Quellen-Tabelle

Am 30.04.2024 wurde die Webseite des ecuadorianischen Consejo de la Judicatura durch einen DDoS-Angriff lahmgelegt. Der Angriff kam nach ersten Ermittlungen aus rund 15 Ländern. Die Institution erklärte, nur ein externer Sicherheitsfilter sei kompromittiert worden, interne Informationen seien nicht betroffen gewesen.

Wer hinter dem Angriff steckt, ist nicht belegt. Die Behauptung, keine Daten seien kompromittiert worden, stammt allein von der betroffenen Institution selbst.

Im Januar 2023 wurde das costa-ricanische Ministerium für öffentliche Arbeiten und Verkehr (MOPT) von einem Ransomware-Angriff getroffen, bei dem 12 Server verschlüsselt wurden. Dienstleistungen wie Fahrprüfungen mussten auf papierbasierte Abwicklung umgestellt werden. Der Vorfall ereignete sich rund neun Monate nach dem großen Conti-Ransomware-Angriff von 2022.

Zum Zeitpunkt der Berichterstattung hatte sich keine Gruppe zum Angriff bekannt. Der finanzielle Schaden wurde nicht beziffert.

Ab dem 23.07.2023 fiel Kenias zentrales Regierungsportal e-Citizen aus, über das mehr als 5.000 staatliche Dienstleistungen abgewickelt werden. Die Gruppe Anonymous Sudan bekannte sich zu einer DDoS-Attacke und forderte eine Entschuldigung Kenias oder 200.000 US-Dollar in Bitcoin. Der Generalrechnungsprüfer hatte bereits gewarnt, dass e-Citizen über keinen Notfallplan und keinen Backup-Standort verfüge.

Die Behauptung, keine Nutzerdaten seien kompromittiert worden, ist nicht unabhängig verifiziert. Die Urheberschaft der Gruppe Anonymous Sudan ist umstritten, Sicherheitsforscher vermuten russische statt sudanesische Verbindungen.

Anfang April 2025 veröffentlichte die Gruppe Jabaroot im Darknet vertrauliche Daten der marokkanischen Sozialversicherungskasse CNSS. Betroffen waren rund 2 Millionen Einzelpersonen und 40.000 Unternehmen mit fast 4 Millionen Beschäftigten. Geleakt wurden Namen, Identifikationsnummern und Gehaltsangaben. Als Motiv nannten die Angreifer politische Vergeltung im Kontext marokkanisch-algerischer Spannungen.

Der genaue Zugangsweg der Angreifer ist nicht geklärt. Die CNSS bezeichnete Teile der Dokumente als teilweise falsch, ohne dies zu belegen, sodass die genaue Zahl korrekt betroffener Personen umstritten bleibt.

Eine gemeinsame Ermittlungsgruppe der pakistanischen Federal Investigation Agency stellte im März 2024 fest, dass zwischen 2019 und 2023 Daten von rund 2,7 Millionen Bürgern aus der National Database and Registration Authority (NADRA) entwendet wurden. Die Daten wurden über NADRA-Büros in Karachi, Multan und Peshawar nach Dubai weitergeleitet und in Argentinien und Rumänien zum Verkauf angeboten.

Wie viele der 2,7 Millionen Datensätze tatsächlich im Umlauf gelangten, ist nicht geklärt. Die technische Vorgehensweise des Datenabflusses wurde nicht im Detail offengelegt.

Am 19. und 20.12.2024 wurden die ukrainischen Staatsregister des Justizministeriums, rund 60 Datenbanken mit biometrischen Daten und Grundbucheinträgen, durch einen Cyberangriff lahmgelegt. Die pro-russische Gruppe XakNet bekannte sich dazu und behauptete, Primärdatenbanken und Backups gelöscht zu haben. Der Inlandsgeheimdienst SBU vermutet Angreifer im Umfeld des russischen Militärgeheimdienstes GRU. Betroffen waren auch die App Diia mit über 21 Millionen Nutzern und die Wehrerfassungs-App Reserve Plus.

Ob tatsächlich Daten entwendet und veröffentlicht wurden, ist nicht belegt. Die ukrainische Regierung bestreitet die Behauptung der vollständigen Datenlöschung. Die Zuordnung zum GRU beruht auf Vermutungen ohne öffentliche technische Beweise.

