Quellen-Tabelle

Am 14.10.2014 veröffentlichten Google-Sicherheitsforscher die Schwachstelle POODLE (Padding Oracle On Downgraded Legacy Encryption), registriert als CVE-2014-3566. Die Lücke betrifft das veraltete Verschlüsselungsprotokoll SSL 3.0. Ein Angreifer in Man-in-the-Middle-Position kann Clients zu einem Downgrade auf SSL 3.0 zwingen und benötigt im Schnitt rund 256 Anfragen, um ein Byte verschlüsselter Daten wie Authentifizierungs-Cookies auszulesen. Als Gegenmaßnahme empfahlen die Entdecker sowie CISA am 17.10.2014 die vollständige Deaktivierung von SSL 3.0. In den Folgemonaten deaktivierten Chrome, Firefox und weitere Anbieter die SSL-3.0-Unterstützung standardmäßig.

Nicht belegt ist, in welchem Umfang POODLE vor der Offenlegung bereits für reale Angriffe genutzt wurde, da ein Downgrade-Angriff kaum nachweisbar ist. Die Schätzung, wonach rund zehn Prozent der Server für eine spätere TLS-Variante der Schwachstelle anfällig waren, stammt aus Analysen einzelner Sicherheitsfirmen. Ein konkreter finanzieller Gesamtschaden wird nicht beziffert.

Am 28.02.2018 zwischen 17:21 und 17:30 UTC traf ein volumetrischer DDoS-Angriff GitHub.com mit einer Spitze von 1,35 Terabit pro Sekunde, dem damals größten dokumentierten DDoS-Angriff. Die Angreifer nutzten Memcached-Reflection: UDP-Anfragen mit gefälschter Absenderadresse an offen erreichbare Memcached-Server wurden um bis zu Faktor 51.000 verstärkt und an GitHub umgeleitet. GitHub.com war von 17:21 bis 17:26 UTC durchgehend nicht erreichbar. GitHub leitete den Verkehr per BGP-Umleitung an Akamai/Prolexic um, wodurch der Angriff eingedämmt wurde.

Wer hinter dem Angriff steckte, wurde nie veröffentlicht, es gab keine strafrechtlichen Ermittlungsergebnisse. Die genaue Zahl der missbrauchten Memcached-Server variiert je nach Quelle. Die exakte Dauer der Beeinträchtigung wird in Sekundärquellen unterschiedlich mit 5 bis 9 Minuten angegeben.

Am 21.10.2016 traf ein massiver DDoS-Angriff den DNS-Anbieter Dyn in drei Wellen zwischen etwa 11:10 und 22:10 UTC. Die Angreifer nutzten das Mirai-Botnet aus gekaperten IoT-Geräten wie Überwachungskameras und DVRs mit werkseitigen Standardpasswörtern. In der Folge waren zeitweise über 70 große Webdienste in Nordamerika und Europa nicht erreichbar, darunter Twitter, Netflix, Reddit, Amazon und PayPal. Die drei Entwickler des Mirai-Quellcodes bekannten sich im Dezember 2017 vor einem US-Bundesgericht schuldig, für den Dyn-Angriff selbst wurden sie jedoch nicht angeklagt.

Eine offizielle, gerichtsfeste Zuordnung der Täter für den konkreten Dyn-Angriff steht bis heute aus. Mehrere Gruppen reklamierten den Angriff für sich, Sicherheitsforscher hielten diese Bekennerclaims für nicht belegt. Die genaue Zahl beteiligter Geräte ist umstritten, eine bestätigte Zahl wurde nie veröffentlicht.

WikiLeaks veröffentlichte ab dem 07.03.2017 unter dem Namen Vault 7 den ersten Teil Year Zero mit 8.761 Dokumenten aus einem isolierten Netzwerk der CIA-Abteilung Center for Cyber Intelligence. Bis November 2017 folgten insgesamt 26 weitere Teilveröffentlichungen. Die Unterlagen beschreiben CIA-Werkzeuge zum Eindringen in iPhones, Android-Geräte, Windows, Mac OS X, Linux-Rechner und Router sowie das Programm Weeping Angel, mit dem sich Samsung-Smart-TVs in versteckte Mikrofone verwandeln ließen. Ein Bundesgericht in Manhattan verurteilte den als Quelle identifizierten ehemaligen CIA-Softwareentwickler Joshua Schulte am 01.02.2024 zu 40 Jahren Haft.

