Quellen-Tabelle

Nachdem HBGary-Federal-Chef Aaron Barr angekündigt hatte, Anführer von Anonymous identifiziert zu haben, hackte die Gruppe Anfang Februar 2011 die Server der Sicherheitsfirma und veröffentlichte mehr als 70.000 interne E-Mails. Die Mails zeigten, dass HBGary Federal zusammen mit Palantir Technologies und Berico Technologies im Auftrag der Kanzlei Hunton & Williams eine Kampagne gegen WikiLeaks vorbereitet hatte, mit Desinformation und Druck auf Journalisten. Dieselbe Kanzlei hatte die drei Firmen zudem beauftragt, gewerkschaftsnahe Organisationen wie ThinkProgress und SEIU ins Visier zu nehmen. Aaron Barr trat nach der Veröffentlichung als CEO zurück.

Bank of America und die US Chamber of Commerce bestritten, die Vorschläge in Auftrag gegeben zu haben. Ob die geplanten Maßnahmen tatsächlich umgesetzt wurden, ist nicht abschließend geklärt. Eine strafrechtliche Verfolgung der Kanzlei oder Auftraggeber ist nicht dokumentiert.

Ende Dezember 2011 drangen Aktivisten von Anonymous unter dem Namen der Operation Antisec in die Server der US-Sicherheitsberatung Stratfor ein und erbeuteten nach eigenen Angaben mehr als 200 Gigabyte Daten, darunter Kreditkartendaten und interne E-Mails von Kunden und Mitarbeitern. Eine heise online vorliegende Liste umfasste rund 4.000 Einträge vertraulicher Geschäftskunden, darunter die Deutsche Bank, DHL und der Spiegel. Die Angreifer erklärten, mit den erbeuteten Kreditkartendaten mehr als eine Million US-Dollar an Hilfsorganisationen spenden zu wollen.

Der Artikel nennt kein exaktes Einbruchsdatum und keine belastbare Gesamtzahl der betroffenen Konten. Spätere Berichte und die US-Anklage nannten deutlich höhere, teils schwankende Zahlen, die hier nicht überprüft wurden. Die spätere Verurteilung von Jeremy Hammond und die Rolle des FBI-Informanten Hector Monsegur sind nicht Gegenstand dieses Artikels.

Die Hackergruppe LulzSec griff im Mai und Juni 2011 innerhalb weniger Wochen mehrere hochrangige Ziele an, darunter Sony Pictures, den US-Sender PBS und die FBI-Partnerorganisation InfraGard. Bei Sony Pictures erbeuteten die Angreifer per SQL-Injection Nutzerdaten, bei PBS schleusten sie eine gefälschte Meldung ein und veröffentlichten eine Mitarbeiterdatenbank, bei InfraGard legten sie Zugangsdaten offen. LulzSec bezeichnete diese Angriffsserie als 50 Tage Lulz und kündigte Ende Juni 2011 die Auflösung der Gruppe an.

Wie viele Nutzerkonten bei Sony Pictures betroffen waren, ist umstritten, die Angaben schwanken je nach Quelle stark. Die genaue Mitgliederzahl der bei InfraGard offengelegten Accounts wird unterschiedlich beziffert. Die Identität aller beteiligten Hacker war zum Zeitpunkt dieser Berichterstattung nicht bekannt.

Zwischen dem 17. und 19.04.2011 verschaffte sich ein unbefugter Angreifer Zugang zum Sony PlayStation Network und dem Musikdienst Qriocity. Sony schaltete die Dienste am 20.04.2011 ab und informierte erst rund eine Woche später öffentlich über den Datendiebstahl. Nach Sony-Angaben wurden persönliche Daten von rund 77 Millionen Nutzerkonten entwendet, darunter Namen, Adressen, Geburtsdaten, Login-Daten und Passwörter, möglicherweise auch Kreditkartennummern. Das PlayStation Network blieb je nach Land bis zum 14.05.2011 abgeschaltet, der Gesamtausfall dauerte 23 Tage.

Die genaue Identität der Angreifer wurde nie offiziell festgestellt, Spekulationen über eine Verbindung zu Anonymous blieben unbestätigt. Wie viele der möglicherweise betroffenen Kreditkartendaten tatsächlich für Betrug missbraucht wurden, ist nicht dokumentiert. Schätzungen zu den Sony entstandenen Kosten schwanken je nach Quelle stark.

