Quellen-Tabelle

Im Frühjahr 2015 begannen das US-Justizministerium und die NYDFS eine Untersuchung von rund 6 Milliarden US-Dollar an Spiegelgeschäften der Deutschen Bank. Zwischen 2011 und Anfang 2015 kauften russische Kunden über die Moskauer Niederlassung Wertpapiere in Rubel und verkauften identische Positionen zeitnah in Fremdwährung über die Londoner Niederlassung. Im Zentrum stand Tim Wiswell, ehemaliger Leiter des Russland-Aktienhandels, der freigestellt wurde. Zu den mutmaßlichen Nutznießern gehörten Personen aus dem Umfeld von Wladimir Putin, darunter die Brüder Rotenberg. Diese Ermittlungsphase liegt zwei Jahre vor der öffentlichen Bußgeldeinigung von 2017.

Nicht belegt ist, wie NYDFS und DOJ ursprünglich auf die Spiegelgeschäfte aufmerksam wurden. Die Höhe des insgesamt bewegten Volumens schwankt je nach Quelle zwischen 6 und 10 Milliarden US-Dollar. Ob die genannten Personen aus Putins Umfeld tatsächlich strafrechtlich relevante Vorteile zogen, wurde in dieser frühen Berichterstattung nicht geklärt.

Die litauische Zentralbank Lietuvos bankas erklärte, sie beobachte Informationen zur möglichen Beteiligung litauischer Finanzinstitute an Geldwäsche und arbeite mit dänischen Behörden zusammen. Hintergrund waren die FinCEN Files, laut denen zwischen 2012 und 2015 verdächtige Geldtransfers über die Danske-Bank-Filiale in Litauen abgewickelt wurden, Teil eines Spiegelgeschäfte-Systems zum Herausschleusen russischer Rubel.

Nicht dokumentiert ist eine eigenständige formelle Untersuchung der Danske-Bank-Litauen-Filiale durch die litauische Zentralbank 2019. Der Hauptskandal betraf primär die estnische Filiale, die litauische Zentralbank äußerte sich nur allgemein zur Kooperation, ohne eigene Ermittlungsergebnisse oder Fallzahlen für Litauen zu nennen.

Die Schweizer Bank Julius Baer gab in einem Deferred Prosecution Agreement zu, zwischen Februar 2013 und Mai 2015 Gelder aus Bestechungszahlungen im FIFA-Korruptionsskandal transferiert zu haben, und zahlte über 79 Millionen US-Dollar. Parallel stellte die FINMA fest, dass Julius Baer zwischen 2009 und Anfang 2018 systematisch gegen Sorgfaltspflichten verstoßen hatte, unter anderem im Zusammenhang mit PDVSA und FIFA. Fast alle 70 geprüften Geschäftsbeziehungen wiesen Unregelmäßigkeiten auf.

Nicht dokumentiert ist, welche konkreten Bankmitarbeiter individuell strafrechtlich verfolgt wurden. Die FINMA-Untersuchung war auf eine Stichprobe von rund 70 Geschäftsbeziehungen begrenzt, keine vollständige Durchleuchtung aller Kundenbeziehungen.

Im April 2016 deckte Aftenposten im Rahmen der Panama Papers auf, dass die Luxemburger Privatbank-Tochter der norwegischen Großbank DNB seit 2006 rund 40 bis 45 Kunden half, Briefkastenfirmen auf den Seychellen zu gründen, mit Unterstützung der Kanzlei Mossack Fonseca. Etwa 30 der betroffenen Gesellschaften gehörten norwegischen Staatsbürgern. DNB beauftragte die Kanzlei Hjort mit einer unabhängigen Untersuchung.

Die genaue Zahl betroffener Kunden schwankt zwischen 40 und 45. Die interne Untersuchung kam zu dem Schluss, dass Konzernleitung und Vorstand vor 2016 keine Kenntnis hatten, diese Selbstauskunft wurde nicht durch ein unabhängiges Gerichtsurteil bestätigt.

Im Mai 2019 erhob die dänische Staatsanwaltschaft Anklage gegen Thomas Borgen, ehemaliger Vorstandschef der Danske Bank, wegen mutmaßlicher Verstöße gegen das dänische Geldwäschegesetz im Zusammenhang mit der estnischen Filiale. Borgen leitete von 2009 bis 2012 das internationale Geschäft, zu dem die estnische Filiale gehörte, und war bis September 2018 Vorstandsvorsitzender. Er trat nach Veröffentlichung eines internen Untersuchungsberichts zurück, der die Kontrollen als offensichtlich unzureichend bezeichnete.

