Quellen-Tabelle

Das ICIJ veröffentlichte am 19.01.2020 die Luanda Leaks, basierend auf mehr als 715.000 geleakten Dokumenten zur früheren Sonangol-Chefin Isabel dos Santos, Tochter des langjährigen angolanischen Präsidenten. An der Auswertung waren 36 Medienpartner und mehr als 120 Journalisten aus rund 20 Ländern beteiligt. Die Dokumente zeigten ein Netzwerk von mehr als 400 Firmen in 41 Ländern, über das öffentliche Gelder aus Angola abgeflossen sein sollen. Als Folge fror die Schweiz im August 2020 Vermögenswerte von rund 900 Millionen US-Dollar ein, Angola erhob im Januar 2024 in zwölf Anklagepunkten Vorwürfe gegen dos Santos, Großbritannien verhängte im November 2024 Sanktionen.

Isabel dos Santos bestreitet über ihre Anwälte jegliches Fehlverhalten. Gegen sie liegt seit 2022 eine Interpol-Red-Notice vor, eine tatsächliche Festnahme oder Auslieferung aus den Vereinigten Arabischen Emiraten ist bislang nicht erfolgt.

Am 03.04.2016 veröffentlichten das ICIJ und die Süddeutsche Zeitung gemeinsam mit über 100 weiteren Medienpartnern die Panama Papers. Grundlage waren 11,5 Millionen interne Dokumente der panamaischen Kanzlei Mossack Fonseca mit einem Gesamtvolumen von 2,6 Terabyte. Rund 400 Journalisten aus fast 80 Ländern werteten die Daten über ein Jahr lang aus. Die Unterlagen dokumentieren mehr als 214.000 Offshore-Gesellschaften mit Verbindungen zu Personen in über 200 Ländern und Territorien, darunter amtierende und ehemalige Staats- und Regierungschefs.

Nicht abschließend geklärt ist bis heute die konkrete Identität der Quelle, die die Dokumente an die Süddeutsche Zeitung weitergab, sie trat öffentlich nur unter dem Pseudonym John Doe auf. Offen bleibt, in welchem Umfang die sichtbaren Offshore-Strukturen jeweils legale Steuergestaltung oder illegale Steuerhinterziehung darstellten, da dies für jeden Einzelfall gesondert zu prüfen war. Die technische Vorgehensweise des Datenabflusses (Hack versus Insider-Leak) wurde nicht im Detail forensisch belegt.

Das ICIJ veröffentlichte am 05.11.2017 die Paradise Papers, basierend auf 13,4 Millionen geleakten Dateien überwiegend von der Offshore-Kanzlei Appleby mit Sitz in Bermuda, ergänzt um Unterlagen des Dienstleisters Asiaciti Trust und Firmenregister aus 19 Geheimhaltungsjurisdiktionen. Die Süddeutsche Zeitung erhielt die Dateien zuerst und teilte sie mit dem ICIJ und 95 Medienpartnern weltweit. Die Auswertung deckte Offshore-Aktivitäten von mehr als 120 Politikern und Staatschefs sowie Steuerplanung von rund 100 multinationalen Konzernen auf.

Wie die Süddeutsche Zeitung ursprünglich Zugang zu den Appleby-Dateien erhielt, ist nicht öffentlich dokumentiert. Nicht alle genannten Politiker und Unternehmen wurden individuell strafrechtlich verfolgt, die Nennung in den Papieren allein belegt keine Rechtswidrigkeit der jeweiligen Offshore-Strukturen.

Die New York Times berichtete am 01.06.2012 unter Berufung auf zahlreiche Regierungsvertreter über ein gemeinsames US-israelisches Cybersabotage-Programm gegen die iranische Urananreicherungsanlage Natanz mit dem Codenamen Olympic Games. Im Sommer 2010 entkam ein Teil der eingesetzten Schadsoftware durch einen Programmierfehler aus der Anlage und verbreitete sich weltweit im Internet, Sicherheitsforscher benannten den Wurm Stuxnet. Die letzte im Artikel beschriebene Angriffswelle legte vorübergehend fast 1.000 der rund 5.000 zu diesem Zeitpunkt in Natanz laufenden Zentrifugen lahm.

