Quellen-Tabelle

Die Ransomware-Gruppe Cl0p nutzte ab dem 27.05.2023 eine zuvor unbekannte SQL-Injection-Schwachstelle (CVE-2023-34362, CVSS 9.8) in der Managed-File-Transfer-Software MOVEit Transfer aus. Über einen eingeschleusten Webshell namens LEMURLOOT griff die Gruppe auf die MOVEit-Datenbanken zu und exfiltrierte Daten, ohne die Systeme zu verschlüsseln. CISA und das FBI veröffentlichten am 07.06.2023 die gemeinsame Warnung AA23-158A. Laut Emsisoft waren bis Ende 2023 rund 2.700 Organisationen und über 90 Millionen Einzelpersonen betroffen.

Die Gesamtzahl der betroffenen Organisationen beruht auf Zusammenstellungen einzelner Meldungen durch Sicherheitsfirmen, nicht auf einer amtlichen Gesamtstatistik. Dieser Fall betrifft ausschließlich die MOVEit-Transfer-Kampagne ab Mai 2023 und ist von der früheren, separaten GoAnywhere-MFT-Kampagne derselben Cl0p-Gruppe zu unterscheiden.

Am 21.02.2024 legte die Ransomware-Gruppe ALPHV/BlackCat mit einem Angriff auf einen Citrix-Fernzugangsserver ohne Multi-Faktor-Authentifizierung die IT-Systeme von Change Healthcare lahm, einem UnitedHealth-Tochterunternehmen, das einen Großteil der US-Rezept- und Krankenversicherungsabrechnungen verarbeitet. Der wochenlange Ausfall störte bundesweit Apotheken und Arztpraxen. Am 01.05.2024 bestätigte UnitedHealth-CEO Andrew Witty vor dem US-Senat, dass sein Unternehmen rund 22 Millionen US-Dollar in Bitcoin gezahlt hatte, und räumte ein, dass Daten von möglicherweise einem Drittel der US-Bevölkerung betroffen sein könnten.

Die exakte Gesamtzahl der letztlich betroffenen Personen ist nicht abschließend belegt, spätere behördliche Meldungen korrigierten diese Zahl mehrfach nach oben. Ob die gestohlenen Daten trotz Lösegeldzahlung tatsächlich gelöscht wurden, bleibt offen.

Das Berufungsgericht des Ninth Circuit bestätigte am 13.03.2025 die Verurteilung des ehemaligen Uber-Sicherheitschefs Joseph Sullivan. Eine Bundesjury hatte Sullivan im Oktober 2022 wegen Behinderung eines FTC-Verfahrens und Nichtanzeige einer Straftat verurteilt, weil er ein Ende 2016 entdecktes Datenleck mit Daten von rund 57 Millionen Uber-Nutzern vertuscht hatte. Er hatte den Hackern 100.000 US-Dollar in Bitcoin über das Bug-Bounty-Programm gezahlt und sie eine falsche Verschwiegenheitserklärung unterschreiben lassen.

Ob weitere Uber-Führungskräfte von der Vertuschung wussten, wurde strafrechtlich nie untersucht. Ob die kopierten Nutzerdaten tatsächlich vollständig gelöscht wurden, wie es die Verschwiegenheitserklärung vorsah, ist unklar.

Am 05.02.2023 wurde ein Reddit-Mitarbeiter Opfer eines gezielten Phishing-Angriffs über eine gefälschte Intranet-Anmeldeseite, die Zugangsdaten und einen Zwei-Faktor-Code abgriff. Die Angreifer erhielten dadurch Zugang zu internen Dokumenten, Quellcode sowie internen Dashboards. Reddit erklärte, es gebe keine Hinweise auf einen Einbruch in die Produktivsysteme, Passwörter und Zahlungsdaten seien nicht betroffen gewesen.