Ab dem 19./20.08.2024 wurden lettische Regierungswebsites durch DDoS-Angriffe gestört, darunter die zentrale Plattform TVP und die Website des Ministerkabinetts. Die pro-russische Gruppe NoName057(16) sowie eine Gruppe namens Anonymous Guys bekannten sich dazu und begründeten dies mit lettischer Militärhilfe für die Ukraine. CERT.LV bestätigte, dass die Angriffe nach einem neuen Ukraine-Hilfspaket erwartbar gewesen seien.

Konkrete Zahlen zum Datenvolumen oder zur Botnetz-Größe fehlen. Die Urheberschaft stützt sich ausschließlich auf Telegram-Bekenntnisse der Gruppen, keine unabhängige forensische Zuordnung liegt vor.

In der Nacht vom 5. auf den 6.02.2024 verschlüsselte die Gruppe LockBit die EDV-Systeme der niederösterreichischen Stadtgemeinde Korneuburg. Betroffen waren rund 220 Mitarbeiter und 90 PCs. Die vollständige Wiederherstellung dauerte bis zum 23.02.2024. Die Gemeinde zahlte kein Lösegeld dank vorhandenem Band-Backup, der geschätzte Schaden liegt bei rund 100.000 Euro.

Die genaue Höhe der ursprünglich geforderten Lösegeldsumme wurde nicht beziffert. Ob es zu einem Datenabfluss kam, wurde von der Gemeinde verneint, ohne unabhängige forensische Bestätigung.

Die staatliche Banco de Venezuela wurde im April 2024 Ziel eines Angriffs mit der Ransomware LockBit 3.0. Die Angreifer veröffentlichten die Erpressung am 19.04.2024 auf der LockBit-Leak-Seite mit Zahlungsfrist bis zum 10.05.2024. Die Bank erklärte, ihre elektronischen Kundendienste funktionierten weiterhin normal, interne Mitarbeitersysteme waren jedoch verschlüsselt.

Welche und wie viele Datensätze exfiltriert wurden, ist nicht belegt, LockBits eigene Behauptungen wurden nicht unabhängig bestätigt. Ob die Lösegeldforderung bezahlt wurde, bleibt unklar.

Im Juni 2025 wurden Daten von 7,4 Millionen paraguayischen Bürgern im Darknet veröffentlicht. Sicherheitsfirmen führten den Ursprung auf eine Infostealer-Malware zurück, die im April 2023 ein Gerät eines Mitarbeiters des Gesundheitsministeriums infizierte. Die Gruppe Brigada Cyber PMC forderte 7,4 Millionen US-Dollar Lösegeld, die Regierung lehnte ab.

Die Zahl von 7,4 Millionen entspricht nahezu der gesamten Bevölkerung, ob es Dubletten oder veraltete Datensätze enthält, ist unklar. Die Identität der Gruppe Brigada Cyber PMC ist nicht zweifelsfrei belegt.

Im September 2024 entdeckte das türkische USOM, dass Daten von über 108 Millionen Bürgern auf Google Drive hochgeladen worden waren, darunter Personalausweisnummern, Adressen und Mobilfunknummern. USOM meldete den Vorfall im Juli und September 2024 an Google und forderte die Entfernung.

Aus welcher Behörde die Daten stammen und wer sie hochlud, ist nicht geklärt. Die Zahl von 108 Millionen wurde nicht unabhängig forensisch bestätigt.

Ab September 2023 wurden armenische Regierungsstellen und der Flughafen Zvartnots mit einem präparierten Word-Dokument angegriffen, das als Warnung des Sicherheitsdienstes getarnt war und die Schadsoftware AsyncRAT installierte. CyberHUB AM stuft die Täterschaft als wahrscheinlich aserbaidschanisch ein.

Eine staatliche Beauftragung ist nicht belegt, die Zuordnung stützt sich nur auf indirekte Indizien wie einen Debug-Pfad. Genaue Opferzahlen wurden nicht beziffert.

Im Oktober 2023 identifizierte Amnesty International im Rahmen der Predator-Files-Recherche technische Infrastruktur der Spyware Predator in Kasachstan, neben Angola, Ägypten, der Mongolei, Indonesien, Madagaskar, Sudan und Vietnam. Für Kasachstan wurden lediglich technische Infrastrukturspuren festgestellt, keine konkrete aktive Überwachungskampagne.

Wer in Kasachstan Ziel der Überwachung war und ob Geräte tatsächlich infiziert wurden, ist nicht dokumentiert. Die kasachische Regierung äußerte sich nicht zu den Vorwürfen.