Nicht belegt ist, ob Borgen persönlich Kenntnis von den Transaktionen hatte. Ein früheres internes Rechtsgutachten war zu dem Schluss gekommen, Borgen habe keine Pflichten verletzt, im Widerspruch zur späteren Anklage. Spätere Berichte von 2021 deuten darauf hin, dass die Anklage fallengelassen wurde, dies ist nicht Gegenstand dieser Quelle von 2019.

Der schwedische Sender SVT enthüllte im Februar 2019, dass über Konten der estnischen Swedbank-Filiale zwischen 2007 und 2015 verdächtige Transaktionen in Milliardenhöhe abgewickelt worden sein sollen, mit Verbindungen zum Danske-Bank-Skandal. Die Aktie stürzte ab, Vorstandschefin Birgitte Bonnesen wurde kurz vor der Hauptversammlung entlassen, eine Woche später trat auch der Verwaltungsratschef zurück.

Die genaue Höhe der geflossenen verdächtigen Gelder ist nicht abschließend geklärt, SVT nannte rund 5,8 Milliarden US-Dollar, diese Zahlen stammen aus journalistischer Recherche, nicht aus einem abgeschlossenen behördlichen Verfahren.

Ende Dezember 2013 sandte der britische Händler Howard Wilkinson eine E-Mail an die Danske-Bank-Zentrale mit dem Betreff Whistleblowing disclosure. Er beschrieb, dass Finanzberichte der Firma Lantana Trade nicht zu den hohen Transaktionsvolumen auf deren Konto bei der Estland-Filiale passten. Nach höflicher Bestätigung ohne Maßnahmen fand er 15 weitere Kunden mit vergleichbaren Auffälligkeiten und verfasste zwischen 2013 und 2014 insgesamt vier Berichte an die interne Revision.

Nicht dokumentiert ist, wie genau die Geschäftsleitung intern auf die Berichte reagierte, interne Sitzungsprotokolle liegen nicht öffentlich vor. Die Bank reagierte öffentlich nicht, bis Wilkinsons Name 2018 durchsickerte.

Laut Recherchen von Addendum und Profil sollen rund 967 Millionen US-Dollar an mutmaßlichem Schwarzgeld aus dem Danske-Bank-Estland-Komplex über Konten österreichischer Banken geflossen sein, davon rund 634 Millionen US-Dollar auf die Raiffeisen Bank International. Die RBI-Aktie verlor am Tag der Berichterstattung zeitweise bis zu 15 Prozent an Wert, ein Marktkapitalisierungsverlust von etwa einer Milliarde Euro.

Für eine spezifische Verbindung der Erste Group Bank Österreich zum Danske-Estland-Netzwerk liegen keine belastbaren, primärquellenbasierten Belege vor, die Recherchen nennen namentlich nur die Raiffeisen Bank International. Die genannte Summe stützt sich auf journalistische Recherchen, nicht auf eine behördliche Feststellung.

Nach der Veröffentlichung der Panama Papers ließ Nordea seine Luxemburger Einheit und Teile des Nordic Private Banking intern untersuchen: 137 Offshore-Strukturen mit rund 216 Millionen Euro verwaltetem Vermögen, Zeitraum 2010 bis 2016. Rund 60 Mitarbeiter prüften über 10.000 Dokumente. Nordea blockierte 68 Kundenakten, überwiegend aus der Zeit vor 2013, für vertiefte Prüfung.

Laut Nordeas eigener Untersuchung ist nicht bewiesen, dass Mitarbeiter aktiv Offshore-Strukturen initiierten. In wie vielen der 68 markierten Fälle tatsächlich Steuerhinterziehung festgestellt wurde, ist nicht veröffentlicht. Die spätere NYDFS-Buße von 2020 betraf einen separaten, späteren Komplex.

Die RBI, größte noch in Russland aktive westliche Bank, konnte ihr russisches Geschäft Anfang Oktober 2025 erneut nicht verkaufen, weil russische Behörden den Verkauf an einen einheimischen Käufer blockierten. RBI wickelt Zahlungen für Gaslieferungen über TurkStream ab. Seit der russischen Invasion 2022 hat RBI in Russland Berichten zufolge rund 7 Milliarden Euro Gewinn angehäuft, der im Land gebunden bleibt.

Nicht belegt ist die Identität des potenziellen russischen Käufers oder der Kaufpreis. Die Zahl von 7 Milliarden Euro Gewinn stammt aus Presseberichten, keine offiziell testierte Bilanzangabe. Eine formelle Feststellung eines Sanktionsverstoßes liegt nicht vor.