Der genaue Umfang der entwendeten Daten bleibt offen, Reddit veröffentlichte keine konkrete Datenmenge. Die spätere Täterzuordnung zur Gruppe BlackCat/ALPHV mit rund 80 Gigabyte erbeuteter Daten wurde von Reddit nicht offiziell bestätigt.

Eine von Danske Bank beauftragte externe Untersuchung stellte fest, dass zwischen 2007 und 2015 rund 200 Milliarden Euro an Zahlungen von Nicht-Residenten-Kunden durch die estnische Filiale der Bank abgewickelt wurden. Für die Untersuchung wurden rund 15.000 Kunden und 9,5 Millionen Zahlungen geprüft. Der am 19.09.2018 veröffentlichte Bericht dokumentierte schwerwiegende Mängel in Governance und Kontrollsystemen. Danske Bank kündigte an, geschätzte Bruttoerträge von 1,5 Milliarden Dänischen Kronen gemeinnützigen Zwecken zuzuführen.

Welcher genaue Anteil der 200 Milliarden Euro tatsächlich aus krimineller Herkunft stammte, bleibt offen, da nicht jede Nicht-Residenten-Transaktion automatisch Geldwäsche bedeutet. Individuelle strafrechtliche Verantwortlichkeiten waren zum Zeitpunkt der Veröffentlichung noch Gegenstand laufender Ermittlungen in mehreren Ländern.

Am 18.06.2020 verweigerte die Wirtschaftsprüfungsgesellschaft EY das Testat für den Jahresabschluss von Wirecard, weil sie 1,9 Milliarden Euro auf angeblichen Treuhandkonten auf den Philippinen nicht nachweisen konnte. Wirecard räumte daraufhin ein, dass dieses Geld höchstwahrscheinlich nie existiert hatte. Vorstandschef Markus Braun wurde am 22.06.2020 festgenommen, am 25.06.2020 meldete Wirecard als erstes DAX-Unternehmen der Geschichte Insolvenz an. Vorausgegangen waren jahrelange Recherchen der Financial Times unter Reporter Dan McCrum.

Der genaue Umfang des Betrugs ist bis heute nicht abschließend gerichtlich geklärt. Der Strafprozess gegen Ex-Vorstandschef Markus Braun läuft seit Dezember 2022 am Landgericht München I und war auch im August 2026 noch nicht rechtskräftig abgeschlossen. Der ehemalige Vorstand Jan Marsalek gilt weiterhin als flüchtig.

In der Nacht vom 29. auf den 30.10.2023 griff die Ransomware-Gruppe Akira den kommunalen IT-Dienstleister Südwestfalen-IT an und verschlüsselte Teile der IT-Infrastruktur. Der Angriff legte die IT-Systeme von rund 72 Mitgliedskommunen in mehreren nordrhein-westfälischen Kreisen lahm, betroffen waren rund 1,7 Millionen Einwohner. Wochenlang fielen zahlreiche Bürgerdienste wie Kfz-Zulassung und Sozialleistungen aus. Nach ersten Erkenntnissen erfolgte der Zugriff über eine VPN-Lösung ohne Multifaktor-Authentifizierung.

Welche konkreten Personen oder Strukturen hinter der Gruppierung Akira stehen, ist nicht öffentlich dokumentiert. Ob eine Lösegeldforderung gestellt oder eine Zahlung geleistet wurde, wird in dieser Quelle nicht abschließend geklärt.

Ab dem Abend des 24.09.2019 legte ein Malware-Angriff die IT-Systeme mehrerer Werke der Rheinmetall-Automotive-Sparte in Brasilien, Mexiko und den USA lahm. Die Produktion an diesen Standorten war erheblich gestört. Rheinmetall bezifferte den möglichen wöchentlichen Ergebnisschaden ab der zweiten Woche auf 3 bis 4 Millionen Euro und rechnete mit einer Wiederherstellung innerhalb von zwei bis vier Wochen. Die übrigen Konzern-IT-Systeme sowie die Rüstungssparte blieben laut Unternehmensangaben unberührt.

