Quellen-Tabelle

86.000 Red Notices im Umlauf, 322 Löschungen 2024, Russland/Tadschikistan/Türkei als Top-Missbraucher.

Keine vollständige Liste aller Einzelfälle.

Türkei stellte 3.579 Red-Notice-Anträge gegen Gülen-Anhänger, tarnt politische Vorwürfe als Straftaten.

Ablehnungsquote durch Interpol nicht belegt.

EDPS-Audit fand tausende hohe Schwachstellen, Patches bis 5,5 Jahre verzögert, 93 Mio. Datensätze im SIS II.

Konkrete Falschtreffer bei Einzelpersonen nicht belegt.

Hamburg installierte ab 01.09.2025 69 Hikvision-KI-Kameras, Amnesty wirft Hikvision Menschenrechtsverletzungen vor.

Datenabfluss nach China bei Hamburger Geräten nicht belegt.

WLAN-Geräte offenbaren MAC-Adresse bei Probe-Requests, Android/iOS/Windows randomisieren dagegen.

Verbreitung kommerziellen WLAN-Trackings in Deutschland nicht belegt.

US-Sicherheitsbeamte wurden vor Signalgate-Skandal vor Schwachstellen bei Signal-Nutzung für sensible Kommunikation gewarnt.

Anonyme Regierungsquellen, technische Schwachstelle nicht spezifiziert.

Seit 2022 werden notarielle Urkunden verpflichtend elektronisch signiert und für 100 Jahre im zentralen Urkundenarchiv gespeichert.

Selbstdarstellung ohne unabhängige Sicherheitsprüfung.

Fasst BSI-Empfehlungen zu Cloud-Speicher-Diensten zusammen: Zwei-Faktor-Authentifizierung, zeitlich begrenzte Freigabelinks, Vorabverschlüsselung sensibler Dateien.

Journalistische Zusammenfassung, keine direkte BSI-Primärquelle.

Vergleicht cloudbasierte und lokale Passwort-Manager, betont Zero-Knowledge-Architektur als essenziell, verweist auf vergangene Sicherheitslücken bei LastPass.

Redaktioneller Ratgeber ohne eigene technische Tiefenprüfung.

Die spanische Datenschutzaufsicht verhängte gegen Vueling ein Bußgeld, weil das Cookie-Banner keine einfache Möglichkeit zur Ablehnung von Tracking-Cookies bot.

Spanische Behörde, aber früher Präzedenzfall für Cookie-Banner-Bußgelder.

Ordnet WLAN- und Bluetooth-basierte Fahrgastzählverfahren datenschutzrechtlich ein und mahnt eine Interessenabwägung an.

Kanzlei-Blogpost, keine aufsichtsbehördliche Einzelfallprüfung.

Ende Mai 2023 wurde bekannt, dass der Schweizer Software-Dienstleister Xplain Opfer eines Ransomware-Angriffs der Gruppe Play wurde. Betroffen waren Betriebsdaten der Bundesverwaltung, darunter Armee, Bundesamt für Zoll und Grenzsicherheit sowie Fedpol. Weil Xplain kein Lösegeld zahlte, veröffentlichten die Angreifer das gestohlene Datenpaket am 14.06.2023 im Darknet. Laut Medienberichten waren darunter vertrauliche Dokumente des Nachrichtendienstes, Adressen von Bundesratsmitgliedern sowie Sicherheitsinformationen zu ausländischen Diplomaten und Botschaften.

Die genaue Zahl der betroffenen Personendatensätze schwankt je nach Quelle (bis zu 1,3 Mio. Datensätze bzw. bis zu 425.000 Auslandschweizer laut swissinfo). Eine offizielle, abschließende Gesamtzahl der Bundesstelle liegt hier nicht vor.

