Studienlage & Gesetzesgrundlagen

Die exakte Gesamtzahl der weltweit betroffenen Personen bleibt offen. Ob Dritte die Daten vor der Entdeckung bereits ausgelesen haben, ist nicht belegt, Suprema bestritt öffentlich das Ausmaß des Lecks ohne eigene technische Belege.

Belegt den Rückholstand 2019. Nicht 'vollständig ausgelöscht', sondern fast 90 Prozent Verlust laut Sonderverwalter.

Positionspapier einer Bürgerrechtsorganisation, keine neutrale wissenschaftliche Studie.

Basiert auf einem einzelnen Medienbericht mit anonymen Zeitarbeiter-Aussagen.

Fachblog mit eigenem Praxistest, keine wissenschaftliche Prüfung.

Amtliche Pressemitteilung einer einzelnen deutschen Landesbehörde.

Die Studie zeigt eine strukturelle Schwachstelle in der Praxis der Auskunftsbearbeitung, keine flächendeckende, aktuelle Zahl erfolgreicher Identitätsdiebstähle über diesen Weg.

Ob Amazon selbst für die zugrunde liegende AWS-Sicherheitsarchitektur mitverantwortlich gemacht wurde, ist aus dieser Quelle nicht belegt; die strafrechtliche Verantwortung wurde ausschließlich Thompson als Einzeltäterin zugeschrieben.

Nicht abschließend geklärt ist, ob tatsächlich alle 106 Millionen betroffenen Datensätze für kriminellen Missbrauch verwendet wurden. Die Entdeckung erfolgte nicht durch interne Sicherheitsmaßnahmen, sondern durch eine anonyme Mitteilung, was Fragen zur Wirksamkeit der eigenen Überwachungssysteme aufwirft.

Nicht abschließend geklärt bzw. von Capital One selbst als unwahrscheinlich eingestuft ist, ob die abgegriffenen Daten tatsächlich für Betrug genutzt oder weiterverbreitet wurden. Die Jury sprach Thompson zudem vom Vorwurf des Access Device Fraud und der schweren Identitätsfälschung frei, was zeigt, dass nicht alle Anklagepunkte gerichtlich bestätigt wurden.

Der EuGH stellte klar, dass sich die Mitverantwortung von Fashion ID nur auf die Phase der Erhebung und Übermittlung der Daten bezieht, nicht auf die nachfolgende alleinige Verarbeitung durch Facebook. Offen blieb im Urteil die konkrete Ausgestaltung, wie Einwilligung und Informationspflichten in der Praxis technisch umzusetzen sind.

Einzelfalltest, keine systematische Fehlerquotenstudie.