Der Chaos Computer Club analysierte im Oktober 2011 eine als Quellen-TKÜ eingesetzte staatliche Späh-Software und deckte gravierende Sicherheitsmängel auf. Die Software konnte beliebigen Schadcode nachladen, Kommandos zwischen Steuerserver und Trojaner waren teils unverschlüsselt und Screenshots sowie Audiodaten nur unzureichend verschlüsselt. Zudem ermöglichte sie Zugriffe auf Mikrofon, Kamera, Tastatur und Dateisystem und ging damit weit über die gesetzlich erlaubte Telekommunikationsüberwachung hinaus. Betroffen waren laut Bericht unter anderem Bayern und Schleswig-Holstein, wo die Software als Bayerntrojaner beziehungsweise 0zapftis bekannt wurde.

Wie viele Personen insgesamt mit der Software überwacht wurden, geht aus dem Artikel nicht hervor. Offen bleibt, welche weiteren Landesbehörden die Software bereits eingesetzt hatten. Der Hersteller wird in diesem Artikel nicht genannt.

Die britische Datenschutzbehörde ICO verhängte am 05.10.2016 eine Geldbuße von 400.000 Pfund gegen den Telekommunikationsanbieter TalkTalk, die bis dahin höchste von der ICO verhängte Strafe. Ursache war ein Cyberangriff vom Oktober 2015, bei dem Angreifer über SQL-Injection-Schwachstellen auf drei Webseiten personenbezogene Daten von 156.959 Kunden zugriffen, in 15.656 Fällen einschließlich Bankkontonummern und Bankleitzahlen. Die verwundbaren Seiten stammten aus der 2009 übernommenen Tiscali-Infrastruktur, TalkTalk hatte zwei frühere Angriffswarnungen im Juli und September 2015 nicht ausreichend beachtet.

Das Alter und die Identität des Haupttäters bleiben in der Berichterstattung uneinheitlich. Verhaftet wurde zunächst ein 15-Jähriger aus County Antrim, später bekannte sich ein 17-Jähriger aus Norwich vor Gericht schuldig, ob es sich um dieselbe Person handelt, ist unklar. Die genaue Höhe des von TalkTalk ursprünglich genannten Gesamtschadens wird an anderer Stelle unterschiedlich beziffert.

Kanzleramtschef Helge Braun und Bundesgesundheitsminister Jens Spahn erklärten am 26.04.2020 gemeinsam, dass die geplante deutsche Corona-Tracing-App künftig auf eine konsequent dezentrale Softwarearchitektur setzen werde. Damit vollzog die Bundesregierung eine Kehrtwende weg vom zuvor favorisierten zentralen Speicheransatz des PEPP-PT-Konsortiums. Vorausgegangen waren wochenlange öffentliche Auseinandersetzungen, ein offener Brief des Chaos Computer Club an Braun und Spahn sowie der Umstand, dass Apple und Google ihre Schnittstellen nur für dezentrale Protokolle freigaben. Auf dieser Grundlage entwickelten SAP und die Deutsche Telekom anschließend die Corona-Warn-App, die im Juni 2020 veröffentlicht wurde.

Wie die internen Abwägungen im Kanzleramt und Gesundheitsministerium vor dem Kurswechsel im Detail abliefen, geht aus der Pressemitteilung nicht hervor. Welche Rolle informelle Gespräche mit Apple und Google spielten, ist nicht dokumentiert. Die spätere technische Umsetzung der App ist nicht Gegenstand dieser Quelle.

Der Chaos Computer Club kritisierte die deutsche Corona-Kontaktverfolgungs-App Luca am 13.04.2021 wegen mehrerer Sicherheitslücken, darunter eine fehlerhafte SMS-Validierung und die Möglichkeit, über gescannte QR-Codes die zentral gespeicherte Standorthistorie einzelner Nutzer auszulesen. Nach dem Sturz eines Mannes vor einer Mainzer Gaststätte in der Nacht vom 29. auf den 30.11.2021, der später an seinen Verletzungen starb, forderte die Mainzer Polizei vom Gesundheitsamt die über Luca erfassten Kontaktdaten der Gaststättenbesucher an. Das Gesundheitsamt übermittelte die Daten von 21 Personen, die daraufhin als Zeugen befragt wurden, obwohl § 28a Abs. 4 Satz 3 Infektionsschutzgesetz eine Nutzung nur zur Kontaktnachverfolgung erlaubt. Die Staatsanwaltschaft Mainz räumte die Rechtswidrigkeit im Nachhinein ein.

