Quellen-Tabelle

In der Nacht zum 15.10.2021 verschlüsselte die Ransomware DeepBlueMagic Server des kommunalen IT-Dienstleisters Kommunalservice Mecklenburg. Betroffen waren die Verwaltungen der Landeshauptstadt Schwerin und des Landkreises Ludwigslust-Parchim, deren gesamte IT-Infrastruktur heruntergefahren wurde. Bürgerbüros und Kfz-Zulassungsstellen blieben tagelang geschlossen. Die vollständige Wiederherstellung zog sich bis mindestens Januar 2022 hin.

Ob vor der Verschlüsselung Daten abgeflossen sind, ist nicht abschließend geklärt. Die Täterzuordnung bleibt unsicher, Sicherheitsforscher vermuteten eine Herkunft aus China, ohne dass eine Gruppe rechtskräftig identifiziert wurde.

Der italienische Energiekonzern Enel Group wurde 2020 zweimal von unterschiedlicher Ransomware getroffen. Am 07.06.2020 entdeckte Enel einen Angriff mit der Ransomware Snake/EKANS und erklärte, es sei zu keiner erfolgreichen Verschlüsselung gekommen. Ende Oktober 2020 wurde Enel von der Gruppe Netwalker ein zweites Mal angegriffen, die eine Lösegeldforderung von 14 Millionen US-Dollar stellte und behauptete, rund 5 Terabyte Firmendaten entwendet zu haben. Sicherheitsforscher führten beide Angriffe auf ungesicherte Remote-Desktop-Zugänge zurück.

Ob Enel tatsächlich Lösegeld gezahlt hat, ist nicht öffentlich belegt. Die Angabe von 5 Terabyte gestohlener Daten stammt allein von der Erpressergruppe selbst und wurde von Enel weder bestätigt noch widerlegt.

Am Wochenende vor dem 29.12.2018 legte ein Ransomwareangriff mit der Schadsoftware Ryuk die Produktions- und Drucksysteme des US-Medienkonzerns Tribune Publishing lahm. Betroffen waren Chicago Tribune, Baltimore Sun und weitere Tribune-Titel sowie über geteilte Drucksysteme auch Los Angeles Times und San Diego Union-Tribune. Abonnenten erhielten verspätete oder gekürzte Wochenendausgaben. Nach Unternehmensangaben wurden Kundendaten nicht kompromittiert, die Malware sei von außerhalb der USA eingeschleust worden.

Eine offizielle Täterzuordnung liegt nicht vor. Sicherheitsfirmen stellten Code-Ähnlichkeiten zur Malware Hermes fest und brachten den Angriff spekulativ mit der nordkoreanischen Gruppe Lazarus in Verbindung, ohne behördliche Bestätigung. Ob eine Lösegeldforderung gestellt oder gezahlt wurde, ist nicht dokumentiert.

Peiter Mudge Zatko war von November 2020 bis Januar 2022 Sicherheitschef bei Twitter, bevor ihn CEO Parag Agrawal entließ. Im Juli 2022 reichte er eine rund 200-seitige Beschwerde bei SEC, FTC und Justizministerium ein, die im August 2022 öffentlich wurde. Am 13.09.2022 sagte er vor dem Justizausschuss des US-Senats aus und warf der Twitter-Führung vor, Öffentlichkeit und Aufsichtsbehörden über Sicherheitsmängel getäuscht zu haben. Laut Zatko hatten Ingenieure weitreichenden, nicht nachvollziehbaren Zugriff auf Nutzerdaten, und mindestens ein Agent des chinesischen Ministeriums für Staatssicherheit sei bei Twitter beschäftigt gewesen.

Twitter wies die Vorwürfe als lückenhaft zurück. Für einen Großteil der Behauptungen blieb Zatko laut Medienberichten Belege schuldig. Ob ausländische Agenten tatsächlich auf Nutzerdaten zugriffen, ist nicht unabhängig bestätigt.

