Quellen-Tabelle

Das US-Justizministerium teilte mit, dass FTX-Gründer Samuel Bankman-Fried am 28. März 2024 zu 25 Jahren Haft und drei Jahren Bewährungsaufsicht verurteilt wurde. Er wurde für schuldig befunden, Kundengelder der im November 2022 kollabierten Kryptobörse FTX in Milliardenhöhe veruntreut, FTX-Investoren um mehr als 1,7 Milliarden Dollar und Alameda-Kreditgeber um mehr als 1,3 Milliarden Dollar betrogen zu haben. Das Gericht ordnete zudem eine Vermögenseinziehung von rund 11 Milliarden Dollar an.

Offen blieb laut Presseberichten, in welchem Umfang die angeordnete Einziehungssumme tatsächlich von Bankman-Fried eingetrieben werden kann, da er nach Richterangaben nicht über entsprechende Vermögenswerte verfügt. Bankman-Fried kündigte Berufung gegen das Urteil an, deren Ausgang zum Zeitpunkt der Mitteilung nicht feststand.

Am 23.03.2022 wurden fünf von neun Validator-Schlüsseln der Ronin-Bridge des Spieleentwicklers Sky Mavis (Axie Infinity) kompromittiert, wodurch Angreifer 173.600 Ether und 25,5 Millionen USDC im Gesamtwert von rund 625 Millionen Dollar abziehen konnten. Der Zugriff erfolgte laut Sky Mavis über einen manipulierten Gas-freien RPC-Knoten, nachdem ein leitender Ingenieur zuvor mit einem gefälschten Jobangebot geködert worden war. Das FBI bestätigte am 14.04.2022 offiziell, dass die nordkoreanische Lazarus-Gruppe verantwortlich war.

Wie genau der gefälschte Job-Köder technisch zum Zugriff auf den RPC-Knoten führte, wurde von Sky Mavis nur in groben Zügen offengelegt. Nur ein Bruchteil der gestohlenen Gelder wurde je sichergestellt, eine strafrechtliche Verurteilung einzelner Täter liegt bis heute nicht vor, da sich die Verantwortlichen mutmaßlich in Nordkorea befinden.

Am 10. August 2021 erbeutete ein Angreifer durch Ausnutzung einer Schwachstelle in den Smart Contracts des Cross-Chain-Protokolls Poly Network Kryptowerte im Wert von rund 600 Millionen Dollar auf den Blockchains Ethereum, Binance Smart Chain und Polygon. Bereits einen Tag später begann der Angreifer, den Großteil der Gelder zurückzuüberweisen, nachdem Poly Network öffentlich dazu aufgerufen hatte. Tether fror rund 33 Millionen Dollar der gestohlenen USDT-Bestände ein.

Die Identität des Angreifers wurde nie zweifelsfrei geklärt, seine angebliche Begründung, die Tat sei zum Spaß und zum Aufzeigen der Sicherheitslücke erfolgt, ist unbelegt. Nicht abschließend dokumentiert ist auch, ob der Angreifer allein handelte oder ob es Mittäter gab.

Laut US-Bundesanwaltschaft SDNY verkaufte OneCoin ab 2014 in Bulgarien eine erfundene Kryptowährung ohne echte Blockchain über ein weltweites Multi-Level-Marketing-Netzwerk und erbeutete so über 4 Milliarden Dollar von rund 3,5 Millionen Anlegern. Mitgründer Karl Sebastian Greenwood wurde am 12.09.2023 zu 20 Jahren Haft und 300 Millionen Dollar Einziehung verurteilt. Gründerin Ruja Ignatova wurde 2017 angeklagt, verschwand im Oktober 2017 und steht seit Juni 2022 auf der FBI-Liste der zehn meistgesuchten Flüchtigen.

Ruja Ignatovas Aufenthaltsort ist bis heute unbekannt, sie gilt weiter als flüchtig. Ein 2022 aufgetauchter Polizeibericht legt nahe, sie sei 2018 ermordet worden, ihre Leiche wurde jedoch nie gefunden. Spätere Hinweise auf mögliche Sichtungen sind nicht bestätigt, sodass offen bleibt, ob sie noch lebt.