Ob und welche dienst- oder strafrechtlichen Konsequenzen die Beteiligten trugen, ist nicht belegt. Das Ergebnis des vom Landesdatenschutzbeauftragten Rheinland-Pfalz eingeleiteten Verfahrens ist nicht dokumentiert. Ob vergleichbare rechtswidrige Datenabfragen bei anderen Behörden stattfanden, ist unklar.

Auf dem vom Chaos Computer Club veranstalteten Remote-Kongress rC3 präsentierten Sicherheitsforscher Ende Dezember 2020 zahlreiche Schwachstellen in der deutschen Gesundheits-IT, wenige Tage vor dem geplanten Start der elektronischen Patientenakte (ePA) am 01.01.2021. Sie fanden unter anderem 29 ungeschützt im Internet erreichbare Konnektoren der Telematikinfrastruktur, unzureichend abgesicherte Server bei medizinischen Versorgungszentren und offene GUS-Boxen. Ein Forscher warnte, man hätte die ePA per Man-in-the-Middle-Angriff auslesen können, wäre sie bereits im Einsatz gewesen. Der ePA-Start erfolgte zunächst nur in wenigen Testpraxen in Berlin und Westfalen-Lippe.

Wie viele Versicherte die ePA in den ersten Monaten aktivierten, ist hier nicht dokumentiert, der Artikel entstand vor dem offiziellen Start. Ob die demonstrierten Schwachstellen die produktive ePA-Umgebung selbst betrafen oder nur angrenzende Systeme, bleibt offen. Die Vortragenden waren Sicherheitsforscher auf dem CCC-Kongress, keine offiziellen CCC-Sprecher.

In der Neujahrsnacht 2013/2014 veröffentlichte eine anonyme Gruppe unter dem Namen SnapchatDB Nutzernamen und Telefonnummern von rund 4,6 Millionen Snapchat-Nutzern. Die letzten beiden Ziffern jeder Telefonnummer wurden unkenntlich gemacht. Das Sicherheitsunternehmen Gibson Security hatte Snapchat bereits im August 2013 privat auf eine Schwachstelle in der Find-Friends-Funktion hingewiesen und die Lücke nach monatelangem Schweigen im Dezember 2013 öffentlich dokumentiert. Snapchat hatte die Schwachstelle zuvor als rein theoretisch eingestuft und nicht behoben.

Wer genau hinter SnapchatDB steckte, ist nicht abschließend bekannt. Ob die veröffentlichten Daten für Spam oder Betrug missbraucht wurden, ist nicht dokumentiert. Die Angabe von 4,6 Millionen betroffenen Konten stammt von den Angreifern selbst.

Der Bundestag verabschiedete am 28.06.2012 während des EM-Halbfinales Deutschland gegen Italien in einer sehr kurzen Abstimmung ohne Aussprache eine Neufassung des Meldegesetzes. Im Innenausschuss war die im Regierungsentwurf vorgesehene Einwilligungspflicht für die Weitergabe von Namen und Adressen an Werbefirmen kurz zuvor in eine bloße Widerspruchslösung umgewandelt worden. Nach massivem öffentlichem Protest, unter anderem einer Petition mit mehreren zehntausend Unterzeichnern, rief der Bundesrat den Vermittlungsausschuss an. Bundestag und Bundesrat billigten Ende Februar bzw. am 01.03.2013 einen Kompromiss, der die Einwilligung wieder zur Pflicht machte.

Ob die kurzfristige Änderung im Innenausschuss gezielte Lobbyeinflussnahme war, ist nicht abschließend geklärt. Die berichteten Unterzeichnerzahlen der Protestpetition schwanken je nach Quelle. Wie wirksam die 2013 beschlossene Lösung nach Inkrafttreten 2015 in der Praxis durchgesetzt wurde, ist nicht belegt.