Die Ransomware-Gruppe Cl0p nutzte ab dem 27.05.2023 eine Zero-Day-Schwachstelle in der Dateiübertragungssoftware MOVEit Transfer aus, um bei zahlreichen Organisationen weltweit Daten abzuziehen. Stand 24.08.2023 waren laut Emsisoft 988 Opfer bekannt; bis zum 26.10.2023 waren 2.559 Organisationen mit insgesamt 66.369.148 betroffenen Personen bestätigt. Damit gilt der Angriff als einer der größten Massen-Datendiebstähle über eine einzelne Software-Schwachstelle.

Die Opferzahlen sind kumulative Zwischenstände aus laufender Berichterstattung, keine amtlich abschließend festgestellte Endsumme; sie können je nach Quelle und Erhebungsdatum leicht abweichen.

Zwischen April und Juni 2024 griff die Gruppe UNC5537 gezielt Kundenkonten des Cloud-Datenanbieters Snowflake an, bei rund 165 betroffenen Organisationen, darunter Ticketmaster/Live Nation, Santander Bank, AT&T, Advance Auto Parts und Neiman Marcus. Ursache war laut Untersuchungsbericht das Fehlen einer verpflichtenden Zwei-Faktor-Authentifizierung auf Kundenkonten, kombiniert mit über die Schadsoftware Lumma Stealer entwendeten Zugangsdaten. Ticketmaster allein meldete den Verlust von Daten von 500 Millionen Nutzern. Im Oktober/November 2024 wurde ein Verdächtiger festgenommen und Anklage gegen zwei Personen erhoben.

Die Zahl von 500 Millionen betroffenen Ticketmaster-Nutzern stammt aus Unternehmensangaben in Medienberichten, nicht aus einer unabhängigen forensischen Bestätigung dieser exakten Größenordnung.

Am 07.04.2024 bot ein Hacker unter dem Namen USDoD auf dem Kriminalmarktplatz Breached eine Datenbank mit angeblich 2,9 Milliarden Datensätzen zu US-Bürgern an (277,1 GB), darunter vollständige Namen, aktuelle und frühere Adressen, Sozialversicherungsnummern, Geburtsdaten und Telefonnummern. Der Datendiebstahl beim Data Broker National Public Data begann im Dezember 2023, der eigentliche Abfluss ab April 2024. Am 02.10.2024 meldete das Unternehmen Insolvenz an, mit geschätztem Vermögen von nur 25.000 bis 75.000 USD. Generalstaatsanwälte aus über 20 US-Bundesstaaten fordern Bußgelder, rund 20 Sammelklagen sowie FTC-Ermittlungen laufen parallel.

Die Zahl von 2,9 Milliarden Datensätzen stammt aus der Eigenangabe des Angreifers beim Verkaufsangebot, nicht aus einer unabhängigen forensischen Verifikation der exakten Datensatzmenge.

Am 23.02.2009 durchsuchten Ermittler des britischen Information Commissioner's Office (ICO) die Räume der Consulting Association und fanden Akten zu 3.213 Bauarbeitern, die als illegale schwarze Liste dienten. Auf der über mehr als 30 Jahre von großen Baufirmen finanzierten Liste standen politische Aktivisten, Umweltschützer, Betriebsräte und Arbeitsschutzbeauftragte, die deshalb keine Anstellung mehr bekamen. Der Betreiber Ian Kerr wurde wegen Verstoßes gegen das Datenschutzgesetz zu 5.000 Pfund Geldstrafe verurteilt; 44 identifizierte Baufirmen erhielten Vollzugsschreiben des ICO.

Eine spätere Entschädigungsregelung für Betroffene wurde in Großbritannien eingerichtet; deren genauer Umfang und die ausgezahlten Summen sind aus dieser Quelle nicht belegt.

Die auf der Black-Hat-Konferenz 2019 vorgestellte GDPArrrrr-Forschung testete, wie Unternehmen auf DSGVO-Auskunftsanfragen (Art. 15) reagieren, wenn sich ein Angreifer als eine andere Person ausgibt. Ergebnis: Die Identitätsprüfung der angefragten Unternehmen war stark uneinheitlich, teilweise genügte eine E-Mail vom vermeintlichen Konto oder bloße Login-Daten als Nachweis. Einige Organisationen verwechselten die Auskunftsanfrage sogar mit einer Löschanfrage und entfernten Konten ohne ordentliche Identitätsprüfung.