Richter Alexandre de Moraes ordnete am 30.08.2024 die landesweite Sperrung von X in Brasilien an, nachdem der Konzern eine Frist zur Benennung eines gesetzlich vorgeschriebenen Rechtsvertreters verstreichen ließ. X hatte am 17.08.2024 sein Büro in Brasilien geschlossen. Rund 40 Millionen Brasilianer nutzten X monatlich. Die vom 30.08. bis 08.10.2024 dauernde Sperre wurde aufgehoben, nachdem X einen Vertreter benannt und ausstehende Bußgelder von rund 5,2 Millionen Dollar bezahlt hatte.

Wie viele Nutzer die Sperre per VPN umgingen, ist nicht dokumentiert. Ob Moraes als Einzelrichter ohne vorherige Plenumsanhörung befugt war, die Sperre anzuordnen, blieb unter brasilianischen Juristen umstritten. Musks Vorwurf illegaler Zensur ist eine politische Bewertung ohne gerichtliche Feststellung.

Der Hacker USDoD bot im April 2024 den Verkauf von angeblich 2,9 Milliarden Datensätzen aus der US-Hintergrundprüfungsfirma National Public Data an, darunter Namen, Adressen und Sozialversicherungsnummern. Am 06.08.2024 veröffentlichte er rund 2,7 Milliarden Datensätze kostenlos, Sicherheitsforscher zählten darin etwa 272 Millionen eindeutige Sozialversicherungsnummern. National Public Data meldete den Behörden in Maine jedoch nur 1,3 Millionen betroffene Personen. Die Muttergesellschaft Jerico Pictures meldete am 02.10.2024 Insolvenz an, unter Verweis auf mehr als 20 Sammelklagen und FTC-Ermittlungen.

Die Milliardenzahl stammt vom Angreifer selbst, nicht aus geprüfter Unternehmensbestätigung. Die Datensätze enthalten laut Analysen zahlreiche Duplikate und Einträge Verstorbener. Die Diskrepanz zur gemeldeten Zahl von 1,3 Millionen wurde öffentlich nie aufgelöst.

Am 03.06.2024 griff die Ransomware-Gruppe Qilin den Labordienstleister Synnovis an, der Bluttests für NHS-Krankenhäuser in Südost-London durchführt. Der Angriff führte zu über 10.000 abgesagten Terminen und rund 1.700 verschobenen Operationen sowie einem Engpass bei Blutkonserven. Am 25.06.2025 bestätigte das King's College Hospital, dass eine verzögerte Bluttest-Auswertung ein Faktor beim Tod eines Patienten war, der erste bestätigte Todesfall im Zusammenhang mit einem Ransomware-Angriff in Großbritannien. Qilin veröffentlichte zudem Patientendaten von mehr als 900.000 Personen.

Die Identität des verstorbenen Patienten sowie die vollständige Liste der beitragenden Faktoren wurden aus Datenschutzgründen nicht veröffentlicht. Ein förmliches Coroner-Verfahren mit bindender Todesursachenfeststellung liegt bislang nicht vor. Die Zahl von über 900.000 Betroffenen gilt laut NHS England als vorläufige Schätzung.

Der Lieferketten-Softwareanbieter Blue Yonder meldete am 21.11.2024 einen Ransomwareangriff auf seine gehostete Managed-Services-Umgebung. Betroffen waren Starbucks, dessen rund 11.000 nordamerikanische Filialen auf Stift und Papier für Dienstplanung zurückgriffen, sowie die britischen Supermarktketten Morrisons und Sainsbury's. Die Erpressergruppe Termite bekannte sich zu dem Angriff und behauptete, rund 680 GB Daten erbeutet zu haben, darunter über 16.000 E-Mail-Adressen und mehr als 200.000 Dokumente. Blue Yonder meldete Anfang Dezember 2024 Fortschritte bei der Wiederherstellung.

Die von Termite behauptete Datenmenge ist nicht unabhängig verifiziert, Blue Yonder bestätigte weder Umfang noch Art der Daten offiziell. Morrisons erklärte, das eigene Netzwerk sei nicht kompromittiert gewesen. Ob ein Lösegeld gezahlt wurde, ist nicht bekannt.