Die US-Auskunftei Equifax gab im September 2017 ein Datenleck bekannt, von dem rund 147 Millionen Menschen betroffen waren, hauptsächlich in den USA. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie bei etwa 145,5 Millionen Personen Sozialversicherungsnummern und bei rund 209.000 Personen Kreditkartendaten. Ursache war eine bereits am 07.03.2017 von Apache veröffentlichte und gepatchte kritische Schwachstelle in der Software Apache Struts (CVE-2017-5638), die Equifax auf einem internen Portal nicht schloss, obwohl die eigene Sicherheitsabteilung eine Patch-Frist von 48 Stunden angeordnet hatte. Angreifer nutzten die Lücke ab dem 10.03.2017 aus und exfiltrierten zwischen Mai und Juli 2017 unentdeckt Daten. Im Juli 2019 einigte sich Equifax mit FTC, CFPB sowie 48 US-Bundesstaaten auf einen Vergleich von bis zu 700 Millionen US-Dollar.

Die genaue Identität der Angreifer ist nicht abschließend geklärt, das US-Justizministerium erhob 2020 Anklage gegen vier mutmaßliche Mitglieder der chinesischen Volksbefreiungsarmee, dies stammt aus einer separaten Ermittlung. Die Zahl von 147 Millionen Betroffenen ist eine später revidierte Schätzung, die ursprüngliche Meldung nannte 143 Millionen. Der Gesamtwert des Vergleichs von 700 Millionen Dollar ist ein Maximalbetrag, tatsächlich zahlte Equifax mindestens 575 Millionen Dollar garantiert.

Nach der Veröffentlichung der Ashley-Madison-Nutzerdaten im August 2015 durch die Gruppe The Impact Team setzte die Betreiberfirma Avid Life Media am 24.08.2015 eine Belohnung von 500.000 kanadischen Dollar für Hinweise zur Identifizierung der Täter aus. Mit der Ermittlung befasst waren der Toronto Police Service, die Royal Canadian Mounted Police, die Ontario Provincial Police sowie FBI und Department of Homeland Security. Ashley-Madison-CEO Noel Biderman äußerte öffentlich den Verdacht, hinter dem Hack stecke eine Person mit internem Zugang, ohne dass dieser Verdacht je zu einer Anklage führte. Laut einer Rückschau von Krebs on Security vom 26.07.2022 war trotz der Belohnung bis dahin niemand angeklagt worden, die Identität von The Impact Team blieb ungeklärt.

Ob die Belohnung jemals ausgezahlt wurde, ist nicht dokumentiert. Die These eines internen Täters stammt aus öffentlichen Äußerungen des CEO und wurde nie durch eine Anklage belegt. Unklar bleibt, ob eine Einzelperson oder eine Gruppe verantwortlich war. Die Behörden kommunizierten nach 2015 keine öffentlichen Zwischenstände mehr.

Das Bezirksgericht Tokio verurteilte den ehemaligen Mt.-Gox-Chef Mark Karpelès am 15.03.2019 wegen Manipulation von Firmenaufzeichnungen zu zwei Jahren und sechs Monaten Freiheitsstrafe auf Bewährung. Vom schwerwiegenderen Vorwurf der Untreue, der Veruntreuung von rund 340 Millionen Yen an Kundengeldern, sprach das Gericht ihn frei, obwohl die Staatsanwaltschaft zehn Jahre Haft gefordert hatte. Mt.Gox war unter Karpelès seit 2011 zur weltweit größten Bitcoin-Börse gewachsen und hatte 2014 in Tokio Insolvenz angemeldet, nachdem rund 850.000 Bitcoin von Kunden und Firmenkonten verschwunden waren.

Die genaue Ursache des ursprünglichen Bitcoin-Verlusts blieb im Strafprozess ungeklärt, das Gericht traf keine Feststellung zu Hackerangriff, technischem Fehler oder interner Manipulation. Die anfangs gemeldete Verlustsumme von rund 850.000 Bitcoin wurde in späteren Berichten auf rund 650.000 Bitcoin nach unten korrigiert, da rund 200.000 Bitcoin in einer älteren Wallet wiederentdeckt wurden.

Am 08.02.2022 verhaftete das FBI in Manhattan das Ehepaar Ilya Lichtenstein und Heather Morgan und beschlagnahmte rund 94.636 Bitcoin, die aus dem Bitfinex-Hack von 2016 stammten, zu diesem Zeitpunkt etwa 3,6 Milliarden US-Dollar wert. Laut Anklage hatte Lichtenstein 2016 mittels fortgeschrittener Hacking-Techniken das Netzwerk der Kryptobörse Bitfinex kompromittiert und über 2.000 betrügerische Transaktionen ausgelöst, durch die insgesamt 119.754 Bitcoin abflossen. Im August 2023 bekannten sich beide schuldig, im November 2024 wurde Lichtenstein zu fünf Jahren, Morgan zu 18 Monaten Haft verurteilt.

