Quellen-Tabelle

Die damalige Armeeanalystin Chelsea Manning übergab 2010 mehrere Hunderttausend geheime US-Militärdokumente und diplomatische Depeschen an WikiLeaks, darunter das Video Collateral Murder. Im Juli 2013 wurde sie in 20 von 22 Anklagepunkten schuldig gesprochen, jedoch vom Vorwurf der Feindbegünstigung freigesprochen. Am 21.08.2013 verurteilte das Militärgericht sie zu 35 Jahren Haft, die höchste je gegen eine Person wegen Geheimnisverrats an die Presse verhängte Strafe in der US-Geschichte. Im Januar 2017 wandelte Präsident Obama die Reststrafe um, Manning kam im Mai 2017 frei.

Die genaue Zahl der weitergegebenen Dokumente schwankt zwischen rund 700.000 und mehr als 750.000 je nach Quelle. Das Verteidigungsministerium konnte im Prozess keinen direkten Todesfall infolge der Leaks nachweisen. Offen bleibt, in welchem Umfang unredigierte Namen lokaler Informanten zu deren Gefährdung führten.

Am 26.09.2022 unterzeichnete Präsident Wladimir Putin ein Dekret, das dem früheren NSA-Vertragsmitarbeiter Edward Snowden die russische Staatsbürgerschaft verlieh. Snowden lebt seit 2013 im russischen Exil, nachdem er als NSA-Auftragnehmer geheime Dokumente über globale Überwachungsprogramme an Journalisten weitergegeben hatte. In den USA liegt gegen ihn weiterhin eine 2013 erhobene Anklage wegen Spionage vor.

Nicht dokumentiert ist, ob Snowden im Zuge der Einbürgerung 2022 seine US-Staatsbürgerschaft aufgegeben hat. Er hatte 2020 erklärt, seinen amerikanischen Pass behalten zu wollen. Nicht belegt ist, ob und in welchem Umfang Snowden im Gegenzug mit russischen Behörden kooperiert hat, wie in westlichen Medien spekuliert wurde.

Der Spiegel enthüllte am 23. und 27.10.2013 anhand von Snowden-Dokumenten, dass die NSA das Mobiltelefon von Bundeskanzlerin Angela Merkel abgehört hat, möglicherweise seit 2002. Merkel telefonierte daraufhin mit Präsident Obama, der zusicherte, das Abhören werde nicht fortgesetzt. Der Vorfall führte zu diplomatischen Verstimmungen und zur Einsetzung des NSA-Untersuchungsausschusses ab März 2014. Die Bundesanwaltschaft stellte ihre 2014 eingeleiteten Ermittlungen im Juni 2015 mangels gerichtsverwertbarer Beweise ein.

Nicht abschließend geklärt ist, seit wann genau die Überwachung begann, das Datum 2002 stammt aus einem einzelnen NSA-Dokument. Die Bundesanwaltschaft konnte das Originaldokument nicht sichern, da es nur als Kopie vorlag, was die Verfahrenseinstellung 2015 mitbegründete. Ein geplantes No-Spy-Abkommen zwischen Deutschland und den USA kam nie zustande.

Amazon kündigte am 24.01.2024 an, das Tool Request for Assistance in seiner App Neighbors einzustellen, über das Polizeibehörden seit 2021 öffentlich sichtbare Anfragen nach Ring-Kameravideos stellen konnten. Bis dahin hatten mehr als 2.000 US-Polizei- und Feuerwehrbehörden Zugang zu diesem System, über das Nutzer freiwillig Videomaterial ohne richterliche Anordnung teilen konnten. Polizeibehörden können Ring-Videomaterial weiterhin per Durchsuchungsbeschluss anfordern.

Nicht dokumentiert ist die Gesamtzahl aller jemals gestellten Anfragen. Unklar bleibt, in welchem Umfang Polizeibehörden Ring-Nutzer seit der Abschaltung weiterhin informell zur freiwilligen Herausgabe bewegen. Amazon stellt die Entscheidung nicht als Reaktion auf konkreten rechtlichen Druck dar.