Wie viele der beschriebenen Werkzeuge tatsächlich gegen reale Ziele eingesetzt wurden, ist nicht belegt. Schulte bestritt die Tat während des gesamten Verfahrens, im ersten Prozess 2020 konnte sich die Jury nicht einigen, erst ein zweiter Prozess endete 2022 mit einem Schuldspruch.

Der Untersuchungsausschuss PEGA des Europäischen Parlaments prüfte rund ein Jahr lang den Einsatz von Pegasus-Spähsoftware in der EU und unternahm Erkundungsmissionen nach Israel, Polen, Griechenland, Zypern, Ungarn und Spanien. Am 15.06.2023 nahm das Europaparlament die Abschlussempfehlung mit 411 zu 97 Stimmen an. Der Bericht warf mehreren Mitgliedstaaten vor, sich mit Verweis auf nationale Sicherheit der EU-Kontrolle zu entziehen, und forderte unabhängige gerichtliche Genehmigungspflichten sowie ein EU-Tech-Lab zur forensischen Untersuchung von Spähsoftwarevorwürfen.

Wie viele Menschen in der EU tatsächlich mit Pegasus infiziert wurden, ist nicht belegt. Der Ausschuss hatte keine eigenen Ermittlungsbefugnisse und war auf Kooperation der Mitgliedstaaten angewiesen, die meist verweigert oder nur eingeschränkt gewährt wurde. Die Empfehlung ist rechtlich nicht bindend, ein EU-weites Spyware-Gesetz existiert bislang nicht.

Die Washington Post berichtete am 21.12.2021 unter Berufung auf eine forensische Analyse des Citizen-Lab-Forschers Bill Marczak, dass eine Behörde der Vereinigten Arabischen Emirate im April 2018 versuchte, die Pegasus-Spyware der NSO Group auf ein Mobiltelefon von Hanan Elatr zu installieren, der Ehefrau des saudischen Journalisten Jamal Khashoggi. Fünf Monate später, am 02.10.2018, wurde Khashoggi im saudischen Konsulat in Istanbul ermordet. Ein früherer Citizen-Lab-Bericht hatte bereits festgestellt, dass auch das Telefon von Khashoggis Vertrautem Omar Abdulaziz mit Pegasus infiziert worden war.

Ob die Installation auf Elatrs Telefon tatsächlich erfolgreich war, ist nicht abschließend belegt, Citizen Lab dokumentierte nur den Zugriffsversuch. NSO Group bestritt, dass Pegasus zur Überwachung von Elatr eingesetzt worden sei. Ein rechtlich festgestellter Kausalzusammenhang zwischen dieser Überwachung und der Ermordung besteht nicht, dokumentiert ist nur die zeitliche Nähe.

Der polnische Senatsausschuss erklärte am 07.09.2023 den 2017 erfolgten Kauf der NSO-Spyware Pegasus durch die polnische Regierung für rechtswidrig, finanziert aus einem Justizfonds für Kriminalitätsopfer. Der Ausschuss stellte fest, dass Pegasus gegen mindestens zwölf Personen eingesetzt wurde, darunter die Oppositionspolitiker Krzysztof Brejza, Roman Giertych und Michał Kołodziejczak. Brejza, 2019 Leiter der Wahlkampagne der oppositionellen Bürgerkoalition, wurde laut Ausschuss mindestens 33 Mal gehackt. Der Ausschuss leitete Strafanzeigen gegen mehrere damalige Amtsträger ein.

Der Senatsausschuss besitzt keine gerichtliche Entscheidungsgewalt, seine Feststellungen sind eine politische Bewertung ohne Rechtskraft. Die damalige PiS-Regierung bestritt den gezielten Einsatz. Ob die angekündigten Strafanzeigen zu Anklagen führten, ist aus dieser Quelle nicht ersichtlich.

