Quellen-Tabelle

In der Nacht zum 11.12.2021 entdeckte der HR-Software-Anbieter UKG einen Ransomware-Angriff auf die Kronos Private Cloud. Betroffen waren UKG Workforce Central, TeleStaff, Healthcare Extensions und Banking Scheduling Solutions. Unternehmen wie Tesla, Temple University und die San Francisco Municipal Transit Authority mussten auf manuelle Prozesse für Lohnabrechnung und Zeiterfassung ausweichen.

Der Erstzugriffsvektor war zum Zeitpunkt dieser Meldung nicht bekannt. Die tatsächliche Ausfalldauer betrug bei manchen Kunden letztlich mehrere Monate, was in dieser frühen Quelle noch nicht dokumentiert ist.

Die Gruppe Conti verschaffte sich am 11.04.2022 über kompromittierte VPN-Zugangsdaten Zugang zum costa-ricanischen Finanzministerium und exfiltrierte rund 672 GB Daten, bevor sie die Systeme verschlüsselte. Der Angriff weitete sich auf mehrere Regierungsbehörden aus. Conti forderte zunächst 10, später 20 Millionen US-Dollar. Am 08.05.2022 rief Präsident Rodrigo Chaves als erstes Staatsoberhaupt weltweit wegen eines Cyberangriffs den nationalen Notstand aus.

Wie viele Regierungsbehörden konkret betroffen waren, wird unterschiedlich beziffert. Der zeitgleiche, separate Angriff der Gruppe Hive auf die Sozialversicherung CCSS ist ein eigenständiges Ereignis, das in Berichten teils vermischt wird.

Das FBI vergab den Codenamen Titan Rain für eine Serie von Cyberangriffen auf US-Netzwerke, die laut TIME-Recherche im September 2003 mit einem Einbruch bei Lockheed Martin begann und sich bis mindestens 2005 fortsetzte. Als betroffene Ziele nennt die Quelle unter anderem die Sandia National Laboratories, die NASA und das Arsenal Redstone. Die Angreifer kopierten gezielt Dateien und leiteten sie über Zwischenstationen in Südkorea, Hongkong und Taiwan nach Festlandchina weiter.

Ob die Angriffe direkt von der chinesischen Regierung gesteuert wurden, blieb ausdrücklich offen. Der genaue Gesamtumfang der entwendeten Daten sowie eine vollständige Liste aller betroffenen Behörden ist nicht abschließend beziffert.

Der Bericht Tracking GhostNet dokumentiert nach zehnmonatiger Untersuchung ein Cyberspionage-Netzwerk mit über 1.295 infizierten Rechnern in 103 Ländern. Rund 30 Prozent der betroffenen Systeme galten als hochwertige Ziele, darunter Außenministerien und Botschaften. Die Angreifer erlangten Zugriff auf Dokumente aus dem privaten Büro des Dalai Lama, die Schadsoftware erlaubte auch die Fernsteuerung von Webcams und Mikrofonen.

Die Verfasser stellen ausdrücklich klar, dass die genaue Identität der Angreifer nicht bekannt ist. Die technischen Spuren führten mehrheitlich zu Servern in China, eine gesicherte staatliche Urheberschaft wurde jedoch nicht nachgewiesen und von China zurückgewiesen.

Die IT-Sicherheit der Nordex Group stellte am 31.03.2022 fest, dass das Unternehmen Ziel eines Cybersicherheitsvorfalls war. Als Vorsichtsmaßnahme wurden IT-Systeme mehrerer Geschäftsbereiche an verschiedenen Standorten abgeschaltet und der Fernzugriff auf vertraglich betreute Windturbinen deaktiviert. Die Turbinen liefen nach ersten Erkenntnissen unbeeinträchtigt weiter.

Die genaue Zahl der betroffenen Standorte und das Ausmaß des Datenabflusses sind nicht offiziell spezifiziert. Die Ransomware-Gruppe Conti reklamierte den Angriff laut Medienberichten für sich, dies wurde von Nordex nicht explizit bestätigt.

Am 27.11.2016 fielen bei der Deutschen Telekom zeitweise rund 900.000 Internetanschlüsse aus, betroffen waren vor allem Speedport-Router. Ursache war eine weltweite Angriffswelle über das Fernwartungsprotokoll TR-069/TR-064 auf Port 7547, basierend auf einer modifizierten Mirai-Variante. Die Speedport-Router waren für die Lücke nicht anfällig, brachen aber unter der Last der Angriffsanfragen zusammen.

