstag am 19.05.2025 äußerte sich das Gericht kritisch gegenüber dem Argument der Bahn, die Tracker seien unverzichtbar.

Ein rechtskräftiges Urteil lag zum Recherchezeitpunkt nicht vor. Es handelt sich nicht um ein klassisches Datenleck, sondern um eine zivilrechtliche Auseinandersetzung über die Zulässigkeit von Datenübermittlungen. Die genaue Anzahl betroffener Nutzer ist nicht abschließend beziffert.

Die niederländische Datenschutzbehörde verhängte am 11.12.2023 eine Geldbuße von 10 Millionen Euro gegen Uber wegen Verstößen gegen Artikel 12, 13 und 15 DSGVO, weil Uber Fahrer nicht ausreichend über Speicherdauer und Übermittlung ihrer Daten außerhalb Europas informierte. Zudem war das Verfahren zur Ausübung der Betroffenenrechte unzumutbar kompliziert. Auslöser war eine Beschwerde im Namen von rund 170 französischen Uber-Fahrern.

Diese Buße betraf primär mangelnde Transparenz, nicht die eigentliche Rechtmäßigkeit der Datenübermittlung in die USA. Die tatsächliche Strafe wegen unzureichend abgesicherter Datenübermittlung war eine separate, deutlich spätere Buße von 290 Millionen Euro im August 2024. Ob Uber gegen die 10-Millionen-Euro-Buße erfolgreich Einspruch erhoben hat, war zum Recherchezeitpunkt nicht geklärt.

Am 27.06.2017 verbreitete sich die Schadsoftware NotPetya über ein manipuliertes Update der ukrainischen Buchhaltungssoftware M.E.Doc und infizierte binnen Stunden Organisationen in mehr als 60 Ländern. CISA veröffentlichte die Warnung TA17-181A und beschrieb zwei Verbreitungswege: Diebstahl von Windows-Zugangsdaten mittels modifizierter Mimikatz-Version sowie Ausnutzung der SMBv1-Schwachstelle EternalBlue. Betroffen waren unter anderem Maersk und Merck. Die US-Regierung ordnete NotPetya später öffentlich dem russischen Militär zu.

Die kursierende Schadenssumme von über 10 Milliarden US-Dollar stammt aus späteren Einordnungen des Weißen Hauses, nicht aus einer verifizierten behördlichen Gesamtrechnung. Offen bleibt, ob NotPetya von Anfang an als reines Zerstörungswerkzeug ohne echte Entschlüsselungsoption konzipiert war. Die Attribution an Russland basiert auf Erklärungen westlicher Regierungen von 2018, nicht auf einem Beweis in dieser CISA-Warnung selbst.

Am 14.11.2022 einigte sich Google mit 40 US-Generalstaatsanwälten auf einen Vergleich über 391,5 Millionen US-Dollar wegen irreführender Standortverfolgung. Die Untersuchung ergab, dass Google zwischen 2014 und 2020 Nutzer im Unklaren ließ, dass das Deaktivieren des Standortverlaufs die Standorterfassung nicht vollständig stoppte, da über die separate Einstellung Web und App Aktivität weiter Daten gesammelt wurden. Die Behörden bezeichneten es als größten mehrstaatlichen Datenschutzvergleich der US-Geschichte.

Der Vergleich stellt keine gerichtliche Feststellung eines Rechtsverstoßes dar, Google bestreitet weiterhin Fehlverhalten. Offen bleibt, in welchem Umfang die Summe einzelnen Nutzern zugutekam, da sie an die Bundesstaaten floss, nicht als direkte Entschädigung an Verbraucher.

Die FCC beschloss am 25.11.2022 neue Regeln, die Überwachungskameras der chinesischen Hersteller Hikvision und Dahua sowie Geräte von Huawei, ZTE und Hytera von neuen Zulassungen ausschließen, gestützt auf den Secure Equipment Act of 2021. Ohne FCC-Zertifizierung dürfen betroffene Geräte nicht mehr importiert werden. Im April 2024 bestätigte ein US-Berufungsgericht das Verbot, nachdem die Hersteller dagegen geklagt hatten.

Nicht dokumentiert ist ein konkreter Einzelfall, in dem eine Kamera nachweislich Daten an chinesische Behörden übermittelt hat, die FCC-Begründung stützt sich auf eine allgemeine Sicherheitsbewertung. Offen bleibt, wie viele bereits installierte Altgeräte weiterhin in Betrieb sind, da das Verbot nur Neuzulassungen betrifft.

Das OPM gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff die Daten von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller einer Sicherheitsüberprüfung. Erbeutet wurden Sozialversicherungsnummern, Gesundheits-, Finanz- und Strafregisterdaten, 1,1 Millionen Datensätze enthielten zusätzlich Fingerabdrücke. Die Angreifer waren zwischen Juni 2014 und Januar 2015 im Netzwerk aktiv. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 zurück.

Nicht gerichtsfest bewiesen ist die Urheberschaft, US-Behörden verwiesen wiederholt auf chinesische Akteure, China bestreitet dies. Unklar bleibt, ob die gestohlenen Daten tatsächlich für Spionage genutzt wurden. Die Gesamtzahl der Betroffenen wurde im Verlauf mehrfach nach oben korrigiert.