Am 18.09.2015 teilten EPA und CARB in einer Verstoßmitteilung mit, dass Volkswagen und Audi bei rund 482.000 in den USA verkauften Dieselfahrzeugen der Modelljahre 2009 bis 2015 eine unzulässige Abschalteinrichtung einsetzten. Die Software erkannte Testbedingungen und aktivierte dann die volle Abgasreinigung, während im Straßenbetrieb die Stickoxidminderung zurückgefahren wurde, sodass Fahrzeuge dort bis zum 40fachen des zulässigen Grenzwerts ausstießen. Ausgangspunkt war eine Messreihe des International Council on Clean Transportation und der West Virginia University aus 2013/2014. Volkswagen räumte die Abschalteinrichtung am 03.09.2015 gegenüber den Behörden ein.

Die später ermittelte weltweite Gesamtzahl von rund 11 Millionen betroffenen Fahrzeugen ist in dieser Mitteilung nicht enthalten, sie bezieht sich nur auf rund 482.000 US-Fahrzeuge mit 2,0-Liter-Motoren. Für Modelle mit 3,0-Liter-Motoren erließ die EPA erst am 02.11.2015 eine eigenständige Mitteilung. Welche einzelnen Personen im Konzern die Software in Auftrag gaben, wird in der Mitteilung selbst nicht benannt.

Elizabeth Holmes gründete 2003 die Bluttest-Firma Theranos und behauptete, mit einem tragbaren Gerät zahlreiche Labortests aus wenigen Tropfen Fingerblut durchführen zu können. Der Wall-Street-Journal-Reporter John Carreyrou deckte am 15.10.2015 auf, dass die Technologie nicht funktionierte und Theranos die meisten Tests heimlich auf Geräten anderer Hersteller durchführte. Die SEC klagte Holmes im März 2018 wegen massivem Betrug an. Ein Bundesgericht verurteilte Holmes am 03.01.2022 wegen Anlagebetrugs, Richter Edward Davila verhängte am 18.11.2022 eine Haftstrafe von 135 Monaten.

Die genaue Höhe des Anlegerschadens ist nicht einheitlich beziffert, die strafrechtliche Anklage stützte sich auf rund 140 Millionen Dollar, während die SEC von über 700 Millionen Dollar eingesammelten Investorengeldern spricht. Holmes bestritt im Prozess vorsätzlichen Betrug und legte Berufung ein.

Celsius-Network-Gründer Alexander Mashinsky wurde am 08.05.2025 zu 12 Jahren Haft und einer Vermögenseinziehung von rund 48,4 Millionen Dollar verurteilt. Er hatte sich im Dezember 2024 wegen Betrugs im Zusammenhang mit Warentermingeschäften und Kursmanipulation des Tokens CEL schuldig bekannt. Die Kryptoverleihplattform Celsius Network fror im Juni 2022 sämtliche Kundenauszahlungen ein und meldete am 13.07.2022 Insolvenz an, mit damals rund 5,5 Milliarden Dollar Verbindlichkeiten. Nach Angaben des Richters hatte Mashinsky mehr als 45 Millionen Dollar eingenommen.

Die genaue Gesamthöhe des Kundenschadens ist nicht einheitlich beziffert, Berichte nennen zwischen rund 4,7 und 5,5 Milliarden Dollar. Fünf der ursprünglich sieben Anklagepunkte gegen Mashinsky wurden im Rahmen der Absprache fallengelassen.

Der britische Banker Howard Wilkinson leitete von 2007 bis 2014 die Handelseinheit Danske Markets in der Baltikum-Region der Danske Bank. Ab 2013 meldete er intern insgesamt vier Warnungen über verdächtige Zahlungen estnischer Nichtansässiger, ohne dass die Bank Konsequenzen zog. Nach seinem Ausscheiden 2014 unterzeichnete er eine Verschwiegenheitsvereinbarung, ging aber dennoch an Ermittler und die Öffentlichkeit. Am 21.11.2018 sagte er vor dem Sonderausschuss TAX3 des Europäischen Parlaments aus. Für sein Engagement erhielt er 2020 den Allard Prize for International Integrity.

Ob Wilkinsons Meldungen bei korrekter Bearbeitung den vollen Umfang der später bekannten rund 200 Milliarden Euro an verdächtigen Zahlungen hätten verhindern können, ist nicht belegt. Ob Danske Bank aktiv versuchte, seine Hinweise zu unterdrücken, beruht primär auf seiner eigenen Aussage.