Die SEC klagte Bill Hwang und weitere Führungskräfte von Archegos Capital Management wegen eines betrügerischen Schemas an. Hwang kaufte ab März 2020 auf Kredit Total Return Swaps und täuschte Banken systematisch über die tatsächliche Risikokonzentration seines Fonds. Als die Kurse der Positionen im März 2021 fielen, konnte Archegos Nachschussforderungen nicht bedienen, was zu Verlusten von über 10 Milliarden US-Dollar bei Banken wie Credit Suisse, Nomura, UBS und Morgan Stanley führte. Im Juli 2024 wurde Hwang für schuldig befunden und im November 2024 zu 18 Jahren Haft verurteilt.

Offen bleibt, wie hoch die tatsächlichen Gesamtverluste aller betroffenen Banken letztlich waren, da einzelne Institute unterschiedliche Zahlen nannten. Nicht abschließend geklärt ist zudem, inwieweit die beteiligten Prime-Broker-Banken durch eigenes Risikomanagement-Versagen zur Höhe der Verluste beitrugen.

Die BaFin verhängte am 3. März 2021 ein Moratorium über die Bremer Greensill Bank AG, nachdem diese keine Nachweise für Forderungen aus ihrer Lieferkettenfinanzierung vorlegen konnte. Am 16. März 2021 stellte die BaFin einen Entschädigungsfall fest und beantragte die Insolvenz beim Amtsgericht Bremen, das das Verfahren noch am selben Tag eröffnete. Kundeneinlagen werden über die gesetzliche Einlagensicherung bis 100.000 Euro entschädigt.

Die genaue Schadenshöhe für deutsche Kommunen und Sparkassen, die laut Medienberichten dreistellige Millionenbeträge bei der Greensill Bank angelegt hatten, wird in den BaFin-Mitteilungen nicht beziffert. Individuelle strafrechtliche oder aufsichtsrechtliche Verantwortlichkeiten von Bankmanagern waren zum Zeitpunkt der Veröffentlichung nicht abschließend geklärt.

Am 26. Januar 2018 stahlen Angreifer aus einer ungesicherten Hot Wallet der japanischen Kryptobörse Coincheck rund 523 Millionen NEM (XEM) im Wert von etwa 58 Milliarden Yen, umgerechnet rund 530 Millionen US-Dollar. Coincheck sicherte die Coins weder per Cold Wallet noch per Multisignatur ab, wovon rund 260.000 Kunden betroffen waren. Die japanische Finanzaufsicht FSA durchsuchte danach die Coincheck-Büros und erließ mehrere Verbesserungsanordnungen, Coincheck erstattete den Kunden im März 2018 rund 46,6 Milliarden Yen aus eigenen Mitteln.

Wer die Täter waren, ist bis heute nicht abschließend behördlich geklärt. Bloomberg berichtete unter Berufung auf Ermittler über einen Verdacht gegen Nordkorea, eine offizielle Bestätigung japanischer Behörden dafür liegt jedoch nicht vor.

Am 1. August 2024 trat die EU-Verordnung über Künstliche Intelligenz, Verordnung (EU) 2024/1689, in Kraft, nachdem sie am 12. Juli 2024 im Amtsblatt der EU veröffentlicht worden war. Die EU-Kommission bezeichnet sie offiziell als weltweit erstes umfassendes Rechtsrahmenwerk für KI. Die Pflichten gelten gestaffelt: Verbote bestimmter KI-Praktiken wie Social Scoring ab dem 2. Februar 2025, Governance-Regeln und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck ab dem 2. August 2025.

Offen bleibt, bis wann die Pflichten für Hochrisiko-KI-Systeme in Bereichen wie Bildung, Beschäftigung oder Migration vollständig greifen, da die Kommission über das separat verhandelte Digital-Omnibus-Paket Verschiebungen dieser Fristen vorschlägt. Wie streng die nationalen Marktüberwachungsbehörden die Vorgaben in der Praxis durchsetzen und mit welchen Bußgeldern, ist zum Erfassungszeitpunkt noch nicht erprobt.