Societe Generale einigte sich im Juni 2018 mit DOJ, SEC und der französischen Finanzstaatsanwaltschaft auf Strafzahlungen wegen Bestechung libyscher Amtsträger. Zwischen 2004 und 2009 zahlte die Bank rund 90 Millionen US-Dollar an einen Vermittler mit Verbindungen zum Gaddafi-Regime, um Investmentgeschäfte im Volumen von rund 3,66 Milliarden US-Dollar zu erhalten. Die Gesamtstrafzahlungen für Libyen- und einen parallelen Libor-Fall summierten sich auf über 860 Millionen US-Dollar.

Nicht dokumentiert ist, welche konkreten libyschen Amtsträger die Bestechungsgelder tatsächlich erhielten. Die Aufteilung zwischen Libyen-Komplex und Libor-Fall wird in verschiedenen Quellen leicht unterschiedlich beziffert. Ob einzelne Bankmitarbeiter strafrechtlich individuell verfolgt wurden, bleibt offen.

Am 19.10.2021 einigte sich Credit Suisse mit US- und britischen Behörden auf Zahlungen von rund 475 Millionen US-Dollar wegen Betrugs im Zusammenhang mit zwei Anleiheemissionen für staatliche Unternehmen in Mosambik, bekannt als Tuna Bonds, mit denen mehr als 1 Milliarde US-Dollar aufgenommen wurden. Die Emissionsunterlagen verschwiegen laut SEC verdeckte Verschuldung, Bestechungszahlungen an mosambikanische Regierungsvertreter und Kickbacks an Credit-Suisse-Banker. Die britische FCA verhängte zusätzlich rund 200,66 Millionen US-Dollar.

Nicht geklärt ist, welcher Anteil der veruntreuten Gelder tatsächlich zurückverfolgt und mosambikanischen Bürgern zugutekam. Die Beteiligung einzelner mosambikanischer Regierungsmitglieder wurde teils erst später in getrennten Verfahren untersucht.

Die Schweizer Finanzmarktaufsicht Finma erklärte im September 2018, sie prüfe die Verwicklung Schweizer Institute in den Geldwäscheskandal um die estnische Danske-Bank-Filiale. Eine interne Danske-Untersuchung hatte zuvor ergeben, dass ein Großteil der rund 200 Milliarden Euro, die zwischen 2007 und 2015 durch die estnische Filiale flossen, als verdächtig einzustufen war.

Die Finma nannte keine konkreten Institute mit förmlichem Verfahren. Ob es sich um eine formelle Enforcement-Untersuchung oder eine informelle Abklärung handelte, blieb unklar. Spätere konkrete Bußen gegen namentlich genannte Schweizer Banken sind aus den verfügbaren Quellen nicht ersichtlich.

Zwischen August 2004 und März 2005 wurden über das Netz von Vodafone Griechenland rund 100 Mobiltelefone hochrangiger Personen abgehört, darunter Ministerpräsident Kostas Karamanlis und mehrere Minister. Die Täter nutzten Rootkit-Software, die Codeblöcke in Ericsson-AXE-Vermittlungsstellen veränderte und die für legale Überwachung vorgesehene RES-Funktion missbrauchte. Die Abhörung wurde am 24.01.2005 entdeckt, die Software am 07.03.2005 entfernt. Am 09.03.2005 wurde der Netzwerkplanungschef von Vodafone Griechenland tot aufgefunden. Die Regulierungsbehörde verhängte im Dezember 2006 eine Geldstrafe von 76 Millionen Euro.

Nicht bewiesen ist, wer die Abhörung angeordnet hat. Die Täter wurden nie identifiziert. Der Tod des Netzwerkplanungschefs gilt offiziell als Suizid, wird aber weiterhin als ungeklärt angesehen. Spekulationen über eine Beteiligung der US-Botschaft sind nicht gerichtlich bestätigt.

Der IT-Sicherheitsforscher Mike Kuketz dokumentierte am 05.05.2022, dass die BahnBonus-App bereits vor jeglicher Nutzereinwilligung Verbindungen zu Drittanbietern wie Adobe Analytics und Instabug in den USA aufbaute, dabei wurden Gerätekennungen und weitere Daten übertragen. Kuketz bewertete dies als Verstoß gegen das TTDSG. Die Deutsche Bahn hatte die App im Rahmen der BahnBonus-Umstellung im Juni 2022 eingeführt, deren Rollout laut heise online mit zahlreichen weiteren Fehlern verbunden war.

Die Behauptung, ein technischer Fehler habe fremde Kundendaten anderer Nutzer sichtbar gemacht, ließ sich nicht als eigenständig dokumentierter Vorfall verifizieren. Belegt sind stattdessen Datenschutzmängel durch Tracking ohne Einwilligung. Ein Bußgeld im Zusammenhang mit einem solchen spezifischen Vorfall ist nicht dokumentiert.