Der anonyme Whistleblower hinter dem Mossack-Fonseca-Leak nennt sich selbst John Doe und ist bis heute nicht identifiziert. Am 06.05.2016 veröffentlichte er über die Süddeutsche Zeitung und das ICIJ ein rund 1.800 Wörter langes Manifest. Als Motiv nennt er weltweite Einkommensungleichheit sowie massive Korruption durch die Offshore-Kanzlei Mossack Fonseca. Er bestreitet jede Zusammenarbeit mit einer Regierung oder einem Geheimdienst und fordert stärkeren rechtlichen Schutz für Whistleblower.

Die tatsächliche Identität von John Doe ist bis heute unbekannt, auch den beteiligten Journalisten. Wie er Zugriff auf die internen Systeme von Mossack Fonseca erlangte, bleibt offen. Die Selbstauskunft, nie für eine Regierung gearbeitet zu haben, wurde nicht unabhängig überprüft.

Der ehemalige PwC-Prüfungsassistent Antoine Deltour wurde nach der Veröffentlichung der LuxLeaks-Dokumente im Dezember 2014 in Luxemburg wegen Diebstahls und Geheimnisverrats angeklagt. Das Bezirksgericht verurteilte ihn im Juni 2016 zu zwölf Monaten Haft auf Bewährung. Das Berufungsgericht reduzierte die Strafe im März 2017. Der luxemburgische Kassationshof hob das Urteil am 11.01.2018 auf und erkannte Deltour als Whistleblower im Sinne der EGMR-Rechtsprechung an. Am 15.05.2018 sprach das neu besetzte Berufungsgericht Deltour vollständig frei.

Die konkreten Steuerausfälle durch die rund 340 in den LuxLeaks-Dokumenten genannten Konzernvereinbarungen sind nicht beziffert. Der Mitangeklagte Raphaël Halet war von der Kassationsentscheidung nicht erfasst, ihm gab erst der EGMR 2023 in einem separaten Verfahren recht.

Am 24.05.2022 veröffentlichte ein internationales Medienkonsortium von rund 14 Organisationen die Xinjiang Police Files: mehrere zehntausend gehackte interne Dokumente aus Polizeicomputersystemen in Xinjiang. Die Materialien waren dem China-Forscher Adrian Zenz von einer anonymen Quelle zugespielt worden. Der Datensatz enthält rund 5.000 Fahndungsfotos sowie interne Reden, darunter eine Rede des damaligen Parteisekretärs Chen Quanguo, in der er Wachpersonal anwies, bei Fluchtversuchen von Häftlingen notfalls scharf zu schießen. Chinas Außenministerium wies die Dokumente zurück.

Angaben zu Umfang und Zahlen schwanken je nach Quelle erheblich. Wie der anonyme Hacker technisch Zugang zu den Polizeisystemen erlangte, ist nicht dokumentiert. Ob Chen Quanguo die Schießbefehl-Passage persönlich formulierte, lässt sich nicht abschließend klären.

Nach dem PSN-Hack von April 2011 reichten Betroffene in den USA 65 Sammelklagen ein, zusammengefasst als Verfahren MDL 3:11-md-02258 vor dem US-Bezirksgericht für den Südbezirk Kaliforniens. Richter Anthony J. Battaglia wies am 21.01.2014 die meisten Klagepunkte ab, ließ aber Ansprüche wegen irreführender Sicherheitswerbung nach kalifornischem Verbraucherschutzrecht zu. Die Parteien einigten sich im Juni 2014 auf einen Vergleich, den Battaglia am 04.05.2015 endgültig genehmigte, ohne dass Sony ein Fehlverhalten eingestand. Der Vergleich sah Sachleistungen im Gesamtwert von bis zu 15 Millionen US-Dollar vor sowie eine Erstattung nachgewiesener Identitätsdiebstahl-Schäden von bis zu 2500 US-Dollar pro Person.

Wie viele der rund 77 Millionen betroffenen Nutzer tatsächlich Ansprüche geltend gemacht und Leistungen erhalten haben, ist nicht dokumentiert. Je nach Quelle wird der Gesamtwert des Vergleichs unterschiedlich mit rund 15 oder rund 19 Millionen US-Dollar beziffert, wobei die höhere Zahl offenbar Anwaltshonorar und Verwaltungskosten mit einschließt.