Die italienische Datenschutzbehörde Garante ordnete am 30. März 2023 eine sofortige vorläufige Beschränkung der Datenverarbeitung durch ChatGPT in Italien an. Als Gründe nannte sie die fehlende Rechtsgrundlage für die massenhafte Sammlung und Speicherung personenbezogener Daten zum Training der Algorithmen, mangelhafte Nutzerinformation sowie das Fehlen einer Altersverifikation für Minderjährige. Ausgelöst wurde die Maßnahme auch durch ein Datenleck bei OpenAI vom 20. März 2023. Nachdem OpenAI bis zum 28. April 2023 Auflagen umsetzte, wurde der Dienst wieder freigeschaltet.

Offen bleibt, in welchem Umfang OpenAI die geforderten Maßnahmen tatsächlich dauerhaft und vollständig umsetzte, da spätere Verfahren des Garante weitere Verstöße feststellten. Nicht abschließend geklärt ist zudem, wie wirksam die eingeführte Altersverifikation in der Praxis tatsächlich Minderjährige schützt.

Samsung Electronics verbot im Mai 2023 firmenweit die Nutzung von ChatGPT, Google Bard und ähnlichen KI-Chatbots auf Firmengeräten und im internen Netzwerk. Auslöser waren mindestens drei Vorfälle in der Halbleitersparte binnen rund drei Wochen, bei denen Mitarbeiter fehlerhaften Fertigungs-Quellcode, Testcode zur Chip-Fehleranalyse und ein internes Meeting-Protokoll in ChatGPT eingaben. Samsung drohte bei Verstößen disziplinarische Maßnahmen bis zur Kündigung an.

Nicht öffentlich bekannt sind die Namen der beteiligten Mitarbeiter und der genaue Umfang des tatsächlich abgeflossenen Codes. Unklar bleibt auch, ob die eingegebenen Daten in spätere ChatGPT-Antworten an andere Nutzer einflossen oder von OpenAI zum Modelltraining verwendet wurden.

Die italienische Datenschutzbehörde Garante erließ am 2. Februar 2023 eine Dringlichkeitsanordnung gegen den US-Anbieter Luka Inc und untersagte die Verarbeitung personenbezogener Daten italienischer Nutzer durch den KI-Begleiter-Chatbot Replika. Grund waren fehlende Altersverifikation und Verstöße gegen Transparenzpflichten der DSGVO, da Replika Minderjährige nicht wirksam ausschließen konnte und diesen laut Tests auch sexuell konnotierte Antworten lieferte. Bei Nichtbefolgung drohte eine Strafe von bis zu 20 Millionen Euro.

Offen bleibt, wie viele italienische Minderjährige Replika tatsächlich nutzten und welchen konkreten Schaden sie erlitten. Die genaue Höhe der später verhängten Geldbuße gegen Luka Inc ist in den hier genutzten Quellen nicht abschließend beziffert.

Vodafone Deutschland bestätigte am 12. September 2013 einen Angriff auf einen internen Server, bei dem Name, Adresse, Geburtsdatum, Geschlecht, Bankleitzahl und Kontonummer von rund zwei Millionen Kunden entwendet wurden. Vodafone erklärte, der Angriff sei nur mit hoher krimineller Energie und Insiderwissen möglich gewesen. Die Polizei identifizierte einen tatverdächtigen Mitarbeiter, während eine Hackergruppe namens Team_L4w sich in einem Bekennerschreiben zu der Tat bekannte.

Offen blieb, wer die Tat tatsächlich beging und ob der festgenommene Verdächtige allein oder im Zusammenwirken mit der Hackergruppe handelte. Unklar blieb auch der genaue Verschlüsselungsstatus der Kundendaten sowie der volle Umfang des Datenbankzugriffs.

