Quellen-Tabelle

Nachdem die dänische Zeitung Berlingske ab März 2017 über Geldwäscheverdacht in der estnischen Danske-Bank-Filiale berichtet hatte, veröffentlichte die Bank am 19.09.2018 einen internen Untersuchungsbericht zu rund 200 Milliarden Euro verdächtigen Zahlungen aus den Jahren 2007 bis 2015. Die Aktie fiel an diesem Tag um fast 8 Prozent, Vorstandschef Thomas Borgen trat noch am selben Tag zurück. Über das gesamte Jahr 2018 verlor die Danske-Bank-Aktie rund die Hälfte ihres Werts, ein Marktwertverlust von mehr als 15 Milliarden US-Dollar. Eine zusätzliche Gewinnwarnung im Dezember 2018 drückte den Kurs auf den niedrigsten Stand seit Anfang 2014.

Die genauen Prozentangaben zum Kursverlust schwanken je nach Quelle zwischen rund 45 und 50 Prozent, je nachdem ob das Kalenderjahr 2018 oder der Rückgang seit März 2018 zugrunde gelegt wird. Der bezifferte Marktwertverlust stammt aus journalistischen Berechnungen ohne einheitlichen Stichtag. Eine strenge statistische Trennung zwischen dem Einfluss des Skandals und allgemeinen Marktfaktoren liegt in den ausgewerteten Quellen nicht vor.

Im Jahresabschluss 2019 wies Wirecard rund 1,9 Milliarden Euro auf angeblichen Treuhandkonten bei den philippinischen Banken BDO Unibank und Bank of the Philippine Islands (BPI) aus. Als örtlicher Treuhänder trat der Manila-Anwalt Mark Tolentino auf. Am 18.06.2020 verweigerte Wirtschaftsprüfer EY das Testat. Am 19.06.2020 erklärten BDO und BPI öffentlich, die vorgelegten Kontobestätigungen trügen gefälschte Unterschriften und Wirecard sei nie ihr Kunde gewesen. Wirecard räumte daraufhin ein, das Geld habe wahrscheinlich nie existiert, und meldete am 25.06.2020 Insolvenz an.

Ob Treuhänder Mark Tolentino wissentlich an der Fälschung mitwirkte oder selbst getäuscht wurde, ist rechtlich nicht abschließend geklärt. Im August 2022 stellte das philippinische Justizministerium die Ermittlungen gegen Tolentino und den flüchtigen Ex-Wirecard-Vorstand Jan Marsalek mangels Beweisen ein, lediglich ein BPI-Bankangestellter wurde wegen Urkundenfälschung angeklagt. Wer die Dokumente tatsächlich erstellt hat, ist mangels rechtskräftigen Urteils nicht gerichtsfest bewiesen.

Das US-Justizministerium klagte den malaysischen Finanzier Low Taek Jho, bekannt als Jho Low, am 01.11.2018 wegen Verschwörung zur Geldwäsche und gegen den Foreign Corrupt Practices Act an. Laut Anklage soll Low mehr als 2,7 Milliarden US-Dollar aus dem Staatsfonds 1MDB veruntreut und teils zur Bestechung von Beamten sowie für Luxusimmobilien und die Finanzierung von Hollywoodfilmen wie The Wolf of Wall Street verwendet haben. Bereits am 24.08.2018 hatte die malaysische Staatsanwaltschaft Low in Abwesenheit angeklagt, Interpol stellte am 11.06.2018 eine Red Notice gegen ihn aus.

Jho Lows genauer Aufenthaltsort ist bis heute nicht offiziell bestätigt, malaysische Behörden vermuteten wiederholt China, was chinesische Stellen mehrfach dementierten. Da Low nie festgenommen wurde, gibt es gegen ihn persönlich kein Strafurteil. Diese Anklage bezieht sich nur auf einen Teilbetrag von 2,7 Milliarden Dollar der insgesamt veruntreuten rund 4,5 Milliarden Dollar. Eine Auslieferung fand bis heute nicht statt.

