Citation: 4A_206/2023 E. 7.1.2

7.1.2. Das OFAC habe zudem nie dargelegt, aufgrund welcher Tatsachen es die cyberkriminellen Gruppen identifiziere, sondern diese jeweils ohne Veröffentlichung der eigenen forensischen Abklärungen in die SDN-Liste aufgenommen. Die Kriterien einer Zuordnung von einzelnen Cyberangriffen zu bestimmten Gruppen bleibe unbekannt. Die Ausführungen des OFAC, dass die F.________ Lösegeldzahlungen von über 100 Millionen Dollar erpresst habe, liessen darauf schliessen, dass es gestützt auf konkrete Zahlungsflüsse die F.________ als Täterin identifiziert habe und die Zuordnung einzelner Cyberangriffe zu einer SDN insbesondere auch anhand der Zahlungsflüsse erfolge. Die Urheberschaft hinsichtlich einer Ransomware möge zwar Grundlage für die Aufnahme in die SDN-Liste sein. Aber sie stelle für sich allein kein Interesse einer SDN im Sinne des US-amerikanischen Sanktionsrechts dar; ebenso wenig lasse sich allein gestützt darauf ein bestimmter Cyberangriff einer bestimmten Gruppierung zuordnen.