Der BfDI Ulrich Kelber verhängte am 9. Dezember 2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH. Grund war ein Verstoß gegen Art. 32 DSGVO, da Anrufer an der Kundenhotline sich lediglich mit Name und Geburtsdatum ausweisen mussten und dadurch unbefugt an persönliche Kundendaten gelangen konnten. Auslöser war ein 2018 dokumentierter Fall, in dem eine Ex-Partnerin so die neue Telefonnummer eines Kunden erfragte.

1&1 legte gegen das Bußgeld Einspruch ein. Das Landgericht Bonn bestätigte 2020 zwar den Verstoß, reduzierte die Strafe aber auf 900.000 Euro, da es die Fahrlässigkeit als gering einstufte. Ob weitere Kunden konkret geschädigt wurden, ist nicht dokumentiert.

In der Nacht vom 7. auf den 8. November 2021 griff die Ransomware-Gruppe Hive die IT-Infrastruktur der MediaMarktSaturn Retail Group an und verschlüsselte nach Unternehmensangaben rund 3100 Windows-Server. Betroffen waren Filialen und nationale Gesellschaften in 13 europäischen Ländern, Kassen- und Warenwirtschaftssysteme fielen zeitweise aus, während die Online-Shops weiterliefen. Die Angreifer forderten laut späteren Medienberichten zunächst 240 Millionen US-Dollar Lösegeld, was auf rund 50 Millionen US-Dollar reduziert wurde.

Offen bleibt, ob MediaMarktSaturn tatsächlich Lösegeld gezahlt hat und in welcher Höhe. Der genaue technische Einstiegsweg der Hive-Gruppe in das Firmennetz ist öffentlich nicht dokumentiert. Unklar blieb zum Zeitpunkt der Berichterstattung zudem, ob und in welchem Umfang die Angreifer tatsächlich Daten entwendet und veröffentlicht haben.

Der Automobilzulieferer Continental wurde im Sommer 2022 von der Ransomware-Gruppe LockBit angegriffen, die rund 40 Terabyte an Daten erbeutete. Betroffen waren Unternehmens- und Kundendaten sowie personenbezogene Informationen einer niedrigen bis mittleren fünfstelligen Zahl von Beschäftigten, weshalb Continental Zehntausende DSGVO-Informationsschreiben verschickte. LockBit forderte zunächst 50 Millionen US-Dollar Lösegeld, das Unternehmen erklärte, sich nicht erpressen lassen zu wollen.

Der genaue finanzielle Schaden und der exakte Umfang der tatsächlich veröffentlichten Daten sind nicht öffentlich bestätigt. Unklar bleibt auch, ob und in welchem Umfang die Lösegeldforderung letztlich verhandelt oder bezahlt wurde.

Die Staatsanwaltschaft Verden übergab dem BSI rund 21 Millionen sichergestellte Zugangsdaten, nach Bereinigung verblieben etwa 18 Millionen Datensätze, davon 3 Millionen deutschen Providern zuzuordnen. Die Deutsche Telekom bestätigte offiziell, dass rund 87.000 ihrer T-Online-Kunden betroffen waren und informierte diese per E-Mail über Schutzmaßnahmen. Laut BSI handelte es sich um gestohlene Benutzernamen und Passwörter, die vermutlich durch Schadsoftware auf Nutzergeräten abgegriffen wurden.

Die genaue Herkunft und der ursprüngliche Angriffsweg der gestohlenen Zugangsdaten bleiben laut BSI ungeklärt, ein Diebstahl direkt von Telekom-Servern wird aber ausgeschlossen. Nicht belegt ist, wie viele der informierten Kunden tatsächlich Opfer von Missbrauch wurden.

Bloomberg deckte am 10. April 2019 auf, dass Amazon weltweit tausende Mitarbeiter und Vertragspartner in Standorten wie Boston, Costa Rica, Indien und Rumänien beschäftigte, um Sprachaufnahmen von Echo-Alexa-Geräten manuell abzuhören und zu transkribieren. Die Aufnahmen wurden mit Kontonummer, Vornamen und Geräteseriennummer verknüpft. Reviewer sichteten pro neunstündiger Schicht bis zu 1000 Audioclips und hörten dabei teils sensible Inhalte wie medizinische Gespräche oder häusliche Konflikte.