Die dänische Finanzaufsicht Finanstilsynet stellte am 03.05.2018 schwere Mängel in der Unternehmensführung von Danske Bank bei der Geldwäscheprävention in der estnischen Zweigstelle fest. Die Behörde erließ acht Anordnungen und acht Rügen und verlangte eine Erhöhung der Kapitalanforderung um 5 Milliarden dänische Kronen. Laut Finanstilsynet reagierte die Bankführung zu spät auf Hinweise eines internen Whistleblowers. Zwischen 2007 und 2015 wurden über die estnische Zweigstelle rund 200 Milliarden Euro an Zahlungen von Nichtansässigen abgewickelt, überwiegend aus Russland und anderen früheren Sowjetstaaten.

Nicht belegt ist, welcher Anteil der rund 200 Milliarden Euro tatsächlich aus Geldwäsche stammte, die Zahl umfasst auch legale Transaktionen. Das Entscheidungsdatum wird in manchen Sekundärquellen fälschlich mit 2019 statt 2018 angegeben. Offen blieb zum Zeitpunkt der Entscheidung, ob einzelne frühere Führungskräfte persönlich zur Verantwortung gezogen würden.

Die niederländische Großbank ING einigte sich am 04.09.2018 mit der Staatsanwaltschaft auf eine Zahlung von 775 Millionen Euro, davon 675 Millionen Euro Geldbuße und 100 Millionen Euro Gewinnabschöpfung. Grund waren strukturelle Mängel bei der Geldwäscheprävention zwischen 2010 und 2016, darunter unzureichende Kundenprüfung und ausgebliebene Verdachtsmeldungen. Es handelte sich um einen außergerichtlichen Vergleich ohne Gerichtsverfahren, die Summe war zum Zeitpunkt der Einigung der höchste jemals in den Niederlanden verhängte Betrag in einem Strafverfahren.

Nicht Bestandteil des Settlements war eine strafrechtliche Verurteilung der Bank selbst, viele Einzelheiten zu konkreten Geldwäschefällen sind dadurch nicht öffentlich nachvollziehbar. Die Staatsanwaltschaft sprach nur von hunderten Millionen Euro inkriminierter Gelder, ohne präzise Summe. Strafrechtliche Ermittlungen gegen einzelne frühere Manager liefen separat weiter, ihr Ausgang ist in dieser Quelle nicht dokumentiert.

Rabobank National Association, die kalifornische Tochtergesellschaft der niederländischen Cooperatieve Rabobank, bekannte sich im Februar 2018 vor einem US-Bundesgericht schuldig, die Aufsichtsbehörde OCC bei einer Prüfung getäuscht zu haben, und stimmte einer Zahlung von rund 369 Millionen US-Dollar zu. Zwischen 2009 und 2012 ließen mangelhafte Programme an den Filialen in Calexico und Tecate hunderte Millionen Dollar an nicht nachverfolgbarem Bargeld aus Mexiko unbeanstandet passieren. Als das OCC dies 2013 aufzudecken drohte, sollen Bankmitarbeiter der Aufsicht falsche Angaben gemacht und Unterlagen zurückgehalten haben.

Nicht abschließend geklärt ist, in welchem Umfang das durchgeleitete Bargeld tatsächlich aus Drogenhandel mexikanischer Kartelle stammte, die Angabe hunderte Millionen Dollar ist eine Näherung. Der genaue Anteil der 369 Millionen Dollar als strafrechtliche Vermögensabschöpfung versus zivilrechtliche Bußgelder anderer Behörden wird in Presseberichten unterschiedlich aufgeschlüsselt. Die Rolle einzelner früherer Führungskräfte ist in den ausgewerteten Quellen nur unvollständig dargestellt.

Standard Chartered Bank zahlte zwischen 2012 und 2019 wiederholt Bußgelder an US- und britische Behörden wegen Umgehung von Iran-Sanktionen. Im Dezember 2012 zahlte die Bank rund 667 Millionen Dollar wegen verschleierter Iran-Transaktionen aus 2001 bis 2007. 2014 verhängte die New Yorker Finanzaufsicht DFS eine weitere Strafe von 300 Millionen Dollar. Am 09.04.2019 bekannte sich die Bank schuldig, zwischen 2007 und 2011 rund 9.500 Transaktionen im Wert von etwa 240 Millionen Dollar für iranische Institutionen abgewickelt zu haben, und zahlte zusammen mit mehreren Behörden insgesamt rund 1,1 Milliarden Dollar.

