Quellen-Tabelle

Der Hacker USDoD bot im April 2024 den Verkauf von angeblich 2,9 Milliarden Datensätzen aus der US-Hintergrundprüfungsfirma National Public Data an, darunter Namen, Adressen und Sozialversicherungsnummern. Am 06.08.2024 veröffentlichte er rund 2,7 Milliarden Datensätze kostenlos, Sicherheitsforscher zählten darin etwa 272 Millionen eindeutige Sozialversicherungsnummern. National Public Data meldete den Behörden in Maine jedoch nur 1,3 Millionen betroffene Personen. Die Muttergesellschaft Jerico Pictures meldete am 02.10.2024 Insolvenz an, unter Verweis auf mehr als 20 Sammelklagen und FTC-Ermittlungen.

Die Milliardenzahl stammt vom Angreifer selbst, nicht aus geprüfter Unternehmensbestätigung. Die Datensätze enthalten laut Analysen zahlreiche Duplikate und Einträge Verstorbener. Die Diskrepanz zur gemeldeten Zahl von 1,3 Millionen wurde öffentlich nie aufgelöst.

Am 24.04.2024 entdeckte Dropbox unautorisierten Zugriff auf die Produktionsumgebung von Dropbox Sign. Der Angreifer hatte bereits am 19./20.04.2024 ein Service-Konto im Backend-System kompromittiert und dessen Berechtigungen genutzt, um auf die Kundendatenbank zuzugreifen. Betroffen waren E-Mail-Adressen, Telefonnummern und gehashte Passwörter aller Nutzer sowie Authentifizierungsdaten wie API-Schlüssel und OAuth-Token. Dropbox informierte am 01.05.2024 öffentlich und rotierte alle API-Schlüssel und Token.

Dropbox nannte keine konkrete Gesamtzahl betroffener Konten. Ob Drittanwendungen mit gestohlenen Token missbraucht wurden, ist nicht bekannt. Die Angabe, Dokumenteninhalte seien nicht betroffen, stammt allein aus der unternehmenseigenen Untersuchung ohne unabhängige Bestätigung.

Ryan Mitchell Kramer aus Santa Clarita verschaffte sich Anfang 2024 über als KI-Bildgenerator getarnte Schadsoftware auf GitHub Zugriff auf den privaten Computer eines Disney-Mitarbeiters. Mit dessen Zugangsdaten drang er in den beruflichen Slack-Account ein und lud im Mai 2024 rund 1,1 Terabyte Daten aus fast 10.000 internen Disney-Slack-Kanälen herunter. Unter der erfundenen Identität NullBulge veröffentlichte er die Daten am 12.07.2024. Kramer bekannte sich am 01.05.2025 schuldig und wurde am 15.05.2026 zu 15 Monaten Haft verurteilt.

Die Angaben zu Kanalzahl und Datenmenge stammen aus Ermittlungsunterlagen, ohne unabhängige Bestätigung durch Disney. Ursprüngliche Medienberichte ordneten den Angriff fälschlich einer real existierenden russischen Hacktivistengruppe zu, erst die Anklage stellte klar, dass Kramer allein handelte.

Am 03.06.2024 griff die Ransomware-Gruppe Qilin den Labordienstleister Synnovis an, der Bluttests für NHS-Krankenhäuser in Südost-London durchführt. Der Angriff führte zu über 10.000 abgesagten Terminen und rund 1.700 verschobenen Operationen sowie einem Engpass bei Blutkonserven. Am 25.06.2025 bestätigte das King's College Hospital, dass eine verzögerte Bluttest-Auswertung ein Faktor beim Tod eines Patienten war, der erste bestätigte Todesfall im Zusammenhang mit einem Ransomware-Angriff in Großbritannien. Qilin veröffentlichte zudem Patientendaten von mehr als 900.000 Personen.

Die Identität des verstorbenen Patienten sowie die vollständige Liste der beitragenden Faktoren wurden aus Datenschutzgründen nicht veröffentlicht. Ein förmliches Coroner-Verfahren mit bindender Todesursachenfeststellung liegt bislang nicht vor. Die Zahl von über 900.000 Betroffenen gilt laut NHS England als vorläufige Schätzung.