Im Mai 2018 deckte ein Sicherheitsforscher auf, dass die Demo-Funktion von LocationSmart ohne Authentifizierung Echtzeit-Standortdaten von Kunden aller vier großen US-Mobilfunkanbieter preisgab. LocationSmart verkaufte Standortdaten an Drittanbieter, darunter Securus Technologies, das Strafverfolgungsbehörden Zugriff auf Echtzeit-Standortdaten gegen ein einfaches Ankreuzen einer rechtlichen Berechtigung bot, ohne diese zu prüfen. Als Reaktion kündigten alle vier Mobilfunkanbieter ihre Vereinbarungen mit LocationSmart.

Nicht dokumentiert ist, wie viele Personen tatsächlich unrechtmäßig geortet wurden und wie lange die Lücke bereits bestand. Das tatsächliche Ausmaß des Missbrauchs durch Strafverfolgungsbehörden blieb ungeklärt. Erst 2020, mehr als zwei Jahre später, verhängte die FCC Bußgelder gegen die Mobilfunkanbieter.

Ein internes Werbedokument der SCL Group, Muttergesellschaft von Cambridge Analytica, wurde am 29.03.2018 vom Whistleblower Christopher Wylie an einen Ausschuss des britischen Unterhauses übergeben. Darin beschreibt SCL die eigene Arbeit für die nigerianische Regierung bei der Wahl 2007, unter anderem organisierte Antiwahl-Kundgebungen zur Wählerabschreckung in Oppositionshochburgen. Internationale Wahlbeobachter bewerteten die Wahl 2007 als eine der schlechtesten je beobachteten.

Nicht dokumentiert ist, in welchem Umfang die von SCL beschriebenen Taktiken tatsächlich zum Wahlausgang 2007 beitrugen. Das zentrale Beweisstück ist eine unternehmenseigene Werbebroschüre, die die eigene Wirksamkeit möglicherweise überzeichnet. Eine unabhängige Verifikation durch Dritte liegt nicht vor.

Im Oktober 2020 wurde die finnische Psychotherapie-Praxiskette Vastaamo gehackt, wobei vertrauliche Behandlungsnotizen von rund 30.000 Patienten entwendet wurden. Der Täter, später als Julius Kivimäki identifiziert, forderte zunächst rund 400.000 bis 450.000 Euro von Vastaamo. Als das Unternehmen nicht zahlte, verschickte er individuelle Erpressungs-E-Mails an tausende Patienten mit Forderungen von jeweils rund 200 Euro und veröffentlichte einen Teil der Daten dennoch. Kivimäki wurde im April 2024 zu sechs Jahren und drei Monaten Haft verurteilt.

Die Zahl der tatsächlich betroffenen Patienten schwankt zwischen rund 22.000 und über 30.000 und ist nicht abschließend amtlich bestätigt. Unklar bleibt, wie viele Patienten tatsächlich Lösegeld zahlten. Der von Medien berichtete Zusammenhang mit mindestens einem Suizid ist medial kolportiert, aber nicht gerichtlich als Kausalzusammenhang festgestellt worden.

Die belgische Bank Crelan, Tochtergesellschaft der Crédit-Agricole-Gruppe, verlor durch einen Business-Email-Compromise-Betrug rund 70 Millionen Euro. Täter gaben sich per E-Mail als Geschäftsführung aus und wiesen einen Mitarbeiter der Finanzabteilung an, eine Zahlung an ein von ihnen kontrolliertes Konto zu veranlassen. Der Betrug wurde durch interne Revision aufgedeckt, nachdem das Geld bereits überwiesen worden war.

Nicht dokumentiert ist, welche Personen konkret hinter dem Betrug standen und ob Täter je identifiziert oder verurteilt wurden. Die genaue technische Vorgehensweise ist in den verfügbaren Quellen nicht abschließend geklärt. Die Schadenssumme wird uneinheitlich zwischen 70 Millionen Euro und rund 75,8 Millionen US-Dollar angegeben.

Eine europäische Tochtergesellschaft von Toyota Boshoku verlor am 14.08.2019 durch einen Business-Email-Compromise-Angriff rund 4 Milliarden Yen, umgerechnet etwa 37,47 Millionen US-Dollar. Ein Mitarbeiter wurde per gefälschter E-Mail-Anweisung dazu gebracht, eine vermeintliche Lieferantenrechnung an ein von den Tätern kontrolliertes Konto zu überweisen. Toyota Boshoku bestätigte den Vorfall, leitete eine Untersuchung ein und schaltete lokale Behörden ein.