Die Organisation Unwanted Witness veröffentlichte am 11.08.2025 einen Bericht über Überwachung in Ostafrika mit Fokus auf Uganda. Journalist Canary Mugume erhielt im Mai 2025 eine Apple-Bedrohungsbenachrichtigung wegen möglicher Spyware-Infektion. Der Bericht verweist zudem auf das 126-Millionen-Dollar-Huawei-Safe-City-Projekt in Kampala und verpflichtende biometrische SIM-Registrierung.

Welcher Spyware-Anbieter verantwortlich war, ist nicht bewiesen, Apples Benachrichtigungen liefern keine forensische Attribution. Eine systematische unabhängige Geräteuntersuchung liegt nicht vor.

Ab Februar 2023 verhafteten tunesische Behörden im Rahmen des Verfahrens gegen die Opposition wegen angeblicher Verschwörung Politiker, Journalisten und Aktivisten. Behörden beschlagnahmten Mobiltelefone und werteten private Nachrichten auf WhatsApp, Telegram und Signal aus, die zur Begründung der Untersuchungshaft herangezogen wurden.

Mit welcher technischen Methode Zugriff auf verschlüsselte Messenger erlangt wurde, ist nicht dokumentiert. Die tunesische Regierung wies die Vorwürfe politischer Verfolgung zurück.

Am 05.10.2023 veröffentlichte das EIC gemeinsam mit dem Amnesty International Security Lab die Recherche Predator Files. Sie identifizierte mindestens 25 Staaten als Käufer oder Nutzer von Intellexa-Produkten, darunter Katar, Oman, die VAE, Kenia, Singapur, Pakistan, Jordanien und Vietnam. Die Intellexa Group wurde 2018 vom ehemaligen israelischen Armeeoffizier Tal Dilian gegründet.

Ob der katarische Staat die Predator-Spyware tatsächlich gegen konkrete Ziele einsetzte, ist nicht belegt. Die Quellen weisen Katar als Kunden aus, dokumentieren aber keine bestätigten Einzelfälle von Überwachung.

Eine gemeinsame Untersuchung von Access Now, Citizen Lab, Human Rights Watch und Amnesty International deckte auf, dass zwischen 2019 und September 2023 mindestens 35 Personen in Jordanien mit Pegasus infiziert oder angegriffen wurden, darunter 14 forensisch bestätigte Medienschaffende und acht Menschenrechtsanwälte.

Wer die Überwachung konkret anordnete, ist nicht belegt, die jordanische Regierung wird nur vermutet. Die Ermittler gehen von einer hohen Dunkelziffer über die 35 bestätigten Fälle hinaus aus.

Taiwans National Security Bureau dokumentierte für 2024 rund 2,16 Millionen Verbreitungen von Desinformationsinhalten chinesischen Ursprungs, ein Anstieg von 60 Prozent gegenüber 2023. Der Bericht identifizierte 28.216 inauthentische Accounts, davon 77,85 Prozent auf Facebook, sowie KI-gestützte Deepfake-Videos taiwanesischer Politiker.

Die Zahlen stammen ausschließlich vom taiwanesischen Geheimdienst, einer Konfliktpartei mit China, unabhängige Verifikation liegt nicht vor. Die Zurechnung zu staatlichen chinesischen Stellen wird behauptet, aber nicht forensisch belegt.

Im Rahmen des internationalen "Pegasus-Projekts" enthüllte das ungarische Investigativmedium Direkt36 gemeinsam mit Forbidden Stories und Amnesty International, dass die NSO-Group-Spyware Pegasus in Ungarn gegen mindestens zehn Journalisten, Medieneigentümer und deren Umfeld eingesetzt wurde, darunter der Direkt36-Reporter Szabolcs Panyi und der Fotograf Dániel Németh. Eine forensische Analyse von Amnesty International bestätigte erfolgreiche Pegasus-Infektionen auf mehreren Mobiltelefonen; die Nummern tauchten in einer Liste von über 50.000 potenziellen Zielen auf. Die ungarische Regierung räumte spaeter ein, dass Behörden legal Spyware-Verträge mit NSO Group unterhielten.

Belegt ist die technische Infektion einzelner Geräte per forensischer Analyse sowie der Verkauf/Einsatz von Pegasus in Ungarn; nicht abschließend geklärt ist, welche konkrete ungarische Behörde im Einzelfall die Überwachungsanordnung veranlasste, da keine unabhängige gerichtliche Untersuchung stattfand.