Der Lieferketten-Softwareanbieter Blue Yonder meldete am 21.11.2024 einen Ransomwareangriff auf seine gehostete Managed-Services-Umgebung. Betroffen waren Starbucks, dessen rund 11.000 nordamerikanische Filialen auf Stift und Papier für Dienstplanung zurückgriffen, sowie die britischen Supermarktketten Morrisons und Sainsbury's. Die Erpressergruppe Termite bekannte sich zu dem Angriff und behauptete, rund 680 GB Daten erbeutet zu haben, darunter über 16.000 E-Mail-Adressen und mehr als 200.000 Dokumente. Blue Yonder meldete Anfang Dezember 2024 Fortschritte bei der Wiederherstellung.

Die von Termite behauptete Datenmenge ist nicht unabhängig verifiziert, Blue Yonder bestätigte weder Umfang noch Art der Daten offiziell. Morrisons erklärte, das eigene Netzwerk sei nicht kompromittiert gewesen. Ob ein Lösegeld gezahlt wurde, ist nicht bekannt.

Halliburton wurde am 21.08.2024 Opfer eines Cyberangriffs, woraufhin das Unternehmen vorsorglich mehrere IT-Systeme abschaltete. Es meldete den Vorfall am 23.08.2024 bei der SEC. Technische Analysen einer gefundenen Schadsoftware ordneten den Angriff der seit Februar 2024 aktiven Gruppe RansomHub zu. Bei der Quartalsergebnispräsentation am 08.11.2024 bezifferte Halliburton die Kosten auf rund 35 Millionen Dollar, Rechnungsstellung und Zahlungseinzug waren zeitweise gestört.

Der Erstzugriffsweg und eine etwaige Lösegeldzahlung sind nicht öffentlich bestätigt. Halliburton nennt in seinen SEC-Meldungen weder die Tätergruppe noch das Wort Ransomware. Die 35-Millionen-Dollar-Angabe deckt nur im dritten Quartal 2024 verbuchte Kosten ab.

Comcast/Xfinity teilte am 18.12.2023 mit, dass Angreifer zwischen dem 16. und 19.10.2023 unbefugten Zugriff auf interne Systeme erlangten, indem sie die Citrix-Schwachstelle CVE-2023-4966 (Citrix Bleed) ausnutzten. Laut Meldung an die Attorney General von Maine waren rund 35,88 Millionen Kunden betroffen. Erbeutet wurden bei allen Betroffenen Benutzernamen und gehashte Passwörter, bei einem Teil zusätzlich Namen, Kontaktdaten und die letzten vier Ziffern der Sozialversicherungsnummer.

Wer hinter dem Angriff steckt, ist öffentlich nicht dokumentiert. In der Folge kam es zu Sammelklagen gegen Comcast, für die 2025/2026 ein Vergleich über 117,5 Millionen Dollar vorlag, dessen endgültige Genehmigung nicht verifiziert wurde.

Evolve Bank and Trust wurde Anfang 2024 Opfer eines LockBit-Ransomwareangriffs, nachdem ein Mitarbeiter auf einen manipulierten Link geklickt hatte. Die Täter luden Datenbanken herunter und veröffentlichten die Daten im Juni 2024, nachdem Evolve kein Lösegeld gezahlt hatte. Betroffen waren Namen, Sozialversicherungsnummern und Kontonummern von Privat- und Hypothekenkunden sowie von Partnerunternehmen. Evolve meldete der Generalstaatsanwaltschaft von Maine rund 7,64 Millionen betroffene Personen.

Spätere Unterlagen zur Sammelklage sprechen von rund 18 Millionen Betroffenen, ohne dass diese höhere Zahl öffentlich erklärt wurde. LockBits Behauptung, es handle sich um Daten der US-Notenbank Federal Reserve, war falsch.

Am 20.06.2024 legte die Ransomware Brain Cipher, eine Weiterentwicklung von LockBit 3.0, das temporäre Nationale Rechenzentrum Indonesiens in Surabaya lahm. Betroffen waren mehr als 200 Regierungsbehörden, darunter Einwanderungs- und Passdienste, was zu langen Warteschlangen an Flughäfen führte. Die Angreifer forderten rund 8 Millionen Dollar, die indonesische Regierung lehnte eine Zahlung ab. Am 03.07.2024 veröffentlichte Brain Cipher unaufgefordert den Entschlüsselungscode kostenlos.