Die genaue Aufschlüsselung der Transaktionssummen variiert je nach Quelle und Behörde, ob und wie stark sich verschiedene Zeiträume und Summen überschneiden, lässt sich aus öffentlich zugänglichen Quellen nicht vollständig auflösen. Bei den Verfahren handelt es sich überwiegend um Deferred Prosecution Agreements und aufsichtsrechtliche Vergleiche, nicht um Urteile nach vollständigem Strafprozess. Eine individuelle strafrechtliche Verantwortung einzelner Manager ist öffentlich nicht dokumentiert.

Am 30.06.2014 einigte sich BNP Paribas mit dem US-Justizministerium und weiteren Behörden auf eine Gesamtstrafe von 8,9736 Milliarden Dollar. Die Bank bekannte sich schuldig, zwischen 2004 und 2012 vorsätzlich Transaktionen für Kunden in Sudan, Iran und Kuba über das US-Finanzsystem abgewickelt zu haben. Richterin Lorna Schofield verhängte das Urteil formell am 01.05.2015 in Manhattan. Es war die höchste je in einem US-Strafverfahren verhängte Geldstrafe und die erste Verurteilung eines Finanzinstituts wegen Verstößen gegen US-Wirtschaftssanktionen. BNP Paribas musste zusätzlich 13 verantwortliche Mitarbeiter entlassen.

Kein einzelner Bankmanager wurde in diesem Verfahren strafrechtlich angeklagt, es blieb bei der Entlassung von 13 Mitarbeitern. Das Gesamtvolumen der über Jahre abgewickelten sanktionierten Transaktionen wird in Sekundärquellen uneinheitlich beziffert, teils mit über 30 Milliarden, teils mit bis zu rund 190 Milliarden Dollar. Ob seither ein höheres Sanktionsbußgeld gegen ein Finanzinstitut verhängt wurde, ist in verfügbaren Quellen unterschiedlich bewertet.

Am 19.02.2019 kündigte Danske Bank an, ihre verbliebenen Geschäftsaktivitäten in Lettland, Litauen und Russland vollständig einzustellen. Anders als bei der estnischen Filiale, die wegen verdächtiger Transaktionen im Zeitraum 2007 bis 2015 in Höhe von rund 200 Milliarden Euro zur Schließung gezwungen wurde, begründete Danske Bank den Rückzug aus Lettland und Litauen als eigene strategische Entscheidung. Bereits 2015 hatte die Bank das Privatkundengeschäft in Litauen und Lettland an Swedbank verkauft. Die litauische Zentralbank erklärte, mit dänischen Behörden zu kooperieren, ohne dass ein eigenes Bußgeld gegen Danske Bank in Litauen bekannt wurde.

Nicht belegt ist, dass die lettische oder litauische Finanzaufsicht ein eigenständiges Bußgeld speziell für die Filialen in Riga oder Vilnius verhängt haben, wie es für Estland dokumentiert ist. Es bleibt unklar, ob und in welchem Umfang die 2 Milliarden US-Dollar schwere Gesamteinigung von Danske Bank aus dem Jahr 2022 auch Sachverhalte aus Lettland oder Litauen mit abdeckte.

Am 12.02.2024 verschafften sich Angreifer der Gruppe ALPHV/BlackCat mit kompromittierten Zugangsdaten Zugang zu einem Citrix-Fernzugriffsportal von Change Healthcare, das keine Multi-Faktor-Authentifizierung besaß. Die Angreifer bewegten sich rund neun Tage lang lateral durch die Systeme, bevor am 21.02.2024 die Ransomware ausgelöst wurde. Change Healthcare bedient mehr als 30.000 Apotheken in den USA, die Störung betraf Abrechnung und Zahlungsabwicklung über Monate. UnitedHealth Group bezifferte die finanziellen Kosten im ersten Quartal 2024 auf 872 Millionen US-Dollar.

Die hier genannten Fakten stammen größtenteils aus der Kongressaussage von UnitedHealth-CEO Andrew Witty vom 01.05.2024 und wurden nicht unabhängig durch forensische Berichte Dritter bestätigt. Die genaue Menge der exfiltrierten Daten, teils mit rund 6 Terabyte beziffert, sowie die Zahl von etwa 190 Millionen betroffenen Personen basieren auf späteren HHS-Meldungen und können sich noch ändern. Die Höhe der an ALPHV/BlackCat gezahlten Lösegeldsumme wurde von UnitedHealth nie offiziell bestätigt.