Am 21.09.2016 veröffentlichte das ICIJ zusammen mit der Süddeutschen Zeitung die Bahamas Leaks, basierend auf 1,3 Millionen internen Dateien aus dem Handelsregister der Bahamas mit Angaben zu 175.888 Gesellschaften und Trusts. Unter den erstmals genannten Direktoren war Neelie Kroes, ehemalige EU-Wettbewerbskommissarin, als Direktorin der Gesellschaft Mint Holdings Ltd. Kroes räumte diese Rolle ein, erklärte aber, sie habe sie nicht angeben müssen, da die Firma nie operativ geworden sei. Auch der frühere katarische Premierminister Hamad bin Jassim bin Jaber Al Thani tauchte in den Daten auf.

Nicht belegt ist, ob Kroes oder andere genannte Personen tatsächlich Steuern hinterzogen oder gegen Gesetze verstießen. Eine Offshore-Firma und eine Direktorenrolle sind für sich genommen nicht illegal. Die genaue Herkunft des Datenlecks wurde vom ICIJ nicht offengelegt.

Die französische Finanzstaatsanwaltschaft ermittelt seit Februar 2022 wegen Geldwäscheverdachts gegen den ehemaligen tschechischen Ministerpräsidenten Andrej Babiš. Grundlage ist der 2009 erfolgte Kauf des Anwesens Château Bigaud bei Cannes, den Babiš laut den 2021 veröffentlichten Pandora Papers über Offshore-Firmen mit rund 15 Millionen Euro finanzierte, ohne die Immobilie in seinen tschechischen Vermögenserklärungen anzugeben. Die tschechische Behörde NCOZ hatte zuvor kein strafbares Verhalten in Tschechien festgestellt und den Fall an Frankreich verwiesen.

Eine formelle Anklage gegen Babiš ist bislang nicht belegt, es handelt sich weiterhin um ein vorläufiges Ermittlungsverfahren. Die genaue Herkunft der 2009 eingesetzten 15 Millionen Euro bleibt ungeklärt. Babiš bestreitet jegliches Fehlverhalten.

Rudolf Elmer war ab 1994 Chefbuchhalter und ab 1999 operativer Leiter der Julius Baer Bank & Trust Company Ltd. auf den Kaimaninseln. Nach seiner Kündigung 2002 leitete er Kundendaten an Steuerbehörden, die Zeitschrift Cash und ab 2008 an WikiLeaks weiter, wo Daten zu rund 2000 Konten veröffentlicht wurden. Das Obergericht Zürich sprach ihn 2016 vollständig vom Vorwurf der Bankgeheimnisverletzung frei. Am 10.10.2018 bestätigte das Bundesgericht diesen Freispruch: Als Angestellter der auf den Kaimaninseln ansässigen Tochtergesellschaft habe Elmer nicht dem Schweizer Bankkundengeheimnis unterstanden.

Nicht Gegenstand des Urteils war, ob die von Elmer erhobenen Vorwürfe der Steuerhinterziehung gegen Julius-Baer-Kunden zutrafen. Die genaue Zahl der veröffentlichten Konten wird in Presseberichten uneinheitlich mit rund 1900 bis 2000 angegeben.

Der frühere UBS-Private-Banker Bradley Birkenfeld informierte 2007 das US-Justizministerium darüber, wie UBS systematisch wohlhabende US-Bürger bei Steuerhinterziehung über Schweizer Geheimkonten unterstützte. Die Ermittlungen führten 2009 zu einer 780-Millionen-Dollar-Strafe für UBS. Birkenfeld selbst wurde 2008 angeklagt, da er seine eigene Rolle bei der Verschleierung von rund 200 Millionen Dollar für einen Klienten verschwiegen hatte, und verbüßte 40 Monate Haft. Am 11.09.2012 zahlte ihm die IRS eine Prämie von 104 Millionen Dollar, die bis dahin höchste Einzelauszahlung an einen Hinweisgeber.