Die Studie zeigt eine strukturelle Schwachstelle in der Praxis der Auskunftsbearbeitung, keine flächendeckende, aktuelle Zahl erfolgreicher Identitätsdiebstähle über diesen Weg.

Laut einer Erhebung von noyb erhielten nur 16,5 Prozent der Anfragenden eine vollständige Antwort auf ihre Auskunftsanfrage nach Art. 15 DSGVO, fast 30 Prozent bekamen überhaupt keine Antwort. Damit erfüllten 83,5 Prozent der untersuchten Antworten nicht die gesetzlichen Vorgaben. noyb betont, das eigentliche Problem sei nicht der Missbrauch des Auskunftsrechts durch Betroffene, sondern die mangelhafte Erfüllung der Auskunftspflicht durch die Unternehmen selbst, und kritisiert deshalb den EU-Digital-Omnibus-Vorschlag, der das Auskunftsrecht einschränken will.

Die Stichprobengröße und Methodik der zitierten noyb-Erhebung ist aus dieser Sekundärquelle nicht im Detail belegt; die Prozentzahlen stammen aus noybs eigener Auswertung.

Weil die europäischen Hauptsitze von Meta, TikTok, X/Twitter und WhatsApp in Irland liegen, ist die irische Datenschutzbehörde (DPC) für die meisten grenzüberschreitenden Verfahren gegen diese Konzerne federführend zuständig. Johnny Ryan vom Irish Council for Civil Liberties nennt Irland den 'schlimmsten Flaschenhals' der DSGVO-Durchsetzung. Verfahren gegen Meta, X/Twitter und WhatsApp zogen sich über Jahre und mussten teils vom Europäischen Datenschutzausschuss (EDPB) korrigiert werden, weil andere Behörden die irischen Entwurfsentscheidungen als zu schwach ansahen. Andere EU-Staaten müssen auf irische Entwurfsentscheidungen warten, bevor sie selbst tätig werden können.

Die Kritik am 'Flaschenhals' stammt von zivilgesellschaftlicher Seite (ICCL) und wird von anderen Aufsichtsbehörden geteilt; eine offizielle Selbsteinschätzung der irischen DPC mit dieser Formulierung liegt hier nicht vor.

Der EuGH entschied am 09.02.2023 (Rechtssache C-453/21), dass ein Interessenkonflikt im Sinne von Art. 38 Abs. 6 DSGVO vorliegen kann, wenn ein Datenschutzbeauftragter gleichzeitig weitere Aufgaben wahrnimmt, in denen er selbst über Zwecke und Mittel der Datenverarbeitung entscheidet. Im konkreten Fall ging es um einen Datenschutzbeauftragten, der zugleich freigestellter Betriebsratsvorsitzender war und nach Inkrafttreten der DSGVO 2018 von seiner Position als Datenschutzbeauftragter abberufen wurde. Ob ein solcher Konflikt vorliegt, muss laut EuGH im Einzelfall von den nationalen Gerichten geprüft werden.

Das Urteil stellt einen abstrakten Prüfmaßstab auf; es bewertet nicht, wie viele betriebliche Datenschutzbeauftragte in Deutschland tatsächlich in einem solchen Interessenkonflikt stehen.

FraUKe (Frankfurter Urteilskonfigurator Elektronisch) ist laut hessischem Justizministerium bundesweit das erste KI-gestützte Assistenzsystem, bei dem Künstliche Intelligenz Richterinnen und Richter aktiv bei der Urteilsfindung unterstützt, eingesetzt im Bereich der Fluggastrechte. Parallel entwickeln Nordrhein-Westfalen, Niedersachsen, Brandenburg und Hessen im Projekt MAKI (Massenverfahrens-Assistenz mittels Künstlicher Intelligenz) eine gemeinsame Grundlage für den KI-Einsatz bei Massenverfahren an Amtsgerichten; NRW und Bayern bauen zudem gemeinsam ein juristisches Sprachmodell (GSJ) auf.