Der Anteil der direkt durch die Schadsoftware ausgefallenen Anschlüsse gegenüber netzwerküberlastungsbedingten Ausfällen ist nicht abschließend quantifizierbar. Spätere Entwicklungen wie eine Festnahme in Großbritannien Anfang 2017 sind nicht Bestandteil dieser Quelle.

Am 23.12.2015 kam es in der Westukraine zu einem Cyberangriff auf drei regionale Energieversorger. Angreifer nutzten die Schadsoftware BlackEnergy 3, die per Spearphishing platziert worden war. Rund 30 Umspannwerke wurden ferngesteuert abgeschaltet, wodurch etwa 230.000 Menschen für ein bis sechs Stunden ohne Strom waren, der weltweit erste bekannte erfolgreiche Cyberangriff auf ein Stromnetz.

Die konkrete Urheberschaft ist nicht gerichtsfest bewiesen. Sicherheitsforscher ordnen den Angriff der Gruppe Sandworm zu, die mit dem russischen Militärgeheimdienst GRU in Verbindung gebracht wird, der Bericht selbst nimmt keine offizielle Attribution vor.

Der Bundestag verabschiedete am 13.11.2025 das NIS2-Umsetzungsgesetz. Die EU-Umsetzungsfrist war bereits am 17.10.2024 abgelaufen, sodass Deutschland über ein Jahr im Verzug war und die EU-Kommission ein Vertragsverletzungsverfahren einleitete. Nach Zustimmung des Bundesrats am 21.11.2025 trat das Gesetz am 06.12.2025 in Kraft und verpflichtet rund 29.850 Unternehmen aus kritischen Sektoren zu verstärkten Cybersicherheitsmaßnahmen.

Ob die EU-Kommission das Vertragsverletzungsverfahren nach Inkrafttreten formell einstellte, ist offen. Die vollständige praktische Umsetzung durch die betroffenen Unternehmen war zum Recherchezeitpunkt noch nicht abschließend belegt.

Der EuGH entschied am 04.05.2023 in der Rechtssache C-300/21, dass ein bloßer DSGVO-Verstoß allein noch keinen Anspruch auf Schadensersatz nach Artikel 82 begründet. Der Anspruch setzt drei kumulative Voraussetzungen voraus: einen Verstoß, einen dadurch entstandenen materiellen oder immateriellen Schaden und einen ursächlichen Zusammenhang. Der EuGH stellte klar, dass ein immaterieller Schaden keine bestimmte Erheblichkeitsschwelle überschreiten muss. Anlass war die Klage eines Österreichers, dem die Post AG per Algorithmus ohne Einwilligung eine Parteiaffinität zugeschrieben hatte.

Der EuGH entscheidet in Vorabentscheidungsverfahren nicht über den konkreten Streitfall, das blieb dem Obersten Gerichtshof Österreichs überlassen. Nach welchen Kriterien die Höhe eines immateriellen Schadens zu bemessen ist, ließ der EuGH offen und verwies auf die Mitgliedstaaten.

Der California Consumer Privacy Act trat am 01.01.2020 in Kraft. Das Gesetz gewährt Verbrauchern in Kalifornien ein Auskunftsrecht, ein Löschrecht und ein Widerspruchsrecht gegen den Verkauf ihrer personenbezogenen Daten. Es gilt für Unternehmen mit mehr als 25 Millionen US-Dollar Jahresumsatz oder mit Kauf/Verkauf der Daten von mindestens 50.000 Verbrauchern.

Wie viele Beschwerden oder Bußgelder es im ersten Jahr nach Inkrafttreten gab, wird hier nicht beziffert. Die spätere Verschärfung durch die California Privacy Rights Act ab 2023 ist nicht Gegenstand dieser Quelle.

Ende Dezember 2011 drangen Aktivisten von Anonymous unter dem Namen der Operation Antisec in die Server der US-Sicherheitsberatung Stratfor ein und erbeuteten nach eigenen Angaben mehr als 200 Gigabyte Daten, darunter Kreditkartendaten und interne E-Mails von Kunden und Mitarbeitern. Eine heise online vorliegende Liste umfasste rund 4.000 Einträge vertraulicher Geschäftskunden, darunter die Deutsche Bank, DHL und der Spiegel. Die Angreifer erklärten, mit den erbeuteten Kreditkartendaten mehr als eine Million US-Dollar an Hilfsorganisationen spenden zu wollen.