Nicht öffentlich dokumentiert sind der genaue technische Ablauf des Angriffs sowie der Name der konkret betroffenen europäischen Tochtergesellschaft. Unklar bleibt, wie viel des Geldes letztlich zurückgeholt werden konnte und ob täterseitig jemand identifiziert wurde.

Die japanische Bitcoin-Börse Mt. Gox stoppte im Februar 2014 alle Kundenabhebungen und meldete am 28.02.2014 in Tokio Insolvenz an, nachdem 850.000 Bitcoin von Kunden aus ihren Wallets verschwunden waren, damals rund 473 Millionen US-Dollar wert. 2021 genehmigte das Bezirksgericht Tokio einen Plan zur zivilen Rehabilitation für rund 24.000 Gläubiger. Die tatsächlichen Auszahlungen begannen am 05.07.2024, wobei viele Gläubiger wegen des gestiegenen Bitcoin-Kurses in US-Dollar mehr erhielten als sie 2014 verloren hatten.

Nicht abschließend geklärt ist, wie genau die 850.000 Bitcoin verschwanden, es kursieren mehrere Erklärungen von Hackerangriff bis technischem Missmanagement. Von den ursprünglich verlorenen Coins wurden später etwa 200.000 wiedergefunden, der Verbleib des Rests bleibt ungeklärt. Der ursprünglich für Oktober 2024 angesetzte Abschluss der Rückzahlungen wurde mehrfach verschoben, zuletzt auf Oktober 2026.

Die Generalstaatsanwaltschaft Frankfurt erhob am 20.08.2026 Anklage gegen vier ehemalige Commerzbank-Mitarbeiter wegen mutmaßlicher Cum-Ex-Geschäfte aus dem Jahr 2008, mit einem Steuerschaden von mehr als 20 Millionen Euro. Es ist die siebte Anklage der Frankfurter Generalstaatsanwaltschaft im Cum-Ex-Komplex, der derzeit zehn weitere Fallkomplexe mit 39 Beschuldigten untersucht. Bereits 2017 durchsuchten Ermittler die Commerzbank-Zentrale wegen des Verdachts der Steuerhinterziehung mit einem damaligen mutmaßlichen Schaden von rund 40 Millionen Euro.

Nicht dokumentiert ist, ob die Commerzbank als Institution selbst strafrechtlich belangt wird, die Anklage richtet sich ausschließlich gegen vier ehemalige Mitarbeiter persönlich. Unklar bleibt das Verhältnis zwischen dem 2017 genannten Schaden von rund 40 Millionen Euro und dem aktuellen Betrag von über 20 Millionen Euro. Der Ausgang des Gerichtsverfahrens ist offen, da bislang nur eine Anklage vorliegt.

JPMorgan Chase erklärte sich am 12.06.2023 bereit, 290 Millionen Dollar zur Beilegung einer Sammelklage von rund 200 mutmaßlichen Opfern von Jeffrey Epstein zu zahlen. Die Kläger warfen der Bank vor, trotz interner Warnsignale über Jahre Konten für Epstein geführt und dessen Menschenhandel ermöglicht zu haben. Ein US-Bezirksrichter bestätigte den Vergleich im November 2023 endgültig. Zusätzlich zahlte JPMorgan im September 2023 75 Millionen Dollar an die US-Jungferninseln.

Nicht bewiesen ist, dass JPMorgan wissentlich am Menschenhandel Epsteins beteiligt war. Die Bank hat in keinem der Vergleiche ein Fehlverhalten eingeräumt. Offen bleibt, welche internen Mitarbeiter genau über Epsteins Aktivitäten informiert waren und ob es strafrechtliche Konsequenzen für einzelne Manager geben wird.

Im Juli 2019 wurde bekannt, dass die ehemalige AWS-Mitarbeiterin Paige Thompson durch Ausnutzung einer Server-Side-Request-Forgery-Schwachstelle in einer fehlkonfigurierten Firewall in die Cloud-Infrastruktur von Capital One eindrang. Betroffen waren Daten von mehr als 100 Millionen Kunden, darunter mehr als 100.000 Sozialversicherungsnummern. Thompson wurde am 20.06.2022 wegen Drahtbetrugs und fünffacher unbefugter Zugriffe schuldig gesprochen, aber von Identitätsdiebstahl freigesprochen. Capital One musste 80 Millionen US-Dollar Bußgeld sowie 190 Millionen US-Dollar für Vergleiche zahlen.