Die Ransomware-Gruppe Clop, auch bekannt als TA505, begann ab dem 27.05.2023, eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der Software MOVEit Transfer von Progress Software auszunutzen. CISA und FBI veröffentlichten am 07.06.2023 eine gemeinsame Sicherheitswarnung. Progress Software veröffentlichte am 31.05.2023 einen Patch. Nach Angaben von Emsisoft waren bis Januar 2024 über 2.700 Organisationen und mehr als 93 Millionen betroffene Personen erfasst, darunter die BBC, British Airways und Aer Lingus.

Nicht abschließend geklärt ist die exakte Gesamtzahl der betroffenen Organisationen, da die erhobenen Zahlen auf Meldepflichten und Angaben auf der Leak-Seite von Clop beruhen und sich fortlaufend nach oben korrigierten. Es ist nicht bewiesen, wie viele der behaupteten Datendiebstähle tatsächlich vollständige, verwertbare Datensätze betrafen, da die Gruppe bekannt dafür ist, Opferzahlen zu übertreiben.

Im Juni 2021 bot ein Nutzer unter dem Pseudonym TomLiner in einem Darknet-Forum Daten zu rund 700 Millionen LinkedIn-Profilen für 5.000 US-Dollar an, etwa 92 Prozent aller LinkedIn-Nutzer. Der Datensatz enthielt Namen, E-Mail-Adressen, Telefonnummern, Geolokationsdaten und abgeleitete Gehaltsschätzungen. LinkedIn erklärte, die Daten seien nicht durch einen Einbruch in interne Systeme erlangt worden, sondern durch automatisiertes Scraping der API und aus weiteren öffentlich zugänglichen Quellen. Passwörter waren nicht Teil des Datensatzes.

Nicht belegt ist, ob der gesamte angebotene Datensatz tatsächlich authentisch war. LinkedIn stufte den Vorgang als Verstoß gegen die Nutzungsbedingungen ein, nicht als Hack. Es ist offen, wie viele der Datensätze bereits aus früheren Datenlecks stammten. Die Identität hinter dem Pseudonym TomLiner wurde nicht geklärt.

Am 06.10.2021 veröffentlichte ein anonymer Angreifer einen 125 Gigabyte großen Torrent mit internen Twitch-Daten auf 4chan. Enthalten waren der komplette Quellcode der Plattform, Code aus fast 6.000 internen GitHub-Repositories und Auszahlungsberichte von 2019 für knapp 2,4 Millionen Streamer. Zusätzlich wurden Client-Software und ein unveröffentlichter Steam-Konkurrent von Amazon Game Studios geleakt. Twitch bestätigte den Vorfall am selben Tag, Ursache war eine Fehlkonfiguration eines Servers. Der Angreifer kündigte an, die Veröffentlichung sei nur Teil eins.

Nicht dokumentiert ist, ob Nutzerpasswörter, Adressen oder Bankdaten im Leak enthalten waren. Die Identität des Angreifers wurde nie offiziell bestätigt. Ob der angekündigte zweite Teil des Datensatzes jemals veröffentlicht wurde, ist nicht abschließend geklärt. Die genaue Dauer des unbefugten Zugriffs wurde von Twitch nicht im Detail offengelegt.

Am 07.05.2021 legte die Ransomware-Gruppe DarkSide die IT-Systeme von Colonial Pipeline lahm, dem größten Treibstoffpipelinebetreiber der US-Ostküste, was zu tagelangen Kraftstoffengpässen führte. Colonial Pipeline zahlte am selben Tag ein Lösegeld von 75 Bitcoin, damals rund 4,4 Millionen US-Dollar wert. Am 07.06.2021 gab das US-Justizministerium bekannt, dass FBI-Ermittler durch Verfolgung der Blockchain-Transaktionen 63,7 Bitcoin, damals rund 2,3 Millionen US-Dollar wert, aus einer DarkSide-Wallet sicherstellen konnten. Die Pipeline nahm den regulären Betrieb am 12.05.2021 wieder auf.

Nicht öffentlich dokumentiert ist, wie die FBI-Ermittler technisch an den privaten Schlüssel der DarkSide-Wallet gelangten. Offen blieb, ob und in welchem Umfang einzelne DarkSide-Mitglieder identifiziert oder strafrechtlich verfolgt wurden, die Gruppe kündigte kurz danach an, ihre Infrastruktur abzuschalten, ob dies das Ende der Gruppe oder nur einen Rebrand darstellte, ist nicht geklärt.