Der Bericht stützt sich auf anonyme Insider-Quellen, eine offizielle Bestätigung der Urheberschaft durch die Regierungen der USA oder Israels liegt bis heute nicht vor. Wie viele Zentrifugen dauerhaft zerstört statt nur vorübergehend gestoppt wurden, bleibt unter Experten umstritten.

Das US-Office of Personnel Management gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff Datensätze von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller für Sicherheitsüberprüfungen. Erbeutet wurden Sozialversicherungsnummern, Wohnsitz- und Ausbildungsdaten sowie Gesundheits-, Straf- und Finanzdaten aus den Sicherheitsüberprüfungsformularen SF-86, SF-85 und SF-85P. Zusätzlich waren zunächst 1,1 Millionen Fingerabdruck-Datensätze betroffen, diese Zahl wurde im September 2015 auf 5,6 Millionen korrigiert. US-Geheimdienstdirektor James Clapper bezeichnete China als leading suspect für den Angriff, China wies eine Beteiligung zurück.

Eine formelle, namentliche Zurechnung des Angriffs zu chinesischen Regierungsstellen wurde von der US-Regierung nie mit Beweisführung veröffentlicht. Wie viele der 21,5 Millionen Betroffenen mit den 4,2 Millionen Betroffenen der ersten, separaten OPM-Datenpanne identisch sind, wird in Berichten unterschiedlich beziffert.

Das US-Justizministerium gab am 09.05.2019 Anklage gegen den chinesischen Staatsbürger Fujie Wang sowie einen unidentifizierten Mittäter wegen des Einbruchs bei US-Krankenversicherer Anthem im Jahr 2015 bekannt. Erbeutet wurden Daten von rund 78,8 Millionen Personen, darunter Namen, Sozialversicherungsnummern, Versichertennummern, Geburtsdaten, Adressen und Beschäftigungsangaben. Das Justizministerium ordnete die Täter einer in China ansässigen Hackergruppe zu.

Eine offizielle Verbindung der Hackergruppe zur chinesischen Regierung stellte das Justizministerium in der Anklage nicht her. Ob Fujie Wang oder der Mittäter je festgenommen wurden, ist aus dieser Quelle nicht ersichtlich, beide galten als flüchtig in China.

Ende Mai 2016 bot ein Hacker namens Peace auf einem Darknet-Marktplatz einen Datensatz mit rund 360 Millionen MySpace-E-Mail-Adressen und 427 Millionen Passwörtern für umgerechnet rund 2.800 US-Dollar zum Verkauf an. Der zugrunde liegende Einbruch wird von Have I Been Pwned auf etwa 2008 datiert, betroffen waren E-Mail-Adressen, Nutzernamen und unsalted SHA1-Passwort-Hashes. MySpace bestätigte 2016 lediglich, von dem Vorfall erfahren zu haben, und setzte Passwörter alter Konten zurück.

Wann genau und auf welchem technischen Weg die Daten ursprünglich bei MySpace entwendet wurden, ist bis heute nicht geklärt. Auch die tatsächliche Identität des Verkäufers Peace ist öffentlich nicht zweifelsfrei belegt.

Der Landesbeauftragte für Datenschutz Baden-Württemberg verhängte am 25.06.2020 ein Bußgeld von 1.240.000 Euro gegen die AOK Baden-Württemberg wegen eines Verstoßes gegen Art. 32 DSGVO im Zusammenhang mit Gewinnspielen zwischen 2015 und 2019. Die technischen und organisatorischen Maßnahmen der AOK stellten nicht sicher, dass nur Daten von Teilnehmern mit wirksamer Einwilligung zu Werbezwecken genutzt wurden. Dadurch wurden personenbezogene Daten von mehr als 500 Gewinnspielteilnehmern ohne gültige Einwilligung für Werbung verwendet.