Nicht abschließend geklärt ist, ob tatsächlich alle 106 Millionen betroffenen Datensätze für kriminellen Missbrauch verwendet wurden. Die Entdeckung erfolgte nicht durch interne Sicherheitsmaßnahmen, sondern durch eine anonyme Mitteilung, was Fragen zur Wirksamkeit der eigenen Überwachungssysteme aufwirft.

Am 24.05.2008 wurde bekannt, dass die Deutsche Telekom in den Jahren 2005 und 2006 Telefonverbindungsdaten von mindestens 55 Personen abgleichen ließ, um undichte Stellen im Unternehmen zu identifizieren. Betroffen waren Aufsichtsräte, ein Vorstandsmitglied, Gewerkschaftsfunktionäre wie Ver.di-Chef Frank Bsirske sowie mehrere Journalisten, insgesamt rund 60 Personen. Die Staatsanwaltschaft Bonn ermittelte gegen acht Beschuldigte. Das Landgericht Bonn verurteilte den ehemaligen Sicherheitsverantwortlichen am 30.11.2010 zu dreieinhalb Jahren Haft wegen Betrugs, Untreue und Verletzung des Fernmeldegeheimnisses.

Unklar bleibt, in welchem Umfang neben Telefonverbindungsdaten auch Bankdaten ausgewertet wurden und ob Bewegungsprofile erstellt wurden, hierzu liegen nur Verdachtsmomente vor. Offen bleibt zudem, wer konkret die Anweisung zur Überwachung erteilt hat und wie weit die Kenntnis in der damaligen Unternehmensspitze reichte.

Symantec begann am 13.07.2010 mit der Analyse der Schadsoftware W32.Stuxnet und veröffentlichte im Februar 2011 das vollständige Stuxnet-Dossier. Die Malware zielte gezielt auf Siemens-Step7-Industriesteuerungssysteme ab, wie sie in der iranischen Urananreicherungsanlage Natanz eingesetzt wurden. Da die Steuerungssysteme nicht mit dem Internet verbunden waren, verbreitete sich Stuxnet über infizierte USB-Wechseldatenträger. Laut Analysen des Institute for Science and International Security wurden Ende 2009 oder Anfang 2010 rund 1.000 IR-1-Zentrifugen in Natanz ausgetauscht, ein Ausfall über der normalen Ausfallrate.

Nicht offiziell bewiesen ist die Urheberschaft der USA und Israels, beide Staaten haben eine Beteiligung nie offiziell bestätigt. Umstritten ist die genaue Zahl der beschädigten Zentrifugen, und es ist nicht abschließend geklärt, in welchem Ausmaß der Ausfall allein auf Stuxnet zurückzuführen ist gegenüber regulärem Verschleiß der als störanfällig geltenden IR-1-Zentrifugen.

Citizen Lab wies im Oktober 2018 nach, dass das Smartphone des saudischen Dissidenten Omar Abdulaziz mit der Pegasus-Spyware der NSO Group infiziert war. Abdulaziz, ein enger Vertrauter des Journalisten Jamal Khashoggi, tauschte mit diesem WhatsApp-Nachrichten über gemeinsame Aktivismus-Pläne aus. Die Infektion wurde Monate vor Khashoggis Ermordung am 02.10.2018 im saudischen Konsulat in Istanbul festgestellt. Spätere forensische Analysen ergaben zudem Hinweise auf eine Kompromittierung des Telefons von Khashoggis Verlobter Hatice Cengiz.

Nicht abschließend dokumentiert ist, ob die abgefangenen Nachrichten tatsächlich direkt zur Planung der Ermordung durch saudische Agenten beitrugen, dieser Zusammenhang wird als plausibel dargestellt, aber nicht mit Beweisdokumenten der saudischen Seite belegt. NSO Group bestreitet eine direkte Verantwortung für den Missbrauch durch Kunden wie Saudi-Arabien.