Die genaue Zahl betroffener Behörden schwankt je nach Quelle. Der genaue Anfangsvektor des Einbruchs ist nicht abschließend geklärt, Berichte verweisen auf deaktivierte Windows-Defender-Schutzfunktionen. Ob tatsächlich Daten exfiltriert wurden, ist nicht unabhängig verifiziert.

Roku meldete 2024 zwei separate Credential-Stuffing-Vorfälle: Anfang März 2024 waren rund 15.363 Konten betroffen, bei der Untersuchung entdeckte Roku einen zweiten, größeren Angriff mit rund 576.000 weiteren Konten, gemeldet am 12.04.2024. In weniger als 400 Fällen nutzten die Angreifer den Zugriff für betrügerische Käufe von Streaming-Abos und Hardware, die das Unternehmen erstattete. Roku führte anschließend eine verpflichtende Zwei-Faktor-Authentifizierung ein.

Die verwendeten Zugangsdaten stammten laut Unternehmen aus fremden Datenlecks, nicht aus einer Kompromittierung von Roku selbst, dies lässt sich nicht unabhängig überprüfen. Die Zahl 591.000 ist eine Addition aus zwei separaten Mitteilungen, keine von dritter Seite verifizierte Gesamtzahl.

Am 07.05.2024 identifizierten NCA, FBI, US-Justizministerium sowie Partnerbehörden aus USA, Großbritannien und Australien den Russen Dmitry Khoroshev als Entwickler und Administrator der Ransomware-Gruppe LockBit, bekannt unter dem Pseudonym LockBitSupp. US-, britische und australische Sanktionsbehörden verhängten Vermögenssperren und Einreiseverbote gegen ihn. Eine Grand Jury in New Jersey erhob Anklage in 26 Punkten, Höchststrafe 185 Jahre Haft. Das US-Außenministerium setzte eine Belohnung von bis zu 10 Millionen Dollar aus. LockBit soll zwischen 2019 und 2024 mehr als 2.500 Opfer in mindestens 120 Ländern angegriffen haben.

Khoroshev wurde nach der Anklage nicht festgenommen und hält sich vermutlich in Russland auf, das keine Auslieferungsabkommen mit den USA hat. Ein Gerichtsurteil steht aus, es gilt die Unschuldsvermutung. Angaben zur Gesamtschadenssumme schwanken zwischen über 500 Millionen und über 1 Milliarde Dollar.

DOJ und FBI gaben am 18.09.2024 eine gerichtlich genehmigte Operation bekannt, mit der sie ein Botnetz aus mehr als 260.000 kompromittierten Geräten zerschlugen. Das Botnetz wurde laut FBI von der in Peking ansässigen Integrity Technology Group betrieben, bekannt als staatsnahe Gruppe Flax Typhoon. Betroffen waren vor allem Router, IP-Kameras und Netzwerkspeicher weltweit, allein in den USA rund 126.000 Geräte. Auf Grundlage einer Rule-41-Gerichtsanordnung entfernte das FBI die Schadsoftware per Fernzugriff.

In welchem Umfang das Botnetz bereits für Sabotage oder Spionage eingesetzt wurde, ist nicht belegt. Die Zuordnung zu Integrity Technology Group stammt ausschließlich aus US-Behördenangaben, eine unabhängige gerichtliche Feststellung außerhalb der USA liegt nicht vor.

Die mit China in Verbindung gebrachte Gruppe Salt Typhoon drang 2024 in Netzwerke mehrerer großer US-Telekommunikationsanbieter ein, laut Medienberichten unter anderem AT&T, Verizon und Lumen Technologies. FBI und CISA bestätigten am 25.10.2024 den unautorisierten Zugriff, in einer aktualisierten Erklärung vom 13.11.2024 stellten sie fest, dass die Angreifer Anrufdaten gestohlen und Informationen aus gerichtlich angeordneten Überwachungsmaßnahmen (CALEA-Abhörschnittstellen) kopiert hatten.

FBI und CISA nennen keine genaue Opferzahl oder vollständige Firmenliste. Häufig zitierte Zahlen wie rund 150 Zielpersonen stammen aus Medienberichten, nicht aus den offiziellen Mitteilungen. Der Name Salt Typhoon stammt aus privater Bedrohungsanalyse, nicht aus Regierungsdokumenten.