Rheinmetall bestätigte weder die genaue Art der Schadsoftware noch, ob es sich um verschlüsselnde Ransomware handelte. Ein separater, ähnlich gelagerter Ransomware-Angriff auf Rheinmetall im Jahr 2020 ließ sich in der Recherche nicht verifizieren, dieser 2019er Fall ist die dokumentierte Entsprechung.

Am 23.07.2020 legte die Ransomware WastedLocker weltweit zentrale Dienste des Wearables-Herstellers Garmin lahm, darunter Garmin Connect, flyGarmin und das Satellitenkommunikationssystem inReach. Sicherheitsforscher ordneten die Ransomware der Gruppe Evil Corp zu, die auf der US-Sanktionsliste stand. BleepingComputer bestätigte am 01.08.2020, dass Garmin einen funktionierenden Entschlüsseler erhielt. Die ursprüngliche Lösegeldforderung lag laut einem Mitarbeiter bei rund 10 Millionen US-Dollar.

Garmin äußerte sich nie dazu, ob und in welcher Höhe tatsächlich Lösegeld gezahlt wurde. Der exakte technische Einstiegsvektor der Angreifer wurde nie offiziell bestätigt.

Die Ransomware-Gruppe Cl0p griff das in Darmstadt ansässige Softwareunternehmen Software AG am Wochenende des 03.10.2020 an. Die Angreifer forderten ein Lösegeld von 23 Millionen US-Dollar in Bitcoin und drohten mit der Veröffentlichung von rund einem Terabyte gestohlener Daten. Software AG zahlte das Lösegeld nicht, woraufhin Cl0p ab dem 09.10.2020 interne Dokumente, E-Mails und Mitarbeiterdaten veröffentlichte. Kundenseitige Cloud-Dienste blieben laut Unternehmen unberührt.

Über welchen technischen Einstiegsvektor die Angreifer eindrangen, wurde nicht öffentlich genannt. Die exakte Zahl der von den veröffentlichten Daten betroffenen Personen wurde nicht offiziell beziffert.

Am 22.12.2020 wurde die Funke Mediengruppe Opfer eines Ransomware-Angriffs mit einem Trojaner der Doppelpaymer-Familie, derselben Schadsoftware, die im September 2020 die Düsseldorfer Uniklinik betroffen hatte. Zahlreiche Computersysteme in Redaktionen und Druckhäusern wurden bundesweit verschlüsselt, betroffen waren unter anderem WAZ, Hamburger Abendblatt und Berliner Morgenpost. Die Tageszeitungen konnten am Folgetag nur als Notausgaben erscheinen, das Unternehmen deaktivierte zudem seine Paywalls.

Ob tatsächlich ein Lösegeld gezahlt wurde, ist nicht offiziell bestätigt. Eine offizielle Feststellung, welche konkrete Tätergruppe hinter dem Angriff stand, liegt öffentlich nicht vor.

Der EuGH entschied am 13.05.2014 in der Rechtssache C-131/12, dass Suchmaschinenbetreiber als für die Datenverarbeitung Verantwortliche gelten. Betroffene können von Google die Entfernung von Links zu personenbezogenen Daten verlangen, wenn diese nicht mehr relevant oder unangemessen sind, auch wenn die zugrunde liegende Veröffentlichung rechtmäßig bleibt. Auslöser war eine Anzeige aus 1998 über eine Zwangsversteigerung des Klägers Mario Costeja Gonzalez.

Wie viele Löschanträge Google infolge des Urteils konkret erhielt, ist nicht dokumentiert. Die spätere Kodifizierung in Artikel 17 DSGVO 2018 ist nicht Teil dieser Quelle.