Offen blieb, wie viele Nutzer insgesamt betroffen waren und in welchem Umfang identifizierende Daten in der Praxis tatsächlich zur Identifikation einzelner Personen genutzt wurden. Nicht abschließend dokumentiert ist zudem, ob und wie stark Amazon die Praxis nach der Veröffentlichung tatsächlich einschränkte.

Ende 2019 verschafften sich Hacker per Credential Stuffing Zugriff auf Ring-Kameras in Kinderzimmern in den USA. Sie sprachen über die eingebaute Lautsprecherfunktion mit Kindern und beschimpften sie, dokumentiert unter anderem in einem Fall in DeSoto County, Mississippi im Dezember 2019 sowie in weiteren Fällen in Florida, Georgia und Tennessee. Ring erklärte, es gebe keine Hinweise auf eine Kompromittierung der eigenen Systeme, und führte die Zugriffe auf wiederverwendete Zugangsdaten der Nutzer zurück.

Offen bleibt, wie viele Ring-Konten insgesamt betroffen waren und ob einzelne Täter identifiziert oder strafrechtlich belangt wurden. Diese Frage wurde erst 2023 in einem Verfahren der US-Handelsaufsicht FTC gegen Amazon Ring rechtlich aufgearbeitet, das mit einer Zahlung von 5,6 Millionen Dollar an betroffene Kunden endete.

Im Januar 2019 erlangte ein unbekannter Angreifer Zugriff auf die Nest-Kamera einer Familie in Orinda, Kalifornien, mithilfe eines Passworts, das zuvor bei einem fremden Datenleck offengelegt und für das Nest-Konto wiederverwendet worden war. Über die Kamera wurde eine falsche Notfallwarnung vor einem nordkoreanischen Raketenangriff auf die USA abgespielt. Google bestätigte öffentlich, dass Nest selbst nicht kompromittiert wurde, sondern wiederverwendete Passwörter die Ursache waren.

Offen bleibt, aus welchem konkreten Datenleck das verwendete Passwort stammte und wer für den Angriff verantwortlich war. Google veröffentlichte zudem keine genaue Gesamtzahl aller im Rahmen dieser Angriffswelle betroffenen Nest-Konten.

Am 12.07.2024 teilte die EU-Kommission X (vormals Twitter) vorläufige Feststellungen mit, wonach das Unternehmen gegen Artikel 25, 39 und 40 Absatz 12 des Digital Services Act verstößt. Beanstandet wurden irreführende Design-Praktiken beim bezahlten Blue Checkmark, mangelnde Transparenz im Werbe-Repository und unzureichender Datenzugang für unabhängige Forscher. Am 05.12.2025 verhängte die Kommission deswegen in ihrer ersten DSA-Bußgeldentscheidung eine Geldstrafe von 120 Millionen Euro gegen X.

Offen bleibt in den amtlichen Mitteilungen, ob und wie X gegen die Entscheidung vorgeht, etwa vor dem Gericht der EU. Die genauen technischen und organisatorischen Nachbesserungen, zu denen X verpflichtet wurde, sind in den Pressemitteilungen nur skizziert, nicht im Detail dokumentiert.

Die US-Bastelmarktkette Michaels bestätigte am 17. April 2014 offiziell, dass Schadsoftware auf den Kassensystemen ihrer Filialen installiert war und dort zwischen dem 8. Mai 2013 und dem 27. Januar 2014 Zahlungskartendaten von rund 2,6 Millionen Karten abgriff. Bei der Tochterkette Aaron Brothers waren zusätzlich zwischen dem 26. Juni 2013 und dem 27. Februar 2014 rund 400.000 Karten betroffen, insgesamt also etwa 3 Millionen Kartendatensätze. Michaels erklärte, es seien nur Kartennummern und Ablaufdaten entwendet worden, nicht jedoch Namen, Adressen oder PINs.

Die genaue Identität der Angreifer und der exakte Infektionsweg der Malware in die Kassensysteme wurden in der Quelle nicht benannt. Offen blieb zudem, ob und in welchem Umfang die gestohlenen Kartendaten tatsächlich für Betrug genutzt wurden, auch wenn Michaels vereinzelte Betrugsmeldungen von Banken erwähnte.