Halliburton wurde am 21.08.2024 Opfer eines Cyberangriffs, woraufhin das Unternehmen vorsorglich mehrere IT-Systeme abschaltete. Es meldete den Vorfall am 23.08.2024 bei der SEC. Technische Analysen einer gefundenen Schadsoftware ordneten den Angriff der seit Februar 2024 aktiven Gruppe RansomHub zu. Bei der Quartalsergebnispräsentation am 08.11.2024 bezifferte Halliburton die Kosten auf rund 35 Millionen Dollar, Rechnungsstellung und Zahlungseinzug waren zeitweise gestört.

Der Erstzugriffsweg und eine etwaige Lösegeldzahlung sind nicht öffentlich bestätigt. Halliburton nennt in seinen SEC-Meldungen weder die Tätergruppe noch das Wort Ransomware. Die 35-Millionen-Dollar-Angabe deckt nur im dritten Quartal 2024 verbuchte Kosten ab.

Der texanische Attorney General Ken Paxton reichte am 20.10.2022 Klage gegen Google ein, gestützt auf den Texas Capture or Use of Biometric Identifier Act (CUBI) von 2009. Die Klage wirft Google vor, seit mindestens 2015 ohne ausreichende Einwilligung biometrische Identifikatoren wie Gesichtsgeometrie und Stimmabdrücke erfasst zu haben, unter anderem über Google Photos und Google Assistant. Am 09.05.2025 einigten sich Texas und Google auf eine Zahlung von 1,375 Milliarden Dollar, die auch parallele Klagen zu Standortverfolgung und Chrome-Inkognito-Daten abdeckte.

Wie viele Texaner konkret betroffen waren, ist nicht beziffert. Welcher Anteil des Vergleichsbetrags auf die biometrischen Vorwürfe entfällt, wurde nicht veröffentlicht. Google erkannte kein Fehlverhalten an, eine gerichtliche Klärung in der Sache fand nicht statt.

Am 01.03.2024 ging eine Bitcoin-Zahlung von rund 22 Millionen Dollar an eine Wallet der Gruppe ALPHV/BlackCat, ausgelöst durch deren Angriff auf Change Healthcare. Ein Affiliate namens Notchy beschwerte sich, seinen Anteil nicht erhalten zu haben. Die Leak-Website der Gruppe zeigte daraufhin ein vermutlich gefälschtes Beschlagnahmungsbanner, die Infrastruktur ging offline. Notchy gab eine Kopie der Daten an die Gruppe RansomHub weiter, die Change Healthcare erneut erpresste; UnitedHealth-CEO Andrew Witty bestätigte die Zahlung am 01.05.2024 vor dem Senat.

Ob das Beschlagnahmungsbanner echt oder von der ALPHV-Führung selbst inszeniert war, ist nicht offiziell bestätigt, das FBI äußerte sich dazu nicht. Die reale Identität von Notchy ist nicht bekannt. Ob RansomHub organisatorisch mit ALPHV verbunden ist, wird unterschiedlich eingeschätzt.

BuzzFeed News erhielt 2019 mehr als 2.100 Verdachtsmeldungen (Suspicious Activity Reports, SARs) der US-Finanzaufsichtsbehörde FinCEN und teilte sie mit dem International Consortium of Investigative Journalists (ICIJ), das sie mit rund 400 Journalisten aus 88 Ländern auswertete. Am 20.09.2020 veröffentlichten ICIJ, BuzzFeed News und über 100 Medienpartner die Ergebnisse: Insgesamt 2.657 Dokumente, darunter 2.121 SARs, dokumentieren mehr als 200.000 verdächtige Transaktionen im Wert von über 2 Billionen US-Dollar zwischen 1999 und 2017. Am stärksten vertreten war die Deutsche Bank mit rund 1,3 Billionen US-Dollar verdächtiger Transaktionen und etwa 62 Prozent aller SARs im Datensatz, gefolgt von JPMorgan Chase mit rund 514 Milliarden US-Dollar. Die frühere FinCEN-Mitarbeiterin Natalie Mayflower Sours Edwards bekannte sich im Januar 2020 der unerlaubten Weitergabe der Dokumente schuldig und wurde zu sechs Monaten Haft verurteilt.