Citizen Lab teilte dem griechischen Journalisten Thanasis Koukakis im März 2022 mit, dass sein Telefon vom 12.07. bis 24.09.2021 mit der Spyware Predator überwacht worden war, entwickelt von der nordmazedonischen Firma Cytrox. Im Juli 2022 wurde bekannt, dass auch Nikos Androulakis, Vorsitzender der Oppositionspartei PASOK-KINAL, im September 2021 mit demselben Infektionslink angegriffen wurde. Die griechische Regierung wies jede Beteiligung zurück.

Nicht dokumentiert ist, wer konkret hinter dem Einsatz von Predator steht. Offen ist, ob griechische Geheimdienststellen oder private Auftraggeber beteiligt waren. Bei Androulakis wurde zudem parallel eine legale Abhörmaßnahme bekannt, deren Verhältnis zum Predator-Einsatz bis heute nicht vollständig geklärt ist.

Die nordrhein-westfälische Landesdatenschutzbeauftragte leitete im April 2018 ein Prüfverfahren gegen die Deutsche-Post-Tochter Post Direkt ein wegen des Verdachts, im Bundestagswahlkampf 2017 Adressdaten an Parteien verkauft zu haben. Der Handel mit personalisierten Daten hätte mit einem Bußgeld bis zu 300.000 Euro geahndet werden können. CDU und FDP erklärten, nur anonymisierte Daten genutzt zu haben.

Nicht belegt ist, ob am Ende des Verfahrens tatsächlich ein Bußgeld verhängt wurde, ein öffentlich dokumentiertes Ergebnis ließ sich nicht finden. Nicht zu verwechseln mit dem später tatsächlich verhängten 18-Millionen-Euro-Bußgeld gegen die Österreichische Post, ein anderes Unternehmen in einem anderen Land.

Am 20.06.2024 nahm die belgische EU-Ratspräsidentschaft die geplante Abstimmung über die CSA-Verordnung, bekannt als Chatkontrolle, kurzfristig von der Tagesordnung, weil keine ausreichende Mehrheit zustande kam. Deutschland hatte am Vortag Ablehnung erklärt, Frankreich forderte Zusicherungen zum Schutz verschlüsselter Kommunikation. Es war bereits der zweite gescheiterte Anlauf nach Spanien im Dezember 2023.

Nicht dokumentiert ist das genaue Abstimmungsverhalten aller 27 Mitgliedstaaten, da die Abstimmung selbst nie stattfand. Offen bleibt, welche konkreten technischen Zusicherungen Frankreich forderte und ob diese je erfüllt wurden. Der grundsätzliche Kommissionsvorschlag bestand trotz der Absage fort.

Haaretz berichtete am 16.08.2022, dass Cellebrite Technologie zur Entsperrung von Mobiltelefonen an die ugandische Regierung unter Präsident Yoweri Museveni verkauft hat. Wenige Tage später bestätigte Uganda den Kauf. Bereits 2021 hatte Cellebrite angekündigt, Verkäufe an Russland und Belarus zu stoppen, nachdem Recherchen zeigten, dass die Technologie in Russland mehr als 26.000 Mal gegen Journalisten und Oppositionelle eingesetzt worden war.

Nicht dokumentiert ist, welche Exportlizenzen Israel für den Verkauf an Uganda erteilt hat. Offen bleibt, in welchem Umfang die Technologie tatsächlich gegen Oppositionelle in Uganda eingesetzt wurde. Die 2021 angekündigte Verkaufssperre für Russland wurde später durch Recherchen infrage gestellt.

Das Zollkriminalamt und die Staatsanwaltschaft München I durchsuchten vom 06. bis 08.10.2020 Geschäftsräume der Firmen FinFisher, FinFisher Labs und Elaman in München wegen Verdachts auf Verstoß gegen das Außenwirtschaftsgesetz. Hintergrund: Die Überwachungssoftware FinSpy soll im Sommer 2017 ohne deutsche Ausfuhrgenehmigung an die Türkei geliefert worden sein. Bereits im Juli 2019 hatten mehrere NGOs gemeinsam Strafanzeige gestellt.

Nicht belegt ist, ob es tatsächlich zu einer rechtswidrigen Ausfuhr kam und wer konkret verantwortlich war. Der Ausgang des Ermittlungsverfahrens war zum Berichtszeitpunkt offen, es liegt kein rechtskräftiges Urteil vor. Unklar bleibt der genaue Lieferweg der Software in die Türkei.