Der Artikel nennt kein exaktes Einbruchsdatum und keine belastbare Gesamtzahl der betroffenen Konten. Spätere Berichte und die US-Anklage nannten deutlich höhere, teils schwankende Zahlen, die hier nicht überprüft wurden. Die spätere Verurteilung von Jeremy Hammond und die Rolle des FBI-Informanten Hector Monsegur sind nicht Gegenstand dieses Artikels.

Die Hackergruppe LulzSec griff im Mai und Juni 2011 innerhalb weniger Wochen mehrere hochrangige Ziele an, darunter Sony Pictures, den US-Sender PBS und die FBI-Partnerorganisation InfraGard. Bei Sony Pictures erbeuteten die Angreifer per SQL-Injection Nutzerdaten, bei PBS schleusten sie eine gefälschte Meldung ein und veröffentlichten eine Mitarbeiterdatenbank, bei InfraGard legten sie Zugangsdaten offen. LulzSec bezeichnete diese Angriffsserie als 50 Tage Lulz und kündigte Ende Juni 2011 die Auflösung der Gruppe an.

Wie viele Nutzerkonten bei Sony Pictures betroffen waren, ist umstritten, die Angaben schwanken je nach Quelle stark. Die genaue Mitgliederzahl der bei InfraGard offengelegten Accounts wird unterschiedlich beziffert. Die Identität aller beteiligten Hacker war zum Zeitpunkt dieser Berichterstattung nicht bekannt.

Die britische Datenschutzbehörde ICO verhängte am 05.10.2016 eine Geldbuße von 400.000 Pfund gegen den Telekommunikationsanbieter TalkTalk, die bis dahin höchste von der ICO verhängte Strafe. Ursache war ein Cyberangriff vom Oktober 2015, bei dem Angreifer über SQL-Injection-Schwachstellen auf drei Webseiten personenbezogene Daten von 156.959 Kunden zugriffen, in 15.656 Fällen einschließlich Bankkontonummern und Bankleitzahlen. Die verwundbaren Seiten stammten aus der 2009 übernommenen Tiscali-Infrastruktur, TalkTalk hatte zwei frühere Angriffswarnungen im Juli und September 2015 nicht ausreichend beachtet.

Das Alter und die Identität des Haupttäters bleiben in der Berichterstattung uneinheitlich. Verhaftet wurde zunächst ein 15-Jähriger aus County Antrim, später bekannte sich ein 17-Jähriger aus Norwich vor Gericht schuldig, ob es sich um dieselbe Person handelt, ist unklar. Die genaue Höhe des von TalkTalk ursprünglich genannten Gesamtschadens wird an anderer Stelle unterschiedlich beziffert.

Kanzleramtschef Helge Braun und Bundesgesundheitsminister Jens Spahn erklärten am 26.04.2020 gemeinsam, dass die geplante deutsche Corona-Tracing-App künftig auf eine konsequent dezentrale Softwarearchitektur setzen werde. Damit vollzog die Bundesregierung eine Kehrtwende weg vom zuvor favorisierten zentralen Speicheransatz des PEPP-PT-Konsortiums. Vorausgegangen waren wochenlange öffentliche Auseinandersetzungen, ein offener Brief des Chaos Computer Club an Braun und Spahn sowie der Umstand, dass Apple und Google ihre Schnittstellen nur für dezentrale Protokolle freigaben. Auf dieser Grundlage entwickelten SAP und die Deutsche Telekom anschließend die Corona-Warn-App, die im Juni 2020 veröffentlicht wurde.

Wie die internen Abwägungen im Kanzleramt und Gesundheitsministerium vor dem Kurswechsel im Detail abliefen, geht aus der Pressemitteilung nicht hervor. Welche Rolle informelle Gespräche mit Apple und Google spielten, ist nicht dokumentiert. Die spätere technische Umsetzung der App ist nicht Gegenstand dieser Quelle.