Dass die in den SARs genannten Kunden und Firmen tatsächlich Geldwäsche begangen haben, ist durch die Verdachtsmeldungen allein nicht bewiesen. Eine SAR ist eine bankinterne Meldepflicht an FinCEN ohne Anklage oder Gerichtsurteil gegen die genannten Personen. Ob und wie FinCEN auf einzelne Meldungen konkret reagierte, geht aus den geleakten Dokumenten nicht hervor. Die genannten Summen wie die 1,3 Billionen US-Dollar bei der Deutschen Bank beziffern das Volumen der als verdächtig gemeldeten Transaktionen über 18 Jahre, nicht nachgewiesene Straftaten.

Nachdem die dänische Zeitung Berlingske ab März 2017 über Geldwäscheverdacht in der estnischen Danske-Bank-Filiale berichtet hatte, veröffentlichte die Bank am 19.09.2018 einen internen Untersuchungsbericht zu rund 200 Milliarden Euro verdächtigen Zahlungen aus den Jahren 2007 bis 2015. Die Aktie fiel an diesem Tag um fast 8 Prozent, Vorstandschef Thomas Borgen trat noch am selben Tag zurück. Über das gesamte Jahr 2018 verlor die Danske-Bank-Aktie rund die Hälfte ihres Werts, ein Marktwertverlust von mehr als 15 Milliarden US-Dollar. Eine zusätzliche Gewinnwarnung im Dezember 2018 drückte den Kurs auf den niedrigsten Stand seit Anfang 2014.

Die genauen Prozentangaben zum Kursverlust schwanken je nach Quelle zwischen rund 45 und 50 Prozent, je nachdem ob das Kalenderjahr 2018 oder der Rückgang seit März 2018 zugrunde gelegt wird. Der bezifferte Marktwertverlust stammt aus journalistischen Berechnungen ohne einheitlichen Stichtag. Eine strenge statistische Trennung zwischen dem Einfluss des Skandals und allgemeinen Marktfaktoren liegt in den ausgewerteten Quellen nicht vor.

Im Jahresabschluss 2019 wies Wirecard rund 1,9 Milliarden Euro auf angeblichen Treuhandkonten bei den philippinischen Banken BDO Unibank und Bank of the Philippine Islands (BPI) aus. Als örtlicher Treuhänder trat der Manila-Anwalt Mark Tolentino auf. Am 18.06.2020 verweigerte Wirtschaftsprüfer EY das Testat. Am 19.06.2020 erklärten BDO und BPI öffentlich, die vorgelegten Kontobestätigungen trügen gefälschte Unterschriften und Wirecard sei nie ihr Kunde gewesen. Wirecard räumte daraufhin ein, das Geld habe wahrscheinlich nie existiert, und meldete am 25.06.2020 Insolvenz an.

Ob Treuhänder Mark Tolentino wissentlich an der Fälschung mitwirkte oder selbst getäuscht wurde, ist rechtlich nicht abschließend geklärt. Im August 2022 stellte das philippinische Justizministerium die Ermittlungen gegen Tolentino und den flüchtigen Ex-Wirecard-Vorstand Jan Marsalek mangels Beweisen ein, lediglich ein BPI-Bankangestellter wurde wegen Urkundenfälschung angeklagt. Wer die Dokumente tatsächlich erstellt hat, ist mangels rechtskräftigen Urteils nicht gerichtsfest bewiesen.