Der EuGH erklärte am 06.10.2015 in der Rechtssache C-362/14 die Safe-Harbor-Entscheidung der EU-Kommission von 2000 für ungültig. Grundlage war eine Beschwerde von Max Schrems gegen die irische Datenschutzbehörde, weil Facebook Ireland Nutzerdaten in die USA übermittelte, wo sie nach den Snowden-Enthüllungen dem Zugriff von US-Geheimdiensten ausgesetzt waren. Der EuGH stellte klar, dass nationale Datenschutzbehörden die Angemessenheit von Datentransfers eigenständig prüfen dürfen.

Wie ein Nachfolgeregime konkret ausgestaltet werden würde, war zum Urteilszeitpunkt offen, die Nachfolgevereinbarung Privacy Shield trat erst 2016 in Kraft. Das spätere Schrems-II-Urteil von 2020 ist nicht Gegenstand dieser Quelle.

Das Bundesverfassungsgericht entschied am 24.04.2013, dass die gemeinsame Antiterrordatei von Polizeibehörden und Nachrichtendiensten in ihrer Grundstruktur mit dem Grundgesetz vereinbar ist. Mehrere Einzelregelungen, darunter zu Unterstützern und der Inverssuche, wurden für verfassungswidrig erklärt. Der Gesetzgeber musste die beanstandeten Vorschriften bis 31.12.2014 neu regeln.

Wie viele Personen konkret in der Antiterrordatei erfasst waren, ist nicht dokumentiert. Wie oft die Datei zu tatsächlichen Ermittlungserfolgen beigetragen hat, geht aus der Quelle nicht hervor.

Das Bundesverfassungsgericht entschied am 20.04.2016 über Verfassungsbeschwerden gegen BKA-Befugnisse zur Terrorismusabwehr. Die Ermächtigung zu heimlichen Überwachungsmaßnahmen wie Online-Durchsuchung und Wohnraumüberwachung ist grundsätzlich mit dem Grundgesetz vereinbar. Mehrere konkrete Vorschriften erfüllten jedoch nicht die Verhältnismäßigkeitsanforderungen und wurden für teilweise verfassungswidrig erklärt, der Gesetzgeber musste bis 30.06.2018 nachbessern.

Wer konkret die Beschwerdeführer waren, geht aus der Pressemitteilung nicht hervor. Die genaue gesetzgeberische Umsetzung der Neuregelung bis 2018 ist nicht Gegenstand dieser Quelle.

Das Auswärtige Amt teilte am 28.05.2020 mit, dass der russische Staatsangehörige Dmitrij Badin verdächtig sei, als Mitglied der Gruppe APT28 für den Cyberangriff auf den Deutschen Bundestag im April und Mai 2015 verantwortlich zu sein. Der Ermittlungsrichter des BGH erließ am 29.04.2020 einen Haftbefehl gegen Badin, dem geheimdienstliche Agententätigkeit vorgeworfen wird. Es gibt Hinweise, dass Badin zum Zeitpunkt des Angriffs dem russischen Militärgeheimdienst GRU angehörte.

Die Mitteilung ist eine politische Zuschreibung der Bundesregierung und kein rechtskräftiges Gerichtsurteil. Badin wurde nie festgenommen oder ausgeliefert, da Russland eigene Staatsangehörige grundsätzlich nicht ausliefert.

Am 27.01.2021 gaben die Generalstaatsanwaltschaft Frankfurt am Main und das BKA bekannt, dass die Infrastruktur der Schadsoftware Emotet in einer international koordinierten Aktion übernommen und zerschlagen wurde. Das BKA beschlagnahmte 17 Server in Deutschland, weitere in den Niederlanden, Litauen und der Ukraine. Beteiligt waren Behörden aus acht Ländern, koordiniert durch Europol und Eurojust. Der in Deutschland verursachte Schaden wird mit mindestens 14,5 Millionen Euro beziffert, betroffen waren unter anderem das Klinikum Fürth und das Kammergericht Berlin.

