Alle belegten Quellen chronologisch, neueste zuerst. Jede Zeile zeigt, wie genau das Datum in der Quelle tatsächlich steht.
2743 datierte Quellen · Seite 64 von 69 · 33 ohne Datum (nur in der Tabelle)
Die genaue Anzahl der betroffenen Laptops ist offiziell nicht beziffert, Quellen sprechen lediglich von Hunderttausenden Geräten. Ob die Schwachstelle vor ihrer öffentlichen Aufdeckung bereits von Dritten aktiv zum Abfangen von Daten ausgenutzt wurde, ist nicht belegt.
Falciani wurde 2015 von einem Schweizer Gericht in Abwesenheit wegen Wirtschaftsspionage zu fünf Jahren Haft verurteilt, vom Vorwurf des Geheimnisverrats aber freigesprochen; da Frankreich eigene Staatsangehörige nicht ausliefert, trat er die Strafe nie an. Offen bleibt, in wie vielen der rund 100.000 Einzelfälle tatsächlich Steuerhinterziehung nachgewiesen wurde, da nicht jedes Konto bei einer Schweizer Privatbank illegal ist.
Aus dieser Quelle nicht abschließend belegt ist die exakte staatliche Urheberschaft: Ermittler stuften den Angriff als vermutlich staatlich gelenkt ein, ohne den Auftraggeber offiziell zu benennen, und der 2019 angeklagte Fujie Wang wurde bislang weder festgenommen noch verurteilt.
Methodik in Fachartikeln kontrovers diskutiert.
Das ist eine der einprägsamsten und konkretesten Einzelstatistiken im gesamten Blackstone-Projekt: Jeder Bürger im Saarland war statistisch gesehen im Schnitt 7,5 Mal pro Jahr Teil einer Funkzellenabfrage — unabhängig davon, ob er je mit einer Straftat zu tun hatte. Der günstige Preis pro Abfrage (im Schnitt 200 €) erklärt zusätzlich, warum das Instrument trotz seiner Streubreite so häufig genutzt wird — eine niedrige Kosten-Hürde begünstigt den routinemäßigen statt sparsamen Einsatz.
Konkrete dokumentierte Fälle, in denen über Bonusprogramme erhobene Fitnessdaten tatsächlich unautorisiert weitergegeben wurden, sind aus dieser Quelle nicht belegt; die Kritik bezieht sich auf ein strukturelles Risiko.
Ob deutsche Körperscanner-Standorte die Nicht-Speicherung tatsächlich lückenlos einhalten, ist aus dieser Quelle nicht unabhängig überprüft, sondern beruht auf Betreiberangaben; der US-Präzedenzfall zeigt, dass eine solche Zusicherung nicht zwingend verlässlich ist.
Institutseigene Selbstdarstellung ohne externe Prüfung.
Reiner Gesetzestext ohne Wirksamkeitsangaben.
Dieses Verfahren fand in Rheinland-Pfalz statt und wurde noch auf Grundlage des alten Bundesdatenschutzgesetzes geführt, da die DSGVO erst ab Mai 2018 galt. Wie viele einzelne Vermittler und Beamtenanwärter konkret betroffen waren, bleibt offen.
Das FBI legte keine detaillierten technischen Beweise offen, sondern verwies allgemein auf Ähnlichkeiten zu früherer nordkoreanischer Schadsoftware. Mehrere unabhängige Sicherheitsforscher äußerten damals Zweifel an der offiziellen Zuschreibung.
Welches Stahlwerk konkret betroffen war, gibt das BSI aus Vertraulichkeitsgründen bis heute nicht bekannt. Auch die Identität der Angreifer, das genaue Angriffsdatum und die exakte Schadenshöhe wurden nie offiziell veröffentlicht. Das BSI bewertete die technischen Fähigkeiten der Täter lediglich als sehr fortgeschritten, ohne dies weiter zu belegen.
Die britische Regierung und der GCHQ haben eine Beteiligung nie offiziell bestätigt oder dementiert. Die belgische Strafermittlung mit dem Codenamen Trinity wurde laut The Intercept 2018 ohne Anklage eingestellt. Der genaue Umfang der abgeflossenen Daten und ob die Systembereinigung bei Belgacom je vollständig gelang, bleiben offen.
Die von den Angreifern behauptete Datenmenge von über 100 Terabyte ist unabhängig nicht verifiziert, ebenso bleibt offen, ob Nordkorea den Angriff direkt über eigene Mitarbeiter oder ausschließlich über die mit dem Militärgeheimdienst RGB verbundene Lazarus Group ausführte. Der 2018 angeklagte Park Jin Hyok wurde nie vor ein US-Gericht gestellt, da er sich mutmaßlich in Nordkorea befindet, weshalb kein rechtskräftiges Urteil vorliegt.