Wie genau Lichtenstein technisch in das Bitfinex-Netzwerk eindrang, bleibt unklar, die Anklageschrift nennt nur allgemein fortgeschrittene Hacking-Tools. Der beschlagnahmte Anteil deckte nicht die gesamte Beute ab. Ob und in welchem Umfang die beschlagnahmten Bitcoin vollständig an Bitfinex zurückgehen, war Anfang 2025 noch Gegenstand eines Gerichtsverfahrens.

Am 20.09.2021 legte die vermutlich russischsprachige Ransomware-Gruppe BlackMatter, laut CISA ein möglicher Nachfolger von DarkSide, Teile der IT-Systeme der Agrargenossenschaft New Cooperative aus Iowa lahm, die Getreide-, Dünger- und Futterlogistik für einen großen Teil des mittleren Westens der USA verwaltet. Die Angreifer forderten 5,9 Millionen US-Dollar Lösegeld. New Cooperative nahm betroffene Systeme vorsorglich offline und zahlte nach eigenen Angaben kein Lösegeld. Am 18.10.2021 veröffentlichten CISA, FBI und NSA eine gemeinsame Sicherheitswarnung zu BlackMatter.

Die Angaben von BlackMatter selbst zur erbeuteten Datenmenge sind nicht unabhängig verifiziert. Die vielzitierte Aussage, 40 Prozent der US-Getreideproduktion liefen über Software des Unternehmens, stammt von New Cooperative selbst und wurde von Sicherheitsforschern angezweifelt. Der genaue technische Einstiegsvektor der Angreifer ist nicht ersichtlich.

Die Datenschutz-Grundverordnung wurde am 27.04.2016 verabschiedet, am 04.05.2016 im EU-Amtsblatt veröffentlicht und trat am 24.05.2016 formal in Kraft. Nach zweijähriger Übergangsfrist wurde sie ab dem 25.05.2018 in allen EU-Mitgliedstaaten unmittelbar anwendbar und ersetzte die Richtlinie 95/46/EG. Die Verordnung erlaubt Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Laut einer Bitkom-Befragung von 505 deutschen Unternehmen fühlten sich acht Tage vor dem Stichtag lediglich 25 Prozent ausreichend vorbereitet.

Eine verlässliche Gesamtzahl zu den EU-weiten Umsetzungskosten der Unternehmen liegt nicht vor. Die Bitkom-Zahl von 25 Prozent stammt aus einer Stichprobe, andere Umfragen kamen auf abweichende Werte. Die vielfach befürchtete Abmahnwelle gegen kleine Unternehmen blieb nach mehreren Berichten weitgehend aus.

Die Europäische Kommission verabschiedete am 12.07.2016 den Angemessenheitsbeschluss 2016/1250 zum EU-US Privacy Shield, dem Nachfolgeabkommen für das im Oktober 2015 vom EuGH im Schrems-I-Urteil gekippte Safe-Harbor-Abkommen. US-Unternehmen mussten sich beim US-Handelsministerium selbst zertifizieren. Neu war ein Ombudsperson-Mechanismus im US-Außenministerium für Beschwerden von EU-Bürgern über Zugriffe US-amerikanischer Nachrichtendienste. Die Artikel-29-Datenschutzgruppe bemängelte im April 2016, anlasslose Massenüberwachung bleibe weiterhin zulässig. Der EuGH erklärte das Privacy Shield am 16.07.2020 im Schrems-II-Urteil für ungültig.

Die genaue Zahl der 2016 bereits zertifizierten Unternehmen ist nicht dokumentiert. Wie wirksam der Ombudsperson-Mechanismus in der Praxis funktionierte, ist offen, da die Kommission dessen Unabhängigkeit anders bewertete als die Artikel-29-Gruppe und das Europäische Parlament.