Die Identität der mutmaßlichen Betreiber und Drahtzieher hinter Emotet ist nicht dokumentiert, es wurde keine konkrete Festnahme einer Kernperson in Deutschland vermeldet. Die Schadenssumme bezieht sich nur auf bekannt gewordene Fälle in Deutschland.

Am 12.12.2024 fand im Rat der EU erneut keine ausreichende Mehrheit für die geplante Chatkontrolle-Verordnung zustande. Deutschland enthielt sich bei der Abstimmung, ebenso Belgien, Luxemburg, Polen, Tschechien, Slowenien, Estland, Finnland, Österreich und die Niederlande, zusammen eine Sperrminorität von mehr als 35 Prozent der EU-Bevölkerung. Damit scheiterte auch die ungarische Ratspräsidentschaft mit ihrem Kompromissvorschlag, nachdem zuvor bereits die belgische Präsidentschaft im Juni 2024 an derselben Hürde gescheitert war.

Eine ursprünglich vermutete Ratsabstimmung im September 2024 mit deutscher Enthaltung ließ sich nicht verifizieren, im September fanden nur Arbeitsgruppentreffen statt. Die hier dokumentierte Abstimmung fand nachweislich erst am 12.12.2024 statt.

Der US-Ausschuss CFIUS stufte die vollständige Übernahme der Dating-App Grindr durch das chinesische Unternehmen Kunlun Tech als nationales Sicherheitsrisiko ein. Kunlun hatte Grindr 2016 und 2018 übernommen, ohne die Transaktion vorab prüfen zu lassen. Im Mai 2019 ordnete CFIUS die Veräußerung an, da Daten der rund 27 Millionen Nutzer wie Standort und HIV-Status potenziell dem chinesischen Staat zugänglich sein könnten. Am 06.03.2020 gab Kunlun bekannt, Grindr für rund 608 Millionen US-Dollar zu verkaufen.

Ob CFIUS öffentlich belegte Beweise für einen tatsächlichen Datenzugriff durch chinesische Behörden vorlegte, ist nicht ersichtlich, CFIUS-Verfahren sind grundsätzlich vertraulich. Ob der Verkauf fristgerecht vollständig abgeschlossen wurde, geht aus diesem Artikel nicht hervor.

Nach der Übernahme von Twitter durch Elon Musk im Oktober 2022 gewährte dieser ab Dezember 2022 ausgewählten Journalisten Zugang zu internen Firmendokumenten. Die Auszüge betreffen unter anderem die Sperrung des Hunter-Biden-Laptop-Berichts im Oktober 2020 und die Sperrung von Donald Trumps Account im Januar 2021. Laut den Dokumenten tauschte der frühere Twitter-Sicherheitschef Yoel Roth zwischen Januar 2020 und November 2022 mehr als 150 E-Mails mit dem FBI aus.

Ob die dokumentierten Kontakte zwischen Twitter und Behörden tatsächlich konkrete Moderationsentscheidungen erzwungen haben, bleibt offen. Mehrere Medien kritisierten die Veröffentlichungen als lückenhaft und gezielt ausgewählt.

Facebook startete am 06.11.2007 das Werbefeature Beacon, das Kaufaktivitäten von Nutzern auf rund 44 Partnerseiten automatisch im persönlichen Facebook-Newsfeed veröffentlichte, standardmäßig als Opt-out statt Opt-in. Nach breitem Nutzerprotest entschuldigte sich Gründer Mark Zuckerberg am 05.12.2007 öffentlich und führte eine vollständige Opt-out-Möglichkeit ein. Beacon wurde 2009 im Zuge einer Sammelklage endgültig eingestellt, verbunden mit einer Zahlung von 9,5 Millionen US-Dollar an eine neu gegründete Datenschutzstiftung.

Wie viele der rund 50 Millionen betroffenen Nutzer tatsächlich unfreiwillig Daten preisgaben, ist nicht dokumentiert. Die Sammelklagen-Einigung sah keine individuellen Entschädigungszahlungen an betroffene Nutzer vor.