Ab spätestens 03.12.2023 nutzte die mutmaßlich chinesische Gruppe UNC5221 zwei unbekannte Schwachstellen in Ivanti Connect Secure und Policy Secure VPN-Gateways aus. Ivanti veröffentlichte die Schwachstellen am 10.01.2024, Mandiant ordnete die Angriffe UNC5221 zu und dokumentierte eigens entwickelte Schadsoftware. Volexity zählte bis Mitte Januar 2024 mehr als 2.100 kompromittierte Geräte weltweit. CISA ordnete am 19.01.2024 per Notfallanweisung an, betroffene Geräte in Bundesbehörden bis zum 02.02.2024 vom Netz zu nehmen.

Mandiant stuft die Zuordnung zu China nur als moderate confidence ein, gestützt auf Indizien, nicht auf direkte Beweise. Eine mögliche Verbindung zur Gruppe Volt Typhoon wurde ausdrücklich nicht bestätigt. Eine vollständige Opferliste ist nicht öffentlich dokumentiert.

Kaiser Permanente meldete am 12.04.2024 einen Datenschutzvorfall, der rund 13,4 Millionen aktuelle und ehemalige Mitglieder betraf. Ursache waren seit dem 25.10.2023 bekannte Tracking-Pixel und Cookies auf eigenen Websites, die personenbezogene Daten an Google, Microsoft Bing und X übermittelten, darunter Namen, IP-Adressen und Suchbegriffe zu Symptomen und Medikamenten im Gesundheitslexikon. Sozialversicherungs- und Finanzdaten waren laut Kaiser nicht betroffen. Der Vorfall gilt als größte 2024 gemeldete Datenpanne im US-Gesundheitssektor.

Wie viele Betroffene tatsächlich sensible Suchbegriffe eingegeben hatten, ist nicht offengelegt. Ob die Empfängerkonzerne die Daten tatsächlich nutzten, ist nicht dokumentiert. Kaiser einigte sich 2024/2025 auf eine Vergleichszahlung von bis zu 47,5 Millionen Dollar, ohne Fehlverhalten einzuräumen.

Anfang August 2023 wurde die US-Klinikkette Prospect Medical Holdings Ziel eines Ransomware-Angriffs der Gruppe Rhysida. Krankenhäuser in fünf US-Bundesstaaten mussten ihre IT vom Netz nehmen, mehrere Notaufnahmen schlossen zeitweise und leiteten Patienten um. Prospect Medical meldete später eine Datenpanne mit 1.309.096 betroffenen Personen, deren Namen, Sozialversicherungsnummern und Gesundheitsdaten kompromittiert wurden.

Rhysidas Behauptung, rund 1 Terabyte Daten erbeutet zu haben, stammt allein von den Angreifern. Ob Prospect Medical Lösegeld zahlte, ist nicht bestätigt. Ob die Ausfälle zu konkreten Patientenschäden führten, ist nicht belegt.

Ein Angreifer verschaffte sich am 19.12.2024 mit gestohlenen Zugangsdaten eines Subunternehmers Zugang zum PowerSource-Kundenportal von PowerSchool und exfiltrierte bis zum 28.12.2024 Schulverwaltungsdaten tausender Schulbezirke in den USA und Kanada. Laut späteren Ermittlungsangaben waren rund 62,4 Millionen Schüler und 9,5 Millionen Lehrkräfte an 6.505 Schulbezirken betroffen. PowerSchool zahlte ein Lösegeld, um eine Veröffentlichung zu verhindern. Der 19-jährige Matthew D. Lane wurde 2025 zu vier Jahren Haft und 14 Millionen Dollar Wiedergutmachung verurteilt.

Die tatsächlich gezahlte Lösegeldsumme ist nicht öffentlich beziffert, belegt ist nur eine Forderung von rund 2,85 Millionen Dollar. Im Mai 2025 tauchten trotz Zahlung erneut Datenproben bei Erpressungsversuchen gegen einzelne Schulbezirke auf.

Im Oktober 2024 wurde bekannt, dass ein Hacker unter dem Pseudonym xenZen über Telegram-Chatbots Kundendaten des indischen Krankenversicherers Star Health Insurance verbreitete. Der Angreifer behauptete, 7,24 Terabyte Daten von mehr als 31 Millionen Kunden erbeutet zu haben, darunter Namen, Adressen, Ausweiskopien und medizinische Befunde. Star Health bestätigte unbefugten Zugriff auf Teile seiner Daten und erhob vor dem Madras High Court Klage gegen Telegram, Cloudflare und den Hacker, woraufhin das Gericht eine einstweilige Verfügung erließ.