Das US-Geheimgericht Foreign Intelligence Surveillance Court urteilte am 03.10.2011 unter Richter John D. Bates, dass Teile der NSA-Internetüberwachung nach Section 702 des FISA Amendments Act gegen den vierten Verfassungszusatz verstießen. Betroffen war das Upstream-Programm, mit dem die NSA über Telekommunikationsanbieter Daten direkt aus den Glasfaserleitungen des Internet-Backbones abgriff, als Ergänzung zum Programm PRISM. Laut dem am 21.08.2013 nach ACLU-Klagen freigegebenen Urteil sammelte die NSA über mehrere Jahre bis zu 56.000 rein innerhalb der USA geführte Kommunikationen pro Jahr, obwohl das Gesetz dies verbietet. Bates warf der Regierung vor, dem Gericht bereits zum dritten Mal in weniger als drei Jahren den tatsächlichen Umfang ihrer Datensammlung falsch dargestellt zu haben.

Wie viele der rund 56.000 betroffenen Kommunikationen tatsächlich reine Inlandskommunikation ohne Auslandsbezug enthielten, ist nicht belegt. Das veröffentlichte Urteil ist stark geschwärzt, technische Details zu Upstream sind öffentlich nicht vollständig nachvollziehbar. Eine offizielle Gesamtzahl aller über Upstream und PRISM erfassten Kommunikationen wurde bis heute nicht veröffentlicht.

Am 14.06.2013 erhob das US-Justizministerium beim Bundesgericht im Eastern District of Virginia Anklage gegen Edward Snowden wegen Spionage und Diebstahls von Regierungseigentum. Nachdem Hongkong einem US-Festnahmeersuchen nicht nachkam, verließ Snowden die Stadt am 23.06.2013 Richtung Moskau. Im Transitbereich des Flughafens Scheremetjewo festsitzend, gewährte Russland ihm am 01.08.2013 vorübergehendes Asyl. Russland gewährte ihm 2020 eine unbefristete Aufenthaltserlaubnis und verlieh ihm am 26.09.2022 per Präsidialdekret die russische Staatsbürgerschaft. Die strafrechtliche Anklage in den USA besteht unverändert fort, eine Auslieferung hat Russland stets abgelehnt.

Die strafrechtliche Schuldfrage ist nicht durch ein Gerichtsverfahren geklärt, da es nie zu einem Prozess in den USA kam. Ob Snowden neben der russischen weiterhin die US-Staatsbürgerschaft besitzt, wird unterschiedlich bewertet. Vermutungen über Kontakte zu russischen Geheimdiensten sind unbewiesen und von Snowden bestritten.

Der DCMS-Ausschuss des britischen Unterhauses veröffentlichte am 18.02.2019 nach 18-monatiger Untersuchung mit 170 schriftlichen Stellungnahmen und 73 Zeugenbefragungen seinen Abschlussbericht zu Desinformation und Fake News. Der Bericht bezeichnete Facebook als digitale Gangster und warf dem Konzern vor, Datenschutz- und Wettbewerbsrecht wissentlich verletzt zu haben. Laut Ausschuss wussten mehrere hochrangige Facebook-Manager bereits 2015 vom Datenabfluss an Cambridge Analytica, ohne dies angemessen zu eskalieren. Zu den Kernempfehlungen zählten eine unabhängige Regulierungsbehörde mit Bußgeldbefugnissen und eine Reform des Wahlrechts.

Dass Cambridge Analytica tatsächlich operativ am Brexit-Referendum mitgewirkt hat, ist nicht belegt, der Ausschuss fand dazu keine belastbaren Beweise. Der Bericht ist ein politisches Ausschussdokument mit Empfehlungscharakter, kein Gerichtsurteil. Die geforderte unabhängige Regulierungsbehörde wurde von der britischen Regierung nicht in der vorgeschlagenen Form umgesetzt. Die Zahl von rund 87 Millionen betroffenen Facebook-Nutzern stammt nicht aus diesem Bericht, sondern aus separaten ICO- und FTC-Untersuchungen.

Die IT-Sicherheitsfirma CrowdStrike identifizierte im Auftrag des Democratic National Committee im Juni 2016 zwei getrennte Eindringlinge in die Netzwerke der Partei: die Gruppe Cozy Bear seit Sommer 2015 sowie die Gruppe Fancy Bear seit etwa März 2016. Erbeutete interne E-Mails wurden ab Juni 2016 über die Online-Persona Guccifer 2.0 verbreitet; WikiLeaks veröffentlichte am 22.07.2016 rund 19.000 DNC-E-Mails kurz vor dem Nominierungsparteitag der Demokraten. Im Juli 2018 erhob die US-Justiz Anklage gegen zwölf Offiziere des russischen Militärgeheimdienstes GRU wegen Verschwörung zu Computerbetrug.