Am 24. Maerz 2024 wurde der vietnamesische Wertpapierhaendler VNDirect, einer der groessten Broker des Landes mit rund 940.000 Kundenkonten, Opfer eines Ransomware-Angriffs, der die IT-Systeme verschluesselte und den Handel an der Ho-Chi-Minh-Stadt-Boerse fuer mehrere Tage lahmlegte. Der Handel konnte erst nach rund einer Woche schrittweise wieder aufgenommen werden, vollstaendig erst am 1. April 2024.

Oeffentlich bestaetigt sind Angriffsart, Zeitraum und Handelsausfall; nicht abschliessend belegt sind der genaue Umfang exfiltrierter Kundendaten, die Identitaet der Angreifergruppe und ob Loesegeld gezahlt wurde.

Die sri-lankische Information and Communication Technology Agency (ICTA) bestaetigte am 11. September 2023 einen Ransomware-Angriff auf die staatliche Cloud-Infrastruktur "Lanka Government Cloud" (LGC). Betroffen waren rund 5.000 E-Mail-Konten der gov.lk-Domain; da seit dem 17. Mai 2023 keine Backups mehr existierten, gingen alle Daten aus dem Zeitraum 17. Mai bis 26. August 2023 unwiederbringlich verloren. Ursache war eine veraltete, seit 2014 nicht mehr aktualisierte Microsoft-Exchange-2013-Installation.

Weder die genaue Ransomware-Gruppe noch die Hoehe einer eventuellen Loesegeldforderung sind ersichtlich; unklar bleibt, wie die Angreifer initial Zugriff erlangten.

Laut einer WSJ-Recherche halfen Huawei-Techniker den sambischen Behörden dabei, Telefone und Facebook-Konten oppositioneller Blogger des Portals Zambian Watchdog zu überwachen und deren Verschlüsselung zu umgehen, was 2017 zur Festnahme zweier Blogger führte. Die Techniker arbeiteten direkt mit Regierungsbeamten der Cyber-Kriminalitätseinheit zusammen.

Die Recherche stützt sich auf anonyme Aussagen von Insidern; Huawei bestritt öffentlich jede Beteiligung. Der genaue Umfang der Beteiligung einzelner Huawei-Mitarbeiter bleibt unklar.

Die BBC-Recherche dokumentiert die als "Sakawa" bekannte ghanaische Cyberbetrugsszene, in der junge Männer über gefälschte Online-Dating-Profile monate- bis jahrelange Beziehungen zu ausländischen Opfern aufbauen, um sie zu Geldüberweisungen zu bewegen. Der Bericht schildert konkrete Fälle mit fünf- bis sechsstelligen Dollarverlusten sowie die Verknüpfung mit spirituellen Ritualen ("Juju").

Belastbare Gesamtstatistiken zu Opferzahlen oder Schadenssumme in Ghana insgesamt liefert der Artikel nicht; eine juristische Aufarbeitung wird nicht genannt.

Im Oktober 2023 bestaetigte der staatliche Telekommunikationsanbieter TSTT, dass Kundendaten kompromittiert wurden, nachdem eine Hackergruppe behauptet hatte, Zugriff auf rund 76.000 Kundendatensaetze erlangt zu haben, darunter Namen, Adressen und Kontodaten.

Die genaue Zahl der betroffenen Datensaetze sowie die Identitaet der Angreifer sind nicht abschliessend forensisch bestaetigt; es handelt sich um ein staatsnahes Unternehmen, nicht direkt um eine Regierungsbehoerde.

Im Rahmen des internationalen "Pegasus Project" wiesen forensische Analysen von Amnesty Internationals Security Lab nach, dass die Rufnummer des Mediapart-Chefredakteurs Edwy Plenel sowie weiterer franzoesischer Journalisten auf einer Liste von potenziellen NSO-Group-Zielen stand, die mit dem marokkanischen Nachrichtendienst in Verbindung gebracht wurde. Eine forensische Untersuchung des Telefons von Plenel bestaetigte Spuren einer Pegasus-Infektion im Jahr 2019.

Die technische Forensik belegt eine Infektion des Geraets, der eindeutige Nachweis einer direkten staatlichen Anordnung durch marokkanische Behoerden ist jedoch nicht oeffentlich dokumentiert; Marokko bestreitet die Vorwuerfe.