Die Zahl von über 31 Millionen Betroffenen stammt allein vom Hacker und wurde von Star Health nicht in dieser Größenordnung bestätigt. Der Hacker behauptete, die Daten vom Sicherheitschef von Star Health erhalten zu haben, was das Unternehmen als gefälscht zurückwies. Ob indische Behörden ein Bußgeld verhängen, ist offen.

Der US Supreme Court entschied am 29.06.2026 in der Sache Trump v. Slaughter mit sechs zu drei Stimmen, dass der Präsident FTC-Mitglieder auch ohne gesetzlich verlangten wichtigen Grund entlassen darf, und kippte damit den fast 90 Jahre alten Präzedenzfall Humphrey's Executor. noyb erklärte, die FTC gelte dadurch nicht mehr als unabhängige Aufsichtsbehörde im Sinne des EU-Rechts, und verwies darauf, dass sich der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023 an 259 Stellen auf die FTC-Unabhängigkeit stütze. noyb forderte die EU-Kommission zum geordneten Widerruf auf und kündigte andernfalls eine EuGH-Klage an.

Ob die EU-Kommission dem Widerrufswunsch folgt, war zum Recherchezeitpunkt offen. Die Zahl von 259 FTC-Nennungen stammt aus noybs eigener Auswertung, nicht von einer EU-Institution bestätigt. Praktische Folgen für die zertifizierten US-Unternehmen sind unklar.

Am 10.10.2023 unterzeichnete Gouverneur Gavin Newsom den California Delete Act (SB 362). Das Gesetz verpflichtet die CPPA, bis zum 01.01.2026 eine zentrale Löschplattform namens DROP einzurichten, über die Verbraucher mit einem einzigen Antrag die Löschung ihrer Daten bei allen registrierten Datenhändlern verlangen können. Datenhändler müssen sich seit Januar 2024 jährlich registrieren und ab dem 01.08.2026 Löschanfragen mindestens alle 45 Tage bearbeiten. Ab 2028 sind zusätzlich unabhängige Audits im Dreijahresrhythmus vorgeschrieben.

Die genaue Zahl verhängter Bußgelder gegen säumige Datenhändler ist nicht belegt. Die oft genannte Strafhöhe von 200 Dollar pro Löschantrag und Tag stammt aus Compliance-Quellen, nicht aus der offiziellen CPPA-Mitteilung. Wie viele Löschanträge zu tatsächlichen Löschungen führten, ist offen.

Der texanische Attorney General Ken Paxton reichte am 20.10.2022 Klage gegen Google ein, gestützt auf den Texas Capture or Use of Biometric Identifier Act (CUBI) von 2009. Die Klage wirft Google vor, seit mindestens 2015 ohne ausreichende Einwilligung biometrische Identifikatoren wie Gesichtsgeometrie und Stimmabdrücke erfasst zu haben, unter anderem über Google Photos und Google Assistant. Am 09.05.2025 einigten sich Texas und Google auf eine Zahlung von 1,375 Milliarden Dollar, die auch parallele Klagen zu Standortverfolgung und Chrome-Inkognito-Daten abdeckte.

Wie viele Texaner konkret betroffen waren, ist nicht beziffert. Welcher Anteil des Vergleichsbetrags auf die biometrischen Vorwürfe entfällt, wurde nicht veröffentlicht. Google erkannte kein Fehlverhalten an, eine gerichtliche Klärung in der Sache fand nicht statt.

Gouverneur Jay Inslee unterzeichnete den My Health My Data Act am 27.04.2023, das erste US-Bundesstaatengesetz, das Gesundheitsdaten außerhalb von HIPAA schützt, etwa aus Wellness-Apps oder Standortdaten. Es verlangt vor Sammlung eine ausdrückliche Einwilligung und verbietet Geofencing im Umkreis von rund 600 Metern um Gesundheitseinrichtungen. Verstöße können vom Attorney General und durch Betroffene über eine private Klagebefugnis verfolgt werden. Die erste Klage richtete sich im Februar 2025 gegen Amazon wegen Standortdatenerfassung.