Die dänische Finanzaufsicht Finanstilsynet stellte am 03.05.2018 schwere Mängel in der Unternehmensführung von Danske Bank bei der Geldwäscheprävention in der estnischen Zweigstelle fest. Die Behörde erließ acht Anordnungen und acht Rügen und verlangte eine Erhöhung der Kapitalanforderung um 5 Milliarden dänische Kronen. Laut Finanstilsynet reagierte die Bankführung zu spät auf Hinweise eines internen Whistleblowers. Zwischen 2007 und 2015 wurden über die estnische Zweigstelle rund 200 Milliarden Euro an Zahlungen von Nichtansässigen abgewickelt, überwiegend aus Russland und anderen früheren Sowjetstaaten.

Nicht belegt ist, welcher Anteil der rund 200 Milliarden Euro tatsächlich aus Geldwäsche stammte, die Zahl umfasst auch legale Transaktionen. Das Entscheidungsdatum wird in manchen Sekundärquellen fälschlich mit 2019 statt 2018 angegeben. Offen blieb zum Zeitpunkt der Entscheidung, ob einzelne frühere Führungskräfte persönlich zur Verantwortung gezogen würden.

Am 12.02.2024 verschafften sich Angreifer der Gruppe ALPHV/BlackCat mit kompromittierten Zugangsdaten Zugang zu einem Citrix-Fernzugriffsportal von Change Healthcare, das keine Multi-Faktor-Authentifizierung besaß. Die Angreifer bewegten sich rund neun Tage lang lateral durch die Systeme, bevor am 21.02.2024 die Ransomware ausgelöst wurde. Change Healthcare bedient mehr als 30.000 Apotheken in den USA, die Störung betraf Abrechnung und Zahlungsabwicklung über Monate. UnitedHealth Group bezifferte die finanziellen Kosten im ersten Quartal 2024 auf 872 Millionen US-Dollar.

Die hier genannten Fakten stammen größtenteils aus der Kongressaussage von UnitedHealth-CEO Andrew Witty vom 01.05.2024 und wurden nicht unabhängig durch forensische Berichte Dritter bestätigt. Die genaue Menge der exfiltrierten Daten, teils mit rund 6 Terabyte beziffert, sowie die Zahl von etwa 190 Millionen betroffenen Personen basieren auf späteren HHS-Meldungen und können sich noch ändern. Die Höhe der an ALPHV/BlackCat gezahlten Lösegeldsumme wurde von UnitedHealth nie offiziell bestätigt.

Im Juni 2021 bot ein Nutzer unter dem Pseudonym TomLiner in einem Darknet-Forum Daten zu rund 700 Millionen LinkedIn-Profilen für 5.000 US-Dollar an, etwa 92 Prozent aller LinkedIn-Nutzer. Der Datensatz enthielt Namen, E-Mail-Adressen, Telefonnummern, Geolokationsdaten und abgeleitete Gehaltsschätzungen. LinkedIn erklärte, die Daten seien nicht durch einen Einbruch in interne Systeme erlangt worden, sondern durch automatisiertes Scraping der API und aus weiteren öffentlich zugänglichen Quellen. Passwörter waren nicht Teil des Datensatzes.

Nicht belegt ist, ob der gesamte angebotene Datensatz tatsächlich authentisch war. LinkedIn stufte den Vorgang als Verstoß gegen die Nutzungsbedingungen ein, nicht als Hack. Es ist offen, wie viele der Datensätze bereits aus früheren Datenlecks stammten. Die Identität hinter dem Pseudonym TomLiner wurde nicht geklärt.

Am 06.10.2021 veröffentlichte ein anonymer Angreifer einen 125 Gigabyte großen Torrent mit internen Twitch-Daten auf 4chan. Enthalten waren der komplette Quellcode der Plattform, Code aus fast 6.000 internen GitHub-Repositories und Auszahlungsberichte von 2019 für knapp 2,4 Millionen Streamer. Zusätzlich wurden Client-Software und ein unveröffentlichter Steam-Konkurrent von Amazon Game Studios geleakt. Twitch bestätigte den Vorfall am selben Tag, Ursache war eine Fehlkonfiguration eines Servers. Der Angreifer kündigte an, die Veröffentlichung sei nur Teil eins.