Die genaue Gesamtzahl aller Gewinnspielteilnehmer ist nicht öffentlich beziffert, die Behörde nennt nur die Mindestzahl von über 500 Betroffenen ohne wirksame Einwilligung. Versichertendaten im engeren Sinn waren laut Aufsichtsbehörde nicht betroffen, dies stützt sich allein auf deren eigene Angabe.

Am 21.10.2016 wurde die DNS-Infrastruktur des US-Anbieters Dyn durch eine mehrwellige DDoS-Attacke gestört, wodurch Twitter, Spotify, Reddit, SoundCloud und weitere Websites auf der US-Ostküste zeitweise nicht erreichbar waren. Die Sicherheitsfirma Flashpoint identifizierte Hinweise auf ein Mirai-basiertes Botnetz aus gekaperten IoT-Geräten wie Sicherheitskameras und Routern als Angriffsquelle. Der Mirai-Quellcode war im September 2016 öffentlich veröffentlicht worden, kurz zuvor hatte dasselbe Botnetz bereits KrebsOnSecurity mit rund 620 Gbit/s angegriffen.

Dieser zeitnahe Bericht nennt weder die genaue Zahl der beteiligten Geräte noch eine exakte Spitzenbandbreite oder gesicherte Täterschaft. Die spätere strafrechtliche Aufarbeitung mit den Schuldbekenntnissen der Mirai-Miturheber im Dezember 2017 ist nicht Gegenstand dieser Quelle.

Das FBI gab am 09.11.2011 den Abschluss der zweijährigen Ermittlung Operation Ghost Click bekannt. Sechs estnische und ein russischer Staatsbürger wurden angeklagt, seit 2007 mit der Schadsoftware DNSChanger etwa vier Millionen Computer in mehr als 100 Ländern infiziert zu haben, darunter rund 500.000 in den USA. Die Malware veränderte DNS-Einstellungen und leitete Datenverkehr auf Server der Täter um, um per Klickbetrug Werbeeinnahmen zu erzielen. Die Behörden bezifferten den illegalen Gewinn auf mindestens 14 Millionen US-Dollar.

Der genaue rechtskräftige Ausgang aller Verfahren gegen die einzelnen Angeklagten ist nicht einheitlich öffentlich dokumentiert, da mehrere in Estland ansässig blieben. Der russische Mitangeklagte Andrey Taame galt als flüchtig, sein weiterer strafrechtlicher Verbleib ist nicht abschließend belegt.

Europol meldete am 26.03.2018 die Festnahme des mutmaßlichen Anführers der Cyberkriminellen-Gruppe Carbanak/Cobalt in Alicante, Spanien. Die Gruppe soll zwischen 2013 und 2018 mehr als 100 Banken und Finanzinstitute in rund 40 Ländern angegriffen haben, Europol beziffert den Gesamtschaden auf über eine Milliarde Euro. Die Täter verschafften sich per Spear-Phishing Zugang zu Bankmitarbeiter-Rechnern und ließen Geldautomaten ferngesteuert Bargeld ausgeben oder manipulierten Kontostände direkt.

Den vollständigen Namen des in Spanien festgenommenen Verdächtigen nannte Europol offiziell nicht. Ob mit dieser einen Festnahme die gesamte Gruppenstruktur zerschlagen wurde oder weitere Mitglieder unbehelligt blieben, ist öffentlich nicht abschließend dokumentiert.

Das US-Justizministerium gab am 01.08.2018 die Festnahme dreier ukrainischer Staatsangehöriger bekannt, denen die Mitgliedschaft in der Hackergruppe FIN7 vorgeworfen wird. Seit mindestens 2015 griff FIN7 mittels Phishing und der Schadsoftware Carbanak Kassensysteme von mehr als 100 US-Unternehmen an, vor allem Restaurant- und Hotelketten wie Arby's, Chipotle und Chili's. Nach DOJ-Angaben wurden mehr als 15 Millionen Zahlungskartendaten von über 6.500 Kassenterminals an mehr als 3.600 Geschäftsstandorten entwendet.

Die genaue Gesamtschadenssumme in US-Dollar wird von der DOJ nicht beziffert. Die drei genannten Personen waren zum Zeitpunkt der Pressemitteilung erst angeklagt, nicht verurteilt, spätere Verurteilungen sind nicht Teil dieser Quelle.