Die Urheberschaft Nordkoreas wird von der offiziellen FBI-Zuschreibung behauptet, ist aber laut späteren Analysen keineswegs zweifelsfrei belegt; beide Lesarten kursieren bis heute.
Nicht dokumentiert ist, wie viele Uber-Mitarbeiter God View für private Zwecke einsetzten. Ob Mohrer disziplinarisch belangt wurde, wurde nicht öffentlich mitgeteilt. Die Zahlung bezog sich formal auch auf ein separates Datenleck, die genaue Zuordnung zum God-View-Vorfall bleibt unklar.
Der konkrete Steuerausfall einzelner EU-Staaten ist nicht abschließend geklärt. Die Steuervorbescheide waren nach luxemburgischem Recht zum Abschlusszeitpunkt grundsätzlich legal. Deltour wurde in Luxemburg zunächst verurteilt, in der Berufung von zentralen Vorwürfen freigesprochen.
Nicht belegt ist, in welchem Umfang POODLE vor der Offenlegung bereits für reale Angriffe genutzt wurde, da ein Downgrade-Angriff kaum nachweisbar ist. Die Schätzung, wonach rund zehn Prozent der Server für eine spätere TLS-Variante der Schwachstelle anfällig waren, stammt aus Analysen einzelner Sicherheitsfirmen. Ein konkreter finanzieller Gesamtschaden wird nicht beziffert.
Nicht belegt ist die genaue Zahl betroffener Nutzer, Schätzungen schwankten zwischen 90.000 und bis zu 200.000 Bildern. Unklar bleibt, wie viele abgebildete Personen minderjährig waren. Die Identität der für den Datenabfluss verantwortlichen Person ist nicht bekannt.
Über welchen genauen technischen Weg die Angreifer erstmals in die internen Systeme eindrangen, ist in dieser Quelle offen. Wie viele der 83 Millionen Kontaktdatensätze tatsächlich für nachgelagerten Betrug missbraucht wurden, ist nicht abschließend geklärt.
Ob wirklich keine Konto- oder Sozialversicherungsdaten abflossen, beruht allein auf der eigenen Einschätzung von JPMorgan und wurde nicht unabhängig verifiziert. Der genaue strafrechtliche Ausgang gegen den mutmaßlichen Mitorganisator Joshua Samuel Aaron ist mit dieser Quelle nicht abschließend belegt.
Wie viele Systeme vor der öffentlichen Bekanntgabe bereits tatsächlich angegriffen wurden, ist nicht dokumentiert, da Ausnutzung über Umgebungsvariablen kaum eindeutige Spuren hinterlässt. Eine belastbare Gesamtzahl weltweit betroffener oder kompromittierter Server liegt ebenfalls nicht vor.
Dass beide Angriffe eine sehr ähnliche technische Methode nutzten, deutet auf eine mögliche Verbindung oder Nachahmung hin; ein direkter Zusammenhang oder dieselben Täter werden in dieser Quelle jedoch nicht behauptet.
Die offizielle SEC-Meldung nennt keine konkrete Angreifergruppe und erwähnt weder die Bezeichnung APT18 noch Heartbleed als Einfallstor, diese Details stammen aus späteren Analysen von IT-Sicherheitsfirmen. Eine direkte Steuerung des Angriffs durch die chinesische Regierung ist nicht abschließend belegt.
Aus der herangezogenen Quelle nicht belegt sind der genaue Grund für die spätere Erhöhung der offiziell genannten Opferzahl von 4,5 auf 6,1 Millionen im Vergleich von 2020 sowie ein bestätigtes Motiv der Gruppe APT18 für den für sie untypischen Fokus auf Patienten-Identitätsdaten statt auf geistiges Eigentum.
Kein einzelner Bankmanager wurde in diesem Verfahren strafrechtlich angeklagt, es blieb bei der Entlassung von 13 Mitarbeitern. Das Gesamtvolumen der über Jahre abgewickelten sanktionierten Transaktionen wird in Sekundärquellen uneinheitlich beziffert, teils mit über 30 Milliarden, teils mit bis zu rund 190 Milliarden Dollar. Ob seither ein höheres Sanktionsbußgeld gegen ein Finanzinstitut verhängt wurde, ist in verfügbaren Quellen unterschiedlich bewertet.
Offen bleibt, wie die Grundsatzentscheidung in der Praxis auf Grenzfälle wie Cloud-Daten, verschlüsselte Geräte oder Notfallsituationen angewendet wird. Nicht Teil des Urteils sind spätere technische Entwicklungen wie biometrische Entsperrung oder die genaue Reichweite bei Grenzkontrollen.