Nicht dokumentiert ist, ob Nutzerpasswörter, Adressen oder Bankdaten im Leak enthalten waren. Die Identität des Angreifers wurde nie offiziell bestätigt. Ob der angekündigte zweite Teil des Datensatzes jemals veröffentlicht wurde, ist nicht abschließend geklärt. Die genaue Dauer des unbefugten Zugriffs wurde von Twitch nicht im Detail offengelegt.

Am 02.07.2021 nutzte die Ransomware-Gruppe REvil eine Zero-Day-Schwachstelle in der Software Kaseya VSA aus, die von Managed Service Providern zur Fernwartung genutzt wird. Über rund 60 direkt betroffene Kaseya-Kunden wurden schätzungsweise 800 bis 1.500 nachgelagerte Unternehmen weltweit infiziert. REvil forderte zunächst 70 Millionen US-Dollar in Bitcoin, senkte die Forderung später auf 50 Millionen. Am 23.07.2021 gab Kaseya bekannt, von einem nicht näher benannten Dritten einen Generalschlüssel erhalten zu haben, ohne Lösegeld gezahlt zu haben.

Nicht offiziell bestätigt ist die genaue Zahl der betroffenen Endkunden, Schätzungen schwanken zwischen 800 und über 2.000 Organisationen. Unklar bleibt, wer der von Kaseya genannte Dritte war, der den Generalschlüssel lieferte. Berichte über eine mögliche FBI-Zahlung wurden nie offiziell bestätigt.

23andMe bestätigte im Oktober 2023, dass ein Angreifer zwischen dem 29.04. und September 2023 mittels Credential Stuffing rund 14.000 Nutzerkonten kompromittierte. Über die DNA-Relatives-Funktion erhielt der Angreifer dadurch Zugriff auf Daten von etwa 6,9 Millionen Konten, darunter Namen, genetische Abstammungsergebnisse und teils Gesundheitsprädispositionsberichte. Eine im Januar 2024 eingereichte Sammelklage warf 23andMe vor, Nutzer mit aschkenasisch-jüdischer und chinesischer Abstammung nicht gezielt gewarnt zu haben, da Angreifer offenbar gezielt nach diesen ethnischen Gruppen filterten. 23andMe einigte sich später auf eine Zahlung von 30 Millionen US-Dollar.

Nicht öffentlich dokumentiert ist, wie genau der Angreifer die Auswahl nach ethnischer Abstammung technisch vornahm und ob dies gezielte Absicht oder eine zufällige Folge der Datenstruktur war. Die Identität und Motivation des oder der Angreifer wurde nicht geklärt. Der Vergleich über 30 Millionen US-Dollar stellt keine gerichtliche Feststellung eines Verschuldens dar.

LastPass wurde 2022 in zwei zusammenhängenden Vorfällen kompromittiert. Am 08.08.2022 drangen Angreifer über den Firmenlaptop eines Softwareentwicklers in die Entwicklungsumgebung ein und entwendeten Quellcode. In einem zweiten Vorfall nutzten die Angreifer diese Informationen, um mittels Keylogger auf dem privaten Heimcomputer eines DevOps-Ingenieurs dessen Zugangsdaten abzugreifen und auf AWS-S3-Speicher mit Kundendaten-Backups zuzugreifen. Am 22.12.2022 bestätigte LastPass, dass die Angreifer eine Cloud-Sicherung der Kundentresore mit verschlüsselten Passwörtern kopiert hatten.

Nicht öffentlich dokumentiert ist die exakte Zahl der betroffenen Nutzerkonten, LastPass nannte nie eine offizielle Gesamtzahl. Umstritten ist, wie viele Master-Passwörter tatsächlich durch nachfolgendes Brute-Forcing entschlüsselt wurden. Die genaue Zahl der aus den gestohlenen Tresoren für Kryptowährungsdiebstähle genutzten Zugangsdaten ist nicht offiziell verifiziert.