Angreifer verschafften sich ab dem 02.12.2014 durch eine Phishing-Mail Zugriff auf die IT-Systeme von Anthem und blieben bis zum 27.01.2015 unentdeckt. Betroffen waren die Gesundheitsdaten von rund 78,8 Millionen Personen, der bis dahin größte bekannte Datendiebstahl im US-Gesundheitswesen. Am 15.10.2018 einigten sich Anthem und HHS OCR auf eine Zahlung von 16 Millionen US-Dollar, die bis dahin höchste HIPAA-Vergleichszahlung.

Nicht dokumentiert ist, welche konkrete Gruppe hinter dem Angriff stand, Medienberichte brachten den Fall mit chinesischen Akteuren in Verbindung, eine formelle Anklage erfolgte erst Jahre später. Unklar bleibt, in welchem Umfang die gestohlenen Daten tatsächlich missbraucht wurden.

Der Bundesrechnungshof veröffentlichte am 13.10.2020 einen Bericht, wonach Zoll, Steuerbehörden und Deutsche Rentenversicherung bei der Bekämpfung von Schwarzarbeit nicht ausreichend elektronisch zusammenarbeiten, Informationen wurden teils per Speichermedium oder Papierform ausgetauscht. Die Zollbehörden dokumentierten für 2019 einen Schwarzarbeitsschaden von 750 Millionen Euro. Der Rechnungshof forderte eine gemeinsame Datenbank.

Nicht dokumentiert ist ein Einzelfall von rechtswidrigem Datenabgleich. Der Bericht kritisiert primär organisatorische Ineffizienz, nicht einen Datenschutzskandal im engeren Sinne. Offen bleibt, ob die geforderte gemeinsame Datenbank seither umgesetzt wurde.

Die FTC gab am 29.11.2011 bekannt, sich mit Facebook auf einen Vergleich wegen acht Anklagepunkten irreführender Datenschutzpraktiken geeinigt zu haben, insbesondere im Zuge der Änderungen der Privatsphäre-Einstellungen im Dezember 2009. Die endgültige Konsent Order wurde am 10.08.2012 bestätigt. Facebook verpflichtete sich zu einer 20-jährigen Aufsichtsperiode mit zweijährlichen unabhängigen Datenschutzaudits, eine der ersten großen föderalen Datenschutz-Konsent-Orders vor dem Cambridge-Analytica-Skandal 2018.

Die Vereinbarung sah keine Geldstrafe vor, sondern Verhaltensauflagen. Erst die spätere FTC-Untersuchung im Zusammenhang mit Cambridge Analytica führte 2019 zu einer Rekordstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen genau diese Order. Umstritten ist, ob die Auflagen in der Praxis wirksam durchgesetzt wurden.

Die Schweizer Bank Julius Baer gab in einem Deferred Prosecution Agreement zu, zwischen Februar 2013 und Mai 2015 Gelder aus Bestechungszahlungen im FIFA-Korruptionsskandal transferiert zu haben, und zahlte über 79 Millionen US-Dollar. Parallel stellte die FINMA fest, dass Julius Baer zwischen 2009 und Anfang 2018 systematisch gegen Sorgfaltspflichten verstoßen hatte, unter anderem im Zusammenhang mit PDVSA und FIFA. Fast alle 70 geprüften Geschäftsbeziehungen wiesen Unregelmäßigkeiten auf.

Nicht dokumentiert ist, welche konkreten Bankmitarbeiter individuell strafrechtlich verfolgt wurden. Die FINMA-Untersuchung war auf eine Stichprobe von rund 70 Geschäftsbeziehungen begrenzt, keine vollständige Durchleuchtung aller Kundenbeziehungen.

Nach der Veröffentlichung der Panama Papers ließ Nordea seine Luxemburger Einheit und Teile des Nordic Private Banking intern untersuchen: 137 Offshore-Strukturen mit rund 216 Millionen Euro verwaltetem Vermögen, Zeitraum 2010 bis 2016. Rund 60 Mitarbeiter prüften über 10.000 Dokumente. Nordea blockierte 68 Kundenakten, überwiegend aus der Zeit vor 2013, für vertiefte Prüfung.

Laut Nordeas eigener Untersuchung ist nicht bewiesen, dass Mitarbeiter aktiv Offshore-Strukturen initiierten. In wie vielen der 68 markierten Fälle tatsächlich Steuerhinterziehung festgestellt wurde, ist nicht veröffentlicht. Die spätere NYDFS-Buße von 2020 betraf einen separaten, späteren Komplex.

Societe Generale einigte sich im Juni 2018 mit DOJ, SEC und der französischen Finanzstaatsanwaltschaft auf Strafzahlungen wegen Bestechung libyscher Amtsträger. Zwischen 2004 und 2009 zahlte die Bank rund 90 Millionen US-Dollar an einen Vermittler mit Verbindungen zum Gaddafi-Regime, um Investmentgeschäfte im Volumen von rund 3,66 Milliarden US-Dollar zu erhalten. Die Gesamtstrafzahlungen für Libyen- und einen parallelen Libor-Fall summierten sich auf über 860 Millionen US-Dollar.

Nicht dokumentiert ist, welche konkreten libyschen Amtsträger die Bestechungsgelder tatsächlich erhielten. Die Aufteilung zwischen Libyen-Komplex und Libor-Fall wird in verschiedenen Quellen leicht unterschiedlich beziffert. Ob einzelne Bankmitarbeiter strafrechtlich individuell verfolgt wurden, bleibt offen.