Belegt ist der Einsatz bei Fluggastrechte-Massenverfahren. Wie weit die Letztentscheidung beim Menschen liegt und in welchem Umfang die KI-Textvorschläge unverändert übernommen werden, ist aus dieser Quelle nicht im Detail belegt.

In Deutschland gibt es zwei etablierte Robinsonlisten (ichhabediewahl.de und robinsonliste.de), in die sich Verbraucher gegen unerwünschte Werbepost eintragen können. Unternehmen sind jedoch rechtlich nicht verpflichtet, ihre Adressbestände gegen diese Listen abzugleichen; der Abgleich ist freiwillig und kostenpflichtig. Größere Firmen, insbesondere Mitglieder des Deutschen Dialogmarketing Verbands, gleichen meist freiwillig ab, während kleinere oder ausländische Versender den Abgleich häufig aus Kosten- oder Organisationsgründen auslassen. Ein individueller Werbewiderspruch gegenüber einem Adresshändler muss dagegen unverzüglich befolgt werden; danach ist die weitere Nutzung der Daten für Werbezwecke untersagt.

Die Robinsonliste wirkt nur gegenüber den Unternehmen, die freiwillig abgleichen; sie ist kein rechtlich durchsetzbares generelles Werbeverbot.

Am 06.07.2021 wurden Server des Landkreises Anhalt-Bitterfeld durch die Ransomware-Gruppe 'Pay or Grief' verschlüsselt. Der Landkreis zahlte kein Lösegeld und rief am 09.07.2021 den Katastrophenfall aus, laut BSI der erste Fall in Deutschland, der auf einen Cyberangriff zurückgeht. In der Folge konnten zeitweise keine Sozialleistungen ausgezahlt und keine Bürgerdienste erbracht werden; die Angreifer luden zusätzlich abgeflossene Daten ins Darknet hoch. Der Katastrophenfall wurde erst im Februar 2022 aufgehoben, die Gesamtkosten des Angriffs beliefen sich auf rund 2,5 Millionen Euro.

Welche konkreten Bürgerdaten dauerhaft kompromittiert blieben, ist aus dieser Quelle nicht im Detail beziffert.

Wahlberechtigte können das Wählerverzeichnis in Deutschland üblicherweise vom 20. bis zum 16. Tag vor der Wahl einsehen, allerdings nur die eigenen Daten uneingeschränkt. Die Einsicht in die Daten anderer Personen ist nur zulässig, wenn ein möglicher Fehler im Wählerverzeichnis plausibel dargelegt wird. Aus Datenschutzgründen geht die Praxis zunehmend dazu über, statt vollständiger Listen nur gezielte Einzelabfragen zuzulassen. Für Personen mit eingetragener Auskunftssperre nach § 51 Bundesmeldegesetz gilt das Einsichtsrecht Dritter gar nicht erst.

Die genaue Ausgestaltung der Einsichtsregeln kann je nach Bundesland und Kommune leicht variieren; eine bundesweit einheitliche Verwaltungspraxis ist aus dieser Quelle nicht belegt.

Die Initiative 'Project Red Card' vertritt über 850 Profifußballer aus Premier League, National League, EFL und schottischer Premiership und fordert Entschädigung dafür, dass Wett- und Gaming-Unternehmen ihre Leistungsdaten (u. a. Lauf- und Positionsdaten) ohne ausreichende Rechtsgrundlage sammeln und verwerten. Die Global Sports Data and Technology Group verschickte vorprozessuale Aufforderungsschreiben an 17 Unternehmen, die mit Spielerdaten im Wett- und Gaming-Sektor handeln, mit der Begründung, die Datenverarbeitung verstoße gegen Datenschutzrecht.

Der Ausgang etwaiger Gerichtsverfahren und eine mögliche Entschädigungssumme sind aus dieser Quelle nicht belegt; es handelt sich um vorprozessuale Forderungen.