AOL veröffentlichte am 04.08.2006 versehentlich eine Datei mit rund 20 Millionen Suchanfragen von über 650.000 Nutzern, wobei Nutzernamen durch numerische IDs pseudonymisiert waren. Anhand der Suchhistorie von Nutzerin Nr. 4417749 identifizierte die New York Times die 62-jährige Thelma Arnold aus Lilburn, Georgia. AOL entfernte die Datei nach wenigen Tagen, entließ den zuständigen Forscher, und CTO Maureen Govern trat am 21.08.2006 zurück.

Wie viele der über 650.000 betroffenen Nutzer tatsächlich reidentifiziert wurden, ist nicht dokumentiert, es liegt nur der Einzelfall Thelma Arnold vollständig belegt vor. Eine 2006 eingereichte Sammelklage wurde erst 2013 mit einem Vergleich über 5 Millionen US-Dollar beigelegt.

Der EuGH (Große Kammer) erklärte am 08.04.2014 in den verbundenen Rechtssachen C-293/12 und C-594/12 die Richtlinie 2006/24/EG über die Vorratsspeicherung von Telekommunikationsdaten für ungültig. Klägerin war unter anderem Digital Rights Ireland Ltd. Der EuGH sah einen schwerwiegenden Eingriff in die Grundrechte auf Achtung des Privatlebens und Datenschutz, da die Richtlinie unterschiedslos alle Personen erfasste, keine objektiven Kriterien für den Datenzugriff vorsah und keine ausreichenden Sicherheitsgarantien enthielt.

Wie einzelne EU-Mitgliedstaaten ihre nationalen Umsetzungsgesetze anpassten, ist nicht Gegenstand dieser Pressemitteilung. Die spätere Rechtsprechung zu Tele2/Watson 2016 oder La Quadrature du Net 2020 stellt eigene, spätere Fälle dar.

Die Große Kammer des EGMR entschied am 04.12.2008, dass die zeitlich unbegrenzte Aufbewahrung von Fingerabdrücken, Zellproben und DNA-Profilen nicht verurteilter Personen gegen Artikel 8 EMRK verstößt. Kläger waren ein freigesprochener Jugendlicher und Michael Marper, gegen den ein Verfahren eingestellt worden war. Die South Yorkshire Police hatte ihre Daten trotz fehlender Verurteilung unbegrenzt gespeichert. Das Gericht urteilte einstimmig, die pauschale Speicherungspraxis sei unverhältnismäßig.

Der EGMR sprach keine finanzielle Entschädigung zu, die Feststellung der Konventionsverletzung selbst galt als ausreichende Genugtuung. Wie schnell das Vereinigte Königreich das Urteil praktisch umsetzte, bleibt offen.

Die Große Kammer des EGMR entschied am 25.05.2021 im Fall Big Brother Watch u.a. gegen das Vereinigte Königreich, dass die britische Regelung zur Massenerfassung von Kommunikation (Bulk Interception nach RIPA) sowie die Regeln zur Herausgabe von Kommunikationsdaten gegen Artikel 8 und Artikel 10 EMRK verstießen, da ausreichende gesetzliche Kontrollmechanismen fehlten. Mit 12 zu 5 Stimmen entschied das Gericht, dass der Austausch von Geheimdienstinformationen mit ausländischen Regierungen keinen Konventionsverstoß darstellte. Der Fall geht auf die Snowden-Enthüllungen 2013 über GCHQ zurück.

Das Urteil erklärt Massenüberwachung nicht grundsätzlich für konventionswidrig, sondern formuliert acht Mindestkriterien. Wie das seit 2016 geltende Investigatory Powers Act an diesen Kriterien zu messen ist, bleibt offen, da sich das Urteil noch auf die alte Rechtslage (RIPA) bezog.