Am 30.05.2021 wurde der weltweit größte Fleischverarbeiter JBS Opfer eines Ransomware-Angriffs, der Server in Nordamerika und Australien betraf und zur vorübergehenden Schließung von Verarbeitungsanlagen führte. Das FBI ordnete den Angriff der russischsprachigen Gruppe REvil zu. JBS zahlte nach eigenen Angaben ein Lösegeld von 11 Millionen US-Dollar in Kryptowährung, obwohl zum Zeitpunkt der Zahlung bereits der Großteil der Anlagen wieder arbeitsfähig war.

Nicht öffentlich dokumentiert ist, welche Daten bei dem Angriff tatsächlich exfiltriert wurden. Ob die Zahlung von 11 Millionen US-Dollar tatsächlich notwendig war, bleibt eine Einschätzung des Unternehmens und ist nicht unabhängig verifiziert. REvil löste sich Sommer 2021 größtenteils auf, sodass eine vollständige strafrechtliche Aufarbeitung bislang nicht abgeschlossen ist.

Am 02.07.2021 nutzte die Ransomware-Gruppe REvil eine Zero-Day-Schwachstelle in der Software Kaseya VSA aus, die von Managed Service Providern zur Fernwartung genutzt wird. Über rund 60 direkt betroffene Kaseya-Kunden wurden schätzungsweise 800 bis 1.500 nachgelagerte Unternehmen weltweit infiziert. REvil forderte zunächst 70 Millionen US-Dollar in Bitcoin, senkte die Forderung später auf 50 Millionen. Am 23.07.2021 gab Kaseya bekannt, von einem nicht näher benannten Dritten einen Generalschlüssel erhalten zu haben, ohne Lösegeld gezahlt zu haben.

Nicht offiziell bestätigt ist die genaue Zahl der betroffenen Endkunden, Schätzungen schwanken zwischen 800 und über 2.000 Organisationen. Unklar bleibt, wer der von Kaseya genannte Dritte war, der den Generalschlüssel lieferte. Berichte über eine mögliche FBI-Zahlung wurden nie offiziell bestätigt.

Der Chaos Computer Club deckte gemeinsam mit dem Spiegel auf, dass die VW-Softwaretochter Cariad Fahrzeug- und Bewegungsdaten von rund 800.000 Elektroautos der Marken VW, Audi, Seat und Skoda über Monate ungeschützt in einem Amazon-Cloud-Speicher zugänglich hielt. Für etwa 460.000 Fahrzeuge waren präzise Standortdaten einsehbar, teils bis auf wenige Meter genau. Die Daten ließen sich mit Kundendaten verknüpfen. CCC-Sprecher informierten Cariad, VW und Behörden vor der Veröffentlichung, Cariad schloss die Sicherheitslücke innerhalb der gesetzten Frist. Ursache war laut Cariad eine Fehlkonfiguration der Cloud-Umgebung.

Nicht abschließend geklärt ist, wie lange die Daten tatsächlich frei zugänglich waren. Die Zahl von 800.000 betroffenen Fahrzeugen bezieht sich auf alle Fahrzeugdatensätze, während präzise Standortdaten nur bei rund 460.000 Fahrzeugen vorlagen. Ungeklärt bleibt, ob Dritte die Daten vor der Meldung durch den CCC tatsächlich abgegriffen haben, sowie der Ausgang möglicher Sammelklagen gegen Volkswagen.

23andMe bestätigte im Oktober 2023, dass ein Angreifer zwischen dem 29.04. und September 2023 mittels Credential Stuffing rund 14.000 Nutzerkonten kompromittierte. Über die DNA-Relatives-Funktion erhielt der Angreifer dadurch Zugriff auf Daten von etwa 6,9 Millionen Konten, darunter Namen, genetische Abstammungsergebnisse und teils Gesundheitsprädispositionsberichte. Eine im Januar 2024 eingereichte Sammelklage warf 23andMe vor, Nutzer mit aschkenasisch-jüdischer und chinesischer Abstammung nicht gezielt gewarnt zu haben, da Angreifer offenbar gezielt nach diesen ethnischen Gruppen filterten. 23andMe einigte sich später auf eine Zahlung von 30 Millionen US-Dollar.