Der Landesbeauftragte für Datenschutz NRW verhängte am 07.05.2010 ein Bußgeld von 120.000 Euro gegen die Postbank AG. Rund 4.000 freiberufliche Handelsvertreter konnten allein mit Name und Geburtsdatum eines Kunden auf dessen komplette Girokontobewegungen zugreifen, betroffen waren mehr als eine Million Kundendatensätze. Die Vertreter nutzten die Daten, um Kunden bei größeren Geldeingängen gezielt anzusprechen. Aufgedeckt wurde die Praxis 2009 durch Finanztest, die Postbank stellte den Zugriff im November 2009 ab.

Nicht dokumentiert ist, wie viele der über eine Million Datensätze tatsächlich für Werbeansprachen genutzt wurden. Die genaue Zahl der Handelsvertreter mit tatsächlichem Zugriff bleibt unklar. Das Bußgeld gilt im Verhältnis zur Konzerngröße als vergleichsweise gering.

Am 06.06.2013 veröffentlichte die Washington Post, gestützt auf von Edward Snowden weitergegebene Dokumente, Details zum NSA-Programm PRISM. Demnach griffen NSA und FBI direkt auf zentrale Server von neun großen US-Internetfirmen zu, darunter Microsoft, Google, Facebook und Apple, und extrahierten Chats, Fotos, E-Mails und Verbindungsprotokolle zur Verfolgung ausländischer Zielpersonen. Grundlage war eine 41-seitige interne NSA-Präsentation.

Nicht abschließend geklärt ist bis heute, in welcher technischen Form der Zugriff erfolgte. Die beteiligten Unternehmen bestritten übereinstimmend einen direkten unkontrollierten Serverzugriff und erklärten, nur auf rechtlich angeordnete Anfragen zu reagieren. Die ursprüngliche Formulierung direkter Serverzugriff wurde später relativiert.

Mozilla veröffentlichte am 07.11.2024 einen Bericht über Artikel 45 der eIDAS-2.0-Verordnung, der Browser verpflichtet, staatlich benannte Qualified Website Authentication Certificates anzuerkennen. Mozilla und die EFF warnten in einem offenen Brief, staatlich kontrollierte kryptografische Schlüssel könnten zur Interception verschlüsselten Webverkehrs genutzt werden. Mehr als 500 IT-Sicherheitsexperten unterzeichneten einen Protestbrief.

Nicht belegt ist, dass es bis Ende 2024 zu einem dokumentierten Fall staatlicher Zertifikats-Interception unter eIDAS 2.0 kam. Die Kritik bezieht sich auf ein befürchtetes Risiko, nicht auf einen nachgewiesenen Missbrauchsfall. Wie wirksam vom EU-Parlament eingeführte Schutzmaßnahmen sind, war noch nicht abschließend geklärt.

Am 09.10.2024 gaben 49 US-Bundesstaaten, der District of Columbia und die FTC parallele Vergleiche mit Marriott wegen des Starwood-Datenlecks bekannt. Marriott zahlt 52 Millionen Dollar und verpflichtet sich zu einem Informationssicherheitsprogramm mit Verschlüsselung und Multi-Faktor-Authentifizierung. Grundlage war das Datenleck mit Zugriff von Juli 2014 bis September 2018, wovon rund 131,5 Millionen amerikanische Kunden betroffen waren.

Nicht dokumentiert ist die exakte Aufteilung der 52 Millionen Dollar auf die Bundesstaaten. Offen bleibt, in welchem Umfang die vereinbarten Sicherheitsmaßnahmen bereits umgesetzt wurden. Zuvor separat verhängte Bußgelder europäischer Behörden sind nicht Teil dieses Vergleichs.

Die Bundesnetzagentur untersagte am 16.02.2017 Verkauf und Besitz der Puppe My Friend Cayla und stufte sie nach Paragraf 90 TKG als verbotene Sendeanlage ein. Die Puppe verband sich per unverschlüsselter Bluetooth-Verbindung mit einer App und konnte Gespräche aus Kinderzimmern übertragen. Ein Saarbrücker Jurastudent dokumentierte, dass jedes Bluetooth-fähige Gerät im Umkreis von rund zehn Metern unbefugt zugreifen konnte. Besitz kann mit bis zu zwei Jahren Freiheitsstrafe geahndet werden.

