Studienlage & Gesetzesgrundlagen

Die genaue technische Methode des Social-Engineering-Angriffs ist nicht durch ein unabhängiges forensisches Gutachten öffentlich im Detail belegt. Wie viele Konten neben den bekannten Prominenten betroffen waren und ob private Nachrichten eingesehen wurden, ist nicht abschließend dokumentiert.

Bezieht sich auf zwei konkrete Fälle, nicht auf alle Konstellationen übertragbar.

Aus der Pressemitteilung geht nicht hervor, wie der Senat die einzelnen Abwägungskriterien im Detail gewichtete und welche konkrete Rolle der seit 2011 verstrichene Zeitraum spielte. Im am selben Tag verhandelten Parallelverfahren VI ZR 476/18 legte der BGH dem EuGH Fragen zur Vorabentscheidung vor, dessen Ausgang aus dieser Quelle nicht ersichtlich ist.

Bezieht sich auf einen konkreten historischen Sicherheitsvorfall von 2020.

Garmin äußerte sich nie dazu, ob und in welcher Höhe tatsächlich Lösegeld gezahlt wurde. Der exakte technische Einstiegsvektor der Angreifer wurde nie offiziell bestätigt.

Ob und in welcher Höhe Garmin tatsächlich ein Lösegeld gezahlt hat, ist von Garmin selbst nie offiziell bestätigt worden; Berichte über eine Zahlung von rund 10 Millionen US-Dollar über einen zwischengeschalteten Dienstleister stützen sich auf anonyme Quellen und Indizien wie den erhaltenen Entschlüsselungscode, nicht auf eine Bestätigung durch Garmin oder die Angreifer.

Ob Garmin tatsächlich Lösegeld zahlte, in welcher genauen Höhe und ob die Zuordnung zur Ransomware WastedLocker und zur Gruppe Evil Corp zutrifft, hat Garmin selbst nie offiziell bestätigt; diese zentralen Details stützen sich auf anonyme Insider-Quellen und spätere Medienberichte.

Betrifft primär kostenlose White-Label-VPN-Apps aus Hongkong.

Betrifft die Abfrage von SIM-Registrierungsdaten durch Behörden, nicht die Registrierungspflicht selbst.

Die exakte Gesamtzahl der individuell betroffenen Spender und Personen weltweit ist aus dieser Quelle nicht belegt, ebenso wenig die Identität der Angreifer oder ob Lösegeld gezahlt wurde. Die SEC-Strafe betrifft nur die irreführende Offenlegung gegenüber Investoren, nicht die Datenschutzverstöße gegenüber den betroffenen Spendern selbst.

Die Pressemitteilung des Gerichtshofs nennt keine Zahl der Unternehmen oder Nutzer, deren Datentransfers durch das Urteil unmittelbar betroffen waren. Offen bleibt auch, wie Unternehmen die geforderte Einzelfallprüfung der Standardvertragsklauseln in der Praxis konkret umsetzen sollten, das regelte erst spätere Aufsichtspraxis.

Der offizielle Twitter-Blogbeitrag selbst nennt keine Schadenssumme und keine Namen von Verdächtigen; diese Angaben stammen aus separaten Ermittlungen von US-Justizbehörden und dem New York State Department of Financial Services. Ob neben den drei strafrechtlich verfolgten Personen weitere Beteiligte oder Hintermänner agierten, ist nicht abschließend geklärt.