Welcher Betrag exakt als Berechnungsgrundlage der 104-Millionen-Dollar-Prämie diente, geht aus verfügbaren Quellen nicht eindeutig hervor, manche nennen 26 Prozent von rund 400 Millionen Dollar, andere verweisen auf über 5 Milliarden Dollar Gesamtsteuernachzahlungen. Die genaue Zahl der offengelegten UBS-Kundennamen wird unterschiedlich beziffert.

Der Bundesgerichtshof bestätigte am 20.09.2023 das Urteil des Landgerichts Bonn gegen den Steueranwalt Hanno Berger als Ideengeber und Strategieberater der Cum-Ex-Geschäfte des Bankhauses M.M. Warburg zwischen 2007 und 2011. Berger wurde wegen besonders schwerer Steuerhinterziehung zu acht Jahren Haft verurteilt, zusätzlich wurden rund 13,6 Millionen Euro seines Taterlöses eingezogen. Laut BGH erlangten die Beteiligten dadurch mehr als 275 Millionen Euro zu Unrecht erstattete, nie einbehaltene Kapitalertragsteuer. Das Urteil wurde damit rechtskräftig.

Der Gesamtschaden der Cum-Ex-Praktiken für den deutschen Staat ist nicht Teil dieser Entscheidung. Schätzungen schwanken von rund 10 bis fast 36 Milliarden Euro allein für Deutschland. Berger wurde in einem separaten zweiten Cum-Ex-Prozess vom Landgericht Wiesbaden zu weiteren acht Jahren und drei Monaten verurteilt, vom BGH erst 2024 bestätigt.

Am 22.07.2026 durchsuchte die Staatsanwaltschaft Düsseldorf die Frankfurter Zentrale der Deutschen Bank wegen Cum-Cum-Geschäften der Postbank aus den Jahren 2008 bis 2010, aus einer Zeit vor der vollständigen Übernahme durch die Deutsche Bank. Die Ermittler gehen von einem Steuerschaden von mehr als 350 Millionen Euro durch falsche Körperschaftsteuererklärungen aus. Zehn ehemalige Postbank-Verantwortliche gelten als Beschuldigte. Die Deutsche Bank selbst wird nur als Rechtsnachfolgerin erfasst.

Wie die Schadenssumme von über 350 Millionen Euro berechnet wurde, ist nicht belegt, ebenso wenig der Ausgang des laufenden Verfahrens. Bei Cum-Cum wird durch kurzfristige Verlagerung des wirtschaftlichen Eigentums an Aktien um den Dividendenstichtag eine Steuer vermieden, anders als bei Cum-Ex, wo eine einmal gezahlte Steuer mehrfach erstattet wurde. Die Gesamtschadenssumme aller Cum-Cum-Geschäfte in Deutschland ist umstritten, das Bundesfinanzministerium nannte rund 7,5 Milliarden Euro, wissenschaftliche Schätzungen für 2000 bis 2020 gehen von mindestens 28,5 Milliarden Euro aus.

Der FT-Journalist Dan McCrum veröffentlichte ab 2015 wiederholt kritische Berichte über Wirecard, die sich ab 2019 zu konkreten Vorwürfen der Bilanzfälschung in asiatischen Tochtergesellschaften verdichteten. Die BaFin reagierte im Frühjahr 2019 mit einem zweimonatigen Leerverkaufsverbot für Wirecard-Aktien und stellte Strafanzeige gegen die FT-Journalisten wegen Marktmanipulation, statt die Vorwürfe zu prüfen. Am 18.06.2020 verweigerte EY die Testierung des Jahresabschlusses 2019, weil sich 1,9 Milliarden Euro auf angeblichen philippinischen Treuhandkonten nicht nachweisen ließen. Vorstandschef Markus Braun trat am 19.06.2020 zurück, am 25.06.2020 meldete Wirecard Insolvenz an, das erste DAX-Unternehmen mit nachgewiesenem Bilanzbetrug.

Der Verbleib des ehemaligen COO Jan Marsalek ist nicht geklärt, er gilt als nach Russland geflohen und wird per Interpol-Haftbefehl gesucht. Wer bei BaFin und Staatsanwaltschaft München für das Leerverkaufsverbot verantwortlich war, konnte auch der Bundestags-Untersuchungsausschuss nicht abschließend klären. Die Schadenssummen schwanken zwischen rund 3 und über 15 Milliarden Euro. Das Hauptstrafverfahren gegen Ex-CEO Braun war bis Sommer 2026 noch nicht rechtskräftig entschieden.