Der Chaos Computer Club kritisierte die deutsche Corona-Kontaktverfolgungs-App Luca am 13.04.2021 wegen mehrerer Sicherheitslücken, darunter eine fehlerhafte SMS-Validierung und die Möglichkeit, über gescannte QR-Codes die zentral gespeicherte Standorthistorie einzelner Nutzer auszulesen. Nach dem Sturz eines Mannes vor einer Mainzer Gaststätte in der Nacht vom 29. auf den 30.11.2021, der später an seinen Verletzungen starb, forderte die Mainzer Polizei vom Gesundheitsamt die über Luca erfassten Kontaktdaten der Gaststättenbesucher an. Das Gesundheitsamt übermittelte die Daten von 21 Personen, die daraufhin als Zeugen befragt wurden, obwohl § 28a Abs. 4 Satz 3 Infektionsschutzgesetz eine Nutzung nur zur Kontaktnachverfolgung erlaubt. Die Staatsanwaltschaft Mainz räumte die Rechtswidrigkeit im Nachhinein ein.

Ob und welche dienst- oder strafrechtlichen Konsequenzen die Beteiligten trugen, ist nicht belegt. Das Ergebnis des vom Landesdatenschutzbeauftragten Rheinland-Pfalz eingeleiteten Verfahrens ist nicht dokumentiert. Ob vergleichbare rechtswidrige Datenabfragen bei anderen Behörden stattfanden, ist unklar.

Am 20.09.2021 legte die vermutlich russischsprachige Ransomware-Gruppe BlackMatter, laut CISA ein möglicher Nachfolger von DarkSide, Teile der IT-Systeme der Agrargenossenschaft New Cooperative aus Iowa lahm, die Getreide-, Dünger- und Futterlogistik für einen großen Teil des mittleren Westens der USA verwaltet. Die Angreifer forderten 5,9 Millionen US-Dollar Lösegeld. New Cooperative nahm betroffene Systeme vorsorglich offline und zahlte nach eigenen Angaben kein Lösegeld. Am 18.10.2021 veröffentlichten CISA, FBI und NSA eine gemeinsame Sicherheitswarnung zu BlackMatter.

Die Angaben von BlackMatter selbst zur erbeuteten Datenmenge sind nicht unabhängig verifiziert. Die vielzitierte Aussage, 40 Prozent der US-Getreideproduktion liefen über Software des Unternehmens, stammt von New Cooperative selbst und wurde von Sicherheitsforschern angezweifelt. Der genaue technische Einstiegsvektor der Angreifer ist nicht ersichtlich.

Die Datenschutz-Grundverordnung wurde am 27.04.2016 verabschiedet, am 04.05.2016 im EU-Amtsblatt veröffentlicht und trat am 24.05.2016 formal in Kraft. Nach zweijähriger Übergangsfrist wurde sie ab dem 25.05.2018 in allen EU-Mitgliedstaaten unmittelbar anwendbar und ersetzte die Richtlinie 95/46/EG. Die Verordnung erlaubt Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Laut einer Bitkom-Befragung von 505 deutschen Unternehmen fühlten sich acht Tage vor dem Stichtag lediglich 25 Prozent ausreichend vorbereitet.

Eine verlässliche Gesamtzahl zu den EU-weiten Umsetzungskosten der Unternehmen liegt nicht vor. Die Bitkom-Zahl von 25 Prozent stammt aus einer Stichprobe, andere Umfragen kamen auf abweichende Werte. Die vielfach befürchtete Abmahnwelle gegen kleine Unternehmen blieb nach mehreren Berichten weitgehend aus.

Die IT-Sicherheitsfirma CrowdStrike identifizierte im Auftrag des Democratic National Committee im Juni 2016 zwei getrennte Eindringlinge in die Netzwerke der Partei: die Gruppe Cozy Bear seit Sommer 2015 sowie die Gruppe Fancy Bear seit etwa März 2016. Erbeutete interne E-Mails wurden ab Juni 2016 über die Online-Persona Guccifer 2.0 verbreitet; WikiLeaks veröffentlichte am 22.07.2016 rund 19.000 DNC-E-Mails kurz vor dem Nominierungsparteitag der Demokraten. Im Juli 2018 erhob die US-Justiz Anklage gegen zwölf Offiziere des russischen Militärgeheimdienstes GRU wegen Verschwörung zu Computerbetrug.

Keiner der zwölf angeklagten GRU-Offiziere wurde je festgenommen oder vor einem US-Gericht verurteilt, da Russland keine Auslieferung eigener Staatsbürger vornimmt. Das FBI erhielt keinen direkten forensischen Zugriff auf die physischen DNC-Server, sondern stützte sich auf Analysen des Dienstleisters CrowdStrike. WikiLeaks bestritt wiederholt, dass die Daten von einem russischen Staatsakteur stammten.