Nicht dokumentiert ist, wie viele Puppen tatsächlich verkauft wurden. Dokumentierte Missbrauchsfälle mit realem Abhörschaden sind nicht bekannt. Die rechtliche Einordnung als verbotene Sendeanlage war unter Juristen umstritten.

Im Oktober 2014 wurde eine 13,6 GB große Datei mit rund 90.000 Fotos und 9.000 Videos aus Snapchat veröffentlicht. Verantwortlich war nicht Snapchat selbst, sondern der Drittanbieterdienst Snapsaved.com, der von Nutzern gesendete Snaps entgegennahm und speicherte, inklusive Nutzernamen. Snapsaved.com bestätigte den Vorfall. Snapchat erklärte, die eigenen Server seien nicht kompromittiert worden.

Nicht belegt ist die genaue Zahl betroffener Nutzer, Schätzungen schwankten zwischen 90.000 und bis zu 200.000 Bildern. Unklar bleibt, wie viele abgebildete Personen minderjährig waren. Die Identität der für den Datenabfluss verantwortlichen Person ist nicht bekannt.

Im Juni 2012 wurden bei einem Angriff auf LinkedIn rund 6,5 Millionen ungesalzene SHA1-Passwort-Hashes entwendet. Im Mai 2016 bot ein Hacker unter dem Pseudonym Peace auf einem Darknet-Marktplatz Datensätze mit E-Mail-Adressen und Passwörtern von 117 Millionen LinkedIn-Nutzern zum Kauf an, angeblich aus demselben Vorfall von 2012. LinkedIn bestätigte den erweiterten Umfang und setzte die Passwörter zwangsweise zurück. Der Kaufpreis für den kompletten Datensatz wurde mit rund 5 Bitcoin beziffert.

Nicht geklärt ist, ob die 2016 angebotenen 117 Millionen Datensätze vollständig aus dem Angriff von 2012 stammen. LinkedIn hat nie bestätigt, wie der Angreifer 2012 eindrang. Die Identität hinter dem Pseudonym Peace ist bis heute nicht festgestellt.

Der New Yorker Uber-Manager Josh Mohrer nutzte im November 2014 das interne Tool God View, um den Standort der Journalistin Johana Bhuiyan ohne ihre Zustimmung zu verfolgen. Uber kündigte eine interne Untersuchung an und veröffentlichte danach erstmals eine offizielle Datenschutzrichtlinie. Im Januar 2016 einigte sich Uber mit der New Yorker Generalstaatsanwaltschaft auf eine Zahlung von 20.000 US-Dollar wegen unzureichender Zugriffskontrollen und verspäteter Meldung eines Datenlecks von 2014.

Nicht dokumentiert ist, wie viele Uber-Mitarbeiter God View für private Zwecke einsetzten. Ob Mohrer disziplinarisch belangt wurde, wurde nicht öffentlich mitgeteilt. Die Zahlung bezog sich formal auch auf ein separates Datenleck, die genaue Zuordnung zum God-View-Vorfall bleibt unklar.

Palantir Technologies wurde 2004 von Peter Thiel, Joe Lonsdale, Stephen Cohen und Nathan Gettings gegründet. Da klassische Risikokapitalgeber ablehnten, finanzierte In-Q-Tel, die Venture-Capital-Einheit der CIA, das Unternehmen mit über 2 Millionen US-Dollar. Von 2005 bis 2008 war die CIA Palantirs einziger Kunde und testete die Software in einer Alpha-Phase.

Nicht öffentlich dokumentiert ist die Aufteilung der übrigen Finanzierung von rund 30 Millionen US-Dollar. Die exakte Höhe der In-Q-Tel-Tranchen variiert je nach Quelle. Welche Datensätze die CIA in der Testphase einspeiste, ist nicht belegt.

Am 20.07.2021 veröffentlichte The Pillar eine Recherche, wonach ein Monsignore Jeffrey Burrill zugeordnetes Gerät 2018 bis 2020 nahezu täglich Grindr-Signaldaten aussandte, unter anderem an seiner Dienstwohnung. Burrill trat noch am selben Tag als Generalsekretär der USCCB zurück. The Pillar erwarb die Daten von einem kommerziellen Datenhändler. Eine separate Analyse fand zudem mindestens 16 Geräte, die an vier Tagen 2018 Grindr-Signale aus nicht öffentlichen Bereichen des Vatikanstaats aussandten.

Nicht dokumentiert ist die Methode, mit der die Daten konkreten Personen zugeordnet wurden. Grindr bestritt eine direkte Weitergabe. Welcher Datenhändler die Rohdaten lieferte, wurde nicht genannt. Die Zahl von 16 Geräten basiert auf einer begrenzten Vier-Tage-Stichprobe.