Das Gründungsdokument selbst sieht keinen einheitlichen landesweiten Punktescore für alle Bürger vor, wie ihn westliche Berichterstattung häufig suggeriert. Analysen des China-Instituts MERICS zeigen, dass die tatsächliche Umsetzung bis heute in zahlreiche lokale Pilotprojekte zersplittert blieb und deutlich weniger digitalisiert ist als oft dargestellt. Wie einheitlich die vorgesehenen Sanktionen in der Praxis über verschiedene Provinzen und Städte hinweg angewendet werden, ist aus dieser Primärquelle allein nicht abschließend belegt.
Das ist einer der eindrücklichsten Einzelfakten der ganzen Recherche: EIN EINZIGES Unternehmen sammelt monatlich 3 Milliarden neue Datenpunkte — und das bereits vor über zehn Jahren festgestellt, die Größenordnung dürfte seither eher gewachsen sein. Besonders alarmierend: Auch sensible Kategorien wie religiöse und politische Zugehörigkeit werden erfasst — Daten, die in Deutschland/der EU als besonders schützenswert gelten (DSGVO Art. 9).
Wie viele der 145 Millionen Nutzerkonten tatsächlich betroffen waren, bleibt offen, eBay nannte nur die Gesamtzahl aktiver Nutzer als Referenzgröße. Wie die Angreifer die anfänglichen Mitarbeiter-Zugangsdaten erbeuteten, ist ebenso unklar wie ihre Identität.
Aus der Quelle nicht belegt sind die genaue Zahl der ursprünglich kompromittierten Mitarbeiterkonten sowie ob und in welcher Höhe Aufsichtsbehörden außerhalb der USA Bußgelder gegen eBay verhängt haben.
Wie viele Löschanträge Google infolge des Urteils konkret erhielt, ist nicht dokumentiert. Die spätere Kodifizierung in Artikel 17 DSGVO 2018 ist nicht Teil dieser Quelle.
Aus dem Urteilstext selbst geht nicht hervor, wie Google die Abwägungskriterien zwischen Persönlichkeitsrecht und öffentlichem Informationsinteresse im Einzelfall genau anwendet; die späteren Fallzahlen stammen aus separaten Google-Transparenzberichten.
Die genaue Identität der Angreifer und der exakte Infektionsweg der Malware in die Kassensysteme wurden in der Quelle nicht benannt. Offen blieb zudem, ob und in welchem Umfang die gestohlenen Kartendaten tatsächlich für Betrug genutzt wurden, auch wenn Michaels vereinzelte Betrugsmeldungen von Banken erwähnte.
Nicht belegt ist, in welchem Umfang die Vorratsdatenspeicherung vor 2014 tatsächlich zur Aufklärung von Straftaten beitrug. Offen blieb zunächst, welche nationalen Umsetzungsgesetze automatisch unwirksam wurden, da nationale Verfassungsgerichte dies separat entscheiden mussten.
Wie einzelne EU-Mitgliedstaaten ihre nationalen Umsetzungsgesetze anpassten, ist nicht Gegenstand dieser Pressemitteilung. Die spätere Rechtsprechung zu Tele2/Watson 2016 oder La Quadrature du Net 2020 stellt eigene, spätere Fälle dar.
Das höchste EU-Gericht hat schon 2014 gesagt: Alle Bürger anlasslos auf Vorrat zu überwachen, ist rechtswidrig. Das ist keine neue Erkenntnis — das gilt seit über zehn Jahren.
Die genaue Herkunft und der ursprüngliche Angriffsweg der gestohlenen Zugangsdaten bleiben laut BSI ungeklärt, ein Diebstahl direkt von Telekom-Servern wird aber ausgeschlossen. Nicht belegt ist, wie viele der informierten Kunden tatsächlich Opfer von Missbrauch wurden.
Wie viele Angriffe vor der öffentlichen Offenlegung tatsächlich stattfanden, bleibt unbekannt, da ein Datenabgriff über Heartbleed keine Spuren in Server-Logs hinterlässt. Die genannte Schadenssumme ist eine grobe Branchenschätzung ohne belastbare Gesamterhebung.
Das Zitat bezieht sich auf US-Drohnenoperationen im Kontext von NSA-Metadatenauswertung allgemein, nicht speziell auf WhatsApp-Metadaten; die Übertragbarkeit auf zivile Messenger-Nutzung wird in dieser Quelle als Beispiel, nicht als belegter Einzelfall dargestellt.