Das Verwaltungsgericht Hannover entschied am 05.06.2025 über die Klage von Volkswagen gegen fünf Verwarnungen der Landesbeauftragten für den Datenschutz Niedersachsen. Die Behörde hatte VW wegen Datenschutzverstößen bei der Aufarbeitung des Dieselskandals verwarnt, unter anderem wegen unzureichender Information von Beschäftigten vor der Weitergabe ihrer Daten an einen US-Monitor und die US-Umweltbehörde EPA. Das Gericht bestätigte drei der fünf Verwarnungen und erklärte zwei für rechtswidrig, im Kern ging es um die Übermittlung von mehr als 65.000 Dokumenten mit personenbezogenen Daten an US-Stellen.

Der vollständige Wortlaut der schriftlichen Urteilsbegründung war zum Zeitpunkt der Pressemitteilung noch nicht veröffentlicht. Dieses Verfahren betrifft ausschließlich die Datenverarbeitung im Zuge der Dieselskandal-Aufklärung und ist getrennt vom späteren Fall der VW-Tochter Cariad zu Standortdaten von Elektrofahrzeugen.

Die britische Datenschutzbehörde ICO verhängte am 30.10.2020 eine Geldbuße von 18,4 Millionen Pfund gegen Marriott International wegen Verstößen gegen Artikel 5(1)(f) und Artikel 32 DSGVO. Grundlage war ein Cyberangriff auf die Reservierungsdatenbank der 2016 von Marriott übernommenen Starwood Hotels, bei dem sich Unbekannte bereits seit 2014 unbemerkt Zugang verschafft hatten. Entdeckt wurde der Angriff erst am 08.09.2018, betroffen waren bis zu 339 Millionen Gästedatensätze weltweit, darunter rund 7 Millionen mit Bezug zum Vereinigten Königreich.

Ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat, geht aus der Quelle nicht hervor. Die separate Geldbuße der US-Behörde FTC gegen Marriott aus dem Jahr 2024 ist ein eigenständiges, späteres Verfahren und nicht Gegenstand dieser Quelle.

Beim Target-Datenleck im Weihnachtsgeschäft 2013 verschafften sich Angreifer ab dem 15.11.2013 mit gestohlenen Netzwerk-Zugangsdaten der HLK-Firma Fazio Mechanical Services aus Pennsylvania Zugang zu Target-Systemen. Fazio Mechanical hatte Fernzugriff auf administrative Target-Systeme für Rechnungsstellung und Projektmanagement. Über diesen Zugang installierten die Angreifer RAM-scrapende Malware auf Kassensystemen und erbeuteten zwischen dem 27.11. und 15.12.2013 Daten von rund 40 Millionen Kredit- und Debitkarten.

Wie genau die Zugangsdaten von Fazio Mechanical ursprünglich erbeutet wurden, ist nicht abschließend öffentlich dokumentiert. Fazio Mechanical erklärte, keine Fernüberwachung von HLK-Anlagen bei Target durchgeführt zu haben, ihr Zugang habe sich auf administrative Funktionen beschränkt.

Angreifer erlangten zwischen Ende Februar und Anfang März 2014 eine kleine Zahl von Mitarbeiter-Zugangsdaten und verschafften sich damit Zugriff auf eBays Firmennetzwerk und eine Kundendatenbank mit Namen, verschlüsselten Passwörtern, E-Mail-Adressen, Anschriften und Geburtsdaten. eBay informierte am 21.05.2014 öffentlich und forderte alle rund 145 Millionen aktiven Nutzerkonten zur Passwortänderung auf. Finanz- oder Kreditkartendaten waren laut Unternehmen nicht betroffen, da diese getrennt bei PayPal gespeichert waren.

Wie viele der 145 Millionen Nutzerkonten tatsächlich betroffen waren, bleibt offen, eBay nannte nur die Gesamtzahl aktiver Nutzer als Referenzgröße. Wie die Angreifer die anfänglichen Mitarbeiter-Zugangsdaten erbeuteten, ist ebenso unklar wie ihre Identität.