Nicht öffentlich dokumentiert ist, wie genau der Angreifer die Auswahl nach ethnischer Abstammung technisch vornahm und ob dies gezielte Absicht oder eine zufällige Folge der Datenstruktur war. Die Identität und Motivation des oder der Angreifer wurde nicht geklärt. Der Vergleich über 30 Millionen US-Dollar stellt keine gerichtliche Feststellung eines Verschuldens dar.

LastPass wurde 2022 in zwei zusammenhängenden Vorfällen kompromittiert. Am 08.08.2022 drangen Angreifer über den Firmenlaptop eines Softwareentwicklers in die Entwicklungsumgebung ein und entwendeten Quellcode. In einem zweiten Vorfall nutzten die Angreifer diese Informationen, um mittels Keylogger auf dem privaten Heimcomputer eines DevOps-Ingenieurs dessen Zugangsdaten abzugreifen und auf AWS-S3-Speicher mit Kundendaten-Backups zuzugreifen. Am 22.12.2022 bestätigte LastPass, dass die Angreifer eine Cloud-Sicherung der Kundentresore mit verschlüsselten Passwörtern kopiert hatten.

Nicht öffentlich dokumentiert ist die exakte Zahl der betroffenen Nutzerkonten, LastPass nannte nie eine offizielle Gesamtzahl. Umstritten ist, wie viele Master-Passwörter tatsächlich durch nachfolgendes Brute-Forcing entschlüsselt wurden. Die genaue Zahl der aus den gestohlenen Tresoren für Kryptowährungsdiebstähle genutzten Zugangsdaten ist nicht offiziell verifiziert.

Am 07.03.2017 veröffentlichte Apache die kritische Sicherheitslücke CVE-2017-5638 im Web-Framework Apache Struts. Equifax patchte diese Schwachstelle auf einem Kundenbeschwerdeportal nicht, obwohl ein interner Scan sie hätte identifizieren sollen. Angreifer verschafften sich laut GAO-Bericht am 10.03.2017 erstmals Zugriff und exfiltrierten vom 13.05. bis 30.07.2017 über 76 Tage hinweg unbemerkt Daten mittels rund 9.000 Datenbankabfragen auf 51 verschiedene Datenbanken. Betroffen waren personenbezogene Daten von 147,9 Millionen US-Bürgern, darunter Sozialversicherungsnummern und Geburtsdaten. Ursachen waren unter anderem fehlerhafte Netzwerksegmentierung und ein abgelaufenes Sicherheitszertifikat, das die Überwachung des verschlüsselten Datenverkehrs verhinderte.

Nicht dokumentiert ist, warum der interne Equifax-Scan das betroffene Portal nicht erfasste, Equifax sprach von einem Kommunikationsversagen zwischen Teams, ohne dass dies unabhängig verifiziert wurde. Die Zahl der betroffenen Personen schwankt je nach Quelle zwischen 143 und 147,9 Millionen. Die Zuordnung der Angreifer zu chinesischen Militärangehörigen der PLA beruht auf einer Anklage, nicht auf einem Urteil, da mangels Auslieferung keine gerichtliche Verurteilung erfolgte.

Am 03.10.2017 gab Yahoo, zu diesem Zeitpunkt Teil der Verizon-Tochtergesellschaft Oath, bekannt, dass der bereits 2016 gemeldete Angriff von August 2013 tatsächlich alle 3 Milliarden Nutzerkonten betraf statt der zuvor genannten 1 Milliarde. Die Korrektur erfolgte im Rahmen einer forensischen Nachuntersuchung nach der Verizon-Übernahme. Verizon senkte deshalb den Kaufpreis für Yahoo im Februar 2017 um 350 Millionen US-Dollar. Die SEC verhängte später gegen die Nachfolgegesellschaft Altaba eine Strafe von 35 Millionen US-Dollar wegen irreführender Anlegerinformation.

Nicht abschließend geklärt ist, welche konkreten Daten bei allen 3 Milliarden Konten tatsächlich ausgelesen wurden. Die Zahl von 3 Milliarden basiert auf einer internen Neubewertung durch Verizon und wurde nicht durch eine unabhängige externe Prüfung öffentlich verifiziert. In einem separaten Verfahren wurden 2017 vier Personen angeklagt, darunter zwei mutmaßliche russische Geheimdienstmitarbeiter, deren Zusammenhang mit dem 3-Milliarden-Ausmaß nicht im Detail dokumentiert ist.