Wie viele Unternehmen die Vorgaben umgesetzt haben, ist nicht beziffert. Über den Ausgang der Klage gegen Amazon war zum Zeitpunkt der Recherche noch nicht entschieden. Wie Gerichte den Begriff der geschützten Gesundheitsdaten im Einzelfall auslegen, ist juristisch noch nicht höchstrichterlich geklärt.

Am 01.03.2024 ging eine Bitcoin-Zahlung von rund 22 Millionen Dollar an eine Wallet der Gruppe ALPHV/BlackCat, ausgelöst durch deren Angriff auf Change Healthcare. Ein Affiliate namens Notchy beschwerte sich, seinen Anteil nicht erhalten zu haben. Die Leak-Website der Gruppe zeigte daraufhin ein vermutlich gefälschtes Beschlagnahmungsbanner, die Infrastruktur ging offline. Notchy gab eine Kopie der Daten an die Gruppe RansomHub weiter, die Change Healthcare erneut erpresste; UnitedHealth-CEO Andrew Witty bestätigte die Zahlung am 01.05.2024 vor dem Senat.

Ob das Beschlagnahmungsbanner echt oder von der ALPHV-Führung selbst inszeniert war, ist nicht offiziell bestätigt, das FBI äußerte sich dazu nicht. Die reale Identität von Notchy ist nicht bekannt. Ob RansomHub organisatorisch mit ALPHV verbunden ist, wird unterschiedlich eingeschätzt.

Am 01.05.2024 sagte UnitedHealth-CEO Andrew Witty vor dem Senate Finance Committee zum Angriff auf Change Healthcare aus und bestätigte erstmals öffentlich die Zahlung von rund 22 Millionen Dollar an BlackCat/ALPHV. Als Ursache nannte er einen extern erreichbaren Citrix-Server ohne Multi-Faktor-Authentifizierung, kompromittiert mit gestohlenen Zugangsdaten. Witty gab an, möglicherweise sei ein Drittel der US-Bevölkerung betroffen. Mehrere Senatoren, darunter Elizabeth Warren, kritisierten das Sicherheitsversagen scharf.

Die Schätzung eines Drittels der US-Bevölkerung war vorläufig, die spätere endgültige Zahl von rund 190 Millionen Betroffenen wurde in dieser Anhörung noch nicht genannt. Ob die Zahlung tatsächlich zur vollständigen Löschung der Daten führte, blieb offen.

BuzzFeed News erhielt 2019 mehr als 2.100 Verdachtsmeldungen (Suspicious Activity Reports, SARs) der US-Finanzaufsichtsbehörde FinCEN und teilte sie mit dem International Consortium of Investigative Journalists (ICIJ), das sie mit rund 400 Journalisten aus 88 Ländern auswertete. Am 20.09.2020 veröffentlichten ICIJ, BuzzFeed News und über 100 Medienpartner die Ergebnisse: Insgesamt 2.657 Dokumente, darunter 2.121 SARs, dokumentieren mehr als 200.000 verdächtige Transaktionen im Wert von über 2 Billionen US-Dollar zwischen 1999 und 2017. Am stärksten vertreten war die Deutsche Bank mit rund 1,3 Billionen US-Dollar verdächtiger Transaktionen und etwa 62 Prozent aller SARs im Datensatz, gefolgt von JPMorgan Chase mit rund 514 Milliarden US-Dollar. Die frühere FinCEN-Mitarbeiterin Natalie Mayflower Sours Edwards bekannte sich im Januar 2020 der unerlaubten Weitergabe der Dokumente schuldig und wurde zu sechs Monaten Haft verurteilt.

Dass die in den SARs genannten Kunden und Firmen tatsächlich Geldwäsche begangen haben, ist durch die Verdachtsmeldungen allein nicht bewiesen. Eine SAR ist eine bankinterne Meldepflicht an FinCEN ohne Anklage oder Gerichtsurteil gegen die genannten Personen. Ob und wie FinCEN auf einzelne Meldungen konkret reagierte, geht aus den geleakten Dokumenten nicht hervor. Die genannten Summen wie die 1,3 Billionen US-Dollar bei der Deutschen Bank beziffern das Volumen der als verdächtig gemeldeten Transaktionen über 18 Jahre, nicht nachgewiesene Straftaten.