Am 27.06.2017 legte die Schadsoftware NotPetya die globale IT-Infrastruktur der Reederei Maersk lahm. Ausgangspunkt war ein einzelner Rechner im Maersk-Büro in Odessa mit einem manipulierten Update der ukrainischen Buchhaltungssoftware M.E.Doc. Maersk musste binnen zehn Tagen rund 4.000 Server, 45.000 PCs und 2.500 Anwendungen neu aufsetzen, das Frachtvolumen brach zeitweise um rund 20 Prozent ein. Maersk bezifferte die finanziellen Folgen im Quartalsbericht auf 200 bis 300 Millionen US-Dollar. Großbritannien und die USA machten später den russischen Militärgeheimdienst GRU verantwortlich.

Die genaue Schadenssumme bei Maersk ist nicht abschließend beziffert, das Unternehmen nannte nur eine Bandbreite ohne detaillierte Kostenaufschlüsselung. Der oft zitierte globale Gesamtschaden von rund 10 Milliarden US-Dollar betrifft alle betroffenen Unternehmen zusammen, nicht allein Maersk. Die Zuschreibung an Russland beruht auf politischen Erklärungen, nicht auf einem Gerichtsurteil.

Am 14.10.2014 veröffentlichten Google-Sicherheitsforscher die Schwachstelle POODLE (Padding Oracle On Downgraded Legacy Encryption), registriert als CVE-2014-3566. Die Lücke betrifft das veraltete Verschlüsselungsprotokoll SSL 3.0. Ein Angreifer in Man-in-the-Middle-Position kann Clients zu einem Downgrade auf SSL 3.0 zwingen und benötigt im Schnitt rund 256 Anfragen, um ein Byte verschlüsselter Daten wie Authentifizierungs-Cookies auszulesen. Als Gegenmaßnahme empfahlen die Entdecker sowie CISA am 17.10.2014 die vollständige Deaktivierung von SSL 3.0. In den Folgemonaten deaktivierten Chrome, Firefox und weitere Anbieter die SSL-3.0-Unterstützung standardmäßig.

Nicht belegt ist, in welchem Umfang POODLE vor der Offenlegung bereits für reale Angriffe genutzt wurde, da ein Downgrade-Angriff kaum nachweisbar ist. Die Schätzung, wonach rund zehn Prozent der Server für eine spätere TLS-Variante der Schwachstelle anfällig waren, stammt aus Analysen einzelner Sicherheitsfirmen. Ein konkreter finanzieller Gesamtschaden wird nicht beziffert.

Am 28.02.2018 zwischen 17:21 und 17:30 UTC traf ein volumetrischer DDoS-Angriff GitHub.com mit einer Spitze von 1,35 Terabit pro Sekunde, dem damals größten dokumentierten DDoS-Angriff. Die Angreifer nutzten Memcached-Reflection: UDP-Anfragen mit gefälschter Absenderadresse an offen erreichbare Memcached-Server wurden um bis zu Faktor 51.000 verstärkt und an GitHub umgeleitet. GitHub.com war von 17:21 bis 17:26 UTC durchgehend nicht erreichbar. GitHub leitete den Verkehr per BGP-Umleitung an Akamai/Prolexic um, wodurch der Angriff eingedämmt wurde.

Wer hinter dem Angriff steckte, wurde nie veröffentlicht, es gab keine strafrechtlichen Ermittlungsergebnisse. Die genaue Zahl der missbrauchten Memcached-Server variiert je nach Quelle. Die exakte Dauer der Beeinträchtigung wird in Sekundärquellen unterschiedlich mit 5 bis 9 Minuten angegeben.

Am 21.10.2016 traf ein massiver DDoS-Angriff den DNS-Anbieter Dyn in drei Wellen zwischen etwa 11:10 und 22:10 UTC. Die Angreifer nutzten das Mirai-Botnet aus gekaperten IoT-Geräten wie Überwachungskameras und DVRs mit werkseitigen Standardpasswörtern. In der Folge waren zeitweise über 70 große Webdienste in Nordamerika und Europa nicht erreichbar, darunter Twitter, Netflix, Reddit, Amazon und PayPal. Die drei Entwickler des Mirai-Quellcodes bekannten sich im Dezember 2017 vor einem US-Bundesgericht schuldig, für den Dyn-Angriff selbst wurden sie jedoch nicht angeklagt.

