Studienlage & Gesetzesgrundlagen

Die genaue Identität des Sicherheitsforschers hinter ContiLeaks wurde nie offiziell bestätigt. Wie lange der Zugriff auf die internen Systeme bereits vor der Veröffentlichung bestand, bleibt unklar.

Wer die Daten zuspielte und deren genaue Motivation blieben unbekannt, da die Person anonym blieb. Nicht öffentlich dokumentiert ist, für wie viele der 18.000 Konten tatsächlich Fehlverhalten im juristischen Sinne nachgewiesen wurde, da Credit Suisse die Vorwürfe größtenteils bestritt. Offen blieb auch der genaue rechtliche Umgang der Schweizer Behörden mit der undichten Stelle.

Die Identität der Quelle, die die Daten zuspielte, ist nicht dokumentiert. Credit Suisse stellte die Aktualität eines großen Teils der Datensätze infrage. Ob gegen einzelne Kontoinhaber strafrechtlich ermittelt wurde, ist nicht einheitlich öffentlich dokumentiert.

Der Name des betroffenen Website-Betreibers wurde nicht veröffentlicht, ein Bußgeld wurde in diesem Verfahren nicht verhängt. Offen bleibt, ob der Betreiber die Frist einhielt, spätere Berichte zufolge erteilte die CNIL im April 2022 mindestens drei weiteren Betreibern ähnliche Anordnungen.

Bericht eines Branchenverbands, bezieht sich auf 2022, spätere Gerichtsentscheidungen präzisierten die Rechtslage.

Ob Loris.ai die Löschung der Daten tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht unabhängig verifiziert, sondern beruht auf der Selbstauskunft der Beteiligten.

Ob alle 14 Festgenommenen tatsächlich zum Kern von REvil gehörten, ist nicht öffentlich dokumentiert. Spätere Berichte deuten darauf hin, dass mehrere Festgenommene nur wegen geringerer Vorwürfe verurteilt oder wieder freigelassen wurden, eine umfassende strafrechtliche Aufarbeitung ist nicht belegt.

Nicht belegt ist, ob die Festgenommenen tatsächlich für die großen REvil-Angriffe auf Colonial Pipeline oder Kaseya verantwortlich waren. Unklar bleibt, ob eine Auslieferung oder strafrechtliche Verfolgung in den USA möglich war, da Russland eigene Staatsbürger nicht ausliefert.

Der Bescheid war zum Zeitpunkt der Berichterstattung nicht rechtskräftig, ein Bußgeld gegen den Website-Betreiber wurde nicht verhängt. Offen blieb, wie die DSB gegen Google LLC als Datenempfänger weiter vorgeht und welche praktischen Konsequenzen sich daraus für andere Website-Betreiber in Österreich und der EU ergeben.

Der Ausgang des Verfahrens vor dem Europäischen Gerichtshof ist aus dieser Quelle nicht belegt.

Nicht dokumentiert ist die genaue Gesamtzahl bundesweiter Fälle unrechtmäßiger Datenzugriffe, da die Recherche auf Behördenanfragen beruhte. Unklar bleibt, in wie vielen Fällen tatsächlich Luca-App-Daten im engeren Sinne betroffen waren gegenüber handschriftlichen Kontaktlisten. Offen ist, welche dienstrechtlichen Konsequenzen die beteiligten Beamten hatten.

Ob und welche dienst- oder strafrechtlichen Konsequenzen die Beteiligten trugen, ist nicht belegt. Das Ergebnis des vom Landesdatenschutzbeauftragten Rheinland-Pfalz eingeleiteten Verfahrens ist nicht dokumentiert. Ob vergleichbare rechtswidrige Datenabfragen bei anderen Behörden stattfanden, ist unklar.