JPMorgan Chase teilte am 02.10.2014 der US-Börsenaufsicht SEC mit, dass ein im Sommer 2014 entdeckter Cyberangriff Kontaktdaten von rund 76 Millionen Haushalten und 7 Millionen kleinen Unternehmen kompromittiert hat, zusammen etwa 83 Millionen betroffene Kunden. Erbeutet wurden Namen, Adressen, Telefonnummern und E-Mail-Adressen. Nach Angaben von JPMorgan waren Kontonummern, Passwörter, Geburtsdaten und Sozialversicherungsnummern nicht betroffen.

Über welchen genauen technischen Weg die Angreifer erstmals in die internen Systeme eindrangen, ist in dieser Quelle offen. Wie viele der 83 Millionen Kontaktdatensätze tatsächlich für nachgelagerten Betrug missbraucht wurden, ist nicht abschließend geklärt.

Im November 2014 wurde Sony Pictures Entertainment Opfer eines Cyberangriffs, zu dem sich eine Gruppe namens Guardians of Peace bekannte. Die Angreifer löschten Daten auf tausenden Firmenrechnern und stahlen interne E-Mails, Mitarbeiterdaten sowie mehrere unveröffentlichte Kinofilme. Das FBI erklärte am 19.12.2014 offiziell, die nordkoreanische Regierung sei für den Angriff verantwortlich, der im Kontext der Sony-Komödie The Interview stand.

Das FBI legte keine detaillierten technischen Beweise offen, sondern verwies allgemein auf Ähnlichkeiten zu früherer nordkoreanischer Schadsoftware. Mehrere unabhängige Sicherheitsforscher äußerten damals Zweifel an der offiziellen Zuschreibung.

Im August 2016 wurden bei einem Hack der Kryptobörse Bitfinex rund 119.754 Bitcoin gestohlen. Am 08.02.2022 gab das US-Justizministerium bekannt, Ilya Lichtenstein und seine Ehefrau Heather Morgan verhaftet zu haben, die Behörden beschlagnahmten dabei über 3,6 Milliarden US-Dollar in Kryptowährung. Im August 2023 bekannten sich beide schuldig, Lichtenstein räumte ein, der ursprüngliche Hacker der Bitfinex-Börse gewesen zu sein.

Wie die Angreifer 2016 konkret in die Bitfinex-Systeme eindrangen, ist nicht Gegenstand dieser Pressemitteilung. Ob Lichtenstein alleiniger Täter des ursprünglichen Hacks war oder mit weiteren Personen zusammenarbeitete, ist nicht abschließend geklärt.

LastPass gab am 22.12.2022 bekannt, dass ein Angreifer mit im August 2022 aus der Entwicklungsumgebung gestohlenen Zugangsdaten einen weiteren Mitarbeiter kompromittierte und darüber auf einen Cloud-Speicherdienst zugriff. Dort kopierte er Kunden-Backup-Daten mit unverschlüsselten Metadaten wie Firmennamen und E-Mail-Adressen sowie vollständig verschlüsselten Passwort-Tresor-Feldern. Laut LastPass bleiben die verschlüsselten Felder durch 256-Bit-AES-Verschlüsselung geschützt, vollständige Kreditkartennummern waren nicht betroffen.

Die genaue Gesamtzahl der betroffenen Kundenkonten wird in der offiziellen Mitteilung nicht beziffert. Spätere Recherchen brachten mutmaßliche Kryptowährungsdiebstähle mit den gestohlenen Vaults in Verbindung, LastPass selbst bestätigte einen solchen Zusammenhang jedoch nicht offiziell.

Die Hackergruppe Lapsus$ erlangte zwischen dem 16. und 21.01.2022 per Remote-Desktop-Zugriff Kontrolle über den Laptop eines Kundensupport-Mitarbeiters des Okta-Subunternehmers Sitel. Der Angreifer hatte laut Okta insgesamt nur 25 zusammenhängende Minuten aktive Kontrolle und konnte über eingeschränkte Support-Rechte weder Nutzer anlegen noch auf Quellcode zugreifen. Nach Oktas Auswertung waren maximal 366 Kunden, rund 2,5 Prozent der Kundenbasis, potenziell betroffen.