Eine offizielle, gerichtsfeste Zuordnung der Täter für den konkreten Dyn-Angriff steht bis heute aus. Mehrere Gruppen reklamierten den Angriff für sich, Sicherheitsforscher hielten diese Bekennerclaims für nicht belegt. Die genaue Zahl beteiligter Geräte ist umstritten, eine bestätigte Zahl wurde nie veröffentlicht.

Am 18.09.2015 teilten EPA und CARB in einer Verstoßmitteilung mit, dass Volkswagen und Audi bei rund 482.000 in den USA verkauften Dieselfahrzeugen der Modelljahre 2009 bis 2015 eine unzulässige Abschalteinrichtung einsetzten. Die Software erkannte Testbedingungen und aktivierte dann die volle Abgasreinigung, während im Straßenbetrieb die Stickoxidminderung zurückgefahren wurde, sodass Fahrzeuge dort bis zum 40fachen des zulässigen Grenzwerts ausstießen. Ausgangspunkt war eine Messreihe des International Council on Clean Transportation und der West Virginia University aus 2013/2014. Volkswagen räumte die Abschalteinrichtung am 03.09.2015 gegenüber den Behörden ein.

Die später ermittelte weltweite Gesamtzahl von rund 11 Millionen betroffenen Fahrzeugen ist in dieser Mitteilung nicht enthalten, sie bezieht sich nur auf rund 482.000 US-Fahrzeuge mit 2,0-Liter-Motoren. Für Modelle mit 3,0-Liter-Motoren erließ die EPA erst am 02.11.2015 eine eigenständige Mitteilung. Welche einzelnen Personen im Konzern die Software in Auftrag gaben, wird in der Mitteilung selbst nicht benannt.

Die ehemalige NSA-Vertragsangestellte Reality Winner druckte im Mai 2017 bei ihrem Arbeitgeber Pluribus International auf dem Militärstützpunkt Fort Gordon ein als geheim eingestuftes NSA-Dokument aus und schickte es anonym an das Onlinemedium The Intercept. Das Dokument beschrieb einen Cyberangriff des russischen Militärgeheimdienstes GRU auf einen Wahlsoftware-Anbieter in Florida sowie mehrere lokale Wahlbehörden kurz vor der Präsidentschaftswahl 2016. Das FBI verhaftete Winner am 03.06.2017. Sie bekannte sich am 26.06.2018 in einem Anklagepunkt nach dem Espionage Act schuldig und wurde am 23.08.2018 zu 63 Monaten Haft verurteilt, laut US-Justizministerium die längste je verhängte Strafe für die Weitergabe von Regierungsinformationen an Medien. Sie kam am 14.06.2021 vorzeitig frei.

Nicht offiziell bestätigt ist, auf welchem genauen Weg das FBI Winner als Quelle identifizierte. Vielfach berichtet wird eine Rolle gelber Mikropunkte im Druckerausdruck, eine offizielle behördliche Bestätigung dieser Rekonstruktion liegt jedoch nicht vor. Ob die Veröffentlichung tatsächlich laufende Ermittlungen gefährdete, wurde nie vor Gericht geprüft.

Am 06.09.2023 erklärte das Gericht der EU die Nichtigkeitsklage des Europäischen Datenschutzbeauftragten (EDSB) gegen die Artikel 74a und 74b der geänderten Europol-Verordnung für unzulässig. Diese Artikel hatten rückwirkend legalisiert, was der EDSB in seiner Entscheidung vom 03.01.2022 als rechtswidrig eingestuft hatte: die Speicherung riesiger, nicht kategorisierter Datensätze bei Europol. Der EDSB legte am 16.11.2023 Rechtsmittel ein. Generalanwalt Manuel Campos Sánchez-Bordona empfahl dem Gerichtshof am 08.05.2025, das Rechtsmittel zuzulassen und die Sache zurückzuverweisen.

Ein abschließendes Urteil des EuGH lag zum Zeitpunkt der Recherche noch nicht vor, Schlussanträge eines Generalanwalts sind rechtlich nicht bindend. Wie viele der ursprünglich rund vier Petabyte Daten zu mindestens 250.000 Personen Europol inzwischen gelöscht hat, ist nicht dokumentiert.