Der Luftfahrt-IT-Dienstleister SITA, dessen Passenger Service System rund 90 Prozent der Fluggesellschaften weltweit nutzen, bestätigte am 24. Februar 2021 einen Cyberangriff auf seine Systeme. Der Einbruch fand laut einem Lufthansa-Sprecher zwischen dem 21. Januar und 11. Februar 2021 statt und betraf unter anderem Malaysia Airlines, Finnair, Singapore Airlines, Cathay Pacific, Air New Zealand, Lufthansa, SAS, American Airlines und United. Kompromittiert wurden vor allem Vielfliegerdaten wie Mitgliedsnummern und Statuslevel.

Eine weltweite Gesamtzahl betroffener Passagiere veröffentlichte SITA nicht, einzelne Airlines nannten nur Teilzahlen wie rund 500.000 bei Singapore Airlines oder etwa 1,35 Millionen Miles-and-More-Teilnehmer bei Lufthansa. Die genaue Angriffsmethode und die Identität der Angreifer wurden von SITA öffentlich nicht bestätigt.

Am 6. Juli 2016 gab das britische Gesundheitsministerium bekannt, dass NHS England das umstrittene Programm care.data einstellt. Care.data sollte ab 2013 Patientendaten aus Hausarztpraxen in England zentral zusammenführen und für Forschung und Planung verfügbar machen, wurde aber wegen unzureichender Aufklärung der Patienten und Datenschutzbedenken nie vollständig umgesetzt. Die Einstellung folgte auf den Caldicott-Bericht der National Data Guardian sowie einen Bericht der Care Quality Commission.

Die offizielle Erklärung nennt keine konkreten Zahlen zu Kosten oder Opt-out-Quoten des Programms. Berichte anderer Medien beziffern die bereits entstandenen Kosten auf rund 8 Millionen Pfund und die Zahl der Opt-outs auf etwa 1,5 Millionen, dies stammt jedoch nicht aus der Primärquelle selbst.

NHS Digital wollte im Rahmen des Programms General Practice Data for Planning and Research (GPDPR) ab dem 1. Juli 2021 identifizierbare Gesundheitsdaten aus allen Hausarztpraxen in England zentral für Planungs- und Forschungszwecke sammeln. Nach Widerstand der Ärzteverbände BMA und Royal College of GPs, einer angekündigten Klage der Organisation Foxglove und politischem Druck der Labour-Partei verschob die britische Regierung den Starttermin am 8. Juni 2021 um zwei Monate auf den 1. September 2021.

Aus dieser Quelle nicht beziffert ist die genaue Zahl der bis zu diesem Zeitpunkt eingegangenen Patienten-Opt-outs. Offen bleibt aus diesem Artikel auch der weitere Verlauf nach der zweimonatigen Verschiebung, da das Programm späteren Berichten zufolge am 19. Juli 2021 auf unbestimmte Zeit zusätzlich pausiert wurde.

Die Schweizer IT-Sicherheitsfirma modzero deckte 2018 gravierende Sicherheitslücken in der von 14 gesetzlichen und 2 privaten Krankenkassen unterstützten Gesundheits-App Vivy auf, die rund 13,5 Millionen Versicherte digital nutzen konnten. Namen, Fotos, E-Mail-Adressen, Geburtsdaten und Versichertennummern sowie Arztdaten waren durch Schwächen bei Verschlüsselung und Schlüsselverwaltung unzureichend geschützt. modzero informierte Vivy am 21.09.2018 und veröffentlichte den Bericht am 30.10.2018 nach Ablauf einer vereinbarten Frist.

Der Bericht dokumentiert nur die technische Machbarkeit der Angriffe, keine belegten Fälle von tatsächlichem Datenmissbrauch oder Datenabfluss an Dritte. Ob die von Vivy zugesicherten Gegenmaßnahmen alle Lücken vollständig schlossen, wurde von modzero nicht unabhängig nachgeprüft.