Marcus Hutchins, bekannt als MalwareTech, hatte im Mai 2017 durch Registrierung einer Domain einen Kill Switch aktiviert und damit die Ausbreitung von WannaCry gestoppt. Im August 2017 wurde er in Las Vegas verhaftet und wegen Entwicklung und Verkaufs der Banking-Trojaner Kronos und UPAS Kit angeklagt. Am 19.04.2019 bekannte er sich schuldig, die Taten fanden zwischen Juli 2012 und September 2015 statt, vor seiner Zeit als Sicherheitsforscher. Am 26.07.2019 verurteilte das Gericht ihn zu bereits verbüßter Haft plus einem Jahr Bewährung.

Nicht öffentlich beziffert ist der konkrete finanzielle Schaden durch Kronos. Die Staatsanwaltschaft konnte nicht belegen, in welchem Umfang die Malware tatsächlich eingesetzt wurde, was die milde Strafe mitbeeinflusste. Offen bleibt das Ausmaß der Beteiligung eines mutmaßlichen Mitangeklagten.

IT-Sicherheitsforscher registrierten am Portal des Deutschen Apothekerverbands eine fiktive Apotheke mit gefälschten Dokumenten und erhielten binnen zwei Tagen Zugang. Mit diesem Zugang konnten sie gültige, vom CovPass Check als echt erkannte digitale Impfzertifikate ausstellen, obwohl keine Impfung vorlag. Die geforderte Telematik-ID wurde nicht verifiziert, die Zwei-Faktor-Authentifizierung war entfallen. Der DAV schaltete das Portal ab, rund 470 Apotheken ohne Verbandsmitgliedschaft konnten vorübergehend keine Zertifikate mehr ausstellen. Zu diesem Zeitpunkt waren bereits mehr als 25 Millionen Impfzertifikate über das Portal ausgestellt worden.

Nicht belegt ist, in welchem Umfang die Lücke vor der Veröffentlichung durch Dritte tatsächlich ausgenutzt wurde. Das Bundesgesundheitsministerium erklärte, keine Hinweise auf Missbrauch gefunden zu haben, eine unabhängige forensische Bestätigung liegt nicht vor. Der kolportierte Schwarzmarktpreis von rund 138 Euro pro Zertifikat ist nicht durch Strafverfolgungsdaten belegt.

Anfang Januar 2022 fragte die Mainzer Polizei Kontaktdaten aus der Luca App ab, um Zeugen zu einem Todesfall zu ermitteln, obwohl die App gesetzlich ausschließlich zur Kontaktnachverfolgung im Rahmen der Corona-Pandemie zugelassen war. Eine spätere ZDF-Recherche identifizierte bundesweit mehr als hundert vergleichbare Fälle. In mindestens fünf dieser Fälle war die Datenabfrage nach dem jeweiligen Infektionsschutzgesetz ausdrücklich verboten. Der Vorfall führte zu politischen Forderungen, die App zu löschen.

Nicht dokumentiert ist die genaue Gesamtzahl bundesweiter Fälle unrechtmäßiger Datenzugriffe, da die Recherche auf Behördenanfragen beruhte. Unklar bleibt, in wie vielen Fällen tatsächlich Luca-App-Daten im engeren Sinne betroffen waren gegenüber handschriftlichen Kontaktlisten. Offen ist, welche dienstrechtlichen Konsequenzen die beteiligten Beamten hatten.

Die Studie We Chat, They Watch vom 07.05.2020 zeigt, dass Dateien und Bilder, die zwischen nicht in China registrierten WeChat-Konten ausgetauscht werden, auf politisch sensible Inhalte gescannt werden. Diese werden per Hash-Abgleich und Bild- sowie Texterkennung mit einer chinesischen Zensurdatenbank verglichen und genutzt, um das Zensursystem für in China registrierte Nutzer weiterzutrainieren. Sobald ein Bild als sensibel markiert wird, blockiert WeChat dessen Versand für alle Nutzer weltweit.

Nicht dokumentiert ist, in welchem Umfang Tencent diese Überwachung durchführt, da die Analyse serverseitig und intransparent erfolgt. Offen bleibt, ob die Daten an chinesische Behörden weitergegeben werden, die Studie liefert dafür keine direkten Beweise. Tencent bestritt Teile der Vorwürfe, ohne sich detailliert zu den technischen Befunden zu äußern.