Marriott gab am 30.11.2018 bekannt, dass die Reservierungsdatenbank der 2016 übernommenen Hotelkette Starwood bereits seit 2014 kompromittiert war, also rund vier Jahre unentdeckt blieb. Betroffen waren Daten von bis zu 500 Millionen Gästen, darunter Namen, Passnummern und teilweise verschlüsselte Zahlungskartendaten. Die britische ICO verhängte 2020 eine Buße von 18,4 Millionen Pfund. Im Oktober 2024 einigten sich Marriott und Starwood mit der FTC auf eine Zahlung von 52 Millionen US-Dollar wegen dieses und eines weiteren Datenlecks 2020.

Marriott korrigierte die Schätzung von 500 Millionen im Januar 2019 auf etwa 383 Millionen eindeutige Datensätze, da Duplikate enthalten waren. Die Zuschreibung des Angriffs an einen chinesischen Staatsakteur stützt sich vor allem auf Medienberichte ohne namentlich genannte Ermittler, eine öffentliche behördliche Bestätigung liegt nicht vor, China wies die Vorwürfe zurück.

Am 05.11.2017 veröffentlichte das ICIJ gemeinsam mit 95 Medienpartnern in 67 Ländern die Paradise Papers, basierend auf 13,4 Millionen Dokumenten mit 1,4 Terabyte Umfang. Der Großteil, rund 7 Millionen Dateien, stammt von der Offshore-Kanzlei Appleby mit Sitz in Bermuda. Die Dokumente wurden der Süddeutschen Zeitung zugespielt. Unter den genannten Personen und Organisationen befanden sich die Duchy of Lancaster der Queen, der damalige US-Handelsminister Wilbur Ross sowie Apple und Nike.

Nicht bewiesen ist, dass alle genannten Personen oder Unternehmen Steuerhinterziehung im rechtlichen Sinne begangen haben, da Offshore-Strukturen in vielen Fällen legal sind. Appleby wies Vorwürfe rechtswidrigen Handelns zurück. Die genaue Herkunft des Lecks wurde von der Süddeutschen Zeitung nicht offengelegt.

Am 01.06.2017 beschloss der Bundestag einstimmig die Aufhebung von Paragraf 103 StGB, der Strafbarkeit der Beleidigung ausländischer Staatsoberhäupter. Auslöser war die Strafanzeige des türkischen Präsidenten Recep Tayyip Erdogan gegen Jan Böhmermann wegen dessen Schmähgedicht vom März 2016, für dessen Verfolgung die Bundesregierung im April 2016 die Ermächtigung nach Paragraf 104a StGB erteilt hatte. Die Streichung trat zum Januar 2018 in Kraft, mit der Begründung, die allgemeinen Beleidigungsvorschriften seien ausreichend.

Nicht dokumentiert im Bundestagsartikel ist der Ausgang des Strafverfahrens gegen Böhmermann. Die Staatsanwaltschaft Mainz stellte das Ermittlungsverfahren im Oktober 2016 mangels Tatverdachts ein, dies stammt aus anderen Quellen. Zivilrechtliche Verfahren zwischen Böhmermann und Erdogan sind nicht Gegenstand dieser Quelle.

WhatsApp reichte am 29.10.2019 vor einem US-Bundesgericht Klage gegen die israelische NSO Group ein. Die Klage wirft NSO Group vor, zwischen April und Mai 2019 eine Zero-Click-Schwachstelle in der WhatsApp-Videoanruf-Funktion ausgenutzt zu haben, um Pegasus-Spyware auf Geräte von etwa 1.400 Nutzern in mindestens 20 Ländern zu installieren, darunter Journalisten und Menschenrechtsaktivisten. Im Mai 2025 stellte ein US-Bundesgericht die zivilrechtliche Haftung von NSO Group fest und verhängte eine Strafzahlung von rund 168 Millionen US-Dollar.

Nicht abschließend geklärt ist die genaue Zahl der tatsächlich erfolgreich infizierten Geräte. Unklar bleibt, welche Regierungskunden für die einzelnen Angriffe verantwortlich waren, da NSO Group die Kundenidentität nicht vollständig offenlegte. Die Schadenersatzsumme wurde von NSO Group angefochten, der Ausgang eines Berufungsverfahrens war zum Recherchezeitpunkt offen.