Wie das Konto des Sitel-Mitarbeiters ursprünglich kompromittiert wurde, bleibt offen. Der vollständige forensische Bericht der von Sitel beauftragten externen Firma wurde nicht veröffentlicht, Okta erhielt ihn erst am 22.03.2022, rund zwei Monate nach dem Vorfall.

Am 27.06.2017 begann sich die als Ransomware getarnte Schadsoftware NotPetya ausgehend von einem kompromittierten Update der ukrainischen Steuersoftware M.E.Doc weltweit zu verbreiten. Die Malware nutzte den NSA-Exploit EternalBlue und traf neben ukrainischen Zielen unter anderem die Reederei Maersk, den Pharmakonzern Merck und den FedEx-Ableger TNT Express. Der weltweite Gesamtschaden wird auf mehr als 10 Milliarden US-Dollar geschätzt, das Weiße Haus ordnete den Angriff am 15.02.2018 offiziell dem russischen Militär (GRU-Einheit Sandworm) zu.

Die genaue Zahl weltweit betroffener Systeme ist nicht abschließend beziffert. Eine strafrechtliche Verurteilung konkreter russischer Verantwortlicher ist öffentlich nicht bekannt, die Zuordnung stützt sich auf Geheimdienstbewertungen, nicht auf ein Gerichtsurteil.

Am 12.05.2017 verbreitete sich die Ransomware WannaCry weltweit unter Ausnutzung der Windows-Schwachstelle EternalBlue, eines von der NSA entwickelten und von der Gruppe Shadow Brokers veröffentlichten Angriffswerkzeugs. Laut National Audit Office waren mindestens 81 von 236 NHS-Trusts in England sowie 603 weitere NHS-Einrichtungen betroffen, mehr als 19.000 Termine mussten abgesagt werden. Ein Sicherheitsforscher stoppte die weitere Ausbreitung durch Aktivierung eines im Schadcode enthaltenen Kill-Switch.

Die genaue Gesamtzahl weltweit infizierter Computer wird unterschiedlich beziffert, häufig zwischen 200.000 und 300.000 Systemen. Die Zuschreibung an die nordkoreanische Lazarus-Gruppe erfolgte erst im Dezember 2017, also nach Veröffentlichung des hier zitierten Berichts.

Ein Angreifer verschaffte sich Zugriff auf einen internen Server der Kreditauskunftei Experian, auf dem Bewerberdaten für T-Mobile US gespeichert waren. Betroffen waren rund 15 Millionen Personen in den USA, die zwischen dem 01.09.2013 und dem 16.09.2015 eine Kreditprüfung für einen T-Mobile-Vertrag durchlaufen hatten. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie Sozialversicherungs- und Ausweisnummern, Zahlungskarten- oder Bankdaten waren nicht betroffen.

Wer konkret hinter dem Angriff steckte und ob die Täter je identifiziert wurden, ist aus dieser Quelle nicht ersichtlich. In welchem Umfang die verschlüsselten Sozialversicherungsnummern tatsächlich entschlüsselt und missbraucht wurden, bleibt offen.

Die US-Krankenhauskette Community Health Systems meldete am 18.08.2014 der SEC einen Cyberangriff auf ihre Netzwerke im April und Juni 2014. Gestohlen wurden Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern von rund 4,5 Millionen Personen, die bei mit CHS verbundenen Ärzten behandelt worden waren. Die beauftragte Sicherheitsfirma Mandiant ordnete den Angriff einer fortgeschrittenen Bedrohungsgruppe mit Ursprung in China zu, medizinische Behandlungsdaten waren laut CHS nicht betroffen.

Die offizielle SEC-Meldung nennt keine konkrete Angreifergruppe und erwähnt weder die Bezeichnung APT18 noch Heartbleed als Einfallstor, diese Details stammen aus späteren Analysen von IT-Sicherheitsfirmen. Eine direkte Steuerung des Angriffs durch die chinesische Regierung ist nicht abschließend belegt.