Jan Marsalek, ehemaliger COO von Wirecard, floh am 19.06.2020 mit einem Privatjet nach Minsk in Belarus. Die Staatsanwaltschaft München I ermittelt seither wegen gewerbsmäßigen Bandenbetrugs, seit dem 22.06.2020 liegt ein internationaler Haftbefehl vor. Eine Recherche von ZDF Frontal, Der Spiegel, Der Standard und weiteren Medien dokumentierte im September 2025, dass Marsalek unter der Tarnidentität Alexander Nelidov mit russischem Pass in Moskau lebt; sein Mobiltelefon wurde 2024 mehr als 300 Mal nahe der FSB-Zentrale geortet. Im Mai 2025 verurteilte das Old-Bailey-Gericht in London sechs Bulgaren wegen Spionage für Russland, laut Staatsanwaltschaft fungierte Marsalek als Vermittler zu russischen Geheimdiensten.

Der aktuelle Aufenthaltsort und die Legalidentität Marsaleks sind nicht amtlich bestätigt, sondern stammen aus Medienrecherchen. Angebliche Kampfeinsätze Marsaleks in der Ukraine stützen sich auf Aussagen anonymer Insider und sind kaum unabhängig überprüfbar. Ob Marsalek für den GRU, den FSB oder beide Dienste tätig ist, wird unterschiedlich dargestellt.

Die dänische Wirtschaftskriminalpolizei SØIK erhob 2019 vorläufige Anklagen gegen neun ehemalige Führungskräfte der Danske Bank, darunter den früheren Vorstandsvorsitzenden Thomas Borgen, wegen möglicher Verstöße gegen das Geldwäschegesetz im Zusammenhang mit der estnischen Filiale. Am 29.04.2021 stellte SØIK alle Verfahren ein, zuletzt gegen Borgen. Als Begründung nannte die Behörde, es habe sich keine so grobe Fahrlässigkeit einzelner Personen nachweisen lassen. Im November 2022 scheiterte zudem eine Zivilklage von 155 institutionellen Investoren über 2,4 Milliarden dänische Kronen gegen Borgen.

Eine persönliche strafrechtliche oder zivilrechtliche Verantwortung einzelner Führungskräfte ist nicht belegt. Unklar bleibt, warum bei einem Verdachtsvolumen von rund 200 Milliarden Euro keine individuelle grobe Fahrlässigkeit nachgewiesen werden konnte. Die estnische Staatsanwaltschaft erhob 2023 separat Anklage gegen sechs frühere operative Mitarbeiter der Tallinner Filiale, ein Urteil lag zum Zeitpunkt der Recherche noch nicht vor.

Die US-Finanzaufsichtsbehörde FinCEN stufte die lettische ABLV Bank am 13.02.2018 als Institution primärer Geldwäschebesorgnis ein. FinCEN warf der Bank vor, Geldwäsche institutionalisiert zu haben, den Diebstahl von über 1 Milliarde Dollar aus moldawischen Banken erleichtert und Transaktionen für mit Nordkoreas Waffenprogramm verbundene Akteure abgewickelt zu haben. Nach massiven Einlagenabzügen stufte die EZB ABLV am 23.02.2018 als ausfallend ein, die Aktionäre beschlossen am 26.02.2018 die freiwillige Liquidation. 2022 erhob die lettische Staatsanwaltschaft gegen acht ehemalige ABLV-Führungskräfte Anklage wegen Geldwäsche von rund 2,1 Milliarden Euro.

Der von FinCEN erhobene Bestechungsvorwurf gegen ABLV-Führungskräfte ist nicht gerichtlich bestätigt, die lettische Antikorruptionsbehörde KNAB fand später keine Beweise dafür. Der genaue Umfang der mit Nordkoreas Raketenprogramm verbundenen Transaktionen wurde nicht im Detail beziffert. Die 2022 erhobene Anklage war zum Zeitpunkt der Recherche ohne rechtskräftiges Urteil.