Am 03.10.2017 gab Yahoo, zu diesem Zeitpunkt Teil der Verizon-Tochtergesellschaft Oath, bekannt, dass der bereits 2016 gemeldete Angriff von August 2013 tatsächlich alle 3 Milliarden Nutzerkonten betraf statt der zuvor genannten 1 Milliarde. Die Korrektur erfolgte im Rahmen einer forensischen Nachuntersuchung nach der Verizon-Übernahme. Verizon senkte deshalb den Kaufpreis für Yahoo im Februar 2017 um 350 Millionen US-Dollar. Die SEC verhängte später gegen die Nachfolgegesellschaft Altaba eine Strafe von 35 Millionen US-Dollar wegen irreführender Anlegerinformation.

Nicht abschließend geklärt ist, welche konkreten Daten bei allen 3 Milliarden Konten tatsächlich ausgelesen wurden. Die Zahl von 3 Milliarden basiert auf einer internen Neubewertung durch Verizon und wurde nicht durch eine unabhängige externe Prüfung öffentlich verifiziert. In einem separaten Verfahren wurden 2017 vier Personen angeklagt, darunter zwei mutmaßliche russische Geheimdienstmitarbeiter, deren Zusammenhang mit dem 3-Milliarden-Ausmaß nicht im Detail dokumentiert ist.

Am 05.11.2017 veröffentlichte das ICIJ gemeinsam mit 95 Medienpartnern in 67 Ländern die Paradise Papers, basierend auf 13,4 Millionen Dokumenten mit 1,4 Terabyte Umfang. Der Großteil, rund 7 Millionen Dateien, stammt von der Offshore-Kanzlei Appleby mit Sitz in Bermuda. Die Dokumente wurden der Süddeutschen Zeitung zugespielt. Unter den genannten Personen und Organisationen befanden sich die Duchy of Lancaster der Queen, der damalige US-Handelsminister Wilbur Ross sowie Apple und Nike.

Nicht bewiesen ist, dass alle genannten Personen oder Unternehmen Steuerhinterziehung im rechtlichen Sinne begangen haben, da Offshore-Strukturen in vielen Fällen legal sind. Appleby wies Vorwürfe rechtswidrigen Handelns zurück. Die genaue Herkunft des Lecks wurde von der Süddeutschen Zeitung nicht offengelegt.

Im Frühjahr 2015 wurde bekannt, dass der BND für die NSA jahrelang Überwachungsziele erfasste, die gegen deutsche und westeuropäische Interessen gerichtet waren. Der BND übernahm rund eine Million von der NSA gelieferte Selektoren weitgehend ungeprüft. Im Oktober 2015 bestätigte die Bundesregierung dem Bundestag, dass bis zu 40.000 dieser Selektoren gegen deutsche Ziele gerichtet waren, betroffen waren unter anderem Ministerien und Unternehmen wie EADS.

Nicht geklärt ist, wie viele der rund eine Million Selektoren tatsächlich zur aktiven Überwachung führten. Die Zahl von 40.000 wurde von einigen Abgeordneten als zu niedrig angezweifelt, spätere Schätzungen sprachen von bis zu 459.000 fragwürdigen Selektoren insgesamt. Die vollständige Selektorenliste wurde dem Untersuchungsausschuss unter Berufung auf US-Geheimhaltungsinteressen lange vorenthalten.

Anfang April 2016 wurde eine Datenbank mit 49.611.709 Datensätzen türkischer Bürger veröffentlicht, mit nationalen Personalausweisnummern, Namen, Adressen und Elternnamen. Betroffen waren auch Präsident Recep Tayyip Erdogan und sein Vorgänger Abdullah Gül. Die Angreifer hinterließen eine politisch motivierte Botschaft. Der türkische Justizminister bestätigte eine strafrechtliche Untersuchung.

Nicht geklärt ist, wer die Datenbank entwendet hat und auf welchem Weg. Die Herkunft der Daten wurde von türkischen Behörden nie offiziell bestätigt. Die Echtheit wurde nur stichprobenartig geprüft, eine vollständige forensische Verifizierung aller rund 50 Millionen Einträge fand nicht statt.