Keiner der zwölf angeklagten GRU-Offiziere wurde je festgenommen oder vor einem US-Gericht verurteilt, da Russland keine Auslieferung eigener Staatsbürger vornimmt. Das FBI erhielt keinen direkten forensischen Zugriff auf die physischen DNC-Server, sondern stützte sich auf Analysen des Dienstleisters CrowdStrike. WikiLeaks bestritt wiederholt, dass die Daten von einem russischen Staatsakteur stammten.

Am 27.06.2017 legte die Schadsoftware NotPetya die globale IT-Infrastruktur der Reederei Maersk lahm. Ausgangspunkt war ein einzelner Rechner im Maersk-Büro in Odessa mit einem manipulierten Update der ukrainischen Buchhaltungssoftware M.E.Doc. Maersk musste binnen zehn Tagen rund 4.000 Server, 45.000 PCs und 2.500 Anwendungen neu aufsetzen, das Frachtvolumen brach zeitweise um rund 20 Prozent ein. Maersk bezifferte die finanziellen Folgen im Quartalsbericht auf 200 bis 300 Millionen US-Dollar. Großbritannien und die USA machten später den russischen Militärgeheimdienst GRU verantwortlich.

Die genaue Schadenssumme bei Maersk ist nicht abschließend beziffert, das Unternehmen nannte nur eine Bandbreite ohne detaillierte Kostenaufschlüsselung. Der oft zitierte globale Gesamtschaden von rund 10 Milliarden US-Dollar betrifft alle betroffenen Unternehmen zusammen, nicht allein Maersk. Die Zuschreibung an Russland beruht auf politischen Erklärungen, nicht auf einem Gerichtsurteil.

Britische Polizei verhaftete Julian Assange am 11.04.2019 in der Botschaft Ecuadors in London, nachdem Präsident Lenín Moreno ihm den Asylschutz entzogen hatte. Die USA hatten die Anklage im Mai 2019 um 17 Punkte nach dem Espionage Act erweitert, bezogen auf die von WikiLeaks 2010/2011 veröffentlichten geheimen US-Dokumente, die Chelsea Manning zuvor weitergegeben hatte. Ein Londoner Gericht lehnte die Auslieferung 2021 zunächst ab, im Mai 2024 gewährte der High Court Assange erneut Berufungsrecht. Am 25.06.2024 bekannte sich Assange vor einem US-Bundesgericht auf Saipan in einem Anklagepunkt schuldig und wurde zu 62 Monaten Haft verurteilt, die durch bereits verbüßte Haftzeit in Großbritannien als abgegolten galten.

Ob und in welchem Ausmaß die veröffentlichten Dokumente tatsächlich Informanten gefährdeten, ist nicht belegt. Die theoretische Höchststrafe von bis zu 175 Jahren bezog sich auf alle ursprünglich 18 Anklagepunkte und wurde durch den Deal gegenstandslos. Ob die von den USA zugesagten Garantien eingehalten worden wären, wurde nie gerichtlich geprüft, da es nie zu einer Verhandlung in den USA kam.

Am 28.07.2022 veröffentlichten der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte ihre gemeinsame Stellungnahme zum EU-Verordnungsvorschlag gegen Kindesmissbrauchsdarstellungen im Netz, im öffentlichen Diskurs als Chatkontrolle bekannt. Beide Behörden warnten, der Vorschlag könne zu einer de facto allgemeinen und anlasslosen automatisierten Durchsuchung praktisch aller elektronischen Kommunikation in der EU führen. Sie forderten eine gesetzliche Klarstellung, dass die Verordnung nicht als Verbot von Ende-zu-Ende-Verschlüsselung ausgelegt werden dürfe, sowie die Streichung der Scan-Pflichten für Grooming und unbekanntes Material.

Konkrete Fehlerraten der geplanten Scan-Technologien werden in der Stellungnahme nicht beziffert. Die Stellungnahme ist rechtlich nicht bindend und floss nur beratend in die weiteren Verhandlungen ein. In welchem Umfang einzelne Kritikpunkte in spätere Kompromissentwürfe übernommen wurden, ist hier nicht dokumentiert.